一种网络地址转换信息管理系统及方法

1.一种网络地址转换信息管理系统，其特征在于，该系统包括：
网络地址转换模块，用于根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话老化状态的老化标志和指示会话的创建日志是否输出的日志输出标志；
网络地址转换会话缓存，用于存储所述会话；
第一处理模块，用于定期查询网络地址转换会话缓存中的会话，根据会话的老化标志识别老化的会话，产生删除日志输出指令并删除该会话；
第一日志输出模块，用于接收所述删除日志输出指令，输出会话的删除日志；
第二处理模块，用于根据会话中的日志输出标志识别未输出创建日志的会话，生成该会话的创建日志并产生创建日志输出指令；
第二日志输出模块，接收所述创建日志输出指令，输出会话的创建日志；以及日志输出标志更新模块，用于根据所述会话日志输出指令更新所述日志输出标志。
2.根据权利要求1所述的系统，其特征在于，该系统还包括：
老化标志更新模块，用于更新所述老化标志。
3.根据权利要求1所述的系统，其特征在于，该系统还包括：
活跃信息输出模块，用于在会话中的老化标志整除预设的输出时间间隔对应的老化标志值时，输出会话的活跃信息。
4.一种网络地址转换信息管理方法，其特征在于，该方法包括：
根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话老化状态的老化标志和指示会话的创建日志是否输出的日志输出标志；
存储所述会话；
定期查询存储的会话，根据所述老化标志识别老化的会话，输出该老化的会话对应的删除日志并删除该老化的会话；
根据会话中的日志输出标志识别未输出创建日志的会话，生成并输出该会话的创建日志；输出会话的创建日志后更新会话的日志输出标志。
5.根据权利要求4所述的方法，其特征在于，所述根据所述老化标志识别老化的会话，输出该老化的会话对应的删除日志并删除该老化的会话之前还包括：更新所述老化标志。
6.根据权利要求4所述的方法，其特征在于，该方法还包括：
在会话中的老化标志整除预设的输出时间间隔对应的老化标志值时，输出会话的活跃信息。

一种网络地址转换信息管理系统及方法\n技术领域\n[0001] 本发明涉及网络安全技术，尤其涉及一种网络地址转换信息管理系统及方法。\n背景技术\n[0002] 网络地址转换(Network Address Translation，NAT)用于将一个地址域映射到另一个地址域，可以满足内网用户通过一个公用IP访问外网的需要等。同时根据公安部要求，互联网服务提供者和联网使用单位必须能记录和留存用户的上网记录、网络地址转换记录(NAT日志)等(可参见公安部令第82号《互联网安全保护技术措施规定》第十条第三款和第十三条)。因此在网络设备中在实现NAT转换的同时，必须实现NAT日志的收集和输出。\n[0003] 传统的NAT转换和NAT日志收集及输出各自独立。NAT转换模块为了提高自身转换速率，往往需要维护一个庞大的NAT会话缓存(NAT Session Cache)结构，该NAT会话缓存只用来保存NAT转换的全部NAT会话信息，当会话老化后，该老化的会话将直接从NAT会话缓存中删除，不再保存。NAT日志的收集及输出模块需要依靠NAT转换模块调用相应的日志收集接口来获取并保存NAT转换信息。\n[0004] 目前这种方案在流量增大后会存在如下问题：\n[0005] (1)如果采用同步的日志输出方案，会造成整体性能的严重下降(在同一个进程里处理NAT转换和NAT日志收集及输出)。在图1所示的NAT转换信息管理系统中，NAT转换模块收到NAT转换请求后，计算获得所需的转换信息，完成相应NAT转换后，把相应的转换信息储存在NAT会话缓存中(例如图1中的实框“NAT会话缓存”。下次接收到相同的NAT转换请求后，直接从该NAT会话缓存中读取相应的转换信息进行转换，不用再次计算)，同时调用NAT日志收集及输出模块的日志收集接口向外部设备输出NAT日志信息。这时候CPU需要同时处理NAT转换和日志收集及输出。\n[0006] (2)如果采用异步的日志输出(异步指在不同进程里处理NAT转换和NAT日志收集及输出)，则NAT日志收集及输出模块需要采用额外的空间(例如图1中的虚框“NAT会话缓存”)来保存NAT会话信息。为了达到日志聚合输出或者避免日志信息输出丢失，现有异步的日志输出方案必须在NAT日志收集及输出模块中维护一个NAT日志缓存。通常情况下，NAT日志输出速率远小于NAT转换速率，这样在网络流量高峰时，NAT转换模块生成大量新的NAT会话，相应产生大量的NAT日志信息(如创建日志、删除日志等)，这些日志信息传送到NAT日志收集及输出模块中，NAT日志收集及输出模块来不及输出，为了避免日志信息的丢失，还必须创建新的缓存空间来存储这些NAT日志信息，因此所需要的缓存空间将快速地增大，消耗大量的内存空间资源。\n[0007] 为了克服上述的缺点，业界的主要解决方案一般通过增加额外的系统资源来实现，例如采用多核处理器或其它性能更强的处理器，通过提升处理器的处理能力来满足整体性能输出的要求；也可以采用增加内存空间的方法，用来临时存储尚未输出的日志信息，从而保证日志不会丢失。\n[0008] 专利申请号为200610035653.9的中国专利申请中公开了一种网络地址转换方法及实现访问控制列表的方法，该发明专利申请通过在网络地址转换和访问控制列表过程中增加日志记录，通过日志可查看用户的网络地址转换和访问控制列表的历史信息，以及查看用户的上下线时间，当网络遭到攻击用户又已经下线时，能准确判断攻击来源及攻击时间长短。该专利申请中日志收集是与网络地址转换分开的。网络地址转换信息的收集输出采用同步的日志输出方案。该专利申请对现有技术方案进行了部分的改进，在日志信息输出前进行了缓存处理。但是它仍然无法避免同步输出的缺点。处理器同时需要处理网络地址转换模块和日志信息输出模块。特别是在日志信息输出模块需要占有大量的处理器资源时(如图2中虚框所示)，处理器需要判断日志缓存是否已满，如果已满还需将缓存内容转发到外置存储设备保存并清空缓存，然后才能进行网络地址转换，因此整体日志输出效率仍会大幅度下降。\n发明内容\n[0009] 本发明的主要目的在于提供一种网络地址转换信息管理方法，使NAT转换和NAT日志收集及输出功能结合起来，既体现异步输出的优点，又减少异步输出的不足。\n[0010] 相应地，本发明还提供一种网络地址转换信息管理系统。\n[0011] 为了实现上述目的，本发明一实施例的网络地址转换信息管理方法包括：\n[0012] 根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话老化状态的老化标志和指示会话的创建日志是否输出的日志输出标志；\n[0013] 存储所述会话；\n[0014] 定期查询存储的会话，根据所述老化标志识别老化的会话，输出该老化的会话对应的删除日志并删除该老化的会话；\n[0015] 根据会话中的日志输出标志识别未输出创建日志的会话，生成并输出该会话的创建日志；输出会话的创建日志后更新会话的日志输出标志。\n[0016] 本发明另一实施例的网络地址转换信息管理方法包括：\n[0017] 根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话的创建日志是否输出的日志输出标志；\n[0018] 存储所述会话；\n[0019] 定期查询存储的会话，根据会话中的日志输出标志识别未输出创建日志的会话，生成并输出该会话的创建日志。\n[0020] 本发明一实施例的网络地址转换信息的管理系统包括：\n[0021] 网络地址转换模块，用于根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话老化状态的老化标志和指示会话的创建日志是否输出的日志输出标志；\n[0022] 网络地址转换会话缓存，用于存储所述会话；\n[0023] 第一处理模块，用于定期查询网络地址转换会话缓存中的会话，根据所述老化标志识别老化的会话，产生删除日志输出指令并删除该会话；\n[0024] 第一日志输出模块，用于接收所述删除日志输出指令，输出会话的删除日志；\n[0025] 第二处理模块，用于根据会话中的日志输出标志识别未输出创建日志的会话，生成该会话的创建日志并产生创建日志输出指令；\n[0026] 第二日志输出模块，接收所述创建日志输出指令，输出会话的创建日志；以及[0027] 日志输出标志更新模块，用于根据所述会话日志输出指令更新所述日志输出标志。\n[0028] 本发明另一实施例的网络地址转换信息的管理系统包括：\n[0029] 网络地址转换模块，用于根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示会话的创建日志是否输出的日志输出标志；\n[0030] 网络地址转换会话缓存，用于存储所述会话；\n[0031] 处理模块，用于定期查询网络地址转换会话缓存中的会话，根据会话中的日志输出标志识别未输出创建日志的会话，生成该会话的创建日志并产生创建日志输出指令；以及\n[0032] 日志输出模块，用于接收所述日志输出指令，输出创建日志。\n[0033] 本发明实施例充分把NAT转换和NAT日志收集及输出功能结合起来，既具有异步输出的优点(能保证NAT转换模块的转换处理效率，无需增加额外的处理器资源)，又减少了异步输出的不足，体现出同步输出的优点，即减少了缓存空间的使用，无需增加额外的内存空间。\n附图说明\n[0034] 此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，并不构成对本发明的限定。在附图中：\n[0035] 图1为现有技术中一网络地址转换信息管理系统的示意图；\n[0036] 图2为现有技术中网络地址转化方法的流程图；\n[0037] 图3为现有技术中另一网络地址转换信息管理系统示意图；\n[0038] 图4本发明实施例的网络地址转换信息管理系统示意图；\n[0039] 图5为本发明实施例的管理网络地址转换信息的方法流程图；\n[0040] 图6为本发明实施例中日志信息输出的流程图；\n[0041] 图7为NAT会话缓存中查找会话的示意图。\n具体实施方式\n[0042] 为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明的具体实施例进行详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。\n[0043] 在现有技术的NAT转换信息管理系统中，可以设置老化处理模块，也可以不设置老化处理模块。设置老化处理模块时(如图3所示)，由老化处理模块进行NAT会话缓存中会话的老化判断及处理(包括老化会话的删除)。不设置老化处理模块时(如图1所示)，由NAT转换模块完成NAT会话的老化处理，如定时向NAT会话缓存发送删除请求，请求删除老化的会话，由NAT会话缓存直接从该缓存中删除。\n[0044] 本发明实施例中，老化处理模块既负责会话的老化处理，又负责会话日志的输出处理(输出的会话日志可包括创建会话日志、删除会话日志和活跃信息中的至少之一)。\n[0045] 如图4所示为本发明实施例的NAT转换系统的示意图。如图4所示，该系统包括：\nNAT转换模块、NAT会话缓存、老化处理模块及日志输出模块。\n[0046] (一)NAT转换模块\n[0047] NAT转换模块可执行如下操作：\n[0048] (1)当接收到NAT转换请求后，NAT转换模块通过五元组(源IP地址，源端口，目标IP地址，目标端口，3层协议类型)查询NAT会话缓存(NAT Session Cache)中是否已经存在NAT转换所需要的会话。\n[0049] (2)如果找到NAT转换所需要的会话，则在需要更新时更新相应的会话内容。所述会话内容并不一定需要更新，例如可仅当五元组对应的NAT转换会话计算方法发生变化时，才重新计算会话，并更新NAT会话缓存中对应的会话内容。更新完成后，将会话返回至NAT会话缓存中。\n[0050] (3)如果没有找到NAT转换所需要的会话，生成相应的NAT会话，并往NAT会话缓存中增加相应的会话。每条会话的内容可包括：源IP地址，源端口，转换后源IP地址，转换后源端口，目标IP地址，目标端口，转换后目标IP地址，转换后目标端口，3层协议类型，创建时间，老化标志，日志输出标志等。其中创建时间为当前时间，老化标志用以指示老化状态，其具体值由具体的应用需求(如应用时间)决定，日志输出标志用以指示创建日志是否输出，初始设置为1，指示创建日志尚未输出。也可以以0指示未输出，以1指示输出，但并不限于0或1。\n[0051] (4)当用户配置发生变化，或用户强制会话老化，需要删除相应会话时，NAT转换模块设置该会话的老化标志为0。\n[0052] (二)NAT会话缓存(NAT session Cache)\n[0053] 本实施例中NAT会话缓存(NAT session Cache)用于保存NAT转换的所有会话信息。其中所述会话可以以HASH(哈希)数组的形式进行存储，也可以以列表(table)的形式进行存储。例如，以HASH数组的形式存储时，可如图7所示，利用HASH算法，算出五元组(源IP地址，源端口，目标IP地址，目标端口，3层协议类型)对应的HASH值，然后找对应的HASH数组元素(HASH值即为HASH数组下标)。遍历HASH数组元素所在的双向链表，可以查找到对应的会话。会话的缓存及查找属于现有技术，本领域技术人员很容易实现，因此在此并不详述。\n[0054] NAT会话缓存中每条会话的内容包括：源IP地址，源端口，转换后源IP地址，转换后源端口，目标IP地址，目标端口，转换后目标IP地址，转换后目标端口，3层协议类型，创建时间，老化标志，日志输出标志。其中，所述老化标志值大于0时表示会话尚未老化，因此无需进行会话删除处理；在老化标志为0时，表示会话老化，需要删除会话并输出删除日志。\n[0055] (三)老化处理模块\n[0056] 本实施例中，所述老化处理模块执行以下操作：\n[0057] (1)通过一个异步线程不断轮询NAT会话缓存；\n[0058] (2)如果发现会话缓存中会话的日志输出标志为1(表示创建日志未输出)，则调用日志输出模块输出创建日志，并更新日志输出标志，将日志输出标志置0；如果发现日志输出标志为0，则不再进行创建日志的输出处理。\n[0059] (3)如果发现老化标志为0，则调用日志输出模块输出NAT删除日志，同时删除该会话(日志中的删除时间为删除会话的当前时间)。如果老化日志不为0，则根据老化时间更新老化标志(例如将老化标志减1或其他值)。\n[0060] (4)可选地，配置输出NAT活跃信息。所述活跃信息是指NAT会话创建后，较长时间有效(活跃)的会话的日志信息。输出活跃信息是指每隔设定的一段时间输出仍然有效的，没有被老化的会话的日志信息。如果要配置输出NAT活跃信息，则可由老化处理模块设置当老化标志对应的有效时间能整除设定的活跃信息输出间隔时，输出该活跃信息。例如，配置输出NAT活跃信息，每隔2小时输出，如一活跃信息当前的老化标志为22，对应有效时间11小时，由于11不能够整除该活跃信息的输出时间间隔2，因此当前不能输出该还会话对应的日志信息，而当老化标志更新为20(对应的有效时间为10小时)时调用日志输出模块输出该活跃会话信息对应的日志信息。一般老化标志以与有效时间成线性关系的数值表示，因此，在配置输出活跃信息时，也可设定当老化标志整除该活跃信息的输出间隔对应的老化标志值时，输出该活跃信息的日志信息。对于上面的例子，活跃信息输出间隔2小时对应的老化标志值为4，因此当会话的老化标志％4＝0时，如老化标志更新为20、16、12、……等时，调用日志输出模块输出该会话对应的日志信息。\n[0061] 本实施例中，所述老化处理模块可具体包括：\n[0062] 第一处理模块，用于根据所述NAT会话缓存中的会话的日志输出标志判断该会话的创建日志是否输出，在创建日志未输出时生成会话的创建日志并产生创建日志输出指令，以调用所述日志输出模块进行创建日志输出；\n[0063] 第一更新模块，用于在所述创建日志输出后更新会话的日志输出标志。\n[0064] 第二处理模块，用于根据所述NAT会话缓存中的会话的老化标志识别老化的会话，删除该老化的会话并产生删除日志输出指令，调用所述日志输出模块输出删除日志；\n[0065] 第二更新模块，用于更新所述老化标志；以及\n[0066] 活跃信息输出模块，用于根据所述老化标志输出活跃信息，例如，设置当老化标志对应的有效时间整除设定的活跃信息的输出间隔时，调用所述日志输出模块输出活跃信息。\n[0067] (四)日志输出模块\n[0068] 如果老化处理模块指令日志输出，日志输出模块可将日志(如创建日志、删除日志、活跃信息)保存在终端的日志文件中、输出至日志服务器或者直接输出至终端打印机进行打印输出。如果日志需要聚合输出，则日志输出模块首先将日志信息存储在临时缓存中，在缓存满后再输出日志。图6为本发明实施例中日志信息输出的流程图。如图6所示，该流程包括：\n[0069] 步骤601，判断是否允许输出，如果允许，继续步骤602；如果不允许，流程结束。\n[0070] 步骤602，格式化日志输出内容，日志输出格式例如包括：源IP地址，源端口，转换后源IP地址，转换后源端口，目标IP地址，目标端口，转换后目标IP地址，转换后目标端口，3层协议类型，创建时间、删除时间(如果是NAT创建日志，则删除时间为0000/00/00 \n00:00:00)。\n[0071] 步骤603，判断是否聚合输出，如果聚合输出，进入步骤604，否则进入步骤607。\n[0072] 步骤604，将日志信息加入临时缓存。日志输出模块中的临时缓存很小，只是为了避免日志的频繁输出，起到临时聚合作用，也可以省略。\n[0073] 步骤605，判断临时缓存是否已满，如果已满，进行步骤607，如果未满，进入步骤\n606。\n[0074] 步骤606，判断时间是否超时，如果超时，进入步骤607，否则未超时，流程结束。\n[0075] 步骤607输出日志信息。\n[0076] 上述可知，本发明实施例的管理网络地址转换信息的系统与现有的日志异步输出方案相比大大减少了缓存空间的使用：在现有的日志异步输出方案中，NAT会话缓存只是用来保存NAT会话，当会话老化后，将直接从缓存中删除，不再保存。为了达到日志聚合输出或者避免日志信息输出丢失，原方案还必须在NAT日志收集及输出模块中维护一个NAT日志缓存，如果NAT日志输出速率远小于NAT转换速率，所需要的缓存空间将快速地增大，消耗大量的内存空间资源。本发明实施例中，NAT会话缓存用来保存和管理NAT会话，由于老化处理模块可以根据会话中的日志输出标志识别会话的日志是否输出，并在日志尚未输出时从会话中提取出日志信息调用日志输出模块进行日志的输出，因此NAT会话缓存又相当于日志输出缓存。当NAT转换效率比NAT日志输出效率高时，通过NAT会话缓存的缓存作用，既可减少缓存空间的使用，又可以避免NAT日志的丢失。\n[0077] 例如，当网络中的流量突然增加时，NAT转换模块生成大量新的NAT会话，产生大量的NAT创建日志信息，本发明实施例中，这些日志创建信息将通过老化处理模块的轮询来输出，会话只能被老化处理模块删除，因此这些日志创建信息不会丢失。\n[0078] 并且，本发明实施例与现有的日志同步输出方案相比，减少了对NAT转换模块的影响。由于NAT日志的输出采用异步实现，所以NAT日志模块受到的影响很小，能够保证NAT转换模块的转换效率。通过异步的日志信息输出，可以及时地让出处理器资源，优先保证NAT转换模块的转换效率。\n[0079] 采用如上系统的本发明的网络地址转换信息的管理方法包括如下步骤：\n[0080] (1)NAT转换模块根据五元组信息进行网络地址转换并生成会话，所述会话中设置有指示日志是否输出的日志输出标志。\n[0081] (2)NAT会话缓存存储所述会话；\n[0082] (3)老化处理模块通过异步线程定期查询所述网络地址转换会话缓存中的会话，通过识别日志输出标志来输出创建日志，并通过识别老化标志来输出删除日志及活跃信息。\n[0083] 具体地，利用老化处理模块进行日志的输出的步骤如图5所示，又包括如下步骤：\n[0084] 步骤501，选择一个会话。\n[0085] 本步骤优选地根据HASH数组或Table的索引来从缓存中的第一条会话开始。\n[0086] 步骤502，判断该会话的日志输出标志是否为0，如果为0则判断创建日志已经输出，因此无需处理，直接进入步骤504。如果日志输出标志为1，则判断创建日志未输出，因此进入步骤503。\n[0087] 步骤503，调用日志输出模块进行创建日志的输出，并更新会话的日志输出标志。\n[0088] 步骤504，更新所述老化标志。具体的，可以根据系统当前时间更新老化标志，如，NAT转换模块创建的某条会话的初始老化标志为600000，对应时间为600000毫秒(10分钟)，如果老化模块每隔100毫秒钟(如在该会话创建后第20毫秒、第120毫秒、第220毫秒……)查询一次会话缓存中的会话，则在第一次查询时该会话老化标志减20，后续每次查询老化标志减100，至第6001次轮询该会话时，老化标志减20，更新为0。此外，还可以设置成每次查询固定将老化标志减去一固定值，如NAT转换模块创建的某条会话的初始老化标志为600000，对应时间为600000毫秒，如果老化模块每隔100毫秒钟查询一次会话缓存中的会话，则每次查询时不论系统当前时间如何都将老化标志减100，有可能第一次查询是在该会话创建后第20毫秒，但这时也将老化标志减100，到第6000次查询时将老化标志减为\n0。由于是采用定时器轮询的方法，所以老化模块对会话的处理时间会有一定的误差，但这个误差在可接受范围之内，可以忽略。\n[0089] 步骤505，判断该会话的老化标志是否为0，如果为0，进入步骤506，如果不为0，进入步骤507。\n[0090] 步骤506，删除该会话并调用日志输出模块输出删除日志。\n[0091] 步骤507，判断老化标志是否整除活跃信息输出间隔对应的老化标志值。如果整除，则执行步骤508，否则进入步骤509。\n[0092] 步骤508，输出活跃信息的日志。\n[0093] 步骤509，判断是否遍历完所有会话，如果是，流程结束。如果否，选择下一条会话。\n[0094] (4)输出的日志信息既可以直接存储在终端的日志文件中，也可以通过TCP、UDP等三层协议输出到日志服务器，或者直接输出到终端的打印机进行打印。\n[0095] 本发明实施例的技术方案通过增加了一个改进的老化处理模块以及对NAT会话缓存进行了相应的改造。从而既具有异步输出的优点(保证原有NAT转换模块的转换效率，无需增加额外的处理器资源)，又减少了异步输出的不足(减少缓存空间的使用，无需增加额外的内存空间，这亦是同步输出的优点)。\n[0096] 本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，比如ROM/RAM、磁碟、光盘等。\n[0097] 以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。