CN110650222B - 一种网络访问方法及装置 - Google Patents

Abstract

本发明实施例提供了一种网络访问方法及装置，涉及网络通信技术领域，其中，上述方法包括：获得用户设备请求访问广域网的报文，作为原始报文；在原始报文外，嵌套以第一地址为源地址、且以虚拟地址为目的地址的第一外层报文，得到对原始报文进行隧道封装的第一隧道报文，第一地址为：第一设备在局域网内的地址；通过网络隧道向第二设备发送第一隧道报文，以使得第二设备根据第一隧道报文向广域网发送原始报文，网络隧道为：第一地址与虚拟地址间的隧道；接收第二设备发送的原始报文的响应报文。应用本发明实施例提供的方案进行网络访问，从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备时，可以访问广域网。

Description

一种网络访问方法及装置

技术领域

本发明涉及网络通信技术领域，特别是涉及一种网络访问方法及装置。

背景技术

由于网络安全问题、广域网IP(InternetProtocol，互联网协议)地址资源限制等原因，网络设备一般是工作在局域网中的，局域网内的网络设备被划分到不同的设备集群中。例如，公司内部局域网中，网络设备可以按所在的设备机房划分到不同的设备集群中。为了满足局域网中的用户设备对广域网的访问需求，局域网中不同的用户设备通常将请求访问广域网的报文发送到自身所在的设备集群中、具有源地址转换功能的设备，具有源地址转换功能的设备将上述报文的源地址由局域网内地址转换为广域网地址，并将进行地址转换后的报文发送到广域网，从而实现局域网中的用户设备对广域网的访问。

但是上述方法只有在用户设备所在的设备集群中存在具有源地址转换功能的设备时才可以使用，当用户设备所在的设备集群中不存在具有源地址转换功能的设备时，用户设备无法使用上述方法访问广域网。

发明内容

本发明实施例的目的在于提供一种网络访问方法及装置，以使得局域网中的用户设备在自身所在的设备集群中不存在具有源地址转换功能的设备时可以访问广域网。具体技术方案如下：

第一方面，一种网络访问方法，应用于第一设备，所述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在所述局域网内对应同一虚拟地址，所述方法包括：

获得用户设备请求访问广域网的报文，作为原始报文；

在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；

通过网络隧道向所述第二设备发送所述第一隧道报文，以使得所述第二设备根据所述第一隧道报文向广域网发送所述原始报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

接收所述第二设备发送的所述原始报文的响应报文。

本发明的一个实施例中，在所述在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文之前，还包括：

检测第一地址与所述虚拟地址之间是否存在网络隧道；

若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；

向所述第二设备发送所述第一隧道地址与所述第二隧道地址；

根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

本发明的一个实施例中，在所述在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文之前，还包括：

获得用户设备请求访问广域网的网络访问需求；

根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

向所述第二设备发送所述网络访问规则。

本发明的一个实施例中，所述接收所述第二设备发送的所述原始报文的响应报文，包括：

接收所述第二设备发送的第二隧道报文，其中，所述第二隧道报文为：所述第二设备在原始报文的响应报文外、嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文后、得到的对所述响应报文进行隧道封装的隧道报文；

解除所述第二隧道报文外层的所述第二外层报文，得到所述响应报文。

第二方面，本发明实施例提供了一种网络访问方法，应用于第二设备，所述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在所述局域网内对应同一虚拟地址，所述方法包括：

接收所述局域网内的第一设备通过网络隧道发送的第一隧道报文，其中，所述第一隧道报文为：所述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文后、得到的对所述原始报文进行隧道封装的隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；

将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；

向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；

接收来自所述广域网的所述响应报文；

向所述第一设备发送所述响应报文。

本发明的一个实施例中，所述向所述第一设备发送所述响应报文，包括：

在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；

向所述第一设备发送所述第二隧道报文。

本发明的一个实施例中，在所述解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文之后，还包括：

检测所述原始报文是否满足所述用户设备对应的预设的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

若为是，执行所述将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文的步骤。

第三方面，本发明实施例提供了一种网络访问装置，应用于第一设备，所述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在所述局域网内对应同一虚拟地址，所述装置包括：

原始报文获得模块，用于获得用户设备请求访问广域网的报文，作为原始报文；

隧道封装模块，用于在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；

第一报文发送模块，用于通过网络隧道向所述第二设备发送所述第一隧道报文，以使得所述第二设备根据所述第一隧道报文向广域网发送所述原始报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

第一报文接收模块，用于接收所述第二设备发送的所述原始报文的响应报文。

本发明的一个实施例中，所述装置还包括：

网络隧道检测模块，用于检测第一地址与所述虚拟地址之间是否存在网络隧道；

隧道地址分配模块，用于若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；

隧道地址发送模块，用于向所述第二设备发送所述第一隧道地址与所述第二隧道地址；

网络隧道建立模块，用于根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

本发明的一个实施例中，所述装置还包括：

访问需求获得模块，用于获得用户设备请求访问广域网的网络访问需求；

访问规则生成模块，用于根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

访问规则发送模块，用于向所述第二设备发送所述网络访问规则。

本发明的一个实施例中，所述第一报文接收模块，具体用于：

接收所述第二设备发送的第二隧道报文，其中，所述第二隧道报文为：所述第二设备在原始报文的响应报文外、嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文后、得到的对所述响应报文进行隧道封装的隧道报文；

解除所述第二隧道报文外层的所述第二外层报文，得到所述响应报文。

第四方面，本发明实施例提供了一种网络访问装置，应用于第二设备，所述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在所述局域网内对应同一虚拟地址，所述装置包括：

第二报文接收模块，用于接收所述局域网内的第一设备通过网络隧道发送的第一隧道报文，其中，所述第一隧道报文为：所述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文后、得到的对所述原始报文进行隧道封装的隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

隧道解封装模块，用于解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；

源地址转换模块，用于将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；

第二报文发送模块，用于向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；

第三报文接收模块，用于接收来自所述广域网的所述响应报文；

第三报文发送模块，用于向所述第一设备发送所述响应报文。

本发明的一个实施例中，所述第三报文发送模块，具体用于：

在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；

向所述第一设备发送的第二隧道报文。

本发明的一个实施例中，所述装置还包括：

访问规则检测模块，用于检测所述原始报文是否满足生成所述原始报文的用户设备对应的预设的网络访问规则，若为是则触发所述源地址转换模块，所述网络访问规则为：判断报文能否被发送到广域网的规则。

第五方面，本发明实施例提供了一种网络访问***，所述***包括：第一设备和第二设备，所述第二设备具有源地址转换功能，所述第一设备与第二设备位于同一局域网中，所有第二设备在所述局域网内对应同一虚拟地址；其中，

所述第一设备，用于获得用户设备请求访问广域网的报文，作为原始报文；在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；通过网络隧道向所述第二设备发送所述第一隧道报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

所述第二设备，用于接收所述局域网内的第一设备通过网络隧道发送的所述第一隧道报文；解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；接收来自所述广域网的所述响应报文；向所述第一设备发送所述响应报文；

所述第一设备，还用于接收所述第二设备发送的所述原始报文的响应报文。

本发明的一个实施例中，所述第一设备，还用于在得到对所述原始报文进行隧道封装的第一隧道报文之前，检测第一地址与所述虚拟地址之间是否存在网络隧道；若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；向所述第二设备发送所述第一隧道地址与所述第二隧道地址；根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

本发明的一个实施例中，所述第一设备，还用于在得到对所述原始报文进行隧道封装的第一隧道报文之前，获得用户设备请求访问广域网的网络访问需求；根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；向所述第二设备发送所述网络访问规则；

所述第二设备，还用于在所述解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文之后，检测所述原始报文是否满足所述用户设备对应的预设的网络访问规则；若为是，执行所述将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文的步骤。

本发明的一个实施例中，所述第二设备，具体用于在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；向所述第一设备发送所述第二隧道报文；

所述第一设备，具体用于接收所述第二设备发送的所述第二隧道报文；解除第二隧道报文外层的所述第二外层报文，得到所述响应报文。

第六方面，本发明实施例提供了一种电子设备，所述电子设备作为第一设备，所述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在所述局域网内对应同一虚拟地址，所述第一设备包括：处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现第一方面任一所述的方法步骤。

第七方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第一方面任一所述的方法步骤。

第八方面，本发明实施例提供了一种电子设备，所述电子设备作为第二设备，所述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在所述局域网内对应同一虚拟地址，所述第二设备包括：处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现第二方面任一所述的方法步骤。

第九方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第二方面任一所述的方法步骤。

第十方面，本发明实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面任一所述的方法步骤。

第十一方面，本发明实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第二方面任一所述的方法步骤。

本发明实施例有益效果：

应用本发明实施例提供的方案进行网络访问时，第一设备获得用户设备请求访问广域网的报文，通过第一设备在局域网中的地址与具有源地址转换功能的第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。

图1为本发明实施例提供的第一种网络访问方法的流程示意图；

图2为本发明实施例提供的一种网络访问***示意图；

图3为本发明实施例提供的第二种网络访问方法的流程示意图；

图4为本发明实施例提供的第三种网络访问方法的流程示意图；

图5为本发明实施例提供的第四种网络访问方法的流程示意图；

图6为本发明实施例提供的第五种网络访问方法的流程示意图；

图7为本发明实施例提供的一种网络访问***信令流程示意图；

图8为本发明实施例提供的一种网络访问装置的结构示意图；

图9为本发明实施例提供的另一种网络访问装置的结构示意图；

图10为本发明实施例提供的一种网络访问***的结构示意图；

图11为本发明实施例提供的一种电子设备的结构示意图；

图12为本发明实施例提供的另一种电子设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

由于现有技术中当用户设备所在的设备集群中不存在具有源地址转换功能的设备时，用户设备无法使用上述方法访问广域网，为解决这一技术问题，本发明实施例提供了一种网络访问方法及装置。

本发明的一个实施例中，提供了一种网络访问方法，该方法应用于第一设备，上述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在上述局域网内对应同一虚拟地址。

具体的，上述方法包括：

获得用户设备请求访问广域网的报文，作为原始报文。

在上述原始报文外，嵌套以第一地址为源地址、且以上述虚拟地址为目的地址的第一外层报文，得到对上述原始报文进行隧道封装的第一隧道报文。

其中，上述第一地址为：上述第一设备在上述局域网内的地址。

通过网络隧道向上述第二设备发送上述第一隧道报文，以使得上述第二设备根据上述第一隧道报文向广域网发送上述原始报文，上述网络隧道为：第一地址与上述虚拟地址间的隧道。

接收上述第二设备发送的上述原始报文的响应报文。

应用本实施例提供的方案进行网络访问时，第一设备获得用户设备请求访问广域网的报文，通过第一设备在局域网中的地址与具有源地址转换功能的第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

本发明的另一个实施例中，提供了另一种网络访问方法，该方法应用于第二设备，上述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在上述局域网内对应同一虚拟地址。

具体的，上述方法包括：

接收上述局域网内的第一设备发送的第一隧道报文。

其中，上述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以上述虚拟地址为目的地址的第一外层报文后、得到的对上述原始报文进行隧道封装的隧道报文，其中，上述第一地址为：上述第一设备在上述局域网内的地址。

解除上述第一隧道报文外层的上述第一外层报文，得到上述原始报文。

将上述原始报文的源地址转换为上述第二设备用于访问广域网的端口地址，得到广域网访问报文。

向广域网发送上述广域网访问报文，以使得上述广域网内的设备根据上述广域网访问报文生成上述原始报文的响应报文。

接收来自上述广域网的上述响应报文。

向上述第一设备发送上述响应报文。

应用本实施例提供的方案进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过解除第一隧道报文外层的第一外层报文，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

下面通过具体实施例对本发明实施例提供的网络访问方法及装置进行说明。

首先，结合图1和图2对本发明实施例提供的网络访问方法进行说明。

图1为本发明实施例提供的第一种网络访问方法的流程示意图，该方法应用于第一设备，上述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在上述局域网内对应同一虚拟地址。

上述局域网内可以包含一个第二设备，也可以包含多个第二设备。

从各个第二设备具有源地址转换功能这一角度来讲，可以认为上述第二设备形成了一个设备集群。这一设备集群中可能包含一个第二设备，也可能包含多个第二设备。

图2为本发明实施例提供的一种网络访问***示意图。

具体的，上述方法包括以下步骤S101-S104。

S101：获得用户设备请求访问广域网的报文，作为原始报文。

其中，上述第一设备可以是请求访问广域网的用户设备，这种情况下，上述原始报文为上述用户设备生成的报文，上述原始报文的源地址可以为第一地址在网络隧道中对应的第一隧道地址，或上述第一地址，目的地址为请求访问的广域网设备的地址。

上述第一设备还可以是与上述用户设备相连的服务器、路由器或其他网络设备，这种情况下，通过接收上述用户设备发送的原始报文，获得上述原始报文，上述原始报文的源地址可以为上述第一地址，目的地址为请求访问的广域网设备的地址。

例如，参见图2，设备E1为上述第一设备，R1为与上述第一设备相连的路由器。

另外，上述设备集群可以为第二设备通过ECMP(Equal Cost Multi-Path，等价路由协议)组成的设备集群。上述设备集群中的第二设备在局域网中具有相同的虚拟地址。

例如，上述第二设备可以为SNAT(Source Network Address Translation，源地址转换服务器)，或其他设备，上述ECMP可以为OSPF(Open Shortest Path First，开放式最短路径优先协议)、BGP(Border Gateway Protocol，边界网关协议)或其他协议。

例如，参见图2，S1、S2、S3为3个第二设备，由上述S1、S2、S3组成上述设备集群，R2为与S1、S2、S3相连的路由器，VIP为上述虚拟地址，其中，上述S1、S2、S3的虚拟地址彼此相同，例如，可以为图中的10.15.207.1。

S102：在上述原始报文外，嵌套以第一地址为源地址、且以上述虚拟地址为目的地址的第一外层报文，得到对上述原始报文进行隧道封装的第一隧道报文。

具体的，上述在原始报文外，嵌套以第一地址为源地址、且以上述虚拟地址为目的地址的第一外层报文的过程，也称为对上述原始报文进行隧道封装的过程。

其中，上述第一地址为：上述第一设备在上述局域网内的地址。

例如，参见图2，第一设备在局域网中的第一地址为10.121.85.23，第一隧道地址为192.168.88.1/30，第二隧道地址为192.168.88.2/30，图中设备E1与S1之间、E1与S2之间、E1与S3之间的虚线表示上述网络隧道，设备E1与R1之间、R1与R2之间、R2与S1之间、R2与S2之间、R2与S3之间、S1与E2之间、S2与E2之间、S3与E2之间的实线表示设备之间的网络连接。

具体的，第一设备获得上述原始报文后，可以从原始报文中解析出目的地址。在上述目的地址为广域网地址的情况下，若第一设备不具有广域网访问功能，则无法直接向上述目的地址发送上述原始报文。为此，需要对上述原始报文进行隧道封装，生成原始报文对应的隧道报文，为便于描述，可以将该隧道报文称为第一隧道报文。然后由局域网内设备将上述第一隧道报文转发至具有广域网访问功能的第二设备，并由该第二设备将第一隧道报文对应的原始报文发送到上述目的地址。

由于上述第一设备中存储着报文的目的地址、第二隧道地址与第一设备隧道接口的对应关系，这样在生成第一隧道报文后，可以根据上述对应关系与原始报文的目的地址，确定发送上述第一隧道报文时使用的第一设备隧道接口、下一跳设备的地址。然后使用所确定的接口向下一跳设备的地址发送上述第一隧道报文。

其中，上述第一设备隧道接口为：第一设备与第二设备之间的网络隧道在第一设备端的接口。

例如，参见图2，第一设备E1的路由表的一个路由表项中包含以下信息间的对应关系：

目的地址：公网地址“59.37.97.124”；

下一跳设备的地址：“192.168.88.2/30”；

第一设备隧道接口。

在第一设备E1获得原始报文后，原始报文的目的地址为“59.37.97.124”，属于广域网地址，对上述原始报文进行隧道封装，生成第一隧道报文。根据上述路由表项和“59.37.97.124”可知，下一跳设备的地址为“192.168.88.2/30”，则使用上述第一设备隧道接口向“192.168.88.2/30”发送第一隧道报文。

具体的，上述对原始报文进行隧道封装时，可以在上述原始报文外，嵌套以使用上述第一地址作为源地址，使用上述虚拟地址作为目的地址的报文，这样可以使得报文在保留原始报文的源地址与目的地址的情况下，在上述网络隧道中进行传输。

S103：通过网络隧道向上述第二设备发送上述第一隧道报文，以使得上述第二设备根据上述第一隧道报文向广域网发送上述原始报文。

其中，上述第二设备为设备集群中的一台设备，上述网络隧道为：第一地址与上述虚拟地址间的隧道。

具体的，第一设备向第二设备发送第一隧道报文时，可以借助路由器将上述第一隧道报文转发至第二设备。这种情况下，上述路由器接收到上述第一隧道报文后，根据第一隧道报文的目的地址和路由器自身路由表内的路由表项，查找第一隧道报文的下一跳设备的地址，向下一跳设备转发第一隧道报文，直至第一隧道报文到达上述第二设备。

基于上述情况，可以认为，上述网络隧道是从第一设备经过路由器到达第二设备的隧道。

由于最终只需要一台设备根据上述第一隧道报文向广域网发送上述原始报文即可，又由于上述第二设备为设备集群中的一台设备，且设备集群中的第二设备具有相同的虚拟地址，所以，需要在第二设备中进行选择，然后由被选中的第二设备完成向广域网发送报文的步骤。

其中，上述被选中的第二设备可以为：由上述设备集群中的各个设备或者与上述设备集群中的设备通信连接的路由器，根据ECMP，在设备集群中选择的一台设备。

具体的，第一设备向上述被选中的第二设备发送上述第一隧道报文的过程中，第一隧道报文在局域网中会经过多次路由转发，然后到达上述被选中的第二设备。

S104：接收上述第二设备发送的上述原始报文的响应报文。

由前述S103可知，最终根据上述第一隧道报文向广域网发送原始报文的是第二设备，所以广域网中的设备获得上述原始报文，并生成原始报文的响应报文后，可以向上述第二设备发送上述响应报文。上述第二设备接收到上述响应报文后，可以将上述原始报文的响应报文发送到上述第一设备。

应用上述实施例提供的方案进行网络访问时，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

另外，应用上述实施例提供的方案进行网络访问时，由于局域网内具有源地址转换功能的第二设备形成集群后，可以在整个局域网内共享使用，这样避免了在局域网中增加新的具有源地址转换功能的设备，从而节省了网络建设成本。

再者，由于仅仅只有局域网内的部分设备有用于访问广域网的端口，因此实现了用于访问广域网的端口与局域网内计算设备的分离，优化了局域网的网络结构，降低了局域网复杂度。

本发明的一个实施例中，对于上述步骤S104，可以通过上述网络隧道接收上述响应报文，具体的，可以参见步骤A-步骤B所示的方法。

步骤A：接收上述第二设备发送的第二隧道报文。

由前述S103可知，最终根据上述第一隧道报文向广域网发送原始报文的是第二设备，所以广域网中的设备获得上述原始报文，并生成原始报文的响应报文后，可以向上述第二设备发送上述响应报文。上述第二设备接收到上述响应报文后，可以在上述响应报文外，嵌套以上述虚拟地址为源地址、且以上述第一地址为目的地址的第二外层报文，得到对上述原始报文的响应报文进行隧道封装的第二隧道报文，并将上述第二隧道报文发送到上述第一设备，从而使得上述第一设备接收到上述第二隧道报文。

步骤B：解除上述第二隧道报文外层的上述第二外层报文，得到上述响应报文。

具体的，上述解除上述第二隧道报文外层的上述第二外层报文，得到上述响应报文的过程，即为对上述第二隧道报文进行隧道解封装的过程。

本发明的另一个实施例中，对于上述步骤S104，还可以通过上述第一设备的第一地址，通过第一设备与第二设备之间的网络连接直接接收上述响应报文。

本发明的一个实施例中，参见图3，提供了第二种网络访问方法的流程示意图，应用于上述第一设备，在上述S102步骤之前，还包括：

S105：检测第一地址与上述虚拟地址之间是否存在网络隧道。

S106：若不存在上述网络隧道，则为上述第一地址分配第一隧道地址，并为上述虚拟地址分配第二隧道地址。

本发明的一个实施例中，可以从存储着未被使用的隧道地址的隧道资源数据库中分配上述第一隧道地址与第二隧道地址，并可以将第一隧道地址、第一地址、第二隧道地址与虚拟地址存储到隧道管理数据库中。

若存在上述网络隧道，则直接执行上述步骤S102。

S107：向上述第二设备发送上述第一隧道地址与上述第二隧道地址。

通过向上述第二设备发送上述第一隧道地址与上述第二隧道地址，使得第一设备与第二设备均获得第一隧道第二隧道地址。

具体的，参见图2，可以使用第一设备与第二设备之间的网络连接，向上述第二设备发送上述第一隧道地址与上述第二隧道地址。

S108：根据上述第一隧道地址和第二隧道地址，建立上述第一地址与虚拟地址间的网络隧道。

其中，网络隧道为上述第一设备隧道接口与第二设备隧道接口之间的网络隧道。

第一设备隧道接口为：第一设备的接口中用于与第二设备建立网络隧道的接口。

第二设备隧道接口为：第二设备的接口中用于与第一设备建立网络隧道的接口。

上述网络隧道可以为GRE(Generic Routing Encapsulation，通用路由封装协议)隧道，或其他隧道，上述网络隧道适用于基于HTTP(Hyper Text Transfer Protocol，超文本传输协议)、ICMP(Internet Control Message Protocol，控制报文协议)、TCP(Transmission Control Protocol，传输控制协议)、UDP(User Datagram Protocol，用户数据报协议)的应用协议，或其他协议。

由于上述设备集群中各个第二设备的虚拟地址相同，而且上述网络隧道为上述第一地址与各个设备的虚拟地址之间的网络隧道，并且根据上述虚拟地址分配的第二隧道地址也彼此相同，因此上述各个网络隧道彼此相同，例如，参见图2，由于图中设备S1、S2、S3的虚拟地址相同，因此3条网络隧道中对应上述虚拟地址的第二隧道地址相同，并且3条网络隧道中对应上述第一地址的第一隧道地址也相同，因此3条网络隧道相同。

由以上可见，本实施例提供的方案中，通过第一设备分配第一隧道地址与第二隧道地址，从而建立第一地址与虚拟地址之间的网络隧道，使得上述第一设备与上述第二设备向彼此发送的报文经过路由器时，路由器可以根据路由表中记录的虚拟地址与隧道地址之间的对应关系，或第一地址与隧道地址之间的对应关系进行路由转发。从而使得上述第一设备可以在报文外，嵌套以上述第一地址为源地址、且以虚拟地址为目的地址的第一外层报文，对报文进行隧道封装，从而使用网络隧道向上述第二设备发送第一隧道报文。同时，上述第二设备也可以在报文外，嵌套以上述第一地址为目的地址、且以虚拟地址为源地址的第二外层报文，对报文进行隧道封装，从而使用网络隧道向上述第一设备发送第二隧道报文。

本发明的一个实施例中，参见图4，提供了第三种网络访问方法的流程示意图，应用于上述第一设备，在上述S102步骤之前，还包括：

S109：获得用户设备请求访问广域网的网络访问需求。

本发明的一个实施例中，当上述第一设备为请求访问广域网的用户设备时，上述网络访问需求可以通过接收用户输入的网络访问需求信息生成。

当上述第一设备为与上述用户设备相连的服务器时，上述网络访问需求可以通过接收上述用户设备发送的网络访问需求获得。

其中，上述网络访问需求可以包括第一设备访问广域网预计的带宽需求、需要访问的广域网地址范围、用于访问广域网的端口需求或其他访问需求中的一个或多个。

例如，上述带宽需求可以为1M/s、2M/s等，上述广域网地址范围可以为59.37.97.0到59.37.98.0等，上述用于访问广域网的端口需求可以为使用固定的具有源地址转换功能的设备的用于访问广域网的端口进行广域网访问，如，参见图2，可以固定使用设备S1的用于访问广域网的端口进行广域网访问。

S110：根据上述网络访问需求生成与用户设备对应的网络访问规则。

其中，上述网络访问规则为：判断报文能否被发送到广域网的规则。

具体的，上述网络访问规则针对上述第一设备发送的报文，可以包括第一设备访问广域网的带宽需求、报文的广域网地址范围、用于访问广域网的端口需求等。

S111：向上述第二设备发送上述网络访问规则。

具体的，向上述第二设备发送上述用户设备对应的网络访问规则，因此，当第二设备接收到上述第一设备发送的第一隧道报文时，都可以检测第一隧道报文中的原始报文是否符合上述网络访问规则。

由以上可见，本实施例提供的方案中，根据不同用户设备访问广域网的访问需求生成不同网络访问规则，并发送到设备集群中的各个第二设备中，因此不同用户设备在访问广域网时需要遵循的访问规则各不相同，从而使得第二设备对不同用户设备发送的报文进行不同的管理，实现局域网中不同用户设备访问广域网遵循规则的多样性。

图5为本发明实施例提供的第四种网络访问方法的流程示意图，应用于第二设备，上述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在上述局域网内对应同一虚拟地址，该方法包括以下步骤S501-S506。

S501：接收上述局域网内的第一设备通过网络隧道发送的第一隧道报文。

其中，上述第一设备与上述第二设备位于同一局域网中，上述第一设备可以是请求访问广域网的用户设备，还可以是与上述用户设备相连的服务器、路由器或其他网络设备。

其中，上述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以上述虚拟地址为目的地址的第一外层报文后、得到的对上述原始报文进行隧道封装的隧道报文。其中，上述第一地址为：上述第一设备在上述局域网内的地址，上述网络隧道为：第一地址与上述虚拟地址间的隧道。

由于最终只需要设备集群中的一台第二设备根据上述第一隧道报文向广域网发送上述原始报文即可，又由于上述设备集群中包含的第二设备具有相同的虚拟地址，所以，需要在设备集群中的第二设备中进行选择，然后由被选中的第二设备完成向广域网发送报文的步骤。

其中，上述被选中的第二设备可以为：由上述设备集群中的各个设备或者与上述设备集群中的设备通信连接的路由器，根据ECMP，在设备集群中选择的一台设备。

S502：解除上述第一隧道报文外层的上述第一外层报文，得到上述原始报文。

S503：将上述原始报文的源地址转换为上述第二设备的用于访问广域网的端口地址，得到广域网访问报文。

其中，上述第二设备可以包含一个或多个用于访问广域网的端口，从而具有一个或多个用于访问广域网的端口地址，上述用于访问广域网的端口、用于访问广域网的端口地址、用于访问广域网的端口的带宽访问速度等信息可以存储到广域网端口数据库中。

例如，参见图2，WIP为上述S1、S2、S3的用于访问广域网的端口地址，上述S1、S2、S3的用于访问广域网的端口地址彼此不同，例如，可以为图中S1对应的用于访问广域网的端口地址为101.227.17.139、S2对应的用于访问广域网的端口地址为101.227.17.140、S3对应的用于访问广域网的端口地址为101.227.17.141。

若上述第二设备为S1，设备S1具有一个用于访问广域网的端口，则将原始报文的源地址转换为S1的用于访问广域网的端口地址“101.227.17.139”，得到广域网访问报文。

S504：向广域网发送上述广域网访问报文，以使得上述广域网内的设备根据上述广域网访问报文生成上述原始报文的响应报文。

其中，响应报文的源地址为广域网内设备的广域网地址，目的地址为第二设备的用于访问广域网的端口地址。

例如，参见图2，E2为广域网设备，广域网设备的广域网地址为59.37.97.124，上述响应报文的目的地址可以为设备S1的用于访问广域网的端口地址“101.227.17.139”。

S505：接收来自上述广域网的上述响应报文。

S506：向上述第一设备发送上述响应报文。

本发明的一个实施例中，可以通过上述网络隧道，发送上述响应报文。

具体的，在上述响应报文外，嵌套以上述虚拟地址为源地址、且以上述第一地址为目的地址的第二隧道报文，得到对上述响应报文进行隧道封装的第二隧道报文，并向上述第一设备发送第二隧道报文。

第二设备获得原始报文的响应报文后，可以从上述响应报文中解析出目的地址。上述目的地址对应的第一设备与上述第二设备之间存在网络隧道，因此可以通过网络隧道将上述响应报文发送到上述第一设备。

具体的，可以对上述响应报文进行隧道封装，生成响应报文对应的隧道报文，为便于描述，可以将该隧道报文称为第二隧道报文。然后由局域网内设备将上述第二隧道报文转发至第一设备。

由于上述第二设备中存储着报文的目的地址、第一隧道地址与第二设备隧道接口的对应关系，这样在生成第二隧道报文后，可以根据上述对应关系与响应报文的目的地址，确定发送上述第二隧道报文时使用的第二设备隧道接口、下一跳设备的地址。然后使用所确定的接口向下一跳设备的地址发送上述第二隧道地址。

其中，上述第二设备隧道接口为：第二设备与第一设备之间的网络隧道在第二设备端的接口。

例如，参见图2，若第一设备E1为用户设备，以设备集群中的设备S1代表上述第二设备，第二设备S1的路由表的一个路由表项中包含以下信息间的对应关系：

目的地址：第一设备E1的局域网地址“10.121.85.23”；

下一跳设备的地址：“192.168.88.1/30”；

第二设备隧道接口。

在第二设备S1获得响应报文后，响应报文的目的地址为“10.121.85.23”，对上述响应报文进行隧道封装，生成第二隧道报文。根据上述路由表项和“10.121.85.23”可知，下一跳设备的地址为“192.168.88.1/30”，则使用上述第二设备隧道接口向“192.168.88.1/30”发送第二隧道报文。

另外，上述第二设备向上述第一设备发送报文时也可以通过上述网络隧道发送第二隧道报文。可以借助路由器将上述第二隧道报文转发至第一设备。这种情况下，上述路由器接收到上述第二隧道报文后，根据第二隧道报文的目的地址和路由器自身路由表内的路由表项，查找第二隧道报文的下一跳设备的地址，向下一跳设备转发第二隧道报文，直至第二隧道报文到达上述第一设备。

本发明的另一个实施例中，还可以以第一设备的第一地址为目的地址，通过第一设备与第二设备之间的网络连接，直接向上述第一设备发送上述响应报文。

应用上述实施例提供的方案进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过对第一隧道报文进行隧道解封装，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备的用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

与此同时，由于上述设备集群中的设备使用ECMP为设备集群中的设备分配相同的虚拟地址，并且由于虚拟地址相同，因此根据上述虚拟地址分配的隧道地址也相同。因此当设备集群中添加设备时，可以为添加的设备分配与设备集群中的其他设备相同的虚拟地址。从而提高了设备集群的可扩展性。

再者，由上述设备集群中的各个设备或者与上述设备集群相连的路由器，根据ECMP选中的第二设备用于接收上述第一设备发送的第一隧道地址。因此当设备集群中添加、去除设备，或设备出现故障时，上述设备集群中的各个设备或者与上述设备集群相连的路由器，依旧可以根据上述ECMP选中上述第二设备。因此在设备集群中添加、去除设备或设备出现故障的情况，均不影响网络访问***的使用，从而增加了设备集群的可伸缩性、可用性，并且保证了单个设备故障不影响用户的正常公网访问。

本发明的一个实施例中，参见图6，提供了第五种网络访问方法的流程示意图，应用于上述第二设备，在上述S502步骤之后，还包括：

S507：检测上述原始报文是否满足生成上述原始报文的用户设备对应的预设的网络访问规则，若上述原始报文满足上述网络访问规则，则执行上述步骤S503。

其中，上述网络访问规则为：判断报文能否被发送到广域网的规则。

本发明的一个实施例中，上述第二设备可以根据上述用户设备对应的网络访问规则、上述广域网端口数据库中存储的上述第二设备的用于访问广域网的端口数据，检测上述原始报文是否符合上述网络访问规则，并为上述原始报文分配用于访问广域网的端口。

若上述原始报文不满足上述网络访问规则，则结束上述网络访问过程。

由以上可见，本实施例提供的方案中，上述第二设备通过网络访问规则对用户设备请求访问广域网的原始报文进行检测，只有满足对应的用户设备的访问规则的原始报文才可以通过源地址转换功能进行源地址转换，并被发送到广域网中。因此用户设备只能按照上述网络访问规则的规定访问广域网，实现了对用户设备访问广域网过程的管理。

下面再结合图2和图7，通过具体实例对本发明实施例提供的网络访问方法进行说明。

参见图7，提供了本发明实施例的一种网络访问***信令流程示意图，该图示出了第一设备与第二设备的操作步骤，与第一设备与第二设备之间的信令发送与接收关系。

结合图2所示的网络访问***示意图，本发明的一个实施例中，当用户设备请求访问广域网中的网站时，例如“www.iqiyi.com”，用户设备通过域名***进行域名解析，获得上述网站对应的地址，如“59.37.97.124”。若上述第一设备为与用户设备相连的路由器、服务器等设备，则用户设备可以以用户设备的地址“10.121.85.23”为源地址，以上述网站的地址“59.37.97.124”为目的地址，生成请求访问广域网的原始报文。若上述第一设备为用户设备，则用户设备可以以上述第一隧道地址“192.168.88.1/30”为源地址，以上述网站的地址“59.37.97.124”为目的地址，生成请求访问广域网的原始报文。

其中，上述域名***可以运行在用户设备中、运行在用户设备所在的局域网中具有域名解析功能的设备中，或运行在广域网中具有域名解析功能的设备中。

具体的，当上述域名***运行在广域网中具有域名解析功能的设备中时，用户设备可以经由网络隧道，通过具有源地址转换功能的设备向上述具有域名解析功能的设备发送域名解析请求，并接收上述域名的地址。

当上述域名***运行在用户设备中时，用户设备可以直接使用上述域名***获得上述域名的地址。

当上述域名***运行在局域网中具有域名解析功能的设备中时，用户设备可以通过局域网内的网络连接，向上述具有域名解析功能的设备发送域名解析请求，并接收上述域名的地址。

如图7所示，上述第一设备获得用户设备的原始报文，在原始报文外部，嵌套以图2中所示的上述第一地址“10.121.85.23”为源地址、虚拟地址“10.15.207.1”为目的地址的第一外层报文，得到对原始报文进行隧道封装的第一隧道报文，并将第一隧道报文发送到第二设备。

上述第二设备接收上述第一隧道报文，对第一隧道报文进行隧道解封装，获得上述原始报文。将上述原始报文的源地址转换为第二设备的广域网端口地址，例如，参见图2，若上述第二设备为设备S1，则将原始报文的源地址转换为“101.227.17.139”，获得广域网访问报文，则广域网访问报文的源地址为“101.227.17.139”，目的地址为“59.37.97.124”。

上述第二设备向广域网发送上述广域网访问报文，“www.iqiyi.com”网站的服务器接收到上述原始报文后，生成上述原始报文的响应报文，例如，参见图2上述响应报文的源地址为网站“www.iqiyi.com”的地址“59.37.97.124”，目的地址为设备S1的用于访问广域网的端口地址“101.227.17.139”。

“www.iqiyi.com”网站的服务器向上述第二设备发送上述响应报文。

上述第二设备接收到响应报文后，将上述响应报文的目的地址进行转换。当上述第一设备为用户设备时，可以将上述响应报文的目的地址转换为上述第一隧道地址，当上述第一设备为与用户设备相连的路由器、服务器或其他设备时，可以将上述响应报文的目的地址转换为上述第一设备的局域网地址，并将转换地址后的上述响应报文发送到第一设备。

例如，参见图2，若上述E1为用户设备，则可以将上述响应报文的目的地址转换为第一隧道地址“192.168.88.1/30”，若上述E1为与用户设备相连的路由器、服务器或其他设备时，可以将上述响应报文的目的地址转换为用户设备的局域网地址“10.121.85.23”。

这样第一设备接收到上述转换地址后的响应报文，从而完成了对“www.iqiyi.com”网站的访问。

与上述网络访问方法相对应，应用于第一设备，本发明实施例还提供了一种网络访问装置。

参见图8，提供了一种网络访问装置的结构示意图，应用于第一设备，该装置包括：

原始报文获得模块801，用于获得用户设备请求访问广域网的报文，作为原始报文；

隧道封装模块802，在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；

第一报文发送模块803，用于通过网络隧道向所述第二设备发送所述第一隧道报文，以使得所述第二设备根据所述第一隧道报文向广域网发送所述原始报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

第一报文接收模块804，用于接收所述第二设备发送的所述原始报文的响应报文。

本发明的一个实施例中，上述第一报文接收模块804，具体用于：

接收所述第二设备发送的第二隧道报文，其中，所述第二隧道报文为：所述第二设备在原始报文的响应报文外、嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文后、得到的对所述响应报文进行隧道封装的隧道报文；

解除所述第二隧道报文外层的所述第二外层报文，得到所述响应报文。

由以上可见，本实施例提供的一个方案中，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与具有源地址转换功能的第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

本发明的一个实施例中，上述网络访问装置，应用于第一设备还包括：

网络隧道检测模块，用于检测第一地址与所述虚拟地址之间是否存在网络隧道；

隧道地址分配模块，用于若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；

隧道地址发送模块，用于向所述第二设备发送所述第一隧道地址与所述第二隧道地址；

网络隧道建立模块，用于根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

由以上可见，本实施例提供的方案中，通过第一设备分配第一隧道地址与第二隧道地址，从而建立第一地址与虚拟地址之间的网络隧道，使得上述第一设备与上述第二设备向彼此发送的报文经过路由器时，路由器可以根据路由表中记录的虚拟地址与隧道地址之间的对应关系，或第一地址与隧道地址之间的对应关系进行路由转发。从而使得上述第一设备可以在报文外，嵌套以上述第一地址为源地址、且以虚拟地址为目的地址的第一外层报文，对报文进行隧道封装，从而使用网络隧道向上述第二设备发送第一隧道报文。同时，上述第二设备也可以在报文外，嵌套以上述第一地址为目的地址、且以虚拟地址为源地址的第二外层报文，对报文进行隧道封装，从而使用网络隧道向上述第一设备发送第二隧道报文。

本发明的一个实施例中，上述网络访问装置，应用于第一设备还包括：

访问需求获得模块，用于获得用户设备请求访问广域网的网络访问需求；

访问规则生成模块，用于根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

访问规则发送模块，用于向所述第二设备发送所述网络访问规则。

由以上可见，本实施例提供的方案中，根据不同用户设备访问广域网的访问需求生成不同网络访问规则，并发送到第二设备中，因此不同用户设备在访问广域网时需要遵循的访问规则各不相同，从而使得第二设备对不同用户设备发送的报文进行不同的管理，实现局域网中不同用户设备访问广域网遵循规则的多样性。

与上述网络访问方法相对应，应用于第二设备，本发明实施例还提供了另一种网络访问装置。

参见图9，提供了另一种网络访问装置的结构示意图，应用于第二设备，该装置包括：

第二报文接收模块901，用于通过网络隧道接收所述局域网内的第一设备发送的第一隧道报文，其中，所述第一隧道报文为：所述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文后、得到的对所述原始报文进行隧道封装的隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

隧道解封装模块902，解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；

源地址转换模块903，用于将所述原始报文的源地址转换为所述第二设备的用于访问广域网的端口地址，得到广域网访问报文；

第二报文发送模块904，用于向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；

第三报文接收模块905，用于接收来自所述广域网的所述响应报文；

第三报文发送模块906，用于向所述第一设备发送所述响应报文。

本发明的一个实施例中，上述第三报文发送模块906，具体用于：

在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；

向所述第一设备发送的第二隧道报文。

应用上述实施例提供的方案进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过对第一隧道报文进行隧道解封装，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备的用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

本发明的一个实施例中，应用于第二设备，上述网络访问装置还包括：

访问规则检测模块，用于检测所述原始报文是否满足生成所述原始报文的用户设备对应的预设的网络访问规则，若为是则触发所述源地址转换模块，所述网络访问规则为：判断报文能否被发送到广域网的规则。

由以上可见，本实施例提供的方案中，上述第二设备通过网络访问规则对用户设备请求访问广域网的原始报文进行检测，只有满足对应的用户设备的访问规则的原始报文才可以通过源地址转换功能进行源地址转换，并被发送到广域网中。因此用户设备只能按照上述网络访问规则的规定访问广域网，实现了对用户设备访问广域网过程的管理。

参见图10，提供了一种网络访问***的结构示意图，所述***包括：第一设备1001和第二设备1002，所述第二设备1002具有源地址转换功能，所述第一设备1001与第二设备1002位于同一局域网中，所有第二设备1002在所述局域网内对应同一虚拟地址；其中，

所述第一设备1001，用于获得用户设备请求访问广域网的报文，作为原始报文；在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备1001在所述局域网内的地址；通过网络隧道向所述第二设备1002发送所述第一隧道报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

所述第二设备1002，用于接收所述局域网内的第一设备1001通过网络隧道发送的所述第一隧道报文；解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；将所述原始报文的源地址转换为所述第二设备1002用于访问广域网的端口地址，得到广域网访问报文；向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；接收来自所述广域网的所述响应报文；向所述第一设备1001发送所述响应报文；

所述第一设备1001，还用于接收所述第二设备1002发送的所述原始报文的响应报文。

本发明的一个实施例中，所述第一设备1001，还用于在得到对所述原始报文进行隧道封装的第一隧道报文之前，检测第一地址与所述虚拟地址之间是否存在网络隧道；若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；向所述第二设备1002发送所述第一隧道地址与所述第二隧道地址；根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

本发明的一个实施例中，所述第一设备1001，还用于在得到对所述原始报文进行隧道封装的第一隧道报文之前，获得用户设备请求访问广域网的网络访问需求；根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；向所述第二设备1002发送所述网络访问规则；

所述第二设备1002，还用于在所述解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文之后，检测所述原始报文是否满足所述用户设备对应的预设的网络访问规则；若为是，执行所述将所述原始报文的源地址转换为所述第二设备1002用于访问广域网的端口地址，得到广域网访问报文的步骤。

本发明的一个实施例中，所述第二设备1002，具体用于在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；向所述第一设备1001发送所述第二隧道报文；

所述第一设备1001，具体用于接收所述第二设备1002发送的所述第二隧道报文；解除第二隧道报文外层的所述第二外层报文，得到所述响应报文。

应用上述实施例提供的方案进行网络访问时，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

与上述网络访问方法相对应，本发明实施例还提供了一种电子设备，上述设备作为第一设备，上述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在上述局域网内对应同一虚拟地址，如图11所示，上述第一设备包括：处理器1101、通信接口1102、存储器1103和通信总线1104，其中，处理器1101，通信接口1102，存储器1103通过通信总线1104完成相互间的通信，

存储器1103，用于存放计算机程序；

处理器1101，用于执行存储器1103上所存放的程序时，实现上述网络访问方法实施例所述的方法步骤。

第一设备应用本发明实施例提供的一个方案进行网络访问时，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

与上述网络访问方法相对应，应用于上述第一设备，在本发明提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一网络访问方法实施例所述的方法步骤。

执行本实施例提供的计算机可读存储介质中存储的计算机程序进行网络访问时，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

与上述网络访问方法相对应，在本发明提供的又一实施例中，应用于上述第一设备，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一网络访问方法。

执行本实施例提供的计算机程序产品进行网络访问时，第一设备获得用户设备请求访问广域网的报文后，通过第一设备在局域网中的地址与第二设备的虚拟地址之间的网络隧道，将报文发送到上述第二设备。上述第二设备可以将报文中的局域网内的地址转换为广域网地址，进而将报文发送到广域网设备。同时，上述第一设备可以接收上述第二设备发送的来自广域网设备的响应报文。从而在用户设备所在的设备集群中不存在具有源地址转换功能的设备的情况下，可以实现对广域网的访问。

与上述网络访问方法相对应，本发明实施例还提供了另一种电子设备，上述电子设备作为第二设备，上述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在上述局域网内对应同一虚拟地址，如图12所示，上述第二设备包括：处理器1201、通信接口1202、存储器1203和通信总线1204，其中，处理器1201，通信接口1202，存储器1203通过通信总线1204完成相互间的通信，

存储器1203，用于存放计算机程序；

处理器1201，用于执行存储器1203上所存放的程序时，实现上述网络访问方法实施例所述的方法步骤。

第二设备应用本发明实施例提供的一个方案进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过对第一隧道报文进行隧道解封装，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备的用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

与上述网络访问方法相对应，应用于上述第二设备，在本发明提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一网络访问方法实施例所述的方法步骤。

执行本实施例提供的计算机可读存储介质中存储的计算机程序进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过对第一隧道报文进行隧道解封装，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备的用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

与上述网络访问方法相对应，在本发明提供的又一实施例中，应用于上述第二设备，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一网络访问方法。

执行本实施例提供的计算机程序产品进行网络访问时，第二设备接收第一设备发送的第一隧道报文，通过对第一隧道报文进行隧道解封装，获得用户设备的原始报文，并将原始报文的源地址转换为第二设备的用于访问广域网的端口地址，向广域网发送。通过接收并向第一设备发送原始报文的响应报文，从而协助用户设备进行广域网访问。

上述第一设备、第二设备提到的通信总线可以是外设部件互连标准(PeripheralComponent Interconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、***、电子设备、计算机可读存储介质和计算机程序产品实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (11)

1.一种网络访问方法，其特征在于，应用于第一设备，所述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在所述局域网内对应同一虚拟地址，所述方法包括：

获得用户设备请求访问广域网的报文，作为原始报文；

在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；

通过网络隧道向所述第二设备发送所述第一隧道报文，以使得所述第二设备解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文，并向广域网发送所述原始报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

接收所述第二设备发送的所述原始报文的响应报文。

2.根据权利要求1所述的方法，其特征在于，在所述得到对所述原始报文进行隧道封装的第一隧道报文之前，还包括：

检测第一地址与所述虚拟地址之间是否存在网络隧道；

若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；

向所述第二设备发送所述第一隧道地址与所述第二隧道地址；

根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

3.根据权利要求1所述的方法，其特征在于，在所述得到对所述原始报文进行隧道封装的第一隧道报文之前，还包括：

获得用户设备请求访问广域网的网络访问需求；

根据所述网络访问需求生成与用户设备对应的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

向所述第二设备发送所述网络访问规则。

4.根据权利要求1、2或3所述的方法，其特征在于，所述接收所述第二设备发送的所述原始报文的响应报文，包括：

接收所述第二设备发送的第二隧道报文，其中，所述第二隧道报文为：所述第二设备在原始报文的响应报文外、嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文后，得到的对所述响应报文进行隧道封装的隧道报文；

解除所述第二隧道报文外层的所述第二外层报文，得到所述响应报文。

5.一种网络访问方法，其特征在于，应用于第二设备，所述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在所述局域网内对应同一虚拟地址，所述方法包括：

接收所述局域网内的第一设备通过网络隧道发送的第一隧道报文，其中，所述第一隧道报文为：所述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文后、得到的对所述原始报文进行隧道封装的隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；

将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；

向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；

接收来自所述广域网的所述响应报文；

向所述第一设备发送所述响应报文。

6.根据权利要求5所述的方法，其特征在于，所述向所述第一设备发送所述响应报文，包括：

在所述响应报文外，嵌套以所述虚拟地址为源地址、且以所述第一地址为目的地址的第二外层报文，得到对所述响应报文进行隧道封装的第二隧道报文；

向所述第一设备发送所述第二隧道报文。

7.根据权利要求5或6所述的方法，其特征在于，在所述解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文之后，还包括：

检测所述原始报文是否满足所述用户设备对应的预设的网络访问规则，所述网络访问规则为：判断报文能否被发送到广域网的规则；

若为是，执行所述将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文的步骤。

8.一种网络访问装置，其特征在于，应用于第一设备，所述第一设备所在局域网内具有源地址转换功能的第二设备，所有第二设备在所述局域网内对应同一虚拟地址，所述装置包括：

原始报文获得模块，用于获得用户设备请求访问广域网的报文，作为原始报文；

隧道封装模块，用于在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；

第一报文发送模块，用于通过网络隧道向所述第二设备发送所述第一隧道报文，以使得所述第二设备解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文，并向广域网发送所述原始报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

第一报文接收模块，用于接收所述第二设备发送的所述原始报文的响应报文。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

网络隧道检测模块，用于检测第一地址与所述虚拟地址之间是否存在网络隧道；

隧道地址分配模块，用于若不存在所述网络隧道，则为所述第一地址分配第一隧道地址，并为所述虚拟地址分配第二隧道地址；

隧道地址发送模块，用于向所述第二设备发送所述第一隧道地址与所述第二隧道地址；

网络隧道建立模块，用于根据所述第一隧道地址和第二隧道地址，建立所述第一地址与虚拟地址间的网络隧道。

10.一种网络访问装置，其特征在于，应用于第二设备，所述第二设备为：与第一设备位于同一局域网中的具有源地址转换功能的设备，所有第二设备在所述局域网内对应同一虚拟地址，所述装置包括：

第二报文接收模块，用于接收所述局域网内的第一设备通过网络隧道发送的第一隧道报文，其中，所述第一隧道报文为：所述第一设备在用户设备请求访问广域网的原始报文外、嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文后、得到的对所述原始报文进行隧道封装的隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

隧道解封装模块，用于解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；

源地址转换模块，用于将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；

第二报文发送模块，用于向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；

第三报文接收模块，用于接收来自所述广域网的所述响应报文；

第三报文发送模块，用于向所述第一设备发送所述响应报文。

11.一种网络访问***，其特征在于，所述***包括：第一设备和第二设备，所述第二设备具有源地址转换功能，所述第一设备与第二设备位于同一局域网中，所有第二设备在所述局域网内对应同一虚拟地址；其中，

所述第一设备，用于获得用户设备请求访问广域网的报文，作为原始报文；在所述原始报文外，嵌套以第一地址为源地址、且以所述虚拟地址为目的地址的第一外层报文，得到对所述原始报文进行隧道封装的第一隧道报文，其中，所述第一地址为：所述第一设备在所述局域网内的地址；通过网络隧道向所述第二设备发送所述第一隧道报文，所述网络隧道为：第一地址与所述虚拟地址间的隧道；

所述第二设备，用于接收所述局域网内的第一设备通过网络隧道发送的所述第一隧道报文；解除所述第一隧道报文外层的所述第一外层报文，得到所述原始报文；将所述原始报文的源地址转换为所述第二设备用于访问广域网的端口地址，得到广域网访问报文；向广域网发送所述广域网访问报文，以使得所述广域网内的设备根据所述广域网访问报文生成所述原始报文的响应报文；接收来自所述广域网的所述响应报文；向所述第一设备发送所述响应报文；

所述第一设备，还用于接收所述第二设备发送的所述原始报文的响应报文。

Images