CN112769977B - 一种nat公网地址发布的方法及装置 - Google Patents

Abstract

本申请提供一种NAT公网地址发布的方法及装置，应用于网关设备，所述方法包括：基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；基于所述公网的路由协议向所述公网发布所述公网IP。通过以上技术方案可以根据网关设备当前学习到的路由的情况动态进行公网地址的发布，通过对公网地址发布的策略优化，使网关设备更精确的发布公网地址，避免错误的发布带来的网络攻击风险。

Description

一种NAT公网地址发布的方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种NAT公网地址发布的方法及装置。

背景技术

目前，由于IPv4地址资源有限，如果给每个网络设备都分配一个公网地址，IPv4地址显然不够用。因此，可以根据需要划分出内网，为内网中的网络设备分配内网地址，并为这些不同的内网地址分配共用的公网地址来访问公网，内网的网络设备通过复用公网地址缓解IPv4地址不足的问题。

当内网中的主机之间互访时，可以通过使用内网地址实现，而使用内网地址的主机不能直接访问公网，公网也不能直接访问使用内网地址的主机，这就需要部署在内网与公网之间的网关设备，能够进行网络地址转换实现内网与公网的互访。

NAT(Network Address Translation，网络地址转换)功能，是部署于网关设备中的一种常见的功能，网关设备可以通过该功能，将内网使用的内网地址与公网所使用的公网地址相互进行转换。在实际应用中，公网想要访问内网的主机时，需要根据公网地址将报文发送到网关设备，这就需要网关设备向公网发布自身所使用的公网地址。

发明内容

有鉴于此，本申请提供一种NAT公网地址发布的方法和装置，以解决公网地址发布策略不合理的问题。

具体地，本申请是通过如下技术方案实现的：

第一方面，本申请提出一种NAT公网地址发布的方法，应用于网关设备，该方法包括：

基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

基于所述公网的路由协议向所述公网发布所述公网IP。

第二方面，本申请还提出一种NAT公网地址发布的装置，应用于网关设备，该装置包括：

学习单元，用于基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

映射单元，用于基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

发布单元，用于基于所述公网的路由协议向所述公网发布所述公网IP。

第三方面，本申请还提供一种NAT公网地址发布的装置，应用于网关设备，该装置包括：

处理器；用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为：

基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

基于所述公网的路由协议向所述公网发布所述公网IP。

分析以上技术方案可知，本申请通过根据网关设备当前内网的路由学习情况针对性地进行公网地址的发布，使网关设备可以更精确的发布公网地址，避免错误的发布带来的网络攻击风险。

进而，在网络中部署了多个网关设备的场景下，可以基于各个网关设备对管理的内网网段中的各个内网IP的路由学习情况，动态调整各个网关设备需要发布的公网IP，实现NAT流量的精准控制。

附图说明

图1是本申请一示例性实施例示出的一种NAT公网地址发布方法的流程图；

图2是本申请一示例性实施例示出的一种网络组网图；

图3是本申请一示例性实施例示出的一种NAT公网地址发布装置所在设备的硬件架构图；

图4是是本申请一示例性实施例示出的一种NAT公网地址发布装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请一个或多个实施例相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请一个或多个实施例的一些方面相一致的装置和方法的例子。

需要说明的是：在其他实施例中并不一定按照本申请示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本申请所描述的更多或更少。此外，本申请中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本申请中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。

网关设备用于连接内网和公网，内网中的网络设备之间可以通过内网地址实现互访，而内网中的网络设备不能直接访问公网，公网也不能直接访问内网中的网络设备，需要由网关设备的NAT功能进行网络地址转换才能实现内网和公网的互访。

当网关设备收到内网中的网络设备发送的访问公网的网络设备的请求报文时，网关设备可以为其分配可以使用的公网地址和端口号，将请求报文中的源IP地址和源端口替换为网关设备分配的公网地址和端口号，网关设备在进行地址转换之后将请求报文发送给公网的网络设备，同时将这次映射操作记录到NAT映射表中。

之后，当公网的网络设备发送回应报文到内网中的网络设备时，网关设备根据回应报文中的目的IP地址和目的端口查找NAT映射表中是否有匹配的记录，如果没有匹配到则丢弃该报文，如果匹配到对应的表项，则根据表项中记录的信息将回应报文的目的IP地址和目的端口替换为相应的内网中的网络设备的源IP地址和源端口，网关设备在进行该地址转换中之后将回应报文发送给内网中的网络设备。

由于公网的网络设备无法直接根据内网地址访问内网的网络设备，所以网关设备需要在公网使用的路由协议中向公网发布进行地址转换所使用的公网地址，以使公网的网络设备可以将访问内网的网络设备的报文发送到网关设备。在现有技术中，在配置了网关设备所使用的公网地址之后，网关设备就可以在公网所使用的路由协议中发布这些公网地址。

然而，当公网的网络设备根据网关设备发布的公网地址将发送给内网的网络设备的报文发送到网关设备时，如果网关设备未学习到内网地址的路由，那么网关设备无法将该报文正确发送到内网的网关设备，如果网关设备仅学到部分内网地址的路由，那么网关设备仅能将部分报文正确发送到内网的网关设备。

可见，网关设备直接在公网所使用的路由协议中发布所有公网地址，可能会导致网关设备无法将来自公网的网络设备的报文正确发送给内网的网络设备，网关设备处理过多的无效报文会导致CPU使用率过高，降低发送正常报文的效率，还可能因为暴露了全部公网地址，导致无法应对潜在的网络攻击的风险。

有鉴于此，本申请通过根据网关设备当前内网的路由学习情况针对性地进行公网地址的发布，使网关设备可以更精确的发布公网地址，避免错误的发布带来的网络攻击风险。进而，在网络中部署了多个网关设备的场景下，可以基于各个网关设备对管理的内网网段中的各个内网IP的路由学习情况，动态调整各个网关设备需要发布的公网IP，实现NAT流量的精准控制。

下面通过具体实施例并结合不同应用实例对本申请进行描述。

请参见图1，图1是本申请一示例性实施例示出的一种NAT公网地址发布方法的流程图，该方法可以应用于网关设备，包括以下步骤：

步骤101：基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

其中，网关设备作为连接内网和公网的网络设备，需要支持内网和公网所使用的的路由协议。如果网关设备不支持某一方的路由协议，则需要在网关设备和该网络之间部署一个代理设备，这个代理设备需要支持内网和公网所使用的的路由协议。

值得说明的是，内网与公网所使用的路由协议可以相同，也可以不同，本领域技术人员可以根据实际需求进行配置，本申请对此不做限定。

在本实施例中，用户可以根据内网所使用的的路由协议将内网划分成若干个内网网段，可以为每个网段配置一定数量的内网IP地址。

例如，在OSPF(Open Shortest Path First，开放最短路径优先)协议中，用户将内网划分成区域来管理。

在本实施例中，用户可以根据公网的路由协议配置公网地址的发布规则

例如，用户可以根据公网的BGP(Border Gateway Protocol，边界网关协议)协议配置向哪些对等体发布公网地址，或者根据公网的OSPF协议配置在哪些区域中发布公网地址。

在示出的一种实施方式中，网关设备可以基于管理的内网的路由协议，针对管理的内网网段中的各内网IP分别发布路由学习报文，学习到路由的内网IP会向网关设备返回响应报文，未学习到路由的内网IP不会回应报文，网关设备可以根据响应报文确定内网网段中学习到路由的内网IP。

例如，假设内网的路由协议为BGP协议时，当网关设备和内网的网络设备建立TCP连接之后，网关设备可以向内网的网络设备发送keepalive报文校验TCP的连通性，如果该网络设备的内网IP已经学习到了路由，则会向网关设备返回响应报文，以使网关设备确定该内网IP已经学习到路由。

又例如，假设内网的路由协议为OSPF协议时，当网关设备和内网的网络设备建立了邻居关系之后，网关设备可以向内网的网络设备发送LSR报文，如果该网络设备的内网IP已经学习到了路由，则会向网关设备返回LSU报文，以使网关设备确定该内网IP已经学习到路由。

步骤102：基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

在本实施例中，当确定学习到路由的内网IP之后，可以根据NAT映射规则将内网IP转换为公网IP。

其中，为保护内网地址的隐私性，防止内网地址被破解，NAT映射规则可以设置的比较复杂。例如，可以将原本内网IP和公网IP的简单映射变为哈希映射。

步骤103：基于所述公网的路由协议向所述公网发布所述公网IP。

在本实施例中，当内网和公网使用的是同一个路由协议，在获取内网的路由学习情况之后，网关设备可以直接根据路由协议向公网发布公网IP。

而当内网和公网使用的不同的路由协议时，需要在不同的协议之间传递路由学习的情况。例如，当OSPF协议用于内网，BGP协议用于公网时，网关设备需要将OSPF协议中的路由学习情况传递到BGP协议中，基于NAT映射规则确定BGP协议中与学习到路由的内网IP存在映射关系的公网IP，将该公网IP在BGP协议中向公网发布。

为了进一步提高公网地址发布的效率，当内网网段中某个内网IP学习到路由，意味着该网段其他内网IP也可能将要学到路由，因此，可以将原本发布IP的方式变更为发布IP所在网段，既提高了网络地址转换的效率，又降低了网关设备发布公网地址的任务量。

在示出的一种实施方式中，基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定内网网段中学习到路由的内网IP所在的内网网段；基于NAT映射规则确定与内网网段存在映射关系的公网网段；基于公网的路由协议向公网发布与内网网段存在映射关系的公网网段。

在本实施例中，先确定学习到路由的内网IP所在的内网网段，再基于NAT映射规则确定与内网网段存在映射关系的公网网段，并基于公网的路由协议向公网发布该公网网段。

例如，针对网关设备管理的某个内网网段，网关设备确定出内网网段中学习到了路由的其中部分内网IP地址，如果将学到路由的每个内网IP地址进行NAT映射，由于内网IP地址可能很分散，网关设备需要进行多次映射确定存在映射关系的公网IP，并将这些公网IP发布到公网中。而且，当同一网段的部分IP学到路由时，其他IP可能即将学到路由，在学到路由之后，需要网关设备基于NAT映射规则确定与学习到路由的内网IP存在映射关系的公网IP，网关设备需要不停的根据各内网IP的内网路由学习的情况，确定与学习到路由的内网IP存在映射关系的公网IP。因此，可以将IP地址转换为网段发布，不仅可以提高效率，也更加灵活。

在示出的一种实施方式中，当内网网段中学习到路由的内网IP发生变化时，可以基于NAT映射规则重新确定与变化后的内网IP存在映射关系的公网IP。

在本实施例中，网关设备可以根据内网的路由学习的情况，发布学习到路由的内网IP存在映射关系的公网IP。当学习到的路由的内网IP发生变化时，基于NAT映射规则重新确定变化后的内网IP所映射的公网IP。

进一步的，为了避免公网IP的重复发布，可以针对待发布的公网IP地址采用增量发布的方式，只对那些新增的公网IP地址进行发布。

在实现时，可以比较重新确定出的公网IP，与内网IP发生变化之前确定出的公网IP；如果重新确定出的公网IP，相较于内网IP发生变化之前确定出的公网IP新增了公网IP，可以基于公网的路由协议只向公网发布新增的公网IP。

具体的，可以将重新确定出的公网IP与之前的公网IP相比较，如果内网学习到新的路由，那么重新确定的公网IP相较于之前的公网IP，新增了部分公网IP，基于公网的路由协议向公网发布这些新增的公网IP。例如，在内网学习到路由的内网IP变化之前，对应的公网IP为IP1-10，而内网学习到路由的内网IP增加之后，重新确定的公网IP为IP1-11，则只需要向公网发布新增的IP11。

同样的，当内网IP所在的内网网段发生变化时，也可以比较重新确定的公网网段与变化之前的公网网段，只发布新增的公网网段。

在示出的一种实施方式中，如果重新确定出的公网IP，相较于内网IP发生变化之前确定出的公网IP减少了公网IP，基于公网的路由协议从已发布的公网IP中撤销减少的公网IP。

具体的，如果重新确定出的公网IP相较于之前的公网IP，减少了部分公网IP，则基于公网的路由协议向公网撤销这些减少的公网IP。例如，在内网学习到路由的内网IP变化之前，对应的公网IP为IP1-10，而内网学习到路由的内网IP减少之后，重新确定的公网IP为IP1-9，则只需要向公网撤销减少的公网IP10。

同样的，当内网IP所在的内网网段发生变化时，也可以比较重新确定的公网网段与变化之前的公网网段，撤销减少的公网网段。

在上述实施例中，通过比较重新确定的公网IP的与变化之前的公网IP的变化量，基于变化量发布新增公网IP或撤销减少的公网IP，可以实现更精准的公网IP发布，根据变化量执行对应操作也避免了重复发布，提高了发布效率。

在示出的一种实施方式中，在部署多网关的场景下，不同内网根据自身内网网段中内网IP的路由学习情况，发布相应的公网IP，使多网关场景下的公网IP发布更加合理，避免了多网关设备重复发布公网IP造成的流量混乱，在多网关场景下，每个流量都有唯一的目的地，实现流量的精准控制。

由上述实施例可见，通过根据学习到的内网路由情况动态进行公网地址的发布，优化网关设备公网地址的发布策略，可以使网关设备更精确的发布公网地址，避免错误的发布带来的网络攻击风险。在部署多网关的场景下，能够根据内网地址的学习，动态调整各个网关设备公网地址的发布，精准控制NAT流量。

请参见图2，图2是本申请一示例性实施例示出的一种网络组网图。

在图2示出的网络中，具有NAT功能的网关设备部署在内网与外网的连接处，假设管理员为内网中的主机1-5分配的内网地址为IP1-IP5，网关设备可使用的公网IP为IP6、IP7。

例如，假设网关设备管理的内网IP地址为IP1-IP5，网关设备管理的公网IP地址为IP6、IP7，在进行内网地址和公网地址转换时，假设建立如下表1所示的映射关系，内网IP1-3与公网IP6存在映射关系，内网IP4、IP5与公网IP7存在映射关系。

内网地址	公网地址
		IP1，IP2，IP3	IP6
IP4，IP5	IP7

表1

在相关技术中，当网关设备未根据内网IP学习路由的结果确定内网网段中学习到路由的内网IP时，网关设备已经向公网发布了所使用的全部公网地址，这时网关设备接收到公网的网络设备发送给内网的网络设备的报文时，由于网关设备还未学到内网的网络设备的路由，网关设备无法将该报文正确发送到内网的网关设备。当网关设备仅学到部分内网地址的分布时，那么网关设备仅能将部分报文正确发送到内网的网关设备。可见，直接发布所有的公网地址会导致网关设备接收到的报文不能正确的转发到内网设备，甚至带来网络攻击的风险。

在本实施例中，网关设备基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定内网网段中学习到路由的内网IP。进一步的，网关设备基于NAT映射规则确定与学习到路由的内网IP存在映射关系的公网IP，并基于公网的路由协议向公网发布公网IP。

例如，如表1所示，若网关设备确定内网网段中学习到路由的内网IP为IP1时，基于NAT映射规则确定与学习到路由的内网IP存在映射关系的公网IP为IP6，网关设备基于公网的路由协议向公网发布公网IP6。

又如，若IP4、IP5都未学到路由，则网关设备不能基于NAT映射规则确定与IP4、IP5存在映射关系的公网IP7，更不能基于公网的路由协议向公网发布公网IP7。

更进一步的，对于部署多网关的场景下，不同内网根据自身内网网段中内网IP的路由学习情况，发布相应的公网IP，使多网关场景下的公网IP发布更加合理，避免了多网关设备重复发布公网IP造成的流量混乱，在多网关场景下，每个流量都有唯一的目的地，实现流量的精准控制。

由上述实施例可知，本申请通过根据网关设备当前内网的路由学习情况针对性地进行公网地址的发布，使网关设备可以更精确的发布公网地址，避免错误的发布带来的网络攻击风险。进而，在网络中部署了多个网关设备的场景下，可以基于各个网关设备对管理的内网网段中的各个内网IP的路由学习情况，动态调整各个网关设备需要发布的公网IP，实现NAT流量的精准控制。

与上述NAT公网地址发布方法的实施例相对应，本申请还提供了NAT公网地址发布装置的实施例。

请参见图3，本申请还提供一种NAT公网地址发布装置所在设备的硬件架构图，应用于网关设备，该设备包括：通信接口301、处理器302、存储器303和总线304；其中，通信接口301、处理器302和存储器303通过总线304完成相互间的通信。

其中，处理器302可以是一个CPU，存储器303可以是非易失性存储器，并且存储器303中存储有NAT公网地址发布逻辑指令，处理器302可以执行存储器303中存储的的NAT公网地址发布的逻辑指令，以实现NAT公网地址发布的功能。

请参见图4，图4是本申请一示例性实施例示出的一种NAT公网地址发布装置的框图，应用于网关设备，该装置可包括如下单元：

学习单元401，用于基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

映射单元402，用于基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

发布单元403，用于基于所述公网的路由协议向所述公网发布所述公网IP。

可选的，所述映射单元具体包括：

确定所述学习到路由的内网IP所在的内网网段；

基于NAT映射规则确定与所述内网网段存在映射关系的公网网段；

所述发布单元具体包括：

基于所述公网的路由协议向所述公网发布与所述内网网段存在映射关系的所述公网网段。

可选的，所述装置还包括：

重新确定单元，用于当所述内网网段中学习到路由的内网IP发生变化时，基于NAT映射规则重新确定与所述变化后的内网IP存在映射关系的公网IP；

比较单元，用于比较重新确定出的所述公网IP，与所述内网IP发生变化之前确定出的公网IP；

新增单元，用于如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP新增了公网IP，基于所述公网的路由协议向所述公网发布新增的所述公网IP。

可选的，所述装置还包括：

撤销单元，用于如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP减少了公网IP，基于所述公网的路由协议从已发布的公网IP中撤销减少的所述公网IP。

上述装置中各个模块的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims (9)

1.一种NAT公网地址发布的方法，其特征在于，应用于网关设备，所述方法包括：

基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

基于所述公网的路由协议向所述公网发布所述公网IP。

2.根据权利要求1所述的方法，其特征在于，所述基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP，包括：

确定所述学习到路由的内网IP所在的内网网段；

基于NAT映射规则确定与所述内网网段存在映射关系的公网网段；

所述基于所述公网的路由协议向所述公网发布所述公网IP，包括：

基于所述公网的路由协议向所述公网发布与所述内网网段存在映射关系的所述公网网段。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述内网网段中学习到路由的内网IP发生变化时，基于NAT映射规则重新确定与所述变化后的内网IP存在映射关系的公网IP；

比较重新确定出的所述公网IP，与所述内网IP发生变化之前确定出的公网IP；

如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP新增了公网IP，基于所述公网的路由协议向所述公网发布新增的所述公网IP。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP减少了公网IP，基于所述公网的路由协议从已发布的公网IP中撤销减少的所述公网IP。

5.一种NAT公网地址发布的装置，其特征在于，应用于网关设备，所述装置包括：

学习单元，用于基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

映射单元，用于基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

发布单元，用于基于所述公网的路由协议向所述公网发布所述公网IP。

6.根据权利要求5所述的装置，其特征在于，所述映射单元具体包括：

确定所述学习到路由的内网IP所在的内网网段；

基于NAT映射规则确定与所述内网网段存在映射关系的公网网段；

所述发布单元具体包括：

基于所述公网的路由协议向所述公网发布与所述内网网段存在映射关系的所述公网网段。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

重新确定单元，用于当所述内网网段中学习到路由的内网IP发生变化时，基于NAT映射规则重新确定与所述变化后的内网IP存在映射关系的公网IP；

比较单元，用于比较重新确定出的所述公网IP，与所述内网IP发生变化之前确定出的公网IP；

新增单元，用于如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP新增了公网IP，基于所述公网的路由协议向所述公网发布新增的所述公网IP。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

撤销单元，用于如果所述重新确定出的所述公网IP，相较于所述内网IP发生变化之前确定出的公网IP减少了公网IP，基于所述公网的路由协议从已发布的公网IP中撤销减少的所述公网IP。

9.一种NAT公网地址发布的装置，其特征在于，应用于网关设备，所述装置包括：

处理器；用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为：

基于管理的内网的路由协议，针对管理的内网网段中的各内网IP进行路由学习，并确定所述内网网段中学习到路由的内网IP；

基于NAT映射规则确定与所述学习到路由的内网IP存在映射关系的公网IP；

基于所述公网的路由协议向所述公网发布所述公网IP。

Images