CN113422846B - 一种基于网络地址转换协议的业务报文处理方法及设备 - Google Patents

Abstract

本申请公开了一种基于网络地址转换协议的业务报文处理方法及设备，用以解决现有的报文转换需要通过内部环回口，走两遍交换芯片流程，才能实现网络地址转换回环的技术问题。方法包括：通过交换机接收来自本地网络的主机和/或服务器的业务报文；根据第一访问控制列表规则，对业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，以及根据第二访问控制列表规则，对业务报文进行目的地址转换，得到对应的下一跳表索引；根据第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，实现业务报文的转发。本申请在访问控制列表的若干个块中，并行查询访问控制列表规则，从而同时进行源地址转换和目的地址转换。

Description

一种基于网络地址转换协议的业务报文处理方法及设备

技术领域

本申请涉及网络通信技术领域，尤其涉及一种基于网络地址转换协议的业务报文处理方法及设备。

背景技术

网络地址转换(Network Address Translation，NAT)是将IP数据报报头中的IP地址转换为另一个IP地址的过程。当局域网内部的主机分配到内部地址(内部网络或主机的IP地址)，但没有分配公网地址的情况下，使用NAT将本地私有地址转换成公网地址(在因特网上全球唯一的IP地址)，与因特网上的主机进行通信。NAT能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。

源地址转换(SourceNetwork Address Translation，SNAT)是局域网访问因特网时，对报文的源地址进行转换。目的地址转换(Destination Network AddressTranslation，DNAT)是因特网访问局域网时，对报文的目的地址进行转换。

目前，三层交换机上传统的NAT功能需要借助于交换芯片的NAT表项来实现。对于NAT回环来说，需要报文在三层交换机中同时走SNAT和DNAT流程，但是NAT表项资源通常较少，交换芯片中NAT表项流程只能走SNAT或DNAT流程中的一个。

在现有技术中，实现NAT回环需要单独对本地网络之间通信的报文做特殊处理，将其导向内部环回口。在NAT表项做SNAT之后，转发到一个内部环回口，再走一遍NAT表项做DNAT，此时报文需要走两遍交换芯片流程，增加了报文与交换芯片其他功能之间的耦合性。

发明内容

本申请实施例提供了一种基于网络地址转换协议的业务报文处理方法及设备，用以解决现有的报文转换需要通过内部环回口，走两遍交换芯片流程，才能实现网络地址转换回环的技术问题。

一方面，本申请实施例提供了一种基于网络地址转换协议的业务报文处理方法，包括：通过交换机接收来自本地网络的主机和/或服务器的业务报文；根据第一访问控制列表规则，对所述业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，以及根据第二访问控制列表规则，对所述业务报文进行目的地址转换，得到对应的下一跳表索引；根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，实现所述业务报文的转发。

在本申请的一种实现方式中，根据第一访问控制列表规则，对所述业务报文进行源地址转换，具体包括：根据所述业务报文的源地址，查询源地址转换的访问控制列表表项，确定第一访问控制列表规则；根据所述第一访问控制列表规则对应的业务报文修改表条目，对所述业务报文的源地址和源端口号进行转换。

在本申请的一种实现方式中，根据第二访问控制列表规则，对所述业务报文进行目的地址转换，具体包括：根据所述业务报文的目的地址和目的端口号，查询目的地址转换的访问控制列表表项，确定第二访问控制列表规则；根据所述第二访问控制列表规则对应的业务报文修改表条目，对所述业务报文的目的地址和目的端口号进行转换。

在本申请的一种实现方式中，根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口之前，还包括：根据所述业务报文的目的地址查询路由表，确定路由信息；根据所述路由信息对应的下一跳表索引，确定下一跳地址对应的出口。

在本申请的一种实现方式中，根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，具体包括：基于所述第二访问控制列表规则的优先级高于所述路由表的优先级，将所述第二访问控制列表规则对应的下一跳表索引覆盖所述路由信息对应的下一跳表索引；根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口。

在本申请的一种实现方式中，根据第一访问控制列表规则，对源地址和源端口号进行转换之前，还包括：根据所述业务报文的源地址或者目的地址，在访问控制列表的若干个块中并行查询确定对应的访问控制列表规则。

在本申请的一种实现方式中，根据所述第二访问控制列表规则确定的所述下一跳地址，与根据所述第二访问控制列表规则转换后的所述业务报文的目的地址一致。

在本申请的一种实现方式中，还包括：通过交换芯片，扩展访问控制列表资源；通过扩展后的访问控制列表资源，匹配业务报文的访问控制列表规则。

在本申请的一种实现方式中，还包括：在所述业务报文只进行源地址转换时，根据所述业务报文的目的地址查询路由表，确定路由信息；根据所述路由信息对应的下一跳表索引，确定所述源地址转换的下一跳地址；根据所述业务报文的源地址，查询所述源地址转换的访问控制列表表项，确定访问控制列表规则；根据所述访问控制列表规则，对所述业务报文的源地址和源端口号进行转换。

另一方面，本申请实施例还提供了一种基于网络地址转换协议的业务报文处理设备，处理设备包括：处理器；及存储器，其上存储有可执行代码，当可执行代码被执行时，使得处理器执行如上述的一种基于网络地址转换协议的业务报文处理方法。

本申请实施例提供了一种基于网络地址转换协议的业务报文处理方法及设备，至少包括以下有益效果：通过交换机接收业务报文，从而根据业务报文的源地址或者目的地址，在访问控制列表的若干个块中并行查询，将源地址转换和目的地址转换放在不同的访问控制列表的块中，确定对应的访问控制列表规则；然后根据源地址转换对应的第一访问控制列表规则，对业务报文的源地址和源端口号进行转换，从而实现源地址转换；根据目的地址对应的第二访问控制列表规则，对业务报文的目的地址和目的端口号进行转换，从而实现目的地址转换；由于第二访问控制列表的优先级高于路由表的优先级，将第二访问控制列表规则对应的下一跳表索引覆盖路由信息对应的下一跳表索引，确定下一跳地址，从而实现业务报文的转发。并且，本申请通过交换芯片，扩展了访问控制列表资源，从而提升了对网络地址转换的支持能力，方便新的业务报文匹配对应的访问控制列表规则。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种基于网络地址转换协议的业务报文处理方法流程图；

图2为本申请实施例提供的另一种基于网络地址转换协议的业务报文处理方法流程图；

图3为本申请实施例提供的一种主机和服务器通过交换机通信时的报文转换图；

图4为本申请实施例提供的一种基于网络地址转换协议的业务报文处理设备内部结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例提供了一种基于网络地址转换协议的业务报文处理方法及设备，通过交换机接收业务报文，基于访问控制列表的并行查询能力，确定对应的访问控制列表规则，然后根据对应的访问控制列表规则，同时进行源地址转换和目的地址转换，实现网络地址转换回环，用以解决现有的报文转换需要通过内部环回口，走两遍交换芯片流程，才能实现网络地址转换回环的技术问题。

下面通过附图对本申请实施例提出的技术方案进行详细的说明。

图1为本申请实施例提供的一种基于网络地址转换协议的业务报文处理方法流程图。如图1所示，本申请实施例提供的移动终端单手操作的方法主要包括以下步骤：

S101、通过交换机接收来自本地网络的主机和/或服务器的业务报文。

本申请通过交换机，可以同时接收来自本地网络的主机和服务器的业务报文，也可以分别接收来自主机、服务器的业务报文，以便根据业务报文进行后续操作。

具体地，本申请通过交换机接收主机和/或服务器的业务报文，不仅可以在本地网络和外部网络通信时有效的保护本地网络的主机和服务器，还可以在本地网络中的主机和服务器进行通信时，通过公网地址进行互访，从而在保护本地主机和服务器的基础上，实现网络地址转换回环。

在本申请的一个实施例中，服务器根据业务报文的源地址或者目的地址，在访问控制列表的若干个块中并行查询，确定出对应的访问控制列表规则，从而根据访问控制列表规则进行网络地址转换。

具体地，访问控制列表中包含若干个块，每个块中包含若干个访问控制列表规则。在接收到业务报文后，服务器在访问控制列表的若干个块中并行查询，将源地址转换和目的地址转换放在不同的访问控制列表的块中，确定对应的访问控制列表规则。并且，在业务报文同时确定出多个块的访问控制列表规则时，这些访问控制列表规则会对当前业务报文的处理进行叠加，即多个访问控制列表规则对当前业务报文并行处理。本申请通过访问控制列表进行业务报文的转换，可以防止真实的内网地址被暴露，有效地控制用户对网络的访问，从而最大程度的保障网络的安全。

S102、根据第一访问控制列表规则，对所述业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，以及根据第二访问控制列表规则，对所述业务报文进行目的地址转换，得到对应的下一跳表索引。

服务器根据源地址转换对应的第一访问控制列表规则，对业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，并且，服务器根据目的地址转换对应的第二访问控制列表规则，对业务报文进行目的地址转换，得到对应的下一跳表索引。

具体地，本申请基于访问控制列表的并行查询能力，既可以同时对业务报文进行源地址转换和目的地址转换，又可以分别对业务报文进行源地址转换或者目的地址转换，满足报文转换的实际需求。

在本申请的一个实施例中，服务器根据业务报文的源地址，查询源地址转换的访问控制列表表项，从而确定出源地址转换对应的第一访问控制列表规则，然后根据第一访问控制列表规则对应的业务报文修改表的条目，对业务报文的源地址和源端口号进行转换，从而完成源地址转换。

在本申请的一个实施例中，服务器根据业务报文的目的地址和目的端口号，查询目的地址转换的访问控制列表表项，从而确定出目的地址转换对应的第二访问控制列表规则，然后根据第二访问控制列表规则对应的业务报文修改表的条目，对业务报文的目的地址和目的端口号进行转换，从而完成目的地址转换。

在本申请的一个实施例中，服务器根据第二访问控制列表规则对应的下一跳表索引确定出的下一跳地址，与服务器根据第二访问控制列表规则转换后的业务报文的目的地址一致。

在本申请的一个实施例中，在进行源地址转换时，服务器会根据业务报文的目的地址查询路由表，确定源地址转换的路由信息，从而根据路由信息对应的下一跳表索引，确定出下一跳地址对应的出口信息。

在本申请的一个实施例中，在进行目的地址转换时，服务器会根据第二访问控制列表规则对应的下一跳表索引，确定出下一跳地址对应的出口信息。

图2为本申请实施例提供的另一种基于网络地址转换协议的业务报文处理方法流程图。如图2所示，在进行SNAT源地址转换时，服务器会根据业务报文的目的地址查询路由表，确定业务报文对应的路由信息，然后根据路由信息指示的Next Hop下一跳表索引，找到指示源地址转换出口信息的下一条地址。

服务器基于访问控制列表的并行查询能力，确定出源地址转换对应的ACL Block1for SNAT第一访问控制列表规则，和目的地址转换对应的ACL Block2for DNAT第二访问控制列表规则。

服务器根据第一访问控制列表规则，找到对应的业务报文修改表，然后根据第一访问控制列表规则对应的业务报文修改表的条目，对业务报文的源地址和源端口号进行转换，从而完成SNAT源地址转换。

在进行DNAT目的地址转换时，服务器会根据目的地址转换对应的ACL Block2 forDNAT第二访问控制列表规则指示的Next Hop下一跳表索引，找到指示目的地址转换出口信息的下一条地址。并且，服务器还根据ACL Block2 for DNAT第二访问控制列表规则，找到对应的业务报文修改表，然后根据第二访问控制列表规则对应的业务报文修改表的条目，对业务报文的目的地址和目的端口号进行转换，从而完成DNAT目的地址转换。

S103、根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，实现所述业务报文的转发。

服务器根据第二访问控制列表规则对应的下一跳索引，确定出下一跳地址对应的出口信息，从而实现业务报文的转发。

在本申请的一个实施例中，由于第二访问控制列表规则的优先级高于路由表的优先级，所以服务器会将第二访问控制列表规则对应的下一跳表索引覆盖路由表对应的下一跳表索引，从而服务器根据第二访问控制列表规则对应的下一跳表索引，确定出下一跳地址对应的出口信息。

如图2所示，在NAT网络地址转换回环中，由于ACL Block2 for DNAT第二访问控制列表规则的优先级高于路由表的优先级，所以将ACL Block2 for DNAT第二访问控制列表规则指示的Next Hop下一跳表索引，覆盖路由表指示的Next Hop下一跳表索引，最终服务器会根据ACL Block2 for DNAT第二访问控制列表规则指示的Next Hop下一跳表索引，确定出网络地址转换回环指示出口信息的下一跳地址。

在本申请的一个实施例中，服务器通过交换芯片，扩展了访问控制列表资源，通过扩展后的访问控制列表资源，方便新的业务报文匹配对应的访问控制列表规则，从而提升了对网络地址转换的支持能力。

本申请通过交换芯片的并向查询能力，确定出源地址转换和目的地址转换分别对应的访问控制列表规则，去除了源地址转换和目的地址转换之间的耦合性，从而使源地址转换和目的地址转换可以同时进行，做到互不影响，实现了网络地址转换回环，完成了业务报文的转发。

在本申请的一个实施例中，当业务报文只进行源地址转换时，服务器会根据当前业务报文的目的地址查询路由表，确定出路由信息，从而根据路由信息对应的下一跳表索引，确定出源地址转换的下一跳地址对应的出口信息。并且，服务器会根据业务报文的源地址，查询源地址转换的访问控制列表表项，确定出当前业务报文对应的访问控制列表规则，从而根据访问控制列表规则，对当前业务报文的源地址和源端口号进行转换，进而完成源地址转换。

在本申请的一个实施例中，当业务报文只进行目的地址转换时，服务器会根据业务报文的目的地址和目的端口号，查询目的地址转换的访问控制列表表项，确定出当前业务报文对应的访问控制列表规则，从而根据目的地址转换对应的访问控制列表规则，对当前业务报文的目的地址和目的端口号进行转换，进而完成目的地址转换。

图3为本申请实施例提供的一种主机和服务器通过交换机通信时的报文转换图。如图3所示，图中SNAT和DNAT虚框为本地网络中的主机192.168.1.2和服务器192.168.1.3通过交换机与因特网中的服务器1.1.1.3通信时的报文转换情况。对因特网中的服务器1.1.1.3来说，本地主机192.168.1.2和服务器192.168.1.3的IP地址均被屏蔽，服务器1.1.1.3只能看到主机和服务器通过NAT网络地址转换后的地址20.1.1.1。

在SNAT源地址转换过程中，主机192.168.1.2和服务器192.168.1.3都被转换为20.1.1.1，主机和服务器的源端口号不一样。在DNAT目的地址转换过程中，目的地址都是20.1.1.1，服务器根据目的端口号，将目的地址20.1.1.1分别转换为192.168.1.2和192.168.1.3。

如图3所示，图中NAT回环虚框为本地网络中的主机192.168.1.2和服务器192.168.1.3通过交换机进行通信时的报文转换情况。对于本地主机192.168.1.2来说，本地服务器192.168.1.3的IP地址被屏蔽了，本地主机192.168.1.2只能看到通过NAT网络地址转换后的本地服务器的地址20.1.1.1。对于本地服务器192.168.1.3来说，本地主机192.168.1.2的IP地址被屏蔽了，本地服务器192.168.1.3只能看到通过NAT网络地址转换后的本地主机的地址20.1.1.1。

需要说明的是，图2所示的方法与图1所示的方法本质相同，因此，图2中未详述的部分，具体可参照图1中的相关描述，本申请在此不再赘述。

本申请实施例提供了一种基于网络地址转换协议的业务报文处理方法及设备，通过交换机接收业务报文，从而根据业务报文的源地址或者目的地址，在访问控制列表的若干个块中并行查询，将源地址转换和目的地址转换放在不同的访问控制列表的块中，确定对应的访问控制列表规则；然后根据源地址转换对应的第一访问控制列表规则，对业务报文的源地址和源端口号进行转换，从而实现源地址转换；根据目的地址对应的第二访问控制列表规则，对业务报文的目的地址和目的端口号进行转换，从而实现目的地址转换；由于第二访问控制列表的优先级高于路由表的优先级，将第二访问控制列表规则对应的下一跳表索引覆盖路由信息对应的下一跳表索引，确定下一跳地址，从而实现业务报文的转发。并且，本申请通过交换芯片，扩展了访问控制列表资源，从而提升了对网络地址转换的支持能力，方便新的业务报文匹配对应的访问控制列表规则。

以上为本申请提出的方法实施例。基于同样的发明构思，本申请实施例还提供了一种基于网络地址转换协议的业务报文处理设备，其结构如图4所示。

图4为本申请实施例提供的一种基于网络地址转换协议的业务报文处理设备内部结构示意图。如图4所示，处理设备包括处理器401、及存储器402，其上存储有可执行代码，当可执行代码被执行时，使得处理器401执行如上的一种基于网络地址转换协议的业务报文处理方法。

在本申请的一个实施例中，处理器401用于通过交换机接收来自本地网络的主机和/或服务器的业务报文；以及用于根据第一访问控制列表规则，对业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，以及根据第二访问控制列表规则，对业务报文进行目的地址转换，得到对应的下一跳表索引；还用于根据第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，实现业务报文的转发。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (6)

1.一种基于网络地址转换协议的业务报文处理方法，其特征在于，所述方法包括：

通过交换机接收来自本地网络的主机和/或服务器的业务报文；

根据第一访问控制列表规则，对所述业务报文进行源地址转换，通过路由表得到对应的下一跳表索引，以及根据第二访问控制列表规则，对所述业务报文进行目的地址转换，得到对应的下一跳表索引；

根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，实现所述业务报文的转发；

根据第一访问控制列表规则，对所述业务报文进行源地址转换，具体包括：

根据所述业务报文的源地址，查询源地址转换的访问控制列表表项，确定第一访问控制列表规则；

根据所述第一访问控制列表规则对应的业务报文修改表条目，对所述业务报文的源地址和源端口号进行转换；

根据第二访问控制列表规则，对所述业务报文进行目的地址转换，具体包括：

根据所述业务报文的目的地址和目的端口号，查询目的地址转换的访问控制列表表项，确定第二访问控制列表规则；

根据所述第二访问控制列表规则对应的业务报文修改表条目，对所述业务报文的目的地址和目的端口号进行转换；

根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口，具体包括：

基于所述第二访问控制列表规则的优先级高于所述路由表的优先级，将所述第二访问控制列表规则对应的下一跳表索引覆盖路由信息对应的下一跳表索引；

根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口；

在所述业务报文只进行源地址转换时，根据所述业务报文的目的地址查询路由表，确定路由信息；

根据所述路由信息对应的下一跳表索引，确定所述源地址转换的下一跳地址；

根据所述业务报文的源地址，查询所述源地址转换的访问控制列表表项，确定访问控制列表规则；

根据所述访问控制列表规则，对所述业务报文的源地址和源端口号进行转换。

2.根据权利要求1所述的一种基于网络地址转换协议的业务报文处理方法，其特征在于，根据所述第二访问控制列表规则对应的下一跳表索引，确定下一跳地址对应的出口之前，所述方法还包括：

根据所述业务报文的目的地址查询路由表，确定路由信息；

根据所述路由信息对应的下一跳表索引，确定下一跳地址对应的出口。

3.根据权利要求1所述的一种基于网络地址转换协议的业务报文处理方法，其特征在于，根据第一访问控制列表规则，对源地址和源端口号进行转换之前，所述方法还包括：

根据所述业务报文的源地址或者目的地址，在访问控制列表的若干个块中并行查询确定对应的访问控制列表规则。

4.根据权利要求1所述的一种基于网络地址转换协议的业务报文处理方法，其特征在于，根据所述第二访问控制列表规则确定的所述下一跳地址，与根据所述第二访问控制列表规则转换后的所述业务报文的目的地址一致。

5.根据权利要求1所述的一种基于网络地址转换协议的业务报文处理方法，其特征在于，所述方法还包括：

通过交换芯片，扩展访问控制列表资源；

通过扩展后的访问控制列表资源，匹配业务报文的访问控制列表规则。

6.一种基于网络地址转换协议的业务报文处理设备，其特征在于，所述处理设备包括：

处理器；

及存储器，其上存储有可执行代码，当所述可执行代码被执行时，使得所述处理器执行如权利要求1-5任一项所述的一种基于网络地址转换协议的业务报文处理方法。

Images