一种安全审计系统中获取内外网地址映射关系的方法

摘要

一种安全审计系统中获取内外网地址映射关系的方法，通过从NAT内部网络侧仿真用户发送一个模拟数据包和从NAT外部网络侧截获经NAT转换后的模拟数据包进行分析来实现获取内外网地址映射关系；通过在模拟数据包中设置一个内部网络中不存在的源MAC地址，保证不对内部网络交换机的ARP地址表造成不良影响，避免影响内部网络正常数据包的传输；通过将模拟的用户数据包IP头的TTL字段设置为一个合适的值，保证了该模拟数据包在到达因特网第一跳路由器时即被丢弃，不会对因特网造成影响。

主权项

1.一种安全审计系统中获取内外网地址映射关系的方法，包括映射关系的发现和映射表的维护方法，避免对被检测网络和因特网产生不良影响的方法，其特征在于：安全审计系统主动发送模拟数据包探测NAT两端的映射关系，包括映射关系探测的触发，模拟数据包的构建，模拟数据包的发送和经NAT转换后的模拟数据包的截获与分析，并控制发送的模拟数据包不影响被监测网络和因特网的正常工作；安全审计系统维护以源IP源Port目的IP、目的Port为索引的映射关系表，并随时探测系统，在发现映射表中没有的或者已经过期的项目时，主动发起探测映射关系；获取到映射关系以后，使用探测到的映射关系更新映射关系表；模拟数据包IP报头中的源IP、目的IP与用户实际发送数据包源IP、目的IP相同；模拟数据包TCP或UDP头中的源Port、目的Port与用户实际发送数据包源、目的Port相同；模拟数据包Ethernet层的源MAC地址为一个非内部网络中已存在的MAC地址，以保证发送模拟数据包后不会对网络中交换机的ARP地址表造成的不良影响；模拟数据包IP报头中的TLL字段设置为安全审计系统发送模拟数据包的物理接入点和模拟数据包的截获物理接入点之间路由器的个数再加1，以保证模拟数据包在进入因特网第一跳路由器即被丢弃，不会对因特网造成不良影响；模拟数据包应用层内容中携带产生该模拟数据包的时间戳信息，应用层中携带的时间戳信息的传输格式不受限制；安全审计系统截获经NAT转换后的模拟数据包时，使用“TTL字段等于1”做为数据包过滤条件。