DPI помогает оператору понять состав трафика и применять политики к приложениям. Инженеру важно знать, что видно в зашифрованном потоке, где нужна копия пакетов, а где включение в тракт передачи. Разберем, что такое DPI, как его используют для статистики и QoS и какие данные нужны для выбора оборудования.
Что такое DPI и как он работает
DPI, Deep Packet Inspection, означает глубокий анализ пакетов. В отличие от фильтра по IP-адресам, портам и протоколам, технология классифицирует приложения по доступному содержимому и поведению потоков. Например, в незашифрованном HTTP можно разобрать URL и поля запроса. NGFW тоже может применять DPI: это не противоположные классы технологий. Для HTTPS без дешифровки содержимое запросов недоступно. Остаются адреса, размеры и время передачи пакетов, а также доступные признаки установления соединения. QUIC защищает значительную часть обмена, а ECH скрывает внутренний ClientHello, включая имя сервера. Косвенная классификация может ошибаться, особенно при смене протокола или нескольких сервисах на одном адресе.
В пассивной схеме DPI получает копию трафика через SPAN или пакетный брокер, анализирует ее и собирает статистику. Копия не находится в пути передачи, поэтому сама по себе не замедляет и не блокирует исходный поток. Для воздействия используют inline-включение или отдельное устройство, исполняющее рассчитанную политику. В inline-схеме отказ комплекса может затронуть связность: заранее определяют bypass, резервирование и поведение при перегрузке. На пилоте измеряют задержку, джиттер и потери при целевой полосе, числе пакетов и одновременных сессий, с рабочим набором правил.
Зачем DPI оператору связи
Регуляторные требования: реестр Роскомнадзора и ТСПУ
ТСПУ устанавливают для централизованного противодействия угрозам сети связи. Обязанности оператора и подготовку площадки, питания и подключений определяют законодательство и установленная схема взаимодействия с регулятором. Это не требование купить любой коммерческий DPI и не выбор «базовой версии» по числу абонентов. Происхождение оборудования проверяют по документам на него. Для поставки сверяют модель, исполнение и действующие документы о происхождении, а не общий статус производителя.
Через ТСПУ реализуют предусмотренные законодательством меры ограничения доступа и противодействия угрозам. Коммерческие политики оператора проектируют отдельно: собственный DPI не заменяет исполнение требований по ТСПУ и СОРМ. Точки подключения и порядок эксплуатации проверяют по документам конкретной сети.
Коммерческие задачи оператора: тарификация, приоритизация, CG-NAT
Кроме регуляторных обязанностей, DPI оператора связи решает и бизнес-задачи. Первая задача — тарификация услуг. Классификация трафика по DPI позволяет формировать тарифы с разной скоростью для разных категорий контента, например с безлимитным видео или безлимитными мессенджерами при ограниченной обычной скорости остального трафика.
Вторая задача состоит в классификации для QoS. Правила могут повысить приоритет голоса и корпоративных сервисов относительно массовых загрузок. Но приоритизация распределяет доступную полосу, а не создает новую. Качество телефонии проверяют по задержке, джиттеру и потерям, включая перегруженный и отказный режимы.
CG-NAT выполняет трансляцию адресов и портов при совместном использовании публичного IPv4. Он может поставляться в одном комплексе с DPI, но это отдельная функция. Для сопоставления соединения с абонентом нужны внешний адрес и порт, протокол, точное время и сведения о трансляции. Идентификацию дополняют данные BNG, DHCP, RADIUS и биллинга. Сам анализ приложения не устанавливает, кто использовал адрес, и не определяет физическое устройство абонента.
Коммерческий DPI дает статистику и признаки приложений для тарифных и сетевых политик. ТСПУ, CG-NAT и СОРМ имеют свои функции и требования. Совместная поставка компонентов не делает их взаимозаменяемыми.
Оборудование DPI. Из чего состоит
Комплекс DPI у среднего оператора связи складывается из четырех функциональных частей.
Точки получения трафика выбирают по схеме включения. Для анализа используют зеркалирование или брокер, для воздействия inline-тракт. Проверяют суммарную полосу копий, возможные потери SPAN, дублирование пакетов и распределение потоков между обработчиками.
Серверы выбирают по списку совместимости производителя DPI: CPU, ОС, драйверам и адаптерам. Семейство Intel E810 поддерживает скорости до 100 GbE, но проверяют конкретную модель. У E810-C суммарная полоса контроллера составляет до 100 Гбит/с в каждом направлении даже при двух подключениях 100 GbE. Учитывают версию и линии PCIe, NUMA и очереди. Реестровую запись ПО и документы аппаратной платформы сверяют раздельно.
Емкость журналов: число записей/с × размер записи × срок. Добавляют индексы, реплики и запас. Условные 1000 записей/с по 200 байт за сутки дают 17,28 ГБ без накладных расходов. Срок обосновывают назначением журнала и требованиями. Нельзя переносить трехлетний срок сведений СОРМ на любые коммерческие логи: их рассчитывают отдельно.
Интерфейс управления — веб-консоль для настройки политик, отчетности и реакции на инциденты в режиме реального времени.
В разделе оборудование для провайдеров связи можно подобрать инфраструктуру для обработки трафика. До выбора конфигурации нужны измеренная полоса, pps, число сессий, схема включения и расчет журналов: число абонентов само по себе не задает производительность.
Как выбрать DPI под свой размер оператора
Три типовых сценария по масштабу
При измеренной полосе до 10 Гбит/с можно рассмотреть DPI на одном сервере, если испытания подтвердят производительность. Для inline нужны резервирование или bypass. Схему ТСПУ определяют отдельно.
В условном проекте на 40–100 Гбит/с проверяют необходимость распределения нагрузки между узлами. NIC, число серверов и журналы выбирают по pps, сессиям и политикам. Резерв должен выдерживать предусмотренный отказ.
Для условной нагрузки от 400 Гбит/с оценивают распределение потоков, масштабирование и резервирование площадок. Если нужен контекст сессии, ее нельзя произвольно разделять между анализаторами. Пределы системы подтверждают испытаниями.
Рост прогнозируют по собственным измерениям. При условных 20% в год за три года нагрузка увеличится в 1,2³ = 1,728 раза, на 72,8%. Для 30% результат равен 1,3³ = 2,197, на 119,7%. После прогноза добавляют запас на отказный режим, правила и сессии. Универсальный резерв 30–50% на три года такой рост не покрывает.
Типичные ошибки при внедрении DPI
Что чаще всего идет не так при внедрении DPI-системы у оператора связи:
- Недооценка производительности. В пилоте сервер справляется с 10% нагрузки, а на полном трафике захлебывается.
- Непроверенная совместимость сетевого адаптера. Драйвер, PCIe и распределение очередей ограничивают обработку, даже когда номинальная скорость портов достаточна.
- Один inline-обработчик без резервирования или bypass. Отказ приводит к потере связности, если заранее не предусмотрен обход.
- Не согласованы источники для СОРМ. DPI, биллинг, DHCP, RADIUS и CG-NAT могут выполнять разные роли, которые определяет проект.
- Не проверены документы на решение. Происхождение и сертификацию сверяют по назначению системы, статусу объекта и правилам конкретной закупки.
- Инженеры без профильного обучения. Простое на первый взгляд внедрение превращается в дорогой и долгий проект.
- Экономия на СХД. Логи копятся, диск переполняется, старые записи теряются, расследование инцидента срывается.
- Неверные политики QoS. Приоритет получает не тот трафик, абоненты жалуются на просадки скорости в час пик.
- Не проверены обновления и качество классификации. Новые версии протоколов и шифрование могут снижать точность определения приложения.
- Отсутствие мониторинга самого DPI. Комплекс работает вслепую, деградацию замечают только по жалобам абонентов.
Заключение
DPI классифицирует приложения по доступным данным и признакам потока. Он помогает строить статистику и политики QoS, но не обещает чтение HTTPS без дешифровки. Пассивный анализ получает копию, а inline-схема влияет на исходный обмен и требует проверки задержек и отказоустойчивости. CG-NAT транслирует адреса, ТСПУ исполняют отдельные регуляторные задачи, СОРМ работает по согласованному проекту. Комплекс выбирают по измеренному профилю трафика, а не по числу абонентов.
Serverzilla подбирает серверы и сетевое оборудование под комплекс DPI с расчетом производительности и объема хранения логов, включая 48-портовый стоечный коммутатор для агрегации трафика на границе сети перед точкой зеркалирования. Помогаем спроектировать инфраструктуру с учетом требований ТСПУ и роста абонентской базы оператора.