DPI системы используют технологию накопления статистической информации, а также фильтрации и контроля сетевых пакетов, учитывая их содержание. Они работают по более глубокому принципу, чем брандмауэры, анализирующие лишь заголовки пакетов. Эта технология проверяет содержимое трафика на втором уровне модели OSI и выше. Системы могут идентифицировать и останавливать вирусы, отсекать ненужную информацию. Решение о блокировке может приниматься также по косвенным симптомам, по которым распознаются определенные протоколы и программы.
Обзор технологии и ситуации на рынке
Как свидетельствует статистика, за 5 лет в нашей стране значительно увеличилась группа пользователей, которые регулярно (как минимум один раз в течение 24 часов) подключаются к интернету. Если раньше этот показатель был на уровне 31%, сегодня он вырос до 57%. Если перевести эти данные в количество, получается около 66,5 млн человек.
С 2010 года отмечается стремительный рост мобильных пользователей. По статистике, на текущий момент больше трети всех посещений сайтов происходят со смартфонов (3/4 от общего количества) и прочих портативных устройств.
Несмотря на различные неблагоприятные факторы, эксперты прогнозируют дальнейшее увеличение мобильного трафика. Операторы вынуждены реагировать на изменения и искать дополнительные способы улучшения качества своих услуг, поэтому для них актуальной становится технология контроля сетевого трафика. Как считают эксперты, к 2020 году глобальный рынок DPI превысит 4,7 млрд долларов.
Что собой представляют DPI системы анализа и фильтрации пакетов?
Технология DPI позволяет не только оптимизировать пропускную способность канала, но и способна поднять уровень безопасности при работе с информацией. Интерес в нашей стране к подобным решениям подогрет на законодательном уровне. Государство требует от операторов связи ограничения доступа абонентов к неправомерному контенту.
Решения по глубокому анализу трафика позволяют:
- бороться с терроризмом;
- защищать от сетевых атак;
- блокировать выполнение вредоносного ПО;
- гарантировать скорость и качество доступа в интернет;
- исключать сетевые перегрузи;
- дифференцировать трафик, обеспечивать равномерность потока и распределение приоритетов.
Системы DPI помогают распределить нагрузку, чтобы пользователи не замечали снижение скорости и оставались довольны качеством связи. Такие системы в основном устанавливаются на границе сети оператора в разрыв имеющихся аплинков, которые уходят от пограничных маршрутизаторов. Это позволяет направлять весь входящий и исходящий трафик через DPI, что повышает точность контроля и мониторинга. Специфические задачи решаются путем установки оборудования ближе к конечным пользователям, на уровень CMTS и так далее.
Carbon Reductor DPI X
Операторы рынка уже давно оценили преимущества технологии DPI, однако не так много разработчиков, готовых предложить оптимальные решения для небольших и средних компаний. Одним из разработчиков такого ПО является наша компания. Мы создаем и поддерживаем актуальный продукт – Carbon Reductor DPI X.
Это программное решение:
- автоматически не допускает трафик на ресурсы, находящиеся в списке Минюста и Роскомнадзора;
- делает компанию полностью соответствующей российскому законодательству по ФЗ-436, ФЗ-398, ФЗ-187, ФЗ-149, ФЗ-139 (страхует от штрафов);
- работает по схеме «зеркалирования трафика»;
- использует 8 технологий фильтрации (поддерживаются: HSTS, TCP/IP, BGP/OSPF, HTTPS, DNS, HTTP);
- способно проверять до 900 тысяч пакетов трафика в секунду;
- имеет понятный веб-интерфейс;
- использует минимум аппаратных ресурсов;
- поддерживает IPv6.
Поскольку наши разработчики готовят изменения за несколько месяцев до поправок и рекомендаций, в распоряжении компаний всегда актуальный продукт, соответствующий текущим требованиям к анализу и фильтрации трафика.
Из чего состоит DPI?
DPI обеспечивает:
- анализ трафика;
- ограничение доступа абонентов к сайтам;
- персонализацию сервисов;
- ограничение использования некоторых сетевых протоколов.
Системы имеют такой состав:
- PCC – разделяет физический поток данных на логические сессии;
- PCRF – «мозг», использующий необходимые правила (установление параметров качества обслуживания, применение дополнительных сервисов и так далее);
- PCEF – применяет PCC-правила к трафику, проводит тарификацию;
- OCS – контроль баланса абонента, тарификация сервисов, применение скидок, подсчет объема услуг;
- Billing – сохраняет данные о балансе абонентов, предоставляет доступ к ним серверу OCS;
- Access network – сеть подключения абонента к поставщику услуг, содержит в себе все клиентские устройства;
- Transcoding, optimization server – кэширование данных для улучшения пропускной способности;
- AAA Server – идентифицирует абонентов, ведет учет используемых ресурсов (протокол RADIUS);
- BBERF – сообщает PCRF об активации сессии с отправкой идентификатора абонента и прочих показателей для точного определения QoS-правил обслуживания;
- UDR – обеспечивает хранение данных пользователей.
Варианты использования DPI систем
Предусмотрено 9 возможных сценариев:
- контроль и анализ трафика;
- его приоритизация;
- улучшение аплинков;
- равномерное распределение канала для всех абонентов;
- кэширование;
- оценка поведения участников сети;
- уведомление абонентов;
- ограничение доступа к определенным интернет-ресурсам;
- защита трафика от перехвата и прочих атак.
Необходимое оборудование для DPI систем
Программная часть системы способна работать продуктивнее при наличии определенного «железа». В основном, для этого используются готовые решения, в которые входит оборудование с предустановленным ПО.
Обычно стандартная комплектация DPI систем глубокой фильтрации трафика содержит:
- Сетевые карты с режимом Bypass, соединяющим интерфейсы на первом уровне. Даже если питание сервера внезапно прекращается, линк между портами продолжает действовать, пропуская трафик за счет питания от батарейки.
- Систему мониторинга. Дистанционно контролирует показатели сети и выводит их на экран.
- Два блока питания, способные заменить друг друга при необходимости.
- Два жестких диска, один или два процессора.
Для расширения функций могут подключаться внешние средства хранения. Поскольку в этом случае высокая скорость доступа не нужна, подходит решение в виде одной СХД (системы хранения данных) и нескольких дисковых полок, подключенных к ней.
Головное устройство оснащено двумя контроллерами, каждый из которых имеет порты для подключения к сети и полок расширения. Используется процессор Intel® Xeon® E5-2600 V4. Для повышения отказоустойчивости применяется два блока питания.
ОС SmartOS выполняет управление дисками. За счет применения технологии RAID-Z и новой файловой системы ZFS оборудование получает массу преимуществ:
- контроль целостности логических и физических дисков;
- минимизация фрагментации информации;
- высокая скорость доступа к дискам.
Чтобы увеличить объем хранимых данных, JBOD подключается к головному устройству. На одной полке может размещаться до 70 дисков. Такой метод позволяет в ускоренном режиме увеличить объем системы хранения.
Схемы подключения DPI
Существует две основные схемы:
- Активная. Установка «в разрыв». Обеспечивает реализацию полного функционала. Устройство подключается после пограничного маршрутизатора в разрыв uplink. Благодаря такой схеме через DPI проходит весь трафик. Это открывает широкие функциональные возможности для его обработки. Однако в такой схеме есть минус. Если устройство выходит из строя, нарушается связь. Для этого рекомендуется использовать либо резервную платформу, либо Bypass устройства.
- Пассивная. «Зеркалирование трафика» происходит через оптические сплиттеры либо SPAN-порты. Подобная схема открывает доступ к множеству функций: предварительная фильтрация СОРМ, кэширование, переадресация запросов блокировки, онлайн-снятие click stream и так далее. Если сеть уже действует, такая схема позволяет за 1-2 дня внедрить DPI.
Заключение
Системы DPI достаточно сложны, чтобы уместить их подробное описание в одном информационном материале. Однако с учетом этих данных можно составить понятную картину, насколько продуктивными и востребованными являются подобные решения. В руках профессионалов системы DPI – ценные инструменты, улучшающие качества сервиса и безопасность абонентов, а в российской действительности полностью соответствовать законодательству и спокойно работать в качестве оператора связи.
