從比特到場景，從簡單模擬到現(xiàn)網(wǎng)重現(xiàn)

作者/孫震 Keysight Technology , Ixia Solutions Group應(yīng)用和安全業(yè)務(wù)發(fā)展總監(jiān)

　　通信技術(shù)自以太網(wǎng)和IP技術(shù)出現(xiàn)以來，針對網(wǎng)絡(luò)設(shè)備以及網(wǎng)絡(luò)，包括現(xiàn)在的虛擬網(wǎng)絡(luò)，云平臺的測試技術(shù)也在一直發(fā)展中。其工作原理，簡單來說就是通過專用儀表模擬產(chǎn)生并發(fā)送網(wǎng)絡(luò)數(shù)據(jù)包來對網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)架構(gòu)進(jìn)行性能，壓力，以及安全型測試。在這里儀表起到的作用是模擬現(xiàn)實網(wǎng)絡(luò)流量環(huán)境，用于網(wǎng)絡(luò)設(shè)備的研發(fā)，網(wǎng)絡(luò)性能和安全的驗證，各種網(wǎng)絡(luò)通信技術(shù)實驗室評估，以及各種檢測機(jī)構(gòu)的日常測試工作。這種用儀表來模擬網(wǎng)絡(luò)環(huán)境流量的方式，在成本，技術(shù)實現(xiàn)，和測試可重復(fù)性方面都有著巨大的優(yōu)勢。

　　1流量仿真測試技術(shù)的發(fā)展

　　測試儀表往往是隨著網(wǎng)絡(luò)設(shè)備的研發(fā)和演進(jìn)而發(fā)展的。九十年代初以太網(wǎng)交換機(jī)剛剛出現(xiàn)時，美國的一位以太網(wǎng)交換機(jī)研發(fā)者為驗證其交換機(jī)的性能，專門制作了一臺能夠發(fā)送以太網(wǎng)數(shù)據(jù)幀的數(shù)據(jù)包發(fā)生器，依據(jù)的測試方法主要是RFC1944以及后來的RFC2544，測試吞吐量，時延，丟包率等指標(biāo);

　　到九十年代末期，防火墻等網(wǎng)絡(luò)安全產(chǎn)品成為網(wǎng)絡(luò)技術(shù)的新關(guān)注點(diǎn)。同樣的，對于防火墻這種新型的網(wǎng)絡(luò)設(shè)備，采用何種方法來進(jìn)行其性能測試也成了防火墻設(shè)備研發(fā)者面臨的一道課題。為此，思科公司PIX防火墻系列研發(fā)團(tuán)隊經(jīng)過種種努力制作了一臺能夠測試防火墻并發(fā)連接數(shù)以及模擬用戶上網(wǎng)行為的設(shè)備，它能夠支持的應(yīng)用協(xié)議包括HTTP, FTP，DNS, Email等十幾種。這也促成了RFC3511在2003年推出。其規(guī)定的HTTP新建/并發(fā)等測試指標(biāo)，目前仍然是測試有狀態(tài)流量設(shè)備的必測試項目。

　　時間進(jìn)入二十一世紀(jì)，網(wǎng)絡(luò)設(shè)備硬件處理技術(shù)不斷提高。多核, NP技術(shù)的出現(xiàn)使得網(wǎng)絡(luò)設(shè)備數(shù)據(jù)處理應(yīng)用業(yè)務(wù)的能力大大提高。應(yīng)用層識別技術(shù)成為焦點(diǎn)，尤其是DPI(深度報文檢測)與內(nèi)容感知(Content Aware)等技術(shù)的應(yīng)用。 “普通報文檢測”僅分析IP包的4層以下的內(nèi)容，包括源地址、目的地址、源端口、目的端口以及協(xié)議類型，而深度報文檢測和內(nèi)容感知技術(shù)除了對前面的層次分析外，還要分析識別各種應(yīng)用及其內(nèi)容;另外，網(wǎng)絡(luò)安全成為人們的關(guān)注的另一個焦點(diǎn)。各種網(wǎng)絡(luò)攻擊此起彼伏，重要資料密碼的失竊率大大提高，攻擊技術(shù)通過偽裝可以繞過防火墻和防護(hù)技術(shù)，攻擊特征更難被發(fā)現(xiàn)，更難進(jìn)行檢測。面對出現(xiàn)的安全漏洞新類型，IT和安全管理人員需要不斷用最新的補(bǔ)丁修補(bǔ)這些漏洞。面對這樣的狀況，需要一款新型儀表來來測設(shè)備和網(wǎng)絡(luò)的內(nèi)容識別和安全能力。2005年BreakingPoint的誕生，就是為了解決這個問題。

　　BreakingPoint率先把流量場景概念引入到了測試中，并且可以仿真出現(xiàn)網(wǎng)一樣的高性能高帶寬。流量場景是網(wǎng)絡(luò)中各種應(yīng)用，傳輸內(nèi)容，流量形態(tài)按一定比例的混合。BreakingPoint通過自己的研究和第三方合作，已經(jīng)在產(chǎn)品中內(nèi)置了上百種典型的流量場景，如企業(yè)網(wǎng)流量場景，數(shù)據(jù)中心流量場景，校園網(wǎng)流量場景，移動網(wǎng)流量場景，等等。方便用戶可以實驗室里進(jìn)行選擇和測試。另外，用戶也可以根據(jù)自己的研究和理解來實現(xiàn)自己想要的流量場景。BreakingPoint平臺目前支持(截止2017年9月)： 400多種典型應(yīng)用，3700多種典型應(yīng)有庫，8000多種特征攻擊手法，180多種逃避技術(shù)，30000多種病毒和惡意軟件，以及其它典型的Botnet，DDOS攻擊手法。 為了實時跟蹤網(wǎng)絡(luò)中的最新動態(tài)，這些應(yīng)用和攻擊庫還可以每2周得到一次更新。 有了這些應(yīng)用和攻擊庫的支撐，BreakingPoint就可以方便的構(gòu)建出各種復(fù)雜的應(yīng)用場景，攻擊場景，并通過高性能測試儀表把發(fā)送出來。其基本過程如圖1所示。

　　圖1 BreakingPoint平臺可以方便的構(gòu)建出各種復(fù)雜的應(yīng)用場景

　　流量場景測試可以產(chǎn)生接近于真實網(wǎng)絡(luò)流量形態(tài)，能夠保證被測設(shè)備的測試指標(biāo)與實際使用中的性能指標(biāo)相符合，是衡量設(shè)備或網(wǎng)絡(luò)在典型真實環(huán)境流量里表現(xiàn)的重要方法。也是目前業(yè)界進(jìn)行安全和應(yīng)用層測試的主流方法，和重要指標(biāo)。比如，NSSLAB也在其系列測試方法學(xué)中規(guī)定了不同流量場景測試的具體方法。

　　BreakingPoint目前是最為常用的實驗室進(jìn)行流量場景仿真測試平臺，但仍沒有解決一個問題：就是如何針對一個具體客戶，一個具體網(wǎng)絡(luò)的流量情況在實驗室能夠完整的重現(xiàn)? 而不僅僅是發(fā)送一些典型的流量場景。 近期，TrafficRewind技術(shù)的出現(xiàn)，幫助用戶實現(xiàn)了這樣的要求。

　　2在實驗室內(nèi)再現(xiàn)生產(chǎn)網(wǎng)絡(luò)真實流量場景

　　在實驗室環(huán)境內(nèi)完整反映某特定生產(chǎn)網(wǎng)絡(luò)流量在某個時間段的流量過程，被認(rèn)為是一個相當(dāng)有挑戰(zhàn)和棘手的問題。各種機(jī)構(gòu)和實驗室為嘗試復(fù)現(xiàn)真實網(wǎng)絡(luò)流量狀況也一直投入大量的時間和資源。早期的做法是，使用高性能網(wǎng)卡+大存儲去捕捉生產(chǎn)網(wǎng)流量，然后通過網(wǎng)卡高性能的進(jìn)行回放。這種方法的主要問題是，花費(fèi)高，回放流量無狀態(tài)，測試不靈活，內(nèi)容不可修改，結(jié)果也不可重復(fù)。

　　TrafficREWIND融合了Ixia流量可視化方案和專業(yè)測試工具能力，通過記錄和再現(xiàn)生產(chǎn)網(wǎng)絡(luò)流量，提供更加高效的服務(wù)與網(wǎng)絡(luò)部署。具體的實現(xiàn)是將對生產(chǎn)網(wǎng)絡(luò)流量形式的監(jiān)聽和記錄轉(zhuǎn)化為高度真實的測試流量配置, 所生成的測試配置文件用在BreakingPoint測試平臺上，然后對產(chǎn)品和網(wǎng)絡(luò)方案進(jìn)行評估和測試。對生產(chǎn)網(wǎng)絡(luò)的監(jiān)聽會充分利用應(yīng)用與安全威脅情報處理器(Application and Threat Intelligence Processor，ATIP)技術(shù)，通過獨(dú)特的NetFlow擴(kuò)展來記錄豐富的元數(shù)據(jù)，涉及各種網(wǎng)絡(luò)應(yīng)用，協(xié)議分布，流量行為，帶寬變化等內(nèi)容。

　　TrafficREWIND可在任意生產(chǎn)網(wǎng)絡(luò)任意位置輕松部署，提供了可擴(kuò)展的實時系統(tǒng)架構(gòu)，以記錄并合成較長時間段內(nèi)(長達(dá)7天)的流量特征。由于不記錄數(shù)據(jù)的Payload實際負(fù)載，所以不存在任何法律或合規(guī)問題。TrafficREWIND不僅能夠復(fù)制現(xiàn)實世界中應(yīng)用的流量狀況，而且還前所未有地增加了在一定時期內(nèi)流量構(gòu)成動態(tài)變化的測試維度，進(jìn)而對網(wǎng)絡(luò)及應(yīng)用的實時特征進(jìn)行建模。

　　圖2 TrafficREWIND利用ATIP元數(shù)據(jù)在BreakingPoint測試臺內(nèi)重建生產(chǎn)網(wǎng)絡(luò)流量形態(tài)

　　圖2展示了整個TrafficREWIND系統(tǒng)的工作過程: 左邊的應(yīng)用流量處理器大量實時偵聽生產(chǎn)網(wǎng)絡(luò)里的流量并記錄流量形態(tài)，然后將流量形態(tài)的實時發(fā)送給中間的虛擬設(shè)備，虛擬設(shè)備經(jīng)過過濾和選擇來形成需要測試的流量摘要，然后以配置文件的形式發(fā)送給右邊的BreakingPoint測試儀表，測試儀表重建流量模型，對 被測設(shè)備/系統(tǒng)/網(wǎng)絡(luò) 進(jìn)行測試。

　　從流量仿真測試技術(shù)的發(fā)展來看，其特點(diǎn)從最早的簡單Bit級的測試，已經(jīng)逐步過渡到了可以真實反映某個特定網(wǎng)絡(luò)特定時間的流量情況測試。其更大的技術(shù)背景是：以太網(wǎng)和IP技術(shù)作為基礎(chǔ)架構(gòu)的網(wǎng)絡(luò)，從原來的簡單數(shù)據(jù)傳送管道，已逐步過渡到一個安全的，業(yè)務(wù)識別的，高效的智能管道。流量仿真測試技術(shù)，不管是過去，現(xiàn)在，還是在未來，都是保障這個管道更加智能更加健壯的重要技術(shù)手段。