CN107682226B - Nat板的监控方法及装置 - Google Patents

Abstract

本公开涉及一种NAT板的监控方法及装置，所述方法应用于BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型，包括当确定NAT板出现故障时，将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板；接收携带有用户标识的报文，所述用户标识用于识别唯一的用户；当所述用户标识对应的用户表项的NAT属性为无效时，不处理所接收的报文。通过在NAT板故障的情况下，不处理需要发送至NAT板进行网络地址转换的报文，根据本公开实施例的NAT板的监控方法及装置能够保护私网地址、报文信息等不被泄露出去。

Description

NAT板的监控方法及装置

技术领域

本公开涉及通信领域，尤其涉及一种NAT板的监控方法及装置。

背景技术

随着通信技术的发展，用户数量的增加，运营商可以采用DP(Data Plane，转发平面)和CP(Control Plane，控制平面)分离的BRAS(Broadband Remote Access Server，宽带远程接入服务器)组网架构，提高BRAS认证和转发的性能及容量。其中，DP可以采用交换机等专用设备实现高性能转发，CP可以采用通用服务器专门处理认证上线。

CP设备可以为用户分配私网地址，以及对应的公网地址和端口号，并将用户表项下发到DP上。这样，当用户再次访问外网时，DP可以将流量引入NAT(Network AddressTranslation，网络地址转换)板，由NAT板进行网络地址转换和软件转发，并在软件转发完成后，由DP进行后续转发，提高转发能力。

发明内容

有鉴于此，本公开提出了一种NAT板的监控方法及装置，能够在NAT板故障的情况下，保护私网地址、报文信息等不被泄露出去。

根据本公开的一方面，提供了一种NAT板的监控方法，所述方法应用于BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型，包括：当确定NAT板出现故障时，转发平面将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板；转发平面接收携带有用户标识的报文，所述用户标识用于识别唯一的用户；当所述用户标识对应的用户表项的NAT属性为无效时，转发平面不处理所接收的报文。

根据本公开的另一方面，提供了一种NAT板的监控装置，所述装置应用于BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型，包括：第一设置模块，用于当确定NAT板出现故障时，将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板；报文接收模块，用于接收携带有用户标识的报文，所述用户标识用于识别唯一的用户；报文处理模块，用于当所述用户标识对应的用户表项的NAT属性为无效时，不处理所接收的报文。

当确定NAT板出现故障时，转发平面将NAT类型的用户对应的用户表项的NAT属性设置为无效；当转发平面收到报文时，若该报文对应的转发表项的NAT属性为无效，则转发平面不处理该报文，根据本公开的各方面，NAT板的监控方法及装置能够在NAT板故障的情况下，不处理需要发送至NAT板进行网络地址转换的报文，避免了私网地址未被转化的报文直接被发送至公网目标主机，从而保护私网地址、报文信息等不被泄露出去。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1示出根据本公开一实施例的NAT板的监控方法的流程图；

图2示出根据本公开一实施例的BRAS组网示意图；

图3示出根据本公开一实施例的NAT板的监控方法的流程图；

图4示出根据本公开一实施例的NAT板的监控方法的流程图；

图5示出根据本公开一实施例的NAT板的监控方法的流程图；

图6示出根据本公开一实施例的NAT板的监控装置的框图；

图7示出根据本公开一实施例的NAT板的监控装置的框图；

图8示出根据本公开一实施例的NAT板的监控装置的框图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

图1示出根据本公开一实施例的NAT板的监控方法的流程图。图2示出根据本公开一实施例的BRAS组网示意图。在如图2所示的BARS组网中，转发平面和控制平面分离。用户正常上线后，控制平面可以通过认证为用户分配私网地址、公网地址和端口号，并根据这些信息生成该用户对应的用户表项。之后，控制平面可以将该用户表项下发到转发平面上。转发平面接收并存储用户表项，并根据是否为用户分配了公网地址和端口号对用户进行分类。转发平面可以在用户表项中记录用户的用户类型。这样，转发平面存储的用户表项中记录有各用户对应的用户类型。转发平面还与NAT板连接，转发平面可以将报文发送至NAT板，以进行网络地址转换，进而由转发平面将转换了网络地址的报文发送至公网中的目标设备。

在一种可能的实现方式中，NAT板可以为CGN(Carrier Grade NAT，运营商级NAT)中的NAT板。由于CGN使用的是分布式NAT板，因此CGN中存在单独的NAT板，可以进行网络地址转换。

图1所示的NAT板的监控方法可以应用于图2所示的BRAS的转发平面中。如图1所示，该NAT板的监控方法包括：

步骤S11，当确定NAT板出现故障时，转发平面将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板。

如上所述，转发平面存储有控制平面下发的用户表项，该用户表项中记录了各用户对应的用户类型。在一种可能的实现方式中，转发平面可以将分配了公网地址和端口号的用户确定为NAT类型的用户，将其他用户确定为非NAT类型的用户。转发平面可以将NAT类型的用户发送的报文发送至NAT板。当NAT板出现故障时，转发平面可以将用户类型为NAT类型的用户表项的NAT属性设置为无效，以使NAT类型的用户表项处于不可用的状态。

在一种可能的实现方式中，转发平面可以通过检测NAT板的NAT进程确定NAT板的状态。若NAT进程故障或重启，则转发平面可以确定NAT板出现故障。若NAT进程正常，则转发平面可以确定NAT板正常。本公开实施例提供的NAT板的监控方法是为了避免私网地址泄露，而NAT板的NAT进程故障或重启时，NAT板无法正常完成网络地址转换，因此，NAT板的NAT进程故障或重启时，转发平面可以按照NAT板出现故障进行处理。

在一种可能的实现方式中，转发平面可以通过检测本地转发进程和NAT板的NAT进程间的LIPC(Link Inter Process Communication，进程间通信)的状态确定NAT进程是否故障或重启。若LIPC连接保持，则转发平面可以确定NAT进程正常；若LIPC连接断开，则转发平面可以确定NAT进程故障或重启。在一个示例中，转发平面可以通过配置命令ipsubscriber session with nat-fail-drop建立本地转发进程与NAT板的NAT进程间的LIPC。进程间通信可以内部实现，简单方便。转发平面还可以通过其他方式检测NAT板是否出现了故障，本公开对此不做限制。需要说明的是，NAT进程故障或者重启时，LIPC均可能出现连接断开的情况。因此，在NAT进程故障或者重启时，转发平面均可以确定NAT板出现了故障，NAT板不可达。

在一种可能的实现方式中，当有多个NAT板时(例如CGN)时，多个NAT板会形成主备，转发平面可以与多个NAT板中的主NAT板建立进程间通信连接，通过检测主NAT板的NAT进程确定NAT板的状态。

多个NAT板形成主备后，主NAT板负责网络地址转换，其他NAT板作为备份，在主NAT板出现故障时可以从其他NAT板中选举新的负责网络地址转换的主NAT板。由于主NAT板出现故障后，会产生新的主NAT板，因此转发平面可以无需感知作为备份的NAT板是否出现故障。转发平面可以通过监控主NAT板是否出现故障确定是否能够正常进行网络地址转换。这样，通过在有多个NAT板时，转发平面与主NAT建立进程间通信连接，可以使转发平面在建立较少的LIPC的情况下，完成NAT故障的监控，既保证了监控的准确性，又节省了资源。

在一种可能的实现方式中，转发平面包括处理器和转发芯片。转发平面的处理器可以在用户表项中记录用户类型，并将用户表项下发至转发芯片。转发平面的转发芯片可以根据用户表项执行相应的动作。在一个示例中，当确定NAT板出现故障时，转发平面的处理器可以下发NAT用户的NAT失效属性给转发芯片，后续转发芯片查找到对应的用户表项时，可以不处理(例如：丢弃、忽略等)该报文。

步骤S12，转发平面接收携带有用户标识的报文，所述用户标识用于识别唯一的用户。

其中，用户标识可以为用户设备的MAC地址、私网IP地址、用户名等，对此本公开不做限制。在一种可能的实现方式中，转发平面可以根据用户标识区分不同的用户对应的用户表项，相应的转发平面存储的用户表项可以通过记录用户标识对应的用户类型，从而记录用户对应的用户类型。

步骤S13，当所述用户标识对应的用户表项的NAT属性为无效时，转发平面不处理所接收的报文。

转发平面接收报文后，可以在本地查找用户标识对应的用户表项。若找到的用户表项的NAT属性为无效，说明当前NAT板出现了故障，无法将报文发送至NAT板，转发平面可以不处理所接收的报文，例如转发平面可以丢弃或者忽略所接收的报文。这样，通过在NAT板故障的情况下，不处理需要发送至NAT板进行网络地址转换的报文，根据本公开实施例的NAT板的监控方法避免了私网地址未被转化的报文直接被发送至公网中的目标设备，从而保护私网地址、报文信息等不被泄露出去。

在一个示例中，在NAT板故障的情况下，相关技术中用户再次访问外网时，由于转发平面上用户表项依然存在，因此报文被允许转发。但由于NAT板不可达，转发平面会直接查询路由表将报文转发至公网目标设备。私网地址未被转换的情况下直接转发报文，会导致私网地址泄露到公网中去，以及目标设备无法转发应答报文而造成报文信息泄露。而在NAT板故障的情况下，本公开实施例中用户再次访问外网时，由于NAT类型的用户表项的NAT属性为无效，因此转发平面不处理该用户发送的报文，即该用户发送的报文不会转发到外网中，避免了报文的私网地址未被转换的情况下直接被转发而造成的私网地址泄露，以及报文信息泄露。

在一种可能的实现方式中，如图3所示的根据本公开一实施例的NAT板的监控方法的流程图，该NAT板的监控方法还包括：步骤S14，当所述用户标识对应的用户表项中的NAT属性为无效时，转发平面向所述用户标识对应的用户设备发送流量抑制报文，以使所述用户设备不再向转发平面发送报文或者所述用户设备发送的报文无法送达转发平面。

其中，流量抑制报文是转发平面向用户设备发送的一种反向告知报文，目的是为了减少转发平面收到的来自该用户设备的报文，减轻转发平面查询丢包压力，同时减少网络拥塞，提高网络性能。

在一种可能的实现方式中，流量抑制报文可以为携带有指定标识的报文，所述指定标识可以用于指示用户设备不再向转发平面发送报文。用户设备收到携带有指定标识的报文后不再向转发平面，在源头上抑制用户流量，从而减少转发平面收到的来自该用户设备的报文。其中，指定标识可以由数字、字母和字符中的一者或多者组成，本公开对此不做限制。指定标识可以携带在报文的任一部分中，例如MAC地址、载荷等，本公开对此不做限制。例如，指定标识可以为与MAC地址同格式的全0字符串，并携带在ARP报文的源MAC地址中。

在一种可能的实现方式中，流量抑制报文可以为使用户设备发送的报文无法送达转发平面的报文，例如源MAC地址错误的ARP(Address Resolution Protocol，地址解析协议)报文。其中错误的源MAC地址可以为与转发平面的MAC地址不同的MAC地址，例如全0的MAC地址。用户设备收到源MAC地址错误的ARP报文后，可以使用该源MAC地址刷新本地的ARP，将本地存储的转发平面的MAC地址修改为错误的MAC地址。此时用户设备发送的报文，由于ARP解析错误无法送到转发平面。这样通过让用户设备的报文不再发送至转发平面，减轻了转发平面查询丢包的压力。在源头上抑制用户流量，减少发送到转发平面上的报文，既减轻了转发平面查询丢包的压力，又减少了网络拥塞，提高了网络性能。

需要说明的是，步骤S14可以在步骤S13之前、之后或者执行过程中执行，本公开对此不做限制。

图4示出根据本公开一实施例的NAT板的监控方法的流程图。如图4所示，该NAT监控方法还包括：

步骤S15，若NAT板故障恢复，则转发平面将用户类型为NAT类型的用户表项的NAT属性设置为有效，以便于转发平面将报文发送至NAT板。

在确定NAT板出现故障的情况下，转发平面可以通过继续检测NAT板的NAT进程确定NAT板的状态。若NAT进程正常，说明NAT板故障恢复，可以正常工作。此时，转发平面可以将用户类型为NAT类型的用户表项的NAT属性设置为有效。这样，转发平面在接收到用户类型为NAT类型的用户设备发送的报文后，可以将报文发送至NAT板，进行正常的网络地址转换。

在一种可能的实现方式中，如图5所示的根据本公开一实施例的NAT板的监控方法的流程图，该NAT板的监控方法还包括：步骤S16，若NAT板故障恢复，则转发平面向所述用户标识对应的用户设备发送流量恢复报文，以使所述用户设备继续向转发平面发送报文或者所述用户设备发送的报文正常送达转发平面。

其中，流量恢复报文为转发平面向用户设备发送的一种反向告知报文，目的是为了使转发平面能够正常收到来自用户设备的报文，从而使用户能够正常访问公网。例如，流量恢复报文可以为ARP报文。

需要说明的是，流量恢复报文与流量抑制报文的功能相对应，例如：流量抑制报文可以使用户设备不再向转发平面发送报文，则流量恢复报文可以使用户设备继续想转发平面发送报文；流量抑制报文可以使用户设备发送的报文无法送达转发平面，则流量恢复报文可以使用户设备发送的报文可以正常送达转发平面。在一个示例中，流量抑制报文可以是源MAC地址为全0的单播ARP报文，流量恢复报文可以为免费ARP报文。免费ARP报文的源IP地址和目的IP地址均为转发平面的IP地址，源MAC地址为转发平面的MAC地址，目的MAC地址为广播地址。NAT板故障恢复后，转发平面可以在广播域中广播免费ARP报文，告知广播域中的用户设备自身正确的MAC地址。用户设备接收到免费ARP报文后，可以刷新本地的ARP，将本地存储的转发平面的MAC地址修改为正确的MAC地址。之后，用户设备发送的报文可以正常送达转发平面。

需要说明的是，步骤S16可以在执行了步骤S14的情况下执行。若之前未执行步骤S14，则可以不执行步骤S16。同时，步骤S16可以在执行步骤S15之前、之后或者过程中执行，本公开对此不作限制。

在步骤S11至步骤S16中，NAT板出现故障以及故障的恢复对用户和控制平面来说是无感知的。用户设备虽然在NAT板故障期间不能访问外网，但用户设备一直保持在线状态，在NAT板故障恢复后，不需要重新进行认证。

图6示出根据本公开一实施例的NAT板的监控装置600的框图。该装置600可以应用于BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型。如图6所示，该装置600包括：

第一设置模块601，用于当确定NAT板出现故障时，将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板。

报文接收模块602，用于接收携带有用户标识的报文，所述用户标识用于识别唯一的用户。

报文处理模块603，用于当所述用户标识对应的用户表项的NAT属性为无效时，不处理所接收的报文。

图7示出根据本公开一实施例的NAT板的监控装置600的框图。在一种可能的实现方式中，如图7所示，该装置600还包括：

第一发送模块604，用于当所述用户标识对应的用户表项中的NAT属性为无效时，向所述用户标识对应的用户设备发送流量抑制报文，以使所述用户设备不再向转发平面发送报文或者所述用户设备发送的报文无法送达转发平面。

在一种可能的实现方式中，该装置600还包括：

状态检测模块605，用于通过检测NAT板的NAT进程确定NAT板的状态。

故障确定模块606，用于当所述NAT进程故障或重启时，确定NAT板出现故障。

在一种可能的实现方式中，该装置600还包括：

第二设置模块607，用于当NAT板故障恢复时，将用户类型为NAT类型的用户表项的NAT属性设置为有效，以便于转发平面将报文发送至NAT板。

在一种可能的实现方式中，该装置600还包括：

第二发送模块608，用于当NAT板故障恢复时，向所述用户标识对应的用户设备发送流量恢复报文，以使所述用户设备继续向转发平面发送报文或者所述用户设备发送的报文正常送达转发平面。

在一种可能的实现方式中，所述流量恢复报文为ARP报文。

当确定NAT板出现故障时，转发平面将NAT类型的用户对应的用户表项的NAT属性设置为无效；当转发平面收到报文时，若该报文对应的转发表项的NAT属性为无效，则转发平面不处理该报文，根据本公开实施例的NAT板的监控装置能够在NAT板故障的情况下，不处理需要发送至NAT板进行网络地址转换的报文，避免了私网地址未被转化的报文直接被发送至公网目标主机，从而保护私网地址、报文信息等不被泄露出去。

图8是根据一示例性实施例示出的一种用于NAT板的监控装置900的框图。参照图8，该装置900可包括处理器901、存储有机器可执行指令的机器可读存储介质902。处理器901与机器可读存储介质902可经由系统总线903通信。并且，处理器901通过读取机器可读存储介质902中与NAT板的监控逻辑对应的机器可执行指令以执行上文所述的NAT板的监控方法。

本文中提到的机器可读存储介质902可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM(Radom Access Memory，随机存取存储器)、易失存储器、非易失性存储器、闪存、存储驱动器(如硬盘驱动器)、固态硬盘、任何类型的存储盘(如光盘、dvd等)，或者类似的存储介质，或者它们的组合。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (12)

1.一种网络地址转换NAT板的监控方法，其特征在于，所述方法应用于宽带远程接入服务器BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型，所述方法包括：

当确定NAT板出现故障时，转发平面将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板；

转发平面接收携带有用户标识的报文，所述用户标识用于识别唯一的用户；

当所述用户标识对应的用户表项的NAT属性为无效时，转发平面不处理所接收的报文。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述用户标识对应的用户表项中的NAT属性为无效时，转发平面向所述用户标识对应的用户设备发送流量抑制报文，以使所述用户设备不再向转发平面发送报文或者所述用户设备发送的报文无法送达转发平面。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

转发平面通过检测NAT板的NAT进程确定NAT板的状态；

若所述NAT进程故障或重启，则转发平面确定NAT板出现故障。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

若NAT板故障恢复，则转发平面将用户类型为NAT类型的用户表项的NAT属性设置为有效，以便于转发平面将报文发送至NAT板。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

若NAT板故障恢复，则转发平面向所述用户标识对应的用户设备发送流量恢复报文，以使所述用户设备继续向转发平面发送报文或者所述用户设备发送的报文正常送达转发平面。

6.根据权利要求5所述的方法，其特征在于，所述流量恢复报文为ARP报文。

7.一种NAT板的监控装置，其特征在于，所述装置应用于BRAS的转发平面中，所述转发平面存储有控制平面下发的用户表项，所述用户表项中记录有用户对应的用户类型，所述装置包括：

第一设置模块，用于当确定NAT板出现故障时，将用户类型为NAT类型的用户表项的NAT属性设置为无效，所述NAT类型用于表示需要将报文发送至NAT板；

报文接收模块，用于接收携带有用户标识的报文，所述用户标识用于识别唯一的用户；

报文处理模块，用于当所述用户标识对应的用户表项的NAT属性为无效时，不处理所接收的报文。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一发送模块，用于当所述用户标识对应的用户表项中的NAT属性为无效时，向所述用户标识对应的用户设备发送流量抑制报文，以使所述用户设备不再向转发平面发送报文或者所述用户设备发送的报文无法送达转发平面。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

状态检测模块，用于通过检测NAT板的NAT进程确定NAT板的状态；

故障确定模块，用于当所述NAT进程故障或重启时，确定NAT板出现故障。

10.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第二设置模块，用于当NAT板故障恢复时，将用户类型为NAT类型的用户表项的NAT属性设置为有效，以便于转发平面将报文发送至NAT板。

11.根据权利要求10所述的装置，其特征在于，所述装置还包括：

第二发送模块，用于当NAT板故障恢复时，向所述用户标识对应的用户设备发送流量恢复报文，以使所述用户设备继续向转发平面发送报文或者所述用户设备发送的报文正常送达转发平面。

12.根据权利要求11所述的装置，其特征在于，所述流量恢复报文为ARP报文。

Images