适用于IPv6/IPv4访问服务的安全溯源装置的制作方法

适用于ipv6/ipv4访问服务的安全溯源装置
技术领域
1.本公开涉及通信技术领域，尤其涉及一种适用于ipv6/ipv4访问服务的安全溯源装置和方法。


背景技术：

2.作为国际公认的下一代互联网核心协议，ipv6有充足的地址空间和先进的协议特性。但是，ipv6与ipv4并不兼容，因此对于存量的ipv4服务来说，需要额外的升级技术来保障其与ipv6互联网互联互通。
3.一种可能的方式是双栈技术，即，将ipv4服务器和内部网络改造成ipv4/ipv6双栈，于是ipv6用户可以通过ipv6链路访问新升级的ipv6服务，ipv4用户可以通过ipv4链路访问原有的ipv4服务。但是，根据中国信通院《ipv6网络安全白皮书》提到的，双栈技术增加了网络节点的安全暴露面，丰富了攻击者的攻击选择，会带来更大的安全隐患。同时，内部所有的网络业务系统都需要升级到支持ipv4/ipv6两种类型的用户，由于双栈客户端的广泛存在，需要额外大量的工作将ipv6用户和ipv4用户联系起来进行用户管理和溯源管理，成本高且不易管理。
4.如果不采用双栈技术，那么需要使用ipv4/ipv6翻译技术。翻译技术包括应用层翻译技术和网络层翻译技术。应用层翻译技术终结用户的ipv6连接并向后台ipv4服务器发起新的ipv4连接，作为一个通道传递前后两个连接的数据，需要针对不同应用类型进行适配，如果用户的连接是加密或私有协议，应用层翻译技术需要与该协议做深度耦合且需要获取用户的安全密钥，安全风险高。与之相反，网络层翻译技术可以支持任意应用层协议，包括加密和私有协议。网络层翻译技术又包括有状态翻译技术和无状态翻译技术。
5.有状态翻译技术通过保存、跟踪、查找所有连接状态，实现ipv6地址和ipv4地址之间的动态映射。因此，如果需要对ipv4地址进行溯源找到原有的ipv6地址，需要保存基于连接的日志信息并进行搜索。该操作需要的日志量极大，对系统的资源消耗很高，很难进行实时溯源，而且很容易出错和由于故障或受到攻击丢失数据。为实现实时溯源，专利号cn110351396a提供了一类ipv4/ipv6数据传输处理方法，接收带有源ipv6地址的ipv4数据传输包，将该源ipv6地址存储在该ipv4数据传输包头部的选项字节中，实现了溯源功能。该功能需要在数据报文中增加额外的数据长度，可能会导致增加后的报文长度超过mtu而无法传输。同时，该功能由于存入的是明文的ipv6地址且无校验功能，存在被假冒、篡改、攻击的漏洞，带来了新的安全风险。
6.与之相对应的，专利号cn103856580b公开了一种ipv6客户机访问ipv4服务器的方法，定义了一种ipv6客户端访问ipv4服务器的无状态翻译技术，不仅可以支持任意应用层协议，安全性好，而且不保存任何连接状态，通过事先配置好的ipv4/ipv6地址映射规则来实现翻译，实现ipv6地址和ipv4地址之间的静态映射。但其中并没有发明无状态翻译中安全溯源的技术。
7.因此，在ipv6客户端访问ipv4服务器场景下，目前的所有技术中，并没有足够安全
可靠的、开销小的、适用于所有应用的溯源方法。


技术实现要素：

8.有鉴于此，为解决现有ipv4/ipv6溯源方法的安全风险大、资源开销大、应用适配困难的问题，本发明基于无状态翻译技术，发明了加密安全的实时溯源方法和历史溯源方法，形成统一的无状态安全溯源装置。该装置无需查询日志，直接通过加密的api就可以实现实时ipv4/ipv6溯源，对系统资源消耗极低，可以极大地降低系统开销；该装置基于网络层无状态翻译技术，因此适用于所有应用，包括加密和私有应用；该装置不修改数据报文内容，同时兼容已有的ipv4防火墙，不会增加安全风险，同时使用加密技术保障溯源查询的端到端信息隐藏，中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。
9.根据本公开的第一方面，提出了一种适用于ipv6/ipv4访问服务的安全溯源装置，包括通讯连接的无状态翻译网关和溯源装置，其中，所述无状态翻译网关：用于配置ipv6/ipv4无状态灵活映射表，并基于所述ipv6/ipv4无状态灵活映射表对所接收到的ipv6/ipv4地址进行无状态映射，获得ipv6/ipv4地址映射记录；所述溯源装置：用于向所述无状态翻译网关发出溯源请求，并根据所述溯源请求获取所述ipv6/ipv4地址映射记录，实现实时溯源及历史溯源。
10.在一种可能的实现方式中，可选地，所述溯源装置包括加密安全的实时溯源设施和加密安全的历史溯源设施，其中，所述实时溯源设施：用于基于无状态翻译算法对所述ipv6/ipv4无状态灵活映射表进行查询并获取数据，统计浏览量和基于ip地址的用户画像以及进行实时监控；所述历史溯源设施：用于基于无状态翻译算法对所述ipv6/ipv4无状态灵活映射表进行查询并获取数据，进行用户追踪和行为分析；所述实时溯源设施和历史溯源设施分别连接至所述无状态翻译网关。
11.在一种可能的实现方式中，可选地，所述溯源装置上设有加密安全的溯源接口，所述溯源接口用于用户从所述无状态翻译网关上获取所述实时溯源设施中的实时溯源数据和/或所述历史溯源设施中的历史溯源数据。
12.在一种可能的实现方式中，可选地，所述溯源接口包括：至少一个加密安全的本机查询溯源接口：所述本机查询溯源接口用于基于身份认证和授权的管理员以及有限集合的请求参数在所述无状态翻译网关上查询溯源信息；以及，至少一个加密安全的高性能远程查询溯源接口：所述高性能远程查询溯源接口用于使用https/tls/ssh加密方式，对接并实现外部业务/查询系统与所述无状态翻译网关之间的溯源查询；以及，至少一个加密安全的管理溯源接口：所述管理溯源接口用于管理系统使用标准的snmp协议进行实时溯源和历史溯源。
13.在一种可能的实现方式中，可选地，所述无状态翻译网关上配置有储存溯源资源的溯源mib库，所述溯源mib库包括实时溯源mib库和历史溯源mib库，所述实时溯源mib库和历史溯源mib库上皆配置有一个oid溯源接口，所述oid溯源接口用于调用所述实时溯源设
施上的管理溯源接口或所述历史溯源设施上的管理溯源接口。
14.在一种可能的实现方式中，可选地，所述无状态翻译网关上还配置有前置判断组件和日志记录模块，其中，所述前置判断组件：用于接收溯源请求，根据所述溯源请求判断溯源接口所属设施和接口类型，并将所述溯源请求分发至所匹配的溯源接口；所述日志记录模块：用于将与所述溯源请求相关联的访问记录和查询记录均形成的强日志记录，记录在本机或单独的日志服务器上。
15.根据本公开的第二方面，提出了一种实施上述所述的适用于ipv6/ipv4访问服务的安全溯源装置的方法，包括如下步骤：s100、安装并配置所述无状态翻译网关，基于所述无状态翻译网关正常运行业务流量；s200、在所述无状态翻译网关上安装所述实时溯源设施和所述历史溯源设施，并分别配置至少一个所述本机查询溯源接口、所述高性能远程查询溯源接口和所述管理溯源接口；s300、发送加密的溯源请求，通过前置判断组件根据所述溯源请求判断溯源接口所属设施和接口类型，并将所述溯源请求分发至所匹配的溯源接口；以及，通过所述所匹配的溯源接口对所述加密的溯源请求进行用户权限校验：如果是合法请求则正常解密，并根据输入参数和无状态映射算法生成源地址和/或其他参数，实现溯源；如果是非法请求，则拒绝访问；s400、通过日志记录模块，将与所述溯源请求相关联的访问记录和查询记录均形成的强日志记录，记录在本机或单独的日志服务器上。
16.根据本公开的第三方面，提出了一种基于上述所述适用于ipv6/ipv4访问服务的安全溯源装置进行本机查询的溯源方法，包括如下步骤：s111、管理用户登录所述无状态翻译网关，进行用户权限校验和认证；s121、输入包含溯源参数的溯源请求；s131、通过所述本机查询溯源接口判断所述溯源参数是否匹配所述本机查询溯源接口的限定格式：是则通过所述本机查询溯源接口根据所述ipv6/ipv4无状态灵活映射表进行实时查询，并返回结构化的输出数据；否则丢弃该溯源请求；s141、获取所述输出数据并返回给用户。
17.根据本公开的第四方面，提出了一种基于上述所述适用于ipv6/ipv4访问服务的安全溯源装置进行高性能远程查询的溯源方法，包括如下步骤：s211、远程用户登录所述无状态翻译网关，进行用户权限校验和认证；s221、输入包含溯源参数的溯源请求；s231、通过所述高性能远程查询溯源接口判断所述远程用户的ipv4/ipv6地址是否在预设允许范围内：是则解密所述溯源请求，并判断所述溯源参数是否匹配所述高性能远程查询溯源接口的限定格式；否则丢弃该溯源请求；s241、若所述溯源参数匹配所述高性能远程查询溯源接口的限定格式，则通过所述高性能远程查询溯源接口根据所述ipv6/ipv4无状态灵活映射表进行实时查询，并返回结构化的输出数据；否则丢弃该溯源请求；
所说明的任何实施例不必解释为优于或好于其它实施例。
25.另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。
26.实施例1本发明基于无状态翻译技术，发明了加密安全的实时溯源方法和历史溯源方法，形成统一的无状态安全溯源装置。该装置无需查询日志，直接通过加密的api就可以实现实时ipv4/ipv6溯源，对系统资源消耗极低，可以极大地降低系统开销；该装置基于网络层无状态翻译技术，因此适用于所有应用，包括加密和私有应用；该装置不修改数据报文内容，同时兼容已有的ipv4防火墙，不会增加安全风险，同时使用加密技术保障溯源查询的端到端信息隐藏，中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。
27.如图1所示，根据本公开的第一方面，提出了一种适用于ipv6/ipv4访问服务的安全溯源装置，包括通讯连接的无状态翻译网关和溯源装置，其中，1）所述无状态翻译网关：用于配置ipv6/ipv4无状态灵活映射表，并基于所述ipv6/ipv4无状态灵活映射表对所接收到的ipv6/ipv4地址进行无状态映射，获得ipv6/ipv4地址映射记录；本实施例中，首先在无状态翻译网关中配置构建好的ipv6/ipv4无状态灵活映射表，ipv6/ipv4无状态灵活映射表的构建规则按照预设映射规则来构建，预设映射规则由用户具体设计。上述翻译网关配置界面的实现方式、翻译网关设备部署位置等细节本发明不进行限定。
28.ipv6/ipv4无状态灵活映射表表示目标地址的ipv6/ipv4静态映射关系，即真实的ipv4服务器地址与虚拟的ipv6公布地址之间的静态映射关系。
29.构建方式可以包括如下构建方式：在ipv6/ipv4无状态灵活映射表中，每一行表示一条ipv6/ipv4映射规则，每条映射规则可以是一对一，即一个ipv6地址对应一个ipv4地址，也可以是聚合后的多对多，即一个ipv6前缀a中的多个ipv6地址与一个ipv4前缀b中的多个ipv4地址实现一一映射的关系。ipv6/ipv4无状态灵活映射表中，可以包含多条映射规则，不同映射规则之间可以有重叠的ipv6地址范围和/或重叠的ipv4地址范围，如果有重叠，按照最长前缀匹配规则，选取最优规则。
30.在ipv6/ipv4无状态灵活映射表中，每条映射规则包括5个字段：1）映射规则类型：包括固定映射类型和/或地址嵌入映射类型。其中，固定映射类型是单个ipv6地址对应单个ipv4地址；地址嵌入映射类型是按照rfc6052规定的“ipv4-embedded ipv6地址格式”。
31.2）ipv6前缀：本条映射规则的ipv6地址部分，可以是一个ipv6前缀，也可以是一个ipv6地址，即一个前缀长度是128的ipv6前缀。
32.3）ipv6前缀长度：上述ipv6前缀的前缀长度。
33.4）ipv4前缀：本条映射规则的ipv4地址部分，可以是一个ipv4前缀，也可以是一个ipv4地址，即一个前缀长度是32的ipv4前缀。
34.5）ipv4前缀长度：上述ipv4前缀的前缀长度。
35.其中，任意两条ipv6/ipv4无状态灵活映射规则，上述5个字段不能完全相同；如果
发生该现象，系统发出无法配置的警告。
36.如果配置一条映射规则时，ipv4前缀与已有的某条映射规则冲突，则在翻译网关上新建一个ipv6/ipv4无状态灵活映射表e1，并区分两个映射表的源ipv4地址范围，对于ipv4服务器返回的报文，基于目标地址的路由为两个映射表引流。
37.如果存在多个ipv4前缀对应相同的ipv6前缀，则映射规则可以进行聚合为一条映射规则，聚合之后，在ipv6到ipv4映射过程中，先根据ipv6地址查找到若干映射规则，根据查找到的规则中的ipv6前缀长度，去掉ipv6前缀，得到ipv4地址，再根据ipv4地址在已查找到的映射规则中进行遍历匹配，得到最终的映射规则。
38.在ipv6客户机访问ipv4服务器时，ipv4服务器可以对ipv6互联网发布用户自由定义的ipv6地址，并将该虚拟ipv6地址与服务器真实的ipv4地址实现静态映射，插入到翻译网关的ipv6/ipv4无状态灵活映射表中。
39.上述ipv6/ipv4无状态灵活映射表仅对应服务器真实ipv4地址的ipv6/ipv4映射算法，另一个方向的ipv6/ipv4映射算法不做限定。以及添加ipv6/ipv4灵活映射表项的上层接口和操作方式不做限定。
40.通过遍历所述ipv6/ipv4无状态灵活映射表，并对其中的每个服务器端ipv4地址配置对应的dns aaaa记录；通过ipv6客户机向dns服务器请求返还所述dns aaaa记录，将所述dns aaaa记录转换获得ipv6分组并发送；通过所述翻译网关接收所述ipv6分组，根据ipv6目的地址和ipv4源地址在所述ipv6/ipv4无状态灵活映射表中分别进行二次映射，获得ipv6映射地址并发送。无状态翻译网关接收第一类ipv6分组，首先根据ipv6源地址映射得到ipv4源地址，再根据ipv6目的地址和第一最长前缀匹配原则在无状态灵活映射表e中查找ipv6目的地址对应的第一映射规则，如果查到对应的第一映射规则，计算得到第一类ipv4分组的目的地址，发送第一类ipv4分组；如果无法查到对应的第一映射规则，则丢弃。ipv4服务器收到第一类ipv4分组进行处理，产生并发送第二类ipv4分组到无状态翻译网关。
41.无状态翻译网关收到第二类ipv4分组，首先根据ipv4目的地址映射得到ipv6目的地址。再根据ipv4源地址（即ipv4服务器地址）和第二最长前缀匹配原则在ipv6/ipv4无状态灵活映射表e中查找ipv4源地址对应的第二映射规则，如果查到对应的第二映射规则，计算得到第二类ipv6分组的源ipv6地址，发送第二类ipv6分组；如果无法查到对应的第二映射规则，则丢弃。
42.ipv6客户机发送的数据包经过无状态翻译网关，无状态翻译网关对ipv6地址映射成ipv4地址，保存源ipv6地址的映射记录，得到ipv4数据包发送给ipv4服务器。ipv4服务器将收到的ipv4数据包处理后转发。无状态翻译网关收到ipv4数据包，查询地址映射记录f，得到ipv6数据包，发送给ipv6客户机。
43.根据配置的ipv6/ipv4无状态灵活映射表，遍历映射表，对映射表中的每个服务器端ipv4地址，配置其对应的dns aaaa记录，方法是：如果映射规则类型是固定映射类型，则将映射规则中的ipv6地址作为dns aaaa记录对应的ipv6地址，并在dns服务器上配置aaaa记录将其公布；如果映射规则类型是地址嵌入映射类型，则根据rfc6052地址映射规则，将ipv4地址嵌入到该映射规则的ipv6前缀后，并将其作为dns aaaa记录对应的ipv6地址，在dns服务
器上配置aaaa记录将其公布。
44.ipv6互联网中的ipv6客户机向dns服务器请求ipv4服务器的aaaa记录，dns服务器返回此ipv4服务器的aaaa记录给ipv6客户机，ipv6客户机发送第一类ipv6分组；无状态翻译网关接收第一类ipv6分组，首先根据ipv6源地址映射得到ipv4源地址，再根据ipv6目的地址和第一最长前缀匹配原则在无状态灵活映射表e中查找ipv6目的地址对应的第一映射规则，如果查到对应的第一映射规则，计算得到第一类ipv4分组的目的地址，发送第一类ipv4分组；如果无法查到对应的第一映射规则，则丢弃。上述第一最长前缀匹配原则的过程是：搜索ipv6/ipv4无状态灵活映射表，对第一类ipv6分组的ipv6目的地址进行匹配，找出所有匹配的映射规则。判断是否匹配的规则是：1）、如果ipv6目的地址与当前映射规则的ipv6前缀不匹配，则记为不匹配；如果ipv6目的地址与当前映射规则的ipv6前缀匹配，则判断该映射规则的类型；2）、如果是固定映射，则直接判断为匹配；如果是地址嵌入映射，则从ipv6目的地址中取出ipv4地址，判断ipv4地址是否与当前映射规则的某个ipv4前缀匹配；3）、如果可以匹配，则找出ipv4前缀长度最长的匹配项，判断为匹配；如果不能匹配，则判断为不匹配。
45.上述搜索的算法，无论是线性或非线性，无论时间复杂度或空间复杂度，本专利不进行限定。
46.映射规则搜索过程结束之后，根据映射规则包括的5个字段，找出最优匹配的映射规则：如果上述搜索过程未找到匹配的映射规则，则丢弃第一类ipv6分组；如果有匹配的映射规则，则在其中找到ipv6前缀长度最长的映射规则。
47.如果上述过程只找到一个ipv6前缀长度最长的映射规则，将其记为最优规则。
48.如果有多个ipv6前缀长度最长的映射规则，则比较其ipv4前缀长度，找到其中ipv4前缀长度最长的映射规则。由于之前规定不能有5个字段完全相同的两条映射规则同时存在，因此这里一定只能找到一条映射规则。将其记为最优规则。
49.ipv4服务器收到第一类ipv4分组进行处理，产生并发送第二类ipv4分组到翻译网关。
50.翻译网关收到第二类ipv4分组，首先根据ipv4目的地址映射得到ipv6目的地址。再根据ipv4源地址（即ipv4服务器地址）和第二最长前缀匹配原则在ipv6/ipv4无状态灵活映射表e中查找ipv4源地址对应的第二映射规则，如果查到对应的第二映射规则，计算得到第二类ipv6分组的源ipv6地址，发送第二类ipv6分组；如果无法查到对应的第二映射规则，则丢弃。
51.上述第二最长前缀匹配原则的过程是：搜索ipv6/ipv4无状态灵活映射表，对第二类ipv4分组的ipv4源地址进行匹配，找出所有匹配的映射规则。判断是否匹配的规则是：根据目的ipv4地址路由找到对应的映射表；如果ipv4源地址与当前映射规则的ipv4前缀不匹配，则记为不匹配；如果ipv4源地址匹配当前映射规则的ipv4前缀，则记为匹配。
52.上述搜索的算法，无论是线性或非线性，无论时间复杂度或空间复杂度，本专利不进行限定。
53.映射规则搜索过程结束之后，找出最优匹配的映射规则：如果上述搜索过程未找到匹配的映射规则，则丢弃第二类ipv4分组；如果有匹配的映射规则，则在其中找到ipv4前缀长度最长的映射规则；如果两条映射规则的ipv4前缀相同则不在一张映射表中，因此一张映射表的任意两条映射规则的ipv4前缀长度一定不同，因此上述过程只能找到一条最优的映射规则，将其记为最优规则。
54.通过上述无状态映射，可以实现：根据ipv6/ipv4无状态灵活映射算法，可以通过按需加入指定ipv6地址和指定ipv4地址之间的若干固定映射表项，并与rfc6052规定的ipv6/ipv4映射算法表项进行融合，实现统一的基于最长前缀匹配的ipv6/ipv4灵活映射表，可以适应各种不同的ipv6/ipv4访问的应用场景和用户需求。可以实现动态分配的ipv6地址与服务器ipv4地址之间的静态映射，满足任意部署场景。支持对ipv6用户隐藏服务器的真实ipv4地址，支持ipv4服务器发布加密的ipv6地址，实现一定程度的安全保护效果。支持固定的ipv6地址发布，无论内部服务器的ipv4地址如何变化，外部发布的ipv6地址总是保持不变，保持用户访问服务的稳定性，可应用于基于云服务的ipv4服务升级到ipv6服务。
55.2）为了对得到正确的源ipv6地址，以及保证溯源在安全防护或者用户数量统计中的作用，本系统设置了溯源装置从所述无状态翻译网关中请求获取不同的映射记录。
56.所述溯源装置：用于向所述无状态翻译网关发出溯源请求，并根据所述溯源请求获取所述ipv6/ipv4地址映射记录，实现实时溯源及历史溯源。
57.本实施例，溯源装置包括两个部分：加密安全的实时溯源设施和加密安全的历史溯源设施，可以根据溯源请求，向所述无状态翻译网关发出溯源请求，并根据所述溯源请求获取所述ipv6/ipv4地址映射记录，实现历史溯源及实时溯源。
58.当有溯源请求到达无状态翻译网关时，前置判断组件判断溯源接口所属设施和接口类型，并将请求分发至相应接口；对应接口对加密的溯源请求进行用户权限校验，如果是合法请求则正常解密，并根据输入参数和无状态映射算法，用无状态的方式生成源地址及/或其他参数，实现溯源的目的。
59.其中，实时溯源设施可用于统计浏览量、实时监控、基于ip地址的用户画像等；历史溯源设施可用于用户追踪、行为分析等。实时溯源设施和历史溯源设施基于无状态翻译算法，对无状态算法和无状态映射表进行查询，因此具有适用所有应用和开销小的特性。根据不同的使用需求，实时溯源设施和历史溯源设施开放若干加密安全的接口供使用者使用，包括但不限于：加密安全的本机查询溯源接口，加密安全的高性能远程查询溯源接口，加密安全的管理溯源接口，等，并做好强日志记录。
60.如图1所示，在一种可能的实现方式中，可选地，所述溯源装置包括加密安全的实时溯源设施和加密安全的历史溯源设施，其中，所述实时溯源设施：用于基于无状态翻译算法对所述ipv6/ipv4无状态灵活映射表进行查询并获取数据，统计浏览量和基于ip地址的用户画像以及进行实时监控；所述历史溯源设施：用于基于无状态翻译算法对所述ipv6/ipv4无状态灵活映射表进行查询并获取数据，进行用户追踪和行为分析；
所述实时溯源设施和历史溯源设施分别连接至所述无状态翻译网关。
61.时溯源设施可用于统计浏览量、实时监控、基于ip地址的用户画像等；历史溯源设施可用于用户追踪、行为分析等。实时溯源设施和历史溯源设施基于无状态翻译算法，对无状态算法和无状态映射表进行查询，因此具有适用所有应用和开销小的特性。根据不同的使用需求，实时溯源设施和历史溯源设施开放若干加密安全的接口供使用者使用，包括但不限于：加密安全的本机查询溯源接口，加密安全的高性能远程查询溯源接口，加密安全的管理溯源接口等，并做好强日志记录。
62.本实施例，所述实时溯源设施和历史溯源设施皆可通过一个溯源接口而向无状态翻译网关请求溯源数据，根据溯源请求中包含的溯源参数获取无状态翻译网关中映射记录。根据溯源请求以及对应不同的溯源参数，可以进行不同类型的溯源管理。在无状态翻译网关上安装加密安全的实时溯源设施和加密安全的历史溯源设施，每项设施从无状态翻译网关的无状态映射算法和映射表中读取数据，并分别提供加密安全本机查询溯源接口、加密安全高性能远程查询溯源接口和加密安全管理溯源接口。
63.在一种可能的实现方式中，可选地，所述溯源装置上设有加密安全的溯源接口，所述溯源接口用于用户从所述无状态翻译网关上获取所述实时溯源设施中的实时溯源数据和/或所述历史溯源设施中的历史溯源数据。
64.具体的，如图1所示。
65.在一种可能的实现方式中，可选地，所述溯源接口包括：至少一个加密安全的本机查询溯源接口：所述本机查询溯源接口用于基于身份认证和授权的管理员以及有限集合的请求参数在所述无状态翻译网关上查询溯源信息；加密安全的本机查询溯源接口用于系统管理员或设备管理员在翻译设备上直接查询相应的溯源信息，可以是命令行/网页portal查询或其他形式不做限定。该接口基于严格的用户身份认证和授权，未登录用户或非授权用户无法查询相应的溯源信息，且过一段时间之后需要重新认证。同时，该接口仅接受有限集合的参数范围，因此该接口可充分保证溯源查询的有效性和真实可信。
66.以及，至少一个加密安全的高性能远程查询溯源接口：所述高性能远程查询溯源接口用于使用https/tls/ssh加密方式，对接并实现外部业务/查询系统与所述无状态翻译网关之间的溯源查询；加密安全的高性能远程查询溯源接口：用于对接外部的业务系统或查询系统，具体的调用形式可以是restful/grpc/netconf或其他，形式和格式均不做限定。该接口使用https/tls/ssh进行端到端加密，在开销小、适用所有应用的基础上，实现端到端的安全可靠传输,中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。在并发量大的应用场景，该接口可使用异步设计尽可能提高并发请求支持数量，实现高性能的溯源查询。
67.以及，至少一个加密安全的管理溯源接口：所述管理溯源接口用于管理系统使用标准的snmp协议进行实时溯源和历史溯源。加密安全的管理溯源接口用于网络管理系统、监控系统等业务系统，使用标准的snmp协议进行实时溯源和历史溯源。该接口使用端到端加密的snmp协议，在开销小、适用所有应用的基础上，实现端到端的安全可靠传输,中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。
68.在一种可能的实现方式中，可选地，所述无状态翻译网关上配置有储存溯源资源
的溯源mib库，所述溯源mib库包括实时溯源mib库和历史溯源mib库，所述实时溯源mib库和历史溯源mib库上皆配置有一个oid溯源接口，所述oid溯源接口用于调用所述实时溯源设施上的管理溯源接口或所述历史溯源设施上的管理溯源接口。
69.在无状态翻译网关和网络管理系统上安装无状态翻译溯源相关的mib库，包括实时溯源mib库和历史溯源mib库，并配置mib库的oid，供实时溯源设施和历史溯源设施的加密安全管理溯源接口调用。
70.在一个优选实施例中，首先在无状态翻译网关安装snmp代理端，并通过snmp代理端加载snmp溯源模块；其中，snmp代理端和无状态翻译网关之间基于snmpv1/v2c/v3协议设置的snmp 溯源trap进行数据采集和传输，snmp溯源模块通过snmp 溯源trap主动向snmp管理服务器上报溯源记录。
71.在无状态翻译网关工作过程中，snmp代理端会收集ipv6/ipv4地址映射记录中的信息，储存在溯源mib（management information base）库中。管理员或者用户可以通过snmp管理服务器向snmp代理端发送获取溯源记录的请求，snmp代理端收到请求后，在溯源mib库中查找到相应的结果，返回给snmp管理服务器。snmp是因特网架构委员会iab定义的一个应用层协议，广泛用于管理和监控网络设备，基于snmpv1/v2c/v3协议的溯源模块为接入统一网络管理节点提供接口，便于远程溯源查询，且支持实时查询及历史查询。
72.在一种可能的实现方式中，可选地，所述无状态翻译网关上还配置有前置判断组件和日志记录模块，其中，所述前置判断组件：用于接收溯源请求，根据所述溯源请求判断溯源接口所属设施和接口类型，并将所述溯源请求分发至所匹配的溯源接口；所述日志记录模块：用于将与所述溯源请求相关联的访问记录和查询记录均形成的强日志记录，记录在本机或单独的日志服务器上。
73.当有溯源请求到达无状态翻译网关时，前置判断组件判断溯源接口所属设施和接口类型，并将请求分发至相应接口；对应接口对加密的溯源请求进行用户权限校验，如果是合法请求则正常解密，并根据输入参数和无状态映射算法，用无状态的方式生成源地址及/或其他参数，实现溯源的目的。如果是非法请求则拒绝访问。
74.无论是合法请求还是非法请求，相关的访问记录和查询记录均形成强日志记录，日志记录模块将其记录在本机或单独的日志服务器上，记录的方式不做限定。
75.需要说明的是，默认采用snmp get的方式，由网络管理系统向溯源装置进行查询。在特定情况下也可使用snmp trap/inform的方式，由溯源装置向网络管理系统进行上报，但本领域技术人员能够理解，本公开应不限于此。事实上，用户完全可根据个人喜好和/或实际应用场景灵活设定网络方式，只要实现溯源装置和无状态翻译网关之间的溯源请求查询即可。
76.上述加密安全的本机查询溯源接口可以是命令行/网页portal查询或其他形式不做限定。用户可以通过命令行向命令行溯源模块输入参数：ipv4地址，输入的参数可以是单个或多个ipv4地址进行批量查询，也可以包括时间等其他需要的参数；命令行溯源模块根据输入参数在映射记录f中查询并输出查询结果到命令行终端，查询结构为输入ipv4地址对应的ipv6地址，也可以包括时间。命令行溯源模块可以安装在无状态翻译网关设备上，管理员或者用户可以通过翻译设备的命令行输入ipv4地址即可查询到用户的ipv6地址，查询
结果直观，可在需要时快速定位ipv6地址。
77.上述加密安全的高性能远程查询溯源接口的调用形式可以是restful/grpc/netconf或其他，形式和格式均不做限定。用户通过基于restful架构的restful客户端发起溯源请求，向restful api溯源模块发起溯源请求，请求参数为一个ipv4地址或批量ipv4地址，还可以包括时间等参数；restful api溯源模块根据输入参数在ipv6/ipv4地址映射记录中查询，并将结果进行封装，返回给请求的客户端。标准restful api溯源接口提供单条查询及批量查询，性能好，灵活性高，易于接入其他基于restful架构的溯源系统。
78.上述加密安全的管理溯源接口使用的snmp版本不做限定。基于snmpv1/v2c/v3协议设置的snmp 溯源trap主动向snmp管理服务器上报所述溯源记录，以及收集所述ipv6/ipv4地址映射记录并储存在溯源mib库中；以及，snmp溯源模块：用于通过所述snmp管理服务器向所述snmp代理端发送溯源记录获取请求，从所述溯源mib库中获取溯源记录并返回给所述snmp管理服务器。
79.溯源查询的访问记录和查询记录形成的日志信息，记录在本机或单独的日志服务器上，记录的方式不做限定。
80.尽管根据ipv6/ipv4无状态灵活映射表作了上述根据ipv6分组地址映射得到ipv4目的地址的如上示例介绍，但本领域技术人员能够理解，本公开应不限于此。事实上，用户完全可根据个人喜好和/或实际应用场景灵活设定映射方向，上述ipv6/ipv4无状态灵活映射表仅对应服务器真实ipv4地址的ipv6/ipv4映射算法，另一个方向的ipv6/ipv4映射算法不做限定。只要按照上述映射规则的建立原则以及地址映射的实现原理和思路实现地址访问即可。当实现ipv6
‑‑
》ipv4的映射时，映射方向是目的地址的ipv6-ipv4翻译；当实现ipv4
‑‑
》ipv6的映射时，映射方向是源地址的ipv4-ipv6翻译。
81.这样，通过所述无状态翻译网关以及所述溯源装置，基于无状态翻译技术，发明了加密安全的实时溯源方法和历史溯源方法，形成统一的无状态安全溯源装置。该装置无需查询日志，直接通过加密的api就可以实现实时ipv4/ipv6溯源，对系统资源消耗极低，可以极大地降低系统开销；该装置基于网络层无状态翻译技术，因此适用于所有应用，包括加密和私有应用；该装置不修改数据报文内容，同时兼容已有的ipv4防火墙，不会增加安全风险，同时使用加密技术保障溯源查询的端到端信息隐藏，中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。
82.实施例2基于实施例1的实施，本实施例，提供一种实施实施例1所述的适用于ipv6/ipv4访问服务的安全溯源装置的方法。如图2所示。
83.根据本公开的第二方面，提出了一种实施上述所述的适用于ipv6/ipv4访问服务的安全溯源装置的方法，包括如下步骤：s100、安装并配置所述无状态翻译网关，基于所述无状态翻译网关正常运行业务流量；s200、在所述无状态翻译网关上安装所述实时溯源设施和所述历史溯源设施，并分别配置至少一个所述本机查询溯源接口、所述高性能远程查询溯源接口和所述管理溯源接口；s300、发送加密的溯源请求，通过前置判断组件根据所述溯源请求判断溯源接口
所属设施和接口类型，并将所述溯源请求分发至所匹配的溯源接口；以及，通过所述所匹配的溯源接口对所述加密的溯源请求进行用户权限校验：如果是合法请求则正常解密，并根据输入参数和无状态映射算法生成源地址和/或其他参数，实现溯源；如果是非法请求，则拒绝访问；s400、通过日志记录模块，将与所述溯源请求相关联的访问记录和查询记录均形成的强日志记录，记录在本机或单独的日志服务器上。
84.当有溯源请求到达无状态翻译网关时，前置判断组件判断溯源接口所属设施和接口类型，并将请求分发至相应接口；对应接口对加密的溯源请求进行用户权限校验，如果是合法请求则正常解密，并根据输入参数和无状态映射算法，用无状态的方式生成源地址及/或其他参数，实现溯源的目的。如果是非法请求则拒绝访问。无论是合法请求还是非法请求，相关的访问记录和查询记录均形成强日志记录，记录在本机或单独的日志服务器上，记录的方式不做限定。
85.显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
86.本技术的技术效果：本发明基于无状态翻译技术，发明了加密安全的实时溯源方法和历史溯源方法，形成统一的无状态安全溯源装置。该装置无需查询日志，直接通过加密的api就可以实现实时ipv4/ipv6溯源，对系统资源消耗极低，可以极大地降低系统开销；该装置基于网络层无状态翻译技术，因此适用于所有应用，包括加密和私有应用；该装置不修改数据报文内容，同时兼容已有的ipv4防火墙，不会增加安全风险，同时使用加密技术保障溯源查询的端到端信息隐藏，中间人无法侦听和篡改，极大地保护了溯源系统的稳定性和安全性。
87.实施例3基于施例1的实施，本实施例结合本机查询溯源接口提供一种本机查询溯源方法。
88.根据本公开的第三方面，提出了一种基于上述所述适用于ipv6/ipv4访问服务的安全溯源装置进行本机查询的溯源方法，包括如下步骤：s111、管理用户登录所述无状态翻译网关，进行用户权限校验和认证；s121、输入包含溯源参数的溯源请求；s131、通过所述本机查询溯源接口判断所述溯源参数是否匹配所述本机查询溯源接口的限定格式：是则通过所述本机查询溯源接口根据所述ipv6/ipv4无状态灵活映射表进行实时查询，并返回结构化的输出数据；否则丢弃该溯源请求；s141、获取所述输出数据并返回给用户。
89.具体的实施步骤如下，步骤1：系统管理员登录翻译设备，进行用户认证。如果认证成功且有查询溯源日志的权限，则转到步骤2，如果认证失败或者没有查询溯源日志的权限，则拒绝进行溯源查询；
步骤2：系统管理员输入溯源参数并开始查询。如果是实时查询，则输入一个或多个源ipv4地址；如果是历史查询，则在输入一个或多个源ipv4地址的基础上，可能还需要输入时间范围等信息；步骤3：加密安全本机查询溯源接口检查参数是否为限定的格式。如果是，则继续进行步骤4；否则直接丢弃该请求。
90.步骤4：加密安全本机查询溯源接口根据无状态翻译映射算法和映射表进行实时查询，并返回结构化的输出数据。输出数据可以包括溯源后的ipv6地址，或者若干ipv4-ipv6无状态映射记录，或其他需要的溯源结果；步骤5：将结构化的输出数据组织成用户友好的输出形式，并可以导出。
91.实施例4基于施例1的实施，本实施例结合高性能远程查询溯源接口提供一种高性能远程查询溯源方法。
92.根据本公开的第四方面，提出了一种基于上述所述适用于ipv6/ipv4访问服务的安全溯源装置进行高性能远程查询的溯源方法，包括如下步骤：s211、远程用户登录所述无状态翻译网关，进行用户权限校验和认证；s221、输入包含溯源参数的溯源请求；s231、通过所述高性能远程查询溯源接口判断所述远程用户的ipv4/ipv6地址是否在预设允许范围内：是则解密所述溯源请求，并判断所述溯源参数是否匹配所述高性能远程查询溯源接口的限定格式；否则丢弃该溯源请求；s241、若所述溯源参数匹配所述高性能远程查询溯源接口的限定格式，则通过所述高性能远程查询溯源接口根据所述ipv6/ipv4无状态灵活映射表进行实时查询，并返回结构化的输出数据；否则丢弃该溯源请求；s251、获取所述输出数据并返回给远程用户。
93.具体的实施步骤如下，步骤1：外部业务系统或查询系统向溯源装置进行用户认证。如果认证成功且有查询溯源日志的权限，则转到步骤2，如果认证失败或者没有查询溯源日志的权限，则拒绝进行溯源查询；步骤2：外部业务系统或查询系统向通过本接口输入溯源参数并开始查询。如果是实时查询，则输入一个或多个源ipv4地址；如果是历史查询，则在输入一个或多个源ipv4地址的基础上，可能还需要输入时间范围等信息。相关信息用加密的形式封装在报文中发送给无状态翻译网关；步骤3：加密安全高性能远程查询溯源接口判断溯源查询者的ipv4/ipv6地址是否在允许范围内，如果在允许范围内，则继续进行步骤4；否则则直接丢弃该请求；步骤4：加密安全高性能远程查询溯源接口解密请求，并判断查询者的参数是否为限定的格式。如果是，则继续进行步骤5；否则直接丢弃该请求。
94.步骤5：根据无状态翻译映射算法和映射表进行实时查询，并返回结构化的输出数据。输出数据可以包括溯源后的ipv6地址，或者若干ipv4-ipv6无状态映射记录，或其他需要的溯源结果；可选的，可以通过异步方式进行查询，进一步提高查询的性能。
95.步骤6：将结构化的输出数据组织成标准的接口输出形式，并以加密的方式发送给
溯源查询者。
96.实施例5基于施例1的实施，本实施例结合管理溯源接口提供一种管理查询溯源方法。
97.根据本公开的第五方面，提出了一种基于上述所述适用于ipv6/ipv4访问服务的安全溯源装置进行管理的溯源方法，包括如下步骤：s311、在所述无状态翻译网关和网络管理系统上安装溯源mib库，并配置snmp参数和snmp模式；s321、网络管理用户登录所述无状态翻译网关，进行用户权限校验和认证；s331、输入包含溯源参数的溯源请求；s341、通过所述管理溯源接口判断所述网络管理用户的ipv4/ipv6地址是否在预设允许范围内：是则解密所述溯源请求，并判断所述溯源参数是否匹配所述管理溯源接口的限定格式；否则丢弃该溯源请求；s351、若所述溯源参数匹配所述管理溯源接口的限定格式，则通过所述管理溯源接口根据所述ipv6/ipv4无状态灵活映射表进行实时查询，并返回结构化的输出数据；否则丢弃该溯源请求；s361、获取所述输出数据并返回给所述网络管理用户。
98.具体实施步骤如下，步骤1：配置snmp相关参数，可包括唯一号、认证用户名/密码、网管系统白名单地址等。并在无状态翻译网关和网络管理系统上安装无状态翻译溯源相关的mib库，包括实时溯源mib库和历史溯源mib库，配置mib库的oid，供实时溯源设施和历史溯源设施的加密安全管理溯源接口调用。
99.步骤2：配置snmp的模式。默认采用snmp get的方式，由网络管理系统向溯源装置进行查询。在特定情况下也可使用snmp trap/inform的方式，由溯源装置向网络管理系统进行上报，本发明不做限定。
100.步骤3：网络管理系统向溯源装置进行用户认证。如果认证成功且有查询溯源日志的权限，则转到步骤4，如果认证失败或者没有查询溯源日志的权限，则拒绝进行溯源查询；步骤4：网络管理系统向通过本接口输入溯源参数并开始查询。如果是实时查询，则输入一个或多个源ipv4地址；如果是历史查询，则在输入一个或多个源ipv4地址的基础上，可能还需要输入时间范围等信息。相关信息用加密的snmp形式封装在报文中发送给无状态翻译网关；步骤5：加密安全管理溯源接口判断溯源查询者的ipv4/ipv6地址是否在允许范围内，如果在允许范围内，则继续进行步骤6；否则则直接丢弃该请求；步骤6：加密安全管理溯源接口解密请求，并判断查询者的snmp请求参数是否为限定的格式。如果是，则继续进行步骤7；否则直接丢弃该请求。
101.步骤7：根据无状态翻译映射算法和映射表进行实时查询，并返回结构化的输出数据。输出数据可以包括溯源后的ipv6地址，或者若干ipv4-ipv6无状态映射记录，或其他需要的溯源结果；步骤8：将结构化的输出数据组织成标准的snmp接口输出形式，并以加密的方式发送给溯源查询者。
102.以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。