CN1476208A - 一种支持地址转换应用网关的方法 - Google Patents

Abstract

本发明涉及一种支持地址转换应用网关的方法。包括在路由器上创建地址转换应用网关注册表，每个注册表项标识一种的应用协议；在网络地址转换模块中(NAT)定义一个处理回调函数的接口，如果NAT需要支持一种新的应用协议，按照上述特殊处理回调函数接口，针对这种协议的报文载荷中需要处理的地址信息建立相应的应用协议处理函数，并注册到应用网关注册表；在通信过程中，当有新的协议出现时，通过查找应用网关注册表识别该应用协议，通过注册的应用协议回调函数来实现应用网关的地址转换。本发明很好地解决了地址转换需要不断支持新的应用协议的问题。

Description

一种支持地址转换应用网关的方法

技术领域

本发明涉及数据通信领域，尤其涉及一种通过查找应用网关注册表的方式支持地址转换应用网关的方法。

技术背景

Internet的迅速普及导致IP地址资源短缺的问题日趋突出，为解决这一矛盾而提出网络地址转换技术(NAT Network Address Trans1ation)。地址转换技术允许多台内部主机共用同一个合法的公有地址访问Internet，有效地解决了IP地址短缺的问题，但由此会导致许多对NAT敏感的应用协议无法正常工作。

因特网地址分配组织规定以下的三类网络地址保留用做私有地址：

10.0.0.0        -    10.255.255.255

172.16.0.0      -    172.31.255.255

192.168.0.0     -    192.168.255.255

如图1所示，内部网络就是使用了一个上述的“私有地址”的内部局域网。通过地址转换技术，可以使这个内部局域网的所有主机(或者部分主机)都可以访问Internet。

地址转换有一对一和PAT(port address tranlation)两种方式。一对一方式的地址转换，只对报文中的IP地址信息进行转换，在这种方式下，每一个内部主机要占用地址池中的一个IP地址，当地址池内的地址被用尽时，就不能允许其它主机访问Internet。因此，NAT方式只允许若干个主机同时访问Internet，可以同时访问Internet的主机数目受合法地址的多少的局限。

PAT方式的地址转换使用了TCP/UDP的端口信息，用“地址+端口”来区分内部局域网的主机对外发起的不同连接，即要转换数据包中的源地址也要转换端口信息，因此内部局域网的许多主机可以共享一个IP地址访问Internet，这样能允许更多的内部主机同时访问Internet。在实际使用的过程中，PAT方式是最主要的地址转换方式。

地址转换改变了IP数据包头的IP地址信息，可以隐藏内部局域网的真实IP地址，因此具有一定的安全保护作用，但由此会导致许多对地址转换敏感的应用协议无法正常工作。

所谓对NAT敏感的协议是指该协议的某些报文的有效载荷中携带地址信息，需要NAT进行特殊处理，除了改变1P包头的地址信息以外还需要改变数据报文载荷中的地址信息。如果不按照地址转换规则对这些IP地址和端口号进行转换处理，将会严重影响后继的协议交互的一类协议。一个非常典型的应用就是FTP协议，下面以FTP为例说明。

在FTP中包含两种连接：控制连接(会话)、数据连接(传输)。其中控制连接是用大家都熟悉的21端口的TCP连接。数据连接是由客户端通过控制连接“通知”服务器它已经初始化好的地址和端口，然后FTP服务器通过20端口(默认情况)将数据传送到客户端。当客户端通知服务器的时候，会用到“PORT命令”，其中在这次TCP连接的数据中是这样的：“PORT 10，110，1，2，13，23\D\A”(表示：端口＝13＜＜8+23，地址＝10.110.1.2，其中地址就是内部网络中客户端的IP地址)，于是服务器就可以知道客户端的数据连接的地址和端口了。很明显，在地址转换的过程中，对于PORT命令，我们除了改变IP地址以及端口信息，同时必须改变相应TCP中的数据，这样才可以保证使FTP服务器端可以把数据发送到正确的客户端。

随着Internet的发展，地址转换需要支持的应用协议越来越多，必须对其进行针对每一个对NAT敏感的协议进行特殊处理，也就是需要实现这些协议的地址转换应用级网关。随着应用的增加，要求地址转换能够便捷地支持新的应用网关，在流程上具有良好的可扩充性。

发明内容

本发明就是针对现有技术的缺点，提出一种通过注册方式支持地址转换应用网关的方法，以解决地址转换后对协议的支持。

一种支持地址转换应用网关的方法，其特征在于：

在路由器上创建地址转换应用网关注册表，每个注册表项标识一种的应用协议；

在网络地址转换模块中(NAT)定义一个处理回调函数的接口，如果NAT需要支持一种新的应用协议，按照上述特殊处理回调函数接口，针对这种协议的报文载荷中需要处理的地址信息建立相应的应用协议处理函数，并注册到应用网关注册表；

在通信过程中，当有新的协议出现时，通过查找应用网关注册表识别该应用协议，通过注册的应用协议回调函数来实现应用网关的地址转换。

所述的支持地址转换应用网关的方法，还包括将该应用协议对应的IP协议号、知名端口号和应用协议的处理回调函数指针作为注册参数。

所述的应用协议处理函数，只对该协议报文载荷中的私有地址转换为合法的公有地址。

所述的支持地址转换应用网关的方法，还包括一个设置访问控制列表步骤，该列表是依据IP数据包报头以及其所承载的上层协议数据包头的格式定义的规则，由该规则判断是否对数据报文进行地址转换。

所述的应用协议报文向位于公网上的服务器转发，与向私网内的服务器转发时需要进行不同的特殊处理，应用网关需要为不同位置的服务器分别提供特殊处理的应用协议处理函数，这些处理函数均被注册到应用网关注册表项内，地址转换流程根据报文的转发目的服务器所在位置决定调用哪一个回调函数。

所述的应用协议报文由私网向公网转发，与从公网向私网转发时需要进行不同的特殊处理，应用网关需要为转换方向和还原方向分别提供特殊处理的应用协议处理函数，这些处理函数均被注册到应用网关注册表项内，地址转换流程根据报文的转发方向决定调用哪一个回调函数。

所述的支持地址转换应用网关的方法，数据报文由私网向公网转发的流程为：

a、地址转换模块收到IP层转来的报文后，根据访问控制列表判断是否要对该报文进行地址转换，如果不需要转换就直接转发，如果需要转换则进入步骤b；

b、取报文的源地址信息查找地址转换散列表，如果未找到，就根据配置的地址转换创建一个新的地址转换散列表，该地址转换散列表内记录了私有的地址和合法的Internet地址信息；

c、根据地址转换散列表记录的信息，将报文的源地址转换为合法的Internet地址；

d、查找应用网关注册表，根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，即只需要转换报文头内的地址信息，地址转换结束，否则进入步骤e；

e、通过调用此协议特殊处理的应用协议处理函数，转换报文载荷内的地址信息。

所述的支持地址转换应用网关的方法，步骤d中，对于内部主机访问Internet服务器，只需要根据IP协议号和目的端口查找应用网关注册表项。

所述的支持地址转换应用网关的方法，步骤c中的转换过程由NAT完成，只转换了报文头内的IP地址。

所述的支持地址转换应用网关的方法，当数据报文由公网向私网转发的流程为：

a、地址转换模块收到IP层转来的报文后，根据报文的目的地址、目的端口到地址转换散列表里面查找地址转换记录，如果没有相应的地址转换散列表，则不进行NAT转换，将报文直接转发，如果查找到了相应的地址转换散列表，则进入步骤b；

b、根据散列表内记录的地址转换信息，地址转换模块将报文头内的目的地址信息转换成私网用户的地址；

c、查找应用网关注册表，根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，地址还原流程已结束，如果需要，进入步骤d；

d、调用还原方向的应用协议处理函数，转换报文载荷内的地址信息。所述的步骤b中，只转换了报文头内的IP地址。

本发明在实现一般的地址转换功能的基础上，通过特殊协议注册的方式提供了完善的地址转换应用网关扩充机制。如果要地址转换支持一种新的应用协议，只需开发该协议的地址转换应用级网关，借助本方法的应用网关注册手段将其注册，就可以使得NAT技术支持该协议，而不需要改变NAT流程及其它已经支持的协议。本发明在流程上便于支持新的应用协议，很好地解决了地址转换需要不断支持新的应用协议的问题。

附图说明

图1是现有技术中NAT典型组网图；

图2是本发明IP报文由内部私网发往Internet的地址转换流程图；

图3是本发明IP报文由Internet发往内部私网的地址转换流程图。

具体实施方式

下面结合说明书附图来说明本发明的具体实施方式。

本发明的核心思想，是通过注册的方式扩充NAT支持新的应用网关，通过查找应用网关注册表项识别应用协议，再通过注册的回调函数来实现应用网关的地址转换流程。

本发明要先在路由器上创建一个地址转换应用网关注册表，该表中包括应用网关的特殊处理回调函数指针，还包括该协议对应的IP协议号、知名端口号，这样，每个注册表项就标识了一种特殊的应用协议；

在NAT定义一个特殊处理回调函数接口，该接口的定义方式可能根据不同的开发者有不同的定义，但主要功能都是一个函数指针的作用。当NAT需要支持一种新的应用协议时，由开发人员按照上述的特殊处理回调函数接口，针对这种协议的报文载荷中需要处理的地址信息开发相应的应用协议处理函数，并将该函数作为注册参数注册到应用网关注册表中。该应用协议处理函数只需将该协议报文载荷中的私有地址转换为合法的公有地址，而不必对报文头内的地址信息进行处理。

由于应用协议报文从私网向公网转发与从公网向私网转发，有可能需要不同的处理方式，所以开发的应用协议处理函数可能相同，也可能不相同，因此可以开发不同的应用协议处理函数，分为转换方向和还原方向的应用协议处理函数，这要根据实际情况来确定。

同样，由于应用协议报文向位于公网上的服务器转发，与向私网内的服务器转发时需要进行不同的特殊处理，应用网关需要为不同位置的服务器分别提供特殊处理的应用协议处理函数，这些处理函数均被注册到应用网关注册表项内，地址转换流程根据报文的转发目的服务器所在位置决定调用哪一个回调函数。

最后，将该应用协议对应的IP协议号、知名端口号、应用协议的处理回调函数指针作为注册参数，创建新的应用网关注册表项，将该表项添加到前面形成的应用网关注册表中。实现新的应用网关，借助了NAT基本功能模块的注册手段，而不需要对NAT基本功能模块及其它应用网关进行任何修改。

当有新的协议出现，通过查找上面形成的应用网关注册表识别该应用协议，通过注册的应用协议处理函数来实现应用网关的地址转换。

在使用时，可以设置访问控制列表，该列表实际上是一个判断规则，是依据IP数据包报头以及它承载的上层协议数据包头的格式定义了规则，可以表示允许或者是禁止具有某些特征(包头数据可以描述的)的数据包，由该规则判断是否对往来的数据报文进行地址转换。如果需要进行地址转换，则通过查找应用网关注册表识别该应用协议，通过注册的应用协议处理函数来实现应用网关的地址转换。

如图2所示，是在本发明中，一个数据报文由私网向公网转发的流程，具体包括如下步骤：

a、地址转换模块收到IP层转来的报文后，根据定义的访问控制列表判断是否要对该报文进行地址转换，如果不需要转换就直接转发；如果需要转换，继续步骤b；

b、取报文的源地址(端口)信息查找地址转换散列表，如果未找到，就根据配置的地址转换创建一个新的散列表，该散列表内记录了私有的地址(端口)和合法的Internet地址(端口)信息，散列表内记录了每一个NAT转换的源地址、源端口、协议、时间、转换后的地址和端口等信息，各个开发者实现的方式可能会因为算法不同而有所不同；

c、根据地址转换散列表记录的信息，将报文的源地址转换为合法的Internet地址；

上述转换过程由NAT基本功能完成，实际上只转换了报文头内的IP地址(端口)，所有需要地址转换的报文都需要经过以上转换过程，而不管该报文是否属于特殊的应用协议，以上的步骤实际上是现有的NAT地址转换一致。

d、通过地址转换流程查找应用网关注册表：对于内部主机访问Internet服务器的应用，因为该目的端口为知名端口，只需要根据IP协议号和目的端口查找应用网关注册表项；地址转换流程根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，即只需要转换报文头内的地址(端口)信息，地址转换已结束；如果需要对报文进行特殊处理，则进入步骤e；

e、地址转换流程通过特殊处理回调函数指针直接调用此协议的应用协议处理函数，转换报文载荷内的地址信息。由于在应用网关注册表项内已经事先注册了该特殊处理回调函数的指针，因此地址转换流程可以通过函数指针直接调用此回调函数，转换报文载荷内的地址信息。

经过步骤d、e后，已经将报文载荷内的私有地址转换成为合法的Internet地址，使应用协议的后续交互过程能够正常完成。

如图3所示，是本发明IP报文由Internet发往的内部私网地址转换流程图，从图中可以看到，报文由Internet发往内部私网，地址转换还原的流程与此相似，不同的是，地址还原过程只查找已经存在的散列表，将报文的目的地址信息转换为内部私网的地址信息，过程如下：

a、地址转换模块收到IP层转来的报文后，根据报文的目的地址、目的端口到地址转换散列表里面查找地址转换记录，如果没有相应的地址转换散列表，则不进行NAT转换，将报文直接转发，如果查找到了相应的地址转换散列表，则进入步骤b；

b、根据散列表内记录的地址转换信息，地址转换模块将报文头内的目的地址(端口)信息转换成私网用户的地址；

上述转换过程也是由NAT基本功能完成，实际上只转换了报文头内的IP地址。

c、地址还原流程查找应用网关注册表，根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，地址还原流程已结束，如果需要，进入步骤d；

d、地址还原流程调用还原方向的应用协议处理函数，转换报文载荷内的地址信息。

本发明在实现一般的地址转换功能的基础上，通过特殊协议注册的方式提供了完善的地址转换应用网关扩充机制。如果要地址转换支持一种新的应用协议，只需开发该协议的地址转换应用级网关，借助本方法的应用网关注册手段将其注册，就可以使得NAT技术支持该协议，而不需要改变NAT流程及其它已经支持的协议。本发明在流程上便于支持新的应用协议，很好地解决了地址转换需要不断支持新的应用协议的问题。

我们以前面所述的FTP协议为例来说明。

要使NAT能够支持FTP协议，允许内部私网的用户访问Internet上的FTP站点，必须确定要对FTP哪些报文进行特殊转换，需要进行什么样的处理。当私网的用户GET文件或执行LIST命令时，会在FTP控制报文内发送命令“PORT 10，110，1，2，13，23\D\A”(表示：端口＝13＜＜8+23，地址＝10.110.1.2)，其中的地址是用户的私网IP地址，Internet上的FTP服务器会向PORT命令指定的端口发送数据连接。显然，如果不对PORT命令进行特殊处理，建立数据连接会失败，必须将PORT命令携带的私有地址转换为合法的Internet地址，并根据数据连接使用的地址和端口创建一个地址转换散列表，以允许FTP服务器能主动向私网用户的主机发起数据连接。

开发人员按照NAT定义的特殊处理回调函数接口开发相应的FTP协议处理函数。该处理函数负责把FTP PORT命令携带的私有地址转换成合法的Internet地址，并根据PORT命令指定的端口和地址创建一个地址转换散列表，这样才能允许FTP服务器主动向私网用户主机发起FTP数据连接。该处理函数只需处理FTP控制报文载荷的内容，而不必转换报文IP头内的地址和TCP头内的端口号，IP头内的地址和TCP头内的端口号由NAT基本功能模块负责转换为公有地址。

最后，将FTP PORT命令的处理函数注册到应用网关注册表中。FTP的控制连接使用知名的TCP 21端口，只需要将TCP协议、知名端口21、FTP PORT命令处理函数作为注册参数创建一个应用网关注册表项，在路由器启动时，调用相应的注册函数添加到应用网关注册表中。这样便能使NAT能支持FTP协议了。

NAT转换FTP PORT报文的详细过程前面已经叙述过，在此不再描述。

以上举例可以看出，要支持新的应用网关借助了NAT基本功能模块的注册手段，只需要开发对应的应用协议特殊处理函数并进行注册，而不需要对NAT基本功能模块及其它应用网关进行任何修改。

从上面的实施例不难看出，本发明实现简单，不需增添新的硬件设备，而且对已有的智能网***没有任何限制，但却能大大方便用户。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (11)

1、一种支持地址转换应用网关的方法，其特征在于：

在路由器上创建地址转换应用网关注册表，每个注册表项标识一种应用协议；

在网络地址转换模块中(NAT)定义一个处理回调函数的接口，如果NAT需要支持一种新的应用协议，按照上述特殊处理回调函数接口，针对这种协议的报文载荷中需要处理的地址信息建立相应的应用协议处理函数，并注册到应用网关注册表；

在通信过程中，当有新的协议出现时，通过查找应用网关注册表识别该应用协议，通过注册的应用协议回调函数来实现应用网关的地址转换。

2、如权利要求1所述的支持地址转换应用网关的方法，其特征在于还包括将该应用协议对应的IP协议号、知名端口号和应用协议的处理回调函数指针作为注册参数。

3、如权利要求2所述的支持地址转换应用网关的方法，其特征在于所述的应用协议处理函数，只对该协议报文载荷中的私有地址转换为合法的公有地址。

4、如权利要求3所述的支持地址转换应用网关的方法，其特征在于还包括一个设置访问控制列表步骤，该列表是依据IP数据包报头以及其所承载的上层协议数据包头的格式定义的规则，由该规则判断是否对数据报文进行地址转换。

5、如权利要求4所述的支持地址转换应用网关的方法，其特征在于所述的应用协议报文向位于公网上的服务器转发，与向私网内的服务器转发时需要进行不同的特殊处理，应用网关需要为不同位置的服务器分别提供特殊处理的应用协议处理函数，这些处理函数均被注册到应用网关注册表项内，地址转换流程根据报文的转发目的服务器所在位置决定调用哪一个回调函数。

6、如权利要求5所述的支持地址转换应用网关的方法，其特征在于所述的应用协议报文由私网向公网转发，与从公网向私网转发时需要进行不同的特殊处理，应用网关需要为转换方向和还原方向分别提供特殊处理的应用协议处理函数，这些处理函数均被注册到应用网关注册表项内，地址转换流程根据报文的转发方向决定调用哪一个回调函数。

7、如权利要求6所述的支持地址转换应用网关的方法，其特征在于数据报文由私网向公网转发的流程为：

a、地址转换模块收到IP层转来的报文后，根据访问控制列表判断是否要对该报文进行地址转换，如果不需要转换就直接转发，如果需要转换则进入步骤b；

b、取报文的源地址信息查找地址转换散列表，如果未找到，就根据配置的地址转换创建一个新的地址转换散列表，该地址转换散列表内记录了私有的地址和合法的Internet地址信息；

c、根据地址转换散列表记录的信息，将报文的源地址转换为合法的Internet地址；

d、查找应用网关注册表，根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，即只需要转换报文头内的地址信息，地址转换结束，否则进入步骤e；

e、通过调用此协议特殊处理的应用协议处理函数，转换报文载荷内的地址信息。

8、如权利要求7所述的支持地址转换应用网关的方法，其特征在于步骤d中，对于内部主机访问Internet服务器，只需要根据IP协议号和目的端口查找应用网关注册表项。

9、如权利要求7所述的支持地址转换应用网关的方法，其特征在于步骤c中的转换过程由NAT完成，只转换了报文头内的IP地址。

10、如权利要求6所述的支持地址转换应用网关的方法，其特征在于当数据报文由公网向私网转发的流程为：

a、地址转换模块收到IP层转来的报文后，根据报文的目的地址、目的端口到地址转换散列表里面查找地址转换记录，如果没有相应的地址转换散列表，则不进行NAT转换，将报文直接转发，如果查找到了相应的地址转换散列表，则进入步骤b；

b、根据散列表内记录的地址转换信息，地址转换模块将报文头内的目的地址信息转换成私网用户的地址；

c、查找应用网关注册表，根据查找结果确定对该报文是否需要应用网关的特殊处理，如果不需要，地址还原流程已结束，如果需要，进入步骤d；

d、调用还原方向的应用协议处理函数，转换报文载荷内的地址信息。

11、如权利要求10所述的支持地址转换应用网关的方法，其特征在于所述的步骤b中，只转换了报文头内的IP地址。

Images