CN101252592A - 一种ip网络的网络溯源方法和系统 - Google Patents

Abstract

本发明提出了一种IP网络的网络溯源的方法和系统。本发明提出的方法包括：设置溯源日志，将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中。本发明提出的系统包括：查询模块，所述查询模块用来接收输入的查询条件，并发起溯源请求和输出溯源操作结果；溯源功能接口模块，所述溯源功能接口模块用于接收查询模块的溯源请求，并根据该溯源请求发起溯源操作，并将溯源操作结果返回给查询模块；溯源日志模块，所述溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。这样将用户唯一的标识与该终端的IP地址对应，这样就可以为网络溯源提供可靠的依据，一旦发生网络犯罪即可通过网络溯源查到终端信息。这样就可以在网络上将静态IP地址或动态分配的IP地址与用户终端一一对应并记录，为溯源提供依据。

Description

一种IP网络的网络溯源方法和系统

技术领域

本发明涉及一种IP网络技术，特别是涉及一种IP网络的网络溯源的方法和系统。

背景技术

由于IP(Internet Protocol，网络之间互连的协议)协议具有的快速和方便的数据包寻址和传送方式，因此越来越多的网络选择使用TCP/IP协议。

TCP/IP协议在转发数据包时只检查目的地址，并根据数据报头的目的地址转发数据包，但是不会源IP地址进行检查。这样可以快速的传输数据包以及降低系统负载，但是也给了数据包伪装自己的源IP地址的机会，因此TCP/IP协议对于网络的溯源能力极低。

随着网络的普及，网络犯罪也越来越猖獗。互联网溯源能力的缺失导致了互连网上恶意攻击、垃圾邮件等问题肆意泛滥。互联网人们的行为缺乏有效的监督和奖惩机制，既不能鼓励用户自律，也不能对不良行为形成足够的威慑力，客观上纵容了网络不良行为的发生。因此需要改造目前现有的IP网络技术，使得网络具有溯源能力，能够追溯到不良IP数据包的发送源头为从根本上解决互联网的安全问题提供基础条件。

IP网络溯源需要解决两个关键问题：第一，通过技术手段保证IP源地址的真实性(或有限真实性)；第二，根据源IP地址追溯到数据包的发送终端/用户。

IP源地址真实性保障技术的发展很快，某些较为成熟的技术(例如uRPF等)已经应用到网络设备当中。本发明提出的溯源系统中也将会使用到某些IP源地址真实性保证技术。

目前IP网络溯源的研究主要集中在两个方面：一是通过重构数据报文的转发路径实现溯源；二是根据网络连接所具备的特征实现溯源。

对于前者，在路由转发数据包时，搜集入侵者的特征信息，采样转发的数据报文，然后根据采样数据重构转发路径，最终确定发送源终端。这种技术的缺点是在路由转发数据包的过程中溯源，会增加网络设备的处理负担，同时要求采样的数据包数量足够多，才能确保在被攻击端重构转发路径。这类方式由于需要路径重构，因此绝大多数都需要对整个网络的路由设备进行改进才能够实现溯源。

对于后者，主要研究和有效区分不同网络连接具备的不同特征，将每个登录连接链的唯一特征量化，得到的特征值用于区分不同的登录连接链。目前的研究包括传输时间指纹、内容指纹、流量指纹和TCP序列号指纹等几个方面。利用指纹进行溯源，需要采用分布式代理形式。代理模块分布在不同网段，主要功能是搜集网络登录连接链的指纹，作为入侵者入侵证据。它在单一管理控制域内能够有效工作，但对于穿越多个管理域的入侵行为，溯源定位的完整性取决于入侵经过的管理域是否部署了代理。而且，不同ISP(Internet ServiceProvider，互联网服务供应商)之间的指纹量化标准很难统一，对某些网络也不适用(如加密的报文)。

针对现有网络的IP溯源技术是一种攻击对抗技术，他们中的绝大部分还处于实验室阶段，有着这样那样的缺点。这些方案由于需要进行全网大量的装配，ISP之间的配合，并可能对现网存量巨大的路由设备做改进，所以研究进展和应用推广都并不顺利。

因此，本发明提出一种有效、可行的针对现网网络的溯源方法。该方法通过建立分级地址管理备案系统，在溯源域边界设备上记录相应日志信息，应用递归查询机制实现互联网IP地址的高效溯源。

发明内容

针对现有技术中的上述缺陷和问题，本发明的目的是提供一种IP网络的网络溯源的方法和系统，能够提供IP网络的网络溯源，以追查各种网络犯罪和网络攻击。

为了达到上述目的，本发明提出了一种IP网络的网络溯源的方法，包括：

设置溯源日志，将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中。

作为上述技术方案的优选，对于静态IP地址的用户，该方法具体为：

步骤1、设置溯源日志，将分配给用户终端的IP地址与所述用户终端的用户线号码对应，并将该对应关系记载在所述溯源日志中；

步骤2、设置ACL即访问控制列表，所述ACL只允许源IP地址为合法IP地址的数据包通过。

作为上述技术方案的优选，对于所述方法具体为：设置溯源日志，将分配给用户终端的IP地址与所述用户终端的用户线号码对应，并将该对应关系记载在所述溯源日志中。

作为上述技术方案的优选，对于所述方法还可以具体为：设置溯源日志，在DSLAM(数字用户线接入复用器)的用户线端口信息与DHCP(动态主机分配协议)服务器为用户分配的IP地址对应，并将所述对应关系记载在所述溯源日志中。

作为上述技术方案的优选，对于所述方法又可以具体为：设置溯源日志，将与用户终端连接的以太网交换机上启用DHCP Snooping功能即动态主机分配协议侦听功能；并将用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息记载在记录到溯源日志中。

作为上述技术方案的优选，对于所述方法也可以具体为：

步骤(1)、为内网用户划分不同的VLAN(Virtual Local Area Network，虚拟局域网)；

步骤(2)、设置每一内网用户由DHCP获得IP地址；

步骤(3)、设置ACL(访问控制列表)，禁止不合法的源IP地址通过；

步骤(4)、在与用户终端直连的设备上启用DHCP Snooping功能；

步骤(5)、将NAT(网络地址转换)信息、用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息、VLAN ID信息记载在记录到溯源日志中。

同时，本发明还提出了一种IP网络溯源系统，包括：

查询模块，所述查询模块用来接收输入的查询条件，并发起溯源请求和输出溯源操作结果；

溯源功能接口模块，所述溯源功能接口模块用于接收查询模块的溯源请求，并根据该溯源请求发起溯源操作，并将溯源操作结果返回给查询模块；

溯源日志模块，所述溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。

作为上述技术方案的优选，所述系统还包括：

分级地址备案功能模块，所述分级地址备案功能模块用于将网络划分为一个或一个以上溯源域，并记录每一溯源域对应的网络的IP地址集，并用于确定待溯源的IP地址归属的溯源域；

过滤及反向路径检查模块，所述过滤及反向路径检查模块设置于所述溯源域的边界设备及与用户终端连接的网络设备上，所述过滤及反向路径检查模块检查通过的数据包的源IP地址并允许源IP地址为已授权IP地址的数据包通过。

作为上述技术方案的优选，所述过滤及反向路径检查模块启用ACL和uRPF即单播反向路径查找，对通过的数据包的源IP地址进行检查。

其中，溯源日志模块设置于溯源域的边界。

本发明提出了一种IP网络的网络溯源的方法和系统。现有的IP网络由于在转发数据包时不检查数据包源IP地址的合法性，因此无法追溯数据包的真实源IP地址，造成网络上存在大量恶意攻击、垃圾邮件，甚至是网络犯罪。但是现有的技术中对于IP网络溯源并无很好的办法。针对这一问题，本发明提出了一种IP网络的网络溯源的方法，设置溯源日志，将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中。这样将用户唯一的标识与该终端的IP地址对应，这样就可以为网络溯源提供可靠的依据，一旦发生网络犯罪即可通过网络溯源查到终端信息。其中终端唯一标识可以是用户的MAC地址信息(针对静态IP用户)、用户线号码(针对窄带拨号用户)、用户线端口信息(针对xDSL宽带用户)、与用户直接连接的以太网交换机的交换机端口(真对局域网宽带用户)、NAT及VLAN ID信息(针对启用了NAT的集团用户)等可以确定唯一终端的信息或信息组合。这样就可以在网络上将静态IP地址或动态分配的IP地址与用户终端一一对应并记录，为溯源提供依据。同时，本发明还提出了一种IP网络的网络溯源的系统，具有查询模块，所述查询模块用来接收输入的查询条件，并发起溯源请求和输出溯源操作结果；溯源功能接口模块，所述溯源功能接口模块用于接收查询模块的溯源请求，并根据该溯源请求发起溯源操作，并将溯源操作结果返回给查询模块；溯源日志模块，所述溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。这样就可以通过本发明提出的系统达到在网络上将静态IP地址或动态分配的IP地址与用户终端一一对应并记录，为溯源提供依据。

附图说明

图1是本发明提出的IP网络溯源方法的优选实施例中宽带用户接入认证流程图；

图2是本发明提出的IP网络溯源方法的分级地址备案功能模块的优选实施例模型图；

图3是本发明提出的IP网络溯源系统的系统结构图；

图4是利用本发明提出的IP网路溯源系统和方法来实现IP网络溯源的流程图。

具体实施方式

下面结合附图对本发明做进一步说明。

本发明提出IP网络溯源的方法，设置溯源日志，并将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中。

针对不同接入方式的用户，本发明可以有不同的实施例。

对于静态IP地址的用户，本发明的优选实施例的方法具体为：

步骤1、设置溯源日志，并将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中，其中终端的唯一标识可以为终端的网卡的MAC地址；

步骤2、设置ACL(Access Control List，访问控制列表)，所述ACL只允许源IP地址为合法IP地址的数据包通过。

对于窄带拨号上网的用户，本发明的优选实施例的方法具体为：设置溯源日志，并将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中，其中终端唯一标识可以为用户线号码，即该终端用于拨号的电话号码。

对于xDSL宽带接入的用户，本发明的优选实施例的方法具体为：设置溯源日志，并将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中，其中终端唯一标识为DSLAM的用户线端口信息，IP地址为DHCP服务器用户分配的IP地址。

对于采用局域网方式接入的用户，本发明的优选实施例的方法具体为：将与用户终端连接的以太网交换机上启用DHCP Snooping功能即动态主机分配协议侦听功能；并将用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息记载在记录到溯源日志中。

作为上述技术方案的优选，对于采用NAT功能接入的集团用户，所述方法也可以具体为：

步骤1、为内网用户划分不同的VLAN；

步骤2、设置每一内网用户由DHCP获得IP地址；

步骤3、在该集团用户的网络出口设备上设置ACL访问控制列表，禁止不合法的源IP地址通过；

步骤4、在与用户终端直连的设备上启用DHCP Snooping功能；

步骤5、将NAT(Network Address Translation，网络地址转换信息)、并将用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息、VLAN ID信息记载在记录到溯源日志中。

下面以宽带接入用户为例对本发明做进步一具体说明。当然本领域内技术人员根据宽带接入用户的实施例，可以很清楚的理解本发明的其他实施例只是接入方式不同，而原理是相同的。

如图1所示，宽带用户接入的流程为：

步骤I、宽带用户与接入网建立物理连接，并且与接入服务器(如BNAS、三层汇聚交换机等)有可达路径；

步骤II、宽带用户发起认证请求，接入服务器接收并中继用户认证信息到AAA服务器；

步骤III、AAA服务器接收用户认证请求，根据认证信息，返回认证结果；如果认证成功，则进入步骤IV；否则步骤结束，通信终止；

步骤IV、宽带用户发起DHCP地址请求，接入服务器中继该DHCP地址请求消息到DHCP服务器；

步骤V、DHCP服务器接收到该DHCP地址请求后，为该宽带用户分配地址；

步骤VI、接入服务器向AAA服务器发用户计费请求；

步骤VII、将用户绑定信息写入溯源日志记录中；

步骤VIII、用户开始正常通信。

这样，宽带接入用户只需多增加一个步骤，即可达到能够实现IP网络溯源的目的，这样既不会增加网络及系统的负载，同时又能极大的提高网络的安全性。

在用户下线时，具体流程为：

步骤(I)、用户发起正常下线请求；

步骤(II)、接入服务器向AAA服务器发用户计费终止；

步骤(III)、将用户下线时间写入到用户溯源日志记录中；

步骤(IV)、接入服务器向用户发下线确认。

本发明提出的IP网络的网络溯源系统优选实施例包括：

溯源功能接口模块，所述溯源功能接口模块用于接收溯源请求，并根据该溯源请求发起溯源操作，并将溯源操作结果输出；

溯源日志模块，所述溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。

这样，溯源功能结构模块提供溯源查询及输出的接口，溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。这样即可实现IP网络溯源。

如图3所示，发明提出的IP网络的网络溯源系统优选实施例还可以包括：

作为上述技术方案的优选，所述终端唯一标识为终端的MAC地址信息或是VLAN ID即虚拟局域网ID或用户线号码或用户端口信息。

分级地址备案功能模块，所述分级地址备案功能模块用于将网络划分为一个或一个以上溯源域，并记录每一溯源域对应的网络的IP地址集，并用于确定待溯源的IP地址归属的溯源域；

过滤及反向路径检查模块，所述过滤及反向路径检查模块设置于所述溯源域的边界设备及与用户终端连接的网络设备上，所述过滤及反向路径检查模块检查通过的数据包的源IP地址并允许源IP地址为已授权IP地址的数据包通过。其中所述过滤及反向路径检查模块启用ACL即访问控制列表和uRPF即单播反向路径查找，对通过的数据包的源IP地址进行检查。

其中，分级地址备案功能模块可以为一数据库，并可以根据如图2所示的模型对于IP地址进行分级保存，这样可以更快速的查询IP地址所属区域。这样，可以更快捷的实现IP网络的网络溯源。

如图4所示，使用本发明提出的IP网络的网络溯源的方法和系统进行溯源时，具体步骤为：

步骤a、由查询模块向系统发起溯源请求，请求中包括待查的源IP地址及登录网络的时间；

步骤b、系统由溯源功能接口模块接收到溯源请求后，查询分级地址备案功能模块的数据库，并判断该IP地址是否归属于分级地址备案功能模块的数据库，如果是则进入步骤c，否则步骤结束；

步骤c、在分级地址备案功能模块的数据库中进行递归查找，并判断该IP地址是否属于该分级地址备案功能模块的溯源域，如果是则进入步骤d，否则步骤结束；

步骤d、在该IP地址所述的溯源域的溯源日志模块中查找是否有该IP地址的记录，如果有则进入步骤e，否则步骤结束；

步骤e、判断该IP地址所对应的用户为个人用户或是集团用户，如果是个人用户进入步骤f，如果是集团用户进入步骤j；

步骤f、判断该个人用户的用户类型，如果是xDSL用户则进入步骤g，如果是以太网接入用户则进入步骤h，如果是WLAN热点接入用户则进入步骤i；

步骤g、对于xDSL接入用户，根据溯源日志模块追溯到DSLAM用户线端口，由于用户线端口与用户是一一对应的，就可以根据用户申请时备案信息查找到用户，步骤结束；

步骤h、对于以太网用户，根据溯源日志模块追溯到用户对应的以太网端口或是用户网卡的MAC地址，就可以根据用户申请时备案信息查找到用户，步骤结束；

步骤i、对于WLAN热点接入用户根据溯源日志模块只能追溯到用户接入的AP，步骤结束；

步骤j、对于集团用户，判断该集团用户是否启用了NAT，如果否则该IP地址为用户的真实IP地址，根据到用户对应的以太网端口或是用户网卡的MAC地址；否则进入步骤k；

步骤k、根据NAT日志，查询与该IP地址对应的内网IP地址，如果内网IP地址为固定的静态IP地址，则根据溯源日志模块追溯到用户；如果内网IP地址为DHCP服务器分配的动态IP地址，则根据溯源日志模块追溯到该内网IP地址对应的用户信息。

在上述步骤中，由于窄带拨号用户已经很少，所以省略了窄带拨号用户的步骤。本领域内技术人员可以理解，如果该用户类型为窄带拨号用户，则可以查询溯源日志模块，查到与该IP地址对应的用户线号码，即该终端用于拨号的电话号码。

当然，采用上述分级地址备案功能模块优选技术方案只是为了便于理解而对本发明进行的举例说明，本发明还可有其他实施例，本发明的保护范围并不限于此。在不背离本发明精神及其实质的情况下，所属技术领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明的权利要求的保护范围。

Claims (9)

1、一种IP网络的网络溯源的方法，包括：

设置溯源日志，将终端唯一标识与该终端的IP地址对应，并将所述对应关系记载在所述溯源日志中。

2、根据权利要求1所述的IP网络的网络溯源的方法，其特征在于，所述方法具体为：

步骤1、设置溯源日志，将分配给用户终端的IP地址与所述用户终端的用户线号码对应，并将该对应关系记载在所述溯源日志中；

步骤2、设置ACL即访问控制列表，所述ACL只允许源IP地址为合法IP地址的数据包通过。

3、根据权利要求1所述的IP网络的网络溯源的方法，其特征在于，所述方法具体为：设置溯源日志，将分配给用户终端的IP地址与所述用户终端的用户线号码对应，并将该对应关系记载在所述溯源日志中。

4、根据权利要求1所述的IP网络的网络溯源的方法，其特征在于，所述方法具体为：设置溯源日志，在DSLAM即数字用户线接入复用器的用户线端口信息与DHCP服务器即动态主机分配协议服务器为用户分配的IP地址对应，并将所述对应关系记载在所述溯源日志中。

5、根据权利要求1所述的IP网络的网络溯源的方法，其特征在于，所述方法具体为：设置溯源日志，将与用户终端连接的以太网交换机上启用DHCPSnooping功能即动态主机分配协议侦听功能；并将用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息记载在记录到溯源日志中。

6、根据权利要求1所述的IP网络的网络溯源的方法，其特征在于，所述方法具体为：

步骤(1)、为内网用户划分不同的VLAN；

步骤(2)、设置每一内网用户由DHCP获得IP地址；

步骤(3)、设置ACL访问控制列表，禁止不合法的源IP地址通过；

步骤(4)、在与用户终端直连的设备上启用DHCP Snooping功能；

步骤(5)、将NAT即网络地址转换信息、并将用户接入后的IP地址、与该用户终端连接的该以太网交换机的交换机端口信息、VLAN ID信息记载在记录到溯源日志中。

7、一种IP网络溯源系统，包括：

查询模块，所述查询模块用来接收输入的查询条件，并发起溯源请求和输出溯源操作结果；

溯源功能接口模块，所述溯源功能接口模块用于接收查询模块的溯源请求，并根据该溯源请求发起溯源操作，并将溯源操作结果返回给查询模块；

溯源日志模块，所述溯源日志模块用于记录终端唯一标识与该终端的IP地址对应关系。

8、根据权利要求7所述的IP网络溯源系统，其特征在于，所述系统还包括：

分级地址备案功能模块，所述分级地址备案功能模块用于将网络划分为一个或一个以上溯源域，并记录每一溯源域对应的网络的IP地址集，并用于确定待溯源的IP地址归属的溯源域；

过滤及反向路径检查模块，所述过滤及反向路径检查模块设置于所述溯源域的边界设备及与用户终端连接的网络设备上，所述过滤及反向路径检查模块检查通过的数据包的源IP地址并允许源IP地址为已授权IP地址的数据包通过。

9、根据权利要求7所述的IP网络溯源系统，其特征在于，所述过滤及反向路径检查模块启用ACL即访问控制列表和uRPF即单播反向路径查找，对通过的数据包的源IP地址进行检查。

Images