CN102523263A

CN102523263A - 共享接入主机数量监测方法、设备及系统

Info

Publication number: CN102523263A
Application number: CN2011104020674A
Authority: CN
Inventors: 钟秀芳; 赵怀罡; 王健全; 李树明
Original assignee: China United Network Communications Group Co Ltd
Current assignee: China United Network Communications Group Co Ltd
Priority date: 2011-12-06
Filing date: 2011-12-06
Publication date: 2012-06-27
Anticipated expiration: 2031-12-06
Also published as: CN102523263B

Abstract

本发明提供一种共享主机接入数量监测方法、设备及系统。该方法包括：获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值，其中所述第一网络数据包和所述第二网络数据包的源端口相同；根据第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差；对待监测IP地址所包括的全部源端口的时钟晶振误差进行合并处理，将在预设误差范围内的、对应于不同源端口的时钟晶振误差合并为一个时钟晶振误差；根据经合并处理后的所述待监测IP地址对应的时钟晶振误差数量确定共享接入主机数量。根据本发明的共享主机接入数量监测方法、设备及系统，实现了高准确性地监测共享主机接入数量。

Description

共享接入主机数量监测方法、设备及系统

技术领域

本发明涉及网络地址转换技术，尤其涉及一种共享接入主机数量监测方法、设备及系统，属于通信领域。

背景技术

随着接入互联网(Internet)的用户数量的不断增加，互联网协议第四版(IPv4)的地址资源极为紧缺，网络地址转换(Network Address Translation，NAT)技术的出现很好地解决了这个问题。NAT的实现方式有多种，目前最常见的是端口地址转换(Port Address Translation，PAT)，通过改变外出数据包的源端口和源互联网协议(Internet Protocol，IP)地址并进行端口和IP转换，使内部网络的所有主机均可通过共享一个合法的外部IP地址实现对互联网的访问。NAT技术不仅很好的解决了IPv4紧缺的问题，还可隐藏网络内部的主机拓扑结构，有效避免来自互联网的攻击，所以得到了极为广泛的应用。在对应用NAT技术的网络进行管理时，需检测NAT共享接入的主机数量。

目前，通常利用时间戳算法进行共享接入的主机数量检测。时间戳是传输控制协议(Transmission Control Protocol，TCP)头部的一个可选项。时间戳选项使发送方在每个报文段中放置一个4字节的时间戳值，该值与主机的开机时间相关，是以一定的频率如100HZ或1000HZ来递增。时间戳算法正是利用各主机开机时间不同来进行识别。在检测过程中，检测设备首先获取到被监测主机IP的TCP时间戳选项t_i，同时记录自身当前的时间戳值T_i，计算两者差值Δt_i＝(T_i-t_i)。如果两次得出的差值Δt相同或在允许的误差范围内，则认为是同一台主机；否则认为是不同主机。

利用上述时间戳算法进行共享接入的主机数量检测时，由于被监测主机断电或因故障重启后，需要重新触发TCP数据包里的时间戳选项，此时检测设备重新截获被监测主机的时间戳进行计算，这时的时间戳差值与重启前的差值不同，则检测设备认为是另一台主机，即出现了同台主机重复上报的情况，导致检测的准确性较低。

发明内容

针对上述缺陷，本发明提供一种共享接入主机数量监测方法、设备及系统，以实现高准确性地监测共享接入主机的数量。

根据本发明的一个方面，提供一种共享接入主机数量监测方法，包括：

获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值，其中所述第一网络数据包和所述第二网络数据包的源端口相同；

根据所述第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差；

对所述待监测IP地址所包括的全部源端口的时钟晶振误差进行合并处理，将在预设误差范围内的、对应于不同源端口的时钟晶振误差合并为一个时钟晶振误差；

根据经合并处理后的所述待监测IP地址对应的时钟晶振误差数量确定共享接入主机数量。

根据本发明的另一个方面，还提供一种共享接入主机数量监测设备，包括：

时间戳值获取模块，用于获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值，其中所述第一网络数据包和所述第二网络数据包的源端口相同；

时钟晶振误差生成模块，用于根据所述第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差；

合并处理模块，用于对所述待监测IP地址所包括的全部源端口的时钟晶振误差进行合并处理，将在预设误差范围内的、对应于不同源端口的时钟晶振误差合并为一个时钟晶振误差；

主机数量统计模块，用于根据经合并处理后的所述待监测IP地址对应的时钟晶振误差数量确定共享接入主机数量。

根据本发明的又一方面，还提供一种网络地址转换系统，包括网络地址转换设备、通过网络地址转换设备接入互联网的主机以及本发明的的共享接入主机数量监测设备，所述共享接入主机数量监测设备连接在所述网络地址转换设备与互联网之间。

根据本发明的共享接入主机数量监测方法、设备及系统，由于时钟晶振误差是由主机的时钟晶振频率决定的，是主机的物理特性，不同主机的时钟晶振误差一定不同，并且同台主机重启后的时钟晶振误差不发生变化，因此通过检测待监测IP地址下不同的时钟晶振误差的数量即可准确获知该IP地址所对应的共享接入主机数量，克服因主机重启而对同台主机重复计数时导致的监测到的共享接入主机数量不准确的缺陷。

附图说明

图1为用于实现本发明共享接入主机数量监测方法的系统架构图。

图2为本发明共享接入主机数量监测方法的流程示意图。

图3为触发时间戳的信令图。

图4为监测设备对共享接入主机数量进行监测的具体流程图。

图5为存储单元的存储内容示意图。

图6为本发明共享接入主机数量监测设备的结构示意图。

具体实施方式

图1为用于实现本发明共享接入主机数量监测方法的系统架构图。如图1所示，该系统架构包括多台主机、网络地址转换设备、监测设备和互联网。其中，主机以NAT共享接入的方式访问互联网，用于向互联网发送握手信息，接收带有时间戳的反馈握手信息，响应该反馈握手信息向互联网再次发送带时间戳的握手信息，并向互联网发送带时间戳的数据包。网络地址转换设备带有NAT功能，上行方向将各台主机使用的私有地址和源端口转换为对外的源端口及统一的IP地址，下行方向反之。监测设备连接在网络地址转换设备与互联网之间，用于执行本发明的共享接入主机数量监测方法。下面从监测设备的角度对本发明共享接入主机数量监测方法进行说明。

图2为本发明共享接入主机数量监测方法的流程示意图。如图2所示，该共享接入主机数量监测方法包括：

步骤S201，获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值，其中所述第一网络数据包和所述第二网络数据包的源端口相同；

步骤S202，根据所述第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差；

步骤S203，对所述待监测IP地址所包括的全部源端口的时钟晶振误差进行合并处理，将在预设误差范围内的、对应于不同源端口的时钟晶振误差合并为一个时钟晶振误差；

步骤S204，根据经合并处理后的所述待监测IP地址对应的时钟晶振误差数量确定共享接入主机数量。

具体地，在同一IP地址下，网络数据包中的源端口与发送该网络数据包的主机及该网络数据包对应的应用类型相对应，即源端口相同的网络数据包一定是由同一主机发起的同一应用，源端口不同的网络数据包可能是由同一主机发起的不同应用或由不同主机发起的不同应用，所以首先按照以下方式针对该IP地址下各源端口所对应的时钟晶振误差进行计算。

监测设备获取经各源端口发送的两个网络数据包，即第一网络数据包和第二网络数据包，通过解析获取第一网络数据包的第一时间戳值和第二网络数据包的第二时间戳值。而且，监测设备在接收到每个网络数据包时还根据自身时间为各网络数据包加上标准时间戳。更为具体地，例如第一时间戳值为t_i，第二时间戳值为t_i+1。例如第一网络数据包对应的第一标准时间戳值为T_i，第二网络数据包对应的第二标准时间戳值为T_i+1，则根据t_i和T_i生成第一时间戳差值Δt_i＝(T_i-t_i)，根据t_i+1和T_i+1生成第二时间戳差值Δt_i+1＝(T_i+1-t_i+1)，并通过下述公式1生成相应的时钟晶振误差ε_j：

ϵ_{j} = \frac{{Δt}_{i + 1} - Δ t_{i}}{T_{i + 1} - T_{i}}

公式1

按照上述公式1即可生成与源端口对应的时钟晶振误差。分别针对待监测IP地址下的各源端口执行上述步骤，即可获取到IP地址下的全部源端口的时钟晶振误差。由于不同的源端口可能为同一主机发起的不同应用，所以还需根据各源端口的时钟晶振误差的数值进行合并处理，即将相同的、或在容忍误差内的时钟晶振误差合并为同一个时钟晶振误差。经合并处理后，待监测IP地址下的时钟晶振误差的数量即为待监测IP地址所对应的共享接入主机数量。

根据上述实施例的共享接入主机数量监测方法，由于时钟晶振误差是由主机的时钟晶振频率决定的，是主机的物理特性，不同主机的时钟晶振误差一定不同，并且同台主机重启后的时钟晶振误差不发生变化，因此通过检测待监测IP地址下不同的时钟晶振误差的数量即可准确获知该IP地址所对应的共享接入主机数量，克服因主机重启而对同台主机重复计数时导致的监测到的共享接入主机数量不准确的缺陷。

进一步地，在上述实施例的共享接入主机数量监测方法中，在获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值之前还包括：

触发时间戳，以使所述待监测IP地址发送的网络数据包携带有时间戳值。

图3为触发时间戳的信令图。如图3所示，触发时间戳包括以下流程：

步骤S301，主机向目的方(互联网)发送同步(Synchronize，SYN)包，监测设备作为主机与目的方之间的直路设备，将SYN包正常转发给目的方；

步骤S302，目的方接收到SYN包后，向主机发送反馈信息，包括SYN包和回应包(ACK包)；该反馈信息到达监测设备时，监测设备在信息中加上时间戳，然后再将带有时间戳的反馈信息转发至主机；

步骤S303，主机接收到带有时间戳的反馈信息后，向目的方发送带时间戳的回应包，回应包到达监测设备时，监测设备获取时间戳值并转发至目的方；

步骤S304，完成以上三次握手后，主机开始向目的方传输数据，监测设备正常转发带时间戳的数据包。

虽然在上述实施例的共享接入主机数量监测方法中，以监测设备作为直路设备为例对触发时间戳的流程进行说明，但本领域的技术人员能够获知，监测设备也可作为旁路设备来实现触发时间戳，即：在旁路方式下，可根据检测到的SYN包假冒目的方，回复携带时间戳的回应包来触发时间戳。

进一步地，在上述实施例的共享接入主机数量监测方法中，获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值具体包括：

获取并解析网络数据包，以获取所述网络数据包所携带的时间戳值、源IP地址和源端口；

若判断获知所述源IP地址未包含在待监测IP地址列表中，则将所述源IP地址添加至待监测IP地址列表，建立与所述源IP地址对应的源端口列表，将所述源端口添加至所述源端口列表中，并将所述时间戳值记录为与所述源端口对应的第一时间戳值；

若判断获知所述源IP地址已包含在待监测IP地址列表中，且判断获知所述源端口未包含在与所述源IP地址对应的源端口列表中，则将所述源端口添加至所述源端口列表中，并将所述时间戳值记录为与所述源端口对应的第一时间戳值；

若判断获知所述源IP地址已包含在待监测IP地址列表中，且判断获知所述源端口已包含在与所述源IP地址对应的源端口列表中，则判断是否已生成与所述源端口对应的时钟晶振误差，若否，将所述时间戳值记录为与所述源端口对应的第二时间戳值。

图4为监测设备对共享接入主机数量进行监测的具体流程图。如图4所示，包括以下步骤：

步骤S401，监测设备触发时间戳；

步骤S402，监测设备获取网络数据包，并对网络数据包进行解析，以获取网络数据包携带的时间戳值、源IP地址和源端口；

步骤S403，将源IP地址与存储单元中的IP地址相比较；

具体地，监测设备具有存储单元，该存储单元中预置有待监测IP地址列表，初始时，该待监测IP地址列表为空或根据监测需要包括有一个或多个待监测IP地址。

步骤S404，判断存储单元中是否存在与源IP地址相同的IP地址；若是，则执行步骤S406，若否，则执行步骤S405；

步骤S405，在存储单元中新建此源IP地址和源端口，并在存储单元中存入与该源端口对应的第一组时间值，并将包计数位加1；

具体地，图5为存储单元的存储内容示意图。如图5所示，该存储单元中存储包括待监测IP地址的待监测IP地址列表、对应于待监测IP地址列表中各待监测IP的源端口，以及对应于各源端口的信息项。更为具体地，对应于各源端口的信息项包括时钟晶振误差ε、第一组时间值(包括第一时间戳值t_i、第一标准时间戳值T_i和第一时间戳差值Δt_i)、第二组时间值(包括第二时间戳值t_i+1、第二标准时间戳值T_i+1和第二时间戳差值Δt_i+1)、标志位F和包计数位C。其中，标志位用于表示是否已进行过时钟晶振误差计算，初始值为0，为0表示未计算过时钟晶振误差、且当前包计数位少于规定值；为1表示已经计算过时钟晶振误差、且包计数位大于或等于规定值，无需再次计算。由于当第一组时间值和第二组时间值为间隔一定数据包的时间值时，所计算的时钟晶振误差更为准确，所以还设置用于表示已接收的、经由该源端口发送的数据包的数量的包计数位，并设置一个规定值，当包计数位不小于“规定值-1”时，表示第二组时间值与第一组时间值之间相隔的数据包的数量符合预定标准。

步骤S406，将获取到的源端口与存储单元中此IP地址下的源端口相比较；

步骤S407，判断是否存在相同的源端口；若是，则执行步骤S409，若否，则执行步骤S408；

步骤S408，在存储单元中此IP地址下新建该源端口，在存储单元中与该源端口对应的信息项中加入第一组时间值，并将包计数位加1；

步骤S409，查看存储单元中该源端口的信息项中的标志位；

步骤S410，判断标志位是否为1；若是，则执行步骤S411，若否，则执行步骤S412；

步骤S411，将包计数位加1；

步骤S412，查看包计数位；

步骤S413，判断包计数位是否小于“规定值-1”；若是，则执行步骤S411，若否，则执行步骤S414；

步骤S414，在存储单元中与该源端口对应的信息项中加入第二组时间值，将包计数位加1，根据第一组时间值和第二组时间值计算时钟晶振误差并填入信息项中，并将标志位置1；

步骤S415，归并源端口；

具体地，因为不同主机的时钟晶振误差值不同，所以对于同一IP地址下不同源端口的应用，只要时钟晶振误差值相同或在容忍误差内，则可归并为同一台主机。

步骤S416，上报主机数量。

具体地，经过源端口合并，此IP地址下不同时钟晶振误差值的个数即为共享接入主机的数量。监测设备例如利用包触发方式上报共享接入主机数量，即监测设备每进行一个时钟晶振误差计算，就实时上报主机数量，其每次仅上报对应一个IP地址的主机数量。此外，监测设备还可利用时间触发的方式上报共享接入主机数量，即监测设备每计算一个时钟晶振误差后，不实时上报，而是经过预定的时间段后再上报，这样每次可上报对应全部监测到的IP地址的共享接入主机数量。

进一步地，在上述实施例的共享接入主机数量监测方法中，所述获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值具体包括：

获取与所述待监测IP地址的各源端口对应的至少两个时间对，各所述时间对包括第一时间戳值和第二时间戳值；

相应地，所述根据所述第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差具体包括：

分别根据各时间对生成与所述时间对对应的时钟晶振误差；

通过计算所述源端口的所述至少两个时间对所对应的时钟晶振误差的均值，获取与所述源端口对应的时钟晶振误差。

根据上述实施例的共享接入主机数量监测方法，能够进一步提高监测精度。

图6为本发明共享接入主机数量监测设备的结构示意图。如图6所示，该共享接入主机数量监测设备包括：

时间戳值获取模块61，用于获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值，其中所述第一网络数据包和所述第二网络数据包的源端口相同；

时钟晶振误差生成模块62，用于根据所述第一时间戳值和所述第二时间戳值生成与所述源端口对应的时钟晶振误差；

合并处理模块63，用于对所述待监测IP地址所包括的全部源端口的时钟晶振误差进行合并处理，将在预设误差范围内的、对应于不同源端口的时钟晶振误差合并为一个时钟晶振误差；

主机数量统计模块64，用于根据经合并处理后的所述待监测IP地址对应的时钟晶振误差数量确定共享接入主机数量。

上述实施例的共享接入主机数量监测设备监测共享接入主机数量的流程与前述实施例的共享接入主机数量监测方法相同，故此处不再赘述。

根据上述实施例的共享接入主机数量监测设备，由于时钟晶振误差是由主机的时钟晶振频率决定的，是主机的物理特性，不同主机的时钟晶振误差一定不同，并且同台主机重启后的时钟晶振误差不发生变化，因此通过检测待监测IP地址下不同的时钟晶振误差的数量即可准确获知该IP地址所对应的共享接入主机数量，克服因主机重启而对同台主机重复计数时导致的监测到的共享接入主机数量不准确的缺陷。

进一步地，在上述实施例的共享接入主机数量监测设备中，还包括：

触发时间戳模块，用于触发时间戳，以使所述待监测IP地址发送的网络数据包携带有时间戳值。

进一步地，在上述实施例的共享接入主机数量监测设备中，时间戳值获取模块包括：

数据包解析单元，用于获取并解析网络数据包，以获取所述网络数据包所携带的时间戳值、源IP地址和源端口；

第一获取单元，用于若判断获知所述源IP地址未包含在待监测IP地址列表中，则将所述源IP地址添加至待监测IP地址列表，建立与所述源IP地址对应的源端口列表，将所述源端口添加至所述源端口列表中，并将所述时间戳值记录为与所述源端口对应的第一时间戳值；

第二获取单元，用于若判断获知所述源IP地址已包含在待监测IP地址列表中，且判断获知所述源端口未包含在与所述源IP地址对应的源端口列表中，则将所述源端口添加至所述源端口列表中，并将所述时间戳值记录为与所述源端口对应的第一时间戳值；

第三获取单元，用于若判断获知所述源IP地址已包含在待监测IP地址列表中，且判断获知所述源端口已包含在与所述源IP地址对应的源端口列表中，则判断是否已生成与所述源端口对应的时钟晶振误差，若否，将所述时间戳值记录为与所述源端口对应的第二时间戳值。

进一步地，在上述实施例的共享接入主机数量监测设备中，所述第一获取单元和所述第二获取单元还用于将与所述源端口对应的包计数位加1；所述第三获取单元还用于判断与所述源端口对应的包计数位是否大于预设值减1，若是，则将所述时间戳值记录为与所述源端口对应的第二时间戳值；若否，则将与所述源端口对应的包计数位加1。

根据上述实施例的共享接入主机数量监测设备，由于当第一时间戳值和第二时间戳值为间隔一定数据包的时间值时，所计算的时钟晶振误差更为准确，所以通过设置用于表示已接收的、经由该源端口发送的数据包的数量的包计数位，并设置一个规定值，当包计数位不小于“规定值-1”时，表示第二组时间值与第一组时间值之间相隔的数据包的数量符合预定标准，从而进一步提高时钟晶振误差的精度。

进一步地，在上述实施例的共享接入主机数量监测设备中，所述时间戳值获取模块还用于获取与所述待监测IP地址的各源端口对应的至少两个时间对，各所述时间对包括第一时间戳值和第二时间戳值；所述时钟晶振误差生成模块还用于分别根据各时间对生成与所述时间对对应的时钟晶振误差；并通过计算所述源端口的所述至少两个时间对所对应的时钟晶振误差的均值，获取与所述源端口对应的时钟晶振误差。

根据上述实施例的共享接入主机数量监测设备，能够进一步提高监测精度。

本发明还提供一种网络地址转换系统，包括网络地址转换设备、通过网络地址转换设备接入互联网的主机以及上述任一实施例的共享接入主机数量监测设备，所述共享接入主机数量监测设备连接在所述网络地址转换设备与互联网之间。

根据上述实施例的网络地址转换系统，能够在提供网络地址转换功能的同时，实现对共享主机接入数量的精确监测。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

1.一种共享接入主机数量监测方法，其特征在于，包括：

2.根据权利要求1所述的共享接入主机数量监测方法，其特征在于，在获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值之前还包括：

3.根据权利要求1所述的共享接入主机数量监测方法，其特征在于，获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值具体包括：

4.根据权利要求3所述的共享接入主机数量监测方法，其特征在于，将所述时间戳值记录为与所述源端口对应的第一时间戳值之后还包括：

将与所述源端口对应的包计数位加1；

相应地，将所述时间戳值记录为与所述源端口对应的第二时间戳值具体包括：

判断与所述源端口对应的包计数位是否大于预设值减1，若是，则将所述时间戳值记录为与所述源端口对应的第二时间戳值；若否，则将与所述源端口对应的包计数位加1。

5.根据权利要求1至4任一所述的共享接入主机数量监测方法，其特征在于，所述获取待监测IP地址发送的第一网络数据包所携带的第一时间戳值和第二网络数据包所携带的第二时间戳值具体包括：

分别根据各时间对生成与所述时间对对应的时钟晶振误差；

6.一种共享接入主机数量监测设备，其特征在于，包括：

7.根据权利要求6所述的共享接入主机数量监测设备，其特征在于，还包括：

8.根据权利要求6所述的共享接入主机数量监测设备，其特征在于，所述时间戳值获取模块包括：

9.根据权利要求8所述的共享接入主机数量监测设备，其特征在于，所述第一获取单元和所述第二获取单元还用于将与所述源端口对应的包计数位加1；所述第三获取单元还用于判断与所述源端口对应的包计数位是否大于预设值减1，若是，则将所述时间戳值记录为与所述源端口对应的第二时间戳值；若否，则将与所述源端口对应的包计数位加1。

10.根据权利要求6至9任一所述的共享接入主机数量监测设备，其特征在于，所述时间戳值获取模块还用于获取与所述待监测IP地址的各源端口对应的至少两个时间对，各所述时间对包括第一时间戳值和第二时间戳值；所述时钟晶振误差生成模块还用于分别根据各时间对生成与所述时间对对应的时钟晶振误差；并通过计算所述源端口的所述至少两个时间对所对应的时钟晶振误差的均值，获取与所述源端口对应的时钟晶振误差。

11.一种网络地址转换系统，其特征在于，包括网络地址转换设备、通过网络地址转换设备接入互联网的主机以及如权利要求6至10中任一所述的共享接入主机数量监测设备，所述共享接入主机数量监测设备连接在所述网络地址转换设备与互联网之间。