[发明专利]一种用于网络地址转换环境下用户溯源的系统与方法

说明书

技术领域

本发明涉及网络通信技术，尤其涉及一种用于网络地址转换(NAT)环境下用户溯源的系统与方法。

背景技术

为了完成从IPv4向IPv6的过渡，一系列迁移技术被开发出来，如双栈、轻量级双栈(DS-Lite，Dual Stack Lite)、Xlate-Stateful(NAT64，一种IPv6到IPv4的地址及协议翻译技术)等。上述迁移技术要求在运营商的网络侧部署NAT机制。

NAT机制通常被集成到路由器、防火墙上或者部署在单独的NAT设备中。

然而，NAT机制对地址、端口号及协议进行转换，在使用NAT时，Internet上的主机表面上看起来直接与NAT设备通信，而实际上并非与专用网络中实际的主机通信，破环了端到端的通信模型，这样，在公网IPv4地址被复用的情况下，为用户溯源带来困难。

发明内容

有鉴于此，本发明的主要目的在于提供一种用于NAT环境下用户溯源的系统与方法，能够在部署NAT技术的网络中，在公网IPv4地址被复用的情况下实现用户溯源，增强网络中端到端的透明性，减少网络通信的安全隐患。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供的一种实现用于NAT环境下用户溯源的系统，该系统包括：NAT设备、AAA及网管平台；其中，

NAT设备，用于根据NAT映射表项的状态生成相应的NAT日志信息，并向AAA及网管平台上传所述NAT日志信息；

AAA及网管平台，用于接收NAT日志信息，存储用户的验证、授权和记账(AAA，Authentication、Authorization、Accounting)记录信息，并将NAT日志信息与用户的AAA记录信息结合生成用户溯源数据库。

上述方案中，所述NAT设备包括：NAT功能模块、日志生成模块、日志上传模块；其中，

NAT功能模块，用于接收来自用户侧的数据包，根据数据包头信息查询NAT映射表，在NAT映射表中没有表项与数据包头信息匹配时，新建一条NAT映射表项，通知日志生成模块；

日志生成模块，用于根据NAT映射表项的状态生成相应的NAT日志信息，之后通知日志上传模块；

日志上传模块，用于将日志生成模块生成的NAT日志信息上传至AAA及网管平台。

上述方案中，所述NAT日志信息为活动日志信息、或历史日志信息；

所述日志生成模块根据NAT映射表项的状态生成相应的NAT日志信息，具体为：日志生成模块根据新建的NAT映射表项，生成一条活动日志信息；当NAT映射表项被删除时，所述日志生成模块查找被删除的NAT映射表项所对应的活动日志信息，将所述活动日志信息设置为历史日志信息。

上述方案中，所述活动日志信息中记录IP地址、端口号、表项建立时间、设置为0的结束时间；

所述将活动日志设置为历史日志具体为：将NAT映射表项删除时间填入活动日志信息中的结束时间字段。

上述方案中，所述AAA及网管平台包括：AAA服务器、日志处理服务器；其中，

AAA服务器，用于存储用户的AAA记录信息；

日志处理服务器，用于接收NAT日志信息，并将所述NAT日志信息与AAA服务器中的AAA记录信息结合生成用户溯源数据库。

上述方案中，所述日志处理服务器将所述NAT日志信息与AAA服务器中的AAA记录信息结合生成用户溯源数据库，具体为：日志处理服务器将所述NAT日志信息与AAA服务器中的AAA记录信息通过关键字进行关联，得到用户溯源数据库。

本发明提供的一种用于NAT环境下用户溯源的方法，该方法包括：

根据NAT映射表项的状态生成相应的NAT日志信息；

将所述NAT日志信息与用户的AAA记录信息结合生成用户溯源数据库。

上述方案中，所述NAT日志信息为活动日志信息、或历史日志信息；

上述方案中，所述根据NAT映射表项的状态生成相应的NAT日志信息，具体为：根据新建的NAT映射表项，生成一条活动日志信息；当NAT映射表项被删除时，查找被删除的NAT映射表项所对应的活动日志信息，将所述活动日志信息设置为历史日志信息。

上述方案中，所述新建NAT映射表项具体为：NAT设备接收来自用户侧发送的数据包，根据数据包头信息查询NAT映射表，在NAT映射表中没有表项与数据包头信息匹配时，新建一条NAT映射表项。