润迅发布洞流 Refract：从单一特征到多维证据，提升 VPN 识别可信度

近日，润迅正式发布网络流量识别与分析产品——洞流 Refract，面向 VPN、加密隧道及复杂加密通信场景，通过多维信号融合与分级研判，提高复杂网络环境下的流量识别和分析能力。

近年来，VPN 与加密通信方式不断变化。过去依赖固定 IP、固定端口、固定协议以及静态规则进行识别的方式，在面对非标准端口、加密混淆、协议封装及复杂连接行为时，正在面临越来越多挑战。

与此同时，正常网络业务也在快速加密化。TLS、QUIC 已广泛存在于云服务、SaaS、CDN 及日常办公应用中，网络中需要分析的已经不再是少量具有明显特征的加密通信，而是大量外部表现高度相似的加密流量。

在这一背景下，润迅推出洞流 Refract，希望将复杂 VPN 与加密流量识别从传统的“命中一个特征”，进一步推进到“形成一组能够相互印证的判断依据”。

一个特征，不再足以解释全部问题

传统识别方式通常围绕固定 IP、固定端口或协议特征建立规则。当某条通信满足相应条件时，系统再依据规则进行判断。

这种方式在特征稳定的环境中具有较高效率，但随着网络通信越来越复杂，一个单独的特征所能说明的问题也越来越有限。

为此，洞流 Refract 将不同类型的信号分层组织，综合观察基础设施与相关信息、端口与协议、协议握手、TLS/QUIC 特征、连接行为及跨流关系等内容。

不同层面的信息相互补充，再结合证据强度进行综合研判。

不是所有命中，都应该得到相同结论

复杂加密流量识别的另一个现实问题，是误报。

当大量正常业务同样表现为加密通信时，如果系统只因为发现一个相似信号就直接输出最终判断，很容易让大量低价值信息进入后续研判流程。

洞流 Refract 因此强调分级判断。

不同证据强度对应不同的研判结果，系统并不将所有命中统一处理，而是根据已经形成的证据，对结果进行进一步区分。

这使流量识别不再只有简单的“是”或“不是”，而是让使用者能够看到当前判断处于什么程度，以及背后有哪些依据。

对于润迅而言，复杂流量分析并不是识别得越多越好。

如果一个系统不断产生告警，却无法说明判断依据，最终仍然需要使用者投入大量时间重新核查原始信息。

因此，洞流 Refract 更关注如何通过多维证据和分级研判，让真正值得关注的信息更加清晰。

把判断依据交给使用者

洞流 Refract 不仅输出识别结果，也进一步围绕协议、流量、连接对象、历史行为等信息形成研判上下文。

用户可以继续了解一条通信为什么被关注、涉及哪些节点、相关行为是否持续出现，以及不同流量之间是否存在关联。

也正因此，润迅将洞流 Refract 的产品理念概括为：

看见暗流，更看见判断依据。

在复杂加密流量不断增加的网络环境中，“发现”仍然重要，但仅有发现已经不够。让结果能够被解释、被关联和被复核，正在成为复杂流量分析更加重要的能力。