トラフィック分類

トラフィック分類は、コンピュータネットワークトラフィックをさまざまなパラメータ（たとえば、ポート番号やプロトコルに基づく）に従っていくつかのトラフィッククラスに分類する自動化されたプロセスです。^[1]結果として得られる各トラフィッククラスは、データジェネレータまたはコンシューマーに暗示されるサービスを区別するために、異なる方法で処理できます。

パケットは、ネットワーク スケジューラによって異なる処理が行われるように分類されます。特定のプロトコルを使用してトラフィック フローを分類すると、そのフローと他のフローに所定のポリシーを適用して、一定の品質を保証するか ( VoIPやメディア ストリーミング サービス^[2]など)、ベスト エフォート型の配信を提供することができます。これは、入口ポイント (トラフィックがネットワークに入るポイント、通常はエッジ デバイス) で適用され、トラフィック管理メカニズムがトラフィックを個々のフローに分割し、キューイング、ポリシング、および異なる方法で整形できる粒度で行われます。^[3]

分類はさまざまな手段によって行われます。

• 速い
• リソース消費が少ない
• 多くのネットワークデバイスでサポートされています
• アプリケーション層のペイロードを実装しないため、ユーザーのプライバシーが侵害されることはありません。
• 固定ポート番号を使用するアプリケーションとサービスにのみ役立ちます
• システム内のポート番号を変更することで簡単に不正行為ができる

• パケットの実際のペイロードを検査する
• ポート番号に関係なく、アプリケーションとサービスを検出します。
• 遅い
• 大量の処理能力が必要
• アプリケーションは頻繁に変更されるため、署名は最新の状態に維持する必要があります。
• 暗号化によりこの方法は多くの場合不可能となる

データのビットパターンを既知のプロトコルのビットパターンと一致させることは、広く使用されている単純な手法です。BitTorrentプロトコルの ハンドシェイクフェーズを一致させる例としては、パケットが文字 19 で始まり、その後に 19 バイトの文字列「BitTorrent プロトコル」が続くかどうかを確認することが挙げられます。^[4]

ディープパケットインスペクション（PACE、OpenDPI、L7フィルターの4つの異なる構成、NDPI、Libprotoident、およびCisco NBAR）に依存するさまざまなネットワークトラフィック分類子の包括的な比較は、「トラフィック分類のための一般的なDPIツールの独立した比較」に示されています。^[5]

• バイト頻度、パケットサイズ、パケット到着間隔などの属性の統計分析に依存します。^[6]
• K-Means、Naive Bayes Filter、C4.5、C5.0、J48、ランダムフォレストなどの機械学習アルゴリズムを頻繁に使用します。
• 高速な技術（ディープパケットインスペクション分類と比較して）
• 未知のアプリケーションのクラスを検出できます

今日のトラフィックはより複雑で、より安全になっています。そのため、暗号化されたトラフィックを従来のモード（コアネットワークのプローブによるIPトラフィック分析に基づく）とは異なる方法で分類する方法が必要です。これを実現する方法の1つは、無線インターフェースの接続トレースからのトラフィック記述子を使用して分類を実行することです。^[7]

トラフィック分類に関するこの同じ問題は、マルチメディアトラフィックにも存在します。ニューラルネットワーク、ベクトルサポートマシン、統計、および最近傍法に基づく方法を使用すると、このトラフィック分類を行うのに優れた方法であることが一般的に証明されていますが、特定のケースでは、他の方法よりも優れた方法があります。たとえば、ニューラルネットワークは、観測セット全体を考慮に入れるとより効果的に機能します。^[8]

Linux ネットワーク スケジューラとNetfilter の両方に、ネットワーク パケットを識別してマークまたは分類するためのロジックが含まれています。

オペレータは、ネットワークトラフィックを、時間に敏感なトラフィックとベストエフォート型の2つのタイプに大別することが多い。^[9]

時間依存トラフィックとは、オペレータが時間どおりに配信することが期待されるトラフィックです。これには、VoIP、オンラインゲーム、ビデオ会議、Web ブラウジングが含まれます。トラフィック管理スキームは通常、これらの選択された用途のサービス品質が保証されるか、少なくとも他のトラフィック クラスよりも優先されるように調整されます。これは、このトラフィック クラスにシェーピングを行わないか、または他のクラスよりも敏感なトラフィックを優先すること によって実現できます。

ベスト エフォート トラフィックは、その他のすべての種類のトラフィックです。これは、ISP がサービス品質メトリック (ジッター、パケット損失、遅延) の影響を受けないと判断するトラフィックです。典型的な例としては、ピアツーピアや電子メールアプリケーションがあります。トラフィック管理スキームは、通常、ベスト エフォート トラフィックが時間に敏感なトラフィックの後に残ったものを取得するように調整されます。

ピアツーピア ファイル共有アプリケーションは、利用可能な帯域幅をすべて使用するように設計されていることが多く、比較的少量の帯域幅を使用するQoSに敏感なアプリケーション (オンライン ゲームなど) に影響を与えます。P2P プログラムは、ダウンロード戦略の非効率性、つまりリンク コストに関係なく利用可能なピアからファイルをダウンロードするといった問題にも悩まされることがあります。アプリケーションは、ICMPと通常のHTTPトラフィックを使用してサーバーを検出し、利用可能なファイルのディレクトリをダウンロードします。

2002年、Sandvine Incorporatedはトラフィック分析を通じて、ほとんどのネットワークのトラフィックの最大60%をP2Pトラフィックが占めていることを突き止めました。^[10]これは、以前の研究や予測とは対照的に、P2Pが主流になっていることを示しています。

P2P プロトコルは、結果として得られるパケットが識別されにくくなるように (トラフィック分類器による検出を回避するため)、また、ネットワーク内の特定のQoSプロパティ (順序どおりのパケット配信、ジッターなど - 通常、これはバッファリングの増加と信頼性の高い転送によって実現され、結果としてユーザーはダウンロード時間が長くなる) に依存しないほど堅牢になるように設計されることが多く、実際に設計されています。暗号化された BitTorrentプロトコルは、たとえば、識別を回避するために難読化とランダム化されたパケット サイズに依存しています。^[11]ファイル共有トラフィックは、ベスト エフォート トラフィックとして適切に分類できます。機密性の高いトラフィックがピークに達するピーク時には、ダウンロード速度が低下します。ただし、P2P ダウンロードはバックグラウンド アクティビティであることが多いため、他のすべての加入者が VoIP 電話を切ったときにダウンロード速度が最大限に上昇する限り、加入者のエクスペリエンスにはほとんど影響しません。例外は、永続的なQoS を必要とし、可能な限りこれを強制するために 過度の^{[引用が必要]}オーバーヘッドとパリティ トラフィックを使用するリアルタイム P2P VoIP および P2P ビデオ ストリーミング サービスです。

一部のP2Pアプリケーション^[12]は、自己制限ソースとして機能するように設定でき、ネットワークオペレータではなくユーザのトラフィック仕様に合わせて設定されたトラフィックシェーパーとして機能します。

一部のベンダーは、特に ISP 向けに、特定のプロトコルではなくクライアントの管理を推奨しています。クライアントごと (つまり、顧客ごと) に管理することで、クライアントが P2P アプリケーションを実行する帯域幅の公平な割り当てを使用することを選択した場合は、それを行うことができますが、アプリケーションが悪用されている場合は、自分の帯域幅が詰まるだけで、他の顧客が使用する帯域幅に影響を与えることはできません。