应用路由渐成主流

　　仅仅控制流量并不能完全解决问题，在条件允许的情况下，还需要主动疏导，以争取更好的网络应用体验。比较常见的做法是将P2P下载、网络视频等非关键应用的流量分配到高带宽、低成本的线路上。这些应用的实现机制决定了即便是在质量欠佳的链路环境下，仍能达到让人接受的效果。而视频会议、远程教学等关键应用的体验必须有所保障，它们应享用最好的链路资源。综上所述，应用路由已成为当今流控产品的标准功能之一，未来必将得到大范围应用。高校中更是如此。

　　目前，流控产品通常有3种实现应用路

　　由的部署模式，分别为：

　　1. 针对不同应用，打上不同的DSCP标记，路由器/防火墙根据DSCP做策略路由；

　　2. 针对不同应用，实施不同的源地址NAT，路由器/防火墙根据源地址做策略路由；

　　3. 取代路由器/防火墙做接入，直接针对不同应用做策略路由。

　　第一种方式实施起来比较简单，但笔者在许多部署中发现，可根据DSCP做策略路由的路由器/防火墙并不多。而基本上所有的路由器或防火墙都支持基于源地址的策略路由，所以第二种方式更通用一些（当然这个通用是以增加流控产品负载为前提的）。第三种实现方式最简单，但对网络拓扑的改动比较大，设备也要承担最重的负载，目前在高校中比较少见。不过流控产品与路由器/ 防火墙的融合趋势是比较明显的，相信未来第三种部署模式的比例会逐渐增加。个别高校目前采用了为每条链路单独配备流控产品的做法，这非但不能实现应用路由，对流量也缺乏整体感知与控制的能力，除非是极特殊的情况，否则不建议使用这种部署模式。

　　在启用应用路由时，还有两个重要的问题需要考虑。首先是不同运营商之间的互通问题，大的门户或在线视频网站都有自己的DNS（CDN）负载均衡服务，通过不同运营商的DNS 解析出来的地址肯定有所差异。如果目标地址是电信IP，但经过应用路由后流量指向联通线路，那么非但不会起到优化效果，反而会降低应用体验。因此在很多情况下，应用路由需要搭配DNS重定向功能，如果将流量甩向联通的链路，就将DNS 请求通过联通的DNS 服务器解析，以获得正常的访问效果。

　　其次是应用连接的相关性问题。一些应用中，存在有单会话包含多条连接的情况，如果其中一部分连接走教育网，另一部分走其他运营商，轻则影响应用体验，重则会中断应用。这种情况对流控引擎提出了更高要求，只有辅以前面提到过的基于应用协议行为特征的判断机制，才能解决特征完整性的问题。不过，应用路由的成功率也并不等同于对应用的识别率，某些应用是服务端先发数据，难以实现分流。所以厂商在分析、描述应用特征时，也要预先考虑到应用路由的需要。

　　协作：1+1>2的优化效果

　　流控产品部署在高校网络出口，对出入校园网的所有流量进行管理与优化，地位不亚于路由器与核心交换机。虽然流量管理是其主要职能，但如果能够与其他设备协作，将会起到更好的优化效果，使其价值最大化。

　　目前来看，最适合与流控产品进行搭配的当属Cache加速设备。借助应用路由，流控产品可以将高校网络出口流量中的特定应用及内容进行重定向（例如文件下载或Web视频应用），指向Cache加速设备。此时它就相当于Cache加速设备的一个客户，对终端用户而言是完全透明的。使用流控产品实现重定向和传统的基于端口的重定向的一个显著区别是，前者可以根据精准的应用识别结果，只转发Cache加速设备需要处理的流量，从而提升了缓存系统的利用率与命中率，同时降低I/O与文件管理系统的压力，使其更“专心”地去做业务相关的工作。

　　另一个适合与流控产品协同工作的是审计系统。一般而言，审计系统需要通过交换机镜像端口获取数据。因为镜像而来的是所有流量，审计系统必须在接收所有数据包的同时过滤掉不在业务范围内的数据包，这一环节会占用不少的系统资源。流控产品可以利用其强大的协议识别能力，将需要审计的应用流量（如HTTP，IM等）有选择地镜像给审计系统，这样就可以大大降低审计系统的压力，避免由于性能导致的审计不完整问题。

　　实际上，几乎所有作用于特定业务的串行或旁路设备，都可以从流控产品的应用路由及应用流量镜像功能中受益。一些高校曾经由于性能问题拒绝了WAF或防病毒网关，经过分析，其性能瓶颈很大程度上是因为不必要的I/O处理所造成，而非安全业务。须要注意的是，应用路由及应用流量镜像的功能在流控产品上还不是很普及，它们的实现机制也会为设备带来额外的负载，对性能的影响比较大。所以建议教师们在进行评估选型的时候，更多地依据实际环境中的测试结果做出判断。

　　（作者系北京派网软件有限公司首席技术官）