【YD通讯标准】 基于分离架构的深度包检测系统技术要求接口功能

ICS33.040.40
中华人民共和国通信行业标准
YD/T2932-2015
基于分离架构的深度包检测系统技术要求接口功能
Technicalrequirementsfordeeppacket inspectionsystembasedonseparationarchitecture-Interfacefunction2015-07-14发布
2015-10-01实施
中华人民共和国工业和信息化部发布前言·
1范围·
2术语和定义·
缩略语
接口描述，
概述·
接口在系统中的位置，
功能描述
U接口模型-
Uc管理策略接口
针对应用的管理策略
用户/应用绑定管理策略
DPI设备通用管理策略.
6Ud报文整体结构
Ud报文上报方式
6.2Ud类型1消息说明
Ud类型ⅡI消息说明·
参考文献
YD/T2932-2015
YD/T2932-2015
本标准是基于分离架构的深度包检测系统技术要求系列标准之一。与YD/T2933《基于分离架构的深度包检测系统技术要求数据综合分析平台》和YD/T2931《基于分离架构的深度包检测系统技术要求独立式流量采集设备》共同构成基于分离架构的深度包检测系统的标准体系。本标准按照GB/T1.1-2009给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国电信集团公司、华为技术有限公司、中兴通讯股份有限公司、华三通信技术有限公司。
本标准主要起草人：杨锋、徐向辉、王茜、张文强。1范围
基于分离架构的深度包检测系统技术要求接口功能
YD/T2932-2015
本标准规定了基于分离架构的深度包检测（DPI）系统，DPI设备与数据综合分析平台间的交互接口（简称U接口），包括接口的功能描述、接口模型等说明。本标准适用于DPI系统内部DPI设备和数据综合分析平台间的交互接口。2术语和定义
下列术语和定义适用于本文件。2.1
深度包检测DeepPacketInspection一种基于数据包的应用层流量检测和控制技术，针对数据包的不同层信息（如IP地址、应用层端口、应用层协议、净荷内容等）进行深度检测和分析，从而得到整个数据流或数据包的应用层信息，然后按照系统定义的策略对流量进行统计分析和控制。2.2
1拖N用户MultiuserUnderOneSubscriberAccount采用同一上网账号，同时使用N个上网终端的用户。2.3
并接方式ParallelLineDeploymentMode通过在监测链路上部署分光器件将数据流量镜像到DPI系统进行分析和管理的设备部署方式。2.4
串接方式InLineDeploymentMode将DPI设备串接到监测链路中，对经过的所有流量进行分析和管理的部署方式。2.5
U接口UInterface
位于综合数据分析及应用支持系统和DPI设备之间，用于分析结果上报和策略下发的接口。U接口按照功能定义，分为Uc接口和Ud接口。2.6
Uc接口UcInterface
完成用户上下线的AAA信息下发和策略服务器/信息服务器等的管理策略下发和响应的接口。2.7
Ud接口UdInterface
完成DPI设备分析后的数据上报给数据综合分析平台的接口。3缩略语
下列缩略语适用于本文件
YD/T2932-2015
4接口描述
4.1概述
AuthenticationAuthorizationAccountingBroadbandRemoteAccessServer
CustomerRelationshipManagementDeepPacket Inspection
Distributed Denial of ServiceInternet Data Center
Peer-to-Peer
Service Router
Voiceof IP
认证、授权和计费
宽带远程接入服务器
客户关系管理
深度包检测
分布式拒绝服务攻击
互联网数据中心
点对点通信
业务路由器
IP电话
DPI设备与数据综合分析平台间的交互接口（简称U接口）是主要用来在DPI设备与数据综合分析平台（简称综分系统）间传递相关信息，其中包括DPI设备向数据综合分析平台传送基于应用的识别、分析信息、基于用户的应用访问信息、基于流量的统计信息等，数据综合分析平台依据应用分析结果向DPI设备下发应用和用户管理策略、根据用户上下线信息发送用户AAA信息等。是DPI系统/设备的关键接口。4.2接口在系统中的位置
如图1所示，U接口位于综合数据分析及应用支持系统和DPI设备之间，用于分析结果的上报和策略的下发。DPI系统和其他系统定义了Tp、Ta等接口，本标准仅适用于DPI系统内部（DPI设备和数据综合分析平台之间）之间的接口。
其他应用系统
数据综合分析平台
DPIu接口
分析管理功能
采集功能
串/并接流量
网路设备
AAA系统
图1基于分离架构的DPI系统结构4.3功能描述
U接口主要实现以下功能：
数据综合分析平台向DPI设备下发针对应用和用户的管理策略，用户与应用的绑定策略以及对DPI设备的管理策略。
DPI设备基于数据挖据系统下发的信息，定期向数据综合分析平台上报基于用户或基于应用的识别和分析结果：也可根据数据综合分析平台需求，上报所要求的针对某类应用流的关键字段信息。2
4.4U接口模型
4.4.1概述
YD/T2932-2015
U接口要同时传送应用管理策略和应用分析结果，现基于其用途不同将其再细分为Uc、Ud两类接口，其中Uc是双向的（DPI设备→数据综合分析平台），用来传送流量管理策略，Ud是单向的（DPI设备→数据综合分析平台），用来传送DPI设备的分析结果。在实际部署过程中，这两类接口还可以物理隔离。详细的接口模型见图2。
DPI设备免费标准下载网bzxz
原始数据流
协议识别与
业务管理
全业务分析
用户行为分析
VoIP业务管理
非法路由管理
应用层DDOS管理
功能模块
Ue接口
Ud接口
图2U接口（DPI设备与数据综合分析平台间）模型4.4.2Uc接口
综分系统
AAA信息
策略服务器
信息推送服务器
数据挖据
功能模块！
数据挖掘
功能模块2
数据挖掘
功能模块n
Uc接口主要完成用户上下线的AAA信息下发和策略服务器/信息服务器等的管理策略下发和响应，该接口模型详见图3。为保证策略下发的可靠性，数据传输层宜采用TCP协议。应用层也采用相应的确认机制来保证策略下发、修改、取消的可靠性。DPI设备
业务/用户管理策略下发
综分系统
用户AAA信息/静态IP地址用户信息下发（特定DPI）ACK
用户/业务策略信息下发（特定DPI设备）ACK
用户下线触发AAA绑定取消（特定DPI设备）ACK
用户下线触发策略绑定取消（特定DPI设备）ACK
图3Uc接口模型
策略绑定相关
YD/T2932-2015
Server
DPI设备
②Web分类库获取
②应用名称对应表获取
②协议特征库获取
②IP地址对应表获取
①Web分类库更新通知
综分系统
①应用名称对应表更新通知
①DPI设备协议特征库更新通知
①IP地址对应表更新通知
①DPI设备心跳信息（定时发送）注：①、②代表流程次序，DPI设备先从综分系统获取相关库，表更新通知，后根据通知中给出的服务器IP、端口，文件名等信息通过FTP协议获取相关资源。图4Uc接口模型—
特征库相关
4.4.3Ud接口
DPI分析结果数据量较大，数据实时性要求高，完整性要求相对较低，因此采用UDP传输更能够满足需求。Ud接口中上报的数据如图5所示，主要有两类。-类型一：简称UdI，即经DPI设备各功能模块处理，分析汇总后的数据，是DPI设备以协议应用为维度向数据综合分析平台上报的分析结果：一类型二：简称UdII，即经DPI设备识别、分析后的流关键字段信息，即基于流来上报本流中，预先确定的关键字段。
DPI上报的第一类数据聚焦网络中应用协议的流量情况，在实际部署过程中，常用于网络规划和运行维护参考。DPI上报的第二类数据聚焦基于用户的应用使用情况。DPI设备
综分系统
类型一：按功能模块上报分析后的数据类型二：基于流上报的数据（固定字段）图5Ud接口模型
5Uc管理策略接口
5.1针对应用的管理策略
5.1.1通用参数设置
该策略主要由数据综合分析平台向DPI设备下发一些通用参数，以实现对应用分析基准的灵活调整，如确定Web流量上报的点击阈值，确定搜索关键词上报的搜索值，所关注的主流搜索引擎等。数据综合分析平台应做到这些参数的可灵活配置，DPI设备应做到根据数据综合分析平台下发的取值，对这些参数灵活设定。
5.1.2流量识别结果上报策略
该策略主要由数据综合分析平台向DPI设备下发针对各类Ud报文的上报起止时间点、上报周期、上报服务器地址等信息，以实现数据综合分析平台按需定期收集DPI设备分析结果的目标。DPI设备收到报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.3Web类流量管理策略
该策略主要由数据综合分析平台向DPI设备下发针对Web类流量的访问管理策略，比如允许用户访4
YD/T2932-2015
问哪类URL列表（白名单），不允许用户访问哪类URL（黑名单）等，相应策略的生效时间等。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.4VolP类流量管理策略
该策略主要用来由数据综合分析平台向DPI设备下发针对VoIP类流量的管理策略，其中主要是下发被管理的VoIP网关、网守IP地址，干扰类型、干扰方向等参数，由DPI设备根据下发的策略，在指定的时间段实施管理。
DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.5通用流量管理策略
该策略仅在串接部署方式下有效，主要由数据综合分析平台向DPI设备下发针对各类型流量的通用管理策略，如按照各链路上流量的绝对值，百分比对某类流量进行管理等。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.6通用流量标记策略
该策略仅在串接部署方式下有效，主要由数据综合分析平台向DPI设备下发针对各类型流量的通用标记策略。
DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.7访问指定应用的用户统计策略该策略主要用来由数据综合分析平台向DPI设备下发针对指定应用的用户统计策略，以协助数据综合分析平台挖掘目标用户。
DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略5.1.8流量镜像策略
该策略主要用来由数据综合分析平台向DPI设备下发针对具体应用的镜像策略，包括待镜像的应用种类、镜像起止时间、镜像端口组指定等。接收镜像流量的服务器需要直连到DPI设备相应的镜像端口。本策略与特定用户绑定后，就可实现针对特定用户的特定应用进行流量镜像。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.9应用特征自定义策略
该策略主要由数据综合分析平台向DPI设备下发自定义应用的五元组及关键字段特征信息，以实现DPI设备能够实时按需统计、控制自定义应用。下发的规则应确保不影响DPI设备对其他正常应用的分析、判断。
DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.1.10用户组归属分配策略
该管理策略主要用来由数据综合分析平台向DPI设备下发针对具体用户的组归属策略，以使DPI系统能根据用户组别来统计和上报分析的数据结果。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略5.1.11Web信息推送策略
该管理策略主要用来由数据综合分析平台向DPI设备下发针对用户的信息推送策略，包括推送触发条件、信息服务器所在URL等。
考虑到DPI设备的分布部署，以及信息推送的及时性及推送次数、推送频率需统一控制，数据综合YD/T2932-2015
分析平台的策略服务器宜总体控制针对用户的推送时间、推送次数，在推送时间段内，数据综合分析平台将总推送次数（推送上限）随机分配给对应区域内的DPI设备（即提前确定并下发每台DPI设备的推送配额）。
5.1.12应用层DDoS异常流量管理策略该策略主要用来由数据综合分析平台向DPI设备下发针对服务提供者的应用层DDoS异常流量判断阈值及管理策略，以减轻异常流量对应用提供者的攻击影响。在将本策略与用户进行绑定时：DPI设备应保证本策略的自标是监测用户受攻击的状态和保证用户不被攻击。本策略应绑定到IP地址段用户（攻击通常针对明确的IP地址）。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.2用户/应用绑定管理策略
5.2.1AAA信息采集
DPI设备应能通过监测用户上下线信令所经过的物理链路，检测其中的信令交互过程，及时分析出其中的关键字段（必含字段：UserName、Framed-IP-Address、NAS-IP-Address、NAS-Identifier）并上报给数据综合分析平台，由数据综合分析平台再通过Uc接口统一下发给其他DPI设备。5.2.2AAA信息下发
该策略主要由数据综合分析平台将统一收集到的用户上下线信息（由AAA服务器转发，或者通过某监测用户上下线信息的DPI设备上报），将AAA信息中的关键字段（必含字段：UserName、Framed-IP-Address、NAS-IP-Address、NAS-Identifier等）信息，发送给对应DPI设备，由DPI设备根据用户账号与IP地址的对应关系，完成后续基于用户的分析与管理。数据综合分析平台在下发用户账号与IP地址的绑定关系时，如果针对该用户有对应的管理策略，则应同时下发针对该用户与策略的绑定消息（见5.2.5）。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略。5.2.3IP地址段用户信息下发
该策略主要用来由数据综合分析平台向DPI设备下发基于IP地址段来区分用户的用户名与其所拥有的IP地址段间的关系信息。因本类用户不存在上下线的流程，故本信息需要提前下发到各DPI设备。如果有更新则及时进行更新或绑定取消。数据综合分析平台在下发用户账号与IP地址的绑定关系时，如果针对该用户有对应的管理策略，则应同时下发针对该用户与策略的绑定消息（见5.2.5）。DPI设备收到本报文后，需发送“策略下发Ack”进行回应，以确认本设备已收到该策略5.2.4AAA信息反查
该策略主要用来由DPI设备向数据综合分析平台查询IP地址与用户账号的对应关系，以满足DPI设备从故障/异常状态（如DPI设备未及时收到账号与IP的对应关系）恢复后，能及时向数据综合分析平台获取用户账号信息的需求。数据综合分析平台在下发用户账号与IP地址的绑定关系时，如果针对该用户有对应的管理策略，则应同时下发针对该用户与策略的绑定消息（见5.2.5）。数据综合分析平台在收到本信息后，应根据请求向DPI设备发送对应用户的账号信息。针对普通宽带用户，应通过“AAA信息下发”报文来下发针对该宽带用户的UserName、Framed-IP-Address、NAS-IP-AddresS、NAS-Identifier信息；针对静态地址用户，应通过“IP地址段用户信息下发”报文来下6
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。