CN101459699B

CN101459699B - 一种网络地址转换方法和装置

Info

Publication number: CN101459699B
Application number: CN2008102416938A
Authority: CN
Inventors: 杨新江
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2008-12-25
Filing date: 2008-12-25
Publication date: 2011-07-20
Anticipated expiration: 2028-12-25
Also published as: CN101459699A

Abstract

本发明涉及网络通信领域，尤其涉及一种网络地址转换方法和装置。该方法包括：识别需进行NAT处理的报文及所述报文所属的用户和业务类别；对所述报文进行WFQ和PQ调度；对经过调度的所述报文进行NAT处理。该装置包括：识别模块；调度模块；NAT模块。采用本发明实施例提供的技术方案，可以有效保证需要NAT处理的用户及业务带宽、时延等服务质量，可实现用户的保证带宽及峰值带宽，解决了现有技术方案中的用户及用户内业务的带宽及时延等服务质量较难保证和易受大量高优先级报文攻击的问题。

Description

一种网络地址转换方法和装置

技术领域

本发明涉及网络通信领域，尤其涉及一种网络地址转换方法和装置。

背景技术

Internet(互联网)面临着最紧迫的问题是互联网协议(InternetProtocol，IP)地址枯竭。针对这个问题，目前主要有两种解决方案：网络地址转换(network address translation，NAT)和下一代互联网协议(Internet Protocol Version 6，IPV6)。NAT主要用于本地的私网IP地址和全局的公网IP地址之间的转换，从而实现私网主机对公网的访问，或者公网对私网主机的访问。私网内的主机都使用私网IP地址，私网地址无需全球唯一，在不同的私网内可以重复使用，当需要访问域外的网络时，本地的私网IP地址转换成公网IP地址。NAT不仅地解决了IP地址不足的问题，而且还能够有效地避免来自私网外部的攻击，隐藏并保护私网内部的计算机。

当前网络地址转换系统的实现过程是：网络处理器(networkprocessor，NP)将需要进行网络地址转换的报文送给中央处理单元(Central Process Unit，CPU)完成相应地址转换，转换后再进行后续的业务转发及流量管理器(traffic manager，TM)调度处理，当出现拥塞时在TM内可根据配置保证用户的服务质量。当需要地址转换的流量较大或有突发时，超过CPU处理能力，就会出现随机丢包。

现有技术对丢包的处理是，首先将需要进行NAT处理的数据报文，根据优先级分成多个队列，CPU优先取出高优先级队列中的报文并进行地址转换，直到该队列为空，再进行低一级队列中的报文的读取及处理。这种方法改善了数据报文上送的方式，保证了高优先级数据报文的NAT处理。但是，用户及用户内业务的带宽及时延等服务质量较难保证。而且当高优先级队列一直有流量时，低优先级队列将无法有调度机会。攻击者也容易通过发送大量高优先级报文进行攻击。

发明内容

本发明实施例的目的是提供一种网络地址转换方法和装置，解决了现有技术方案中的用户及用户内业务的带宽及时延等服务质量较难保证和易受大量高优先级报文攻击的问题。

本发明实施例的目的是通过以下技术方案实现的：

一种NAT方法，包括：

识别需进行NAT处理的报文及所述报文所属的用户和业务类别；

对属于同一用户同一优先级的所述报文进行业务间加权公平队列(Weight fair queue，WFQ)调度；

对同一用户的经过所述业务间WFQ调度的报文进行用户内优先级队列(Priority queue，PQ)调度；

对不同用户的经过所述用户内PQ调度的报文进行用户间WFQ调度；

对经过调度的所述报文进行NAT处理。

一种NAT装置，包括：

识别模块，用于识别需进行NAT处理的报文及所述报文所属的用户和业务类别；

调度模块，用于对所述识别模块完成识别的报文进行PQ和WFQ调度；包含：队列调度单元，用于对属于同一用户同一优先级业务的所述报文进行WFQ调度；队列间调度单元，用于对经过所述队列调度单元调度的属于同一用户不同优先级业务的报文进行PQ调度；用户调度单元，对经过所述队列间调度单元调度的不同用户的报文进行WFQ调度；

NAT模块，用于对所述调度模块完成调度的报文进行NAT处理。

采用本发明实施例提供的技术方案，因为采用PQ和WFQ进行基于用户及用户内业务的调度，可以有效保证需要NAT处理的用户及业务带宽、时延等服务质量，可实现用户的保证带宽及峰值带宽，并且恶意用户发送的大量高优先级报文必须与其他用户进行WFQ调度，不能占用其他用户的带宽，解决了现有技术方案中的用户及用户内业务的带宽及时延等服务质量较难保证和易受大量高优先级报文攻击的问题。

附图说明

图1为本发明一个实施例中NAT方法流程图；

图2为本发明一个实施例中NAT装置框图；

图3为本发明另一个实施例中NAT装置框图；

图4为本发明又一个实施例中NAT方法流程图；

图5为本发明又一个实施例中NAT装置框图；

图6为本发明另一个实施例中NAT装置框图。

具体实施方式

以下结合图1和图2说明本发明一个实施例。

图1为本发明一个实施例中NAT方法流程图。该方法包括：

102、识别需进行NAT处理的报文及报文所属的用户和业务类别。

104、对属于同一用户同一优先级的报文进行业务间WFQ调度。用户为业务设置优先级，不同的业务可以被设置为相同的优先级，也可以设置为不同的优先级。例如把不同业务设置为8个优先级，在同一用户同一优先级内的不同业务间做WFQ调度。WFQ调度为加权公平队列调度，每队列可配置权重，通过权重来为每队列分配带宽，以比特为单位。在进行业务间WFQ调度时，还可以包括：对于每一业务可做流量整形(Shaping)。

106、对同一用户的经过业务间WFQ调度的报文进行用户内PQ调度。即对同一用户不同优先级业务之间按照优先级进行严格优先级调度。例如，把不同业务设置为8个优先级，首先调度第一优先级，当所有第一优先级的报文都调度完成后，调度第二优先级。依此类推，直到第八优先级。

108、对不同用户的经过用户内PQ调度的报文进行用户间WFQ调度。

110、对经过用户间WFQ调度的报文进行NAT处理。

图2为本发明一个实施例中NAT装置框图。该装置包括：

识别模块202，用于识别需进行NAT处理的报文及所述报文所属的用户和业务类别。

调度模块204，用于对识别模块202完成识别的报文进行PQ和WFQ调度。

NAT模块206，用对于调度模块204完成调度的报文进行NAT处理。

调度模块204包括队列调度单元242、队列间调度单元244和用户调度单元246。其中：

队列调度单元242，用于对属于同一用户同一优先级业务的所述报文进行WFQ调度；

队列间调度单元244，用于对经过队列调度单元242调度的属于同一用户不同优先级业务的报文进行PQ调度；

用户调度单元246，用于对经过所述队列间调度单元244调度的不同用户的报文进行WFQ调度。

以下结合图3说明本发明另一个实施例。

本发明另一个实施例的方法实施例与图1所示实施例基本相同，区别在于当需要进行NAT处理的经过调度的所述报文的速率超过NAT处理的处理速率时，降低对所述报文进行PQ和WFQ调度的速率。

图3为本发明另一个实施例中NAT装置框图。该装置包括：

识别模块302，用于识别需进行NAT处理的报文及所述报文所属的用户和业务类别。

调度模块304，用于对识别模块302完成识别的报文进行PQ和WFQ调度。

NAT模块306，用对于调度模块304完成调度的报文进行NAT处理，并用于当需要进行NAT处理的经过调度的报文的速率超过NAT处理的处理速率时，向调度模块304发送反压信息。

调度模块304包括调度控制单元340、队列调度单元342、队列间调度单元344和用户调度单元346。其中：

调度控制单元340，用于根据NAT模块306发送的反压信息控制调度模块304的调度速率。

队列调度单元342，用于对属于同一用户同一优先级业务的所述报文进行WFQ调度；

队列间调度单元344，用于对经过队列调度单元342调度的属于同一用户不同优先级业务的报文进行PQ调度；

用户调度单元346，用于对经过所述队列间调度单元344调度的不同用户的报文进行WFQ调度。

以下结合图4和图5说明本发明又一个实施例。

本发明又一个实施例定义了用户组，用户组为逻辑上属于一组的用户集合。举例来说，用户组可以人工配置。

图4为本发明又一个实施例中NAT方法流程图。该方法包括：

402、识别需进行NAT处理的报文及报文所属的用户和业务类别。

404、对属于同一用户同一优先级的业务报文进行业务间WFQ调度。用户为不同业务设置优先级，例如把不同业务设置为8个优先级，在同一优先级内的不同业务间做WFQ调度。对于每一业务可做流量整形。

406、对同一用户的经过业务间WFQ调度的报文进行用户内PQ调度。对同一用户不同优先级业务之间按照优先级进行严格优先级调度。例如，把不同业务设置为8个优先级，首先调度第一优先级，当所有第一优先级的报文都调度完成后，调度第二优先级。依此类推，直到第八优先级。

408、对不同用户的经过用户内PQ调度的报文进行用户间WFQ调度。用户组为不同用户设置优先级，在同一优先级内的不同用户间做WFQ调度。

410、对同一用户组的经过用户间WFQ调度的报文进行用户组内PQ调度。对同一用户组，不同优先级用户之间按照优先级进行严格优先级调度。

412、对不同用户组的经过用户组内PQ调度的报文进行用户组间WFQ调度。

414、对经过用户组间WFQ调度的报文进行NAT处理。

图5为本发明又一个实施例中NAT装置框图。该装置包括：

识别模块502，用于识别需进行NAT处理的报文及所述报文所属的用户和业务类别。

调度模块504，用于对所述识别模块502完成识别的报文进行PQ和WFQ调度。

NAT模块506，用对于所述调度模块504完成调度的报文进行NAT处理。

调度模块504包括队列调度单元542、队列间调度单元544、用户调度单元546、用户间调度单元548和用户组调度单元550。其中：

队列调度单元542，用于对属于同一用户同一优先级业务的所述报文进行WFQ调度；

队列间调度单元544，用于对经过队列调度单元542调度的属于同一用户不同优先级业务的报文进行PQ调度；

用户调度单元546，用于对经过队列间调度单元544调度的不同用户的报文进行WFQ调度；

用户间调度单元548，用于对经过用户调度单元546调度的同一用户组的报文进行用户组内PQ调度；

用户组调度单元550，用于对经过用户间调度单元548调度的不同用户组的报文进行用户组间WFQ调度。

以下结合图6说明本发明另一个实施例。

图6所示本发明实施例定义了用户组，用户组为逻辑上属于一组的用户集合。

本发明另一个实施例的方法实施例与图4所示实施例基本相同，区别在于当需要进行NAT处理的经过调度的所述报文的速率超过NAT处理的处理速率时，降低对所述报文进行PQ和WFQ调度的速率。

图6为本发明另一个实施例中NAT装置框图。该装置包括：

识别模块602，用于识别需进行NAT处理的报文及所述报文所属的用户和业务类别。

调度模块604，用于对识别模块602完成识别的报文进行PQ和WFQ调度。

NAT模块606，用对于所述调度模块604完成调度的报文进行NAT处理。并用于当需要进行NAT处理的经过调度的所述报文的速率超过NAT处理的处理速率时，向调度模块604发送反压信息。

调度模块604包括调度控制单元640、队列调度单元642、队列间调度单元644、用户调度单元646、用户间调度单元648和用户组调度单元650。图6所示本发明实施例的调度模块604中，各个组成部分与图5所示实施例的调度模块相同，功能也相同，区别在于，增加了调度控制单元640，用于根据NAT模块606发送的反压信息控制调度模块604的调度速率。

采用本发明实施例提供的技术方案，因为采用PQ和WFQ进行基于用户及用户内业务的调度，可以按照期望的TM调度模型丢包，可以有效保证需要NAT处理的用户及业务带宽、时延等服务质量，可实现用户的保证带宽及峰值带宽，并且恶意用户发送的大量高优先级报文必须与其他用户进行WFQ调度，不能占用其他用户的带宽，解决了现有技术方案中的用户及用户内业务的带宽及时延等服务质量较难保证和易受大量高优先级报文攻击的问题。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质可以是ROM/RAM，磁盘或光盘等。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

1.一种网络地址转换NAT方法，其特征在于，包括：

对属于同一用户同一优先级的所述报文进行业务间WFQ调度；

对同一用户的经过所述业务间WFQ调度的报文进行用户内PQ调度；

对经过调度的所述报文进行NAT处理。

2.根据权利要求1所述的方法，其特征在于，所述进行业务间WFQ调度，还包括对各业务做流量整形。

3.根据权利要求1或2所述的方法，其特征在于，所述根据所述报文所属的用户和业务类别对所述报文进行PQ和WFQ调度，还包括：

对同一用户组的经过所述用户间WFQ调度的报文进行用户组内PQ调度，所述用户组为逻辑上属于一组的用户集合；

对不同用户组的经过所述用户组内PQ调度的报文进行用户组间WFQ调度。

4.根据权利要求1所述的方法，其特征在于，还包括：

当需要进行NAT处理的经过调度的所述报文的速率超过NAT处理的处理速率时，降低对所述报文进行PQ和WFQ调度的速率。

5.一种NAT装置，其特征在于，包括：

NAT模块，用于对所述调度模块完成调度的报文进行NAT处理。

6.根据权利要求5所述的装置，其特征在于，所述调度模块还包括：

用户间调度单元，用于对经过所述用户调度单元调度的同一用户组的报文进行用户组内PQ调度，所述用户组为逻辑上属于一组的用户集合；

用户组调度单元，用于对经过所述用户间调度单元调度的不同用户组的报文进行用户组间WFQ调度。

7.根据权利要求5或6所述的装置，其特征在于，所述NAT模块还用于当需要进行NAT处理的经过调度的所述报文的速率超过NAT处理的处理速率时，向调度模块发送反压信息。

8.根据权利要求7所述的装置，其特征在于，所述调度模块还包括：

调度控制单元，用于根据所述反压信息控制所述调度模块的调度速率。