CN107979656B - 一种静态nat业务支持动态识别入向流量的方法 - Google Patents

Abstract

本发明提供一种静态NAT业务支持动态识别入向流量的方法，动态识别访问服务器的流量，有针对性的选取地址池中的公网地址作为源地址给用户回复，与现有技术相比，本发明具有如下的有益效果：可以解决当前静态NAT无法动态为不同的流量选择不同地址的不足，并且不需要绑定出接口，业务更加灵活。

Description

一种静态NAT业务支持动态识别入向流量的方法

技术领域

本发明是一种静态NAT业务支持动态识别入向流量的方法，涉及网络通信 技术，更具体的说，是一种静态NAT业务支持动态识别入向流量的方法。

背景技术

NAT(NetworkAddressTranslation)，即网络地址转换。NAT技术是 一种地址转换技术，通常用来解决如下几个问题。

IPv4地址匮乏问题：NAT通过将私网地址转换为公网地址，可以较好解 决IPv4的网络地址匮乏难题。因此NAT主要在专用网和本地企业网中使用， 其中本地网络被指定为内部网，全球因特网被指定为外部网。本地网地址可 以通过NAT映射到外部网中的一个或多个地址，且用于转换的外部网地址数 目可以少于需要转换的本地网IP地址数目

网络安全问题：采用NAT可以有效地将内部网络地址对外隐藏，在NAT 出口路由器上实施安全措施的机制将网络安全配置工作的难度减小。

对于网络安全问题，现有还没有一种规范化的方法来处理。

发明内容

针对现有技术存在的不足，本发明目的是提供一种静态NAT业务支持动态 识别入向流量的方法，以解决上述背景技术中提出的问题。

为了实现上述目的，本发明是通过如下的技术方案来实现：一种静态NAT 业务支持动态识别入向流量的方法，包括：

步骤1：服务器在私网内部，NAT设备代理该路由器的对外业务；

步骤2：NAT设备为服务器做代理使用两个公网地址，电信IP1，联通IP2；

步骤3：服务器在私网的地址为IP3；

步骤4：NAT设备配置IP3<-->IP1和IP3<-->IP2两个静态条目；

步骤5：当电信用户IPSRC1访问IP1时，NAT设备记将IP1转换成IP3发 往私网服务器，同时生成一条IP3<-->IP1[源地址＝IPSRC1]的动态子条目；

步骤6：服务器响应电信用户IPSRC1请求，回复报文源地址为IP3，目的 地址为IPSRC1，经过NAT设备，NAT设备使用源地址IP3+目的地址IPSRC1查询 转换条目，可以查到步骤5生成的子条目，即可选用IP1作为转换的源地址， 回复报文给电信用户；

步骤7：当联通用户IPSRC2访问IP2时，NAT设备将IP2转换成IP3发往 私网服务器，同时生成一条IP3<-->IP2[源地址＝IPSRC2]的动态子条目，服务器 回复报文时，类似步骤6的过程，查询到IP3<-->IP2[源地址＝IPSRC2]子条目， 即可正确选择IP2作为转换的源地址，回复报文给联通用户；

步骤8：步骤步骤5、步骤6、步骤7中所述动态子条目，在一定老化周期 内被老化，释放所占用资源。

本发明的有益效果：本发明的一种静态NAT业务支持动态识别入向流量的 方法，可以解决当前静态NAT无法动态为不同的流量选择不同地址的不足，并 且不需要绑定出接口，业务更加灵活。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其 它特征、目的和优点将会变的更明显：

图1为本发明一种静态NAT业务支持动态识别入向流量的方法的示意图；

图2为本发明一种静态NAT业务支持动态识别入向流量的方法的条目生成 过程图；

具体实施方式

为使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解， 下面结合具体实施方式，进一步阐述本发明。

请参阅图1，本发明提供一种技术方案：一种静态NAT业务支持动态识别入 向流量的方法，包括：

步骤1：服务器在私网内部，NAT设备代理该路由器的对外业务；

步骤2：NAT设备为服务器做代理使用两个公网地址，电信IP1，联通IP2；

步骤3：服务器在私网的地址为IP3；

步骤4：NAT设备配置IP3<-->IP1和IP3<-->IP2两个静态条目；

步骤5：当电信用户IPSRC1访问IP1时，NAT设备记将IP1转换成IP3发 往私网服务器，同时生成一条IP3<-->IP1[源地址＝IPSRC1]的动态子条目，请参 阅图2；

步骤6：服务器响应电信用户IPSRC1请求，回复报文源地址为IP3，目的 地址为IPSRC1，经过NAT设备，NAT设备使用源地址IP3+目的地址IPSRC1查询 转换条目，可以查到步骤5生成的子条目，即可选用IP1作为转换的源地址， 回复报文给电信用户；

步骤7：当联通用户IPSRC2访问IP2时，NAT设备将IP2转换成IP3发往 私网服务器，同时生成一条IP3<-->IP2[源地址＝IPSRC2]的动态子条目，服务器 回复报文时，类似步骤6的过程，查询到IP3<-->IP2[源地址＝IPSRC2]子条目， 即可正确选择IP2作为转换的源地址，回复报文给联通用户；

步骤8：步骤步骤5、步骤6、步骤7中所述动态子条目，在一定老化周期 内被老化，释放所占用资源。

作为本发明的一个实施例：本发明的一种静态NAT业务支持动态识别入向 流量的方法，可以解决当前静态NAT无法动态为不同的流量选择不同地址的不 足，并且不需要绑定出接口，业务更加灵活。

作为本发明的一个实施例：本专利主要解决上述第2点在实际应用过程中 的一个实际问题：这种场景下通常采用把服务器放置在NAT私网，服务器拥有 一个私网地址，NAT设备代理服务器的对外业务，所以公网用户访问的是NAT设 备，并不直接访问服务器，从而达到网络内部地址对外隐藏。但在多运营商的 网络环境中，一方面，代理私网服务器的NAT设备，往往拥有多个公网地址， 形成一个地址池；同时，针对这种服务器在私网的场景，往往采取静态NAT的 方式，以保证从公网主动访问私网的流量可以进行NAT转换。另一方面，针对 同一个域名，不同运行商的DNS服务器会给终端用户返回不同的公网地址，这 就要求NAT设备在静态NAT场景中，需要动态识别访问服务器的流量，有针对 性的选取地址池中的公网地址作为源地址给用户回复。

作为本发明的一个实施例：静态NAT动态识别入向流量的配置：

Interfacegei-1/1：

staticsourcerule-id1public192.11.1.22000100.1.1.210000tcp；

staticsourcerule-id2public192.11.1.22000200.1.1.210000tcp；

如果电信用户访问服务器的目的地址是100.1.1.2，目的端口号10000，则 记录子条目在第一条配置下，如果联通用户访问100.1.1.2，目的端口号10000， 则记录在第二条配置下，回程流量按照子条目转换即可做到NAT静态场景下对 动态流量的识别。

以上显示和描述了本发明的基本原理和主要特征和本发明的优点,对于本 领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背 离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因 此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的， 本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求 的等同要件的含义和范围内的所有变化囊括在本发明内。

此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式 仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领 域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当 组合，形成本领域技术人员可以理解的其他实施方式。

Claims (1)

1.一种静态NAT业务支持动态识别入向流量的方法，其特征在于：包括：

步骤1：服务器在私网内部，NAT设备代理路由器的对外业务；

步骤2：NAT设备为服务器做代理使用两个公网地址，电信IP1，联通IP2；

步骤3：服务器在私网的地址为IP3；

步骤4：NAT设备配置IP3<-->IP1和IP3<-->IP2两个静态条目；

步骤5：当电信用户IPSRC1访问IP1时，NAT设备记将IP1转换成IP3发往服务器，同时生成一条IP3<-->IP1，源地址=IPSRC1的动态子条目；

步骤6：服务器响应电信用户IPSRC1请求，回复报文源地址为IP3，目的地址为IPSRC1，经过NAT设备，NAT设备使用源地址IP3+目的地址IPSRC1查询转换条目，可以查到步骤5生成的子条目，即可选用IP1作为转换的源地址，回复报文给电信用户；

步骤7：当联通用户IPSRC2访问IP2时，NAT设备将IP2转换成IP3发往服务器，同时生成一条IP3<-->IP2，源地址=IPSRC2的动态子条目，服务器回复报文时，类似步骤6的过程，查询到IP3<-->IP2，源地址=IPSRC2子条目，即可正确选择IP2作为转换的源地址，回复报文给联通用户；

步骤8：步骤步骤5、步骤6、步骤7中所述动态子条目，在一定老化周期内被老化，释放所占用资源。

Images