EPC-DPI规则错误阻塞用户业务问题分析.docxVIP

DPI规则阻塞用户业务问题分析（天津网监中心张维义）一．问题描述接某用户反映，在开通4G卡后，手机上无法使用淘宝的千牛客户端。除此之外的其他业务均使用正常。二．测试及分析2.1现象测试及分析根据用户反映的问题，使用4G终端进行了测试，发现：在登录千牛客户端时，输入用户名/密码并确定后，一直停留在登陆界面，看手机界面上部状态栏一直有上行数据，没有下行数据。下为测试截图。现象测试结论1：测试号码无特殊配置，实际测试结果与用户反映的现象相同。确定所有4G用户都无法登录千牛。而其他业务正常。现象分析1：在用户其他业务均正常的情况下，表明用户数据流的出局路由应正常。而只有千牛无法使用，怀疑是否是千牛服务器的回程路由指向错误，导致回程数据包丢失。现象测试结论2：使用3G卡登录千牛可正常使用。现象分析2：3G对比4G用户，在出天津电信城域网后，对公网服务而言（例如千牛），除NAT后转换为的公网地址不同外，其他均相同。3G公网地址池：106.47.192.024-----106.47.207.0/24，共16个C，大寺天波各8个C。4G公网地址池：106.47.224.0/24-----106.47.255.0/24，共32个C，大寺天波各16个C。由以上推断，3G/4G的公网地址池共48个C，而在千牛网站针对这些公网地址做明细路由的可能性不大。但不确定千牛是否采取其他手段做了安全限制（例如IP地址和行政区域的对应关系等）（电信集团原先将此段公网地址分配给湖南使用，在做NAT地址复用时，重新分配给天津，这也是经天津电信移动网上网后，网页经常显示从湖南长沙登录的原因）。为确认是否存在这种推测，联系了阿里巴巴的网络客服，没有获取到与对方技术人员的沟通渠道，此路不通。数据抓包分析：App应用的一般过程：DNS查询按照DNS返回的IP地址收/发业务因此怀疑与DNS解析有关。下面是从PGW抓取到的用户无法登陆千牛时的DNS解析数据。在登录阿里的千牛软件时，DNS返回了多个IP地址。无法确定到底哪一个地址不通导致软件无法登陆，所以对抓到的DNS解析到的所有疑似阿里的地址都进行了ping测试。Ping测均100%成功，无异常。此路不通。2.2新增地址池测试经过以上过程仍无法定位问题原因，也无法排除经过NAT的地址池是不是有问题。因此新增了下面的APN及对应的公网地址池进行测试。Apn name：test4gApnip pool：219.150.46.0/24，219.150.47.0/241.测试APN配置与现网APN配置完全相同的情况下，测试号码无法登陆千牛2.测试APN未配置DPI识别策略时，测试号码能够正常登录千牛APN中的DPI模板配置：#charge charging-mode online disable content disable测试分析：当测试APN不引用DPI识别模板号时，业务正常。三．问题解决经检查DPI识别规则，发现阿里巴巴识别规则中对应服务地址为42.120.142.0/24的RuleBaseID错误，见下表中标红色的字段，应取值为3532703600，而不应该取值3532702600。Template NamectnetTemplate ID4RuleSet Namealibaba-1L34 Rule NameL34-alibaba-1Mobile IP0.0.0.0Mobile IP Mask0Server IP42.120.142.0Server IP Mask24ProtocolTCPMobile Start Port0Mobile End Port0Server Start Port0Server End Port0L34 Rule Priority100Application TypeOTHERRuleBase ID3532702600Extended DPINO将以上字段修改为正确取值后，测试业务正常，问题解决。四．原理分析在此问题中，涉及到了DPI模块对业务流的处理过程。4.1信令处理流程下面仅列出PGW,PCRF,SPR网元，其余网元的流程与普通用户相同上图中在PCRF回复给PGW/PCEF的charging-rule-name中，将会填充要求PCEF执行的计费策略名，如下图，即是要求PCEF要对此用户执行控制规则=PKG(option)_3532705000的策略。PGW在收到以上消息后，将对用户的PDP连接应用下面配置中的内容：charge-control predefined PKG(option)_353270500035327050003532705000Control_Rule precedence 4294967295#含义：pcrf下发计费控制名为PKG(option)_3532705000，识