测量tracert

Vol.
14,No.
12003JournalofSoftware软件学报1000-9825/2003/14(01)0110Internet测量与分析综述张宏莉+,方滨兴,胡铭曾,姜誉,詹春艳,张树峰(哈尔滨工业大学计算机科学与技术学院,黑龙江哈尔滨150001)(国家计算机信息内容安全重点实验室,黑龙江哈尔滨150001)ASurveyonInternetMeasurementandAnalysisZHANGHong-Li+,FANGBin-Xing,HUMing-Zeng,JIANGYu,ZHANChun-Yan,ZHANGShu-Feng(SchoolofComputerScienceandTechnology,HarbinInstituteofTechnology,Harbin150001,China)(StateKeyLaboratoryofComputerInformationContentSecurity,Harbin150001,China)+Correspondingauthor:Phn:86-451-6418272,E-mail:zhl@pact518.
hit.
edu.
cnhttp://www.
pact518.
hit.
edu.
cnReceived2002-04-04;Accepted2002-08-02ZhangHL,FangBX,HuMZ,JiangY,ZhanCY,ZhangSF.
AsurveyonInternetmeasurementandanalysis.
JournalofSoftware,2003,14(1):110~116.
Abstract:Internetmeasurementandanalysisprovidesatechniqueplatformforimprovingnetworkmanagement,increasingnetworkavailabilityandavoidinglarge-scalenetworkattack.
Soithasbecomeanimportantissuewidelyconsideredbyresearchers,industriesandgovernment.
Inthispaper,thechiefresearchofthenetworkmeasurementandanalysisanditsresearchtrendintheworldareintroduced.
Andthekeytechniquesandthedifficultproblemsareexplored.
Threetypicalapplicationexamplesarealsogiven.
Keywords:networkmeasurementandanalysis;Internetmapping;networksecurity;networkmanagement;TCP/IP;BGP摘要:Internet的测量与分析为加强网络管理、提高网络利用率、防范大规模网络攻击提供了技术平台,已成为学术界、企业界和国家政府部门所普遍关心的重要问题之一.
介绍了网络测量与分析的主要研究内容,以及国内外相关领域的研究现状,并对该领域的关键技术和难点问题进行了分析,同时给出了网络测量与分析的3个典型应用案例.
关键词:网络测量与分析;Internet映射;网络安全;网络管理;TCP/IP;BGP中图法分类号:TP393文献标识码:A随着Internet重要性的日益提高和网络结构的日益复杂,越来越有必要对网络的整体拓扑结构和网络行为进行深入的了解、分析,以利于发现网络瓶颈,优化网络配置,并进一步发现网络中可能存在的潜在危险.
为此,需要对大规模网络结构进行动态描述,并根据网络流量的变化分析网络的性能,为加强网络管理、提高网络利SupportedbytheNationalHigh-TechResearchandDevelopmentPlanofChinaunderGrantNo.
2002AA142020(国家高技术研究发展计划);theNationalNaturalScienceFoundationofChinaunderGrantNo.
60203021(国家自然科学基金)第一作者简介:张宏莉(1973-),女,吉林榆树人,博士,副教授,主要研究领域为网络信息安全,并行处理.

张宏莉等:Internet测量与分析综述111用率、防范大规模网络攻击提供技术平台.
Internet的测量与分析已成为学术界、企业界和国家政府部门普遍关心的重要问题之一.
网络测量与分析主要分为3个研究领域:(1)测量.
精确地捕捉定量的因特网及其活动的测量数据.
通常,网络测量的主要参数包括RTT、路径数据、带宽、延迟、瓶颈、突发业务量的频率、拥塞程度、动态瓶颈、站点的可达性、吞吐量、带宽利用率、丢包率、服务器和网络设备的响应时间、最大的网络流量、网络服务质量QoS(包括图像、数据、语音等服务的质量)等.
需要指出的是,在网络层次的测量中,需要测量的一类属性是网络固有的,如它的拓扑、连接容量、延迟;另一类属性反映了网络的当前状态,如排队延迟、连接可用性、路由的动态性.

(2)模型化.
这是性能评价的核心问题——建立正式的网络描述与模拟.
这种模型的有效应用可实现对未来网络行为的预测.
(3)控制.
利用从测量和模型化得到的知识,实现因特网资源的合理配置与使用.

测量网络的拓扑结构,对大规模网络结构进行动态描述,并根据网络的变化分析网络的性能,对网络效率和行为作出评价至少具有以下几方面的应用:(1)网络监视.
包括对网络运行情况的监视、网络资源的监视和网络性能(如业务吞吐量、时延、丢包率、RTT、带宽利用率、网络伸缩性(scalability)等)的监视等,并可提交故障及异常事件报告,作出相应的评价.

(2)网络质量控制和辅助性网络管理.
如发现并改正病态路由、根据长期观察的路由数据对网络选路制定策略、网络被破坏后的网络资源自组织等.
(3)防范大规模网络攻击,同时为信息攻击对抗提供必要的网络测绘和流量分析.
通过在大范围内进行网络行为监控,有可能发现网络异常,为防范大规模网络攻击提供预警手段,使国家对网络管理更具宏观控制力.

(4)网络测量还可以应用于对不同Internet服务提供商(Internetserviceprovider,简称ISP)的服务质量(qualityofservice,简称QoS)的比较、移动IP的位置发现、代理服务器的自动选择等许多方面.
(5)为仿真模拟Internet环境、协议设计与评价以及动态网络存活性分析提供研究基础.
(6)为Internet流量工程(trafficengineering)和网络行为学(networkbehavior)的研究提供基础辅助依据及验证平台.
1网络测量分类与研究进展综述网络测量的分类标准有多种.
根据测量的方式,分为主动测量和被动测量;根据测量点的多少,分为单点测量与多点测量;根据被测量者知情与否,分为协作式测量与非协作式测量;根据测量所采用的协议,分为基于BGP协议的测量、基于TCP/IP协议的测量以及基于SNMP协议的测量;根据测量的内容,分为拓扑测量与性能测量.
在主动测量方式中,通过向网络中发送数据,观察结果和发送数据所需时间来研究网络的行为.
主动测量向网络中发送实际的业务量,利用这些业务量测量反映网络提供给其他用户的服务的参数,包括round-triptime(RTT)和丢包率.
到目前为止,人们所做的大多数项目都涉及到主动测量.
比如,美国的NIMI(nationalInternetmeasurementinfrastructure)项目[1],利用ping,traceroute,mtrace等工具进行主动测量;AMP(activemeasurementprogram)项目,采用Ping进行双向测量,测量RTT、丢包率和拓扑.
到了2000年6月,运行主动测量监视器的源站点有116个(美国114个,新西兰、挪威各1个),被测量的目的站点约有13340个.
其目的是为了增强参与站点和用户对高性能网络运行情况的理解,帮助网络用户和提供商分析问题;Surveyor[2]是一个建立在全球参与站点上的测量平台,部分由NSF支持.
Surveyor测量Internet的路径性能,包括单向延时、损耗、路由测量等,并研究相应的分析方法与工具.
设有55个监测点,在1883条路经上进行单向时延测量;依托于UCSD/SDSC(UniversityofCalifornia,SanDiego,SupercomputerCenter)的研究部门CAIDA[3](CooperativeAssociationforInternetDataAnalysis),开展网络测量、分析、可视化工具的研发,维护全球因特网平台的健壮性和可扩放性,受到NSF(NationalScienceFoundation)、DARPA(DefenseAdvancedResearchProjectsAgency)、ISP(Internetserviceproviders)和硬件供应商的资助,研究对象包括Internet拓扑结构、网络负载、网络性能、网112JournalofSoftware软件学报2003,14(1)络路由,监测正/异常活动,关注带宽估计,负载刻画,长期趋势识别,以进行流量工程设计、能力计划、安全迹象检测,等等.
加拿大国家研究机构使用perlscript跟踪对TRIUMF感兴趣的节点.
每10分钟检测一次丢包率,每天收集4次tracert数据并生成网络可视化图,参见http://www.
triumf.
ca;欧洲的PPNCG(ParticlePhysicsNetworkCoordinatingGroup)项目,监视全欧洲某些粒子物理研究所的网络端到端性能,并加以优化,参见http://icfamon.
rl.
ac.
uk/ppncg/title.
html.
在主动测量项目中,测量的范围比被动测量大得多,可大到全球.
如此庞大的测量体系,有可能造成较大的网络负荷,且难以统一配置和管理.
在被动测量方式中,记录网络活动的探针被接入到网络中,在大多数情况下探接到网络节点之间的连接上,汇总和记录那条连接上业务流量的信息.
目前开展的被动测量项目有:受美国国家科学基金会NSF资助的美国应用网络研究国家实验室(NLANR)的测量项目PMA(passivemeasurementandanalysis),旨在为高级网络(如vBNS,Abliene)提供协作性的服务支持.
它采用OC3mon数据搜集系统,包括专门的群机系统、装有FOREATMcards和OpticalSplitters(分光器),采集ATM的数据流,使用CoralReef根据一定的规则集进行数据采集,并可使用perl等语言对数据进行分析,参见http://moat.
nlanr.
net/;BerkerleyUniversity和IBM共同开发的SPAND(sharedpassivenetworkperformancediscovery)项目,它通过对捕捉到的UDP/TCP分组进行分析得到连接带宽、丢包率等性能,等等.
被动测量主要在一个特殊点观察网络的行为,不增加和修改通过网络的数据负载,因此对网络的行为没有影响.
这种方法能够达到对观察点网络行为的详尽理解,但难以获得对网络的整体理解,或者对网络的端到端行为的理解.
被动测量经常用于测量业务量的特征.
同时不难看出,被动测量的前提是协作,否则无法在测量点安装必要的软、硬件设备,其测量范围由此而受限.
从测量点的数量来讲,网络测量分为单点和多点测量.
在研究初期,许多工作都属于单点测量,但因为测量能力有限,搜集的信息不全面,分布式多点测量应运而生,尤其是多点主动测量,利用多个探测点得到的数据,能够综合出大规模的网络数据和单点所得不到的交叉路由信息.
单点测试的典型例子是贝尔实验室的InternetMapping项目,这是一个非合作测量.
该项目成功地描述了科索沃战争期间南斯拉夫和科索沃两个网络的拓扑变化情况,这表明在IP网络测量中,单点非合作测量具有相当强的网络探测能力.
这也是网络测量在军事领域中应用的典范[4].
在拓扑测量方面,多数项目显示的是逻辑拓扑关系图.
随着测量范围的扩大,整张图规模结构也随之扩大,这时,人们往往希望与实际地域位置相对应,也就是具有地理信息的拓扑图.
Skitter(CAIDA)针对从几个源点到成千上万个目标点收集到的路径信息进行拓扑结构和性能属性的可视化,并且开展了AS的地理信息图方面的研究.
在性能测量方面,相关项目开展得较多,测量内容包括吞吐量、延迟、丢包率,并作网络可靠性、稳定性、可达性等方面的分析.
这一方面是为了对一个特定网络进行维护管理,保障服务质量,如PPNGG和TRIUMF项目;另一方面是为了预报网络性能,如NPACI'sNetworkWeatherService[5]每隔一定的时间间隔,周期性地监视、动态地预报(各种网络及计算资源)网络性能.
收集某一时刻的数据,通过数值模型预测下一时段的TCP/IP端到端的吞吐量、延迟,主要用于广域网上的大规模计算的调度,在元计算软件平台上开发服务质量保证.
更深入的分析,如异常检测,尚在研究之中.
国内的国防科学技术大学、西南交通大学等单位在基于ICMP协议的IP拓扑探测方面的技术比较成熟,但未见有其他面向INTERNET的大规模网络测量与分析、可视化技术的相关报道.
目前,哈尔滨工业大学计算机科学与工程系实现了一个大规模网络拓扑测量的原型系统,能够针对大规模网络进行路由IP拓扑结构的自动发现,并进行可视化显示.
该课题组对全国范围内的近17万个IP进行了探测,获得了1612个路由IP结点间的2940个连接关系,并结合各IP的地理信息,生成了分层次的地理拓扑图.
与实际结构相比,准确度达到90%以上.
其中的省级拓扑图和局部逻辑连接图如图1、图2所示.
张宏莉等:Internet测量与分析综述113Fig.
1Networktopologybetweentheprovinces图1省级网络拓扑图Fig.
2LogicalnetworktopologybetweenrouterIPs图2路由IP局部逻辑连接图综上所述,网络测量与分析项目的开展已引起世界各国的高度重视,参与测量的国家遍及五大洲.
以美国为例,该项目受到了美国国家科学基金会NSF、美国国防部高级研究项目处DARPA(DefenseAdvancedResearchProjectsAgency)、各ISP、公司企业的资助,著名高校也投身其中,如UniversityofCalifornia,SanDiego,CMU,UIUC,StanfordUniversity,UniversityofOregon.
由此可见,这是一个不但具有广阔的实际应用前景,而且具有极高的学术价值和深远的战略意义的课题.
2技术路线与难点问题分析(1)IP拓扑测量.
主要测量方法分为两类:基于SNMP协议、基于ICMP协议.
前者主要通过访问MIB库进行拓扑关系的获取,由于权限的关系,适合于在具有管辖权的网络范围内进行测量,所以难以推广应用.
后者通过Tracert实现,可用于Internet上的大规模网络测量,但当网络上安装有防火墙软件时,则无法进行测量.
过程如下:首先得到网络IP地址分段,然后利用路由追踪技术得到一个数据包从源IP地址到目的IP地址所经历的所有路由器的IP地址,对某一网络的所有IP地址进行路由追踪,就会得到该网络所有的路由器的IP地址及互联关系.
路由追踪技术是基于下面的原理来实现的:首先以TTL=1向目的IP地址的一个不可达端口(通常是10000以上的端口)发一个udp包,这个包在经过第1个路由器以后,将被路由器丢弃,同时路由器将向源主机发送一个ICMP包通知该包丢失,通过解开这个ICMP包,就可以得到该路由器的IP地址.
然后,我们再以TTL=2向目的IP地址发udp包,重复上面的操作,直到返回的ICMP包的类型为目的端口不可达,表明已经到达了目的主机,这样就得到从本机到目的主机所经过的路由器IP地址.
目前,所有的路由器都支持这种实现方式.
根据由数据搜集模块得到的路径总表,可以直接生成反映逻辑连接关系的路由IP拓扑图,结合各IP所在的地理位置,可以生成城市覆盖拓扑图.
(2)AS拓扑测量.
总的来说,生成AS级拓扑图的方法可归结为基于BGP路由信息的AS图、基于Traceroute的AS图以及基于某些特性采用拓扑生成器合成(synthesizing)的AS级拓扑图三类[6].
其中,第1种方法较为普遍.
该方法有被动测量和主动测量两种测量方式可供选择.
前者在关键路由节点获取BGP数据包,再采用有限状态自动机技术,对捕获的BGPupdate报文进行处理;后者自备一台路由器,运行BGP协议,通过与ISP协商,与相应的路由器建立BGP对等连接,只接收路由更新报文,不转发用户数据,这需要对等双方对相应路由器的正确配置.
在大量测量数据的基础上,生成AS拓扑连接图.
通过AS拓扑连接图,可以直观地了解各AS连接关系,分析出哪些AS起重要作用,不仅可以为新AS的接入提供指导,而且还可以为将来信息战中的计算机攻防提供指导依据.
114JournalofSoftware软件学报2003,14(1)(3)基于TCP/IP协议的网络性能测量与分析.
为了考察网络的稳定性、可达性、可靠性及网络服务质量,需周期性、连续测量的性能参数包括丢包率、RTT、流量、路径的平均跳数等;在此基础上,以时间为主线分析各路径上各项指标的动态变化,以空间为主线统计分析某一时刻整个网络的整体态势,如处于不同量级时延的节点总体数量分布等,分析端到端路由变化(或跳数的路由变化)等[7].
其他分析还包括,对探测得到的数据进行数据挖掘(datamining),或者利用已有的模型(Petri网、自相似性、排队论)研究其自相似特征.
由于对网络性能测量的实时性要求较高,所以探测频率往往很大,但必须保证不要由此对网络造成较大的额外负荷,同时注意隐藏探测踪迹.
(4)网络运行态势综合分析.
基于多个监测点,在不同时段收集的测量数据,生成被测网络的综合态势战略图,真正实现"运筹帷幄而决胜于千里之外".
该图除了具有不同层面属性的即时播放功能以外,还可以通过颜色标注、声音提示等进行流量异常、故障报警,为防范大规模网络攻击提供预警手段,同时,从网络攻击的角度,研究发展具有隐蔽性、高效的分布式网络侦察测量方法.
另外,进行综合分析,为用户提供QoS指数、病态路由报告,为改正病态路由、制定网络路由策略、进行网络破坏后的网络资源自组织等提供第一手依据.

(5)测量与分析结果的可视化.
网络测量与分析结果的可视化是一个关键环节.
通过研究,采用图形用户界面GUI、电子地图的任意缩放、拖动、电子地图的多层表示法、直方图、二维、三维坐标曲线、扇形图、表格、报表、二维平面图形、三维立体图形[8]等种种手段,结合GIS技术,对态势图进行层次化、可拖动、交互式分级显示,直观、形象地表示出测量分析结果.
折衷点在于,既要全面而客观地显示库中的数据,又要具有良好的视觉效果.
(6)网络行为建模、网络仿真、网络趋势预测.
网络拓扑发现和测量已经成为研究网络行为学的主要方法,网络行为的测量是整个网络行为学研究的基础[9].
网络行为的建模分析可采用排队论、Petri网、马尔可夫链、Poisson过程等理论.
由于Internet环境的复杂性、多变性、异构性,网络行为的建模分析和仿真分析变得步履维艰.
(7)网络测量的体系结构.
随着时间的推移,网络测量将不断扩展升级,所以在设计实施之初,就要充分考虑测量体系的可扩展性、可裁剪性及兼容性、容错性.
存在以下一些难点问题:(1)拓扑准确度.
单点测量因为测量能力有限,搜集的信息不全面;分布式多点测量,尤其是多点主动测量,利用多个探测点得到的数据,能够综合出大规模的网络数据和单点得不到的交叉路由信息,可以提高测量的准确度.
(2)网络额外负荷.
由于Internet是一个不断变化的庞大网络,网络测量要具有一定的实时性,并且要尽量降低这种大规模测量所带来的额外网络负载,与探测点的数目和探测的周期有关.

(3)地理信息的全面、自动提取.
传统的网管软件,在网址地理信息方面通常采用手工方式加以标注,这对于大规模的广域网来说是难以实现的;另一方面,目前大多数网络测量项目中所显示的也只有逻辑连接关系图,无法提供更切合实际的重要信息.
在逻辑连接图的基础上,通过获取和分析IP的登记信息和域名信息等构建地理分布图.
地理信息的全面、自动提取具有一定的难度,地理信息的采集可通过Whois信息库查询、域名反解析、特征字匹配等技术提高其精确度.
(4)易于维护的测量体系结构.
随着时间的推移,网络测量将不断扩展、升级,所以,在设计实施之初就要充分考虑测量体系的可扩展性、可裁减性及兼容性.
可扩展的测量策略允许用户在测量范围扩大或减小的情况下,只做简单配置就能保证整个系统正常运行.
(5)系统容错性.
保证系统具有良好的容错性,系统运行中断后能够从断点处继续执行,而不必对已测量过的探测目标重复进行测量.
(6)隐藏探测踪迹.
由于对网络性能测量的实时性要求较高,所以探测频率往往很大,为了不被误认为是网络入侵,注意隐藏探测踪迹,采用随机算法选择探测顺序可以很好地解决这个问题.

(7)测量结果可视化.
在测量结果的可视化阶段,由于数据规模的原因,如何在全面而客观地显示库中的数据的前提下保证具有良好的视觉效果,是一个主要问题.
在逻辑连接图中,由于在拓扑图中,点、线数量多且分布张宏莉等:Internet测量与分析综述115位置不确定,在绘制过程中会出现点线重叠、主次不分的"麻团"现象,因此需要提高数据分析和图的生成速度.

(8)网络建模与趋势预测.
3典型应用(1)网络测量在病毒发作期间中的应用:通过测量,记录病毒的传播及扩散情况.
DavidMoore生成了一个动画,记录了红色代码病毒自2001年7月8日上午~9日午夜14个小时以内的蔓延实况,详见http://www.
caida.
org/analysis/security/code-red/coderedv2_analysis.
xml.
并对各国受灾面作了统计分析,见表1.
Table1TotalIPinfectedbyRedcodeindifferentcountries表1各国感染红色代码病毒的IP数Country/RegionUnitedStatesKoreaChinaTaiwanCanadaBritainGermanyAustraliaJapanNewZealandPercentage43.
9110.
575.
054.
213.
473.
323.
282.
392.
312.
16IPtotal157694379481814115124124691191811762858782827771(2)网络测量在战争中的应用:验证、核实战争中军事打击对网络的摧毁程度及战后网络恢复状况.
StevenBranigan和BillCheswick测量了1999年3月~7月8日期间,南斯拉夫网络的每日拓扑情况.
从图3中可以看出,某些IP连接处于不断消失与重现状态.
参见http://research.
lumeta.
com/ches/map/yu/index.
html.
May7May8Fig.
3ThechangeofYugoslavianetworktopology图3南斯拉夫网络拓扑的变化情况May9May6May5May4May3May2May1(3)网络测量在网络管理方面的应用:监控与维护大规模网络的运行状态.
如美国实用网络研究国家实验室NLANR(NationalLaboratoryforAppliedNetworkResearch)开展的研究工作,主要服务于超高性能连接站点和高性能网络服务提供商(NSF/MCI超高性能骨干网络服务商vBNS).
4结束语面向Internet的网络测量与分析是一个具有重要理论研究价值和广泛的实际应用背景的课题.
所有的互联116JournalofSoftware软件学报2003,14(1)网管理者、运营者和使用者都将从中获益.
References:[1]PaxsonV.
End-to-EndroutingbehaviorintheInternet.
IEEE/ACMTransactionsonNetworking,1997,5(5):601~615.
[2]KalidindiS,ZekauskasMJ.
Surveyor:aninfrastructureforInternetperformancemeasurements.
In:ProceedingsoftheINET'99.
SanJose,1999.
http://www.
isoc.
org/inet99/proceedings/4h/4h_2.
htm.
[3]ClaffyK,MonkTE,McRobbD.
Internettomography.
Nature,1999,January7.
http://www.
nature.
com/nature/webmatters/tomog/tomog.
html.
[4]BurchH,CheswickB.
MappingtheInternet.
IEEEComputer,1999,32(4):97~98.
[5]WolskiR,SpringN,HayesJ.
Thenetworkweatherservice:adistributedresourceperformanceforecastingserviceformetacomputing.
JournalofFutureGenerationComputingSystems,1999,15(5):757~768.
[6]ChangH,JaminS,WillingerW.
InferringAS-levelInternettopologyfromrouter-levelpathtraces.
In:ProceedingsoftheSPIEITCom2001.
2001.
http://citeseer.
nj.
nec.
com/chang01inferring.
html.
[7]GovindanR,TangmunarunkitH.
HeuristicsforInternetmapdiscovery.
In:ProceedingsoftheIEEEINFOCOM2000,Vol3.
2000.
1371~1380.
http://citeseer.
nj.
nec.
com/govindan00heuristics.
html.
[8]MunznerT.
Interactivevisualizationoflargegraphsandnetworks[Ph.
D.
Thesis].
StanfordUniversity,2000.
[9]TauroSL,PalmerC,SiganosG,FaloutsosM.
AsimpleconceptualmodelfortheInternettopology.
In:ProceedingsoftheIEEEConferenceofGlobalTelecommunications.
2001.
http://www.
cs.
ucr.
edu/~michalis/PAPERS/jellyfish-GI.
pdf.
第3届全国虚拟现实与可视化学术会议(CCVRV2003)征文通知由中国计算机学会虚拟现实与可视化技术专业委员会和中国图像图形学会虚拟现实专业委员会联合主办、国防科技大学承办的第3届全国虚拟现实与可视化技术及应用学术会议将于2003年10月18日~20日在长沙/张家界举行.
本次会议将集聚国内从事虚拟现实与可视化技术的研究人员和工程技术人员,广泛开展学术交流、研究发展战略、推动成果转化、共同促进虚拟现实与可视化技术的发展与应用.
本次大会的论文集将正式出版,其中优秀论文将推荐到著名计算机刊物上发表.
会议将邀请国内外著名专家作专题报告,同时将举办科研成果和最新产品展示会,为各研究开发单位及有关厂商展示自己的成果、产品提供场所.