CN101060397B

CN101060397B - 检测网络地址转换装置的设备和方法

Info

Publication number: CN101060397B
Application number: CN2007100898236A
Authority: CN
Inventors: 清水直人; 青木贤太郎; 森谷之信; 安庭英夫
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2006-04-20
Filing date: 2007-04-05
Publication date: 2010-05-26
Anticipated expiration: 2027-04-05
Also published as: JP2007295039A; JP4148526B2; US20070258452A1; CN101060397A; US7912048B2

Abstract

提出了一种以高准确度检测运行诸如NAT和NAPT的网络地址转换装置的终端的方法。该方法是检测将网络数据传送到第一设备的网络地址转换装置。该方法包括步骤：获得连接到网络的第二设备的地址；产生伪网络数据，其中地址被设置成目的地址，以及其中网络数据可被传送的次数被设置成到达第一设备所需的传送次数；将伪网络数据发送到第二设备；检测来自第二设备的消息，该消息指明伪网络数据不能被进一步传送；以及响应于检测消息，确定第二设备正在运行网络地址转换装置。

Description

检测网络地址转换装置的设备和方法

技术领域

本发明涉及一种用于掌握这样的状态的技术，该状态为：未获得连接授权的终端通过使网络地址转换装置在其上工作而连接到已获得适当授权的、诸如PC的终端上。

背景技术

近来，未获得授权的计算机被阻止连接到公司等的内部网等等上，以防止信息泄露和扩散计算机病毒。为此，在授权交换机处，以及在无线接入点处，在根据IEEE 802.1X等授权终端之后，通过利用其MAC地址(介质存取控制地址)，或通过组合利用MAC地址和IP地址(网际协议地址)，来鉴别授权终端。在每个产品和系统中执行相同的鉴别，这样使检测未经授权而连接的终端成为可能。如上所述，通常使用通过利用终端的MAC地址和IP地址来鉴别终端的技术。

另一方面，存在一种用于将未经授权的终端以下述方式连接到网络的技术。具体地说，在已获得连接授权的授权终端中安装多个LAN卡，接着使授权终端上的NAT(网络地址转换)和NAPT(网络地址端口转换)工作。从而，将未经授权的终端经由授权终端的NAT或NAP连接到网络。公司的雇员可以没有恶意地使用这种连接将雇员在家使用的PC(个人计算机)到公司的网络。在该情况下，无需在其中安装防病毒软件，就可连接该PC。在最坏的情况下，该PC可能在被计算机病毒感染的状态下连接到网络。不应允许这种未获得连接授权的终端连接到网络。

然而，由于PC经由授权终端的NAT/NAPT连接到网络，所以难以检测到该PC，因而发自未获得连接授权的PC的分组的MAC地址和IP地址被授权终端的所替代。由于这个原因，即使当对内部网或在内部网中存在可疑的访问或操作时，网络管理员很难发现这种访问或操作的来源。

在非专利文献1中，为了发现均运行NAT/NAPT的上述终端，通过利用sFlow协议(RFC 3176)，在分析服务器中收集通过交换机传递的信息。分析服务器检查IP报头的TTL(存在时间)值，从而识别每个运行NAT/NAPT的终端。在非专利文献2中，虽然没有说明技术的细节，但是可看出来使用通过网络传递的网络数据的TCP(传输控制协议)报头的TTL值、时间戳值等，识别出运行NAT的终端。

在非专利文件1和2的每个中，由于仅仅通过监视分组来执行检测，所以NAT/NAPT检测的速度不是很高。而且，由于以下原因，不能认为这些技术在检测NAT/NAPT方面高度可靠。虽然TTL值的初始值对于Microsoft Windows(注册商标)OS(操作系统)来说是128，而对于Linux(注册商标)OS来说是64，但是用户可以通过改变OS的注册表或配置文件，轻易的操纵每个这样的值。

(非专利文献1)Detecting NAT Devices using sFlow(URL：http://www.sflow.org/detectNAT/)

(非专利文献2)NATDet-NAT Detection Tool(URL：http://elceef.itsec.pl/natdet/)

发明内容

[本发明要解决的问题]

有必要以高准确度来检测运行诸如NAT或NAPT的网络地址转换装置的终端，并且使该终端不用作网络地址转换装置。

[解决问题的手段]

为了解决上述问题，本发明提供了一种检测网络地址转换装置的方法。该方法是检测将网络数据传送到第一设备(例如，经由NAT/NAPT连接到网络的设备)的网络地址转换装置的方法。该方法包括步骤：获得连接到网络的第二设备(例如，单个PC或连接到网络的多个PC)的地址；产生伪网络数据，其中该地址被设置成目的地址，以及其中网络数据能够被传送的次数被设置成到达第一设备所需的传送次数；将伪网络数据发送到第二设备；从第二设备检测有关伪网络数据不能被进一步传送的消息；以及响应于检测到该消息，确定第二设备正在运行网络地址转换装置。该方法使得能够以高准确度检测运行NAT或NAPT的终端。

上述方法进一步包括以下步骤。具体地说，利用该步骤，在确定第二设备正在运行网络地址转换装置的情况下，通过改变发送到已连接到网络的设备的网络数据能够被传送的次数，使网络地址转换装置无效。因为有关NAT/NAPT的无效处理被配置成在NAT/NAPT被检测到之后自动执行，所以该方法使得管理网络更加容易。

附图说明

图1示出了用于检测运行网络地址转换装置的终端的设备的硬件结构的略图。

图2是网络地址转换装置检测设备所运行的网络环境的例子。

图3示出了网络地址转换装置检测设备的功能的略图。

图4A和4B每个都示意性地示出了当诸如分组的网络数据被传送到运行网络地址转换装置的PC的时间。

图5举例说明了用于检测网络地址转换装置的处理流程。

图6是示出由NAT/NAPT检测设备对分组执行的处理的概况的图例。

图7举例说明了IP报头中ID字段的变化。

图8是分组的TTL值的示例。

图9是分组的端口号的示例。

图10举例说明了使NAT/NAPT无效的方法。

图11举例说明了使NAT/NAPT无效的另一方法。

具体实施方式

图1示出了用于检测运行网络地址转换装置(转换IP地址的NAT，或转换IP地址和端口号的NAPT)的终端的设备的硬件结构100的略图。中央处理单元CPU 101在各种操作系统的控制下执行不同程序。CPU 101经由总线102被互连到存储器103、磁盘104、显示适配器105、用户接口106，以及网络接口107。

磁盘104包含使计算机工作所需的软件和操作系统，以及用来执行操作系统和本发明的程序。每个程序被读到存储器中，并且在需要时由CPU执行。通过监视网络捕获的诸如网络数据(分组)的数据，以及已经过检查的网络地址被存储在磁盘104中。注意到，快擦写存储器等可代替磁盘104。对本领域技术人员来说，显然任何可记录介质将满足磁盘104的需要，而且磁盘104不局限于硬盘。

本发明的设备经由用户接口106连接到键盘109和鼠标110；经由显示适配器105连接到显示装置108；以及经由网络接口107连接到网络111。利用键盘109和鼠标110操作该设备，并且处理的中间状态和结果显示在显示器108上。网卡等连接到网络接口107。经由网络接口107获得和发送网络数据。

某些情况下，可经由网络111在分布式环境中实现本发明。注意到，该硬件结构只是计算机系统、总线布置和网络连接的一个实施例的示例，而且以具有多个相同结构元件的方式，或以在网络上进一步分布的方式，本发明的特性可以在任一个不同系统结构中得以证实。

图2是网络地址转换装置检测设备运行的网络环境的例子。例如，终端经由因特网201连接到公司中的路由器202，并进一步连接到本发明的网络地址转换装置检测设备203。网络地址转换装置检测设备203被连接到网络交换机211，而网络交换机210和212两个都连接到网络交换机211。路由器202形成子网。多个PC终端被连接到每个网络交换机，PC 220、221、222...被连接到网络交换机211。如图2中所见，本发明的网络地址转换装置检测设备203位于路由器202和网络交换机211之间。

网络地址转换装置检测设备203能够获得从连接到其它网络交换机210和212的PC发送的，以及从连接到网络交换机211的PC 220到223...发送的全部网络数据。如果L3交换机存在于路由器202存在的位置，并且L3交换机具有镜像功能，则其使得网络地址转换装置检测设备203能够直接连接到镜像功能。因此，L3交换机不必位于上述位置。在另一个实施例中，可将网络地址转换装置检测设备203中的网络数据捕获装置提供在每个PC与对应的网络交换机之间。网络连接的结构不局限于图2所示的结构。

图3示出了网络地址转换装置检测设备的功能结构的略图。通信单元301用于收集和发送网络数据。网络数据捕获单元302捕获由每个PC发送的网络数据。网络数据产生单元303产生具有与由网络数据捕获单元302捕获的目的地址、源地址、源端口和目标端口的设定值相同的设定值的伪网络数据。针对所产生的网络数据设定参数，使得所产生的网络数据不能被进一步传送，即使得当试图传送时，能够发出有关所产生的网络数据不能进一步传送的错误消息。其后，从通信单元301发送所产生的网络数据。

网络地址转换装置确定单元304确定在发送网络数据之后是否返回有关不能执行传送的错误消息。在有关不能执行传送的错误消息被返回的情况下，这表明网络地址转换装置正在运行。因此，可以确定具有网络数据的网络地址的PC终端正在运行NAT/NAPT。检查管理DB 305存储捕获的网络数据和已检查的网络地址。通过部分改变寻址到运行NAT/NAPT的装置的网络数据的参数，网络地址转换装置无效处理单元306执行使NAT/NAPT基本无效的处理。后面会描述无效的细节。

图4A和4B每个都示意性地示出了诸如分组的网络数据被传送到运行NAT/NAPT(即网络地址转换装置)的PC的时间。图4A示出了通过NAT/NAPT传送分组的方式，所述分组是从常规Windows OS发送的网络数据。从PC-A发送分组401。在分组401到达PC-B之后，其网络地址被改变，因而分组401作为分组402被传送到PC-X。在分组401中，作为指明分组401能够被传送的次数的参数的初始TTL值被设定为128。当通过NAT/NAPT装置传送分组401时，TTL值被减去1，因而在分组402中TTL值为127。顺便提及，就Linux而言，该初始TTL值是64。

图4B示意性地示出了通过网络地址转换装置检测设备410产生分组411的方式。网络地址转换装置检测设备410将TTL值是1的分组发送到PC-B。或者，可根据在PC-A与PC-B之间捕获的分组产生分组411。在该分组作为分组412传送到PC-X的情况下，在NAT/NAPT运行于其上的PC-B中，作为分组能够被传送的次数的TTL值为0。因此，有关该分组不能被传送的错误消息被发送到PC-A。当网络地址转换装置检测设备410检测到错误消息413时，显然PC-B正在运行NAT/NAPT。

图5举例说明了用于检测网络地址转换装置的处理流程。处理始于步骤501。在步骤503中，捕获从连接到网络的PC发送的网络数据。在步骤505中，获得在步骤503中捕获的网络数据的目的地址。此处，处理可被配置成不再检查已检查过的PC的地址。在目的地址为已检查的PC的地址的情况下，处理返回到步骤503以便可以获得不同的网络数据。通过在检查管理DB中注册已检查过的地址，以及通过管理在检查管理DB 305中如此注册的已检查过的地址，处理可以被配置成不再检查地址。

或者，步骤503和505中的处理可被配置成从路由器或ARP(地址解析协议)表中获得地址。在步骤507中，产生具有在步骤505中获得的目的地址的网络数据。该网络数据具有诸如设置TTL值为1的参数设置，该TTL值为分组能够被传送的次数。后面会描述其细节。在步骤509中，发送在步骤507中所产生的网络数据。在步骤511中，确定是否检测到有关在步骤509中所发送的网络数据不能被传送的错误消息。

当在步骤511中没有检测到错误消息(否)的情况下，处理前进到步骤515。另一方面，当在步骤511中检测到错误消息(是)的情况下，在步骤513中，将作为网络数据的目的地址的PC识别为正在运行NAT/NAPT。在步骤515中，确定检测处理是否要进一步继续。当在步骤515中确定处理要继续(是)的情况下，处理返回到步骤503以执行对另一个PC地址的检测处理。当在步骤515中处理不会继续(否)的情况下，处理前进到步骤517，并且终止。

图6示出了根据图5中由NAT/NAPT检测设备执行的流程，对作为网络数据的分组进行的处理的略图。PC-A 601被配置成具有MAC地址“00:00:00:00:00:01”以及IP地址“192.168.103.200”。PC-B 602被认为是运行NAT/NAPT的终端。即，PC-B 602的授权网络端具有已经被配置成具有MAC地址“00:00:00:00:00:02”以及IP地址“192.168.103.100”的网卡1。

另一个网卡2具有MAC地址“00:00:00:00:00:03”和IP地址“192.168.94.10”，并且被连接到专用网络端。此外，未得到连接授权的PC-X经由NAT/NAPT连接到PC-B。PC-X被配置成具有MAC地址“00:00:00:00:00:04”和IP地址“192.168.94.20”。在这种情况下，假定NAT/NAPT检测系统604处于操作中。

假定PC-X正经由PC-B的NAT/NAPT执行与PC-A的分组发送和接收。从PC-X发送的分组611被配置成具有源MAC地址“00:00:00:00:00:04”，目的MAC地址“00:00:00:00:00:03(网卡2的MAC地址)”，TTL值“128”，源IP地址“192.168.94.20”，目的IP地址“192.168.103.200(PC-A的IP地址)”，TCP源端口号“10000”，TCP目的端口号“23”，以及TCP标志“ACK+PSH”。由PC-B的NAT/NAPT改变分组611的地址。当从网卡1将分组611发送到PC-A时，MAC地址、IP地址、端口号等被改变成分组612的MAC地址、IP地址、端口号。

作为响应，从PC-A发送分组613。分组613作为分组614从网卡2经由PC-B的NAT/NAPT发送。NAT/NAPT检测设备604捕获分组613，产生用于检测NAT/NAPT的分组621，并且将分组621发送到PC-B。此处，在分组621中，IP报头中的TTL值被设置为1，并且输入一个无效值以作为其TCP的校验和值。

其原因如下。在PC-B没有正在运行NAT/NAPT的情况下，TCP校验和是不正确的。因此，除了分组被PC-B拒绝之外，在PC-B接收分组之后，对操作没有影响。分组621的TCP标志可被设置为“ACK”。这也是因为当收到“ACK”时，无关的“ACK”导致PC-B拒绝具有无关“ACK”的分组。在UDP会话的情况下，不正确值可被放入UDP校验和中。

在PC-B正在运行NAT/NAPT的情况下，发送ICMP(互联网控制消息协议)时间超出消息622，以指示分组622不能被进一步传送到其它终端。在检测到分组622的情况下，NAT/NAPT检测设备604确定PC-B正在运行NAT/NAPT。顺便提及，即使本来要由PC-B处理分组621，除了因为校验和值不正确而拒绝分组621之外，其它处理不受影响。

然而，NAT/NAPT检测设备604有时无法捕获分组622。为了提高检测准确度，优选地不止一次重复从NAT/NAPT检测系统发送分组621。

为了进一步提高准确度，也可以考虑与其它正检查的项目并行地检测NAT/NAPT。例如，图7示出了IP报头中ID字段的变化。分组701和702的ID字段中的值与分组703和704的ID字段中的对应值有很大的差别。从而，尽管从相同PC发送，但可以预期分组在ID方面有两个结构。在这种情况下，可以预计上述PC正在运行NAT/NAPT。

另外，通过检查IP报头的TTL字段中的值，可以确定PC是否正在运行NAT/NAPT。例如，如图8所示，分组801和802具有TTL值128，其可被确定为从Windows OS发送的初始TTL值。另一方面，分组803和804具有TTL值127，并且可被确定为由NAT/NAPT传送的TTL值。然而，因为通过改变PC的注册表，用户可以自由地设置TTL值，所以单独检查TTL值可能缺乏可靠性。由于这个原因，在这种情况下，最好与图6中所示的分组622的检测结合使用TTL值。

而且，通过检查TCP报头或UDP报头中的端口号的值，可确定PC是否正在运行NAT/NAPT。如图9所示，分组901和902中的端口号与分组903和904中的端口号是如此的不同(不连续)，使得在那些分组来自于相同源的情况下，可以认为源可能正在运行NAT/NAPT。

此外，通过检查TCP时间戳的值，可确定PC是否正在运行NAT/NAPT。一个PC与另一个的机器时间是不同的。由于这个原因，如果在某个时间段内，从相同PC发送相互具有明显不同时间戳的多个分组，即如果观察到时间戳的非连续值，可以认为PC可能正在运行NAT/NAPT。

图10示出了一种使正在运行NAT/NAPT的PC的NAT/NAPT无效的方法。此处，为了使NAT/NAPT无效，寻址到正运行NAT/NAPT的PC的分组的TTL值被改为1。以下面的方式能够实现这个。具体地说，将TTL值改变为1的功能被加到路由器或层3交换机上。从而，在被告知运行NAT或NAPT的PC的地址之后，当路由器或层3交换机传递寻址到该PC的分组时，TTL值被设置成1。即，当路由分组1010时，如在分组1012的情况中一样，其TTL值被改为1。

在图11中，通过改变PC 1100的APR表，从而将已寻址到该PC的分组改变成寻址到TTL改变设备的分组，分组的TTL值也可以被改为1。通过将ARP表1120中对应于运行NAT/NAPT的PC的MAC地址1103改变成TTL转换设备的MAC地址可以实现这个。从而，使寻址到PC-X的分组始终通过TTL改变设备1106。例如，具有TTL值128的分组1104被变成具有TTL值1的分组1108。因此，可以从根本上使NAT/NAPT无效。

根据上面描述的本发明，运行诸如NAT或NAPT的网络地址转换装置的PC可以高准确度检测到。此外，在发现这样的PC以后，可以容易地使NAT或NAPT无效。

通过利用实施例，上面已经描述了本发明。同时，本发明的技术范围不局限于在上述实施例中所述的范围。对本领域技术人员来说，显然各种变化和改进可被加到上述实施例中。从权利要求的范围中的说明中显而易见，对其增加这样的变化或改进的实施例也可以被归入本发明的技术范围。

Claims

1.一种检测将网络数据传送到第一设备的网络地址转换装置的方法，该方法包括步骤：

获得连接到网络的第二设备的地址；

产生伪网络数据，该数据中所述第二设备的地址被设置成目的地址，并且所述网络数据能够被传送的次数被设置成到达第一设备所需的传送次数；

将所述伪网络数据发送到第二设备；

检测来自第二设备的消息，该消息指明所述伪网络数据不能被进一步传送；以及

响应于检测到该消息，确定第二设备正在操作网络地址转换装置。

2.如权利要求1所述的方法，进一步包括步骤：

捕获通过网络传递的网络数据；以及

获得如此捕获的网络数据的目的地址。

3.如权利要求1所述的方法，其中：

网络数据是分组，并且

网络数据能够被传送的次数是TTL值。

4.如权利要求1所述的方法，其中网络地址转换装置是NAT设备和NAPT设备中的任意之一。

5.如权利要求1至4中任何一个所述的方法，进一步包括步骤：

根据分组的TTL值、分组的两个相继端口号之间不连续的存在/不存在、以及分组的两个相继TCP时间戳之间不连续的存在/不存在中的至少之一，确定第二设备正在操作网络地址转换装置。

6.如权利要求1所述的方法，进一步包括步骤：

在确定第二设备正在操作网络地址转换装置的情况下，通过改变发送到第二设备的网络数据能够被传送的次数，使第二设备不用作网络地址转换装置。

7.一个用于检测将网络数据传送到第一设备的网络地址转换装置的设备，该设备包括：

用于获得连接到网络的第二设备的地址的装置；

用于产生伪网络数据的装置，该数据中所述第二设备的地址被设置成目的地址，并且所述网络数据能够被传送的次数的上限被设置成到达第一设备所需的传送次数；

用于将伪网络数据发送到第二设备的装置；以及

用于在检测到来自第二设备、指明伪网络数据不能被进一步传送的消息的情况下，确定第二设备正在操作网络地址转换装置的装置。

8.如权利要求7所述的设备，进一步包括用于捕获网络数据的装置，

其中地址获得装置从如此捕获的网络数据的目的地址获得所述地址。

9.如权利要求7所述的设备，其中：

网络数据是分组，并且

网络数据能够被传送的次数是TTL值。

10.如权利要求7所述的设备，其中网络地址转换装置是NAT设备和NAPT设备中的任意之一。

11.如权利要求7所述的设备，进一步包括在确定第二设备正在操作网络地址转换装置的情况下，通过改变发送到第二设备的网络数据能够被传送的次数，使第二设备不用作网络地址转换装置的装置。

12.如权利要求9所述的设备，其中：

所述分组是ACK分组、将不正确值放入TCP校验和中的分组和将不正确值放入UDP校验和中的分组中的任意之一。