CN101984623B - 防火墙网络地址转换动态负载均衡方法及装置 - Google Patents

Abstract

本发明公开了一种防火墙网络地址转换动态负载均衡方法及装置。该方法包括：在防火墙启动时产生链路监控进程，链路监控进程分别为每个链路生成相应的线程，通过线程确定各个链路的连通状态；配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据网络地址转换地址池配置策略路由，其中，策略路由用于根据源地址选择相应的链路；根据连通状态更新网络地址转换地址池以及策略路由；根据网络地址转换策略将数据包进行网络地址转换，并根据更新的策略路由选择合适的链路，将网络地址转换后的数据包发送到链路对应的网关。借助于本发明的技术方案，解决了链路状态不通时通信失败的问题。

Description

防火墙网络地址转换动态负载均衡方法及装置

技术领域

本发明涉及计算机领域，特别是涉及一种防火墙网络地址转换动态负载均衡方法及装置。 

背景技术

目前，很多大型企业集团和小型互联网接入提供商都是同时租用多条电信和网通的链路来提供互联网接入服务的，运营商同时分配给接入商互联网协议(Internet Protocol，简称为IP)的第四版即IPv4地址供他们使用。由于IPv4地址资源有限，从内网到互联网的通信需要进行网络地址转换(NetworkAddress Translation，简称为NAT)，因此NAT是当前防火墙的最重要的功能之一。为了充分利用有限的IP地址资源，经过NAT转换后的地址需要均匀的分布在地址池内，并有效的实现负载均衡。由于防火墙与互联网相连的链路会出现异常，当链路状态变化时，如何动态的把数据流量分配到连通的链路上是防火墙中网络地址转换的一个重要功能。 

防火墙NAT地址池根据NAT策略生成。NAT策略可以引用主机对象、子网对象、地址组对象生成NAT地址池。生成NAT地址池的具体方法是从地址组等对象中取出每个对象代表的单个IP地址放在地址池中。在进行NAT转换之前，防火墙已经进行了路由查找，确定出了从哪个链路发送数据包。需要说明的是，路由表中配置了策略路由，查找策略路由在查找其他路由之前。由于已经查找了路由表，防火墙NAT之后不再查找路由表确定链路。防火墙NAT时会均匀的选择地址池内的每个地址，地址池内各个IP地址均衡地作为源地址向互联网发送数据包。当数据包NAT之后，不能根据NAT后的源地址选择出链路。 

在上述情况下，当所有的链路都连通的情况下不会发生任何问题，但是一旦其中一条链路异常，而NAT地址池没有改变，NAT后的地址也不会改变，则向链路不通的网关发送数据包时会产生通信失败。 

发明内容

本发明提供一种防火墙网络地址转换动态负载均衡方法及装置，以解决现有技术中NAT地址池不能够动态更新从而使得链路异常时发送数据包通信失败的问题。 

本发明提供一种防火墙网络地址转换动态负载均衡方法，包括： 

在防火墙启动时产生链路监控进程，链路监控进程分别为每个链路生成相应的线程，通过线程确定各个链路的连通状态； 

配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据网络地址转换地址池配置策略路由，其中，策略路由用于根据源地址选择相应的链路； 

根据连通状态更新网络地址转换地址池以及策略路由； 

根据网络地址转换策略将数据包进行网络地址转换，并根据更新的策略路由选择合适的链路，将网络地址转换后的数据包发送到链路对应的网关。 

本发明还提供了一种防火墙网络地址转换动态负载均衡装置，包括： 

监控模块，用于在防火墙启动时产生链路监控进程，通过链路监控进程分别为每个链路生成相应的线程，并通过线程确定各个链路的连通状态； 

配置模块，用于配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据网络地址转换地址池配置策略路由，其中，策略路由用于根据源地址选择相应的链路； 

更新模块，用于根据连通状态更新网络地址转换地址池以及策略路由； 

处理模块，用于根据网络地址转换策略将数据包进行网络地址转换，并根据更新的策略路由选择合适的链路，将网络地址转换后的数据包发送到链路对 应的网关。 

本发明有益效果如下： 

通过对NAT地址池进行动态的更新，解决了现有技术中链路异常时发送数据包通信失败的问题，在进行网络地址转换时，均衡的从地址池中选择地址，达到了负载均衡的目的，此外，当链路状态发生改变时，可以动态的调节NAT地址池，数据包能够从链路状态为通的链路发送出去，防止了链路状态不通时通信失败的状况。 

附图说明

图1是本发明实施例的防火墙网络地址转换动态负载均衡方法的流程图； 

图2是本发明实施例的防火墙网络地址转换动态负载均衡方法的详细处理示意图； 

图3是本发明实施例的防火墙网络地址转换动态负载均衡装置的结构示意图。 

具体实施方式

为了解决现有技术中NAT地址池不能够动态更新从而使得链路异常时发送数据包通信失败的问题，本发明提供了一种防火墙网络地址转换动态负载均衡方法及装置：首先，配置防火墙的NAT策略，NAT策略引用地址组对象并且使用地址组里包含的IP地址产生NAT地址池。数据包在防火墙上NAT后重新查找路由选择链路，其中，防火墙上根据地址池已经配置了策略路由，策略路由可根据源地址选择链路。防火墙在启动时产生一个监控链路状态的守护进程，这个进程可以为每个链路产生一个线程，这些线程不间断地向链路网关发送ping包检测链路的状态。当在规定时间内收到链路网关的响应报文表示链路通，否则表示不通。当一个链路从通变为不通时，在地址组中删除这个链路对应的主机对象，重新生成NAT地址池并更新策略路由；同理，当一个链路从 不通变为通时，在地址组中添加这个链路对应的主机对象，重新生成NAT地址池并更新策略路由。从而实现了根据链路状态，动态改变NAT地址池，并且根据NAT后的源地址选择链路的方法。 

以下结合附图以及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不限定本发明。 

方法实施例 

根据本发明的实施例，提供了一种防火墙网络地址转换动态负载均衡方法，图1是本发明实施例的防火墙网络地址转换动态负载均衡方法的流程图，如图1所示，根据本发明实施例的防火墙网络地址转换动态负载均衡方法包括如下处理： 

步骤101，在防火墙启动时产生链路监控进程，链路监控进程分别为每个链路生成相应的线程，通过线程确定各个链路的连通状态； 

在步骤101中，生成相应线程的处理包括：根据运营商分配的链路和地址配置主机对象，并根据主机对象确定地址组对象；随后，根据主机对象和地址组对象配置网络地址IP探测策略，链路监控进程根据IP探测策略自动生成相应的线程。 

在步骤101中，通过线程确定各个链路的连通状态包括：首先，线程每隔第一预定时间向相应链路的网关发送因特网包探索器((Packet Internet Grope，简称为PING)包；如果在第二预定时间内接收到相应链路的网关反馈的响应报文，则确定相应链路的连通状态为连通；如果在第二预定时间内没有接收到相应链路的网关反馈的响应报文，则确定相应链路的连通状态为不连通。 

步骤102，配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据网络地址转换地址池配置策略路由，其中，策略路由用于根据源地址选择相应的链路； 

在步骤102中，配置防火墙的网络地址转换策略，生成网络地址转换地址池具体包括如下处理：首先，配置防火墙的网络地址转换策略，其中，在配置 地址转换策略时，地址转换策略需要引用地址组；随后，根据地址组中包含的IP地址产生网络地址转换地址池。 

步骤103，根据连通状态更新网络地址转换地址池以及策略路由； 

具体地，在步骤103中，如果连通状态为不连通，则线程删除地址组中链路对应的主机对象，根据新的地址组重新生成网络地址转换地址池；根据重新生成的网络地址转换地址池更新策略路由。 

步骤104。根据网络地址转换策略将数据包进行网络地址转换，并根据更新的策略路由选择合适的链路，将网络地址转换后的数据包发送到链路对应的网关。 

也就是说，NAT策略引用地址组对象生成地址池，地址组对象包含的主机对象根据链路探测结果动态更新，为地址组的每个主机对象都产生一个线程向链路网关发送ping请求，当一条链路的状态发生改变时，根据改变的情况添加或者删除NAT策略引用的地址组对象的成员，根据新的地址组对象重新生成NAT地址池，查完路由之后进行NAT，进行了NAT之后查找策略路由选择链路。因为在防火墙上访问控制在NAT之前，在访问控制之前必须要先查路由，所以在NAT之前已经查找了路由。NAT之后再查找路由，不通的链路对应的公网IP地址在地址池中已经删除，因此根据策略路由不通的链路就不会有新的数据访问。 

需要说明的是，在实际应用中，也可以不使用发送ping请求探测链路是否为通，例如，可以发送arp请求，如果收到响应的arp报文则判断链路为通，否则判断链路为不通。此外，NAT策略可以不使用地址组对象，可以配置多个策略，每个策略都使用不同的主机或者子网对象。 

以下结合附图，对本发明实施例的上述技术方案进行详细的说明。 

图2是本发明实施例的防火墙网络地址转换动态负载均衡方法的详细处理示意图，包括TOPSEC操作系统(topsec operating system，简称为TOS)控制系统和TOS转发系统，其中，TOS控制系统是主要处理对防火墙本身业务 的TOS操作系统，例如处理防火墙的配置管理业务，TOS转发系统是负责数据包接收和转发的部分，如图2所示，在TOS转发系统上，CPU接收数据包，在地址池中均衡的选择一个地址作为源地址转换，根据转换后的源地址查找策略路由得到下一跳，根据下一跳选择链路发送数据包。在TOS控制系统上，和主机对象绑定在一起的链路探测线程每隔一秒探测一次链路上的地址，如果探测到链路变化就更新地址池。具体包括如下处理： 

TOS控制系统的操作： 

步骤1，防火墙启动并且产生链路监控进程。 

步骤2，根据运营商分配的链路和地址配置主机对象：主机对象1、主机对象2、主机对象3，主机对象1对应移动网关，主机对象2对应联通网关，主机对象3对应电信网关。 

步骤3，配置地址组对象，地址组的成员就是步骤2中定义的3个主机对象。 

步骤4，根据上面配置的主机对象配置IP探测策略：IP探测策略1：主机对象1探测移动网关；IP探测策略2：主机对象2探测联通网关；IP探测策略3：主机对象3探测电信网关。 

步骤5，链路监控进程为IP探测策略1产生线程1，为IP探测策略2产生线程2，为IP探测策略3产生线程3；其中，线程1循环向移动网关发送ping包，如果在规定的时间内收到移动网关的响应报文，则判断链路为通并且记录链路状态；否则判断链路为不通并且记录链路状态。 

步骤6，根据步骤3定义的地址组对象配置NAT策略并生成NAT地址池，其中，上述NAT地址池包含所有运营商分配的地址。 

步骤7，根据步骤2定义的主机和子网对象配置策略路由，策略路由的源地址是步骤2定义的主机对象中的地址，策略路由的目的地址是0.0.0.0/0，可以和任何目的地址相匹配，NAT转换后的数据包就可以查找策略路由选择对应的链路网关发送数据包。 

步骤8，当移动链路状态发生了改变，如果从连通变为不连通，则线程1删除地址组对象中的主机对象1，重新生成NAT地址池；如果从不通变为通，则线程1向地址组对象中添加主机对象1，重新生成NAT地址池。 

TOS转发系统的操作： 

步骤9，接收数据包，使用最新的地址池进行NAT转换。 

步骤10，根据转换后的源地址查找策略路由得到下一跳。 

步骤11，根据下一跳选择链路，发送数据包。 

从上述处理可以看出，本发明实施例解决了现有技术中链路异常时发送数据包通信失败的问题，在进行网络地址转换时，均衡的从地址池中选择地址，达到了负载均衡的目的，此外，当链路状态发生改变时，可以动态的调节NAT地址池，数据包能够从链路状态为通的链路发送出去，防止了链路状态不通时通信失败的状况。 

装置实施例 

根据本发明的实施例，提供了一种防火墙网络地址转换动态负载均衡装置，图3是本发明实施例的防火墙网络地址转换动态负载均衡装置的结构示意图，如图3所示，根据本发明实施例的防火墙网络地址转换动态负载均衡装置包括：监控模块30、配置模块32、更新模块34、以及处理模块36，以下对本发明实施例的各个模块进行详细的说明。 

监控模块30用于在防火墙启动时产生链路监控进程，通过链路监控进程分别为每个链路生成相应的线程，并通过线程确定各个链路的连通状态； 

具体地，监控模块30生成相应线程的处理包括：根据运营商分配的链路和地址配置主机对象，并根据主机对象确定地址组对象；随后，根据主机对象和地址组对象配置网络地址IP探测策略，链路监控进程根据IP探测策略自动生成相应的线程。 

监控模块30通过线程确定各个链路的连通状态包括：首先，线程每隔第一预定时间向相应链路的网关发送因特网包探索器((Packet Internet Grope，简 称为PING)包；如果在第二预定时间内接收到相应链路的网关反馈的响应报文，则确定相应链路的连通状态为连通；如果在第二预定时间内没有接收到相应链路的网关反馈的响应报文，则确定相应链路的连通状态为不连通。 

配置模块32用于配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据网络地址转换地址池配置策略路由，其中，策略路由用于根据源地址选择相应的链路； 

具体地，配置模块32配置防火墙的网络地址转换策略，生成网络地址转换地址池具体包括如下处理：首先，配置防火墙的网络地址转换策略，其中，在配置地址转换策略时，地址转换策略需要引用地址组；随后，根据地址组中包含的IP地址产生网络地址转换地址池。 

更新模块34用于根据连通状态更新网络地址转换地址池以及策略路由； 

具体地，更新模块34如果判断连通状态为不连通，则线程删除地址组中链路对应的主机对象，并重新生成网络地址转换地址池；随后，更新模块34根据重新生成的网络地址转换地址池更新策略路由。 

处理模块36用于根据网络地址转换策略将数据包进行网络地址转换，并根据更新的所述策略路由选择合适的链路，将网络地址转换后的所述数据包发送到所述链路对应的网关。 

需要说明的是，在实际应用中，也可以不使用发送ping请求探测链路是否为通，例如，可以发送arp请求，如果收到响应的arp报文则判断链路为通，否则判断链路为不通。此外，NAT策略可以不使用地址组对象，可以配置多个策略，每个策略都使用不同的主机或者子网对象。 

综上所述，本发明实施例解决了现有技术中链路异常时发送数据包通信失败的问题，在进行网络地址转换时，均衡的从地址池中选择地址，达到了负载均衡的目的，此外，当链路状态发生改变时，可以动态的调节NAT地址池，数据包能够从链路状态为通的链路发送出去，防止了链路状态不通时通信失败的状况。 

尽管为示例目的，已经公开了本发明的优选实施例，本领域的技术人员将意识到各种改进、增加和取代也是可能的，因此，本发明的范围应当不限于上述实施例。 

Claims (7)

1.一种防火墙网络地址转换动态负载均衡方法，其特征在于，包括：

在防火墙启动时产生链路监控进程，所述链路监控进程分别为每个链路生成相应的线程，通过所述线程确定各个链路的连通状态；

配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据所述网络地址转换地址池配置策略路由，其中，所述策略路由用于根据源地址选择相应的链路；

根据所述连通状态更新所述网络地址转换地址池以及所述策略路由；

其中，根据所述连通状态更新所述网络地址转换地址池以及所述策略路由包括：如果所述连通状态为不连通，则所述线程删除所述地址组中所述链路对应的主机对象，并重新生成所述网络地址转换地址池；根据重新生成的所述网络地址转换地址池更新所述策略路由；

根据网络地址转换策略将数据包进行网络地址转换，并根据更新的所述策略路由选择合适的链路，将网络地址转换后的所述数据包发送到所述链路对应的网关。

2.如权利要求1所述的方法，其特征在于，所述链路监控进程分别为每个链路生成相应的线程包括：

根据运营商分配的链路和地址配置主机对象，并根据所述主机对象确定地址组对象；

根据所述主机对象和所述地址组对象配置网络地址IP探测策略，所述链路监控进程根据所述IP探测策略自动生成所述相应的线程。

3.如权利要求1或2所述的方法，其特征在于，所述通过所述线程确定各个链路的连通状态包括：

所述线程每隔第一预定时间向相应链路的网关发送因特网包探索器PING包；

如果在第二预定时间内接收到所述相应链路的网关反馈的响应报文，则确定所述相应链路的连通状态为连通；

如果在所述第二预定时间内没有接收到所述相应链路的网关反馈的响应报文，则确定所述相应链路的连通状态为不连通。

4.如权利要求2所述的方法，其特征在于，所述配置防火墙的网络地址转换策略，生成网络地址转换地址池包括：

配置所述防火墙的所述网络地址转换策略，其中，在配置所述地址转换策略时，所述地址转换策略引用所述地址组；

根据所述地址组中包含的IP地址产生网络地址转换地址池。

5.一种防火墙网络地址转换动态负载均衡装置，其特征在于，包括：

监控模块，用于在防火墙启动时产生链路监控进程，通过所述链路监控进程分别为每个链路生成相应的线程，并通过所述线程确定各个链路的连通状态；

配置模块，用于配置防火墙的网络地址转换策略，生成网络地址转换地址池，并根据所述网络地址转换地址池配置策略路由，其中，所述策略路由用于根据源地址选择相应的链路；

更新模块，用于根据所述连通状态更新所述网络地址转换地址池以及所述策略路由；

所述更新模块具体用于：

如果确认所述连通状态为不连通，则删除所述地址组中所述链路对应的主机对象，并重新生成所述网络地址转换地址池；

根据重新生成的所述网络地址转换地址池更新所述策略路由；

处理模块，用于根据网络地址转换策略将数据包进行网络地址转换，并根据更新的所述策略路由选择合适的链路，将网络地址转换后的所述数据包发送到所述链路对应的网关。

6.如权利要求5所述的装置，其特征在于，所述监控模块具体用于：

根据运营商分配的链路和地址配置主机对象，并根据所述主机对象确定地址组对象；

根据所述主机对象和所述地址组对象配置网络地址IP探测策略，所述链路监控进程根据所述IP探测策略自动生成所述相应的线程；

通过所述线程每隔第一预定时间向相应链路的网关发送因特网包探索器PING包；

如果在第二预定时间内接收到所述相应链路的网关反馈的响应报文，则确定所述相应链路的连通状态为连通；

如果在所述第二预定时间内没有接收到所述相应链路的网关反馈的响应报文，则确定所述相应链路的连通状态为不连通。

7.如权利要求6所述的装置，其特征在于，所述配置模块具体用于：

配置所述防火墙的所述网络地址转换策略，其中，在配置所述地址转换策略时，所述地址转换策略引用所述地址组；

根据所述地址组中包含的IP地址产生网络地址转换地址池。

Images