CN110062064A - 一种地址解析协议arp请求报文响应方法及装置 - Google Patents

Abstract

本发明实施例提供了一种地址解析协议ARP请求报文响应方法及装置，NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。NAT设备在未响应ARP请求报文时，主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的响应，从而保证了在NAT组网下网络设备间的正常通信。

Description

一种地址解析协议ARP请求报文响应方法及装置

技术领域

本发明涉及通信技术领域，特别是涉及一种地址解析协议ARP请求报文响应方法及装置。

背景技术

网络中的NAT(Network Address Translation，网络地址转换)设备可以将一个IP(Internet Protocol，因特网协议)地址转换为另一个IP地址，通过将一个网络的IP地址转换为另一个网络的IP地址，实现两个不同网络之间相互访问的目的。

众所周知，两个网络之间基于IP地址进行通信，而单个网络中的各网络设备之间基于MAC(Media Access Control媒体访问控制)地址进行通信。例如，若位于网络1中的网络设备1要与位于网络2中的网络设备2进行通信，通信过程为：网络设备1在本地ARP缓存表中查找是否有网络设备2的IP地址和MAC地址，若没有，则会广播携带网络设备2的IP地址的ARP(Address Resolution Protocol，地址解析协议)请求报文。

在发送ARP请求报文前，网络设备1会判断网络设备2的IP地址与网络设备1自身的IP地址是否为同一网段。

若为同一网段，则会在本地网络(即网络1)广播携带网络设备2的IP地址的ARP请求报文，网络设备2会返回携带自身MAC地址的ARP响应报文，网络设备1在ARP缓存表中记录网络设备2的IP地址与网络设备2的MAC地址。后续网络设备1可以依据ARP缓存表中记录的网络设备2的MAC地址，与网络设备2进行通信。

若不为同一网段，则会在本地网络(即网络1)广播携带网关的IP地址的ARP请求报文发送给网关，网关返回携带自身MAC地址的ARP响应报文，网络设备1在ARP缓存表中记录网关的IP地址与网关的MAC地址。后续网络设备1与网络设备2通信时，网络设备1再将数据报文1发送给网关，该数据报文1携带目的地址为网络设备2的IP地址。依据目的地址，网关发现该数据报文1不是发给自己的，而是发给网络设备2，那么网关则会在网络设备2所属网段的网络(即网络2)广播携带网络设备2的IP地址的ARP请求报文。网络设备2接收到ARP请求报文后，将自己的MAC地址填充到ARP响应报文，然后将ARP响应报文返回给网关。网关在ARP缓存表中记录网络设备2的IP地址与网络设备2的MAC地址，然后将数据报文1发送给网络设备2。网关也可以选择将网络设备2的MAC地址以ARP响应的形式发送给网络设备1。同理，网关会在ARP缓存表中记录网络设备1的IP地址与网络设备1的MAC地址，网络设备2会在ARP缓存表中记录网关的IP地址与网关的MAC地址。若网络设备2要向网络设备1发送数据报文2，则向网关发送数据报文2，数据报文2的目的地址为网络设备1的IP地址。

以上为网络设备1与网络设备2在同一网段及不同网段的ARP请求、响应及数据通信的过程。可以看出，对于网络设备2的IP地址与网络设备1的IP地址同一网段的情况，网关会认为网络设备2是在与网络设备1同一个网络中，携带网络设备2的IP地址的ARP请求报文只会在网络设备1所属的网络(即网络1)广播，该ARP请求报文不会被网关响应。

由于网关同样是连接不同网段的设备，因此网关可以被看作是连接不同网络的设备，故上述过程同样适用于具有NAT设备的组网环境中。在具有NAT设备的组网环境中，由于两个不同网络的网络设备之间的通信需要通过NAT设备进行转换，因此，网络设备1需要获取NAT设备的NAT入接口的IP地址。

但是，如果ARP请求报文携带的目的IP地址与NAT设备的NAT入接口的IP地址不同，且该目的IP地址与NAT设备的NAT入接口的IP地址为同一网段，则网络设备1发送的ARP请求报文只会在本地网络广播，不会进行三层转发。故NAT设备在接收到该ARP请求报文后，若判断该目的IP地址不为NAT入接口的IP地址，则不会进行ARP响应。

发明内容

本发明实施例的目的在于提供一种地址解析协议ARP请求报文响应方法及装置，以保证在NAT组网下网络设备间的正常通信。具体技术方案如下：

第一方面，本发明实施例提供了一种ARP请求报文响应方法，应用于NAT设备，所述方法包括：

接收第一网络的第一网络设备发送的地址解析协议ARP请求报文，所述ARP请求报文携带所述NAT设备提供的用于访问第二网络设备的互联网协议IP地址，所述第二网络设备位于第二网络；

判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

若所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的媒体访问控制MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备。

第二方面，本发明实施例提供了一种ARP请求报文响应装置，应用于NAT设备，所述装置包括：

接收模块，用于接收第一网络的第一网络设备发送的地址解析协议ARP请求报文，所述ARP请求报文携带所述NAT设备提供的用于访问第二网络设备的互联网协议地址IP地址，所述第二网络设备位于第二网络；

判断模块，用于判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

发送模块，用于若所述判断模块的判断结果为所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的媒体访问控制MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备。

第三方面，本发明实施例提供了一种NAT设备，包括处理器和机器可读存储介质，其中，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述机器可执行指令由所述处理器加载并执行，以实现本发明实施例第一方面所提供的方法步骤。

第四方面，本发明实施例提供了一种机器可读存储介质，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令在被处理器加载并执行时，实现本发明实施例第一方面所提供的方法步骤。

本发明实施例提供的一种地址解析协议ARP请求报文响应方法及装置，NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。NAT设备在判定用于访问第二网络设备的IP地址命中地址转换策略时，可以确定第一网络设备与第二网络设备为不同网络的设备，而NAT设备在判定用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段时，NAT设备可以确定NAT设备并不会正常响应该ARP请求报文，则NAT设备应当响应该ARP请求报文，因此NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的正常响应，从而保证了在NAT组网下处于不同网络的第一网络设备、第二网络设备间的正常通信。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术的组网结构示意图；

图2为本发明实施例的ARP请求报文响应方法的流程示意图；

图3a为本发明实施例的一具体应用场景的组网结构示意图；

图3b为本发明实施例的外网终端请求访问内网资源时的流程示意图；

图4为本发明实施例的ARP请求报文响应装置的结构示意图；

图5为本发明实施例的NAT设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在如图1所示的组网中，包括内网服务器101、NAT设备102和外网终端103。内网服务器101用于提供资源给外网终端103访问，例如DNS(Domain Name System，域名系统)服务、HTTP(Hyper Text Transport Protocol，超文本传输协议)服务、FTP(File TransferProtocol，文件传输协议)服务等。NAT设备102为用于实现内网IP地址和外网IP地址转换的设备，在收到从外网终端103发送的报文后，按照一定的转换规则，将报文的目的IP地址进行转换；在收到从内网服务器101发送的报文后，按照一定的转换规则，将报文的源IP地址进行转换。外网终端103通过访问NAT设备的接口IP地址，访问内网资源，如DNS服务、HTTP服务、FTP服务等。

在外网终端103要与内网服务器101进行通信时，外网终端103在本地ARP缓存表中查找是否有内网服务器101的IP地址(该IP地址为NAT设备102向外网终端103提供的内网服务器101的IP地址，并不是内网服务器101真实的IP地址)和MAC地址，若没有，则会广播携带内网服务器101的IP地址的ARP请求报文。

NAT设备在接收到ARP请求报文后，如果识别出目的IP地址和NAT入接口的IP地址为同一网段，由于这种情况下NAT设备不响应ARP请求报文，则会导致外网终端103无法与内网服务器101正常通信。

为了保证在NAT组网下网络设备间的正常通信，本发明实施例提供了一种ARP请求报文响应方法、装置、NAT设备及机器可读存储介质。NAT设备在接收到第一网络设备发送的ARP请求报文后，如果判断出ARP请求报文中携带的NAT设备提供的用于访问第二网络设备的IP地址命中地址转换策略，即发送ARP请求报文的第一网络设备可以与另一个网络中的第二网络设备通信，并且当前不会正常响应该ARP请求报文，则NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对ARP请求报文的响应，从而保证了在NAT组网下网络设备间的正常通信。下面，首先对本发明实施例所提供的ARP请求报文响应方法进行介绍。

本发明实施例所提供的ARP请求报文响应方法的执行主体为图1所示组网中的NAT设备，实现本发明实施例所提供的ARP请求报文响应方法的方式可以为设置于NAT设备中的软件、硬件电路和逻辑电路中的至少一种。

如图2所示，本发明实施例所提供的一种ARP请求报文响应方法，可以包括如下步骤。

S201，接收第一网络的第一网络设备发送的ARP请求报文，其中，ARP请求报文携带NAT设备提供的用于访问第二网络设备的IP地址，第二网络设备位于第二网络。

第一网络可以为图1所示组网中的外网，则第一网络设备可以为图1所示组网中的外网终端；第二网络可以为图1所示组网中的内网，则第二网络设备可以为图1所示组网中的内网服务器。在另外的示例中，第一网络和第二网络也可以为两个独立的私网。

在第一网络设备要与第二网络设备进行通信时，第一网络设备在本地ARP缓存表中查找是否有第二网络设备的IP地址和MAC地址。为了保证网络的安全性，第一网络设备所获知的第二网络设备的IP地址是NAT设备提供的用于访问位于第二网络的第二网络设备的IP地址，该IP地址并非第二网络设备真实的IP地址。

如果ARP缓存表中没有第二网络设备的IP地址和MAC地址，则第一网络设备会广播携带第二网络设备的IP地址的ARP请求报文，ARP请求报文中通常携带有五元组信息，包括源IP地址、源端口号、目的IP地址、目的端口号和传输层协议。对于第一网络设备发送的ARP请求报文，源IP地址即为第一网络设备的IP地址，目的IP地址即为NAT设备提供的用于访问第二网络设备的IP地址。

一般情况下，NAT设备在收到ARP请求报文后，如果NAT设备的ARP缓存表中记录有ARP请求报文中携带的第二网络设备的IP地址，则从ARP缓存表中对应查找到第二网络设备的MAC地址，然后将第二网络设备的MAC地址携带在ARP响应报文中返回给第一网络设备。

然而，在用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段时，NAT设备不会响应ARP请求报文，导致第一网络设备无法获得ARP响应报文，使得第一网络设备的数据报文无法到达NAT设备，第一网络设备和第二网络设备无法正常通信。因此，需要从ARP请求报文中提取出第二网络设备的IP地址，利用第二网络设备的IP地址来判断NAT设备是否正常响应ARP请求报文。

S202，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段。

一个示例中，NAT设备上预先设置有地址转换策略，地址转换策略中记录有源IP地址、目的IP地址等地址映射关系。

如果第二网络设备的IP地址可以命中地址转换策略，则说明携带有该IP地址的ARP请求报文在通过NAT设备的地址转换之后，可以转发至第二网络中对应的第二网络设备。如果第二网络设备的IP地址无法命中地址转换策略，则说明NAT设备在接收到携带有该IP地址的ARP请求报文后，无法进行地址转换，也就无法转发到第二网络中的第二网络设备。地址转换策略的命中是指地址转换策略中记录有该IP地址与另一IP地址的映射关系，例如，第二网络设备的IP地址为20.1.1.1，地址转换策略中记录有20.1.1.1与192.168.1.1的映射关系，则说明第二网络设备的IP地址可以命中地址转换策略。通过判定第二网络设备的IP地址命中地址转换策略，可以确定第二网络设备与第一网络设备位于不同的网络。

并且，还需要判断用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，NAT入接口是指NAT设备提供的第一网络设备对应入方向的接口，该接口提供有NAT服务。例如，对于图1对于第一网络设备而言，NAT设备中位于第一网络的接口即为NAT设备的NAT入接口。如果用于访问第二网络设备的IP地址(即目的IP地址)与NAT设备的NAT入接口的IP地址为同一网段，此时，NAT设备不会向第一网络设备返回对应的ARP响应报文，但是，实际上NAT设备应当响应该ARP请求报文。

基于上述分析，NAT设备通过对用于访问第二网络设备的IP地址是否命中地址转换策略进行判断，用来说明NAT设备中是否有对第二网络设备的IP地址的有效转换、以及第一网络设备和第二网络设备是否位于不同的网络；NAT设备通过对用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口IP地址为同一网段进行判断，以此判断是否应当返回ARP响应报文。

判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略的步骤，与判断用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段的步骤可以同时进行，也可以先后执行。本申请实施例不对两者的执行顺利作特别限定。

例如，在确定用于访问第二网络设备的IP地址命中预先设置的地址转换策略之后，再判断用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段。或者，在确定用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段之后，再判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略。

可选的，ARP请求报文还可以携带第一网络设备的IP地址。

则在执行S202之前，本发明实施例所提供的ARP请求报文响应方法还可以执行：判断第一网络设备的IP地址是否为已授权访问的IP地址，若是则执行S202。

由于第一网络设备可能是未授权访问的网络设备，如果未授权访问的网络设备发来ARP请求报文，而该ARP请求报文携带的用于访问第二网络设备的IP地址又能命中预先设置的地址转换策略，如果响应ARP请求报文，会导致网络不安全。因此，为了保证网络的安全性，可以在进行如S202的判断之前，首先判断第一网络设备的IP地址是否为已授权访问的IP地址，只有当第一网络设备的IP地址是已授权访问的IP地址时，再进行S202的判断步骤。当第一网络设备的IP地址为未授权访问的IP地址时，丢弃该ARP请求报文。

在一个示例中，NAT设备还可以记录第一网络中每一个第一网络设备的IP地址的访问权限。

在另一个示例中，也可以通过查询地址转换策略中是否包括第一网络设备的IP地址，判断第一网络设备的IP地址是否被授权。如果地址转换策略中记录有第一网络设备的IP地址，则说明第一网络设备的IP地址为已授权访问的IP地址。

可选的，在执行S202之前，本发明实施例所提供的请求报文响应方法还可以执行：判断是否已响应ARP请求报文，若未响应ARP请求报文，则执行S202。

一个示例中，NAT设备在接收到ARP请求报文之后，对接收ARP请求报文的NAT入接口进行监测，监测NAT入接口在预设时间内是否发出报文。如果监测结果是在预设时间内未发出报文，则确定没有响应ARP请求报文；如果在预设时间内监测到有报文发出，则确定响应了ARP请求报文。

另一个示例中，NAT设备通过向第一网络设备发送检测指令，根据第一网络设备返回的响应信息来判断是否已响应ARP请求报文。检测指令具体可以通过探测报文的形式发送到第一网络设备。在一个可选的实施例中，NAT设备构造一个探测报文，该探测报文的格式具体如下：

其中，端口号为发送设备与接收设备协商的端口号，该端口号为非公知端口号。

响应标志包括以下标识：

0表示为查询报文，用于查询是否响应ARP请求报文；

1表示为响应报文，用于表示已响应ARP请求报文；

2表示为响应报文，用于表示未响应ARP请求报文。

其中，网络设备发送了源IP地址为探测报文的目的IP地址、目的IP地址为探测报文的源IP地址、源MAC地址为探测报文的目的MAC地址、目的MAC地址为空的ARP请求报文后，若第一网络设备确定接收到源IP地址为探测报文的源IP地址、目的IP地址为探测报文的目的IP地址、源MAC地址为探测报文的源MAC地址、目的MAC地址为探测报文的目的MAC地址的ARP响应报文，则认为已经响应了ARP请求报文。

例如，如果第一网络设备确定已经收到ARP响应报文，则可以将返回给NAT设备的探测回应报文的响应标志设置为1，NAT设备在收到并解析探测回应报文后，通过读取响应标志的值，确定已响应ARP请求报文。

再例如，如果第一网络设备确定未收到ARP响应报文，则可以将返回给NAT设备的探测回应报文的响应标志设置为2，NAT设备在收到并解析探测回应报文后，通过读取响应标志的值，确定未响应ARP请求报文。

结合本申请实施例，假设第一网络设备发送了源IP地址为第一网络设备的源IP地址、目的IP地址为NAT入接口的目的IP地址、源MAC地址为第一网络设备的源MAC地址、目的MAC地址为空的ARP请求报文后，且第一网络设备确定接收到源IP地址为NAT入接口的源IP地址、目的IP地址为第一网络设备的目的IP地址、源MAC地址为NAT入接口的源MAC地址、目的MAC地址为第一网络设备的目的MAC地址的ARP响应报文。

此时，NAT设备向第一网络设备发送了探测查询报文，该探测查询报文的源IP地址为NAT入接口的源IP地址、目的IP地址为第一网络设备的目的IP地址、源MAC地址为NAT入接口的源MAC地址、目的MAC地址为第一网络设备的目的MAC地址。

第一网络设备经查询，判定已经响应了ARP请求报文。此时，第一网络设备向NAT设备返回携带响应标志位为1的探测响应报文。

如果未响应ARP请求报文，再执行S202的判断步骤。

S203，若用于访问第二网络设备的IP地址命中地址转换策略，且用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段，则读取NAT入接口的MAC地址，并发送携带有NAT入接口的MAC地址的ARP响应报文至第一网络设备。

如果用于访问第二网络设备的IP地址命中地址转换策略，且用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段，此时，NAT设备可以读取NAT入接口的MAC地址，并将携带有该NAT入接口的MAC地址的ARP响应报文发送至第一网络设备，第一网络设备接收到ARP响应报文后，可以从ARP响应报文中读取到NAT入接口的MAC地址，第一网络设备可以将用于访问第二网络设备的IP地址和NAT入接口的MAC地址存储至本地ARP缓存表，则在发送用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段的业务报文时，可以直接基于ARP缓存表中记录的NAT入接口的MAC地址，将业务报文发送至NAT设备，NAT设备可以利用地址转换策略对业务报文中携带的用于访问第二网络设备的IP地址进行转换，根据转换后的第二网络设备真实的IP地址，将业务报文发送至第二网络设备。

NAT设备可以按照传统格式构造ARP响应报文，ARP响应报文的格式与ARP请求报文的格式相对应，例如，若ARP请求报文的格式为源IP地址、源MAC地址、目的IP地址和全零MAC，则ARP响应报文的格式为目的IP地址、接口MAC地址、源IP地址和源MAC地址。

可选的，ARP请求报文还可以携带第一网络设备的IP地址和MAC地址。

在执行S202之后，本发明实施例所提供的ARP请求报文响应方法还可以执行：

若用于访问第二网络设备的IP地址命中地址转换策略，且用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段，则将第一网络设备的IP地址和MAC地址存储至本地ARP缓存表。

如果用于访问第二网络设备的IP地址命中地址转换策略，且用于访问第二网络设备的IP地址与NAT入接口的IP地址为同一网段，NAT设备可以将第一网络设备的IP地址和MAC地址存储至本地ARP缓存表，以保证NAT设备对接收到的业务报文的正常转发。

针对如图1所示的组网结构，外网终端在要与内网服务器进行通信，而在本地ARP缓存表中未查找到内网服务器的IP地址和MAC地址时，则会广播携带内网服务器的IP地址的ARP请求报文，ARP请求报文中源IP地址即为外网终端的IP地址、目的IP地址即为NAT设备向外网终端提供的内网服务器的IP地址，NAT设备在确定目的IP地址命中地址转换策略，且目的IP地址与NAT设备中入接口的IP地址为同一网段时，可以将源IP地址及源MAC地址存储至本地ARP缓存表。

可选的，第一网络设备可以为外网终端，ARP请求报文可以携带源IP地址和目的IP地址，其中，源IP地址为外网终端的IP地址，目的IP地址为NAT设备提供的用于访问内网服务器的IP地址。

相应的，S202具体可以为：判断目的IP地址是否命中预先设置的地址转换策略，以及目的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段。

S203具体可以为：若目的IP地址命中地址转换策略，且目的IP地址与NAT入接口的IP地址为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至外网终端。

针对于外网终端发送ARP请求报文的情况，ARP请求报文为入方向的报文，此时，需要判断ARP请求报文中的目的IP地址(即NAT设备提供的用于访问内网服务器的IP地址)是否与NAT设备的NAT入接口的IP地址为同一网段。如果目的IP地址命中地址转换策略，且目的IP地址与NAT入接口的IP地址为同一网段，则将NAT入接口的MAC地址反馈给外网终端。

在如图1所示的组网下，内网服务器一般不会主动向外网发起ARP请求，因此，在本发明实施例中不考虑内网服务器发起ARP请求的情况。

对于两个网络都是私网的情况，NAT设备不论接收到那个私网的网络设备发送ARP请求报文，都可以按照上述过程进行处理，这里不再赘述。

应用本发明实施例，NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。NAT设备在判定用于访问第二网络设备的IP地址命中地址转换策略时，可以确定第一网络设备与第二网络设备为不同网络的设备，而NAT设备在判定用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段时，NAT设备可以确定NAT设备并不会正常响应该ARP请求报文，则NAT设备应当响应该ARP请求报文，因此NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的正常响应，从而保证了在NAT组网下处于不同网络的第一网络设备、第二网络设备间的正常通信。

为了便于理解本发明实施例所提供的ARP请求报文响应方法，下面以外网终端请求访问内网资源为例，对本发明实施例所提供的ARP请求报文响应方法进行详细介绍。

在图3a所示的具体应用场景下，外网终端的IP地址为192.168.1.0，内网服务器真实的IP地址为192.168.1.3，NAT设备提供的用于访问内网服务器的IP地址为192.168.1.4，即NAT设备的地址转换策略中记录有192.168.1.3与192.168.1.4的映射关系，NAT设备的NAT入接口的IP地址为192.168.1.1，以上IP地址的网络位号均为24。应当理解的是，在这里，第一网络为外网，第二网络为内网，第一网络设备为外网终端，第二网络设备为内网服务器。

如图3b所示，为图3a所示的具体应用场景下，外网终端请求访问内网资源时的流程示意图，主要流程如下：

第一步，NAT设备接收外网终端发送的ARP请求报文。请求报文的报文格式为：源IP地址、源MAC地址、目的IP地址、目的MAC即全零MAC。

源IP地址为外网终端的IP地址：192.168.1.0，目的IP地址为NAT设备提供的用于访问内网服务器的IP地址：192.168.1.4，由于源IP地址和目的IP地址为同一网段，都属于192.168.1.0/24这个网段，因此，按照ARP协议的原理，NAT设备是不会像外网终端响应ARP请求报文的。

第二步，NAT设备判断是否可以对ARP请求报文进行正常响应。如果不可以正常响应，则执行第三步，如果可以正常响应，则执行第六步至第七步。

NAT设备对NAT入接口进行监测，监测的结果为在预设时间内未发出报文，确定没有对ARP请求报文进行正常响应，因此执行第三步。

第三步，NAT设备从ARP请求报文中提取源IP地址、源MAC地址和目的IP地址。

第四步，NAT设备判断提取的源IP地址和目的IP地址是否命中地址转换策略。如果是则执行第五步，否则结束。

假设NAT设备上配置的地址转换策略中还记录有192.168.1.0是授权访问的源IP地址，则此时ARP请求报文中携带的源IP地址和目的IP地址命中了地址转换策略。

第五步，NAT设备判断目的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段。如果是则执行第六步，否则结束。

本例中，NAT设备可以判断出目的IP地址和NAT设备中入接口的IP地址为同一网段，都是192.168.1.0/24网段。

第六步，NAT设备读取NAT入接口的MAC地址，并返回ARP响应报文至外网终端。响应报文的格式为：目的IP地址、NAT入接口MAC地址、源IP地址、源MAC地址。

上述ARP请求报文中携带的源IP地址和目的IP地址命中了地址转换策略，且目的IP地址和NAT设备中入接口的IP地址为同一网段，此时，NAT设备可以读取NAT入接口的MAC地址，并且按照(目的IP地址、NAT入接口MAC地址、源IP地址、源MAC地址)的格式向外网终端返回ARP响应报文。外网终端在收到ARP响应报文后，可以将目的IP地址、NAT入接口MAC地址、源IP地址、源MAC地址这些信息记录在本地ARP缓存表中，后续发送业务报文时，可以基于ARP缓存表进行发送。

第七步，NAT设备接收外网终端发送的业务报文，并利用地址转换策略，对业务报文进行NAT转换，其中，业务报文携带的目的IP地址与NAT设备对外提供的用于访问内网的IP地址：192.168.1.4，该目的IP地址与入接口的IP地址为同一网段。

NAT设备在收到ARP响应报文后，后续再发送目的IP地址为与NAT设备中入接口的IP地址为同一网段的IP地址时，可以直接基于ARP缓存表发送业务报文到NAT设备，NAT设备对业务报文进行IP地址转换和业务报文的转发。

相应于上述方法实施例，本发明实施例提供了一种ARP请求报文响应装置，如图4所示，应用于NAT设备，该请求报文响应装置可以包括：

接收模块410，用于接收第一网络的第一网络设备发送的地址解析协议ARP请求报文，所述ARP请求报文携带所述NAT设备提供的用于访问第二网络设备的互联网协议地址IP地址，所述第二网络设备位于第二网络；

判断模块420，用于判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

发送模块430，用于若所述判断模块420的判断结果为所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的媒体访问控制MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备。

可选的，所述ARP请求报文还可以携带所述第一网络设备的IP地址；

所述判断模块420，还可以用于：

判断所述第一网络设备的IP地址是否为已授权访问的IP地址；

若是，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

可选的，所述ARP请求报文还可以携带所述第一网络设备的IP地址和MAC地址；

所述装置还可以包括：

存储模块，用于若所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则将所述第一网络设备的IP地址和MAC地址存储至本地ARP缓存表。

可选的，所述第一网络设备可以为外网终端，所述ARP请求报文可以携带源IP地址和目的IP地址，所述源IP地址为所述外网终端的IP地址，所述目的IP地址为所述NAT设备提供的用于访问内网服务器的IP地址；

所述判断模块420，具体可以用于：

判断所述目的IP地址是否命中预先设置的地址转换策略，以及所述目的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

所述发送模块430，具体可以用于：

若所述目的IP地址命中所述地址转换策略，且所述目的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述外网终端。

可选的，所述判断模块420，还可以用于：

判断是否已响应所述ARP请求报文；

若否，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

应用本发明实施例，NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。NAT设备在判定用于访问第二网络设备的IP地址命中地址转换策略时，可以确定第一网络设备与第二网络设备为不同网络的设备，而NAT设备在判定用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段时，NAT设备可以确定NAT设备并不会正常响应该ARP请求报文，则NAT设备应当响应该ARP请求报文，因此NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的正常响应，从而保证了在NAT组网下处于不同网络的第一网络设备、第二网络设备间的正常通信。

本发明实施例还提供了一种NAT设备，如图5所示，包括处理器501和机器可读存储介质502，其中，所述机器可读存储介质502存储有能够被所述处理器501执行的机器可执行指令，所述机器可执行指令由所述处理器501加载并执行，以实现本发明实施例所提供的请求报文响应方法。

上述机器可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，机器可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

机器可读存储介质502与处理器501之间可以通过有线连接或者无线连接的方式进行数据传输，并且网络安全设备与其他设备之间可以通过有线通信接口或者无线通信接口进行通信。图5所示的仅为通过总线进行数据传输的示例，不作为具体连接方式的限定。

本实施例中，处理器通过读取机器可读存储介质中存储的机器可执行指令，并通过加载和执行机器可执行指令，能够实现：NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。

NAT设备在判定用于访问第二网络设备的IP地址命中地址转换策略时，可以确定第一网络设备与第二网络设备为不同网络的设备，而NAT设备在判定用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段时，NAT设备可以确定NAT设备并不会正常响应该ARP请求报文，则NAT设备应当响应该ARP请求报文，因此NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的正常响应，从而保证了在NAT组网下处于不同网络的第一网络设备、第二网络设备间的正常通信。

另外，本发明实施例还提供了一种机器可读存储介质，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令在被处理器加载并执行时，实现本发明实施例所提供的请求报文响应方法。

本实施例中，机器可读存储介质存储有在运行时执行本发明实施例所提供的请求报文响应方法的机器可执行指令，因此能够实现：NAT设备接收第一网络的第一网络设备发送的携带有用于访问第二网络设备的IP地址的ARP请求报文，判断用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及用于访问第二网络设备的IP地址是否与NAT设备的NAT入接口的IP地址为同一网段，若命中地址转换策略且为同一网段，则读取NAT入接口的MAC地址，并发送携带有该NAT入接口的MAC地址的ARP响应报文至第一网络设备。

NAT设备在判定用于访问第二网络设备的IP地址命中地址转换策略时，可以确定第一网络设备与第二网络设备为不同网络的设备，而NAT设备在判定用于访问第二网络设备的IP地址与NAT设备的NAT入接口的IP地址为同一网段时，NAT设备可以确定NAT设备并不会正常响应该ARP请求报文，则NAT设备应当响应该ARP请求报文，因此NAT设备主动读取NAT入接口的MAC地址，并向第一网络设备发送携带有该NAT入接口的MAC地址的ARP响应报文，实现了对第一网络设备发送的ARP请求报文的正常响应，从而保证了在NAT组网下处于不同网络的第一网络设备、第二网络设备间的正常通信。

对于NAT设备及机器可读存储介质实施例而言，由于其涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、NAT设备及机器可读存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (12)

1.一种地址解析协议ARP请求报文响应方法，其特征在于，应用于网络地址转换NAT设备，所述方法包括：

接收第一网络的第一网络设备发送的地址解析协议ARP请求报文，所述ARP请求报文携带所述NAT设备提供的用于访问第二网络设备的互联网协议IP地址，所述第二网络设备位于第二网络；

判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

若所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的媒体访问控制MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备。

2.根据权利要求1所述的方法，其特征在于，所述ARP请求报文还携带所述第一网络设备的IP地址；

在所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段之前，所述方法还包括：

判断所述第一网络设备的IP地址是否为已授权访问的IP地址；

若是，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

3.根据权利要求1所述的方法，其特征在于，所述ARP请求报文还携带所述第一网络设备的IP地址和MAC地址；

在所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段之后，所述方法还包括：

若所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则将所述第一网络设备的IP地址和MAC地址存储至本地ARP缓存表。

4.根据权利要求1所述的方法，其特征在于，所述第一网络设备为外网终端，所述ARP请求报文携带源IP地址和目的IP地址，所述源IP地址为所述外网终端的IP地址，所述目的IP地址为所述NAT设备提供的用于访问内网服务器的IP地址；

所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段，包括：

判断所述目的IP地址是否命中预先设置的地址转换策略，以及所述目的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

所述读取所述NAT入接口的MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备，包括：

若所述目的IP地址命中所述地址转换策略，且所述目的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述外网终端。

5.根据权利要求1所述的方法，其特征在于，在所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段之前，所述方法还包括：

判断是否已响应所述ARP请求报文；

若否，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

6.一种地址解析协议ARP请求报文响应装置，其特征在于，应用于网络地址转换NAT设备，所述装置包括：

接收模块，用于接收第一网络的第一网络设备发送的地址解析协议ARP请求报文，所述ARP请求报文携带所述NAT设备提供的用于访问第二网络设备的互联网协议地址IP地址，所述第二网络设备位于第二网络；

判断模块，用于判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

发送模块，用于若所述判断模块的判断结果为所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的媒体访问控制MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述第一网络设备。

7.根据权利要求6所述的装置，其特征在于，所述ARP请求报文还携带所述第一网络设备的IP地址；

所述判断模块，还用于：

判断所述第一网络设备的IP地址是否为已授权访问的IP地址；

若是，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

8.根据权利要求6所述的装置，其特征在于，所述ARP请求报文还携带所述第一网络设备的IP地址和MAC地址；

所述装置还包括：

存储模块，用于若所述用于访问第二网络设备的IP地址命中所述地址转换策略，且所述用于访问第二网络设备的IP地址与所述NAT入接口的IP地址为同一网段，则将所述第一网络设备的IP地址和MAC地址存储至本地ARP缓存表。

9.根据权利要求6所述的装置，其特征在于，所述第一网络设备为外网终端，所述ARP请求报文携带源IP地址和目的IP地址，所述源IP地址为所述外网终端的IP地址，所述目的IP地址为所述NAT设备提供的用于访问内网服务器的IP地址；

所述判断模块，具体用于：

判断所述目的IP地址是否命中预先设置的地址转换策略，以及所述目的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段；

所述发送模块，具体用于：

若所述目的IP地址命中所述地址转换策略，且所述目的IP地址与所述NAT入接口的IP地址为同一网段，则读取所述NAT入接口的MAC地址，并发送携带有所述NAT入接口的MAC地址的ARP响应报文至所述外网终端。

10.根据权利要求6所述的装置，其特征在于，所述判断模块，还用于：

判断是否已响应所述ARP请求报文；

若否，则执行所述判断所述用于访问第二网络设备的IP地址是否命中预先设置的地址转换策略，以及所述用于访问第二网络设备的IP地址是否与所述NAT设备的NAT入接口的IP地址为同一网段。

11.一种NAT设备，其特征在于，包括处理器和机器可读存储介质，其中，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述机器可执行指令由所述处理器加载并执行，以实现权利要求1-5任一项所述的方法。

12.一种机器可读存储介质，其特征在于，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令在被处理器加载并执行时，实现权利要求1-5任一项所述的方法。