CN1791101A - 具有网络应用层通透度的地址转换方法与网络系统 - Google Patents

Abstract

本发明有关于一种地址转换方法，尤其是有关于在使用网络地址转换以及端口地址转换功能时，让位于局域网的节点具备应用层的通透能力的方法与装置。首先将该节点的因特网地址指派为路由器的广域端口的因特网地址，而后该节点的数据传输，便经由识别与改写数据链接层信息包首标的媒体存取控制地址来完成，从而突破网络地址转换及端口地址转换的限制，使应用层的通信通透无阻。

Description

具有网络应用层通透度的地址转换方法与网络系统

技术领域

本发明有关于一种地址转换(address translation)方法，尤其是有关于在使用网络地址转换(network address translation；NAT)以及端口地址转换(port address translation；PAT)功能时，让位于局域网(local areanetwork；LAN)的节点(node)具备应用层(application layer)的通透能力的方法与装置。

背景技术

网络地址转换(NAT)与端口地址转换(PAT)普遍应用于现今局域网(LAN)环境中，以解决随着全球计算机数量增加，而造成的因特网地址不足现象，同时也提供了更加安全的上网环境。

网络地址转换是网络层(network layer)的信息包改写技术，使得在局域网内部，使用虚拟因特网地址的计算机，能够通过一路由器，共用一个真实因特网地址以通信至因特网，因此具有网络地址转换功能的路由器又俗称因特网地址分享器。

如图1所示，是公知的局域网与因特网之间的关系结构图。在因特网100的某处，有一服务器102。路由器104具有两个网络接口，路由器外部接口104a连接至因特网100，路由器内部接口104b连接至局域网110，该路由器104支援网络地址转换或端口地址转换功能。在局域网110中，有若干内部节点106，共同通过该路由器104借助网络地址转换功能连接因特网100。

网络通信的建立，是一双向沟通的过程，发送与接收是成双成对出现，例如传输控制协定三步骤握手式交谈(TCP 3-way handshake)。因此，发出的信息包，在信息包首标栏中(packet beader)必须注明目的地址(destination address；DST ADDR.)，以及来源地址(source address；SRCADDR.)，以供对方回应时有所参考。内容亦为因特网地址(IP address)及媒体存取控制地址(MAC address)。为说明方便起见，信息包格式以较实际简略的形式表达。该原始外送信息包，包含多传输时层层封装的首标信息，包括栏如因特网所需的来源因特网地址(SRC IP)、目标因特网地址(DST IP)、来源端口(SRC PORT)、目标端口(DST PORT)，实体层传输所需的来源媒体存取控制地址(SRC MAC)、目标媒体存取控制地址(DST MAC)，以及应用程序所包装的应用程序数据(APP DATA)。该应用程序数据其中可能还会有一个应用程序首标(APP HEADER)。在因特网上，相同子网域(sub-net)的信息包会通过媒体存取控制地址直接通信，而不同子网域的信息包则需通过路由器转送出去，因此信息包亦会经由媒体存取控制地址直接传送给路由器。

如图2所示，该路由器104提供了一个网络地址对应表210和端口对应表220，用以做为NAT通信控制，以及设定欲开放的内部网络服务。其中包含栏有外部因特网地址(WAN IP)、外部端口(WAN PORT)、内部因特网地址(LAN IP)、内部端口(LAN PORT)。一般而言若外部因特网地址只有一组，那就是路由器104本身的外部因特网地址。在本例的端口对应表220中，设定外部端口为4662，内部因特网地址为192.168.1.4，内部端口为14662，意即在外部因特网地址的端口4662上开放一服务，对应到位于局域网中的内部节点106的端口14662上所执行的内部节点服务107，其中该内部节点106具有虚拟因特网地址192.168.1.4。通过网络地址对应表210的控制，所有内部节点往外送出的信息包，才知道回传的路径，通信才得以顺畅进行。根据端口对应表220，凡传送至特定外部端口的内送信息包都会被转送至特定的内部因特网地址与内部端口上，因此除了能够提供内部节点上网的功能，亦能达到开放内部网络服务的功能。

图3a-1、3a-2和图3b-1和3b-2进一步说明了端口地址转换的工作情形。如图3a-1、3a-2所示，服务器102发出一个原始内送信息包224，根据目标因特网地址和目标端口，该信息包被送至路由器104。该路由器104经查端口对应表220后找到对应的栏，根据该栏内容将该原始内送信息包224改写成改写后内送信息包222，在本例中，目标因特网地址被改写为192.168.1.2，目标端口被改写为14662。接着该改写后内送信息包222便被送至内部节点106。

如图3b-1和3b-2所示，该内部节点106回应一原始外送信息包226，目标为服务器102。经过路由器104时，亦根据该端口对应表220而重写该信息包的首标栏，得到改写后外送信息包228。其中来源因特网地址改成223.82.179.6，来源端口被改成4662，最后该改写后外送信息包228被传回服务器102。从服务器102的观点，以正常方式存取223.82.179.6的端口4662服务，完全感受不到其实该服务是隐藏于局域网110后的一个使用虚拟因特网地址的内部节点所提供。

虽然端口地址转换与网络地址转换提供了内部节点与因特网互通的功能，仍然有下列限制。网络地址转换及端口地址转换仅具有改写网络层及传输层信息包首标(header)的功能，没有办法改写封装在应用层(applicationlayer)的信息包首标，因此如果使用虚拟因特网地址的内部网络节点，在产生应用层的信息包首标时，把虚拟因特网地址应用在其中，则此信息包在传送至因特网上的一服务器102后，该服务器102上的应用程序可能会因为无法识别该虚拟因特网地址而发生通信问题。例如文件传输协定(FTP)、因特网交谈(IRC)、第二层通道协定因特网地址安全信息包(layer 2 tunnelingprotocol over IP security；L2TP/IPSec)，以及线上游戏。

虽然已有许多方法被提出以改进网络地址转换与端口地址转换的问题，在软件通信协定方面，例如通用随插即用(Universal Plug and Play；UPNP)或是网络地址转换-跨越(network address translation traversal；NAT-T)，但仍需要服务器端、路由器端、客户端以及应用程序等软件应用程序接口(application program interface；API)的相互配合改进才能实现。在硬件方面，市面上亦售有具备改写应用层信息包能力的装置(Layer 7 Switch)，但成本不但昂贵，而且仅能支援特定应用程序，无法为不支援的通信协定提供解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种简易便宜的方法，使位于局域网的节点具有应用层(application layer)的通透能力。

为达到该目的，本发明提出一方法与系统，用于使一内部节点经由一路由器与一远端装置执行一应用软件，该路由器使用一因特网地址与因特网通信。该内部节点首先以公知方式向该路由器要求一地址，而该路由器即回应该因特网地址。藉此该内部节点具有该因特网地址，以使得该应用软件所产生的信息包，具有相同的应用层地址，不再受限于公知内部网络地址造成的通透度问题。该路由器进一步以媒体存取控制地址的代理方法使该内部节点与因特网的通信毫无阻碍。

附图说明

为了让本发明的上述和其他目的、特征、和优点能更明显易懂，下文特举实施例，并配合附图，详细说明如下：

图1为表示一公知网络地址转换网络结构图；

图2为公知网络地址转换信息包转送表210以及端口转换表220；

图3a-1、3a-2、3b-1和3b-2为公知端口地址转换信息包转送方法；

图4为本发明的网络结构图；

图5a、5b、5c-1、5c-2、5d-1和5d-2为本发明的信息包转送方法。

符号说明

100～因特网                   102～服务器

103～服务器服务               107～内部节点服务

104～路由器                   104a～路由器外部接口

104b～路由器内部接口          106～内部节点

108～内部节点                 110～局域网

112～预设选通器(gate)         114～远端服务器

202～服务器设定               204～路由器设定

204a～路由器外部设定          204b～路由器内部设定

206～内部节点设定             208～内部节点设定

210～网络地址对应表

220～端口对应表               222～改写后内送信息包

224～原始内送信息包           226～原始外送信息包

228～改写后外送信息包         302～动态主机控制要求

304～动态主机控制回应         306～地址解析要求

308～地址解析回应             312～原始外送信息包

314～改写后外送信息包         316～改写后内送信息包

318～原始内送信息包           320～因特网服务提供者

322～动态主机控制要求         324～动态主机控制回应

具体实施方式

图4为本发明的网络结构图。服务器102表示一位在与预设选通器112及路由器104同一个子网域的服务器。远端服务器114表示位在预设选通器112之外，不同子网域的服务器。为了使局域网的一内部节点108具有应用层通透能力，便直接使内部节点108的因特网地址等于路由器104的外部因特网地址(WAN IP)。如图5a所示，对于该路由器104而言，它的外部因特网地址可以是通过因特网服务提供者320(Internet Service Provider；ISP)以动态主机控制协定(dynamic host control protocol；DHCP)所取得的一个浮动因特网地址，本实施例中，在步骤322中，路由器104发送一动态主机控制要求给因特网服务提供者320，而在步骤324中，因特网服务提供者320回应一动态主机控制回应，使该路由器104获取充分信息以正确设定路由器外部设定204a。对于内部节点108而言，取得因特网地址的方法亦可以是通过DHCP达成，而DHCP服务器即由路由器104担任，内部节点108向路由器104发送动态主机控制要求302，则路由器104回应动态主机控制回应304，并将路由器104的外部因特网地址配置给内部节点设定208的因特网地址，在本例中即为223.82.179.6。当路由器外部接口104a的因特网地址动态取得的动态因特网地址时，则内部节点108的因特网地址也必须在因特网地址变动的时候随之同步。若内部节点108已向路由器104发送动态主机控制要求302，但路由器外部接口104a尚未从上行网络获取动态因特网地址信息时，则路由器104将回应该内部介面104b所在子网域所属的虚拟因特网地址至该内部节点108，此例中即为192.168.1.2；更详细地说，路由器104在回应该虚拟因特网地址至内部节点108时，更同时传送一额外信息要求该内部节点108在一预定时差之后再一次发出动态主机控制要求302至路由器104，若经过一预定时间，路由器104外部接口104a已经取得外部因特网地址，则路由器104将回应内部节点108正确的因特网地址223.82.179.6。

在其他可能的实施例中，使用者可以选择手动设定该内部节点设定208，使该因特网地址为路由器104的外部因特网地址。藉此，系统应用层的程序在网络传输的过程中，自然会将真实因特网地址的信息包含在应用层信息包中，解决了虚拟因特网地址在应用层应用程序中出现的问题。

根据公开网络模型，信息包在传递过程会经过数层封装处理，每一层各有不同格式的首标栏。地址解析协定(address resolution protocol；ARP)的存在，便是为了让因特网地址信息包知道实体上该往哪台机器传送。分为两种情况：第一种情况是，目标因特网地址(目标节点)与自身因特网地址位在同一个子网域(sub-net)，不需经过路由器，第二种情况是，目标因特网地址位(目标节点)在与自身因特网地址不同子网域，需要通过路由器的绕送。

如图4所示，目标节点(目标主机)为服务器102或远端服务器114时，其不同之处仅在于，当目标主机为服务器102时，不需要经过预设选通器112的绕送，内部节点108提出地址解析要求306时，路由器104将路由器内部接口104b的媒体存取控制地址回应至内部节点108，使内部节点将路由器内部接口104b的媒体存取控制地址当作该服务器102的媒体存取控制地址。而当目标主机为远端服务器114时，需要经过预设选通器112的绕送，同理，内部节点108提出地址解析要求306时，路由器104将其内部104b的媒体存取控制地址回应至内部节点108，使内部节点108将路由器内部104b的媒体存取控制位当作预设选通器112的媒体存取控制地址，即可使信息包顺利且毫无破绽地通过路由器104来往传送。

如图5b所示，地址解析的步骤是，发出一个地址解析要求306，以广播方式查询目标主机的媒体存取控制地址。该路由器104接收到该地址解析要求306后即发出一地址解析回应308回应，欺骗该内部节点108使之认为目标主机对应的媒体存取控制地址为路由器内部设定204b中的媒体存取控制地址，在本例中为7F:7F:7F:7F:7F:7F。其目的为，使内部节点108对目标主机所发出的所有信息包，实体上其实是全部传给路由器104，之后再经由路由器104将流经的信息包往正确的目的传送。

图5c-1、5c-2为内部节点108发出一信息包送往服务器102的示意图。内部节点108将原始外送信息包312中的目标媒体存取控制地址填写为路由器内部设定204b中的媒体存取控制地址，即本例中的7F:7F:7F:7F:7F:7F，于是实体上便是直接对路由器104的路由器内部接口104b传送。在路由器104中，将该信息包进一步转换成改写后外送信息包314之后，传送给服务器102。其中来源媒体存取控制地址和目标媒体存取控制地址已进一步重新改写，以符合下一阶段两个机器实体之间传送的需求，以本例而言，改写后外送信息包314的来源媒体存取控制地址即为路由器外部设定204a中的80:80:80:80:80:80，而目标媒体存取控制地址即为服务器102的媒体存取控制地址，AA:BB:CC:DD:EE:FF。

图5d-1和5d-2为服务器102发送一信息包给内部节点108的示意图。该路由器104，本身可能本来就具备网络地址转换及端口地址转换的功能，甚或是本身就在某些特定端口执行服务。因此接收到该原始内送信息包318后，必须经过一连串检查流程，才知道该原始内送信息包318最后要导向何处。故原始内送信息包318中的来源端口与目标端口会先与NAT与PAT的对应表进行对比，如图2的端口对应表220，若在其中找不到对应的纪录，便将该原始内送信息包318转换为改写后内送信息包316，传送给内部节点108。

通过图5c-1、5c-2与图5d-1和5d-2处理信息包的出入，内部节点108的网络通信便具有应用层的通透度。简而言之，因内部节点108本身即是真实因特网地址的设定，所以省略了传输过程中因特网地址信息包首标转换的麻烦，也直接解决了虚拟因特网地址产生的不相容问题。

另一特殊的状况是，当该内部节点108欲与位于局域网110，拥有虚拟因特网地址的内部节点106沟通时，或该内部节点106欲与内部节点108沟通时，对内部节点108而言，内部节点106是属于需要路由器绕送的，所以路由器104发出的地址解析回应308，使内部节点108将路由器内部接口104b的媒体存取控制地址当作预设选通器112的媒体存取控制地址。接着内部节点108发出的信息包便会传给路由器内部接口104b。由路由器104在内部经过路由表(routing table)处理后，将该信息包中的目标媒体存取控制地址改写成该内部节点106的媒体存取控制地址，再从路由器内部接口104b送出，即可使该内部节点106收到该信息包。对内部节点106而言，路由器内部接口104b已知是通往外界的预设选通器(default gateway)，在本例中具有因特网地址192.168.1.1。反过来看，当内部节点106欲发送信息包至内部节点108时，该路由器104便担任预设选通器的工作，接收该信息包后，首先确认该信息包不是传送给该路由器104自己的，然后将该信息包的目标媒体存取控制地址改写成内部节点108的媒体存取控制地址，再从路由器内部接口104b送出，该内部节点108即可收到该信息包。内部节点106和内部节点108之间的沟通有如正常两个不同子网域的节点通信，不需使用复杂的网络地址转换或端口地址转换转换，应用层的通透度也完全不受影响。

本发明可以搭配各种公知的变通方式，产生应用。例如，上述实施例中，路由器104的路由器外部接口104a在与因特网服务提供者320通信时，是利用动态主机控制协定(DHCP)，但事实上，可以是通过各种不同的通信协定来达成，包括点对点通信(point to point protocol over ethernet；PPPoE)，或是串行线因特网协定(Serial Line Internet Protocol；SLIP)等。此外对于路由器104而言，内部节点106与内部节点108两者网络信息包的处理方式完全不同，因此需要辨认外送信息包是发自哪一节点。可行的办法之一是，在路由器104中提供一非易失性存储器，储存该内部节点108的媒体存取控制地址，以识别每一外送信息包是否由该内部节点108送出，以决定是否进行特别处理。至于内送信息包的处理，则需经过较多识别程序，才能决定如何转送。识别程序包含比对网络地址对应表210及端口对应表220，并确认该内送信息包的目的并非存取该路由器104自身的管理服务，若该内送信息包皆非属于上述目的，才判定为一送往内部节点108的信息包，而进行后续处理。

综上所述，利用真实因特网地址突破通透度限制，本发明有效率的使局域网内部的一台主机具备了网络层通透能力。

本发明虽以优选实施例公开如上，然其并非用以限定本发明，任何本领域技术人员，在不脱离本发明的精神和范围的情况下，可进行更动与修改，因此本发明的保护范围以所提出的权利要求所限定的范围为准。

Claims (11)

1.一种使一内部节点具有网络应用层的通透能力的方法，适用于包含一内部节点和一路由器的网络系统，其中该路由器包含一外部接口连接于一外部子网络，以及一内部接口用以和该内部节点通信；该方法包含有下列步骤：

设定该内部节点的因特网地址等于该外部接口的因特网地址；以及

当该内部节点征询位于该外部子网络的一目标节点的媒体存取控制地址时，该路由器回应该内部接口的媒体存取控制地址的值，以使该内部节点将信息包往该路由器传送。

2.如权利要求1所述的方法，其中该外部子网络包含一预设选通器用以与因特网通信，该方法进一步包含：当该内部节点征询该预设选通器的媒体存取控制地址时，该路由器回应该内部接口的媒体存取控制地址的值，以使该内部节点将信息包往该路由器传送。

3.如权利要求1所述的方法，进一步包含：记录该内部节点的一媒体存取控制地址于该路由器。

4.如权利要求3所述的方法，其中因特网传送一内送信息包至该外部接口，该方法进一步包含：

检查该内送信息包是否符合一内送条件；以及

当符合该内送条件时，根据该内部节点的媒体存取控制地址改写该内送信息包，以将该内送信息包转往该内部节点。

5.如权利要求4所述的方法，其中该内送条件为，该内送信息包没有对应到该路由器或其他内部节点的应用服务。

6.如权利要求1所述的方法，其中设定该内部节点的因特网地址的步骤，通过动态主机控制协定、启动协定或反转地址解析协定。

7.一种具有网络应用层的通透能力的网络系统，包含：

一路由器，具有一外部接口与一内部接口，该外部接口链接于一外部子网络，该内部接口连接于一内部子网络；

一内部节点，位于该内部子网络，该内部节点的因特网位置根据该外部接口的因特网地址而设定；以及

一目标节点，位于该外部子网络，当该内部节点征询该目标节点的媒体存取控制地址时，该路由器回应该内部接口的媒体存取控制地址的值，以使该内部节点将信息包往该路由器传送。

8.如权利要求7所述的网络系统，其中：

该外部子网络包含一预设选通器，用以与因特网连接；以及

当该内部节点征询该预设选通器的媒体存取控制地址时，该路由器回应该内部接口的媒体存取控制地址的值，以使该内部节点将信息包往该路由器传送。

9.如权利要求7所述的网络系统，其中：

该因特网传送一内送信息包至该外部接口；以及

当该内送信息包符合一内送条件时，该路由器根据该内部节点的媒体存取控制地址改写该内送信息包，以将该内送信息包转往该内部节点。

10.如权利要求7所述的网络系统，其中该内部节点在设定因特网位置时，遵守动态主机控制协定、启动协定或反转地址解析协定其中的一。

11.如权利要求8所述的网络系统，其中该外部接口与该预设选通器之间通过非对称数位用户线搭配网络点对点协定、或缆线数据机搭配动态主机控制协定通信。

Images