[发明专利]一种NAT路由器流量识别方法

说明书

本发明公开了一种NAT路由器流量识别方法，针对每条流分别提取IP方向的TTL、IP选项信息组合成设备指纹，并从每个IP包的TCP头中提取设备的时间戳值，通过时钟频率计算、时钟相位差计算及匹配，识别NAT路由器流量。本发明不仅能够真正做到识别NAT路由器自身流量，而且能够标记流所属NAT路由器的生产厂商、产品型号等信息，为路由器流量分析提供更全面的情报。

技术领域

本发明属于网络流量分析领域，尤其涉及一种NAT路由器流量识别方法。

背景技术

NAT(网络地址转换)技术是一种私有网络访问公有网络的技术，大大缓解了IPv4地址枯竭的问题，广泛应用于家用路由器、企业网关、光猫等路由产品中。近年来，随着路由器攻击事件的频繁爆发，针对NAT路由器进行流量分析愈发重要。在以往的流量分析中，一般通过IP识别路由器，并关联路由器流量，但存在以下问题：无法区分NAT路由器及NAT后面路由器的自身流量与转发流量。一般情况下，路由器自身流量远远少于其转发流量，经过NAT后的流量具有相同的IP，采用IP关联流量的方法会将NAT后的所有流量关联为一个路由器，这不仅混入了大量的路由器转发流量，导致无法识别真正的路由器自身流量，而且无法跟踪记录路由器的真实行为，增加了路由器流量分析的复杂度。为了仅针对路由器进行流量分析，则需要精确识别并捕获NAT路由器的自身流量。

发明内容

本发明的目的就在于为了解决上述问题而提供一种NAT路由器流量识别方法，包括如下步骤：

S1:针对每条流分别提取IP方向的TTL、IP选项信息组合成设备指纹，并从每个IP包的TCP头中提取设备的时间戳值，计算与该方向第一个时间戳值的差，构成设备时间戳差值结合；

S2:将流中提取的TTL、IP选项信息组合的设备指纹在人工收集的静态设备指纹库中进行多模式匹配查找；若在指纹库中查找成功，则标记流并将流量与查找到的设备指纹关联，转S3；若在指纹库中查找失败，则该条流不是NAT路由器流量，转S5；

S3:在流结束时，根据时间戳差值集合的量级，计算时钟频率，采用线性规划计算时钟相位差；若时钟频率与时钟相位差计算成功则执行S4，否则执行S5；

S4:将计算求得的时钟频率、时钟相位差与关联的设备指纹里的时钟频率、时钟相位差进行匹配，若匹配成功，则标记该条流为NAT路由器流量；否则，该流非NAT路由器流量；

S5:当前流识别完成。

本发明的有益效果在于：本发明提供了一种能够识别NAT路由器自身流量的方法，解决了NAT环境下无法区分路由器自身流量与转发流量的问题；解决了过去基于IP识别路由器流量，在NAT环境下存在路由器流量过大、不易分析的问题，本方法将NAT路由器的流量降到了可分析的范围；本方法采用设备指纹识别NAT路由器流量，流量识别更精确；本发明不仅能够真正做到识别NAT路由器自身流量，而且能够标记流所属NAT路由器的生产厂商、产品型号等信息，为路由器流量分析提供更全面的情报。

附图说明

图1是本发明的原理图；

图2是本发明实施例的原理图。

具体实施方式

下面结合附图对本发明作进一步说明：

如图1所示，本发明一种NAT路由器流量识别方法，包括如下步骤：

S1:针对每条流分别提取IP方向的TTL、IP选项信息组合成设备指纹，并从每个IP包的TCP头中提取设备的时间戳值，计算与该方向第一个时间戳值的差，构成设备时间戳差值结合；