NAT用户IP溯源问题分析

· ·2019年第20期(总第639期) 科学咨询/科技管理摘 要：NAT( Network Address Translation，网络地址转换)技术是目前运营商公认的能有效解决IPv4公网地址紧缺问题的方法之一。

本文总体分析了NAT用户IP溯源问题及解决方案，介绍了驻地网NAT用户及WLAN用户存在的IP溯源问题，并在用户的管理难易、对现有设备改造、总体成本高低等方面，对其不同的溯源方案进行了分析比较，为以后相关工程的建设提供参考。

关键词：NAT；IP溯源；IPv4；驻地网；WLAN一、引言传统的NAT相当于一个防火墙，部署方式简单，由于运营商IP城域网比企业网络更复杂。

因此，IP城域网NAT部署与传统的企业网NAT部署有很大的区别[1]。

此外，由于NAT技术破坏了Internet端到端的透明性，用户在经过NAT转换前是私网用户，而在NAT转换后是公网用户，用户报文在NAT转换前后的源地址不同。

因此，IP城域网引入NAT后，将面临用户IP溯源困难问题。

本文主要对IP城域网NAT部署面临的用户IP溯源困难进行分析探讨。

二、NAT用户溯源问题概述由于采用NAT技术后，用户在经过NAT转换前使用的是私网IP地址，而在NAT转换后使用的是公网IP地址，用户报文在NAT 转换前后的IP地址不同，安全监督机构只能获得经过NAT转换后的用户信息，即公网IP地址信息。

用户的源私网IP地址在AAA服务器上没有任何的记录，无法与用户关联，使安全机构不能完成正常用户IP地址信息反查。

为了解决该问题，应对NAT用户接入认证、访问网络的具体流程进行分析，并分析用户IP溯源流程，找出问题出错的源点[2]。

三、NAT用户IP溯源问题1.驻地网NAT用户。

根据驻地网NAT用户上网流程[3]，在用户接入认证阶段，BRAS给用户分配私网IP地址，上报用户的用户账户与私网IP地址等信息给AAA系统，并完成了用户的计费请求，用户获得上网的合法权限。

在用户Internet访问阶段，BRAS将用户的NAT请求信息发给NAT，NAT对用户做公私网地址转换，用户获得公网IP地址后开始上网。

在用户IP溯源阶段，当出现用户非法访问互联网行为时，安全机构通过用户的公网IP 地址信息和端口号、时间段在AAA系统定位用户时，AAA系统无法返回用户的公网IP地址与用户账号的关系，安全机构不能定位用户，驻地网NAT用户IP溯源问题的示意图如图1所示。

图1 驻地网NAT用户IP溯源问题示意图2.WLAN NAT用户。

根据WLAN NAT用户上网流程[4]，在用户接入认证阶段，AC设备通过DHCP协议给用户分配私网IP地址，上报用户的用户账户与私网IP地址等信息给AAA系统，并完成用户的计费请求，用户获得上网的合法权限。

在用户Internet访问阶段，AC通过私网路由将用户的NAT请求信息发给NAT，NAT对用户做公私网地址转换，用户获得公网IP地址后开始上网。

在用户IP 溯源阶段，当出现用户非法访问互联网行为时，安全机构通过用户的公网IP地址信息和端口号、时间段定位用户时，AAA系统无法返回用户的公网IP地址与用户账号的关系，安全机构不能定位用户，WLAN NAT用户IP溯源问题示意图如图2所示。

图2 WLAN NAT用户IP溯源问题示意图四、溯源方法1.Radius属性扩展溯源方案。

Radius属性扩展方案即BRAS 将用户的公网IP地址、端口号上传给AAA系统。

用户在经过NAT 后，BRAS最后一次与Radius服务器信息交换是通过Accounting-Request/Stop报文实现。

因此，具体的解决方法是在BRAS上传给Radius的Accounting-Request/Stop消息中加上用户的公有IP 地址、端口段等信息，其中公有IP地址、端口段等信息的添加是通过Radius属性扩展实现。

在Accounting-Request/Stop报文中添加用户NAT后的公网IP地址与端口号，通过Radius属性扩展后安全机构即可实现NAT用户IP溯源。

该溯源方案需要对Radius协议进行扩展，在NAT设备上公网地址池进行动态映射，NAT设备只需要维护session表，不需要保存用户的地址映射关系。

通过AAA实时溯源，对用户session没有限制。

需要对现网的AAA系统进行改造，对其进行Radius属性的扩展，投资较小，但是应用场景受限制。

2.离线溯源方案。

离线溯源即在IP城域网内建设NAT日志系统。

当安全机构根据用户的公网IP地址信息和端口号、时间段定位用户时，要在NAT日志系统中查出用户的私网IP地址，再根据私网IP地址在AAA系统中查出用户信息定位用户。

该方案无需对BRAS和AAA系统上报的信息进行较大的改动。

但NAT日志系统须与AAA、AC、BRAS时钟同步。

通过以上对NAT用户溯源问题的两种解决方法的分析，其中Radius属性扩展方案需要对BRAS设备及AAA系统做相应的改造；离线溯源方案无需对AAA系统及BRAS设备进行改动，只需现网新增NAT日志服务器并做出相应的关联分析。

每种方案都有自己的特点，考虑投资成本，结合实际的工程应用，建议BRAS插卡的NAT部署模式采用Radius属性扩展方案，核心路由器旁挂NAT部署模式采用离线溯源方案。

五、结束语NAT技术的出现，有效解决了目前运营商面临的公网IP地址紧缺问题，在不中断现有业务的基础上实现平滑过渡，对全球运营商提供综合服务、发展用户和带宽提速中起着基础、支作者简介:柳成霞(1989-)，女，硕士研究生，研究方向：移动通信。

NAT用户IP溯源问题分析柳成霞(重庆安全技术职业学院 重庆 400065)高等教育科学咨询/科技管理2019年第20期(总第639期)持的作用。

如何解决IP城域网引入NAT技术后带来的上述关键问题，保障网络的安全，保障流量分析业务的正常使用，保障运营商的业务发展需求，并保持良好的用户感知度显得十分重要。

参考文献：[1] MüLLER A, Evans N, Grothoff C. Autonomous NAT traversal[C]// IEEE. International Conference on Peer-to-Peer Computing. New Jersey: IEEE Press, 2010: 324-328.[2] 柳成霞.NAT技术及其在IP城域网工程中的应用研究[D].重庆: 重庆邮电大学, 2015.[3] FENG J. Analysis, implementation and extensions of radius protocol[C]// IEEE. Networking and Digital Society, Guiyang: IEEE Press, 2009: 154-157.[4] MING-LIANG L I. Dynamic host configuration protocol[J]. Journal of Baoji University of Arts and Sciences (Natural Science Edition), 2010, 3: 022.摘 要：产学研是国家为了高校、企业高级专业人才的培养而推出的。

专业学位研究生培养需要实践平台，产学研的协作可以解决这个问题。

我们通过搭建产学研平台可以实现其任何一方无法独自实现的目标。

为了让产学研平台能长期运行下去，我们必须照顾到各方利益，构建合理的利益分配制度。

政府应该积极主动的参与，为企业和高校牵线搭桥，搭建平台。

并且，政府应该制定鼓励和引导政策，为产学研平台的建设保驾护航。

关键词：产学研；专业学位；耦合创新；利益分配；政府引导引言随着社会经济的不断发展，国家对高级专业人才的需求量越来越大了[1-2]。

因此，国家需要加大专业学位研究生的培养，解决国家在发展过程中对人才的需求。

对于专业学位研究生的培养，我国起步相对较晚。

因此，专业学位研究生的培养模式和体系还不够完善，需要进一步改进。

这方面我们既需要学习国外的先进经验，也需要结合中国的国情，探索出属于我国的专业学位研究生培养模式和体系。

专业学位研究生的培养中最重要的就是学生实践能力的培养。

由于目前各个学校缺乏自己的实践平台，因此，学校自己不能完全解决专业学位研究生的实践问题。

鉴于此，高校可以通过产学研平台来培养专业学位研究生[3-4]。

培养专业学位研究生的产学研平台可以通过以下方式进行搭建。

一、产学研耦合创新国家中长期人才发展规划纲要明确提出通过产学研培养创新性人才。

因此，如何将企业、学校和研究人员有机结合在一起，形成1+1+1大于3的作用，是目前专业学位研究生培养过程中必须解决的问题。

产学研联合培养创新性人才首先需要国家制定相应的优惠和鼓励政策，然后给企业和学校搭建合作的平台。

市场是驱动产学研联合培养创新性人才的最强动力。

因此，相关企业为了能提高自身在市场中的竞争力，必须进行技术创新和提高科技的研发能力。

如果由企业自己投入人力、物力和财力进行研发创新，那么会导致企业的运行成本大幅增高。

为了解决创新的问题，企业必须引进或培养大量的创新人才。

因此，针对这部分内容，企业完全可以和高校合作，让学校为自己培养人才，提供技术服务和技术转让等。

高校是产学研中的另外一个核心主体。

高校和企业一样也有同样的压力。

高校招收专业学位研究生时，学生也很看重学校的培养模式和提供的学习条件。

如果高校无法给报考的学生提供较好的学习条件，那么就会导致生源的流失。

学生毕业时，市场会检验高校培养的学生如何，能不能满足市场的需要。

如果不能满足市场的需要，那么就会导致学生无法就业。

产学研是高校和企业共同的事情。

双方进行产学研合作时不是要双方创新的能力和水平一致，也不是要求双方的目的也一样，双方可以存在差异。

双方各自发挥自己的所长，进行优势互补，进而逐渐让双方创新能力的差距变小。

高校和企业在产学研耦合时，要多进行交流和沟通，充分分析对方的不足和需求。

双方通过不停的沟通和交流，进行持续的改进，最终实现双方协调发展，进而达到专业学位研究生培养的要求。

高校和企业各自拥有不同的资源，是两个很大的系统，他们具有很强的互补性。

高校和企业进行产学研时要建立共同的目标，然后双方为之共同奋斗。

有了共同的目标，双方才能把产学研做好。

另外，双方在产学研协作的过程中，要共享信息。

高校和企业为了实现信息共享，应该利用好现代信息技术，构建信息共享平台。

产学研最核心的部分就是技术的转让和升级。

高校有着较强的创新能力，也形成了许多有价值的成果。

但是，由于高校没有推广的平台，因此，很多优秀科研成果都躺在实验室中。