CN103516820A - 基于mac地址的端口映射方法和装置 - Google Patents

Abstract

本发明公开了一种基于MAC地址的端口映射方法，包括：配置内部主机的端口映射信息；接收到包括内部主机的MAC地址的访问请求报文后，根据端口映射信息，获取MAC地址对应的IP地址；根据IP地址和端口映射信息，映射端口。本发明还提供了相应的基于MAC地址的端口映射装置。本发明所提供的基于MAC地址的端口映射方法和装置，只需要配置内部网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

Description

基于MAC地址的端口映射方法和装置

技术领域

本发明涉及到通信技术领域，特别涉及到一种基于MAC地址的端口映射方法和装置。

背景技术

在一个典型的IPV4接入网络中，CPE（Customer Premise Epuipment，客户终端设备）或网关以及路由器等终端设备都拥有一个Internet公网地址，而内部网络的各个主机对Internet是不可见的，他们使用私网地址，并由CPE的NAT（Network Address Translation，网络地址转换）功能统一把私网地址转换成公网地址以完成和外部Internet的通信。为了使通常的Internet业务（如HTTP、FTP等）能在内部网络主机上应用，就需要在CPE上执行端口映射（Port  forwarding）功能。端口映射是通过配置规则把外部请求访问的目的地址和端口转换成内部地址和端口，而不改变外部请求报文的源地址和端口。当然，也可以通过UPnP (Universal Plug and Play protocol)协议动态的完成端口映射功能的配置。

为了防止恶意攻击，内部网络主机中通常安装有防火墙，而防火墙需要禁止外部网络对内部网络业务应用的访问权限。因此，在IPv6接入网络中，如果需要访问部署在防火墙后面的内部网络的主机或服务器，同样可以使用端口映射功能来完成。这样，不仅限制了外部网络的任意访问，而且可以隐藏内部网络服务的端口信息，能够使用非明文端口开放外部访问权限，加强了内部网络的安全性。

然而，在一个IPv4/IPv6双栈的网络***中，由于需要将IPv4和IPv6地址分开，并且一个设备上通常可以存在多个IPv6全局地址，这样，就为端口映射功能的配置带来了极大的不方便，需要根据IPv4和IPv6地址分别进行配置，使得端口映射功能的实现较为繁琐，且不能够为用户带来较好的体验。

发明内容

本发明的主要目的为提供一种基于MAC地址的端口映射方法和装置，旨在简化端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

本发明提供一种基于MAC地址的端口映射方法，包括：

配置内部主机的端口映射信息；

接收到包括内部主机的MAC地址的访问请求报文后，根据所述端口映射信息，获取所述MAC地址对应的IP地址；

根据所述IP地址和所述端口映射信息，映射端口。

优选地，所述端口映射信息至少包括以下之一：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口。

优选地，所述根据端口映射信息，获取所述MAC地址对应的IP地址包括：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地址进行转换，获取所述MAC地址对应的IP地址。

优选地，所述根据IP地址和所述端口映射信息，映射端口包括：

获取内部主机的MAC地址对应的IP地址后，根据所述端口映射信息，建立连接跟踪会话；

根据所述连接跟踪会话，通过端口转换模块将对外部开放的端口映射到所述内部主机的端口上。

优选地，在执行所述根据IP地址和所述端口映射信息，映射端口之前，还包括：

根据所述端口映射信息，判断是否存在连接跟踪会话；

若存在，则根据所述连接跟踪会话，映射端口。

本发明还提供一种基于MAC地址的端口映射装置，包括：

配置模块，用于配置内部主机的端口映射信息；

地址获取模块，用于接收到包括内部主机的MAC地址的访问请求报文后，根据所述端口映射信息，获取所述MAC地址对应的IP地址；

第一端口映射模块，用于根据所述IP地址和所述端口映射信息，映射端口。

优选地，所述端口映射信息至少包括以下之一：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口。

优选地，所述地址获取模块用于：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地址进行转换，获取所述MAC地址对应的IP地址。

优选地，所述第一端口映射模块包括：

会话建立单元，用于获取内部主机的MAC地址对应的IP地址后，根据所述端口映射信息，建立连接跟踪会话；

映射单元，用于根据所述连接跟踪会话，通过端口转换模块将对外部开放的端口映射到所述内部主机的端口上。

优选地，基于MAC地址的端口映射装置还包括：

判断模块，用于根据所述端口映射信息，判断是否存在连接跟踪会话；

第二端口映射模块，用于若存在，则根据所述连接跟踪会话，映射端口。

本发明通过对内部主机的配置端口映射信息进行配置，并在接收到外部的访问请求报文后，根据其中所包括的内部主机的MAC地址以及端口映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和端口映射信息，完成端口映射功能。采用这种方法，只需要配置内部网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

附图说明

图1为本发明基于MAC地址的端口映射方法一实施例的流程示意图；

图2为本发明基于MAC地址的端口映射方法中映射端口一实施例的流程示意图；

图3为本发明基于MAC地址的端口映射方法再一实施例的流程示意图；

图4为本发明基于MAC地址的端口映射装置一实施例的结构示意图；

图5为本发明基于MAC地址的端口映射装置中第一端口映射模块的结构示意图；

图6为本发明基于MAC地址的端口映射装置再一实施例的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明基于MAC地址的端口映射方法一实施例的流程示意图。

该方法包括：

步骤S10，配置内部主机的端口映射信息；

在本实施例中，所提供的基于MAC地址的端口映射方法，可以应用在IPV4接入网络或IPV6接入网络中，也可以应用在IPV4 /IPV6双协议栈的接入网络中，通常将其用于具有防火墙功能的路由网关设备尤其是家庭网关中。在IPV4接入网络中，由于无线终端接入设备有一个用于完成和外部Internet通信的公网地址，而内部网络的各个主机则使用私网地址；而在IPV6接入网络中，通常使用防火墙来禁止外部网络对内部网络的访问权限。这就需要端口映射功能，来实现外部网络对内部网络的访问。

由于处于无线网络中的每个主机都拥有唯一的MAC地址，用户可根据一定的MAC映射策略，对内部主机的端口映射信息进行配置，即将端口映射信息配置进内核。在本实施例中，端口映射信息通常可以包括：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口等。配置结束后，将用户所配置的端口映射信息进行保存，从而在内核中，将内部主机的MAC地址与IP地址进行转换。在本实施例中，以所应用的网络环境为IPV4 /IPV6双协议栈的接入网络为例，这样，就需要分别在IPV4协议栈和IPV6协议栈中，根据MAC映射策略，学习并维护内部主机的MAC地址与IP地址的对应关系，并且将内部主机的MAC地址与IP地址的对应关系分别保存在地址对应列表mac_ipv4_list和mac_ipv6_list中。

步骤S20，接收到包括内部主机的MAC地址的访问请求报文后，根据端口映射信息，获取MAC地址对应的IP地址；

当外部主机请求访问某一内部主机时，会发送一个访问请求报文，这个访问请求报文中包含所需要访问的内部主机的MAC地址。当接收到这个访问请求报文后，根据其中的MAC地址，以及用户所配置的端口映射信息，在内核中获取该内部主机的的MAC地址所对应的IP地址。在本实施例中，在IPV4协议栈和IPV6协议栈中，根据访问请求报文中的内部主机的MAC地址，便可以在地址对应列表mac_ipv4_list和mac_ipv6_list中分别进行查找，获取该MAC地址对应的IP地址。

步骤S30，根据IP地址和端口映射信息，映射端口。

当根据访问请求报文中的MAC地址获取到其对应的IP地址后，根据这个IP地址，以及用户所配置的端口映射信息，即根据当前接入网络环境中的协议类型、内部主机的监听端口和端口类型、内部主机中的具体的目的主机以及该目的主机上的目的端口等信息，完成端口映射。

本发明实施例，通过对内部主机的配置端口映射信息进行配置，并在接收到外部的访问请求报文后，根据其中所包括的内部主机的MAC地址以及端口映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和端口映射信息，完成端口映射功能。采用这种方法，只需要配置内部网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

参照图2，图2为本发明基于MAC地址的端口映射方法中映射端口一实施例的流程示意图。

在本实施例中，步骤S30包括：

步骤S31，获取内部主机的MAC地址对应的IP地址后，根据端口映射信息，建立连接跟踪会话；

步骤S32，根据连接跟踪会话，通过端口转换模块将对外部开放的端口映射到内部主机的端口上。

本实施例中，以在IPV4协议栈和IPV6协议栈中分别进行说明：

一、在IPV4协议栈中，假设外部主机的源IP地址为10.10.10.10，源端口为Z；无线终端接入设备的IP地址为10.10.10.1，其对外开放的端口为Y；而目的内部主机的目标IP地址为192.168.1.2，目的端口为X。

当接收到外部主机发送的访问请求报文，并根据其中的MAC地址在mac_ipv4_list列表中查找到该MAC地址对应的IP地址后，首先建立conntrack（连接跟踪）会话记录，然后利用CPE设备已有的NAT（NetworkAddress Translation，网络地址转换）功能模块进行MAC地址与IP地址之间的转换；最终根据经过NAT转换后所得的IP地址，更新conntrack会话记录，进一步完成源端口Z与目的端口X之间的转换，从而实现外部主机与内部主机之间的通信。本实施例中，如果在mac_ipv4_list列表中查找MAC地址对应的IP地址失败，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，就可以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntrack会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话	10.10.10.10：[Z] → 10.10.10.1：[Y]
		映射转换后会话	10.10.10.10：[Z] → 192.168.1.2：[X]

二、在IPV6协议栈中，假设外部主机的源IP地址为2001:db8::b，源端口为Z；无线终端接入设备对外开放的端口为Y；而目的内部主机的目标IP地址为2001:db8::a，目的端口为X。

当接收到外部主机发送的访问请求报文后，根据其中的MAC地址，在mac_ipv6_list列表中查找MAC地址与IP地址的对应关系是否存在，并在查找到存在对应关系时，进行端口映射功能的转换，并修改访问请求报文的目的端口信息，将目的端口信息转发到内部网络主机。然后，建立conntrack（连接跟踪）会话，根据conntrack会话，完成源端口Z与目的端口X之间的转换，即可实现外部主机与内部主机之间的通信。本实施例中，如果在mac_ipv6_list列表中没有查找到MAC地址与IP地址的对应关系，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，就可以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntrack会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话	2001:db8::b  [Z] → 2001:db8::a [Y]
		映射转换后会话	2001:db8::b  [Z] → 2001:db8::a [X]

在IPV4协议栈和IPV6协议栈中，接收到的访问请求报文后，分别在地址对应列表mac_ipv4_list和mac_ipv6_list中查找到内部主机的MAC地址对应的IP地址后，根据端口映射信息，建立连接跟踪会话，并根据连接跟踪会话，完成端口映射功能。这样，就进一步保证了只需要配置内部网络中的内部主机的MAC地址，即可以完成该内部主机对应的端口映射功能。从而进一步为简化端口映射功能的配置过程，使端口映射功能的实现较为简单提供了保证。

参照图3，图3为本发明基于MAC地址的端口映射方法再一实施例的流程示意图。

在本实施例中，在执行步骤S30之前，还包括：

步骤S40，根据端口映射信息，判断是否存在连接跟踪会话；当存在时，进入步骤S41；若不存在，则执行步骤S30；

步骤S41，映射端口。

在根据外部发送的访问请求报文中包含的内部主机的MAC地址，在地址对应列表mac_ipv4_list或mac_ipv6_list中获取到MAC地址所对应的IP地址后，首先根据用户所配置的包括协议类型、监听端口、端口类型、目的主机以及目的端口等信息的端口映射信息，判断当前是否已经存在conntrack（连接跟踪）会话。如果判断出已经存在conntrack会话，则直接根据conntrack会话，完成端口映射功能，并转发数据到内部主机，就可以实现外部主机与内部主机之间的通信。

在根据外部发送的访问请求报文中包含内部主机的MAC地址获取到MAC地址所对应的IP地址后，首先根据用户所配置端口映射信息，判断当前是否已经存在conntrack会话，并在判断出存在时，直接根据conntrack会话，完成端口映射功能。这样，就更进一步保证了能够使端口映射功能的实现较为简单，并且更进一步保证了能够为用户带来较好的体验。

参照图4，图4为本发明基于MAC地址的端口映射装置一实施例的结构示意图。该装置包括：

配置模块10，用于配置内部主机的端口映射信息；

地址获取模块20，用于接收到包括内部主机的MAC地址的访问请求报文后，根据端口映射信息，获取MAC地址对应的IP地址；

第一端口映射模块30，用于根据IP地址和端口映射信息，映射端口。

在本实施例中，所提供的基于MAC地址的端口映射装置，可以应用在IPV4接入网络或IPV6接入网络中，也可以应用在IPV4 /IPV6双协议栈的接入网络中，通常将其用于具有防火墙功能的路由网关设备尤其是家庭网关中。在IPV4接入网络中，由于无线终端接入设备有一个用于完成和外部Internet通信的公网地址，而内部网络的各个主机则使用私网地址；而在IPV6接入网络中，通常使用防火墙来禁止外部网络对内部网络的访问权限。这就需要端口映射功能，来实现外部网络对内部网络的访问。

由于处于无线网络中的每个主机都拥有唯一的MAC地址，用户可根据一定的MAC映射策略，通过配置模块10对内部主机的端口映射信息进行配置，即将端口映射信息配置进内核。在本实施例中，端口映射信息通常可以包括：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口等。配置结束后，将用户所配置的端口映射信息进行保存，从而在内核中，将内部主机的MAC地址与IP地址进行转换。在本实施例中，以所应用的网络环境为IPV4 /IPV6双协议栈的接入网络为例，这样，就需要分别在IPV4协议栈和IPV6协议栈中，根据MAC映射策略，学习并维护内部主机的MAC地址与IP地址的对应关系，并且将内部主机的MAC地址与IP地址的对应关系分别保存在地址对应列表mac_ipv4_list和mac_ipv6_list中。

当外部主机请求访问某一内部主机时，会发送一个访问请求报文，这个访问请求报文中包含所需要访问的内部主机的MAC地址。当接收到这个访问请求报文后，地址获取模块20根据其中的MAC地址，以及用户所配置的端口映射信息，在内核中获取该内部主机的的MAC地址所对应的IP地址。在本实施例中，在IPV4协议栈和IPV6协议栈中，根据访问请求报文中的内部主机的MAC地址，便可以在地址对应列表mac_ipv4_list和mac_ipv6_list中分别进行查找，获取该MAC地址对应的IP地址。

当根据访问请求报文中的MAC地址获取到其对应的IP地址后，第一端口映射模块30根据这个IP地址，以及用户所配置的端口映射信息，即第一端口映射模块30根据当前接入网络环境中的协议类型、内部主机的监听端口和端口类型、内部主机中的具体的目的主机以及该目的主机上的目的端口等信息，完成端口映射。

本发明实施例，通过对内部主机的配置端口映射信息进行配置，并在接收到外部的访问请求报文后，根据其中所包括的内部主机的MAC地址以及端口映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和端口映射信息，完成端口映射功能。采用这种方法，只需要配置内部网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

参照图5，图5为本发明基于MAC地址的端口映射装置中第一端口映射模块的结构示意图。

在本实施例中，第一端口映射模块30包括：

会话建立单元31，用于获取内部主机的MAC地址对应的IP地址后，根据端口映射信息，建立连接跟踪会话；

映射单元32，用于根据连接跟踪会话，通过端口转换模块将对外部开放的端口映射到所述内部主机的端口上。

本实施例中，以在IPV4协议栈和IPV6协议栈中分别进行说明：

一、在IPV4协议栈中，假设外部主机的源IP地址为10.10.10.10，源端口为Z；无线终端接入设备的IP地址为10.10.10.1，其对外开放的端口为Y；而目的内部主机的目标IP地址为192.168.1.2，目的端口为X。

当接收到外部主机发送的访问请求报文，并根据其中的MAC地址在mac_ipv4_list列表中查找到该MAC地址对应的IP地址后，会话建立单元31首先建立conntrack（连接跟踪）会话记录，然后利用CPE设备已有的NAT（Network Address Translation，网络地址转换）功能模块进行MAC地址与IP地址之间的转换；最终根据经过NAT转换后所得的IP地址，更新conntrack会话记录，映射单元32进一步完成源端口Z与目的端口X之间的转换，从而实现外部主机与内部主机之间的通信。本实施例中，如果在mac_ipv4_list列表中查找MAC地址对应的IP地址失败，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，映射单元32就可以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntrack会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话	10.10.10.10：[Z] → 10.10.10.1：[Y]
		映射转换后会话	10.10.10.10：[Z] → 192.168.1.2：[X]

二、在IPV6协议栈中，假设外部主机的源IP地址为2001:db8::b，源端口为Z；无线终端接入设备对外开放的端口为Y；而目的内部主机的目标IP地址为2001:db8::a，目的端口为X。

当接收到外部主机发送的访问请求报文后，根据其中的MAC地址，在mac_ipv6_list列表中查找MAC地址与IP地址的对应关系是否存在，并在查找到存在对应关系时，进行端口映射功能的转换，并修改访问请求报文的目的端口信息，将目的端口信息转发到内部网络主机。然后，会话建立单元31建立conntrack（连接跟踪）会话，映射单元32根据conntrack会话，完成源端口Z与目的端口X之间的转换，即可实现外部主机与内部主机之间的通信。本实施例中，如果在mac_ipv6_list列表中没有查找到MAC地址与IP地址的对应关系，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，映射单元32就可以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntrack会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话	2001:db8::b  [Z] → 2001:db8::a [Y]
		映射转换后会话	2001:db8::b  [Z] → 2001:db8::a [X]

在IPV4协议栈和IPV6协议栈中，接收到的访问请求报文后，分别在地址对应列表mac_ipv4_list和mac_ipv6_list中查找到内部主机的MAC地址对应的IP地址后，根据端口映射信息，建立连接跟踪会话，并根据连接跟踪会话，完成端口映射功能。这样，就进一步保证了只需要配置内部网络中的内部主机的MAC地址，即可以完成该内部主机对应的端口映射功能。从而进一步为简化端口映射功能的配置过程，使端口映射功能的实现较为简单提供了保证。

参照图6，图6为本发明基于MAC地址的端口映射装置再一实施例的结构示意图。

在本实施例中，该装置还包括：

判断模块40，用于根据端口映射信息，判断是否存在连接跟踪会话；

第二端口映射模块50，用于若存在，则根据连接跟踪会话，映射端口。

在根据外部发送的访问请求报文中包含的内部主机的MAC地址，在地址对应列表mac_ipv4_list或mac_ipv6_list中获取到MAC地址所对应的IP地址后，判断模块40首先根据用户所配置的包括协议类型、监听端口、端口类型、目的主机以及目的端口等信息的端口映射信息，判断当前是否已经存在conntrack（连接跟踪）会话。如果判断出已经存在conntrack会话，则第二端口映射模块50直接根据conntrack会话，完成端口映射功能，并转发数据到内部主机，就可以实现外部主机与内部主机之间的通信。

在根据外部发送的访问请求报文中包含内部主机的MAC地址获取到MAC地址所对应的IP地址后，首先根据用户所配置端口映射信息，判断当前是否已经存在conntrack会话，并在判断出存在时，直接根据conntrack会话，完成端口映射功能。这样，就更进一步保证了能够使端口映射功能的实现较为简单，并且更进一步保证了能够为用户带来较好的体验。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围。

Claims (10)

1.一种基于MAC地址的端口映射方法，其特征在于，包括：

配置内部主机的端口映射信息；

接收到包括内部主机的MAC地址的访问请求报文后，根据所述端口映射信息，获取所述MAC地址对应的IP地址；

根据所述IP地址和所述端口映射信息，映射端口。

2.如权利要求1所述的方法，其特征在于，所述端口映射信息至少包括以下之一：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口。

3.如权利要求2所述的方法，其特征在于，所述根据端口映射信息，获取所述MAC地址对应的IP地址包括：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地址进行转换，获取所述MAC地址对应的IP地址。

4.如权利要求3所述的方法，其特征在于，所述根据IP地址和所述端口映射信息，映射端口包括：

获取内部主机的MAC地址对应的IP地址后，根据所述端口映射信息，建立连接跟踪会话；

根据所述连接跟踪会话，通过端口转换模块将对外部开放的端口映射到所述内部主机的端口上。

5.如权利要求1所述的方法，其特征在于，在执行所述根据IP地址和所述端口映射信息，映射端口之前，还包括：

根据所述端口映射信息，判断是否存在连接跟踪会话；

若存在，则根据所述连接跟踪会话，映射端口。

6.一种基于MAC地址的端口映射装置，其特征在于，包括：

配置模块，用于配置内部主机的端口映射信息；

地址获取模块，用于接收到包括内部主机的MAC地址的访问请求报文后，根据所述端口映射信息，获取所述MAC地址对应的IP地址；

第一端口映射模块，用于根据所述IP地址和所述端口映射信息，映射端口。

7.如权利要求6所述的方法，其特征在于，所述端口映射信息至少包括以下之一：内部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目的端口。

8.如权利要求7所述的装置，其特征在于，所述地址获取模块用于：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地址进行转换，获取所述MAC地址对应的IP地址。

9.如权利要求8所述的装置，其特征在于，所述第一端口映射模块包括：

会话建立单元，用于获取内部主机的MAC地址对应的IP地址后，根据所述端口映射信息，建立连接跟踪会话；

映射单元，用于根据所述连接跟踪会话，通过端口转换模块将对外部开放的端口映射到所述内部主机的端口上。

10.如权利要求6所述的装置，其特征在于，还包括：

判断模块，用于根据所述端口映射信息，判断是否存在连接跟踪会话；

第二端口映射模块，用于若存在，则根据所述连接跟踪会话，映射端口。

Images