隨著計(jì)算機(jī)網(wǎng)絡(luò)、視頻壓縮等關(guān)鍵技術(shù)的快速發(fā)展，網(wǎng)絡(luò)流媒體技術(shù)目前已成為繼文字和圖片之后，互聯(lián)網(wǎng)信息傳播的主要形式。通過(guò)網(wǎng)絡(luò)流媒體技術(shù)，用戶可以方便地存取、查閱和播放網(wǎng)絡(luò)上的流媒體數(shù)據(jù)。如何從海量的網(wǎng)絡(luò)數(shù)據(jù)中快速發(fā)現(xiàn)流媒體數(shù)據(jù)，是進(jìn)行網(wǎng)絡(luò)視頻服務(wù)質(zhì)量監(jiān)測(cè)、網(wǎng)絡(luò)流量統(tǒng)計(jì)、網(wǎng)絡(luò)視頻用戶行為分析及視頻內(nèi)容監(jiān)管等服務(wù)的前提和基礎(chǔ)。

網(wǎng)絡(luò)流媒體服務(wù)為應(yīng)用層服務(wù)，其數(shù)據(jù)傳輸主要采用專(zhuān)有應(yīng)用層協(xié)議RTP／RTCP。因此，對(duì)網(wǎng)絡(luò)視頻數(shù)據(jù)流的發(fā)現(xiàn)首先是識(shí)別應(yīng)用層協(xié)議。針對(duì)應(yīng)用層協(xié)議的識(shí)別，文獻(xiàn)提出了一種以協(xié)議中出現(xiàn)頻率最高的字段作為特征串來(lái)識(shí)別協(xié)議的方法，且采用一個(gè)特征串來(lái)標(biāo)識(shí)一種協(xié)議。文獻(xiàn)提出了基于簽名字串的方法來(lái)識(shí)別應(yīng)用層協(xié)議，其主要針對(duì)的是P2P協(xié)議的范圍，且需要對(duì)整個(gè)報(bào)文通過(guò)匹配多個(gè)特征串來(lái)識(shí)別一種P2P協(xié)議，時(shí)間效率偏低。文獻(xiàn)提出了基于先分類(lèi)后分組的識(shí)別應(yīng)用層協(xié)議及流量的方法，但此方法的本質(zhì)還是基于某些固定端口的，若對(duì)于通過(guò)隨機(jī)選擇端口而實(shí)現(xiàn)的應(yīng)用層協(xié)議，此方法就缺乏準(zhǔn)確性和靈活性。

本文通過(guò)分析網(wǎng)絡(luò)流媒體交互過(guò)程的特征，以應(yīng)用層傳輸協(xié)議對(duì)應(yīng)的關(guān)鍵特征字串為判斷依據(jù)，設(shè)計(jì)了一種基于Winpcap的網(wǎng)絡(luò)視頻流識(shí)別算法，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)流媒體的發(fā)現(xiàn)，并通過(guò)實(shí)驗(yàn)對(duì)本文設(shè)計(jì)的算法性能進(jìn)行了分析和驗(yàn)證。

1、Winpeap簡(jiǎn)介

Winpcap是由伯克利分組捕獲庫(kù)派生而來(lái)的分組捕獲庫(kù)，它在Windows操作平臺(tái)上實(shí)現(xiàn)對(duì)底層包的截取過(guò)濾。

Winpcap是BPF模型和Libpcap函數(shù)庫(kù)在Windows平臺(tái)下網(wǎng)絡(luò)數(shù)據(jù)包捕獲和網(wǎng)絡(luò)狀態(tài)分析的一種體系結(jié)構(gòu)，這個(gè)體系結(jié)構(gòu)是由一個(gè)核心的包過(guò)濾驅(qū)動(dòng)程序，一個(gè)底層的動(dòng)態(tài)連接庫(kù)Packet．dll和一個(gè)高層的獨(dú)立于系統(tǒng)的函數(shù)庫(kù)Libpcap組成。底層的包捕獲驅(qū)動(dòng)程序?qū)嶋H為一個(gè)協(xié)議網(wǎng)絡(luò)驅(qū)動(dòng)程序，通過(guò)對(duì)NDIS中函數(shù)的調(diào)用為Windows 95／98／NT／2000提供一類(lèi)似于UNIX系統(tǒng)下Berkeley Packet Filter的捕獲和發(fā)送原始數(shù)據(jù)包的能力。Packet．dll是對(duì)這個(gè)BPF驅(qū)動(dòng)程序進(jìn)行訪問(wèn)的API接口，同時(shí)它有一套符合Libpcap接口（UNIX下的捕獲函數(shù)庫(kù)）的函數(shù)庫(kù)。

Winpcap包括三部分：第一個(gè)模塊NPF（NetgroupPacket Filter），是一個(gè)虛擬設(shè)備驅(qū)動(dòng)程序文件。它的功能是過(guò)濾數(shù)據(jù)包，并把這些數(shù)據(jù)包原封不動(dòng)地傳給用戶態(tài)模塊，這個(gè)過(guò)程中包括了一些操作系統(tǒng)特有的代碼。第二個(gè)模塊Packet．dll為Win32平臺(tái)提供了一個(gè)公共的接口。不同版本的Windows系統(tǒng)都有自己的內(nèi)核模塊和用戶層模塊。Packet．dll用于解決這些不同。調(diào)用Packet．dll的程序可以運(yùn)行在不同版本的windows平臺(tái)上，而無(wú)需重新編譯。第三個(gè)模塊wpcap．dll是不依賴(lài)于操作系統(tǒng)的，它提供了更加高層、抽象的函數(shù)。

Winpcap提供了一套標(biāo)準(zhǔn)的編程接口，與libpcap兼容，可使得原來(lái)許多UNIX平臺(tái)下的網(wǎng)絡(luò)分析工具快速移植過(guò)來(lái)便于開(kāi)發(fā)各種網(wǎng)絡(luò)分析工具，充分考慮了各種性能和效率的優(yōu)化，包括對(duì)于NPF內(nèi)核層次上的過(guò)濾器支持，支持內(nèi)核態(tài)的統(tǒng)計(jì)模式，提供了發(fā)送數(shù)據(jù)包的能力。

2 、應(yīng)用層協(xié)議RTP／RTCP

RTP／RFCP是一種應(yīng)用型的傳輸層協(xié)議，它沒(méi)有連接的概念，既可以建立在面向連接的底層協(xié)議上，又可以建立在面向無(wú)連接的底層協(xié)議上，因此RTP對(duì)傳輸層是獨(dú)立的。由于網(wǎng)絡(luò)流媒體的傳輸實(shí)時(shí)性要求較高，UDP的傳輸延時(shí)低于TCP，能與音頻和視頻流很好地匹配，所以，在實(shí)際應(yīng)用中，RFP／RTCP／UDP是流媒體傳輸?shù)闹饕獏f(xié)議，其結(jié)構(gòu)如圖l所示。

實(shí)時(shí)傳輸協(xié)議RTP是為實(shí)時(shí)數(shù)據(jù)提供端到端傳遞服務(wù)的協(xié)議，能夠傳遞時(shí)間信息和實(shí)現(xiàn)流同步。但RTP本身并不能為按順序傳送數(shù)據(jù)包提供可靠的傳輸機(jī)制，也不提供流量控制或擁塞控制，它依靠RTP控制協(xié)議RTCP配合實(shí)現(xiàn)控制服務(wù)。在RTP會(huì)話期間，各參與者周期性地交互RTCP包，RFCP包中含有己發(fā)送的數(shù)據(jù)包的數(shù)量、丟失的數(shù)據(jù)包的數(shù)量等統(tǒng)計(jì)資料，會(huì)話方可以利用這些信息動(dòng)態(tài)地改變傳輸速率，甚至改變有效型。RTP數(shù)據(jù)包結(jié)構(gòu)如圖2所示。

從圖2可以看出，RTP數(shù)據(jù)包由12個(gè)字節(jié)的固定RTP頭和不定長(zhǎng)的連續(xù)多媒體數(shù)據(jù)組成，其中的多媒體數(shù)據(jù)可以是壓縮后數(shù)據(jù)。

其中比較重要的幾個(gè)域及其意義如下：

版本（V）：2b，此域定義了RTP的版本，此協(xié)議定義的版本是2。

填料（P）：1b，填料可能用于某些具有固定長(zhǎng)度的加密算法，或者在底層數(shù)據(jù)單元中傳輸多個(gè)RTP包。

擴(kuò)展（X）：1b，若設(shè)置擴(kuò)展比特，表示固定頭（僅）后面跟隨一個(gè)頭擴(kuò)展。

CSRC計(jì)數(shù)（CC）：4b，CSRC計(jì)數(shù)包含了跟在固定頭后面CSRC識(shí)別符的數(shù)目。

標(biāo)志（M）：1b，標(biāo)志用來(lái)允許在比特流中標(biāo)記重要的事件，如幀范圍。

負(fù)載類(lèi)型（PT）：7b，此域定義了負(fù)載的格式，由具體應(yīng)用決定其解釋。協(xié)議可以規(guī)定負(fù)載類(lèi)型碼和負(fù)載格式之間一個(gè)默認(rèn)的匹配。其他的負(fù)載類(lèi)型碼可以通過(guò)非RTP方法動(dòng)態(tài)定義，RTP發(fā)射機(jī)在任意給定時(shí)間發(fā)出一個(gè)單獨(dú)的RTP負(fù)載類(lèi)型。

序列號(hào)（SN）：16b，每發(fā)送一個(gè)RTP數(shù)據(jù)包，序列號(hào)加一，接收機(jī)可以據(jù)此檢測(cè)丟包和重建包。序列號(hào)的初始值是隨機(jī)的。

時(shí)間標(biāo)志：32b，時(shí)間標(biāo)志反映了RTP數(shù)據(jù)包中第一個(gè)比特的抽樣瞬間。時(shí)間標(biāo)志的起始值是隨機(jī)的。

SSRC：32b，SSRC域用以識(shí)別同步源。標(biāo)識(shí)符被隨機(jī)生成，以使在同一個(gè)RTP會(huì)話期中沒(méi)有任何兩個(gè)同步源有相同的SSRC識(shí)別符。

CSRC列表：0～15項(xiàng)，每項(xiàng)32b。CSRC列表識(shí)別在此包中負(fù)載的有貢獻(xiàn)源。識(shí)別符的數(shù)目在CC域中給定。

通過(guò)對(duì)RTP協(xié)議的分析，總結(jié)出以下幾條“流特征”：

（1）UDP負(fù)荷頭兩個(gè)比特是0x10（RTP的版本號(hào)是2）。

（2）RTP流負(fù)載類(lèi)型PT值保持不變。即同一流媒體數(shù)據(jù)包RTP頭的9～15b的值保持不變。

（3）RTP流的SN值為遞增。

（4）RTP包的SSRC值為定值，同一流媒體數(shù)據(jù)各包的SSRC值保持不變。

3 、算法實(shí)現(xiàn)

首先通過(guò)Winpcap過(guò)濾器對(duì)數(shù)據(jù)包進(jìn)行捕獲，識(shí)別其中的握手?jǐn)?shù)據(jù)包，然后分析呼叫信令的內(nèi)容，獲取傳輸流媒體的源、目的地址和端口號(hào)，再通知給過(guò)濾器針對(duì)該源、目的地址和端口號(hào)進(jìn)行數(shù)據(jù)捕捉；識(shí)別其中的UDP數(shù)據(jù)包進(jìn)行分析，根據(jù)“流特征”進(jìn)行分析，確定所要捕捉的RTP數(shù)據(jù)流。

采用以上4條作為判斷RTP流量的必要條件，當(dāng)對(duì)每一個(gè)UDP數(shù)據(jù)流，如能連續(xù)檢出4個(gè)包符合上述策略，則認(rèn)定其滿足為RTP數(shù)據(jù)流的充分條件。

經(jīng)過(guò)大量實(shí)際數(shù)據(jù)的測(cè)試，該算法可以有效識(shí)別網(wǎng)絡(luò)流媒體。

4、 結(jié)語(yǔ)

在分析網(wǎng)絡(luò)流媒體傳輸協(xié)議的基礎(chǔ)上，利用Winpcap實(shí)現(xiàn)了一個(gè)網(wǎng)絡(luò)流媒體識(shí)別算法。經(jīng)試驗(yàn)證明，該算法能夠有效識(shí)別流媒體，對(duì)網(wǎng)絡(luò)流媒體的應(yīng)用具有積極的作用。