nDPI协议识别库中自定义主机URL子协议分类的增强方案

背景概述

nDPI作为一款开源的深度包检测(DPI)库，其核心功能是通过协议特征识别网络流量。在实际应用中，开发者经常需要为特定主机URL添加自定义子协议(subprotocol)，并期望能够同时定义该流量的分类类别(category)和安全等级(breed)。当前实现中，ndpi_add_host_url_subprotocol函数强制使用默认的未分类(UNSPECIFIED)和可接受(ACCEPTABLE)参数，这限制了规则的灵活性。

技术痛点分析

在现有架构中，proto.txt配置文件通过host:"domain"@Protocol语法定义主机匹配规则，但存在两个关键限制：

1. 无法为子协议指定业务分类（如视频流、社交网络等）
2. 无法标记流量的安全属性（如安全、可疑等） 这导致后续流量分析需要额外处理逻辑，增加了系统复杂度。

解决方案设计

经过社区讨论，确定采用渐进式改进方案：

第一阶段：数字标识方案

采用键值对语法扩展proto.txt格式：

host:"api.example.com"@MyProtocol=123,cat=5,breed=2

• cat后接分类ID数字
• breed后接安全等级ID数字
• 保持向后兼容，省略参数时使用默认值

第二阶段：字符串标识方案（规划中）

未来将支持更直观的字符串标识：

host:"cdn.example.com"@MediaService,cat=VideoStreaming,breed=Safe

需要建立字符串到内部ID的映射表，涉及：

• 分类名称标准化
• 多语言支持
• 配置验证机制

实现细节

核心修改位于ndpi_main.c文件：

1. 增强ndpi_handle_rule解析逻辑，支持逗号分隔的扩展参数
2. 修改ndpi_add_host_url_subprotocol函数签名，接受category和breed参数
3. 添加配置验证，确保数字ID在有效范围内

应用价值

该增强方案将带来三大改进：

1. 精细化管控：安全策略可直接基于协议分类制定
2. 可视化分析：流量报表可按业务维度聚合展示
3. 简化架构：减少后期处理模块的复杂度

演进路线

建议用户分阶段采用：

1. 短期：使用数字ID方案快速上线
2. 中期：建立内部分类标准对照表
3. 长期：迁移到字符串标识方案

该改进已随nDPI v4.0版本发布，用户可通过更新proto.txt配置文件立即获得增强功能。对于需要更高灵活性的场景，建议等待后续的字符串标识支持。