CN103067531A

CN103067531A - 一种公网ip地址资源管理分配方法

Info

Publication number: CN103067531A
Application number: CN2012101261673A
Authority: CN
Inventors: 吴键铭
Original assignee: An Century (beijing) Technology Co Ltd
Current assignee: An Meiwei Ke (Beijing) Internet Technology Co. Ltd.
Priority date: 2011-10-20
Filing date: 2012-04-26
Publication date: 2013-04-24
Anticipated expiration: 2032-04-26
Also published as: CN102387223A; CN103067531B

Abstract

本发明公开了一种公用网络的公网IP地址资源管理分配方法。本发明采用：***维护一个公网IP地址池，当发现有穿越NAT困难的VPN试图建立会话时，就尝试从公网地址池中分配一个公网IP地址，并为用户生成一个1∶1的StaticNAT规则，以及在酒店公网IP地址有限的前提下，使用改进的NAT和特殊的二次DHCP分配方法，实现对客人的按需公网IP地址分配，或者自助公网IP地址分配的方法。适用于酒店公用网络的，高效的、自动化的公网IP地址资源管理和分配，可以解决酒店公共网络的NAT环境对客人的VPN，VoIP和视频会议等一些特殊网络应用造成的使用故障问题。

Description

一种公网IP地址资源管理分配方法

技术领域

本发明涉及一种公网IP地址资源管理分配方法，特别是在公网IP地址相对短缺的酒店及其他公共场所的公用网络，包括客房有线/无线网络，以及酒店会议室，大堂等公共区域的有线和无线网络中公网IP地址管理和分配方法。

背景技术

由于IPv4公网地址资源的短缺问题，电信运营商通常只会给酒店的公共网络internet出口分配很少的IP地址，比如从几个到几十个不等。显然，在公网IP地址这么少的情况下，酒店是无法保证为每个接入到酒店公共网络的智能终端(包括笔记本电脑，智能手机，平板电脑等)直接分配公网IP地址的，而通常是为各个上网终端分配RFC 1918规定的私网地址，然后在酒店公共网络的出口的路由器或者宽带接入网关上启用NAT，使得所有分配私网IP地址的上网终端能够共享有限的公网IP地址访问Internet。最典型的应用配置是在出口的路由器或者宽带接入网关上只配置一个公网地址，启用N:1的共享NAT规则，使得所有住店客人和非住店客人都共享一个公网IP地址上网。

共享NAT基本可以保证大多数客人的网络应用正常访问Internet，但是在一些商务客人较为集中的中高端酒店，NAT可能会因为无法兼容一些特殊的网络应用使得客人在应用过程发生异常从而引起客人的服务投诉。具体体现在：

1.IPSec VPN与NAT可能存在的不兼容问题。IPSec的控制连接使用是的UDP会话，而数据连接使用的是非TCP/UDP协议，包括AH和ESP两种协议封装形式。

①.AH即Authentication Header，是在IP header之后***一个认证头部，对整个IP Packet做完整性校验以保证IP Packet在传输过程中没有被篡改。而NAT过程是必须要修改IP Header的IP地址字段信息以及TCP/UDP Header的端口字段信息的，显然，IPSec的AH封装肯定是无法穿越NAT环境的。

②.ESP即Encapsulation Security Payload，同样是在IP Header后***一个新的认证头部，但是行为与AH有所不同。ESP包含transport和tunnel两种模式。ESP的transport模式只对原IP Packet中除了IP header的部分进行校验，也就是之针对IP Payload部分进行校验，显然，这种行为与NAT也是冲突的，典型的是与TCP的冲突，TCP Header的检验算法是关联了IP Header的源和目的IP地址字段信息的，那么NAT对IP Header的更改必将会使得原先的TCP Header失效，因此，ESP的transport也无法与NAT共存。ESP的tunnel模式是生成一个全新的IP header，然后再在这个新的IP Header之后再封装/加密原先的整个IPPacket，这个情况下NAT对IP Header的IP地址字段更改不会影响到IPSec的校验，也不会影响被封装的TCP或UDP的头部校验，但是仍然有问题。ESP协议设计上有类似TCP/UDP Port作用的SPI，但是对ESP的SPI进行转换复用需要跟踪IPSec关联的IKE会话，在技术上是非常复杂的可行性并不高。所以通常对ESP只能做1∶1的Static NAT，也就是说，在只有一个出口公网IP地址做NAT的酒店里，同一个公司的多个客人，同一时刻只能有一个客人能够拨通ESPtunnel模式的IPSec VPN。

综上所述，IPSec中只有ESP封装的Tunnel模式才有可能通过NAT环境。为了更好地兼容NAT环境，IETF已经发展出了的IPSec NAT-T标准(RFC 3947和3948)，在IPSec报文之上再增加一层UDP封装，可以完全解决NAT兼容问题。IPSec VPN设备长时间来得到了非常广泛的的应用和部署，虽然NAT-T的标准已经推出，仍然有相当一部分的企业因为各种原因继续沿用原有的不支持NAT-T标准的IPSec VPN设备，而没有进行升级或者更换设备。

对于NAT环境中IPSec VPN问题的解决，通常的办法是在酒店公共网络的出口路由器或者宽带接入网关上配置1∶1的Static NAT规则，或者直接给客人的电脑手工配置公网IP地址。

2.PPTP VPN的问题。PPTP的控制连接使用TCP，而数据连接使用GRE封装。多数路由器和宽带接入网关的NAT都可以较好地兼容GRE。但问题是，有的企业IT会将PPTP配置为每一个源IP只允许拨入一路VPN，这样就会造成在只有一个出口公网IP做NAT的酒店里，同一个公司的多个客人同一时刻只能有一个客人能够拨通PPTP VPN。当发生PPTP的NAT问题时，通常的解决办法是同IPSec VPN问题的处理，也是在酒店公共网络的出口路由器或者宽带接入网关上配置1∶1的Static NAT规则，或者直接给客人的电脑手工配置公网IP地址。

3.VoIP或IP视频会议的应用问题。VoIP和IP视频会议广泛地应用到了H.323和SIP协议，H.323和SIP协议在协商过程可能会在上层协议里承载参与通信终端的IP地址信息，在NAT环境中，这个在上层协议里承载IP地址信息的行为会造成内网的通信终端与公网的通信终端或者服务器之间通信异常，因为NAT只对IP和TCP/UDP进行更改而不对TCP/UDP之上的上层协议做更改，这样会造成公网的通信终端无法访问到位于NAT内网的通信终端。因此，使用H.323或SIP的VoIP或者视频会议业务可能会在NAT环境里无法使用，解决的办法通常是直接给H.323或SIP终端分配公网地址。

本发明中，HSIA(High Speed Internet Access)，特指酒店行业的高速上网***，能够实现酒店住店客人和非住店客人在酒店的公共有线/无线网络接入上网，认证和计费功能。HSIA通常包含客房智能宽带接入网关，和后台认证/计费***两部分，也可以是二者功能合一的一个整体软硬件***。AMTT的客房智能宽带接入网关产品命名为eFlow PnPGW，后台认证/计费产品命名为eFlowHBMS，eFlow PnPGW与eFlow HBMS使用标准RADIUS协议进行通信。

本发明中，私网地址，特指RFC 1918规定的只能在企业或者组织的内部网络中为电脑和通信设备配置的，而不能用于公众Internet路由的IPv4地址。RFC1918规定的私网地址总共包含三段子网，分别是10.0.0.0～10.255.255.255，172.16.0.0～172.31.255.255，192.168.0.0～192.168.255.255。配置私网地址的IPv4终端访问公共Internet时候必须经过NAT。

本发明中，NAT(Network Address Translation)，是一种IPv4的地址翻译技术，通常配置在企业网络的出口路由器或防火墙或其它三层设备上，完成企业内网和公网之间的IPv4地址翻译，使得企业网内部的用户可以共享一个或者几个IP地址访问Internet。酒店公共网络的路由器或宽带接入网关上通常都具备NAT功能。应用与企业私网出口的NAT有Dynamic NAT和Static NAT两种规则，Dynamic NAT也就是共享NAT，可以实现M:N(M＞N)的共享NAT，而StaticNAT是1∶1的独享NAT。

本发明中，VPN(Virtual Private Network)，虚拟专用网络。VPN广泛用于解决跨越Internet的企业网络安全访问，通过加密的手段解决个人到网络(企业员工到企业网络)，或者网络到网络(比如企业分支机构到企业总部)的跨Internet安全访问问题。

本发明中，DHCP(Dynamic Host Configuration Protocol)，动态主机配置协议。用于IP智能终端(包括PC，智能手机，平板电脑等)接入局域网时能够自动获得IP地址，掩码，默认路由，DNS等必要的IP相关的配置信息。酒店公共网络的路由器或宽带接入网关上通常都具备DHCP功能。

本发明中，SNMP(Simple Network Management Protocol)，一种IP网络中标准管理协议，IP网络中的通信设备比如交换机，路由器等都支持SNMP，并且运行SNMP Agent使得自身成为SNMP体系结构中的被管理对象。SNMP体系结构中的管理者角色称之为SNMP Workstation，通常是一个软件，可以查询网络中的各个被管理对象的运行状态，并且可以对被管理对象发出配置更改命令改变被管理对象的运行状态。AMTT的HSIA产品带有SNMP Workstation的功能，可以查询酒店公共网络中所有交换机的运行状态，并且能对交换机发出配置更改指令，比如关闭或打开某交换机的一个接入端口。

发明内容

本发明目的是：为解决私网环境的NAT对一些VPN应用带来的故障影响，本发明公开了一种自动化的按需分配的Static NAT方法，可以很好实现VPN的NAT穿越。

本发明所采用的技术方案是：

网络环境具备DHCP和NAT功能模块、私网IP地址分配环境或者私网和公网IP地址混合分配的功能模块；

DHCP功能模块可部署于公共网络的出口路由器、宽带接入网关或者其它二层或三层IP网络设备；

NAT功能模块可部署于公共网络的出口路由器、或者宽带接入网关或者其它三层IP网络设备；

并按如下步骤：

A.建立并维护一个公网IP地址池，

B.用户IP终端提出穿越NAT的VPN会话请求，

C.判断该请求是否困难类型，

若为穿越困难类型，则从公网地址池中分配一个公网IP地址，并为用户IP终端生成一个1∶1的Static NAT规则，建立1∶1的独享映射关系，

否则建立共享NAT规则，

D.用户VPN会话终止时，删除用户IP终端的Static NAT规则，并且将公网IP地址回收到地址池中。

在上述方案基础上，进一步地在网络环境eFlow PnPGW中，增加了两个模块：VPN会话识别模块和VPOOL策略模块，

在所述的步骤C中：

对所述的穿越NAT的VPN会话请求，由VPN会话识别模块进行判断，判断该请求是否属于穿越困难类型，

由VPOOL策略模块，即VPN公网地址池分配以及NAT动态策略模块，生成一个1∶1Statci NAT规则，使得被分配的公网IP地址与私网源IP地址建立1∶1的独享映射关系。

进一步地，使用HSIA的Portal功能辅助用户实现自助方式的二次DHCP分配；

在所述的步骤C中，生成Static NAT规则后，

用户IP终端通过Portal自助方式请求，或者管理员通过后台发送指令，在设定的时限内，为该用户IP终端的MAC地址分配预留一个公网IP地址；

用户IP终端的会话断开和连接，会在网络端口分别产生一次DOWN事件和一次UP事件，

在设定的时限内，用户IP终端的网络端口再次产生UP以后，DHCP客户端会发出DHCP Request请求将上次分配到的未过期的私网地址续租，

此时DHCP Server发现该IP终端对应的MAC地址已经被预留了一个新的公网IP地址资源，与用户请求续租的私网IP地址并不匹配，那么直接应答NAK拒绝续租请求；用户IP终端收到NAK应答，会重新再发起一次DHCP分配请求，即发出DHCP Discover请求；

用户IP终端与DHCP Server之间完成一个完整DHCP流程交互，用户IP终端获得预留的公网IP地址。

DHCP客户端获得了一个IP地址就会纪录到***中，下一次再发DHCPRequest时仍然会尝试请求获得上一次所获得的IP地址，即尽量能续租同一个IP地址，如果续租被拒绝了即收到NAK应答，那么就会重新来一次完整的DHCP流程即重新Discover，这个因NAK应答而引起的完整DHCP流程使得客户端有机会改变自己的IP地址，进而完成二次公网IP地址分配。

在上述方案中，可按如下方式之一，使得用户IP终端的网络端口产生一次DOWN和一次UP事件：

①对于有线网络连接，用户IP终端拔线10秒左右，再插线；

②对于无线网络连接，用户IP终端断开无线网络连接10秒左右；再重新连接无线网络；

③重新启动IP终端。

使用HSIA本身的SNMP功能，或者其它SNMP Workstation软件控制接入交换机端口辅助实现有线网络的二次DHCP分配；

在方案三的基础上，

在HSIA实现了部分SNMP Workstation的功能，在二次DHCP分配过程中，HSIA在完成了用户公网IP地址预留处理后，

HSIA会通过发出SNMP Set指令控制用户IP终端接入的交换机端口关闭，

延时一段时间后，再发出一次SNMP Set指令，

控制用户IP终端接入的交换机端口重新启用，这样就会造成用户IP终端的网络端口产生一次DOWN和再一次UP的事件，由此引发用户IP终端的DHCPClient功能重启发起DHCP Request，用户IP终端收到NAK后，再进而引发一次完整的DHCP分配过程，用户IP终端获得预留的公网IP地址。

本发明的有益效果是：为解决一些完全无法在NAT环境中正使用的特殊应用问题，比如IPSecAH，或者一些VOIP或视频会议应用，本发明，在HSIA上实现特殊二次DHCP分配方式，结合Portal以及SNMP控制交换机端口，用户可以通过Portal的链接引导访问到自助公网IP地址分配页面，点击即可自动获得公网IP地址，完全不需要IT服务人员的人工干预。此外，管理员可以在HSIA后台强制进行二次DHCP分配，以解决一些不支持浏览器的终端的二次DHCP分配，比如IP电话终端。免除IT服务人员手工为用户更改公网IP地址，或者登录酒店公共网络的出口路由器或者宽带接入网关上手工配置Static NAT规则的麻烦，节省公网IP地址资源，减少人工服务时间和成本。

附图说明

图1是实施例1中eFlow PnPGW实现分配流程示意图

图2是实施例2中实现二次DHCP分配流程示意图

图3是实施例3中实现完全自动化的二次DHCP分配的流程示意图

具体实施方式

实施例1

本实施例公开一种自动化的按需动态分配的Static NAT方法，

在私网环境中，可以自动化地为穿越NAT环境困难的VPN应用，比如IPSecESP类型的VPN，或者PPTP VPN分配公网IP地址，动态地生成1∶1的Static NAT规则，保证这些VPN应用能够在NAT环境内使用正常，而不再需要IT服务人员手工为用户更改公网IP地址，或者登录到出口路由器或接入网关设备上手工添加Static NAT规则。

为实现此方式，eFlow PnPGW增加了两个功能模块，一个是VPN会话识别模块，另一个是VPN公网地址池分配以及NAT动态策略模块即VPOOL策略模块。当VPN会话识别模块判别出用户发起的VPN类型属于穿越VPN困难的类型，比如IPSec ESP，或者PPTP，就会发送消息通知VPOOL策略模块请求分配可用的公网IP地址，如果有可用的公网IP地址，那么VPOOL策略模块就取出一个公网IP地址，生成一个1∶1Statci NAT规则，使得被分配的公网IP地址与用户的私网源IP地址建立1∶1的独享映射关系。为充分共享利用有限的公网IP地址，***还具备公网地址资源回收功能，当用户VPN会话终止，或者用户断网时，VPOOL策略模块都将删除用户的Static NAT规则，并且将公网IP地址回收到地址池中。

实施例2

本实施例公开一种二次DHCP分配方法，

当用户电脑或者智能手机、平板电脑等IP终端接入到酒店公共网络时，先通过DHCP获得私网IP地址，当有用户有使用公网地址的需要时，DHCP Server可以实现先预留，再二次分配的步骤使得用户IP终端可以获得公网IP地址，具体实施步骤如下：

用户通过Portal自助方式请求，或者管理员通过后台发送指令，为该用户的MAC地址预留分配一个公网IP地址；

用户按如下方法之一使得用户IP终端的网络端口产生一次DOWN，和一次UP事件：

①对于有线连接，用户IP终端拔线10秒左右，再插线；

②对于无线连接，用户IP终端断开无线连接10秒左右；再重新连接无线；

③直接重新启动IP终端；

用户IP终端的网络端口再次UP以后，会发出DHCP Request请求将上次分配到的未过期的私网地址续租，此时DHCP Server发现该IP终端对应的MAC地址已经被预留了一个新的公网IP地址资源，与用户请求续租的私网IP地址并不匹配，那么直接应答NAK拒绝续租请求；用户IP终端收到NAK会重新再发起一次DHCP分配请求，即发出DHCP Discover请求；

用户IP终端与DHCP Server之间完成一个完成DHCP流程交互，用户IP终端成功获得了预留的公网IP地址。

实施例3

实施例2的二次DHCP分配方法能够解决公网地址自动分配问题，但是在二次分配的过程中，仍然需要用户手工干预，做拔、插网线，或者重新启动电脑。为了增加用户使用的方便性，本实施例在实施例2的基础上，公开一种适用于有线网络连接的全自动化的二次DHCP分配方法，可以免除用户在有线网络中二次分配拔、插网线或者重新启动电脑的麻烦。

本实施例在HSIA实现了部分SNMP Workstation的功能，在二次DHCP过程中，HSIA在完成了用户公网IP地址预留处理后，会通过发出SNMP Set指控制用户接入的交换机端口关闭，延时一段时间后，再发出一次SNMP Set指令控制用户接入的交换机端口重新启用，这样就会造成用户电脑的网络端口产生一次DOWN，再UP的事件，由此引发用户电脑的DHCP Client功能重启发起DHCPRequest，被NAK后，再进而引发一次完整的DHCP分配过程获得公网IP地址。

以上所述仅为本发明的较佳可行实施例，并非因此局限本发明的专利范围，故凡是运用本发明说明书及附图内容所作的等效变化，均包含于本发明的保护范围。

Claims

1.一种公网IP地址资源管理分配方法，网络环境具备DHCP和NAT功能模块、私网IP地址分配环境或者私网和公网IP地址混合分配的功能模块，其特征在于，DHCP功能模块可部署于公共网络的出口路由器、宽带接入网关或者其它二层或三层IP网络设备，NAT功能模块可部署于公共网络的出口路由器、宽带接入网关或者其它三层IP网络设备，并按如下步骤：

A.建立并维护一个公网IP地址池；

B.用户IP终端提出穿越NAT的VPN会话请求；

C.判断该请求是否困难类型：

否则建立共享NAT规则；

2.根据权利要求1所述的公网IP地址资源管理分配方法，其特征在于，在网络环境eFlow PnPGW中，增加了两个模块：VPN会话识别模块和VPOOL策略模块，在所述的步骤C中：

3.根据权利要求1所述的公网IP地址资源管理分配方法，其特征在于，使用HSIA的Portal功能辅助用户实现自助方式的二次DHCP分配；

在所述的步骤C中，生成Static NAT规则后，

在设定的时限内，用户IP终端的网络端口再次产生UP以后，发出DHCPRequest请求将上次分配到的未过期的私网地址续租，

DHCP Server若发现该IP终端对应的MAC地址已经被预留了一个新的公网IP地址资源，与用户请求续租的私网IP地址并不匹配，则直接应答NAK拒绝续租请求；用户IP终端收到NAK应答，重新再发起一次DHCP分配请求，即发出DHCP Discover请求；

4.根据权利要求3所述的公网IP地址资源管理分配方法，其特征在于，可按如下方式之一，使得用户IP终端的网络端口产生一次DOWN和一次UP事件：

①对于有线网络连接，用户IP终端拔线10秒左右，再插线；

③重新启动IP终端。

5.根据权利要求3所述的公网IP地址资源管理分配方法，其特征在于，在二次DHCP分配过程中，HSIA在完成了用户公网IP地址预留处理后，HSIA通过发出SNMP Set指令控制用户IP终端接入的交换机端口关闭，延时一段时间后，再发出一次SNMP Set指令，控制用户IP终端接入的交换机端口重新启用，造成用户IP终端的网络端口产生一次DOWN和再一次UP的事件，引发用户IP终端的DHCP Client功能重启发起DHCP Request，用户IP终端收到NAK后，再引发一次完整的DHCP分配过程，用户IP终端获得预留的公网IP地址。