追踪溯源--抓住隐藏在NAT后面的罪犯

零、绪论：

　　水一篇，很小，只是一点思路记录，在工作中经常遇到的一类小问题。NAT后面的地址如何追查下去，推动网络整改不现实，总还要有一些手段来确认。

一、背景：

　　全球IPv4地址越来越少，也越来越贵，因此大到一个组织，小到一个家庭一个人都很难获得公网IP地址，所以只能使用内网地址，从而和别人共享一个公网IP地址。在这种情况下，NAT技术诞生，传统NAT将内网发其的请求报文原地址转换成自己发往远端服务器，对回来的响应报文做反向处理，看起来有点类似于一个网络层的代理。当然也有把内网服务端口映射在公网出口地址上的，称作DNAT。这类技术在方便我们使用，节约成本，网络互联互通方面做了很多贡献。但是也带来一个严重的问题，就是追踪溯源难度变大，一旦藏在NAT后面，就是一个大的黑洞。

二、追踪溯源：

　　一般的溯源思路是，收到了监控告警或设备服务异常引发应急排查。首先确定攻击IP，一般Linux系统日志和WEB日志都能查到尝试攻击的IP。如果日志没有，也可以通过netstat或者抓包异常进程连接，确定对端IP（当然这个IP很可能经过多次NAT）。以上内容一般属于应急响应的范畴，主要目的是保障业务损失最小（定损止损），保留证据以便于后续进一步溯源。根据IP、域名等信息查询对端物理地址或具体攻击者、攻击组织是溯源的目标。除了使用威胁情报、DNS记录等手段做安全分析之外，对IP追踪就是一个大的问题。这里主要讲解如何查询NAT后面的真实IP。

三、技术手段：

1、直