CN101582925B

CN101582925B - 一种网络地址转换的方法及系统

Info

Publication number: CN101582925B
Application number: CN2009101475717A
Authority: CN
Inventors: 鲍俊涛
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-06-15
Filing date: 2009-06-15
Publication date: 2012-07-18
Anticipated expiration: 2029-06-15
Also published as: CN101582925A

Abstract

一种网络地址转换的方法及系统，所述方法包括：配置外部主机访问内部主机和服务的网络地址转换NAT静态规则；接收到外部网络到内部网络方向的域名请求回应报文后，解析该回应报文中数据区的IP地址，并判断该地址是否为内部网络中主机和服务地址发布到外部网络的全局IP地址，若是，则根据静态规则对全局IP地址进行NAT转换后得到对应的内部IP地址，再将转换后的回应报文经由NAT设备转发给发起域名请求的主机。本发明应用于内网无DNS服务器时的网络地址转换，使得内网中发出域名请求的主机能够获取到内部访问目的主机和服务的内部IP地址，通过该内部IP地址可以直接访问内网中的目的主机和服务。

Description

一种网络地址转换的方法及系统

技术领域

本发明涉及通信领域，尤其涉及一种网络地址转换(Network AddressTranslation，简称NAT)的方法及系统。

背景技术

NAT技术是一种地址映射技术，该技术使得使用私有网络地址的内部网络与使用公有网络地址的外部网络之间能进行数据通讯。NAT技术广泛应用于各种类型Internet(互联网)接入方式和各种类型的网络中，该技术能很好的解决了IP(Internet Protocol，网际互联协议)地址不足的问题，同时还能有效的防止外部网络对于内部网络的攻击，隐藏并保护内部网络中的计算机。

DNS(Domain Name System，域名系统)技术可以将方便记忆的域名转换成对应的IP地址。Internet上成千上万台主机都是通过IP地址进行区分的，如果需要记住很多常用主机的地址是相当不方便的，也比较困难，如果给一些常用主机都取个方便记忆的名称来代替IP地址来定位相应的计算机和服务，就便于记忆访问了，这就一来就产生了DNS域名系统，其作用就是完成主机名称与主机IP地址的转换，使得能通过域名方便地访问主机和服务。

“A”Query(A查询，即通过域名查询其所对应的IP地址)是DNS技术中查询的一种，通常也是使用频率较高的一种。通过域名获取该域名对应的IP地址，域名相对于IP地址更方便记忆，而网络中主机都是通过IP地址区分的，通过“A”Query，由域名获取IP，从而访问目的主机。

目前，DNS ALG(Application Level Gateway，应用程序级网关)的应用场景中需要内部网络中有DNS服务器。DNS ALG的主要协议标准RFC 2694中讲述的主要是内部网络中有DNS服务器的情况，外部网络主机的域名请求报文，以及内部网络DNS服务器回应报文在经过NAT设备时候的处理。这种情况下，内部网络中的主机对于内部网络中的主机和服务的域名请求由内部网络中的DNS服务器处理；内部网络中主机对于外部网络中主机和服务的域名请求由外部网络中的DNS服务器处理；外部网络中的主机对于内部网络主机和服务的域名请求可以通过外部网络的DNS服务器处理。

而现有技术中，对于内部网络中没有DNS服务器，只在外部网络中有DNS服务器的情况，主要有以下两种：

1)外部网络中的主机要通过域名访问内部主机和服务时，外部网络中主机的访问请求经过外部网络中DNS服务器处理后，获得内部网络中的主机和服务的公网IP地址(即全局IP地址)，通过该获取到的公网IP地址就能直接访问内部网络主机和服务；

2)内部网络中的主机要通过域名访问内部主机和服务时，内部主机的域名访问请求会通过NAT转换设备发送给外部DNS服务器，外部DNS服务器处理该请求后，返回的是访问目的主机和服务通过静态NAT规则发布到外网的全局IP地址，通过该获取到的全局IP地址访问内部目的主机和服务时，报文均要经由NAT转换设备先发送到外部网络中后，再返回到内部网络中，不能直接对内部目的主机和服务进行访问。

由上可知，在内部网络中没有DNS服务器的情况下，如何通过外部网络中的DNS服务器来实现内部网络主机对于内部网络主机和服务的域名访问，是现有技术中亟待解决的问题。

发明内容

本发明要解决的技术问题是提供一种网络地址转换的方法及系统，在内部网络中没有DNS服务器时，使得内部网络的主机能够在发出域名请求后，根据获取到的访问目的主机和服务的内部IP地址直接访问目的主机和服务。

为了解决上述问题，本发明提供了一种网络地址转换的方法，包括：

配置外部主机访问内部主机和服务的网络地址转换NAT静态规则；

接收到外部网络到内部网络方向的域名请求回应报文后，解析所述回应报文中数据区的IP地址，并判断该地址是否为内部网络中主机和服务地址发布到外部网络的全局IP地址，若是，则根据所述静态规则对所述全局IP地址进行NAT转换后得到对应的内部IP地址，再将转换后的所述回应报文经由NAT设备转发给发起所述域名请求的主机。

进一步地，所述方法通过监听UDP端口为53的报文，接收所述外部网络到内部网络方向的域名请求回应报文。

进一步地，所述静态规则包括所述内部网络中主机和服务的内部IP地址与发布到外部网络的全局IP地址的对应关系的静态条目；

在对所述全局IP地址进行NAT转换时，根据所述静态条目将所述全局IP地址转换为对应的内部IP地址。

进一步地，若判断出所述回应报文中数据区的IP地址不是内部网络中主机和服务地址发布到外部网络的全局IP地址，则直接将接收到的所述回应报文经由所述NAT设备转发给发起所述域名请求的主机。

进一步地，所述方法在监听UDP端口为53的报文时，根据所述报文是否为A查询请求的回应报文，判断其是否为域名请求回应报文。

本发明还提供了一种网络地址转换的系统，包括DNS服务器，网络地址转换NAT设备，主机，其中，

所述NAT设备上配置有外部主机访问内部主机和服务的网络地址转换NAT静态规则；

所述NAT设备用于，在接收到外部网络到内部网络方向的域名请求回应报文后，解析所述回应报文中数据区的IP地址，并判断该地址是否为内部网络中主机和服务地址发布到外部网络的全局IP地址，若是，则根据所述静态规则对所述全局IP地址进行NAT转换后得到对应的内部IP地址，再将转换后的所述回应报文转发给发起所述域名请求的主机。

进一步地，所述NAT设备通过监听UDP端口为53的报文，接收所述外部网络到内部网络方向的域名请求回应报文。

所述NAT设备在对所述全局IP地址进行NAT转换时，根据所述静态条目将所述全局IP地址转换为对应的内部IP地址。

进一步地，所述NAT设备在对所述回应报文中数据区的IP地址进行解析后，若判断出该地址不是内部网络中主机和服务地址发布到外部网络的全局IP地址，则直接将接收到的所述回应报文转发给发起所述域名请求的主机。

进一步地，所述NAT设备在监听UDP端口为53的报文时，根据所述报文是否为A查询请求的回应报文，判断其是否为域名请求回应报文。

本发明通过对外部DNS服务器回应内部主机对于内部主机和服务的域名请求的回应报文进行ALG处理，使得内部发出域名请求的主机能够获取到内部访问目的主机和服务的内部局部IP地址，通过该内部局部IP地址可以直接访问目的主机和服务。

与现有技术相比，本发明在内部主机通过域名访问内部主机和服务时，增加了对于UDP(User Datagram Protocol，用户数据包协议)端口为53的报文监听、对于外部网络DNS服务器回应的DNS域名请求回应报文进行了NAT ALG的处理(对于DNS报文数据区中的IP地址进行NAT转换就是一种ALG处理)，使DNS服务器返回给内部主机回应报文中携带的目的主机和服务IP，就是访问目的主机服务在内部网络中的IP地址，从而使得内部主机能通过外部DNS服务器，用域名访问内部服务器。

附图说明

图1是本发明实施例的DNS域名请求回应报文的处理示意图；

图2是本发明实施例的系统组成示意图。

具体实施方式

本发明采用如下技术方案：

第一步：配置外部主机访问内部主机和服务的静态NAT规则；

该静态NAT规则，包括记录内部主机和服务IP地址与发布到外部网络的全局IP地址的对应关系的静态条目；

第二步：监听UDP端口为53的报文，在接收到外部网络到内部网络方向的DNS域名请求回应报文后，解析该回应报文中数据区的IP地址，并判断其是否为内部主机和服务IP地址发布到外部网络的全局IP地址，如果是，则执行第三步，否则执行第四步；

其中，在第一步配置静态规则时，内部主机和服务IP地址转换到外部网络的全局IP地址，与外部网络中的主机或服务器本身在公网的IP地址之间是有区别的，例如，为内部主机和服务IP地址转换到外部网络的全局IP地址分配特定的IP地址段。从而本步骤中，在对解析回应报文获取的地址进行判断时，可以根据不同的IP地址段判断出所获取的IP地址是否为内部主机和服务IP地址转换后的全局IP地址；

第三步：通过第一步中配置的静态规则对获取到的全局IP地址进行NAT转换，得到对应的内部IP地址；

第四步：对域名请求回应报文IP头部的地址进行NAT转换。

其中，域名请求报文和域名请求回应报文IP头部包含源地址和目的地址，报文在经过NAT转换设备时，需要对报文IP头部的地址进行NAT转换，使得报文能正常穿越NAT，这是现有技术的内容。

本发明技术方案通过监听回应报文、解析回应报文数据区中的IP地址并判断是否为内部主机和服务IP地址转换后的全局IP地址，如果是，则根据静态规则将其转换为内部主机和服务的内部IP地址，再返回给发起请求的内部主机和服务，这样，发起请求的内部主机和服务就能使用访问目的主机和服务的内部IP地址直接对其进行访问。

以下结合附图及具体实施例对本发明技术方案作进一步详细描述。

应当说明的是，此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1是本发明的DNS域名请求回应报文处理示意图，详细给出了DNS报文处理的流程图，包括以下步骤：

步骤101，Outside(外部网络)->Inside(内部网络)方向，收到源端口号为53的报文；

步骤102，解析报文，如果是“A”Query(A查询，即通过域名查询其所对应的IP地址)的回应报文，则执行步骤103，否则执行步骤106；

步骤103，获取该回应报文DNS数据区中的IP地址；

步骤104，用获取到的DNS数据区中的IP地址查找静态条目，如果存在对应的静态条目则执行步骤105，否则执行步骤106；

步骤105，根据步骤104中查找到的静态条目，对DNS数据中的IP地址进行NAT转换，并执行步骤106；

步骤106，对回应报文IP头部的IP地址进行NAT转换后，发送转换后的报文。

下面结合图2对本发明技术方案的实施作进一步的详细描述：

如图2所示，在本发明实施例中，硬件部分由一台拥有NAT功能的设备、两台主机(带Windows操作系统)、两台应用服务器(有发布好的、可供访问的应用系统)、一台DNS服务器组成。主机1在外部网络(也简称外网)，主机2在内部网络(也简称内网)，应用服务器1在外网，应用服务器2在内网，DNS服务器在外网。

在图2所示的应用场景下，涉及NAT设备的访问请求可分为3种：

(1)内部主机通过外部DNS服务器访问内部应用服务器。

(2)外部主机通过外部DNS服务器访问内部应用服务器。

(3)内部主机通过外部DNS服务器访问外部应用服务器。

其中第一种请求是本发明主要实现的内容，第二种和第三种请求是该组应用场景下并存的访问需求，在实现第一种访问请求处理的时候，需对第二、三种访问请求不构成影响。

对于第一种访问请求，内部主机通过外部DNS服务器访问内部应用服务器，具体实现步骤如下：

第一步：在NAT设备上进行NAT的相关配置，

(a)启动NAT模块；

(b)配置规则；

包括：配置内部应用服务器在内部网络中的IP地址，到内部应用服务器发布的外部网络的IP地址的静态NAT规则；以及

配置动态NAT规则、地址，使得内部主机能访问外部应用服务器。

(c)配置NAT转换入接口、出接口；

(d)配置主机1、主机2、应用服务器1、应用服务器2、DNS服务器的IP地址，在DNS服务器上配置应用服务器1和应用服务器2的DNS条目，以提供DNS查询服务。

第二步：主机2通过域名访问应用服务器2，由于内部网络中没有DNS服务器，只能通过外部网络中的DNS服务器处理该请求，由NAT设备对请求报文进行IP头部IP地址的NAT转换，使该报文穿越NAT设备到达外部网络，由外部DNS服务器进行域名解析；

第三步：外部DNS服务器进行域名解析后，返回域名请求回应报文，并将解析出的访问目的主机和服务的全局IP地址包含在域名请求回应报文的DNS数据区中；域名请求回应报文经过NAT设备时，NAT设备解析DNS报文，根据解析结果查询其是否符合NAT DNS-ALG转换条件即是否符合静态规则，对于符合静态规则的报文，对报文数据区中的IP地址信息进行NAT转换，将其由外部网络全局IP地址转换成内部网络中的IP地址；

该步骤中，在NAT设备上，对于到达NAT设备且需要NAT转换的报文进行监听，如果是UDP端口为53的报文，就需要解析报文，判断其是否需要对其进行DNS-ALG处理；

第四步：对数据包IP头部的IP地址进行NAT转换，使得报文能穿越NAT设备，到达内部发出DNS域名请求的主机2；

第五步：内部网络中的主机2通过获取到的内部IP地址，就能访问到内部应用服务器2。且在访问过程中，数据报文无需再经由NAT设备。

第二种访问请求，外部主机通过外部DNS服务器访问内部应用服务器，具体实现步骤如下：

第一步：NAT设备配置与第一种访问请求第一步操作一致，进行同样的NAT配置；

第二步：外部网络中主机1通过域名访问内部网络中的应用服务器2，域名请求直接发送到外部DNS服务器后，回应相应的域名请求回应报文，报文中携带该域名的IP地址信息；

第三步：通过第二步中获取到的域名对应的IP地址，访问内部网络中的应用服务器2。在访问过程中，经由NAT设备的数据报文都需要进行NAT转换。

第三种访问请求，内部主机通过外部DNS服务器访问外部应用服务器，具体实现步骤如下：

第二步：内部网络中主机2通过域名访问外部网络中的应用服务器1，域名请求经过NAT设备，通过NAT转换后，发送到外部DNS服务器后，外部DNS服务器回应相应的域名请求回应报文，报文中携带该域名的IP地址信息；

第三步：域名请求回应报文到达NAT设备后，只需要对IP头部的IP地址进行NAT转换，然后将完成NAT转换后的报文，发送给内部主机2；

第四步：内部主机2通过第三步中获取到的域名对应的IP地址，就能访问外部网络中的应用服务器1。访问过程中，经由NAT设备的数据报文都需要进行NAT转换。

当然，本发明还可有其它实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的普通技术人员当可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims

1.一种网络地址转换的方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，

所述方法通过监听UDP端口为53的报文，接收所述外部网络到内部网络方向的域名请求回应报文。

3.如权利要求1所述的方法，其特征在于，

所述静态规则包括所述内部网络中主机和服务的内部IP地址与发布到外部网络的全局IP地址的对应关系的静态条目；

4.如权利要求1至3之任一项所述的方法，其特征在于，

若判断出所述回应报文中数据区的IP地址不是内部网络中主机和服务地址发布到外部网络的全局IP地址，则直接将接收到的所述回应报文经由所述NAT设备转发给发起所述域名请求的主机。

5.如权利要求2所述的方法，其特征在于，

所述方法在监听UDP端口为53的报文时，根据所述报文是否为A查询请求的回应报文，判断其是否为域名请求回应报文。

6.一种网络地址转换的系统，包括DNS服务器，网络地址转换NAT设备，主机，其特征在于，

7.如权利要求6所述的系统，其特征在于，

所述NAT设备通过监听UDP端口为53的报文，接收所述外部网络到内部网络方向的域名请求回应报文。

8.如权利要求6所述的系统，其特征在于，

9.如权利要求6至8之任一项所述的系统，其特征在于，

所述NAT设备在对所述回应报文中数据区的IP地址进行解析后，若判断出该地址不是内部网络中主机和服务地址发布到外部网络的全局IP地址，则直接将接收到的所述回应报文转发给发起所述域名请求的主机。

10.如权利要求7所述的系统，其特征在于，

所述NAT设备在监听UDP端口为53的报文时，根据所述报文是否为A查询请求的回应报文，判断其是否为域名请求回应报文。