非法VoIP檢測的實現(xiàn) - 如何進(jìn)行真正有效的3G互操作測試？

　　二、非法VoIP檢測的實現(xiàn)

　　1.檢測及分析

　　我們主要采集H.323、MGCP、SIP三類協(xié)議的VoIP，分別在主叫、被叫兩個方向進(jìn)行，同一時間段內(nèi)將會有多條采集記錄。圖1是多個VoIP連接的簡略圖，忽略了IP電話網(wǎng)關(guān)和傳統(tǒng)程控交換網(wǎng)之間的連接。

　　Gateway1、Gateway2代表IP電話網(wǎng)關(guān)，它們位于不同的地點，一般是不同的城市甚至國家。我們假設(shè)Gateway1代表本地的媒體網(wǎng)關(guān)，也是我們需要采集數(shù)據(jù)的關(guān)注點，是需要檢測的網(wǎng)關(guān)。

　　假設(shè)user1用戶撥打VoIP進(jìn)行呼叫userA，Gateway1會向Gateway2發(fā)起VoIP連接請求，我們會記錄下這條數(shù)據(jù)，這就是主叫方向的記錄。源IP就是Gateway1的IP，目的IP就是Gateway2的IP.而同一時間內(nèi)可能user2也在呼叫userB，user3 也在呼叫userC，因此會有多條采集記錄，雖然他們的源IP和目的IP都相同。

　　假設(shè)userA從外地?fù)艽騐oIP呼叫user1，從Gateway2過來的連接請求，Gateway1需要應(yīng)答，我們會記錄下這條應(yīng)答，這就是被叫方向的記錄。源IP還是gateway1的IP，目的IP還是gateway2的IP.而同一時間內(nèi)可能userB也在呼叫user2，userC 也在呼叫user3，因此會有多條采集記錄，雖然他們的源IP和目的IP都相同。

　　檢測是否有用戶在使用基于H.233、SIP、MGCP的VoIP或者提供基于H.323、MGCP、SIP的VoIP服務(wù)的檢測步驟如下：

　?。?）數(shù)據(jù)采集，通過某種方式將流經(jīng)電信寬帶網(wǎng)上的源端口號和目的端口號分別為1718、1719、1720、5060、2427、2727的數(shù)據(jù)包采集下來， 即包括主叫、被叫兩個方向的記錄。采集的主要內(nèi)容有源IP、目的IP、源端口、目的端口、用戶注冊名稱、會話標(biāo)志、會話發(fā)生時間；

　?。?）數(shù)據(jù)上傳，將數(shù)據(jù)上傳到后臺分析系統(tǒng)；

　?。?）數(shù)據(jù)入庫，將數(shù)據(jù)文件存入到數(shù)據(jù)庫中；

　?。?）數(shù)據(jù)分析，對數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行統(tǒng)計分析，結(jié)合事先設(shè)計好的一些設(shè)定，得到非法VoIP的可疑名單；

　?。?）統(tǒng)計分析，根據(jù)分析出的可疑名單，給出IP電話呼叫詳單以及其他相關(guān)的統(tǒng)計分析報表。

　　詳細(xì)的分析舉例如下：

　?。?）統(tǒng)計某一個源IP在某一時間段內(nèi)作為被叫方的會話次數(shù)，假設(shè)值為A;

　?。?）統(tǒng)計某一個源IP在某一時間段內(nèi)作為主叫方的會話次數(shù)，假設(shè)值為B;

　?。?）統(tǒng)計某一個目的IP在某一時間段內(nèi)作為被叫方的會話次數(shù)，假設(shè)值為C;

　?。?）統(tǒng)計某一個目的IP在某一時間段內(nèi)作為主叫方的會話次數(shù)，假設(shè)值為D;

　?。?）假設(shè)有三個預(yù)設(shè)的判斷閥值，分別為被叫次數(shù)閥值H1、主叫次數(shù)閥值H2、主被叫閥值H3.

　　則根據(jù)如上統(tǒng)計值，非法VoIP的可疑名單為：

　　● A或C值大于等于H1的所有用戶；

　　● B或D值大于等于H2的所有用戶；

　　● A+B或C+D值大于等于H3的所有用戶。

　　根據(jù)檢測結(jié)果，給出如下報表：

　　● 呼叫詳單，包括賬號、IP地址、通話時長；

　　● 主叫、被叫話務(wù)量最大的用戶；

　　● 呼入、呼出話務(wù)量最大的IP電話網(wǎng)關(guān)；

　　● IP電話網(wǎng)關(guān)所處位置（國內(nèi)、香港還是加拿大等）。

　　2.非法VoIP封堵

　　檢測并分析到非法的VoIP電話網(wǎng)關(guān)后，對于本網(wǎng)用戶所架設(shè)的IP電話網(wǎng)關(guān)，我們可以與公安部門取得聯(lián)系，進(jìn)行上門查封。但由于人力、物力有限，是否可采用其他方式呢？如直接對其進(jìn)行網(wǎng)絡(luò)層次上的封堵，然后再執(zhí)行相關(guān)行政手段呢？另外檢測到的大部分IP電話網(wǎng)關(guān)不屬于本網(wǎng)用戶，如其他運營商、其他國家，是否可以對其進(jìn)行控制以及如何控制呢？

　　在這里，我們提出了多層次封堵的思路。

　?。?）對于網(wǎng)內(nèi)的IP電話網(wǎng)關(guān)來說，我們定位到該用戶，可對其實施警告，采用向其推送HTML警告頁面或在其進(jìn)行一個VoIP呼叫過程中，將一段已經(jīng)錄制好的示警語音信息播放給用戶。

　?。?）警告后，如果在下一個時間周期內(nèi)，用戶仍繼續(xù)其非法行為，則降低對其的服務(wù)質(zhì)量，實施干擾，即用戶的請求將被按比例丟棄，其VoIP的IP連接將得不到保障。

　?。?）干擾后，對頑固用戶最終實施封堵，其所有網(wǎng)絡(luò)請求都將被丟棄，無法成功連接。

　?。?）對位于其他運營商、其他城市、其他國家的IP電話網(wǎng)關(guān)，我們無法直接對其進(jìn)行控制，但可考慮限制網(wǎng)內(nèi)用戶對其發(fā)起的連接請求，間接的阻止其正常服務(wù)的提供。

　　3.非法VoIP檢測的意義所在

　　VoIP作為中國電信運營商未來的一項重要的基礎(chǔ)通信業(yè)務(wù)，其收入占電信運營商總體收入的重要性正在逐步提高。而非法VoIP的存在，給電信運營商造成了巨大的經(jīng)濟損失。

　　根據(jù)某運營商的某個地市分公司在最近的一次檢測行動中得到的數(shù)據(jù)，在持續(xù)4天的檢測時間內(nèi)，僅在該市的某網(wǎng)絡(luò)節(jié)點上所采集到的非法VoIP呼叫次數(shù)即接近30000個，話務(wù)量達(dá)到150000m.按此推測，該分公司全市一年所損失的VoIP收入可達(dá)2億人民幣。

　　從上面可看出，由非法VoIP給電信運營商所造成的損失是很大的。而且不僅僅是經(jīng)濟方面，給社會也帶來了一定程度的安全危害，如境外反動組織通過VoIP方式撥打用戶電話，向用戶宣揚其反動宣言，造成了不好的影響。

　　三、需關(guān)注的其他問題

　　我們知道，目前存在的非法VoIP運營者可能會修改其正常的協(xié)議工作端口，如H.323原本應(yīng)工作在1718、1719、1720端口，修改后可能變?yōu)?718、2719、2720，這樣我們就無法采集到這部分?jǐn)?shù)據(jù)。這也就給我們提出了這樣一個問題：對于采用非標(biāo)準(zhǔn)端口進(jìn)行VoIP業(yè)務(wù)的檢測如何實現(xiàn)？

　　我們認(rèn)為，對于采用了非標(biāo)準(zhǔn)端口的VoIP系統(tǒng)，可以把其所有端口的數(shù)據(jù)都采集下來，然后再同已知的VoIP進(jìn)行數(shù)據(jù)包比對，最后定然可分析出用戶的VoIP通話清單。但所有數(shù)據(jù)包的完全比對，是不現(xiàn)實的，最好建立1套智能協(xié)議分析系統(tǒng)，即分析比對需要具備一定的策略，以降低系統(tǒng)整體投入。

　　采用非標(biāo)準(zhǔn)端口的VoIP系統(tǒng)無非是加大了數(shù)據(jù)采集、分析的工作量以及額外的系統(tǒng)開發(fā)。而所有非法VoIP系統(tǒng)采用的基礎(chǔ)通信協(xié)議是不變的，正所謂“萬變不離其宗”！

　　綜合網(wǎng)管建設(shè)探討

　　一、網(wǎng)絡(luò)管理現(xiàn)狀

　　從管理功能角度劃分，網(wǎng)絡(luò)管理系統(tǒng)分為網(wǎng)元管理層、子網(wǎng)管理層和網(wǎng)絡(luò)管理層。網(wǎng)元管理層對單個網(wǎng)元、子網(wǎng)管理層對多個單個網(wǎng)元、網(wǎng)絡(luò)管理層對子網(wǎng)間的關(guān)聯(lián)系統(tǒng)分別實現(xiàn)配置管理、故障管理、性能管理、安全管理的功能。目前國內(nèi)運營商的網(wǎng)絡(luò)管理系統(tǒng)大部分仍然處于網(wǎng)元級的管理和子網(wǎng)級管理。

　　現(xiàn)以傳送網(wǎng)為例，既可看出網(wǎng)絡(luò)管理的現(xiàn)狀。傳送網(wǎng)是由傳輸線路、傳輸設(shè)備和相關(guān)設(shè)備組成，是通信網(wǎng)的基礎(chǔ)網(wǎng)絡(luò)。根據(jù)服務(wù)的地域，傳送網(wǎng)可以分為長途傳送網(wǎng)和本地傳送網(wǎng)，長途傳送網(wǎng)又可分為省際骨干傳送網(wǎng)和省內(nèi)骨干傳送網(wǎng)。

　　1.省際骨干傳送網(wǎng)

　　省際骨干傳送網(wǎng)負(fù)責(zé)為省會城市及匯接節(jié)點城市提供大容量省際傳輸電路和通道，通常采用密集波分系統(tǒng)DWDM和高速率的SDH設(shè)備構(gòu)成環(huán)狀網(wǎng)，網(wǎng)管的設(shè)置有很多形式，主要是依據(jù)網(wǎng)絡(luò)結(jié)構(gòu)和設(shè)備的所屬廠家，因目前各廠家的網(wǎng)管系統(tǒng)互不兼容，即某一廠家的網(wǎng)管系統(tǒng)還不能管理其他廠家的設(shè)備，所以每個運營商都有多套干線網(wǎng)管系統(tǒng)。

　　2.省內(nèi)骨干傳送網(wǎng)

　　省內(nèi)骨干傳送網(wǎng)負(fù)責(zé)為本省各城市之間提供傳輸電路以及通道，連接省內(nèi)各本地傳送網(wǎng)道，通常采用密集波分系統(tǒng)DWDM和高速率的SDH設(shè)備構(gòu)成環(huán)狀網(wǎng)或鏈狀網(wǎng)，同樣也是依據(jù)網(wǎng)絡(luò)結(jié)構(gòu)和設(shè)備的所屬廠家設(shè)置網(wǎng)管系統(tǒng)，每個省一般都有多套省內(nèi)干線網(wǎng)管系統(tǒng)。

　　3.本地傳送網(wǎng)

　　本地傳送網(wǎng)負(fù)責(zé)為本地區(qū)提供傳輸電路以及通道。通常采用高速率SDH設(shè)備構(gòu)成環(huán)狀網(wǎng)或鏈狀網(wǎng)，同一城市內(nèi)一般采用同一廠家設(shè)備只設(shè)置1套網(wǎng)管系統(tǒng)。

　　由此可見傳送網(wǎng)在全國就有數(shù)10套網(wǎng)管，分別負(fù)責(zé)省際骨干傳送網(wǎng)、省內(nèi)骨干傳送網(wǎng)和本地傳送網(wǎng)的配置管理、故障管理、性能管理和安全管理。

　　二、綜合網(wǎng)管的建設(shè)

　　我國現(xiàn)階段網(wǎng)絡(luò)管理水平與世界先進(jìn)國家相比有較大差距，如何發(fā)展、建設(shè)是各運營商面臨的很重要的問題。

　　因此綜合管理網(wǎng)的建設(shè)必須考慮現(xiàn)有網(wǎng)絡(luò)情況及今后的網(wǎng)絡(luò)運行與維護(hù)管理體制。為實現(xiàn)網(wǎng)絡(luò)集中管理、集中監(jiān)控，綜合網(wǎng)管建設(shè)可分為三個階段：省級專業(yè)網(wǎng)管建設(shè)、全國專業(yè)網(wǎng)管建設(shè)和綜合網(wǎng)管建設(shè)，并根據(jù)每個階段的情況制定每個階段所要達(dá)到的目標(biāo)。

　　1.省級各專業(yè)網(wǎng)絡(luò)級網(wǎng)管建設(shè)

　　目前，國內(nèi)各運營商通信網(wǎng)絡(luò)的網(wǎng)管系統(tǒng)基本上是按照專業(yè)設(shè)置的，同一專業(yè)在省內(nèi)既有本地網(wǎng)網(wǎng)管，又有區(qū)域網(wǎng)網(wǎng)管和省網(wǎng)網(wǎng)管，即處于網(wǎng)元級網(wǎng)管和子網(wǎng)級網(wǎng)管狀態(tài)。若開通1條省內(nèi)出租電路業(yè)務(wù)，至少要分別登錄3套傳輸網(wǎng)管系統(tǒng)進(jìn)行資源使用情況查詢及電路配置，即本地傳輸網(wǎng)網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng) -本地傳輸網(wǎng)網(wǎng)管系統(tǒng)。

　　電信管理網(wǎng)的目標(biāo)之一是實現(xiàn)一站式服務(wù)，為實現(xiàn)這一最終目標(biāo)首先應(yīng)在各省建設(shè)各專業(yè)網(wǎng)絡(luò)級網(wǎng)管系統(tǒng)，在省一級達(dá)到各專業(yè)設(shè)備的集中監(jiān)控、集中維護(hù)和集中管理。綜合專業(yè)網(wǎng)管如圖1所示。

　　2.全國網(wǎng)管中心各專業(yè)網(wǎng)管建設(shè)

　　目前，國內(nèi)各運營商全國網(wǎng)管中心的網(wǎng)管系統(tǒng)也基本上是按照專業(yè)設(shè)置的，同一專業(yè)設(shè)有不同區(qū)域內(nèi)的干線網(wǎng)管系統(tǒng)，同樣也處于網(wǎng)元級網(wǎng)管和子網(wǎng)級網(wǎng)管狀態(tài)。若開通1條省際出租電路業(yè)務(wù)，至少要登錄5套傳輸網(wǎng)管系統(tǒng)查詢資源使用情況及進(jìn)行電路配置，即本地傳輸網(wǎng)網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng)-省際傳輸網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng)-本地傳輸網(wǎng)網(wǎng)管系統(tǒng)；若是在省級各專業(yè)網(wǎng)管已建成的情況下，也要至少要登錄3套傳輸網(wǎng)管系統(tǒng)查詢資源使用情況及進(jìn)行電路配置，即省級傳輸專業(yè)網(wǎng)管系統(tǒng)-省際傳輸網(wǎng)管系統(tǒng)-省級傳輸專業(yè)網(wǎng)管系統(tǒng)。

　　在省級各專業(yè)網(wǎng)管系統(tǒng)已建成的基礎(chǔ)上，建設(shè)全國各專業(yè)網(wǎng)管系統(tǒng)，在全國范圍達(dá)到各專業(yè)設(shè)備及業(yè)務(wù)的集中監(jiān)控、集中維護(hù)和集中管理。

　　3.綜合網(wǎng)管建設(shè)

　　經(jīng)過省級各專業(yè)網(wǎng)管建設(shè)和全國網(wǎng)管中心各專業(yè)網(wǎng)管建設(shè)雖然實現(xiàn)了全國范圍內(nèi)各專業(yè)網(wǎng)絡(luò)的集中監(jiān)控、集中維護(hù)和集中管理，但各個專業(yè)網(wǎng)管系統(tǒng)之間信息無法互通，不利于故障的迅速定位、各專業(yè)資源的統(tǒng)一調(diào)配等，因而需要建設(shè)管理各專業(yè)網(wǎng)絡(luò)的綜合網(wǎng)管。

　　全國綜合網(wǎng)管是建在全國各專業(yè)網(wǎng)管基礎(chǔ)之上，因各專業(yè)網(wǎng)管基本上在同一樓內(nèi)，所以通過局域網(wǎng)既可建設(shè)全國綜合網(wǎng)管。各級網(wǎng)管至少要有Q3、CORBA等標(biāo)準(zhǔn)接口。

　　Q3接口是網(wǎng)管互通的標(biāo)準(zhǔn)接口，它不僅包括OSI（Open Systems Interconnection）從第一層到第七層的通信協(xié)議，而且還包括在第七層中的管理信息和管理信息模型MIB（Management Information Base），通過標(biāo)準(zhǔn)Q3接口，提供信息上報、查詢和管理各種操作的功能。

　　CORBA接口，作為與高層網(wǎng)管的接口之一，是一種支持分布式網(wǎng)絡(luò)管理功能技術(shù)，CORBA也是支持服務(wù)管理環(huán)境的戰(zhàn)略性技術(shù)框架。

　　構(gòu)建綜合網(wǎng)管的關(guān)鍵是實現(xiàn)不同專業(yè)、同一專業(yè)不同廠家網(wǎng)管的兼容、互操作性。

　　互操作就要實現(xiàn)統(tǒng)一的結(jié)構(gòu)標(biāo)準(zhǔn)、標(biāo)準(zhǔn)的接口規(guī)定、一致的路由選擇方式、統(tǒng)一的編號規(guī)則和尋址原則、標(biāo)準(zhǔn)化的信息模型。就目前情況看，盡管標(biāo)準(zhǔn)化工作已經(jīng)有了很重要的進(jìn)展，但距真正性的互操作還有很大的距離，關(guān)鍵在于信息模型。

　　傳輸網(wǎng)SDH的運行、管理和維護(hù)（OAM）信息是靠其幀結(jié)構(gòu)中的開銷字節(jié)來傳送的，圖2所示為STM-1段開銷（SOH）示意圖。

　　其中D1-D12為數(shù)據(jù)通信通路（DCC），D1-D3字節(jié)為再生段DCC，用于再生段之間的交流OAM信息，速率為 192kbit/s（3×64kbit/s），D4-D12字節(jié)為復(fù)用段DCC，用于復(fù)用段之間的交流OAM信息，速率為576kbit /s（9×64kbit/s）。這總共768kbit/s的數(shù)據(jù)通路為SDH網(wǎng)的網(wǎng)管和控制提供了強大的通信基礎(chǔ)結(jié)構(gòu)。DCC是網(wǎng)管的物理通道，有自己的協(xié)議棧。

　　為了在SDH的DCC上傳送OAM信息，SDH網(wǎng)絡(luò)選擇了一套類似七層協(xié)議棧來滿足應(yīng)用要求。它符合開放系統(tǒng)管理所采用的面向目標(biāo)的方法，即應(yīng)用層含公用管理信息服務(wù)單元（CMISE）、遠(yuǎn)端操作服務(wù)單元（ROSE）和聯(lián)系服務(wù)控制單元（ACSE）。該協(xié)議棧是面向無連接方式的，同時其表示層、會晤層和傳送層提供了為支持ROSE和ACSE所需的面向連接的服務(wù)，數(shù)據(jù)鏈路層遵循Q.921所規(guī)定的D通道鏈路接入規(guī)程，物理層為SDH的DCC.

　　其中在第七層中設(shè)置的公用管理信息單元（CMISE）是面向目標(biāo)的服務(wù)和協(xié)議的典范，它定義了面向目標(biāo)的消息結(jié)構(gòu)和操作目標(biāo)，使不同網(wǎng)管系統(tǒng)和設(shè)備間互操作的實現(xiàn)比較容易。但不同的廠家對其設(shè)計與開發(fā)不盡相同，造成不能互操作。作為廠家他們?yōu)楸Ｕ献约旱氖袌雠c利益不太重視互操作性，而作為運營商為提高服務(wù)品質(zhì)，必須注重提高網(wǎng)絡(luò)的管理功能，從這一角度來說，不同網(wǎng)管系統(tǒng)和設(shè)備間互操作的實現(xiàn)是要靠運營商的推動。

　　三、小 結(jié)

　　總之，綜合網(wǎng)管建設(shè)是一項長期、復(fù)雜的工作，按照專業(yè)及區(qū)域分階段進(jìn)行建設(shè)，不但可滿足當(dāng)前的一些業(yè)務(wù)需求，而且可降低軟件開發(fā)的難度（因不同專業(yè)的綜合網(wǎng)管軟件開發(fā)難于同一專業(yè)不同廠家設(shè)備網(wǎng)管的軟件開發(fā)），從而降低了投資風(fēng)險。