[发明专利]一种应用层网关的报文关联方法及装置

说明书

本发明涉及一种应用层网关的报文关联方法及装置，上述方法包括：获取流量探针接入的第一网络流量和第二网络流量；分别读取第一网络流量和所述第二网络流量的至少一种报文特征信息；对所述第一网络流量和所述第二网络流量对应的应用层协议进行解析，确定报文应用层协议类型；针对不同的报文应用层协议类型，根据所述至少一种报文特征信息，判断所述第一网络流量和所述第二网络流量是否属于同一报文。本发明高效快捷实现DNAT+ALG转换前后同一个报文的关联，可应用于对流量进行溯源的流量分析、网络安全、网络监控设备等多种领域。

技术领域

本发明计算机安全技术领域，尤其涉及一种应用层网关的报文关联方法及装置。

背景技术

NAT英文全称是“Network Address Translation”，中文意思是“网络地址转换”，它是一个IETF(Internet Engineering Task Force，Internet工程任务组)标准，是一种把内部私有IP地址翻译成公有IP地址的技术；其中，DNAT是指目的地址转换，用于内部网络对外提供服务，外部网络主动发起连接请求，路由器或者网关设备对请求报文的目的地址做NAT，将公有IP转换为私有IP，进而访问内部网络的服务。而ALG的英文全称是ApplicationLevel Gateway，中文名是应用层网关，主要完成对报文应用层的处理。NAT只对报文传输层中的IP地址和端口信息进行转换，然而有一些特殊协议，在报文的数据载荷中携带了连接所需要的IP地址或端口信息，这些信息在数据载荷中，NAT不处理这些内容，这就是ALG的用武之地。

一个报文在经过DNAT+ALG之后，目的IP(或者IP+端口)发生了转换，这样同一个报文在转换前后五元组(源IP、源端口、目的IP、目的端口、协议类型)就不一样了，很多流量分析设备、网络安全设备需要对DNAT+ALG前后的同一个报文进行追踪，但DNAT+ALG设备(例如路由器或者网关)上才有转换前后的对应关系，第三方设备无法得到，除非DNAT+ALG设备开放查询接口，这在实际应用中不具有可行性。因此，现在亟需一种实现高效快速在应用层网关进行报文关联的方法来解决上述问题。

发明内容

有鉴于此，有必要提供及一种应用层网关的报文关联方法及装置，用以克服现有技术中对经过DNAT+ALG的流量报文关联困难的问题。

为了解决上述技术问题，本发明提供一种应用层网关的报文关联方法，包括：

获取流量探针接入的第一网络流量和第二网络流量，其中，所述第一网络流量为经网络地址转换和/或应用层网关处理之前的原报文，所述第二网络流量为经网络地址转换和/或应用层网关处理之后的转换报文；

分别读取所述第一网络流量和所述第二网络流量的至少一种报文特征信息；

对所述第一网络流量和所述第二网络流量对应的应用层协议进行解析，确定报文应用层协议类型；

针对不同的报文应用层协议类型，根据所述至少一种报文特征信息，判断所述第一网络流量和所述第二网络流量是否属于同一报文。

进一步地，所述流量探针的上一个接口接入所述第一网络流量，所述流量探针的下一个接口接入所述第二网络流量。

进一步地，所述至少一种报文特征信息包括第一五元组信息、第一方向信息、第一时间信息、第二五元组信息、第二方向信息、第二时间信息、TCP包的SEQ序号、UDP包数据载荷的MD5值中的至少一种，所述分别读取所述第一网络流量和所述第二网络流量的至少一种报文特征信息，包括：

读取所述第一网络流量的第一五元组信息、第一方向信息、第一时间信息；