第6 章网络安全技术与产品639
基于网络的应用识别(Network-Based Application Recognition, NBAR)，是在Cisco IS0 12.0(5)XE2 中引入的一个功能。它查看数据包的前512 字节，因此， NBAR 可以检测识别各种应用协议，包括使用静态端口的、非TCPIUDP 的lP 层协议、使用动态端口的、伪装其他端口的(采用深度报文检查，检查某些位置的宇段，不是全部载荷都检查，又称为Application Inspection) 0 NBAR 还支持用户定义的应用，比如使用某个端口等。这样也可以识别这些应用并对其分类。
NBAR 可以通过分析OSI 参考模型第3 层黠第7 层的信息对流量进行分类，设置NBAR 第一步就是建立审查的流量分类。NBAR 检查可以帮助我们做很多事情，如应用类型、连接的具体地址、连接中的数据和数据包的长度。基于匹配标准， NBAR 将匹配的流量放进特定的类(或组)中。在建立了分类规则之后，建立用来标识流量策略，对于lP 流量，我们使用lP 优先级来对流量进行分组(类)0 IP 优先级标准使用E 包头中的ToS CType ofService, ToS) 域中的位来分类流量。当流量进入路由器时就执行这两步，然后当流量离开路由器上的一个特定的外出接口时，定义对被标记的流量将采取什么操作。我们在流量优先级控制上通常使用QoS C Quality of Service, QoS) ，这将使得数据包被发送接口之前，首先需要排成队列。而NBAR 可以为这些流量定义其他策略，限制其带宽，甚至丢弃这些流量。
NBAR 包含了一种叫发现特征的协议(Protocol Discov町Feature) ，用它可以轻易发现那些传输过程中的应用协议，可以在端口上做进出流量和流速统计。要实现对某种流量的控制，就要在Cisco 的路由器上实现对PDLM CPacket Description Language Module,PDLM) 的支持。PDLM 即数据包描述语言模块，它是一种对网络高层应用的协议层的描述，例如协议类型、服务端日号等，它可以让阳AR 适应很多已有的网络应用，同时还可以通过定义，使NBAR 支持许多新兴的网络应用，并且利用PDLM 可以限制一些网络上的恶意流量。