ITMI20001202A1 - Metodo e dispositivo per tradurre indirizzi ip di reti per telecomunicazioni usando una memoria con oblio controllato. - Google Patents

Description

DESCRIZIONE

La presente invenzione riguarda il campo delle telecomunicazioni ed in particolare riguarda la traduzione di indirizzi IP (Internet Protocol) usati entro una privata in indirizzi IP diversi che sono noti entro un'altra rete (pubblica) usando memoria con oblio controllato.

Il crescente sviluppo delle telecomunicazioni, ed in particolare di Internet, crea spesso i problemi legati alla connessione di reti private con reti pubbliche attraverso apparati od elementi di rete. Tali apparati di interconnessione tra una rete e l'altra hanno sostanzialmente lo scopo di smistare le informazioni (o pacchetti) ricevute da un host computer della rete Internet e recapitarle all'host computer della rete privata che ne ha fatto richiesta. Al contrario, gli apparati di connessione devono smistare i pacchetti ricevuti dalla rete privata verso la rete pubblica. In questa operazione, svolta dagli apparati di interconnessione, gioca un ruolo fondamentale la traduzione degli indirizzi IP (Internet Protocol) da Indirizzi di Rete Locale ad Indirizzi di Rete Pubblica e vice versa.

La Traduzione di Indirizzi di Rete (NAT) viene descritta in termini generali in RFC 1631 che descrive la relazione tra NAT e CIDR (Classless Interdomain Routing) come un possibile modo per ridurre il problema dell esaurimento degli indirizzi IP. Tipicamente, una società con una sua rete privata associa gli indirizzi della sua rete privata ad uno o più indirizzi IP noti al mondo esterno. Ciò aiuta anche a migliorare la sicurezza dal momento che ciascuna richiesta entrante o uscente dal nodo di interconnessione deve subire un processo di traduzione che offre l'opportunità di qualificare o autenticare la richiesta o farla coincidere con una richiesta precedente.

Un'evoluzione della funzione di traduzione NAT è costituita dalla funzione NAPT (Network Address and Port Translation) che associa all indirizzo IP anche un identificativo del l'interfaccia (o porta) da cui proviene il pacchetto.

Lo svantaggio principale di entrambe le funzioni di traduzione NAT e NAPT è dato dal fatto che esse sono implementate attraverso programmi software e quindi non sono in grado di gestire tale traduzione in tempo reale (non supporta il cosi detto wire speed). Un ulteriore svantaggio di tali soluzioni note è che il numero di indirizzi IP di rete pubblica corrisponde al numero di accessi contemporanei a Internet che si vuole ottenere e pertanto la riduzione degli indirizzi IP di rete pubblica può non essere così consistente come invece si desidererebbe. Per quanto la situazione migliori con il NAPT, tale problema rimane.

Alla luce delle soluzioni note e dei problemi ad esse associati, è lo scopo principale della presente invenzione sviluppare un'architettura hardware in grado di supportare la funzione di traduzione NAPT con maggiore flessibilità rispetto a quanto fatto dal protocollo NAPT implementato via software.

Questo scopo, oltre ad altri, viene ottenuto mediante un metodo ed un dispositivo aventi le caratteristiche indicate nelle rispettive rivendicazioni indipendenti. Le rivendicazioni dipendenti di metodo e di dispositivo definiscono delle caratteristiche aggiuntive. Tutte le rivendicazioni comunque costituiscono una parte integrante della presente descrizione.

L'idea alla base della presente invenzione consiste nel creare una funzione di traduzione di indirizzi attraverso un'opportuna trasformazione dei parametri caratteristici dei pacchetti in ingresso, assoggettata al superamento di un periodo di tempo prestabilito. I parametri caratteristici del pacchetto includono l’indirizzo IP sorgente, la porta TCP sorgente ed eventualmente la porta fisica dell'apparato di interconnessione. La trasformazione effettuata sui parametri caratteristici può essere definita come un'operazione di "hashing" che verrà spiegata meglio nel seguito. La presente invenzione viene preferibilmente implementata con un apposito apparato, quindi in Hardware.

L'invenzione risulterà certamente chiara alla luce della descrizione dettagliata che segue, data a puro titolo esemplificativo e non limitativo, da leggersi con riferimento alle annesse tavole di disegno, in cui

- Fig. 1 mostra i blocchi principali che costituiscono il dispositivo di traduzione-archiviazione-recupero indirizzi secondo la presente invenzione; e

- Fig. 2 è uno schema a blocchi dell'allocatore.

Prima di descrivere funzionalmente la presente invenzione, si ritiene utile accennare brevemente al concetto di "hashing" che verrà richiamato spesso nella descrizione che segue. Per una migliore comprensione di tale concetto si può comunque riferirsi a "The Art Of Computer Programming-Sorting And Searching" di Donald E. Knuth, Voi. 3, Seconda Edizione, Capitolo 6.4.

"Hashing" è la trasformazione di una stringa di caratteri, detta chiave, in un valore di lunghezza fissa e generalmente più corta della stringa originale. Generalmente l'operazione di hashing viene utilizzata per indicizzare e recuperare oggetti in un database poiché è naturalmente più semplice trovare l'oggetto usando la chiave trasformata più corta piuttosto che trovarlo usando il valore originale. L'algoritmo di hashing è chiamato "funzione hash". Una buona funzione hash non dovrebbe produrre lo stesso valore di hash a partire da due diversi dati di ingresso. Se ciò avviene, si dice che avviene una collisione. Comunque, una funzione hash che offre un rischio di collisione basso può essere considerato accettabile.

Si descriverà ora la presente invenzione basata su un sistema di archiviazione con oblio implicito. Si descriverà inizialmente il sistema in forma astratta per poi proseguire con l'applicazione al NAPT (traduzione, archiviazione e recupero di indirizzi IP).

Un elemento da archiviare, detto chiave (K), si presenta sotto forma di vettore di bit. Con riferimento a Fig. 1, il blocco HC (Hash Computer) calcola N valori,

h(K,i), con 1 <= i <= N e 0 <=h(K,i) <M dove M è il numero di locazioni della memoria che si ha a disposizione, N è il numero di tentavi, cioè è un parametro del sistema, al crescere del quale aumenta la complessità del dispositivo e diminuisce la probabilità che ad un elemento venga rifiutata l'archiviazione. Le h(.) sono le suddette funzioni hash. Sono noti in letteratura vari modi per costruire un insieme di funzioni hash. A titolo di esempio, comunque ben applicabile in questo contesto, si consideri la combinazione del "Polinomial Hashing" descritto a pag. 520 con ’TOpen Addressing With Doublé Hashing" descritto a pag. 528 della sopra indicata pubblicazione.

A valle dei blocco HC viene posto un blocco Allocatore (o Archiviatore) AL che utilizza i valori a(i) = h(K,i) come indirizzi della Memoria MEM. Ogni locazione di questa memoria MEM contiene una chiave K e una data o un istante T (data o istante dell'ultimo accesso). La memoria MEM può essere costituita da due diverse memorie (una memoria KM per le chiavi ed una memoria TM per le date (o gli istanti di tempo) di ultimo accesso o da una sola memoria con due distinti campi per le chiavi e le date.

Se in una delle N locazioni di memoria KM c'è già la chiave K, l'allocatore AL aggiorna la data e seleziona l'indirizzo. Se invece in nessuna delle N locazioni è già presente la chiave K, l'allocatore AL esaminerà nella TM le N date (o istanti di tempo) ad esse associate.

Tra le date che sono antecedenti la data attuale di un intervallo di tempo Δί maggiore o uguale ad un valore prefissato, ne sceglie una. Nella corrispondente locazione viene scritta la chiave K, assieme alla data attuale.

Come ulteriore alternativa, infine, se tra le N locazioni nessuna contiene la chiave K e le date sono tutte recenti, l'archiviazione viene rifiutata. Benché questa terza alternativa sia in effetti possibile, il rischio che ciò accada potrebbe essere limitato fortemente aumentando i valori di M ed N.

Collegato alla memoria MEM vi è un blocco di Recupero o "Retriever" RT. Il Retriever RT legge dalla memoria aH'indirizzo selezionato; ritrova la chiave e tutte le informazioni associate all'elemento e aggiorna il campo data con la data attuale.

Riassumendo, il dispositivo secondo l'invenzione fornisce il servizio di archiviare in memoria e rileggere gli elementi archiviati in modo semplice ed efficiente, e dimentica gli elementi obsoleti (cioè quelli che non sono richiesti da tempo) riutilizzandone così lo spazio in memoria. Proprio per questo motivo la memoria si definisce "ad oblio controllato (od implicito)".

La scelta tra N locazioni con data non recente potrebbe chiaramente essere fatta in vari modi, considerati equivalenti ai fini della presente invenzione. Ad esempio la scelta potrebbe essere fatta a caso o scegliendo la locazione con la data meno recente di tutte o scegliendo la prima locazione con data non recente, ecc. A seconda che si usi l'uno o l'altro criterio di scelta possono cambiare le prestazioni e la complessità del sistema.

Come anticipato sopra, esiste anche il caso che l'archiviazione venga rifiutata. Se ad esempio N=1 è possibile che due diverse chiavi KA e KB richiedenti l'archiviazione puntino allo stesso indirizzo di memoria, poiché può capitare che h(KA) = h(KB). In questo caso solo uno dei due elementi potrà essere archiviato, l'altro viene rifiutato.

Questo è un evento che accade con una certa probabilità, probabilità che diminuisce al crescere della dimensione della memoria. Questa probabilità diminuisce ulteriormente se N aumenta, ad esempio se N=2 è più difficile che accada <* >congiuntamente che

11 numero di bit usati per rappresentare la data è ovviamente finito. Di conseguenza il tempo trascorso dall'ultimo accesso in memoria deve essere calcolato come differenza tra la data attuale e la data archiviata. Quindi, un elemento è dichiarato obsoleto se il tempo trascorso è maggiore di un tempo prefissato.

Si ipotizzi ora che questo dispositivo sia inserito in un apparato di interconnessione, al confine tra una rete privata e una rete pubblica, cioè si consideri l'applicazione al protocollo NAPT.

Come è noto, ogni trama di segnale proveniente da una rete privata, ad esempio una rete Ethernet, destinata a transitare su una rete pubblica deve prevedere un’intestazione comprendente diverse informazioni quali l'indirizzo dell'host sorgente ed anche il numero della porta sorgente del Protocollo di Controllo delle Trasmissioni (TCP).

Quindi, su ogni pacchetto IP destinato alla rete pubblica e proveniente da un rete privata, il dispositivo secondo l'invenzione opera la traduzione dalla stringa [Private EP Source Address, TCP Source Pori; Number] alla stringa [NAPT (Public) IP Source Address, NAPT TCP Pori Number]

cioè l'indirizzo Sorgente IP della rete privata, che non è conosciuto dalle reti pubbliche, viene convertito in un indirizzo sorgente pubblico. Il numero di indirizzi pubblici in cui gli indirizzi privati possono essere convertiti è variabile, al limite è pari ad uno.

A questo punto il pacchetto può essere immesso nella rete pubblica, dal momento che possiede un indirizzo di mittente (SA) pubblico. I pacchetti di risposta avranno come destinatario il "NAPT SA".

Quando il dispositivo riceve i pacchetti di risposta, cioè con destinatario "NAPT SA", il dispositivo secondo l'invenzione deve operare la traduzione inversa, cioè dalla stringa

[NAPT (Public) IP Address, NAPT TCP Port Number] alla stringa [Originai Private IP Source Address, Originai TCP Source Port Number] Il processo di traduzione (diretta e inversa) rimane attivo fintanto che transitano pacchetti tra i due estremi in entrambe le direzioni. Dopo un certo tempo dall'ultimo pacchetto transitato, la connessione viene dichiarata chiusa e il numero "NAPT TCP Port Number" può essere riutilizzato.

Il dispositivo secondo la presente invenzione, che è stato descritto sopra in termini generali, considera come chiave KEY i campi [Private IP Source Address, TCP Source Port Number] ed eventualmente l'identificatore di porta fisica, nel caso in cui più reti private convergano nello stesso nodo prima di essere immesse in una rete pubblica. Questa chiave KEY viene inviata all'Hash Computer HC che ricava una serie di indirizzi di memoria (a,, a^ ..., aj che vengono mandati in ingresso al blocco allocatore, assieme alla chiave originaria e all'istante di tempo corrente (Tc). L'istante Tc sostanzialmente è un numero intero che rapresenta la posizione attuale dell'orologio di sistema o Time Counter TC. L'allocatore, per ogni i = 1, 2, 3...n, consulta la memoria KM e legge i valori (K(i) = K[a(i)]) memorizzati nelle varie locazioni di memoria e i tempi corrispondenti (t(i) = T[a(i)]). I tempi associati ad ogni valore memorizzato corrispondono all'istante di tempo in cui la locazione di memoria è stata aggiornata.

L'allocatore, leggendo nella memoria KM verifica se esiste un valore j tale che K(j) = KEY. Se questo valore esiste, il contenuto di quella locazione di memoria viene riaggiomato, così come viene riaggiomato il valore del corrispondente istante di tempo. In pratica si scrive K[a(j)] = KEY e T[a(j)] = Tc e viene inviato in uscita dall'al locatore AL l'indirizzo selezionato a(j) che sarà l'indirizzo sorgente da utilizzare per inviare i pacchetti sulla rete pubblica.

Tuttavia, se l'allocatore, leggendo nella memoria KM, non trova un valore j tale che K(j) = KEY, cerca comunque un indirizzo associato ad un tempo di aggiornamento vecchio. In altre parole verifica se esiste un numero j tale che (Tc-t(j)) mod. P > At, dove P è il periodo del Time Counter TC che fornisce la base tempi e At è un intervallo di tempo prefissato (il Time Counter TC fornisce il valore dell'ora o della data utilizzando un certo numero di bit). Cioè se esiste una locazione di memoria occupata ma che non è stata aggiornata di recente, il valore in essa contenuto verrà aggiornato con il nuovo valore, così come verrà aggiornato il tempo Tc corrispondente.

Se, al contrario, tutti i tempi sono recenti, la connessione verrà rifiutata. È altresì possibile che vi sia più di un valore j che soddisfa la relazione di cui sopra ed in questo caso se ne dovrà scegliere uno. Questa scelta può avvenire in base a diverse considerazioni, come detto sopra, ad esempio si può considerare la locazione di memoria associata al tempo meno recente.

In ogni caso, una volta scelto il valore di j, si scrive K[a(j)] = KEY e T[a(j)] = Tc e viene inviato in uscita dall’allocatore AL l'indirizzo selezionato [a(j)] che sarà l'indirizzo sorgente (NAPT TCP) da utilizzare per inviare i pacchetti sulla rete pubblica.

La traduzione inversa è operata dal blocco Retriever (RT), che recupera dalla memoria l'indirizzo privato e il numero originario di porta TCP. Il blocco RT riceve in ingresso [NAPT (Public) IP Address, NAPT TCP Pori Number] e indicazioni sull'istante attuale Tc, indicazioni che gli fornisce il Time Counter TC.

Ogni volta che si opera una traduzione, si aggiorna la data (l'istante) corrispondente.

Quando termina il traffico relativo ad una connessione, il corrispondente campo data nella memoria non viene più aggiornato. Dopo un certo tempo (prefissato) il contenuto della locazione diventa obsoleto e lo spazio può essere riutilizzato dall'allocatore per un'altra connessione.

Naturalmente, l'Allocatore ed il Retriever non funzionano contemporaneamente (mentre un pacchetto entra nella rete privata non può uscire nessun pacchetto da questa). Quindi il bus dati bidirezionale che accede alla memoria ed il bus indirizzi (illustrati con una freccia a doppia testa) sono condivisi dall'allocatore e dal retriever e sono separati solo per chiarezza d'illustrazione.

È stato descritto un nuovo metodo ed un nuovo dispositivo per tradurre indirizzi IP che soddisfano tutti gli scopi che ci si era preposti. Molti cambiamenti, modifiche, variazioni e diversi usi della presente invenzione, tuttavia, diverranno chiari a coloro esperti della tecnica dopo aver considerato la presente descrizione e gli annessi disegni che illustrano sue forme di realizzazione preferite. Tutti tali cambiamenti, modifiche, variazioni e diversi usi che non si allontanano dallo spirito e daU'ambito dell'invenzione sono considerati coperti dall'invenzione che è limitata solo dalle rivendicazioni che seguono.

Claims (11)

1. RIVENDICAZIONI 1. Metodo per tradurre una chiave o prima stringa di caratteri (K) in una seconda stringa di caratteri, detto metodo comprendendo la fase di sottoporre detta chiave ad una funzione hash per ricavare una pluralità di indirizzi di memoria (a,, . .., aj, caratterizzato dalle fasi di: - utilizzare detta pluralità di indirizzi di memoria (a„ ..., aj come indirizzi di una memoria (MEM), detta memoria (MEM) comprendendo una pluralità di locazioni per chiavi e per informazioni temporali relative all'ultimo aggiornamento di dette locazioni; - aggiornare detta memoria (MEM) con la chiave (K[a(j)]) che corrisponde ad uno selezionato (a(j)) di detti indirizzi di memoria (a,, ..., a,,) e con l'istante di tempo e/o la data corrente; - inviare in uscita detto indirizzo di memoria selezionato (a(j)).
2. 2. Metodo secondo la rivendicazione 1, caratterizzato dal fatto che detto indirizzo di memoria selezionato (a(j)) è quel valore corrispondente ad un numero (j) tale che, nella memoria (MEM), K(j) = KEY e dal fatto di comprendere la fase di scrittura in memoria di K[a(j)] = KEY e T[a(j)] = Tc, ove Tc è ristante di tempo e/o la data corrente.
3. 3. Metodo secondo la rivendicazione 1, caratterizzato dal fatto che detto indirizzo di memoria selezionato (a(j)) è quel valore corrispondente ad un numero (j) tale che, nella memoria (MEM), K(j) ≠ KEY e (Tc-t(j)) mod. P > At, e dal fatto di comprendere la fase di scrittura in memoria di K[a(j)] = KEY e T[a(j)] = Tc, ove Tc è ristante di tempo e/o la data corrente, P è il periodo di orologio di sistema e At è un intervallo di tempo prefissato.
4. 4. Metodo secondo la rivendicazione 1, 2 o 3, caratterizzato dalla fase di ricevere detto indirizzo di memoria selezionato (a(j)), accedere alla relativa locazione di memoria (MEM), estrarre la chiave (KEY) ad esso corrispondente e scrivere nella memoria (MEM) KEY = K[a(j)] e Tc = T[a(j)], ove Tc è ristante di tempo e/o la data corrente.
5. 5. Metodo secondo la rivendicazione 1, caratterizzato dal fatto che detta chiave comprende informazioni relative ad un Indirizzo Sorgente IP Privato e che detta seconda stringa comprende informazioni relative ad un Indirizzo Sorgente IP NAPT Pubblico.
6. 6. Metodo secondo la Rivendicazione 5, caratterizzato dal fatto che detta chiave (KEY) comprende inoltre informazioni relative ad un Numero di Porta Sorgente TCP ed eventualmente un identificatore di Porta Fisica e che detta seconda stringa comprende informazioni relative ad un numero di Porta TCP NAPT.
7. 7. Dispositivo per tradurre una chiave o prima stringa di caratteri (KEY) in una seconda stringa di caratteri, detto dispositivo comprendendo: - un hash computer (HC) che riceve in ingresso la chiave (KEY) e invia in uscita una pluralità di indirizzi di memoria (a,, aj; - un Time Counter (TC) che fornisce la posizione attuale di orologio di sistema ad un bloccò Allocatore (AL) e ad un blocco Recuperatore (RT); - un blocco Allocatore (AL) che riceve in ingresso detta pluralità di indirizzi di memoria (a^ a^ ..., a,,), detta chiave (KEY) e detta posizione attuale di orologio di sistema e invia in uscita un indirizzo prescelto (a^); - un blocco Recuperatore (RT) che riceve in ingresso un indirizzo prescelto (aj) e la posizione attuale di orologio di sistema ed invia in uscita la chiave originaria (KEY), detti blocchi Allocatore (AL) e Recuperatore (RT) cooperando con mezzi di memoria (MEM) comprendenti allocazioni per chiavi (KEY) e allocazioni per la posizione di orologio di sistema corrispondente all'ultimo aggiomamento/riscrittura della locazione di chiave (KEY).
8. 8. Dispositivo secondo la rivendicazione 7, caratterizzato dal fatto che detto indirizzo di memoria selezionato (a(j)) è quel valore corrispondente ad un numero (j) tale che, nella memoria (MEM), K(j) = KEY e dal fatto che detto blocco allocatore (AL) è atto ad aggiornare la memoria scrivendo K[a(j)] = KEY e T[a(j)] = Tc, ove Tc è ristante di tempo e/o la data corrente.
9. 9. Dispositivo secondo la rivendicazione 7, caratterizzato dal fatto che detto indirizzo di memoria selezionato (a(j)) è quel valore corrispondente ad un numero (j) tale che, nella memoria (MEM), K(j) ≠ KEY e (Tc-t(j)) mod. P > At, ove Tc è l'istante di tempo e/o la data conrente, P è il periodo di orologio di sistema e At è un intervallo di tempo prefissato e dal fatto che detto blocco allocatore (AL) è atto ad aggiornare la memoria scrivendo K[a(j)] = KEY e T[a(j)] = Tc, ove Tc è l'istante di tempo e/o la data corrente.
10. 10. Dispositivo secondo la rivendicazione 7, 8 o 9, caratterizzato dal fatto che detto Recuperatore (RT) è atto a ricevere detto indirizzo di memoria selezionato (a(j)), accedere alla relativa locazione di memoria (MEM), estrarre la chiave (KEY) ad esso corrispondente e scrivere nella memoria (MEM) KEY = K[a(j)] e Tc = T[a(j)], ove Tc è l'istante di tempo e/o la data corrente.
11. 11. Dispositivo secondo una qualsiasi delle rivendicazioni 7-10, caratterizzato dal fatto che è inserito in un nodo di rete che collega una o più reti pubbliche con una o