CN102387223A

CN102387223A - 一种酒店公共网络的公网ip地址资源管理和分配方法

Info

Publication number: CN102387223A
Application number: CN201110320099XA
Authority: CN
Inventors: 郑广辉
Original assignee: BEIJING KEYMET INFORMATION TECHNOLOGY Co Ltd
Current assignee: BEIJING KEYMET INFORMATION TECHNOLOGY Co Ltd
Priority date: 2011-10-20
Filing date: 2011-10-20
Publication date: 2012-03-21
Also published as: CN103067531B; CN103067531A

Abstract

本发明公开了一种适用于酒店公共网络的，高效的、自动化的公网IP地址资源管理和分配方法。本发明可以解决酒店公共网络的NAT环境对客人的VPN，VoIP和视频会议等一些特殊网络应用造成的使用故障问题，以及在酒店公网IP地址有限的前提下，使用改进的NAT，和特殊的二次DHCP分配方法，实现对客人的按需公网IP地址分配，或者自助公网IP地址分配的方法。

Description

一种酒店公共网络的公网IP地址资源管理和分配方法

技术领域

本发明涉及酒店公共网络，包括客房有线/无线网络，以及酒店会议室，大堂等公共区域的有线和无线网络，本发明解决如何在公网地址相对短缺的酒店公共网络环境实现自动化和高效的公网IP地址管理和分配问题。

背景技术

在现有技术领域，酒店公共网络的公网IP地址资源管理和分配方法过于落后，人工干预多，自动化程度低，不能满足信息网络的发展，以及用户的多样化需求。

发明内容

本发明公开了一种酒店公共网络，其特征在于，所述酒店公共网络包括酒店私有区域的有线/无线网络、酒店公共区域的有线/无线网络，并且所述酒店公共网络具备DHCP和NAT功能；

所述酒店公共网络包括一个私网IP地址分配环境，或者一个私网和公网IP地址混合分配环境；

所述DHCP功能部署于所述酒店公共网络的出口路由器，或者宽带接入网关，或者其它二层或三层IP网络设备；

所述NAT功能部署于所述酒店公共网络的出口路由器，或者宽带接入网关，或者其它三层IP网络设备；

所述酒店公共网络包括一个HSIA系统，所述HSIA包含客房智能宽带接入网关和后台认证/计费系统两部分，所述两部分可以是功能合一的一个整体软硬件系统。

所述酒店公共网络使用HSIA的Portal功能辅助用户实现自助方式的二次DHCP分配。

所述酒店公共网络使用HSIA本身的SNMP功能，或者其它SNMP Workstation软件控制接入交换机端口辅助实现有线网络的二次DHCP分配。

一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，所述HSIA系统包括一个客房智能宽带接入网关eFlow PnPGW，在所述eFlow PnPGW模块设置有两个软件子模块，一个是VPN会话识别模块，另一个是VPN公网地址池分配以及NAT动态策略模块，即VPOOL策略模块；当VPN会话识别模块判别出用户发起的VPN类型属于穿越VPN困难的类型，包括IPSec ESP，或者PPTP，就会发送消息通知VPOOL策略模块请求分配可用的公网IP地址，如果有可用的公网IP地址，那么VPOOL策略模块就取出一个公网IP地址，生成一个1:1 StatciNAT规则，使得被分配的公网IP地址与用户的私网源IP地址建立1:1的独享映射关系。

一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，当用户VPN会话终止，或者用户断网时，VPOOL策略模块都将删除用户的Static NAT规则，并且将公网地址回收到地址池中。

一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，当用户的IP终端接入到所述酒店公共网络时，先通过DHCP获得私网IP地址，当有用户有使用公网地址的需要时，DHCP Server用先预留，再二次分配的步骤使用户所述IP终端获得公网IP地址。

一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，用户通过Portal自助方式请求，或者管理员通过后台发送指令，为该用户的MAC地址预留分配一个公网IP地址；用户按如下方法之一使得用户IP终端的网络端口产生一次DOWN，和一次UP事件：

①对于有线连接，用户IP终端拔线10秒左右，再插线；

②对于无线连接，用户IP终端断开无线连接10秒左右；再重新连接无线；

③直接重新启动IP终端；

用户IP终端的网络端口再次UP以后，会发出DHCP Request请求将上次分配到的未过期的私网地址续租，此时DHCP Server发现该IP终端对应的MAC地址已被预留了一个新的公网IP地址资源，与用户请求续租的私网IP地址并不匹配，那么直接应答NAK拒绝续租请求；用户IP终端收到NAK会重新再发起一次DHCP分配请求，即发出DHCP Discover请求；

用户IP终端与DHCP Server之间完成一个DHCP流程交互，用户IP终端成功获得预留的公网IP地址。

一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，

所述HSIA具备SNMP Workstation的功能，在二次DHCP过程中，HSIA在完成了用户公网IP地址预留处理后，会通过发出SNMP Set指令控制用户接入的交换机端口关闭，延时一段时间后，再发出一次SNMP Set指令控制用户接入的交换机端口重新启用，这样就会造成用户电脑的网络端口产生一次DOWN，再UP的事件，由此引发用户电脑的DHCP Client功能重启发起DHCP Request，被NAK后，再进而引发一次完整的DHCP分配过程获得公网IP地址。

所述私有区域包括酒店客房，在所述私有区域，所述酒店公共网络为用户提供一个备用网络接入资源的更新、搜索、优选、启用模块，并自动生成和调用配置文件。

所述公共区域包括会议室、走廊、餐厅、游泳池，在所述公共区域，所述酒店公共网络为用户提供一个备用网络接入资源的更新、搜索、优选、启用模块，并自动生成和调用配置文件。

具体而言，本发明公开了一种HSIA系统(High Speed Internet Access)，把它作为酒店行业的高速上网系统，用于实现酒店住店客人和非住店客人在酒店的公共有线/无线网络接入上网，认证和计费功能。本发明的HSIA系统包含客房智能宽带接入网关，和后台认证/计费系统两部分，二者可以是功能合一的一个整体软硬件系统。

本发明的客房智能宽带接入网关产品命名为eFlow PnPGW，后台认证/计费产品命名为eFlow HBMS，eFlow PnPGW与eFlow HBMS使用标准RADIUS协议进行通信。

本发明中，私网地址指RFC 1918规定的只能在企业或者组织的内部网络中为电脑和通信设备配置的，而不能用于公众Internet路由的IPv4地址。RFC 1918规定的私网地址总共包含三段子网，分别是10.0.0.0～10.255.255.255，172.16.0.0～172.31.255.255，192.168.0.0～192.168.255.255。配置私网地址的IPv4终端访问公共Internet时候必须经过NAT。

本发明中，NAT(Network Address Translation)是一种IPv4的地址翻译方法，配置在企业网络的出口路由器或防火墙或其它三层设备上，完成企业内网和公网之间的IPv4地址翻译，使企业网内部的用户可共享一个或几个IP地址访问Internet。本发明配置了具备NAT功能的酒店公共网络路由器或宽带接入网关。应用于企业私网出口的NAT有Dynamic NAT和Static NAT两种规则，Dynamic NAT也就是共享NAT，可以实现M:N(M＞N)的共享NAT，而Static NAT是1:1的独享NAT。

本发明中，虚拟专用网络VPN(Virtual Private Network)，用于解决跨越Internet的企业网络安全访问，通过加密的手段解决个人到网络(企业员工到企业网络)，或者网络到网络(比如企业分支机构到企业总部)的跨Internet安全访问问题。

本发明中，动态主机配置协议DHCP(Dynamic Host ConfigurationProtocol)，用于IP智能终端(包括PC，智能手机，平板电脑等)接入局域网时能够自动获得IP地址、掩码、默认路由、DNS等必要的IP相关的配置信息。本发明配置了具备DHCP功能的酒店公共网络路由器或宽带接入网关。

本发明中，SNMP(Simple Network Management Protocol)，是一种IP网络中的标准管理协议，本发明的IP网络中，通信设备如交换机，路由器等都支持SNMP，并且运行SNMP Agent使得自身成为SNMP体系结构中的被管理对象。SNMP体系结构中的管理者角色称之为SNMP Workstation，通常是一个软件，可以查询网络中的各个被管理对象的运行状态，并且可以对被管理对象发出配置更改命令改变被管理对象的运行状态。本发明的HSIA产品带有SNMP Workstation的功能，可以查询酒店公共网络中所有交换机的运行状态，并能对交换机发出配置更改指令，比如关闭或打开某交换机的一个接入端口。

由于IPv4公网地址资源的短缺问题，电信运营商通常只会给酒店的公共网络internet出口分配很少的IP地址，比如从几个到几十个不等。显然，在公网IP地址这么少的情况下，酒店是无法保证为每个接入到酒店公共网络的智能终端(包括笔记本电脑，智能手机，平板电脑等)直接分配公网IP地址的，而通常是为各个上网终端分配RFC 1918规定的私网地址，然后在酒店公共网络的出口的路由器或者宽带接入网关上启用NAT，使得所有分配私网IP地址的上网终端能够共享有限的公网IP地址访问Internet。

本发明的典型应用配置是在出口的路由器或者宽带接入网关上只配置一个公网地址，启用N:1的共享NAT规则，使得所有住店客人和非住店客人都共享一个公网IP地址上网。

共享NAT基本可保证大多数客人的网络应用正常访问Internet，但是在一些商务客人较为集中的中高端酒店，NAT可能会因为无法兼容一些特殊的网络应用使得客人在应用过程发生异常从而引起客人的服务投诉。例如：

第一，IPSec VPN与NAT可能存在不兼容问题。IPSec的控制连接使用是的UDP会话，而数据连接使用的是非TCP/UDP协议，包括AH和ESP两种协议封装形式。

①.AH即Authentication Header，是在IP header之后插入一个认证头部，对整个IP Packet做完整性校验以保证IP Packet在传输过程中没有被篡改。而NAT过程是必须要修改IP Header的IP地址字段信息以及TCP/UDP Header的端口字段信息的，显然，IPSec的AH封装肯定是无法穿越NAT环境的。

②.ESP即Encapsulation Security Payload，同样是在IP Header后插入一个新的认证头部，但是行为与AH有所不同。ESP包含transport和tunnel两种模式。ESP的transport模式只对原IP Packet中除了IP header的部分进行校验，也就是之针对IP Payload部分进行校验，显然，这种行为与NAT也是冲突的，典型的是与TCP的冲突，TCP Header的检验算法是关联了IP Header的源和目的IP地址字段信息的，那么NAT对IP Header的更改必将会使得原先的TCP Header失效，因此，ESP的transport也无法与NAT共存。ESP的tunnel模式是生成一个全新的IP header，然后再在这个新的IP Header之后再封装/加密原先的整个IP Packet，这个情况下NAT对IP Header的IP地址字段更改不会影响到IPSec的校验，也不会影响被封装的TCP或UDP的头部校验，但是仍然有问题。ESP协议设计上有类似TCP/UDP Port作用的SPI，但是对ESP的SPI进行转换复用需要跟踪IPSec关联的IKE会话，在技术上是非常复杂的可行性并不高。所以通常对ESP只能做1:1的Static NAT，也就是说，在只有一个出口公网IP地址做NAT的酒店里，同一个公司的多个客人，同一时刻只能有一个客人能够拨通ESP tunnel模式的IPSec VPN。

综上所述，IPSec中只有ESP封装的Tunnel模式才有可能通过NAT环境。为了更好地兼容NAT环境，IETF发展出了IPSec NAT-T标准(RFC 3947和3948)，在IPSec报文之上再增加一层UDP封装，可完全解决NAT兼容问题。IPSec VPN部署较多，相比之下，虽然NAT-T的标准已推出，仍有相当一部分的企业因为各种原因继续沿用原有的不支持NAT-T标准的IPSec VPN设备，而没有进行升级或者更换设备。

对于NAT环境中IPSec VPN问题的解决，办法可以是在酒店公共网络的出口路由器或者宽带接入网关上配置1:1的Static NAT规则，或者直接给客人的电脑手工配置公网IP地址。

第二，PPTP VPN的问题。PPTP的控制连接使用TCP，而数据连接使用GRE封装。多数路由器和宽带接入网关的NAT都可以较好地兼容GRE。但问题是，有的企业IT会将PPTP配置为每一个源IP只允许拨入一路VPN，这会造成在只有一个出口公网IP做NAT的酒店里，同一个公司的多个客人同一时刻只能有一个客人能够拨通PPTP VPN。当发生PPTP的NAT问题时，通常的解决办法是同IPSecVPN问题的处理，也是在酒店公共网络的出口路由器或者宽带接入网关上配置1:1的Static NAT规则，或者直接给客人的电脑手工配置公网IP地址。

第三，VoIP或IP视频会议的应用问题。VoIP和IP视频会议广泛地应用到了H.323和SIP协议，H.323和SIP协议在协商过程可能会在上层协议里承载参与通信终端的IP地址信息，在NAT环境中，这个在上层协议里承载IP地址信息的行为会造成内网的通信终端与公网的通信终端或者服务器之间通信异常，因为NAT只对IP和TCP/UDP进行更改而不对TCP/UDP之上的上层协议做更改，这样会造成公网的通信终端无法访问到位于NAT内网的通信终端。因此，使用H.323或SIP的VoIP或者视频会议业务可能会在NAT环境里无法使用，解决的办法通常是直接给H.323或SIP终端分配公网地址。

为解决私网环境的NAT对一些VPN应用带来的故障影响，本发明还公开了一种自动化的按需分配的Static NAT方法，可以很好实现VPN的自动NAT穿越。具体实现方式是系统维护一个公网IP地址池，当发现有穿越NAT困难的VPN试图建立会话时，就尝试从公网地址池中分配一个公网IP地址，并为用户生成一个1:1的Static NAT规则，免除了IT服务人员手工为用户更改公网IP地址，或者登录酒店公共网络的出口路由器或者宽带接入网关上手工配置Static NAT规则的麻烦。

为解决一些完全无法在NAT环境中正使用的特殊应用问题，比如IPSec AH，或者一些VOIP或视频会议应用，本发明还公开了一种方法，在HSIA上实现特殊二次DHCP分配方式，结合Portal以及SNMP控制交换机端口，用户可以通过Portal的链接引导访问到自助公网IP地址分配页面，点击即可自动获得公网IP地址，完全不需要IT服务人员的人工干预。此外，管理员可以在HSIA后台强制进行二次DHCP分配，以解决一些不支持浏览器的终端的二次DHCP分配，比如IP电话终端。

附图说明

图1是eFlow PnPGW实现本发明方法的具体结构。

图2是本发明的eFlow HSIA实现二次DHCP方法的具体结构。

图3是本发明的eFlow HSIA应用SNMP控制交换机的用户接入端口先DOWN、再UP，实现完全自动化的二次DHCP分配的流程结构。

具体实施方式

实施例1

本实施例公开一种自动化的按需动态分配的Static NAT方法，在私网环境中，可以自动化地为穿越NAT环境困难的VPN应用，比如IPSec ESP类型的VPN，或者PPTP VPN分配公网IP地址，动态地生成1:1的Static NAT规则，保证这些VPN应用能够在NAT环境内使用正常，而不再需要IT服务人员手工为用户更改公网IP地址，或者登录到出口路由器或接入网关设备上手工添加Static NAT规则。

Ip

为实现此方式，本实施例的eFlow PnPGW增加了两个软件模块，一个是VPN会话识别模块，另一个是VPN公网地址池分配以及NAT动态策略模块(以下简称VPOOL策略模块)。当VPN会话识别模块判别出用户发起的VPN类型属于穿越VPN困难的类型，比如IPSec ESP，或者PPTP，就会发送消息通知VPOOL策略模块请求分配可用的公网IP地址，如果有可用的公网IP地址，那么VPOOL策略模块就取出一个公网IP地址，生成一个1:1 Statci NAT规则，使得被分配的公网IP地址与用户的私网源IP地址建立1:1的独享映射关系。为充分共享利用有限的公网IP地址，系统还具备公网地址资源回收功能，当用户VPN会话终止，或者用户断网时，VPOOL策略模块都将删除用户的Static NAT规则，并且将公网地址回收到地址池中。

图1为本实施例的eFlow PnPGW实现本方法的具体实例结构图。

实施例2

本实施例公开一种二次DHCP分配方法，当用户电脑或者智能手机、平板电脑等IP终端接入到酒店公共网络时，先通过DHCP获得私网IP地址，当有用户有使用公网地址的需要时，DHCP Server可以实现先预留，再二次分配的步骤使得用户IP终端可以获得公网IP地址，具体实施步骤如下：

1.用户通过Portal自助方式请求，或者管理员通过后台发送指令，为该用户的MAC地址预留分配一个公网IP地址；

2.用户按如下方法之一使得用户IP终端的网络端口产生一次DOWN，和一次UP事件：

①对于有线连接，用户IP终端拔线10秒左右，再插线；

③直接重新启动IP终端；

3.用户IP终端的网络端口再次UP以后，会发出DHCP Request请求将上次分配到的未过期的私网地址续租，此时DHCP Server发现该IP终端对应的MAC地址已经被预留了一个新的公网IP地址资源，与用户请求续租的私网IP地址并不匹配，那么直接应答NAK拒绝续租请求；用户IP终端收到NAK会重新再发起一次DHCP分配请求，即发出DHCP Discover请求；

4.用户IP终端与DHCP Server之间完成一个完成DHCP流程交互，用户IP终端成功获得了预留的公网IP地址。

图2为本实施例的eFlow HSIA实现二次DHCP方法的具体实例：

实施例3

实施例2的二次DHCP分配方法能够解决公网地址自动分配问题，但是在二次分配的过程中，仍然需要用户手工干预，做拔、插网线，或者重新启动电脑。为了增加用户使用的方便性，本实施例在实施例2的基础上，公开一种适用于有线网络连接的全自动化的二次DHCP分配方法，可以免除用户在有线网络中二次分配拔、插网线或者重新启动电脑的麻烦。本实施例在HSIA实现了部分SNMPWorkstation的功能，在二次DHCP过程中，HSIA在完成了用户公网IP地址预留处理后，会通过发出SNMP Set指控制用户接入的交换机端口关闭，延时一段时间后，再发出一次SNMP Set指令控制用户接入的交换机端口重新启用，这样就会造成用户电脑的网络端口产生一次DOWN，再UP的事件，由此引发用户电脑的DHCP Client功能重启发起DHCP Request，被NAK后，再进而引发一次完整的DHCP分配过程获得公网IP地址。

图3为本发明的eFlow HSIA应用SNMP控制交换机的用户接入端口先DOWN、再UP，实现完全自动化的二次DHCP分配的流程：

Claims

1.一种酒店公共网络，其特征在于，所述酒店公共网络包括酒店私有区域的有线/无线网络、酒店公共区域的有线/无线网络，并且所述酒店公共网络具备DHCP和NAT功能；

所述酒店公共网络包括一个HSIA系统，所述HSIA包括客房智能宽带接入网关和后台认证/计费系统两部分，所述两部分可以是功能合一的一个整体软硬件系统。

2.根据权利要求1所述的一种酒店公共网络，其特征在于，

3.根据权利要求1所述的一种酒店公共网络，其特征在于，

4.应用权利要求1所述的一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，所述HSIA系统包括一个客房智能宽带接入网关eFlowPnPGW，在所述eFlow PnPGW模块设置有两个软件子模块，一个是VPN会话识别模块，另一个是VPN公网地址池分配以及NAT动态策略模块，即VPOOL策略模块；当VPN会话识别模块判别出用户发起的VPN类型属于穿越VPN困难的类型，包括IPSec ESP，或者PPTP，就会发送消息通知VPOOL策略模块请求分配可用的公网IP地址，如果有可用的公网IP地址，那么VPOOL策略模块就取出一个公网IP地址，生成一个1:1 Statci NAT规则，使得被分配的公网IP地址与用户的私网源IP地址建立1:1的独享映射关系。

5.根据权利要求4所述的一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，当用户VPN会话终止，或者用户断网时，VPOOL策略模块都将删除用户的Static NAT规则，并且将公网地址回收到地址池中。

6.应用权利要求1所述的一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，当用户的IP终端接入到所述酒店公共网络时，先通过DHCP获得私网IP地址，当有用户有使用公网地址的需要时，DHCP Server用先预留，再二次分配的步骤使用户所述IP终端获得公网IP地址。

7.根据权利要求6所述的一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，用户通过Portal自助方式请求，或者管理员通过后台发送指令，为该用户的MAC地址预留分配一个公网IP地址；用户按如下方法之一使得用户IP终端的网络端口产生一次DOWN，和一次UP事件：

①对于有线连接，用户IP终端拔线10秒左右，再插线；

③直接重新启动IP终端；

8.应用权利要求1所述的一种酒店公共网络的公网IP地址资源管理和分配方法，其特征在于，

9.根据权利要求4至8的任一项所述的一种公网IP地址资源管理和分配方法，其特征在于，所述私有区域包括酒店客房，在所述私有区域，所述酒店公共网络为用户提供一个备用网络接入资源的更新、搜索、优选、启用模块，并自动生成和调用配置文件。

10.根据权利要求4至8的任一项所述的一种公网IP地址资源管理和分配方法，其特征在于，所述公共区域包括会议室、走廊、餐厅、游泳池，在所述公共区域，所述酒店公共网络为用户提供一个备用网络接入资源的更新、搜索、优选、启用模块，并自动生成和调用配置文件。