CN101159693B

CN101159693B - 复用路由器接口地址的静态pat支持任意端口的方法

Info

Publication number: CN101159693B
Application number: CN2007101818173A
Authority: CN
Inventors: 陈尔严; 郑轶; 孙勇; 林晨; 陈晨
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-10-16
Filing date: 2007-10-16
Publication date: 2011-08-10
Anticipated expiration: 2027-10-16
Also published as: CN101159693A

Abstract

本发明提供了一种复用路由器接口地址的静态端口地址转换支持任意端口的方法，该方法包括：步骤1，配置路由器网络地址转换入接口、网络地址转换出接口和复用接口地址静态端口地址转换规则；以及步骤2，如果路由器的网络地址转换出接口收到的TCP/UDP数据报文符合所配置的静态端口地址转换规则并且数据报文的目的地址是路由器的接口地址，则根据目的端口号来确定处理数据报文的方法。因此，采用本发明的方法解决了在复用接口地址的情况下静态PAT规则在端口使用上存在限制的问题，同时，可以节省公网IP地址的申请，降低了组网的费用，提高了使用NAT组网的灵活性，并且，在配置上与原有NAT配置方法没有区别。

Description

复用路由器接口地址的静态PAT支持任意端口的方法

技术领域

本发明涉及数据通讯领域，更具体地，涉及一种复用路由器接口地址的静态端口地址转换支持任意端口的方法。

背景技术

目前，随着网络的快速发展，IPv4地址面临着地址耗尽的问题。而NAT能够帮助IPv4避免地址耗尽。NAT(Network AddressTranslation，网络地址转换)技术是一种地址映射技术，通常用于子域内具有私网IP地址的主机访问外部主机时将该主机的私网IP地址映射为一个外部唯一可识别的公网(Internet)IP地址；同时，将外部主机返回给内部主机的公网IP地址映射回内部标志该主机的私网IP地址，使得返回的数据包正确到达内部目的主机。该技术使得不同私有网络可以使用相同的私网IP地址段而不会导致公网的IP地址信息出现混乱，从而扩展了IP地址的应用范围，在一定程度上缓解了当前Ipv4地址空间不足的问题。

NAT一般可分为如下三种类型：

静态NAT：私网IP地址和Internet IP地址的映射是静态一一对应的。如果结合端口来实现静态映射关系，就是端口重定向或静态PAT/NAPT；

动态不可重用NAT：使用Internet IP地址池技术，从Internet IP地址池中获取一个可用的IP地址进行转换。通信完毕之后，该Internet IP地址被释放回地址池中。在使用过程中，一个Internet IP只能有一个映射关系；以及

动态可重用NAT(NAPT)：与动态不可重用模式相比，通信的映射是通过IP地址和端口号(对于TCP、UDP包是端口号，对于ICMP包则是包内的ID号)的组合来完成的。

在规模较小的企业的组网应用中，为了节省外部Internet IP地址，可以直接利用路由器的接口地址来实现组网。将路由器与Internet相连的接口的IP地址配置到NAT规则中，使得私网用户可以利用动态可重用NAT规则访问外部网络，外部用户通过静态PAT(Port Address Translation，端口地址转换)规则访问私网内部的一些机器。由于路由器本身的一些功能也会使用到一些端口，因此目前在复用接口地址的各种NAT规则中，在端口的利用上有一定的限制。目前，在实现上一些普遍的做法是：在端口使用上避免使用一些特定服务的知名端口，将可利用的端口范围定位于数值较大的端口上(例如7000以上；为了描述方便，本文后面都以该值来进行讨论)。在限定了复用接口地址的端口使用范围后，一个原先拥有独立Internet IP地址的服务器在移至私网内部时，如果是复用其原来的Internet IP地址的情况，就需要使用静态PAT规则将原有服务端口映射到路由器接口地址的7000以上的端口，这将会改变外部用户对该服务器的访问方式，给用户带来不便；并且有些服务使用的是固定端口，在改变服务端口后，该服务可能会失效。

发明内容

为了解决现有技术中的问题，本发明提出了一种复用路由器接口地址的静态端口地址转换支持任意端口的方法，该方法包括：步骤1，配置路由器网络地址转换入接口、网络地址转换出接口和复用接口地址静态端口地址转换规则；以及步骤2，确定路由器的网络地址转换出接口收到的TCP/UDP数据报文符合所配置的静态端口地址转换规则并且数据报文的目的地址是路由器的接口地址；步骤3，判断目的端口号是否大于预定值，如果所述目的端口号不大于所述预定值，则根据所述目的地址和所述目的端口查找网络地址转换映射条目，否则，将所述数据报文发送到网络地址转换模块进行处理。

如果路由器的网络地址转换入接口收到的TCP/UDP数据报文符合配置的复用接口地址静态端口地址转换规则，则进行网络地址转换转换并转发，否则，直接进行转发。

其中，在目的端口号不大于预定值的情况下，如果没有查找到网络地址转换映射条目，则将数据报文作为本地报文进行处理。

同时，在目的端口号不大于预定值的情况下，如果查找到网络地址转换映射条目，则将数据报文发送到网络地址转换模块进行处理。

此外，在网络地址转换模块中进行以下处理：以目的地址和目的端口查找网络地址转换映射条目；如果找到网络地址转换映射条目，将数据报文转换后发送给网内的主机，否则，在网络地址转换模块中丢弃数据报文。

根据本发明的方法，预定值为7000。

因此，采用本发明的方法解决了在复用接口地址的情况下静态PAT规则在端口使用上存在限制的问题，提高了接口地址的利用率。同时，对于某些不能改变端口的服务，要在企业私网内部架设服务器，就不能复用路由器接口地址，必须另外申请一个公网IP地址，但应用本方法后，可以节省Internet IP地址的申请，降低了组网的费用，提高了使用NAT组网的灵活性。另外，实现本方法，在配置上与原有的NAT配置方法没有区别。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1是根据本发明的复用路由器接口地址的静态端口地址转换支持任意端口的方法的流程图；

图2是根据本发明方法的第一实施例的流程图；

图3是根据本发明的方法使用静态PAT实现公网用户对私网内部服务器的访问的组网示意图；

图4是根据本发明方法的第一实施例的路由器在NAT出接口收到目的地址为路由器接口地址的TCP/UDP数据报文时的处理流程图；以及

图5是根据本发明方法的第二实施例的流程图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

应用本发明的方法，在复用路由器接口地址的情况下，对静态PAT规则中的全局端口使用不再限制，可以使用从1开始的64K个端口中的任意值。如果静态PAT所使用的端口，同时也在动态可重用NAT规则的使用端口范围内，则该端口优先被静态PAT规则所用。只有在静态PAT规则被删除后，其所使用的端口才能释放出来，重新被动态可重用NAT使用。

在配置了复用接口地址的静态PAT规则的情形下，从NAT入接口收到的TCP/UDP数据报文，不需要进行额外的处理。如果NAT出接口收到了符合该静态PAT规则的TCP/UDP数据报文，则将该报文优先按PAT规则进行转换并转发，不再当作路由器本地报文处理。具体处理的方法是：对目的地址是路由器的IP地址的TCP/UDP报文，如果目的端口不在7000以上的范围内，则先进行一次NAT映射条目的预查找。如果能找到相应的NAT映射条目，则将该报文送入NAT模块处理，否则当作本地报文处理。对于目的端口在允许范围内的报文，仍按原来的流程进入NAT模块进行处理。

以下结合附图详细描述本发明的实施例。

图1是根据本发明的复用路由器接口地址的静态端口地址转换支持任意端口的方法的流程图。如图1所示，该方法包括以下步骤：

S102，配置路由器网络地址转换入接口、网络地址转换出接口和复用接口地址静态端口地址转换规则；以及

S104，如果路由器的网络地址转换出接口收到的TCP/UDP数据报文符合所配置的静态端口地址转换规则并且数据报文的目的地址是路由器的接口地址，则根据目的端口号来确定处理数据报文的方法。

根据目的端口号来确定处理数据报文的方法包括以下步骤：判断目的端口号是否大于预定值；以及如果目的端口号不大于预定值，则根据目的地址和目的端口查找网络地址转换映射条目，否则，将数据报文发送到网络地址转换模块进行处理。

根据本发明的方法，预定值为7000。

图2是根据本发明方法的第一实施例的流程图。如图2所示，该方法包括以下步骤：

S202，在路由器上配置路由器NAT入接口、NAT出接口和复用接口地址静态PAT规则，所使用的全局端口任意选择；

S204，如果NAT入接口收到TCP/UDP数据报文，符合所配置的PAT规则时，进行NAT转换并转发；不符合NAT规则的，直接进行转发；

S206，如果NAT出接口收到TCP/UDP数据报文，且目的地址是路由器接口地址时，对目的端口进行判断，如果目的端口在7000以上，则执行S210；

S208，如果目的端口在7000以内，则以目的地址和该目的端口预查找一次NAT映射条目，如果条目不存在，将该报文做本地报文处理，如果条目存在时，执行S210；以及

S210，将该报文送入NAT模块中进行处理，在NAT模块中，会以目的地址和目的端口查找NAT映射条目，当找到映射条目时，会将报文转换后转发给私网内的主机，当找不到映射条目时，在NAT模块中丢弃该报文。

图3是根据本发明的方法使用静态PAT实现公网用户对私网内部服务器的访问的组网示意图。

如图3所示，其中所使用静态PAT规则支持任意端口，企业私网包含了以下设备：主机PC、私网服务器FTP SERVER/HTTPSERVER、路由器R等。路由器R的NAT入接口与企业私网相连，NAT出接口与外部公网相连。在配置路由器上静态PAT功能时，将私网服务器提供的功能映射到NAT出接口地址的相同端口上。如图3所描述的，公网用户想要访问私网中的FTP SERVER，只需要将FTP软件的目的地址设置为路由器的接口地址172.40.10.1即可。

图4是根据本发明方法的第一实施例的路由器在NAT出接口收到目的地址为路由器接口地址的TCP/UDP数据报文时的处理流程图。

如图4所示，包括以下步骤：

S402，NAT出接口在收到TCP/UDP数据报文后，如果目的地址是路由器接口地址的，则结合路由等信息判断是否符合NAT处理的条件，如果符合NAT处理条件的，则执行S404；

S404，判断目的端口是否在7000以上，如果目的端口在7000以上，则执行S410；

S406，以目的地址和目的端口预查找NAT映射条目；

S408，预查找NAT映射条目，若找到，转至S410，否则转至S412；

S410，将该报文送入NAT模块处理，如果转换成功时将报文转发，否则丢弃该报文；以及

S412，将该报文作为本地报文处理。

图5是根据本发明方法的第二实施例的流程图。

以下结合图3，图4和图5详细描述本发明方法的第二实施例。

在第二实施例中，硬件部分是由一台以上的主机、一台路由器R、两台服务器(分别提供FTP和HTTP服务)和双绞线若干等组成，其组网关系如图3所示。

如图5所示，本实施例的软件部分的处理步骤包括：

S502，在路由器R启用静态PAT功能；

其中，S502进一步包括：

(1)启用NAT功能，并设置路由器接口的NAT属性；

ip nat start

(2)设置与PAC相连的接口的IP地址和NAT属性；

interface fei_1/1

ip address 192.168.88.200 255.255.255.0

ip nat inside

(3)设置与公网相连的接口的IP地址和NAT属性；以及

interface fei_2/1

ip address 172.40.10.1 255.255.255.0

ip nat outside

(4)配置静态PAT规则；以及

ip nat inside source static tcp 192.168.88.100 21 172.40.10.121

ip nat inside source static tcp 192.168.88.101 80 172.40.10.180

S504，公网用户通过ftp软件和浏览器软件访问172.40.10.1来获得相应的服务了，在数据转送过程中，IP地址、端口的转换是按下面的映射关系进行的。

私网地址/端口公网地址/端口

192.168.88.100/21 172.40.10.1/21

192.168.88.101/80 172.40.10.1/80

综上所述，采用本发明的方法克服了复用路由器接口地址的静态PAT规则不能支持任意端口的缺点，同时提高了路由器接口地址的利用率。另外，在私网内部架设服务器时，对于复用路由器接口地址的情况，可以使PAT规则仍然使用的原有的端口，不用进行其它配置，从而方便了用户的访问。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种复用路由器接口地址的静态端口地址转换支持任意端口的方法，其特征在于，包括：

步骤1，配置路由器网络地址转换入接口、网络地址转换出接口和复用接口地址静态端口地址转换规则；以及

步骤2，确定所述路由器的网络地址转换出接口收到的TCP/UDP数据报文符合所配置的所述静态端口地址转换规则并且数据报文的目的地址是所述路由器的接口地址；

步骤3，判断目的端口号是否大于预定值，如果所述目的端口号不大于所述预定值，则根据所述目的地址和所述目的端口查找网络地址转换映射条目，否则，将所述数据报文发送到网络地址转换模块进行处理。

2.根据权利要求1所述的方法，其特征在于，还包括：

如果所述路由器的网络地址转换入接口收到的TCP/UDP数据报文符合所述配置的所述复用接口地址静态端口地址转换规则，则进行网络地址转换转换并转发，否则，直接进行转发。

3.根据权利要求2所述的方法，其特征在于，在所述目的端口号不大于所述预定值的情况下，如果没有查找到所述网络地址转换映射条目，则将所述数据报文作为本地报文进行处理。

4.根据权利要求2所述的方法，其特征在于，在所述目的端口号不大于所述预定值的情况下，如果查找到所述网络地址转换映射条目，则将所述数据报文发送到所述网络地址转换模块进行处理。

5.根据权利要求3或4所述的方法，其特征在于，在所述网络地址转换模块中进行以下处理：

以所述目的地址和所述目的端口查找网络地址转换映射条目；以及

如果找到所述网络地址转换映射条目，将所述数据报文转换后发送给网内的主机，否则，在所述网络地址转换模块中丢弃所述数据报文。

6.根据权利要求1所述的方法，其特征在于，所述预定值为7000。