CN101800690B

CN101800690B - 一种使用地址池实现源地址转换的方法和装置

Info

Publication number: CN101800690B
Application number: CN2009100768918A
Authority: CN
Inventors: 郑曙光
Original assignee: Beijing Venus Information Security Technology Co Ltd; Beijing Venus Information Technology Co Ltd
Current assignee: Beijing Venus Information Security Technology Co Ltd; Beijing Venus Information Technology Co Ltd
Priority date: 2009-02-05
Filing date: 2009-02-05
Publication date: 2012-08-15
Anticipated expiration: 2029-02-05
Also published as: CN101800690A

Abstract

本发明公开了一种使用地址池实现源地址转换的方法和装置；方法包括：对于内网访问外网的报文，如果该报文所匹配的流结构中没有NAT信息，则在已记录NAT信息的流结构中，查找到内网源地址与该报文的内网源地址相同的流结构，采用该流结构的NAT信息中的地址池地址作为转换后的源地址，对所述报文进行源地址转换；对第一次进行源地址NAT的流结构，将内网源地址和地址池地址之间的转换关系作为NAT信息记录在该流结构中。本发明能保证相同的内网源地址经过NAT后使用相同的地址池地址，从而避免了由于地址不一致导致的访问失败。

Description

一种使用地址池实现源地址转换的方法和装置

技术领域

本发明涉及网络领域，尤其涉及一种使用地址池实现源地址转换的方法和装置。

背景技术

NAT(Network Address Translation，网络地址转换)技术目前被广泛应用在IPv4网络中，以解决IP地址越来越短缺的问题，同时，使用NAT技术还可以实现对内部网络的隐藏，增加网络安全性。

NAT技术包括源地址转换、目的地址转换和静态映射三种。顾名思义，源地址转换是基于源地址建立的地址转换；目的地址转换是基于目的地址建立的地址转换；而静态映射是在地址A和地址B之间建立一对一映射的一种地址转换。其中源地址转换是目前使用最多的NAT技术。

地址池是用来转换的地址集合，可以包含一个或多个地址。

目前NAT技术都基于流结构来实现。流结构，是一个以双向的五元组(协议、源地址、源端口、目的地址、目的端口)来标识的数据结构，通过在NAT设备上维护这样一种数据结构，可以很方便地为到达NAT设备的每个数据报文找到关联的流结构(流结构已经建立)或新建一个流结构，并根据流结构中记录的信息进行地址转换及其他操作。

NAT功能通常集成在企业的出口路由器或防火墙设备上。基本原理是：内网访问外网的数据报文到达出口路由器或防火墙设备时，首先会建立(如果是第一个报文)或关联上一个流结构，NAT模块会把数据包的源地址转换为一个地址池中的地址，通常为一个合法的公网地址，并把这个转换关系记录在所述流结构中；该报文的回应报文到达设备时，会关联上原先的流结构，根据记录在流信息中的转换关系，把目的地址转换为内网地址。图1是转发系统整体示意图，描述了源地址转换在整个系统中的所处的位置。

地址池中包含多个地址时，现在的NAT实现都采用地址轮转(顺序选择)或随机选择的方式来挑选使用的地址池地址，虽然这样可以保证地址使用的平均性，但发明人发现在使用过程中会存在着较大的缺点。如，考虑这样一种情况：一台内网主机访问公网上一台需要认证的服务器，认证通过后才能允许访问业务，NAT设备为认证数据流分配的是公网地址1，为后续正常业务的数据流分配的是公网地址2，这样由于认证数据流和后续进行业务访问的数据流转换后的源地址不相同，数据访问很可能会被服务器拒绝。

发明内容

本发明要解决的技术问题是提供一种使用地址池实现源地址转换的方法和装置，能保证相同的内网源地址经过NAT后使用相同的地址池地址，从而避免了由于地址不一致导致的访问失败。

为了解决上述问题，本发明提供了一种使用地址池实现源地址转换的方法，包括：

对于内网访问外网的报文，如果该报文所匹配的流结构中没有NAT信息，则在已记录NAT信息的流结构中，查找到内网源地址与该报文的内网源地址相同的流结构，采用该流结构的NAT信息中的地址池地址作为转换后的源地址，对所述报文进行源地址转换；

对第一次进行源地址NAT的流结构，将内网源地址和地址池地址之间的转换关系作为NAT信息记录在该流结构中。

进一步的，将流结构保存在基于源地址的HASH表中。

进一步的，当将流结构保存在所述HASH表中时，HASH值为流结构中的内网源地址除以HASH桶的大小所得到的余数。

进一步的，所述的方法还包括：

如果查找不到内网源地址与该报文的内网源地址相同的流结构，则从地址池中选择一个地址作为转换后的源地址，对所述报文进行源地址转换。

进一步的，在地址池中选择一个地址时，首先判断地址池中是否有空闲地址；如果没有，则在地址池中随机选择一个地址作为转换后的源地址；如果有，则选择一空闲地址作为转换后的源地址。

本发明还提供了一种使用地址池实现源地址转换的方法，包括：

用于保存流结构的存储单元；

用于在所述存储单元找到报文所匹配的流结构，根据该流结构中的NAT信息对报文进行源地址转换的转换单元；

还包括：查询单元；

所述转换单元还用于当内网访问外网的报文所匹配的流结构中没有NAT信息时，发送查找指令给查询单元，并根据查询单元返回的转换后的源地址，对所述报文进行源地址转换；以及对第一次进行源地址NAT的流结构，将内网源地址和地址池地址之间的转换关系作为该流结构的NAT信息，保存在所述存储单元中；

所述查询单元用于收到所述查找指令后，在所述存储单元中查找内网源地址与该报文的内网源地址相同的流结构，采用所查找到的流结构的NAT信息中的地址池地址作为转换后的源地址，发送给所述转换单元。

进一步的，所述存储单元采用基于源地址的HASH表保存流结构。

进一步的，当所述存储单元将流结构保存在所述HASH表中时，HASH值为流结构中的内网源地址除以HASH桶的大小所得到的余数。

进一步的，所述查询单元如果查找不到内网源地址与该报文的内网源地址相同的流结构，则从地址池中选择一个地址作为转换后的源地址发送给所述转换单元。

进一步的，所述查询单元在地址池中选择一个地址时，首先判断地址池中是否有空闲地址；如果没有，则在地址池中随机选择一个地址作为转换后的源地址；如果有，则选择一空闲地址作为转换后的源地址。

本发明提供的技术方案实现了相同的源地址使用相同的地址池地址的功能；解决了同一个主机经过地址转换后由于使用了不同的地址池地址，从而导致某些访问失败的问题，同时还兼顾了地址使用的平均性；本发明的实施例引入了一个基于源地址的HASH(哈希)表，使快速匹配相同源地址的流结构成为可能。

附图说明

图1是转发系统示意图；

图2是本发明使用地址池实现源地址转换的方法的一个实施例的流程示意图；

图3是本发明使用地址池实现源地址转换的装置的一个实施例的示意框图；

图4是本发明应用示例中的网络拓扑示意图。

具体实施方式

下面将结合附图及实施例对本发明的技术方案进行更详细的说明。

本发明所提供的使用地址池实现源地址转换的方法包括：

本发明保证了相同的内网源地址经过NAT后使用相同的地址池地址。

如果查找不到内网源地址与该报文的内网源地址相同的流结构，则可以从地址池中选择一个地址作为转换后的源地址，对所述报文进行源地址转换。

如果所述报文所匹配的流结构中有NAT信息，则按NAT信息对该报文进行源地址转换。

可选的，所述地址为IP地址；IP地址为目前网络领域较为通用的地址形式，但本发明的实现思想并不局限于地址的形式，无论是否为IP地址，都可以实现本发明。

可选的，将流结构保存在基于源地址的HASH表中；这样可以快速查找到相同内网源地址的流结构。本发明并不限于采用HASH表进行保存，只要是能通过源地址查找到流结构的存储方式都可以实现本发明，比如也可以将内网源地址作为索引，以数据库的形式来保存流结构。

所述HASH表可以按以下原则实现：

(A)HASH桶的大小。HASH桶大小根据系统需要支持的并发流数而定及平均的冲突链长度确定，比如需要支持100万并发流，平均的冲突链长度为8，则HASH桶的大小为100万/8；

(B)HASH函数。考虑本发明涉及的是源地址转换，内网源地址一般都为同一局域网内的地址，所以HASH函数选择用流结构中的内网源地址模HASH桶大小来实现。比如源IP地址为192.168.0.100(用16进制表示为0XC0A80064)，HASH桶大小为4096，则HASH值为0XC0A80064％4096＝100，其中％为取模。

以上两个原则为本发明实施例的实现方式，并不用以限制本发明。

本发明的一个具体实施例如图2所示，包括以下步骤：

201、具备NAT功能的系统接收到一个报文；进行步骤202；

202、判断该报文是否有匹配的流结构；如果没有则进行步骤203；否则进行步骤204；

203、创建一个新的流结构作为该报文匹配的流结构；进行步骤204；

204、判断该报文匹配的流结构中是否有NAT信息；如果没有则进行步骤205；否则进行步骤212；

205、在HASH表中进行匹配，如果匹配到相同源地址的流结构，则进行步骤206；否则进行步骤207；

206、根据这个流结构中的NAT信息得到对应地址池地址，即转换后的源地址，然后进行步骤209；

207、在地址池选取一个新的地址后进行步骤208；

208、以所选地址作为转换后的源地址；进行步骤209；

209、建立NAT信息；

210、根据得到的转换后的源地址(即地址池地址)进行NAT信息的冲突检测，即只修改报文的源地址的情况下，系统内的流结构是否会产生五元组冲突，如果冲突，则进行步骤211；没有冲突则转到步骤212；

211、对源端口进行变换，重新建立NAT信息，返回步骤210；如果无法分配一个新的端口(在本发明所涉及的源地址转换中几乎不会发生)，则在地址池中重新分配一个地址，即转到步骤207。

212、根据流结构中的NAT信息转换原始报文的源地址和源端口，源地址转换完成；进行步骤213；

213、判断是否为首次NAT——即判断流结构中是否存在NAT信息，如果不存在则为首次NAT，如果是则进行步骤214；否则进行步骤215；

214、根据源地址把流结构加入HASH表；

215、进行所述报文的后续处理。

其中，步骤207中在地址池选取一个新的地址还包括以下原则：

(一)优先选取还未被使用的地址池地址，这样可以尽量保证不同的内网地址使用不同的地址池地址，使地址池地址得到充分利用；

(二)当无法找到一个未被使用的地址池地址时，随机选取一个地址，这样可以保证地址池分配的平均性；

(三)当地址池只包含一个地址时，处理同原则(二)。

步骤207可以具体包括：

判断地址池中是否有空闲的地址；如果没有，则在地址池中随机选择一个地址后进行步骤208；如果有，则选择一空闲地址后进行步骤208。

其中，步骤210根据得到的地址池地址进行冲突检测时，还进一步包括无法分配不冲突的地址池地址和端口的情形，此时地址转换失败。这种情况在本发明所涉及的源地址转换中几乎不会发生，不过作为地址转换的一般流程，也应考虑。

其中，步骤214中所述把该流结构加入HASH表中的方法须符合前面阐述的基于源地址的HASH表的原则来实现。

本发明还提供了一种使用地址池实现源地址转换的装置，如图3所示，包括：

存储单元、查询单元、转换单元；

所述存储单元用于保存流结构；还可以用于保存地址池；

所述转换单元用于在所述存储单元找到报文所匹配的流结构，根据该流结构中的NAT信息对报文进行源地址转换；当内网访问外网的报文所匹配的流结构中没有NAT信息时，发送查找指令给查询单元，并根据查询单元返回的转换后的源地址，对所述报文进行源地址转换；以及对第一次进行源地址NAT的流结构，将内网源地址和地址池地址之间的转换关系作为该流结构的NAT信息，保存在所述存储单元中；

可选的，所述存储单元可以采用基于源地址的HASH表保存流结构。

可选的，当所述存储单元将流结构保存在所述HASH表中时，HASH值为流结构中的内网源地址除以HASH桶的大小所得到的余数。

可选的，所述查询单元如果查找不到内网源地址与该报文的内网源地址相同的流结构，则从地址池中选择一个地址作为转换后的源地址，发送给所述转换单元。

可选的，所述查询单元在地址池中选择一个地址时，首先判断地址池中是否有空闲地址；如果没有，则在地址池中随机选择一个地址作为转换后的源地址；如果有，则选择一空闲地址作为转换后的源地址。

所述转换单元还可以用于当报文没有匹配的流结构时，建立一流结构作为该报文匹配的流结构，保存在存储单元中；以及根据得到的转换后的源地址(即地址池地址)进行NAT信息的冲突检测，如冲突则对源端口进行变换，重新建立NAT信息；如果无法重新新端口，则发送重选地址指令给所述查询单元；

所述查询单元在收到所述重选地址指令后重新在地址池中选择一个地址作为转换后的源地址，发送给所述转换单元。

其它细节可以同方法中所述。

使本发明的技术方案和优点更加清楚明白，下面用本发明的一个应用示例进一步加以说明。

该应用示例如图4所示，假设有两台内网的PC(计算机)——分别称为PC-1和PC-2——通过一台防火墙上网，PC-1的IP为192.168.0.100，PC-2的IP为192.168.0.200，防火墙上开启NAT功能，NAT地址池中有两个公网地址，分别为202.99.5.3和202.99.5.4。

两台PC的地址转换过程如下：

(1)PC-1访问公网的一台Web服务器，源端口为1056，目的端口为80。该访问数据报到达防火墙时，会新建一个流结构A，并随机选取一个地址池地址，假设为202.99.5.3；建立NAT信息，并保存到流结构A中。

(2)对该访问数据报进行源地址转换。把源地址由192.168.0.100转换为202.99.5.3，更新TCP的校验和；将源地址的转换关系保存在流结构A的NAT信息中。

(3)根据源地址，计算HASH值。这里内网源IP地址为192.168.0.100，用16进制表示为0XC0A80064，模上4096，为100，把流结构A加到HASH表上位置为100的链表中。

(4)转发该访数据报。

(5)后续同一数据流的报文经过防火墙时，可以匹配到流结构A，并根据记录的NAT信息进行源地址转换，转发。

(6)当PC-1再次访问公网服务器61.75.231.4的WEB服务时，会建立新的TCP连接，源端口变为1057。新的报文到达防火墙时，将建立一个新的流结构B。

(7)根据源IP地址，计算得HASH值为100，在该HASH表位置为100的链表上找到流结构A的信息，比较两者的内网源地址相等，提取流结构A中记录的NAT信息，采用相同的地址池地址(202.99.5.3)，并根据这个地址建立NAT信息，并记录到流结构B中；

(8)根据记录在流结构B中的NAT信息对数据报进行地址转换，更新TCP校验和。

(9)参考步骤(3)，把流结构B加入到HASH表中。

(10)转发数据报。

(11)PC-2访问外网，数据报到达防火墙时，会建立流结构C。

(12)根据流结构C的源地址(192.168.0.200)，计算HASH值为200，在HASH表中找不到源地址相等的流信息。找到一个空闲的地址池地址：202.99.5.4，根据这个地址建立NAT信息，保存到流结构C中。

(13)类似于步骤(2)，把数据报的源地址由192.168.0.200转换为202.99.5.4，更新校验和。

(14)类似于步骤(4)，把流结构C记录到HASH表中。

(15)转发数据报。

后续PC-1的所有数据报都会选择202.99.5.3作为转换的公网地址；PC-2的所有数据报都会选择202.99.5.4作为转换的公网地址。

如果内网有多台PC，在某一台PC上发出的数据报都会对应到唯一的一个地址池地址上，但总体上会保证地址池地址使用的平均性。

当防火墙上长时间没有数据报时，其上维护的流结构信息会老化，后续通过的数据报又会重新选择地址池地址，但遵循同样的原则，就如步骤(1)开始的那样。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明的权利要求的保护范围。

Claims

1.一种使用地址池实现源地址转换的方法，包括：

对于内网访问外网的报文，如果该报文所匹配的流结构中没有网络地址转换NAT信息，则在已记录NAT信息的流结构中，查找到内网源地址与该报文的内网源地址相同的流结构，采用该流结构的NAT信息中的地址池地址作为转换后的源地址，对所述报文进行源地址转换；

2.如权利要求1所述的方法，其特征在于：

将流结构保存在基于源地址的HASH表中。

3.如权利要求2所述的方法，其特征在于：

当将流结构保存在所述HASH表中时，HASH值为流结构中的内网源地址除以HASH桶的大小所得到的余数。

4.如权利要求1到3中任一项所述的方法，其特征在于，还包括：

5.如权利要求4所述的方法，其特征在于：

在地址池中选择一个地址时，首先判断地址池中是否有空闲地址；如果没有，则在地址池中随机选择一个地址作为转换后的源地址；如果有，则选择一空闲地址作为转换后的源地址。

6.一种使用地址池实现源地址转换的装置，包括：

用于保存流结构的存储单元；

其特征在于，还包括：查询单元；

7.如权利要求6所述的装置，其特征在于：

所述存储单元采用基于源地址的HASH表保存流结构。

8.如权利要求7所述的装置，其特征在于：

当所述存储单元将流结构保存在所述HASH表中时，HASH值为流结构中的内网源地址除以HASH桶的大小所得到的余数。

9.如权利要求6到8中任一项所述的装置，其特征在于：

所述查询单元如果查找不到内网源地址与该报文的内网源地址相同的流结构，则从地址池中选择一个地址作为转换后的源地址发送给所述转换单元。

10.如权利要求9所述的装置，其特征在于：

所述查询单元在地址池中选择一个地址时，首先判断地址池中是否有空闲地址；如果没有，则在地址池中随机选择一个地址作为转换后的源地址；如果有，则选择一空闲地址作为转换后的源地址。