CN101877654B

CN101877654B - 一种基于tcp报文的ip路径主动测量方法

Info

Publication number: CN101877654B
Application number: CN2009100719004A
Authority: CN
Inventors: 姜誉; 方滨兴; 任健
Original assignee: Heilongjiang University
Current assignee: Heilongjiang University
Priority date: 2009-04-28
Filing date: 2009-04-28
Publication date: 2012-04-04
Anticipated expiration: 2029-04-28
Also published as: CN101877654A

Abstract

一种基于TCP报文的IP路径主动测量方法，已有技术的探测报文容易被识别为测量路径行为或攻击行为而被过滤，从而破坏了路径测量的完整性。本发明的方法包括：针对给定的探测目标地址D，选取TCP报文首部中的目的端口和源端口，对通向同一目标地址D的每个探测报文，随机地从控制比特集合中选取一项，作为TCP探测报文首部中的控制比特，填充TCP报文首部和IP报文首部字段后发出该探测报文。如果在给定时间内收到响应报文，则根据响应报文类型实施对响应报文的处理；在给定时间内没有收到响应报文，则实施等待时间超时处理。本发明用于IP网络中抗过滤的测量方法。

Description

一种基于TCP报文的IP路径主动测量方法

技术领域

本发明涉及一种基于TCP报文的IP路径主动测量方法。

背景技术：

以主动测量方式探测网络拓扑路径主要是采用类似traceroute的方法，首先，从测量源点S向某个测量目标D发出TTL＝1的探测报文，收到返回的ICMP超时报文，或者等待预先给定的时间t₀(例如5秒)后，再发出TTL＝2的报文，依此类推，直到收到探测目标返回的表明到达目标的报文，或者TTL增长到预先给定阈值(例如30)。这时针对测量目标D的路径探测过程结束。根据依次返回的报文中所包含的源IP地址，从而得到从测量源点S到测量目标D的拓扑路径。传统上，采用TCP报文探测时，同一测量源点都采用目的端口为80的SYN(这是TCP报文首部的一个标志位)报文，结果导致被检测出测量路径的行为或多点测量时被认为是SYN flood攻击行为而被过滤，即这种方法的探测报文容易被识别为测量路径的行为或攻击行为，从而破坏了对路径测量的完整性。

发明内容：

本发明的目的是提供一种基于TCP报文的IP路径主动测量方法。这种IP路径主动测量方法在路由器的基于目的网络地址的负载平衡和基于流的负载平衡机制的影响的情况下，发送的探测报文是具有熟知端口的混合类型的TCP报文，使探测报文抗识别和过滤，从而保证了路径测量的完整性。

上述的目的通过以下的技术方案实现：

一种基于TCP报文的IP路径主动测量方法，包括以下步骤：

步骤1，针对给定的探测目标地址D，选取TCP报文首部中的目的端口和源端口；

步骤2，对通向同一目标地址D的每个探测报文，随机地从控制比特集合中选取一项，作为TCP探测报文首部中的控制比特；

步骤3，按协议的规定填充TCP报文首部和IP报文首部字段，包括在TCP首部的序列号字段和IP首部的标识字段记录对应的进程信息和探测报文编号，后发出该探测报文；

步骤4，在给定时间内收到响应报文，则根据响应报文类型实施对响应报文的处理；或者在给定时间内没有收到响应报文，则实施等待时间超时处理。

所述的一种基于TCP报文的IP路径主动测量方法，所述的控制比特的集合为{ACK，SYN+ACK，FIN+ACK，PSH+ACK，URG+ACK，FIN，FIN+PSH，FIN+URG，SYN，SYN+PSH，SYN+URG}或其子集合。

上述的一种基于TCP报文的IP路径主动测量方法，所述的针对给定的探测目标地址D，选取TCP报文首部中的目的端口，是针对目标地址D，从规定的熟知端口区间1至1023中选择一个TCP服务端口，作为探测报文的目的端口，在一个测量源点，对同一目标地址D，目的端口一旦选定，则该测量源点发出的针对同一目标地址D的所有探测报文的目的端口保持不变。

所述的一种基于TCP报文的IP路径主动测量方法，所述的针对给定的探测目标地址D，选取TCP报文首部中的源端口是针对目标地址D，从规定的端口号区间1至65535中选择一个端口号，也包括本测量源点主机没有启动TCP服务的熟知端口，作为探测报文的源端口，在一个测量源点，对同一目标地址D，源端口一旦选定，则该测量源点发出的针对同一目标地址D的所有探测报文的源端口保持不变。

所述的一种基于TCP报文的IP路径主动测量方法，所述的在给定时间内收到响应报文则根据响应报文类型实施对响应报文的处理是：

a该响应报文是“ICMP TTL超时”报文，并且探测还没有达到预定跳数的阈值，对通向同一目标地址D的每个探测报文，随机地从控制比特集合中选取一项，作为TCP探测报文首部中的控制比特，继续探测；

b该响应报文是ICMP不可达类型报文，或者收到的响应报文是控制比特为RST，或者控制比特为RST+ACK，或者控制比特为SYN+ACK的TCP报文，则中止针对该目标地址的探测。

所述的一种基于TCP报文的IP路径主动测量方法，所述的在给定时间内没有收到响应报文则实施等待时间超时处理是：若探测还没有达到预定跳数的阈值，则对通向同一目标地址D的每个探测报文，随机地从控制比特集合中选取一项，作为TCP探测报文首部中的控制比特，继续探测，否则，中止针对该目标地址的探测。

本发明有益效果：

1、本发明权利要求1中的步骤2以及权利要求2使得发送TCP探测报文时，通向同一目标地址D的各跳探测报文中的控制比特随机选择，这样避免了已有技术中来自同一测量源点都采用SYN类型报文导致被检测出测量路径的行为或多点测量时被认为是SYN flood攻击行为而被过滤，即本方法的探测报文不易被识别为测量路径的行为或攻击行为，增加了过滤难度，从而对路径测量的完整性提供了保证。

2、本方法中，权利要求1中的步骤1以及权利要求3使得对不同的测量目标地址，探测报文的目的端口从熟知端口区间1至1023中选择，即与已有技术采用80端口相比，可以采用非80端口作为目的端口，使不同的目标地址其目的端口可以不同，扩展了测量空间，降低了被识别为测量路径的行为或攻击行为的程度，并增强了探测能力；权利要求1中的步骤1以及权利要求5使得源端口可以选择低于10000的端口号，甚至是本测量源点主机没有启动TCP服务的熟知端口，与已有技术中只采用高端口相比也降低了被认为是测量行为或攻击行为的程度。

3、本方法也考虑了路由器的基于目的网络地址的负载平衡和基于流的负载平衡机制对探测路径的影响，针对某一目标地址D的各跳探测报文中的源端口和目的端口不变，保证通向同一测量目标的探测报文的路径同一性。

本发明的具体实施方式：

实施例1：

一种基于TCP报文的IP路径主动测量方法，发送TCP报文作为探测报文：针对某一目标地址D，从熟知端口区间1至1023中选择一个TCP服务熟知端口179作为探测报文的目的端口。选择低于10000的、本测量源点主机未启动TCP服务的端口8087作为探测报文的源端口。

对通向同一目标地址D的每个探测报文，随机地从集合{ACK，SYN+ACK，FIN+ACK，PSH+ACK，URG+ACK，FIN，FIN+PSH，FIN+URG，SYN，SYN+PSH，SYN+URG}或其子集合中选取一项，作为TCP探测报文首部中的控制比特。

例如，第一个探测报文选择了FIN作为控制比特，第二个探测报文选择了ACK作为控制比特，第三个探测报文选择了SYN+ACK作为控制比特，第四个探测报文选择了SYN+URG作为控制比特，第五个探测报文选择了FIN+ACK作为控制比特，......，等等。

填充TCP报文首部和IP报文首部字段后发出探测报文。

在给定时间内如果收到“ICMP TTL超时”响应报文，并且探测还没有达到预定跳数的阈值30，则继续探测；如果收到ICMP不可达类型报文，或者收到的是控制比特为RST，或者控制比特为RST+ACK，或者控制比特为SYN+ACK的TCP报文，则中止针对该目标地址的探测。

在给定时间内如果没有收到响应报文，并且探测还没有达到预定跳数的阈值30，则继续探测；如果探测达到预定跳数的阈值30，则中止针对该目标地址的探测。

实施例2：

一种基于TCP报文的IP路径主动测量方法，发送TCP报文作为探测报文：针对某一目标地址D，从熟知端口区间1至1023中选择一个TCP服务熟知端口110作为探测报文的目的端口。选择本测量源点主机没有启动TCP服务的熟知端口25作为探测报文的源端口。

对通向同一目标地址D的每个探测报文，随机地从集合{ACK，SYN+ACK，FIN+ACK，PSH+ACK，URG+ACK，FIN，FIN+PSH，FIN+URG，SYN，SYN+PSH，SYN+URG}的子集合{FIN+ACK，SYN+ACK}中选取一项，例如本次选取了SYN+ACK，作为通向同一目标地址D的TCP探测报文首部中的控制比特。

填充TCP报文首部和IP报文首部字段后发出探测报文。

在给定时间内如果收到“ICMP TTL超时”响应报文，并且探测还没有达到预定跳数的阈值30，则继续探测。

实施例3：

一种基于TCP报文的IP路径主动测量方法，发送TCP报文作为探测报文：针对某一目标地址D，从熟知端口区间1至1023中选择提供TCP服务熟知端口23作为探测报文的目的端口。选择高于10000的端口号32777作为探测报文的源端口。

对通向同一目标地址D的每个(包括每跳)探测报文，随机地从集合{ACK，SYN+ACK，FIN+ACK，PSH+ACK，URG+ACK，FIN，FIN+PSH，FIN+URG，SYN，SYN+PSH，SYN+URG}的子集合{FIN+ACK}中选取一项，例如本次选取了FIN+ACK，作为通向同一目标地址D的TCP探测报文首部中的控制比特。

填充TCP报文首部和IP报文首部字段后发出探测报文。

在给定时间内如果收到“ICMP TTL超时”响应报文，并且探测还没有达到预定跳数的阈值33，则继续探测；如果收到ICMP不可达类型报文，或者收到的是控制比特为RST，或者控制比特为RST+ACK，或者控制比特为SYN+ACK的TCP报文，则中止针对该目标地址的探测。

在给定时间内如果没有收到响应报文，并且探测还没有达到预定跳数的阈值33，则继续探测；如果探测达到预定跳数的阈值33，则中止针对该目标地址的探测。

Claims

1.一种基于 TCP 报文的IP 路径主动测量方法，其特征是，包括以下步骤：

步骤 1，针对给定的探测目标地址 D，选取 TCP 报文首部中的目的端口和源端口；

步骤 2，对通向同一目标地址 D 的每个探测报文，随机地从控制比特集合中选取一项，作为 TCP 探测报文首部中的控制比特；

步骤 3，按协议的规定填充 TCP 报文首部和IP 报文首部字段，包括在 TCP 报文首部的序列号字段和IP报文首部的标识字段记录对应的进程信息和探测报文编号，然后发出该探测报文；

步骤 4，在给定时间内收到响应报文，则根据响应报文类型实施对响应报文的处理；或者在给定时间内没有收到响应报文，则实施等待时间超时处理；

所述的控制比特的集合为｛ACK , SYN +ACK , FIN +ACK , PSH+ ACK , URG + ACK , FIN , FIN + PSH, FIN + URG , SYN , SYN + PSH , SYN + URG ｝或其子集合；

所述的针对给定的探测目标地址 D ，选取 TCP 报文首部中的目的端口，是针对目标地址 D ，从规定的熟知端口区间 1 至 1023 中选择一个 TCP 服务端口，作为探测报文的目的端口，在一个测量源点，对同一目标地址D ，目的端口一旦选定，则该测量源点发出的针对同一目标地址 D 的所有探测报文的目的端口保持不变；

所述的针对给定的探测目标地址 D ，选取 TCP 报文首部中的源端口是针对目标地址 D ，从规定的端口号区间 1 至 65535 中选择一个端口号，也包括本测量源点主机没有启动 TCP 服务的熟知端口，作为探测报文的源端口，在一个测量源点，对同一目标地址 D ，源端口一旦选定，则该测量源点发出的针对同一目标地址 D 的所有探测报文的源端口保持不变。

2 ．根据权利要求 1所述的一种基于 TCP 报文的IP路径主动测量方法，其特征是：所述的在给定时间内收到响应报文则根据响应报文类型实施对响应报文的处理是：

a 该响应报文是“ICMP TTL超时”报文，并且探测还没有达到预定跳数的阈值，转权利要求 1 中的步骤 2 继续探测；

b 该响应报文是ICMP不可达类型报文，或者收到的响应报文是控制比特为 RST ，或者控制比特为 RST + ACK ，或者控制比特为 SYN + ACK 的 TCP 报文，则中止针对该目标地址的探测。

3 ．根据权利要求 1 或 2所述的一种基于 TCP 报文的IP路径主动测量方法，其特征是：所述的在给定时间内没有收到响应报文则实施等待时间超时处理是：若探测还没有达到预定跳数的阈值，则转权利要求 1 中的步骤 2 继续探测，否则，中止针对该目标地址的探测。