网络流量控制

实时在线即时通信不同于传统的邮件或者FTP,K0是保持实时在线的状态，恒个人可以通过即时通信显示自己的状态，是否在线，是否忙碌，是否乐意交谈等。互联网越来越普及，即时通信逐渐地融合到各类设备中去，比如平机、掌上电脑。这样，每个用户通过即时通信的在线时间就越来越长，所带来的安全风险是把自己暴露于攻击的时间变长，病毒和攻击的传输成为实时和迅速的(2 )互 联 互通市场上即时通讯的厂家很多，市场占有率比较高的，国外产品有MSN, Yahoo通、AOL,Skype，国内产品有QQ、网易泡泡、新浪Uc等。其中很多产品已经或者在计划着互联互通，比如说MSN已经和Yahoo通实现互通，Skype已经公开自己的API。互联互通消除了不同产品用户之间的篱笆，给病毒的快速传播带来更大的机会。(3) 多种功能捆绑即时通信越来越多地被捆绑上了各类功能，比如语音、视频、个人门户、游戏、桌面管理等。繁杂的功能使得即时通信类的软件原来越庞大，越来越复杂，其出现漏洞的可能性就越来越大Fortinet公司为即时通信提供安全解决方案正是因为即时通信这些特点，其安全问题一也越来越受方方面面的关注，其中包括即时通信厂商、安全厂商、安奈服务商以及黑客等。致力于网络安全的Fortinet公司即将推出的网关型产品FortiGate 053.0，以UTM技术从网络第一层到第七层为即时通信提供了安全解决方案。该方案有以下功能(1) 访 问 控制FortiGateR -有防火墙的访问控制的功能，可以根据时间、IP ,服务、域书对网络的访问实现控制。

入 侵 阻断FortiGate采用IPS技术，可以根据数据包内容对即时通信或P2P等应用采用阻断、记录日志、通过这些策略也可以对针对即时通信和P2P等应用的漏洞进行攻击的行为进行防御，为如何防止黑客利用系统漏洞提供了非常有效的手段。(3) 病 毒 扫描鉴于越来越多的病毒利用MSN这样的即时通信软件进行传播，FortiGate可以实现对其传输的病毒进行扫描与清除。有组织预测，随着即时通信的普及，病毒以前利用邮件这些传统手段传播的速度是以小时计，而以即时通信的传播却是分钟计的。因此网关型病毒过滤产品在阻止病毒的迅速传播，起到至关重妥的作用。(4) U RL 过滤病毒或者网F钓鱼通过发送URL给即时 通信的用户，引诱其发送自己的私密信息或者卜载木马病毒,FortiGate为形形色色的网站建立r一个实时更新的分类系统，从而把这ua非法的网站排除在外，为用户抵制这些欺骗行为提供r有效的手段(5 )用 户 管制FortiGate可以对即时通信的用户进行管制，可以允许某些用户使用即时通信软件，也可以阻挡非法或未授权的用户，而且FortiGate即时通信用户是与各类即时通信软件的用户名是统一的。(6 )监 控 FortiGate可以实现对即时通信用户状态.通信信息、时间等等。

FortiGate为UTM技术又增添了新的亮点，通过建K多层次的安奈体系，为即时通信的安全问题提供全面的解决方案。总量 抑 制 策略是第一步要采取的手段，即保证现有的受控应用流量的总量封顶，否则就是对不使用BT的用户权利的漠视(2) 渐 进 控制渐 进 控 制的策略是以当前网络应用的流量结构为基础，经过一段时lul A渐调整到一个合理水平的策略方式。主要应用的是设备时间策略管理的功能。将用户在一个相对长的时间段内逐步适应新的网络环境。从而避免直接封堵而产生的用户投宿。经验数据表明，在两到三个月内，通过渐进控制的手段，可平稳的将BT等P2P应用带宽压缩到网络流量的10%(3) 优 先 级控制优先 级 控 制是要改变BT技术本身既有的资源抢占的特点而带来的危害。在网络结构上调格网络应用的优先级别，让关键的应用得到关键的保障，让重要的应用得到优先的服务，这也是用技术的方法来平衡技术因素导致的危害。

企事业单位的流量控制

在大家注重流量管理软件进行网络管理的同时，却忽视了从本质上控制带宽流量的问题。网络行为是人的行 为，在网络管理中，最难以控制的便是人。

这一问题往往出现在许多企事业单位的网络管理中，在网络管理员利用各种手段去调配网络资源的情况下，依然难以从根本上解决流量带宽的问题。

很多企事业单位流量控制的方法是利用相关流控设备进行带宽资源分配，由于流控设备在设置上无法做到极端精细化，因此一般的解决方案是根据部门或IP段进行流量分配。比如，对于一些用网需求比较大的部门分配较多的网络资源，对于一些用网需求少或者无用网需求的部门，提供较少或者不提供流量，从而保障核心业务的正常展开。这种方法在一定意义上合理分配了带宽，但是同样，也存在分配不细致的问题。假设某个核心业务部门分配了70%的带宽，但是该部门某一用户使用相关P2P下载或占用大量网络资源，这种情况下又该如何去解决呢?办法有几个:

1、对于该用户进行流量监控，弊端是如果人数较多，则需要很大的工作量。

2、完全封锁P2P应用，但是弊端是假设在业务上有P2P下载需求，则将会无法进行

3、进行上网行为管理

上网行为管理是互联网领域中逐渐开始关注的一个新名词，如何利用上网行为管理来进行流量控制，则成为了很多管理者感兴趣的问题。

上网行为管理和流量控制之间的关系，其实很容易就能明白。通过上网行为管理设备，对于员工用网进行限制，禁止一些相关的网络服务和网络应用。比如P2P，流媒体等占用网络资源较大的网络应用。而由于上网行为管理软件一般都是采用上网策略设置的，因此对于网络控制方面来说，具备更灵活的控制方式。同时，市场上主流的上网行为管理产品(主要是一些软硬件结合的产品)，都是接入在网络出口处的，并且集成了流量控制的功能，因此在网络管理方面，功能相对更强大一些。

上网行为管理对于企业单位的流量控制的优点在于:

1、功能更完善，既能单纯的流量控制，又能从网络行为控制角度来规范员工上网行为。

2、更经济，在价格差距不大的情况下，涵盖更多功能，满足更多需求

3、接入更简单，不改变原有网络结构。一般都是利用网桥或者旁路方式接入，对于网络的影响较小。

4、设置更容易，尤其在需要控制的终端较多时，能更好体现出便捷性。

带有流量控制功能的上网行为管理厂商

1、万任科技

万任公司根据当前国内网络特点和趋势，独立研发的网络流量综合管理系统---UniERM,研发人员都是专业电信级别流控公司工作过多年的，有着丰富的流控产品的研发经验的顶尖人才。UniERM采用的强大硬件平台保证了稳定的性能和高效的处理能力，高识别率的流量分析和精准的带宽分配策略，让UniERM成为真正专业的流控产品，其品质也是电信级别的，再加上灵活全面的行为管理功能，UniERM已被广泛应用于政府企事业机关单位，成为中央政府指定采购厂商，被金融、运营商、能源、教育、出版、制造、科研院所、大型集团企业等众多行业的客户运用并且推荐。UniERM也是目前国内唯一能将专业的流量控制和专业的行为管理完美的融合在一起的设备。

2、网康科技

网康是国内最早推出上网行为管理产品的厂商，从创办之初就专注于应用识别技术和上网行为管理产品的设计和研发，这一点与其他拥有众多产品的厂商不同，也因此专业和成熟。网康在上网行为管理产品的设计理念上一直处于引领地位，在产品功能的全面和细致程度，稳定性和性能上都有着明显的优势。网康行为管理产品拥有全球最大的中文网址分类库，支持超过1000种的应用分类库，网康科技的上网行为管理产品在中、高端客户中保持着极高的市场占有率和良好的用户口碑，已经拥有包括农业部、招商银行，中国人寿、新浪、百度、国移动等在内的超过10000家用户。在上网行为管理市场中，网康始终保持着在理念、技术、产品方面的主导地位。

3、惠尔顿

以流量管理为核心的上网行为管理产品，在协议分析方面有独特的技术积累，特有的协议IP协议、HTTP协议自定义，支持所有的P2P流量的管控，经过12年的网络安全开发经验的积累，凭借与北京交通大学安全实验室的优质平台，在网络安全、流量管理、应用加速、应用层防火墙方面都有不错的表现。

4、深信服科技

业内公认的上网行为管理领域领导厂商，上网行为管理产品作为旗下众多产品线之一，可在P2P流量管理、防止内网泄密、防范法规风险、互联网访问行为记录、上网安全等多个方面提供最有效的解决方案。在中国的高端市场中，深信服拥有着极高的占有率，获得了包括国资委、卫生部、北海舰队、招商局集团、招商银行、中国银行、中国南方航空、广州丰田、四川长虹等大型知名用户的认同，是上网行为管理市场当之无愧的第一品牌。

5、以太科技

专注作上网行为管理的厂商，从公安的互联网信息审计业务发展到企业产品的推广。产品界面友好、报表功能丰富，很多数据分析模块非常实用。

6、迅博科技

专业上网行为管理生产厂商，针对行业用户及中小企业开发，为用户提供可控制、可管理、可审计的企业网络，可有效的规范员工上网行为，优化带宽资源，彻底解决网络拥塞问题;同时迅博PEPLINK系列上网行为管理支持上网记录海量存储，符合公安部82号文件存储6个月上网记录的要求，并能提供方便的事后审计和网络分析手段，从而降低信息外泄风险和互联网法律风险。

7、任子行

深圳的一家安全厂商，主要针对网吧市场，与实名上网卡捆绑销售，任天行系列产品主要对中小企业市场，由于产品功能、性能方面的问题在高端市场中鲜见。

8、中科新业

网络哨兵，主要针对教育、政府、企业，实现上网行为审计、管理、分析功能，应用于教育等行业的分布式系统在市场有不错的反馈。

基本的上网行为管理产品，实现效果一般，与电信等运营商捆绑销售。

9、宇沃德

网络警卫，专为中小企业员工、学校、政府单位上网管理而设计，简单实用，性价比高。与一般单一的上网行为管理设备不同，其产品最大的特点是可扩展性强，可扩展企业邮箱、VPN、网络传真、网站建设、OA等企业信息化需求。

10、TE-BAS

泰克网络，作为新兴的流控设备厂商，凭借研发人员的雄厚实力打造出自己的品牌。基于Linux内核开发，是成熟、稳定的上网行为管理产品。它解决了宽带IP网络运营所面临的:用户身份认证、带宽控制、多IP服务的管理与计费等亟待解决的问题，支持多种计费策略。

主要用于电信行业(中国电信，长城宽带)、电力行业等。

11、实现科技

实现科技发展有限公司(Realinfor lnc,.)创立于1997年，专注于互联网内容与应用的安全与管理领域的技术与产品的研究、开发、生产、销售及服务，致力于帮助用户建立更安全，更快速，更健康的互联网内容与应用环境。十余年的积淀，实现科技已经成为互联网应用(内容)领域的技术领先者。厚积薄发，先后发布了Smart View(晟为)系列的上网行为管理系统，流量优化网关，网络审计系统，运营商BOSS系统等多个产品。并且成功将产品与方案应用于政府，教育，金融，医疗，能源，制造，集团企业，运营商等多个行业。

12、新网程

新网程是国内最早进行上网行为管理研究，并将研究成果投入市场的国内企业，从2001年便开始进行上网行为管理的研究和开发。新网程公司产品的特点主要是立足于实际应用管理，便于一些非IT专业的企业管理者进行操作和管理。其主要的服务对象包括酒店宾馆、政府、学校、企事业单位、电信行业等。是2010年上海世博会上网行为管理产品的提供商，荣获世博荣誉纪念证书以及上海市公安局网络安全保卫总队的致谢函。是国内唯一拥有超过十年以上上网行为管理经验并始终专注于上网行为管理产品开发的企业。

极度利用峰值带宽，带宽统计复用的服务模型随之失效，运背商运营成本增bR民时间高度拥塞的网络带来网络管理的困难和功能失效的危险;实时性要求较高的服务，例如VoIP、StreamingVide。和Audio将面临前所未有的不确定的网络运行环境;网络拥塞导致的业务投诉增加，服务品质下降。

传统的流量控制只针对IP与端口进行控制，这在基于服务型的网络环境中是没有问题的。 随着P2P端到端的应用蓬勃发展，以BT为代表的应用已经成为网络流量中的主要部分。这类应用的特点是:通讯流量巨大、种类繁多、无固定服务端口、特征变化迅速、检测困难。传统管理P2P应用，会面临以下局限:

(1)阻塞P2P常用端口:一方面拒绝了用户的正常通信要求，降低或者违反了服务条约，另一方面导致了P2P应用转向使用随机端口和专用端口(如HTTP 80端口)躲避检查;

(2)使用NAT方法隐藏用户公网IP:导致了SAT穿越技术在P2P软件中的广泛应用;

(3)阻塞P2P对等端向P2P信息服务节点的通信:导致了P2P对等端使用代理服务器的方法躲避检测，也导致P2P信息服务节点向随机分布和隐藏的方向发展;

(4)限制用户的上行带宽:违反了服务条约而且浮致f向公网用户的数据请求童增大。

解决方案

HTTD带宽流量管理解决方案要解决P2P流量管理的困难，深度协议分析是最终解决方案。基于协议内容的流量控制技术(Traffic Management by Application)和深层速率控制技术(Deeper Kate Control)为这些问题的解决带来曙光。普通的优化技术相比，HTTD带宽流量管理系列产品所使用的几项专有技术有以下几个显著特点:

(1) 基于内容进行会话识别可以通过高速的深层协议分析，识别每一个网络会话所属的应用，可以针对某种协议进行拦截或者制定相应的带宽分配策略，而传统的路由器和防火墙等网络设备只能根据端口进行最初级的识别。

(2) 智能的带宽调节功能可以根据网络负载智能调节网内的终端带宽分配方式，例如:如果网络负载较重则自动限制那此流量较大的终端，保证多数用户的网络应用能够正常、快速的得到响应;当网络负载较轻时，则采用宽松的带宽处理策略，以便网络的带宽能得到充分的利用。

(3)基于终端的资源控制仅需设定一条规则，即可限定每台终端的带宽使用下限，同时可以设定每台终端的会话数量，防止由一病毒等原因造成的网络资源耗尽。

(4) 带宽的按需动态分配，由于HTTD带宽管理系统能看懂网络从第二到第七的协议层乃至会话间的关联，它能自动地分辨各种不同的协议、服务和应用。深层速率控制技术(Deeper Rate Control)会根据IP地址、子网、服务器地点、协议、应用端口、应用类型等基本特点及应用的关联性分析将这个信息流和其他信息流区分开来，再根据不同的需要，给予适当或应有的带宽级别(Privilege)和带宽政策(Policy)，带宽级别和带宽政策可以按区间划分，实施方式是硬性或弹性的，根据不同的灵活实施，可以确保广域网有限资源的按需动态分配。

全面透视网络流量控制，快速发现与定位网络故障

从整体、应用、员工多个角度透视网络流量。通过对出口带宽利用率、应用流量排名、员工流量排名、主要流量流向、主要使用端口、员工流量排名、部门流量排名、网络的质量、连接成功率、数据重传率等反映网络真实状况等数据与指标的分析，为设置流量管理策略提供依据。所有实时分析每5秒刷新一次，方便及时发现网络问题;并通过几次鼠标点击操作就可快速地定位到出现异常或故障的主机或应用。

保障关键应用的稳定运行，确保重要员工顺畅地使用网络

支持多种智能带宽保障模式，满足关键业务(VPN、ERP、OA、视频会议、邮件等业务)与重要员工的带宽保障需求。动态保障这些业务与员工所需的带宽，在其需要使用网络时得到带宽的保障，优先使用网络;在其空闲的时候，带宽可以被其他业务或者员工使用。在不增加带宽的前提下，提升被保障业务与员工访问互联网的质量与速度。

限制与工作无关的流量，防止对带宽的滥用

对那些与企业工作无关且会消耗大量带宽的信息流，如P2P下载、网络视频、娱乐信息流、可疑数据流等进行必要的限制，减少其对网络资源的占用，提高企业员工与办公业务的上网速度。

管理员工上网行为，提高员工网上办公的效率

禁止员工在上班时间用网络聊天、炒股、玩游戏等，提升员工的工作效率。提供员工上网行为分析报告，方便管理部门了解员工的工作效率和上网行为规律。

依照法规要求记录上网日志，避免违法行为

实施全面的上网行为管理，使网络安全建设符合国家对企业使用互联网的管理规定(《公安部令第82号》)。详细记录常见的互联网交互信息、做到发现问题有据可查。禁止员工访问违法网站，防止员工在发帖、网络聊天中包含违法言论，降低企业的法律风险。

保障内部信息安全，减少泄密风险

实时监控网络外发的信息，发现可能的与商业或研发机密有关的信息外泄，及时阻断并予以警告。详细记录邮件，网页浏览与搜索，微博、博客、论坛发帖，各种聊天消息及FTP、Telnet控制命令信息，并可对其审查。实现事先防范、事中警告，事后追查。实现全方位保障内部信息安全，减少机密外泄风险。

保障服务器带宽，保护服务器安全

作为市场上唯一支持对DMZ区与内网服务器分析与保障的产品。支持从多个角度全面的透视外网访问DMZ区服务器或者内网服务器的流量情况，保障重要的服务器带宽，限制普通服务器带宽。监控服务器区中每个服务器的运行情况，及时发现异常工作的服务器，快速定位攻击服务器的攻击源，并且能够及时阻断其对服务器的网络攻击。优化访问服务器质量，提升服务器稳定性。对比服务器和内网占用带宽的比例情况，智能分配两者的带宽。

简化多专线管理，保障专线的网络质量

作为市场上唯一实现对企业的多条专线独立分析、集中管理的产品。支持在一台设备上虚拟出多个管理设备，每台虚拟设备管理一条专线，一台设备同时实现对多个专线的独立分析、保障与管理。节省集团客户的采购费用，减轻网管对专线管理的复杂度，有效的保障专线的网络质量，提高专线使用的效率。

内置企业级路由器与防火墙，降低安全风险

可以有效的保障企业网络免遭互联网的攻击，增强网络安全防护能力。采用非常人性化与简单的图形操作界面，让所有网管甚至普通员工都能够轻松的进行配置与管理。

专业负载均衡，提升多线路的使用价值

确保企业网络及应用的可用性，提高上网访问速度，减少服务器负载与管理复杂度，降低企业的带宽成本。

帮助网络优化与规划，提供决策支持

具有全面的历史趋势分析与决策支持能力，为网络管理、优化与规划提供科学的依据。

降低工作效率，增加投资成本

根据中国社会科学院社会发展研究中心2005 年中国5城市互联网使用状况及影响调查报告的结果显示，被访网民使用最多的网络资源是网络新闻(65.9%)，而真正用于学习和工作的比例还不到40%。

机密信息外泄，组织蒙受损失

组织内部重要资料和秘密资料通过网络的Web、Email、QQ 和MSN 等途径向外散发，或被别有用心的人截获而加以利用，或是进行不当互联网访问而引起组织内部计算机感染木马病毒，加大了组织重要及秘密信息的曝光率，给组织信息安全带来隐患:

a、对于政府、事业单位以及其他公共服务单位，如果互联网管理的不够完善，将会带来极大信息安全隐患，例如经济等类型的重要的信息被通过非法渠道泄漏，此举必然会有损组织的权威及名誉，并导致组织的公信力下降;

b、对于公司企业，互联网管理的缺失会有可能导致企业重要及机密信息外泄，一旦发生企业机密信息外泄的情况，企业因此而投入了的大量人力物力将会付诸东流，此类案例在互联网广泛使用的今天是屡见不鲜的;

c、对于网吧和酒店等公共场所，由于浏览非法网页和信息，也给网吧和酒店等场所的管理者带来潜在的法律、道德等经营风险。

d、 对于运营商或网络服务提供商而言，屏蔽非法言论以及不良信息是对社会应尽的义务，而且政府对此有明确要求。

滥用带宽资源，影响正常业务

当前的互联网存在种类众多的应用，基于前面的分析我们会发现，组织成员在使用互联网时更多的是进行娱乐活动，如网络电视、P2P下载等;诸如此类的使用会严重消耗组织的网络带宽，正常业务通讯得不到保障，只能通过增加办公成本来增加带宽，但是网速和带宽没有得到根本的改善。

病毒木马肆行，安全问题凸显

高风险网站导致病毒、木马、流氓软件在内网散播，造成无法正常的使用网络。研究发现:众多的互联网访问都存在被恶意软件入侵的可能，BT、MSN等已成为病毒、蠕虫、间谍软件的重要传播渠道。病毒、木马及流氓软件轻者会给使用目标计算机及网络时带来一些麻烦;严重者会在组织网络中传播木马病毒，导致组织信息外泄;更严重者不仅会导致信息外泄，更能导致组织网络瘫痪，无法正常使用互联网。

存在不当应用，潜藏法律风险

调查发现，在日常互联网的使用中，存在以下较为普遍的现象:

a、 黄赌毒是非法互联网使用的主要方面:P2P搜索、非法网站访问、非法传播不健康的信息等，非法的信息传播极大的恶化了互联网环境;

b、不当言论的发表，会给组织带来不必要的法律风险。很多互联网使用者在自觉与不自觉中会在互联网上发表诸如反动言论、色情、反政府、邪教等，给所在的互联网部门带来潜在的法律风险;

c、员工黑客的存在，也会给组织带来新的法律风险。

我国公安部门严格查禁利用互联网发表反动言论、色情、反政府、邪教等非法活动，详情请参考我国公安部门的相关发文。以上所述的非法互联网活动如果不加管理，将会给所在的组织带来极大的潜在法律及道德风险。

(1) 网络资源监控监控各类网络流量，生成流量监控图表。

(2) 支持多种网络接口和协议，支持10/100M以太接口以及1000M以太和光纤接口，支持DHCP、PPP、PPPoE和802.1Q等网络协议。

(3) 提供深度应用分析功能，基于会话层的应用分析，实现针对应用层的处理和流量管理功能，高速高效的分析算法，可以在子兆环境下线速作。

(4) 提供多种网络控制功能集成防火墙、NAT、PAT和服务映射等功能;支持地址、服务、应用和时间等多种管理对象;支持会话控制、实时监控与负载均衡。

(5) 提供深度带宽和刽活控串助能可以性筛U每个终端的带宽总量和会话总量，对于超出会话/带宽限额的终端进行限制和A-}o(6) 可 以 部署在各种网络环境下支持路由、透明桥接、VLAN Trunk及路由桥接混合工作模式，部署简便，同时提供多出n负载均衡功能，同样适用于复杂的网络坏境。

总量抑制，即时通讯的发展趋势和特点据Gartner预测，即时通讯将超越电子邮件而成为互联网用户最主要的电了联络工具，有超过50%互联网应用程序将把即时通讯软件嵌入其中。根据艾瑞市场咨询(iResearch)推出的((2004年中国即时通讯研究报告》数据显示，2004年中国有即时通讯用户6272万入，2005年将达到8267万人，2006年将达到10334万人，增长将超过全球年平均增长率25%的水平。

EVDO DTU(又名CDMA2000 EVDO 3G DTU)采用ARM9高性能工业级嵌入式处理器，以实时操作系统RTOS为软件支撑平台,超大内存,内嵌完善自主知识产权的TCP/IP协议栈。为用户提供高速、安全、稳定可靠传输方式，数据终端永远在线;支持高安全多种协议转换的虚拟专用网络。针对网络流量控制的用户，产品支持语音，短信，数据触发上线以及超时自动断线的功能。同时也支持双数据中心备份，以及多数据中心同步接收数据等功能。公司产品已广泛应用于电力，金融，水利，环保，邮政，气象等领域。

TD DTU(又名TD-SCDMA 3G DTU)采用ARM9高性能工业级嵌入式处理器，以实时操作系统RTOS为软件支撑平台,超大内存,内嵌完善自主知识产权的TCP/IP协议栈。

为用户提供高速、安全、稳定可靠传输方式，数据终端永远在线;支持高安全多种协议转换的虚拟专用网络。针对网络流量控制的用户，产品支持语音，短信，数据触发上线以及超时自动断线的功能。同时也支持双数据中心备份，以及多数据中心同步接收数据等功能。公司产品已广泛应用于电力，金融，水利，环保，邮政，气象等行业。