TWI508497B

TWI508497B - 路由裝置及其網路封包的處理方法

Info

Publication number: TWI508497B
Application number: TW102101203A
Authority: TW
Inventors: Chien Tse Yu; Bo Jun Liu
Original assignee: Gemtek Technology Co Ltd
Priority date: 2013-01-11
Filing date: 2013-01-11
Publication date: 2015-11-11
Also published as: TW201429194A

Description

路由裝置及其網路封包的處理方法

本發明係關於一種網路裝置及其網路封包的處理方法，特別是一種路由裝置及其網路封包的處理方法。

在計算機網路中，網路地址轉換(Network Address Translation，NAT)是一種網路封包通過路由器(router)或防火牆時重寫來源網際網路協定(Internet Protocol，IP)位址或目的IP地址的技術。在一個本地網路以及網際網路之間的NAT路由器能夠利用網際網路服務提供商(Internet Service Provider，ISP)提供的一個或多個公共(public)IP地址連接到網際網路，並將本地網路中客戶端的私有(privacy)IP位址進行NAT轉換再連接到網際網路。

但是為了進行NAT轉換，NAT路由器需要逐一檢查所有接收到的網路封包是否符合一NAT映射表中的資料。如果在表中沒有符合的資料，則需利用預先設定好的多種規則來判斷網路封包是否需要進行NAT學習(learning)以及轉換。且所有的網路封包都需要經由NAT伺服器的一驅動單元傳送給一核心單元，再由核心單元進行判斷、學習或轉換。

由於任何網路封包一但傳送給核心單元，無論使否有其必要性都會對於介質存取控制層(Medium Access Control layer，MAC layer)、IP層或是傳輸控制協定層(Transmission Control Protocol layer，TCP layer)等進行分層的檢查以及處理，因此即使對於已在表中存有資料的簡單NAT轉換也會耗費大量無謂的運算以及處理時間，而造成封包延遲。再者，對於有NAT轉換需求的本地網路，基本上所有的封包都需要進行NAT轉換，因此大量的轉換需求更使得封包延遲的問題加劇。

為了解決上述傳統NAT轉換之問題，本發明提供一種路由裝置(routing device)及其網路封包的處理方法。其中路由裝置包括一轉發引擎模組(Forwarding Engine，FWD)以及一核心模組，並可用以執行網路封包的處理方法。

網路封包的處理方法包括以下步驟。從一來源介面接收一網路封包。判斷網路封包是否符合一網路位址轉換(Network Address Translation，NAT)封包條件。當網路封包符合NAT封包條件時，執行以下步驟。讀取網路封包的一傳輸資訊，並利用傳輸資訊查詢一NAT映射表。當NAT映射表中有對應傳輸資訊的一映射項目(mapping entry)時，令轉發引擎模組依據對應的映射項目的一NAT轉發資訊更新網路封包的檔頭(header)，並設定網路封包的一目的介面。

根據一實施範例，轉發引擎模組用以執行以下步驟。從來源介面接收網路封包。判斷網路封包是否符合NAT封包條件。當網路封包符合NAT封包條件時，執行以下步驟。讀取網路封包的傳輸資訊，並利用傳輸資訊查詢NAT映射表。當NAT映射表中有對應傳輸資訊的映射項目時，依據對應的映射項目的NAT轉發資訊更新網路封包的檔頭，並設定網路封包的目的介面。當網路封包不符合NAT封包條件時，將網路封包轉送給核心模組，以由核心模組處理網路封包。而核心模組用以處理不符合NAT封包條件的網路封包，或NAT映射表中沒有對應的任一個映射項目的網路封包。

綜上所述，路由裝置及其網路封包的處理方法能夠過判斷網路封包是否符合NAT封包條件，且轉發引擎模組能夠自行處理符合NAT封包條件的網路封包，以減輕核心模組的負擔以及無謂的處理時間。

以下在實施方式中詳細敘述本發明之詳細特徵以及優點，其內容足以使任何熟習相關技藝者了解本發明之技術內容並據以實施，且根據本說明書所揭露之內容、申請專利範圍及圖式，任何熟習相關技藝者可輕易地理解本發明相關之目的及優點。

本發明提供一種路由裝置(routing device)及其網路封包的處理方法。其中路由裝置可用以執行網路封包的處理方法，以加快對於網路封包的速度。

請先參照「第1A圖」，其係為一實施範例之路由裝置之方塊示意圖。路由裝置包括一轉發引擎模組(Forwarding Engine，FWD)10以及一核心模組20以處理接收到的至少一網路封包。路由裝置更可包括一區域網路(Local Area Network，LAN)介面30以及一廣域網路(Wide Area Network，WAN)介面40，以個別連接一區域網路網域(LAN domain，LAN網域)以及一廣域網路網域(WAN domain，WAN網域)。

在一NAT模式下，路由裝置可將LAN網域視為私有網域(privacy domain)，並將WAN網域視為公共網域(public domain)。路由裝置能處理從LAN網域所接收的網路封包再將處理過的封包發送到WAN網域，也能處理從WAN網域所接收的網路封包再將處理過的網路封包發送到LAN網域。

更詳細地說，路由裝置至少能夠就實體層(physical layer)、介質存取控制層(Medium Access Controllayer，MAC layer)以及網際網路協定層(Internet Protocol layer，IP layer)處理網路封包；但依需求也可就傳輸控制協定層(Transmission Control Protocol layer，TCP layer)或應用層(application layer)等上層面處理網路封包。因此就不同實施範例，路由裝置可以達到橋接器(bridge)、交換器(switch)或路由器的功能；而若路由裝置具有更高階的功能，也可做為閘道器(gateway)或代理伺服器(proxy)等高階網路裝置。

此外，路由裝置可安裝有嵌入式即時作業系統(Real-Time Operating System，RTOS)，例如VxWorks作業系統。VxWorks是一種具有高效率以及高穩定性的類Unix(Unix-like)作業系統，其採用很彈性的協定堆疊(Protocol Stack)來處理網路封包。

請參照「第1B圖」，其係為另一實施範例之路由裝置之方塊示意圖。轉發引擎模組10可包括一預處理單元12，並由預處理單元12執行本網路封包的處理方法。核心模組20則可包括一驅動單元22、一第一網卡(Network Card，NIC)24、一第二網卡26以及一核心處理單元28。

驅動單元22可用以與轉發引擎模組10之間進行網路封包的接收或發送。具體而言，轉發引擎模組10可具有一本地端介面(local interface，未繪示)，並透過本地端介面以及驅動單元22與核心模組20溝通。但對核心模組20而言，本地端介面可只視為驅動單元22在維護網路封包收送的暫存器(Buffer)，實際上對外溝通仍是利用LAN介面30或WAN介面40。

第一網卡24可對應於路由裝置的LAN網域端，第二網卡26則可對應於WAN網域端，且第一網卡24與第二網卡26可各自具有不同的MAC位址。於「第1B圖」的實施範例中，第一網卡24可對應於LAN介面30，第二網卡26可對應於WAN介面40，且LAN介面30以及WAN介面40可各自對應一埠號(port number)。

核心處理單元28具有較預處理單元12強大的處理能力，能夠對網路封包進行切割(fragmentation)、網際網路協議版本4(IPv4)與IPv6轉換或網路位址轉換學習(Network Address Translation learning，NAT learning)等項目的相關處理。傳統上所有的網路封包都由核心處理單元28處理，但本網路封包的處理方法可將部份的網路封包交給預處理單元12處理，以減輕核心處理單元28的負擔，並增進整體路由裝置的處理效率。

接著請參照「第2圖」，其係為一實施範例之網路封包的處理方法之流程示意圖。

路由裝置從一來源介面接收網路封包(步驟S100)，其中來源介面可以是LAN介面30或WAN介面40。換句話說，網路封包可以是由WAN網域傳入LAN網域，也可以是由LAN網域傳出 WAN網域。預處理單元12從來源介面接收網路封包後，可先讀取網路封包的檔頭(header)以判斷網路封包是否符合一NAT封包條件(步驟S200)。

其中NAT封包條件可包含以下條件a到e各點。

a.網路封包係為IPv4封包。

b.當網路封包採用TCP時，網路封包不具有一同步旗標(synchronized flag，SYN flag)、一終止旗標(finish flag，FIN flag)或是一重置旗標(RESET flag)。換句話說，網路封包是單純用以傳送數據的數據封包，而不是用於網路控制的控制封包。

c.網路封包不採用應用層閘道(Application-level gateway或Application-layer gateway，ALG)服務。

d.網路封包不採用網際網路控制消息協議(Internet Control Message Protocol，ICMP)。

e.網路封包在IP層未被切割。

當網路封包不符合NAT封包條件時，也就是不符合上述條件a到e的任何一個時，預處理單元12可令轉發引擎模組10將網路封包轉送給核心模組20，以由核心模組20處理不符合NAT封包條件的網路封包(步驟S300)。也就是說，核心模組20可從轉發引擎模組10接收不符合NAT封包條件的網路封包，並處理不符合NAT封包條件的網路封包。

若網路封包不符合條件a，表示網路封包為IPv6封包；則可能需要根據路由裝置的規格判斷是否需要對網路封包進行IPv6與NAT的轉換。

若網路封包不符合條件b表示網路封包是控制封包，若網路封包不符合條件c表示網路封包需要進行與ALG服務相關的處理，若網路封包不符合條件d表示網路封包需要進行與ICMP相關的處理。這些情況都需要較複雜的處理，因此還是交給核心處理單元28處理。

若網路封包不符合條件e，表示網路封包之前已被其他網路裝置切割過。為了進行網路控制，可能需要配合其他的網路封包進行重新排序(reorder)、重組(assembly)或重新切割(re-fragmentation)。由於這些操作亦需較複雜的處理，因此也交給核心處理單元28處理。

反之，當網路封包符合NAT封包條件時，也就是全都符合上述條件a到e時，預處理單元12可執行步驟S400、步驟S500以及步驟S600，或執行步驟S400、步驟S500以及步驟S300。於步驟S200之中，預處理單元12過濾出只需要進行NAT轉換而不需其他複雜處理的數據封包，後續可以以步驟S400到步驟S600自行對這種數據封包進行NAT轉換。

若網路封包符合NAT封包條件，預處理單元12讀取網路封包的一傳輸資訊，並利用傳輸資訊查詢一NAT映射表(步驟S400)。且預處理單元12可判斷NAT映射表中是否有對應傳輸資訊的任一映射項目(步驟S500)。

根據一實施範例，NAP映射表可以由核心模組20的核心處理單元28所維護，其中具有至少一映射項目(mapping entry)。每一個映射項目都可包括對應的傳輸資訊與一NAT轉發資訊，且映射項目可以符合NAP元組(NAP tuple)的格式。而NAT轉發資訊可包括一NAT位址以及一NAT埠號。但NAT映射表也可依需求紀錄更多相關資訊，以讓核心模組20達成較高階的網路控制功能。

預處理單元12可以先讀取網路封包的連線(session)資訊作為傳輸資訊，而連線資訊的格式可以是5元組(5-tupple)，包括一來源IP位址、一來源埠號、一通訊協定、一目的IP位址以及一目的埠號。且預處理單元12可以將讀取得到的傳輸資訊轉換成NAP元組的格式，再於NAT映射表中進行查詢，以判斷是否有任何映射項目的傳輸資訊與目前的網路封包的傳輸資訊相同。

當NAT映射表中沒有對應傳輸資訊的映射項目時，表示這個網路封包無法直接以既有的資訊直接進行NAT轉換，而需要先進行NAT學習。由於NAT學習以及維護NAT映射表所需的處理較直接進行NAT轉換還要複雜，因此可以都由核心處理單元28執行。故當NAT映射表中沒有對應傳輸資訊的映射項目時也執行步驟S300，以由核心模組20處理此網路封包。

反之，當NAT映射表中有對應傳輸資訊的映射項目時，可直接令轉發引擎模組10依據對應的映射項目的NAT轉發資訊更新網路封包的檔頭，並設定網路封包的一目的介面(步驟S600)。換句話說，可以由預處理單元12自行對此網路封包進行NAT轉換。其中目的介面可以是LAN介面30或WAN介面40，且來源介面與目的介面不同。

請參照「第3圖」，其係為一實施範例之步驟S600之流程示意圖。

在NAT映射表中找到對應於傳輸資訊的映射項目後，預處理單元12可先判斷來源介面係為LAN介面30或是WAN介面40(步驟S610)。

當來源介面係為LAN介面30時，可執行以下步驟S620到步驟S640。預處理單元12可依據對應的NAT轉發資訊更新網路封包的來源IP位址、來源埠號以及一校驗和(checksum)(步驟S620)。預處理單元12可以以NAT位址取代網路封包在IP層的檔頭中的來源IP位址，並以NAT埠號取代檔頭中的來源埠號。且預處理單元12依據更改過的檔頭重新計算對應檔頭的校驗和，以避免網路封包因校驗和與檔頭不對應而被後續的網路設備認為是錯誤的封包。

除此之外，預處理單元12會更新NAT映射表中對應的映射項目的一計時器(timer)(步驟S630)。NAT映射表中會對每個映射項目設定有一個計時器，以確保映射項目的時效性。映射項目的計時器會在此映射項目被用於NAT轉換時被預處理單元12或核心處理單元28更新。若是有計時器的技術超過一預定門檻值，表示映射項目在一段預定期間內都沒有被使用到，則此一映射項目可以被核心處理單元28清除。

更新完網路封包的檔頭後，預處理單元12可設定網路封包的目的介面為WAN介面40(步驟S640)，以將網路封包從WAN介面40發出至WAN網域。

當來源介面係為WAN介面40時，預處理單元12則可執行以下步驟S650到步驟S670。預處理單元12可依據對應的NAT轉發資訊更新網路封包的目的IP位址、目的埠號以及校驗和(步驟S650)，並更新NAT映射表中對應的映射項目的計時器(步驟S660)。預處理單元12可以以查詢得到的映射項目中對應LAN網域端的IP位址取代網路封包在IP層的檔頭中的目的IP位址，並以查詢得到的映射項目中對應LAN網域端的埠號取代檔頭中的目的埠號。

且預處理單元12會依據更改過的檔頭重新計算對應檔頭的校驗和，並更新查詢得到的映射項目的計時器。接著預處理單元12可設定網路封包的目的介面為LAN介面30(步驟S670)，以將網路封包從LAN介面30發出至LAN網域。

綜上所述，路由裝置及其網路封包的處理方法能夠過濾出只需要進行NAT轉換且在NAT映射表中已存有對應之NAT轉發資訊的網路封包，再由轉發引擎模組的預處理單元自行對這種網路封包進行NAT轉換，而不傳送給核心模組處理。根據統計，這種只需要進行NAT轉換的數據封包大約佔整體的五成到六成，因此預處理單元能夠以簡單的運作處理掉過半的網路封包。如此一來，能夠減輕核心處理單元的負擔，並大幅降低封包延遲，增進整體路由裝置的處理效率。

以上較佳具體實施範例之詳述，是希望藉此更加清楚描述本發明之特徵與精神，並非以上述揭露的較佳具體實施範例對本發明之範疇加以限制。相反地，其目的是希望將各種改變及具相等性的安排涵蓋於本發明所欲申請之專利範圍的範疇內。

10‧‧‧轉發引擎模組

12‧‧‧預處理單元

20‧‧‧核心模組

22‧‧‧驅動單元

24‧‧‧第一網卡

26‧‧‧第二網卡

28‧‧‧核心處理單元

30‧‧‧LAN介面

40‧‧‧WAN介面

第1A圖係為一實施範例之路由裝置之方塊示意圖。

第1B圖係為另一實施範例之路由裝置之方塊示意圖。

第2圖係為一實施範例之網路封包的處理方法之流程示意圖。

第3圖係為一實施範例之步驟S600之流程示意圖。

Claims

一種網路封包的處理方法，適用於一路由設備，該路由設備包括一轉發引擎模組以及一核心模組，該網路封包的處理方法包括：從一來源介面接收一網路封包；判斷該網路封包是否符合一網路位址轉換(Network Address Translation，NAT)封包條件；以及當該網路封包符合該NAT封包條件時，執行以下步驟：讀取該網路封包的一傳輸資訊，並利用該傳輸資訊查詢一NAT映射表；以及當該NAT映射表中有對應該傳輸資訊的一映射項目時，令該轉發引擎模組依據對應的該映射項目的一NAT轉發資訊更新該網路封包的檔頭，並設定該網路封包的一目的介面；其中該NAT封包條件係為：該網路封包係為網際網路協議版本4封包；當該網路封包採用傳輸控制協議時，該網路封包不具有一同步旗標、一終止旗標或是一重置旗標；該網路封包不採用應用層閘道服務；該網路封包不採用網際網路控制消息協議；以及該網路封包在網際網路協定(Internet protocol，IP)層未被切割。
如請求項1所述之網路封包的處理方法，另包括：當該網路封包不符合該NAT封包條件時，令該轉發引擎模組將該網路封包轉送給該核心模組，以由該核心模組處理該網路封包。
如請求項1所述之網路封包的處理方法，另包括：當該NAT映射表中沒有對應該傳輸資訊的任一該映射項目時，令該轉發引擎模組將該網路封包轉送給該核心模組，以由該核心模組處理該網路封包。
如請求項1所述之網路封包的處理方法，其中該傳輸資訊包括一來源IP位址、一來源埠號、一通訊協定、一目的IP位址以及一目的埠號。
如請求項4所述之網路封包的處理方法，其中該來源介面以及該目的介面係為一區域網路(Local Area Network，LAN)介面或一廣域網路(Wide Area Network，WAN)介面，且該來源介面與該目的介面不同。
如請求項5所述之網路封包的處理方法，其中該令該轉發引擎模組依據對應的該映射項目的該NAT轉發資訊更新該網路封包的檔頭，並設定該網路封包的該目的介面的步驟包括：當該來源介面係為該LAN介面時，執行以下步驟：依據對應的該NAT轉發資訊更新該網路封包的該來源IP位址、該來源埠號以及一校驗和；更新該NAT映射表中對應的該映射項目的一計時器；以及設定該網路封包的該目的介面為該WAN介面。
如請求項6所述之網路封包的處理方法，其中該令該轉發引擎模組依據對應的該映射項目的該NAT轉發資訊更新該網路封包的檔頭，並設定該網路封包的該目的介面的步驟另包括：當該來源介面係為該WAN介面時，執行以下步驟：依據對應的該NAT轉發資訊更新該網路封包的該目的IP位址、該目的埠號以及該校驗和；更新該NAT映射表中對應的該映射項目的該計時器；以及設定該網路封包的該目的介面為該LAN介面。
如請求項1所述之網路封包的處理方法，其中該NAT轉發資訊包括一NAT位址以及一NAT埠號。
如請求項1所述之網路封包的處理方法，其中該NAP映射表由該核心模組所維護。
一種路由裝置，包括：一轉發引擎模組，用以執行以下步驟：從一來源介面接收一網路封包；判斷該網路封包是否符合一NAT封包條件；以及當該網路封包符合該NAT封包條件時，執行以下步驟：讀取該網路封包的一傳輸資訊，並利用該傳輸資訊查詢一NAT映射表；當該NAT映射表中有對應該傳輸資訊的一映射項目時，依據對應的該映射項目的一NAT轉發資訊更新該網路封包的檔頭，並設定該網路封包的一目的介面；以及當該網路封包不符合該NAT封包條件時，將該網路封包轉送；以及一核心模組，用以從該轉發引擎模組接收不符合該NAT封包條件的該網路封包，並處理不符合該NAT封包條件的該網路封包，或該NAT映射表中沒有對應的任一該映射項目的該網路封包；其中該NAT封包條件係為：該網路封包係為網際網路協議版本4封包，當該網路封包採用傳輸控制協議時，該網路封包不具有一同步旗標、一終止旗標或是一重置旗標，該網路封包不採用應用層閘道服務，該網路封包不採用網際網路控制消息協議，以及該網路封包在IP層未被切割。
如請求項10所述之路由裝置，其中該傳輸資訊包括一來源IP位址、一來源埠號、通訊協定、一目的IP位址以及一目的埠號。
如請求項11所述之路由裝置，另包括：一LAN介面；以及一WAN介面；其中該來源介面以及該目的介面係為該LAN介面或該WAN介面，且該來源介面與該目的介面不同。
如請求項12所述之路由裝置，其中當該來源介面係為該LAN介面時，該轉發引擎模組執行以下步驟：依據對應的該NAT轉發資訊更新該網路封包的該來源IP位址、該來源埠號以及一校驗和；更新該NAT映射表中對應的該映射項目的一計時器；以及設定該網路封包的該目的介面為該WAN介面。
如請求項13所述之路由裝置，其中當該來源介面係為該WAN介面時，該轉發引擎模組執行以下步驟：依據對應的該NAT轉發資訊更新該網路封包的該目的IP位址、該目的埠號以及該校驗和；更新該NAT映射表中對應的該映射項目的該計時器；以及設定該網路封包的該目的介面為該LAN介面。
如請求項10所述之路由裝置，其中該NAT轉發資訊包括一NAT位址以及一NAT埠號。
如請求項10所述之路由裝置，其中該NAP映射表由該核心模組所維護。