Как с помощью BRAS и DPI интернет-провайдеры удерживают абонентов. DPI готовится к новой волне

Предназначенные для фильтрации интернет-трафика и блокировки противоправного контента DPI-системы дают богатый инструментарий операторским службам эксплуатации и маркетинга, уверен Александр Орлов, эксперт Центра сетевых решений компании «Инфосистемы Джет».

Российский рынок DPI-систем (deep packet inspection - накопление статистических данных, проверка и фильтрация сетевых пакетов по их содержимому) сравнительно молод. Какие драйверы и тормозящие факторы его развития можно выделить?

Первый драйвер - принятая 3GPP (3rd Generation Partnership Project) концепция развития сетей 3G и 4G, неотъемлемым элементом которой являются системы DPI. В России подъем интереса к этим системам полтора-два года назад подстегнуло законодательство, потребовавшее от операторов ограничивать доступ абонентов к противоправному контенту в интернете. DPI осуществляет глубокий анализ трафика и в соответствии с поставленными задачами обеспечивает их выполнение. Так, на одном IP-адресе может находиться 3 тыс. доменов, из которых лишь один содержит противоправный контент. Именно его и нужно заблокировать. И только DPI может его "отловить" и закрыть к нему доступ. Все законы, требующие фильтрации трафика и блокировки интернет-ресурсов, так или иначе, связаны с решениями DPI или "около-DPI". Под последними я подразумеваю решения, которые изначально не предназначались для фильтрации, но сейчас их пытаются приспособить к решению этой задачи, поскольку имеющиеся на рынке промышленные DPI-решения, как правило, не вписываются по цене в бюджеты средних и маленьких компаний.

- Чем объясняется высокая "цена вопроса"?

Коробочное аппаратно-программное решение DPI позволяет обрабатывать колоссальные объемы трафика - 100−200−300 Гбит/с. Это действительно решение операторского класса, и стоимость систем каждого из трех основных игроков российского рынка DPI (Allot Communications, Procera Networks, Sandvine) исчисляется сотнями тысяч долларов для крупных операторов. Для небольшого оператора цена составит не больше $100 тыс., но и это для него составляет уже критичную сумму. Поэтому маленькие операторы вынуждены искать альтернативные пути, использовать "наколенные" решения и проч. Так или иначе они должны что-то придумать, потому что наше законодательство довольно строго спрашивает с операторов, которые не выполняют предписания 139-ФЗ (закон о "черных списках"), 149-ФЗ (об информации, информационных технологиях и о защите информации), 187-ФЗ ("антипиратский закон").

- Такие мелкие операторы могут брать DPI как услугу у крупных?

У одного большого оператора, насколько мне известно, уже есть заказчики такого сервиса - "нижестоящие" провайдеры. Для них это возможность не тратить больших денег на покупку собственного решения, а крупный оператор может таким образом монетизировать уже внедренное решение по блокировке трафика.

- Помимо карающего меча закона, какие еще существуют движущие факторы внедрения DPI-систем?

- DPI-систему можно установить раз и навсегда и "забыть" о ней?

Это было бы идеально для всех. Но если система используется по своему прямому назначению, для распознавания и классификации трафика, а не только для исполнения буквы закона, то приходится постоянно обновлять сигнатуры. Приложения и трафик все время меняются - и вряд ли кому интересно решение, которое уже через год не сможет "видеть", какой трафик идет через сеть, какое приложение сколько места занимает в общем канале емкости и т.д.

Смогут ли операторы, построившие сети 3G и строящие теперь 4G, использовать уже внедренные DPI-системы и на новых сетях?

Для оператора теоретически ничего поменяться не должно. Возможно, решение придется умощнить, поскольку через сеть пойдет больший объем трафика, но не вижу проблем использовать ту же самую инфраструктуру, потому что точка выхода из сети будет одна и та же.

Очевидно, что применение DPI ориентировано на массовый рынок. Для корпоративного сектора эти системы неактуальны?

Корпоративными заказчиками DPI-решения пока мало востребованы. Однако сейчас появляются DPI Next Generation − обычные карточки PCI Express, которые вставляются в сервер, на который также ставится программный движок, и это все работает в комплексе. Цена вопроса значительно снижается, но и функциональность падает. Такое устройство не сможет обрабатывать 50−100 Гбит/с трафика, но для корпоративной сети с запасом хватит и 3−4 Гбит/с. Мы работаем с производителями таких решений и надеемся получить их на тестирование в ближайшее время. Думаю, они заинтересуют корпоративных заказчиков.

- Какова роль системных интеграторов на этом рынке?

Системные интеграторы выступают в роли консультантов, поставщиков, проектировщиков, а также вполне могут выполнять функции техподдержки первой линии для заказчика. Ни один из "большой тройки" DPI-вендоров не имеет в России своего физического представительства (офиса со штатом сотрудников, со службой техподдержки). При возникновении серьезной проблемы интегратор направляет запрос вендору, который его отрабатывает в своей лаборатории и передает решение партнеру-интегратору. А тот, в свою очередь, − заказчику.

- Насколько высок в сегменте DPI уровень конкуренции среди интеграторов?

Сейчас начинается активная конкуренция, и самым весомым конкурентным преимуществом является опыт реализации таких проектов, практика. На рынке пока немного специалистов имеют компетенции по DPI, умеют с ними работать и, главное, понимают, для чего они нужны. Разумеется, системному интегратору важно иметь штат специалистов, обладающих необходимой квалификацией. Специалисты нашей компании, например, прошли обучение у вендоров, у них есть необходимые знания.

Но решающим фактором считаю все же опыт. Например, мы выполнили проект по созданию платформы управления трафиком, основанный на применении технологий DPI для «ВымпелКома». В ходе которого мы устанавливали и настраивали программно-аппаратные комплексы DPI PacketLogic компании Procera Networks на 40 самых загруженных узлах магистральной сети. А по завершению монтажа − сформировали правила и политики, включили функцию сбора статистики, на основании которой правила управления трафиком корректировались для каждого конкретного города. Иначе говоря, мы обеспечили интеллектуальную часть и экспертизу, а также прорисовку перспектив развития проекта, потому что внедренное решение, по своей сути − очень мощный инструмент, позволяющий оператору проводить качественный и количественный анализ структуры трафика, эффективно управлять им, оптимизировать нагрузку на каналы магистральной сети, и, как следствие, повысить качество услуг, предоставляемых абонентам.

Кроме этого компания обладает значительным опытом реализации проектов в телекоммуникационной отрасли, выполненных для ведущих телеком-операторов Росси и стран СНГ.

К настоящему времени "большая тройка" уже внедрила DPI-системы, "Ростелеком" планирует завершить внедрение в 2014 г. Но у нас в России действующих лицензий на услуги связи больше 80 тыс. Это все потенциальные заказчики DPI?

Я бы сократил эту цифру как минимум вдвое, но в любом случае потенциальный рынок очень большой. Небольших операторов очень много, хотя бы даже только в Москве. Думаю, очень скоро поднимется новая волна спроса на DPI. Сейчас рынок находится в стадии ожидания этой волны и подготовки к ней.

Беседовала Лилия Павлова

Я уже несколько лет активно занимаюсь темой DPI, осуществляя пресейл и непосредственно внедрение этих решений. Побудило меня на написание этого топика то, что тема DPI на хабре раскрыта достаточно слабо, поэтому хотелось бы немного рассказать об устройствах, которые применяют ведущие сервис-провайдеры и крупные корпоративные пользователи для интеллектуального управления трафиком в своих сетях, а также пояснить зачем им это всё надо.

Основы

Система DPI, как видно из названия, выполняет глубокий анализ всех проходящих через неё пакетов. Термин «глубокий» подразумевает анализ пакета на верхних уровнях модели OSI, а не только по стандартным номерам портов. Помимо изучения пакетов по неким стандартным паттернам, по которым можно однозначно определить принадлежность пакета определённому приложению, скажем, по формату заголовков, номерам портов и т.п., система DPI осуществляет и так называемый поведенческий анализ трафика, который позволяет распознать приложения, не использующие для обмена данными заранее известные заголовки и структуры данных. Яркий пример тому – Bittorrent. Для их идентификации осуществляется анализ последовательности пакетов, обладающими одинаковыми признаками, таким как Source_IP:port – Destination_IP:port, размер пакета, частота открытия новых сессий в единицу времени и т.д., по поведенческим (эвристическим) моделям, соответствующим таким приложениям. Естественно, сколько производителей такого железа – столько и интерпретаций поведенческих моделей соответствующих протоколов, а значит и точность детектирования также разнится. Раз речь зашла о производителях, стоит отметить, что наиболее крупными игроками и их продуктами на рынке standalone DPI являются Allot Communications , Procera Networks , Cisco , Sandvine . Всё более и более популярными становятся интегрированные в маршрутизаторы решения DPI. Так поступают многие - Cisco, Juniper, Ericsson и т.д. по списку. Такие решения, как правило, достаточно компромиссные, и не могут предоставить весь спектр сервисов, доступных standalone решениям. Однако, для большинства задач этого вполне достаточно. Софтварные продукты, крутящиеся на серверах (такие как OpenDPI) я умышленно не указываю, их рынок весьма узок и, как правило, ограничивается корпоративными/кампусными сетями, а это немного не мой профиль. Важной отличительной особенностью настоящего DPI является возможность аналитики трафика за счёт сбора различного рода статистики с разбивкой по приложениям, по тарифным планам, по регионам, по типам абонентских устройств и т.д. По этой причине замечательный NBAR имени Cisco хоть и позволяет детектировать и осуществлять контроль трафика по приложениям, полноценным решением DPI не является, т.к. в нём отсутствует ряд важных компонентов.

Система DPI, как правило, устанавливается на границе сети оператора в разрыв существующих аплинков, уходящих от пограничных маршрутизаторов. Тем самым, весь трафик, который покидает или входит в сеть оператора, проходит через DPI, что даёт возможность его мониторинга и контроля. Для решения специфических задач можно устанавливать эту систему не на границе сети, а спускать её ниже, ближе к конечным пользователям, на уровень BRAS/CMTS/GGSN/… Это может быть полезно тем операторам, которые по ряду причин помимо утилизации внешних каналов также хотят решать задачу контроля внутренних. Естественно, здесь речь идёт о достаточно крупных сервис-провайдерах с большой распределённой сетью масштабов страны и с достаточно дорогими канальными ёмкостями.

На рынке DPI есть модели на самый разный кошелёк. Производительность представленных на рынке устройств плавает в пределах от сотен Мбит/с до 160 Гбит/с FDX в рамках одной отдельно взятой коробки, которые, как правило, можно объединять в кластеры. Соответственно, и стоимость плавает весьма серьёзно - от нескольких тысяч до миллионов долларов США. В случае с корпоративным сегментам решения предполагают низкоскоростные подключения по медным интерфейсам типов 10/100/1000. Операторские решения рассчитаны на подключение множества линков 1GE и 10GE. Что касается совсем взрослых решений, то пока что рынок 100GE интерфейсов на сетевом оборудовании достаточно скуден и дорог, но как только появится первый реальный бизнес-кейс, вендоры DPI предложат соответствующие решения, ибо у некоторых из них заготовки уже имеются.

Основная проблема всех существующих решений DPI заключается в том, что для того, чтобы однозначно определить принадлежность того или иного потока данных к одному из сетевых приложений, устройство, осуществляющее анализ трафика, должно увидеть оба направления сессии. Иными словами, входящий и исходящий трафик в пределах одного flow должны пройти через одно и то же устройство. Если оборудование понимает, что видит только одно направление в рамках сессии, оно не имеет возможности соотнести данный flow с какой-либо известной категорией трафика со всеми вытекающими последствиями. В связи с этим, когда речь заходит о контроле аплинков, встаёт очень логичный вопрос об асимметричном трафике, который для более-менее крупных операторов является не экзотикой, а обыденностью. Разные вендоры решают эту задачу по-разному:

Cisco довольствуется половинкой сессии и пытаются определить тип сетевого приложения, используя лишь эти данные. Очевидно, что при данной методике страдает точность детектирования приложений, особенно тех, для которых требуются поведенческие модели анализа. Также в такой реализации есть ряд ограничений, накладываемых на возможности управления таким трафиком, у каждого вендора они свои.
Sandvine для решения проблемы асимметричного трафика использует следующую идею - весь трафик, являющийся асимметричным, при помощи инкапсуляции в broadcast-фреймы пересылается на все устройства DPI, находящиеся в едином домене. В итоге данной пересылки устройства, видевшие до этого лишь одно направление в рамках сессии, увидят и второе, на основании чего можно будет осуществить полный комплекс мер по анализу и управлению трафиком. Недостаток данной схемы очевиден - при больших объёмах асимметричного трафика на сети предъявляются серьёзные требования к каналам связи, соединяющим устройства DPI на разных сайтах. В некоторых случаях, когда речь идёт об асимметрии порядков нескольких гигабит (или десятков гигабит) в секунду, данная методика неприменима в связи с высокими накладными расходами на организацию канала между сайтами.
Умнее всех поступают Procera и Allot. Идея похожа на реализацию Sandvine с тем отличием, что между сайтами пересылается не асимметричный трафик, а метаданные, явно характеризующие его. В общем случае можно считать, что это протокольные заголовки, хотя на самом деле всё чуть сложнее. За счёт подобной оптимизации требования к межсайтовым каналам связи намного более гуманны, относительно реализации Sandvine выигрыш может быть до 95%. Предвосхищая некоторые комментарии, отвечу сразу - да, это работает, подтверждено на практике на production сетях, внедрял лично своими руками.

Ещё один важный момент, который является критичным для некоторых заказчиков - это периодичность обновления файлов сигнатур, на основании которых осуществляется анализ трафика. Некоторые вендоры делают обновление раз в квартал, некоторые - раз в неделю. В случае необходимости критическое обновление (содержащее методики обнаружения новой версии скайпа, к примеру) может выйти раньше календарного срока. Как правило, все вендоры адекватно относятся к желаниям заказчиков добавить какой-то новый протокол в список поддерживаемых и всячески помогают в этом. Не секрет, что на каждом локальном рынке существуют специфические приложения, практически отсутствующие в иных странах. В России и странах СНГ самым ярким примером является Mail.ru агент. Или, например, подобный запрос может возникнуть после выхода очередной сетевой игры, которую необходимо выделять из общего потока данных.

Что дальше?

Теперь возникает логичный вопрос – ну и что теперь со всем этим делать? У оператора появляется достаточно мощный инструмент, при умелом использовании которого можно решать различные задачи по эксплуатации сети и её развитию.

Реализация QoS

С точки зрения эксплуатации, оператор может контролировать утилизацию подключенных через DPI каналов на уровне приложений. Раньше он решать задачи реализации QoS (Quality of Service) исключительно средствами построения очередей на основании маркировки трафика служебными битами в заголовках IP, 802.1q и MPLS, выделяя наиболее приоритетный трафик (разного рода VPN’ы, IPTV, SIP и т.д.), и гарантируя ему определённую пропускную способность в любой момент времени. Трафик типа Best Effort, к которому относится весь интернет трафик домашних абонентов (HSI - High Speed Internet), оставался фактически без контроля, что давало возможность тому же Bittorrent забрать себе всю свободную полосу, что, в свою очередь, вело к деградации любых других веб-приложений. С использованием DPI у оператора появляется возможность распределить канал между различными приложениями. К примеру, в ночные часы разрешить трафику Bittorrent забирать себе больше полосы, чем днём, в часы-пик, когда в сети ходит большое количество другого веб-трафика. Другая популярная мера у многих мобильных операторов – блокировка Skype-трафика, а также любых видов SIP-телефонии. Вместо полной блокировки оператор может разрешать работу данных протоколов, но на очень низкой скорости с соответствующей деградацией качества предоставления сервиса у конкретного приложения, чтобы вынудить пользователя платить за услуги традиционной телефонии, либо за специальный пакет услуг, разрешающий доступ к VoIP-сервисам.

Subscriber Management

Важным моментом является то, что правила, на основании которых выполняется шейпинг/блокировка, могут быть заданы посредством двух основных базисов – per-service или per-subscriber. В первом случае простейшим образом оговаривается, что конкретному приложению позволяется утилизировать определённую полосу. Во втором привязка приложения к полосе осуществляется для каждого подписчика или группы подписчиков независимо от других, что производится через интеграцию DPI с существующими OSS/BSS системами оператора. Т.е. можно настроить систему таким образом, что подписчик Вася, который за неделю накачал торрентов на 100 гигабайт, до конца месяца будет ограничен по скорости скачивания этих же торрентов на уровне 70% от купленного им тарифа. А у подписчика Пети, который купил дополнительную услугу под названием «Skype без проблем», трафик приложения Skype не будет блокироваться ни при каких условиях, но любой другой – легко. Можно сделать привязку к User-Agent и разрешить браузинг только при помощи рекомендуемых браузеров, можно делать хитрые редиректы в зависимости от типа браузера или ОС. Иными словами, гибкость тарифных планов и опций ограничена лишь здравым смыслом. Если же речь идёт о трафике мобильных операторов, то DPI позволяет контролировать загрузку каждой базовой станции в отдельности, справедливо распределяя ресурсы БС таким образом, чтобы все пользователи остались довольны качеством сервиса. Разумеется, данную задачу можно решать силами мобильного ядра, но это не всегда бюджетно. Раз уж я упомянул мобильных операторов, то хотелось бы отметить, что каждый уважающий себя производитель пакетного ядра EPC (Evolved Packet Core) для LTE интегрирует в свой PDN-GW функционал DPI, заточенный под решение задач мобильных операторов.

Зачем это всё надо?

Звучит это всё, конечно, не очень оптимистично, но для многих операторов по экономическим причинам значительно дешевле поставить систему DPI для контроля утилизации каналов, чем расширять аплинки. Причём, сделать это без особых потерь абонентской базы, т.к. давно известно, что большая часть трафика генерируется примерно 5% наиболее активных абонентов. И в этом случае оператору экономически целесообразней снизить абонентскую базу, но платить меньше денег за аплинки, т.к. уйдут самые активные качальщики, из-за которых оператор вынужден каждый месяц платить немаленькую сумму за аплинки. Это ночной кошмар любого маркетолога, но в некоторых случаях потерять клиентов – выгодно. Деликатность ситуации заключается в том, что рано или поздно наступит такой момент, когда все операторы так или иначе будут что-либо шейпить при помощи DPI. Т.е. если сегодня один оператор начнёт рубить торренты, самые активные качальщики разом уйдут к другому. После этого у того сильно скакнёт загрузка его каналов и клиенты начнут жаловаться на то, что плохо работает веб-браузинг. Оператор подумает, подсчитает, и в итоге купит DPI. И так до тех пор, пока все игроки на рынке не обзаведутся подобной системой. Разумеется, установка DPI не снимает с оператора задачу по периодическому расширению аплинков и увеличению скорости доступа для подписчиков. Просто теперь эти расширения не будут бесконтрольными. Т.е. оператор всегда будет знать трафик какого типа и в каком количестве пойдёт через его каналы, это будет прогнозируемо. Разумеется, когда речь идёт о коробках стоимостью $1M, дело не только в аплинках, необходимо это понимать. Моё личное мнение в первом приближении, как пользователя услуги широкополосного доступа в интернет, заключается в том, что что-либо резать и блокировать, конечно же, плохо и совершенно неправильно. Но, глядя глазами инженера на то, какими темпами растут объёмы трафика, использование DPI становится спасением для многих операторов, т.к. торренты сегодня способны забить намертво практически любой аплинк.

Новая модель услуг

Мы плавно перешли к задаче развития сети и её услуг. Глядя на то, как подписчики пользуются купленной ими полосой, какие приложения используют, оператор может изучать потребности каждой категории подписчиков и предлагать им более гибкие и совершенные тарифные планы. К примеру, основываясь на том, что подписчики тарифа Silver активно пользуются услугами сторонней SIP-телефонии, можно предложить им дополнительный пакет, позволяющий использовать аналогичный сервис, предоставляемый оператором, но со скидкой. Остальные подписчики при желании воспользоваться более дешёвой телефонией будут мотивированы переходить на более дорогой тариф, приобретая дополнительные бонусы в виде повышения скорости. Можно придумать много кейсов, это лишь один из них. Своё видение персонализированных сервисов представила компания Allot в своей презентации, выдержки из которой упоминаются в материале, когда-то опубликованном на хабре . Подход очень интересный, и выгодный как для пользователя, так и для оператора. Тенденции развития телекоммуникационного рынка таковы, что для операторов продавать трубу, как они делают сейчас, скоро будет просто невыгодно, есть масса исследований, подтверждающих это. ARPU не увеличивается, конкуренция высока, оборудование необходимо апгрейдить всё чаще и чаще, расходы операторов растут, а желание получать прибыль никуда не девается. Задача DPI в данном разрезе - реализовать новые модели предоставления услуг конечному пользователю. Некоторые мировые операторы маленькими шагами уже двигаются к данной идее. В России, очевидно, процесс этот будет долгим и мучительным, т.к. для достижения задачи необходимо перестраивать мозги абонентов на другую частоту, что очень непросто, т.к. отучить человека не качать торренты, а покупать легальный контент - непросто. Я бы не хотел сейчас запускать дискуссию на тему «А где мне брать легальный контент?», это отдельная песня, и я очень рад, что это сдвинулось с мёртвой точки (на примере ivi, omlet, zabava и т.п. совместно с возрастающими продажами Smart TV). Надеюсь, данные проекты не заглохнут. О Netflix я пока не мечтаю, но было бы здорово.

DPI отлично умеет работать в связке с различными VAS (Value Added Services) системами, такими как антиспам, антивирус, видеооптимизаторы и т.п. Суть функционала заключается в отводе части трафика по заданным администратором критериям, на сторонние устройства, для осуществления более глубокого анализа и обработки.

Довольно легко можно организовать предоставление пользователям услуг по родительскому контролю, которые становятся всё более и более актуальными.

Спецслужбы

В конце хотелось бы сказать пару слов о том, для чего также закупается DPI, кроме как для издевательств над абонентами. Оборудование DPI, в связи со своим умением видеть всё и вся, что происходит на сети, является весьма интересным устройством для товарищей в погонах, без которых сейчас никуда. При помощи DPI спецслужбы могут вести наблюдение за сетевой активностью того или иного пользователя. Можно перекрыть ему VPN, HTTPS и прочие прелести, делающие невозможным анализ контента. Разумеется, можно закрывать доступ пользователей к неугодным властям сайтам, что очень актуально в связи с последними событиями в законотворческой деятельности в России.

Сетевой нейтралитет

И, наконец, хотелось бы сказать пару слов о многострадальном сетевом нейтралитете, который существует в некоторых странах. Если коротко, то операторам в отсутствие перегрузок на аплинках нынче запрещено блокировать трафик законных/легальных приложений. Т.е. начать выборочную блокировку любого трафика теперь разрешается только в случае возникновения перегрузки. Но, в то же время, ещё нет чётких формулировок на тему того, какие именно приложения являются законными, а какие – нет. По логике, незаконным может быть только контент, а не приложения. К примеру, детская порнография явно относится к незаконному контенту, но протоколы HTTP и Bittorrent, посредством которых можно осуществлять его передачу – вполне себе легальны. Так что тут имеется ещё достаточно большой простор для споров, а тема, на мой взгляд, весьма интересна. Пока что у нас сетевым нейтралитетом не пахнет, посему у операторов на руках - все карты для управления трафиком при помощи DPI.

Вместо заключения

Надеюсь, данная заметка помогла кому-то немного структурировать свои знания относительно DPI. Я подумаю над тем, чтобы остановиться на каких-то моментах более детально в следующих опусах, ежели на них будет спрос, тема достаточно обширна. Чтобы избежать лишней полемики - лично я, как пользователь услуг ШПД, против того, чтобы что-либо резалось и блокировалось, что ни в коем случае не мешает мне делать свою работу. С радостью отвечу на вопросы.

Новых пользователей (это 8 человек каждую секунду), в России интернет проникает в забытые деревни, а уже к 2014 году , что 70% совершеннолетнего населения страны будет онлайн .

Такая динамика крайне положительно сказывается на общей ситуации в телекоммуникациях – появляется конкуренция, растёт качество услуг, падает цена, на рынок выкидываются всё новые и новые технологии – не успели мы даже посмотреть на 40G-интерфейсы, как уже появились 100G и успешно проходят испытания 400-гигабитных (кстати, недавно на была статья о том, что Huawei тоже представило работающее решение). Пользователь утопает в высокоскоростных сервисах: youtube, безразмерные файлохранилища, онлайн-радиостанции и телевидение, торренты и P2P сети. Всё это одновременно с разных компьютеров, X-падов и телефонов. Оптику уже подводят прям к вашему домашнему маршрутизатору.
Но, как нет худа без добра, так и добро без худа большая редкость. Вместе с радостями приходят и проблемы.
Приведу лишь небольшой список наиболее важных трудностей, с которыми приходится сталкиваться сегодня провайдерам и абонентам:

Высокая загрузка канала к пользователю. При том, что сеть провайдера в порядке и трафик пользователя укладывается в его тариф, большая часть пропускной способности канала занята, например, торрентом, отчего страдает голос, HTTP и другие данные абонента
- высокая нагрузка на каналы провайдера, когда много абонентов запускают торренты или P2P
- бОльшая часть пропускной способности занимается меньшей частью наиболее активных абонентов
- вирусы, черви и зомби (боты) в сети
- DOS-атаки на оборудование провайдера или абонентов
- сканеры портов

У меня действительно была такая ситуация, когда сканировали наши порты в сети, а после этого пытались подбирать пароли. Узнали мы об этом только по логам, когда уже шёл активный процесс брутфорса.

Какие у вас есть возможности исправить положение в обычной ситуации?
1) Канальный уровень: контроль на основе MAC-адресов или номера VLAN. Может быть реализован на коммутаторах и маршрутизаторах.
2) Сетевой уровень: вы можете блокировать пользователей по IP-адресам или запрещать доступ на определённые адреса/подсети во внешней сети. Реализуется на маршрутизаторах.
3) Транспортный уровень: провайдер или ИТ-служба предприятия может ограничить используемые порты. Например, запретить всё, кроме портов 25, 110 и 80 (почта и HTTP). Сделать это также можно на маршрутизаторе
4) Уровень приложений: на прокси-серверах или файрволах вы можете использовать наибольшую степень абстракции — доменные имена. Но файрволы, вообще говоря, имеют более широкие возможности, например, защита против атак, тонкие настройки политик. Они также предоставляют некий функционал глубокого анализа пакетов, но по сравнению со специализированными решениями DPI он крайне ограничен.

И даже одно из популярных сейчас решений — использование в сети QoS — не панацея.

Используя вышеуказанные возможности, невозможно мониторить и контролировать трафик многих приложений и протоколов, как то: Skype в частности и VoIP вообще, BitTorent, P2P, трафик, проходящий в туннелях (GRE, IPSec, QinQ и прочее)

От этих и многих других напастей может спасти DPI . Английское звучание Deep Packet Inspection говорит само за себя — эта технология, которая позволяет проводить глубокий анализ трафика.

DPI на то и Deep, что проникает ещё глубже — он работает на всех 7 уровнях эталонной модели OSI. С его помощью вы можете распознавать трафик практически любых протоколов и применять к нему те или иные действия.

Простой пример из жизни. Когда-то я работал в местечковом провайдере WiMAX. У нас была довольно небольшая база абонентов, но все они физики (физические лица), и выход в Интернет порядка 30 Мб/с. С физиками есть одна проблема — они любят торренты и P2P-сети. Если с последними всё относительно просто — если провайдер этого не делает, то и пользователи сами вряд ли скооперируются, то с торрентами настоящая беда. Трафик протокола BitTorrent сложно отследить стандартными средствами, тем более, что механизмы работы протокола постоянно адаптируют под меняющиеся реалии. Это стало настоящим бичом компании: в час наибольшей нагрузки сеть лежмя лежала.
ИТ-управлением компании тогда было принято тактическое решение: было куплено самое простое, достаточное по производительности, и недорогое DPI-оборудование, поставлено в разрыв и проблемы решились волшебным образом. Конечно, при этом пострадали особо активные абоненты, но в тот момент такая жертва была необходима. Далее, конечно, ситуацию меняли: ночью ограничение смягчалось, расширялся канал в интернет и т.д. Но DPI выручил и как сиюминутное решение и сейчас в этой сети активно применяется, уже после того, как покинул это место.

Анализ и контроль трафика может выполняться тремя способами:
1) На основе статических правил/политик
2) На основе сигнатур могут распознаваться приложения/протоколы/атаки/вирусная активность. Как правило базы сигнатур предоставляются вендором и обновляются автоматически с некой периодичностью.
3) Deep стоит понимать в неком философском смысле. Это не только глубокое проникновение в пакет, но и глубокий анализ. DPI-устройства могут анализировать поведение, активность хостов в сети. К примеру если с какого-то IP-адреса много попыток соединений на различные порты одного хоста, можно предположить, что это работает сканер портов, а если аналогично на различные хосты, но на один порт, то это может быть червь или вирус.
Благодаря такому поведенческому механизму DPI может распознавать новые протоколы VoIP, P2P или какие-либо другие ещё до выхода соответствующей сигнатуры.

Кроме таких необходимых вещей, как перечислены выше, DPI позволяет провайдеру предоставлять дополнительные услуги.
- прнцип работы DPI почти автоматически влечёт за собой увеличение безопасности абонента (защита от спама и атак) и комфорта его работы (параллельно включенные торренты или проблемы других абонентов не будут сказываться на более критичных сервисах, например, голосе или видео)
- дополнительное оборудование может обеспечить проверку трафика на вирусы
- на базе DPI можно организовать родительский контроль, управляемый самими родителями через портал.

Кроме того ещё одна киллер-фича такого плана железок — бескрайнее ромашковое поле для сбора статистики. Например, вы можете выбрать топ-10 посещаемых сайтов или пять пользователей, наиболее нагружающих канал или кто из пользователей ходил в запрещённые сектора интернета. Простор для вашей аналитической фантазии, в общем, бесконечный.
Кстати, DPI-оборудование может помочь вам обнаружить пользователей, замышляющих, что-то тёмное, отслеживать их активность в сети.
По сути СОРМ, который обязывают устанавливать всех операторов и есть DPI, просто управляете им не вы.

Если года 3-4 назад DPI-решения были относительной редкостью и прерогативой крупных провайдеров, то сейчас это направление набирает обороты и становится уже модным трендом современного телекома. Внедряют его и провайдеры и обычные предприятия для мониторинга или контроля активности своих сотрудников.

Хорошо это или плохо? Сложно ответить однозначно. Как бы то ни было теперь работает уже политика ограничения. С точки зрения пользователя, если с повсеместным внедрением СОРМа, вас можно было мониторить, отслеживать вашу активность в сети, то теперь вашим трафиком можно управлять.
Интернет всё меньше и меньше похож на нашу уютную маленькую сеть. В Китае вот и вовсе глобальная деанонимизация пользователей.
С точки зрения провайдеров и служб безопасности — это манна небесная.

В данный момент на рынке уже немало решений от различных производителей. Занимаются этим и монстры телекома и совсем узкоспециализированные неизвестные в широких кругах компании.

Жил да был большой провайдер, пропускал пакеты, ограничивал понемногу трафик. Всем было счастье. Или почти всем. До тех пор, пока кто-то не сказал: "Нам мало средств контроля трафика". Так в уютной обжитой сети появился DPI. Эта молодая бестия со своим уставом лезет в самую глубину пакетов, куда не добраться простым файрволам.

Системы DPI (Deep Packet Inspection) приобретают всё большую и большую популярность, несмотря на их астрономическую стоимость. Сейчас почти у каждого большого вендора есть своё решение. У Cisco это Cisco SCE , у Huawei - SIG9800 , у Juniper -VXA . Есть и менее известные компании, которые производят преимущественно оборудование DPI. Например, Allot или Inline Telecom с их Sandvine . Вроде бы, даже русские ребята засветились: Traffica .

Так чем же так занимательны эти комплексы, стоящие каких-то заоблачных денег? Ваш непокорный слуга посвятил несколько месяцев интеграции DPI и я имею, что сказать.

Какие у нас сейчас есть средства управления трафиком?

На основе MAC-адресов или VLAN’ов. Очень грубо.
По IP-адресам получателей или отправителей. Так сейчас зачастую и делают.
По портам TCP и UDP. Так тоже делают.
На прокси-серверах можно ограничить по доменному имени. Но вы представляете себе прокси-сервер для абонентов в сети провайдера?

На основе вышеуказанных параметров пакета можно строить ACL или настраивать QoS. Но, положа руку на клавиатуру, сможете вы ограничить доступ на один только блог в ЖЖ, не закрывая сам ЖЖ? А сможете вычленить трафик торрента из кучи остального?

То есть в руках у вас сейчас есть инструменты stateful файрвола, который максимум добирается до транспортного уровня (4 из 7). DPI позволяет врезаться в самую глубину пакета, анализируя данные на всех уровнях OSI с 1-го по 7-й. На то он и Deep. Даже туннели без шифрования (QinQ, GRE, MPLS и т.д.) ему по зубам.

Итак, что же он на самом деле может:

Собирать самую разнообразную статистику. Практически любой каприз маркетологов вы теперь преподнесёте им на блюдечке.
Фильтровать (вычленять) трафик по определённым критериям. Тут к очевидным IP-адрес+порт прибавляются доменные имена и протоколы. Например, сложновычисляемый трафик P2P или Skype определяется тут на ура.
Применять на абонентов всевозможные политики. Они могут быть, как статическими - вы сами выбираете кому, что и когда можно, и с какими приоритетами - так и динамическими - есть где-то один централизованный сервер, который отвечает на эти вопросы. К слову, абонентами могут быть не только обычные пользователи фиксированных сетей, но, также, к примеру, и беспроводных, со всеми присущими атрибутами (могут отслеживаться APN, номера телефонов, способ доступа - GERAN, UTRAN...)
Предотвращение атак. Речь идёт о сетевых атаках извне, таких как DoS, сканирование портов. Также детектируются некоторые атаки изнутри
Благодаря возможности зеркалирования и перенаправления трафика возможны всякие приятные штуки, вроде проверки почты на спам или трафика с вебсайтов на вирусы.

Каким образом шайтан-машина определяет атаки и принадлежность трафика тем или иным протоколам? Для этого у неё есть три пути:

Явно заданные правила..ru" в заголовке HTTP;
Сигнатуры. Они подготавливаются вендором и содержат набор самых разнообразных правил, на основе которых будет фильтроваться трафик. Вполне возможно, что этот файл будет подготовлен с учётом ваших пожеланий. Файл сигнатур периодически обновляется и, в зависимости от производителя, либо автоматически скачивается оборудованием, либо нужно сделать это вручную;
Анализ поведения. В этом пункте вся философия слова Deep в названии. Многие системы DPI позволяют на основе "странностей" в поведении трафика совершать действия - определить протокол или обнаружить и предотвратить атаку.

Самый простой пример: запустили вы сканер портов. Программа обращается к указанному адресу и перебирает все 65 535 портов протокола TCP, например. Ежу же понятно, что никакая здоровая программа не будет устанавливать такие дикие соединения - это колокольный звон для DPI, что в сети что-то неладно.

Мне довелось потрогать и даже покопаться с лихвой в командной строке SIG9810 - DPI решения Хуавэй. Поэтому про его интеграцию я и расскажу. Думаю, что принципы работы оборудования любого другого вендора отличаются незначительно.

Оборудование DPI ставится в разрыв, что весьма логично. То есть, очень грубо говоря, так:

Весь трафик, разумеется, проходит через систему, где на него и применяются политики и снимается вся статистика.

В плане железа DPI состоит из следующих компонентов:

Bypass;
Устройство Front-End;
Устройство Back-End;
PCRF-сервер (Policy and Charging Rules Function);
Коммутаторы для обеспечения связности между компонентами.

Опционально:

6. Серверы (мониторинг состояния системы, syslog);

7. Дисковые массивы (для хранения статистики и для серверов);

8. Устройства VAS (Value Added Services - проверка на спам и вирусы, родительский контроль).

Типовая схема выгляди так:

Всё это вместе занимает 2-3 стойки.Расскажу по порядку о каждом из них.

1) Bypass

Что происходит, когда в сеть вы добавляете ещё один элемент? А тем более стойку? Верно, появляется ещё одно слабое звено. Bypass призван хоть немного исправить это положение.

В сеть оно включается первым и уже к нему подключается Front-End.

У него есть два режима работы:

1. Защитный. Трафик проходит напрямую и не заворачивается на Front-End

2. Рабочий. Трафик заворачивается на Front-End, но в случае чего переключается на прямой канал, как в первом случае.

Bypass всеми силами будет пытаться удержать связь.

Ломается Front-End (сгорела плата) - трафик переключается на защитный канал.

Рвётся линк до Front-End’a (сгорел порт, повредился кабель) - трафик переключается на защитный канал.

Выключилось электричество - трафик переключается на защитный канал.

Bypass’ы бывают электрическими и оптическими. Электрические основаны на реле и применяются с медными проводами, то есть максимальная скорость, на канал 1 Гб/с.

Оптические сильно круче. Помимо того, что скорость на канал до 10 Гб/с, существует возможность зеркалирования трафика задаром - световому лучу не убудет. То есть в то время как трафик идёт по прямому каналу, его копия направляется на Front-End. Действия над трафиком никакие ещё совершать нельзя, но статистику уже собирать вполне можно.

2) Front-End

Это адская молотилка. Через неё несутся гигабиты, именно в нём каждый пакет разбирается по байтикам, именно в нём трафик каждого абонента подвергается экзекуции в соответствии с политиками.

По сути это очень мощный модульный маршрутизатор.

В нём есть голова - платы управления самим устройством - их, как правило, две - мастер/слейв.

Есть линейные платы, отвечающие за приём-передачу трафика, то есть физический, канальный и немного сетевой уровни.

Есть фабрики коммутации, которые отвечают за передачу данных между платами.

И наконец, руки - процессинговые платы, которые и перелопачивают эти кучи, накладывают ограничения, собирают статистику и успевают при этом взаимодействовать с Back-End и с PCRF-сервером, запрашивая политики и передавая данные на них.

3) Back-End

Это огромный сарай, куда складируется всё подряд. Тут лежат подробности всех политик, вся собранная статистика, сигнатуры, правила зеркалирования и перенаправления, радиус-пакеты отправляются сюда и прочее-прочее. Что угодно в любой момент можно извлечь.

В плане железа у Хуавэй это блейд-сервер. Каждая плата дублируется. Некоторые из них на горячей замене, другие организуют балансировку нагрузки.

4) PCRF-сервер

Очень грубо говоря, он хранит соответствия: пользователь - номер политики. Front-End отправляет ему идентификатор абонента, тот возвращает номер политики, Front-End запрашивает подробности соответствующей политики на Back-End’e.

Как правило, PCRF-сервер один на множество сайтов.

С точки зрения сети DPI можно разделить на три части:

1) супервысокоскоростная часть;

Трафик пользователей

Исчисляется Гигабитами в секунду

2) Сеть взаимодействия компонентов (FE, BE,сервера);

Тут трафик небольшой и гагибитного (даже сотки) с лихвой. По этой сети ходит только служебная информация.

3) управление и PCRF - стык с внешней (для DPI) сетью.

Это каналы в сеть OMC (operation and maintenance center) транзит до PCRF-сервера. Также только для служебных целей - доступ на оборудование и NMS (Network Management Server).

На практике

Статистику можно собирать самую богатейшую. Приведу несколько примеров:

Общий трафик по городу с разделением по различным типам:

То же в виде пирога:

Какой хостинг видео преобладает:

Топ 10 сайтов по числу соединений:

Топ 10 сайтов по объёму трафика:

Трафик по каждому абоненту отдельно в категории WEB:

Самые активные пользователи:

А вот пример применения политик: всё делается на лету - и между командой и её эффектом проходит пара секунд.

На картинке показано действие политики, ограничивающей общий трафик до 700 кб/с, при этом приоритет на видео (зелёный), а для Р2Р (фиолетовый) гарантировано 200 кб/с.

А это пример использования просто приоритетов. Общее ограничение также на 700 кб/с, наивысший приоритет у видео (зелёный), на втором месте FTP (красный) и на последнем фиолетовый P2P

Политики тоже можно задавать очень гибко:

ограничивать общую скорость трафика вплоть до блокировки;
ограничивать скорость трафика по каждой категории (веб, видео, p2p, IM и так далее) отдельно вплоть до блокировки;
выделять полосу для каждого типа трафика (например, не более мегабита/с, но 200 кб/с должно быть гарантировано);
указывать приоритет для каждого типа.

И другие менее очевидные способы.

Я люблю всякие огромные махины, вроде КрАЗа, БелАЗа - чувствуется невообразимая мощь в урчании их двигателей и лёгкий трепет перед ними. Очень похожие ощущения от работы с DPI. Словами не передашь турбинного потока воздуха из кулеров, мигания десятков светодиодов в темноте машинного зала, тугого жгута оптических проводов, уходящих в загадочный Bypass и те, почти неограниченные, возможности, которые он предоставляет. Возможностям, которые делают вас не администратором сети, но хозяином.

Система глубокого анализа пакетов, или DPI, анализирует проходящие через нее пакеты и перенаправляет, маркирует, блокирует или ограничивает их, предоставляя практически полный контроль над трафиком. Для идентификации пакетов разные устройства используют различные параметры: последовательность, размер, содержимое и т. д., что в итоге дает возможность перераспределять трафик между абонентами согласно приоритету и даже собирать подробную статистику соединения каждого отдельного пользователя.

Также DPI позволяет оптимизировать работу сети, не допуская ее перегрузок и защищая, например, от DDoS-атак. Кроме того, возможна оптимизация потока данных внутри сети за счет выделения приоритетного трафика в определенный день/время дня или для определенных категорий пользователей. Например, в ночные часы трафику с одного ресурса дозволено забирать больше полосы, чем днём. Днем же приоритет отдается другому веб-трафику.

Краткий обзор

На рынке услуг DPI представлены как иностранные, так и российские компании. Иностранные вендоры имеют большой опыт: почти все компании - Allot communications, Huawei Technologies, Procera Networks, Sandvine Incorporated - занимаются решениями DPI более 15 лет. Опыт отечественных производителей - NAPA Labs, Peter Service, VAS Experts, «Протей» - скромнее, но они привлекают клиентов за счет цены: более низкая стоимость решений в рублях - это отличное преимущество.

Зарубежные системы используют собственные аппаратные решения, что делает готовое устройство более надежным, но значительно влияет на стоимость в сторону ее увеличения. Российские же комплексы работают на стандартных серверах – это позволяет наращивать мощность решения. Кроме того, такой подход обеспечивает совместимость программного обеспечения с большинством аппаратных платформ. Потенциальная ложка дегтя: при таком подходе западные решения могут оказаться стабильнее отечественных (оптимизация систем под определенное железо всегда делала компьютеры более производительными и стабильными).

Важно: программное обеспечение всех российских систем «заточено» под российское законодательство. 9 сентября 2016 года «Коммерсантъ» опубликовал информацию о проекте дорожной карты по импортозамещению телекоммуникационного оборудования в России на 2016–2020 годы (читайте подробнее о ней в нашем блоге). Согласно этому документу, часть иностранных вендоров будет вынуждена уйти с российского рынка.

Представленные на рынке решения

Конкуренция на рынке достаточно сильная, поэтому вендоры предлагают линейки продуктов для разных сегментов (корпоративные пользователи, интернет-провайдеры и операторы связи) и гибкие настройки производительности.

Например, в линейке Procera PacketLogic представлены 6 устройств, которые отличаются по пропускной способности (от 1 Гбит/с до 600 Гбит/с), максимальному количеству подключений (от 400 тысяч до 240 миллионов), размеру аппаратной платформы (от 1U до 14U) и т. д. Младшая серия платформ PL1000 подойдет для серверов отчетности, статистики и трендов, а серия PL20000 имеет операторский класс и уже способна идентифицировать сетевой трафик при помощи DRDL в режиме реального времени, а также работать с асимметричным трафиком.

Стоит отметить решение компании Allot Communications. Устройства серии Allot NetEnforcer – это аппаратные комплексы для анализа и управления сетевым трафиком, которые оптимизируют услугу предоставления широкополосного доступа в интернет корпоративным пользователям и интернет-провайдерам. Решение также справляется с определением и разделением типа трафика (p2p, video, skype и т. п.).

Другой комплекс компании – Allot Service Gateway – создан для операторов сотовой связи. Шлюз позволяет идентифицировать трафик на скоростях до 160 Гбит/с, проводить его анализ и визуализацию для оптимизации полосы пропускания и улучшения качества сервиса.

Что касается российских производителей, то они тоже стараются не отставать. Мы в компании VAS Experts также специализируемся на создании и внедрении сервисов в области контроля и анализа трафика.

Например, в нашем портфеле есть система «СКАТ », которая имеет 6 аппаратных платформ: от «СКАТ-6» (6 Гбит/с, до 400 тысяч абонентов, 1U) до «СКАТ-160» (160 Гбит/с, до 16 миллионов абонентов, 3U). «СКАТ» различает более 6000 протоколов, может работать в 3 режимах («в разрыв», асимметрия исходящего трафика, зеркало трафика), управлять абонентами с динамическим IP и поддерживает несколько видов Netflow.

Еще одна российская компания Napa Labs выпускает программно-аппаратный комплекс DPI Equila операторского класса в двух вариантах с разной функциональностью, при этом рассчитывая на интерес интернет-провайдеров и корпоративных клиентов:

Другие вендоры нацелены лишь на отдельный сегмент рынка. Например, НТЦ «ПРОТЕЙ» поставляет программно-аппаратный комплекс «ПРОТЕЙ DPI» для операторов связи. Решения компании отличаются производительностью и решают задачи по анализу трафика и управлению им, предоставлению дополнительных услуг (VAS) и ограничению доступа к определенным ресурсам.

Компания Huawei предоставляет системы только для интернет-провайдеров. Её решение - это система для анализа трафика SIG9800-X - сервисный шлюз операторского класса, построенный на платформе маршрутизации. Она позволяет выполнять все функции DPI: анализ и управление трафиком, визуализацию отчетов по использованию полосы пропускания приложениями, QoS и защиту от сетевых атак.

Отдельные компоненты

Некоторые решения предоставляют дополнительные функции за отдельную плату. Помимо широкой линейки решений, мы в VAS Experts предлагаем на выбор 3 варианта лицензии для любой платформы «СКАТ» и дополнительный компонент – КЭШ Сервер.

Peter-Service предлагает на выбор 4 компонента своей DPI-системы TREC. Сюда относятся:

программная библиотека TREC.SDK для анализа трафика по технологии DPI (Deep Packet Inspection)
программные продукты TREC.Analyser и TREC.MDH для мониторинга, хранения и анализа трафика, а также управления им
программно-аппаратные комплексы для обработки трафика с предельной пропускной способностью в 10 Гбит/с, 80 Гбит/с и 600 Гбит/с
Professional Services - услуги по консультированию в области применения технологии DPI

Помимо отдельных продуктов со своим функционалом, можно докупить и модули для масштабирования сети в рамках одной линейки продуктов. Такую опцию поддерживают все производители систем DPI. Что касается масштабируемости российских систем, то из-за использования стандартного аппаратного обеспечения она не вызывает проблем – это, несомненно, является плюсом.

Виртуальные платформы

Главный плюс виртуальных платформ - возможность установки на любом совместимом железе. Такая опция есть далеко не у всех вендоров, что объясняется использованием иностранными системами специального аппаратного обеспечения. Но такую возможность предоставляет Procera на PacketLogic/V Platform и Sandvine на PTS Virtual Series. Что касается отечественного рынка, то развернуть свое решение в виртуальной среде предлагает Peter-Service.

Платформы обладают теми же функциями, что и аппаратные решения, но отличаются большей гибкостью и потребляют то количество ресурсов, которое необходимо при текущей нагрузке. Также они легко интегрируются с виртуальной инфраструктурой оператора, в том числе с виртуальной сетью.

Заключение

Подводя итоги: российские решения обладают более низкой стоимостью (по сравнению с зарубежными) и, соответственно, быстрой окупаемостью. Универсальная аппаратная и программная платформа позволяет легко добавлять сетевые интерфейсы, увеличивать память и количество ядер процессоров, но может повлечь за собой снижение стабильности.

Что касается иностранных поставщиков, то большинство из них работает на рынке уже более 15 лет и имеет широкие линейки продуктов для всех сегментов. Также они выпускают производительные и стабильные системы на собственных аппаратных платформах, однако такие возможности влекут за собой несколько недостатков: высокую стоимость систем и дополнительных модулей плюс дополнительные расходы на лицензию при масштабировании.

Дополнительное чтение