CN113271255A - 一种网络地址转换回环的方法、装置 - Google Patents

Abstract

本申请公开了一种网络地址转换回环的方法、装置，包括：确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；接收网络访问请求中的报文，对所述报文进行源地址转换；根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

Description

一种网络地址转换回环的方法、装置

技术领域

本申请涉及计算机网络领域，尤其涉及一种网络地址转换回环的方法、装置。

背景技术

在当今互联网通信中，之所以能够实现精准通信，依靠的都是联网设备的IP地址，数据包是通过在网络中寻址，最终从源地址发送到目的地址。

局域网内网有服务器对外发布，考虑网络安全等原因，人们在访问其他网址时或被其他网站访问时并不想暴露真实的IP地址，希望外网用户和内网用户均通过外网的IP地址访问服务器。现有技术中通过网络地址转换(Network Address Translation，NAT)技术来解决这一问题。

目前很多交换芯片已经集成了NAT模块，交换芯片NAT硬件转发速度快，容量大。但是一般只能实现基本的NAT转换，不支持NAT回环。现有技术中往往采用防火墙或路由器实现网络地址转换NAT，来隐藏真实的IP地址，但额外增加路由器或防火墙等设备会造成设备成本的增高，增加了设备故障率，同时安装繁琐。

发明内容

本申请提供了一种网络地址转换回环的方法、装置，解决了当前交换芯片只能实现基本NAT转换，无法支持网络地址转换NAT回环功能，需要增加额外的路由器等设备才能进行网络地址转换的技术问题。

一种网络地址转换回环的方法，包括：

确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

接收网络访问请求中的报文，对所述报文进行源地址转换；

根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

在本申请的一种实施例中，确定通过交换机配置的网络地址转换NAT环回端口，具体包括：确定将交换机的空闲端口或交换芯片内的预设端口配置为网络地址转换NAT环回端口；将与内网地址对应的外网地址的路由出口配置为所述NAT环回端口；配置所述NAT环回端口的NAT功能。

在本申请的一种实施例中，接收网络访问请求中的报文，对所述报文进行源地址转换，具体包括：接收网络访问请求中的报文；根据所述报文中的源地址、源端口，查找源地址转换SNAT规则列表，将所述源地址转换为外网地址和对应的端口。

在本申请的一种实施例中，对所述报文进行目的地址转换，具体包括：根据所述报文中的目的地址、目的端口，查找目的地址转换DNAT规则列表；若所述DNAT规则列表中存在与所述目的地址、目的端口匹配的表项，则将所述目的地址、目的端口转换为所述匹配的表项中的地址、端口。

在本申请的一种实施例中，对所述报文进行源地址转换之后，所述方法还包括：根据对所述报文中的源地址、源端口的SNAT转换，确定对应的回程DNAT转换规则，并存储。

在本申请的一种实施例中，所述方法还包括：确定所述网络访问请求对应的接口为外网接口或内网接口；若为内网接口，则对所述报文进行源地址转换；若为外网接口，则对所述报文进行目的地址转换。

在本申请的一种实施例中，配置所述NAT环回端口的NAT功能，具体包括：配置SNAT规则，将源地址、源端口替换成对应的外网地址和端口；配置DNAT规则，将目的地址、目的端口替换成对应的内网地址和端口。

在本申请的一种实施例中，所述方法还包括：确定将所述NAT环回端口用于转发三层流量，且不用于转发二层流量。

一种网络地址转换回环的装置，包括：

配置模块，用于确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

源地址转换模块，用于接收网络访问请求中的报文，对所述报文进行源地址转换；

回环模块，用于根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

目的地址转换模块，用于对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

一种网络地址转换回环的非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：

确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

接收网络访问请求中的报文，对所述报文进行源地址转换；

根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

本申请提供了一种网络地址转换回环的方法、装置，至少包括以下有益效果：通过将交换机上的空闲端口设置为路由端口，使交换芯片支持NAT回环功能，隐藏了内网主机的地址，避免了增加额外的路由器或防火墙等设备，降低了设备的成本；减少了需要维护的设备节点，降低了设备物理故障率；统一使用外网IP访问，简化了网络配置。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的基本NAT功能的拓扑图；

图2为本申请实施例提供的通过路由器做NAT的拓扑图；

图3为本申请实施例提供的通过已经配置好NAT规则的路由器做NAT的拓扑图；

图4为本申请实施例提供的一种网络地址转换的方法步骤示意图；

图5为本申请实施例提供的通过在交换机或交换芯片设置的环回接口进行网络地址转换的拓扑图；

图6为本申请实施例提供的一种网络地址转换的装置结构示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例对本申请进行清楚、完整的描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

网络地址转换(Network Address Translation，NAT)是一种将内部网络IP映射到公网IP，从而达到内网与公网相互访问的技术。

对于NAT外部网络IP的接口称为Nat Outside接口，内部网络对应的接口称为NatInside接口。Nat Inside接口下面连接着的服务器或者主机，主机与主机之间属于局域网内部之间访问，可直接访问，不需要走NAT，目前交换芯片基本都支持基本的NAT功能，典型拓扑图如图1所示，这种拓扑交换机上配置直接可以做到，不需要额外添加路由器或者防火墙设备。

但实际网络中，局域网内网有服务器对外发布，基于对服务器的保护，或者方便管理，及安全方面的原因，人们在访问或被访问时并不想暴露真实的内网地址，希望外网用户和内网用户均通过外网的IP访问服务器。

一般采取的方法是在网络增加路由器，在路由器上做NAT解决。典型解决方案拓扑如图2所示，在此方法中，交换机只用于扩展端口使用，所有端口均在同一个VLAN中。以192.168.1.100通过1.1.1.1：21访问内网ftp server 192.168.1.200：21端口为例，访问过程如下：

1、192.168.1.100发送访问ftp server 1.1.1.1：21端口请求，switch交换机收到报文，转发至Router路由器上。

2、Router路由器上收到报文，会匹配上本机上的NAT规则，如图3所示，修改报文的源IP：192.168.1.100为路由IP：1.1.1.1，同时会查找本机的DNAT表项1.1.1.1：21匹配的内网IP，修改报文的目的IP为内网IP：192.168.1.200。然后查找出口，将报文转发至switch交换机。

3、switch交换机收到报文，最终转发至发ftp server。

回程过程类似上述过程。

另一种方法需要交换机支持NAT回环功能，在同一台设备上首先要做SNAT修改报文的源IP信息替换成外网IP，紧接着再做DNAT修改报文的目的IP和端口信息替换成服务器内网的IP和端口，且两者需要同时修改。目前交换芯片基本都做不到。

本申请提供了一种使交换芯片或交换机支持回环的方法，下面进行具体说明。

图4为本申请实施例提供的一种NAT回环的方法的步骤示意图，可以包括以下步骤：

S101：确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口。

在交换机的空闲端口或者交换机内部预留的端口，实现NAT回环，需要对该端口进行预先的配置。

在本申请的一种实施例中，确定通过交换机配置的网络地址转换NAT环回端口，具体包括：确定将交换机的空闲端口或交换芯片内的预设端口配置为网络地址转换NAT环回端口；将与内网地址对应的外网地址的路由出口配置为NAT环回端口；配置NAT环回端口的NAT功能。具体所需的额外配置如下：

1)将三层交换机上的空闲端口或者交换芯片内部预留的端口设置为路由端口，在此端口配置物理环回接口loopback，由此路由端口也为物理环回接口。确定将NAT环回端口用于转发三层流量，且不用于转发二层流量，也就是说，此路由端口只转发三层流量，不转发任何二层流量。

2)配置外网IP的路由出口为loopback口。如图5所示，配置1.1.1.1/32出口为loopback口。

3)配置loopback端口，使loopback端口能执行NAT查找功能。

在本申请的一种实施例中，配置NAT环回端口的NAT功能，具体包括：

配置SNAT规则，将源地址、源端口替换成对应的外网地址和端口；

配置DNAT规则，将目的地址、目的端口替换成对应的内网地址和端口。

如图5所示，配置SNAT规则，源地址192.168.1.100映射外网地址1.1.1.1，端口为主机随机分配的端口号，如8888。当进行SNAT时，根据配置的SNAT规则进行转换。

配置DNAT规则，目的地址也就是外网地址1.1.1.1映射内网地址192.168.1.200，端口号为访问内网主机的端口号21。当进行DNAT时，根据配置的DNAT规则进行转换。

S102：接收网络访问请求中的报文，对报文进行源地址转换。

在本申请的一种实施例中，接收网络访问请求中的报文，对报文进行源地址转换，具体包括：接收网络访问请求中的报文；根据报文中的源地址、源端口，查找源地址转换SNAT规则列表，将源地址转换为外网地址和对应的端口。

在本申请的一种实施例中，对报文进行源地址转换之后，根据对报文中的源地址、源端口的SNAT转换，确定对应的回程DNAT转换规则，并存储。

S103：根据报文中的目的地址，从路由表中查询得到NAT环回端口，并将报文发送至NAT环回端口。

通过配置路由出口，外网IP的路由出口为NAT环回端口。

S104：对报文进行目的地址转换，并根据转换得到的目的地址，将报文发送至对应的目的服务器。目的服务器可以为内网的主机，也可以为外网的主机。

在本申请的一种实施例中，对报文进行目的地址转换，具体包括：根据报文中的目的地址、目的端口，查找目的地址转换DNAT规则列表；若DNAT规则列表中存在与目的地址、目的端口匹配的表项，则将目的地址、目的端口转换为匹配的表项中的地址、端口。

如图5所示，以192.168.1.100通过1.1.1.1：21访问内网ftp server192.168.1.200：21端口为例，访问过程如下：

第一步，switch交换机收到192.168.1.100访问1.1.1.1：21请求。假设IP地址为192.168.1.100的主机上随机分配的源端口号(tcp srcport)为8888。

第二步，进行源地址转换。交换机查找配置的NAT规则表，发现此主机是属于NatInside的接口，目的为外网的IP 1.1.1.1，然后进行SNAT转换，将源地址192.168.1.100替换成外网的1.1.1.1地址，同时将反向的回程DNAT规则(1.1.1.1：8888替换为192.168.1.100：8888)存储到交换机本地。

第三步，查找路由出口，向物理环回接口loopback转发报文。使用目的IP地址DIP：1.1.1.1查找路由表，发现出端口为loopback口，将报文转发至此端口。这一步，报文中的源IP地址SIP：192.168.1.100已被替换成外网的IP：1.1.1.1了。

第四步，进行目的地址转换，发送报文。由于交换芯片无法做到做完SNAT后，再直接做DNAT匹配，所以报文从设置的物理环回接口loopback环回进来，由于配置了基于端口的NAT功能，所进来的报文均会做DNAT查找，取报文中的目的地址DIP和目的端口DPORT(1.1.1.1：21)，查找DNAT表，若能够与表中规则匹配，修改报文中的DIP及DPORT字段为192.168.1.200：21，转发至IP地址为192.168.1.200：21的服务器上。由此服务器收到的报文最终为SIP 1.1.1.1SPORT 8888，DIP 192.168.1.200DPORT 21。

通过上述步骤，将交换机上的空闲端口设置为路由端口，使交换芯片支持NAT回环功能，隐藏了内网主机的地址，避免了增加额外的路由器或防火墙等设备，降低了设备的成本；减少了需要维护的设备节点，降低了设备物理故障率；统一使用外网IP访问，上述实施例中统一的外网IP为1.1.1.1，简化了网络配置。

回程时，转发过程类似上述步骤，如下：

第一步，ftp server向switch交换机发送回应报文。报文中SIP：SPORT为192.168.1.200：21，DIP：DPORT为1.1.1.1：8888。

第二步，进行SNAT转换。发现发送报文的端口为NAT inside接口，然后查找NAT规则表，首先做SNAT，修改源IP：SPORT为1.1.1.1：21。

第三步，查找路由出口，向物理环回接口loopback转发报文。通过交换机查表查找路由1.1.1.1/32，将报文转发至loopback端口上。

第四步，进行目的地址转换，发送报文。报文从loopback环回进来，查找DNAT规则表，若能够与表中规则匹配，将报文中目的地址和目的端口1.1.1.1：8888修改为192.168.1.100：8888。然后转发至192.168.1.100设备上，完成交互过程。

在本申请的一种实施例中，确定网络访问请求对应的接口为外网接口或内网接口；若为内网接口，则对报文进行源地址转换；若为外网接口，则对报文进行目的地址转换。

交换机中连接nat外部IP地址的接口为Nat Outside接口，内部IP地址对应的接口称为Nat Inside接口。当交换机接收到访问请求时，首先判断该IP地址连接的接口，若是连接Nat Inside接口，则对该IP地址做源地址转换；若是连接Nat Outside接口，则对该IP地址做目的地址转换。

以上为本申请实施例提供的一种网络地址转换回环的方法，基于同样的发明思路，本申请实施例还提供了相应的一种网络地址转换回环的装置，如图6所示：

配置模块201，用于确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

源地址转换模块202，用于接收网络访问请求中的报文，对报文进行源地址转换；

回环模块203，用于根据报文中的目的地址，从路由表中查询得到NAT环回端口，并将报文发送至NAT环回端口；

目的地址转换模块204，用于对报文进行目的地址转换，并根据转换得到的目的地址，将报文发送至对应的目的服务器。

本申请的一些实施例提供的对应于图4的一种网络地址转换回环的非易失性计算机存储介质，存储有计算机可执行指令，计算机可执行指令设置为：

确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

接收网络访问请求中的报文，对报文进行源地址转换；

根据报文中的目的地址，从路由表中查询得到NAT环回端口，并将报文发送至NAT环回端口；

对报文进行目的地址转换，并根据转换得到的目的地址，将报文发送至对应的目的服务器。

本申请实施例提供的装置和介质与方法是一一对应的，因此，装置和介质也具有与其对应的方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述装置和介质的有益技术效果。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种网络地址转换回环的方法，其特征在于，包括：

确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

接收网络访问请求中的报文，对所述报文进行源地址转换；

根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

2.根据权利要求1所述的方法，其特征在于，确定通过交换机配置的网络地址转换NAT环回端口，具体包括：

确定将交换机的空闲端口或交换芯片内的预设端口配置为网络地址转换NAT环回端口；

将与内网地址对应的外网地址的路由出口配置为所述NAT环回端口；

配置所述NAT环回端口的NAT功能。

3.根据权利要求1所述的方法，其特征在于，接收网络访问请求中的报文，对所述报文进行源地址转换，具体包括：

接收网络访问请求中的报文；

根据所述报文中的源地址、源端口，查找源地址转换SNAT规则列表，将所述源地址转换为外网地址和对应的端口。

4.根据权利要求1所述的方法，其特征在于，对所述报文进行目的地址转换，具体包括：

根据所述报文中的目的地址、目的端口，查找目的地址转换DNAT规则列表；

若所述DNAT规则列表中存在与所述目的地址、目的端口匹配的表项，则将所述目的地址、目的端口转换为所述匹配的表项中的地址、端口。

5.根据权利要求3所述的方法，其特征在于，对所述报文进行源地址转换之后，所述方法还包括：

根据对所述报文中的源地址、源端口的SNAT转换，确定对应的回程DNAT转换规则，并存储。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定所述网络访问请求对应的接口为外网接口或内网接口；

若为内网接口，则对所述报文进行源地址转换；

若为外网接口，则对所述报文进行目的地址转换。

7.根据权利要求2所述的方法，其特征在于，配置所述NAT环回端口的NAT功能，具体包括：

配置SNAT规则，将源地址、源端口替换成对应的外网地址和端口；

配置DNAT规则，将目的地址、目的端口替换成对应的内网地址和端口。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定将所述NAT环回端口用于转发三层流量，且不用于转发二层流量。

9.一种网络地址转换回环的装置，其特征在于，包括：

配置模块，用于确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

源地址转换模块，用于接收网络访问请求中的报文，对所述报文进行源地址转换；

回环模块，用于根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

目的地址转换模块，用于对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

10.一种网络地址转换回环的非易失性计算机存储介质，存储有计算机可执行指令，其特征在于，所述计算机可执行指令设置为：

确定通过交换机配置的网络地址转换NAT环回端口，作为路由端口；

接收网络访问请求中的报文，对所述报文进行源地址转换；

根据所述报文中的目的地址，从路由表中查询得到所述NAT环回端口，并将所述报文发送至所述NAT环回端口；

对所述报文进行目的地址转换，并根据转换得到的目的地址，将所述报文发送至对应的目的服务器。

Images