流控不是限制 精细化管理更需应用识别

　　ZDNET至顶网网络频道 8月4日 北京报道（文/陈广成）：随着网民规模的扩大以及网络应用的快速发展，网络带宽的压力也与日俱增。目前，互联网上的流量主要由P2P和HTTP产生，据估计这两种流量已经占到全部流量的90%以上，并且仍呈上升趋势，导致企事业单位包括运营商都面临着网络拥堵和带宽资源有效利用的问题。

　　对于企事业单位来说，娱乐性的、与工作无关的应用占据了带宽的主体，使得关键应用得不到保障;流量巨大下的带宽资源利用率低，应用体验差成为高校等教育单位面临的主要问题;对于运营商而言，互联网出口普遍受到拥塞的困扰。投入重金建设WLAN网络，却被集团用户以风险来源无法定位拒之门外，运营商本身的带宽成本与收入不成比例。P2P厂商占有了大量终端用户，运营商却承受着用户对固网、3G网络大量的质量投诉。拥有承载所有数据的管道，却看着数据白白流过而无法深度挖掘，增产不增收，如果不能有效管理，就是一个廉价的车夫。

网康科技产品总监宋强

　　流量控制在10年前就已经有了这样的概念，网康科技产品总监宋强在接受ZDNet采访时介绍说，现在流量控制或流量管理最早统称为QoS技术，并应用于早期的路由器/交换机产品中。但由于QoS是通过五元组的方式进行流量识别，在目前来看具有先天缺陷，基于IP端口协议等无法识别具体应用，面对同样承载在TCP、HTTP之上的视频会议、电子邮件、OA系统等已显得无能为力，一刀切的管理控制方式注定了其“良莠不分”。

　　在互联网应用繁荣时代，对网络状态的感知，实现应用层智能流量管理成为企业所需。企业希望流控设备能做到全网流量的监控、识别、控制等工作，解决用户网速慢的问题;保障一些关键业务应用的带宽，解决网络带宽资源的利用率的问题;对流量进行优化，解决P2P/IM/流媒体等应用对带宽的过多占用问题;解决多出口链路的均衡问题等。

　　精细化管理需要精细识别

　　宋强告诉记者，目前专业的流控设备应用了DPI(深度包检测)技术，不依赖传输层端口的识别，而是通过对明文传输的报文中一些特征字进行匹配，识别出是什么应用。然而，DPI必须是明文才有用，相对于目前很多协议开始加密，没有明文特征，对应用的识别只能做到疑似QQ、疑似迅雷等，DPI技术开始出现局限性。于是有了DFI(动态流检测)技术，因为每个应用有很明确的目的性，因此流的行为特征是有规律的。DFI技术通过流的规律性的特征，就可以判断出加密流量是什么协议 。

　　但是随着用户的需求开始变化，对应用的识别要求更加精细化，企业不仅局限于满足对应用的识别，而是想把应用的一些属性作为细分应用。宋强强调说，网康流量管理设备应用专利技术XAI(扩展应用识别)，通过多维属性识别应用的内容。例如，通常视频网站会有社会新闻、娱乐等分类，传统的对视频网站“一刀切”、封堵的管理方式是生硬和不人性化的，不排除有些单位通过某些分类的视频汲取知识甚至开展业务。通过XAI技术可以设置对社会新闻类视频放行、限制娱乐类视频的策略。借助XAI技术，能够通过文件名，更细致的判断迅雷是在下载文件资源还是影音文件，进一步实现精细控制的目的。

　　流控不只是流量限制

　　流控的根本目的其实并不是限制流量，目标是提高用户的网络体验和带宽资源利用率。所以只做到封堵或限制是不够的，还要保障和管理优化，对于重点应用，不仅给予保障还给予加速。通过广域网优化的手段给予加速在国内还比较新，虽然目前还很少应用在流控产品中，“但这种手段是必要的，网康认为流控产品的目标，是为了提升用户的体验，提升带宽资源的价值，限制、保障和优化加速是一脉相承的完整体系”，宋强介绍说，优化的手段大概有以下几种。

　　•协议优化。目前很多系统都是承载在TCP之上的，由于TCP是一个面向连接确保到达的传输协议。它的特点是应答等待、拥塞控制和慢启动，在局域网环境的影响不明显，目前在广域网传输，会受到网络延迟的影响，效率低。通过提升应答效率、扩大拥塞窗口、改进慢启动机制等手段，可以大大提升TCP协议的传输效率。

　　•字节级缓存。不同于传统的文件缓存技术，字节级缓存机制能够消减大量冗余数据，使网络流量大幅降低。比如，A、B两地传输一个word文档，当再次传输的时候，重复的内容就不再传输，仅仅传输内容的标记就能在对端重组文档，从而极大减少数据的传输量，提升了传输效率，保证实时性的同时起到加速作用。

　　多维非线性策略引擎

　　从产品本身的属性来看，流控产品是解决拥堵、加快网络传输的，这就要求设备一定具备高性能。对于用户较多诟病的流控设备在策略较多情况下性能差的问题，宋强表示说，通常来讲，流控的策略不会太多。即使有的用户通过配置较多管控策略和组合做到精细化的管理，这就要求设备对单个数据包的处理速度足够快。为解决这样的问题，网康经过长期深入的研究，开发出“多维非线性策略引擎”技术。相比于传统的IPTable包过滤算法，采用的机理是将数据包与检测规则进行逐条的线性匹配。 传统的策略匹配通常是线性进行的，当策略数目较多时，匹配速度会成为系统的瓶颈。而“多维非线性策略引擎”技术采用高效能的包分类技术，大大减少了单个数据包的规则匹配次数，从而有效降低了系统性能开销，尤其在海量规则和高流量的网络环境下具有出色的性能表现。

　　测试后发现，当规则数为300时，常规策略引擎的性能下降超过50%，而网康多维非线性策略引擎的性能下降小于1%。在实际使用中，随着规则项以及每个规则项中规则数的增加，此算法带来的效率提升将会异常明显。以下是性能测试数据，可以看出，在使用“多维非线性策略引擎”后，比原先采用“IPTable”算法时性能得到极大提升，在处理大流量数据时表现尤为明显。其中蓝线为采用“多维非线性策略引擎”时的测试数据，红线为采用“IPTable算法”时的测试数据。

测试数据包大小为128 Bytes时的性能表现

　　在问及国内流控产品同国外产品的对比时，宋强表示，应用层的流控管理，是考验产品本土化的网络产品，应用识别是基础。国内产品对于本土应用识别的准确度和应用协议库的更新及时度具有先天优势，这正是国外产品的短板。“目前，网康丰富的应用协议库，支持超过600多种本土活跃应用及协议，覆盖P2P、IM、VoIP、网络游戏、办公自动化等流行应用及协议”，宋强告诉记者。

　　另外，由于国外产品的售后服务周期长，并且多数是由代理商来提供技术支持，时效性和有效性都会受到影响，加上用户较为关心的价格等因素，不能满足用户需求。