面向地理空间的网络拓扑结构特征分析*

张志勇，许莹莹，冯肖杨，贾继康，李 斌，许 卡

（1.中国电子科技集团公司第三十研究所，四川 成都 610041；2.中电科网络安全科技股份有限公司，四川 成都 610095）

0 引言

网络空间测绘旨在通过探测全球网络空间的节点分布和连接关系，构建全球网络空间地图，近年来成为网络空间安全领域备受关注的热点方向[1-2]。其中，互联网拓扑提供了生成网络空间地图的基础底图信息，因此对网络空间拓扑的探测、还原是网络空间测绘中非常重要的研究内容之一。此外，通过对互联网拓扑结构的特征进行分析，能够帮助发现目标网络的骨干节点、关键路由，识别目标在网络结构层面的脆弱性，对帮助提升目标网络安全防护能力、优化目标网络架构和性能具有重要意义。

现有的拓扑测绘工作主要围绕网络拓扑模型建模、拓扑结构还原、结构特征分析等方向展开。其中，网络拓扑模型按照从宏观到微观的顺序，主要分为自治域（Autonomous System，AS）级、接入点（Point of Presence，PoP）级、路由器级和IP 接口级4 个层级[3-4]。各个层级的网络拓扑模型中，节点分别指代不同对象，因而相应的网络拓扑模型揭露了网络空间在不同空间尺度的结构特点。此外，Gunes 等人[5]和Tozal 等人[6]提出了构建子网级拓扑的理念和实现算法，子网级拓扑可被视作路由器级拓扑的对偶模型。

为了获得网络空间在各个层级的拓扑，通常采用自下而上的思路进行。首先采用如Traceroute 之类的IP 路径探测工具[7]获得海量IP 路径，并基于此还原得到IP 接口级拓扑。在IP 接口级拓扑的基础上，执行IP 别名解析[8]，将属于相同路由器的IP 集合合并为路由器节点，可获得路由器级拓扑。针对PoP 级拓扑，则在路由器级拓扑基础上，结合路由器的地理位置信息和局部连接特征，将多个路由器聚合为PoP 节点。对于AS 级拓扑，一方面可根据IP 级拓扑以及IP-AS 映射关系间接生成AS 链路，另一方面可结合边界网关协议（Border Gateway Protocol，BGP）路由信息[9]中的AS Path 字段直接获得AS 链路。CAIDA 根据AS 间的连接关系特征，推断AS 之间的商业服务关系[10]，将AS 链路划分为P2C、P2P、Sibling 等，构建了比较完整的全球AS 级网络拓扑。

基于还原得到的网络拓扑，业界围绕对拓扑的结构特征分析开展了大量工作。Subramanian 等人提出Sark 模型分析AS 的层级结构，按照AS 在全球互联网中的地位将其划分为核心传输层、骨干传输层、边缘传输层、边缘接入层、边缘层5 个类别[11]。CAIDA 的AS Rank 项目[12]利用AS 的客户集规模作为度量AS 重要性的指标并对全球所有AS 进行排名。刘晓等人[13]分析了全球互联网的结构特征演化趋势，发现全球互联网整体上在朝着扁平化、去中心化的方向发展。这种趋势一方面是源自内容分发网络（Content Delivery Network，CDN）技术的兴起和内容提供者的增加，导致作为流量终点的内容提供者更靠近作为流量发起的用户；另一方面，互联网交换中心（Internet eXchange Point，IXP）的大量出现使得AS 之间对等（Peer to Peer，P2P）关系的代价越来越小，很多底层的AS 通过建立对等关系来降低传输的代价。朱金玉等人[14]和程丽君等人[15]则分别提出了一种识别国家/地区边界节点和识别目标网络骨干节点的方法，能够从海量路由器或者IP 中发现对特定网络具有重要意义的特殊目标，可以为基于拓扑信息的上层应用提供有效支撑。

然而，现有工作主要在网络层展开，并没有将网络空间和地理空间有机结合。为此，本文基于IP接口级拓扑构建了面向地理空间的网络拓扑模型，对国家/地区间的路由关系和连通特征进行分析，揭露了不同地理区域之间的路由关系特征。本文贡献总结如下：

（1）将现有的网络拓扑模型从网络域迁移到地理域，建立面向地理空间的网络拓扑，其中每个节点可对应具体的地理区域，如国家/地区、城市；

（2）在面向地理空间的网络拓扑基础上，研究了各个国家/地区在全球网络通信中扮演的角色，通过具体度量参数对其重要性进行量化刻画，为弥补国家网络建设短板提供有益参考。

1 面向地理空间的拓扑结构特征分析

1.1 拓扑模型及其构建方法

用图模型G=(V,E) 表示IP 级拓扑，其中：V={vi|i=1,2,…,n}是节点集合，每个节点vi对应一个IP 地址；E={(v,v')|v∈V,v'∈V,v≠v'}是链路集合，每条链路是一个IP 地址二元组。为了构建IP级拓扑，通常采用Traceroute 等IP 路径探测工具，在多个探测源上独立地对整个IPv4 地址空间进行探测，获得大量IP 路径信息。用P={pj|j=1,2,…,m}表示探测获得的所有IP 路径构成的集合。每条IP路径实质上是一个IP 地址序列，用p=(k1,k2,…,kl)表示，其中，每个ki(i=1,2,…,l)均为该路径经过的一个IP 地址。从每条IP 路径可抽取得到一系列IP 节点和链路用于构建IP 级拓扑。对于路径p=(k1,k2,…,kl)，它经过的每个IP 地址ki(i=1,2,…,l)均为V中的节点，经过的任意两个连续IP 地址构成的二元组(ki,ki+1)(i=1,2,…,l-1)均为E中的链路。若将路径p视作IP 地址集合，则也可用v∈p表示路径p经过了IP 地址v。对给定的IP 级拓扑G=(V,E)和路径集合P，记经过节点v∈V的路径构成的集合为P(v)={p|p∈P,v∈p}，记经过链路e=(v,v')∈E的路径构成的集合为P(e)=P((v,v'))={p|p∈P,v∈p,v'∈p}。

利用IP 地址的地理位置信息，可将上述IP 级拓扑模型转换为面向地理空间的网络拓扑，用图O=(U,L)表示。其中，U为节点集合，U中每个节点表示一个地理位置。根据实际使用需求，地理位置的粒度可能取值为大洲、国家、城市等不同级别的地理区域。假如U中每个节点对应一个城市，则O为城市级网络拓扑，反映了不同城市之间的网络连接关系。对于两个地理节点u,u'∈U(u≠u')而言，如果原始的IP 级拓扑G=(V,E)中存在两个节点v,v'∈V所处的地理位置分别为u,u'，且有(v,v')∈E，则(u,u')∈L是图O=(U,L)的一条边。

类似的，将IP 路径p=(k1,k2,…,kl)中每个IP 地址按照其所处的地理区域映射为地理节点形成地理节点序列，并在地理节点序列中将连续且重复的地理节点合并后，可以得到该IP 路径在地理空间中对应的路径，将其称为p的地理路径，用p°表示。例如，对于某条IP 路径p=(k1,k2,k3,k4,k5)，假定其经过的5 个IP 地址中，k1和k2位于城市c1，k3位于城市c2，k4和k5位于城市c3，则p的地理路径为p°=(c1,c2,c3)。

将P中所有IP 路径的地理路径构成的集合记为p°。其中，p°(u)={p°|p°∈P°,u∈p°}表示经过地理节点u的所有地理路径。显然，可能存在多条不同的IP 路径被映射为同一条地理路径。例如，若存在另一条路径其经过的5 个IP 地址中，和位于城市c1，位于城市c2，和位于城市c3，则p'的地理路径和上文中p的地理路径同为p°=(c1,c2,c3)。为此，用I(p°)表示地理路径p°∈P°对应的IP 路径数。

1.2 节点重要性评估方法

为了掌握一个地理区域在实现全球网络互联互通时所发挥的作用，采用复杂网络分析中常见的中心性指标对地理区域的重要性进行度量，具体包括中介中心性、距离中心性和度中心性3 个度量指标。

1.2.1 基于中介中心性的节点重要性度量方法

原始的中介中心性以经过某个节点的最短路径数来刻画该节点的重要性。对于节点v∈V，它的中介中心性为：

式中：Pst为任意两个不同节点之间的最短路径构成的集合；Pst(v)为Pst中经过节点v的路径子集；#为对集合求元素个数的运算符。

根据式（1）计算节点的中介中心性时，需要计算任意两个不同节点之间的最短路径。对于网络拓扑而言，计算原始的中介中心性存在两个问题：（1）网络规模太大，导致计算任意两个节点之间的最短路径的计算复杂度太高；（2）更重要的是，网络中任意两个节点之间实际采用的通信路径和理论上的最短路径可能并不一致。为此，对给定的IP级拓扑G=(V,E)和路径集合，节点v∈V的中介中心性为：

显然，式（2）用实际测量得到的路径集合替换原始中介中心性中的最短路径，能够避免原始中介中心性面临的两个问题。

在式（2）的基础上，提出针对地理区域的网络拓扑节点的中介中心性计算方法，具体为：

1.2.2 基于距离中心性的节点重要性度量方法

在连通图中，一个节点越靠近图的中心，该节点离其他节点的距离就越近。对于节点v∈V，它的归一化的接近中心性可由下式计算得到：

式中：d(v,v')为节点v和节点v'之间的最短路径。

在式（4）的基础上，对接近中心性取倒数，将每个地理路径p°的长度作为该路径的起点和终点之间的距离，用I(p°)作为权重进行加权计算，可得针对地理区域的网络拓扑节点u的距离中心性计算方法为：

1.2.3 基于度中心性的节点重要性度量方法

度中心性是衡量节点重要程度的最直接的度量。针对地理区域的网络拓扑节点u的度中心性计算方法如下：

度中心性CD(u)实质上是和节点u在网络上直接相连的其他节点的数量。

2 实验评估

2.1 实验数据集

实验所用的IP 路径数据来自CAIDA 的全球IPv4 拓扑探测数据集[16]。CAIDA 在全球部署了数十个探测节点，周期性地对全球IPv4 地址空间的“/24”前缀进行IP 路径探测，并将1 年前的数据开放给研究人员使用。为了研究拓扑结构特征随时间变化的情况，选取了2018 年、2020 年、2022 年的数据进行分析。每一年的数据都选取了一整轮的测量结果，即测量数据中的目标IP 能够覆盖全球IPv4 地址空间的所有“/24”前缀。

为了以地理区域为单位进行研究，使用Maxmind的IP 地址地理定位数据集[17]作为映射标准，将IP路径中出现的每个IP 地址映射到相应的国家/地区，并按照1.1 节所述方法生成地理路径。

需要注意的是，按照前文方法计算节点重要性之前，需要首先滤除以下两类异常路径：（1）由于匿名路由器导致的不完整路径，即由于路径存在连续几跳节点不响应而导致路径探测提前终止；（2）由于IP 地址地理定位信息不完整导致路径中存在无法定位的IP 地址，即无法将路径经过的所有IP 地址映射到相应国家/地区。所有的节点重要性度量指标均基于正常路径进行计算，以排除异常路径对最终结果的干扰。

2.2 中介中心性评估结果

表1 展示了中介中心性最高的10 个国家/地区的详细情况。可以看到，在2018 年、2020 年和2022 年，中介中心性最高的4 个国家都是美国、英国、法国和德国，且美国的中介中心性总是远高于其他国家。随着排名向后，国家/地区的重要性下降得很快，而且随着时间的推移，排名靠前的国家/地区的中介中心性在逐渐上升。这意味着互联网中占支配地位的国家/地区的支配程度越来越高，即幂律分布现象越来越明显。

表1 中介中心性最高的10 个国家/地区

2.3 距离中心性评估结果

表2 展示了距离中心性最低的10 个国家/地区的详细情况，即距离互联网中心最近的10 个国家/地区。可以看到，距离中心性在这几年并没有明显的变化，出现在排行榜中的国家/地区比较分散，而且有许多不知名小国家出现在排行榜中。

表2 距离中心性最低的10 个国家/地区

其中，美国在3年的统计中都出现在了排行榜中，中国大陆则在2018 年和2020 年分别排名第9 和第2。

2.4 度中心性评估结果

表3 展示了度中心性最高的10 个国家/地区的详细情况。可以看到，对于排名前几位的国家/地区，度中心性和中介中心性的结果比较一致，美国、英国、德国、法国排名一直都比较高。

表3 度中心性最高的10 个国家/地区

然而，同一个国家的度中心性理论上应随着时间推移而逐渐增加，但是实验结果则并非如此，这可能是由于不同年度的路径数据集的完整性不同而造成的。因此，度中心性不像中介中心性那样具有归一化的效应，对数据质量的依赖比较强。

3 结语

互联网拓扑是构建网络空间地图的必要信息，其结构特征反映了网络空间的地形特点。结合网络拓扑信息和节点的地理位置信息，提出了面向地理空间的网络拓扑模型构建方法，并针对各个国家/地区，通过中介中心性、距离中心性、度中心性等参数对其在全球互联网中的重要性进行度量。利用CAIDA 提供的开放数据开展实验分析，实验结果表明，中介中心性能够更为客观地反映国家/地区在互联网中的重要性，且美国占主要支配地位。本项工作能够帮助加深对互联网拓扑结构及其变化趋势的理解，并为提升国家/地区网络鲁棒性提供有益参考。