CN101159636A - 一种非法接入的检测系统和方法 - Google Patents

Abstract

本发明公开一种非法接入的检测系统和方法，包括：流信息采集模块，用于对本地流量数据进行采样，将采集的数据包发送给流信息汇聚模块；流信息汇聚模块，用于从流信息采集模块获取的数据包中提取出流量信息，并将相同的流量信息进行合并；信息管理模块，用于保存并维护合法客户的信息；判定分析模块，用于从流信息汇聚模块汇总的流量信息中判断并过滤掉属于运营商自己客户的信息；将过滤后剩余的流量信息与信息管理模块中的合法客户信息比较，判断是否为合法流量信息，若是，判定该客户为正常流量客户；否则，判定该客户为是非法接入客户。通过本发明可以自动发现非法接入情况。

Description

一种非法接入的检测系统和方法

技术领域

本发明涉及网络管理领域中流量监测和流量控制技术，特别是指一种非法接入的检测系统和方法。

背景技术

不同网络之间的连接方式可分为两类，即接入和互连。接入是指客户采用一定的方式连接到网络服务提供商的网络；互连是指网络服务提供商网络之间的互通连接。这两种方式的区别不是在技术上，而是体现在网络之间的逻辑关系上，特别是网络之间流量费用的结算方式上。

随着互联网的普及，越来越多的企业和个人都要使用互联网业务。由于商业利益的驱动，在部分地区，有的运营商(乙方)连接到其它运营商(甲方)时，不是采用互连互通的方式，而是以企业用户的名义，采用接入方式连接到甲方运营商的网络，或者通过第三方网络转接到甲方网络，然后低价发展客户，从而赚取互连费用与接入费用之间的差价，这种接入方式称为假接入真互联；同时，有些大带宽接入客户，利用较便宜的接入资源私自发展用户，在没有许可的情况下违规经营。假接入真互联和违规经营都属于接入合同内容之外的违法行为，本文中通称为“非法接入”。非法接入扰乱了正常的电信市场秩序、影响网络用户的应用体验，也损害了甲方运营商的商业利益，所以必须对这种行为进行规范和打击，以维护电信业务的正常运营，而规范的前提就是检测并发现非法接入的情况。

目前，非法接入的发现主要是客户或个人举报、或者偶然发现的客户流量异常产生怀疑，然后，网络管理员通过查看被举报或怀疑客户流量的自治系统(AS)号进行判断，如果AS号属于其它运营商，就是非法接入，否则就不是。这种方法不但随机性太大、只能在偶然情况下发现非法接入，而且耗费大量的人力、效率低下。

发明内容

有鉴于此，本发明提出一种非法接入的检测系统和方法，使运营商的服务器系统能够自动发现非法接入情况。

基于上述目的，本发明提供的非法接入的检测系统，包括：

流信息采集模块，用于对本地流量数据进行采样，将采集的数据包发送给流信息汇聚模块；

流信息汇聚模块，用于从流信息采集模块获取的数据包中提取出包含有目的地址的流量信息，并将相同的流量信息进行合并；

信息管理模块，用于保存并维护合法客户的信息；

判定分析模块，用于从流信息汇聚模块汇总的流量信息中判断并过滤掉目的地址属于运营商的流量信息；将过滤后流量信息与信息管理模块中的合法客户信息比较，判断是否为合法客户信息，若是，判定该客户为正常流量客户；否则，判定该客户为非法接入客户。

该系统所述信息管理模块还用于保存并维护运营商信息；所述判定分析模块判定为非法接入客户后，还根据信息管理模块保存的运营商信息判断流量信息是否属于其它运营商的流量信息，若是，则判定该流量信息对应的端口是假接入真互联端口；否则，判定该客户为利用接入线路私自发展用户进行违规经营。

该系统所述运营商信息包括运营商名称、IP地址段和AS号。

该系统所述流信息采集模块设置于网络中的线路汇聚设备，采集端口是汇聚设备的所有下联端口。

该系统所述的流信息采集模块对局域网(LAN)专线，采集位置是LAN专线汇聚设备；对非对称数字用户线环路(ADSL)专线，采集位置是汇聚千兆比交换路由器(GSR)；对互联网数据中心IDC用户，采集位置是IDC出口设备。

该系统所述流信息采集模块中设置有NetFlow功能；流信息汇聚模块设置有Flowcollector功能。

该系统所述数据包的目的地址为IP地址和/或AS号。

该系统所述客户信息包括：用户名、设备名及端口、接入IP地址、用户IP地址段/AS号、亚太网络信息中心APNIC注册用户名等，并保持IP地址的注册信息与APNIC同步。

基于上述目的本发明还提供了一种非法接入的检测方法，包括：

A.获得包含有目的地址的流量信息；

B.根据运营商信息，将目的地址属于运营商的流量信息过滤掉；

C.通过将过滤后剩余的流量信息与保存的合法客户信息比较，判断是否为合法流量信息，若是判定该客户为正常流量客户；否则判定该是非法接入客户。

该方法步骤C中判定为非法接入客户后，进一步根据保存的运营商信息判断流量信息是否属于其它运营商的流量信息，若是，则判定该流量信息对应的端口就是假接入真互联端口；否则，判定该客户为利用接入线路私自发展用户进行违规经营。

该方法所述运营商信息包括运营商名称、IP地址段和AS号。

该方法步骤C所述判定为非法接入客户后进一步包括：根据流量流出设备、端口信息，查找客户信息表，确定客户名称，找到对应客户进行处理举报。

该方法步骤A所述获得流量信息过程包括：在网络汇聚位置采集网络流量的数据包；对采集的数据包进行汇总，从采集的数据包中提取出流量信息，并将相同的流量信息进行合并。

该方法所述采集网络流量的数据包过程为对网络流量的数据包按预定比例进行采样。

该方法所述采集网络流量的数据包过程通过在汇聚位置的网络设备中设置NetFlow实现；所述对采集的数据包进行汇总，从采集的数据包中提取出流量信息，并将相同的流量信息进行合并过程通过在运营商服务器设备中设置Flowcollector实现。

该方法所述数据包的目的地址为IP地址和/或AS号。

该方法所述客户信息包括：用户名、设备名及端口、接入IP地址、用户IP地址段/AS号、亚太网络信息中心(APNIC)注册用户名等，并保持IP地址的注册信息与APNIC同步。

从上面所述可以看出，本发明提供的非法接入的检测系统和方法，通过在网络设备中配置流信息采集模块和流信息汇聚模块，并通过对合法用户信息和其它运营商信息的管理，使运营商的服务器系统能够自动发现非法接入情况，维护电信业务的正常运营秩序，保证用户体验，保护运营商的合法利益。

附图说明

图1为本发明实施例非法接入检测系统的结构示意图。

图2为本发明实施例NetFlow配置位置示意图；

图3为本发明实施例非法接入检测系统的工作流程示意图；

图4为本发明实施例非法接入检测方法的流程示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。

参见图1所示，本发明实施例非法接入的检测系统，主要包括：

流信息采集模块101，用于对本地流量进行采样，将采集的数据包发送给流信息汇聚模块。

流信息汇聚模块102，用于将各流信息采集模块获取的数据包进行汇总、过滤，提取数据包中有用的流量信息，并将同样的流量信息进行合并。

本发明优选实施例中，流信息采集模块101和流信息汇聚模块102可以利用网络设备提供的网络流(NetFlow)功能由软件模块实现。

NetFlow由最初的一种数据交换技术演变为网络流量监测技术，目前已得到大多数网络设备的支持，它可以采集网络上流量相关的信息并发送到指定的服务器设备；运行在服务器上的流量收集器(FlowCollector)可以对NetFlow发来的流量信息进行过滤和汇总，并将结果保存到文件中，供进一步分析使用。依据FlowCollector提供的信息，可判定是否存在非法接入。

本实施例中，流信息采集模块101具有NetFlow功能，流信息汇聚模块102具有FlowCollector功能。

信息管理模块103，通过资源系统获得经过认证的合法客户信息并进行管理，主要包括客户信息表的建立和维护更新。客户信息表建立根据用户名、设备名及端口、接入IP地址、用户IP地址段/AS号、亚太网络信息中心(APNIC)注册用户名等项建立表格。客户信息表更新是在有新用户接入、用户注销、用户更改链路时，对客户信息进行更新，或定期根据APNIC信息更新。

除客户信息外，信息管理模块103还对其它运营商的信息进行管理，运营商信息主要包括运营商名称、IP地址段和AS号等信息，也要定期根据APNIC信息进行更新。

判定分析模块104，从流信息汇聚模块102汇总的流量信息中判断并过滤掉目的地址属于运营商自己的流量信息；将过滤后剩余的流量信息与信息管理模块103中的合法客户信息比较，判断是否为合法客户流量，若是，判定为正常流量；否则判定为非法接入情况。对于非法接入情况，还可以进一步对于每个目的(Dest)地址，根据保存的其它运营商的信息判断是否为运营商地址，若是，则可以确定对应的端口就是假接入真互联端口，从而确定是假接入真互联情况；若不是其它运营商的IP地址，说明是客户利用接入线路私自发展用户，违规经营。

本实施例系统实施的关键之一是确定NetFlow采集的位置(即流信息采集模块101设置位置)，对于局域网(LAN)专线，采集位置是LAN专线汇聚设备；对于非对称数字用户线环路(ADSL)专线，采集位置是汇聚千兆比交换路由器(GSR)；对互联网数据中心(IDC)用户，采集位置是IDC出口设备。采集的端口是汇聚设备和IDC出口设备的所有下联端口。在对应设备和对应端口启用NetFlow，并将NetFlow的目标指向判别分析系统。

下面以在C6509交换机上对LAN专线接入分析为例，说明如何配置NetFlow，使它能收集需要的信息，并发送给判别分析系统，假设网络拓扑如图2所示，配置步骤包括：

(1)全局状态下配置netflow版本号：

(config)#ip flow-export version 5。

(2)全局状态下配置FlowCollector服务器地址和接收端口号：

(config)#ip flow-export dest 201.95.208.18 55888；

其中，201.95.208.18为Flowcollect服务器的地址，55888为Flowcollector接收的端口。

(3)配置NetFlow的采样比例：

(config)#ip flow-sampling-mode packet-interval 100；

这里，将NetFlow的采样比设为100∶1，即100个包采集一个包，实际中可以根据需要调解。

(4)在C6509的每个下联接口上启用NetFlow，使其按比例采样：

(config)#fastethernet 0/1；

(config-if)#ip route-cache flow sampled。

重复(4)，在每个下联接口上启动NetFlow。

FlowCollector的配置包括：

(1)创建过滤器(Filter)，仅保留到下联端口的下行数据：

filter todestfilter；其中todestfilter是过滤器名；

deny srcinterface fastethernet 0/1；即下联端口1；

deny srcinterface fastethernet m/n；即下联端口k；

(2)创建线程(Thread)：

Thread todestthread；其中，todestthread是线程名；

Filter todestfilter；即启动过滤器；

Aggregation AsHostMatrix；这里，仅保留IP地址和自治系统AS信息；

Period 30；即周期为30分钟；

Port 55888；这里，与NetFlow指定的端口对应；

State active；即线程为活动状态。

根据保存的合法客户、运营商信息和Flowcollector收集的信息，可以判定是否为非法接入情况，并找到对应客户，流程图如图4所示，具体步骤如下：

步骤401，从Flowcollector获得流量信息。

本步骤具体可包括：在网络汇聚位置通过NetFlow采集网络流量的数据包发送给服务器侧的Flowcollector；Flowcollector对采集的数据包进行汇总，从采集的数据包中提取出流量信息，并将相同的流量信息进行合并。其中，获得的流量信息至少包括数据包的目的地址，比如：IP地址和/或AS号。

步骤402，根据运营商信息，将包含有属于运营商自己的IP地址和/或AS号的流量信息过滤掉。

通常运营商系统服务器本地会保存运营商自己所辖的IP地址及AS号等，本步骤可据此判断流量信息的IP地址和/或AS号是否属于运营商。

步骤403，判断过滤后剩余的IP地址和/或AS号是否在客户信息表中，若是说明是正常流量，不作处理；否则，判定为非法接入情况。

步骤404，根据保存的运营商信息判断IP地址和/或AS号是否属于除本运营商外的其它运营商，若是说明是假接入真互联情况，进入步骤406；否则进入步骤405。

步骤405，这种情况说明是客户利用接入线路私自发展用户，进行违规经营。

步骤406，根据流量流出设备、端口信息，查找客户信息表，确定客户名称，找到对应客户。

步骤407，根据有关规定，对两类情况分别进行处理或向司法部门举报，返回步骤401.

本发明的描述是为了示例和说明起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (17)

1.一种非法接入的检测系统，其特征在于，包括：

流信息采集模块，用于对本地流量数据进行采样，将采集的数据包发送给流信息汇聚模块；

流信息汇聚模块，用于从流信息采集模块获取的数据包中提取出包含有目的地址的流量信息，并将相同的流量信息进行合并；

信息管理模块，用于保存并维护合法客户的信息；

判定分析模块，用于从流信息汇聚模块汇总的流量信息中判断并过滤掉目的地址属于运营商的流量信息；将过滤后流量信息与信息管理模块中的合法客户信息比较，判断是否为合法客户信息，若是，判定该客户为正常流量客户；否则，判定该客户为非法接入客户。

2.根据权利要求1所述的系统，其特征在于，所述信息管理模块还用于保存并维护运营商信息；

所述判定分析模块判定为非法接入客户后，还根据信息管理模块保存的运营商信息判断流量信息是否属于其它运营商的流量信息，若是，则判定该流量信息对应的端口是假接入真互联端口；否则，判定该客户为利用接入线路私自发展用户进行违规经营。

3.根据权利要求6所述的系统，其特征在于，所述运营商信息包括运营商名称、IP地址段和AS号。

4.根据权利要求1所述的系统，其特征在于，所述流信息采集模块设置于网络中的线路汇聚设备，采集端口是汇聚设备的所有下联端口。

5.根据权利要求4所述的系统，其特征在于，所述的流信息采集模块对局域网LAN专线，采集位置是LAN专线汇聚设备；对非对称数字用户线环路ADSL专线，采集位置是汇聚千兆比交换路由器GSR；对互联网数据中心IDC用户，采集位置是IDC出口设备。

6.根据权利要求1至5任意一项所述的系统，其特征在于，所述流信息采集模块中设置有NetFlow功能；流信息汇聚模块设置有Flowcollector功能。

7.根据权利要求1至5任意一项所述的系统，其特征在于，所述数据包的目的地址为IP地址和/或AS号。

8.根据权利要求6所述的系统，其特征在于，所述客户信息包括：用户名、设备名及端口、接入IP地址、用户IP地址段/AS号、亚太网络信息中心APNIC注册用户名等，并保持IP地址的注册信息与APNIC同步。

9.一种非法接入的检测方法，其特征在于，包括：

A.获得包含有目的地址的流量信息；

B.根据运营商信息，将目的地址属于运营商的流量信息过滤掉；

C.通过将过滤后剩余的流量信息与保存的合法客户信息比较，判断是否为合法流量信息，若是判定该客户为正常流量客户；否则判定该是非法接入客户。

10.根据权利要求9所述的方法，其特征在于，步骤C中所述判定为非法接入客户后，进一步根据保存的运营商信息判断流量信息是否属于其它运营商的流量信息，若是，则判定该流量信息对应的端口就是假接入真互联端口；否则，判定该客户为利用接入线路私自发展用户进行违规经营。

11.根据权利要求10所述的方法，其特征在于，所述运营商信息包括运营商名称、IP地址段和AS号。

12.根据权利要求9至11任意一项所述的方法，其特征在于，步骤C所述判定为非法接入客户后进一步包括：根据流量流出设备、端口信息，查找客户信息表，确定客户名称，找到对应客户进行处理举报。

13.根据权利要求9所述的方法，其特征在于，步骤A所述获得流量信息过程包括：在网络汇聚位置采集网络流量的数据包；对采集的数据包进行汇总，从采集的数据包中提取出流量信息，并将相同的流量信息进行合并。

14.根据权利要求13所述的方法，其特征在于，所述采集网络流量的数据包过程为对网络流量的数据包按预定比例进行采样。

15.根据权利要求13或14所述的方法，其特征在于，所述采集网络流量的数据包过程通过在汇聚位置的网络设备中设置NetFlow实现；所述对采集的数据包进行汇总，从采集的数据包中提取出流量信息，并将相同的流量信息进行合并过程通过在运营商服务器设备中设置Flowcollector实现。

16.根据权利要求9所述的方法，其特征在于，所述数据包的目的地址为IP地址和/或AS号。

17.根据权利要求16所述的方法，其特征在于，所述客户信息包括：用户名、设备名及端口、接入IP地址、用户IP地址段/AS号、亚太网络信息中心APNIC注册用户名等，并保持IP地址的注册信息与APNIC同步。

Images