CN103458060B

CN103458060B - 一种多级网络地址转换下主机标识符的传递方法及装置

Info

Publication number: CN103458060B
Application number: CN201210183015.7A
Authority: CN
Inventors: 马高峰; 范亮
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2012-06-05
Filing date: 2012-06-05
Publication date: 2018-03-02
Anticipated expiration: 2032-06-05
Also published as: CN103458060A

Abstract

本发明公开了一种多级网络地址转换下主机标识符的传递方法及装置，客户端与服务器之间的传输路径存在多级NAT时，在客户端与服务器建立连接的过程中，第一NAT设备接收到客户端的连接请求时，在连接请求中添加第一主机标识信息，并发送给第二NAT设备；第二NAT设备接收到第一NAT设备发送的连接请求时，根据第一主机标识信息生成第二主机标识信息并添加到连接请求中，发送给服务器；服务器根据连接请求中的第二主机标识信息以及会话信息对客户端进行识别。采用本发明，在地址共享的情况下，能够解决多级NAT下主机标识符的传递问题。

Description

一种多级网络地址转换下主机标识符的传递方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种多级网络地址转换下主机标识符的传递方法及装置。

背景技术

为了解决IPv4公网地址匮乏的问题，IETF(Internet Engineering Task Force，互联网工程任务组)提出了体质共享方案，即多个用户共享一个IPv4公网地址。该方案在解决地址匮乏的同时，同时也带来了不少问题，由于服务器需要使用源IPv4地址作为一个标签来识别一台主机，但是由于地址共享技术，例如NAT44，NAT64、DS-Lite等技术，使得服务器仅仅依靠IP地址很难唯一识别一台主机客户端，而导致出现了例如数据包的追踪问题，认证问题，黑名单用户等一系列的问题。

为了解决地址共享带来的问题，draft-wing-nat-reveal-option提出了HOST_ID(主机标识符)的方案，用来标识主机客户端，HOST_ID能够保持同一公网地址下的主机保持唯一性，服务器端可以通过HOST_ID与公网地址组合来识别客户端。实现HOST_ID主要有以下几种方案：

1.通过IP Option选项实现

定义一个新的IP选项，选项中包含用户的标签，地址共享设备在IP数据包中嵌入这个标签，使用这个标签能够区分共享某个地址的用户标签的内容可以包括用户的本地IPv4地址等信息。

2.通过TCP Option选项实现

定义一个新的TCP选项，HOST_ID，包含TCP用户的16位标识符。地址共享设备，例如NAT(Network Address Translation，网络地址转换)设备将会添加这个选项到TCP SYN(初始数据包)包中，服务器通过此选项以及源地址来识别用户。

3.通过IP首部的Identification字段实现

使用IP首部现有的Identification字段，设置信息用来区分共享某个IPv4地址的主机。主要为地址共享设备(例如NAT)接收到IP数据包时，重新设置这个Identification的值。

4.通过Application Header实现

在存在地址共享的情况下，在应用层的有效荷载上携带用来识别主机所需的信息。携带的信息的格式与具体的应用程序有关，例如，对于HTTP协议，当存在地址共享策略时，可以使用X-Forwarded-For(XFF)头携带原始IP地址。运行地址共享策略的设备(NAT)收到数据包时，如数据包中存在XFF头，则剥离原先的XFF头，封装这个XFF头到新的XFF头中插入到数据包中，然后发送，服务器可以根据XFF头中所包含的信息，可以得到原始客户端的地址，并进行相关的操作，如设置黑名单等。

5.通过端口设置实现

在端口设置(Port Set)方案中，地址共享设备不需要嵌入任何主机标识信息，主要通过一个算法(可以是任何端口选择算法)产生一组端口集，这组端口集中也包含收到数据包的源端口，端口集的长度由服务器设置。

6.通过HIP实现

客户端与服务器进行通信时，通过HIP(Host Identity Protocol，主机标识协议)来传递HOST_ID信息，地址共享设备对HIP的信息进行转发，实现服务器对主机的识别。

以上几种HOST_ID的实现方案，主要解决了在单级NAT的情况下，由NAT设备添加主机标识符，同时将这个标识符传递到服务器，服务器利用收到的数据包的源地址和这个主机标识符唯一的识别客户端。但是，当传输路径上存在多级NAT时(例如NAT444)，按现有方法由NAT设备进行HOST_ID的添加，当经过最后一个NAT时，会导致初始的源HOST_ID丢失等问题，具体将导致如下问题：

1.如果只在第一个NAT设备做添加HOST_ID的工作，后续NAT设备对此标识符进行透传，由于NAT设备添加的HOST_ID只能保证在当前的NAT设备下唯一，因此经过多个NAT到达服务器时，这些HOST_ID可能出现重复相同的情况，导致服务器无法有效地区分主机客户端；

2.如果NAT设备通过收到数据包的特征值(源IP，内部端口值，VLANID、Prefix6前缀)等构造HOST_ID进行添加时，则当经过多个NAT设备时，其填充的HOST_ID的值已经不能真正代表了客户端(例如只表示了上一级NAT设备)，或者说源HOST_ID的值已经丢失，从而服务器根据这些客户端进行的策略操作(如黑名单操作)时，会造成失败或误伤。

因此，在多级NAT的情况下，如何使得服务器收到的HOST_ID能够唯一的代表客户端，是现有技术中需要解决的技术问题。

发明内容

本发明解决的技术问题是提供一种多级网络地址转换下主机标识符的传递方法及装置，在地址共享的情况下，解决多级NAT下主机标识符传递问题。

为解决上述技术问题，本发明提供了一种多级网络地址转换下主机标识符的传递方法，客户端与服务器之间的传输路径存在多级网络地址转换(NAT)时，在所述客户端与所述服务器建立连接的过程中，

第一NAT设备接收到所述客户端的连接请求时，在所述连接请求中添加第一主机标识信息，并发送给第二NAT设备；

所述第二NAT设备接收到所述第一NAT设备发送的连接请求时，根据所述第一主机标识信息生成第二主机标识信息并添加到所述连接请求中，发送给所述服务器；

所述服务器根据所述连接请求中的第二主机标识信息以及会话信息对所述客户端进行识别。

进一步地，所述第一NAT设备根据所述连接请求中的特征值构造所述第一主机标识信息；

其中，所述的特征值包括如下之任意一种或多种的组合：

源IP地址，内部端口值，虚拟局域网(VLAN)ID、Prefix6前缀。

进一步地，所述第二NAT设备根据所述第一主机标识信息与所述第一NAT设备的地址，生成所述第二主机标识信息。

进一步地，所述方法还包括：

所述第一NAT设备或所述第二NAT设备还在连接请求中添加所述第一主机标识信息或所述第二主机标识信息的类型指示信息。

进一步地，所述第一主机标识信息或所述第二主机标识信息的类型，包括：

端口值；

源IPv4地址值；

端口值与源IPv4地址值；

IPv6前缀值；

或者，根据第一主机标识信息生成的第二主机标识信息。

本发明还提供了一种多级网络地址转换下主机标识符的传递装置，所述装置包括NAT设备中的主机标识符检查模块，和主机标识符添加模块，其中：

所述主机标识符检查模块用于，检查接收到的连接请求中是否包含主机标识信息；

所述主机标识符添加模块用于，若接收到的连接请求中不包含主机标识信息，则在所述连接请求中添加第一主机标识信息后，发送到下一跳；否则，根据所述连接请求中包含的第一主机标识信息生成第二主机标识信息并添加到所述连接请求中，发送给下一跳。

进一步地，所述装置还包括服务器中的主机标识符识别模块，

所述主机标识符识别模块用于，根据接收到的连接请求中的主机标识信息以及会话信息对所述客户端进行识别。

进一步地，所述主机标识符添加模块用于，根据所述连接请求中的特征值构造所述第一主机标识信息；或者，根据所述第一主机标识信息与所述第一NAT设备的地址，生成所述第二主机标识信息；

其中，所述的特征值包括以下之任意一种或多种的组合：源IP地址，内部端口值，VLAN ID、Prefix6前缀。

进一步地，所述主机标识符添加模块还用于，在所述连接请求中添加所述第一主机标识信息或所述第二主机标识信息的类型指示信息。

进一步地，所述主机标识符添加模块还用于，通过在所述连接请求中添加所述类型指示信息，指示所述第一主机标识信息或所述第二主机标识信息的如下类型：端口值；源IPv4地址值；端口值与源IPv4地址值；IPv6前缀值；或者，根据第一主机标识信息生成的第二主机标识信息。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例的HOST_ID选项的格式示意图；

图2为本发明实施例一中多级NAT下由单个特征值形成源HOST_ID的传递过程示意图；

图3为本发明实施例二中多级NAT下由多个特征值形成源HOST_ID的传递过程示意图。

具体实施方式

本实施方式提供一种多级网络地址转换下主机标识符的传递方法，采用如下方案：

NAT设备在收到连接请求时，在连接请求中添加HOST_ID；或者，根据上一跳NAT的地址和报文中HOST_ID产生新的HOST_ID，服务器收到连接请求时，根据其中的HOST_ID能够唯一标识客户端主机。

进一步地，上述方法具体包括：

在客户端与服务器建立连接的过程中，第一NAT设备接收到所述客户端的连接请求时，在所述连接请求中添加第一主机标识信息，并发送给第二NAT设备；

所述第二NAT设备接收到所述第一NAT设备的连接请求时，根据所述连接请求中的第一主机标识信息生成第二主机标识信息后，发送给所述服务器；

所述服务器根据所述连接请求中的第二主机标识信息以及会话信息(例如TCPSession)对客户端进行识别。

进一步地，所述第一NAT设备根据所述连接请求中的特征值构造所述第一主机标识信息。

其中，所述的特征值包括但不限于以下之任意一种或多种的组合：

源IP地址，内部端口值，VLAN ID、Prefix6前缀(即IPv6地址前缀)。

为了便于阐述本发明，以下将结合附图及具体实施例对本发明技术方案的实施作进一步详细描述。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

NAT设备在收到的连接请求中添加一个HOST_ID选项，作为识别连接主机的相对唯一的标识。如图1所示，此HOST_ID选项具体包括：Type(＝TBD)；Length；HOST_ID Data，此外还可以包括一类型指示(Option)字段，该Option字段的取值示例如下：

0：表示HOST_ID data的值为收到连接请求的端口值；

1：表示HOST_ID data的值为收到连接请求的源IPv4地址值；

2：表示HOST_ID data的值为连接请求的内部端口值与IPv4地址值；

3：表示HOST_ID data的值为连接请求的IPv6的前缀；

4：表示HOST_ID data的值为NAT设备根据先前收到连接请求存在的HOST_ID的值与转换后连接请求的源地址合成得到的值；

此处，Option字段定义为3位，且仅给出具体的5种类型，如果需要可以进行扩充。此Option字段的值可用于区分HOST_ID的值的类型，服务器根据此字段可以判定主机位于多级NAT后还是单机NAT后，起到辅助策略的作用。

具体地，当传输路径上存在多级NAT时，主机客户端需要与服务器端进行连接时，NAT设备收到主机的连接请求，NAT设备检查这个连接请求，如果连接请求中不存在HOST_ID选项，则NAT设备的处理过程为：提取收到的连接请求中的一个或多个特征数据(如源地址)作为HOST_ID的值生成HOST_ID选项，并将此选项添加到地址转换后的连接请求中发送；如果NAT设备检查连接请求中已经存在HOST_ID的选项值，那么NAT设备提取并保存该HOST_ID的值，根据保存的该HOST_ID的值以及转换后连接请求的源地址(即前一级NAT设备的地址)生成新的HOST_ID值(如哈希值)，NAT设备用此HOST_ID值产生一个新的HOST_ID选项，填入NAT转换后的连接请求中，并发送。该HOST_ID选项在当前NAT设备下能够唯一且相对稳定的表示连接的主机客户端，即只要主机不改变IP值，当同一主机客户端断开连接后重新发起对同一服务器的连接时，服务器仍然能得到先前代表此主机的HOST_ID。

实施例一

本实施例描述了多级NAT下由客户端连接请求中单个特征值形成的源HOST_ID值传递过程。

结合图2所示，主机A(192.168.1.3:8080)与主机B(192.168.1.3:8081)需要经过两个NAT设备与Server(1.2.3.5:1010)进行TCP连接。

如图2所示，本实施例的主机标识符传递过程如下：

1)主机A发送TCP的SYN报文，其连接请求源地址与源端口为(192.168.1.3:8080)，目标地址为Server的IP地址与端口值。同样，主机B的SYN报文为(192.168.1.3:80811.2.3.5:1010)；

2)当A的SYN包到达NAT11设备后，NAT11设备首先检查这个连接请求，没有发现HOST_ID选项，则NAT11设备将SYN包的源地址192.168.1.3进行保存，同时进行NAT转换，主要包括将源连接请求的源地址和端口值翻译，翻译后得到的连接请求源地址和端口变为(10.1.2.3:7070)，目的地址和端口保持不变，A的SYN报文变为(10.1.2.3:70701.2.3.5:1010)同时NAT11设备使用保存的192.168.1.3作为HOST_ID的值H11＝192.168.1.3生成HOST_ID选项，并把这个选项添加到新生成的连接请求中，此连接请求被发送到NAT2设备上；

B的SYN包到达NAT12后，NAT12进行的操作与NAT11相同，只是转换后的连接请求变为(10.3.4.5:70701.2.3.5:1010)，其HOST_ID的值H12＝192.168.1.3；并发送此连接请求；

3)NAT2设备收到A的SYN包后，首先检查这个连接请求，发现存在HOST_ID选项，且值为192.168.1.3，则保存这个H11的值，同时一并保存收到连接请求中源IP地址10.1.2.3。然后进行NAT转换，将连接请求的源地址和端口值翻译，翻译后得到的连接请求源地址和端口变为(1.2.3.4:6060)，目的地址和端口保持不变，同时NAT1设备使用先前保存的此连接请求的H11与源地址(10.1.2.3)合成新的HOST_ID，H2A＝Hash(H11+10.1.2.3)；NAT2设备用H2A生成HOST_ID选项，并把这个选项添加到新生成的连接请求中，此连接请求被发送到Server中；

同样NAT2对于B的SYN处理后变为(1.2.3.4:6061 1.2.3.5:1010)，而HOST_ID的值H2B＝Hash(H12+10.3.4.5)，此连接请求发送到Server；

4)Server服务器收到连接请求后，解封装这些连接请求，将会话信息(如TCPSession)与收到HOST_ID的选项中的值相关联，从而识别主机A与B。

而依据现有技术，当第一级NAT(NAT11和NAT12)下主机A和主机B的连接请求到达次级NAT(NAT2)后，次级NAT将以第一级NAT设备的地址作为HOST_ID，由于两个主机经过第一级NAT后源地址相同，因而将使得这两个主机的连接请求经过次级NAT后HOST_ID相同，从而造成服务器无法区别这两个主机A和主机B。

实施例二

本实施例描述了多级NAT下由客户端连接请求中多个特征值形成的源HOST_ID值传递过程。

结合图3所示，主机A(192.168.1.3:8080)其中VLAN ID为V1与主机B(192.168.1.3:8081)其中VLAN ID为V2需要经过两个NAT设备与Server(1.2.3.5:1010)进行TCP连接，其主机标识符传递过程如下：

1)主机A发送TCP的SYN报文，其连接请求源地址与源端口为(192.168.1.3:8080)，其VLAN ID为V1目标地址为Server的IP地址与端口值。同样，主机B的SYN报文为(192.168.1.3:8081 1.2.3.5:1010)，其VLAN ID为V2；

2)当A的SYN包到达NAT11设备后，NAT11设备首先检查这个连接请求，没有发现HOST_ID选项，则NAT11设备将SYN包的源地址192.168.1.3与VLAN ID号进行保存，同时进行NAT转换，主要包括将连接请求的源地址和端口值翻译，翻译后得到的连接请求源地址和端口变为(10.1.2.3:7070)，目的地址和端口保持不变，A的SYN报文变为(10.1.2.3:70701.2.3.5:1010)同时NAT11设备使用保存的192.168.1.3与VLAN ID号作为HOST_ID的值H11＝(192.168.1.3+V1)生成HOST_ID选项，并把这个选项添加到新生成的连接请求中，此连接请求被发送到NAT2设备上；

B的SYN包到达NAT12后，NAT12进行的操作与NAT11相同，只是转换后的连接请求变为(10.3.4.5:7070 1.2.3.5:1010)，其HOST_ID的值H12＝(192.168.1+V2)，并发送此连接请求；

3)NAT2设备收到A的SYN包后，首先检查这个连接请求，发现存在HOST_ID选项，且值为192.168.1.3，则保存这个H11的值，同时一并保存收到连接请求中源IP地址10.1.2.3。然后进行NAT转换，将源连接请求的源地址和端口值翻译，翻译后得到的连接请求源地址和端口变为(1.2.3.4:6060)，目的地址和端口保持不变，同时NAT1设备使用先前保存的此连接请求的H11与源地址(10.1.2.3)合成新的HOST_ID，H2A＝Hash(H11+10.1.2.3)；NAT2设备用H2A生成HOST_ID选项，并把这个选项添加到新生成的连接请求中，此连接请求被发送到Server中；

4)Server服务器收到连接请求后，解封装这些连接请求，将会话信息(如TCPSession)与收到HOST_ID的选项中的值相关联，从而识别主机A与主机B。

此外，本发明实施例中还提供了一种多级网络地址转换下主机标识符的传递装置，所述装置包括NAT设备中的主机标识符检查模块，和主机标识符添加模块，其中：

以上仅为本发明的优选实施案例而已，并不用于限制本发明，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

Claims

1.一种多级网络地址转换下主机标识符的传递方法，其特征在于，在地址共享的情况下，客户端与服务器之间的传输路径存在多级网络地址转换(NAT)时，在所述客户端与所述服务器建立连接的过程中，

所述第二NAT设备接收到所述第一NAT设备发送的连接请求时，根据所述第一主机标识信息生成第二主机标识信息并添加到所述连接请求中，发送给所述服务器；具体包括：检查连接请求中已经存在HOST_ID的选项值，那么提取并保存该HOST_ID的值，根据保存的该HOST_ID的值以及连接请求的源地址生成新的HOST_ID值，NAT设备用此HOST_ID值产生一个新的HOST_ID选项，填入NAT转换后的连接请求中，并发送；

2.如权利要求1所述的方法，其特征在于，

所述第一NAT设备根据所述连接请求中的特征值构造所述第一主机标识信息；

其中，所述的特征值包括如下之任意一种或多种的组合：

源IP地址，内部端口值，虚拟局域网(VLAN)ID、IPv6地址前缀。

3.如权利要求1或2所述的方法，其特征在于，

所述第二NAT设备根据所述第一主机标识信息与所述第一NAT设备的地址，生成所述第二主机标识信息。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

5.如权利要求4所述的方法，其特征在于，

所述第一主机标识信息或所述第二主机标识信息的类型，包括：

端口值；

源IPv4地址值；

端口值与源IPv4地址值；

IPv6前缀值；

或者，根据第一主机标识信息生成的第二主机标识信息。

6.一种多级网络地址转换下主机标识符的传递装置，其特征在于，在地址共享的情况下，所述装置包括NAT设备中的主机标识符检查模块，和主机标识符添加模块，其中：

所述主机标识符添加模块用于，若接收到的连接请求中不包含主机标识信息，则在所述连接请求中添加第一主机标识信息后，发送到下一跳；否则，根据所述连接请求中包含的第一主机标识信息生成第二主机标识信息并添加到所述连接请求中，发送给下一跳；具体包括：检查连接请求中已经存在HOST_ID的选项值，那么提取并保存该HOST_ID的值，根据保存的该HOST_ID的值以及连接请求的源地址生成新的HOST_ID值，NAT设备用此HOST_ID值产生一个新的HOST_ID选项，填入NAT转换后的连接请求中，并发送。

7.如权利要求6所述的装置，其特征在于，所述装置还包括服务器中的主机标识符识别模块，

所述主机标识符识别模块用于，根据接收到的连接请求中的主机标识信息以及会话信息对客户端进行识别。

8.如权利要求6或7所述的装置，其特征在于，

所述主机标识符添加模块用于，根据所述连接请求中的特征值构造所述第一主机标识信息；或者，根据所述第一主机标识信息与第一NAT设备的地址，生成所述第二主机标识信息；

其中，所述的特征值包括以下之任意一种或多种的组合：源IP地址，内部端口值，VLANID、IPv6地址前缀。

9.如权利要求8所述的装置，其特征在于，

所述主机标识符添加模块还用于，在所述连接请求中添加所述第一主机标识信息或所述第二主机标识信息的类型指示信息。

10.如权利要求9所述的装置，其特征在于，

所述主机标识符添加模块还用于，通过在所述连接请求中添加所述类型指示信息，指示所述第一主机标识信息或所述第二主机标识信息的如下类型：

端口值；

源IPv4地址值；

端口值与源IPv4地址值；

IPv6前缀值；

或者，根据第一主机标识信息生成的第二主机标识信息。