CN113225409A

CN113225409A - 一种nat负载均衡访问方法、装置及存储介质

Info

Publication number: CN113225409A
Application number: CN202110585138.2A
Authority: CN
Inventors: 马瑞武; 吴兴; 赵振洋; 丁传玉
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2021-05-27
Filing date: 2021-05-27
Publication date: 2021-08-06

Abstract

本申请提供了一种NAT负载均衡访问方法、装置及存储介质，所述方法包括：接收到用户对象自公网发送的访问请求后，根据NAT规则对所述用户对象进行匹配；匹配成功后，获取与所述用户对象关联的角色对象；根据所述角色对象的属性信息，基于NAT地址池确定与所述用户对象对应的目的内网IP地址，以通过地址转换实现所述用户对象对目标主机的访问。本申请实施例通过一个公网IP地址可接收所有用户对象的访问请求，并基于角色对象根据NAT规则为用户对象分配对应的目的内网IP地址，从而可负载均衡到所有内网IP地址对应的内网主机。这样，用户可以通过企业网络外部访问其对应的办公主机，满足了用户进行远程办公的需求，同时保障了内网资源的安全性。

Description

一种NAT负载均衡访问方法、装置及存储介质

技术领域

本申请涉及网络通信技术领域，特别涉及一种NAT负载均衡访问方法、装置及存储介质。

背景技术

随着社会的发展，企业对员工办公方式的需求不再局限于去公司固定的工位去办公。移动办公、远程办公等办公方式逐渐得到未来大部分企业的支持。

为了满足员工的远程办公、移动办公等需求，当前主流的解决方案是在企业网边界部署VPN服务器等网络通信设备；或在企业网边界的安全设备上配置一对一NAT来解决企业员工在公网访问企业内网资源的目的。

企业部署VPN会面临多项问题，成本高且比较复杂，解决问题时需要操作人员高水平地理解网络和安全问题。而在企业网边界的安全设备上配置一对一NAT，需要使用大量的公网IP(IPv4)地址，而企业无法通过运营商申请到足够的公网IP(IPv4)地址来配置一对一NAT。

发明内容

有鉴于现有技术中存在的上述问题，本申请提供了一种NAT负载均衡访问方法、装置及存储介质，本申请实施例采用的技术方案如下：

一方面，本申请实施例提供了一种NAT负载均衡访问方法，包括：

接收到用户对象自公网发送的访问请求后，根据NAT规则对所述用户对象进行匹配；

匹配成功后，获取与所述用户对象关联的角色对象；

根据所述角色对象的属性信息，基于NAT地址池确定与所述用户对象对应的目的内网IP地址，以通过地址转换实现所述用户对象对目标主机的访问。

在一些实施例中，所述根据NAT规则对所述用户对象进行匹配，包括：

基于预先配置的在线表，对所述用户对象的上下线状态进行检测；

若检测到所述用户对象为上线状态，则匹配成功。

在一些实施例中，所述在线表的配置方式，包括：

响应用户对象的登录请求，对登录请求进行认证；

基于认证通过的用户对象构建所述在线表。

在一些实施例中，所述响应用户对象的登录请求，对登录请求进行认证，包括：

基于所述登录请求获取所述用户对象的登录信息；

将所述登录信息与预设的所有用户对象信息进行比较，若相同则认证通过。

在一些实施例中，所述方法还包括：

根据所述登录信息确定所述用户对象是否存在于所述在线表中，若不存在，则将所述用户对象加入所述在线表。

在一些实施例中，所述角色对象的配置方式，包括：

预先建立供NAT规则引用的角色对象；

为所述角色对象关联其所需引用的所有用户对象。

在一些实施例中，所述根据所述角色对象的属性信息，从NAT地址池选取与所述用户对象对应的目的内网IP地址，包括：

获取所述用户对象在与所述角色对象关联的全部用户对象中的偏移量；

根据所述偏移量从所述NAT地址池中选取相应的地址，作为目的内网IP地址。

在一些实施例中，获取所述偏移量的方式包括：

根据角色对象所关联的全部用户对象的顺序，获取所述用户对象的顺序位置；

基于预设目标确定所述顺序位置的相对位移，根据所述相对位移确定所述用户对象的偏移量。

另一方面，本申请实施例提出了一种NAT负载均衡访问装置，包括：

匹配模块，配置为接收到用户对象自公网发送的访问请求后，根据NAT规则对所述用户对象进行匹配；

获取模块，配置为匹配成功后，获取与所述用户对象关联的角色对象；

确定模块，配置为根据所述角色对象的属性信息，基于NAT地址池确定与所述用户对象对应的目的内网IP地址，以通过地址转换实现所述用户对象对目标主机的访问。

本申请实施例还提供了一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被处理器执行时，实现本申请上述任意实施例提供的NAT负载均衡访问方法的步骤。

与现有技术相比较，本申请实施例提供的一种NAT负载均衡访问方法、装置及存储介质，可通过一个公网IP地址接收所有用户对象的访问请求，并基于角色对象根据NAT规则为用户对象分配相应的目的内网IP地址，以访问其对应的内网主机，从而通过一个公网IP地址可负载均衡到所有内网IP地址对应的内网主机。这样，用户通过企业网络外部的终端设备可以访问对应的办公主机，满足了用户进行远程办公的需求，同时保障了内网资源的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的NAT负载均衡访问方法的流程图；

图2为本申请另一实施例提供的NAT负载均衡访问方法的流程图；

图3为本申请实施例提供的NAT负载均衡访问装置的框图；

图4为本申请实施例的电子设备的结构示意图。

具体实施方式

为了使得本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例的附图，对本申请实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于所描述的本申请的实施例，本领域普通技术人员在无需创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

除非另外定义，本申请使用的技术术语或者科学术语应当为本申请所属领域内具有一般技能的人士所理解的通常意义。本申请中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。“上”、“下”、“左”、“右”等仅用于表示相对位置关系，当被描述对象的绝对位置改变后，则该相对位置关系也可能相应地改变。

为了保持本申请实施例的以下说明清楚且简明，本申请省略了已知功能和已知部件的详细说明。

图1为本申请实施例的NAT负载均衡访问方法的流程图。本实施例提供NAT负载均衡访问方法，用于在外部网络中访问企业外部的公网IP地址时，可以基于角色对象通过NAT设备将目的地址转换为内网IP地址，实现访问企业内部的对应的办公主机的目的。如图1所示，本申请实施例提供的NAT负载均衡访问方法包括如下步骤：

步骤S100，接收到用户对象自公网发送的访问请求后，根据NAT规则对所述用户对象进行匹配。

网络地址转换(Network Address Transform，NAT)是指在一个企业内部，根据需要可以自定义内网IP地址。而当外部的计算机通过访问企业的公网IP地址，以与内部IP地址对应的主机通信时，具有NAT功能的网络通信设备(以下简称NAT设备，例如路由器等)，获取通信报文中的源IP地址、目的公网IP地址，将目的公网IP地址转换为合法的内网IP地址(也就是企业预先设置完成的内网IP地址)，以完成外部的计算机与其对应的企业内网主机之间的通信。本申请中，NAT设备通过NAT规则将访问请求中的公网IP地址转换为内网IP地址，以进行报文的转发，实现外部的计算机与企业内部的主机之间的通信。用户对象可以是用户所使用的终端设备，例如手机，笔记本电脑、计算机、平板电脑等，用户在企业外部网络中利用终端设备通过企业公网IP访问NAT设备，以实现与企业内部的办公主机的通信。本步骤中，用户对象从企业外部的公网中对企业对应的公网IP地址发起访问请求，对NAT设备进行访问。NAT设备接收到用户对象的访问请求后，根据NAT规则对该用户对象进行匹配，以确定该用户对象是否可以应用NAT规则进行相应的地址转换和数据报文的转发。

步骤S200，匹配成功后，获取与所述用户对象关联的角色对象。

本步骤中，不同的角色对象可以与不同的NAT规则相对应，从而在NAT设备进行地址转换时供对应的NAT规则进行引用。相应地，需通过同一NAT规则进行地址转换的多个用户对象，可以关联到该NAT规则对应的角色对象上。这样，在这些用户对象在根据NAT规则匹配成功时，可以根据用户对象获取其所关联的角色对象，从而能通过该角色对象对应的NAT规则进行地址转换。

步骤S300，根据所述角色对象的属性信息，基于NAT地址池确定与所述用户对象对应的目的内网IP地址，以通过地址转换实现所述用户对象对目标主机的访问。

本步骤中，基于一个NAT规则，可以预先建立一个NAT地址池，将为内网主机配置的内网IP地址放入该NAT地址池中，供NAT设备通过该NAT规则进行地址转换时使用。根据所述用户对象关联的角色对象的属性信息，NAT设备利用从该角色对象对应的NAT规则，从NAT地址池中确定与所述用户对象对应的目的内网IP地址。其中，所述角色对象的属性信息，可以是该角色对象所关联的所有用户对象的排列顺序信息，或者是用户对象在该角色对象所关联的所有用户对象中的偏移量信息。示例性的，建立NAT地址池时，可以将用户对象在内网中的办公主机所对应的内网IP地址与角色对象关联的用户对象一一对应起来。在一些具体的实施方式中，可以是根据角色对象所关联的全部用户对象的顺序，在地址池中将这些用户对象对应的内网IP地址按照同样的顺序进行排列。这样，NAT设备在通过NAT规则引用角色对象时，可以根据角色对象关联的用户对象在所有用户对象中的顺序位置，从NAT地址池中选取相应的顺序位置的内网IP地址，作为该用户对象的目的内网IP地址。NAT设备将该用户访问时的数据报文中的目的地址转换为该目的内网IP地址，以将该数据报文的转发至该目的内网IP地址对应的主机上，从而实现该用户在企业的外网中与其企业内网中的办公主机之间的通信。

本申请实施例提供的一种NAT负载均衡访问方法、装置及存储介质，可通过一个公网IP地址接收所有用户对象的访问请求，并基于角色对象根据NAT规则为用户对象分配相应的目的内网IP地址，以访问其对应的内网主机，从而通过一个公网IP地址可负载均衡到所有内网IP地址对应的内网主机。这样，用户通过企业网络外部的终端设备可以访问对应的办公主机，满足了用户进行远程办公的需求，同时保障了内网资源的安全性。

在一些实施例中，所述根据NAT规则对所述用户对象进行匹配，如图2所示，包括以下步骤：

步骤S110，基于预先配置的在线表，对所述用户对象的上下线状态进行检测；

步骤S120，若检测到所述用户对象为上线状态，则匹配成功。

本实施例中，在线表中记载有所有已登录的用户对象的信息，例如记载有用户名称，登录IP地址等，通过该在线表可以对某一用户对象是上线状态或是下线状态进行检测。据此，作为较佳的实施方式，为了确定针对所述用户对象是否可以应用NAT规则，可以根据预先配置的在线表来对用户对象进行匹配，根据用户对象的上下线状态来判断是否匹配成功。在一些具体的实施例中，可以根据将所述用户对象与在线表中记载的用户对象进行比较，若所述用户对象的用户名称已记载与所述在线表中，则认为检测到所述用户对象已处于上线状态，所述用户对象与所述NAT规则匹配成功，从而NAT设备能根据所述NAT规则对所述用户对象的访问请求的报文的目的地址进行转换，从而对该报文进行转发。

在一些实施例中，所述在线表的配置方式，包括：

响应用户对象的登录请求，对登录请求进行认证；

基于认证通过的用户对象构建所述在线表。

本申请的发明目的之一旨在用于在外部网络中访问企业外部的公网IP地址时，通过NAT设备进行地址转换，将目的地址转换为目标内网IP地址，访问企业的内网主机。据此，本实施例中，为了企业内网资源的安全性考虑，可以预先在NAT设备中配置认证服务系统，通过该认证服务系统对用户对象进行认证，以确认用户对象的合法性。该认证服务系统可以接收、处理用户对象发来的登录请求的数据报文，以根据该数据报文对用户对象进行认证。认证通过后，将该用户对象添加至所述在线表，从而构建出所述在线表，以通过在线表记录所有已登录的用户对象，从而可以通过在线表对用户对象的上下线状态进行检测。

基于所述登录请求获取所述用户对象的登录信息；

本实施例中，来自用户对象的登录信息中可以至少包括用户名称和密码。认证服务系统中可预先保存有所有用户对象的用户名称和对应密码。这些用户名称和对应密码可以是用户对象进行注册时所提供给认证服务系统的，也可以是认证服务系统创建后分发至用户对象以用于登录的，等等，本申请对此不作限制。该认证服务系统将登录请求中的用户名称和密码与预存的用户名和密码进行比较，比较结果为相同时即认为该用户对象的登录请求为合法的，该用户对象被认证通过。

在一些实施例中，所述NAT负载均衡访问方法还包括：

为避免用户对象使用其对应的用户名称和密码登录后，其他的用户对象再使用相同的用户名称和密码同时进行登录，本实施例中，在认证通过之后，根据所述登录信息确定所述用户对象是否存在于所述在线表中，确定是否将所述用户对象加入所述在线表。在一些具体的实施例中，可以根据登录信息中的用户名称来进行判断所述用户对象是否存在于所述在线表中。若在线表中记录的所有用户对象中，已存在通过该用户名称登录的用户对象，可判断所述在线表中已存在所述用户对象，则不会将该认证通过的用户对象添加到在线表中。若在线表中记录的所有用户对象中，不存在通过该用户名称登录的用户对象，可判断所述在线表中不存在所述用户对象，则需将该认证通过的用户对象添加到在线表中。

在一些实施例中，所述角色对象的配置方式，包括：

预先建立供NAT规则引用的角色对象；

为所述角色对象关联其所需引用的所有用户对象。

不同的角色对象可以对应不同的NAT规则。本实施例中，可为NAT规则建立一个角色对象，该角色对象可供NAT设备进行地址转换时进行引用。同时，需为该建立的角色对象关联相应的用户对象，可以是将用户对象的用户名称等信息与该角色对象关联起来。例如，示例性的，可以建立角色对象R，将5个用户对象的名称U1、U2、U3、U4和U5与该角色对象进行关联。同时，角色对象R对应的NAT规则中，NAT地址池中相应地存放这5个用户对象的办公主机对应的内网IP地址。这样，在一些具体的实施方式中，NAT设备接收到来自用户对象U1的访问请求时，先对该访问请求的数据报文通过NAT规则进行匹配。这里可以是通过在线表检测用户对象U1的上下线状态，U1为上线状态时，则匹配成功，该访问请求的数据报文可以通过NAT规则进行处理。NAT设备对为对数据报文的目的地址进行地址转换时，需采用与U1关联的角色对象R所相应的NAT规则获取目标内网IP地址。此时，NAT地址池中存放有U1的办公主机对应的内网IP地址，U1的办公主机为目标主机，则确定该办公主机对应的内网IP地址为目标内网IP地址。由此，NAT设备可以将用户对象U1的访问请求中数据报文的目的地址转换为目标内网IP地址，从而将该数据报文转发至其对应的办公主机，实现用户对象与目标主机之间的通信，用户对象可以访问目标主机。

当然，在另一些具体的实施方式中，NAT设备可以通过认证服务系统预先对用户对象进行认证，确认用户对象的合法性之后再处理用户对象的访问请求，以保障企业内网的网络资源的安全性。这里认证的方式和处理用户对象的访问请求的方式可通过上述的一些实施例的方式实现，在此不再赘述。

本申请中，角色对象所关联的全部用户对象可以组成一个用户对象队列，NAT地址池中相应地预存与这些用户对象对应的内网IP地址，并按照用户对象队列的顺序组成相应的地址队列。因此，为确定用户对象对应的目的IP地址，需先获取所述用户对象在与所述角色对象关联的全部用户对象组成的用户队列中的偏移量。根据所述用户在用户队列中的偏移量，从NAT地址池中选取具有同样偏移量的内网IP地址，作为所述用户对象对应的目的内网IP地址。示例性的，可以以用户队列中的第一个用户对象或最后一个用户对象作为用户对象定位点，再获取所述用户对象与该用户对象定位点的相对位移，从而确定出所述用户对象的偏移量。例如角色对象关联的全部用户对象按照U1、U2、U3、U4、U5的顺序排列时，若以U1为用户对象定位点，针对U2,其相对U1的偏移量为1。据此，在NAT地址池中，地址队列中包括地址1、地址2、地址3、地址4、地址5，相应地以地址1为地址定位点，则选取与地址1偏移量为1的地址2，作为U2对应的目的内网IP地址。

同样的，针对NAT地址池中存储的内网IP地址，对应地以地址队列中的第一个内网IP地址或最后一个内网IP地址作为地址定位点，选取相对地址定位点具有同样偏移量的内网IP地址，作为所述用户对象对应的目的内网IP地址。

在另一些实施例中，获取所述偏移量的方式包括：

本实施例中，NAT设备为了获取所述用户对象在与所述角色对象关联的全部用户对象中的偏移量，可先根据角色对象所关联的全部用户对象的顺序，获取所述用户对象在全部用户对象中的所排列的顺序位置。预设目标可以是从全部用户对象中的任意选取的一个用户对象所对应的位置，或者是任意选取的一个用户对象之前或之后的一个位置。这样，所述用户对象的顺序位置相对选定的用户对象的位置会有一个相对位移，根据相对位移可以确定所述用户对象的偏移量。示例性的，角色对象关联的全部用户对象按照U1、U2、U3、U4、U5的顺序排列时，若选定U2为预设目标，针对U1,其相对U2前移了一位，则U1相对U2的相对位移为前一，则可以确定U1的偏移量为前1。针对U2，其相对U2位移为零，则可以确定U2的偏移量为0。

本申请实施例还提供了一种NAT负载均衡访问装置，如图3所示，其包括：

匹配模块10，配置为接收到用户对象自公网发送的访问请求后，根据NAT规则对所述用户对象进行匹配；

获取模块20，配置为匹配成功后，获取与所述用户对象关联的角色对象；

确定模块30，配置为根据所述角色对象的属性信息，基于NAT地址池确定与所述用户对象对应的目的内网IP地址，以通过地址转换实现所述用户对象对目标主机的访问。

本申请实施例中的所述的NAT负载均衡访问装置，通过其配置的功能模块能够实现本申请中任意实施例提到的NAT负载均衡访问方法的步骤。

本申请实施例还提供了一种电子设备，至少包括存储器901、处理器902和总线(未图示)，其中，该电子设备的结构示意图可以如图4所示，存储器901存储有处理器902可执行的机器可读指令，当电子设备运行时，处理器902与存储器901之间通过总线通信，所述机器可读指令被所述处理器执行时执行本申请任意实施例提供的NAT负载均衡访问方法的步骤。

由于本申请实施例所介绍的电子设备，为设置有实施本申请实施例所公开的NAT负载均衡访问方法的存储器的电子设备，故而基于本申请实施例所介绍的NAT负载均衡访问方法，本领域所属技术人员能够了解本申请实施例所介绍的电子设备的结构及变形，故而在此不再赘述。

本申请实施例还提供了一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被处理器执行时，实现本申请任意实施例提供的NAT负载均衡访问方法的步骤。

本实施例中的存储介质可以是电子设备/系统中所包含的；也可以是单独存在，而未装配入电子设备/系统中。上述存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本申请实施例提供的NAT负载均衡访问方法的步骤。

根据本申请的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。可选地，本实施例中的具体示例可以参考本申请任意实施例中所描述的示例，本实施例在此不再赘述。显然，本领域的技术人员应该明白，上述的本申请的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请不限制于任何特定的硬件和软件结合。

此外，尽管已经在本文中描述了示例性实施例，其范围包括任何和所有基于本申请的具有等同元件、修改、省略、组合(例如，各种实施例交叉的方案)、改编或改变的实施例。权利要求书中的元件将被基于权利要求中采用的语言宽泛地解释，并不限于在本说明书中或本申请的实施期间所描述的示例，其示例将被解释为非排他性的。因此，本说明书和示例旨在仅被认为是示例，真正的范围和精神由以下权利要求以及其等同物的全部范围所指示。

以上描述旨在是说明性的而不是限制性的。例如，上述示例(或其一个或更多方案)可以彼此组合使用。例如本领域普通技术人员在阅读上述描述时可以使用其它实施例。另外，在上述具体实施方式中，各种特征可以被分组在一起以简单化本申请。这不应解释为一种不要求保护的公开的特征对于任一权利要求是必要的意图。相反，本申请的主题可以少于特定的公开的实施例的全部特征。从而，以下权利要求书作为示例或实施例在此并入具体实施方式中，其中每个权利要求独立地作为单独的实施例，并且考虑这些实施例可以以各种组合或排列彼此组合。本申请的范围应参照所附权利要求以及这些权利要求赋权的等同形式的全部范围来确定。

以上对本申请多个实施例进行了详细说明，但本申请不限于这些具体的实施例，本领域技术人员在本申请构思的基础上，能够做出多种变型和修改实施例，这些变型和修改都应落入本申请所要求保护的范围之内。

Claims

1.一种NAT负载均衡访问方法，其中，包括：

匹配成功后，获取与所述用户对象关联的角色对象；

2.根据权利要求1所述的方法，其中，所述根据NAT规则对所述用户对象进行匹配，包括：

若检测到所述用户对象为上线状态，则匹配成功。

3.根据权利要求2所述的方法，其中，所述在线表的配置方式，包括：

响应用户对象的登录请求，对登录请求进行认证；

基于认证通过的用户对象构建所述在线表。

4.根据权利要求3所述的方法，其中，所述响应用户对象的登录请求，对登录请求进行认证，包括：

基于所述登录请求获取所述用户对象的登录信息；

5.根据权利要求4所述的方法，其中，还包括：

6.根据权利要求1所述的方法，其中，所述角色对象的配置方式，包括：

预先建立供NAT规则引用的角色对象；

为所述角色对象关联其所需引用的所有用户对象。

7.根据权利要求6所述的方法，其中，所述根据所述角色对象的属性信息，从NAT地址池选取与所述用户对象对应的目的内网IP地址，包括：

8.根据权利要求7所述的方法，其中，获取所述偏移量的方式包括：

9.一种NAT负载均衡访问装置，其中，包括：

10.一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被处理器执行时，实现如权利要求1-8中任一项所述的方法的步骤。