WO2014075485A1 - 网络地址转换技术的处理方法、nat设备及bng设备 - Google Patents

网络地址转换技术的处理方法、nat设备及bng设备 Download PDF

Info

Publication number
WO2014075485A1
WO2014075485A1 PCT/CN2013/082397 CN2013082397W WO2014075485A1 WO 2014075485 A1 WO2014075485 A1 WO 2014075485A1 CN 2013082397 W CN2013082397 W CN 2013082397W WO 2014075485 A1 WO2014075485 A1 WO 2014075485A1
Authority
WO
WIPO (PCT)
Prior art keywords
user equipment
security policy
user
bng
nat device
Prior art date
Application number
PCT/CN2013/082397
Other languages
English (en)
French (fr)
Inventor
范亮
袁博
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP13854514.0A priority Critical patent/EP2922263B1/en
Priority to ES13854514T priority patent/ES2738106T3/es
Priority to US14/442,549 priority patent/US9998492B2/en
Publication of WO2014075485A1 publication Critical patent/WO2014075485A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2869—Operational details of access network equipments
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2517—Translation of Internet protocol [IP] addresses using port numbers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2557—Translation policies or rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/55—Push-based network services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/128—Anti-malware arrangements, e.g. protection against SMS fraud or mobile malware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams

Definitions

  • the present invention relates to the field of communications, and in particular to a method for processing a network address translation technology, a NAT device, and a BNG device.
  • IPv4 Internet Protocol Version 4, referred to as IPv4
  • IPv4 addresses are becoming more and more scarce.
  • NAT network address translation
  • NAT technology is a conversion technology for converting private network IPv4 addresses into public network IPv4 addresses. It is widely used in various types of Internet access methods and various types of networks. NAT technology can perfectly solve the problem of insufficient Internet Protocol (IP) addresses, and it can effectively avoid attacks from outside the network and hide and protect computers inside the network.
  • IP Internet Protocol
  • a NAT device is a device that provides NAT translation. There are two types of NAT devices:
  • BNG Broadband Network Gateway
  • the NAT device If the NAT device only provides NAT translation, it is called a stand-alone NAT device. At this time, the NAT device provides NAT conversion independently of the BNG upstream without providing broadband access.
  • the process of users accessing the Internet using the NAT function is as follows:
  • the broadband user accesses the Internet, and the source address of the IPv4 data packet of the broadband user is the obtained private network IPv4 address, and the user's data packet is sent to the NAT device;
  • the NAT device After the NAT device converts the source IP address and source port of the user packet into a public network IP address and port according to certain rules, the NAT device generates "source IP+source port” and "converted source IP+source port”. Correspondence between sessions, and sending user data packets to the Internet to complete NAT forward conversion; (4) The IP packet returned to the user on the Internet, on the NAT device, according to the destination IP address and the destination port of the return packet, look up the correspondence between the public and private network address port sessions described above, and then the destination address of the return packet. The destination port is converted into the private network source IP address and source port of the packet sent by the user to complete NAT reverse conversion.
  • the reverse packet is finally sent to the user host for the purpose of the user's private network IP and port. Therefore, during the NAT conversion process, the NAT device generates a packet according to the user's access to the Internet.
  • NAT device Each time a private network user accesses the Internet, the NAT device establishes a session entry, which corresponds to the public and private network of the session entry, as long as the quintuple of the IP packet (source IP address, source port, protocol, destination IP address, and destination port) is different. Relationships, NAT devices can perform forward or reverse NAT translation. Users must replace the private network address and port with a public network address and port through NAT to access the Internet. The capacity of such a Session entry is limited by hardware resources on the NAT device, that is, the number of Session entries supported by a NAT device is limited. At this time, there is a problem.
  • the host of the private network When the host of the private network is poisoned, the host will continuously send attack packets with the change of the destination IP address and the destination port to the Internet, for example, up to 1000 different destination IP addresses and destination ports per second.
  • the combination of the attack packets is generated because the 5-tuple of the attack packets is constantly changing and is sent by the authorized user host. Therefore, the NAT device generates different sessions based on the attack packets.
  • the attack packets are sent at a high rate.
  • the Session will occupy a large number of Session session resources, and may exhaust the Session resources of the entire NAT device, resulting in normal users not being able to access the Internet.
  • the NAT device has limited processing power for the new session.
  • the attack user's session When the attack user's session is established. The rate exceeds the processing capacity of the NAT device.
  • the normal user's session cannot be established. As a result, normal users cannot legally access the Internet.
  • a method for processing a network address translation technology including: determining, by a network address translation NAT device, whether a session establishment of a user equipment reaches a preset threshold; if yes, the foregoing NAT device notifies a broadband network
  • the gateway BNG device performs a security policy on the user equipment, where the security policy is used to block the attack behavior of the user equipment, and the user equipment is notified that the user equipment has an attack behavior.
  • the foregoing BNG device performs the foregoing security policy on the user equipment, where: the BNG device performs a strong push web page policy, and redirects the HTTP request sent by the user equipment to a first prompt page, where the first prompt page is used by There is an attack behavior for reminding the access of the above user equipment.
  • the redirecting, by the BNG device, the HTTP request sent by the user equipment to the first prompt page comprises: redirecting, by the BNG device, the HTTP request sent by the user equipment to the first prompt page.
  • the first prompt page further acts to remind the user equipment to perform virus and/or Trojan killing.
  • the processing method of the network address translation technology further includes: the foregoing NAT device notifying the BNG device to perform the access behavior of the user equipment, forcing the user equipment to go offline or The user equipment is returned to the unauthenticated state, and the AAA server is notified to set or set the user equipment to be a user equipment that has an attack behavior.
  • the first prompt page is further used to remind the user equipment that the user equipment is to be Forced offline or returned to uncertified
  • the AAA server notifies the BNG device to perform a strong push web page policy on the user equipment
  • the user equipment page is The access request is redirected to the second prompt page, where the second prompt page is used to remind the user equipment that the user equipment has been forced to go offline or is returned to the unauthenticated state because the user equipment has an attack behavior, if the user equipment still exists.
  • the attack behavior will be forced to go offline again or be returned to the unauthenticated state, and the above user equipment will be reminded to carry out virus and/or Trojan killing.
  • the NAT device includes one of the following: a NAT device that is combined with the BNG device; and a NAT device that is separate from the BNG device.
  • the NAT device if the NAT device is a NAT device that is configured with the BNG device, the NAT device notifies the BNG device to perform a security policy on the user device by using one of the following manners: the NAT device sends the identifier information of the user device to the
  • the security policy server is configured to notify the BNG device to perform a security policy on the user equipment by using the security policy server.
  • the NAT device sends the identification information of the user equipment to the BNG device to notify the BNG device to perform a security policy on the user equipment.
  • the processing method of the network address translation technology further includes: the NAT device determining that the session establishment of the user equipment does not meet the preset threshold. If the user equipment cancels the execution of the security policy by using the strongly pushed web page, the NAT device notifies the BNG device to cancel the execution of the security policy on the user equipment.
  • the NAT device is a NAT device that is configured with the BNG device, the NAT device notifies the BNG device to cancel the execution of the security policy for the user device by using one of the following methods: The NAT device sends the identifier information of the user device.
  • the security policy server notifies the BNG device to cancel the security policy for the user equipment; the NAT device sends the identifier information of the user equipment to the BNG device to notify the BNG device to cancel the security of the user equipment.
  • the NAT device is the above.
  • the session established by the user equipment includes: a session established by the user equipment and the HTTP connection of the strongly pushed web page.
  • the session for determining, by the NAT device, whether the session establishment of the user equipment reaches a preset threshold includes at least one of the following: a session established by the transmission control protocol TCP connection of the user equipment; an internet control information protocol of the user equipment ( The session established by the Internet Control Message Protocol (ICMP) connection; the session established by the user data protocol UDP connection of the user equipment.
  • the preset threshold includes at least one of the following: a total number of sessions established by the user equipment, and a rate at which the user equipment establishes a session.
  • the method further includes: when the NAT device notifies the BNG device to perform a security policy on the user equipment, the NAT device accelerates aging of the session of the user equipment.
  • a NAT device including: a determining module, configured to determine whether a session establishment of a user equipment reaches a preset threshold; and a first notification module, configured to be in the user equipment When the session establishment reaches the preset threshold, the broadband network gateway BNG device is notified to perform the security policy on the user equipment, where the security policy is used to block the attack behavior of the user equipment, and the user equipment is notified that the user equipment exists. Aggressive behavior.
  • the NAT device further includes: a second notification module, configured to notify the BNG device of the access behavior of the user equipment to perform the operation of forcing the user equipment to go offline or return the user equipment to an unauthenticated state, and notify the authentication
  • the authorized charging AAA server marks or sets the user equipment as a user equipment that has an attacking behavior, where the first prompting page is further used to remind the user equipment that the user equipment is to be forced to go offline or returned to the unauthenticated state.
  • the AAA server After the AAA server authenticates the user equipment, the AAA server notifies the BNG device to perform a strong push web page policy on the user equipment, and redirects the page access request of the user equipment to the user equipment.
  • the NAT device further includes: a third notification module, configured to determine that the session establishment of the user equipment does not meet the preset threshold, or the user equipment cancels the execution of the security policy by using a strongly pushed web page In case, the BNG device is notified to cancel the execution of the above security policy on the user equipment.
  • the NAT device further includes: a processing module, configured to: when the BNG device is configured to perform the security policy on the user equipment, speed up the aging of the session of the user equipment.
  • a BNG device including: a first receiving module, configured to receive a first notification sent by a NAT device to perform a security policy on a user equipment, where the user equipment session Establishing a preset threshold, the foregoing security policy is used to prevent the attack behavior of the user equipment, and the user equipment is notified that the user equipment has an attack behavior; and the redirection module is configured to execute a strong push web page policy on the user equipment, The HTTP request sent by the user equipment is redirected to the first prompt page, where the first prompt page is used to remind the access of the user equipment that there is an attack behavior.
  • the BNG device further includes: a second receiving module, configured to receive, by the NAT device, a second operation of performing an operation of the user equipment to force the user equipment to go offline or return the user equipment to an unauthenticated state
  • the processing module is configured to perform an operation of forcing the user equipment to go offline or return the user equipment to an unauthenticated state, and notify the authentication and authorization charging AAA server to perform the access behavior of the user equipment according to the foregoing second notification.
  • the user equipment is marked or set to be a user equipment that has an attack behavior, wherein the first prompt page is further used to remind the user equipment that the user equipment is to be forced to go offline or returned to the unauthenticated state, and the user equipment requests to go online again.
  • the AAA server After the AAA server passes the authentication of the user equipment, the AAA server notifies the BNG device to perform a strong push web page policy on the user equipment, and the page access request of the user equipment is Redirecting to the second prompt page, wherein the second prompt page is used to remind the
  • the user equipment has been forced to go offline or returned to the unauthenticated state because the user equipment has an attack behavior. If the user equipment still has an attack behavior, it will be forced to go offline again or be returned to the unauthenticated state.
  • the user equipment is used for virus and/or Trojan horse killing.
  • the NAT device determines whether the session establishment of the user equipment reaches a preset threshold, and the preset threshold may be the number or frequency of session establishment, and if yes, the NAT device notifies the BNG device to the user equipment.
  • the security policy is used to prevent the attack behavior of the user equipment, and the user equipment is notified of the attack behavior of the user equipment, so that when the user equipment has an attack behavior, the security policy is used to block the user.
  • the attack behavior of the device and reminds the user of the attack behavior of the device to remind the user to detect and kill the possible viruses and Trojans, and avoid being used to complain to the operator, thereby improving the user experience while improving the utilization of the NAT device.
  • FIG. 1 is a flowchart of a processing method of a network address translation technology according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram 1 of a network architecture according to an embodiment of the present invention
  • FIG. 3 is a network architecture according to an embodiment of the present invention.
  • FIG. 4 is a block diagram of a network architecture according to an embodiment of the present invention
  • FIG. 5 is a structural block diagram of a NAT device according to an embodiment of the present invention
  • FIG. 6 is a structural block diagram of a BNG device according to an embodiment of the present invention;
  • FIG. 1 is a flowchart of a processing method of a network address translation technology according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram 1 of a network architecture according to an embodiment of the present invention
  • FIG. 3 is a network architecture according to an embodiment of the present invention.
  • FIG. 4 is a block diagram of a network architecture according to an embodiment of the present invention
  • FIG. 5 is a structural block diagram
  • FIG. 7 is a schematic diagram of a network according to an embodiment of the present invention
  • FIG. 8 is a schematic flowchart of a method for processing a network address translation technology according to an embodiment of the present invention
  • FIG. 9 is a flowchart of a method for processing a network address translation technology according to an embodiment of the present invention.
  • FIG. 10 is a schematic flowchart of a processing method of a network address translation technology according to an embodiment of the present invention
  • FIG. 11 is a schematic diagram 2 of a network according to an embodiment of the present invention
  • FIG. 12 is a network address translation technology according to an embodiment of the present invention
  • FIG. 13 is a schematic flowchart of a processing method of a network address translation technology according to an embodiment of the present invention;
  • FIG. 10 is a schematic flowchart of a processing method of a network address translation technology according to an embodiment of the present invention
  • FIG. 11 is a schematic diagram 2 of a network according to an embodiment of the present invention
  • FIG. 12 is
  • FIG. 14 is a schematic diagram of a network according to an embodiment of the present invention
  • FIG. 15 is a network address according to an embodiment of the present invention.
  • the present invention will be described in detail with reference to the accompanying drawings. It should be noted that the embodiments in the present application and the features in the embodiments may be combined with each other without conflict.
  • This embodiment provides a method for processing a network address translation technology. As shown in FIG. 1, the processing method of the network address translation technology includes steps S102 to S104. Step S102: The network address translation NAT device determines whether the session establishment of the user equipment reaches a preset threshold.
  • Step S104 If yes, the NAT device notifies the broadband network gateway BNG device to perform a security policy on the user equipment, where the security policy is used to block the attack behavior of the user equipment, and notify the user equipment that the user equipment has an attack behavior.
  • the NAT device determines whether the session establishment of the user equipment reaches a preset threshold. The preset threshold may be the number or frequency of session establishment. If yes, the NAT device notifies the BNG device to perform a security policy on the user equipment. The security policy is used to block the attack behavior of the user equipment, and the user equipment is notified of the attack behavior of the user equipment, and the user equipment is prevented from being attacked by performing the foregoing security policy when the user equipment has an attack behavior.
  • the foregoing BNG device performing the foregoing security policy on the user equipment includes: performing the strong push web page policy by the BNG device, and transmitting the hypertext transfer protocol sent by the user equipment ( The Hypertext Transfer Protocol (HTTP) is redirected to the first prompt page, where the first prompt page is used to remind the access of the user equipment that there is an attack behavior.
  • HTTP Hypertext Transfer Protocol
  • the BNG device redirecting the HTTP request sent by the user equipment to the first prompt page includes: the BNG device intermittently presets an HTTP request sent by the user equipment. Redirect to the first prompt page above. That is, the BNG device may intercept all the HTTP request messages of the user equipment, and redirect to the first prompt page, or intercept the HTTP request message of the user equipment at a preset interval, and redirect to the first prompt page.
  • the first prompt page also acts to remind the user equipment to perform virus and/or Trojan killing.
  • the processing method of the network address translation technology further includes: the NAT device notifying the BNG device to the foregoing The access behavior of the user equipment is performed to force the user equipment to go offline or to return the user equipment to the unauthenticated state, and notify the Authentication Authorization and Accounting (AAA) server to mark or set the user equipment as The user equipment of the attacking behavior, wherein the first prompt page is further used to remind the user equipment that the user equipment is to be forced to go offline or returned to the unauthenticated state; the user equipment requests to go online again and/or request authentication, the AAA server pair After the authentication of the user equipment is passed, the AAA server notifies the BNG device to perform a strong push web page policy on the user equipment, and redirects the page access request of the user equipment to the second prompt page, where the second prompt page is used.
  • AAA Authentication Authorization and Accounting
  • the foregoing NAT device may include one of the following: a NAT device that is combined with the BNG device;
  • the network framework for implementing the processing method of the network address translation technology may adopt a network framework as shown in FIG. 2, and the NAT device may be in the following manner.
  • the BNG device is configured to perform the security policy on the user equipment: the NAT device sends the identification information of the user equipment (for example, the converted public network IP address and port number segment of the user equipment) to the security policy server, where the security policy is used.
  • the server notifies the above BNG device
  • the security policy is performed on the user equipment, and the NAT device sends the identifier information of the user equipment to the BNG device to notify the BNG device to perform a security policy on the user equipment.
  • the network framework for implementing the processing method of the network address translation technology may adopt a network framework as shown in FIG. 3 or 4.
  • the processing method of the network address translation technology further includes: determining, by the NAT device, the user equipment. In the case that the session establishment does not meet the preset threshold, or the user equipment cancels the execution of the security policy by using the strongly pushed web page, the NAT device notifies the BNG device to cancel the execution of the security policy on the user equipment.
  • the NAT device may notify the BNG device to cancel the execution of the security policy for the user device by using one of the following methods: the NAT device uses the identifier information of the user device. Sending to the security policy server, the security policy server notifying that the BNG device cancels the security policy for the user equipment; the NAT device sends the identifier information of the user equipment to the BNG device, to notify the BNG device to cancel the execution of the user equipment. security strategy.
  • the canceling, by the user equipment, the foregoing security policy by using the strongly pushed webpage may include:
  • the web server sends the user policy to the NAT device to cancel the execution of the security policy by using the security policy server; or the web server notifies the NAT device to deliver the user policy to cancel the execution of the security policy.
  • the session established by the NAT device for the user equipment may include: A session established between a user device and an HTTP connection that pushes a web page.
  • the session for determining, by the NAT device, whether the session establishment of the user equipment reaches a preset threshold may include at least one of the following: a session established by the connection control protocol (Transfer Control Protocol, TCP for short) of the user equipment; a session established by the Internet Control Message Protocol (ICMP) of the user equipment; user data of the user equipment Protocol (User Date Protocol, UDP for short) Connection established session.
  • the preset threshold includes at least one of the following: a total number of sessions established by the user equipment, and a rate at which the user equipment establishes a session.
  • the method may further include: when the NAT device notifies the BNG device to perform a security policy on the user equipment, the NAT device accelerates the user.
  • the NAT device may notify the identification information of the user equipment (eg, attack IP) while performing the user security policy.
  • the policy server notifies the user device in other forms through the third-party interface of the policy server, for example, by means of short message notification, telephone notification, various IM tool notifications, and the like.
  • the preferred embodiment provides a NAT device. As shown in FIG.
  • the NAT device includes: a determining module 502, configured to determine whether a session establishment of the user equipment reaches a preset threshold; and the first notification module 504 is connected to the determining
  • the module 502 is configured to: when the session establishment of the user equipment reaches the preset threshold, notify the broadband network gateway BNG device to perform a security policy on the user equipment, where the security policy is used to block the attack behavior of the user equipment. And notifying the user equipment that the user equipment has an attack behavior.
  • the determining module 502 determines whether the session establishment of the user equipment reaches a preset threshold.
  • the preset threshold may be the number or frequency of session establishment, and if so, the first notification module 504 notifies the BNG device.
  • the foregoing user equipment performs a security policy, where the security policy is used to prevent the attack behavior of the user equipment, and the user equipment is notified of the attack behavior of the user equipment, and the security policy is implemented when the user equipment has an attack behavior. Blocking the attack behavior of the above-mentioned user equipment, and reminding the user that the device has an attack behavior to remind the user to detect and kill possible viruses and Trojans, and avoid being used to complain to the operator, thereby improving the utilization rate of the NAT device and improving user experience.
  • the NAT device further includes: a second notification module, configured to notify the BNG device to perform the access behavior of the user equipment, to force the user equipment to go offline or The user equipment is returned to the unauthenticated state, and the AAA server is notified to set or set the user equipment to be a user equipment that has an attack behavior.
  • the first prompt page is further used to remind the user equipment that the user equipment is to be After the user equipment is forced to go offline or is returned to the unauthenticated state, the user equipment requests to go online and/or request authentication again. After the AAA server passes the authentication of the user equipment, the AAA server notifies the BNG device to perform strong push on the user equipment.
  • the page access request of the user equipment is redirected to the second prompt page, where the second prompt page is used to remind the user equipment that the user equipment has been forced to go offline or returned to the unauthenticated state because the user equipment has occurred.
  • Attack behavior if the above user equipment is still There is an attack behavior, which will be forced to go offline again or be returned to the unauthenticated state, and the above user equipment is reminded to perform virus and/or Trojan killing.
  • the foregoing first notification module 504 includes: a first sending unit, configured to set identification information of the user equipment (for example, after the conversion of the user equipment, where the NAT device is a NAT device that is configured with a BNG device)
  • the public network IP address and the port number segment are sent to the security policy server, and the security policy server notifies the BNG device to perform a security policy on the user equipment; and/or the second sending unit is configured to send the identifier information of the user equipment.
  • the BNG device is notified to notify the BNG device to perform a security policy on the user equipment.
  • the NAT device further includes: a third notification module, configured to determine that the session establishment of the user equipment does not meet the preset threshold, or the user When the device cancels the execution of the security policy by using the strongly pushed web page, the device is notified to cancel the execution of the foregoing security policy on the user equipment.
  • the third notification module includes: a third sending unit, configured to send the identifier information of the user equipment to the security policy server, where the security policy server is configured
  • the fourth sending unit is configured to send the identifier information of the user equipment to the BNG device, to notify the BNG device to cancel the execution of the security policy for the user equipment.
  • the network address translation device further includes: a processing module, configured to notify the BNG device to perform a security policy on the user equipment, The aging of the session of the user device.
  • the preferred embodiment provides a BNG device.
  • the BNG device includes: a first receiving module 602, configured to receive a first notification sent by a NAT device to perform a security policy on a user equipment, where The session establishment of the user equipment reaches a preset threshold, the security policy is used to block the attack behavior of the user equipment, and the user equipment is notified that the user equipment has an attack behavior; the redirection module 604 is connected to the first receiving.
  • the module 602 is configured to perform a strong push web page policy on the user equipment, and redirect the HTTP request sent by the user equipment to the first prompt page, where the first prompt page is used to remind the user equipment Access exists for aggression.
  • the redirection module 604 is configured to redirect the HTTP request sent by the user equipment to the first prompt page by using a preset period. That is, the BNG device may intercept all the HTTP request messages of the user equipment, and redirect to the first prompt page, or intercept the HTTP request message of the user equipment at a preset interval, and redirect to the first prompt page.
  • the foregoing BNG device further includes: a second receiving module, configured to receive, by the NAT device, an access behavior of the user equipment, to force the user equipment to go offline or a second notification of the operation of returning the user equipment to the unauthenticated state; the processing module is connected to the second receiving module, and configured to perform, according to the second notification, to enforce the access behavior of the user equipment, to force the user equipment to go offline or The user equipment is returned to the unauthenticated state, and the AAA server is notified to set or set the user equipment to be a user equipment that has an attack behavior.
  • the first prompt page is further used to remind the user equipment that the user equipment is to be After the user equipment is forced to go offline or is returned to the unauthenticated state, the user equipment requests to go online and/or request authentication again.
  • the AAA server passes the authentication of the user equipment, the AAA server notifies the BNG device to perform strong push on the user equipment.
  • Page policy the page of the above user device The access request is redirected to the second prompt page, where the second prompt page is used to remind the user equipment that the user equipment has been forced to go offline or is returned to the unauthenticated state because the user equipment has an attack behavior, if the user equipment still exists.
  • the attack behavior will be forced to go offline again or be returned to the unauthenticated state, and the above user equipment will be reminded to carry out virus and/or Trojan killing.
  • the user equipment may be a Point-to-Point Protocol over Ethernet (PPPoE) user equipment, an Internet Protocol over Ethernet (IPoE) user equipment, and a mobile Internet user. Equipment, etc.
  • PPPoE Point-to-Point Protocol over Ethernet
  • IPoE Internet Protocol over Ethernet
  • FIG. 7 the network scenario shown in FIG. 7 is taken as an example.
  • the NAT device is a converged NAT device.
  • the number of sessions consumed by the NAT user TCP attack reaches the threshold for the security policy to take effect. (equivalent to the above-mentioned preset threshold), the web page is always pushed strongly, and the user actively cancels the security policy through the web page.
  • the network scenario as shown in FIG.
  • the flow of the processing method of the network address translation technology includes the following Step:
  • step S802 the NAT device pre-sets the security policy threshold to be 80% of the maximum allowable value of the user's session number.
  • step S804 the user generates a TCP attack behavior, and the NAT device determines that the security policy effective threshold has been reached.
  • step S806 the NAT device Send a strong push flag to the user, and then intercept all the user's TCP connection to port 80, and redirect all HTTP access requests to the operator's web prompt page (equivalent to the first prompt page) through the HTTP redirect flag.
  • the user can detect and kill viruses and Trojans; the NAT device dynamically accelerates the aging of the user's invalid session.
  • Step S808 After the user terminal detects the virus and the Trojan, the user requests to cancel the security policy on the operator web page. Step S810, the operator's web server informs the policy server, and requests the NAT device to cancel the security policy. Step S812, the policy server notifies The NAT device cancels the security policy. In step S814, the user can access the network through the NAT device.
  • the network scenario shown in FIG. 7 is taken as an example.
  • the NAT device is a converged NAT device.
  • the security policy takes effect.
  • the preset threshold is used, the web page is pushed periodically. After the user's attack behavior disappears, the NAT device actively cancels the security policy.
  • the process of the network address translation technology processing method includes The following steps are performed: Step S902: The NAT device pre-sets the security policy threshold to 80% of the maximum allowable rate of the user session creation rate; Step S904, the user generates a traffic type operating system attack (UDP FLOOD) attack behavior, and the NAT device determines that the security has arrived.
  • UDP FLOOD traffic type operating system attack
  • step S906 the NAT device sets a strong push flag to the user, and then intercepts the TCP connection of the user to port 80.
  • the HTTP redirect flag is used to periodically redirect the user's HTTP access request to the operator's web prompt page.
  • the HTTP request of the user part of the webpage is periodically redirected to the operator's web prompt page to remind the user to detect the possible presence of viruses and Trojans.
  • Step S908 after the user terminal kills the virus and the Trojan, the user's UDP FLOOD attack behavior disappears.
  • step S910 the NAT device determines that the user's new session rate is lower than the threshold, and the NAT device cancels the user's security policy.
  • the user can access the network through the NAT device.
  • the network scenario shown in FIG. 7 is taken as an example, and the NAT device is a fusion device.
  • the NAT device consumes the number of sessions consumed by the TCP attack of the NAT user. (equivalent to the above-mentioned preset threshold), pushing the web page and forcing the user to go offline.
  • the flow of the processing method of the network address translation technology includes the following steps: Step S1002, the NAT device presets a security policy valve. The value of the user is 80% of the maximum allowable value.
  • step S1004 the user generates a TCP attack, and the NAT device determines that the security policy has reached the threshold.
  • the NAT device forces the user to go offline or return the unauthenticated state to notify the authentication. The server is offline because the NAT session is attacked.
  • the NAT device pushes the Web page to prompt the user to go offline or return to the unauthenticated state before the mandatory user goes offline or returns to the unauthenticated state.
  • the user is reminded of possible viruses or Trojans.
  • the user dials the line again or initiates the authentication request, and the authentication is successful, and then goes online again.
  • Step S1010 The AAA server notifies the NAT device to redirect the HTTP request of the user to the second web prompt page of the operator (equivalent to the second prompt page).
  • Step S1012 The NAT device redirects the HTTP request of the user to the second web prompt page of the operator, reminding the user of the reason for the previous offline and reminding the user to detect the possible presence of the virus and the Trojan; Step S1014, the second Web prompt
  • the page is only pushed once, and after strong push, the user can access the network through the NAT device. If the user does not check the virus and the Trojan or the killing is not complete, the attack still occurs. When the user's Session number reaches the security policy effective threshold again, the user is forced to go offline again. If the user successfully performs virus and Trojan killing and attack, the attack behavior no longer occurs, the user can continue to pass
  • the NAT device accesses the network.
  • the network scenario shown in FIG. 11 is taken as an example.
  • the NAT device is an independent NAT device or an address family transition router (AFTR).
  • the number of sessions reaches the threshold of the security policy (equivalent to the above-mentioned preset threshold), and the policy server notifies the BNG to execute the user security policy.
  • the process of the network address translation technology processing method includes the following steps: In step S1202, the NAT device presets the security policy threshold to be 80% of the maximum allowable value of the user session. In step S1204, the user generates a TCP attack behavior, and the NAT device determines that the security policy effective threshold has been reached. Step S1206, the NAT device will be the user.
  • the IP server notifies the policy server; Step S1208, the policy server notifies the BNG to execute the user security policy; Step S1210, the BNG executes the user security policy, and notifies the user by redirecting the user's HTTP request, and prompts the user to check for possible viruses and Trojans; S1212: After the user terminal detects the virus and the Trojan, the user's UDP FLOOD attack behavior disappears. The NAT device determines that the user attack behavior disappears, and notifies the user IP to the policy server. In step S1214, the policy server notifies the BNG to cancel the security policy. In step S1216, the user can access the network through the NAT device.
  • the network scenario shown in FIG. 11 is taken as an example.
  • the NAT device is an independent NAT device or an AFTR.
  • the number of sessions consumed by the NAT user TCP attack reaches the threshold for the security policy to take effect (equivalent to The foregoing preset threshold is used to notify the BNG to execute the user security policy.
  • the flow of the processing method of the network address translation technology includes the following steps: Step S1302: The NAT device presets the security policy threshold as the user session new rate. 80% of the maximum allowable value is reached.
  • the user has a TCP attack behavior, and the NAT device determines that the security policy has reached the threshold.
  • the NAT device sends the user IP to the BNG to notify the BNG to execute the user security policy.
  • Step S1308, BNG The user security policy is executed, and the user is notified by redirecting the user's HTTP request to remind the user to detect the possible presence of viruses and Trojans.
  • step S1310 after the user terminal checks and kills the virus and the Trojan, the user's UDP FLOOD attack behavior disappears.
  • the NAT device determines that the user's attack behavior is gone, sends the user IP to the BNG, and notifies the BNG to cancel the security policy.
  • the user can access the network through the NAT device.
  • the network scenario shown in FIG. 14 is taken as an example.
  • the NAT device is an independent NAT device or a NAT and an AC convergence device.
  • Step S1502 The NAT device presets the security policy.
  • the threshold is the maximum allowable value of the user's Session number.
  • the NAT device allocates the public network address and port number segment translated by the user address to the user's private network address; in step S1504, the user generates a TCP attack behavior, and the NAT device determines that the security policy effective threshold has been reached; Step S1506, the NAT device will The public network IP address and the port number segment translated by the user address are notified to the policy server; Step S1508, the policy server sends the translated public IP address and port number segment of the user address to
  • Step S1510 the BNG executes the user security policy, notifying the user by redirecting the user's HTTP request, reminding the user to detect the possible presence of viruses and Trojans; Step S1512, the user terminal killing the virus and the Trojan After that, the user's UDP FLOOD attack behavior disappears.
  • the NAT device determines that the user attack behavior disappears, and notifies the user IP to the policy server.
  • step S1514 the policy server notifies the BNG to cancel the security policy.
  • step S1516 the user can access the network through the NAT device and the BNG.
  • the foregoing preferred embodiment achieves the following technical effects: determining, by the NAT device, whether the session establishment of the user equipment reaches a preset threshold, the preset threshold may be the number or frequency of session establishment, etc. If the NAT device is configured to notify the BNG device to perform the security policy on the user equipment, the security policy is used to block the attack behavior of the user equipment, and notify the user equipment that the user equipment has an attack behavior, and the user equipment exists. In the attack behavior, the above-mentioned security policy is used to block the attack behavior of the user equipment, and the user equipment is reminded of the attack behavior to remind the user to detect and kill the possible viruses and Trojans, and avoid being used to complain to the operator.
  • modules or steps of the embodiments of the present invention can be implemented by a general computing device, which can be concentrated on a single computing device or distributed in multiple computing devices.
  • they can be implemented by program code executable by the computing device, thereby They may be stored in a storage device by a computing device, and in some cases, the steps shown or described may be performed in an order different than that herein, or they may be separately fabricated into individual integrated circuit modules, or Implementing multiple modules or steps in them as a single integrated circuit module.
  • embodiments of the invention are not limited to any specific combination of hardware and software.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供了一种网络地址转换技术的处理方法、NAT设备及BNG设备，其中，该法包括：网络地址转换NAT设备判断用户设备的会话建立是否达到预设阀值；若是，NAT设备通知宽带网络网关BNG设备对用户设备执行安全策略，其中，安全策略用于阻止用户设备的攻击行为，并通知用户设备存在攻击行为。本发明解决了相关技术中因用户主机本身异常行为而投诉运营商的问题，同时提醒用户对自身的主机安全性进行检查，从而在提高NAT设备的利用率的同时，改善用户体验。

Description

网络地址转换技术的处理方法、 NAT设备及 BNG设备 技术领域 本发明涉及通信领域， 具体而言， 涉及一种网络地址转换技术的处理方法、 NAT 设备及 BNG设备。 背景技术 随着接入因特网 （Internet) 的宽带上网用户数量的不断猛增， 网络协议版本 4 (Internet Protocol Version 4, 简称为 IPv4) 地址资源也就愈加显得捉襟见肘， 能够在 Internet上传播的公网 IPv4地址越来越稀缺， 显然， 越来越稀缺的公网 IPv4地址根本 无法满足网络用户的需求， 于是也就产生了网络地址转换 （Network Address Translation, 简称为 NAT) 技术。
NAT技术是一种将私网 IPv4地址转化为公网 IPv4地址的转换技术， 它被广泛应 用于各种类型的 Internet接入方式和各种类型的网络中。 NAT技术可以完美地解决网 络协议 （Internet Protocol, 简称为 IP)地址不足的问题， 而且还能够有效地避免来自网 络外部的攻击， 隐藏并保护网络内部的计算机。 NAT设备是提供 NAT转换功能的设备， NAT设备分为 2种：
( 1 )如果 NAT设备和宽带网络网关（Broadband Network Gateway,简称为 BNG) 合一， 叫做融合式 NAT设备， BNG同时提供宽带接入服务和 NAT功能
(2) 如果 NAT设备仅仅提供 NAT转换功能， 叫做独立式 NAT设备， 此时 NAT 设备在 BNG的上游， 单独提供 NAT转换而不提供宽带接入功能。 用户使用 NAT功能访问 Internet的过程如下：
( 1 ) 当宽带用户上线时， 用户从宽带网络网关上获取一个私网 IPv4地址；
(2)宽带用户访问 Internet, 宽带用户的 IPv4数据包的源地址是获取的私网 IPv4 地址， 用户的数据包被送到 NAT设备；
(3 ) NAT设备根据一定的规则， 把用户报文的源 IP和源端口转换成公网 IP地址 和端口后， NAT设备生成"源 IP+源端口 "和"转换后的源 IP+源端口 "的会话对应关系， 并把用户的数据报文送到 Internet, 完成 NAT正向转换； (4) Internet上返回给用户的 IP报文， 在 NAT设备上根据返程报文的目的 IP和 目的端口， 查找前面所述的公私网地址端口会话对应关系， 再把返程报文的目的地址 和目的端口再转换成用户发送报文的私网源 IP和源端口， 完成 NAT反向转换；
(5 ) 反向数据包最终以用户的私网 IP和端口为目的， 发送到用户主机。 因此， 在 NAT转换过程中， 根据用户访问 Internet的报文， NAT设备会生成一个
"源 IP+源端口 "和"转换后的源 IP+源端口 "的会话对应关系， 我们把这个关系叫做 Session (会话）， 当用户每次访问一次 Internet业务 （标识为一个目的 IP+目的端口）， NAT设备上就生成一条会话条目， 一个会话条目记录如下内容：
1 ) 用户访问的目的 IP和目的端口； 2) 用户的私网源 IP和源端口， 和用户经过 NAT转换后的公网源 IP和源端口；
3 ) 使用的协议。 私网用户每次访问 Internet, 只要 IP报文的 5元组 （源 IP、 源端口、 协议、 目的 IP、 目的端口） 不同， NAT设备就会建立一条 Session条目， 通过 Session条目的公私 网的对应关系， NAT设备可以进行正向或者反向的 NAT转换， 用户必须通过 NAT转 换把私网地址和端口替换成公网地址和端口后才能访问 Internet。 这种 Session条目的容量在 NAT设备上受硬件资源的限制，也就是一个 NAT设备 支持的 Session条目数目是有限的。 那么此时面临一种问题， 当私网用户主机中毒时， 用户主机会不断高速向 Internet发送目的 IP和目的端口变化的攻击报文， 比如可以高 达每秒 1000个不同的目的 IP和目的端口的组合， 由于攻击报文的 5元组是不断变化 并且是由合法用户主机发送， 因此， NAT设备会根据攻击报文生成不同的 Session, 由 于攻击报文的发送速率很高， 因此攻击报文生成的 Session会占据大量的 Session会话 资源， 并且有可能耗尽整个 NAT设备的 Session资源， 导致正常的用户不能合法访问 Internet 同样， NAT设备对新建 Session的处理能力也是有限的， 当攻击用户的 Session建 立速率超过了 NAT设备的处理能力， 正常的用户的 Session将无法建立， 同样会导致 正常用户不能合法访问 Intemet。 针对上述问题， 现有解决方案有 3种：
1 ) 设定攻击 Session会话的老化时间， 加快无效的 Session老化; 2) 限制每用户可用 Session数目， 这样即使用户主机中毒， 也只是耗尽该用户自 身的 Session而对其他正常用户没有影响；
3 ) 限制每用户的允许新建 Session速率， 从而抑制高速的攻击行为。 然而， 即使通过上述 3种解决方案， 当发生攻击行为时， 用户的 Session数目耗尽 后， 现有设备往往只能通过网管或系统日志告警方式通知运营商， 用户的宽带拨号网 络连接依然有效， 用户本身并不知道自己因为中毒导致了无法访问网络， 用户仍然会 投诉运营商， 这样会导致因为用户主机本身异常行为的投诉大规模增加。 针对相关技术中上述至少之一的问题， 目前尚未提出有效的解决方案。 发明内容 本发明实施例提供了一种网络地址转换技术的处理方法、 NAT设备及 BNG设备， 以至少解决相关技术中因用户主机本身异常行为而投诉运营商的问题。 根据本发明实施例的一个方面， 提供了一种网络地址转换技术的处理方法， 其包 括： 网络地址转换 NAT设备判断用户设备的会话建立是否达到预设阀值； 若是， 上述 NAT设备通知宽带网络网关 BNG设备对上述用户设备执行安全策略， 其中， 上述安 全策略用于阻止上述用户设备的攻击行为， 并通知上述用户设备上述用户设备存在攻 击行为。 优选地， 上述 BNG设备对上述用户设备执行上述安全策略包括： 上述 BNG设备 执行强推 Web页面策略， 将上述用户设备发送的 HTTP请求重定向至第一提示页面， 其中， 上述第一提示页面用于提醒上述用户设备的访问存在攻击行为。 优选地， 上述 BNG设备将上述用户设备发送的 HTTP请求重定向至第一提示页 面包括： 上述 BNG设备间隔预设周期将上述用户设备发送的 HTTP请求重定向至上 述第一提示页面。 优选地， 上述第一提示页面还作用提醒上述用户设备进行病毒和 /或木马的查杀。 优选地， 上述 BNG 设备对上述用户设备执行上述安全策略之后， 上述网络地址 转换技术的处理方法还包括： 上述 NAT设备通知上述 BNG设备对上述用户设备的访 问行为执行强制上述用户设备下线或将上述用户设备退回至未认证状态的操作， 并通 知认证授权计费 AAA服务器将上述用户设备标记或设置为存在攻击行为的用户设备， 其中， 上述第一提示页面还用于提醒上述用户设备将被强制下线或被退回至未认证状 态； 上述用户设备再次请求上线和 /或请求认证， 上述 AAA服务器对上述用户设备的 认证通过后，上述 AAA服务器通知上述 BNG设备对上述用户设备执行强推 Web页面 策略， 将上述用户设备的页面访问请求重定向至第二提示页面， 其中， 上述第二提示 页面用于提醒上述用户设备此前被强制下线或被退回至未认证状态是因为用户设备发 生了攻击行为， 若上述用户设备仍然存在攻击行为， 将再次被强制下线或被退回至未 认证状态， 并提醒上述用户设备进行病毒和 /或木马的查杀。 优选地， 上述 NAT设备包括以下之一： 与 BNG设备合设的 NAT设备； 与 BNG 设备分设的 NAT设备。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 上述 NAT设 备通过以下方式之一通知 BNG设备对上述用户设备执行安全策略： 上述 NAT设备将 上述用户设备的标识信息发送给安全策略服务器， 由安全策略服务器通知上述 BNG 设备对上述用户设备执行安全策略；上述 NAT设备将上述用户设备的标识信息发送给 上述 BNG设备， 来通知上述 BNG设备对上述用户设备执行安全策略。 优选地， 在上述 NAT设备通知 BNG设备对上述用户设备执行安全策略之后， 上 述网络地址转换技术的处理方法还包括：上述 NAT设备判断上述用户设备的会话建立 不符合上述预设阀值的情况下，或上述用户设备通过强推的 Web页面取消执行上述安 全策略的情况下， 上述 NAT设备通知上述 BNG设备取消对上述用户设备执行上述安 全策略。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 上述 NAT设 备通过以下方式之一通知 BNG设备取消对上述用户设备执行安全策略： 上述 NAT设 备将上述用户设备的标识信息发送给安全策略服务器， 由安全策略服务器通知上述 BNG设备取消对上述用户设备执行安全策略； 上述 NAT设备将上述用户设备的标识 信息发送给上述 BNG设备，来通知上述 BNG设备取消对上述用户设备执行安全策略。 优选地， 强推的万维网 （World Wide Web， 简称为 Web)页面位于公网的情况下， 且上述 NAT设备对上述用户设备的访问行为执行强推 Web页面操作的情况下， 上述 NAT设备为上述用户设备建立的会话包括： 上述用户设备与强推 Web页面的 HTTP 连接建立的会话。 优选地，用于上述 NAT设备判断用户设备的会话建立是否达到预设阀值的会话包 括以下至少之一： 上述用户设备的传输控制协议 TCP连接建立的会话； 上述用户设备 的网际控制信息协议 (Internet Control Message Protocol,简称为 ICMP)连接建立的会话； 上述用户设备的用户数据协议 UDP连接建立的会话。 优选地， 上述预设阀值包括以下至少之一： 上述用户设备建立会话的总数、 上述 用户设备建立会话的速率。 优选地， 上述方法还包括： 上述 NAT设备通知上述 BNG设备对上述用户设备执 行安全策略时， 上述 NAT设备加快上述用户设备的会话的老化。 根据本发明实施例的另一方面， 提供了一种 NAT设备， 其包括： 判断模块， 设置 为判断用户设备的会话建立是否达到预设阀值； 第一通知模块， 设置为在上述用户设 备的会话建立达到上述预设阀值的情况下， 通知宽带网络网关 BNG 设备对上述用户 设备执行安全策略， 其中， 上述安全策略用于阻止上述用户设备的攻击行为， 并通知 上述用户设备上述用户设备存在攻击行为。 优选地， 上述 NAT设备还包括： 第二通知模块， 设置为通知上述 BNG设备对上 述用户设备的访问行为执行强制上述用户设备下线或将上述用户设备退回至未认证状 态的操作， 并通知认证授权计费 AAA服务器将上述用户设备标记或设置为存在攻击 行为的用户设备， 其中， 上述第一提示页面还用于提醒上述用户设备将被强制下线或 被退回至未认证状态， 上述用户设备再次请求上线和 /或请求认证， 上述 AAA服务器 对上述用户设备的认证通过后， 上述 AAA服务器通知上述 BNG设备对上述用户设备 执行强推 Web页面策略， 将上述用户设备的页面访问请求重定向至第二提示页面， 其 中， 上述第二提示页面用于提醒上述用户设备此前被强制下线或被退回至未认证状态 是因为用户设备发生了攻击行为， 若上述用户设备仍然存在攻击行为， 将再次被强制 下线或被退回至未认证状态， 并提醒上述用户设备进行病毒和 /或木马的查杀。 优选地， 上述 NAT设备还包括： 第三通知模块， 设置为判断出上述用户设备的会 话建立不符合上述预设阀值的情况下，或上述用户设备通过强推的 Web页面取消执行 上述安全策略的情况下， 通知上述 BNG设备取消对上述用户设备执行上述安全策略。 优选地， 上述 NAT设备还包括： 处理模块， 设置为通知上述 BNG设备对上述用 户设备执行安全策略时， 加快上述用户设备的会话的老化。 根据本发明实施例的又一方面， 提供了一种 BNG设备， 其包括： 第一接收模块， 设置为接收 NAT设备发送的对用户设备执行安全策略的第一通知， 其中， 上述用户设 备的会话建立达到预设阀值， 上述安全策略用于阻止上述用户设备的攻击行为， 并通 知上述用户设备上述用户设备存在攻击行为； 重定向模块， 设置为对上述用户设备执 行强推 Web页面策略， 将上述用户设备发送的 HTTP请求重定向至第一提示页面， 其 中， 上述第一提示页面用于提醒上述用户设备的访问存在攻击行为。 优选地， 上述 BNG设备还包括： 第二接收模块， 设置为接收 NAT设备发送的对 上述用户设备的访问行为执行强制上述用户设备下线或将上述用户设备退回至未认证 状态的操作的第二通知； 处理模块， 设置为根据上述第二通知， 对上述用户设备的访 问行为执行强制上述用户设备下线或将上述用户设备退回至未认证状态的操作， 并通 知认证授权计费 AAA服务器将所述用户设备标记或设置为存在攻击行为的用户设备， 其中， 所述第一提示页面还用于提醒所述用户设备将被强制下线或被退回至未认证状 态， 所述用户设备再次请求上线和 /或请求认证， 所述 AAA服务器对所述用户设备的 认证通过后，所述 AAA服务器通知所述 BNG设备对所述用户设备执行强推 Web页面 策略， 将所述用户设备的页面访问请求重定向至第二提示页面， 其中， 所述第二提示 页面用于提醒所述用户设备此前被强制下线或被退回至未认证状态是因为用户设备发 生了攻击行为， 若所述用户设备仍然存在攻击行为， 将再次被强制下线或被退回至未 认证状态， 并提醒所述用户设备进行病毒和 /或木马的查杀。 在本发明实施例中， 通过 NAT设备判断用户设备的会话建立是否达到预设阀值， 该预设阀值可以是会话建立的数目或频率等， 若是， 上述 NAT设备通知 BNG设备对 上述用户设备执行安全策略， 其中， 该安全策略用于阻止上述用户设备的攻击行为， 并通知上述用户设备该用户设备存在攻击行为， 实现了在用户设备存在攻击行为时， 通过执行上述安全策略来阻止上述用户设备的攻击行为， 并提醒用户设备其存在攻击 行为， 以提醒用户对可能存在的病毒和木马进行查杀， 避免用于投诉运营商， 从而在 提高 NAT设备的利用率的同时， 改善用户体验。 附图说明 此处所说明的附图用来提供对本发明实施例的进一步理解，构成本申请的一部分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的不当限定。 在 附图中- 图 1是根据本发明实施例的网络地址转换技术的处理方法的流程图； 图 2是根据本发明实施例的网络架构示意图 1 ; 图 3是根据本发明实施例的网络架构示意图 2; 图 4是根据本发明实施例的网络架构示意图 3; 图 5是根据本发明实施例的 NAT设备的结构框图; 图 6是根据本发明实施例的 BNG设备的结构框图; 图 7是根据本发明实施例的网络示意图 1 ; 图 8是根据本发明实施例的网络地址转换技术的处理方法的流程示意图； 图 9是根据本发明实施例的网络地址转换技术的处理方法的流程示意图； 图 10是根据本发明实施例的网络地址转换技术的处理方法的流程示意图； 图 11是根据本发明实施例的网络示意图 2; 图 12是根据本发明实施例的网络地址转换技术的处理方法的流程示意图； 图 13是根据本发明实施例的网络地址转换技术的处理方法的流程示意图； 图 14是根据本发明实施例的网络示意图 3; 图 15是根据本发明实施例的网络地址转换技术的处理方法的流程示意图。 具体实施方式 下文中将参考附图并结合实施例来详细说明本发明。 需要说明的是， 在不冲突的 情况下， 本申请中的实施例及实施例中的特征可以相互组合。 本实施例提供了一种网络地址转换技术的处理方法， 如图 1所示， 该网络地址转 换技术的处理方法包括步骤 S102至步骤 S104。 步骤 S102: 网络地址转换 NAT设备判断用户设备的会话建立是否达到预设阀值。 步骤 S104: 若是， NAT设备通知宽带网络网关 BNG设备对用户设备执行安全策 略， 其中， 安全策略用于阻止用户设备的攻击行为， 并通知用户设备用户设备存在攻 击行为。 通过上述步骤， 通过 NAT设备判断用户设备的会话建立是否达到预设阀值， 该预 设阀值可以是会话建立的数目或频率等， 若是， 上述 NAT设备通知 BNG设备对上述 用户设备执行安全策略， 其中， 该安全策略用于阻止上述用户设备的攻击行为， 并通 知上述用户设备该用户设备存在攻击行为， 实现了在用户设备存在攻击行为时， 通过 执行上述安全策略来阻止上述用户设备的攻击行为，并提醒用户设备其存在攻击行为， 以提醒用户对可能存在的病毒和木马进行查杀，避免用于投诉运营商，从而在提高 NAT 设备的利用率的同时， 改善用户体验。 为了提高执行安全策略的便捷性， 在本优选实施例中， 上述 BNG 设备对上述用 户设备执行上述安全策略包括： 上述 BNG设备执行强推 Web页面策略， 将上述用户 设备发送的超文本传输协议 （Hypertext Transfer Protocol, 简称为 HTTP) 请求重定向 至第一提示页面， 其中， 上述第一提示页面用于提醒上述用户设备的访问存在攻击行 为。 为了提高 BNG设备的利用率， 在本优选实施例中， 上述 BNG设备将上述用户设 备发送的 HTTP请求重定向至第一提示页面包括： 上述 BNG设备间隔预设周期将上 述用户设备发送的 HTTP请求重定向至上述第一提示页面。 即上述 BNG设备可以截 获上述用户设备的所有 HTTP请求报文， 并重定向至上述第一提示页面， 也可以间隔 预设周期截获上述用户设备的 HTTP请求报文， 并重定向至上述第一提示页面。 为了让用户设备可以快速地解除攻击行为， 在本优选实施例中， 所述第一提示页 面还作用提醒所述用户设备进行病毒和 /或木马的查杀。 为了有效地阻止用户设备的攻击行为， 在本优选实施例中， 上述 BNG 设备对上 述用户设备执行上述安全策略之后， 上述网络地址转换技术的处理方法还包括： 上述 NAT设备通知上述 BNG设备对上述用户设备的访问行为执行强制上述用户设备下线 或将上述用户设备退回至未认证状态的操作， 并通知认证授权计费 （Authentication Authorization and Accounting,简称为 AAA)服务器将上述用户设备标记或设置为存在 攻击行为的用户设备， 其中， 上述第一提示页面还用于提醒上述用户设备将被强制下 线或被退回至未认证状态； 上述用户设备再次请求上线和 /或请求认证， 上述 AAA服 务器对上述用户设备的认证通过后， 上述 AAA服务器通知上述 BNG设备对上述用户 设备执行强推 Web页面策略，将上述用户设备的页面访问请求重定向至第二提示页面， 其中， 上述第二提示页面用于提醒上述用户设备此前被强制下线或被退回至未认证状 态是因为用户设备发生了攻击行为， 若上述用户设备仍然存在攻击行为， 将再次被强 制下线或被退回至未认证状态， 并提醒上述用户设备进行病毒和 /或木马的查杀。 优选地， 上述 NAT设备可以包括以下之一： 与 BNG设备合设的 NAT设备； 与
BNG设备分设的 NAT设备。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 实施上述 网络地址转换技术的处理方法的网络框架可以采用如图 2 所示的网络框架， 上述 NAT设备可以通过以下方式之一通知 BNG设备对上述用户设备执行安全策略： 上 述 NAT设备将上述用户设备的标识信息 （例如， 上述用户设备的转换后的公网 IP 地址和端口号段） 发送给安全策略服务器， 由安全策略服务器通知上述 BNG 设备 对上述用户设备执行安全策略；上述 NAT设备将上述用户设备的标识信息发送给上 述 BNG设备， 来通知上述 BNG设备对上述用户设备执行安全策略。 优选地， 当上述 NAT设备为与 BNG设备分设的 NAT设备， 实施上述网络地址转 换技术的处理方法的网络框架可以采用如图 3或 4所示的网络框架。 为了满足不同应用场景的需求， 在本优选实施例中， 在上述 NAT设备通知 BNG 设备对上述用户设备执行安全策略之后， 上述网络地址转换技术的处理方法还包括： 上述 NAT设备判断上述用户设备的会话建立不符合上述预设阀值的情况下，或上述用 户设备通过强推的 Web页面取消执行上述安全策略的情况下， 上述 NAT设备通知上 述 BNG设备取消对上述用户设备执行上述安全策略。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 上述 NAT设 备可以通过以下方式之一通知 BNG设备取消对上述用户设备执行安全策略：上述 NAT 设备将上述用户设备的标识信息发送给安全策略服务器， 由安全策略服务器通知上述 BNG设备取消对上述用户设备执行安全策略； 上述 NAT设备将上述用户设备的标识 信息发送给上述 BNG设备，来通知上述 BNG设备取消对上述用户设备执行安全策略。 优选地， 上述用户设备通过强推的 Web 页面取消执行上述安全策略可以包括：
Web服务器通过安全策略服务器发送用户策略给上述 NAT设备来取消执行上述安全 策略； 或者上述 Web服务器通知上述 NAT设备下发用户策略来取消执行上述安全策 略。 优选地， 强推的 Web页面位于公网的情况下， 且上述 NAT设备对上述用户设备 的访问行为执行强推 Web页面操作的情况下， 上述 NAT设备为上述用户设备建立的 会话可以包括： 上述用户设备与强推 Web页面的 HTTP连接建立的会话。 为了准确地确定出上述用户设备是否达到的上述预设阀值， 在本优选实施例中， 用于上述 NAT 设备判断用户设备的会话建立是否达到预设阀值的会话可以包括以下 至少之一： 上述用户设备的传输控制协议（Transfer Control Protocol, 简称为 TCP)连 接建立的会话； 上述用户设备的网际控制消息协议（Internet Control Message Protocol, 简称为 ICMP)接建立的会话； 上述用户设备的用户数据协议（User Date Protocol, 简 称为 UDP) 连接建立的会话。 优选地， 上述预设阀值包括以下至少之一： 上述用户设备建立会话的总数、 上述 用户设备建立会话的速率。 为了缩短用户会话的老化时间， 以及时地释放会话资源， 在本优选实施例中， 上 述方法还可以包括： 上述 NAT设备通知上述 BNG设备对上述用户设备执行安全策略 时， 上述 NAT设备加快上述用户设备的会话的老化。 优选地， 为了灵活地、 实时地提醒用户设备其存在攻击行为， 在本优选实施例中， 在执行用户安全策略的同时， 上述 NAT设备可以将上述用户设备的标识信息 （例如， 攻击 IP) 通知策略服务器， 通过策略服务器的第三方接口以其它形式通知用户设备， 例如， 可以通过短信通知、 电话通知、 各种 IM工具通知等方式。 本优选实施例提供了一种 NAT设备， 如图 5所示， 该 NAT设备包括： 判断模块 502， 用于判断用户设备的会话建立是否达到预设阀值； 第一通知模块 504， 连接至判 断模块 502， 设置为在上述用户设备的会话建立达到上述预设阀值的情况下， 通知宽 带网络网关 BNG 设备对上述用户设备执行安全策略， 其中， 上述安全策略用于阻止 上述用户设备的攻击行为， 并通知上述用户设备上述用户设备存在攻击行为。 在上述优选实施例中， 通过判断模块 502判断用户设备的会话建立是否达到预设 阀值，该预设阀值可以是会话建立的数目或频率等，若是，第一通知模块 504通知 BNG 设备对上述用户设备执行安全策略， 其中， 该安全策略用于阻止上述用户设备的攻击 行为， 并通知上述用户设备该用户设备存在攻击行为， 实现了在用户设备存在攻击行 为时， 通过执行上述安全策略来阻止上述用户设备的攻击行为， 并提醒用户设备其存 在攻击行为， 以提醒用户对可能存在的病毒和木马进行查杀， 避免用于投诉运营商， 从而在提高 NAT设备的利用率的同时， 改善用户体验。 为了有效地阻止用户设备的攻击行为，在本优选实施例中，上述 NAT设备还包括： 第二通知模块， 设置为通知上述 BNG 设备对上述用户设备的访问行为执行强制上述 用户设备下线或将上述用户设备退回至未认证状态的操作，并通知认证授权计费 AAA 服务器将上述用户设备标记或设置为存在攻击行为的用户设备， 其中， 上述第一提示 页面还用于提醒上述用户设备将被强制下线或被退回至未认证状态， 上述用户设备再 次请求上线和 /或请求认证，上述 AAA服务器对上述用户设备的认证通过后，上述 AAA 服务器通知上述 BNG设备对上述用户设备执行强推 Web页面策略， 将上述用户设备 的页面访问请求重定向至第二提示页面， 其中， 上述第二提示页面用于提醒上述用户 设备此前被强制下线或被退回至未认证状态是因为用户设备发生了攻击行为， 若上述 用户设备仍然存在攻击行为， 将再次被强制下线或被退回至未认证状态， 并提醒上述 用户设备进行病毒和 /或木马的查杀。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 上述第一通知 模块 504包括： 第一发送单元， 设置为将上述用户设备的标识信息 （例如， 上述用户 设备的转换后的公网 IP地址和端口号段）发送给安全策略服务器， 由安全策略服务器 通知上述 BNG设备对上述用户设备执行安全策略； 和 /或第二发送单元， 设置为将上 述用户设备的标识信息发送给上述 BNG设备， 来通知上述 BNG设备对上述用户设备 执行安全策略。 为了满足不同应用场景的需求， 在本优选实施例中， 上述 NAT设备还包括： 第三 通知模块， 设置为判断出上述用户设备的会话建立不符合上述预设阀值的情况下， 或 上述用户设备通过强推的 Web页面取消执行上述安全策略的情况下， 通知上述 BNG 设备取消对上述用户设备执行上述安全策略。 优选地， 上述 NAT设备为与 BNG设备合设的 NAT设备的情况下， 上述第三通知 模块包括： 第三发送单元， 设置为将上述用户设备的标识信息发送给安全策略服务器， 由安全策略服务器通知上述 BNG 设备取消对上述用户设备执行安全策略； 第四发送 单元， 设置为将上述用户设备的标识信息发送给上述 BNG设备， 来通知上述 BNG设 备取消对上述用户设备执行安全策略。 为了缩短用户会话的老化时间， 以及时地释放会话资源， 在本优选实施例中， 上 述网络地址转换设备还包括： 处理模块， 设置为通知上述 BNG 设备对上述用户设备 执行安全策略时， 加快上述用户设备的会话的老化。 本优选实施例提供了一种 BNG设备， 如图 6所示， 该 BNG设备包括： 第一接收 模块 602， 设置为接收 NAT设备发送的对用户设备执行安全策略的第一通知， 其中， 所述用户设备的会话建立达到预设阀值， 所述安全策略用于阻止所述用户设备的攻击 行为， 并通知所述用户设备所述用户设备存在攻击行为； 重定向模块 604， 连接至第 一接收模块 602， 设置为对所述用户设备执行强推 Web页面策略， 将所述用户设备发 送的 HTTP请求重定向至第一提示页面， 其中， 所述第一提示页面用于提醒所述用户 设备的访问存在攻击行为。 为了提高 BNG设备的利用率， 在本优选实施例中， 上述重定向模块 604， 设置为 间隔预设周期将上述用户设备发送的 HTTP请求重定向至上述第一提示页面。 即上述 BNG设备可以截获上述用户设备的所有 HTTP请求报文，并重定向至上述第一提示页 面， 也可以间隔预设周期截获上述用户设备的 HTTP请求报文， 并重定向至上述第一 提示页面。 为了有效地阻止用户设备的攻击行为， 在本优选实施例中， 上述 BNG 设备还包 括： 第二接收模块， 设置为接收 NAT设备发送的对上述用户设备的访问行为执行强制 上述用户设备下线或将上述用户设备退回至未认证状态的操作的第二通知；处理模块， 连接至第二接收模块， 设置为根据上述第二通知， 对上述用户设备的访问行为执行强 制上述用户设备下线或将上述用户设备退回至未认证状态的操作， 并通知认证授权计 费 AAA服务器将上述用户设备标记或设置为存在攻击行为的用户设备， 其中， 上述 第一提示页面还用于提醒上述用户设备将被强制下线或被退回至未认证状态， 上述用 户设备再次请求上线和 /或请求认证，上述 AAA服务器对上述用户设备的认证通过后， 上述 AAA服务器通知上述 BNG设备对上述用户设备执行强推 Web页面策略，将上述 用户设备的页面访问请求重定向至第二提示页面， 其中， 上述第二提示页面用于提醒 上述用户设备此前被强制下线或被退回至未认证状态是因为用户设备发生了攻击行 为， 若上述用户设备仍然存在攻击行为， 将再次被强制下线或被退回至未认证状态， 并提醒上述用户设备进行病毒和 /或木马的查杀。 优选地， 上述用户设备可以是以太网上点对点协议 （Point-to-Point Protocol over ethernet,简称为 PPPoE)用户设备、 以太网上网络协议 (Internet Protocol over ethernet, 简称为 IPoE) 用户设备、 移动互联网的用户设备等。 以下结合附图对上述各个优选实施例进行详细地描述。 在本优选实施例中， 以图 7所示的网络示意场景为例， 上述 NAT设备为融合式 NAT设备为例， 当 NAT用户 TCP攻击消耗的 Session (会话）数目达到了安全策略生 效的阀值 （相当于上述预设阀值）， 总是强推 Web页面， 用户通过 Web页面来主动取 消安全策略， 基于该网络场景， 如图 8所示， 上述网络地址转换技术的处理方法的流 程包括如下步骤： 步骤 S802， NAT 设备预先设置安全策略阀值为用户 Session数为最大允许值的 80%； 步骤 S804， 用户发生 TCP攻击行为， NAT设备判断已经到了安全策略生效阀值； 步骤 S806， NAT设备给用户下发强推标记， 随后截获用户所有到 80端口的 TCP 连接， 通过 HTTP重定向标记， 将用户所有的 HTTP访问请求重定向到运营商的 Web 提示页面 （相当于第一提示页面）提醒用户对可能存在病毒和木马进行查杀； NAT设 备同时动态加快用户的无效 Session的老化时间； 步骤 S808， 用户终端查杀病毒及木马后， 用户在运营商 Web页面上要求取消安 全策略； 步骤 S810， 运营商的 Web服务器告知策略服务器， 要求通知 NAT设备取消安全 策略； 步骤 S812， 策略服务器通知 NAT设备取消安全策略； 步骤 S814， 用户可以通过 NAT设备访问网络。
在本优选实施例中， 以图 7所示的网络示意场景为例， 上述 NAT设备为融合式 NAT设备为例，当 NAT用户 UDP攻击消耗的 Session达到了安全策略生效的阀值（相 当于上述预设阀值） 时， 周期性强推 Web页面， 当用户的攻击行为消失后 NAT设备 主动取消安全策略， 基于该网络场景， 如图 9所示， 上述网络地址转换技术的处理方 法的流程包括如下步骤： 步骤 S902， NAT设备预先设置安全策略阀值为用户 Session新建速率达到最大允 许值的 80%; 步骤 S904， 用户发生流量型操作系统攻击（UDP FLOOD)攻击行为， NAT设备 判断已经到了安全策略生效阀值； 步骤 S906， NAT设备给用户设置强推标记，随后截获用户到 80端口的 TCP连接， 通过 HTTP重定向标记，定期将用户的 HTTP访问请求重定向到运营商的 Web提示页 面。 用户部 分访问网页的 HTTP请求定期被重定向到运营商的 Web提示页面，提醒用户对可 能存在病毒和木马进行查杀； 步骤 S908， 用户终端查杀病毒及木马后， 用户的 UDP FLOOD攻击行为消失； 步骤 S910， NAT设备判断用户的新建 Session速率低于阀值， NAT设备取消用户 的安全策略； 步骤 S912， 用户可以通过 NAT设备访问网络。 在本优选实施例中， 以图 7所示的网络示意场景为例， 上述 NAT设备为融合式
NAT设备为例，当 NAT用户 TCP攻击消耗的 Session数目达到了安全策略生效的阀值 (相当于上述预设阀值）， 强推 Web页面并强制用户下线， 如图 10所示， 上述网络地 址转换技术的处理方法的流程包括如下步骤： 步骤 S1002， NAT设备预先设置安全策略阀值为用户 Session数为最大允许值的 80%； 步骤 S1004,用户发生 TCP攻击行为， NAT设备判断已经到了安全策略生效阀值； 步骤 S1006， NAT设备强制用户下线或退回未认证状态， 通知认证服务器下线原 因为 NAT Session攻击； 可选的， NAT设备在强制用户下线或退回未认证状态前， 强推 Web页面提示用户 即将下线或退回未认证状态， 提醒用户对可能的病毒或木马进行查杀后重新上线或发 起认证。 步骤 S1008, 用户再次拨号上线或发起认证请求， 认证成功后重新上线； 步骤 S1010, AAA服务器通知 NAT设备将用户的 HTTP请求重定向到运营商的 第二 Web提示页面 （相当于第二提示页面）； 步骤 S1012，NAT设备将用户的 HTTP请求重定向到运营商的第二 Web提示页面， 提醒用户前次下线原因并提醒用户对可能存在病毒和木马进行查杀； 步骤 S1014,第二 Web提示页面只强推一次，强推后用户可以通过 NAT设备访问 网络。 若用户未查杀病毒及木马或查杀不彻底， 导致攻击行为仍旧发生， 当用户 Session 数再次到达安全策略生效阀值， 用户再次被强制下线。 若用户成功进行了病毒及木马的查杀， 攻击行为不再发生， 则用户可以持续通过
NAT设备访问网络。 在本优选实施例中，以图 11所示的网络示意场景为例，上述 NAT设备为独立 NAT 设备或地址族转换路由器（Address Family Transition Router,简称为 AFTR)为例， NAT 用户 TCP攻击消耗的 Session数目达到了安全策略生效的阀值 (相当于上述预设阀值）， 通过策略服务器通知 BNG执行用户安全策略， 如图 12所示， 上述网络地址转换技术 的处理方法的流程包括如下步骤： 步骤 S1202， NAT设备预先设置安全策略阀值为用户 Session数为最大允许值的 80%； 步骤 S1204,用户发生 TCP攻击行为， NAT设备判断已经到了安全策略生效阀值； 步骤 S1206， NAT设备将用户 IP通知给策略服务器； 步骤 S1208, 策略服务器通知 BNG执行用户安全策略； 步骤 S1210， BNG执行用户安全策略， 通过重定向用户的 HTTP请求告知用户， 提醒用户对可能存在病毒和木马进行查杀； 步骤 S1212, 用户终端查杀病毒及木马后， 用户的 UDP FLOOD攻击行为消失。 NAT设备判断用户攻击行为消失， 将用户 IP通知给策略服务器； 步骤 S1214, 策略服务器通知 BNG取消安全策略； 步骤 S1216, 用户可以通过 NAT设备访问网络。 在本优选实施例中，以图 11所示的网络示意场景为例，上述 NAT设备为独立 NAT 设备或 AFTR为例， NAT用户 TCP攻击消耗的 Session数目达到了安全策略生效的阀 值 （相当于上述预设阀值）， 通知 BNG执行用户安全策略， 如图 13所示， 上述网络 地址转换技术的处理方法的流程包括如下步骤： 步骤 S1302，NAT设备预先设置安全策略阀值为用户 Session新建速率达到最大允 许值的 80% 步骤 S1304,用户发生 TCP攻击行为， NAT设备判断已经到了安全策略生效阀值； 步骤 S1306， NAT设备将用户 IP发送给 BNG， 通知 BNG执行用户安全策略； 步骤 S1308， BNG执行用户安全策略， 通过重定向用户的 HTTP请求告知用户， 提醒用户对可能存在病毒和木马进行查杀； 步骤 S1310, 用户终端查杀病毒及木马后， 用户的 UDP FLOOD攻击行为消失。 NAT设备判断用户攻击行为消失， 将用户 IP发送给 BNG， 通知 BNG取消安全策略； 步骤 S1312, 用户可以通过 NAT设备访问网络。 在本优选实施例中，以图 14所示的网络示意场景为例，上述 NAT设备为独立 NAT 设备或 NAT与 AC融合设备为例， NAT用户 TCP攻击消耗的 Session数目达到了安全 策略生效的阀值 （相当于上述预设阀值）， 通过策略服务器通知 BNG执行用户安全策 略， 如图 15所示， 上述网络地址转换技术的处理方法的流程包括如下步骤： 步骤 S1502， NAT设备预先设置安全策略阀值为用户 Session数为最大允许值的
80%； NAT设备为用户的私网地址分配用户地址翻译的公网地址和端口号段； 步骤 S1504,用户发生 TCP攻击行为， NAT设备判断已经到了安全策略生效阀值； 步骤 S1506， NAT设备将用户地址翻译后的公网 IP地址和端口号段通知给策略服 务器； 步骤 S1508, 策略服务器将用户的地址翻译后的公网 IP 地址和端口号段发送给
BNG, 通知 BNG执行用户安全策略； 步骤 S1510， BNG执行用户安全策略， 通过重定向用户的 HTTP请求告知用户， 提醒用户对可能存在病毒和木马进行查杀； 步骤 S1512, 用户终端查杀病毒及木马后， 用户的 UDP FLOOD攻击行为消失。 NAT设备判断用户攻击行为消失， 将用户 IP通知给策略服务器； 步骤 S1514, 策略服务器通知 BNG取消安全策略； 步骤 S1516, 用户可以通过 NAT设备和 BNG访问网络。 从以上的描述中， 可以看出， 上述优选实施例实现了如下技术效果： 通过 NAT设 备判断用户设备的会话建立是否达到预设阀值， 该预设阀值可以是会话建立的数目或 频率等， 若是， 上述 NAT设备通知 BNG设备对上述用户设备执行安全策略， 其中， 该安全策略用于阻止上述用户设备的攻击行为， 并通知上述用户设备该用户设备存在 攻击行为， 实现了在用户设备存在攻击行为时， 通过执行上述安全策略来阻止上述用 户设备的攻击行为， 并提醒用户设备其存在攻击行为， 以提醒用户对可能存在的病毒 和木马进行查杀， 避免用于投诉运营商， 从而在提高 NAT设备的利用率的同时， 改善 用户体验。 显然， 本领域的技术人员应该明白， 上述的本发明实施例的各模块或各步骤可以 用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布在多个计算 装置所组成的网络上， 优选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 并且在某些情况下， 可以以不同于 此处的顺序执行所示出或描述的步骤， 或者将它们分别制作成各个集成电路模块， 或 者将它们中的多个模块或步骤制作成单个集成电路模块来实现。 这样， 本发明实施例 不限制于任何特定的硬件和软件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技 术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和原则之内， 所作的 任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。 工业实用性 本发明实施例提供的技术方案可以应用于网络地址转换领域， 解决了因用户主机 本身异常行为而投诉运营商的问题， 实现了在用户设备存在攻击行为时， 通过执行上 述安全策略来阻止上述用户设备的攻击行为， 并提醒用户设备其存在攻击行为， 以提 醒用户对可能存在的病毒和木马进行查杀， 避免用于投诉运营商， 从而使 NAT设备的 利用率得到提高。

Claims

权 利 要 求 书
1. 一种网络地址转换技术的处理方法， 包括：
网络地址转换 NAT设备判断用户设备的会话建立是否达到预设阀值； 若是， 所述 NAT设备通知宽带网络网关 BNG设备对所述用户设备执行安 全策略， 其中， 所述安全策略用于阻止所述用户设备的攻击行为， 并通知所述 用户设备所述用户设备存在攻击行为。
2. 根据权利要求 1所述的方法， 其中， 所述 BNG设备对所述用户设备执行所述 安全策略包括：
所述 BNG设备执行强推 Web页面策略， 将所述用户设备发送的 HTTP请 求重定向至第一提示页面， 其中， 所述第一提示页面用于提醒所述用户设备的 访问存在攻击行为。
3. 根据权利要求 2所述的方法，其中，所述 BNG设备将所述用户设备发送的 HTTP 请求重定向至第一提示页面包括：
所述 BNG设备间隔预设周期将所述用户设备发送的 HTTP请求重定向至 所述第一提示页面。
4. 根据权利要求 2所述的方法， 其中， 所述第一提示页面还作用提醒所述用户设 备进行病毒和 /或木马的查杀。
5. 根据权利要求 2至 4中任一项所述的方法， 其中， 所述 BNG设备对所述用户 设备执行所述安全策略之后， 还包括：
所述 NAT设备通知所述 BNG设备对所述用户设备的访问行为执行强制所 述用户设备下线或将所述用户设备退回至未认证状态的操作， 并通知认证授权 计费 AAA服务器将所述用户设备标记或设置为存在攻击行为的用户设备， 其 中， 所述第一提示页面还用于提醒所述用户设备将被强制下线或被退回至未认 证状态；
所述用户设备再次请求上线和 /或请求认证， 所述 AAA服务器对所述用户 设备的认证通过后，所述 AAA服务器通知所述 BNG设备对所述用户设备执行 强推 Web页面策略， 将所述用户设备的页面访问请求重定向至第二提示页面， 其中， 所述第二提示页面用于提醒所述用户设备此前被强制下线或被退回至未 认证状态是因为用户设备发生了攻击行为，若所述用户设备仍然存在攻击行为， 将再次被强制下线或被退回至未认证状态， 并提醒所述用户设备进行病毒和 / 或木马的查杀。 根据权利要求 1至 4中任一项所述的方法，其中，所述 NAT设备包括以下之一： 与 BNG设备合设的 NAT设备；
与 BNG设备分设的 NAT设备。 根据权利要求 6所述的方法， 其中， 所述 NAT设备为与 BNG设备合设的 NAT 设备的情况下， 所述 NAT设备通过以下方式之一通知 BNG设备对所述用户设 备执行安全策略：
所述 NAT设备将所述用户设备的标识信息发送给安全策略服务器，由安全 策略服务器通知所述 BNG设备对所述用户设备执行安全策略；
所述 NAT设备将所述用户设备的标识信息发送给所述 BNG设备， 来通知 所述 BNG设备对所述用户设备执行安全策略。 根据权利要求 2至 7中任一项所述的方法， 其中， 在所述 NAT设备通知 BNG 设备对所述用户设备执行安全策略之后， 还包括：
所述 NAT 设备判断所述用户设备的会话建立不符合所述预设阀值的情况 下， 或所述用户设备通过强推的 Web页面取消执行所述安全策略的情况下， 所 述 NAT设备通知所述 BNG设备取消对所述用户设备执行所述安全策略。 根据权利要求 8所述的方法， 其中， 所述 NAT设备为与 BNG设备合设的 NAT 设备的情况下， 所述 NAT设备通过以下方式之一通知 BNG设备取消对所述用 户设备执行安全策略：
所述 NAT设备将所述用户设备的标识信息发送给安全策略服务器，由安全 策略服务器通知所述 BNG设备取消对所述用户设备执行安全策略；
所述 NAT设备将所述用户设备的标识信息发送给所述 BNG设备， 来通知 所述 BNG设备取消对所述用户设备执行安全策略。 根据权利要求 1至 7中任一项所述的方法， 其中， 强推的 Web页面位于公网的 情况下， 且所述 NAT设备对所述用户设备的访问行为执行强推 Web页面操作 的情况下，所述 NAT设备为所述用户设备建立的会话包括： 所述用户设备与强 推 Web页面的 HTTP连接建立的会话。
11. 根据权利要求 1至 7中任一项所述的方法，其中，用于所述 NAT设备判断用户 设备的会话建立是否达到预设阀值的会话包括以下至少之一- 所述用户设备的传输控制协议 TCP连接建立的会话；
所述用户设备的网际控制信息协议 ICMP连接建立的会话；
所述用户设备的用户数据协议 UDP连接建立的会话。
12. 根据权利要求 1至 7中任一项所述的方法， 其中， 所述预设阀值包括以下至少 之一：
所述用户设备建立会话的总数、 所述用户设备建立会话的速率。
13. 根据权利要求 1至 7中任一项所述的方法， 其中， 所述方法还包括：
所述 NAT设备通知所述 BNG设备对所述用户设备执行安全策略时， 所述 NAT设备加快所述用户设备的会话的老化。
14. 一种网络地址转换 NAT设备， 包括： 判断模块， 设置为判断用户设备的会话建立是否达到预设阀值； 第一通知模块， 设置为在所述用户设备的会话建立达到所述预设阀值的情 况下， 通知宽带网络网关 BNG设备对所述用户设备执行安全策略， 其中， 所 述安全策略用于阻止所述用户设备的攻击行为， 并通知所述用户设备所述用户 设备存在攻击行为。
15. 根据权利要求 14所述的 NAT设备， 其中， 还包括：
第二通知模块， 设置为通知所述 BNG设备对所述用户设备的访问行为执 行强制所述用户设备下线或将所述用户设备退回至未认证状态的操作， 并通知 认证授权计费 AAA服务器将所述用户设备标记或设置为存在攻击行为的用户 设备， 其中， 所述第一提示页面还用于提醒所述用户设备将被强制下线或被退 回至未认证状态， 所述用户设备再次请求上线和 /或请求认证， 所述 AAA服务 器对所述用户设备的认证通过后，所述 AAA服务器通知所述 BNG设备对所述 用户设备执行强推 Web页面策略，将所述用户设备的页面访问请求重定向至第 二提示页面， 其中， 所述第二提示页面用于提醒所述用户设备此前被强制下线 或被退回至未认证状态是因为用户设备发生了攻击行为， 若所述用户设备仍然 存在攻击行为， 将再次被强制下线或被退回至未认证状态， 并提醒所述用户设 备进行病毒和 /或木马的查杀。
16. 根据权利要求 14或 15中任一项所述的 NAT设备， 其中， 还包括
第三通知模块， 设置为判断出所述用户设备的会话建立不符合所述预设阀 值的情况下，或所述用户设备通过强推的 Web页面取消执行所述安全策略的情 况下， 通知所述 BNG设备取消对所述用户设备执行所述安全策略。
17. 根据权利要求 14或 15中任一项所述的 NAT设备， 其中， 还包括：
处理模块， 设置为通知所述 BNG设备对所述用户设备执行安全策略时， 加快所述用户设备的会话的老化。
18. 一种宽带网络网关 BNG设备， 包括：
第一接收模块，设置为接收 NAT设备发送的对用户设备执行安全策略的第 一通知， 其中， 所述用户设备的会话建立达到预设阀值， 所述安全策略用于阻 止所述用户设备的攻击行为，并通知所述用户设备所述用户设备存在攻击行为； 重定向模块， 设置为对所述用户设备执行强推 Web页面策略， 将所述用户 设备发送的 HTTP请求重定向至第一提示页面， 其中， 所述第一提示页面用于 提醒所述用户设备的访问存在攻击行为。
19. 根据权利要求 18所述的 BNG设备， 其中， 还包括：
第二接收模块，设置为接收 NAT设备发送的对所述用户设备的访问行为执 行强制所述用户设备下线或将所述用户设备退回至未认证状态的操作的第二通 知；
处理模块， 设置为根据所述第二通知， 对所述用户设备的访问行为执行强 制所述用户设备下线或将所述用户设备退回至未认证状态的操作， 并通知认证 授权计费 AAA服务器将所述用户设备标记或设置为存在攻击行为的用户设备， 其中， 所述第一提示页面还用于提醒所述用户设备将被强制下线或被退回至未 认证状态， 所述用户设备再次请求上线和 /或请求认证， 所述 AAA服务器对所 述用户设备的认证通过后，所述 AAA服务器通知所述 BNG设备对所述用户设 备执行强推 Web页面策略，将所述用户设备的页面访问请求重定向至第二提示 页面， 其中， 所述第二提示页面用于提醒所述用户设备此前被强制下线或被退 回至未认证状态是因为用户设备发生了攻击行为， 若所述用户设备仍然存在攻 击行为， 将再次被强制下线或被退回至未认证状态， 并提醒所述用户设备进行 病毒和 /或木马的查杀。
PCT/CN2013/082397 2012-11-14 2013-08-27 网络地址转换技术的处理方法、nat设备及bng设备 WO2014075485A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP13854514.0A EP2922263B1 (en) 2012-11-14 2013-08-27 Processing method for network address translation technology, nat device and bng device
ES13854514T ES2738106T3 (es) 2012-11-14 2013-08-27 Procedimiento de procesamiento para tecnología de traducción de direcciones de red, dispositivo de NAT y dispositivo de BNG
US14/442,549 US9998492B2 (en) 2012-11-14 2013-08-27 Processing method for network address translation technology, NAT device and BNG device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210456758.7A CN103812958B (zh) 2012-11-14 2012-11-14 网络地址转换技术的处理方法、nat设备及bng设备
CN201210456758.7 2012-11-14

Publications (1)

Publication Number Publication Date
WO2014075485A1 true WO2014075485A1 (zh) 2014-05-22

Family

ID=50709150

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/082397 WO2014075485A1 (zh) 2012-11-14 2013-08-27 网络地址转换技术的处理方法、nat设备及bng设备

Country Status (5)

Country Link
US (1) US9998492B2 (zh)
EP (1) EP2922263B1 (zh)
CN (1) CN103812958B (zh)
ES (1) ES2738106T3 (zh)
WO (1) WO2014075485A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112887265A (zh) * 2020-12-31 2021-06-01 浙江远望信息股份有限公司 一种针对nat下防止未注册终端伪造为合法通信的准入方法

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016206042A1 (en) * 2015-06-25 2016-12-29 Thomson Licensing Gateway and diagnosing method thereof
US10523715B1 (en) * 2016-08-26 2019-12-31 Symantec Corporation Analyzing requests from authenticated computing devices to detect and estimate the size of network address translation systems
CN106453350B (zh) * 2016-10-31 2021-06-11 新华三技术有限公司 一种防攻击的方法及装置
CN108683652A (zh) * 2018-05-04 2018-10-19 北京奇安信科技有限公司 一种基于行为权限的处理网络攻击行为的方法及装置
CN111431935B (zh) * 2020-04-16 2021-04-30 山东省计算中心（国家超级计算济南中心） 一种识别网站登录口令数据传输安全性的方法
CN116527628B (zh) * 2023-07-03 2023-09-29 北京左江科技股份有限公司 一种基于安全态势感知的网络地址转换方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040128539A1 (en) * 2002-12-30 2004-07-01 Intel Corporation Method and apparatus for denial of service attack preemption
CN1543115A (zh) * 2003-04-30 2004-11-03 ��Ϊ�������޹�˾ 一种防止网络用户对网络地址转换（nat）设备攻击的方法
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040047356A1 (en) * 2002-09-06 2004-03-11 Bauer Blaine D. Network traffic monitoring
US8255681B2 (en) * 2005-03-10 2012-08-28 Ibahn General Holdings Corporation Security for mobile devices in a wireless network
US9130974B2 (en) * 2007-04-18 2015-09-08 Mcafee, Inc. System and method for limiting spyware activity
CN101437021B (zh) 2007-11-16 2013-08-07 华为技术有限公司 一种对接入提示信息的处理方法、系统及装置
US9710645B2 (en) * 2010-12-23 2017-07-18 Ebay Inc. Systems and methods to detect and neutralize malware infected electronic communications
US8990891B1 (en) * 2011-04-19 2015-03-24 Pulse Secure, Llc Provisioning layer two network access for mobile devices
JP5957612B2 (ja) * 2012-09-25 2016-07-27 トムソン ライセンシングＴｈｏｍｓｏｎ Ｌｉｃｅｎｓｉｎｇ マイグラントによって引き起こされるコアネットワークトラフィックの低減

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040128539A1 (en) * 2002-12-30 2004-07-01 Intel Corporation Method and apparatus for denial of service attack preemption
CN1543115A (zh) * 2003-04-30 2004-11-03 ��Ϊ�������޹�˾ 一种防止网络用户对网络地址转换（nat）设备攻击的方法
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2922263A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112887265A (zh) * 2020-12-31 2021-06-01 浙江远望信息股份有限公司 一种针对nat下防止未注册终端伪造为合法通信的准入方法
CN112887265B (zh) * 2020-12-31 2024-03-26 浙江远望信息股份有限公司 一种针对nat下防止未注册终端伪造为合法通信的准入方法

Also Published As

Publication number Publication date
US9998492B2 (en) 2018-06-12
CN103812958B (zh) 2019-05-07
US20160285908A1 (en) 2016-09-29
EP2922263A4 (en) 2015-12-02
EP2922263B1 (en) 2019-04-24
EP2922263A1 (en) 2015-09-23
ES2738106T3 (es) 2020-01-20
CN103812958A (zh) 2014-05-21

Similar Documents

Publication Publication Date Title
US11838276B2 (en) Systems and methods for proxying encrypted traffic to protect origin servers from internet threats
US8670316B2 (en) Method and apparatus to control application messages between client and a server having a private network address
WO2014075485A1 (zh) 网络地址转换技术的处理方法、nat设备及bng设备
US7376134B2 (en) Privileged network routing
Gilad et al. LOT: A defense against IP spoofing and flooding attacks
WO2011129809A2 (en) Method for applying a host security service to a network
KR20120060655A (ko) 서버 공격을 탐지할 수 있는 라우팅 장치와 라우팅 방법 및 이를 이용한 네트워크
US9391954B2 (en) Security processing in active security devices
CN106656648B (zh) 基于家庭网关的应用流量动态保护方法、系统及家庭网关
WO2005109797A1 (ja) ネットワーク攻撃対策方法、ネットワーク攻撃対策装置及びネットワーク攻撃対策プログラム
WO2013056628A1 (zh) 实现心跳机制的方法、应用服务器、网络数据库及系统
WO2016177131A1 (zh) 防止dos攻击方法、装置和系统
WO2017143897A1 (zh) 一种攻击处理方法、设备及系统
CN108667829B (zh) 一种网络攻击的防护方法、装置及存储介质
Nagai et al. Design and implementation of an openflow-based tcp syn flood mitigation
WO2019096104A1 (zh) 攻击防范
WO2007115457A1 (fr) Point d'application de politiques et procédé et système de liaison pour système de détection d'intrus
US20180270270A1 (en) Method for Providing a Connection Between a Communications Service Provider and an Internet Protocol, IP, Server, Providing a Service, as well as a Perimeter Network, Comprising the IP Server, and an IP Server Providing the Service
Fowler et al. Impact of denial of service solutions on network quality of service
WO2019035488A1 (ja) 制御装置、通信システム、制御方法及びコンピュータプログラム
WO2010081321A1 (zh) 实现上送速率动态联动的方法、装置和系统
Cisco Command Reference
Cisco Command Reference
Cisco Command Reference
CN114465744A (zh) 一种安全访问方法及网络防火墙系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13854514

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14442549

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2013854514

Country of ref document: EP