企事业单位局域网有效控制P2P软件的方法

　　当前，随着网络技术的发展和宽带的普及，企事业单位信息化、电子政务的开展和日益深入，各项业务逐步通过网络来实现；企事业单位在享受着网络带来的效率提升和各项便捷的同时，也遭遇了互联网诸多负面应用的干扰，使得网络资源无法得以充分利用，业务发展受到很大掣肘，突出表现就是当前日渐流行的各种P2P软件（P2P下载软件和P2P视频软件）。

 

一、P2P软件的危害

　　相对于传统的Internet应用而言，P2P软件产生的流量具有以下明显特征：

　　1、传输速度惊人。P2P软件由于其技术原理决定了其可以无节制地占用局域网的带宽资源，使得无论企事业单位的带宽有多大，只要局域网一台电脑使用了P2P软件都可以将整个局域网的网速拖慢，严重干扰了企业的业务系统和办公系统的正常运行，甚至使得打开网页、收发电子邮件都难以进行。

　　2、传输内容具有危害性。局域网用户使用P2P软件下载大量的影音资料，可能是一些反动、色情、暴力等不良信息，一方面违反了国家法律法规，另一方面这些内容还常常带有病毒、恶意程序等等，容易给整个局域网带来巨大的危害。

　　3、传输过程的穿透性。P2P软件可以穿透当前各种防火墙和各种安全代理屏障，从内部打开了一个单位内部局域网安全防护的漏洞，使得黑客可以轻松通过此通道进入企业内部局域网，传播病毒和窃取单位的商业机密等。

　　4、传输过程对硬件的负荷较大。P2P软件不仅可以加大使用者电脑硬件信息的损耗，降低使用寿命。同时，P2P软件由于上行和下行流量基本对称，而传统的网络设备如交换机、路由器、modem等是为非对称、尽量支持下行的传统的互联网应用而设计的，从而无法长时间承受P2P软件的使用，容易造成链路堵塞、设备崩溃的情况。

　　因此，如何有效控制这些P2P软件的使用，已经成为当前企事业单位网络管理的重要课题之一。

 

　　在企事业单位内部局域网中要想有效控制P2P软件，就必须先将其从网络数据中识别出来，因此识别P2P流量是封堵P2P软件的前提和基础。目前，识别P2P主要有以下方法：

　　1、基于P2P软件端口、服务器IP的识别控制方法

　　早期的P2P软件种类较少，同时技术也较为简单，在传输上基于固定端口和少量的服务器IP地址来实现，因此网络管理人员只要找到这些P2P软件采用的传输端口和服务器IP地址，借助防火墙、交换机或者路由器等网络设备关闭这些端口和IP的访问即可。同时，寻找这些P2P软件的端口、服务器IP的方法也较为简单，通过防火墙、路由器等网络设备的拦截、过滤日志或者使用诸如Sinffer一类的嗅探软件，通过抓包分析的方式均可以获取。

　　2、基于应用层签名的识别控制方法

　　基于检测应用层签名的P2P流量识别技术是通过协议分析与还原技术，提取P2P应用层数据(即P2P载荷)，通过分析P2P载荷所包含的协议特征码，来判断是否属于P2P应用。因此，这类方法也叫做深度数据包检测技术（DPI，即Deep Packet Inspection）。因为这些P2P软件的应用层签名一般不会发生变化，具有较长时间的稳定性，同时应用层签名也具有唯一性，所以这种封堵方式针对那些可智能切换端口、以及P2P软件服务器IP地址庞大，无法通过IP封堵的P2P软件，不失为一种更有效、更便捷的控制方法，并且一般均可以实现完全的控制。

　　但是，随着近几年P2P技术的不断发展，越来越多的P2P软件对传输过程进行了加密，依靠传统的嗅探方法和嗅探工具已经无法获取其应用层签名或协议特征码，从而无法实现对那些传输过程加密的P2P软件的封堵。同时，由于P2P软件的应用层签名或协议特征码与传统的Internet应用的应用层签名的类似性，从而也具有误封传统Internet应用之嫌；并且，基于深度数据包检测的技术由于需要对所有公网的数据包进行过滤、分析和识别，在较大规模的网络环境中，对系统所依附的硬件设备性能要求较高，同时也不可避免地对网络性能造成一定的影响；此外，如果P2P软件的应用层签名发生变化，则必须更新之前的P2P应用层签名才能继续保持对P2P软件的识别和控制，所以也面临着应用层签名必须实时更新的问题。

 

　　3、基于深度流量特征（DFI）的P2P流量识别控制方法

 

　　基于深度流量特征（DFI，即Deep Flow Inspection）也是当前识别P2P流量的另外一种典型的方法。DFI是为了弥补DPI识别P2P流量过程中面临的效率问题、P2P流量加密和P2P应用层签名必须频繁升级而出现的识别方法。这一识别方法的基本思想是：通过对传输层数据包(包括