nDPI: Deep Packet Inspection Library Mã Nguồn Mở

Tìm Hiểu nDPI: Một Library Deep Packet Inspection

nDPI, được ntop xây dựng và duy trì, là một library deep packet inspection viết bằng C, theo giấy phép LGPLv3. Nó phân loại network traffic theo protocol và có quy trình để thêm dissector mới — đăng ký một protocol ID, viết hàm phát hiện trong src/lib/protocols/, rồi gắn nó vào các struct trạng thái flow. ntopng và nProbe cento nhúng nDPI để xử lý kết quả phân loại đó.

Năng Lực Cốt Lõi Trong Phát Hiện Protocol Mạng

• ✓Phát hiện protocol ứng dụng bên trong network traffic bằng deep packet inspection, đúng như các topic của repo (cybersecurity, deep-packet-inspection, dpi, network, traffic-analysis).
• ✓Có thể biên dịch riêng library bằng cờ --with-only-libndpi, để nhúng mà không kéo theo các công cụ và bộ kiểm thử mẫu đi kèm.
• ✓Hỗ trợ build ngoài cây thư mục nguồn (mkdir build && cd build && ../configure && make) song song với luồng build chuẩn ./autogen.sh && ./configure && make.
• ✓Có ba điểm chạy kiểm thử riêng biệt: ./tests/do.sh cho kiểm thử hồi quy theo file PCAP, ./tests/do-unit.sh cho kiểm thử đơn vị, và ./tests/do-dga.sh cho phát hiện DGA (domain-generation-algorithm), tất cả chạy được cùng lúc bằng make check.
• ✓Có quy trình được đánh số, gồm mười hai bước, để thêm một dissector protocol mới, từ việc đăng ký protocol ID trong ndpi_protocol_ids.h đến cập nhật doc/protocols.rst.
• ✓Có thể build kèm hỗ trợ nBPF tùy chọn bằng cách clone thêm dự án PF_RING riêng của ntop, cần thiết để chạy toàn bộ bộ kiểm thử đơn vị với PCRE2.
• ✓Build được trên Linux, FreeBSD, macOS, và Windows (qua MSYS2, Mingw-w64, hoặc Visual Studio với windows/nDPI.sln), riêng Windows cần npcap ở chế độ tương thích WinPcap.
• ✓Có nền tảng từ một bài báo được bình duyệt tại IWCMC 2014 của Deri và cộng sự về phát hiện gói tin tốc độ cao, cùng nhiều buổi trình bày hội nghị công khai từ 2017 đến 2025.

Biên Dịch Và Cài Đặt nDPI Trên Nhiều Nền Tảng

Biên dịch nDPI từ mã nguồn bắt đầu bằng ./autogen.sh && ./configure, rồi đến make; nếu build lỗi tại croaring.c, hãy cấu hình lại với --enable-old-croaring. Thêm cờ --with-only-libndpi vào configure sẽ chỉ build library, bỏ qua các công cụ và bộ kiểm thử đi kèm, và dự án cũng hỗ trợ build ngoài cây thư mục nguồn (mkdir build && cd build && ../configure && make). Biên dịch cần bộ công cụ GNU chuẩn (autoconf, bison, flex, automake, libtool, pkg-config, và gettext) cùng gcc hoặc Clang. Trên Debian/Ubuntu, danh sách gói cần cài gồm libjson-c-dev, libnuma-dev, libpcap-dev, librrd-dev, libmaxminddb-dev, và libpcre2-dev, còn Arch Linux và FreeBSD mỗi hệ có danh sách gói riêng trong README (FreeBSD dùng gmake, không phải make). macOS cài các gói phụ thuộc tương tự qua Homebrew. Windows có ba đường build: MSYS2, Mingw-w64, hoặc Visual Studio qua windows/nDPI.sln, và cả ba đều cần cài npcap ở chế độ tương thích WinPcap. Để chạy bộ kiểm thử, dùng ./tests/do.sh cho kiểm thử hồi quy PCAP, ./tests/do-unit.sh cho kiểm thử đơn vị, và ./tests/do-dga.sh cho kiểm thử phát hiện DGA, hoặc chạy tất cả cùng lúc bằng make check.

Tích Hợp nDPI Để Phân Tích Và Chặn Traffic

nDPI không tự giám sát hay chặn traffic; đây là một library bạn nhúng vào ứng dụng, và README nói rõ bước nhúng này là bắt buộc để dùng được kết quả của nó. Để chặn traffic được chọn, một ứng dụng gọi vào logic phân loại của nDPI trong lúc xử lý gói tin, rồi tự áp dụng quyết định lọc dựa trên protocol mà nDPI trả về. Các công cụ của chính ntop theo đúng mô hình này: ntopng và nProbe cento đều nhúng nDPI để biến luồng gói tin thô thành khả năng giám sát và chặn có nhận biết protocol. Nếu bạn đang mở rộng phạm vi phát hiện thay vì chỉ dùng nó, README cũng ghi lại quy trình dựng tài liệu (pip install -r doc/requirements.txt, rồi make doc, và make doc-view để xem thử ở máy local) sau khi bạn thêm hoặc sửa một dissector.

Các Dự Án Liên Quan Đến nDPI

Câu Hỏi Thường Gặp Về nDPI

Vấn đề nDPI giải quyết

Port không nói thật. Một lập trình viên xây công cụ giám sát mạng hoặc bảo mật cần biết thứ gì thực sự đang chạy trên một kết nối, chứ không chỉ port nào đang được dùng, vì port có thể bị dùng lại hoặc cố tình che giấu để né bộ lọc. Tự viết logic phát hiện cho từng protocol từ đầu nghĩa là phải theo dõi từng đặc thù của mỗi protocol mãi mãi. README của nDPI nhắm thẳng vào khoảng trống đó: một tập dissector protocol được duy trì cùng một quy trình rõ ràng để thêm dissector mới, để một dự án không phải tự xây lớp phát hiện đó từ con số không.

Trường hợp sử dụng tốt nhất

• •Nhúng khả năng phát hiện protocol vào một công cụ giám sát mạng hoặc bảo mật viết bằng C của riêng bạn, thay vì tự viết dissector từ đầu.
• •Xây tính năng chặn traffic dựa trên kết quả phân loại của nDPI, theo cách ntopng và nProbe cento đang làm.
• •Mở rộng nDPI bằng một dissector cho protocol nội bộ hoặc độc quyền mà nDPI chưa nhận diện, theo đúng quy trình từng bước trong README.
• •Nghiên cứu học thuật về phân loại network traffic, trích dẫn bài báo IWCMC 2014 của dự án làm tài liệu tham khảo.

Ai nên dùng — và ai nên bỏ qua

Hãy thử nDPI nếu bạn đang viết một công cụ giám sát mạng, bảo mật, hoặc định hình traffic bằng C (hoặc thứ gì đó có thể liên kết với một library C) và cần phân loại protocol mà không muốn tự viết dissector cho từng protocol. Nó cũng phù hợp với nhà nghiên cứu muốn một cách triển khai DPI có tài liệu, có thể trích dẫn để xây dựng hoặc so sánh. Bỏ qua nếu bạn muốn một ứng dụng hoàn chỉnh: nDPI không có giao diện và không có chế độ chặn độc lập, nên bạn phải tự nhúng nó hoặc dùng ntopng/nProbe cento, những công cụ đã làm sẵn phần tích hợp đó.

Repo liên quan