[发明专利]一种报文处理方法及家庭网关中的实时流协议应用层网关

说明书

技术领域

本发明涉及家庭网关中的网络安全领域，特别是涉及一种报文处理方法及 家庭网关中的实时流协议(RTSP，Real Time Streaming Protocol)应用层网关 (ALG，Application Layer Gateway)。

背景技术

目前，随着网络的发展，通过网络进行多媒体传输的应用越来越多，如网 络摄像头、网络视频播放等。那么，对于采用家庭网关上网的很多用户来讲， 其所采用的家庭网关使用RTSP在私有网络和公共网络之间进行通信。其中，使 用RTSP的用户可打开多个对服务器的传输连接，但如果用户需要通过一个服务 器从另外一个服务器下发媒体流，则由于RTSP在报文交互过程中需要确定媒体 流的端口以及网际协议(IP，Internet Protocol)地址，而此时局域网(LAN) 侧发出的报文中所带的IP地址是LAN侧的IP地址，这就会导致网络无法连接。 另外，如果从一个服务器本身下发媒体流，此时则不需要协商IP，但媒体流到 来时，家庭网关则无法知道转发给哪个LAN侧的客户端(PC)。对于上述的两 种情况，可利用RTSP ALG来对报文中相应的数据进行修改，例如：建立下一 个报文的源IP地址和目的IP地址的连接即期望连接，并等待媒体流的到来，如 果媒体流的源IP地址、目的IP地址和目的端口都是期望的，则对到来的媒体流 的目的端口和IP地址进行修改，以实现数据的传输。

然而，此时会带来另外一个问题：如果服务器想换一个服务器下发媒体流 时，此时则需协商IP地址，而RTSP在客户端和服务器端的协商过程中，会提供 很多种形式的端口供服务器选择，如端口5009-5010，因此就可能创建多条以后 不会使用的期望连接，而攻击者可以构造满足期望连接要求的数据包，并利用 上述未使用的期望连接与LAN侧PC建立连接，将其所构造的数据包发送给家庭 网关，从而为攻击提供了条件。

另外，因为一般的家庭网关中直接修改客户端携带端口的报文中的端口， 服务器选择后，客户端就默认使用修改后的端口作为其媒体流报文收发端口。 此时，如果多个LAN侧PC不接受修改的端口，则多台LAN侧PC一起与服务器建 立连接时，第一个建立期望连接的PC因媒体流报文收发端口未被使用，而不需 要修改端口便能成功建立期望连接，但是第二个以后的PC使用同样端口作为媒 体流报文收发端口时，则会被家庭网关修改端口，所以所述PC如果不接受修改 后的端口作为其媒体流报文收发端口，则不能正常播放服务器下发媒体流。此 时，一个家庭网关上下挂多个LAN侧PC是不能使用同一个端口的。

发明内容

有鉴于此，本发明的主要目的在于提供一种报文处理方法及家庭网关中的 实时流协议应用层网关，能够建立多条具有使能参数的期望连接，且防止了通 过期望连接进行的攻击。

为达到上述目的，本发明公开了一种报文处理方法，包括：家庭网关根据 客户端提供的媒体流报文收发端口建立期望连接，禁用所建立的期望连接并记 录所述媒体流报文收发端口，将用于建立期望连接的端口发送给服务器选择； 家庭网关根据服务器选择的端口，启用服务器所选择的端口对应的期望连接， 等待数据报文到来；期望连接有数据报文到来时，判断该数据报文是否具有对 应的连接跟踪CONNTRACK记录；如果没有对应的CONNTRACK记录，则在判 断得知所述数据报文所属的期望连接处于启用状态时，使所述数据报文的目的 端口和IP地址分别与客户端媒体流报文收发端口和IP地址一致，建立所述数据 报文的对应的CONNTRACK记录，并删除向该CONNTRACK记录提供建立依据 的期望连接，结束本次数据报文的处理；如果有对应的CONNTRACK记录，则 根据CONNTRACK记录使所述数据报文的目的端口和IP地址分别与客户端媒 体流报文收发端口和IP地址一致。

上述方法中，在所述数据报文没有对应的CONNTRACK记录的情况下，当 判断得知所述数据报文所属的期望连接处于禁用状态时，直接丢弃所述数据报 文，并结束本次数据报文的处理；其中，所述CONNTRACK记录描述所述数据 报文连接的属性和状态，包括：源端口和IP地址、目的端口和IP地址、协议类 型。