0 引言
隨著計算機網絡、視頻壓縮等關鍵技術的快速發展，網絡流媒體技術目前已成為繼文字和圖片之后，互聯網信息傳播的主要形式。通過網絡流媒體技術，用戶可以方便地存取、查閱和播放網絡上的流媒體數據。如何從海量的網絡數據中快速發現流媒體數據，是進行網絡視頻服務質量監測、網絡流量統計、網絡視頻用戶行為分析及視頻內容監管等服務的前提和基礎。
網絡流媒體服務為應用層服務，其數據傳輸主要采用專有應用層協議RTP／RTCP。因此，對網絡視頻數據流的發現首先是識別應用層協議。針對應用層協議的識別，文獻提出了一種以協議中出現頻率最高的字段作為特征串來識別協議的方法，且采用一個特征串來標識一種協議。文獻提出了基于簽名字串的方法來識別應用層協議，其主要針對的是P2P協議的范圍，且需要對整個報文通過匹配多個特征串來識別一種P2P協議，時間效率偏低。文獻提出了基于先分類后分組的識別應用層協議及流量的方法，但此方法的本質還是基于某些固定端口的，若對于通過隨機選擇端口而實現的應用層協議，此方法就缺乏準確性和靈活性。
本文通過分析網絡流媒體交互過程的特征，以應用層傳輸協議對應的關鍵特征字串為判斷依據，設計了一種基于Winpcap的網絡視頻流識別算法，實現了對網絡流媒體的發現，并通過實驗對本文設計的算法性能進行了分析和驗證。
1 Winpeap簡介
Winpcap是由伯克利分組捕獲庫派生而來的分組捕獲庫，它在Windows操作平臺上實現對底層包的截取過濾。
Winpcap是BPF模型和Libpcap函數庫在Windows平臺下網絡數據包捕獲和網絡狀態分析的一種體系結構，這個體系結構是由一個核心的包過濾驅動程序，一個底層的動態連接庫Packet．dll和一個高層的獨立于系統的函數庫Libpcap組成。底層的包捕獲驅動程序實際為一個協議網絡驅動程序，通過對NDIS中函數的調用為Windows 95／98／NT／2000提供一類似于UNIX系統下Berkeley Packet Filter的捕獲和發送原始數據包的能力。Packet．dll是對這個BPF驅動程序進行訪問的API接口，同時它有一套符合Libpcap接口 (UNIX下的捕獲函數庫)的函數庫。
Winpcap包括三部分：第一個模塊NPF(NetgroupPacket Filter)，是一個虛擬設備驅動程序文件。它的功能是過濾數據包，并把這些數據包原封不動地傳給用戶態模塊，這個過程中包括了一些操作系統特有的代碼。第二個模塊Packet．dll為Win32平臺提供了一個公共的接口。不同版本的Windows系統都有自己的內核模塊和用戶層模塊。 Packet．dll用于解決這些不同。調用Packet．dll的程序可以運行在不同版本的windows平臺上，而無需重新編譯。第三個模塊 wpcap．dll是不依賴于操作系統的，它提供了更加高層、抽象的函數。
Winpcap提供了一套標準的編程接口，與libpcap兼容，可使得原來許多UNIX平臺下的網絡分析工具快速移植過來便于開發各種網絡分析工具，充分考慮了各種性能和效率的優化，包括對于NPF內核層次上的過濾器支持，支持內核態的統計模式，提供了發送數據包的能力。
2 應用層協議RTP／RTCP
RTP／RFCP是一種應用型的傳輸層協議，它沒有連接的概念，既可以建立在面向連接的底層協議上，又可以建立在面向無連接的底層協議上，因此RTP對傳輸層是獨立的。由于網絡流媒體的傳輸實時性要求較高，UDP的傳輸延時低于TCP，能與音頻和視頻流很好地匹配，所以，在實際應用中，RFP／RTCP／UDP是流媒體傳輸的主要協議，其結構如圖l所示。
實時傳輸協議RTP是為實時數據提供端到端傳遞服務的協議，能夠傳遞時間信息和實現流同步。但RTP本身并不能為按順序傳送數據包提供可靠的傳輸機制，也不提供流量控制或擁塞控制，它依靠RTP控制協議RTCP配合實現控制服務。在RTP會話期間，各參與者周期性地交互RTCP包，RFCP包中含有己發送的數據包的數量、丟失的數據包的數量等統計資料，會話方可以利用這些信息動態地改變傳輸速率，甚至改變有效型。RTP數據包結構如圖2所示。
從圖2可以看出，RTP數據包由12個字節的固定RTP頭和不定長的連續多媒體數據組成，其中的多媒體數據可以是壓縮后數據。
其中比較重要的幾個域及其意義如下：
版本(V)：2b，此域定義了RTP的版本，此協議定義的版本是2。
填料(P)：1b，填料可能用于某些具有固定長度的加密算法，或者在底層數據單元中傳輸多個RTP包。
擴展(X)：1b，若設置擴展比特，表示固定頭(僅)后面跟隨一個頭擴展。CSRC計數(CC)：4b，CSRC計數包含了跟在固定頭后面CSRC識別符的數目。
標志(M)：1b，標志用來允許在比特流中標記重要的事件，如幀范圍。
負載類型(PT)：7b，此域定義了負載的格式，由具體應用決定其解釋。協議可以規定負載類型碼和負載格式之間一個默認的匹配。其他的負載類型碼可以通過非RTP方法動態定義，RTP發射機在任意給定時間發出一個單獨的RTP負載類型。
序列號(SN)：16b，每發送一個RTP數據包，序列號加一，接收機可以據此檢測丟包和重建包。序列號的初始值是隨機的。
時間標志：32b，時間標志反映了RTP數據包中第一個比特的抽樣瞬間。時間標志的起始值是隨機的。
SSRC：32b，SSRC域用以識別同步源。標識符被隨機生成，以使在同一個RTP會話期中沒有任何兩個同步源有相同的SSRC識別符。
CSRC列表：0～15項，每項32b。CSRC列表識別在此包中負載的有貢獻源。識別符的數目在CC域中給定。
通過對RTP協議的分析，總結出以下幾條“流特征”：
(1)UDP負荷頭兩個比特是0x10(RTP的版本號是2)。
(2)RTP流負載類型PT值保持不變。即同一流媒體數據包RTP頭的9～15b的值保持不變。
(3)RTP流的SN值為遞增。
(4)RTP包的SSRC值為定值，同一流媒體數據各包的SSRC值保持不變。
3 算法實現
首先通過Winpcap過濾器對數據包進行捕獲，識別其中的握手數據包，然后分析呼叫信令的內容，獲取傳輸流媒體的源、目的地址和端口號，再通知給過濾器針對該源、目的地址和端口號進行數據捕捉；識別其中的UDP數據包進行分析，根據“流特征”進行分析，確定所要捕捉的RTP數據流。
采用以上4條作為判斷RTP流量的必要條件，當對每一個UDP數據流，如能連續檢出4個包符合上述策略，則認定其滿足為RTP數據流的充分條件。
經過大量實際數據的測試，該算法可以有效識別網絡流媒體。
4 結語
在分析網絡流媒體傳輸協議的基礎上，利用Winpcap實現了一個網絡流媒體識別算法。經試驗證明，該算法能夠有效識別流媒體，對網絡流媒體的應用具有積極的作用。