二、非法VoIP檢測的實現(xiàn)

　　1.檢測及分析

　　我們主要采集H.323、MGCP、SIP三類協(xié)議的VoIP，分別在主叫、被叫兩個方向進行，同一時間段內(nèi)將會有多條采集記錄。圖1是多個VoIP連接的簡略圖，忽略了IP電話網(wǎng)關和傳統(tǒng)程控交換網(wǎng)之間的連接。

　　Gateway1、Gateway2代表IP電話網(wǎng)關，它們位于不同的地點，一般是不同的城市甚至國家。我們假設Gateway1代表本地的媒體網(wǎng)關，也是我們需要采集數(shù)據(jù)的關注點，是需要檢測的網(wǎng)關。

　　假設user1用戶撥打VoIP進行呼叫userA，Gateway1會向Gateway2發(fā)起VoIP連接請求，我們會記錄下這條數(shù)據(jù)，這就是主叫方向的記錄。源IP就是Gateway1的IP，目的IP就是Gateway2的IP.而同一時間內(nèi)可能user2也在呼叫userB，user3 也在呼叫userC，因此會有多條采集記錄，雖然他們的源IP和目的IP都相同。

　　假設userA從外地撥打VoIP呼叫user1，從Gateway2過來的連接請求，Gateway1需要應答，我們會記錄下這條應答，這就是被叫方向的記錄。源IP還是gateway1的IP，目的IP還是gateway2的IP.而同一時間內(nèi)可能userB也在呼叫user2，userC 也在呼叫user3，因此會有多條采集記錄，雖然他們的源IP和目的IP都相同。

　　檢測是否有用戶在使用基于H.233、SIP、MGCP的VoIP或者提供基于H.323、MGCP、SIP的VoIP服務的檢測步驟如下：

　　（1）數(shù)據(jù)采集，通過某種方式將流經(jīng)電信寬帶網(wǎng)上的源端口號和目的端口號分別為1718、1719、1720、5060、2427、2727的數(shù)據(jù)包采集下來， 即包括主叫、被叫兩個方向的記錄。采集的主要內(nèi)容有源IP、目的IP、源端口、目的端口、用戶注冊名稱、會話標志、會話發(fā)生時間；

　　（2）數(shù)據(jù)上傳，將數(shù)據(jù)上傳到后臺分析系統(tǒng)；

　?。?）數(shù)據(jù)入庫，將數(shù)據(jù)文件存入到數(shù)據(jù)庫中；

　　（4）數(shù)據(jù)分析，對數(shù)據(jù)庫中的數(shù)據(jù)進行統(tǒng)計分析，結合事先設計好的一些設定，得到非法VoIP的可疑名單；

　?。?）統(tǒng)計分析，根據(jù)分析出的可疑名單，給出IP電話呼叫詳單以及其他相關的統(tǒng)計分析報表。

　　詳細的分析舉例如下：

　　（1）統(tǒng)計某一個源IP在某一時間段內(nèi)作為被叫方的會話次數(shù)，假設值為A;

　　（2）統(tǒng)計某一個源IP在某一時間段內(nèi)作為主叫方的會話次數(shù)，假設值為B;

　?。?）統(tǒng)計某一個目的IP在某一時間段內(nèi)作為被叫方的會話次數(shù)，假設值為C;

　　（4）統(tǒng)計某一個目的IP在某一時間段內(nèi)作為主叫方的會話次數(shù)，假設值為D;

　　（5）假設有三個預設的判斷閥值，分別為被叫次數(shù)閥值H1、主叫次數(shù)閥值H2、主被叫閥值H3.

　　則根據(jù)如上統(tǒng)計值，非法VoIP的可疑名單為：

　　● A或C值大于等于H1的所有用戶；

　　● B或D值大于等于H2的所有用戶；

　　● A+B或C+D值大于等于H3的所有用戶。

　　根據(jù)檢測結果，給出如下報表：

　　● 呼叫詳單，包括賬號、IP地址、通話時長；

　　● 主叫、被叫話務量最大的用戶；

　　● 呼入、呼出話務量最大的IP電話網(wǎng)關；

　　● IP電話網(wǎng)關所處位置（國內(nèi)、香港還是加拿大等）。

　　2.非法VoIP封堵

　　檢測并分析到非法的VoIP電話網(wǎng)關后，對于本網(wǎng)用戶所架設的IP電話網(wǎng)關，我們可以與公安部門取得聯(lián)系，進行上門查封。但由于人力、物力有限，是否可采用其他方式呢？如直接對其進行網(wǎng)絡層次上的封堵，然后再執(zhí)行相關行政手段呢？另外檢測到的大部分IP電話網(wǎng)關不屬于本網(wǎng)用戶，如其他運營商、其他國家，是否可以對其進行控制以及如何控制呢？

　　在這里，我們提出了多層次封堵的思路。

　?。?）對于網(wǎng)內(nèi)的IP電話網(wǎng)關來說，我們定位到該用戶，可對其實施警告，采用向其推送HTML警告頁面或在其進行一個VoIP呼叫過程中，將一段已經(jīng)錄制好的示警語音信息播放給用戶。

　　（2）警告后，如果在下一個時間周期內(nèi)，用戶仍繼續(xù)其非法行為，則降低對其的服務質(zhì)量，實施干擾，即用戶的請求將被按比例丟棄，其VoIP的IP連接將得不到保障。

　?。?）干擾后，對頑固用戶最終實施封堵，其所有網(wǎng)絡請求都將被丟棄，無法成功連接。

　　（4）對位于其他運營商、其他城市、其他國家的IP電話網(wǎng)關，我們無法直接對其進行控制，但可考慮限制網(wǎng)內(nèi)用戶對其發(fā)起的連接請求，間接的阻止其正常服務的提供。

　　3.非法VoIP檢測的意義所在

　　VoIP作為中國電信運營商未來的一項重要的基礎通信業(yè)務，其收入占電信運營商總體收入的重要性正在逐步提高。而非法VoIP的存在，給電信運營商造成了巨大的經(jīng)濟損失。

　　根據(jù)某運營商的某個地市分公司在最近的一次檢測行動中得到的數(shù)據(jù)，在持續(xù)4天的檢測時間內(nèi)，僅在該市的某網(wǎng)絡節(jié)點上所采集到的非法VoIP呼叫次數(shù)即接近30000個，話務量達到150000m.按此推測，該分公司全市一年所損失的VoIP收入可達2億人民幣。

　　從上面可看出，由非法VoIP給電信運營商所造成的損失是很大的。而且不僅僅是經(jīng)濟方面，給社會也帶來了一定程度的安全危害，如境外反動組織通過VoIP方式撥打用戶電話，向用戶宣揚其反動宣言，造成了不好的影響。

　　三、需關注的其他問題

　　我們知道，目前存在的非法VoIP運營者可能會修改其正常的協(xié)議工作端口，如H.323原本應工作在1718、1719、1720端口，修改后可能變?yōu)?718、2719、2720，這樣我們就無法采集到這部分數(shù)據(jù)。這也就給我們提出了這樣一個問題：對于采用非標準端口進行VoIP業(yè)務的檢測如何實現(xiàn)？

　　我們認為，對于采用了非標準端口的VoIP系統(tǒng)，可以把其所有端口的數(shù)據(jù)都采集下來，然后再同已知的VoIP進行數(shù)據(jù)包比對，最后定然可分析出用戶的VoIP通話清單。但所有數(shù)據(jù)包的完全比對，是不現(xiàn)實的，最好建立1套智能協(xié)議分析系統(tǒng)，即分析比對需要具備一定的策略，以降低系統(tǒng)整體投入。

　　采用非標準端口的VoIP系統(tǒng)無非是加大了數(shù)據(jù)采集、分析的工作量以及額外的系統(tǒng)開發(fā)。而所有非法VoIP系統(tǒng)采用的基礎通信協(xié)議是不變的，正所謂“萬變不離其宗”！

　　綜合網(wǎng)管建設探討

　　一、網(wǎng)絡管理現(xiàn)狀

　　從管理功能角度劃分，網(wǎng)絡管理系統(tǒng)分為網(wǎng)元管理層、子網(wǎng)管理層和網(wǎng)絡管理層。網(wǎng)元管理層對單個網(wǎng)元、子網(wǎng)管理層對多個單個網(wǎng)元、網(wǎng)絡管理層對子網(wǎng)間的關聯(lián)系統(tǒng)分別實現(xiàn)配置管理、故障管理、性能管理、安全管理的功能。目前國內(nèi)運營商的網(wǎng)絡管理系統(tǒng)大部分仍然處于網(wǎng)元級的管理和子網(wǎng)級管理。

　　現(xiàn)以傳送網(wǎng)為例，既可看出網(wǎng)絡管理的現(xiàn)狀。傳送網(wǎng)是由傳輸線路、傳輸設備和相關設備組成，是通信網(wǎng)的基礎網(wǎng)絡。根據(jù)服務的地域，傳送網(wǎng)可以分為長途傳送網(wǎng)和本地傳送網(wǎng)，長途傳送網(wǎng)又可分為省際骨干傳送網(wǎng)和省內(nèi)骨干傳送網(wǎng)。

　　1.省際骨干傳送網(wǎng)

　　省際骨干傳送網(wǎng)負責為省會城市及匯接節(jié)點城市提供大容量省際傳輸電路和通道，通常采用密集波分系統(tǒng)DWDM和高速率的SDH設備構成環(huán)狀網(wǎng)，網(wǎng)管的設置有很多形式，主要是依據(jù)網(wǎng)絡結構和設備的所屬廠家，因目前各廠家的網(wǎng)管系統(tǒng)互不兼容，即某一廠家的網(wǎng)管系統(tǒng)還不能管理其他廠家的設備，所以每個運營商都有多套干線網(wǎng)管系統(tǒng)。

　　2.省內(nèi)骨干傳送網(wǎng)

　　省內(nèi)骨干傳送網(wǎng)負責為本省各城市之間提供傳輸電路以及通道，連接省內(nèi)各本地傳送網(wǎng)道，通常采用密集波分系統(tǒng)DWDM和高速率的SDH設備構成環(huán)狀網(wǎng)或鏈狀網(wǎng)，同樣也是依據(jù)網(wǎng)絡結構和設備的所屬廠家設置網(wǎng)管系統(tǒng)，每個省一般都有多套省內(nèi)干線網(wǎng)管系統(tǒng)。

　　3.本地傳送網(wǎng)

　　本地傳送網(wǎng)負責為本地區(qū)提供傳輸電路以及通道。通常采用高速率SDH設備構成環(huán)狀網(wǎng)或鏈狀網(wǎng)，同一城市內(nèi)一般采用同一廠家設備只設置1套網(wǎng)管系統(tǒng)。

　　由此可見傳送網(wǎng)在全國就有數(shù)10套網(wǎng)管，分別負責省際骨干傳送網(wǎng)、省內(nèi)骨干傳送網(wǎng)和本地傳送網(wǎng)的配置管理、故障管理、性能管理和安全管理。

　　二、綜合網(wǎng)管的建設

　　我國現(xiàn)階段網(wǎng)絡管理水平與世界先進國家相比有較大差距，如何發(fā)展、建設是各運營商面臨的很重要的問題。

　　因此綜合管理網(wǎng)的建設必須考慮現(xiàn)有網(wǎng)絡情況及今后的網(wǎng)絡運行與維護管理體制。為實現(xiàn)網(wǎng)絡集中管理、集中監(jiān)控，綜合網(wǎng)管建設可分為三個階段：省級專業(yè)網(wǎng)管建設、全國專業(yè)網(wǎng)管建設和綜合網(wǎng)管建設，并根據(jù)每個階段的情況制定每個階段所要達到的目標。

　　1.省級各專業(yè)網(wǎng)絡級網(wǎng)管建設

　　目前，國內(nèi)各運營商通信網(wǎng)絡的網(wǎng)管系統(tǒng)基本上是按照專業(yè)設置的，同一專業(yè)在省內(nèi)既有本地網(wǎng)網(wǎng)管，又有區(qū)域網(wǎng)網(wǎng)管和省網(wǎng)網(wǎng)管，即處于網(wǎng)元級網(wǎng)管和子網(wǎng)級網(wǎng)管狀態(tài)。若開通1條省內(nèi)出租電路業(yè)務，至少要分別登錄3套傳輸網(wǎng)管系統(tǒng)進行資源使用情況查詢及電路配置，即本地傳輸網(wǎng)網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng) -本地傳輸網(wǎng)網(wǎng)管系統(tǒng)。

　　電信管理網(wǎng)的目標之一是實現(xiàn)一站式服務，為實現(xiàn)這一最終目標首先應在各省建設各專業(yè)網(wǎng)絡級網(wǎng)管系統(tǒng)，在省一級達到各專業(yè)設備的集中監(jiān)控、集中維護和集中管理。綜合專業(yè)網(wǎng)管如圖1所示。

　　2.全國網(wǎng)管中心各專業(yè)網(wǎng)管建設

　　目前，國內(nèi)各運營商全國網(wǎng)管中心的網(wǎng)管系統(tǒng)也基本上是按照專業(yè)設置的，同一專業(yè)設有不同區(qū)域內(nèi)的干線網(wǎng)管系統(tǒng)，同樣也處于網(wǎng)元級網(wǎng)管和子網(wǎng)級網(wǎng)管狀態(tài)。若開通1條省際出租電路業(yè)務，至少要登錄5套傳輸網(wǎng)管系統(tǒng)查詢資源使用情況及進行電路配置，即本地傳輸網(wǎng)網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng)-省際傳輸網(wǎng)管系統(tǒng)-省傳輸網(wǎng)網(wǎng)管系統(tǒng)-本地傳輸網(wǎng)網(wǎng)管系統(tǒng)；若是在省級各專業(yè)網(wǎng)管已建成的情況下，也要至少要登錄3套傳輸網(wǎng)管系統(tǒng)查詢資源使用情況及進行電路配置，即省級傳輸專業(yè)網(wǎng)管系統(tǒng)-省際傳輸網(wǎng)管系統(tǒng)-省級傳輸專業(yè)網(wǎng)管系統(tǒng)。

　　在省級各專業(yè)網(wǎng)管系統(tǒng)已建成的基礎上，建設全國各專業(yè)網(wǎng)管系統(tǒng)，在全國范圍達到各專業(yè)設備及業(yè)務的集中監(jiān)控、集中維護和集中管理。

　　3.綜合網(wǎng)管建設

　　經(jīng)過省級各專業(yè)網(wǎng)管建設和全國網(wǎng)管中心各專業(yè)網(wǎng)管建設雖然實現(xiàn)了全國范圍內(nèi)各專業(yè)網(wǎng)絡的集中監(jiān)控、集中維護和集中管理，但各個專業(yè)網(wǎng)管系統(tǒng)之間信息無法互通，不利于故障的迅速定位、各專業(yè)資源的統(tǒng)一調(diào)配等，因而需要建設管理各專業(yè)網(wǎng)絡的綜合網(wǎng)管。

　　全國綜合網(wǎng)管是建在全國各專業(yè)網(wǎng)管基礎之上，因各專業(yè)網(wǎng)管基本上在同一樓內(nèi)，所以通過局域網(wǎng)既可建設全國綜合網(wǎng)管。各級網(wǎng)管至少要有Q3、CORBA等標準接口。

　　Q3接口是網(wǎng)管互通的標準接口，它不僅包括OSI（Open Systems Interconnection）從第一層到第七層的通信協(xié)議，而且還包括在第七層中的管理信息和管理信息模型MIB（Management Information Base），通過標準Q3接口，提供信息上報、查詢和管理各種操作的功能。

　　CORBA接口，作為與高層網(wǎng)管的接口之一，是一種支持分布式網(wǎng)絡管理功能技術，CORBA也是支持服務管理環(huán)境的戰(zhàn)略性技術框架。

　　構建綜合網(wǎng)管的關鍵是實現(xiàn)不同專業(yè)、同一專業(yè)不同廠家網(wǎng)管的兼容、互操作性。

　　互操作就要實現(xiàn)統(tǒng)一的結構標準、標準的接口規(guī)定、一致的路由選擇方式、統(tǒng)一的編號規(guī)則和尋址原則、標準化的信息模型。就目前情況看，盡管標準化工作已經(jīng)有了很重要的進展，但距真正性的互操作還有很大的距離，關鍵在于信息模型。

　　傳輸網(wǎng)SDH的運行、管理和維護（OAM）信息是靠其幀結構中的開銷字節(jié)來傳送的，圖2所示為STM-1段開銷（SOH）示意圖。

　　其中D1-D12為數(shù)據(jù)通信通路（DCC），D1-D3字節(jié)為再生段DCC，用于再生段之間的交流OAM信息，速率為 192kbit/s（3×64kbit/s），D4-D12字節(jié)為復用段DCC，用于復用段之間的交流OAM信息，速率為576kbit /s（9×64kbit/s）。這總共768kbit/s的數(shù)據(jù)通路為SDH網(wǎng)的網(wǎng)管和控制提供了強大的通信基礎結構。DCC是網(wǎng)管的物理通道，有自己的協(xié)議棧。

　　為了在SDH的DCC上傳送OAM信息，SDH網(wǎng)絡選擇了一套類似七層協(xié)議棧來滿足應用要求。它符合開放系統(tǒng)管理所采用的面向目標的方法，即應用層含公用管理信息服務單元（CMISE）、遠端操作服務單元（ROSE）和聯(lián)系服務控制單元（ACSE）。該協(xié)議棧是面向無連接方式的，同時其表示層、會晤層和傳送層提供了為支持ROSE和ACSE所需的面向連接的服務，數(shù)據(jù)鏈路層遵循Q.921所規(guī)定的D通道鏈路接入規(guī)程，物理層為SDH的DCC.

　　其中在第七層中設置的公用管理信息單元（CMISE）是面向目標的服務和協(xié)議的典范，它定義了面向目標的消息結構和操作目標，使不同網(wǎng)管系統(tǒng)和設備間互操作的實現(xiàn)比較容易。但不同的廠家對其設計與開發(fā)不盡相同，造成不能互操作。作為廠家他們?yōu)楸Ｕ献约旱氖袌雠c利益不太重視互操作性，而作為運營商為提高服務品質(zhì)，必須注重提高網(wǎng)絡的管理功能，從這一角度來說，不同網(wǎng)管系統(tǒng)和設備間互操作的實現(xiàn)是要靠運營商的推動。

　　三、小 結

　　總之，綜合網(wǎng)管建設是一項長期、復雜的工作，按照專業(yè)及區(qū)域分階段進行建設，不但可滿足當前的一些業(yè)務需求，而且可降低軟件開發(fā)的難度（因不同專業(yè)的綜合網(wǎng)管軟件開發(fā)難于同一專業(yè)不同廠家設備網(wǎng)管的軟件開發(fā)），從而降低了投資風險。