CN106357836B - 一种连接建立方法和装置 - Google Patents

Abstract

本发明提供一种连接建立方法和装置，该方法包括：在接收到连接建立报文时，若分配资源池内没有可用的NAT资源，则从预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。通过本发明的技术方案，可以保证用户关键业务的正常使用，提高用户使用体验，防止滥用NAT资源。

Description

一种连接建立方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种连接建立方法和装置。

背景技术

NAT(Network Address Translation，网络地址转换)是将IP报文的报文头中IP地址转换为另一个IP地址的过程，用于解决IP地址不足的问题。在实际应用中，NAT可以实现内部网络用户访问外部公共网络的功能，也可以允许外部公共网络访问部分内部网络资源(如内部服务器)。由于在外部公共网络上显示的是NAT转换后的公网IP地址，外部公共网络不知道内部网络用户/内部服务器的IP地址，因此NAT功能还可以保证内部网络用户/内部服务器的安全。

NAT配置方式可以包括动态配置方式和静态配置方式。在静态配置方式中，私网IP地址与公网IP地址一一对应。在动态配置方式中，多个私网IP地址可以对应一个公网IP地址，这多个私网IP地址对应该公网IP地址的多个端口，从而节约公网IP地址。无论采用哪种NAT配置方式，NAT资源的数量都是有限的。例如，在静态配置方式中，假设公网地址池内有10个公网IP地址，则NAT资源的数量为10个。在动态配置方式中，假设公网地址池内有10个公网IP地址，每个公网IP地址对应10个端口，则NAT资源的数量为100个。

由于NAT资源的数量有限，当NAT资源被耗尽时，则无法建立新连接，导致新连接的业务中断。例如，当用户开启P2P软件时，该P2P软件会建立大量连接，这些连接会迅速消耗NAT资源，待NAT资源被耗尽时，由于没有NAT资源，会导致新连接(P2P连接或者其它应用类型的连接)中断，连接建立失败。

发明内容

本发明提供一种连接建立方法，所述方法包括：

在接收到连接建立报文时，若预先配置的分配资源池内没有可用的网络地址转换NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；

若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。

本发明提供一种连接建立装置，所述装置包括：

建立模块，用于在接收到连接建立报文时，若预先配置的分配资源池内没有可用的网络地址转换NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

处理模块，用于在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。

基于上述技术方案，本发明实施例中，当NAT资源被耗尽时，可以优先保证高优先级的应用类型对应的连接被正常建立，为该连接分配NAT资源，保证用户关键业务的正常使用，提高用户使用体验，防止单个用户或者单个IP滥用NAT资源。而且，在接收到连接建立报文后，若未识别出其应用类型，由于此时不知道该连接建立报文对应的优先级，因此，可以先从预留资源池内选择一个可用的NAT资源，并利用该NAT资源建立连接，而不是直接丢弃该连接建立报文，从而避免连接无法建立的问题。待识别出该连接建立报文对应的应用类型后，就可以基于该应用类型对应的优先级去释放更低优先级的连接。

附图说明

为了更加清楚地说明本发明实施例或者现有技术中的技术方案，下面将对本发明实施例或者现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本发明一种实施方式中的应用场景示意图；

图2是本发明一种实施方式中的连接建立方法的流程图；

图3是本发明一种实施方式中的NAT设备的硬件结构图；

图4是本发明一种实施方式中的连接建立装置的结构图。

具体实施方式

在本发明使用的术语仅仅是出于描述特定实施例的目的，而非限制本发明。本发明和权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本发明可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本发明范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本发明实施例中提出一种连接建立方法，该方法可以应用于NAT设备上。以图1为本发明实施例的应用场景示意图，NAT设备可以为一个独立设备，并部署在出口路由器与防火墙设备之间，NAT设备也可以作为一个功能模块，并部署在出口路由器或者防火墙设备上。为了方便描述，图1中以NAT设备部署在防火墙设备上为例进行说明，即由防火墙设备执行本发明实施例的技术方案。

NAT设备上配置有多个NAT资源，这些NAT资源可以是公网IP地址，如公网IP地址1-公网IP地址100等100个NAT资源。这些NAT资源也可以是公网IP地址+端口，如公网IP地址可以为公网IP地址1-公网IP地址10，端口可以为端口1-端口10，这些公网IP地址和端口可以组合成100个NAT资源。

在一个例子中，可以在NAT设备上预先配置分配资源池和预留资源池，并将部分NAT资源分配到分配资源池内，并将剩余的NAT资源分配到预留资源池内。其中，分配到预留资源池内的NAT资源的数量可以小于分配到分配资源池内的NAT资源的数量。例如，可以将公网IP地址1-公网IP地址90分配到分配资源池内，并将公网IP地址91-公网IP地址100分配到预留资源池内。

在一个例子中，由于不同应用的重要性不同，因此可以为不同的应用类型配置不同的优先级。例如，邮箱应用的优先级为100，聊天应用的优先级为50，P2P应用的优先级为10。优先级的数值越大，则表示优先级越高。当然，上述描述只是给出了应用类型的几个示例，在实际应用中，还可以包括其它应用类型，而且，各应用类型的优先级也可以根据实际需要进行配置，对此不做限制。

参见图2所示，为连接建立方法的流程图，该方法可以包括以下步骤：

步骤201，在接收到连接建立报文时，若分配资源池内没有可用的NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用该NAT资源为该连接建立报文建立第一连接。

步骤202，在识别出第一连接对应的应用类型后，确定该应用类型的优先级。

步骤203，若该优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给该第二连接的NAT资源。

针对步骤201，在一个例子中，当内部网络中的用户设备需要访问公共网络的服务器时，会发送针对同一数据流的多个报文，即五元组信息(如源IP地址、目的IP地址、源端口、目的端口、协议类型等)相同的多个报文，将针对同一数据流的首个报文称为连接建立报文。在接收到连接建立报文之后，由于该连接建立报文是针对同一数据流的首个报文，之前还没有为该数据流建立过连接，因此，可以采用后续步骤，确定为该数据流建立连接或者不建立连接。

在一个例子中，在接收到连接建立报文时，若在分配资源池内，当前有可用的NAT资源，则可以直接从分配资源池内选择一个可用的NAT资源，并利用该选择的NAT资源为该连接建立报文建立连接。若在分配资源池内，当前没有可用的NAT资源，则可以从预先配置的预留资源池内选择一个可用的NAT资源，并利用该NAT资源为该连接建立报文建立第一连接。

在一个例子中，在从预先配置的预留资源池内选择一个可用的NAT资源之前，还可以判断是否识别出该连接建立报文对应的应用类型；如果没有识别出应用类型，则可以执行从预先配置的预留资源池内选择一个可用的NAT资源的过程，并可以利用该NAT资源为该连接建立报文建立第一连接。

其中，针对同一数据流的多个报文，可能基于数据流的首个报文(即连接建立报文)就识别出对应的应用类型，如邮箱应用或者P2P应用等，也可能无法基于数据流的首个报文识别出对应的应用类型，而是需要收到数据流的多个报文后，才能够识别出对应的应用类型。例如，若可以从数据流的首个报文中解析出与应用类型有关的字段，则可以基于该字段分析出应用类型，即基于数据流的首个报文识别出对应的应用类型。又例如，在无法从数据流的首个报文中解析出与应用类型有关的字段时，可以从数据流的后续报文(如第三个报文)中解析出与应用类型有关的字段，并可以基于该字段分析出应用类型，即基于第三个报文识别出对应的应用类型。又例如，在无法从数据流的首个报文中解析出与应用类型有关的字段时，还可以基于数据流的多个报文分析出应用类型，例如第三个报文携带内容A，第五个报文携带内容B时，表示应用类型为应用类型A。当然，上述过程只是给出了识别应用类型的几个示例，对于识别应用类型的方式，可以根据实际需要进行选择，对此识别应用类型的方式不做限制。

在一个例子中，若没有识别出该连接建立报文对应的应用类型，则可以从预留资源池内选择一个可用的NAT资源，并利用该NAT资源为该连接建立报文建立第一连接。若识别出该连接建立报文对应的应用类型，则可以确定该应用类型的优先级；若该优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第三连接，并回收分配给第三连接的NAT资源，并利用回收的NAT资源为该连接建立报文建立连接；若该优先级是当前已经建立的所有连接中的最低优先级，则拒绝为该连接建立报文建立连接。

例如，若识别出连接建立报文对应的应用类型为邮箱应用，则可以确定该邮箱应用的优先级为100，假设当前存在优先级为10的P2P连接，则邮箱应用的优先级100不是当前已经建立的所有连接中的最低优先级，选取一个优先级为10(最低优先级)的P2P连接作为第三连接，断开该第三连接，并回收分配给该第三连接的NAT资源，并利用该NAT资源为该连接建立报文建立连接。若识别出连接建立报文对应的应用类型为P2P应用，则可以确定该P2P应用的优先级为10，且P2P应用的优先级10是当前已经建立的所有连接中的最低优先级，因此拒绝为该连接建立报文建立连接，即不再为P2P应用建立连接。

在步骤201中，针对利用NAT资源为连接建立报文建立连接的过程，可以从连接建立报文中解析出五元组信息，如源IP地址、目的IP地址、源端口、目的端口、协议类型等，并创建一个会话，在该会话中记录会话标识、该五元组信息、该NAT资源。利用该NAT资源对五元组信息中的源IP地址进行NAT转换(NAT资源是公网IP地址的情况)，或者利用该NAT资源对五元组信息中的源IP地址和源端口进行NAT转换(NAT资源是公网IP地址+端口的情况)，并记录NAT转换后的五元组信息。若接收到针对该五元组信息(转换前的五元组信息)的后续报文，由于已经建立连接，因此不再为该五元组信息的后续报文建立连接，直接利用该会话的内容进行处理，具体处理不再赘述。

针对步骤202和步骤203，在一个例子中，针对同一数据流的多个报文，若无法基于数据流的首个报文识别出对应的应用类型，而是需要收到数据流的多个报文后，才能够识别出对应的应用类型，则在从预留资源池内选择一个可用的NAT资源，并利用该NAT资源为该连接建立报文建立第一连接之后，可以在收到该数据流的多个报文，并识别出对应的应用类型后，通过该多个报文的五元组信息，查询到对应的第一连接，并将该应用类型确定为该第一连接对应的应用类型。之后，确定该应用类型的优先级。若该优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给该第二连接的NAT资源。若该优先级是当前已经建立的所有连接中的最低优先级，则断开第一连接，并回收分配给第一连接的NAT资源。

例如，若识别出第一连接对应的应用类型为邮箱应用，则可以确定邮箱应用的优先级为100，假设当前存在优先级为10的P2P连接，则邮箱应用的优先级100不是当前已经建立的所有连接中的最低优先级，选取一个优先级为10(最低优先级)的P2P连接作为第二连接，断开该第二连接，并回收分配给该第二连接的NAT资源。若识别出第一连接对应的应用类型为P2P应用，则可以确定P2P应用的优先级为10，且P2P应用的优先级10是当前已经建立的所有连接中的最低优先级，因此断开第一连接，并回收分配给第一连接的NAT资源。

在一个例子中，在从预留资源池内选择一个可用的NAT资源，并利用该NAT资源为连接建立报文建立第一连接之后，为了避免长时间未识别出第一连接对应的应用类型，导致预留资源池内的NAT资源被长时间占用等问题，则在利用NAT资源为连接建立报文建立第一连接之后，还可以为该第一连接设置老化定时器，若在预设时间内(即老化定时器超时时)，未识别出该第一连接对应的应用类型，则可以直接断开第一连接，并回收分配给第一连接的NAT资源。若在预设时间内，识别出该第一连接对应的应用类型，则执行“确定该应用类型的优先级，若该优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给该第二连接的NAT资源，若该优先级是当前已经建立的所有连接中的最低优先级，则断开第一连接，并回收分配给第一连接的NAT资源”的过程。或者，若接收到针对该第一连接的报文的数量达到预设第一数量时，未识别出该第一连接对应的应用类型，则可以直接断开第一连接，并回收分配给第一连接的NAT资源。若接收到针对该第一连接的报文的数量未达到预设第一数量时，就已经识别出该第一连接对应的应用类型，则执行“确定该应用类型的优先级，若该优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给该第二连接的NAT资源，若该优先级是当前已经建立的所有连接中的最低优先级，则断开第一连接，并回收分配给第一连接的NAT资源”的过程。

其中，由于针对同一数据流会发送多个报文，而这多个报文都是针对同一连接的多个报文。因此，可以接收到针对第一连接的多个报文，并统计出针对该第一连接的报文的数量，继而判断该数量是否达到预设第一数量。

在一个例子中，在每次回收NAT资源之后，还可以判断预留资源池内的可用的NAT资源的数量是否达到预设第二数量(即预留资源池内初始配置的NAT资源的数量，如10个)。如果否，则可以将回收的NAT资源分配到该预留资源池内，作为该预留资源池内的可用的NAT资源；如果是，则可以将回收的NAT资源分配到该分配资源池内，作为该分配资源池内的可用的NAT资源。

基于上述技术方案，本发明实施例中，当NAT资源被耗尽时，可以优先保证高优先级的应用类型对应的连接被正常建立，为该连接分配NAT资源，保证用户关键业务的正常使用，提高用户使用体验，防止单个用户或者单个IP滥用NAT资源。而且，在接收到连接建立报文后，若未识别出其应用类型，由于此时不知道该连接建立报文对应的优先级，因此，可以先从预留资源池内选择一个可用的NAT资源，并利用该NAT资源建立连接，而不是直接丢弃该连接建立报文，避免连接无法建立的问题。待识别出该连接建立报文对应的应用类型后，就可以基于该应用类型对应的优先级去释放更低优先级的连接。

以下结合一个具体应用场景，对本发明实施例的上述过程进行详细说明。

步骤1、在接收到连接建立报文时，则判断分配资源池内是否有可用的NAT资源。如果有，则执行步骤2；如果没有，则执行步骤3。

步骤2、直接从分配资源池内选择一个可用的NAT资源，并利用该选择的NAT资源为该连接建立报文建立连接。本步骤2之后，结束流程。

步骤3、判断是否识别出该连接建立报文对应的应用类型。如果未识别出应用类型，则执行步骤4；如果识别出应用类型，则执行步骤8。

步骤4、从预先配置的预留资源池内选择一个可用的NAT资源，并利用该NAT资源为该连接建立报文建立第一连接。本步骤4之后，执行步骤5。

步骤5，在识别出第一连接对应的应用类型后，确定该应用类型的优先级。若该优先级不是当前已经建立的所有连接中的最低优先级，则执行步骤6；若该优先级是当前已经建立的所有连接中的最低优先级，则执行步骤7。

在一个例子中，在步骤4之后，为了避免长时间未识别出第一连接对应的应用类型，导致预留资源池内的NAT资源被长时间占用等问题，则在利用NAT资源为连接建立报文建立第一连接之后，还可以为该第一连接设置老化定时器，若在预设时间内(即老化定时器超时时)，未识别出该第一连接对应的应用类型，则可以直接断开第一连接，并回收分配给第一连接的NAT资源。若在预设时间内，识别出该第一连接对应的应用类型，则执行步骤5以及后续步骤。或者，若接收到针对该第一连接的报文的数量达到预设第一数量时，未识别出该第一连接对应的应用类型，则可以直接断开第一连接，并回收分配给第一连接的NAT资源。若接收到针对该第一连接的报文的数量未达到预设第一数量时，就已经识别出该第一连接对应的应用类型，则执行步骤5以及后续步骤。

步骤6、断开最低优先级对应的第二连接，并回收分配给该第二连接的NAT资源。在回收NAT资源后，还可以判断预留资源池内的可用的NAT资源的数量是否达到预设第二数量。如果否，则将回收的NAT资源分配到预留资源池内，作为预留资源池内的可用的NAT资源；如果是，则将回收的NAT资源分配到分配资源池内，作为分配资源池内的可用的NAT资源。步骤6之后，结束流程。

步骤7、断开该第一连接，并回收分配给该第一连接的NAT资源。在回收NAT资源之后，还可以判断预留资源池内的可用的NAT资源的数量是否达到预设第二数量。如果否，则将回收的NAT资源分配到预留资源池内，作为预留资源池内的可用的NAT资源；如果是，则将回收的NAT资源分配到分配资源池内，作为分配资源池内的可用的NAT资源。本步骤7之后，结束流程。

步骤8、确定识别出的该连接建立报文对应的应用类型的优先级。若该优先级不是当前已经建立的所有连接中的最低优先级，则可以执行步骤9；若该优先级是当前已经建立的所有连接中的最低优先级，则可以执行步骤10。

步骤9、断开最低优先级对应的第三连接，并回收分配给该第三连接的NAT资源，并利用回收的NAT资源为该连接建立报文建立连接，并结束流程。

步骤10、拒绝为该连接建立报文建立连接，并结束流程。

基于上述技术方案，本发明实施例中，当NAT资源被耗尽时，可以优先保证高优先级的应用类型对应的连接被正常建立，为该连接分配NAT资源，保证用户关键业务的正常使用，提高用户使用体验，防止单个用户或者单个IP滥用NAT资源。而且，在接收到连接建立报文后，若未识别出其应用类型，由于此时不知道该连接建立报文对应的优先级，因此，可以先从预留资源池内选择一个可用的NAT资源，并利用该NAT资源建立连接，而不是直接丢弃该连接建立报文，避免连接无法建立的问题。待识别出该连接建立报文对应的应用类型后，就可以基于该应用类型对应的优先级去释放更低优先级的连接。

基于与上述方法同样的发明构思，本发明实施例中还提供了一种连接建立装置，该连接建立装置应用在NAT设备上。其中，该连接建立装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的NAT设备的处理器，读取非易失性存储器中对应的计算机程序指令形成的。从硬件层面而言，如图3所示，为本发明提出的连接建立装置所在的NAT设备的一种硬件结构图，除了图3所示的处理器、非易失性存储器外，NAT设备还可以包括其他硬件，如负责处理报文的转发芯片、网络接口、内存等；从硬件结构上来讲，该NAT设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图4所示，为本发明提出的连接建立装置的结构图，所述装置包括：

建立模块11，用于在接收到连接建立报文时，若预先配置的分配资源池内没有可用的网络地址转换NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

处理模块12，用于在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。

所述连接建立装置还包括：判断模块(在图中未体现)；

所述判断模块，用于判断是否识别出所述连接建立报文对应的应用类型；

所述建立模块11，具体用于在判断模块的判断结果为否时，从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

所述处理模块12，还用于在判断模块的判断结果为是时，确定所述连接建立报文对应的应用类型的优先级；若确定的优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第三连接；若确定的优先级是当前已经建立的所有连接中的最低优先级，则拒绝为所述连接建立报文建立连接；

所述建立模块11，还用于在处理模块断开所述第三连接后，回收分配给所述第三连接的NAT资源，利用回收的NAT资源为所述连接建立报文建立连接。

在一个例子中，所述处理模块12，还用于在确定所述应用类型的优先级之后，若所述优先级是当前已经建立的所有连接中的最低优先级，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

在一个例子中，所述处理模块12，还用于在所述建立模块11利用所述NAT资源为所述连接建立报文建立第一连接之后，若在预设时间内，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源；或，若接收到针对所述第一连接的报文的数量达到预设第一数量时，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

在一个例子中，所述处理模块12，还用于在回收NAT资源后，判断所述预留资源池内的可用的NAT资源的数量是否达到预设第二数量；如果否，将回收的NAT资源分配到所述预留资源池内；如果是，将回收的NAT资源分配到所述分配资源池内。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (10)

1.一种连接建立方法，其特征在于，所述方法包括：

在接收到连接建立报文时，若预先配置的分配资源池内没有可用的网络地址转换NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；

若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。

2.根据权利要求1所述的方法，其特征在于，所述从预先配置的预留资源池内选择一个可用的NAT资源之前，所述方法进一步包括：

判断是否识别出所述连接建立报文对应的应用类型；如果否，则执行从预先配置的预留资源池内选择一个可用的NAT资源的过程；

如果是，则确定所述连接建立报文对应的应用类型的优先级；若确定的优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第三连接，并回收分配给所述第三连接的NAT资源，并利用回收的NAT资源为所述连接建立报文建立连接；若确定的优先级是当前已经建立的所有连接中的最低优先级，则拒绝为所述连接建立报文建立连接。

3.根据权利要求1所述的方法，其特征在于，

所述确定所述应用类型的优先级之后，所述方法进一步包括：

若所述优先级是当前已经建立的所有连接中的最低优先级，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

4.根据权利要求1所述的方法，其特征在于，所述利用所述NAT资源为所述连接建立报文建立第一连接之后，所述方法进一步包括：

若在预设时间内，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源；或，若接收到针对所述第一连接的报文的数量达到预设第一数量时，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

5.根据权利要求1、3或4所述的方法，其特征在于，所述方法还包括：

在回收NAT资源之后，判断所述预留资源池内的可用的NAT资源的数量是否达到预设第二数量；如果否，则将回收的NAT资源分配到所述预留资源池内；如果是，则将回收的NAT资源分配到所述分配资源池内。

6.一种连接建立装置，其特征在于，所述装置包括：

建立模块，用于在接收到连接建立报文时，若预先配置的分配资源池内没有可用的网络地址转换NAT资源，则从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

处理模块，用于在识别出所述第一连接对应的应用类型后，确定所述应用类型的优先级；若所述优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第二连接，并回收分配给所述第二连接的NAT资源。

7.根据权利要求6所述的装置，其特征在于，还包括：

判断模块，用于判断是否识别出所述连接建立报文对应的应用类型；

所述建立模块，具体用于在判断模块的判断结果为否时，从预先配置的预留资源池内选择一个可用的NAT资源，并利用所述NAT资源为所述连接建立报文建立第一连接；

所述处理模块，还用于在判断模块的判断结果为是时，则确定所述连接建立报文对应的应用类型的优先级；若确定的优先级不是当前已经建立的所有连接中的最低优先级，则断开最低优先级对应的第三连接；若确定的优先级是当前已经建立的所有连接中的最低优先级，则拒绝为所述连接建立报文建立连接；

所述建立模块，还用于在处理模块断开所述第三连接后，回收分配给所述第三连接的NAT资源，并利用回收的NAT资源为所述连接建立报文建立连接。

8.根据权利要求6所述的装置，其特征在于，所述处理模块，还用于在确定所述应用类型的优先级之后，若所述优先级是当前已经建立的所有连接中的最低优先级，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

9.根据权利要求6所述的装置，其特征在于，所述处理模块，还用于在所述建立模块利用所述NAT资源为所述连接建立报文建立第一连接之后，若在预设时间内，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源；或，若接收到针对所述第一连接的报文的数量达到预设第一数量时，未识别出所述第一连接对应的应用类型，则断开所述第一连接，并回收分配给所述第一连接的NAT资源。

10.根据权利要求6、8或9所述的装置，其特征在于，

所述处理模块，还用于在回收NAT资源后，判断所述预留资源池内的可用的NAT资源的数量是否达到预设第二数量；如果否，将回收的NAT资源分配到所述预留资源池内；如果是，将回收的NAT资源分配到所述分配资源池内。