电子发烧友App
二、非法VoIP检测的实现
1.检测及分析
我们主要采集H.323、MGCP、SIP三类协议的VoIP，分别在主叫、被叫两个方向进行，同一时间段内将会有多条采集记录。图1是多个VoIP连接的简略图，忽略了IP电话网关和传统程控交换网之间的连接。
Gateway1、Gateway2代表IP电话网关，它们位于不同的地点，一般是不同的城市甚至国家。我们假设Gateway1代表本地的媒体网关，也是我们需要采集数据的关注点，是需要检测的网关。
假设user1用户拨打VoIP进行呼叫userA，Gateway1会向Gateway2发起VoIP连接请求，我们会记录下这条数据，这就是主叫方向的记录。源IP就是Gateway1的IP，目的IP就是Gateway2的IP.而同一时间内可能user2也在呼叫userB，user3 也在呼叫userC，因此会有多条采集记录，虽然他们的源IP和目的IP都相同。
假设userA从外地拨打VoIP呼叫user1，从Gateway2过来的连接请求，Gateway1需要应答，我们会记录下这条应答，这就是被叫方向的记录。源IP还是gateway1的IP，目的IP还是gateway2的IP.而同一时间内可能userB也在呼叫user2，userC 也在呼叫user3，因此会有多条采集记录，虽然他们的源IP和目的IP都相同。
检测是否有用户在使用基于H.233、SIP、MGCP的VoIP或者提供基于H.323、MGCP、SIP的VoIP服务的检测步骤如下：
（1）数据采集，通过某种方式将流经电信宽带网上的源端口号和目的端口号分别为1718、1719、1720、5060、2427、2727的数据包采集下来， 即包括主叫、被叫两个方向的记录。采集的主要内容有源IP、目的IP、源端口、目的端口、用户注册名称、会话标志、会话发生时间；
（2）数据上传，将数据上传到后台分析系统；
（3）数据入库，将数据文件存入到数据库中；
（4）数据分析，对数据库中的数据进行统计分析，结合事先设计好的一些设定，得到非法VoIP的可疑名单；
（5）统计分析，根据分析出的可疑名单，给出IP电话呼叫详单以及其他相关的统计分析报表。
详细的分析举例如下：
（1）统计某一个源IP在某一时间段内作为被叫方的会话次数，假设值为A;
（2）统计某一个源IP在某一时间段内作为主叫方的会话次数，假设值为B;
（3）统计某一个目的IP在某一时间段内作为被叫方的会话次数，假设值为C;
（4）统计某一个目的IP在某一时间段内作为主叫方的会话次数，假设值为D;
（5）假设有三个预设的判断阀值，分别为被叫次数阀值H1、主叫次数阀值H2、主被叫阀值H3.
则根据如上统计值，非法VoIP的可疑名单为：
● A或C值大于等于H1的所有用户；
● B或D值大于等于H2的所有用户；
● A+B或C+D值大于等于H3的所有用户。
根据检测结果，给出如下报表：
● 呼叫详单，包括账号、IP地址、通话时长；
● 主叫、被叫话务量最大的用户；
● 呼入、呼出话务量最大的IP电话网关；
● IP电话网关所处位置（国内、香港还是加拿大等）。
2.非法VoIP封堵
检测并分析到非法的VoIP电话网关后，对于本网用户所架设的IP电话网关，我们可以与公安部门取得联系，进行上门查封。但由于人力、物力有限，是否可采用其他方式呢？如直接对其进行网络层次上的封堵，然后再执行相关行政手段呢？另外检测到的大部分IP电话网关不属于本网用户，如其他运营商、其他国家，是否可以对其进行控制以及如何控制呢？
在这里，我们提出了多层次封堵的思路。
（1）对于网内的IP电话网关来说，我们定位到该用户，可对其实施警告，采用向其推送HTML警告页面或在其进行一个VoIP呼叫过程中，将一段已经录制好的示警语音信息播放给用户。
（2）警告后，如果在下一个时间周期内，用户仍继续其非法行为，则降低对其的服务质量，实施干扰，即用户的请求将被按比例丢弃，其VoIP的IP连接将得不到保障。
（3）干扰后，对顽固用户最终实施封堵，其所有网络请求都将被丢弃，无法成功连接。
（4）对位于其他运营商、其他城市、其他国家的IP电话网关，我们无法直接对其进行控制，但可考虑限制网内用户对其发起的连接请求，间接的阻止其正常服务的提供。
3.非法VoIP检测的意义所在
VoIP作为中国电信运营商未来的一项重要的基础通信业务，其收入占电信运营商总体收入的重要性正在逐步提高。而非法VoIP的存在，给电信运营商造成了巨大的经济损失。
根据某运营商的某个地市分公司在最近的一次检测行动中得到的数据，在持续4天的检测时间内，仅在该市的某网络节点上所采集到的非法VoIP呼叫次数即接近30000个，话务量达到150000m.按此推测，该分公司全市一年所损失的VoIP收入可达2亿人民币。
从上面可看出，由非法VoIP给电信运营商所造成的损失是很大的。而且不仅仅是经济方面，给社会也带来了一定程度的安全危害，如境外反动组织通过VoIP方式拨打用户电话，向用户宣扬其反动宣言，造成了不好的影响。
三、需关注的其他问题
我们知道，目前存在的非法VoIP运营者可能会修改其正常的协议工作端口，如H.323原本应工作在1718、1719、1720端口，修改后可能变为2718、2719、2720，这样我们就无法采集到这部分数据。这也就给我们提出了这样一个问题：对于采用非标准端口进行VoIP业务的检测如何实现？
我们认为，对于采用了非标准端口的VoIP系统，可以把其所有端口的数据都采集下来，然后再同已知的VoIP进行数据包比对，最后定然可分析出用户的VoIP通话清单。但所有数据包的完全比对，是不现实的，最好建立1套智能协议分析系统，即分析比对需要具备一定的策略，以降低系统整体投入。
采用非标准端口的VoIP系统无非是加大了数据采集、分析的工作量以及额外的系统开发。而所有非法VoIP系统采用的基础通信协议是不变的，正所谓“万变不离其宗”！
综合网管建设探讨
一、网络管理现状
从管理功能角度划分，网络管理系统分为网元管理层、子网管理层和网络管理层。网元管理层对单个网元、子网管理层对多个单个网元、网络管理层对子网间的关联系统分别实现配置管理、故障管理、性能管理、安全管理的功能。目前国内运营商的网络管理系统大部分仍然处于网元级的管理和子网级管理。
现以传送网为例，既可看出网络管理的现状。传送网是由传输线路、传输设备和相关设备组成，是通信网的基础网络。根据服务的地域，传送网可以分为长途传送网和本地传送网，长途传送网又可分为省际骨干传送网和省内骨干传送网。
1.省际骨干传送网
省际骨干传送网负责为省会城市及汇接节点城市提供大容量省际传输电路和通道，通常采用密集波分系统DWDM和高速率的SDH设备构成环状网，网管的设置有很多形式，主要是依据网络结构和设备的所属厂家，因目前各厂家的网管系统互不兼容，即某一厂家的网管系统还不能管理其他厂家的设备，所以每个运营商都有多套干线网管系统。
2.省内骨干传送网
省内骨干传送网负责为本省各城市之间提供传输电路以及通道，连接省内各本地传送网道，通常采用密集波分系统DWDM和高速率的SDH设备构成环状网或链状网，同样也是依据网络结构和设备的所属厂家设置网管系统，每个省一般都有多套省内干线网管系统。
3.本地传送网
本地传送网负责为本地区提供传输电路以及通道。通常采用高速率SDH设备构成环状网或链状网，同一城市内一般采用同一厂家设备只设置1套网管系统。
由此可见传送网在全国就有数10套网管，分别负责省际骨干传送网、省内骨干传送网和本地传送网的配置管理、故障管理、性能管理和安全管理。
二、综合网管的建设
我国现阶段网络管理水平与世界先进国家相比有较大差距，如何发展、建设是各运营商面临的很重要的问题。
因此综合管理网的建设必须考虑现有网络情况及今后的网络运行与维护管理体制。为实现网络集中管理、集中监控，综合网管建设可分为三个阶段：省级专业网管建设、全国专业网管建设和综合网管建设，并根据每个阶段的情况制定每个阶段所要达到的目标。
1.省级各专业网络级网管建设
目前，国内各运营商通信网络的网管系统基本上是按照专业设置的，同一专业在省内既有本地网网管，又有区域网网管和省网网管，即处于网元级网管和子网级网管状态。若开通1条省内出租电路业务，至少要分别登录3套传输网管系统进行资源使用情况查询及电路配置，即本地传输网网管系统-省传输网网管系统 -本地传输网网管系统。
电信管理网的目标之一是实现一站式服务，为实现这一最终目标首先应在各省建设各专业网络级网管系统，在省一级达到各专业设备的集中监控、集中维护和集中管理。综合专业网管如图1所示。
2.全国网管中心各专业网管建设
目前，国内各运营商全国网管中心的网管系统也基本上是按照专业设置的，同一专业设有不同区域内的干线网管系统，同样也处于网元级网管和子网级网管状态。若开通1条省际出租电路业务，至少要登录5套传输网管系统查询资源使用情况及进行电路配置，即本地传输网网管系统-省传输网网管系统-省际传输网管系统-省传输网网管系统-本地传输网网管系统；若是在省级各专业网管已建成的情况下，也要至少要登录3套传输网管系统查询资源使用情况及进行电路配置，即省级传输专业网管系统-省际传输网管系统-省级传输专业网管系统。
在省级各专业网管系统已建成的基础上，建设全国各专业网管系统，在全国范围达到各专业设备及业务的集中监控、集中维护和集中管理。
3.综合网管建设
经过省级各专业网管建设和全国网管中心各专业网管建设虽然实现了全国范围内各专业网络的集中监控、集中维护和集中管理，但各个专业网管系统之间信息无法互通，不利于故障的迅速定位、各专业资源的统一调配等，因而需要建设管理各专业网络的综合网管。
全国综合网管是建在全国各专业网管基础之上，因各专业网管基本上在同一楼内，所以通过局域网既可建设全国综合网管。各级网管至少要有Q3、CORBA等标准接口。
Q3接口是网管互通的标准接口，它不仅包括OSI（Open Systems Interconnection）从第一层到第七层的通信协议，而且还包括在第七层中的管理信息和管理信息模型MIB（Management Information Base），通过标准Q3接口，提供信息上报、查询和管理各种操作的功能。
CORBA接口，作为与高层网管的接口之一，是一种支持分布式网络管理功能技术，CORBA也是支持服务管理环境的战略性技术框架。
构建综合网管的关键是实现不同专业、同一专业不同厂家网管的兼容、互操作性。
互操作就要实现统一的结构标准、标准的接口规定、一致的路由选择方式、统一的编号规则和寻址原则、标准化的信息模型。就目前情况看，尽管标准化工作已经有了很重要的进展，但距真正性的互操作还有很大的距离，关键在于信息模型。
传输网SDH的运行、管理和维护（OAM）信息是靠其帧结构中的开销字节来传送的，图2所示为STM-1段开销（SOH）示意图。
其中D1-D12为数据通信通路（DCC），D1-D3字节为再生段DCC，用于再生段之间的交流OAM信息，速率为 192kbit/s（3×64kbit/s），D4-D12字节为复用段DCC，用于复用段之间的交流OAM信息，速率为576kbit /s（9×64kbit/s）。这总共768kbit/s的数据通路为SDH网的网管和控制提供了强大的通信基础结构。DCC是网管的物理通道，有自己的协议栈。
为了在SDH的DCC上传送OAM信息，SDH网络选择了一套类似七层协议栈来满足应用要求。它符合开放系统管理所采用的面向目标的方法，即应用层含公用管理信息服务单元（CMISE）、远端操作服务单元（ROSE）和联系服务控制单元（ACSE）。该协议栈是面向无连接方式的，同时其表示层、会晤层和传送层提供了为支持ROSE和ACSE所需的面向连接的服务，数据链路层遵循Q.921所规定的D通道链路接入规程，物理层为SDH的DCC.
其中在第七层中设置的公用管理信息单元（CMISE）是面向目标的服务和协议的典范，它定义了面向目标的消息结构和操作目标，使不同网管系统和设备间互操作的实现比较容易。但不同的厂家对其设计与开发不尽相同，造成不能互操作。作为厂家他们为保障自己的市场与利益不太重视互操作性，而作为运营商为提高服务品质，必须注重提高网络的管理功能，从这一角度来说，不同网管系统和设备间互操作的实现是要靠运营商的推动。
三、小 结
总之，综合网管建设是一项长期、复杂的工作，按照专业及区域分阶段进行建设，不但可满足当前的一些业务需求，而且可降低软件开发的难度（因不同专业的综合网管软件开发难于同一专业不同厂家设备网管的软件开发），从而降低了投资风险。
工商网监
评论