CN102790811B - 一种在监控网络中穿越nat设备的方法和装置 - Google Patents

Abstract

一种在监控网络中穿越NAT设备的方法，包括：NAT设备接收管理服务器发送的回应报文，解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；NAT设备收到外网发送给内网的报文时，根据Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；否则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。本发明充分结合监控业务的特点，实现了一种安全的、方便地穿越NAT的技术。

Description

一种在监控网络中穿越NAT设备的方法和装置

技术领域

本发明涉及设计视频监控领域，尤其涉及监控网络中穿越NAT设备的方法和装置。

背景技术

NAT（Network Address Translation，网络地址转换）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公网IP地址代表较多的私网IP地址的方式，将有助于减缓可用IP地址空间的枯竭。其最初的设计目的是用于实现私有网络访问公共网络的功能，后扩展到实现任意两个网络间进行访问时的地址转换应用，本申请文件将这两个网络分别称为内部网络（内网）和外部网络（外网），通常私网为内部网络，公网为外部网络。

NAT技术是依靠NAT设备的NAT会话（NAT SESSION）表项来实现转发的。NAT设备只对从内网去往外网的流量才会建立NAT SESSION表项。而对从外网发往内网的报文，NAT设备会首先查找NAT SESSION表项，如果表项中没有相关记录，则直接丢弃该报文。

而对于监控网络中，有些流程是需要首先由外网向内网中的设备发起连接，这样一来在NAT设备上就没有相关SESSION表项，导致报文会被丢弃。目前解决的是采用引流和隧道两种方案。引流方案的问题在于需要事先触发由内网设备向外网发送数据报文，以便在NAT设备上建立NAT SESSION表项，这在监控业务的流程存在繁琐，甚至有时候是不允许的。另外在安全性上也有不足，内网向外网发送数据报文打开的端口号越多，整个系统的安全性就越差。隧道方案的问题在于对设备和网络传输有一定的消耗。

发明内容

有鉴于此，本发明提供一种在监控网络中穿越NAT设备的方法，该监控网络包括内网设备、NAT设备以及管理服务器，其中管理服务器位于外网中，所述方法应用于NAT设备上，NAT设备接收管理服务器发送的回应报文，解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；所述回应报文为管理服务器针对内网设备向其注册后反馈的报文，所述NAT会话表项为内网设备发送所述注册报文经过NAT设备时NAT设备创建的表项，所述Tag标签唯一对应一个内网设备；NAT设备收到外网设备发送给内网设备的报文时，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

所述NAT设备接收到管理服务器和内网设备之间的保活报文后更新Tag转发表项的老化剩余时间。

本发明还提供一种在监控网络中穿越NAT设备的方法，该监控网络包括内网设备，NAT设备，管理服务器，其中管理服务器位于外网中，所述方法应用于管理服务器上，该方法包括如下步骤：管理服务器收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系；管理服务器发送信令报文给内网设备，根据本地记录的Tag标签与内网设备的对应关系在该信令报文中携带该内网设备的Tag标签。

该Tag标签添加在回应报文IP头部的目的IP地址之后。

该管理服务器还将内网设备的Tag标签信息告知需要与内网设备进行通信的外网设备。

本发明还提供一种NAT设备，该NAT设备位于监控网络中，该监控网络包括内网设备、以及位于外网的管理服务器，该NAT设备包括：Tag转发表建立模块，用于解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；所述回应报文为管理服务器针对内网设备向其注册后反馈的报文，所述NAT会话表项为内网设备发送所述注册报文经过NAT设备时NAT设备创建的表项，所述Tag标签唯一对应一个内网设备；报文转发模块，用于在收到外网设备发送给内网设备的报文时，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

该设备还包括Tag转发表更新模块，用于在接收到管理服务器和内网设备之间的保活报文后更新Tag转发表项的老化剩余时间。

本发明还提供一种管理服务器，该管理服务器是监控网络的管理服务器，该监控网络包括还包括内网设备，NAT设备，其中管理服务器位于外网中，该管理服务器包括：Tag标签添加模块，用于在收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系；信令报文发送模块，用于发送信令报文给内网设备，根据本地记录的Tag标签和内网设备的对应关系，在信令报文中携带该内网设备对应的Tag标签。

所述Tag标签添加在回应报文IP头部的目的IP地址之后。

该管理服务器还包括Tag标签信息告知模块，用于将内网设备的Tag标签信息告知需要与内网设备进行通信的外网设备。

本发明提供的外网报文穿越NAT设备到达内网设备的技术充分利用了当前监控技术的特点。由于监控网络都会存在管理服务器，并且其它监控设备在启动后都需要向该管理服务器进行注册，从而使得该管理服务器能在监控网络刚启动工作时将内网设备对应的唯一标签分发给内网设备而在NAT设备上留下Tag标签的记录，为后续监控业务的开展提供外网到内网报文的转发的依据。管理服务器管理着各种监控业务，所以在监控业务的信令报文中携带着Tag标签将变得非常方便。综上，本发明技术简单方便，易于实施。另外，安全性也比较好。

附图说明

图1是本发明实施例网络示意图。

图2是本发明实施例流程图。

图3是本发明实施例Tag标签位置设置图示。

图4是应用本发明技术的监控网络图。

图5是本发明一种NAT设备逻辑结构图。

图6是本发明一种管理服务器逻辑结构图

具体实施方式

参考图1~图2，具体介绍本发明实施方式。

以图1的监控网络图为例，阐述本发明的具体实施方式。NAT设备1将整个监控网络分隔为内网10和外网11，视频监控的前端设备，如编码器EC101，网络摄像机IPC102位于内网10中，存储设备storage103也可以位于内网10中，媒体转发设备MS104也可以位于内网10中，视频流请求设备105也可以位于内网10中。视频监控的管理服务器111位于外网11中。外网中还存在其它监控设备（未图示），比如其它EC、IPC、视频流请求设备、存储设备等等。前述位于内网10中的设备统称为内网设备。为了图示简洁，图1仅示意了单个的不同类别的监控设备，实际的监控网络中往往每个类别都具有多个监控设备，尤其是像监控前端设备，往往不同的地点要部署多个这样的前端设备。另外，还需要说明的是，外网设备与内网设备是相对而言的，比如两个被不同NAT设备隔开的内网设备，从两个不同的NAT角度去观察，彼此都是对方的外网设备。

管理服务器管理监控系统的各监控设备，各监控设备启动后首先就要向管理服务器注册。管理服务器参与实况点播，视频回放等监控业务，通过信令报文指挥着各监控设备执行具体的操作。本发明充分利用了视频监控系统的管理服务器管理监控系统的内网设备，并且参与各种监控业务，应用视频监控系统的这些特点，巧妙地实现了外网设备便捷并且自由穿越NAT的目的，有别于现有技术中NAT穿越仅考虑网络层面不考虑业务特点的传统技术思维。

图2是本发明实施例的流程图，详细介绍如下：

步骤21、内网设备向管理服务器进行注册。

由于内网设备位于内网中，管理服务器位于外网中，所以内网设备向管理服务器的注册过程属于内网向外网发起的通信，采用现有的技术即可：注册报文到达NAT设备后，NAT设备进行NAT转换，在本地建立NAT会话表项。例如，内网设备内网IP地址为100.1.10.3，管理服务器的IP地址为10.220.3.54，经过NAT转换后的内网设备的IP地址为10.220.195.93。NAT设备上建立的NAT会话表项如下表1：

protocol	GlobalAddr:Port	LocalAddr:Port	DestAddr:Port	Left
					UDP	10.220.195.93:39131	100.1.10.3:60749	10.220.3.54:53	00:09:00

表1

Protocol，协议类型，分为UDP和TCP；

GlobalAddr:Port：全局IP地址和端口号，即NAT设备上外网接口的IP地址和端口号；

LocalAddr:Port：内网IP地址和端口号，处于内网的设备的IP地址和端口号；

DestAddr:Port：处于内网的设备需要访问的IP地址和端口号；

Left：老化剩余时间。

步骤22、管理服务器收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系。

每一个内网设备需要对应一个不同的Tag标签，管理服务器可以根据自身管辖的内网设备预先建立一个Tag标签池，在收到内网设备发来的注册报文后就从Tag标签池中分配一个标签给该内网设备，然后在本地生成该Tag标签和该内网设备对应的记录表项。表项的一个示例如下：

Tag标签	内网设备ID	内网设备地址
			1002	IPC002	10.220.195.93

表2

当然，管理服务器可以预先规划好Tag标签和监控设备之间的对应关系，这样收到内网设备的注册报文后可以直接将对应的Tag标签分配给该内网设备。

Tag标签在回应报文中的位置参考图3，该标签位于IP头部之后，具体可以添加在32位目的IP地址的后面。

作为监控网络的管理者，管理服务器一般知晓自身所管理的监控设备的名称和该监控设备在网络中的位置，比如说是否是内网设备，所以当收到监控设备的注册报文后，管理服务器能判断其是否是内网设备。

步骤23、NAT设备接收管理服务器发送的回应报文，解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息，并且按照该会话表项执行目的IP地址和端口号转换后转发该回应报文。

NAT设备接收到管理服务器发送的回应报文后进行解析，如果发现报文中相应位置有Tag标签，则根据该报文的目的IP地址和目的端口号，源地址和源端口号以及协议类型查找本地会话表中的GlobalAddr:Port，DestAddr:Port，protocol，分别匹配上后，在该会话表项中增加Tag标签信息（如下表3），并且将报文的目的IP地址和端口号转换成LocalAddr:Port中记录的地址和端口号将报文转发出去。NAT上具有Tag标签信息的会话表称为Tag转发表。

Protocol	GlobalAddr:Port	LocalAddr:Port	DestAddr:Port	Left	Tag标签
						UDP	10.220.195.93:39131	100.1.10.3:60749	10.220.3.54:53	00:09:00	1002

表3

步骤24、管理服务器发送信令报文给内网设备，该报文中携带该内网设备的Tag标签。

现有监控系统中发生的监控业务基本上都需要管理服务器的参与，比如说视频流请求设备点播实况视频流，首先将点播请求发送给管理服务器，管理服务器再指挥内网设备发送视频流。管理服务器在指挥内网设备发送视频流的时候一般通过定义好的信令报文进行处理。为了使管理服务器发送的信令报文能穿越NAT设备到达内网设备，管理服务器需要在该信令报文中添加该内网设备对应的Tag标签。具体地，管理服务器从本地保存的Tag标签和该内网设备对应关系中（参表2）以内网设备ID为索引找到Tag标签，并将其封装在信令报文中。

步骤25、NAT设备收到管理服务器发送给内网设备的信令报文，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

例如，NAT设备收到管理服务器发送的信令报文头部信息如表4所示：

Protocol	源IP	目的IP	Tag标签	源端口号	目的端口号
						UDP	10.220.3.54	10.220.195.93	1002	53	39131

表4

根据Tag标签1002去匹配Tag转发表（前述表3）中的Tag标签信息，匹配到后，判断Tag转发表中protocol、GlobalAddr:Port、DestAddr:Port和信令报文中的protocol、目的IP目的端口号、源IP源端口号一一对应，因此，NAT设备将目的IP修改为100.1.10.3，目的端口号修改为60749，从内网接口将该报文转发出去。当上述信息都匹配上时，表明管理服务器是在当前内网设备和其建立好的会话连接上（内网设备向管理服务器发起注册的会话连接）发送报文的。一般的，管理服务器增加、更改其管理的内网设备的配置信息时会直接在该会话连接上发送配置信息报文。

又如，NAT设备收到管理服务器发送的信令报文头部信息如表5：

协议	源IP	目的IP	Tag标签	源端口号	目的端口号
						UDP	10.220.3.54	10.220.195.93	1002	1006	30246

表5

根据Tag标签1002去匹配Tag转发表（前述表3）中的Tag标签信息，匹配到后，判断当前报文中的源端口号和目的端口号和Tag转发表中的不一致，而其他信息一致，这时，NAT设备直接将该信令报文的目的IP地址修改为内网IP地址100.1.10.3后将报文从内网接口发送出去，目的端口号则不用修改，还是30246。一般地，管理服务器通知内网设备发送视频流这样的信令报文，不会在发起注册的会话连接发送，所以端口号不会与NAT转发表中的一致。

步骤24是管理设备发送报文给内网设备，除此之外，外网中的其它监控设备也存在向内网设备发送报文的需求，在管理服务器接收到外网设备请求访问内网设备的需求时，将内网设备的Tag标签信息通知该外网设备，该外网设备在向内网设备发起通信时，在报文中携带Tag标签信息，该携带内网设备Tag标签信息的报文到达内网设备所在内网的NAT设备时，NAT设备按照上述步骤25中的处理方式对该报文进行转发。

另外，需要说明的一点，内网设备在向管理服务器注册完成后，与管理服务器定时进行保活，保活报文在发起注册的会话连接上发送，该连接在内网设备和管理服务器正常时始终存在。管理服务器与内网设备之间的保活报文发送时间小于Tag转发表项老化时间，NAT设备收到保活报文后会更新Tag转发表项的老化剩余时间，所以该表项不会被老化掉，从而NAT设备始终能依据Tag转发表进行外网管理服务器到内网设备的转发。

下面以实况点播为例，介绍一下本发明在实际监控业务中的应用。参见图4，位于公网中的视频流请求设备（比如视频点播客户端）VC42向同在公网中的视频管理服务器VM43点播位于私网一中的IPC40的视频流。VM43在本地查找IPC40的Tag标签信息，在通知IPC40发送视频流的信令报文中携带查找到的IPC40的标签信息，将该信令报文发送给IPC40。该信令报文到达私网一和公网间的NAT设备44，NAT设备44上保存有Tag转发表，该Tag转发表中记录有IPC40的标签信息，根据该标签信息索引到相应的转发表项，将上述信令报文的目的IP地址更改为IPC44内网的IP地址后发送给IPC44。IPC44收到该信令报文后，根据该信令报文的指示，将视频流发送给公网的接受者。视频流的传输由内网到外网，所以采用现有技术进行通信即可。

如果私网二中的VC41也向公网中的VM43点播私网一中的IPC40的视频流，VC41向VM43发送的实况点播报文是私网向公网发起的通信，直接采用现有技术即可。VM43同样在通知IPC40发送视频流的信令报文中携带IPC40的标签信息，额外地，VM还需要将VC41的Tag标签信息告知IPC40（VC41作为监控网络的设备之一，也需要向VM进行注册，整个注册过程如同步骤21、步骤22和步骤23）。该信令报文到达私网一和公网间的NAT设备44，NAT设备44上保存有Tag转发表，该Tag转发表中记录有IPC40的标签信息，根据该标签信息索引到相应的转发表项，将上述信令报文的目的IP地址更改为IPC44内网的IP地址后发送给IPC40。IPC40收到该信令报文后，发送视频流报文给VC41。在IPC40发送的视频数据包中需要携带VC41的Tag标签信息。该视频数据包到达NAT设备44时，NAT设备44采用现有技术将该数据包发送到NAT设备45，NAT设备45根据该视频数据包中的Tag标签，结合本地保存的Tag转发表，将视频数据包的目的IP地址转换为VC41的内网IP地址后发送给VC41。这里IPC40和VC41互为外网设备，即IPC40是VC41的外网设备，VC41是IPC40的外网设备。监控网络中存在诸多监控业务，这里不再一一举例说明。实际上，只要遵循一个原则，就是外网发往内网的报文中要携带上该内网设备的Tag标签，有了这个Tag标签，结合之前内网设备向管理服务器注册的时候管理服务器给其分配的Tag标签在NAT设备上形成的Tag转发表项，NAT设备就能将报文正确的转发到对应的内网设备上了。

基于同样的思路，本发明还提供相应的NAT设备和监控管理服务器。

参图5，该NAT设备包括Tag转发表建立模块，用于解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；所述回应报文为管理服务器针对内网设备向其注册后反馈的报文，所述NAT会话表项为内网设备发送所述注册报文经过NAT设备时NAT设备创建的表项，所述Tag标签唯一对应一个内网设备；

报文转发模块，用于在收到外网设备发送给内网设备的报文时，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

该NAT设备还包括Tag转发表更新模块，用于在接收到管理服务器和内网设备之间的保活报文后更新Tag转发表项的老化剩余时间。

参图6，该管理服务器包括Tag标签添加模块，用于在收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系；信令报文发送模块，用于发送信令报文给内网设备，根据本地记录的Tag标签和内网设备的对应关系，在信令报文中携带该内网设备对应的Tag标签。该管理服务器还包括Tag标签信息告知模块，用于将内网设备的Tag标签信息告知需要与内网设备进行通信的外网设备。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种在监控网络中穿越NAT设备的方法，该监控网络包括内网设备、NAT设备以及管理服务器，其中管理服务器位于外网中，所述方法应用于NAT设备上，其特征在于，该方法包括：

NAT设备接收管理服务器发送的回应报文，解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；所述回应报文为管理服务器针对内网设备向其注册后反馈的报文，所述NAT会话表项为内网设备发送所述注册报文经过NAT设备时NAT设备创建的表项，所述Tag标签唯一对应一个内网设备；

NAT设备收到外网设备发送给内网设备的报文时，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

2.如权利要求1所述的方法，其特征在于，所述NAT设备接收到管理服务器和内网设备之间的保活报文后更新Tag转发表项的老化剩余时间。

3.一种在监控网络中穿越NAT设备的方法，该监控网络包括内网设备，NAT设备，管理服务器，其中管理服务器位于外网中，所述方法应用于管理服务器上，其特征在于，该方法包括如下步骤：

管理服务器收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系；

管理服务器发送信令报文给内网设备，根据本地记录的Tag标签与内网设备的对应关系在该信令报文中携带该内网设备的Tag标签；

所述管理服务器还将内网设备的Tag标签信息告知需要与内网设备进行通信的外网设备，以使得所述外网设备在发送至内网设备的报文中携带所述Tag标签。

4.如权利要求3所述的方法，其特征在于，所述Tag标签添加在回应报文IP头部的目的IP地址之后。

5.一种NAT设备，该NAT设备位于监控网络中，该监控网络包括内网设备、以及位于外网的管理服务器，其特征在于，该NAT设备包括：

Tag转发表建立模块，用于解析出回应报文中的Tag标签，并在相应的NAT会话表项中增加Tag标签信息形成Tag转发表；所述回应报文为管理服务器针对内网设备向其注册后反馈的报文，所述NAT会话表项为内网设备发送所述注册报文经过NAT设备时NAT设备创建的表项，所述Tag标签唯一对应一个内网设备；

报文转发模块，用于在收到外网设备发送给内网设备的报文时，根据报文中的Tag标签，查找Tag转发表，判断查找到的表项中的协议类型、全局IP地址和端口号和当前报文中的协议类型、目的IP地址、目的端口号是否一一对应，如果是，则将该报文的目的IP地址和目的端口号分别转换为该表项中的内网IP地址和端口号从内网接口转发出去；如果否，则将该报文的目的IP地址转换为该表项中的内网IP地址从内网接口转发出去。

6.如权利要求5所述的设备，其特征在于，该设备还包括Tag转发表更新模块，用于在接收到管理服务器和内网设备之间的保活报文后更新Tag转发表项的老化剩余时间。

7.一种管理服务器，该管理服务器是监控网络的管理服务器，该监控网络包括还包括内网设备，NAT设备，其中管理服务器位于外网中，其特征在于，该管理服务器包括：

Tag标签添加模块，用于在收到内网设备的注册报文后，在回应报文中添加该内网设备对应的Tag标签，本地记录该Tag标签与该内网设备的对应关系；

信令报文发送模块，用于发送信令报文给内网设备，根据本地记录的Tag标签和内网设备的对应关系，在信令报文中携带该内网设备对应的Tag标签；

该管理服务器还包括Tag标签信息告知模块，用于将内网设备的Tag标签信息告知需要与内网设备进行通信的外网设备，以使得所述外网设备在发送至内网设备的报文中携带所述Tag标签。

8.如权利要求7所述的管理服务器，其特征在于，所述Tag标签添加在回应报文IP头部的目的IP地址之后。