CN103475746A

CN103475746A - 一种终端服务方法及装置

Info

Publication number: CN103475746A
Application number: CN2013103463369A
Authority: CN
Inventors: 鄢波涛
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2013-08-09
Filing date: 2013-08-09
Publication date: 2013-12-25
Anticipated expiration: 2033-08-09
Also published as: CN103475746B

Abstract

本发明提供一种终端服务方法及对应的装置，应用于网络设备上，该网络设备位于移动终端以及代理服务器之间；其中该方法包括以下步骤：步骤A、接收管理员通过管理通道下发的转换ACL规则并保存，其中该转换ACL规则用于将管理员指定的目的IP地址属于指定网段的IP报文过滤出来；步骤B、检查IP报文是否匹配该转换ACL规则，如果是转步骤C处理；步骤C、将该IP报文的目的IP地址以及目的端口相应转换为指定的代理服务器的IP地址以及指定的端口，然后将该修改后的IP报文发送给该代理服务器。相对于现有技术而言，本发明大大简化了管理员的NAT配置下发的工作，并且管理员维护NAT配置的核对及检查工作同样可以大幅度简化。

Description

一种终端服务方法及装置

技术领域

本发明涉及网络通信领域，尤其涉及一种应用于移动数据业务中的终端服务方法及装置。

背景技术

随着智能手机以及3G等新一代移动通信技术的成熟，移动互联网呈现快速增长的势头。目前很多网络使用者使用移动方式访问互联网应用的时间正在逐步增加。人们正在通过智能手机或类似终端来访问门户网站，使用社交应用，在网络进行购物，使用手机银行进行资金管理等等。

实际上移动用户要想通过移动网络来使用数据业务，必须对移动终端进行相应的配置，用户购置新移动终端之后或者老移动终端的接入配置被清空之后，都需要进行上述接入配置才能使用移动网络。请参考图1的示意，用户通常需要配置代理IP地址以及端口；如果用户需要使用彩信，则还需要配置彩信的代理IP地址。但这种接入配置对于很多用户来说是个挑战，首先IP地址等对于用户而言是没有亲和力的机器语言；此外由于接入点配置中还有很多对普通用户而言很陌生的技术用语，因此用户的使用体验相当糟糕，很多用户需要通过网络或者其他途径来寻求帮助才能完成这样的配置。

发明内容

有鉴于此，本发明提供一种终端服务装置，应用于网络设备上，其中该网络设备位于移动终端以及为移动终端提供代理服务的代理服务器之间，该装置包括：配置处理单元、匹配执行单元以及地址转换单元；其中：

配置处理单元，用于接收管理员通过管理通道下发的转换ACL规则并保存，其中该转换ACL规则用于将管理员指定的目的IP地址属于指定网段的IP报文过滤出来；

匹配执行单元，用于检查IP报文是否匹配该转换ACL规则，如果是，则将该IP报文并提交地址转换单元处理；

地址转换单元，用于将该IP报文的目的IP地址以及目的端口相应转换为指定的代理服务器的IP地址以及指定的端口，然后将该修改后的IP报文发送给该代理服务器。

本发明还提供一种终端服务方法，应用于网络设备上，其中该网络设备位于移动终端以及为移动终端提供代理服务的代理服务器之间；其中该方法包括以下步骤：

步骤A、接收管理员通过管理通道下发的转换ACL规则并保存，其中该转换ACL规则用于将管理员指定的目的IP地址属于指定网段的IP报文过滤出来；

步骤B、检查IP报文是否匹配该转换ACL规则，如果是转步骤C处理；

步骤C、将该IP报文的目的IP地址以及目的端口相应转换为指定的代理服务器的IP地址以及指定的端口，然后将该修改后的IP报文发送给该代理服务器。

相对于现有技术而言，本发明大大简化了管理员的NAT配置下发的工作，并且管理员维护NAT配置的核对及检查工作同样可以大幅度简化。

附图说明

图1是本发明一种典型的应用组网图。

图2是本发明一种实施方式中终端服务装置的逻辑结构图以及其运行的硬件环境架构图。

图3是本发明一种实施方式中终端服务方法的处理流程图。

具体实施方式

目前很多移动运营商都会向用户提供定制手机，用户使用定制手机可以免去手动接入配置的工作，运营商可以在定制手机中将上述接入配置设定好之后将手机交付用户使用。然而事实上有很多用户并没有使用运营商定制手机，尤其是一些大陆地区用户可能去国外或港澳台游玩时购置了手机，然后在大陆地区使用移动运营商提供的移动服务。这种手机上很可能已经有了默认的接入配置，但这些默认接入配置显然是不正确的。比如说，如果用户使用***的服务时，其默认接入配置中的代理IP地址不是***的代理IP地址10.0.0.172，而是国外或港澳台地区运营商的代理IP地址，如10.30.3.151，172.24.128.36，192.168.99.2等等。

部分网络知识丰富的用户会自行修改接入配置中错误的代理IP地址，但依然有很多用户意识不到这样的问题，其可能怀疑网络出现了故障，甚至有些用户会不断投诉运营商的网络服务质量。为了解决上述问题，可以使用一种简单可行的办法，通过管理员手工配置NAT Server（网络地址转换服务器）的方法将这些地址转换10.0.0.172，实现地址纠错。然而这样的方式对于管理员而言是一个头疼的问题，其可能需要不断地手动一条一条地添加各种错误的代理IP地址。

本发明提供一种更加易用的解决方案来解决上述问题。请参考图1以及图2，以软件实现为例，在一种优选的实施方式中，本发明提供一种终端服务装置，其应用在位于移动终端与运营商代理服务器之间的网络设备（通常是移动终端的网关设备）上，该网络设备包括CPU、内存、非易失性存储器以及包括转发芯片在内的其他业务硬件。CPU可以将该对应的计算机程序加载到内存中运行形成该终端服务装置。在逻辑层面，该装置包括：配置处理单元、匹配执行单元以及地址修改单元。请参考图3，该装置运行过程中执行如下方法：

步骤101，配置处理单元接收管理员通过管理通道下发转换ACL规则并保存，其中该转换ACL规则用于将管理员指定的目的IP地址属于指定网段的IP报文过滤出来；

步骤102，匹配执行单元过滤出匹配该转换ACL规则的IP报文；

步骤103，地址转换单元将该IP报文的目的IP地址以及目的端口相应转换为指定的代理服务器的IP地址以及端口，然后将该修改后的IP报文发送给该代理服务器。

请参考表1，若采用前文提到的简单处理方式，管理员需要通过配置处理单元的功能将IP地址以及端口的组合下发到转换配置表的一个表项中。匹配转换单元在处理IP报文时可以先去检查该转换配置表，检查的方式是，如果该IP报文的目的IP地址与目的端口匹配到任意一条表项，那么就将这个IP报文提交给地址转换单元处理。这种方式的问题在于，逐一配置IP地址以及端口的组合可能会造成表项十分庞大。从实际使用的角度出发，当表项多大几十条乃至数百条的时候，管理员很难清晰地了解到转换配置表中到底配置了哪些IP地址及端口的组合，每一次管理员检查转换配置表是都需要花大量时间进行仔细核对。

IP地址	端口
		IP1	P1
IP2	P2
		……	……
IP100	P100
		……	……
IPn	Pn

表1

而在本发明中，转换ACL规则中可以指定具体的网段，这样一来上百条表项中IP地址可以被简单地组合为少数几个网段。发明人通过大量统计分析发现，目前95％以上的用户移动终端内配置的代理服务器的IP地址都集中在10.0.0.0/8、172.16.0.0/16以及192.168.0.0/16这三个网段中，也就是说，基于统计分析发现通过网段进行聚合再配合ACL方式可以极大程度地简化管理员的工作。举例来说，管理员的配置可以简化如下的示例性ACL配置：

[NAT-acl-adv-3000]rule permit ip destination 10.0.0.00.0.0.255

[NAT-acl-adv-3000]rule permit ip destination 172.16.0.00.0.255.255

[NAT-acl-adv-3000]rule permit ip destination 192.168.0.00.0.255.255

[NAT-GigabitEthernet0/0]nat server protocol tcp global 3000 inside10.0.0.172 www

上述几条配置中，前三条是指示哪些网段的IP地址是需要修改的，而最后一条则是表明具体修改的方式。通过本发明的实现方案，管理员的配置工作大大简化，其次，当管理员发现检查其配置过的ACL时，由于配置信息非常简短，其可以快速地了解到已经执行过的配置。当管理员了解到某些终端上出现新的错误的默认代理服务器IP地址时，其可能并不需要进行新的配置，因为这个新的错误的默认代理服务器IP地址可能已经被上述三个网段覆盖到了，管理员甚至可以轻松地凭借记忆就知道这一点。

值得注意的是，在本发明中，并不需要管理员对端口进行任何配置，一旦一个IP报文的目的IP地址匹配到上述转换ACL规则，那么这个报文显然是来自一个有错误接入配置的移动终端，至少其默认代理服务器IP地址是错误的，端口是否错误并不需要关心。这个IP报文被过滤出来之后，地址转换单元会将报文的目的IP地址以及端口统一修改为指定的IP地址以及端口，

无需关心IP报文未修改前的端口是正确还是错误的，反正修改以后的IP报文的目的IP地址和端口肯定是正确的，比如说目的IP地址被修改为10.0.0.172以及端口被修改为80。

在上述实施方式的基础上，本发明还可以与现有技术进行兼容，所述匹配执行单元可以优先检查转换配置表，如果IP报文的目的IP地址以及端口没有匹配任何一个表项，那么继续步骤102的处理。也就是说传统针对单个IP地址与端口组合的检查更加优先。因为管理员在网络设备上配置的表项中有极少数的表项恰好是转换ACL规则无法覆盖到的，因此为了充分利用管理员过往的工作成果，可以优先检查既有的转换配置表，没有匹配再继续检查转换ACL规则是否匹配。

在上述实施方式的基础上，本发明还可以进一步做安全处理。如果一个IP报文的目的IP地址以及端口的组合正确，比如说是10.0.0.172以及80，这个IP报文显然会直接被放行。但是假设IP报文的目的IP地址以及端口的组合是10.0.0.172以及8085，这有可能是错误的接入配置导致的，在一种实施方式中，可以不加理会，通过转换ACL规则将其过滤出来后，由地址转换单元将其修改为正确的IP地址与端口的组合。但是此时由于IP地址是正确的，端口是错误的，其还有可能是攻击者发送的攻击报文，比如说攻击者想进行漏洞扫描的时候就会发送多个目的IP地址是正确的代理服务器IP地址，而端口是变化的多个报文。

由于移动运营商的代理服务器是暴露给所有用户的公共服务，因此为了提高该服务器的安全性，管理员可以下发一个安全ACL规则，这个安全ACL规则可以相对于其他转换ACL规则优先匹配，目标是找出IP地址正确但端口错误的IP报文，匹配执行单元会将这样的IP报文过滤出来提交给重定向处理单元进行处理。重定向处理单元可以将该IP报文重定向到一个指定的服务器上，由该服务器分析发送报文用户的行为，如果发现该行为是攻击行为，服务器可以通知入侵检测等其他前置的安全设备将该用户添加到黑名单中，从而有效地为代理服务器提供安全防护。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种终端服务装置，应用于网络设备上，其中该网络设备位于移动终端以及为移动终端提供代理服务的代理服务器之间，该装置包括：配置处理单元、匹配执行单元以及地址转换单元；其特征在于：

2.如权利要求1所述的装置，其特征在于：

所述配置处理单元，进一步用于接收管理员通过管理通道下发的指定IP地址以及端口的组合，并将该组合作为一条表项保存在转换配置表中；

所述匹配执行单元，进一步先检查该IP报文是否匹配转换配置表中的任何一条表项，如果是则将该IP报文提交给地址转换单元处理，否则继续检查该IP报文是否匹配该转换ACL规则。

3.如权利要求1所述的装置，其特征在于：还包括：重定向处理单元；其中所述配置处理单元，进一步用于接收管理员通过管理通道下发的安全ACL规则；所述匹配执行单元用于在检查IP报文是否匹配转换ACL规则之前，先检查该IP报文是否匹配安全ACL规则，如果是，则将该IP报文提交给重定向处理单元，否则继续；

所述重定向处理单元，用于将该IP报文重定向到指定的服务器上。

4.一种终端服务方法，应用于网络设备上，其中该网络设备位于移动终端以及为移动终端提供代理服务的代理服务器之间；其特征在于，该方法包括以下步骤：

5.如权利要求4所述的方法，其特征在于，所述步骤A进一步包括：

接收管理员通过管理通道下发的指定IP地址以及端口的组合，并将该组合作为一条表项保存在转换配置表中；

所述步骤B进一步包括：

优先检查该IP报文是否匹配转换配置表中的任何一条表项，如果是则转步骤C处理，否则继续检查该IP报文是否匹配该转换ACL规则。

6.如权利要求4所述的方法，其特征在于：

所述步骤A进一步包括：

接收管理员通过管理通道下发的安全ACL规则；

所述步骤B进一步包括：

在检查IP报文是否匹配转换ACL规则之前，先检查该IP报文是否匹配安全ACL规则，如果是，则将将该IP报文重定向到指定的服务器上，否则继续。