CN101217574A

CN101217574A - 动态调整网络地址转换策略的方法及系统

Info

Publication number: CN101217574A
Application number: CNA2008100033705A
Authority: CN
Inventors: 黄兆胜; 张丽晖; 何辉
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2008-01-17
Filing date: 2008-01-17
Publication date: 2008-07-09
Anticipated expiration: 2028-01-17
Also published as: CN101217574B

Abstract

本发明公开了一种动态调整网络地址转换策略的方法及系统。其中，该方法包括：设置用于界定中央处理单元的繁忙程度的第一门限值和第二门限值；在网络地址转换过程中，每隔特定时间自动检测一次中央处理单元的利用率；以及当中央处理单元的利用率高于第一门限值时，通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭，当中央处理单元的利用率低于第二门限值时，通知微码或软转发进程恢复对需要协议进程直接进行网络地址转换处理的报文的处理。本发明可以在CPU忙的时候及时关闭一些可能存在攻击的特殊报文的NAT处理，降低CPU利用率，从而保证基本的NAT业务和其他正常业务的实现。

Description

动态调整网络地址转换策略的方法及系统

技术领域

本发明涉及通信领域，更具体地涉及一种动态调整网络地址转换策略的方法及系统。

背景技术

目前，随着网络的快速发展，IPv4地址面临着地址耗尽的问题，而网络地址转换技术(Network Address Translation，简称NAT)的应用能够延缓IPv4地址的耗尽。NAT技术是一种地址映射技术，通常用于内部私有网络中。具有私有IPv4地址的主机访问外部公共网络的主机时，将该主机的私有IPv4地址映射为一个外部唯一可识别的公网IPv4地址；同时，将外部主机返回给内部主机的公网IPv4地址转换成内部标志来标识该主机的私有IPv4地址，使得返回的数据包能够正确到达内部主机。另外，除了能够节省IPv4地址的优点外，NAT还有防止网络攻击，内部网络管理者可以根据需要搭建内部网络环境等优点。这些优点使得NAT得到了普遍的应用，很多企业、学校等都根据NAT应用来搭建内部网络环境。

然而，伴随着网络的快速发展，计算机网络安全也受到方方面面的威胁，各种各样的病毒和攻击普遍存在于网络中。其中，很多攻击采用泛洪机制，对报文处理和转发的中间设备进行攻击，以影响网络带宽，消耗中央处理单元(CPU)的使用为目的，严重影响了设备的正常报文的处理，甚至可能导致局部网络运行的瘫痪。而启用NAT功能的路由器也存在这种威胁。存在于内部私有网络或外部公共网络的攻击者通过发送大量的特殊报文，这些报文对于NAT处理来说比较特殊，微码或软转发进程不能直接处理，需要上送协议进程进行处理，这样就会导致协议进程特别忙，CPU利用率很高，从而影响正常的需要上送协议进程的报文处理。对于这种大量发送需要NAT协议进程处理的特殊报文，以消耗CPU的使用为目的的攻击，需要一种特别的机制来防止这种攻击，保证正常的NAT业务和其它业务不受影响。

发明内容

本发明提供了一种动态调整网络地址转换策略的方法及系统，以在CPU忙的时候及时关闭一些可能存在攻击的特殊报文的NAT处理，降低CPU利用率，从而保证基本的NAT业务和其他正常业务的实现。

根据本发明实施例的动态调整网络地址转换策略的方法，包括：设置用于界定中央处理单元的繁忙程度的第一门限值和第二门限值；在网络地址转换过程中，每隔特定时间自动检测一次中央处理单元的利用率；以及当中央处理单元的利用率高于第一门限值时，通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭，当中央处理单元的利用率低于第二门限值时，通知微码或软转发进程恢复对需要协议进程直接进行网络地址转换处理的报文的处理。

其中，需要协议进程直接进行网络地址转换处理的报文包括以下报文中的一种或多种：分片报文、选项报文、网际控制信息协议错误报文、TTL为0或1的报文、需要进行网络地址转换ALG处理的报文。其中，可以通过命令配置或默认配置设置第一门限值和第二门限值。

其中，对于需要协议进程直接进行网络地址转换处理的报文，预先对各个报文分别设定每秒处理报文数目的最大值。当超过预先设定的每秒处理报文数目的最大值时，中央处理单元通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭。

根据本发明实施例的动态调整网络地址转换策略的系统，包括：门限设置单元，用于设置界定中央处理单元的繁忙程度的第一门限值和第二门限值；自动检测单元，用于在网络地址转换过程中，每隔特定时间自动检测一次中央处理单元的利用率；以及策略调整单元，用于在中央处理单元的利用率高于第一门限值时，通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭，在中央处理单元的利用率低于第二门限值时，通知微码或软转发进程恢复对需要协议进程直接进行网络地址转换处理的报文的处理。

其中，需要协议进程直接进行网络地址转换处理的报文包括以下报文中的一种或多种：分片报文、选项报文、网际控制信息协议错误报文、TTL为0或1的报文、需要进行网络地址转换ALG处理的报文。

其中，对于需要协议进程直接进行网络地址转换处理的报文，预先对各个报文分别设定每秒处理报文数目的最大值。当超过预先设定的每秒处理报文数目的最大值时，策略调整单元通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭。

其中，门限设置单元通过命令配置或默认配置设置第一门限值和第二门限值。

与现有技术相比，由于本发明能够在CPU忙的时候及时关闭一些可能存在攻击的特殊报文的NAT处理，所以降低了CPU利用率，保证了基本的NAT业务和其他正常业务的实现，有效防止了网络攻击。在CPU不忙的时候，能自动恢复该类报文的处理。同时，本发明是系统自动进行检测和处理，不需要人工操作，避免了在管理人员不在时，CPU利用率高居不下，NAT基本业务和其它正常业务得不到及时处理的情况。而且本发明原理简单，容易实现。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的NAT的应用环境图；

图2是根据本发明实施例的路由器上的NAT的处理图；

图3是根据本发明实施例的动态调整网络地址转换策略的方法的流程图；以及

图4是根据本发明实施例的动态调整网络地址转换策略的系统的框图。

具体实施方式

在本发明中，拟通过根据CPU利用率动态调整NAT的处理策略，来防止网络攻击。

本发明在CPU利用率高的情况下，自动统计一段时间内NAT协议进程处理比较多的特殊报文，并通知微码或软转发进程不上送这类报文，从而降低了协议进程的CPU利用率，保证了正常的NAT业务和其他业务的报文能得到及时的处理，达到了防止网络攻击的目的。

另外，本发明在CPU降到不忙的情况下，能重新恢复这些报文的处理。所以，本发明避免了在网络攻击时需手动设置来降低CPU利用率的情况，达到了能根据CPU利用率实时和自动地调整NAT处理策略的目的。

本发明提供了一种根据CPU利用率动态调整NAT处理策略的方法及系统。在启用NAT的路由器上，其NAT实现机制大部分是：微码或软转发进程处理已经有转换条目的NAT报文，对于没有生成对应转换条目或一些特殊的报文，则上送给协议进程处理。协议进程生成转换条目，并维护转换条目表，包括转换条目表的老化、删除，更新等。对于一些对NAT处理而言特殊的报文，如分片报文、选项报文、网际控制信息协议(Internet Control Message Protocol，简称ICMP)错误报文、21端口的传输控制协议(Transmission ControlProtocol，简称TCP)报文、53端口的用户数据协议(User DatagramProtocol，简称UDP)报文等，这些报文微码或软转发进程不处理，发现要做NAT转换后，即使对应的转换条目存在，也会上送协议进程进行NAT处理。

如果攻击者大量发送这些报文，那么在启用NAT的路由器收到这些报文，发现要做NAT转换时，会直接上送给协议进程，造成协议进程的CPU很忙，从而使得一些正常的基本的NAT报文就不能得到处理。

对于这种大量发送需要协议进程处理的NAT报文的攻击，可以根据CPU的利用率来动态调整NAT的处理策略，如在CPU忙的情况下，自动把选项报文、ICMP错误报文、分片报文等关闭，并通知微码或软转发进程不上送这些报文到协议进程进行NAT处理。也可以在CPU忙的时候，自动检测一段时间内协议进程处理比较多的报文类型，并关闭这种报文的协议处理。例如，发现在一段时间内，协议NAT处理了大量的ICMP错误报文，那么就可以自动把ICMP错误报文的NAT处理关闭。这些关闭的报文类型一般在实际中不常用，而且处理特殊，所以关闭这些报文类型的处理，对基本的NAT应用不会有太大的影响。等CPU不忙的时候，再自动把这些关闭的报文处理打开。当然，CPU忙和不忙的界限，可以通过命令配置来界定，也可以默认设置，具体可以根据需要来决定。另外，CPU忙和不忙的对应的处理时间不能太短，不然会出现反复震荡的情况，如检测到CPU忙，则关闭某些类型报文的NAT处理，这时候CPU就不忙了，这时候又打开该报文的NAT处理，CPU又忙，这样反复执行，也会影响CPU的使用效率。防治这种震荡可以通过在CPU不忙时恢复报文处理的时间逐渐加大来实现。

根据本发明实施例的动态调整网络地址转换策略的方法包括以下步骤：

第一步，在路由器上设置对于NAT而言，CPU忙和不忙的界限。如设置CPU利用率在90％或95％以上为忙的状态，设置CPU利用率在85％或80％以下为恢复NAT处理的状态，这些设置可以通过命令配置来设置，也可以根据经验默认设置。

第二步，路由器在进行NAT处理的过程中，会每隔一段时间就自动检测CPU的利用率，发现CPU利用率超过设置的忙的限定，则通知微码或软转发进程把这段时间内协议进程处理比较多的特殊报文关闭，这类特殊报文直接在微码或软转发处丢弃。

第三步，当关闭一些NAT处理特殊的报文后，会定时检测CPU的利用率，如果发现CPU利用率降到第一步设置的不忙的状态，则恢复这些报文的处理，并通知微码或软转发进程允许这些报文的上送。

进一步的，对于需要协议进程直接进行网络地址转换处理的报文，可以预先对各个报文分别设定每秒处理报文数目的最大值。当超过预先设定的每秒处理报文数目的最大值时，CPU通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭。

下面结合附图，对本发明的具体实施方式作进一步的详细描述。

图1是NAT的应用环境图。主机A在内部网络，主机B在外部公共网络，主机A通过NAT访问外部公共网络。

图2是路由器上的NAT的处理图。大部分的路由器都是微码或软转发进程处理已经有NAT转换条目的报文，没有转换条目的报文或特殊报文则需要上送协议进程进行NAT处理。其中，图中的弯曲虚线表示需要进行NAT处理的特殊报文，这类报文不管转换条目是否存在，都要上送协议进程进行处理，这很容易被攻击者利用。攻击者通过发送大量的这些报文，这些报文到达路由器后，发现需要做NAT转换，则直接上送CPU，就容易造成CPU忙。这些报文主要有：分片报文、选项报文、ICMP错误报文、TTL为0或1的报文、需要进行NAT ALG处理的报文。

图3是根据本发明实施例的动态调整网络地址转换策略的方法的处理流程图。如图3所示，当启动NAT模块的时候，会创建并启动一个循环定时器，用来检测CPU的利用率。当CPU的利用率高于CPU忙的限定时，就统计一段时间内协议进程NAT处理的报文和类型。如果发现在该段时间内协议进程处理的某类特殊报文比较多，则通知软转发进程或微码关闭这类报文的上送，同时启动一个循环定时器来检测CPU不忙的状态，用来恢复这报文的处理。当然，上面提到的CPU忙和不忙的限定，循环定时器触发时间间隔，CPU忙时统计报文的时间段，该段时间内各种NAT处理报文允许的数目等，都需要根据经验进行命令配置或默认设置。

硬件部分由两台以上的主机(一台主机A在IPv4内部私有网络，IP地址为192.168.1.2，另外一台主机B在外部公共网络，IP地址为100.1.1.2)、一台路由器R、和双绞线若干等组成，组网关系图如图1所示。

软件部分的处理步骤如下：

第一步，在路由器R上进行NAT的相关配置。

(1)启用NAT功能

ip nat start

(2)设置与IPv4内部私有网络相连的接口的IP地址和NAT属性

interface fei_1/1

ip address 192.168.1.1 255.255.255.0

ip nat inside

(3)设置与外部公共网络相连的接口的IP地址和NAT属性

interface fei_2/1

ip address 100.1.1.1 255.255.255.0

ip nat outside

(4)配置NAT转换规则(为了叙述方便，这个地方用静态规则来实现)

ip nat inside source static 192.168.1.2 100.1.1.200

第二步，IPv4内部私有网络的主机A向主机B发送大量的特殊报文，如ICMP错误报文，发现路由器CPU一段时间内忙，后CPU降为正常。察看统计技术，发现这些报文都在微码被丢弃。

第三步，IPv4内部私有网络的主机A向主机B发送少量的特殊报文，如ICMP错误报文，发现报文被上送到协议进程处理，没有被微码丢弃。

第四步，主机B也类似上面的步骤向主机A转换后的地址100.1.1.200发起攻击，也能看到类似的处理。

图4是根据本发明实施例的动态调整网络地址转换策略的系统的框图。如图4所示，该系统包括：门限设置单元，用于设置界定中央处理单元的繁忙程度的第一门限值和第二门限值；自动检测单元，用于在网络地址转换过程中，每隔特定时间自动检测一次中央处理单元的利用率；以及策略调整单元，用于在中央处理单元的利用率高于第一门限值时，通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭，在中央处理单元的利用率低于第二门限值时，通知微码或软转发进程恢复对需要协议进程直接进行网络地址转换处理的报文的处理。

其中，对于需要协议进程直接进行网络地址转换处理的报文，预先对各个报文分别设定每秒处理报文数目的最大值。当超过预先设定的每秒处理报文数目的最大值时，策略调整单元通知微码或软转发进程将协议进程在特定时间内处理最多的需要协议进程直接进行网络地址转换处理的报文关闭。其中，门限设置单元通过命令配置或默认配置设置第一门限值和第二门限值。

综上所述，与现有技术相比，由于本发明能够在CPU忙的时候及时关闭一些可能存在攻击的特殊报文的NAT处理，所以降低了CPU利用率，保证了基本的NAT业务和其他正常业务的实现，有效防止了网络攻击。在CPU不忙的时候，能自动恢复该类报文的处理。同时，本发明是系统自动进行检测和处理，不需要人工操作，避免了在管理人员不在时，CPU利用率高居不下，NAT基本业务和其它正常业务得不到及时处理的情况。而且本发明原理简单，容易实现。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims

1.一种动态调整网络地址转换策略的方法，其特征在于，包括：设置用于界定中央处理单元的繁忙程度的第一门限值和第二门限值；

在网络地址转换过程中，每隔特定时间自动检测一次所述中央处理单元的利用率；以及

当所述中央处理单元的利用率高于所述第一门限值时，通知微码或软转发进程将协议进程在所述特定时间内处理最多的需要所述协议进程直接进行网络地址转换处理的报文关闭，当所述中央处理单元的利用率低于所述第二门限值时，通知所述微码或软转发进程恢复对所述需要所述协议进程直接进行网络地址转换处理的报文的处理。

2.根据权利要求1所述的方法，其特征在于，所述需要所述协议进程直接进行网络地址转换处理的报文包括以下报文中的一种或多种：分片报文、选项报文、网际控制信息协议错误报文、TTL为0或1的报文、需要进行网络地址转换ALG处理的报文。

3.根据权利要求2所述的方法，其特征在于，对于所述需要所述协议进程直接进行网络地址转换处理的报文，预先对各个报文分别设定每秒处理报文数目的最大值。

4.根据权利要求1至3中任一所述的方法，其特征在于，当超过预先设定的所述每秒处理报文数目的最大值时，所述中央处理单元通知所述微码或软转发进程将所述协议进程在所述特定时间内处理最多的需要所述协议进程直接进行网络地址转换处理的报文关闭。

5.根据权利要求1所述的方法，其特征在于，通过命令配置或默认配置设置所述第一门限值和所述第二门限值。

6.一种动态调整网络地址转换策略的系统，其特征在于，包括：门限设置单元，用于设置界定中央处理单元的繁忙程度的第一门限值和第二门限值；

自动检测单元，用于在网络地址转换过程中，每隔特定时间自动检测一次所述中央处理单元的利用率；以及

策略调整单元，用于在所述中央处理单元的利用率高于所述第一门限值时，通知微码或软转发进程将协议进程在所述特定时间内处理最多的需要所述协议进程直接进行网络地址转换处理的报文关闭，在所述中央处理单元的利用率低于所述第二门限值时，通知所述微码或软转发进程恢复对所述需要所述协议进程直接进行网络地址转换处理的报文的处理。

7.根据权利要求6所述的系统，其特征在于，所述需要所述协议进程直接进行网络地址转换处理的报文包括以下报文中的一种或多种：分片报文、选项报文、网际控制信息协议错误报文、TTL为0或1的报文、需要进行网络地址转换ALG处理的报文。

8.根据权利要求7所述的系统，其特征在于，对于所述需要所述协议进程直接进行网络地址转换处理的报文，预先对各个报文分别设定每秒处理报文数目的最大值。

9.根据权利要求8所述的系统，其特征在于，当超过预先设定的所述每秒处理报文数目的最大值时，所述策略调整单元通知所述微码或软转发进程将所述协议进程在所述特定时间内处理最多的需要所述协议进程直接进行网络地址转换处理的报文关闭。

10.根据权利要求9所述的系统，其特征在于，所述门限设置单元通过命令配置或默认配置设置所述第一门限值和所述第二门限值。