CN102769679B

CN102769679B - Nat后的ip地址溯源方法及装置

Info

Publication number: CN102769679B
Application number: CN201210271491.4A
Authority: CN
Inventors: 张兴彦; 李海柳
Original assignee: Sangfor Network Technology Shenzhen Co Ltd
Current assignee: Sangfor Technologies Co Ltd
Priority date: 2012-08-01
Filing date: 2012-08-01
Publication date: 2015-06-03
Anticipated expiration: 2032-08-01
Also published as: CN102769679A

Abstract

本发明涉及一种NAT后的IP地址溯源方法及装置，包括：获取数据包，提取数据包在NAT转换后的对接IP及对接端口；在预设的NAT映射表中查找与所述对接IP及对接端口对应的映射记录；根据所述映射记录获取数据包的源IP地址。此外，还包括一种NAT后的IP地址溯源装置。使用上述NAT后的IP地址溯源方法的设备以及上述NAT后的IP地址溯源装置可以降低系统开销。

Description

NAT后的IP地址溯源方法及装置

技术领域

本发明涉及网络技术领域，特别是涉及一种NAT后的IP地址溯源方法及装置。

背景技术

NAT（Network Address Translation，网络地址转换）是将IP数据包头中的源IP地址及源端口转换为不同的对接IP地址及对接端口的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。NAT设备通常设置于企业或组织的内网与外部互联网的接口处，从而节省IP资源。

而随着网络安全意识的提高，企业或组织对内网用户通过互联网外发信息的监管需求也越来越大，需要能详尽记录内网用户的上网轨迹，做到网络行为有据可查，满足组织对网络行为记录的相关要求、规避可能的法规风险，因此，需要在NAT之后对IP地址溯源，从而获取内网用户的外网访问记录。

传统技术中NAT后的IP地址溯源方法通常通过定期分析NAT日志来进行IP地址溯源，NAT设备在进行地址转换时会产生NAT日志，其中记录有数据包在进行NAT转换前后的IP、端口以及转换时间，通过定期分析NAT日志即可得到源IP地址对应的网络访问记录。

然而，传统技术中定期分析NAT日志的方法需要将NAT日志存储，会消耗大量的存储资源，且查询大量NAT日志也会消耗CPU资源，因此传统技术中的NAT后的IP地址溯源方法具有较高的系统开销。

发明内容

基于此，有必要提供一种能降低系统开销的NAT后的IP地址溯源方法。

一种NAT后的IP地址溯源方法，包括：

获取数据包，提取数据包在NAT转换后的对接IP及对接端口；

在预设的NAT映射表中查找与所述对接IP及对接端口对应的映射记录；

根据所述映射记录获取数据包的源IP地址。

在其中一个实施例中，所述方法还包括：

实时获取NAT日志；

根据所述NAT日志更新NAT映射表。

在其中一个实施例中，所述根据所述NAT日志更新NAT映射表的步骤为：

根据所述NAT日志提取源IP地址及源端口、对应的对接IP地址及对接端口并生成对应的映射记录，所述NAT映射表中包括所述对接IP地址及对接端口与所述映射记录的对应关系；

判断所述NAT映射表中是否存在所述对接IP地址及对接端口，若是，则更新所述对接IP地址及对接端口对应的映射记录的时间戳；否则，在所述NAT映射表中对应添加所述对接IP地址及对接端口和与之对应的映射记录。

在其中一个实施例中，所述方法还包括：

检测所述NAT映射表中的对接IP地址及对接端口对应的连接的状态信息；

在所述连接的状态信息为断开或超时时，在所述NAT映射表中删除所述对接IP地址及对接端口和对应的映射记录。

在其中一个实施例中，所述根据所述映射记录获取数据包的源IP地址的步骤之后还包括：

根据所述映射记录生成与所述源IP地址对应的网络访问日志。

此外，还有必要提供一种能降低部署费用的NAT后的IP地址溯源装置。

一种NAT后的IP地址溯源装置，包括：

数据包获取模块，用于获取数据包，提取数据包在NAT转换后的对接IP及对接端口；

映射记录查找模块，用于在预设的NAT映射表中查找与所述对接IP及对接端口对应的映射记录；

源IP地址获取模块，用于根据所述映射记录获取数据包的源IP地址。

在其中一个实施例中，还包括NAT映射表更新模块，用于实时获取NAT日志，根据所述NAT日志更新NAT映射表。

在其中一个实施例中，所述NAT映射表更新模块还用于根据所述NAT日志提取源IP地址及源端口、对应的对接IP地址及对接端口并生成对应的映射记录，所述NAT映射表中包括所述对接IP地址及对接端口与所述映射记录的对应关系；

在其中一个实施例中，所述NAT映射表更新模块还用于检测所述NAT映射表中的对接IP地址及对接端口对应的连接的状态信息，在所述连接的状态信息为断开或超时时，在所述NAT映射表中删除所述对接IP地址及对接端口和对应的映射记录。

在其中一个实施例中，还包括访问日志模块，用于根据所述映射记录生成与所述源IP地址对应的网络访问日志。

上述NAT后的IP地址溯源方法和装置，通过分析数据包的对接IP和对接端口实时进行反查对应的源IP，使得不用耗费大量的存储空间存储NAT日志，从而节省了系统开销。

附图说明

图1为一个实施例中NAT后的IP地址溯源方法的流程图；

图2为一个实施例中NAT后的IP地址溯源装置的结构示意图;

图3为另一个实施例中NAT后的IP地址溯源装置的结构示意图。

具体实施方式

在一个实施例中，如图1所示，一种NAT后的IP地址溯源方法，包括：

步骤S102，获取数据包，提取数据包在NAT转换后的对接IP及对接端口。

数据包为经过NAT转换后的数据包，通常NAT转换的过程可以发生在内网与外部互联网接口处的路由器中。数据包在进行NAT转换前，包头部分内包含有发送数据包的终端的源IP地址以及路由器接收该数据包的源端口。路由器对数据包进行NAT转换后，将数据包转发至外网地址。此时数据包的包头部分包含了NAT转换后的对接IP及对接端口，即路由器（NAT转换装置）的外网IP和端口。

步骤S104，在预设的NAT映射表中查找与对接IP及对接端口对应的映射记录。

在一个实施例中，NAT后的IP地址溯源方法还包括：实时获取NAT日志，根据NAT日志更新NAT映射表。

NAT日志为路由器（NAT转换装置）在转发前对数据包进行NAT转换的转换记录。NAT日志中包含有源IP地址及源端口与对接IP地址及对接端口的映射关系、NAT转换时的时间戳（即完成NAT转换的时刻）。

在本实施例中，NAT映射表中包括对接IP地址及对接端口与映射记录的对应关系。

根据NAT日志更新NAT映射表的步骤可具体为：根据NAT日志提取源IP地址及源端口、对应的对接IP地址及对接端口并生成对应的映射记录，判断NAT映射表中是否存在对接IP地址及对接端口，若是，则更新对接IP地址及对接端口对应的映射记录的时间戳；否则，在NAT映射表中对应添加对接IP地址及对接端口和与之对应的映射记录。

进一步的，还可检测NAT映射表中的对接IP地址及对接端口对应的连接的状态信息；在连接的状态信息为断开或超时时，在NAT映射表中删除对接IP地址及对接端口和对应的映射记录。

也就是说NAT映射表中记录了内部网络中与外网正处于连接状态，且可与外网终端进行数据通信的内网终端的源IP地址及源端口，以及该源IP地址及源端口映射的NAT转换后的对接IP地址及对接端口。

当有新的内网终端与外网终端建立连接时（建立连接需要发送数据包），自动在NAT映射表中新建映射记录，映射记录中包含该连接对应的源IP地址及源端口与对接IP地址及对接端口的映射关系、时间戳；当内网终端向外网终端发送数据包时，更新该内网终端对应的映射记录的时间戳；当内网终端与外网终端连接中断或超时时，则删除该连接对应的映射记录。

在一个实施例中，NAT映射表以键值表的形式存储，NAT映射表以对接IP地址及端口作为键（key），以节点对象作为值（value），键和值对应成为映射记录。节点对象为存储实时解析NAT日志得到的与对接IP及对接端口对应的源IP及源端口、时间戳的数据结构。

进一步的，还可通过节点对象池来更新NAT映射表，即创建、更新和删除映射记录。当在NAT映射表中增加一条映射记录时，可在节点对象池中获取一个节点对象，并将该映射记录的内容添加到该节点对象中；当删除一条映射记录时，可获取该映射记录中的节点对象，将其内包含的内容清除后返回节点对象池。

步骤S106，根据映射记录获取数据包的源IP地址。

映射记录中包含了与对接IP和对接端口对应的源IP地址，可通过解析映射记录获取源IP地址。具体解析过程可根据实际产品中定义的映射记录的具体格式进行解析。

在一个实施例中，根据映射记录获取数据包的源IP地址的步骤之后还可根据映射记录生成与源IP地址对应的网络访问日志。

在本实施例中，映射记录中还包括与该源IP地址对应的时间戳和访问信息，可根据时间戳和访问信息生成对应的网络访问日志。访问信息可以为与该数据包对应的数据内容的关键字、外网访问地址或域名、指令名称等。

例如，生成的网络访问日志中可记录该数据包的源IP地址、发出时刻、访问的网站的域名、使用的浏览器的版本、操作系统版本、协议类型等。

上述实施例中的方法，通过分析数据包的对接IP和对接端口实时进行反查对应的源IP，使得不用耗费大量的存储空间存储NAT日志，从而节省了系统开销；同时，因为是实时查找源IP，解决了公共网络IP地址复用导致的无法精确定位源IP的问题。

在一个实施例中，如图2所示，一种NAT后的IP地址溯源装置，包括数据包获取模块102、映射记录查找模块104、源IP地址获取模块106，其中：

数据包获取模块102，用于获取数据包，提取数据包在NAT转换后的对接IP及对接端口。

映射记录查找模块104，用于在预设的NAT映射表中查找与对接IP及对接端口对应的映射记录。

在一个实施例中，如图3所示，NAT后的IP地址溯源装置还包括NAT映射表更新模块108，用于实时获取NAT日志，根据NAT日志更新NAT映射表。

NAT映射表更新模块108还用于根据NAT日志提取源IP地址及源端口、对应的对接IP地址及对接端口并生成对应的映射记录，判断NAT映射表中是否存在对接IP地址及对接端口，若是，则更新对接IP地址及对接端口对应的映射记录的时间戳；否则，在NAT映射表中对应添加对接IP地址及对接端口和与之对应的映射记录。

进一步的，NAT映射表更新模块108还可用于检测NAT映射表中的对接IP地址及对接端口对应的连接的状态信息，在连接的状态信息为断开或超时时，在NAT映射表中删除对接IP地址及对接端口和对应的映射记录。

进一步的，NAT映射表更新模块108还可用于通过节点对象池来更新NAT映射表，即创建、更新和删除映射记录。当在NAT映射表中增加一条映射记录时，可在节点对象池中获取一个节点对象，并将该映射记录的内容添加到该节点对象中；当删除一条映射记录时，可获取该映射记录中的节点对象，将其内包含的内容清除后返回节点对象池。

源IP地址获取模块106，用于根据映射记录获取数据包的源IP地址。

在一个实施例中，如图3所示，NAT后的IP地址溯源装置还包括访问日志模块110，用于根据映射记录生成与源IP地址对应的网络访问日志。

上述NAT后的IP地址溯源装置，通过分析数据包的对接IP和对接端口实时进行反查对应的源IP，使得不用耗费大量的存储空间存储NAT日志，从而节省了系统开销；同时，因为是实时查找源IP，解决了公共网络IP地址复用导致的无法精确定位源IP的问题。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims

1.一种NAT后的IP地址溯源方法，包括：

获取数据包，提取数据包在NAT转换后的对接IP及对接端口，所述数据包在进行NAT转换前，包头部分内包含有发送数据包的终端的源IP地址以及路由器接收该数据包的源端口；

实时获取NAT日志，所述NAT日志为路由器在转发前对数据包进行NAT转换的转换记录；

根据所述NAT日志更新NAT映射表；

根据所述映射记录获取数据包的源IP地址；

根据所述映射记录生成与所述源IP地址对应的网络访问日志，所述映射记录中还包括与该源IP地址对应的时间戳和访问信息，所述访问信息为与所述数据包对应的数据内容的关键字、外网访问地址或域名、指令名称。

2.根据权利要求1所述的NAT后的IP地址溯源方法，其特征在于，所述根据所述NAT日志更新NAT映射表的步骤为：

3.根据权利要求2所述的NAT后的IP地址溯源方法，其特征在于，所述方法还包括：

4.一种NAT后的IP地址溯源装置，其特征在于，包括：

数据包获取模块，用于获取数据包，提取数据包在NAT转换后的对接IP及对接端口，所述数据包在进行NAT转换前，包头部分内包含有发送数据包的终端的源IP地址以及路由器接收该数据包的源端口；

NAT映射表更新模块，用于实时获取NAT日志，根据所述NAT日志更新NAT映射表，所述NAT日志为路由器在转发前对数据包进行NAT转换的转换记录；

源IP地址获取模块，用于根据所述映射记录获取数据包的源IP地址；

访问日志模块，用于根据所述映射记录生成与所述源IP地址对应的网络访问日志，所述映射记录中还包括与该源IP地址对应的时间戳和访问信息，所述访问信息为与所述数据包对应的数据内容的关键字、外网访问地址或域名、指令名称。

5.根据权利要求4所述的NAT后的IP地址溯源装置，其特征在于，所述NAT映射表更新模块还用于根据所述NAT日志提取源IP地址及源端口、对应的对接IP地址及对接端口并生成对应的映射记录，所述NAT映射表中包括所述对接IP地址及对接端口与所述映射记录的对应关系；

6.根据权利要求5所述的NAT后的IP地址溯源装置，其特征在于，所述NAT映射表更新模块还用于检测所述NAT映射表中的对接IP地址及对接端口对应的连接的状态信息，在所述连接的状态信息为断开或超时时，在所述NAT映射表中删除所述对接IP地址及对接端口和对应的映射记录。