高 平，广 晖，陈 熹，李光松

（1.河南省网络密码技术重点实验室，郑州 450001；2.郑州大学 体育学院，郑州 450004）

0 概述

为维护网络安全，互联网服务商通常会在网关处的防火墙利用网络审查技术来过滤网络流量中的不良信息，如端口过滤、深度包检测等技术。与此同时，一些恶意用户和组织往往会使用各种各样的方法手段规避网络审查。目前，用户主要使用安全代理、VPN 加密、匿名网络3 种方式突破防火墙的封锁，达到访问受限资源的目的。这些技术对防火墙的穿透会造成用户网络行为无法识别、不可监控的后果，如非法交易、传播不良信息等。因此，识别和分类这些技术软件产生的流量对网络管理和网络安全具有重要意义。

安全代理部署简单、成本较低，更容易在互联网用户之间传播，已经成为恶意用户突破防火墙的重要手段之一。目前Shadowsocks（SS）、V2Ray、Freegate、Ultrasurf 这4 种安全代理使用较为广泛［1］。SS 和V2Ray 是开源的安全代理软件，用户可轻易在虚拟专用服务器（Virtual Private Server，VPS）上部署。通过VPS 对客户端流量进行代理，达到穿透防火墙的目的。Freegate 和Ultrasurf 安全代理软件有较大的受众基数，由专门的公司动态网和UltraReach对软件进行定期的更新和维护。安全代理通过加密用户的流量来规避防火墙的深度包检测技术。因此，安全代理流量分类本质上是加密流量分类问题。加密流量分类主要有基于端口的流量分类、基于深度包检测的流量分类和基于统计特征的机器学习算法流量分类3 种方法。

基于端口的分类是早期传统的流量分类方法，使用Internet Assigned Numbers Authority（IANA）［2］来分配知名端口号识别流量类型。……