基于流量分析的网络拓扑推测方法技术

本发明专利技术公开了一种基于流量分析的网络拓扑推测方法，涉及大规模ＩＰ网络拓扑探测技术领域，其步骤包括：在网络主干链路上部署测量点，对流量ｈｏｐ－ｃｏｕｎｔ值和往返时延ＲＴＴ进行分析，然后进行第一次聚类和第二次聚类，从而形成网络拓扑图，采用本方法，解决了现有技术中产生大量的探测流量，加重节点负担、应用受限及探测周期长的技术问题，并且本发明专利技术的推测结果也更为准确。

【技术实现步骤摘要】

本专利技术涉及大规模IP网络拓扑探测

技术介绍
对大规模IP网络的拓扑探测一度成为网络管理领域的工作热点，各类研究机 构纷纷启动了不同的研究项目来实现对Internet结构的发现，这些研究大多基于以 traceroute为代表的主动探测技术。然而，此类方法已经越来越明显地表现出其固有缺 陷(1)开销巨大。由于Internet的庞大，测量点必须向海量的目标节点发送大量的 探测数据包，从而产生了大量的探测流量，加重了节点的负担，使网络管理的问题更加复杂 化。(2)应用受限。主动模式的探测方法依赖于目标节点和网络基础设施(路由器) 的响应，在防火墙存在的情况下探测手段将会失效。(3)探测周期长。随着目标网络的扩大，探测次数呈几何增长，完成一次探测往往 需要耗费大量的时间。增加探测点数量有助于缩短探测周期，但造成了测量主体的复杂化， 提高了测量成本。此外，在测量手段方面，还有主动方式的路径特性测量和聚类方法，随着测量技术 的发展，链路特性的测量结果被越来越多地应用于网络拓扑探测过程。这类方法大多通过 向网络上的不同主机发送探测包，根据返回数据包的情况，判断网络路径的特性(如丢包 率和往返时延)，然后根据这些特性的不同，将主机划分为不同的聚类，实现小范围内粗略 的拓扑探测。如公开号为CN 1756189，公开日为2006年4月5日的中国专利文件公开了一种基 于SNMP协议的自动地发现网络的物理布局以及连接关系的IP网络拓扑的发现方法。该方 法包括如下步骤建立SNMP网络管理运行的环境；在目标网络的每个网络节点上设置一个 管理信息库(MIB)；网络管理进程通过应用层协议对SNMP管理信息库进行访问；网络管理 应用向网络管理进程内发出的信息，经底层协议到达被管理网络实体；网络层的拓扑发现； 数据链路层的拓扑发现。在网络管理中，采用本专利技术的方法可探测网络层及数据链路层的 拓扑结构，获取和维护网络节点的存在性信息和连接关系信息，并绘制出整个网络拓扑图。 网管人员通过拓扑结构信息可对网络故障进行定位，发现网络瓶颈，从而优化整个网络。但上述技术都依赖于主动探测技术。即需要向网络中不同的目标主机发送IP分 组，然后等待对方的IP分组返回并推断网络拓扑。但与此同时，动态路由、策略路由等技术的应用给网络拓扑管理带来了新的挑战， 网络局部结构的不确定性增加，网络拓扑的动态性日益显现，上述基于以traceroute为代 表的主动探测技术更加无法应对，因而迫切需要一种更加快速、规模化的拓扑探测手段。
技术实现思路
为解决上述技术问题，本专利技术提出了一种，本 专利技术对拓扑的推断完全依赖于现有网络流量，不需要任何形式的主动探测和额外IP分组 发送，测量过程不会对网络产生任何影响，解决了现有技术中产生大量的探测流量，加重节 点负担、应用受限及探测周期长的技术问题，并且本专利技术的推测结果也更为准确。本专利技术是通过采用下述技术方案实现的一种，其特征在于步骤包括a、在网络主干链路上部署测量点，对流经该链路的所有IP分组进行捕获和分析，所 述的捕获是指采用Iibpcap等常见工具，采用通用的网络包捕获技术，在测量点的网卡上接 收网络中传输的IP分组，所述的分析是指观测TCP会话，获取每个TCP会话双方IP主机各 自到所述测量点的路径特性，所述路径特性包括路由跳数(h0p_C0imt)和往返时延(RTT)，设 置一个固定的时间周期T，在一个时间周期内获得每个路径特性的一个分析结果值；b、经过多个时间周期的连续捕获和分析，获得各个IP主机各自到测量点的路径 特性的时间序列，所述的时间序列是一个标准数学术语，本说明书中定义为在多个时间 周期内关于同一路径特性的多个分析结果，共同组成的一个序列，称为时间序列，具体方 法为如针对任意IP主机H，在某时段测得路由跳数(h0p_C0Unt)和往返时延(RTT)分别 为hop_countk和RTTk，在下一时段测得其路由跳数和往返时延分别为hop_countk+l和 RTTk+Ι，其中h0p_C0imt测量结果是稳定不变的，由于网络的路由拓扑一般不会经常发生 变化，所以其中h0p_C0imt分析结果是稳定不变的，这是网络研究的共识，即h0p_C0imtk = hop_countk+l,因此，连续测量过程将为每个IP主机产生两个测量结果1个单一的hop_ count值，1组关于RTT测量值的时间序列R，记为R = {RTT1，RTT2，· · ·，RTTk}；C、重复步骤b，为每一个被观测的IP主机按照b的步骤产生单一的h0p_C0unt值 和RTT测量值的时间序列R，如一共观测到η台IP主机，则产生两个测量结果数组，记为 hop_count [1.. η], R[l. . η]；d、以数组h0p_C0unt[l. .η]为依据，对所有IP主机进行第一次聚类(cluster)，具 体方法是所有h0p_C0imt值相同的IP主机被划分为同一个子集，定义所有IP主机组成的 集合为V = {Hl，H2，. . .，Hn}，则本步骤中，V被划分为多个子集，V = C1 U C2 U . . . U Cn, 对任意IP主机X，y e Ci (Ci代表子集C115。。Cn中的任意一个)，都满足h0p_C0imt [χ]= hop_count [y]，其中hop_count [χ]为χ的hop-count值，从而产生第一次聚类结果；e、在步骤d的每个Ci内部进行第二次聚类，聚类的判断依据是以节点之间RTT测 量值的时间序列的相似性，即将Ci划分为更小的子集，每个子集的内部成员-IP主机之间 都有较高的RTT时间序列相似性，反之，属于不同子集的IP主机之间的RTT时间序列相似 性较低；本步骤采用DTW距离(一种常见的用于度量时间序列相似性的数学模型，本说明 书不详细描述)用于RTT序列之间的相似性计算和度量，对于任意两个IP主机χ和y，其 RTT时间序列分别为R[x]和R[y]，R[χ]和R[y]之间的相似性记为Tx, y。Tx,y值越小，χ和 y之间的相似性越高；本步骤将每个Ci划分为若干子集Ci = S1 U S2 U . . . U sk,对于每个~ (Sj.代表子 集Sl。。。sk中的任意一个)，都满足若任意两个IP主机x，y e Sj，任意主机ζ e CpZMj，则 Tx,y<Tx,z;从而产生第二次聚类结果，实现网络拓扑中的IP子网估计；f、在步骤e的的基础上，建立各个Sj子集之间的连接(子网之间的网络链路)，建 立方法是，计算相邻h0p_C0imt层次之间的~子集相似性，在相似性较高的~子集之间建 立连线；Sj子集之间的相似性可通过如下方法计算若有子集Sj，sk,则它们之间的相似性 记为TSsj,sk = MIN(Txjy) (χ e Si,y e Sj)，即取Sj中的任意成员χ和sk之间的任意成员y 进行RTT时间序列相似性计算，取最小的Tx,y为~和Sk的相似性值TSspk，TSsjjsk越小，相 似性越高；从而获得子网之间的连线，形成网络拓扑图；g、对步骤f产生的拓扑图进行细化，方法为<1>将所有Sj子集定义为“路由节点”；<2>填加一个根节点ROOT，ROOT与C1集合本文档来自技高网...

【技术保护点】
一种基于流量分析的网络拓扑推测方法，其特征在于步骤包括：ａ、在网络主干链路上部署测量点，对流经该链路的所有ＩＰ分组进行捕获和分析，所述的分析是指：观测ＴＣＰ会话，获取每个ＴＣＰ会话双方ＩＰ主机各自到所述测量点的路径特性，所述路径特性包括路由跳数ｈｏｐ＿ｃｏｕｎｔ和往返时延ＲＴＴ，设置一个固定的时间周期Ｔ，在一个时间周期内获得每个路径特性的一个分析结果值；ｂ、经过多个时间周期的连续捕获和分析，获得各个ＩＰ主机各自到测量点的路径特性的时间序列，具体方法为：如针对任意ＩＰ主机Ｈ，在某时段测得路由跳数ｈｏｐ＿ｃｏｕｎｔ和往返时延ＲＴＴ分别为ｈｏｐ＿ｃｏｕｎｔｋ和ＲＴＴｋ，在下一时段测得其路由跳数和往返时延分别为ｈｏｐ＿ｃｏｕｎｔｋ＋１和ＲＴＴｋ＋１，其中ｈｏｐ＿ｃｏｕｎｔ测量结果是稳定不变的，即ｈｏｐ＿ｃｏｕｎｔｋ＝ｈｏｐ＿ｃｏｕｎｔｋ＋１，因此，连续测量过程将为每个ＩＰ主机产生两个测量结果：１个单一的ｈｏｐ＿ｃｏｕｎｔ值，１组关于往返时延ＲＴＴ测量值的时间序列Ｒ，记为Ｒ＝｛ＲＴＴ１，ＲＴＴ２，．．．，ＲＴＴｋ｝；ｃ、重复步骤ｂ，为每一个被观测的ＩＰ主机按照ｂ的步骤产生单一的ｈｏｐ＿ｃｏｕｎｔ值和ＲＴＴ测量值的时间序列Ｒ，如一共观测到ｎ台ＩＰ主机，则产生两个测量结果数组，记为ｈｏｐ＿ｃｏｕｎｔ［１．．ｎ］，Ｒ［１．．ｎ］；ｄ、以数组ｈｏｐ＿ｃｏｕｎｔ［１．．ｎ］为依据，对所有ＩＰ主机进行第一次聚类，具体方法是：所有ｈｏｐ＿ｃｏｕｎｔ值相同的ＩＰ主机被划分为同一个子集，定义所有ＩＰ主机组成的集合为Ｖ＝｛Ｈ１，Ｈ２，．．．，Ｈｎ｝，则本步骤中，Ｖ被划分为多个子集，Ｖ＝Ｃ↓［１］∪Ｃ↓［２］∪．．．∪Ｃ↓［ｎ］，对任意ＩＰ主机ｘ，ｙ∈Ｃ↓［ｉ］，都满足ｈｏｐ＿ｃｏｕｎｔ［ｘ］＝ｈｏｐ＿ｃｏｕｎｔ［ｙ］，其中ｈｏｐ＿ｃｏｕｎｔ［ｘ］为ｘ的ｈｏｐ－ｃｏｕｎｔ值，从而产生第一次聚类结果；ｅ、在步骤ｄ的每个Ｃ↓［ｉ］内部进行第二次聚类，聚类的判断依据是以节点之间ＲＴＴ测量值的时间序列的相似性，即：将Ｃ↓［ｉ］划分为更小的子集，每个子集的内部成员－ＩＰ主机之间都有较高的往返时延ＲＴＴ时间序列相似性，反之，属于不同子集的ＩＰ主机之间的ＲＴＴ时间序列相似性较低；本步骤将每个Ｃ↓［ｉ］划分为若干子集Ｃ↓［ｉ］＝ｓ↓［１］∪ｓ↓［２］∪．．．∪ｓ↓［ｋ］，对于每个ｓ↓［ｊ］，都满足：若任意两个ＩＰ主机ｘ，ｙ∈ｓ↓［ｊ］，任意主机ｚ∈Ｃ↓［ｉ］...

【技术特征摘要】
一种基于流量分析的网络拓扑推测方法，其特征在于步骤包括a、在网络主干链路上部署测量点，对流经该链路的所有IP分组进行捕获和分析，所述的分析是指观测TCP会话，获取每个TCP会话双方IP主机各自到所述测量点的路径特性，所述路径特性包括路由跳数hop_count和往返时延RTT，设置一个固定的时间周期T，在一个时间周期内获得每个路径特性的一个分析结果值；b、经过多个时间周期的连续捕获和分析，获得各个IP主机各自到测量点的路径特性的时间序列，具体方法为如针对任意IP主机H，在某时段测得路由跳数hop_count和往返时延RTT分别为hop_countk和RTTk，在下一时段测得其路由跳数和往返时延分别为hop_countk+1和RTTk+1，其中hop_count测量结果是稳定不变的，即hop_countk＝hop_countk+1，因此，连续测量过程将为每个IP主机产生两个测量结果1个单一的hop_count值，1组关于往返时延RTT测量值的时间序列R，记为R＝{RTT1，RTT2，...，RTTk}；c、重复步骤b，为每一个被观测的IP主机按照b的步骤产生单一的hop_count值和RTT测量值的时间序列R，如一共观测到n台IP主机，则产生两个测量结果数组，记为hop_count[1..n]，R[1..n]；d、以数组hop_count[1..n]为依据，对所有IP主机进行第一次聚类，具体方法是所有hop_count值相同的IP主机被划分为同一个子集，定义所有IP主机组成的集合为V＝{H1，H2，...，Hn}，则本步骤中，V被划分为多个子集，V＝C1∪C2∪...∪Cn，对任意IP主机x，y∈Ci，都满足hop_count[x]＝hop_count[y]，其中hop_count[x]为x的hop count值，从而产生第一次聚类结果；e、在步骤d的每个Ci内部进行第二次聚类，聚类的判断依据是以节点之间RTT测量值的时间序列的相似性，即将Ci划分为更小的子集，每个子集的内部成员 IP主机之间都有较高的往返时延RTT时间序列相似性，反之，属于不同子集的IP主机之间的RTT时间序列相似性较低；本步骤将每个Ci划分为若干子集Ci＝s1∪s2∪...∪sk，对于...

【专利技术属性】
技术研发人员：黄鹂声，汪文勇，
申请(专利权)人：电子科技大学，
类型：发明
国别省市：90[中国|成都]