SDN和DPI技术结合 实现集中控制和自动化

ZDNET安全频道 09月12日 综合消息：深度数据包检测（DPI）技术显著地加强了当前网络的安全性和管理性能，但是如果能和软件定义网络（SDN）结合起来，DPI会成为一个更强大的工具，能够集中网络策略控制和加速自动化进程。

DPI是一种网络数据包过滤技术。数据包传递到一个审查点，DPI技术会检查该数据包，搜索不匹配协议、病毒、垃圾邮件、入侵或其它定义标准。然后，该工 具会决定这个数据包是通过还是需要重新路由。DPI为整个网络提供信息以确保先进的网络自动化、策略、合规性和安全功能。

DPI技术的发展

半导体处理能力的加强促使DPI关键技术的发展，包括：

• 深度检测数据包的能力：该能力可以检测到个体流量更多的内容和信息。
• 渗透探测：DPI功能可部署在大范围的设备上（不只是因特定目的建立的设备），包括以太网交换机、路由器、服务器负载平衡器、广域网优化设备、管理设备和网络安全元素。
• 更频繁的检测：改进的处理能力意味着当DPI开启时，频繁的检测可以确保DPI永久开启并不停检测所有数据包，性能很少会中断。
• DPI可以作为软件在标准的服务器上运行：这个功能会使DPI部署成本比其它专用设备低。

SDN和DPI技术结合可以实现集中策略和安全控制

改进的DPI技术可以为SDN控制器提供网络状态和流量的详细数据。这样SDN就可以将网络看作是一个整体的资源，而不是一系列单个设备（如交换机、安全 性和其它4-7层元素）。最终，SDN和DPI技术的结合可以让网络专家将控制策略和自动化应用到整个网络，而不是单个组件或元素。凭借核心DPI性能可 以为所有相关功能（控制器、策略、安全性等）提供信息帮助，而不是目前各个性能设备的系统各自拥有其专属DPI技术。

由于日益增长的远程工作人员、自带设备趋势和不同内外部的流量类型（如Facebook、Skype、视频聊天、流媒体和视频等）造成的新的安全性需求，这种集中DPI技术的实施还有很长的路要走。

现在，网络在识别良好的通信流量和应排除在网络外的通信流量时，必须要进行更深度的“探测”。例如，IT管理人员可能想要允许Skype聊天请求来节省国际拨号费用，但是为了防护数据泄露（DLP）和实施合规策略而通过Skype传输的文件块也需要被检测。

DPI和SDN技术结合以提高网络安全性

DPI技术确保IT管理员和安全官员可以制定打击恶意软件和其它威胁的策略，并将其在所有层级实施，包括应用层和用户层。DPI和SDN技术的结合能使网 络安全遍布在整个网络，而不仅仅是特定的端点，比如防火墙。一个先进的网络安全系统可以通过其本身行为来评估网络通信的“健康度”，而不是依靠外围的控 制。

DPI和SDN技术结合 可以在网络管理方面应用大数据

当前网络管理系统大部分仍然保持一个被动的、操作密集的状态，这就意味着训练有素的网络工程师必须对网络减速或故障做出被动反应，而不是在这之前做出有前瞻性的主动反应。

增强型DPI技术可以依靠成倍地提供关于该网络的信息而改变这种状态。但面临的挑战在于，怎样依靠这些庞大的数据来做出更好的决定。在不久的将来，网络管理实质上就是一个大数据问题，关于数据收集的频率、类型和运用的分析方法或策略将会变得重要，成为主要思考的问题。

DPI在为网络健康和性能提供关键信息方面扮演着重要的角色。增强型DPI将影响很多供应商，包括现在的网络供应商（如思科、瞻博网络、惠普网络、F5、 Riverbed）、SDN初创企业（如Big Switch、Plumgrid、Saisei）、IT供应商（如IBM、Intel、VMware）、网络监控供应商（如Gigamon、 NetScout、IXIA)和大量网络安全提供商。作为网络安全工具和管理工具，DPI在网络中的应用会变得越来越普遍。结合SDN的DPI技术将引领 当前网络走向更容易管理、更安全、运营成本更低的自动化网络。