[发明专利]一种NAT后主机数量检测方法

权利要求书

1.一种NAT后主机数量检测方法，其特征在于，包括如下步骤：

S1、根据每一种操作系统特征将流量按照操作系统类型进行分类；

S2、针对每一类操作系统所对应的流量，确定一个待检应用程序，针对每一类操作系统，根据部署环境，选择用户使用量第一的应用程序作为此类操作系统的待检应用程序；

S3、针对每一类操作系统对应的流量，统计其对应待检应用程序包含的TCP长连接，确定每一类操作系统对应的主机数量；

S4、根据每一类操作系统对应的主机数量，得到NAT后主机的总数。

2.根据权利要求1所述的一种NAT后主机数量检测方法，其特征在于，

所述步骤S1中涉及的操作系统特征是操作系统指纹特征，每一类操作系统指纹特征是在网络数据包中能标志发送方所安装的操作系统类型的信息。

3.根据权利要求2所述的一种NAT后主机数量检测方法，其特征在于，

以IP报文值与TCP报文窗口大小值的组合作为识别操作系统的指纹特征。

4.根据权利要求1所述的一种NAT后主机数量检测方法，其特征在于，所述步骤S3中，针对每一种操作系统，遍历其对应流量中的所有TCP连接记录，统计TCP连接记录中的其对应待检应用程序对应的TCP长连接数，包括如下步骤：

S31、读取操作系统下统计的一条TCP连接记录；

S32、判断步骤S31读取的TCP连接记录中的源IP或者目的IP是否位于此类操作系统的待检应用程序对应服务器IP网段内，若是，转到步骤S33；若否，转到步骤S35；

S33、判断此条TCP连接的持续时间是否大于时间阈值,若是，转到步骤S34；若否，转到步骤S35；

S34、判断此条TCP连接的数据传输速率是否小于速率阈值，若是，则本类操作系统下的待检应用程序的长连接数加1；若否，转到步骤S35；

S35、判断是否遍历完此类操作系统下的所有TCP连接，若是，本类操作系统对应的待检应用程序的TCP长连接数统计结束，转到下一类操作系统，针对下一类操作系统重复执行步骤S31至S35，直到遍历完所有类型操作系统的TCP连接记录；若否，转到步骤S31。

5.根据权利要求4所述的一种NAT后主机数量检测方法，其特征在于，每一类操作系统对应的待检应用程序包含的TCP长连接数即为此类操作系统对应的主机数量。

6.根据权利要求5所述的一种NAT后主机数量检测方法，其特征在于，

时间阈值根据不同部署环境由试验确定；

同类操作系统对应的不同待检应用程序，其时间阈值不一致。

7.根据权利要求6所述的一种NAT后主机数量检测方法，其特征在于，

时间阈值为以下三者之一：10分钟、已释放的TCP连接中持续时间最长的一条TCP连接的持续时间的2倍、30分钟。

8.根据权利要求7所述的一种NAT后主机数量检测方法，其特征在于，

速率阈值根据不同部署环境由实验确定；

同类操作系统对应的不同待检应用程序，其速率阈值不一致。

9.根据权利要求8所述的一种NAT后主机数量检测方法，其特征在于，

速率阈值为不同部署环境下测量得到的待检应用程序TCP长连接上单次数据交互所传输的最大数据量与测量得到的待检应用程序TCP长连接上每两次数据交互之间的最短时间间隔的比值乘以调整系数，调整系数是1至5范围内的任意正整数。

10.一种计算机可读存储介质，其特征在于，其上包含有能够实现权利要求1至9任一所述方法的程序。

11.一种计算机设备，包括存储器和处理器，在所述存储器上存储有能够在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至9中任一项所述的方法的步骤。