基于Linux的跨NAT上网监控原理

上网行为管理软件已经很多了,然而很多种都无法实现跨NAT设备的监控,这是因为无法定位到真实的源IP地址,在NAT设备前面的设备看来,所有的流量都是NAT设备发起的,NAT设备的存在为其后面的主机提供了一层屏障。那么有没有什么办法可以精确定位真实源IP地址呢?办法是有的,只是需要NAT设备的配合。

1.使用conntrack-tools监控事件

在Linux上,NAT一般是由ip_conntrack机制实现的,Linux本身肯定可以精确定位到真实的转换前的地址,需要做的仅仅是将这些信息传递给上网行为管理系统即可,这些信息可以在/proc/net/ip_conntrack中看到,然而我们关注的不是这些信息本身,而是针对这些信息的一系列的事件,比如某IP在某时间发起了一个到某目标地址的连接,某时间段后拆除了该连接等等。
        conntrack-tools工具是Netfilter社区提供的一款功能强大的ip_conntrack信息操作工具,可以方便实时的管理ip_conntrack信息,比如删除某条记录,提取事件等等。Linux的机制在内核实现,所谓的conntrack-tools只是一个用户态的信息操作工具,如果想监控ip_conntrack事件,则只需要执行conntrack -E即可
        关于更多的conntrack-tools信息,请参考: http://conntrack-tools.netfilter.org/manual.html

2.总体原理

以下是一条conntrack -E的输出:
    [NEW] tcp      6 120 SYN_SENT src=128.129.0.3 dst=9.24.15.123 sport=4592 dport=8080 [UNREPLIED] src=9.24.15.123 dst=9.24.15.222 sport=8080 dport=4592
该条信息的意义不言自明,从字面意义上肯定是做了NAT,将源地址128.129.0.3转换为了9.24.14.222,如果说能将这类信息传递给监控网关,那么就可以做到针对真实源地址的监控,在监控网关上需要做的就是数据的整理。我们知道在监控网关上肯定有下列信息:
9.24.15.222:4592这个地址访问了9.24.15.123:8080
该数据和上述的conntrack -E输出的数据做一个汇总就能得到:
128.129.0.3:4592这个地址访问了9.24.15.123:8080

3.ip_conntrack信息导出

如果NAT设备不配合或者根本就不是Linux系统,那么就需要其它的方案来拿到NAT设备上的连接信息。因此为了使这一切可用,有两种办法,一种是提供一个针对熟知NAT设备系统的连接信息导出接口以及规定一种文件格式或者协议格式,自行开发信息导出机制,当然对于Linux的NAT设备,就是上面说的那样;另一种方法就是直接强制使用基于Linux的NAT,不过这种方法有点流氓,你必须要做到的就是你的Linux NAT设备既便宜又好用...

注解:

conntrack-tools工具功能强大,一般用于无缝双机热备环境,Linux主机可以实时的将一台机器的conntrack信息同步到相应的备机上,一旦主机宕机IP地址漂到备机,流量就会无缝的经过备机,而不需要在流量经过备机时重新生成conntrack信息(因为在重新生成的情况下,对于已经建立连接的TCP流量会有问题的)

你可能感兴趣的:(linux,tcp,工具,DST)