|
|
FlowVision应用方案系列
FlowVision--基于NetFlow的流量分析系统
非法VoIP侦测与统计 |
灵活定制和定义
FlowVision是纯软件系统，无论是功能、界面、还是系统部署上都非常灵活，可根据用户的需求进行定制。数据采集可采用Cisco NFC，实现对多种网络设备的快速高效和低成本的数据采集及汇总、归并、过滤、关联和预处理，同时可对采集参量进行灵活的定义。
低成本
FlowVision特殊设计的核心算法，即便是普通的PC服务器也能提供每分钟百万级的流量记录处理；并可根据具体需求，选择最适合的硬件配置，在必要时进行升级，建设和维护成本低廉。
大规模部署
FlowVision无论其采集系统、还是分析引擎，都可集中或分布式部署，且由于数据采集 系统CiscoNFC为非介入式(non-intrusive)，则一个采集单元可对多个目标设备进行数据采集。因此无论从部署的结构还是部署的成本上，FlowVision都能以较低的成本部署于大型网络中。
高性能和扩充性
FlowVision高性能的计算引擎使得其每分钟可对数百万的流量记录进行准实时的处理；同时通用运行平台使得扩充非常容易，仅需要扩充CPU数、内存和磁盘容量，即可大大提高系统的处理能力。
|
挑战与问题
非法VoIP： 这里所说的非法VoIP服务是按照经营主体进行分类的，包括三类：一是利用宽带接入线路，开设地下IP话吧，以PC-Phone的方式提供VoIP服务，即我们通常说的黑话吧（下图虚线方框部分）；第二类是架设VoIP关守或信令代理，提供PC-PC和PC-Phone的服务（图中虚线椭圆部分）即通常所谓的虚拟运营商。这两类经营活动分别处于同一服务链的上下游。再一类就是利用固话中继线资源和私自架设的语音网关，为虚拟运用商尤其是境外的VoIP服务商提供落地服务（图中虚线圆部分），此类经营活动通常是运营商的基层分公司或一些有互联网链路的电话声讯信息台私下进行的。
话费流失：VoIP作为电信运营商未来重要的基础通信业务，其收入占运营商总收入的比例正逐步提高，发展势头日益强劲，而与此同时非法VoIP的存在和迅猛发展，给运营商造成了巨大的经济损失。据某运营商的某个地市分公司在最近的一次检测行动中得到的数据显示，仅在该市的某网络节点上持续4天内所检测到的非法VoIP呼叫次数即接近30000个，话务量达到150000分钟。按此推测，该分公司全市一年所损失的VoIP收入可达2亿人民币；又据网上的新闻说，“广东电信一份内部调查资料显示，仅深圳一地，每个月就有上千万国际长途话务因为这类非法VoIP而流失”。尽管上述推测不尽合理，数据也不一定很准确，但话务流失的严重程度是不争的事实。
存在问题：运营商要有效地封堵或者限制这些非法VoIP，除了可能遇到政策方面的问题，还存在由于接入位置的分散、呼叫数量巨大，而造成的在原始数据采集和分析计算方面的问题。
|
FlowVision--追踪VoIP呼叫源头
FlowVision系统中，可将采集系统(Cisco NFC)部署在网络的接入层或分布层或核心层，并采用非介入式(non-intrusive)采集手段汇总原本是分散的数据记录文件(NetFlow流数据记录)。而FlowVision高性能的分析引擎，快速检测所有这些IP数据记录，并根据VoIP呼叫数据包的特征，从“浩瀚”的IP数据包中分离出具有VoIP特征的呼叫记录、呼叫源头和目的地(AS或IP地址)，并进一步分析可以得到疑似的非法语音网关/IP语音终端或者VoIP关守/信令代理服务器的IP地址。
FlowVision支持基于H.323、MGCP、SIP等VoIP协议，生成VoIP呼叫的黑白IP地址名单、呼叫端口、时间等，以方便运营商采取合适的封堵手段，参见下图所示的连接结构 |
|
配置和部署
FlowVision运行于PC/Linux服务器上，配置2-4CPU,不小于2GB内存和不小于120GB硬盘；数据库系统为MySQL或Oracle。
? 数据采集可采用Cisco NFC，实现对多种网络设备的快速和低成本的数据采集及汇总，并进行归并、过滤、关联和预处理，以及灵活的采集参数定义。
? 采集系统安装位置尽量靠近发送流量数据包的路由器；或依据网络结构和流量规模，集中地安装在网络中心。
? 在相关路由器上，打开NetFlow 功能，NetFlow的采样比尽可能小一些，以保证数据的精确性；如果流量过大，则可适当调整采样比，以适应数据处理规模的要求。
|
