CN101567852A

CN101567852A - Ip报文网络地址转换的方法及装置

Info

Publication number: CN101567852A
Application number: CNA200910138485XA
Authority: CN
Inventors: 祝华锋
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-05-20
Filing date: 2009-05-20
Publication date: 2009-10-28
Anticipated expiration: 2029-05-20
Also published as: CN101567852B

Abstract

本发明提供了一种IP报文网络地址转换方法，该方法包括：确定IP报文的唯一的修正识别号；对所述IP报文进行网络地址转换后，用所述修正识别号替换所述IP报文的报文识别号并转发处理后报文。本发明IP报文网络地址转换方法和装置，可以避免报文ID冲突，提高系统性能。

Description

IP报文网络地址转换的方法及装置

技术领域

本发明涉及TCP/IP报文转发，是关于使用NAT技术进行IP报文网络地址转换的方法及装置。

背景技术

随着Internet技术不断以指数级速度增长，珍贵的网络地址分配给专用网络终于被视作是一种对宝贵的虚拟房地产的浪费。因此出现了网络地址转换(NAT)标准，就是将某些IP地址留出来供专用网络重复使用。这个专用网络一般都有几百台IP终端或者几个局域网。

NAT技术能帮助解决令人头痛的IP地址紧缺的问题，而且能使得内外网络隔离，提供一定的网络安全保障。

NAT技术在实现TCP/IP报文转发时，只是修改IP地址和端口。这就导致了TCP/IP分片转发时存在一些缺陷。

除了首个TCP/IP分片报文存在端口号外，后续分片并不存在这个信息，而只是通过分片报文的ID来区分。在同一时刻，同一IP报文的ID不会相同，但是不同IP报文的ID可以相同，当一些终端(不同IP)通过同一个设备(使用NAT技术)访问相同的服务器时，由于分片报文只有首个包存在端口号，当这些终端的后续分片报文通过设备进行地址转换后，这些报文的源IP地址，目的IP地址都相同，服务器只能通过ID来区分这些报文来自不同的数据源。由于NAT，网关等设备在转发或者重组这些分片报文时不会修改ID，这样就会导致ID相同，使得服务器无法识别数据源，而错误处理数据报文，使得某些业务处理失败，甚至导致服务器等其他严重问题。

当一个报文是分片报文时，首片报文转发流程如下

A终端：IPA:portA:ID NAT内口IPin:portA:ID----NAT外口IPout:portX:ID 服务器C

B终端：IPB:portB:ID NAT内口IPin:portB:ID----NAT外口IPout:portY:ID 服务器C

后续包转发流程如下(不带端口号)

A终端：IPA:ID NAT内口IPin:ID----NAT外口IPout:ID 服务器C

B终端：IPB:ID NAT内口IPin:ID----NAT外口IPout:ID 服务器C

服务器C：以报文的源ip、源端口、identifier来区分报文。

上述缺陷在实际应用中存在下列问题和不足：

1、在现实的网络中，由于多处理器，以及各种封装等原因，使得分片报文无法在同一时刻到达终端，进而导致ID冲突现象明显。普通报文丢失一个重传即可，而分片报文由于错误处理丢失一片会造成整个报文(多个分片报文)的重传，有时甚至导致严重错误，使得网络的稳定性下降。

2、由于ID是16位的(65536)，而现在的服务器往往至少有几十万个用户。现在应用比较广的信令如SIP扩展业务比较多，报文往往需要分片，以及媒体视频报文比较大也需要分片，还有一些终端的分片报文ID经常是0。这时候分片报文ID冲突比较多。特别是在做一些性能测试时，分片报文ID冲突比较明显，这时往往通过提升设备的转发性能，减少报文的延迟时间来降低ID冲突，但这样还是无法彻底解决ID冲突，而且设备性能提升成本非常高。

3、NAT功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中，应用非常广，所以对整个网络的稳定性，报文的安全性，可靠性都有比较大影响。

同样的，现有技术中在对非分片报文进行网络地址转换时也会存在以上缺陷。

发明内容

本发明要解决的技术问题是提供一种IP报文网络地址转换方法和装置，以避免报文ID冲突，提高系统性能。

为解决上述技术问题，本发明提供了一种IP报文网络地址转换方法，该方法包括：

确定IP报文的唯一的修正识别号；

对所述IP报文进行网络地址转换后，用所述修正识别号替换所述IP报文的报文识别号并转发处理后报文。

进一步地，确定所述IP报文的修正识别号的步骤包括：当所述IP报文是分片报文且是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是分片报文且是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号；当所述IP报文是非分片报文时，生成唯一的修正识别号。

进一步地，确定所述分片报文的修正识别号的步骤包括：当所述IP报文是分片报文时，根据所述分片报文的源地址及报文识别号检索识别号索引表，若检索到，则获取与所述源地址及报文识别号对应的修正识别号，否则生成唯一的修正识别号，在识别号索引表中创建并保存所述分片报文的源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是非分片报文时，生成唯一的修正识别号。

进一步地，所述修正识别号是这样生成的：在特定识别号的基础上以递增或递减方式的生成或根据识别号索引表中的索引序号生成。

为解决上述技术问题，本发明还提供一种网络地址转换装置，该装置包括依次连接的接收模块、识别号确定模块及转换转发模块，其中，

所述接收模块，用于接收IP报文以及通知所述识别号确定模块；

所述识别号确定模块，用于确定所述IP报文的唯一的修正识别号；

所述转换转发模块，用于对所述IP报文进行网络地址转换，用于将所述识别号确定模块确定的所述修正识别号替换所述IP报文的报文识别号，以及计算校验和及转发处理后报文。

进一步地，所述识别号确定模块是这样确定所述修正识别号的：当所述IP报文是分片报文且是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是分片报文且是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号；当所述IP报文是非分片报文时，生成唯一的修正识别号。

进一步地，所述识别号确定模块是这样确定所述修正识别号：当所述IP报文是分片报文时，根据所述分片报文的源地址及报文识别号检索识别号索引表，若检索到，则获取与所述源地址及报文识别号对应的修正识别号，否则生成唯一的修正识别号，在识别号索引表中创建并保存所述分片报文的源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是非分片报文时，生成唯一的修正识别号。

进一步地，所述装置还包括与识别号确定模块及转换转发模块连接的缓存报文处理模块，所述转换转发模块还用于完成转发后通知缓存报文处理模块；所述缓存报文处理模块用于根据转换转发模块的通知查询及获取相同源地址及报文识别号的缓存报文并通知所述识别号确定模块。

进一步地，所述装置还包括与所述接收模块、所述识别号确定模块及所述缓存报文处理模块连接的端口确定模块，所述接收模块还用于判断接收IP报文是否是分片报文、是否需要获取端口号，若为分片报文且需要获取端口号时，通知端口确定模块，否则通知识别号确定模块；所述端口确定模块，用于创建或查找分片报文端口索引表，获取对应的端口号，并通知所述识别号确定模块；若为后续分片报文，且无法找到对应的端口号时，通知所述缓存报文处理模块；所述缓存报文处理模块，用于判断所述分片报文是否需要缓存以及将所述分片报文缓存到分片缓存队列中或丢弃。

进一步地，所述修正识别号是这样生成的：所述识别号确定模块在特定识别号的基础上以递增或递减方式的生成或根据识别号索引表中的索引序号生成。

进一步地，所述修正识别号与所述报文识别号位数相同。

本发明方法和装置不需要知道端口号，对于四层协议(传输层)透明的，所以可以用于各种地址转换设备，本发明在不影响现有组网方式前提下，采用唯一的修正ID替换IP报文的报文识别号，有效地避免了IP报文的ID冲突，大大提高网络的稳定性，可靠性。

附图说明

图1是本发明在网络中常见示意图。

图2是本发明IP报文网络地址转换方法的示意图。

图3是本发明IP报文网络地址转换方法的具体实施方式的流程图。

图4是本发明IP报文网络地址转换装置的结构示意图。

具体实施方式

本发明IP报文网络地址转换方法及装置，在进行网络地址转换后，用唯一的修正识别号替换IP报文中的报文识别号，并将源地址、报文ID以及修正ID保持映射关系，如图2所示，本发明IP报文的网络地址转换方法包括：

步骤201：确定修正识别号步骤，即确定IP报文的唯一的修正识别号；

步骤201中，针对分片报文来说，同一报文的所有分片的报文识别号(Identification，简称ID)相同，当所述分片报文是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述分片报文是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号。

以上是根据分片报文是否是首片分片报文来确定是否检索识别号索引表的，当然也可以先检索识别号索引表，则根据检索结果确定是否需要创建并保存源地址、报文识别号与所述修正识别号的映射关系，详见图3。

针对非分片报文来说，不需要保存和检索的操作，只要针对非分片报文生成修正识别号即可。

生成修正识别号的方式有以下两种：

方式一：在特定识别号的基础上以递增或递减方式生成针对不同IP报文的修正识别号；

方式二：对分片报文来说，根据识别号索引表中的索引序号生成修正识别号。

修正识别号采用和报文识别号相同的位数，比如16位，这样可以在分片报文结构不变的情况下完成识别号的替换。

步骤202：替换转发步骤，即对所述分片报文进行网络地址转换NAT后，用所述修正识别号替换报文识别号并转发处理后报文。

以下结合图3对本发明具体实施方式进行说明，如图3所示，对IP报文的进行网络地址转换的过程包括以下步骤：

步骤1：接收IP报文；

步骤2：根据目的IP地址，查询配置，判断是否进行NAT处理。如果是执行步骤4，否则，执行步骤3；

步骤3：按照非NAT流程执行；

步骤4：根据分片标识判断是否是分片报文，如果是执行步骤5，否则按照非分片报文的处理流程：生成唯一的修正识别号(简称修正ID)，进行NAT地址处理，然后将报文ID替换为修正ID，计算校验和并转发处理后报文，流程结束；

步骤5：根据分片标识判断是否是首片分片报文，如果是执行步骤7，否则，执行步骤6；

步骤6：根据IP头，查找分片报文端口索引表，如果查到端口号执行步骤8，否则，执行步骤11；

步骤7：根据IP头，创建分片报文端口索引表；

步骤8：根据源IP地址和报文ID，查找识别号索引表(以下简称session表)，如果在session表中查找到，则执行步骤9，否则，执行步骤10；

步骤9：从session表中获取修正识别号(下称修正ID)，进行NAT地址处理，端口处理，然后将报文ID替换为修正ID，执行步骤14；

步骤10：根据源IP地址和报文ID创建session表，保存该报文的源IP地址和报文ID，然后执行步骤12；

步骤11：是否缓存分片报文，如果是执行步骤16，否则，执行步骤15；

步骤12：进行NAT地址处理，端口处理；

步骤13：生成唯一修正ID，保存修正ID到session表，使修正ID与源IP地址及报文ID形成映射关系，将报文ID替换为修正ID，然后执行步骤14；

步骤14：计算校验和，报文转发处理；

步骤15：丢弃报文，执行步骤20；

步骤16：缓存分片报文到分片缓存队列执行步骤20；

步骤17：是否有分片缓存报文，如果有执行步骤18，否则，执行步骤20；

步骤18：查询是否有相同IP地址和报文ID的缓存报文，如果有执行步骤19，否则执行步骤20；

步骤19：从分片缓存队列获取相同IP和ID缓存报文，转执行步骤9；

步骤20：分片处理结束。

为实现以上方法，本发明还提供了一种分片报文网络地址转换装置，如图4所示，该装置包括依次连接的接收模块、识别号确定模块及转换转发模块，与接收模块及识别号确定模块连接的端口确定模块，以及与端口确定模块、识别号确定模块及转换转发模块连接的缓存报文处理模块，其中，

所述接收模块，用于接收IP报文，以及判断IP报文是否是分片报文、是否需要获取端口号，若为分片报文且需要获取端口号时，通知端口确定模块，否则通知识别号确定模块；

端口确定模块，用于创建或查找分片报文端口索引表，获取对应的端口号，并通知识别号确定模块；若为后续分片报文，且无法找到对应的端口号时，通知缓存报文处理模块；

所述识别号确定模块，用于确定IP报文的唯一的修正识别号；

对于分片报文，所述识别号确定模块是这样确定修正识别号的：当所述分片报文是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述分片报文是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号。

对于分片报文，所述识别号确定模块也可以这样确定修正识别号：根据所述分片报文的源地址及报文识别号检索识别号索引表，若检索到，则获取与所述源地址及报文识别号对应的修正识别号；否则生成唯一的修正识别号，在识别号索引表中创建并保存所述分片报文的源地址、报文识别号与所述修正识别号的映射关系。

对于非分片报文，所述识别号确定模块直接生成唯一的修正识别号即可。

识别号确定模块生成修正识别号的方式有以下两种：

所述转换转发模块，用于对所述分片报文进行网络地址转换，用于将所述识别号确定模块确定的所述修正识别号替换所述IP报文的报文识别号，以及计算校验和及转发处理后报文，还用于完成转发后通知缓存报文处理模块。

缓存报文处理模块，用于判断分片报文是否需要缓存，还用于将分片报文缓存到分片缓存队列中或丢弃，还用于根据转换转发模块的通知查询及获取相同源地址及报文识别号的缓存报文并通知识别号确定模块。

以上是对本发明的详细介绍，本发明同样适用于NAT-PT(NetworkAddress Translation-Protocol Translation，网络地址转换/协议转换技术)，还适用于ipv6分片报文的转发。

从以上技术方案可以看出，本发明方法和装置不需要知道端口号，对于四层协议(传输层)透明的，所以可以用于各种地址转换设备，本发明在不影响现有组网方式前提下，采用唯一的修正ID替换IP报文的报文识别号，有效地避免了IP报文的ID冲突，大大提高网络的稳定性，可靠性。

Claims

1、一种IP报文网络地址转换方法，其特征在于，该方法包括：

确定IP报文的唯一的修正识别号；

2、如权利要求1所述的方法，其特征在于：确定所述IP报文的修正识别号的步骤包括：当所述IP报文是分片报文且是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是分片报文且是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号；当所述IP报文是非分片报文时，生成唯一的修正识别号。

3、如权利要求1所述的方法，其特征在于：确定所述分片报文的修正识别号的步骤包括：当所述IP报文是分片报文时，根据所述分片报文的源地址及报文识别号检索识别号索引表，若检索到，则获取与所述源地址及报文识别号对应的修正识别号，否则生成唯一的修正识别号，在识别号索引表中创建并保存所述分片报文的源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是非分片报文时，生成唯一的修正识别号。

4、如权利要求1至3中任一项所述的方法，其特征在于：所述修正识别号是这样生成的：在特定识别号的基础上以递增或递减方式的生成或根据识别号索引表中的索引序号生成。

5、一种网络地址转换装置，其特征在于，该装置包括依次连接的接收模块、识别号确定模块及转换转发模块，其中，

6、如权利要求5所述的装置，其特征在于：所述识别号确定模块是这样确定所述修正识别号的：当所述IP报文是分片报文且是首片分片报文时，生成唯一的修正识别号，在识别号索引表中创建并保存所述源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是分片报文且是后续分片报文时，根据所述后续分片报文的源地址及报文识别号检索所述识别号索引表，获取与所述源地址及报文识别号对应的修正识别号；当所述IP报文是非分片报文时，生成唯一的修正识别号。

7、如权利要求5所述的装置，其特征在于：所述识别号确定模块是这样确定所述修正识别号：当所述IP报文是分片报文时，根据所述分片报文的源地址及报文识别号检索识别号索引表，若检索到，则获取与所述源地址及报文识别号对应的修正识别号，否则生成唯一的修正识别号，在识别号索引表中创建并保存所述分片报文的源地址、报文识别号与所述修正识别号的映射关系；当所述IP报文是非分片报文时，生成唯一的修正识别号。

8、如权利要求5所述的装置，其特征在于：所述装置还包括与识别号确定模块及转换转发模块连接的缓存报文处理模块，所述转换转发模块还用于完成转发后通知缓存报文处理模块；所述缓存报文处理模块用于根据转换转发模块的通知查询及获取相同源地址及报文识别号的缓存报文并通知所述识别号确定模块。

9、如权利要求8所述的装置，其特征在于：所述装置还包括与所述接收模块、所述识别号确定模块及所述缓存报文处理模块连接的端口确定模块，所述接收模块还用于判断接收IP报文是否是分片报文、是否需要获取端口号，若为分片报文且需要获取端口号时，通知所述端口确定模块，否则通知所述识别号确定模块；所述端口确定模块，用于创建或查找分片报文端口索引表，获取对应的端口号，并通知所述识别号确定模块；若为后续分片报文，且无法找到对应的端口号时，通知所述缓存报文处理模块；所述缓存报文处理模块，用于判断所述分片报文是否需要缓存以及将所述分片报文缓存到分片缓存队列中或丢弃。

10、如权利要求5至9中任一项所述的装置，其特征在于：所述修正识别号是这样生成的：所述识别号确定模块在特定识别号的基础上以递增或递减方式的生成或根据识别号索引表中的索引序号生成。

11、如权利要求5至9中任一项所述的装置，其特征在于：所述修正识别号与所述报文识别号位数相同。