CN104683493A - 穿透网络地址转换的方法与连线中介系统 - Google Patents

Abstract

本发明提供一种穿透网络地址转换的方法。节点自本地通信端口分別传送第一、第二与第三检测信息至第一、第二与第三应答服务器，以自应答服务器接收第一、第二与第三应答信息，应答信息分別包含第一、第二与第三近端外部通信端口号，并依据近端外部通信端口号，判断近端外部通信端口号规则。本发明亦提供一种连线中介系统，其用以辅助网络上的某第一节点穿透网络地址转换且包含至少三个应答服务器。应答服务器用以自第一节点接收检测信息，且用以依据检测信息，传送包含外部通信端口号的应答信息至第一节点。

Description

穿透网络地址转换的方法与连线中介系统

技术领域

本发明是关于网络地址转换(network address translation，简称NAT)，特别是关于一种穿透网络地址转换的方法与使该方法得以实现的一种连线中介系统。

背景技术

网络地址转换的普及肇因于网际网络协议第四版(Internet Protocol version4，简称IPv4)中寻址空间不足与分配不均，而需将多台主机于区域网络中置于路由器(router)之后，连外时共享路由器的公共(public)网际网络协议地址(IP地址)。概念上，网络地址转换可分为全锥型(full-cone)、址限锥型(address-restricted-cone)、端口限锥型(port-restricted-cone)和对称型(symmetric)四种，其中对称型在区域网络内的主机使用同样的一组私有(private)IP地址和通信端口发送封包给相异的区域网络外的主机时，也会在路由器给予不同的一组公共IP地址和通信端口。

一般而言区域网络内的主机无权控制网关器行为，若须穿越NAT防火墙进行点对点(peer-to-peer)通信，最重要的就是要能准确预测自身NAT防火墙的对外连线端口号分配规则并告知对方。现有的做法需执行STUN(SessionTraversal Utilities for NAT)协议。然而STUN的算法复杂，且没有办法应对常见于企业网络的对称型网络地址转换。

发明内容

鉴于上述问题，本发明旨在提供一种穿透网络地址转换的方法、用以使该方法得以实现的一种连线中介系统，可减少穿透所需前置时间，且不受限于网络地址转换的类型。

本发明提供一种穿透网络地址转换的方法，其步骤包含：自本地通信端口分別传送第一、第二与第三检测信息至第一、第二与第三应答服务器，以自应答服务器接收第一、第二与第三应答信息，第一、第二与第三应答信息分別包含第一、第二与第三近端外部通信端口号；以及依据第一、第二与第三近端外部通信端口号，判断近端外部通信端口号规则。

本发明提供一种连线中介系统，其用以辅助网络上的某第一节点穿透网络地址转换且包含至少三台应答服务器。应答服务器用以自第一节点接收检测信息，且用以依据检测信息，传送包含外部通信端口号的应答信息至第一节点。在一实施例中，本发明提供的连线中介系统更包含中介服务器，其用以自第一节点接收第一外部通信端口号规则和某第二节点的代码，且用以将第二节点的第二外部通信端口号规则和网络地址传送至第一节点。

综上所述，藉固定本地通信端口号并传送检测信息至至少三个外部主机，即使近端路由器采用对称型网络地址转换，本发明也可一次性地判断出规则供远端节点推算往后近端外部通信端口号的迁移。当两个网络节点中至少一者受网络地址转换影响时，本发明可提高彼此成功穿洞(hole punching)建立连线的机率。

以上关于本发明内容及以下关于实施方式的说明用以示范与阐明本发明的精神与原理，并提供对本发明的申请专利范围更进一步的解释。

附图说明

图1依据本发明一实施例节点与应答服务器的互动图；

图2依据本发明一实施例第一节点、第二节点与中介服务器的互动图。

其中，附图标记：

10  节点

11  第一节点

12  第二节点

21  第一应答服务器

22  第二应答服务器

23  第三应答服务器

24  中介服务器

S101－S244  步骤

具体实施方式

以下在实施方式中叙述本发明的详细特征，其内容足以使任何熟习相关技艺者了解本发明的技术内容并据以实施，且依据本说明书所揭露的内容、申请专利范围及图式，任何熟习相关技艺者可轻易地理解本发明相关的目的及优点。以下实施例进一步说明本发明的诸面向，但非以任何面向限制本发明的范畴。

请参见图1。图1依据本发明一实施例穿透网络地址转换的部分互动图，特別是节点10判断其近端外部通信端口号规则的阶段。节点10可能在私有网络上位于网关(gateway)或路由器之后，因此受某类型的网络地址转换影响，可以主动地(藉助于路由器)连外但无法简单得知自身在公共网络上如何被存取。第一应答服务器21、第二应答服务器22和第三应答服务器23位于公共网络，具有公共IP地址，可被任何节点存取；它们可以是伺服数组中分离的实体或虚拟机器，也可以实作为同一台电脑的不同程序(process)，在该电脑的不同通信端口听取封包。

如图1所示，于步骤S101至S103中，节点10自某本地通信端口P分別传送检测信息至第一应答服务器21、第二应答服务器22和第三应答服务器23。前述路由器会将这些检测信息的来源字段中节点10的私有IP地址和端口号(如192.168.123.123:2013)改成路由器对外在公共网络上的近端IP地址和某个端口号。于步骤S210中，第一应答服务器21将(被路由器修改过的)第一检测信息的来源字段中的端口号填于第一应答信息中回传给路由器，路由器再将第一应答信息转发给节点10。如此节点10可得知路由器外传第一检测信息时所使用的第一近端外部通信端口号。于步骤S220和S230中，第二应答服务器22和第三应答服务器23也执行了类似的操作。需注意的是，习知的做法是由不同的本地通信端口对同一台应答服务器发送多个检测信息。本发明利用相同的本地通信端口P传送检测信息至不同的应答服务器。

于步骤S105中，节点10依据于步骤S210至S230中接收到的三笔端口号判断近端外部通信端口号规则。假设第一应答服务器21、第二应答服务器22和第三应答服务器23具有不同的IP地址，若三笔端口号相同，则知路由器采用的并非对称型网络地址转换，且端口号规则为固定端口号；若三笔端口号不同，则通常对称型网络地址转换会使之呈等差数列。举例而言，路由器配发的第一近端外部通信端口号可能是28500，而第二和第三端口号分別是28502和28504，则知路由器会以2为间隔跳号。在一较佳实施例中，节点10在短时间内连续执行步骤S101至S103，以避免对应节点10的主机的其它程序或私有网络中其它节点在步骤S101和S102之间或步骤S102和S103之间抢占了端口号，造成节点10于步骤S105中误判。举例而言，若第一和第二端口号分别是28500和28502，但28504为其它程序所用，使得节点10于步骤S230中接收到的第三近端外部通信端口号是28506，则在不假设端口号是等差数列的实施例中，节点10可能会错认为路由器跳号的间隔本身是等差或等比数列，如本例中此间隔可以是「2、4、6…」或「2、4、8…」，或路由器采随机数跳号。

请参见图2。图2依据本发明一实施例穿透网络地址转换的部分互动图，特别是第一节点11与第二节点12彼此建立连线的阶段。第二节点12可以是网络监视摄影机(IP camera)、网络视频录像机(network video recorder)、网络视频服务器(network video server)、影像管理软件(video managementsoftware，简称VMS)等等，或任何主从(client-server)架构具伺服角色、等待第一节点11连入的装置，因此需不断重复步骤S120对中介服务器24传送保活信息(keepalive)，以便中介服务器能在需要的时候(例如后面会叙述到的步骤S242)通过该保活信息的信道传送信息给该第二节点。重复步骤S120的周期取决于节点12所在私有网络的路由器防火墙关闭未使用端口号的时限。保活信息中可以包含任何必要的有关于连线建立的信息，例如第二节点12向中介服务器24提供某代码以资识别。第一节点11可以是行动通信网络上的手机或平板电脑，或任何的家用或企业终端。第一节点11和第二节点12事先分别以如图1中的流程获知自己的近端外部通信端口号规则。第一节点11判断出的称为第一规则，第二节点12的则称为第二规则。当然，第一节点11和第二节点不一定要使用完全相同的一组应答服务器，而中介服务器24可以和这些应答服务器实作在同一实体或虚拟机器上，位于同一丛集(cluster)或云端架构，或独立存在于公共网络。甚至中介服务器24中应对步骤S120的功能亦可抽离在不同的程序、装置和网络连结上。

于步骤S111中，第一节点11传送第一规则和某个用以辨识第二节点12的代码至中介服务器24。这个代码不一定和前述保活信息中的代码完全相同，但至少皆代表第二节点12。由于步骤S120的不停执行确保了中介服务器24与第二节点12间连线的畅通，中介服务器24于步骤S111中自封包标头(header)得知第一节点11的对外路由器网络地址和参考端口号信息以及自封包载荷(payload)中得知第一节点11的第一外部通信端口号规则和所欲连线的是第二节点12后，可于步骤S242中转发第一规则和第一节点的网络地址给第二节点12。请注意这里所谓的网络地址可以同时包含第一节点11的近端外部IP地址和某个参考端口号，也可以只包含前者。参考端口号的目的在于让第二节点12套用第一规则时可以有个依归，例如第二节点12应于步骤S123中在第一节点11执行步骤S111时的近端外部通信端口号附近尝试连线。若第一节点11和第二节点12事先即约定了参考端口号，则中介服务器24不需于步骤S242中再告知第二节点12。

于步骤S121中，第二节点12向中介服务器24表示愿意与第一节点11连线。具体而言，中介服务器24以第二节点12的回复信息中的一第一节点代码辨识其欲接受的连线端为第一节点11。此时尚无法保证第一节点11和第二节点12间能成功建立直接连线，但中介服务器24可分别径与第一节点11和第二节点12沟通。于步骤S244中，中介服务器24将第二规则和第二节点的网络地址转发给第一节点11。同样地，这里所谓的网络地址可以同时包含第二节点12的近端外部IP地址和参考端口号，也可以只包含前者。值得注意的是，步骤S111和S121对应，都是传送自身的外部通信端口号规则和远端节点的代码，而步骤S242和S244对应，都是接收远端节点的规则和网络地址。对于第一节点11和第二节点12来说这些步骤只是掉换了顺序，实务上可以同一份程序代码或同一套硬体实现；换句话说，在另外一个场合，可以是第一节点11向中介服务器24传送保活信息，而第二节点12开始连线至第一节点11的前置步骤。

至此，第一节点11和第二节点12分别握有对方的连线信息，也就是对方的近端外部通信端口号规则和网络地址，因此可分別于步骤S113和S123中尝试建立与对方的连线。在对称型网络地址转换中，一般而言步骤S113和S123其中一个会失败，但此失败会使另一个成功。举例来说，于步骤S242后，第二节点12即可于步骤S123中依据第一规则和第一节点11的网络地址向第一节点11传送使用者数据报协议(User Datagram Protocol，简称UDP)封包。此时第一节点11可能尚未于步骤S244中收到第二节点12的信息并据以执行S113，第一节点11的近端路由器认为第二节点12的封包不请自来而径自丢弃。然而第一节点11于步骤S113中向第二节点12传送UDP封包时，第二节点12的近端路由器会认为第一节点11的封包回应第二节点12于步骤S123中所传送者而放行，从而促成第一节点11与第二节点12的首次成功接触。

综上所述，本发明的连线中介系统中应答服务器可供任一网络节点轻易判断出其连外所需假手的路由器或网关的外部通信端口号规则。在实体网络或对外路由状况不变时，此流程为一次性，不需反复进行，执行此流程的节点可将所检测到的外部通信端口号规则储存起来以便之后连线使用。执行此流程的节点可周期性地检测实体网络或对外路由状况，并在状况有改变时(例如路由器或无线基站重开机后)重新执行此流程，以得到最新的外部通信端口号规则。连线中介系统更包含中介服务器时，节点可向其保活，和通过中介服务器，在简单有效率的穿洞步骤后，与远端节点建立起直接连线。

Claims (7)

1.一种穿透网络地址转换的方法，其特征在于，包含：

自一本地通信端口传送一第一检测信息至一第一应答服务器，以自该第一应答服务器接收一第一应答信息，该第一应答信息包含一第一近端外部通信端口号；

自该本地通信端口传送一第二检测信息至一第二应答服务器，以自该第二应答服务器接收一第二应答信息，该第二应答信息包含一第二近端外部通信端口号；

自该本地通信端口传送一第三检测信息至一第三应答服务器，以自该第三应答服务器接收一第三应答信息，该第三应答信息包含一第三近端外部通信端口号；以及

依据该第一近端外部通信端口号、该第二近端外部通信端口号与该第三近端外部通信端口号，判断一近端外部通信端口号规则。

2.如权利要求1所述穿透网络地址转换的方法，其特征在于，更包含：

传送该近端外部通信端口号规则和一远端节点的一代码至一中介服务器；以及

自该中介服务器接收该远端节点的一远端外部通信端口号规则和该远端节点的一网络地址。

3.如权利要求2所述穿透网络地址转换的方法，其特征在于，更包含周期性地传送一保活信息至该中介服务器。

4.如权利要求2所述穿透网络地址转换的方法，其特征在于，更包含依据该远端外部通信端口号规则和该网络地址，建立与该远端节点的连线。

5.一种连线中介系统，其特征在于，用以辅助一网络上的一第一节点穿透网络地址转换，该连线中介系统包含：

至少三个应答服务器，分別用以自该第一节点接收一检测信息，且用以依据该检测信息，传送一应答信息至该第一节点，该应答信息包含一外部通信端口号。

6.如权利要求5所述的连线中介系统，其特征在于，更包含：

一中介服务器，用以自该第一节点接收一第一外部通信端口号规则和一第二节点的一代码，且用以将该第二节点的一第二外部通信端口号规则和该第二节点的一网络地址传送至该第一节点。

7.如权利要求6所述的连线中介系统，其特征在于，该中介服务器更用以周期性地自该第二节点接收一保活信息。