TW201713087A

TW201713087A - 網路位址轉換穿透方法以及使用該方法的系統

Info

Publication number: TW201713087A
Application number: TW105108222A
Authority: TW
Inventors: 陳干越; 王琮瑋; 劉家宇
Original assignee: 群暉科技股份有限公司
Priority date: 2015-09-17
Filing date: 2016-03-17
Publication date: 2017-04-01
Also published as: TWI600298B

Abstract

本發明的實施例提出一種網路位址轉換穿透方法，由一個節點中的處理單元執行，包含以下步驟。處理單元經由路由器發送初始封包給中間伺服器，其中包含節點的識別資訊。處理單元週期性經由路由器發送封包給黑洞，使得路由器能維護節點及黑洞間的工作階段資訊。

Description

網路位址轉換穿透方法以及使用該方法的系統

本發明關連於一種網路位址轉換技術，特別是一種網路位址轉換穿透方法以及使用該方法的系統。

網路位址轉換穿透技術(NAT，Network Address Transition traversal)，亦稱為穿洞技術(hole punching)，是一種用以建立二個裝置間連線的電腦網路方法，這二個裝置因為NAT技術而彼此不知道對方的位址。為實現NAT穿透技術，系統需要中間伺服器來交換位於NAT之後的裝置的外部位址，例如網路位址轉換穿透之工作階段穿透(STUN，Session Traversal Utilities for NAT)伺服器、互動式連線建立(ICE，Interactive Connectivity Establishment)伺服器等。中間伺服器的工作流程精簡，用以於二者間的連線建立時紀錄客戶端的外部位址。一旦另一個客戶端(稱為B)希望與NAT之後的客戶端A建立連線，客戶端B向中間伺服器發出穿孔請求(punch request)。然後，中間伺服器將協助客戶端A及客戶端B間的外部地址交換，使得客戶端A及客戶端B可啟動NAT程序。NAT方法的效能關連於現行的NAT運作機制，可能有以下缺點。首先，為了讓NAT工作階段表中客戶端與中間伺服器間的連線紀錄持續活著，客戶端必須週期性地送封包至中間伺服器，造成中間伺服器承受大量的負擔。其二，因為叢集中之中間伺服器間的資訊交換困難，使得叢集不能隨意地增加新的中間伺服器或移出原有的中間伺服器。因此，需要一種網路位址轉換穿透方法以及使用該方法的系統，解決以上所述的缺陷。

本發明的實施例提出一種網路位址轉換穿透方法，由一個中間伺服器中的處理單元執行，包含以下步驟。從第一節點接收到穿孔請求，其中包含第二節點的識別資訊。偽造黑洞與第二節點間的錯誤封包，並傳送錯誤封包給第二節點，並且錯誤封包的資料段包含第一節點的外部位址。

本發明的實施例提出一種網路位址轉換穿透系統包含一個節點。節點經由路由器發送初始封包給中間伺服器，其中包含節點的識別資訊。節點更判斷路由器的網路位址轉換類型；以及，如果網路位址轉換類型不是對稱網路位址轉換，週期性經由路由器發送封包給黑洞，使得路由器能維護節點及黑洞間的工作階段資訊。

100‧‧‧網路

110‧‧‧路由器

111‧‧‧網路附加儲存系統

130‧‧‧路由器

131‧‧‧手機

133‧‧‧平板電腦

135‧‧‧個人電腦

150_1、...、150_n‧‧‧中間伺服器

210‧‧‧處理單元

220‧‧‧顯示裝置

230‧‧‧輸入裝置

240‧‧‧儲存單元

250‧‧‧記憶體

260‧‧‧網路介面卡

261‧‧‧輸出入埠

263_1、...、263_n‧‧‧傳送/接收佇列

310‧‧‧處理單元

340‧‧‧儲存裝置

350‧‧‧記憶體

360‧‧‧通訊介面

410‧‧‧處理單元

420‧‧‧顯示單元

430‧‧‧輸入裝置

440‧‧‧儲存單元

450‧‧‧記憶體

460‧‧‧通訊介面

(1)、...、(6)‧‧‧步驟

500‧‧‧黑洞

S710~S770‧‧‧方法步驟

第1圖係依據本發明實施例之網路位址轉換穿透系統的網路架構圖。

第2圖係依據本發明實施例的路由器的系統架構圖。

第3圖係依據本發明實施例的網路附加儲存的系統架構圖。

第4圖係依據本發明實施例的客戶端的系統架構圖。

第5A至5C圖係依據本發明實施例之網路位址轉換穿透示意圖。

第6圖係依據本發明實施例之網路位址轉換穿透的訊息流程圖。

第7圖係依據本發明實施例的週期性向外傳送封包的方法流程圖。

以下說明係為完成發明的較佳實現方式，其目的在於描述本發明的基本精神，但並不用以限定本發明。實際的發明內容必須參考之後的權利要求範圍。

必須了解的是，使用於本說明書中的”包含”、”包括”等詞，係用以表示存在特定的技術特徵、數值、方法步驟、作業處理、元件以及/或組件，但並不排除可加上更多的技術特徵、數值、方法步驟、作業處理、元件、組件，或以上的任意組合。

於權利要求中使用如”第一”、"第二"、"第三"等詞係用來修飾權利要求中的元件，並非用來表示之間具有優先權順序，先行關係，或者是一個元件先於另一個元件，或者是執行方法步驟時的時間先後順序，僅用來區別具有相同名字的元件。

第1圖係依據本發明實施例之網路位址轉換穿透系統的網路架構圖，包含二個路由器(routers)110及130。路由器110及130中之每一者於電腦網路間傳遞網路封包。網路封包通常經由網路100從一個路由器傳遞至另一個路由器，直到目的地節點為止，進而形成一個互聯網路。路由器以二個資料線連接上不同的網路。當封包從一個資料線傳遞至路由器，路由器讀取封包中的位址資訊並決定最後的目的地。接著使用內存的路由表(routing table)或路由政策(routing policy)的資訊，將網路封包傳遞至下一個網路。路由器110及130中之任一者可為家用或小型辦公室路由器，用以於連接裝置及網路100間傳遞資料，例如，網頁、電子郵件、即時訊息、聲音串流、視訊串流等。路由器110及130中之每一者實施網路位址轉換技術，用以將多個內部裝置對應至一個公開的網際網路協議(IP,Internet Protocol)位址。於常見設置中，區域網路(LAN,Local Area Network)使用多個指定內部IP位址子網域中之一者。於區域網路上的路由器擁有於上述位址空間中的一個內部位址(internal address)以及一個由ISP供應商給予用以連接至網路100的外部位址(external address)。當網路封包從區域網路傳遞至網路100時，每一封包的來源位址快速的從內部位址更改為外部位址。路由器追蹤每一個有效連線(特別是目的地位址及埠號)的基本資料。當一個回覆傳遞回路由器，路由器使用於轉出階段(outbound phase)儲存的連線追蹤資料決定欲傳遞此回覆至哪一個區域網路的內部位址。

網路附加儲存(NAS,Network-Attached Storage)系統111透過區域網路連接至路由器110，並且提供資料存取服務給異質的客戶端，例如，手機131、平板電腦133、個人電腦135等。NAS系統111包含一或多個儲存裝置，通常組織為獨立磁碟冗餘陣列(RAID,Redundant Array of Independent Disks)。手機131、平板電腦133及個人電腦135透過區域網路連接至路由器130。雖然本發明實施例描述了網路附加儲存系統111作為範例，但本發明亦可實現於其他的客戶端，例如，智慧型電視、視訊監控系統、視訊播放器等。中間伺服器150_1至150_n形成一個叢集(cluster)，用以儲存客戶端的識別資訊及外部位址，例如，手機131、平板電腦133、個人電腦135、NAS系統111等。客戶端可請求中間伺服器150_1至150_n中之任一者，用以取得其他客戶端的外部位址。

第2圖係依據本發明實施例的路由器的系統架構圖。此系統架構可實施於路由器110及130中之任一者。路由器組態來接收網路封包，以及決定最終的輸出節點，用以將網路封包傳出路由器。處理單元210可使用多種方式實施，例如以專用硬體電路或通用硬體(例如，單一處理器、具平行處理能力的多處理器、圖形處理器或其他具運算能力的處理器)，並且在執行程式碼或軟體時，提供之後所描述的功能。系統架構另包含記憶體250用以儲存執行過程中需要的資料，例如，變數、資料表(data tables)、資料結構等，以及儲存單元240，用以儲存資料。輸入裝置230可包含按鈕、鍵盤、滑鼠、觸控面板等。使用者可按壓按鈕來產生控制訊號，按壓鍵盤上的硬鍵來輸入字元，藉由操作滑鼠來控制鼠標，或者是在觸控面板製造手勢來控制執行中的應用程式。手勢可包含單擊、雙擊、單指拖曳、多指拖曳等，但不限定於此。顯示單元220可包含顯示面板(例如，薄膜液晶顯示面板、有機發光二極體面板或其他具顯示能力的面板)，用以顯示輸入的字元、數字、符號、拖曳鼠標的移動軌跡、繪製的圖案或應用程式所提供的畫面，提供給使用者觀看。網路介面卡(Network adapter)260可組態來使用乙太網路(Ethernet)通訊，具有使用傳輸控制協議/網際網路協議(TCP/IP,Transmission Control Protocol/Internet Protocol)、用戶包協議(UDP,User Datagram Protocol)，以及/或其他協議的能力。網路介面卡260包含多個埠(ports)261，每一個埠組態為對內埠(internal port)或對外埠(external port)。網路介面卡260可包含多個傳送/接收(Tx/Rx,transmit and/or receive)佇列263_1至263_n，用以暫存即將傳送以及/或已接收的網路資料。

第3圖係依據本發明實施例的網路附加儲存的系統架構圖。處理單元310可使用多種方式實施，例如以專用硬體電路或通用硬體(例如，單一處理器、具平行處理能力的多處理器、圖形處理器或其他具運算能力的處理器)，並且在執行程式碼或軟體時，提供之後所描述的功能。系統架構另包含記憶體350用以儲存執行過程中需要的資料，例如，變數、資料表等。儲存裝置340可組織為獨立磁碟冗餘陣列，用以儲存各式各樣的電子檔案，例如，網頁、文件、音訊檔、視訊檔等。系統架構另包含通訊介面360，讓處理單元310可藉以跟其他電子裝置進行溝通。通訊介面360可以是區域網路通訊模組或無線區域網路通訊模組。

第4圖係依據本發明實施例的客戶端的系統架構圖。此系統架構可實施於手機131、平板電腦133、個人電腦135、中間伺服器150_1至150_n中之任一者，或其他具備運算能力的電子裝置。處理單元410可使用多種方式實施，例如以專用硬體電路或通用硬體(例如，單一處理器、具平行處理能力的多處理器、圖形處理器或其他具運算能力的處理器)，並且在執行程式碼或軟體時，提供之後所描述的功能。系統架構另包含記憶體450用以儲存執行過程中需要的資料，例如，變數、資料表等，以及儲存裝置440，用以儲存各式各樣的電子檔案，例如，網頁、文件、音訊檔、視訊檔等。系統架構另包含通訊介面460，讓處理單元410可藉以跟其他電子裝置進行溝通。通訊介面460可以是區域網路通訊模組或無線區域網路通訊模組。輸入裝置430可包含鍵盤、滑鼠、觸控面板等。使用者可按壓鍵盤上的硬鍵來輸入字元，藉由操作滑鼠來控制鼠標，或者是在觸控面板製造手勢來控制執行中的應用程式。手勢可包含單擊、雙擊、單指拖曳、多指拖曳等，但不限定於此。顯示單元420可包含顯示面板(例如，薄膜液晶顯示面板、有機發光二極體面板或其他具顯示能力的面板)，用以顯示輸入的字元、數字、符號、拖曳鼠標的移動軌跡、繪製的圖案或應用程式所提供的畫面，提供給使用者觀看。

以下舉出一個情境，描述於路由器130之後的手機 131、平板電腦133及個人電腦135中之一者(以下稱節點B)試圖與路由器110之後NAS系統111(以下稱節點A)建立連線的過程。第5A至5C圖係依據本發明實施例之網路位址轉換穿透示意圖。第6圖係依據本發明實施例之網路位址轉換穿透的訊息流程圖。節點A的內部位址為192.168.1.2：3456。於開機就緒後，節點A經由路由器110發送初始封包(initial packet)給中間伺服器150_1，其中包含節點A的識別資訊(步驟1)。於此須注意的是，由於初始封包需符合傳輸控制協議/網際網路協議，此初始封包之標頭(header)即包含有節點A之外部位址，因此中間伺服器150_1可藉由初始封包得知節點A之外部位址60.251.87.147：6543。

路由器110執行NAT功能，用以指派節點A的內部位址及外部位址。中間伺服器150_1接收節點A發送的初始封包，以及紀錄節點A的識別資訊、外部位址至本地資料庫。於此須注意的是，中間伺服器150_1的資料庫紀錄可即時地同步至叢集中其他中間伺服器150_2至150_n，n為大於或等於2的整數，使得中間伺服器150_2至150_n也具有服務節點B的穿孔請求的能力。接著，由於無法預測節點B建立連線的時間點，節點A週期性地傳送封包給黑洞(black hole)500，用以讓路由器110維護關連於節點A與黑洞的工作階段資訊(session information)(步驟2)。範例的工作階段資訊紀錄如下所示：

其中，黑洞500可為不會回覆訊息的裝置，或者是沒有綁定任何裝置的網路位址。此外，黑洞的網路位址與埠可為一預設之網路位址與埠，該預設之網路位址與埠可於節點A向中間伺服器150_1註冊其識別資訊時，由中間伺服器150_1指派給節點A。於其他實施例中，上述之初始封包可另包含黑洞的網路位址與埠，並且中間伺服器150_1可紀錄節點A的識別資訊、外部位址及黑洞的網路位址與埠至本地資料庫。於此須注意的是，路由器110轉遞初始封包給中間伺服器150_1時亦會記錄關連於節點A及中間伺服器150_1間的工作階段資訊。此外，一旦路由器110於指定時間區間沒有接收到由節點A傳送的任何封包，關連於節點A的工作階段資訊會被刪除，並且節點B無法透過路由器110與節點A建立連線。於其他的一些實施方式，節點A可週期性地傳送封包給中間伺服器150_1。然而，以上所述的實施方式會造成中間伺服器150_1耗費不必要的運算資源處理節點A傳送的封包。

參考第5B圖。節點B的內部位址為192.168.6.5：4321。由於節點B不知道節點A的外部位址，節點B可經由路由器130傳送穿孔請求(punching request)給中間伺服器150_n，其中包含節點A的識別資訊(步驟3)。其中，中間伺服器150_n可藉由穿孔請求之封包的標頭得知節點B的外部位址60.251.87.148：1234。路由器130執行NAT功能，用以指派節點B的內部位址及外部位址。中間伺服器150_n偽造黑洞與節點A間的ICMP(Internet Control Message Protocol)TTL(Time To Live)封包(亦即是錯誤封包)並經由路由器110傳送給節點A，其中ICMP TTL封包之資料段(payload)包含節點B的外部位址60.251.87.148：1234(步驟4)。於此須注意的是，由於路由器110存在關連於節點A及黑洞500間的工作階段資訊，範例如表1所示，ICMP TTL封包可成功轉遞給節點A。反之，如果中間伺服器150_n試圖經由路由器110傳送由節點B起始的ICMP TTL封包(亦即是ICMP錯誤封包)給節點A，路由器110可能因為不存在節點A及節點B間的工作階段資訊而阻擋ICMP TTL封包。節點B的內部位址及外部位址由路由器130指派。此外，中間伺服器150_n根據節點A的識別資訊搜尋本地資料庫以取得節點A的外部位址60.251.87.147：6543，並且回覆節點A的外部位址給節點B(步驟5)。

參考第5C圖。節點B從中間伺服器150_n取得節點A的外部位址60.251.87.147：6543，節點A從ICMP TTL封包的資料段得到節點B的外部位址60.251.87.148：1234。於是，節點A及節點B皆有對方的外部位址資訊，因此節點A與節點B間可進行穿洞程序(hole punching process)(步驟6)。換言之，節點A可依據節點B之外部位址60.251.87.148：1234傳送連線請求給節點B，此時路由器110會記錄關連於節點A與節點B間的工作階段資訊。因此，當節點B傳送連線請求給節點A時，此連線請求可經由路由器110轉送給節點A。反之，當節點B依據節點A之外部位址60.251.87.147：6543傳送連線請求給節點A時，路由器130會記錄關連於節點A與節點B間的工作階段資訊。因此，由節點A所回傳之資訊可經由路由器130轉送給節點B。由於此穿洞程序為該領域中具通常知識者所熟知，本發明於此不再贅述。當穿洞程序完成後，節點B即可請求節點A的服務，例如NAS資料存取。

然而，於對稱NAT之後的節點，無法藉傳送封包給黑洞來達成維持工作階段資訊的目的。例如，節點A傳送初始封包給中間伺服器150_1時，路由器110係以埠A1傳送初始封包給中間伺服器150_1。然而，節點A週期性傳送封包給黑洞500時，路由器110係以埠A2(不同於埠A1)週期性傳送封包給黑洞500。因此，中間伺服器150_n無法偽造黑洞500與節點A間的ICMP TTL封包，並經由路由器110傳送給節點A。第7圖係依據本發明實施例的週期性向外傳送封包的方法流程圖。此流程由節點A中的處理單元410於載入並執行特定程式碼時實施。首先，節點A偵測路由器110中的NAT類型(步驟S710)，並且判斷NAT類型是否為對稱(symmetric)NAT(步驟S730)。於步驟S710，可透過通訊介面460向路由器110傳送請求詢問NAT類型並接收回覆的結果。若是，週期性傳送封包給中間伺服器150_1，使得路由器110維護關連於節點A及中間伺服器150_1間的工作階段資訊(步驟S770)；否則，週期性傳送封包給黑洞500(步驟S750)，使得路由器110維護關連於節點A及黑洞500間的工作階段資訊。

雖然第2至4圖中包含了以上描述的元件，但不排除在不違反發明的精神下，使用更多其他的附加元件，已達成更佳的技術效果。此外，雖然第7圖的方法流程圖採用特定的順序來執行，但是在不違法發明精神的情況下，熟習此技藝人士可以在達到相同效果的前提下，修改這些步驟間的順序，所以，本發明並不侷限於僅使用如上所述的順序。

雖然本發明使用以上實施例進行說明，但需要注意的是，這些描述並非用以限縮本發明。相反地，此發明涵蓋了熟習此技藝人士顯而易見的修改與相似設置。所以，申請權利要求範圍須以最寬廣的方式解釋來包含所有顯而易見的修改與相似設置。

110‧‧‧路由器

111‧‧‧節點A

130‧‧‧路由器

131、133、135‧‧‧節點B

150_1、150_n‧‧‧中間伺服器

500‧‧‧黑洞

Claims

一種網路位址轉換穿透方法，由一節點中之一處理單元執行，包含：經由一路由器發送一初始封包給一中間伺服器，其中，上述初始封包包含上述節點的一識別資訊；週期性經由上述路由器發送封包給一黑洞，使得上述路由器能維護上述節點及上述黑洞間的工作階段資訊。
如申請專利範圍第1項所述的網路位址轉換穿透方法，其中，上述黑洞為不會回覆訊息的一裝置或沒有綁定任何裝置的一網路位址。
如申請專利範圍第1項所述的網路位址轉換穿透方法，其中，上述路由器執行的網路位址轉換功能不是對稱型網路位址轉換。
一種網路位址轉換穿透方法，由一中間伺服器中之一處理單元執行，包含：從一第一節點接收到一穿孔請求，其中，上述穿孔請求包含一第二節點的識別資訊；以及偽造一黑洞與上述第二節點間的一錯誤封包，並傳送上述錯誤封包給上述第二節點，其中，上述錯誤封包的一資料段包含上述第一節點的一外部位址。
如申請專利範圍第4項所述的網路位址轉換穿透方法，其中，上述黑洞為不會回覆訊息的一裝置或沒有綁定任何裝置的一網路位址。
如申請專利範圍第4項所述的網路位址轉換穿透方法，其中，上述錯誤封包為ICMP(Internet Control Message Protocol)TTL(Time To Live)封包。
如申請專利範圍第4項所述的網路位址轉換穿透方法，更包含：根據上述第二節點的識別資訊搜尋一本地資料庫以取得上述第二節點的上述外部位址；以及回覆上述第二節點的上述外部位址給上述第一節點。
一種網路位址轉換穿透系統，包含：一第一節點，經由一路由器發送一初始封包給一第一中間伺服器，其中，上述初始封包包含上述第一節點的一識別資訊；判斷上述路由器的一網路位址轉換類型；以及，如果上述網路位址轉換類型不是對稱網路位址轉換，週期性經由上述路由器發送封包給一黑洞，使得上述路由器能維護上述第一節點及上述黑洞間的工作階段資訊。
如申請專利範圍第8項所述的網路位址轉換穿透系統，其中，如果上述網路位址轉換類型是對稱網路位址轉換，上述第一節點週期性藉由上述路由器發送封包給上述第一中間伺服器，使得上述路由器維護上述節點及上述第一中間伺服器間的工作階段資訊。
如申請專利範圍第8項所述的網路位址轉換穿透系統，其中，上述黑洞為不會回覆訊息的一裝置或沒有綁定任何裝置的一網路位址。
如申請專利範圍第8項所述的網路位址轉換穿透系統，其中，上述路由器執行的網路位址轉換功能不是對稱型網路位址轉換。
如申請專利範圍第11項所述的網路位址轉換穿透系統，更包含：一第二中間伺服器，從一第二節點接收到一穿孔請求，其中，上述穿孔請求包含上述第一節點的識別資訊；以及偽造上述黑洞與上述第一節點間的一錯誤封包，並傳送上述錯誤封包給上述第一節點，其中，上述錯誤封包的一資料段包含上述第二節點的一外部位址。
如申請專利範圍第12項所述的網路位址轉換穿透系統，其中，上述錯誤封包為ICMP(Internet Control Message Protocol)TTL(Time To Live)封包。
如申請專利範圍第12項所述的網路位址轉換穿透系統，其中，上述第二中間伺服器根據上述第一節點的識別資訊搜尋一本地資料庫以取得上述第一節點的上述外部位址；以及回覆上述第一節點的上述外部位址給上述第二節點。
如申請專利範圍第14項所述的網路位址轉換穿透系統，其中，上述本地資料庫儲存的上述第一節點的上述外部位址係從上述第一中間伺服器取得。
如申請專利範圍第15項所述的網路位址轉換穿透系統，其中，上述第一中間伺服器及上述第二中間伺服器形成一叢集。
如申請專利範圍第14項所述的網路位址轉換穿透系統，其中，上述第一節點從上述錯誤封包中的上述資料段取得上述第二節點的上述外部位址，從而使得上述第一節點與上述第二節點可進行一穿洞程序。