CN110753137A

CN110753137A - 一种实现一对一网络地址转换网关水平扩展的方法

Info

Publication number: CN110753137A
Application number: CN201911020864.9A
Authority: CN
Inventors: 杨燚; 张晖; 孙思清; 李彦君
Original assignee: Inspur Cloud Information Technology Co Ltd
Current assignee: Inspur Cloud Information Technology Co Ltd
Priority date: 2019-10-25
Filing date: 2019-10-25
Publication date: 2020-02-04
Anticipated expiration: 2039-10-25
Also published as: CN110753137B

Abstract

本发明公开一种实现一对一网络地址转换网关水平扩展的方法，涉及网关转换技术领域；配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；交换机与NAT网关通过OSPF路由协议进行OSPF会话，在流量流出方向，内侧交换机根据IP五元组数据包分发流量到不同NAT网关，NAT网关根据openflow规则将源IP地址修改为公网的IP地址，并将流量导到外侧交换机，在流量回来的方向，外侧交换机根据IP五元组数据包将流量送到一个NAT网关，所述的NAT网关将目标IP地址修改为公网IP地址，将流量送到内侧交换机。

Description

一种实现一对一网络地址转换网关水平扩展的方法

技术领域

本发明公开一种实现一对一网络地址转换网关水平扩展的方法，涉及网关转换技术领域。

背景技术

现有的NAT网关基本使用conntrack来实现，通过维护一个连接表来实现多对一或多对少的NAT，意味着对于任何一个连接，进出的网关必须是同一个，否则网络就不通。因此现有的NAT网关集群让所有的NAT网关节点都互相同步连接的状态数据，保证每一个NAT网关拥有和其它的NAT网关一样的连接状态表，从而达到水平扩展(HorizontalScalability)，但是此实现方式中所有的数据包需要被复制到每一个NAT网关以便更新连接表状态，因此必须有专门的网络来确保状态同步的顺畅，需要交换机和网卡，及每个NAT网关消耗额外的计算和网络资源完成状态同步。本发明提供一种实现一对一网络地址转换网关水平扩展的方法，使用核心交换机的ECMP路由能力可以把不同的流量依据IP五元组(源IP，源端口，目标IP，目标端口和协议类型)哈希值分发到不同的NAT网关，从而实现负载均衡和水平扩展。

NAT：Network Address Translation，网络地址转换，即通过把私网IP地址转换成公网IP地址来实现内网/私网物理机或虚拟机对外网/公网的访问。一对一NAT即每个私网IP对应一个公网IP，这样IP包只做IP地址转换，不做端口转换。

Horizontal Scalability:水平扩展，即通过使用更多的设备来实现性能的横向扩展。

Bond:就是两个或多个网络接口组合绑定形成一个逻辑的网络接口，从而提高网口的带宽或吞吐率，也实现了高可用性，这些接口可以连接到一个或多个交换机，如果是多个交换机，这多个交换机也必须绑定，形成一个逻辑交换机。

Conntrack：Connection Track，即连接状态跟踪，它是Linux实现防火墙，SNAT，NAT的基础。它为所有的网络连接维护了一个连接状态表，每一个表项跟踪一个特定的连接的状态。它不仅仅用于TCP，UDP，ICMP等都可以用它来跟踪。

ECMP：Equal Cost Multi-Path Routing，等成本多径路由，就是到达同样的目的地可以经由多个成本相等的路径中的任何一个的下一跳来完成，这样既可以实现路由冗余，又可以实现负载均衡。

OSPF：Open Shortest Path First，开放最短路径优先，是一个内部网关协议(Interior Gateway Protocol，简称IGP)，用于在单一自治系统(Autonomous System，AS)内决策路由，是对链路状态路由协议的一种实现，使用Dijkstra算法来计算最短路径。OSPF支持负载均衡和基于服务类型的选路，也支持多种路由形式，如主机路由和子网路由等。

VIP：Virual IP，即虚IP地址，用于在多个服务器或设备上共用一个VIP地址，来实现高可用性(主备或多活)，通常用VRRP(Virtual Router Redundancy Protocol,虚拟路由冗余协议)来实现。

VRRP：Virtual Router Redundancy Protocol,虚拟路由冗余协议，用于实现路由器的高可用性，也用于实现服务器的高可用性，主要是主备模式。

发明内容

本发明针对现有技术的问题，提供一种实现一对一网络地址转换网关水平扩展的方法，本发明提出的具体方案是：

一种实现一对一网络地址转换网关水平扩展的方法，配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

在流量流出方向，内侧交换机根据IP五元组数据包分发流量到不同NAT网关，NAT网关根据openflow规则将源IP地址修改为网的IP地址，并将流量导到外侧交换机，

在流量回来的方向，外侧交换机根据IP五元组数据包将流量送到一个NAT网关，所述的NAT网关将目标IP地址修改为内网IP地址，将流量送到内侧交换机。

所述的方法中利用VIP对其中一个NAT网关的openflow规则进行配置，将配置分发到其他NAT网关，保证每一个NAT网关上的openflow规则相同。

所述的方法中任何一个NAT网关失效，不再参与IP五元组数据包的分派，并将原来分派给失效NAT网关的IP五元组数据包分派到其它运行正常的NAT网关上。

所述的方法中失效的NAT网关修复后，到达失效的NAT网关的路由将广播到内侧交换机和外侧交换机，内侧交换机和外侧交换机将重新分派给失效的NAT网关IP五元组数据包。

一种实现一对一网络地址转换网关水平扩展的系统，包括交换机和NAT网关，

其中NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

在流量流出方向，内侧交换机根据IP五元组数据包分发流量到不同NAT网关，NAT网关根据openflow规则将源IP地址修改为公网的IP地址，并将流量导到外侧交换机，

所述的系统中其中一个NAT网关利用VIP进行openflow规则的配置，并将配置分发到其他NAT网关，保证每一个NAT网关上的openflow规则相同。

所述的系统中任何一个NAT网关失效，不再参与IP五元组数据包的分派，并将原来分派给失效NAT网关的IP五元组数据包分派到其它运行正常的NAT网关上。

所述的系统中修复失效的NAT网关后，到达失效的NAT网关的路由将广播到内侧交换机和外侧交换机，内侧交换机和外侧交换机将重新分派给失效的NAT网关IP五元组数据包。

本发明的有益之处是：

本发明提供一种实现一对一网络地址转换网关水平扩展的方法，配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；交换机与NAT网关通过OSPF路由协议进行OSPF会话，在流量流出方向，内侧交换机根据IP五元组数据包分发流量到不同NAT网关，NAT网关根据openflow规则将源IP地址修改为公网的IP地址，并将流量导到外侧交换机，在流量回来的方向，外侧交换机根据IP五元组数据包将流量送到一个NAT网关，所述的NAT网关将目标IP地址修改为公网IP地址，将流量送到内侧交换机；

利用本发明方法使用核心交换机的ECMP路由能力可以把不同的流量依据IP五元组(源IP，源端口，目标IP，目标端口和协议类型)哈希值分发到不同的NAT网关，从而根据业务需要实现快速的水平扩展和负载均衡，可实现零配置下NAT网关的动态增加和移出，避免使用额外的负载均衡设备和专有的NAT网关设备，大大降低部署和运维成本。

附图说明

图1是本发明系统框架示意图；

图2是本发明方法流程示意图。

具体实施方式

本发明提供一种实现一对一网络地址转换网关水平扩展的方法，配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

在流量回来的方向，外侧交换机根据IP五元组数据包将流量送到一个NAT网关，所述的NAT网关将目标IP地址修改为公网IP地址，将流量送到内侧交换机。

同时提供与上述方法相应的一种实现一对一网络地址转换网关水平扩展的系统，包括交换机和NAT网关，

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定。

利用本发明方法实现一对一网络地址转换网关水平扩展，具体过程为：

配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，使带宽加倍，同时实现了高可用性，一旦一个物理网口或一个物理交换机坏了，网络仍可继续正常工作，可以在继续保持正常服务的状态下更换坏的交换机，同时NAT网关配置openflow规则；

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

在流量流出方向，根据IP五元组的哈希值把它送到一个NAT网关，NAT网关根据配置的openflow规则把源IP地址修改为一个公网的IP地址，然后路由到外侧交换机，即防火墙侧的交换机，IP五元组包括源IP，源端口，目标IP，目标端口和协议类型，

在流量回来的方向，外侧交换机根据IP五元组的哈希值送到一个NAT网关，该NAT网关与出去的那个NAT网关通常会是不同的，该NAT网关会将目标IP地址修改为通过openflow规则配置的内网的IP地址，然后送到内侧交换机。

在上述过程中，各NAT网关之间互为备份，任何一个NAT网关失效，不再参与IP五元组数据包的分派，并将原来分派给失效NAT网关的IP五元组数据包分派到其它运行正常的NAT网关上，失效的NAT网关修复后，到达失效的NAT网关的路由将广播到内侧交换机和外侧交换机，内侧交换机和外侧交换机将重新分派给失效的NAT网关IP五元组数据包。

上述过程中，使用x86服务器和OVS DPDK可以实现高性能的NAT网关，从而可以避免购买昂贵的专用的NAT网关和复杂的集群方案，具体为：

NAT网关使用普通的x86服务器，4个10G网口中，1个1G或10G的口，两个10G口绑定做一个bond连到交换机，另外两个10G口绑定做bond连接到另一侧的交换机，剩下的一个网口做管理网口，NAT网关使用Linux系统和OVS DPDK实现，参考代码如下：

$ovs-vsctl add-bond br-int dpdkbond0 p0 p1\

--set Interface p0 type＝dpdk options:dpdk-devargs＝0000:08:00.0\

--set Interface p1 type＝dpdk options:dpdk-devargs＝0000:08:00.1

$ovs-vsctl add-bond br-int dpdkbond1 p2 p3\

--set Interface p2 type＝dpdk options:dpdk-devargs＝0000:09:00.0\

--set Interface p3 type＝dpdk options:dpdk-devargs＝0000:09:00.1

在出去的方向上，NAT网关会把源IP地址修改为公网IP地址，openflow规则如下：

$sudo ovs-ofctl-Oopenflow13 add-flow${DPDK_BR}"table＝0,cookie＝${COOKIE},priority＝500,ip,in_port＝dpdk0,nw_src＝${FIP},actions＝set_field:${MACOUT}->eth_src,set_field:${ROUTER_OUT_MAC}->eth_dst,set_field:${EIP}->ip_src,output:${DPDK_OUT}"

在回来的方向上，NAT网关会把目标IP地址修改为内网的IP地址，openflow规则如下：

$sudo ovs-ofctl-Oopenflow13 add-flow${DPDK_BR}"table＝0,cookie＝${COOKIE},priority＝500,ip,in_port＝dpdk1,nw_dst＝${EIP},actions＝set_field:${MACIN}->eth_src,set_field:${ROUTER_IN_MA C}->eth_dst,set_field:${FIP}->ip_dst,output:${DPDK_IN}"

NAT网关上安装quagga来运行OSPF协议，两侧的网口都需要由OSPF接管路由，每一个NAT网关上的openflow规则完全相同，所有NAT网关有一个管理用VIP，使用该管理VIP对其中一个NAT网关进行配置，配置会同时分发到所有现存的NAT网关，每个NAT网关也运行keepalived(实现VRRP的服务进程)来实现管理VIP的失败转接，

交换机通过OSPF和ECMP把IP五元组分发到某一个NAT网关，NAT网关可以零配置动态增加和移出而不会中断业务，交换机和每一个NAT网关进行OSPF会话，确保配置在同一个OSPF area，认证信息一致以确保互相广播OSPF路由。

本发明方法避免了加入负载均衡器实现分流工作，此外可以在线随时动态增加或减少一个NAT网关而不影响现有的业务，从而可以无中断的扩容和修复坏的NAT网关，在不需要增加额外的交换机和负载均衡器的情况下就能实现高可用性和水平扩展。

本发明系统实现一对一网络地址转换网关水平扩展的具体过程与本发明应用过程相同，可参考本发明方法进行。

以上所述实施例仅是为充分说明本发明而所举的较佳的实施例，本发明的保护范围不限于此。本技术领域的技术人员在本发明基础上所作的等同替代或变换，均在本发明的保护范围之内。本发明的保护范围以权利要求书为准。

Claims

1.一种实现一对一网络地址转换网关水平扩展的方法，其特征是配置NAT网关两端：NAT网关内侧和外侧分别通过两个网络接口连接两个交换机，网络接口进行bond，同侧交换机进行bond，NAT网关配置openflow规则；

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

2.根据权利要求1所述的方法，其特征是利用VIP对其中一个NAT网关的openflow规则进行配置，将配置分发到其他NAT网关，保证每一个NAT网关上的openflow规则相同。

3.根据权利要求1或2所述的方法，其特征是任何一个NAT网关失效，不再参与IP五元组数据包的分派，并将原来分派给失效NAT网关的IP五元组数据包分派到其它运行正常的NAT网关上。

4.根据权利要求3所述的方法，其特征是失效的NAT网关修复后，到达失效的NAT网关的路由将广播到内侧交换机和外侧交换机，内侧交换机和外侧交换机将重新分派给失效的NAT网关IP五元组数据包。

5.一种实现一对一网络地址转换网关水平扩展的系统，其特征是包括交换机和NAT网关，

交换机与NAT网关通过OSPF路由协议进行OSPF会话，

6.根据权利要求5所述的系统，其特征是其中一个NAT网关利用VIP进行openflow规则的配置，并将配置分发到其他NAT网关，保证每一个NAT网关上的openflow规则相同。

7.根据权利要求5或6所述的系统，其特征是任何一个NAT网关失效，不再参与IP五元组数据包的分派，并将原来分派给失效NAT网关的IP五元组数据包分派到其它运行正常的NAT网关上。

8.根据权利要求7所述的系统，其特征是修复失效的NAT网关后，到达失效的NAT网关的路由将广播到内侧交换机和外侧交换机，内侧交换机和外侧交换机将重新分派给失效的NAT网关IP五元组数据包。