CN105991630B - 一种共享接入探测方法及装置 - Google Patents

Abstract

本申请提供一种共享接入探测方法及装置，应用于网络安全设备上，该方法包括：接收客户端设备向服务器发送的访问请求报文；当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。本申请可有效提高共享接入探测的准确性，从而更好的限制共享接入行为。

Description

一种共享接入探测方法及装置

技术领域

本申请涉及网络通信技术领域，尤其涉及一种共享接入探测方法及装置。

背景技术

在网络访问中，存在多个用户共享同一IP上网的情况，当同一IP下的用户数量过多时，每一个用户可以使用的网络带宽将减少，影响用户的上网体验。

针对上述问题，目前的解决方案大多采用被动探测方式，通过探测用户的行为特征，将该行为特征与网络安全设备中保存的特征库中的行为特征进行匹配，根据匹配结果统计同一IP下上网的用户数量，当用户数量过多时，对用户上网行为进行限制。但由于用户上网行为多变，且互联网资源更新太快，很难保证特征库的及时更新，因此，无法保证探测结果的准确性，不能及时有效地控制用户的上网行为。

发明内容

有鉴于此，本申请提供一种共享接入探测方法及装置。

具体地，本申请是通过如下技术方案实现的：

本申请提供一种共享接入探测方法，应用于网络安全设备上，该方法包括：

接收客户端设备向服务器发送的访问请求报文；

当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；

当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

本申请还提供一种共享接入探测装置，应用于网络安全设备上，该装置包括：

接收单元，用于接收客户端设备向服务器发送的访问请求报文；

统计单元，用于当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；

确认单元，用于当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

由以上描述可以看出，本申请通过检测客户端设备向服务器发送的访问请求报文，在确认访问请求报文的Cookie中不存在出口路由标识时，统计访问请求报文的源IP地址下的客户端设备数量。当统计的客户端设备数量超过预设的可接入客户端设备数量阈值时，确认该IP地址下共享接入的客户端设备过多。本申请可有效提高共享接入探测的准确性，从而更好的限制共享接入行为。

附图说明

图1是本申请一示例性实施例示出的网络安全系统示意图；

图2是本申请一示例性实施例示出的一种共享接入探测方法流程图；

图3是本申请一示例性实施例示出的一种网络安全设备的硬件结构示意图；

图4是本申请一示例性实施例示出的一种共享接入探测装置的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

在网络部署时，网络管理员通常根据每一个用户的实际需求分配一定的网络带宽。为保证用户有良好的上网体验，同一IP地址下可接入的用户数量有限。但在实际使用过程中，经常出现超限使用的情况，即同一IP地址下上网的用户数量远远大于允许的可接入用户数量，这无疑会降低每一个用户的网络带宽，影响用户的上网体验。

为了限制上述共享接入行为，首先需要探测出共享接入行为。目前的共享接入探测技术大多采用被动探测方式，将用户的行为特征与特征库中的特征进行匹配，根据匹配结果确定接入同一IP的用户数量。由于用户上网行为多变，且互联网资源更新太快，该技术方案很难保证特征库的及时更新，从而无法保证探测的准确性。

针对上述问题，本申请实施例提出一种共享接入探测方法，该方法通过检测客户端设备向服务器发送的访问请求报文，在确认访问请求报文的Cookie中不存在出口路由标识时，统计访问请求报文的源IP地址下的客户端设备数量。当统计的客户端设备数量超过预设的可接入客户端设备数量阈值时，确认该IP地址下共享接入的客户端设备数量过多。

参见图1，为本申请一示例性实施例中网络安全系统示意图。PC1～PC3为用户访问网络所使用的客户端设备，GW为出口路由设备，Device为网络安全设备，Server为用户访问的服务器。其中，网络安全设备负责对用户的上网行为进行检测和控制。本申请实施例中，每一个用户对应一个客户端设备，每一个用户通过各自的客户端设备访问服务器，因此，以下对客户端设备的描述可以等同于对用户的描述。

参见图2，为本申请共享接入探测方法的一个实施例流程图，该实施例对共享接入探测过程进行描述。

步骤201，接收客户端设备向服务器发送的访问请求报文。

如图1所示，客户端设备发送给服务器的访问请求报文经出口路由设备和网络安全设备后到达服务器。当访问请求报文到达网络安全设备时，网络安全设备为此次访问创建对应的会话表项。

步骤202，当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量。

客户端设备发送的访问请求报文中携带Cookie，可以为服务器提供用户信息。本申请实施例中，网络安全设备对访问请求报文中的Cookie进行检测，以确认Cookie中是否存在出口路由标识。

当访问请求报文的Cookie中不存在出口路由标识时，说明此次访问由新的客户端设备发起，此时，根据访问请求报文的源IP地址统计该源IP地址下的客户端设备数量，具体为：

获取访问请求报文的源IP地址，该源IP地址为出口路由设备为客户端设备分配的公网IP地址。客户端设备发送的访问请求报文在经过出口路由设备时会进行地址转换，将访问请求报文的源IP地址由私网地址(客户端设备的IP地址)转换为公网IP地址，因此，网络安全设备接收的访问请求报文的源IP地址为出口路由设备为客户端设备分配的公网IP地址。通常多个客户端设备对应同一个公网IP地址，即多个客户端设备共享同一IP。

在获取到访问请求报文的源IP地址后，网络安全设备判断本地是否存在接入IP地址与访问请求报文的源IP地址相同的设备统计表项，该设备统计表项中保存接入IP地址和客户端设备数量的对应关系。

当存在接入IP地址与访问请求报文的源IP地址相同的设备统计表项时，将设备统计表项中的客户端设备数量加一，说明该源IP地址下有新的客户端设备接入。

当不存在接入IP地址与访问请求报文的源IP地址相同的设备统计表项时，说明当前接入的客户端设备为该源IP地址下第一个接入的客户端设备，因此，新建该源IP地址(接入IP地址)对应的设备统计表项，设备统计表项中的客户端设备数量为1。

在进行客户端设备数量统计之后，为在步骤201中创建的会话表项添加未标识标记，表明此次访问请求报文的Cookie中未写入出口路由标识。

客户端设备发送的访问请求报文到达服务器后，服务器会根据该访问请求报文回应访问响应报文。当网络安全设备接收到服务器回应的访问响应报文时，查询已建立的会话表项，找到与该访问响应报文匹配的会话表项。确认该会话表项中是否存在未标识标记，当存在未标识标记时，根据该访问响应报文的目的IP地址生成出口路由标识，例如，采用MD5(Message DigestAlgorithm 5，消息摘要算法第五版)算法对目的IP地址形成摘要信息作为出口路由标识，其中，该目的IP地址与前述访问请求报文的源IP地址相同，即出口路由设备为客户端设备分配的公网IP地址。

将生成的出口路由标识写入访问响应报文的Cookie中，清除会话表项的未标识标记，以使得客户端设备在接收到访问响应报文后，保存Cookie信息。

当客户端设备重新接入时，直接向服务器发送带有出口路由标识的Cookie，网络安全设备根据该Cookie信息可以确认该客户端设备已经被统计过，避免重复统计。

步骤203，当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

前述描述中已介绍，为了保证用户的网络带宽，同一IP下允许接入的用户数量(客户端设备数量)有限。本申请实施例中，通过预设可接入客户端设备数量阈值限制同一IP下允许接入的客户端设备数量。当步骤202中统计的客户端设备数量大于预设的可接入客户端设备数量阈值时，说明访问请求报文的源IP地址下共享接入的客户端设备过多。此时，网络安全设备可根据预设策略采取限制措施，例如，禁止该源IP地址下客户端设备访问网络，或向所有该源IP地址下的客户端设备推送共享接入告警通知，以提醒用户当前已超限(当前接入用户过多)使用网络。

现仍以图1为例，详细介绍共享接入探测过程。

假设，PC1～PC3为用户使用的客户端设备，Device中设置的可接入客户端设备数量阈值为2，即同一IP下只允许2台客户端设备接入。假设，PC1～PC3的私网IP地址为192.168.1.1～192.168.1.3，GW为其下客户端设备分配的公网IP地址为202.10.2.2，Server的IP地址为60.1.20.3。

首先，PC1向Server发送访问请求报文，该访问请求报文的源IP地址为192.168.1.1，源端口号为1921，目的IP地址为60.1.20.3，目的端口号为80。该访问请求报文到达GW时进行地址转换，访问请求报文的源IP地址由192.168.1.1变为202.10.2.2，源端口号由1921变为1000。Device接收到GW转发的访问请求报文后，新建会话表项，如表1所示。

协议	源IP地址	源端口号	目的IP地址	目的端口号
					TCP	202.10.2.2	1000	60.1.20.3	80

表1

Device检测访问请求报文中的Cookie信息，由于PC1第一次接入，因此，其Cookie中不存在出口路由标识。获取访问请求报文的源IP地址(202.10.2.2)，根据该源IP地址查询Device中已建立的设备统计表项，假设当前没有202.10.2.2对应的设备统计表项，则新建设备统计表项如表2所示。

接入IP地址	客户端设备数量
		202.10.2.2	1

表2

同时，为已建立的会话表项(表1)添加未标识标记，如表3所示。

协议	源IP地址	源端口号	目的IP地址	目的端口号	标记
						TCP	202.10.2.2	1000	60.1.20.3	80	未标识

表3

Server接收到PC1的访问请求报文后，回应访问响应报文，该访问响应报文的目的IP地址为202.10.2.2，目的端口号为1000，源IP地址为60.1.20.3，源端口号为80。Device接收到该访问响应报文后，查询已建立的会话表项，与表3所示会话表项匹配，且该会话表项中存在未标识标记，因此，根据访问响应报文的目的IP地址202.10.2.2生成出口路由标识，假设该出口路由标识为Router1，将该出口路由标识写入访问响应报文的Cookie中，清除表3对应表项的未标识标记。

PC1接收到上述访问响应报文后，将Cookie信息本地保存，在后续重新接入网络时，将发送携带出口路由标识的Cookie信息，Device根据出口路由标识确认PC1已被统计过，因此，可以避免重复统计。

同理，PC2的接入过程与PC1相同。假设，PC2发送的访问请求报文在经过GW地址转换后的源IP地址为202.10.2.2，源端口号2000。PC2首次接入时，Cookie中无出口路由标识，查询已建立的设备统计表项，找到匹配表项(表2)，更新表项中的客户端设备数量，如表4所示。其它处理过程同PC1的处理过程。

接入IP地址	客户端设备数量
		202.10.2.2	2

表4

当PC3接入时，同PC2的处理过程，更新设备统计表项，如表5所示。

接入IP地址	客户端设备数量
		202.10.2.2	3

表5

由于Device预设了同一IP(202.10.2.2)下只允许2台客户端设备接入，因此，当统计的客户端设备数量为3时，说明该IP地址下共享接入的客户端设备数量超过了允许接入的客户端设备数量，则采取预设策略限制该IP下客户端设备的上网行为。

可见，本申请通过检测客户端设备向服务器发送的访问请求报文，在确认访问请求报文的Cookie中不存在出口路由标识时，统计访问请求报文的源IP地址下的客户端设备数量。当统计的客户端设备数量超过预设的可接入客户端设备数量阈值时，确认该IP地址下共享接入的客户端设备过多。本申请可有效提高共享接入探测的准确性，从而更好的限制共享接入行为。

与前述共享接入探测方法的实施例相对应，本申请还提供了共享接入探测装置的实施例。

本申请共享接入探测装置的实施例可以应用在网络安全设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器运行存储器中对应的计算机程序指令形成的。从硬件层面而言，如图3所示，为本申请共享接入探测装置所在设备的一种硬件结构图，除了图3所示的处理器、网络接口、以及存储器之外，实施例中装置所在的设备通常根据该设备的实际功能，还可以包括其他硬件，对此不再赘述。

请参考图4，为本申请一个实施例中的共享接入探测装置的结构示意图。该共享接入探测装置包括接收单元401、统计单元402以及确认单元403，其中：

接收单元401，用于接收客户端设备向服务器发送的访问请求报文；

统计单元402，用于当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；

确认单元403，用于当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

进一步地，所述统计单元402，包括：

地址获取模块，用于获取所述访问请求报文的源IP地址；

表项判断模块，用于判断是否存在接入IP地址与所述源IP地址相同的设备统计表项，所述设备统计表项中保存接入IP地址与客户端设备数量的对应关系；

数量更新模块，用于当存在接入IP地址与所述源IP地址相同的设备统计表项时，将所述设备统计表项中的客户端设备数量加一。

进一步地，所述统计单元402，还包括：

表项建立模块，用于当不存在接入IP地址与所述源IP地址相同的设备统计表项时，根据所述源IP地址建立设备统计表项；所述设备统计表项中的客户端设备数量为1。

进一步地，所述共享接入探测装置，还包括：

创建单元，用于在所述接收单元401接收客户端设备向服务器发送的访问请求报文之后，创建所述访问请求报文的会话表项；

添加单元，用于在所述统计单元402根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量之后，为所述会话表项添加未标识标记；

所述接收单元401，还用于接收所述服务器根据所述访问请求报文回应的访问响应报文；

获取单元，用于获取与所述访问响应报文匹配的会话表项；

生成单元，用于当获取的会话表项存在未标识标记时，根据所述访问响应报文的目的IP地址生成出口路由标识，所述目的IP地址与所述访问请求报文的源IP地址相同；

写入单元，用于将生成的出口路由标识写入所述访问响应报文的Cookie中，并清除所述获取的会话表项的未标识标记。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (8)

1.一种共享接入探测方法，应用于网络安全设备上，其特征在于，该方法包括：

接收客户端设备向服务器发送的访问请求报文；

当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；

当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

2.如权利要求1所述的方法，其特征在于，所述根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量，包括：

获取所述访问请求报文的源IP地址；

判断是否存在接入IP地址与所述源IP地址相同的设备统计表项，所述设备统计表项中保存接入IP地址与客户端设备数量的对应关系；

当存在接入IP地址与所述源IP地址相同的设备统计表项时，将所述设备统计表项中的客户端设备数量加一。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

当不存在接入IP地址与所述源IP地址相同的设备统计表项时，根据所述源IP地址建立设备统计表项；所述设备统计表项中的客户端设备数量为1。

4.如权利要求1至3任一所述的方法，其特征在于，所述接收客户端设备向服务器发送的访问请求报文之后，还包括：

创建所述访问请求报文的会话表项；

所述根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量之后，还包括：

为所述会话表项添加未标识标记；

接收所述服务器根据所述访问请求报文回应的访问响应报文；

获取与所述访问响应报文匹配的会话表项；

当获取的会话表项存在未标识标记时，根据所述访问响应报文的目的IP地址生成出口路由标识，所述目的IP地址与所述访问请求报文的源IP地址相同；

将生成的出口路由标识写入所述访问响应报文的Cookie中，并清除所述获取的会话表项的未标识标记。

5.一种共享接入探测装置，应用于网络安全设备上，其特征在于，该装置包括：

接收单元，用于接收客户端设备向服务器发送的访问请求报文；

统计单元，用于当所述访问请求报文的小型文本文件Cookie中不存在出口路由标识时，根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量；

确认单元，用于当所述客户端设备数量大于预设的可接入客户端设备数量阈值时，确认所述源IP地址下共享接入的客户端设备过多。

6.如权利要求5所述的装置，其特征在于，所述统计单元，包括：

地址获取模块，用于获取所述访问请求报文的源IP地址；

表项判断模块，用于判断是否存在接入IP地址与所述源IP地址相同的设备统计表项，所述设备统计表项中保存接入IP地址与客户端设备数量的对应关系；

数量更新模块，用于当存在接入IP地址与所述源IP地址相同的设备统计表项时，将所述设备统计表项中的客户端设备数量加一。

7.如权利要求6所述的装置，其特征在于，所述统计单元，还包括：

表项建立模块，用于当不存在接入IP地址与所述源IP地址相同的设备统计表项时，根据所述源IP地址建立设备统计表项；所述设备统计表项中的客户端设备数量为1。

8.如权利要求5至7任一所述的装置，其特征在于，所述装置还包括：

创建单元，用于在所述接收单元接收客户端设备向服务器发送的访问请求报文之后，创建所述访问请求报文的会话表项；

添加单元，用于在所述统计单元根据所述访问请求报文的源IP地址统计所述源IP地址下的客户端设备数量之后，为所述会话表项添加未标识标记；

所述接收单元，还用于接收所述服务器根据所述访问请求报文回应的访问响应报文；

获取单元，用于获取与所述访问响应报文匹配的会话表项；

生成单元，用于当获取的会话表项存在未标识标记时，根据所述访问响应报文的目的IP地址生成出口路由标识，所述目的IP地址与所述访问请求报文的源IP地址相同；

写入单元，用于将生成的出口路由标识写入所述访问响应报文的Cookie中，并清除所述获取的会话表项的未标识标记。