CN107547396B

CN107547396B - 一种报文转发方法及装置

Info

Publication number: CN107547396B
Application number: CN201710354773.3A
Authority: CN
Inventors: 王国利
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2017-05-18
Filing date: 2017-05-18
Publication date: 2021-03-19
Anticipated expiration: 2037-05-18
Also published as: CN107547396A

Abstract

本发明实施例提供了一种报文转发方法及装置，应用于NAT设备，方法包括：接收用户设备发送的报文；从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项；从NAT表项中查找与第一访问控制表项的规则编号匹配的第一NAT表项；NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，包括的私网地址相同的NAT表项中包括的公网地址各不相同；将报文的源地址转换为第一NAT表项中包括的公网地址；转发源地址转换后的报文。应用本发明实施例，能够实现同一用户设备以不同的公网地址访问不同的服务器。

Description

一种报文转发方法及装置

技术领域

本发明涉及通信技术领域，特别是涉及一种报文转发方法及装置。

背景技术

实际应用中，在内网的用户设备与外网的服务器进行交互时，常常需要通过NAT(Network Address Translation，网络地址转换)设备，对这两个网络间交互的报文进行NAT业务处理。

具体地，当NAT设备接收到内网的用户设备向外网的服务器发送的报文时，将该报文的源地址(也就是私网地址)转换为预设的一个公网地址，并记录该地址转换关系，生成NAT表项，该NAT表项中包括该报文的源地址和上述预设的一个公网地址的对应关系，将转换地址后的报文发送给外网的服务器；当NAT设备接收到外网的服务器发送给内网的用户设备的报文时，根据记录的NAT表项，将这个报文的目的地址(也就是公网地址)转换为私网地址，进而将转换地址后的报文发送给内网的用户设备。

基于上述情况可知，内网的用户设备在访问外网的服务器时，内网的同一用户设备发送的报文的源地址均转换成了同一公网地址，采用同一公网地址访问不同的外网的服务器。

发明内容

本发明实施例的目的在于提供一种报文转发方法及装置，以实现同一用户设备以不同的公网地址访问不同的服务器。具体技术方案如下：

一方面，本发明实施例提供了一种报文转发方法，应用于NAT设备，所述方法包括：

接收用户设备发送的报文；

从访问控制表项中查找与所述报文的源地址和目的地址匹配的第一访问控制表项；

从NAT表项中查找与所述第一访问控制表项的规则编号匹配的第一NAT表项；所述NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，包括的私网地址相同的NAT表项中包括的公网地址各不相同；

将所述报文的源地址转换为所述第一NAT表项中包括的公网地址；

转发源地址转换后的所述报文。

二方面，本发明实施例提供了一种报文转发装置，应用于NAT设备，所述装置包括：

接收单元，用于接收用户设备发送的报文；

第一查找单元，用于从访问控制表项中查找与所述报文的源地址和目的地址匹配的第一访问控制表项；

第二查找单元，用于从NAT表项中查找与所述第一访问控制表项的规则编号匹配的第一NAT表项；所述NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，包括的私网地址相同的NAT表项中包括的公网地址各不相同；

第一转换单元，用于将所述报文的源地址转换为所述第一NAT表项中包括的公网地址；

发送单元，用于转发源地址转换后的所述报文。

本发明实施例提供一种报文转发方法及装置，NAT设备接收用户设备发送的报文，从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项，其中，不同的访问控制表项对应的匹配项是不同的，因此可以唯一确定出一个第一访问控制表项；从NAT表项中查找与第一访问控制表项的规则编号匹配的第一NAT表项，其中，NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，包括的私网地址相同的NAT表项中包括的公网地址各不相同；将报文的源地址转换为第一NAT表项中包括的公网地址；转发源地址转换后的报文。

可见，本发明实施例中，通过匹配项不同的访问控制表项，及包括私网地址相同的NAT表项中包括的公网地址各不相同的NAT表项，可以区分相同源地址不同目的地址对应的公网地址，实现了同一用户设备以不同的公网地址访问不同的服务器。当然，实施本发明的任一产品或方法并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为一种组网的示意图；

图2为本发明实施例提供的报文转发方法的第一种流程示意图；

图3为本发明实施例提供的报文转发方法的第二种流程示意图；

图4为本发明实施例提供的报文转发装置的一种结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示的组网示意图，该组网中用户设备(如内网的用户设备100和用户设备101)、NAT设备200和服务器(如外网的服务器300和服务器301)。

目前，以用户设备100为例，基于图1所示的组网报文的转发流程为：

1、用户设备100将向服务器300发送的报文X发送给NAT设备200；

2、NAT设备200中预设有公网地址A，当接收到报文X时，将报文X中的源地址(也就是用户设备100的私网地址)转换为公网地址A；

3、NAT设备200记录用户设备100的私网地址和公网地址A的地址转换关系，生成NAT表项1，该NAT表项1包括：用户设备100的私网地址和公网地址A；

4、用户设备100将向服务器301发送的报文Y发送给NAT设备200；

5、NAT设备200当接收到报文Y时，根据NAT表项1，将报文Y中的源地址(也就是用户设备100的私网地址)转换为NAT表项1中包括的公网地址A；

这种情况下，当NAT设备200接收到服务器300或服务器301返回给用户设备100的报文时，可以根据NAT表项1，将报文的目的地址转换成NAT表项1中包括的用户设备100的私网地址。

可见，目前，NAT设备在进行NAT业务处理时，将内网的同一用户设备发送的报文的源地址均转换成了同一公网地址，采用同一公网地址访问外网的服务器。

基于上述情况，基于图1所示的组网，本发明实施例提供了一种应用于NAT设备的报文转发方法及装置，以实现同一用户设备以不同的公网地址访问不同的服务器。

参考图2，图2为本发明实施例提供的报文转发方法的第一种流程示意图，应用于NAT设备。这里，NAT设备可以为防护墙设备、路由器等具有网络通信功能的设备。

具体地，上述应用于NAT设备的报文转发方法包括：

S201：接收用户设备发送的报文；

这里，用户设备发送的报文的源地址即为用户设备的私网地址，用户设备发送的报文的目的地址即为外网的服务器的公网地址。

S202：从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项；

这里，访问控制表项中包括规则编号、允许的源地址和允许的目的地址三者的对应关系，如：当前有访问控制表项A和B，其中，访问控制表项A中包括的规则编号为Rule 0、允许的源地址为10.1.1.10、允许的目的地址为100.1.1.10；访问控制表项B中包括的规则编号为Rule 1、允许的源地址为10.1.1.10、允许的目的地址为200.1.1.10。

这种情况下，上述从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项，即为：从访问控制表项中查找允许的源地址与报文的源地址匹配、且允许的目的地址与报文的目的地址匹配的第一访问控制表项。这里，每一访问控制表项的匹配项都不同，保证了同一源地址和目的地址的报文能够唯一确定一个访问控制表项，唯一确定一个规则编号。

S203：从NAT表项中查找与第一访问控制表项的规则编号匹配的第一NAT表项；

其中，NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，这里，NAT表项包括的私网地址即为报文的源地址；另外，包括的私网地址相同的NAT表项中包括的公网地址各不相同。

这样，不同规则编号对应不同的NAT表项，则包括的私网地址相同的NAT表项对应的目的地址是不同的，再结合包括的私网地址相同的NAT表项中包括的公网地址各不相同，这可以有效的区分相同源地址不同目的地址对应的公网地址，实现同一用户设备以不同的公网地址访问不同的服务器。

需要说明的是，NAT表项可以为用户预先配置在NAT设备中的，也可以为NAT设备在进行NAT业务处理时生成的，本发明实施例对此不进行限定。

S204：将报文的源地址转换为第一NAT表项中包括的公网地址；

S205：转发源地址转换后的报文。

这样，就实现了同一用户设备以不同的公网地址访问不同的服务器。

在本发明的一个实施例中，NAT设备可能无法从NAT表项中查找到与第一访问控制表项的规则编号匹配的第一NAT表项，为了保证报文转发，若NAT设备从NAT表项中未查找到与第一访问控制表项的规则编号匹配的第一NAT表项，则为报文的源地址分配与NAT表项中包括的公网地址不同的公网地址，也就是，为报文的源地址分配一个未被占用的公网地址；将报文的源地址转换为这个分配的公网地址，转发源地址转换后的报文；另外，生成第二NAT表项；该第二NAT表项中的规则编号为第一访问控制表项的规则编号、私网地址为报文的源地址、公网地址为这个分配的公网地址，以便于后续相同源地址和目的地址的报文的转发。

在本发明的一个实施例中，为了便于为报文的源地址分配公网地址，NAT设备中可以预先配置静态NAT配信息，静态NAT配置信息中包括：访问编号、私网地址与公网地址组三者的对应关系。这里，访问编号为访问控制表项所在的访问控制表的编号；如上S202中的例子，访问控制表项A和B可以属于同一访问控制表1，访问控制表1的访问编号为3000；若确定第一访问控制表项为访问控制表项A，则确定的访问控制表的访问编号为3000。

这种情况下，在为报文的源地址分配公网地址时，可以从静态NAT配置信息中查找与第一访问控制表项所在的访问控制表的访问编号和报文的源地址匹配的第一静态NAT配置信息；从第一静态NAT配置信息包括的公网地址组中选择一个与NAT表项中包括的公网地址不同的公网地址，将选择的公网地址分配给报文的源地址。

在本发明的一个实施例中，若NAT设备无法从访问控制表项中查找到与报文的源地址和目的地址匹配的第一访问控制表项，或者NAT设备无法为报文的源地址分配一个未被占用的公网地址(即与NAT表项中包括的公网地址不同的公网地址)，为了保证报文转发，可以将报文的源地址转换为预设公网地址，转发源地址转换后的报文；另外，生成第三NAT表项，该第三NAT表项中的规则编号为空、私网地址为报文的源地址、公网地址为预设公网地址。其中，第三NAT表项中的“空”规则编号可以为“*”“/”等表示为空的符号，也可以为不填充任何字符，本发明实施例对此不进行限定。

在本发明的另一个实施例中，若NAT设备无法从访问控制表项中查找到与报文的源地址和目的地址匹配的第一访问控制表项，或者NAT设备无法为报文的源地址分配一个未被占用的公网地址，可以丢弃报文，并输出提示信息，该提示信息用于提示用户无法为报文的源地址分配一个未被占用的公网地址，指示用户增加该报文的源地址对应的公网地址组包括的公网地址。

结合图3所示的报文转发流程图，综合说明上述各个实施例，该流程包括：

S01、NAT设备接收用户设备发送的报文；

S02、NAT设备从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项；若查找到，执行S03；若未查找到，执行S10；

S03、NAT设备若S02中查找到第一访问控制表项，从NAT表项中查找与第一访问控制表项的规则编号匹配的第一NAT表项；若查找到，执行S04；若未查找到，执行S06；

S04、NAT设备将报文的源地址转换为第一NAT表项中包括的公网地址；执行S05；

S05、NAT设备转发源地址转换后的报文；

S06、NAT设备若S03中未查找到第一NAT表项，为报文的源地址分配与NAT表项中包括的公网地址不同的公网地址；若获得了分配给报文的源地址的公网地址，则执行S07；若未获得分配给报文的源地址的公网地址，则执行S10；

在本发明的一个实施例中，为报文的源地址分配与NAT表项中包括的公网地址不同的公网地址，可以包括：

从静态NAT配置信息中查找与第一访问控制表项所在的访问控制表的访问编号和报文的源地址匹配的第一静态NAT配置信息；

从第一静态NAT配置信息包括的公网地址组中选择一个与NAT表项中包括的公网地址不同的公网地址，将选择的公网地址分配给报文的源地址。

S07、NAT设备将报文的源地址转换为分配的公网地址；执行S08；

S08、NAT设备转发源地址转换后的报文；

S09、生成第二NAT表项；

这里，第二NAT表项中的规则编号为第一访问控制表项的规则编号、私网地址为报文的源地址、公网地址为这个分配的公网地址。

S10、丢弃接收到的报文，或将报文的源地址转换为预设公网地址，转发源地址转换后的报文，生成第三NAT表项。

这里，第三NAT表项中的规则编号为空、私网地址为报文的源地址、公网地址为这个预设公网地址。

下面结合图1所示的组网，详细说明本发明实施例提供的报文转发方法的流程，其中，用户设备100的私网地址为10.1.1.10，用户设备101的私网地址为20.1.1.10，服务器300的公网地址为100.1.1.10，服务器301的公网地址为200.1.1.10；NAT设备200中预设的访问控制表1的访问编号为3000；访问控制表1包括两个访问控制表项，分别为：

访问控制表项A：规则编号为Rule 0、允许的源地址为10.1.1.10、允许的目的地址为100.1.1.10；

访问控制表项B：规则编号为Rule 1、允许的源地址为10.1.1.10、允许的目的地址为200.1.1.10；

NAT设备200中预设的静态NAT配置信息有：

静态NAT配置信息1：访问编号为3000、私网地址为10.1.1.10，公网地址组为6.6.6.5-6.6.6.7；

当前NAT设备200中记录的NAT表项，如表1所示；

表1

Rule	私网地址	公网地址
			0	10.1.1.10	6.6.6.5

1、用户设备100将报文1发送给NAT设备200，报文1的源地址为10.1.1.10，目的地址为100.1.1.10；

NAT设备200接收到报文1，确定报文1的源地址10.1.1.10和目的地址100.1.1.10与访问控制表项A匹配，获取访问控制表项A的规则编号Rule 0，结合表1中的NAT表项，确定NAT设备中已记录了与Rule 0匹配的NAT表项，获得与Rule 0匹配的NAT表项中包括的公网地址6.6.6.5，将报文1的源地址10.1.1.10转换为6.6.6.5，源地址转换后的报文1的源地址为6.6.6.5，目的地址为100.1.1.10。

NAT设备200将源地址转换后的报文1发送给公网地址为100.1.1.10的服务器300；

2、用户设备100将报文2发送给NAT设备200，报文2的源地址为10.1.1.10，目的地址为200.1.1.10；

NAT设备200接收到报文2，确定报文2的源地址10.1.1.10和目的地址200.1.1.10与访问控制表项B匹配，获取访问控制表项B的规则编号Rule 1，结合表1中的NAT表项，确定NAT设备中未记录与Rule 1匹配的NAT表项；查找与访问控制表项B所在访问控制表1的访问编号3000及报文2的源地址10.1.1.10匹配的静态NAT配置信息1，从静态NAT配置信息1包括的公网地址组6.6.6.5-6.6.6.7中选择一个与NAT表项中包括的公网地址不同的公网地址，例如选择了6.6.6.6，将报文2的源地址10.1.1.10转换为6.6.6.6，源地址转换后的报文2的源地址为6.6.6.6，目的地址为200.1.1.10；

NAT设备200将源地址转换后的报文2发送给公网地址为200.1.1.10的服务器301，生成NAT表项，该生成的NAT表项中规则编号为Rule 1、私网地址为10.1.1.10、公网地址为6.6.6.6。

此时，NAT设备200中记录的NAT表项如表2所示。

表2

Rule	私网地址	公网地址
			0	10.1.1.10	6.6.6.5
1	10.1.1.10	6.6.6.6

3、用户设备101将报文3发送给NAT设备200，报文3的源地址为20.1.1.10，目的地址为100.1.1.10；

NAT设备200接收到报文3，确定不存在与报文3的源地址20.1.1.10和目的地址100.1.1.10匹配的访问控制表项，则丢弃报文3。

需要说明的是，本发明实施例中，用户设备即内网的设备，服务器即外网的设备。

应用上述实施例，通过匹配项不同的访问控制表项，及包括私网地址相同的NAT表项中包括的公网地址各不相同的NAT表项，可以区分相同源地址不同目的地址对应的公网地址，实现了同一用户设备以不同的公网地址访问不同的服务器。

与方法实施例对应，本发明实施例还提供了一种报文转发装置。

参考图4，图4为本发明实施例提供的报文转发装置的一种结构示意图，应用于NAT设备，该装置包括：

接收单元401，用于接收用户设备发送的报文；

第一查找单元402，用于从访问控制表项中查找与报文的源地址和目的地址匹配的第一访问控制表项；

第二查找单元403，用于从NAT表项中查找与第一访问控制表项的规则编号匹配的第一NAT表项；NAT表项包括：规则编号、私网地址与公网地址三者的对应关系，包括的私网地址相同的NAT表项中包括的公网地址各不相同；

第一转换单元404，用于将报文的源地址转换为第一NAT表项中包括的公网地址；

发送单元405，用于转发源地址转换后的报文。

在本发明的一个实施例中，上述报文转发装置还可以包括：

分配单元(图4中未示出)，用于若从NAT表项中未查找到与第一访问控制表项的规则编号匹配的第一NAT表项，为报文的源地址分配与NAT表项中包括的公网地址不同的公网地址，并将报文的源地址转换为分配的公网地址，转发源地址转换后的报文；

第一生成单元(图4中未示出)，用于生成第二NAT表项；第二NAT表项中的规则编号为第一访问控制表项的规则编号、私网地址为报文的源地址、公网地址为分配的公网地址。

在本发明的一个实施例中，分配单元，具体可以用于：

从静态NAT配置信息中查找与第一访问控制表项所在的访问控制表的访问编号和报文的源地址匹配的第一静态NAT配置信息；静态NAT配置信息包括：访问编号、私网地址与公网地址组三者的对应关系；

在本发明的一个实施例中，上述报文转发装置还可以包括：

第二转换单元(图4中未示出)，用于若从访问控制表项中未查找到与报文的源地址和目的地址匹配的第一访问控制表项，将报文的源地址转换为预设公网地址，转发源地址转换后的报文；

第二生成单元(图4中未示出)，用于生成第三NAT表项；第三NAT表项中的规则编号为空、私网地址为报文的源地址、公网地址为预设公网地址。

在本发明的一个实施例中，上述报文转发装置还可以包括：

丢弃单元(图4中未示出)，用于若从访问控制表项中未查找与报文的源地址和目的地址匹配的第一访问控制表项，丢弃报文。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种报文转发方法，其特征在于，应用于网络地址转换NAT设备，所述方法包括：

接收用户设备发送的报文；

转发源地址转换后的所述报文。

2.根据权利要求1所述的方法，其特征在于，若从NAT表项中未查找到与所述第一访问控制表项的规则编号匹配的所述第一NAT表项，所述方法还包括：

为所述报文的源地址分配与所述NAT表项中包括的公网地址不同的公网地址，并将所述报文的源地址转换为分配的公网地址，转发源地址转换后的所述报文；

生成第二NAT表项；所述第二NAT表项中的规则编号为所述第一访问控制表项的规则编号、私网地址为所述报文的源地址、公网地址为分配的公网地址。

3.根据权利要求2所述的方法，其特征在于，所述为所述报文的源地址分配与所述NAT表项中包括的公网地址不同的公网地址的步骤，包括：

从静态NAT配置信息中查找与所述第一访问控制表项所在的访问控制表的访问编号和所述报文的源地址匹配的第一静态NAT配置信息；所述静态NAT配置信息包括：访问编号、私网地址与公网地址组三者的对应关系；

从所述第一静态NAT配置信息包括的公网地址组中选择一个与所述NAT表项中包括的公网地址不同的公网地址，将选择的公网地址分配给所述报文的源地址。

4.根据权利要求1-3任一项所述的方法，其特征在于，若从访问控制表项中未查找到与所述报文的源地址和目的地址匹配的所述第一访问控制表项，所述方法还包括：

将所述报文的源地址转换为预设公网地址，转发源地址转换后的所述报文；

生成第三NAT表项；所述第三NAT表项中的规则编号为空、私网地址为所述报文的源地址、公网地址为所述预设公网地址。

5.根据权利要求1-3任一项所述的方法，其特征在于，若从访问控制表项中未查找与所述报文的源地址和目的地址匹配的所述第一访问控制表项，所述方法还包括：

丢弃所述报文。

6.一种报文转发装置，其特征在于，应用于网络地址转换NAT设备，所述装置包括：

接收单元，用于接收用户设备发送的报文；

发送单元，用于转发源地址转换后的所述报文。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

分配单元，用于若从NAT表项中未查找到与所述第一访问控制表项的规则编号匹配的所述第一NAT表项，为所述报文的源地址分配与所述NAT表项中包括的公网地址不同的公网地址，并将所述报文的源地址转换为分配的公网地址，转发源地址转换后的所述报文；

第一生成单元，用于生成第二NAT表项；所述第二NAT表项中的规则编号为所述第一访问控制表项的规则编号、私网地址为所述报文的源地址、公网地址为分配的公网地址。

8.根据权利要求7所述的装置，其特征在于，所述分配单元，具体用于：

9.根据权利要求6-8任一项所述的装置，其特征在于，所述装置还包括：

第二转换单元，用于若从访问控制表项中未查找到与所述报文的源地址和目的地址匹配的所述第一访问控制表项，将所述报文的源地址转换为预设公网地址，转发源地址转换后的所述报文；

第二生成单元，用于生成第三NAT表项；所述第三NAT表项中的规则编号为空、私网地址为所述报文的源地址、公网地址为所述预设公网地址。

10.根据权利要求6-8任一项所述的装置，其特征在于，所述装置还包括：

丢弃单元，用于若从访问控制表项中未查找与所述报文的源地址和目的地址匹配的所述第一访问控制表项，丢弃所述报文。