CN113507532A - 网络地址转换的方法及相应服务器、存储介质和电子设备 - Google Patents

Abstract

本发明属于网络通信技术领域，具体公开了一种网络地址转换的方法，该方法用于进行所述网络地址转换的转换服务器中包括端口分配表，所述端口分配表指定端口与所述转换服务器的CPU的核的对应关系，所述CPU的所述核根据所述端口分配表分别处理相应所述端口收发的报文。本发明的优点在于规定了端口与CPU的核的对应关系，从而可以改变链接追踪表(IPtable)的设置方式，使得多核心的服务器CPU不再共享一个链接追踪表，降低了多个核心(core)同时访问(尤其是修改)同一个链接追踪表而造成的冲突的几率。

Description

网络地址转换的方法及相应服务器、存储介质和电子设备

技术领域

本发明涉及网络通信技术领域，尤其涉及了一种网络地址转换的方法及相应服务器、存储介质和电子设备。

背景技术

NAT(Network Address Translation，网络地址转换)是将IP数据包头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现内部网络访问公共网络的功能。

SNAT(Source Network Address Translation，源网络地址转换)服务器的作用是将IP数据包中的源地址(内部网络地址)转换成另一个网络地址(外部网络地址)，从而可以使得内部网络主机所发送的数据包能够顺利发送到外部网络，并且外部网络回复的数据包也能准确回复到源地址(内部网络地址)所指向的内部网络主机。

当前的SNAT服务器大多都是用Linux内核的SNAT功能进行搭建，但是Linux内核对于SNAT处理基于链接追踪表，由于Linux内核的通用性，在链接追踪表的处理上性能比较弱，SNAT服务器中的多个CPU的核对链接追踪表的访问容易产生冲突，不能满足日益增长的需求。

发明内容

为了解决上述缺陷，减少多个CPU的核对链接追踪表的访问冲突，提高SNAT服务器中的多个CPU的核对各应用程序(或者说服务)的端口的查找效率，从而可以满足内部网络与外部网络之间越来越多的报文交换的需求。

本发明提供了一种网络地址转换的方法，方法包括：用于进行所述网络地址转换的转换服务器中包括端口分配表，所述端口分配表指定端口与所述转换服务器的CPU的核的对应关系，所述CPU的所述核根据所述端口分配表分别处理相应所述端口收发的报文。

上述的方法，其中，根据所述CPU的所述核的个数对所述端口进行分组，一组所述服务器端口收发的数据由同一个所述CPU的所述核处理。

上述的方法，其中，一个所述CPU的所述核维护一个链接追踪表，并且所述转换服务器中的多个CPU的核相互之间不修改其他CPU的核维护的所述链接追踪表。

上述的方法，其中，所述报文通过第一线程从内部网络向外部网络转发时，所述转换服务器还配置硬件规则，以使与所述报文相对应的应答报文聚合到所述第一线程处理的队列中。

上述的方法，其中，所述配置硬件规则包括：

记录发送所述报文的源IP地址和第一端口；

记录发送所述报文的所述第一线程；

至少根据接收到的所述应答报文中的所述第一端口确定发送所述报文时的线程为所述第一线程，并将所述应答报文聚合到所述第一线程处理的队列中。

上述的方法，其中，所述转换服务器接收到内部网络向外部网络发送的所述报文后，至少执行如下步骤：

读取所述报文中的端口号，根据所述端口分配表指定的对应关系将所述报文分配给相应的CPU的核，由所述核来处理所述报文的地址转换工作；

所述CPU的所述核开启所述第一线程，用于发送所述报文以及接收相应的所述应答报文；

所述CPU的所述核修改与所述CPU的所述核相对应的链接追踪表，以更新内部网络的所述报文与外部网络的报文的对应关系；

根据所述链接追踪表配置硬件规则。

上述的方法，其中，所述转换服务器接收到与所述报文相对应的所述应答报文后，至少执行如下步骤：由所述转换服务器的网络设备直接读取所述应答报文中的所述端口，并根据所述硬件规则将所述应答报文聚合到所述第一线程的队列中。

相应的，本发明还提出了一种服务器，所述服务器在内部网络和外部网络之间转换报文的IP地址的过程中包括上述的方法。

相应的，本发明还提出了一种计算机可读的存储介质，所述存储介质上存储有指令，所述指令在计算机上执行时，所述计算机执行上述的方法。

相应的，本发明还提出了一种电子设备，包括：

存储器，是所述电子设备的存储器之一，用于存储计算机指令；

处理器，是所述电子设备的处理器之一，当所述处理器执行所述计算机指令时，实现上述的方法。

与现有技术相比，本发明通过对端口分组的方法，规定了端口与CPU的核的对应关系，从而可以改变链接追踪表(IPtable)的设置方式，使得多核心的服务器CPU不再共享一个链接追踪表，降低了多个核心(core)同时访问(尤其是修改)同一个链接追踪表而造成的冲突的几率。通过一个核心一个链接追踪表的方式提高了访问连接追踪表的成功率，提高了访问速度，能够适应日益增长的网络带宽需求。

其次，在服务器的网络设备(例如网卡)上设置硬件规则，在接收到外部网络报文的第一时间内追踪到与所接收的外部网络报文相对应的内部网络报文是由哪一个线程(例如第一线程)处理的，从而可以将该外部网络报文的内容聚合到该线程(例如第一线程)。这样能够保证来回报文由同一个CPU线程处理。

附图说明

图1是根据本发明的若干实施例的服务器的硬件结构框图；

图2是根据本发明的若干实施例的端口分配的示意图；

图3是根据本发明的若干实施例的流程图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，本领域技术人员可由本说明书所揭示的内容轻易地了解本发明的其他优点及功效。虽然本发明的描述将结合较佳实施例一起介绍，但这并不代表此发明的特征仅限于该实施方式。恰恰相反，结合实施方式作发明介绍的目的是为了覆盖基于本发明的权利要求而有可能延伸出的其它选择或改造。为了提供对本发明的深度了解，以下描述中将包含许多具体的细节。本发明也可以不使用这些细节实施。此外，为了避免混乱或模糊本发明的重点，有些具体细节将在描述中被省略。需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

应注意的是，在本说明书中，相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释，默认为同一定义。

还需声明的是，本发明中对方法、流程进行编号是为了便于引用，而不是限定先后顺序，各步骤之间如有先后顺序，当以文字说明为准。

网络技术的越来越普及，目前，无论是办公还是学习中都会遇到内部网络(公司/学校的内部网络)与外部网络(因特网)之间的报文交换的使用情景。内部网络中的主机需要链接到外部网络就需要有合法的外部网络地址，得到这个合法的外部网络地址的方法是让网关进行地址转换，将内部网络中的主机地址转换为外部网络地址，并且当收到相应的应答报文时，再将外部网络地址转换为内部网络地址。背景技术中提及的SNAT服务器就能充当上述网关。

在内外网络之间转换报文地址时，除了主机的IP地址，通常还包括发出该报文的应用程序/服务所使用的端口号，如果在转换过程中该端口号出现了错误，那么该报文将得不到或得到错误的应答报文，影响内外网络交换报文(数据)的效率。

本发明的发明构思的基础在于，转换服务器通常都是多核心的处理器，例如，英特尔的Xeon E52680处理器是8核心的处理器。现有技术中转换服务器处理内部网络报文向外部网络转发的CPU的核与处理外部网络报文向内部网络转发的CPU的核通常不是同一个核心，在这过程中需要建立链路追踪表来维持收发报文的地址的一致性，但是，多个CPU的核不能同时访问，尤其是修改该链路追踪表，从而拖慢了CPU的处理速度。

本发明的发明构思的重点在于，发送报文所使用的端口号通常是有限的，例如，TCP/IP协议中的端口号的范围为0到65535，可以将有限的端口号分组分配给多个处理器核心，一个核心专门处理来自同一组端口号的报文，也就是说，可以将现有技术中一个CPU对应的一张链路追踪表分解为若干张(例如，8核心的CPU就分解为8张链路追踪表)，每张链路追踪表保存一组端口的链路追踪信息，从而，每个核心只访问相应的链路追踪表，降低了多个核心同时访问同一个链路追踪表的可能性，也就是说降低了访问冲突的概率，从而有助于CPU提高实际的处理速度。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的实施方式作进一步地详细描述。

本申请所提供的方法可以在服务器、交换机、路由器、计算机终端等网络设备中执行，例如，在如图1所示的服务器100中执行。图1是根据本发明的若干实施例的服务器100的硬件结构框图。如图1所示，服务器100可以包括一个或多个(图中仅示出一个)处理器110(处理器110可以包括但不限于中央处理器CPU、图像处理器GPU、数字信号处理器DSP、微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于与用户交互的输入输出接口120、用于存储数据的存储器130、以及用于网络通信的内部网络接口141和外部网络接口142。本领域技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器100还可包括比图1中所示更多或者更少的组件，例如，可能可以没有输入输出接口120，或者具有与图1所示不同的配置，例如，处理器110可能包含更多个处理器核心(核)。

输入输出接口120可以连接一个或多个显示器、触控屏等，用于显示从服务器100传送的数据，还可以连接键盘、触控笔、触控板和/或鼠标等，用于输入诸如，选择、创建、编辑等的用户指令。

存储器130可用于存储数据库、队列、应用软件的软件程序以及模块，如与本发明实施方式相对应的程序指令/模块，处理器110通过运行存储在存储器130内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的网络地址转换方法。存储器130可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器130可进一步包括相对于处理器110远程设置的存储器，这些远程存储器可以通过网络连接至服务器100。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

内部网络接口141和外部网络接口142都是用来传输报文(数据)的传输装置，它们经由网络接收或者发送数据，网络可以包括各种连接类型，例如有线、无线通信链路、云或者光纤电缆等等。例如，与外部网络接口142直接连接的网络可以是通信供应商提供的互联网(internet)，与内部网络接口141直接连接的网络可以是某公司内部多个计算机之间的内联网(intranet)。接口可以是网卡等用来解析IP地址还转发数据的设备。

图2是根据本发明的若干实施例的端口分配的示意图。其中，端口(有时也称端口号最大是65536)是指各种应用程序或服务在网络传输中所使用的用来标识应用程序或服务的端口。图中示出的转发服务器中的CPU包含6个核(111-116)，相应地，端口可以分为6份。以具有65536个端口的TCP/IP协议为例，可以将这么多个端口平均或不平均的分为6个组，例如，如图2中以10000个端口为一组，将TCP/IP的端口分为6组，其中，通过端口1-10000转发的报文由核111处理，通过端口10001-20000转发的报文由核112处理，通过端口20001-30000转发的报文由核113处理，通过端口30001-40000转发的报文由核114处理，通过端口40001-50000转发的报文由核115处理，通过端口50001-60000转发的报文由核116处理。此外，核(111-116)还分别维护相互独立的链路追踪表，即对于6核的CPU来说，总共需要维护6张链路追踪表。链路追踪表中包含报文与发送该报文的端口的对应关系，也就相当于包含了处理该报文的CPU的核的信息，那么通过查阅该链路追踪表可以保证内部网络向外部网络发送的报文的应答报文可以通过同一个CPU来接收。

图2中还示出了分别直接与内部网络和外部网络连接的内部网络接口141和外部网络接口142。内部网络接口141和外部网络接口142根据端口分配表和与核(111-116)相对应的链路追踪表来决定内部网络向外部网络发送的报文的转送路径以及外部网络向内部网络发送的报文的转送路径。内部网络接口141收到内部网络发出的报文后，首先从该报文中读取标识发送该报文的应用程序/服务的端口号，然后根据该端口号决定向哪个核分配该报文，并且将将内部网络地址与外部网络地址的转换关系以及该端口号与CPU的核的对应关系记录在链路追踪表中。以便收到外部网络回复的应答报文后可以保证该应答报文沿原路返回到内部网络中的相应应用程序/服务。当外部网络接口142收到外部网络返回的应答报文(应答前述报文的报文)后，可以以该链路追踪表为依据，将应答数据包分配到原CPU的核的队列中，以实现通过相同路径收发报文(原始发送的报文以及相应的应答报文)的目的。这样，多个核可以同时分别访问与自己相对应的链路追踪表，而不会像现有技术那样，受限于链接追踪表在一个时间点上只支持一个CPU的核修改表格的瓶颈，可以避免多个核访问一个链接追踪表的冲突，从而提高了在内部网络和外部网络见转发报文的效率。并且，基于独立的链接追踪表的机制，当转发服务器的硬件被修改/升级时，可以相应增删链接追踪表，而不会对整体服务器的性能带来关联性的影响。例如，现有技术中，如果增加一个核，那么就会使访问链接追踪表的冲突概率增加，但采用本实施例所述的链接追踪表的机制后，不存在关联性的性能改变，提高了系统资源的可扩展性。

具体的，可以以该链路追踪表中记录的端口号与CPU的核的对应关系为依据，在外部网络接口142中配置硬件规则，该硬件规则中包括内部网络向外部网络发送的报文的源IP地址和端口号，当收到外部网络向内部网络发送的应答报文时，根据报文中包含的源IP地址和端口号接口查询到处理上述报文的CPU的核(在一些实施例中还可以进一步追踪到核发起的线程)，从而可以直接将应答报文分配给该核。从而，避免了现有技术中收发内外网报文的CPU核是不确定的这一缺陷。其中，配置硬件规则的过程包括如下步骤：首先，在发送报文时，记录发送报文的源IP地址和第一端口(根据端口分配表可查询到是哪个CPU核发送该报文的)；然后继续记录发送所述报文的所述第一线程(基于现有CPU基本具有多线程功能而提出)；最后，在收到应答报文时，根据接收到的所述应答报文中包含的所述第一端口确定发送所述报文时的线程为所述第一线程，并将所述应答报文聚合(RSS，ReallySimple Syndication)到所述第一线程处理的队列中。

图3所示是根据本发明的若干实施例的流程图，其对转发服务器的工作过程做出了一个示例性的举例。具体的，转换服务器接收到内部网络向外部网络发送的所述报文后，至少执行如下步骤：

S1、读取所述报文中包含的端口号，根据所述端口分配表指定的对应关系将所述报文分配给相应的CPU的核，由所述核来处理所述报文的地址转换工作。所述的地址转换工作是指将内部网络的IP地址转换为外部网络可以准确识别的外部网络的IP地址。在接收到外部网络返回的应答报文时，有一个相反的将外部网络的IP地址转换为内部网络的IP地址的过程。

S2、所述CPU的所述核开启所述第一线程，用于发送所述报文以及接收相应的所述应答报文。

S3、所述CPU的所述核修改与所述CPU的所述核相对应的链接追踪表，以更新内部网络的所述报文与外部网络的报文的对应关系。该对应关系在收到应答报文时还需要使用。

S4、根据所述链接追踪表配置硬件规则。此处配置硬件规则是指规定报文应如何分发的规则。换个角度来说，该规则规定了当接收到一个报文后，根据该报文中所包含的目标端口来确定该报文应当分配给哪个对应的线程和CPU的核来处理，从而使得一组报文(包括与该报文具有相同目标端口号的其他报文)的收发始终由同一线程来处理。这样，CPU的核在维护链接追踪表的时候不存在多个核同时操作一个链接追踪表的可能，不需要在操作链接追踪表之前锁定该链接追踪表。更具体的配置内容，请参见有关图2的说明中的部分内容。

然后可以执行步骤S5，或者说等待步骤S5执行完成。步骤S5执行的内容包括：转发服务器通过第一线程向外部网络转发内部网络发出的报文，并接收外部网络返回的应答报文。其中，转发过程可利用Intel提供的数据平面开发工具集(DPDK，Data PlaneDevelopment Kit)来实现。DPDK是运行在用户空间上利用自身提供的数据平面库来收发报文的，能够在网络中高性能处理报文的收发。

在收到外部网络向内部网络发送的所述应答报文后，还执行如下步骤：

S6、由所述转换服务器的网络设备(例如外部网络接口142)直接读取所述应答报文中的所述端口，并根据所述硬件规则将所述应答报文聚合到所述第一线程的队列中。

上述的实施例中，在服务器的网络设备(例如网卡)上设置硬件规则，在接收到外部网络报文的第一时间内追踪到与所接收的外部网络报文相对应的内部网络报文是由哪一个线程(例如第一线程)处理的，从而可以将该外部网络报文的内容聚合到该线程(例如第一线程)。并且，由于上述实施例中一个CPU核维护一个链接追踪表，那么由第一线程处理的上述报文的过程中，不需要锁定(锁定意味着其他CPU的核不能操作)链接追踪表来防止其他CPU核来操作该链接追踪表，一方面减少自己的操作步骤，另一方面也不影响其他CPU核的工作。也就是说，多个CPU核分别维护自己的链接追踪表，就相当于多个CPU核实现并行处理的功能，从而可以提高内外部网络之间报文转发的速度。

本发明还提供一种服务器，所述服务器在内部网络和外部网络之间转换报文的IP地址的过程中包括如上所述的方法。

本发明还提供一种计算机可读的存储介质，该存储介质具有存储在其中的指令，当指令被执行时，使得计算机执行如上所述的方法。

本发明还提供一种电子设备，包括：存储器，是所述电子设备的存储器之一，用于存储计算机指令；处理器，是所述电子设备的处理器之一，当所述处理器执行所述计算机指令时，实现如上所述的方法。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

Claims (10)

1.一种网络地址转换的方法，其特征在于，用于进行所述网络地址转换的转换服务器中包括端口分配表，所述端口分配表指定端口与所述转换服务器的CPU的核的对应关系，所述CPU的所述核根据所述端口分配表分别处理相应所述端口收发的报文。

2.如权利要求1所述的方法，其特征在于，根据所述CPU的所述核的个数对所述端口进行分组，一组所述服务器端口收发的数据由同一个所述CPU的所述核处理。

3.如权利要求1或2所述的方法，其特征在于，一个所述CPU的所述核维护一个链接追踪表，并且所述转换服务器中的多个CPU的核相互之间不修改其他CPU的核维护的所述链接追踪表。

4.如权利要求3所述的方法，其特征在于，所述报文通过第一线程从内部网络向外部网络转发时，所述转换服务器还配置硬件规则，以使与所述报文相对应的应答报文聚合到所述第一线程处理的队列中。

5.如权利要求4所述的方法，其特征在于，所述配置硬件规则包括：

记录发送所述报文的源IP地址和第一端口；

记录发送所述报文的所述第一线程；

至少根据接收到的所述应答报文中的所述第一端口确定发送所述报文时的线程为所述第一线程，并将所述应答报文聚合到所述第一线程处理的队列中。

6.如权利要求4所述的方法，其特征在于，所述转换服务器接收到内部网络向外部网络发送的所述报文后，至少执行如下步骤：

读取所述报文中的端口号，根据所述端口分配表指定的对应关系将所述报文分配给相应的CPU的核，由所述核来处理所述报文的地址转换工作；

所述CPU的所述核开启所述第一线程，用于发送所述报文以及接收相应的所述应答报文；

所述CPU的所述核修改与所述CPU的所述核相对应的链接追踪表，以更新内部网络的所述报文与外部网络的报文的对应关系；

根据所述链接追踪表配置硬件规则。

7.如权利要求6所述的方法，其特征在于，所述转换服务器接收到与所述报文相对应的所述应答报文后，至少执行如下步骤：

由所述转换服务器的网络设备直接读取所述应答报文中的所述端口，并根据所述硬件规则将所述应答报文聚合到所述第一线程的队列中。

8.一种服务器，其特征在于，在内部网络和外部网络之间转换报文的IP地址的过程中包括如权利要求1-7中任一项所述的方法。

9.一种计算机可读的存储介质，其特征在于，所述存储介质上存储有指令，所述指令在计算机上执行时，所述计算机执行如权利要求1-7中任一项所述的方法。

10.一种电子设备，其特征在于，包括：

存储器，是所述电子设备的存储器之一，用于存储计算机指令；

处理器，是所述电子设备的处理器之一，当所述处理器执行所述计算机指令时，实现如权利要求1-7中任一项所述的方法。

Images