CN102238039A

CN102238039A - Nat事件上报及ip地址溯源方法、及网络装置

Info

Publication number: CN102238039A
Application number: CN2011102166614A
Authority: CN
Inventors: 糜雷
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2011-07-30
Filing date: 2011-07-30
Publication date: 2011-11-09

Abstract

本发明提供一种网络事件上报方法，包括：网络接入系统NAS或网络地址转换NAT设备检测网络地址转换NAT事件；所述NAS或所述NAT设备上报所述检测到的NAT事件。本发明本实施例中，NAT设备或者NAS可以主动上报检测到的NAT事件以使得接收到上报的NAT事件的NAT事件网关(NAT Event Gateway，NEG)，记录NAT事件，由此可以实现根据NAT后的IP地址查询NAT前的IP地址，实现IP地址溯源，以有效控制网络犯罪。

Description

NAT事件上报及IP地址溯源方法、及网络装置

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种NAT事件上报方法、IP地址溯源方法及网络接入装置。

背景技术

随着科技的发展，互联网越来越贴近人民的生活。据网络安全调查报告显示65％的网民表示曾受到网络犯罪的侵害。网络犯罪行为包含了病毒入侵、窃取他人信息、网络黑客、网络骚扰和网络诈骗等。

而IP地址溯源技术可以帮助各国警察迅速准确地定位到犯罪嫌疑人，维护网络正常行为秩序。该技术要求首先通过因特网内容提供商(InternetContent Provider，ICP)在网络上得到犯罪嫌疑人的IP地址以及所属运营商，然后通过因特网服务提供商(Internet Service Provider，ISP)的运营支撑系统(Operation support system，OSS)、从数据业务呼叫详细记录(Calling DetailRecord，CDR)中分析IP地址与网络接入信息，从而将IP地址对应到上网账号的拥有人和上网地点，再结合传统的刑侦工作，可以将嫌疑人范围进一步缩小，其中网络接入信息包括如账号、时间和设备端口号。

随着IPv4地址资源的逐步匮乏，一些ISP开始采用网络地址转换(NetAddress Translation，NAT)方式提供网络接入服务，即用户终端在访问外网时，使用ISP租用的少数几个公网IP地址对外通讯，而用户终端获取到的地址实际上是私网IP地址，因此可以减少对公网IP地址的需求。

在实现本发明的过程中，发明人发现现有技术存在如下缺陷：各厂商NAT设备对NAT事件日志的实现程度不同，日志内容与格式私有化，且不提供IP溯源所需的查询功能，对于采用NAT技术的网络犯罪，使得破案的难度大大增加，降低了犯罪的威慑力。

发明内容

本发明实施例提供一种网络事件上报方法、IP地址溯源方法、网络接入设备及系统，以实现NAT事件的主动上报、及IP地址查询，进而可以实现IP地址溯源，以有效控制网络犯罪。

本发明实施例提供一种网络事件上报方法，包括：

网络接入系统NAS或网络地址转换NAT设备检测网络地址转换NAT事件；

所述NAS或所述NAT设备上报所述检测到的NAT事件。

本发明实施例提供一种IP地址溯源方法，包括：

接收IP地址溯源请求，所述IP地址溯源请求携带待溯源的IP地址；

获取与所述IP地址溯源请求对应的网络地址转换NAT事件；

根据所述与IP地址地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点，提取与所述账号对应的身份信息；

发送溯源响应消息，所述溯源响应消息携带与所述账号对应的身份信息。

本发明实施例提供一种IP地址溯源方法，包括：

网络地址转换事件网关NEG接收查询请求，所述查询请求包括所述待溯源的IP地址；

所述NEG查找并发送与所述查询请求对应的查询响应，所述查询响应包括包括NAT事件记录后者包括与所述待溯源的IP地址匹配的网络地址转换NAT事件。

本发明实施例提供一种网络事件上报装置，包括：

网络地址转换NAT事件检测单元，用于检测网络地址转换NAT事件；

网络地址转换NAT事件上报单元，用于将所述检测到的NAT事件上报。

本发明实施例提供一种运营支撑系统OSS，包括：

第一接收单元，用于接收IP地址溯源请求，所述IP地址溯源请求携带待溯源的IP地址；

获取单元，用于获取与所述IP地址溯源请求对应的网络地址转换NAT事件；

分析单元，用于根据所述与IP地址地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点，提取与所述账号对应的身份信息；

发送单元，用于发送溯源响应消息，所述溯源响应消息携带与所述账号对应的身份信息。

本发明实施例提供一种远程用户拨号认证RADIUS服务器，包括：

计费请求接收单元，用于接收计费请求，所述计费请求携带网络接入系统NAS检测到的网络地址转换NAT事件。

本发明实施例提供一种网络地址转换事件网关NEG，包括：

第二接收单元，用于接收查询请求，所述查询请求包括所述待溯源的IP地址；

第二响应单元，用于查找并发送与所述查询请求对应的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的网络地址转换NAT事件；或者用于查找与所述查询请求对应的NAT事件记录并发送。

通过本发明实施例所揭示的技术方案，NAT设备或者NAS可以主动上报NAT事件给NAT事件网关(NAT Event Gateway，NEG)，由NEG记录NAT事件，由此可以实现根据NAT后的IP地址查询NAT前的IP地址，实现IP地址溯源，以有效控制网络犯罪。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明网络事件上报方法一个实施例的流程图；

图2为本发明一种IP地址溯源方法实施例的流程图；

图3为本发明另一种IP地址溯源方法实施例的流程图；

图4为本发明NAS或NAT设备向网络地址转换事件网关NEG上报NAT事件的实施例一的流程图；

图5为本发明IP地址溯源方法实施例一的流程图；

图6为本发明NAS向网络地址转换事件网关NEG上报NAT事件的实施例二的流程图；

图7为本发明NAT设备向RADIUS服务器上报NAT事件的实施例的流程图；

图8本发明IP地址溯源方法实施例二的流程图；

图9为本发明网络事件上报装置实施例的结构示意图；

图10为本发明运营支撑系统OSS实施例的结构示意图；

图11为本发明RADIUS服务器实施例的结构示意图；

图12为本发明网络地址转换事件网关NEG实施例的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明网络事件上报方法一个实施例的流程图，如图1所示，该网络事件上报可以包括：

步骤101，网络接入系统NAS或网络地址转换NAT设备检测网络地址转换NAT事件；

步骤102，所述NAS或所述NAT设备上报所述检测到的NAT事件。

本实施例中，NAT设备或者NAS可以主动上报检测到的NAT事件以使得接收到上报的NAT事件的NAT事件网关(NAT Event Gateway，NEG)，记录NAT事件，由此可以实现根据NAT后的IP地址查询NAT前的IP地址，实现IP地址溯源，以有效控制网络犯罪。

当接收所述NAS或所述NAT设备上报的NAT事件的网络地址转换事件网关NEG独立设置时，所述NAS或所述NAT设备是通过发送网络地址转换报告NAT-Report上报所述检测到的NAT事件的，所述网络地址转换报告NAT-Report包括所述NAT事件的标识、网络地址转换的实现方式、网络地址转换前的IP地址和网络地址转换后的IP地址。

当所述网络地址转换的实现方式为网络地址端口转换NAPT时，所述网络地址转换报告还包括网络地址转换前的端口和网络地址转换后的端口。

所述网络地址转换报告NAT-Report可以包括但不限于以下内容，具体请参见表1。

表1

进一步的，所述NAS或所述NAT可以定期或者间隔一定的时间上报所述检测到的NAT事件。当然，定期或者间隔一定的时间上报所述检测到的NAT事件时，每次上报一个或多个NAT事件。当每次上报多个NAT事件时，所述网络地址转换报告包括多个NAT事件的标识、每个NAT事件的网络地址转换的实现方式、每个NAT事件的网络地址转换前的IP地址和每个NAT事件的网络地址转换后的IP地址。

本发明实施中，当接收所述NAS或所述NAT设备上报的NAT事件的网络地址转换事件网关NEG位于RADIUS服务器上时，所述NAS可以通过对现有的远程用户拨号认证服务RADIUS计费请求进行扩展，以实现上报所述检测到的NAT事件。当然所述NEG位于所述RADIUS服务器上时，所述NAS或NAT设备上报NAT事件前，需要向所述RADIUS服务器发起认证过程，认证通过后，才能上报。所述扩展后的RADIUS计费请求至少包括Framed-IP-Address、所述NAS的端口NAS-Port、网络地址转换的IP地址NAT-IP-Address和网络地址转换的端口NAT-Port，也可以进一步包括事件时间戳Event-Timestamp。

表2所示为扩展后的RADIUS计费请求，以实现所述NAS与所述RADIUS服务器之间的NAT事件上报。本案对RADIUS接口的扩展如下表2。

上述扩展的RADIUS属性说明如下表3所示。

当然，所述NAS也可以定期或者间隔一定的时间通过所述RADIUS计费请求上报所述检测到的NAT事件，且每次可以上报一个或多个NAT事件。

当所述NAS每次上报多个NAT事件时，所述RADIUS计费请求包括多个Framed-IP-Address(NAT前的IP地址)、所述NAS的端口NAS-Port、网络地址转换后的IP地址NAT-IP-Address和网络地址转换的端口NAT-Port。

图2为本发明一种IP地址溯源方法实施例的流程图，本实施例的动作执行主体是运营支撑系统OSS。如图2所示，该IP地址溯源方法包括：

步骤201，接收IP地址溯源请求，所述IP地址溯源请求携带待溯源的IP地址。

步骤202，获取与所述IP地址溯源请求对应的网络地址转换NAT事件。

步骤203，根据所述与IP地址地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点，提取与所述账号对应的身份信息。

步骤204，发送溯源响应消息，所述溯源响应消息携带与所述账号对应的身份信息。

其中，获取与所述IP地址溯源请求对应的NAT事件包括：向网络地址转换事件网关NEG发送查询请求，所述查询请求包括所述待溯源的IP地址；接收所述NEG根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件。本发明实施例中的查询请求的结构可以如下表4。

表4

或者，获取与所述IP地址溯源请求对应的NAT事件包括：向网络地址转换事件网关NEG发送NAT事件记录查询请求；接收所述NEG根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

或者，所述获取与所述IP地址溯源请求对应的NAT事件包括：根据所述待溯源的IP地址，从存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件，其中所述存储的NAT事件记录是从网络地址转换事件网关NEG获取的。

进一步地，本发明实施例的所述IP地址溯源请求还携带与所述待溯源的IP地址对应的端口和/或过滤条件；所述与所述IP地址溯源请求对应的NAT事件为与所述待溯源的IP地址和与所述待溯源的IP地址的端口匹配的NAT事件；或者为与所述待溯源的IP地址、与所述待溯源的IP地址对应的端口和过滤条件匹配的NAT事件。

所述查询响应中包括的与所述待溯源的IP地址匹配的NAT事件进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

所述返回的NAT事件记录获取的与所述待溯源的IP地址匹配的NAT事件进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

从存储的NAT事件记录中获取的与所述待溯源的IP地址匹配的NAT事件进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

上述实施例中，所述OSS根据所述IP地址溯源请求中携带的待溯源的IP地址，找到与所述待溯源的IP地址匹配的NAT事件，从所述NAT事件中获取与所述待溯源的IP地址对应的NAT前的IP地址，之后根据所述CDR获取NAT前的IP地址对应的账号和上网地点，提取与所述账号对应的身份信息，从而实现IP地址溯源，以有效的控制网络犯罪。

图3为本发明一种IP地址溯源方法实施例的流程图，如图3所示，该IP地址溯源方法包括：

步骤301，网络地址转换事件网关NEG接收查询请求，所述查询请求包括所述待溯源的IP地址。

步骤302，所述NEG发送与所述查询请求对应的查询响应，所述查询响应包括NAT事件记录或者与所述待溯源的IP地址匹配的网络地址转换NAT事件。

本实施例的动作执行主体为网络地址转换事件网关NEG，发送查询请求的主体为所述OSS。当然所述NEG可以单独设置，也可以位于所述RADIUS服务器上。

进一步地，在所述NEG接收所述查询请求之前，所述方法还包括：接收网络接入系统NAS或网络地址转换NAT设备通过网络地址转换报告上报的NAT事件或接收网络接入系统NAS通过远程用户拨号认证RADIUS服务器计费请求上报的NAT事件；并存储所述上报的NAT事件。

可选的，所述查询请求还包括与所述待溯源的IP地址对应的端口和/或过滤条件；所述查询响应所包括的与所述待溯源的IP地址匹配的NAT事件还进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

上述实施例中，所述NEG根据所述IP地址溯源请求中携带的待溯源的IP地址，找到与所述待溯源的IP地址匹配的NAT事件，或者查找到NAT事件记录提供给查询请求的发送方，供查询请求的发送方根据NAT事件记录或者与所述待溯源的IP地址匹配的NAT事件获取与所述待溯源的IP地址对应的NAT前的IP地址，之后根据所述CDR获取NAT前的IP地址对应的账号和上网地点，提取与所述账号对应的身份信息，从而实现IP地址溯源，以有效的控制网络犯罪。

图4为本发明NAS或NAT设备向网络地址转换事件网关NEG上报NAT事件的实施例的流程图。如图4所示，该上报NAT事件的具体流程包括如下步骤。

步骤401，所述NAS或NAT设备检测网络地址转换NAT事件。

所述的检测NAT事件可以是当有网络地址转换NAT事件发生时，即当NAS或NAT设备上进行了网络地址转换时，即可以认为是检测到了NAT事件。当有NAT事件发生时，即当检测到有NAT事件发生时，NAS或NAT设备就会触发上报NAT事件的步骤402。

步骤402，NAS或NAT设备向NEG上报检测到的NAT事件。

本实施例中NEG是单独设置的。本发明实施例的NAT事件上报可以采用网络地址转换报告NAT-Report的形式进行，具体的NAT-Report的格式可以参考本发明实施例的表1。

当然，本发明实施例的NAT事件上报可以是检测到NAT事件时立刻上报，也可以是定期的或者间隔一定的时间再进行上报，这就要参考具体的上报策略来决定多久上报一次NAT事件。当采用定期或者间隔一定的时间再上报NAT事件时，NAS或NAT设备可以先保存还没有上报的NAT事件，等到定期或者间隔一定的时间上报了NAT事件后，NAS或者NAT设备可以删除之前保存的NAT事件，当然也可以不删除，具体要看NAS或者NAT设备的能力。

步骤403，NEG记录上报的NAT事件。

NEG可以将上报的NAT事件进行记录，即存储下来，以便于后续的IP地址溯源使用，具体的存储格式可以参考表1。

步骤404，NEG向NAS或NAT设备返回网络地址转换报告响应NAT-Response。

在NEG收到上报的NAT事件后，NEG可以向NAS或NAT设备返回网络地址转换报告响应NAT-Response，以通知NAS或NAT设备该NAT事件上报成功或者失败。具体的网络地址转换报告响应NAT-Response的内容可以包括NAT事件标识ID及NAT事件上报是否成功等信息。

当NAT事件上报没有成功完成的话，即上述的步骤401-404没有全部完成的话，可以根据情况重复进行上述步骤。

图5为本发明IP地址溯源方法实施例的流程图。如图5所示，该IP地址溯源方法的具体流程可以包括如下步骤。本实施例中NEG可以单独设置，也可以位于认证、鉴权和计费服务器上。

步骤501，信息安全监控IS监控网络安全，以监控影响网络安全的事件。

步骤502，IS向因特网内容提供商ICP获取待溯源的IP地址，本发明实施例所述的待溯源的IP地址为网络地址转换后的IP地址，即待溯源的IP地址为NAT后的IP地址。

当监控到影响网络安全的事件时，IS向ICP获取待溯源的IP地址。

步骤503，IS向运营支撑系统OSS提交IP地址溯源请求。

IP地址溯源请求携带待溯源的IP地址，当然IP地址溯源请求也可以同时携带与待溯源的IP地址对应的端口和/或过滤条件。

步骤504，OSS向NEG获取与所述IP地址溯源请求对应的NAT事件。

其中，步骤504获取与所述IP地址溯源请求对应的NAT事件可以包括如下三种情况，相应的步骤505NEG向OSS返回NAT事件记录后者返回与所述IP地址溯源请求对应的NAT事件也可以包括如下505-1和505-2两种情况。具体的，步骤504和步骤505可以采用如下任一种情况进行处理。

情况一：

步骤504-1，OSS向NEG发送查询请求，所述查询请求包括所述待溯源的IP地址；

步骤505-1，接收所述NEG根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件。本发明实施例中的查询请求的结构可以如下表4。查询响应可以包括待溯源的IP地址及查询的结果等信息。

情况二：

步骤504-2，OSS向NEG发送NAT事件记录查询请求；以获取NEG上存储的NAT事件记录，该NAT事件记录可以包括全部的NAT事件。

步骤505-2，接收所述NEG根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

情况三：

步骤504-3，根据所述待溯源的IP地址，从OSS自身存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件，其中所述存储的NAT事件记录是从NEG获取的。

步骤506，根据与IP地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点。

本步骤中，OSS根据获取的与待溯源的IP地址匹配的NAT事件，从与待溯源的IP地址匹配的NAT事件中获取到与待溯源的IP地址对应的NAT前的IP地址。NEG返回的NAT事件或者NAT事件记录或者OSS自身存储的NAT事件的格式可以参考表1。所以本步骤中OSS根据待溯源的IP地址可以在上述与待溯源的IP地址匹配的NAT事件查找到与待溯源的IP地址对应的NAT前的IP地址。

呼叫详细记录CDR记载的内容包括IP地址(即NAT前的IP地址)、账号信息上网账号信息、上网行为发生时间和结束时间、主叫号码(如果是拨号上网)、接入地的NAS设备信息等。

步骤507，提取与所述账号对应的用户身份信息。

根据上述获取到得用户的账号信息提取对应的用户身份信息包括：根据账号开通时录入的信息提取用户的身份信息，当用户是拨号上网时还可以从主叫号码的注册信息来提取用户的身份信息。

步骤508，OSS向IS返回溯源响应消息。

在OSS获取到用户的身份信息之后，会将用户的身份信息通过溯源响应消息发送给IS，以便于IS有效的控制网络犯罪。

图6为本发明NAS向网络地址转换事件网关NEG上报NAT事件的实施例的流程图，其中NEG不是单独设置的，NEG位于认证、鉴权和计费服务器RADIUS服务器上。如图6所示，NAS向RADIUS服务器上报NAT事件的具体流程包括如下步骤。

步骤601，所述NAS检测网络地址转换NAT事件。

检测NAT事件的具体过程可以参考本发明的其他实施例，在此不再赘述。

步骤602，NAS和RADIUS服务器启动认证过程。

上述步骤601和602可以不分先后顺序，可以是先检测NAT事件之后立即认证，也可以是先检测NAT事件之后等需要计费时再认证，还可以是先认证通过再检测NAT事件。

步骤603，NAS向RADIUS服务器发送Accounting-Start请求，请求中携带检测到的NAT事件。

本实施例实际上就是在现有的RADIUS计费请求中携带检测到的NAT事件。本实施例需要对RADIUS接口进行扩展，具体请参考表2和表3，在此不再赘述。

NAT事件的上报过程以及上报时机具体可以参考本发明的其他实施例的相关描述。

步骤603，RADIUS服务器开始计费处理，并记录检测到的NAT事件。

RADIUS服务器可以将上报的NAT事件进行记录，即存储下来，以便于后续的IP地址溯源使用，具体的存储格式可以参考表1。

步骤604，RADIUS服务器向NAS返回计费响应Accounting-Response，该内容可以包括Acct-Status-Type＝15时的正常RADIUS响应报文，不需要特殊携带某个RADIUS属性，具体参见专利RADIUS属性表格2和3，当然也可以包括计费是否成功等信息。

该步骤之后NAS完成了NAT事件的上报，NAS可以继续进行后续的RADIUS正常计费过程。

本实施例中，NAS可以将需要上报的NAT事件携带于计费请求中向RADIUS服务器上报，以使得接收到上报的NAT事件的RADIUS服务器记录NAT事件，由此可以实现根据NAT后的IP地址查询NAT前的IP地址，实现IP地址溯源，以有效控制网络犯罪。

当NEG位于RADIUS服务器上时，NAT设备向RADIUS服务器上报NAT事件及IP地址溯源方法的具体实现过程分别与本发明图4和图5所记载的相关实施例的实现过程类似，可以参考本发明图7和图8所记载的实施例。

图7为本发明NAT设备向RADIUS服务器上报NAT事件的实施例的流程图，其中，网络地址转换事件网关NEG位于RADIUS服务器上。如图7所示，该上报NAT事件的具体流程包括如下步骤。

步骤701，所述NAT设备检测网络地址转换NAT事件。

所述的检测NAT事件可以是当有网络地址转换NAT事件发生时，即当NAT设备上进行了网络地址转换时，即可以认为是检测到了NAT事件。当有NAT事件发生时，即当检测到有NAT事件发生时，NAT设备就会触发上报NAT事件的步骤702。

步骤702，NAT设备向RADIUS服务器上报检测到的NAT事件。

本发明实施例的NAT事件上报可以采用网络地址转换报告NAT-Report的形式进行，具体的NAT-Report的格式可以参考本发明实施例的表1。

当然，本发明实施例的NAT事件上报可以是检测到NAT事件时立刻上报，也可以是定期的或者间隔一定的时间再进行上报，这就要参考具体的上报策略来决定多久上报一次NAT事件。当采用定期或者间隔一定的时间再上报NAT事件时，NAT设备可以先保存还没有上报的NAT事件，等到定期或者间隔一定的时间上报了NAT事件后，NAT设备可以删除之前保存的NAT事件，当然也可以不删除，具体要看NAT设备的能力。

步骤703，RADIUS服务器记录上报的NAT事件。

步骤704，RADIUS服务器向NAT设备返回网络地址转换报告响应NAT-Response。

在RADIUS服务器收到上报的NAT事件后，RADIUS服务器可以NAT设备返回网络地址转换报告响应NAT-Response，以通知NAT设备该NAT事件上报成功或者失败。

当NAT事件上报没有成功完成的话，即上述的步骤701-704没有全部完成的话，可以根据情况重复进行上述步骤。

本实施例中，NAT设备可以主动上报检测到的NAT事件以使得接收到上报的NAT事件的RADIUS服务器，记录NAT事件，由此可以实现根据NAT后的IP地址查询NAT前的IP地址，实现IP地址溯源，以有效控制网络犯罪。

图8为本发明IP地址溯源方法实施例的流程图。如图8示，该IP地址溯源方法的具体流程可以包括如下步骤。本实施例中NEG位于认证、鉴权和计费服务器RADIUS服务器上。

步骤81，信息安全监控IS监控网络安全，以监控影响网络安全的事件。

步骤702，IS向因特网内容提供商ICP获取待溯源的IP地址，本发明实施例所述的待溯源的IP地址为网络地址转换后的IP地址，即待溯源的IP地址为NAT后的IP地址。

步骤803，IS向运营支撑系统OSS提交IP地址溯源请求。

步骤804，OSS向RADIUS服务器获取与所述IP地址溯源请求对应的NAT事件。

其中，步骤804获取与所述IP地址溯源请求对应的NAT事件可以包括如下三种情况，相应的步骤805RADIUS服务器向OSS返回NAT事件记录后者返回与所述IP地址溯源请求对应的NAT事件也可以包括如下805-1和805-2两种情况。具体的，步骤804和步骤805可以采用如下任一种情况进行处理。

情况一：

步骤804-1，OSS向NEG发送查询请求，所述查询请求包括所述待溯源的IP地址；

步骤805-1，接收所述RADIUS服务器根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件。本发明实施例中的查询请求的结构可以参考表4。

情况二：

步骤804-2，OSS向RADIUS服务器发送NAT事件记录查询请求；以获取RADIUS服务器上存储的NAT事件记录，该NAT事件记录可以包括全部的NAT事件。

步骤805-2，接收所述RADIUS服务器根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

情况三：

步骤804-3，根据所述待溯源的IP地址，从OSS自身存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件，其中所述存储的NAT事件记录是从RADIUS服务器获取的。

步骤806，OSS根据与IP地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点。

本步骤中，OSS根据获取的与待溯源的IP地址匹配的NAT事件，从与待溯源的IP地址匹配的NAT事件中获取到与待溯源的IP地址对应的NAT前的IP地址。RADIUS服务器返回的NAT事件或者NAT事件记录或者OSS自身存储的NAT事件的格式可以参考表1。所以本步骤中OSS根据待溯源的IP地址可以在上述与待溯源的IP地址匹配的NAT事件查找到与待溯源的IP地址对应的NAT前的IP地址。

步骤807，OSS提取与所述账号对应的用户身份信息。

步骤806和807的具体实现可以参考本发明的其他实施例的相关描述，这里不再赘述。

步骤808，OSS向IS返回溯源响应消息。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图9为本发明网络事件上报装置实施例的结构示意图。本发明的网络事件上报装置900可以是NAS或NAT设备。本实施例的网络事件上报装置900如图9所示，可以包括如下各个单元。

网络地址转换NAT事件检测单元901，用于检测网络地址转换NAT事件；

网络地址转换NAT事件上报单元902，用于将所述检测到的NAT事件上报。

进一步地，本实施例的网络事件上报装置还包括期限监控单元903，用于根据网络地址转换NAT事件检测单元901检测到的NAT事件，记录所述NAT事件上报的时间，定期或者间隔一定的时间指示所述网络地址转换NAT事件上报单元上报所述检测到的NAT事件。

本实施例中关于NAT事件的检测、NAT事件的上报及上报的时机可以参考本发明其他实施例的相关描述，这里不再赘述。

图10为本发明运营支撑系统OSS实施例的结构示意图。本发明的运营支撑系统OSS 1000如图10所示，可以包括如下各个单元。

第一接收单元1001，用于接收IP地址溯源请求，所述IP地址溯源请求携带待溯源的IP地址；本实施例的IP地址溯源请求可以参考本发明的其他实施例的相关描述。

获取单元1002，用于获取与所述IP地址溯源请求对应的网络地址转换NAT事件；其可以从NEG获取，也可以从RADIUS服务器获取，还可以从本实施例的存储单元1005获取。具体的获取过程可以参考本发明的其他实施例的相关描述。

分析单元1003，用于根据所述与IP地址地址溯源请求对应的NAT事件记录的NAT前的IP地址，从呼叫详细记录CDR中溯源账号和上网地点，提取与所述账号对应的身份信息；该步骤的具体实现过程可以参考本发明的其他实施例的相关描述。

发送单元1004，用于发送溯源响应消息，所述溯源响应消息携带与所述账号对应的身份信息。该步骤的具体实现可以参考本发明的其他实施例的相关描述。

所述获取单元1002进一步用于：向网络地址转换事件网关NEG发送查询请求，所述查询请求包括所述待溯源的IP地址，并接收所述NEG根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件；或者：向网络地址转换事件网关NEG发送NAT事件记录查询请求，并接收所述NEG根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。该步骤的具体实现可以参考本发明的其他实施例的相关描述。

所述获取单元1002进一步用于从从网络地址转换事件网关NEG获取NAT事件记录。该步骤的具体实现可以参考本发明的其他实施例的相关描述。

本发明的OSS进一步包括存储单元1005，其用于根据所述待溯源的IP地址，从存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。该步骤的具体实现可以参考本发明的其他实施例的相关描述。

图11为本发明认证、鉴权和计费服务器RADIUS服务器实施例的结构示意图。本发明的RADIUS服务器1100的结构如图11所示，可以包括如下各个单元。

计费请求接收单元1101，用于接收计费请求，所述计费请求携带网络接入系统NAS检测到的网络地址转换NAT事件，所述计费请求接收单元1101可以存储NAS上报的NAT事件。

网络地址转换NAT事件查询单元1102，用于接收查询请求，根据所述查询请求去计费请求接收单元1101查询与查询请求匹配的NAT事件，所述查询请求携带待溯源的IP地址。

第一响应单元1103，用于发送与所述查询请求对应的查询响应，所述查询响应包括与查询请求匹配的网络地址转换NAT事件。

本实施例的查询请求和查询响应等的具体结构及参数可以参考本发明的其他实施例的相关描述，这里不再赘述。

图12为本发明网络地址转换事件网关NEG实施例的结构示意图。本发明的NEG 1200的结构如图12所示，可以包括如下各个单元。

存储单元1201，用于存储NAS或NAT设备上报的NAT事件。

第二接收单元1202，用于接收网络接入系统NAS或网络地址转换NAT设备上报的NAT事件和查询请求，所述查询请求包括所述待溯源的IP地址；

第二响应单元1203，用于在存储单元1201中查找与所述待溯源的IP地址匹配的网络地址转换NAT事件，并发送与所述查询请求对应的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的网络地址转换NAT事件；或者用于在存储单元1201中查找与所述查询请求匹配的NAT事件记录并发送。

本发明NAT事件上报系统实施例一可以包括网络事件上报装置和NEG，其中网络事件上报装置可以为NAS或NAT设备。

本发明NAT事件上报系统实施例二可以包括网络事件上报装置和RADIUS服务器，其中NEG位于RADIUS服务器上，其中网络事件上报装置可以为NAS或NAT设备。

本发明IP地址溯源系统实施例一可以包括OSS和NEG。

后者本发明IP地址溯源系统实施例二可以包括OSS和RADIUS服务器，其中NEG位于RADIUS服务器上。

当然，本发明IP地址溯源系统实施例三可以包括OSS、NEG、NAS、NAT设备、IS和ICP。

本发明实施例的上述系统的具体工作工程可以参考本发明的其他实施例，这里不再一一介绍。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种网络事件上报方法，其特征在于，包括：

所述NAS或所述NAT设备上报所述检测到的NAT事件。

2.根据权利要求1所述的方法，其特征在于，

所述NAS或所述NAT设备发送网络地址转换报告上报所述检测到的NAT事件；

所述网络地址转换报告包括所述NAT事件的标识、网络地址转换的实现方式、网络地址转换前的IP地址和网络地址转换后的IP地址。

3.根据权利要求2所述的方法，其特征在于，所述网络地址转换的实现方式为网络地址端口转换NAPT，所述网络地址转换报告还包括网络地址转换前的端口和网络地址转换后的端口。

4.根据权利要求1或2所述的方法，其特征在于，

所述NAS或所述NAT定期或者间隔一定的时间上报所述检测到的NAT事件。

5.根据权利要求4所述的方法，其特征在于，

在所述NAS或所述NAT定期或者间隔一定的时间上报所述检测到的NAT事件时，每次上报一个或多个NAT事件。

6.根据权利要求5所述的方法，其特征在于，

当所述NAS或所述NAT设备发送网络地址转换报告上报所述检测到的NAT事件，且每次上报多个NAT事件时；

所述网络地址转换报告包括多个NAT事件的标识、每个NAT事件的网络地址转换的实现方式、每个NAT事件的网络地址转换前的IP地址和每个NAT事件的网络地址转换后的IP地址。

7.根据权利要求1所述的方法，其特征在于，所述NAS通过远程用户拨号认证服务RADIUS计费请求上报所述检测到的NAT事件；

所述RADIUS计费请求包括Framed-IP-Address、所述NAS的端口NAS-Port、网络地址转换的IP地址NAT-IP-Address和网络地址转换的端口NAT-Port。

8.根据权利要求7所述的方法，其特征在于，

在所述NAS定期或者间隔一定的时间通过所述RADIUS计费请求上报所述检测到的NAT事件，每次上报一个或多个NAT事件。

9.根据权利要求8所述的方法，其特征在于，

当所述NAS每次上报多个NAT事件时，所述RADIUS计费请求包括多个Framed-IP-Address、所述NAS的端口NAS-Port、网络地址转换的IP地址NAT-IP-Address和网络地址转换的端口NAT-Port。

10.一种IP地址溯源方法，其特征在于，包括：

获取与所述IP地址溯源请求对应的网络地址转换NAT事件；

11.根据权利要求10所述的方法，其特征在于，

获取与所述IP地址溯源请求对应的NAT事件包括：

向网络地址转换事件网关NEG发送查询请求，所述查询请求包括所述待溯源的IP地址；

接收所述NEG根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件。

12.根据权利要求10所述的方法，其特征在于，

获取与所述IP地址溯源请求对应的NAT事件包括：

向网络地址转换事件网关NEG发送NAT事件记录查询请求；

接收所述NEG根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

13.根据权利要求10所述的方法，其特征在于，

所述获取与所述IP地址溯源请求对应的NAT事件包括：

根据所述待溯源的IP地址，从存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件，其中所述存储的NAT事件记录是从网络地址转换事件网关NEG获取的。

14.根据权利要求10、11、12或13所述的方法，其特征在于，

所述IP地址溯源请求还携带与所述待溯源的IP地址对应的端口和/或过滤条件；

所述与所述IP地址溯源请求对应的NAT事件为与所述待溯源的IP地址和与所述待溯源的IP地址的端口匹配的NAT事件；或者为与所述待溯源的IP地址、与所述待溯源的IP地址对应的端口和过滤条件匹配的NAT事件。

15.根据权利要求11所述的方法，其特征在于，

所述查询响应包括的与所述待溯源的IP地址匹配的NAT事件进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

16.根据权利要求12所述的方法，其特征在于，

17.根据权利要求13所述的方法，其特征在于，

18.一种IP地址溯源方法，其特征在于，包括：

所述NEG查找并发送与所述查询请求对应的查询响应，所述查询响应包括NAT事件记录或者包括与所述待溯源的IP地址匹配的网络地址转换NAT事件。

19.根据权利要求18所述的方法，其特征在于，

接收所述查询请求之前，所述方法还包括：

接收网络接入系统NAS或网络地址转换NAT设备通过网络地址转换报告上报的NAT事件或接收网络接入系统NAS通过远程用户拨号认证服务RADIUS计费请求上报的NAT事件；

记录所述上报的NAT事件。

20.根据权利要求18所述的方法，其特征在于，

所述查询请求还包括与所述待溯源的IP地址对应的端口和/或过滤条件；

所述查询响应所包括的与所述待溯源的IP地址匹配的NAT事件还进一步与所述待溯源的IP地址对应的端口和/或过滤条件匹配。

21.一种网络事件上报装置，其特征在于，包括：

22.根据权利要求21所述的装置，其特征在于，包括

期限监控单元，用于检测所述NAT事件上报的时间，定期或者间隔一定的时间指示所述网络地址转换NAT事件上报单元上报所述检测到的NAT事件。

23.一种运营支撑系统OSS，其特征在于，包括：

24.根据权利要求23所述的系统，其特征在于，

所述获取单元进一步用于：

向网络地址转换事件网关NEG发送查询请求，所述查询请求包括所述待溯源的IP地址，并接收所述NEG根据所述查询请求返回的查询响应，所述查询响应包括与所述待溯源的IP地址匹配的NAT事件；

或者

向网络地址转换事件网关NEG发送NAT事件记录查询请求，并接收所述NEG根据所述NAT事件记录查询请求返回的NAT事件记录，从所述返回的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

25.根据权利要求23所述的系统，其特征在于，包括：

所述获取单元进一步用于从从网络地址转换事件网关NEG获取NAT事件记录；

存储单元，用于根据所述待溯源的IP地址，从存储的NAT事件记录中获取与所述待溯源的IP地址匹配的NAT事件。

26.一种远程用户拨号认证RADIUS服务器，其特征在于，包括：

计费请求接收单元，用于接收计费请求，所述计费请求携带网络接入系统NAS检测到的网络地址转换NAT事件，所述计费请求接收单元1101可以存储NAS上报的NAT事件。

27.根据权利要求26所述的系统，其特征在于，包括：

网络地址转换NAT事件查询单元，用于接收查询请求，根据所述查询请求去计费请求接收单元1101查询与查询请求匹配的NAT事件，所述查询请求携带待溯源的IP地址；

第一响应单元，用于发送与所述查询请求对应的查询响应，所述查询响应包括与查询请求匹配的网络地址转换NAT事件。

28.一种网络地址转换事件网关NEG，其特征在于，包括：

29.根据权利要求28所述的网络地址转换事件网关NEG，其特征在于，包括：

所述接收单元进一步用于接收网络接入系统NAS或网络地址转换NAT设备上报的NAT事件；

存储单元，用于存储所述上报的NAT事件。