CN102957754A - 运营级网络地址转换方法、设备及网络系统 - Google Patents

Abstract

本发明涉及一种运营级网络地址转换方法，包括：接收源地址为私有IP地址、源端口编号为第一端口编号的报文，并根据预设的静态映射关系信息查询私有IP地址所唯一对应的公有IP地址和附属于公有IP地址的端口块；将报文中的源地址替换为公有IP地址，并将报文中的源端口编号替换为端口块中动态选择的第二端口编号；将转换后的报文转发到目的IP地址。本发明还涉及一种运营级网络地址转换设备及网络系统。本发明通过静态映射关系信息对报文转换，将源地址和源端口编号替换成对应的IP地址和从端口块中选出的端口编号，从而不需实时存储和处理大量的IP地址转换关系的日志数据，而且通过静态映射关系信息也可实现地址溯源和单点认证。

Description

运营级网络地址转换方法、设备及网络系统

技术领域

本发明涉及通信技术，尤其涉及一种运营级网络地址转换方法、设备及网络系统。

背景技术

随着网络技术的发展和广泛应用，为连接在Internet上的主机所分配的IPv4地址资源将很快枯竭，因此引入IPv6可视为网络演进的必然趋势。但是，在IPv4地址耗尽之前，运营商的网络、业务平台、终端以及ICP尚无法全面支持IPv6，且具备IPv6商用能力。在IPv6过渡期内，如何延长IPv4的使用期限，保证业务的平滑过渡，为IPv6的部署争取时间，是运营商均需要考虑的问题。

在现有TCP/IP的通信模式下，为维护各层次的协议的相对独立性，尽可能减少对现有协议体系的改动，只能在网络层寻找延缓地址枯竭期限的解决方法。网络层上原有的网络地址转换，即NAT技术可实现IPv4私网地址到IPv4公网地址单个TCP/UDP端口的随机映射，已经在家庭网关及其它小型网络上使用多年，主要采用日志的方式纪录相关网络使用信息。但在运营商网络中部署网络地址转换，跟在小型网络中使用网络地址转换技术还是有很多不同之处。首先运营商网络的规模大，而采用NAT技术需要对每个连接均要进行计算，且采用不同的端口，使用效率比较低下，无法适应较大规模网络的网络地址转换；其次NAT技术难以进行实时在线溯源和离线溯源，无法满足运营商网络对安全的需要；再次NAT技术也无法在运营商网络中实现单点认证；最后，在运营商网络中可能存在多种设备形态，而NAT方式则无法同时适用于各种设备形态。

发明内容

本发明的目的是提出一种运营级网络地址转换方法、设备及网络系统，实现IPv6过渡期间适合运营商级别使用的网络地址转换。

为实现上述目的，本发明提供了一种运营级网络地址转换方法，包括：

接收源地址为私有IP地址、源端口编号为第一端口编号的报文，并根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块；

将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文；

将所述转换后的报文转发到目的IP地址。

为实现上述目的，本发明提供了一种运营级网络地址转换设备，包括：

报文接收单元，用于接收源地址为私有IP地址、源端口编号为第一端口编号的报文；

映射关系查询单元，用于根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块；

报文转换单元，用于将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文；

报文转发单元，用于将所述转换后的报文转发到目的IP地址。

为实现上述目的，本发明还提供了一种包括前述的运营级网络地址转换设备的网络系统，还包括：

AAA服务器，用于维护包括各网络地址转换设备的静态映射关系的静态映射关系信息，以及负责用户认证、授权和计费，记录和维护用户计费和账号信息。

基于上述技术方案，本发明通过静态映射关系信息对报文转换，将源地址和源端口编号替换成对应的IP地址和从端口块中选出的端口编号，从而不需实时存储和处理大量的IP地址转换关系的日志数据，而且通过静态映射关系信息也可实现地址溯源和单点认证。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明运营级网络地址转换方法的一实施例的流程示意图。

图2为应用图1实施例的转换过程示意图。

图3为本发明运营级网络地址转换方法的另一实施例的流程示意图。

图4为本发明运营级网络地址转换方法的又一实施例中的静态映射关系设置过程示意图。

图5为本发明网络系统的一实施例的结构示意图。

图6为图5实施例的一种系统实现架构及拓扑示意图。

图7为图6系统架构下的总体流程示意图。

图8为本发明运营级网络地址转换设备的一实施例的结构示意图。

图9为本发明运营级网络地址转换设备的另一实施例的结构示意图。

图10为本发明运营级网络地址转换设备的又一实施例的结构示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图1所示，为本发明运营级网络地址转换方法的一实施例的流程示意图。在本实施例中，可采用独立的运营级网络地址转换设备实现，也可以以板卡的方式设置在已有网元(例如核心路由器或宽带接入服务器)中实现，又或者在已有网元中设置软件程序实现。这种多设备形态的适应性可以满足运营商网络运营管理需要，而且对现有体系可以改动较小，平衡网络设备和IT支撑系统的关系，实现较佳的经济效益。

在本实施例中，运营级网络地址转换过程具体包括：

步骤101、接收源地址为私有IP地址、源端口编号为第一端口编号的报文，并根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块；静态映射关系信息可以以静态映射关系表的形式存在，或者以体现静态映射关系的算法程序存在；

步骤102、将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文；

步骤103、将所述转换后的报文转发到目的IP地址。

以独立设备实现的运营级网络地址转换设备为例，图2给出了应用图1实施例的转换过程示意图。客户端设备向运营级网络地址转换设备发送需要进行网络地址转换的基于IPv4的TCP报文，该报文中源IP地址为10.1.1.2，源TCP端口编号为7248，运营级网络地址转换设备在接收到该报文后，根据自身预设的IP地址的静态映射关系信息(这里采用静态映射关系表的形式)进行查询，从图2上可以看出，静态映射关系信息中记录了多组IP地址的映射关系，例如10.1.1.1←→(120.1.1.1，[1024，2047])，10.1.1.2←→(120.1.1.2，[2048，3071])等，左边的每个IP地址唯一对应的右边的一个IP地址和一个端口块，这里的端口块是一段连续的端口编号范围。采用连续的端口编号范围作为端口块相比于离散的端口编号有更多种复用率，而且绕开端口段中间的保留端口处理的问题。

在本发明中要求转换前的地址唯一对应一个转换后的IPv4地址和端口块，但允许多个转换前的地址对应同一个转换后的IPv4地址，但需要各自使用不同的端口块。转换后的IPv4地址和端口块显然应符合TCP/IP协议簇标准中有效地址及有效端口的定义。

运营级网络地址转换设备根据报文中的源IP地址10.1.1.2查出对应的IP地址为120.1.1.2，再从附属于120.1.1.2的端口块[2048，3071]动态选择出端口编号2435，并据此对报文进行转换，将报文中的源地址替换为120.1.1.2，并将报文中的源端口编号替换为2435，形成转换后的报文，然后再将转换后的报文转发到目的IP地址。

在转换过程中，只需根据预存在运营级网络地址转换设备的静态映射关系信息进行查询和端口动态选择就可以方便的进行地址转换，而这种静态映射关系是相对固定的，而现有的NAT技术的应用中，用户的私网地址与公有IPv4地址的对应关系不是固定的，每建立一个网络连接就需要存储一种对应关系，当主机运行到一定阶段时可能建立了成百上千的连接，对应着就需要存储成百上千的对应关系，如果将其应用到大规模的运营级网络，则会占用大量的系统资源，因此本实施例采用相对固定的静态映射关系的网络地址转换方式相比于现有的NAT技术应用更胜任运营级网络。从另一个角度讲，静态映射关系也便于实现在线或离线溯源，通过查询静态映射关系信息就可以确定某个公网IP地址和端口编号对应的用户信息。

如图3所示，为本发明运营级网络地址转换方法的另一实施例的流程示意图。与上一实施例相比，本实施例中增加了老化时间的概念，表达的是网络会话的生命周期，当老化时间计时完毕，则网络会话结束并断开。

在上一实施例的步骤102的转换过程中，需要动态选择第二端口编号，在给定的端口块内选择了某个端口编号时，可以进行计时，即在预设的老化时间内固定该第二端口编号与所述私有IP地址及第一端口编号之间的映射关系，该第二端口编号在所述老化时间内不参与源地址为私有IP地址的报文之外的报文的端口块中端口编号的动态选择。

也就是说，在首次报文转换时就建立了一段时间的IP地址和端口编号的固定映射关系，在这段时间内如果还有来自同一IP地址和编号端号的报文，则无须进行端口编号的重新选择，而是可以直接根据固定映射关系进行转换。

下面是建立了老化时间后的网络地址转换过程，具体包括：

步骤201、在接收到源地址为私有IP地址的报文时，判断所述报文的源端口编号是否为第一端口编号；是则执行步骤202，否则执行步骤203；

步骤202、直接将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第二端口编号；

步骤203、重新在所述端口块中动态选择第三端口编号，并将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第三端口编号。

如果在老化时间内接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则可以触发老化时间重新计时；而如果在老化时间内未接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则可以释放所述第二端口编号，使所述第二端口编号重新参与所述端口块中端口编号的动态选择。

在上述过程中，对于同一源IP地址不同源端口编号的报文，会对应唯一的IP地址和端口块中的多个地址编号，而当端口编号耗尽时，则应丢弃该报文。

对于本实施例，下面给出TCP报文和UDP报文的例子作为说明。

对每个源自私有IP地址Ai的TCP协议报文，首先按照静态映射关系信息确定Ai对应的公有IP地址Ae及附属于Ae的对应端口块PBt，继而将该报文头部的源地址Ai替换为Ae，将其TCP源端口编号Ti转换为在PBt内的动态选择的某个端口编号Te，并保持报文其余部分不变，然后把报文转发出去。而且，Te将被“占用”一段时间，即后续一段有效时间(即老化时间)ΔTt内，Te不再参与前面所述的动态选择，只要收到来自(Ai:Ti)的报文，将触发老化时间重新计时，并且来自(Ai:Ti)的报文转换结果均为(Ae:Te)；来自(Ai:非Ti)的报文则须在PBt内除Te外的端口编号内另行动态选择转换后的TCP源端口编号(若PBt端口编号耗尽，则丢弃该报文)，即其转换结果为(Ae:非Te)。若在老化时间ΔTt内没有收到(Ai:Ti)的报文，Te被“释放”，重新参与前面所述的动态选择。

对每个源自私有IP地址Ai的UDP协议报文，首先按照静态映射关系信息确定Ai对应的公有IP地址Ae及附属于Ae的对应端口块PBu，继而将该报文头部的源地址Ai替换为Ae，将其UDP源端口编号Ui转换为在PBu内的动态选择的某个端口编号Ue，并保持报文其余部分不变，然后把报文转发出去。而且，Ue同样将被“占用”一段时间，即在老化时间ΔTu内，Ue不再参与前面所述的动态选择，只要收到来自(Ai:Ui)的报文，将触发老化时间重新计时，并且来自(Ai:Ui)的报文转换结果均为(Ae:Ue)；来自(Ai:非Ui)的报文则须在PBu内除Ue外的端口编号内另行动态选择转换后的UDP源端口编号(若PBu端口编号耗尽，则必须丢弃该报文)，即其转换结果为(Ae:非Ue)。若在老化时间ΔTu内没有收到(Ai:Ui)的报文，Ue被“释放”，重新参与前面所述的动态选择。

如图4所示，为本发明运营级网络地址转换方法的又一实施例中的静态映射关系设置过程示意图。在本实施例中，静态映射关系设置过程包括：为私有IP地址设定网络地址转换后唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块，并将形成的所述私有IP地址与所述公有IP地址和端口块之间的静态映射关系保存到静态映射关系信息，其中所述端口块为固定大小的连续端口编号范围。

从图4中可以看出，网管系统可以通过手工输入、配置脚本或算法等形式来形成IPv4地址的静态映射关系，再将这些静态映射关系保存成静态映射关系信息，然后分发到各个运营级网络地址转换设备，同时也可以将静态映射关系信息分发到网络中的支撑设备(例如AAA服务器等)进行保存。保存到AAA服务器中的静态映射关系信息可以实现单点认证和地址溯源。

对于现有的NAT方式，如果希望实现地址溯源，则需要将动态分配的转换后公有IP地址和端口实时上报给AAA服务器，这必然需要在运营商现有的溯源体系中增加新的网元，且需要对现有的溯源流程做出较大改动，且实时性和可靠性比较差，因此并不适用于运营级网络。而相比于现有的NAT方式，本发明中的静态映射关系是相对固定的，实现用户溯源时无需实时动态地与AAA服务器交换日志报文，现有溯源体系根据已有的公有地址、端口查表就可以获知转换前的用户私网源地址，进而获得用户信息，这种实现方式无需在现有的溯源体系引入新的网元，溯源流程也无需大的改动，实时性和可靠性也得到了有效保障。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算设备可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

如图5所示，为本发明网络系统的一实施例的结构示意图。在本实施例中，网络系统包括运营级网络地址转换设备1和AAA服务器2。运营级网络地址转换设备1负责将源设备发出的报文中的私网地址转换为公网地址，并发送给目的设备。运营级网络地址转换设备1的结构将在下文进行说明，此处暂略。AAA服务器2负责维护包括各网络地址转换设备的静态映射关系的静态映射关系信息，以及负责用户认证、授权和计费，记录和维护用户计费和账号信息。网络系统还可以包括网管服务器3，该服务器可以为私有IP地址设定网络地址转换后唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块，所述端口块为连续端口编号范围，并将形成的所述私有IP地址与所述公有IP地址和端口块之间的静态映射关系上传给所述运营级网络地址转换设备1和AAA服务器2。

在另一实施例中，网络系统还可以包括查询主机4和应用服务器5。查询主机4负责向所述AAA服务器发起地址溯源请求，应用服务器5负责提供实时地址反查认证的单点认证请求。

如图6所示，为图5实施例的一种系统实现架构及拓扑示意图。图6中终端的私网地址是a1.a2.a3.a4，端口编号为p1，通过CPE连接到边缘设备宽带接入服务器，终端发出的报文由运营级网络地址转换设备进行网络地址转换，将其转换为b1.b2.b3.b4:p2，再发送到作为目的的应用服务器。网管服务器形成静态映射关系信息后，会下发给AAA服务器和运营级网络地址转换设备，查询主机可以向AAA服务器发起实时的地址溯源请求，应用服务器可以向AAA服务器发起单点认证请求，由AAA服务器根据自身存储的静态映射关系信息返回结果。

如图7所示，为图6系统架构下的总体流程示意图。总体流程包括：

步骤301、终端接收用户操作，向接入服务器发起认证请求；

步骤302、接入服务器向AAA服务器提交认证信息，AAA服务器根据认证信息进行认证鉴权；

步骤303、鉴权通过后，接入服务器为终端分配私网地址10.1.1.2；

步骤304、终端通过接入服务器向运营级网络地址转换设备发送报文，报文的源IP地址为10.1.1.2，源TCP端口编号为7248；

步骤305、运营级网络地址转换设备查询网管系统下发的静态映射关系信息，并根据查询结果将报文中的源IP地址替换为120.1.1.2，源TCP端口编号替换为2435，再将转换后的报文发送给应用服务器；

步骤306、当应用服务器有单点认证需求时，向AAA服务器发出单点认证请求，请求中有该用户的公网地址120.1.1.2，TCP端口编号为2345；

步骤307、AAA服务器根据网管系统下发的静态映射关系信息查询公网地址为120.1.1.2，且端口编号2345所在的端口块所对应私网地址为10.1.1.2，并根据之前认证时的认证信息找出该私网地址对应的用户信息；

步骤308、AAA服务器将查到的用户信息发送给应用服务器；

步骤309、当查询主机有对某个应用服务器的访问用户的地址溯源需求时，向应用服务器发出请求；

步骤310、应用服务器将获取过它的服务的用户的公网地址120.1.1.2，TCP端口编号2345提供给查询主机；

步骤311、查询主机向AAA服务器发出地址溯源请求，请求中有该用户的公网地址120.1.1.2，TCP端口编号为2345；

步骤312、AAA服务器根据网管系统下发的静态映射关系信息查询公网地址为120.1.1.2，且端口编号2345所在的端口块所对应私网地址为10.1.1.2，并根据之前认证时的认证信息找出该私网地址对应的用户信息；

步骤313、AAA服务器将查到的用户信息发送给查询主机。

下面对本发明运营级网络地址转换设备的几种实施例的结构进行说明。如图8所示，为本发明运营级网络地址转换设备的一实施例的结构示意图。在本实施例中，运营级网络地址转换设备包括：报文接收单元11、映射关系查询单元12、报文转换单元13和报文转发单元14。其中，报文接收单元11负责接收源地址为私有IP地址、源端口编号为第一端口编号的报文。映射关系查询单元12负责根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块。报文转换单元13负责将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文。报文转发单元14负责将所述转换后的报文转发到目的IP地址。

如图9所示，为本发明运营级网络地址转换设备的另一实施例的结构示意图。与上一实施例相比，本实施例还包括老化时间计时单元15，负责在转换过程中动态选择第二端口编号时，在预设的老化时间内固定所述第二端口编号与所述私有IP地址及第一端口编号之间的映射关系，使得所述第二端口编号在所述老化时间内不参与源地址为私有IP地址的报文之外的报文的端口块中端口编号的动态选择。

其中，报文转换单元还可以包括：

端口编号判断组件，用于在所述报文接收单元接收到源地址为私有IP地址的报文时，判断所述报文的源端口编号是否为第一端口编号；

第一转换组件，用于在所述端口编号判断组件确定所述报文的源端口编号为第一端口编号时，直接将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第二端口编号；

第二转换组件，用于在所述端口编号判断组件确定所述报文的源端口编号不为第一端口编号时，重新在所述端口块中动态选择第三端口编号，并将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第三端口编号。

在另一实施例中，所述老化时间计时单元还可以用于在老化时间内接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则触发老化时间重新计时。老化时间计时单元还可以用于在老化时间内未接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则释放所述第二端口编号，使所述第二端口编号重新参与所述端口块中端口编号的动态选择。

如图10所示，为本发明运营级网络地址转换设备的又一实施例的结构示意图。与之前的各实施例相比，本实施例还可以包括：映射关系接收单元16和映射关系保存单元17。其中，映射关系接收单元16负责接收网络地址转换前后的私有IP地址与唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块之间的静态映射关系。映射关系保存单元17负责将接收的静态映射关系保存到静态映射关系信息，其中所述端口块为连续端口编号范围。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似的部分相互参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (18)

1.一种运营级网络地址转换方法，包括：

接收源地址为私有IP地址、源端口编号为第一端口编号的报文，并根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块；

将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文；

将所述转换后的报文转发到目的IP地址。

2.根据权利要求1所述的运营级网络地址转换方法，其中，在转换过程中动态选择第二端口编号时，在预设的老化时间内固定所述第二端口编号与所述私有IP地址及第一端口编号之间的映射关系，所述第二端口编号在所述老化时间内不参与源地址为私有IP地址的报文之外的报文的端口块中端口编号的动态选择。

3.根据权利要求2所述的运营级网络地址转换方法，其中，在接收到源地址为私有IP地址的报文时，还包括：

判断所述报文的源端口编号是否为第一端口编号，是则直接将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第二端口编号，否则重新在所述端口块中动态选择第三端口编号，并将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第三端口编号。

4.根据权利要求2或3所述的运营级网络地址转换方法，其中，如果在老化时间内接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则触发老化时间重新计时。

5.根据权利要求4所述的运营级网络地址转换方法，其中，如果在老化时间内未接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则释放所述第二端口编号，使所述第二端口编号重新参与所述端口块中端口编号的动态选择。

6.根据权利要求1所述的运营级网络地址转换方法，其中，在接收报文前，还包括：

为私有IP地址设定网络地址转换后唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块，并将形成的所述私有IP地址与所述公有IP地址和端口块之间的静态映射关系保存为静态映射关系信息，其中所述端口块为连续端口编号范围。

7.根据权利要求6所述的运营级网络地址转换方法，其中，所述端口块为固定大小的连续端口编号范围。

8.根据权利要求6或7所述的运营级网络地址转换方法，其中，所述静态映射关系信息还被保存到AAA服务器，用于单点认证和地址溯源。

9.根据权利要求1所述的运营级网络地址转换方法，其中，所述报文为TCP报文或UDP报文。

10.一种运营级网络地址转换设备，包括：

报文接收单元，用于接收源地址为私有IP地址、源端口编号为第一端口编号的报文；

映射关系查询单元，用于根据预设的IP地址的静态映射关系信息查询所述私有IP地址所唯一对应的公有IP地址和附属于所述公有IP地址的端口块；

报文转换单元，用于将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述端口块中动态选择的第二端口编号，形成转换后的报文；

报文转发单元，用于将所述转换后的报文转发到目的IP地址。

11.根据权利要求10所述的运营级网络地址转换设备，其中，还包括：

老化时间计时单元，用于在转换过程中动态选择第二端口编号时，在预设的老化时间内固定所述第二端口编号与所述私有IP地址及第一端口编号之间的映射关系，使得所述第二端口编号在所述老化时间内不参与源地址为私有IP地址的报文之外的报文的端口块中端口编号的动态选择。

12.根据权利要求11所述的运营级网络地址转换设备，其中，所述报文转换单元还包括：

端口编号判断组件，用于在所述报文接收单元接收到源地址为私有IP地址的报文时，判断所述报文的源端口编号是否为第一端口编号；

第一转换组件，用于在所述端口编号判断组件确定所述报文的源端口编号为第一端口编号时，直接将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第二端口编号；

第二转换组件，用于在所述端口编号判断组件确定所述报文的源端口编号不为第一端口编号时，重新在所述端口块中动态选择第三端口编号，并将所述报文中的源地址替换为所述公有IP地址，并将所述报文中的源端口编号替换为所述第三端口编号。

13.根据权利要求11或12所述的运营级网络地址转换设备，其中，所述老化时间计时单元还用于在老化时间内接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则触发老化时间重新计时。

14.根据权利要求13所述的运营级网络地址转换设备，其中，所述老化时间计时单元还用于在老化时间内未接收到源地址为私有IP地址、源端口编号为第一端口编号的报文，则释放所述第二端口编号，使所述第二端口编号重新参与所述端口块中端口编号的动态选择。

15.根据权利要求10所述的运营级网络地址转换设备，其中，还包括：

映射关系接收单元，用于接收网络地址转换前后的私有IP地址与唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块之间的静态映射关系信息；

映射关系保存单元，用于将接收的静态映射关系信息保存到静态映射关系信息，其中所述端口块为连续端口编号范围。

16.一种包括权利要求10～15任一所述的运营级网络地址转换设备的网络系统，还包括：

AAA服务器，用于维护包括各网络地址转换设备的静态映射关系信息，以及负责用户认证、授权和计费，记录和维护用户计费和账号信息。

17.根据权利要求16所述的网络系统，其中还包括：

网管服务器，用于为私有IP地址设定网络地址转换后唯一对应的公有IP地址和附属于所述公有IP地址的唯一端口块，所述端口块为连续端口编号范围，并将形成的所述私有IP地址与所述公有IP地址和端口块之间的静态映射关系信息上传给所述运营级网络地址转换设备和AAA服务器。

18.根据权利要求16或17所述的网络系统，其中还包括：

查询主机，用于向所述AAA服务器发起地址溯源请求；

应用服务器，用于提供实时地址反查认证的单点认证请求。

Images