基於osi傳輸層時間戳的寬帶私接檢測方法
2023-05-28 22:56:36
專利名稱：基於osi傳輸層時間戳的寬帶私接檢測方法
技術領域：
本發明涉及寬帶用戶檢測領域，具體涉及一種用於針對非法共享上網的寬帶私接檢測方法。
背景技術：
目前寬帶接入業務基本都是基於包月或包年的形式開展的，因此往往存在著以個人的名義申請寬帶而讓黑網吧、企業使用，或者幾戶共用寬帶而分攤費用，給運營商造成了巨大的經濟損失，目前針對這種非法共享上網使用最多最有效的檢測方法有IP_ID檢測法和TCP指紋檢測法。IP_ID檢測法的原理如下同一 Windows主機發出的IP報文中攜帶的ID欄位是連續變化且呈遞增趨勢，其起始值因不同的Windows主機不同而不同，根據這一規律，如果在一段時間內檢測到某個源IP對應多個ID欄位範圍，則說明該IP對應的用戶為共享接入用戶，根據ID欄位區間個數能夠大致確定共享接入主機數目。但是，IP_ID檢測法存在一些不足之處1)報文亂序時可能導致誤判；2)大多數的LINUX版本或UNIX系統，每個TCP中的IP_ID連續增加，但不同的TCP 連接，IP.ID沒有任何關係；3)對於Proxy方式、分時上網無效；4) IP_ID檢測方法對於使用特殊的NAT軟體無濟於事，這些NAT軟體可以改變IP 中的ID，在外面看上去就像是一臺主機發出的。TCP指紋檢測法的原理如下通過TCP序列號、確認號、滑動窗口這幾個欄位作為 TCP指紋來檢測，所以若一段時間後發現某個IP下有幾段序列號或確認號在連續變化，或者有好幾種窗口大小，則可認為該IP下有私接用戶。但該方法存在一些不足之處1)由於窗口大小是客戶伺服器協商決定的，所以對於同一個沒有私接的IP位址， 也可能同時存在好幾種窗口大小，這將導致誤判；2)檢測速度慢，需要根據收集到許多連續的報文段樣本才有可能確定某個IP位址下是否存在幾段序列號、確認號、窗口大小；3)TCP三次握手時的初始化序列號(ISN)隨時間而變化的，而且不同的作業系統也會有不同的實現方式，所以每個連接的初始序列號是不同的。這樣當某個私接的IP位址與外界進行非連續的通信時，之前記錄的序列號、確認號、窗口大小等指紋信息就要拋棄來重新進行記錄。綜上所述，IP_ID檢測法和TCP指紋檢測法兩種方法在實現時除了各自存在的不足外，都存在檢測的準確性低、系統資源佔用高、檢測過程繁瑣、適用範圍窄的問題。
發明內容
本發明要解決的技術問題是提供一種檢測準確性高、系統資源佔用低、檢測過程簡便、適用範圍廣泛的基於OSI傳輸層時間戳的寬帶私接檢測方法。為解決上述技術問題，本發明採用的技術方案為一種基於OSI傳輸層時間戳的寬帶私接檢測方法，其實施步驟如下1)在客戶端向電信接入路由設備建立TCP連接時開啟客戶端TCP報文的時間戳選項；2)設定用於判定客戶端是否存在寬帶私接的第一常量和第二常量；3)標記每一個接收的TCP報文的系統時間，並獲取每一個接收的TCP報文的時間戳；4)實時獲取同一 IP位址客戶端發送的相鄰兩個TCP報文之間的系統時間差和時間戳差，並獲取系統時間差和時間戳差之間的差值，如果所述差值超過第一常量或者在預設時間內所述差值不為0的數量超過第二常量則判定該IP位址對應的客戶端存在寬帶私接現象。作為上述技術方案的進一步改進所述步驟1)的詳細步驟為電信接入路由設備實時捕獲伺服器端發送給客戶端的TCP報文，如果TCP報文中SYN為1並且ACK為1，則將所述TCP報文的時間戳填充一串長度為32比特的數字後再發送給對應的客戶端。所述步驟4)的詳細步驟為A)設置檢測時間為1. 2秒，檢測周期為300ms，初始化計數器cnt、預設時間計數器 N0和N都為0 ；B)獲取接收當前TCP報文的系統時間和接收上一個TCP報文的系統時間，將所述兩個系統時間求差得到系統時間差並以IOOms為單位取整；C)獲取當前TCP報文的時間戳和上一個TCP報文的時間戳，獲取時間戳差的絕對值；D)獲取所述時間戳差的絕對值與所述系統時間差之間的差值，並將所述差值與第一常量進行比較，如果所述差值超過第一常量則判定該IP位址對應的客戶端存在寬帶私接現象，否則跳轉執行步驟E)；E)分別獲取接收當前TCP報文的系統時間和第1次接收到的TCP報文的系統時間，將所述兩個系統時間求差得到系統時間差並以IOOms為單位取整得到N ；F)判斷表達式隊+3 <= N是否成立，如果不成立則執行步驟G)，否則把cnt清零， 且如果檢測時間到達1. 2秒，則跳到步驟I)，否則把N賦值給Ntl，並跳轉執行步驟B)；G)判斷D)中獲取的時間戳差的絕對值與所述系統時間差之間的差值是否為0，如果不為0則使計數器cnt加1 ；H)將計數器cnt與第二常量進行比較，如果計數器值大於第二常量，則判定該IP 地址對應的客戶端存在寬帶私接現象，否則繼續跳轉執行步驟B)；I)該IP位址暫時沒有檢測出私接，進行下次繼續檢測或者退出檢測。所述第一常量為2，所述第二常量為6。本發明具有下述優點。1、本發明通過在電信運營商的接入路由設備上人為幹預建立TCP連接的三次握手協議，並利用TCP報文段中的預設欄位時間戳來達到快速有效的檢測網絡私接，服務端利用時間戳計數的虛擬時鐘與真實時間計數的現實標準時鐘之間的頻率上的差異來統計相鄰報文段時間戳的差值的變化情況，分析系統時間差和時間戳差之間的差值變化情況， 如果差值超過預設常量則判定該IP位址對應的客戶端存在寬帶私接現象，能夠檢測出同一個IP位址下是否有多個用戶利用路由器或代理伺服器在同時共享上網，從而幫助電信運營商打擊共享上網的不法行為，規範網際網路市場的作用，具有檢測準確性高、系統資源佔用低、檢測過程簡便、適用範圍廣泛的優點。2、本發明通過服務端實時獲取任意IP位址發送的不同TCP報文之間的系統時間差和時間戳差、判斷系統時間差和時間戳差之間的差值是否超過預設常量來檢測出私接的用戶，該方法適用於目前通過路由器或代理伺服器上網的情況，而且不要求客戶端伺服器端通信連續，對於突髮式或者間斷式通信都能達到檢測的目的。3、本發明進一步將回應客戶端的TCP報文的時間戳填充一串32比特的數字後發送給對應的客戶端，利用Windows自身的特性打開TCP報文的時間戳選項，能夠實現開啟 windows客戶端TCP報文的時間戳選項，能夠同時適用於使用Iinux和windows的系統，具有適用範圍廣泛的優點。
圖1為本發明實施例的主要流程示意圖。圖2為TCP報文的時間戳結構示意圖。圖3為本發明實施例步驟1)的詳細流程示意圖。圖4為本發明實施例步驟4)的詳細流程示意圖。
具體實施例方式如圖1所示，本發明實施例基於OSI傳輸層時間戳的寬帶私接檢測方法的實施步驟如下1)在客戶端向電信接入路由設備建立TCP連接時開啟客戶端TCP報文的時間戳選項；2)設定用於判定客戶端是否存在寬帶私接的第一常量和第二常量；3)標記每一個接收的TCP報文的系統時間，並獲取每一個接收的TCP報文的時間戳；4)實時獲取同一 IP位址客戶端發送的相鄰兩個TCP報文之間的系統時間差和時間戳差，並獲取系統時間差和時間戳差之間的差值，如果差值超過第一常量或者在預設時間內差值不為0的數量超過第二常量則判定該IP位址對應的客戶端存在寬帶私接現象。如圖2所示，TCP報文的時間戳共10位元組，其中第1位元組類型的值為8表示該選項是時間戳選項；第2位元組長度值為10表示該選項佔用了 10個字節；第3 6位元組的表示發送出去的報文段由發送端寫入的時間戳值；第7 10位元組表示發送出去的報文段中攜帶的之前從遠端接收到的報文段中的由遠端寫入的返回時間戳值。時間戳是32bit的一個數，他表示的是自午夜時間00:00:00算起的以ms作為單位的時間單位數。雖然時間戳是 RFC建議的選項，但是不是每個作業系統都會在TCP選項裡加入時間戳的。一般在Linux的各個版本裡都會默認在TCP數據報裡寫入時間戳，而是用最多的Windows XP系統裡默認是關閉的。開啟時間戳的過程如圖2所示，當客戶端發出建立TCP連接的SYN時，目的端返回一個SYN/ACK報文給請求端。若在ISP端對這個返回的TCP報文裡的TCP選項進行修改， 把自己的時間戳寫入到該報文的選項裡，然後再繼續把該確認報文發到客戶端。XP有個特點就是若接收到的報文裡的時間戳選項打開了，則在與目的端通信時，後面發出的所有TCP 報文裡的時間戳都是打開的，這樣就實現了讓XP把本機的時間戳加載到TCP選項裡。時間戳在電腦重啟後將復位，它的值將變的非常接近零00:00:00 :XXX, Windows下使用的虛擬時鐘頻率為10Hz。隨著開機時間的變長，該時間戳的值會按照本地主機時間每100ms增加 1的速度累加。因此若忽略數據包的亂序接收，並考慮到所有共享用戶的開機時間的差異及不同主機的真實時間的差異共同作用，只要這兩個因素導致的時間相差大於0. ls，則這種方法理論上都可以檢測到多用戶共享；否則，若小於等於0. ls，則這時可等待下次有某個用戶重啟電腦後來達到檢測寬帶私接的目的。在RFC1323裡指出，可以在傳輸層的TCP報頭中的選項欄位裡加入TCP時間戳選項(Timestamps)，它是32bit的值，這樣在本地主機發出去的TCP報文裡都會把時間戳寫入到該時間戳選項裡。RFC1323中沒有規定寫入的時間戳到底是怎樣一個值，而只是說明產生時間戳的那個虛擬時鐘要根據系統真實時鐘來得到，與系統真實時間有近似的比例關係，而在Window裡，時間戳的值與某臺電腦的連續開機時間長短有關係，按照開機時間線性增加。另外不同用戶的電腦硬體中，物理時鐘偏移不一樣，雖然存在NTP和SNTP協議用來同步用戶電腦時鐘與標準時鐘，但是他們只能同步到年月日，時分秒，最多把時間精確到 ms級。這樣在Window裡，由於不同主機的本地真實時間不同，這樣就可以利用時間戳來檢測寬帶私接。雖然時間戳是RFC建議的選項，但是不是每個作業系統都會在TCP選項裡加入時間戳的。一般在Linux的各個版本裡都會默認在TCP數據報裡寫入時間戳，而是用最多的WindowsXP系統裡默認是關閉的。我們可以手動的讓本地主機打開時間戳選項，通過修改 XP 的註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ Parameters節點中Tcpl3230pts項目的值為2就打開了時間戳選項。普通用戶使用的 Windows系統中，時間戳選項是默認關閉的。本實施例中，當服務端收到建立TCP連接的請求報文時，如果發現客戶端的時間戳選項開啟，在客戶端向服務端建立TCP連接時，服務端通過發送報文開啟客戶端TCP報文的時間戳選項。如圖3所示，本實施例中步驟1)的詳細步驟為電信接入路由設備實時捕獲伺服器端發送給客戶端的TCP報文，如果TCP報文中SYN為1並且ACK為1，則將TCP報文的時間戳填充一串長度為32比特的數字後再發送給對應的客戶端；否則，就不斷的記錄某個IP 地址下出來的報文段中時間戳的變化情況，直到檢測出私接為止。Windows有個特點就是若接收到的同步確認報文裡的時間戳選項打開了，則在與對端通信時，後面發出的所有TCP 報文裡的時間戳都是打開的。這樣就實現了讓XP把本機的時間戳加載到TCP選項裡，從而實現了開啟客戶端TCP報文的時間戳選項。如圖4所示，本實施例中步驟4)的步驟為A)設置檢測時間為1. 2秒，檢測周期為300ms，初始化計數器cnt、預設時間計數器 N0和N都為0 ；B)獲取接收當前TCP報文的系統時間和接收上一個TCP報文的系統時間，將兩個系統時間求差得到系統時間差並以100ms為單位取整；
C)獲取當前TCP報文的時間戳和上一個TCP報文的時間戳，獲取時間戳差的絕對值；D)獲取時間戳差的絕對值與系統時間差之間的差值，並將差值與第一常量進行比較，如果差值超過第一常量則判定該IP位址對應的客戶端存在寬帶私接現象，否則跳轉執行步驟E)；E)分別獲取接收當前TCP報文的系統時間和第1次接收到的TCP報文的系統時間，將兩個系統時間求差得到系統時間差並以IOOms為單位取整得到N ；F)判斷表達式隊+3 <= N是否成立，如果不成立則執行步驟G)，否則把cnt清零， 且如果檢測時間到達1. 2秒，則跳到步驟I)，否則把N賦值給Ntl，並跳轉執行步驟B)；G)判斷D)中獲取的時間戳差的絕對值與系統時間差之間的差值是否為0，如果不為0則使計數器cnt加1 ；H)將計數器cnt與第二常量進行比較，如果計數器值大於第二常量，則判定該IP 地址對應的客戶端存在寬帶私接現象，否則繼續跳轉執行步驟B)；I)該IP位址暫時沒有檢測出私接，進行下次繼續檢測或者退出檢測。假設在ISP的檢測設備裡在一段時間內觀察某個IP下的TCP收發情況，時間戳是開啟的。用ti表示ISP在一段時間內檢測到的第i個TCP數據報時對應的國際標準時間， 這個時間可以通過頻繁使用NTP協議來精確，、表示第一次捕獲到某個IP位址下的數據包中的時間戳所對應的國際標準時間。Ti表示的是在一段時間內第i個TCP數據報裡攜帶的時間戳值。這樣，我們規定下面的式子，Xi = Vt1^yi = Ti-Ti-P {(Xi，Yi), i e N}，其中Xi 表示的是檢測到第i個TCP數據報時的標準時間與檢測到第1個TCP數據報時的標準時間的差值；yi就表示檢測到第i個TCP數據報裡攜帶的時間戳值與檢測到第i-1個TCP數據報攜帶的時間戳值的Offset值。這樣通過一段時間的觀察，並把坐標(Xi，yi)的值顯示出來，Xi為橫坐標，單位為秒，Yi為縱坐標，單位為毫秒。就能看到隨著時間的變化，Yi值在坐標圖上的分布情況如果只有一個用戶，因為時間戳的單位為ms，所以路由設備在IOOms內檢測到好多個數據包後時間戳才會加1。因此在標準時間&的IOOms長度內Ji值都為0， 只有在相鄰的每個IOOms時刻上，y,值才為+1，而且只能為+1 ；否則如果有多個用戶在同時共享上網，在標準時間IOOms內會出現一個或多個跳躍點，跳躍點的值可能為士 1，士2，
士3，......，單位可能為毫秒，分鐘，小時，而且如果連續出現好幾個幅度很大的跳躍點，則
立刻就能判斷出有共享。本實施例中，第一常量為2，第二常量為6。當前TCP報文與往前一段時間內TCP 報文之間系統時間差為300ms，選擇繼續觀察3 X 100ms (也可以選擇5 X 100ms, 6 X IOOms等等，相應的把判斷條件裡的3替換成5，6即可)時間來判斷是由於不同主機的時間戳相差 1或2，還是由於同一個主機發出的相鄰兩個數據包間隔裡剛好出現1個跳躍點。通過Nq+3 2成立，就能立刻判斷出有私接。如果yi_X > 2不成立，則要繼續觀察一段時間來判斷是由於不同主機的時間戳相差1或2，還是由於同一個主機發出的相鄰兩個數據包間隔裡剛好出現1個跳躍點，因此需要轉到步驟III)。III)把以IOOms為單位取整，記為N。其中這裡以連續300ms時間內觀察到的時間戳值的變化情況作為判斷私接的依據。因為如果沒有私接，在300ms時間長度裡會出現3個跳躍點。考慮到可能出現攜帶時間戳值為T和T+1的兩個相鄰的數據包經過的路由不同，若T+1先到達，T後到達，則會導致在300ms裡出現6個跳躍點，但是如果相鄰數據包的時間戳值相同，對於誰先到達都無所謂。通常情況下數據包都會按序到達，所以這裡建議選擇第二常量為6。所以如果隊+3 6，判定該IP 地址對應的客戶端存在寬帶私接現象，其他情況下把、賦值給tH，把Ti賦值給Τ"。這時轉到步驟IV)。IV)如果檢測時間達到設定值(這裡選取為ls，也可以選擇Im等等)還未檢測出私接，則停止檢測；否則轉到步驟I)。以上所述僅為本發明的優選實施方式，本發明的保護範圍並不僅限於上述實施方式，凡是屬於本發明原理的技術方案均屬於本發明的保護範圍。對於本領域的技術人員而言，在不脫離本發明的原理的前提下進行的若干改進和潤飾，這些改進和潤飾也應視為本發明的保護範圍。
權利要求
1.一種基於OSI傳輸層時間戳的寬帶私接檢測方法，其特徵在於其實施步驟如下1)在客戶端向電信接入路由設備建立TCP連接時開啟客戶端TCP報文的時間戳選項；2)設定用於判定客戶端是否存在寬帶私接的第一常量和第二常量；3)標記每一個接收的TCP報文的系統時間，並獲取每一個接收的TCP報文的時間戳；4)實時獲取同一IP位址客戶端發送的相鄰兩個TCP報文之間的系統時間差和時間戳差，並獲取系統時間差和時間戳差之間的差值，如果所述差值超過第一常量或者在預設時間內所述差值不為0的數量超過第二常量則判定該IP位址對應的客戶端存在寬帶私接現象。
2.根據權利要求1所述的基於OSI傳輸層時間戳的寬帶私接檢測方法，其特徵在於，所述步驟1)的詳細步驟為電信接入路由設備實時捕獲伺服器端發送給客戶端的TCP報文， 如果TCP報文中SYN為1並且ACK為1，則將所述TCP報文的時間戳填充一串長度為32比特的數字後再發送給對應的客戶端。
3.根據權利要求1或2所述的基於OSI傳輸層時間戳的寬帶私接檢測方法，其特徵在於，所述步驟4)的詳細步驟為A)設置檢測時間為1.2秒，檢測周期為300ms，初始化計數器cnt、預設時間計數器Ntl 和N都為0 ；B)獲取接收當前TCP報文的系統時間和接收上一個TCP報文的系統時間，將所述兩個系統時間求差得到系統時間差並以IOOms為單位取整；C)獲取當前TCP報文的時間戳和上一個TCP報文的時間戳，獲取時間戳差的絕對值；D)獲取所述時間戳差的絕對值與所述系統時間差之間的差值，並將所述差值與第一常量進行比較，如果所述差值超過第一常量則判定該IP位址對應的客戶端存在寬帶私接現象，否則跳轉執行步驟E)；E)分別獲取接收當前TCP報文的系統時間和第1次接收到的TCP報文的系統時間，將所述兩個系統時間求差得到系統時間差並以IOOms為單位取整得到N ；F)判斷表達式隊+3< = N是否成立，如果不成立則執行步驟G)，否則把cnt清零，且如果檢測時間到達1. 2秒，則跳到步驟I)，否則把N賦值給Ntl，並跳轉執行步驟B)；G)判斷D)中獲取的時間戳差的絕對值與所述系統時間差之間的差值是否為0，如果不為0則使計數器cnt加1 ；H)將計數器cnt與第二常量進行比較，如果計數器值大於第二常量，則判定該IP位址對應的客戶端存在寬帶私接現象，否則繼續跳轉執行步驟B)；I)該IP位址暫時沒有檢測出私接，進行下次繼續檢測或者退出檢測。
4.根據權利要求3所述的基於OSI傳輸層時間戳的寬帶私接檢測方法，其特徵在於 所述第一常量為2，所述第二常量為6。
全文摘要
本發明公開了一種基於OSI傳輸層時間戳的寬帶私接檢測方法，其實施步驟如下1)在客戶端向伺服器端請求建立TCP連接時，伺服器端返回了同步確認報文，電信接入路由設備截獲該同步確認報文，添加時間戳後再次發送給客戶端；2)電信接入路由設備設定第一常量和第二常量；3)電信接入路由設備標記每一個接收的TCP報文的系統時間，並獲取每一個接收的TCP報文的時間戳；4)實時獲取同一IP位址客戶端發送的相鄰兩個TCP報文之間的系統時間差和時間戳差，並獲取系統時間差和時間戳差之間的差值，如果所述差值超過第一常量或者在預設時間內所述差值不為0的數量超過第二常量則判定該IP位址對應的客戶端存在寬帶私接現象。本發明具有檢測準確性高、系統資源佔用低、檢測過程簡便、適用範圍廣泛的優點。
文檔編號H04L12/26GK102377620SQ20111041010
公開日2012年3月14日 申請日期2011年12月9日 優先權日2011年12月9日
發明者於強, 倪笑園, 徐元欣, 李永佳, 楊碩, 梁書成, 潘立波, 章翠枝, 陳淑敏 申請人:浙江大學