CN102025567A - 一种共享接入检测方法以及相关装置 - Google Patents

Abstract

本发明实施例公开了一种共享接入检测方法以及相关装置，用于有效的检测位于NAT设备之后处于活动状态的主机数目。本发明实施例方法包括：获取客户端发送的数据报文；分析所述数据报文的协议类型，并根据所述协议类型选择对应的提取策略；根据所述提取策略提取所述数据报文的公网IP信息和内网IP信息；根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。本发明实施例还提供了实现该方法的相关装置。

Description

一种共享接入检测方法以及相关装置

技术领域

本发明涉及通信领域，尤其涉及一种共享接入检测方法以及相关装置。

背景技术

为了解决IP地址数量、以及安全问题，现有的IP网络上，存在大量的网络地址转换(NAT，Network Address Transform)设备和防火墙设备。NAT设备将每个局域网节点的私有网络地址转换成一个公有网络地址，反之亦然。NAT技术也可以应用到防火墙技术里，把私有地址隐藏起来不被外界发现，使外界无法直接访问内部网络设备，同时，它还帮助网络可以超越地址的限制，合理地安排网络中的公有网络地址和私有网络地址的使用。

随着现在共享接入技术日益成熟，NAT设备的也使用越来越广泛，给运营商的利益和网络的管理带来了很大的影响，因此，如何准确获得位于NAT设备后的当前活动主机的数量，从而有效管理共享接入的用户成了运营商一大难题。

在现有技术中有一种主动获取主机信息的检测方法，首先接收共享接入网中主机发送的访问请求消息，根据该访问请求消息向主机发送主机信息查询命令，迫使主机返回MAC地址和主机名等含有主机特定标识的信息，根据接收到的主机返回的主机信息，获得共享接入网中的主机数目。

由于目前浏览器的安全性能越来越高，因此，若使用主动获取主机信息的检测方法，构造出来的包含主机信息查询命令的请求信息往往会被浏览器拦截而无法查询到所需的主机信息，所有检测成功率较低；而且主动发送报文会额外的增加网络负担。

发明内容

本发明实施例提供了一种共享接入检测方法以及相关装置，用于有效的检测位于NAT设备之后处于活动状态的主机数目。

本发明提供的共享接入检测方法，包括：获取客户端发送的数据报文；分析所述数据报文的协议类型，根据所述协议类型选择对应的提取策略；根据所述提取策略提取所述数据报文的公网IP信息和内网IP信息；根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

本发明提供的共享接入检测装置，包括：获取单元，用于获取客户端发送的数据报文；选择单元，用于分析所述数据报文的协议类型，并根据所述协议类型选择对应的提取策略；提取单元，用于根据所述提取策略提取所述数据报文的公网IP信息和内网IP信息；统计单元，用于根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

从以上技术方案可以看出，本发明实施例具有以下优点：本发明通过分析客户端发送的数据报文的协议类型，根据对应的提取策略提取该数据报文的公网IP信息和内网IP信息，然后根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目，可以有效的检测位于NAT设备之后处于活动状态的主机数量，使得运营商可以有效的管理共享接入用户。

附图说明

图1是本发明实施例共享接入检测方法的一个流程示意图；

图2是本发明实施例共享接入检测方法的另一个流程示意图；

图3是本发明实施例共享接入检测方法的另一个流程示意图；

图4是本发明实施例共享接入检测装置的逻辑结构示意图。

具体实施方式

本发明实施例提供了一种共享接入检测方法以及相关装置，用于有效的检测位于NAT设备之后处于活动状态的主机数目。

请参阅图1，本发明实施例中共享接入检测方法的一个实施例包括：

101、获取数据报文；

共享接入检测装置获取客户端发送的数据报文。

该数据报文可以是应用层协议的网络数据报文，可以是传输层协议的网络数据报文，也可以是其他协议类型的网络数据报文，此处具体不作限定。

102、分析协议类型；

共享接入检测装置分析该数据报文的协议类型，该协议类型可以体现在数据报文的端口号上，也可以体现在数据报文的应用层协议特征上，还可以体现在数据报文的其它负载信息上，具体根据实际情况而定，此处不作限定。

每一种协议类型对应一种业务应用，该业务应用如：腾讯聊天软件，PPTV视频软件或迅雷下载软件。

共享接入检测装置可以通过深度报文解析(DPI，Deep Packet Inspect)方法来分析数据报文的协议类型，可以通过现场可编程门阵列(FPGA，Field Programmable Gate Array)中的硬件电路来分析数据报文的协议类型，可以通过端口识别分析数据报文的协议类型，也可以通其他方法分析数据报文的协议类型，此处具体不作限定。

共享接入检测装置分析出该数据报文的协议类型后，在本地预置的映射关系中查询该协议类型对应的提取策略。

由于不同的业务应用对应不同协议类型的数据报文，而且各种协议类型的表现形式也不一样，所以本发明会预先对不同协议类型的数据结构进行定制化分析，制定相应内网IP信息的提取策略，并将各种协议类型的提取策略存储在本地计算机里面，便于共享接入检测时查找使用。

具体的提取策略以及提取策略的定制方法将在后续实施例中进行描述。

103、提取公网和内网IP信息；

共享接入检测装置根据该协议类型对应的提取策略提取该数据报文的公网IP信息和内网IP信息。

位于NAT设备之后的主机设备在进行网络交互时，该主机设备的内网IP信息都会被隐藏，只会显示NAT设备的公网IP信息；但目前大多数主流软件例如：聊天软件腾讯QQ，视频软件PPTV，下载软件迅雷等，在与用户客户端进行交互时，都会间接地带出该用户客户端的内网IP信息，这些软件通过定制化的分析就可以知道内网IP信息出现在该数据报文中的哪些位置，共享接入检测装置直接扫描到这些位置就可以提取到内网IP信息。

104、统计客户端的数目。

共享接入检测装置根据公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

在本申请文件中，公网IP的定义是相对而言的，若一台位于NAT设备之后的主机设备(假设其内网IP信息为：第一内网IP)再嵌入一层子网(假设这层子网内所有主机设备的IP信息为：第二内网IP)，第一内网IP相对于第二内网IP而言，第一内网IP即是公网IP。

虽然检测设备无法直接获知位于同一NAT设备后面有多少个共享接入的主机设备，但在同一时间内，一个公网IP地址下不同客户端的内网IP信息肯定不同，因此通过统计同一时间内内网IP信息的个数就可以间接地检测出共享接入的主机设备的数目。

本发明通过分析客户端发送的数据报文的协议类型，根据对应的提取策略提取该数据报文的公网IP信息和内网IP信息，然后根据该公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目，就可以有效的检测位于NAT设备之后处于活动状态的主机数量，使得运营商可以有效的管理共享接入用户。

在进行数据报文捕获的过程中，某些数据报文是不具有内网IP信息的，没有必要浪费资源对其进行处理，请参阅图2，本发明实施例中共享接入检测方法的另一实施例包括：

201、获取数据报文；

本实施例中的步骤201的内容与前述图1所示的实施例中步骤101的内容相同，此处不再赘述。

202、分析协议类型；

共享接入检测装置对接收到的数据报文进行解封装，分析该数据报文的协议类型，从该协议类型的数据报文中识别出相应的IP信息的表现形式。

该IP信息的表现形式包括：没有通过NAT设备进行内网IP地址和公网IP地址之间相互转换的形式，以及通过NAT设备进行内网IP地址和公网IP地址之间相互转换的形式。

根据该数据报文进行协议类型的分析后，在本地预置的映射关系中查询该协议类型对应的提取策略。

203、判断是否含有内网IP信息；

共享接入检测装置识别出该数据报文的IP信息表现形式之后，判断该数据报文的协议类型中是否含有内网IP信息；

若没有，则丢弃该数据报文，不对其进行处理；

若有，则触发步骤204。

204、提取公网和内网IP信息；

本实施例中的步骤204的内容与前述图1所示的实施例中步骤103的内容相同，此处不再赘述。

205、判断是否存有相同的公网IP信息；

共享接入检测装置对比当前获取到的和本地存储的公网IP信息，判断本地是否保存有相同的公网IP信息；

若没有，则触发步骤206；若有，则触发步骤207。

206、存储IP信息；

共享接入检测装置将当前公网IP信息以及当前公网IP信息下的内网IP信息作为一组参数存储至本地，该组参数可以包含一个或多个内网IP信息，但只能包含一个公网IP信息。

207、判断是否存有相同的内网IP信息；

共享接入检测装置对比当前获取到的和本地存储的内网IP信息，判断本地是否保存有当前公网IP信息下相同的内网IP信息；

若没有，则触发步骤206将当前的内网IP信息存储到与其公网IP信息相同的那一组参数中；若有，则触发步骤208。

208、更新内网IP计数器。

内网IP计数器统计属于同一公网下的不同客户端的数目。对本地已保存的公网IP，每检测到1个新的内网IP，共享接入检测装置将对应的公网IP信息下的内网IP计数器的计数值加一，更新当前内网IP计数器。

当共享接入检测装置获取到一组新的公网IP信息时，就会新建一个与该公网IP信息对应的内网IP计数器，并将该公网IP的内网IP数置为1。。

在本发明实施例中，步骤206和208结束后都会返回步骤1重新获取数据报文，直到获取不到数据报文时结束。

需要特别说明的是，步骤208是可选步骤，在其他实施例中可以不执行步骤208，由于步骤206和步骤207已经进行了公网IP和内网IP的对应存储，因此在需要计数值时，直接统计各公网IP所对应的内网IP数量即可。

在本发明实施例中，增加了判断数据报文中是否含有内网IP信息的步骤，使得当获取到的数据报文没有携带内网IP信息时，可以直接丢弃该数据，节省计算机的运算量。同时，本实施例也细化了统计同一公网下的不同客户端数目的步骤，使得本发明的技术方案更加完善。

由于不同的业务具有不同协议类型的数据报文，不同数据报文的内网IP信息表现的形式和位于数据报文中的地方也不一样，所以需要使用有效的数据报文分析方法，区分不同协议类型的数据报文，并相应的对不同协议类型的数据报文进行定制分析，请参阅图3，本发明实施例中共享接入检测方法的另一实施例包括：

301、获取数据报文；

本实施例中的步骤301的内容与前述图1所示的实施例中步骤101的内容相同，此处不再赘述。

302、使用DPI方法分析协议类型；

共享接入检测装置对接收到的数据报文进行解封装，使用DPI方法分析该数据报文的协议类型，从该协议类型的数据报文中识别出相应IP信息的表现形式，然后，在本地预置的映射关系中查询该协议类型对应的提取策略。

该IP信息的表现形式包括：没有通过NAT设备进行内网IP地址和公网IP地址之间相互转换的形式，以及通过NAT设备进行内网IP地址和公网IP地址之间相互转换的形式。

在本实施例及其他实施例中，分析数据报文的协议类型，可以采用普通的报文检测方法，即通过分析网络层的数据内容，包括：源地址、目的地址、源端口以及目的端口，可以是通过端口号来识别应用类型的，如检测到端口号为80时，则认为该应用代表着普通上网应用。在某些情况下，也可以使用DPI检测办法，因为当前网络上的一些非法应用会采用隐藏或假冒端口号的方式躲避检测和监管，造成仿冒合法报文的数据流侵蚀着网络。此时采用网络层的传统检测方法已无法准确检测出数据报文的业务应用，而DPI技术是通过对应用层中的数据报文内容进行探测，从而确定数据报文的真正业务应用是什么。虽然非法应用可以隐藏端口号，但目前却难以隐藏应用层的业务应用内容。

具体的DPI方法可以包括：

一、基于应用层特征的DPI检测方法：

某些业务的控制流和业务流是分离的，业务流没有任何特征，这种情况下，我们就可以采用应用层网关识别技术。应用层网关需要先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出每一个协议对应的业务流，需要有不同的应用层网关对其进行分析。如会话初始化协议(SIP，Session Initiation Protocol)、H323协议都属于这种类型。SIP或H323协议通过信令交互过程，协商得到其数据通道，一般是实时传输协议(RTP，Realtime Transport Protocol)格式封装的语音流。也就是说，纯粹检测RTP流并不能得出这条RTP流是那通过那种协议建立的。只有通过检测SIP或H323的协议交互，才能得到其完整的分析。

二、基于特征字的DPI检测方法：

不同的应用通常依赖于不同的协议，而不同的协议都有其特殊的特征字，这些特征字可能是特定的端口、特定的字符串或者特定的Bit序列。基于特征字的识别技术通过对业务流中特定数据包中的特征字信息的检测以确定业务流承载的应用。

根据具体检测方式的不同，基于特征字的识别技术又可以分为固定位置特征字匹配、变动位置的特征匹配以及状态特征匹配三种技术。通过对特征字信息的扩展，基于特征字的识别技术可以很方便的进行功能扩展，实现对新协议的检测。如：比特流(Bittorrent)协议的识别，通过反向工程的方法对其对等协议进行分析，该对等协议指的是peer与peer之间交换信息的协议。对等协议由一个握手开始，后面是循环的消息流，每个消息的前面，都有一个数字来表示消息的长度。在其握手过程中，首先是先发送19，跟着是字符串“BitTorrent protocol”。那么“19BitTorrent Protocol”就是Bittorrent的特征字。

三、基于行为模式识别的DPI方法；

行为模式识别技术基于对终端已经实施的行为的分析，判断出用户正在进行的动作或者即将实施的动作。行为模式识别技术通常用于无法根据协议判断业务的识别。例如：垃圾邮件(SPAM)业务流和普通的邮件(Email)业务流从Email的内容上看是完全一致的，只有通过对用户行为的分析，才能够准确的识别出SPAM业务。

以上三种DPI识别技术分别用于不同类型协议的识别，无法相互替代。

303、判断是否含有内网IP信息；

共享接入检测装置识别出该数据报文的IP信息表现形式之后，判断该协议类型的数据报文中是否含有内网IP信息；

若没有，则丢弃该数据报文，不对其进行处理；

若有，则触发步骤304。

304、提取公网IP信息；

在共享接入检测装置对该数据报文进行解封装后，共享接入检测装置在网络层源地址的字段中提取公网IP信息。

305、提取内网IP信息；

共享接入检测装置根据该协议类型的提取策略，在共享接入检测装置对该数据报文进行解封装后，在该数据报文应用层中的固定偏移位获取内网IP信息。

内网IP信息的提取策略需要通过对该协议类型的特征进行定制化分析得到，主要是检测内网IP信息在特定业务的数据报文中的固定偏移位，以视频软件PPTV为例：

首先要搭建内网环境，使得PPTV客户端运行在内网IP的环境下。在PPTV客户端产生流量时，捕获网络交互中的数据报文；

获知当前本地计算机的内网IP地址，假设为10.0.0.165，对应的十六进制为0a 00 00 a5。解封装捕获到的数据报文，在净负荷中搜索内网IP信息(10.0.0.165)的关键字，如：“0x0a0000a5”，“0xa500000a”或者“10.0.0.165”，主要以字节序或字符的形式进行查找，如果在某一字段中查找到上述三种关键字的其中一个(如：“0x0a0000a5”)，并在重复多次查找中仍在该字段中出现“0x0a0000a5”，就基本可以确定该字段为内网IP地址在PPTV数据报文中的固定偏移位。内网IP端口也可以使用上述同样的方法确定固定偏移位。

在腾讯即时通信软件的数据报文中，内网IP地址是以字符串的形式出现的，如：“10.0.0.165”，则在查找关键字的时候搜索“10.0.0.165”。

上述数据报文的定制化分析方法仅为一个例子，可以理解的是，在实际应用中，还可以使用其它方法进行分析，此处具体不作限定。

306～309、本实施例中的步骤306至309的内容与前述图2所示的实施例中205至208的内容相同，此处不再赘述。

为了便于理解，下面以一具体应用场景对上述的实施例中描述的共享接入检测方法再进行详细描述，具体为：

共享接入检测装置捕获到一组数据报文，然后对该数据报文进行解封装，得到包含不同信号特征的数据。

共享接入检测装置对该数据报文解封装后的数据进行分析，得到该IP信息的表现形式为：通过NAT设备进行内网IP地址和公网IP地址之间相互转换的；识别出数据报文的业务应用为：视频软件PPTV，且选出与PPTV相对应的内网IP信息提取策略：获取数据报文中应用层的数据包，在该应用层数据包的第0030行的前四个字段中提取内网IP地址，在该应用层数据包的第0030行的第七和第八个字段中提取内网IP端口。

根据该IP信息的表现形式可以判断该数据包为含有内网IP信息的数据包，因此，继续提取该数据报文的公网IP信息(假设IP地址：201.0.0.1，端口：80)，且根据PPTV的提取策略提取到内网IP信息为IP地址：0a 00 00 a5(即10.0.0.165)，端口：c7 0f(即199 15)。

该数据报文应用层的部分数据如下：

0000 0d 27 e6 77 12 20 58 1a 5d 27 e7 74 d9 54 ce 0e

0010 6f 81 a0 a1 0f ed 97 4c af 29 29 e5 f4 e4 e6 57

0020 50 e2 fb 3f 16 7c 70 46 9b 74 42 3c 94 8e ee ed

0030 0a 00 00 a5 80 0e c7 0f 70 5f 93 95 00 00 2a 9d

0040 dd c1 08 56 00 00 26 23 19 00 05 00 05 09 00 01

0050 02 00 10 01 00 00 00 00 00 00 00 aa 2c 00 00 00

在提取到公网IP信息(IP地址：201.0.0.1，端口：80)和内网IP信息(IP地址：10.0.0.165，端口：199 15)后，扫描本地公网IP信息存储单元，找到“IP地址：201.0.0.1，端口：80”的参数组(假设本地存储有该公网IP信息)，在“IP地址：201.0.0.1，端口：80”的参数组中查找“IP地址：10.0.0.165，端口：199 15”，假设没有查找到，则在“IP地址：201.0.0.1，端口：80”的参数组中存储“IP地址：10.0.0.165，端口：199 15”这组内网IP信息，并将“IP地址：201.0.0.1，端口：80”的内网IP计数器的计数值加一，本次循环结束。

下面对用于执行上述共享接入检测方法的本发明共享接入检测装置的实施例进行说明，其逻辑结构请参考图4，本发明实施例中的共享接入检测装置一个实施例包括：

获取单元401，用于获取客户端发送的数据报文；

选择单元402，用于分析该数据报文的协议类型，并根据该协议类型选择对应的提取策略；

提取单元403，用于根据该提取策略提取数据报文的公网IP信息和内网IP信息；

统计单元404，用于根据该公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

本发明实施例的共享接入检测装置还可以包括：

第一判断单元405，用于判断该协议类型的数据报文中是否含有内网IP信息；若没有，则触发丢弃单元；若有，则触发提取单元；

丢弃单元406，用于丢弃该数据报文，不对该数据报文进行处理。

本发明实施例的共享接入检测装置的统计单元404还可以进一步包括：

第二判断单元4041，用于判断本地是否保存有相同的公网IP信息；若没有，则触发存储单元；若有，则触发第三判断单元；

存储单元4042，用于存储公网IP信息以及内网IP信息；

第三判断单元4043，用于判断本地是否保存有该公网IP信息下的内网IP信息；若有，则触发丢弃单元406；若没有，则触发存储单元存储该内网IP信息，并触发内网IP计数单元4044；

内网IP计数单元4044，用于将对应的公网IP信息下的内网IP计数值加一，更新内网IP计数器。

本发明实施例的共享接入检测装置的提取单元403还可以进一步包括：

第一提取模块4031，用于提取数据报文中的公网IP信息；

获取模块4032，用于获取数据报文中含有内网IP信息的数据包；

第二提取模块4033，用于根据该数据包中的固定偏移位提取内网IP信息，该固定偏移位是对该协议类型的数据报文进行定制化的内网IP信息的检测得到。

本发明实施例共享接入检测装置各个单元具体的交互过程如下：

获取单元401获取客户端发送的数据报文，选择单元402分析并得到该数据报文的协议类型，在本地预置的映射关系中选择该协议类型对应的提取策略。

第一判断单元405判断该协议类型的数据报文中是否含有内网IP信息；若没有，则触发丢弃单元406丢弃该数据报文，不对该数据报文进行处理；若有，则触发第一提取模块4031。

第一提取模块4031在数据报文进行解封装后，在网络层源地址的字段中提取公网IP信息。获取模块4032在数据报文进行解封装后，获取含有内网IP信息的应用层数据包。第二提取模块4033根据该应用层数据包中的固定偏移位提取内网IP信息，该固定偏移位是对该协议类型的数据报文进行定制化的内网IP信息的检测得到。

在提取到公网IP信息和内网IP信息后，第二判断单元4041对比当前获取到的和本地存储的公网IP信息，判断本地是否保存有相同的公网IP信息；若没有，则触发存储单元4042存储当前公网IP信息以及当前公网IP信息下的内网IP信息；若有，则触发第三判断单元4043。

第三判断单元4043对比当前获取到的和本地存储的内网IP信息，判断本地是否保存有当前公网IP信息下相同的内网IP信息；若有，则触发丢弃单元406；若没有，则触发存储单元4042存储当前公网IP信息下的内网IP信息，并触发内网IP计数单元4044将对应的公网IP信息下的内网IP计数值加一，更新内网IP计数器。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上对本发明所提供的一种共享接入检测方法以及相关装置进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种共享接入检测方法，其特征在于，包括：

获取客户端发送的数据报文；

分析所述数据报文的协议类型，根据所述协议类型选择对应的提取策略；

根据所述提取策略提取所述数据报文的公网IP信息和内网IP信息；

根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

2.根据权利要求1所述的方法，其特征在于，所述根据协议类型选择对应的提取策略之后包括：

判断所述协议类型的数据报文中是否含有内网IP信息；

若没有，则不处理所述数据报文；

若有，则触发根据所述协议类型提取所述数据报文的公网IP信息和内网IP信息的步骤。

3.根据权利要求1所述的方法，其特征在于，所述根据公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目具体为：

判断本地是否保存有相同的公网IP信息；

若没有，则存储所述公网IP信息以及内网IP信息；

若有，则判断本地是否保存有所述公网IP信息下相同的内网IP信息，若有，则不处理所述数据报文，若没有，则存储所述内网IP信息，并统计所述公网IP信息下的内网IP信息数目。

4.根据权利要求1所述的方法，其特征在于，所述分析数据报文的协议类型包括：

通过深度报文解析DPI方法分析所述数据报文的协议类型。

5.根据权利要求4所述的方法，其特征在于，所述深度报文解析DPI方法包括：

基于应用层特征的DPI检测方法，基于特征字的DPI检测方法或基于行为模式识别的DPI检测方法。

6.根据权利要求1至5任意一项所述的方法，其特征在于，所述根据提取策略提取所述数据报文的内网IP信息包括：

对所述数据报文进行解封装，获取含有内网IP信息的数据包；

根据所述数据包中的固定偏移位提取内网IP信息，所述固定偏移位是对所述协议类型的数据报文进行定制化内网IP信息的检测得到。

7.一种共享接入检测装置，其特征在于，包括：

获取单元，用于获取客户端发送的数据报文；

选择单元，用于分析所述数据报文的协议类型，并根据所述协议类型选择对应的提取策略；

提取单元，用于根据所述提取策略提取所述数据报文的公网IP信息和内网IP信息；

统计单元，用于根据所述公网IP信息和内网IP信息统计属于同一公网下的不同客户端的数目。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一判断单元，用于判断所述协议类型的数据报文中是否含有内网IP信息；若没有，则触发丢弃单元；若有，则触发提取单元；

丢弃单元，用于丢弃所述数据报文，不对所述数据报文进行处理。

9.根据权利要求7或8所述的装置，其特征在于，所述统计单元包括：

第二判断单元，用于判断本地是否保存有相同的公网IP信息；若没有，则触发存储单元；若有，则触发第三判断单元；

存储单元，用于存储公网IP信息以及内网IP信息；

第三判断单元，用于判断本地是否保存有所述公网IP信息下的内网IP信息；若有，则触发丢弃单元；若没有，则触发存储单元存储所述内网IP信息，并触发内网IP计数单元；

内网IP计数单元，用于将对应的公网IP信息下的内网IP计数值加一。

10.根据权利要求9所述的装置，其特征在于，所述提取单元包括：

第一提取模块，用于提取所述数据报文中的公网IP信息；

获取模块，用于获取数据报文中含有内网IP信息的数据包；

第二提取模块，用于根据所述数据包中的固定偏移位提取内网IP信息，所述固定偏移位是对所述协议类型的数据报文进行定制化的内网IP信息的检测得到。

Images