AsterNOS Geo-Engine：开启基于应用感知与地理位置的流量调度新范式

随着企业网络向100G高速互联与多云架构演进，传统的网络流量管理模型正面临根本性挑战。基于静态IP五元组的策略配置，在应对IP动态化、CDN服务复用及加密流量普及等现实场景时，不仅运维复杂度剧增，更难以保障关键业务的体验与安全。网络架构的升级，亟需从“以地址为中心”转向“以身份与来源为核心”的智能控制范式。

AsterNOS-VPP 所集成的 Geo-Engine 技术，通过轻量化、高效率的协议头部解析机制，在数据转发面直接提取流量身份特征——如 TLS SNI、HTTP Host、DNS Query 等，并借助 GeoIP（地理区域）与 GeoSite（应用分类）两大规则引擎，实现对流量的实时识别与分类。该方案摒弃了传统深度包检测（DPI）的资源消耗与性能瓶颈，在 TLS 1.3 全加密环境下仍能保持线速转发，为高吞吐场景下的精细策略部署提供了技术基础。

高效识别与匹配架构

AsterNOS Geo-Engine 的关键创新在于其“提取-匹配-执行”的高效流水线设计：

多协议特征提取

针对 HTTPS/TLS、HTTP/1.1、DNS、SOCKS5 等常见协议，仅解析其握手或请求头部中的关键字段，如 SNI、Host 等，避免全报文检测带来的性能损耗。

• TTPS/TLS： 在 TLS 握手阶段解析 Client Hello 包，提取SNI（Server Name Indication） 字段

• HTTP/1.1： 解析请求头中的Host字段

• DNS： 当设备作为 DNS 代理或网关时，直接从 Query Name 字段提取域名

• SOCKS5： 提取 ATYP 为域名类型时的 DST.ADDR

高性能规则匹配

采用 Patricia Trie 结构管理 IP 规则，支持高速最长前缀匹配；域名规则则通过优化后的 Trie 树实现后缀匹配。该结构支持多条规则重叠匹配，并按优先级返回结果，兼顾了精准度与处理效率。

（Patricia Trie（帕特里夏树）是一种专门处理字符串匹配的高效索引结构。它通过合并只有单一子节点的路径来“压缩”空间，像一棵去掉了冗余分叉的树。在网络路由中，它能以极速实现最长前缀匹配，即从成千上万条路由规则中瞬间锁定最精确的那一条 。）

有状态会话管理

系统维护动态会话表，对同一流后续报文直接复用识别结果，极大降低重复解析开销，保障转发平面性能稳定。

数据包进入VPP的 ip4/6 输入节点后的处理流程如下：

1. 域名提取：数据包进入geosite_input节点，根据协议类型提取域名。
2. 会话查询：系统查询现有会话表。若存在匹配结果则直接复用，减少重复解析开销。
3. 规则匹配：

• 域名特征匹配：对于携带域名信息的数据包（如TLS客户端初始化、HTTP主机字段、DNS查询），系统优先提取域名特征并与GeoSite规则库进行匹配，这是最精确的识别方式。
• IP匹配：对于域名未匹配任何规则的数据包，系统利用DNS解析结果匹配配置的GeoIP规则。
• 对于无法提取域名数据包，系统直接使用IP地址进行匹配。

典型业务场景与策略价值

基于上述能力，企业可在以下几类典型场景中实现策略升级：

1、应用感知路由（PBR）

通过域名而非 IP 定义关键业务（如 Zoom、Microsoft 365），实现流量自动导向优质链路。即便服务端 IP 变更，策略依然持续生效，极大提升路由可靠性与运维自动化水平。

伪代码示例：

pbr-map SMART_ROUTING match geosite ZOOM set nexthop <Premium_Gateway_IP> match geosite MICROSOFT set nexthop <Premium_Gateway_IP>

2、安全合规与访问控制

直接基于地理区域（GeoIP）或应用类别（GeoSite）配置 ACL 策略，无需依赖外部防火墙或昂贵特征库。例如，可一键阻断特定国家访问或非业务类应用，在转发面实现零信任流量的早期过滤。

• 伪代码示例：

access-list SECURE_ACL # Deny all media websites (based on domain classification) rule 10 deny geosite CATEGORY-MEDIA # Block US IPs (based on geo-location) rule 20 deny geoip US

3、精细化服务质量（QoS）控制

在加密通道内区分不同应用流量，并实施差异化带宽保障。例如，限制 YouTube 等视频流媒体带宽，同时保障视频会议流畅，实现业务体验与资源利用的平衡。

• 伪代码示例：

#Define the throttle policy

traffic behavior LIMIT_STREAMING

car sr-tcm cir 100 cbs 6400

#Create Stateful ACL

access-list REFLECT_L3 APP_QOS_POLICY

rule 10 geosite YOUTUBE traffic-behavior LIMIT_STREAMING

从软件到硬件的完整交付

AsterNOS-VPP 目前搭载于星融元 ET 系列开放智能业务处理平台，涵盖从边缘到核心的多种设备型号。例如：

• ET2500：适用于分支与边缘接入场景，支持多速率以太网接口及 PoE++ 供电，满负载功耗仅 60W（不含 PoE）。

• ET3600：面向汇聚与高性能边缘节点，提供 100G 高速接口，支持电源与风扇冗余，满足高可用部署需求。

AsterNOS Geo-Engine 不仅是一种技术工具，更是企业网络从“连通管道”向“策略驱动型平台”演进的关键组件。它将流量识别与控制的粒度从IP提升至应用与身份层级，在保持高性能的同时，显著增强了网络业务的适应性、安全性与可运维性，为企业在数字化转型中的网络架构升级提供了坚实支撑。