在互联网飞速发展的今天,企业、学校等各种机构越来越多的关键业务依赖于互联网,但是许多与工作事务无关的网络应用占去了绝大部分的带宽,导致关键业务响应时间过长,严重影响了正常网络应用的运行。特别是现在的网络应用更为复杂,P2P等下载软件无限制地占用带宽资源,它们使用动态端口,同时将本身的流量伪装成为HTTP流量,很难被防火墙、路由器以及其他的过滤设备发现。传统的网络级防火墙(包过滤)都是工作在OSI模型的第2、3或者4层,通过基于数据包的源/目的IP地址、MAC地址、TCP/UDP端口等进行过滤,缺少对应用层(OSI模型的第7层)流量的分析,因此也无法识别P2P下载的流量。在本文中,作者提出了一种基于Linux系统防火墙框架Netfilter连接跟踪机制的P2P数据识别和控制的方法。连接跟踪系统负责跟踪所有的连接并且判断每个经过的包属于哪个连接。作者通过扩展Netfilter/Iptables框架,可以根据应用层数据识别P2P连接,并可以通过设置适合的防火墙过滤规则来管理P2P流量。此方法可以完全禁止不想要的P2P流量,还可以和Linux QoS工具一起使用以限制P2P的带宽占用,合理分配网络资源,从而提高网络性能。本文开发的P2P流量控制系统,基于应用层分析技术识别各种P2P流量,可以限制或者禁止P2P下载,也可以利用Linux流量控制技术将P2P下载的流量控制在某个范围内。总之,本文对于网络中间存在的P2P下载提供了很好的监视和控制解决方案,使用的应用层分析技术也可让网络管理者对网络资源的应用分布情况得到充分的了解和认知。