一種基于應用層特征的ＢｉｔＴｏｒｒｅｎｔ流量測量系統的實現

摘 要：以BitTorrent為代表的對等網絡(P2P)應用已經成為最流行的網絡信息共享工具，測量與分析對等網絡的流量特性對于認識和提升該網絡的性能具有重要的意義，如何準確地在Internet流量中識別出BT流量成為此研究的關鍵問題。在對BitTorrent的流量識別分析過程中，就基于應用層特征的流量識別方法進行了研究，并采用VC++工具在WinPcap網絡工具包的基礎上，實現了BT流量的測量系統，并根據實驗結果驗證了此系統的有效性。

關鍵詞：BitTorrent；P2P； VC++；WinPcap； 測量系統

中圖分類號：TP311文獻標識碼：B文章編號：1004373X(2008)1912303

Realization of BitTorrent Flow Measurement System

Based on Characteristic of Application Layer

LI Bo1，2，CHEN Qianbin1

(1.College of Communication Information Engineering，Chongqing University of Posts and Telecommunications，Chongqing，400065，China;

2.Network Information Management Center，Chongqing University of Posts and Telecommunications，Chongqing，400065，China)

Abstract：BitTorrent has become the most popular network information sharing tool，which is as a representative of the P2P applications.Measuring and analysing the traffic characterictics of P2P network has great significance in realizing and improving performance of the network.It becomes a key problem that how to indentify BT flow from Internet traffic.During in the course of studying in identify BT flow，the recognition methods based on the application layer characteristic is researched.BT flow measurement system based on VC++and WinPcap is implemented.At last，this paper shows the effectiveness of this system based on some experimental results.

Keywords：BitTorrent;P2P;VC++;WinPcap;measurement system

1 引 言

隨著Internet的發展，各種應用服務的出現，網絡流量呈現出與以往不同的流量特性。通過對網絡流量過程關鍵特性的準確描述和研究對網絡性能管理、擁塞管理和設計高性能網絡協議都有重要意義。而近來以BitTorrent為代表的對等網絡(Peer-to-Peer Network，P2P)應用已經成為最流行的網絡信息共享工具，測量與分析該網絡的流量特性對于認識和提升對等網絡的性能將是非常有意義的。本文對BitTorrent協議進行了分析，提出了一種基于應用層特征流量測量系統。

2 BitTorrent協議分析

一個完整的BitTorrent系統包括如下3個部分：

tracker服務器 用于和peers保持通信的服務器，搜集各個BitTorrent節點的信息，并為每個節點返回相應的節點信息列表，幫助節點互相發現對方。

peers 包括seeds和leechers，seeds指已經下載完文件的節點，只上傳，不再下載；leechers指只下載了部分文件的節點，邊下載邊上傳。

web服務器 用于信息的發布。

BitTorrent系統中存在如下兩種通信協議：

(1) BitTorrent節點與tracker服務器通信協議

一個BitTorrent節點在下載過程中，會不斷地與Tracker服務器進行通信，上傳自己的信息，并獲取其他BitTorrent節點的信息，這種通信是通過HTTP協議進行的。節點把狀態信息放在HTTP協議的GET命令的參數中傳遞給tracker，收到節點請求后，tracker返回相應的節點信息列表。

(2) 節點之間的對等協議

對等協議控制BitTorrent節點之間的文件傳輸，它是基于TCP協議的。對等傳輸包含兩個階段：握手階段和數據傳送階段。

在TCP連接建立后，發起連接節點A首先向B發送一個握手信息。握手信息格式及各字段含義如圖1所示。

pstrlen：1字節，指Pstr的長度，即19。

pstr：19字節，字符串“BitTorrent protocol”。

reserved：8字節，留給擴展協議使用，一般都是0。

info hash：20字節，元信息文件中的info值。

peer id：20字節，發送方的peer id。

節點B收到握手信息后，回應自己的peer id，BitTorrent的會話即建立。經過握手后，兩個節點之間就開始互相發送消息，進入數據傳輸階段。

3 流量測量系統的實現

BitTorrent網絡中主要的流量是節點與節點之間傳送數據產生的流量，節點與tracker服務器之間的通信相對來講可以忽略不計。因此本文主要針對peer與peer之間的流量進行測量研究。

3.1 流量測量系統的總體流程圖

圖2描述了流量測量系統的基礎結構，它主要由以下幾個部分組成：

數據采集模塊 基于WinPcap技術捕獲網絡數據包。

協議識別模塊 利用BT協議的特征，過濾出相應的BT流量。

統計分析模塊 按照已設定的時間尺度，如間隔1 s，統計出每秒到達的BT流量的packet數和byte數。

3.2 數據采集模塊

本系統采用WinPcap技術捕獲網絡數據包。WinPcap是由伯克利分組捕獲庫派生而來的分組捕獲庫，它是在Windows操作平臺上來實現對底層包的截取過濾。WinPcap為用戶級的數據包提供了Windows下的一個平臺。WinPcap是BPF(Berkeley Packet Filter)模型和Libpcap函數庫在 Windows平臺下網絡數據包捕獲和網絡狀態分析的一種體系結構，這個體系結構是由一個內核級的數據包過濾器，一個底層動態鏈接庫(Packet.dll)和一個高層，依賴于系統的庫(Wpcap.dll)組成。Packet.dll是對這個BPF驅動程序進行訪問的API接口，同時它有一套符合Libpcap接口(UNIX下的捕獲函數庫)的函數庫。

WinPcap的結構圖如圖3所示。

底層的包捕獲驅動程序實際為一個協議網絡驅動程序，稱為NPF(Netgroup Packet Filter)，這部分內容非常依賴于系統，運行在操作系統內核中，能直接訪問網絡接口驅動，通過對 NDIS 中函數的調用為Windows系統提供一種類似于UNIX系統下Berkeley Packet Filter的捕獲和發送原始數據包的能力。

Packet.dll為win32平臺提供了一個公共的接口。不同版本的Windows系統都有自己的內核模塊和用戶層模塊。Packet.dll用于解決這些不同。調用Packet.dll的程序可以運行在不同版本的Windows平臺上，而無需重新編譯。

第三個模塊 Wpcap.dll是不依賴于操作系統的，它提供了更加高層、抽象的函數。

Packet.dll和Wpcap.dll：Packet.dll直接映射了內核的調用。Wpcap.dll提供了更加友好、功能更加強大的函數調用。WinPcap的優勢提供了一套標準的抓包接口，與Libpcap兼容，可使得原來許多UNIX平臺下的網絡分析工具快速移植過來便于開發各種網絡分析工具，充分考慮了各種性能和效率的優化，包括對于NPF內核層次上的過濾器支持，支持內核態的統計模式，提供了發送數據包的能力。

3.3 協議識別模塊

通過BitTorrent對等協議的分析可以看出：BitTorrent節點之間的連接始終是以一個固定長度的握手消息開始的，因此提取如下特征值識別BitTorrent協議：

(1) TCP載荷的第一個字節是19(0x13)。

(2) 緊接著19個字節為字符串“BitTorrent protocol”

識別成功后，說明這個TCP連接上的流量是BitTorrent，記錄能惟一認定這個連接的四元組信息到一個數據結構中：源IP、源端口、目的IP和目的端口。之后，再碰到這個四元組的報文將無需進行特征信息的識別，而直接可認定為BitTorrent流量。直到捕獲到這個連接結束的標志。

在本系統中，采用紅黑樹算法識別BitTorrent數據流量，定義如圖4所示結構體用于保存通過識別BitTorrent握手消息獲得的源IP、源端口、目的IP及目的端口信息，并將該信息插入到紅黑樹上，后面收到TCP消息后根據源IP、源端口、目的IP及目的端口信息查找紅黑樹，如果找到，則證明該條消息是BitTorrent數據流量，識別過程如圖5所示。

3.4 統計分析模塊

該模塊主要基于協議識別模塊的基礎上，實現對所識別BT流量的統計分析功能并通過表格或圖形的方式顯示統計結果。例如：

(1) 總體統計：統計采集時間段內的總流量、BT流量、總包數、BT包數量；

(2) BT包長度的統計：統計不同長度的BT包在采集時間段內的分布情況；

(3) 按照用戶自定義的統計時間粒度統計不同時間段內的各項統計指標，例如總流量、BT流量、總包數、BT包數。

在實現基礎的統計功能后，可根據基礎統計結果進行二次統計以獲得所需要的各項指標。統計算法如圖6所示。

4 試驗分析

為了驗證測量方法的準確性，使用了端口映射法與本方法進行對比。端口映射法的測量過程如下：

(1) 采用目前比較流行的抓包工具Wiresharke捕獲TCP 10447端口的數據包(10447為一BT Peer的默認監聽端口)。

(2) 利用Wiresharke自帶的功能對捕獲的數據包進行統計。

測量方法：從校內某Tracker服務器上下載4個大小不同的文件，用兩種方法測量兩個BT節點下載完每個文件后的數據總量。

從表1可以看出，在局域網這個特定的環境中，兩種方法的測量結果基本是一致的，這表明提取的BitTorrent特征值是準確的，可以惟一標識BitTorrent流量。

5 結 語

由于現在的BitTorrent都采用了動態端口技術，所以在實際的網絡中采用端口映射法進行測量是不準確的。本文基于BitTorrent協議的特征提出了一種BT流量的測量系統，本系統的功能主要定位在BT流量的采集，為進一步分析BT的流量特征以及提出相應的網絡流量模型起到了關鍵性作用。

參考文獻

［1］劉剛，方濱興，胡銘曾，等.BitTorrent 流量的捕獲方法及自相似性的評價［J］.計算機應用研究，2006，23(5):205-206，209.

［2］David，Erman Dragos.Ilie BitTorrent Session Characteristics and Models.

［3］程磊，陳鳴，周駿.對BitTorrent通信協議的分析與檢測［J］.電信科學，2006，22(12):46-50.

［4］柳斌，李之棠，李戰春，等.一種基于Netfilter的BitTorrent流量測量方法［J］.計算機科學，2007，34(4):38-41.

［5］周文莉，雷振明.BitTorrent文件共享系統的流量模型與文件評估方法［J］.計算機應用，2008，28(2):367-370.

［6］Saroiu S，Gummadi PK，Gribble SD.A Measurement Study of Peer to Peer File Sharing Systems.In:Proc.of the Multimedia Computing and Networking 2002 (MMCN 2002).2002.156.170.http://www.cs.washington.edu/homes/gribble/papers/mmcn.pdf.

［7］Wang S J.Analyzing Peer to Peer Traffic across Large Networks.In:Proc.of the 2nd ACM SIGCOMM Workshop on Internet Measurement Workshop.2002.

［8］S Spatscheck O Wang DM.Accurate，Scalable in-network Identification of P2P Traffic Using Application Signatures.In: Proc of the 13th Int′l WWW Conf.，2004.

［9］Karagiannis T，Broido A，Faloutsos M，et al.Transport Layer Identification of P2P Traffic.In: Proc.of the 4th ACM SIGCOMM Conf.on Internet Measurement，2004:121-134.

［10］李江濤，姜永鈴.P2P流量識別與管理技術［J］.電信科學，2005，49(3):17-20.

作者簡介

李 波 女，1978年出生，河北唐山人，工程師，2006級研究生。主要從事P2P網絡研究。

陳前斌 男，1967年出生，教授，博士。