CN101056271A - 穿越nat的方法及相应的通信终端和nat设备 - Google Patents

Abstract

本发明涉及网络通信领域，公开了一种穿越NAT的方法。所述方法主要包括有：步骤S1，NAT设备后的通信终端通过与所述NAT设备进行交互，从所述NAT设备上获知其被NAT后的公网地址和/或端口；步骤S2，所述通信终端将报文净载中的私网地址和/或端口信息填写为所述公网地址和/或端口，然后再将所述报文发送至所述NAT设备。本发明还公开了相应的通信终端和NAT设备，以支持上述方法的实施。与现有技术相比，本发明不要求NAT设备支持ALG(应用层网关)，也无需实现STUN(NAT的UDP简单穿越方式)协议，还免去了静态手工配置的局限性。

Description

穿越NAT的方法及相应的通信终端和NAT设备

技术领域

本发明涉及网络通信领域，尤其涉及穿越NAT(Network AddressTranslation，网络地址转换)的技术；更具体地说，本发明涉及一种穿越NAT的方法，以及相应的通信终端和NAT设备。

背景技术

现在大量企业采用了私有地址组网(RFC1918)，并通过NAT(Network Address Translation，网络地址转换)来控制与公共网络的通信。NAT能够完成私有编址与公网编址的相互转化，并设置相应的包过滤规则，让不满足条件的IP(Internet Protocol，因特网协议)包不能够穿透NAT。NAT的运用为IP网络带来了很多好处，比如，缓解了IPv4构架下因特网的IP地址紧张问题，提高了私有网络内部的安全性和可管理性。由于具有这些优点，NAT被大量运用到各种私网网关设备上，它是绝大多数网络路由器设备的一个基本功能，也是网络防火墙功能的重要组成部分。

对于Telnet(用于远程联接服务的标准协议)、HTTP(HypertextTransfer Protocol，超文本传输协议)等端口固定的一般应用协议，NAT应用只需转换IP/TCP(Transfer Control Protocol，传输控制协议)/UDP(User Datagram Protocol，用户数据报协议)头即可很好地实现穿透。但是，对于IP报文中包含了IP地址和端口信息的协议报文，例如H.323/SIP(Session Initiation Protocol，会话初始协议)协议消息特定区段中内嵌有IP地址和端口号，虽通过NAT可将IP层的地址转换为外部地址，但对应用层消息中的私有IP地址却无能为力，从而使得这时应用NAT将会导致通信不能正常运行。尤其当分别处于两个不同私网中的终端需要通信时，它们必须穿越各自的NAT，相应造成的问题将更为复杂。

为解决上述穿越NAT中出现的问题，现有技术中已存在一些解决方案。其中：

ALG(Application Level Gateway，应用层网关)方案是最早出现的NAT穿越解决方案。ALG是在传统的NAT上进行协议扩展，使之具备感知H.323/SIP中包括呼叫控制协议在内信息的能力，从而完成除IP包源地址信息外的控制协议的解析和地址翻译功能。

ALG主要转换的信息有H.225 RAS及呼叫信令信息，H.245通道信息，RTP(Real-time Transport Protocol，实时传输协议)/RTCP(Real-TimeTransport Control Protocol，实时传输控制协议)通道地址信息，SIP请求/SDP(Session Description Protocol，会话描述协议)中的地址端口信息。

ALG是支持VOIP NAT穿透的一种最简单的方式，但其需要NAT设备支持H323/SIP ALG功能，并在高负载的情况下使用ALG后对设备性能的影响较大。

STUN(Simple Traversal of UDP through NAT，NAT的UDP简单穿越方式)协议解决穿透NAT问题的思路是：私网中的终端通过某种机制预先得到出口NAT上的对外地址，然后在净载中直接填写出口NAT上的对外地址，而不是填写私网内终端的私有IP地址。这样，由于净载中的IP地址信息和报文头地址信息是一致的，从而使得净载中的内容在经过NAT时就无需被修改了，而只需按普通NAT流程转换报文头的IP地址即可。

STUN的操作过程为：STUN客户机向NAT外的STUN服务器通过UDP发送请求STUN消息。STUN服务器收到该请求消息后产生响应消息，该响应消息中携带请求消息的源端口，即STUN客户机在NAT上对应的外部端口。然后，该响应消息通过NAT发送给STUN客户机，STUN客户机通过该响应消息体中的内容得知其在NAT上的外部地址，并将该外部地址填入以后呼叫协议的UDP负载中；同时告知对端，本端的RTP接收地址和端口号为NAT外部的地址和端口号。由于通过STUN协议已在NAT上预先建立了外出的NAT映射表项，故双方通信可顺利地穿越NAT。

STUN协议的最大优点是无需现有NAT/FW设备做任何改动。同时，STUN协议的局限性在于：1、私网内设备需要支持STUN协议；2、STUN并不支持TCP连接的穿越，因此不支持H.323、FTP等基于TCP的应用协议；3、需要连接公网的STUN服务器，增加了额外的部署。

标准的静态映射是另一种使用比较多的穿越NAT技术，其具体方案为：通过手动在NAT内部的设备上设置NAT后的公网地址，这样就可以在协议报文离开NAT设备时其协议报文内部的IP地址信息被替换为手工设置的公网地址；也即通过静态映射的NAT转换，公网的用户就可通过直接访问公网地址来访问私网地址的主机。

虽然静态NAT映射也能做到私网内设备地址与公网地址的一一对应，且端口信息并不改变。但是，由于静态NAT映射只支持静态配置，而不支持地址池的方式，因而缺乏灵活性。

除了以上三种应用最为广泛的穿越NAT的技术外，其它穿越NAT的方案还有MIDCOM(Middlebox Communications，中间件通信)方案、TURN(Traversal Using Relay NAT，通过Relay穿越NAT)方案、Proxy(代理)方案等。这些方案与上述方案类似，不是需要升级路由器、防火墙，就是需要升级终端设备。

发明内容

有鉴于此，本发明目的在于提供一种穿越NAT的方法，其能够免去静态手工配置公网地址方式的局限性，同时还无需NAT设备支持ALG或STUN。

本发明另一目的在于提供相应的通信终端和NAT设备，以支持上述穿越NAT的方法的实施。

为了达到上述目的，本发明提供了一种穿越NAT的方法，包括有下列步骤：

步骤S1，NAT设备后的通信终端通过与所述NAT设备进行交互，从所述NAT设备上获知其被NAT后的公网地址和/或端口；

步骤S2，当所述通信终端产生要发往公网的报文时，其用所述公网地址和/或端口来填写所述报文的净载中的私网地址和/或端口信息，然后再将所述报文发送至所述NAT设备。

对于上述穿越NAT的方法，优选地，所述步骤S1具体包括有下列步骤：

步骤S1-1，所述通信终端发送请求报文至所述NAT设备，所述请求报文中包含有所述通信终端的私网地址和/或端口；

步骤S1-2，所述NAT设备根据收到的所述请求报文创建映射表项，所述映射表项用来表达所述通信终端的私网地址和/或端口与其被NAT后的公网地址和/或端口的对应关系；同时，所述NAT设备根据所述映射表项产生响应报文并将其反馈回所述通信终端，且所述响应报文中包含有所述公网地址和/或端口。

对于上述穿越NAT的方法，优选地，所述步骤S1在所述步骤S1-2之后还包括有步骤S1-3，所述通信终端根据收到的所述响应报文获知其被NAT后的公网地址和/或端口之后，产生相应的确认报文并将其反馈回所述NAT设备。

对于上述穿越NAT的方法，优选地，所述响应报文和所述确认报文中包含有所述映射表项的编号。

为了达到上述另一目的，本发明提供了一种通信终端，其包括公网地址获知模块和穿越预处理模块。其中，所述公网地址获知模块用于通过与NAT设备进行交互，以从所述NAT设备上获知所述通信终端被NAT后的公网地址和/或端口；而所述穿越预处理模块用于在所述通信终端产生要发往公网的报文时，用所述公网地址和/或端口来填写所述报文的净载中的私网地址和/或端口信息。

对于上述通信终端，优选地，所述公网地址获知模块包括请求单元和获知单元。其中，所述请求单元用于发送请求报文至所述NAT设备，且所述请求报文中包含有所述通信终端的私网地址和/或端口；而所述获知单元用于根据所述NAT设备收到所述请求报文后返回的响应报文获知所述通信终端被NAT后的公网地址和/或端口。

对于上述通信终端，优选地，所述公网地址获知模块或者所述获知单元在获知所述公网地址和/或端口之后，产生确认报文并将其发送至所述NAT设备。

为了达到上述另一目的，本发明同时还提供了一种NAT设备，其包括有公网地址分配模块，用于根据所述NAT设备后通信终端的请求报文为所述通信终端分配其被NAT后的公网地址和/或端口，且通过相应的响应报文告知所述通信终端。

对于上述NAT设备，优选地，所述公网地址分配模块包括映射单元和告知单元。其中，所述映射单元用于根据所述通信终端的请求报文创建映射表项，所述映射表项用来定义所述通信终端的私网地址和/或端口与其被NAT后的公网地址和/或端口的对应关系；而所述告知单元用于根据所述映射表项产生响应报文至所述通信终端，所述响应报文中包含有所述公网地址和/或端口。

对于上述NAT设备，优选地，所述公网地址分配模块或者所述映射单元收到所述通信终端返回的确认报文之后，再最终确定所述映射表项定义的对应关系成立。

对于上述NAT设备，优选地，所述响应报文和所述确认报文中包含有所述映射表项的编号。

通过与NAT设备的私网内交互，NAT设备后的通信终端能够事先获知其被NAT后的公网地址和/或端口，从而能够在报文净载中直接填写其被NAT后的公网地址和/或端口，而不填写其私网地址和/或端口。这样，由于净载中的地址/端口信息已与被NAT后的公网地址和/或端口一致，从而使得报文经过NAT设备时只需按普通NAT流程转换报文头的地址/端口信息即可。也就是说，即使通信终端输出报文的净载中嵌套有地址/端口信息，应用本发明仍然能够在普通NAT设备上实现NAT的穿越。

与现有技术相比，本发明不要求NAT设备支持ALG功能，也无需架构STUN协议所要求的STUN客户机和STUN服务器，同时还免去了手工静态配置NAT公网地址和/或端口信息的局限性。

附图说明

图1为本发明穿越NAT的方法实施例之一的流程图；

图2为本发明穿越NAT的方法实施例之二的报文流转图；

图3为本发明通信终端实施例之一的示意框图；

图4为本发明NAT设备实施例之一的示意框图。

具体实施方式

本发明所提供穿越NAT的方法、NAT设备、以及通信终端的上述及其它技术特征和优点，将结合附图详细介绍如下。

图1示出了本发明穿越NAT方法的优选实施例的流程图。为了在普通NAT设备上实现NAT的穿越，尤其是在报文净载中嵌套有地址/端口信息的情况下实现NAT的穿越，在NAT设备后的通信终端首先要通过与NAT设备的私网内交互来获知其被NAT后的公网地址/端口，也即执行图1中步骤S1。

如图1所示，通信终端与NAT设备之间的私网内交互可以通过依次执行步骤S1-1～S1-3来实现。

首先，执行步骤S1-1：通信终端发送一个请求报文给其对应的NAT设备，且该请求报文中包含有其私网地址/端口。

接着，执行步骤S1-2：NAT设备根据收到的请求报文创建映射表项，用来定义通信终端的私网地址/端口与其被NAT后的公网地址/端口的对应关系；同时，NAT设备还将根据这个映射表项产生一个响应报文发送至通信终端，且这个响应报文中包含有通信终端被NAT后的公网地址/端口。

至此，通信终端在收到NAT设备返回的响应报文之后，就可根据响应报文中的内容获知其被NAT后的公网地址/端口。

但是，在通信终端已经获知其被NAT后的公网地址/端口之后，为了让NAT设备及时知晓其已获知，最后还可能优选地执行步骤S1-3：通信终端在获知其被NAT后的公网地址/端口之后，产生一个确认报文并将其反馈回NAT设备。而且，为了方便识别出映射表项、响应报文、以及确认报文相互之间的联系，还可以进一步优选地在响应报文及确认报文中均包括进相应映射表项的编号。

经由上述私网内交互，通信终端已经知道了其被NAT后的公网地址/端口。从此，如图1中步骤S2所示，如果通信终端需要发送至NAT设备的报文净载中嵌套有地址/端口信息，则通信终端会先把报文净载中的私网地址/端口信息直接填写为通过步骤S1预先获知的其被NAT后的公网地址/端口，然后再将这个报文发送出去；当然，如果通信终端需要发送至NAT设备的报文净载中不包含地址/端口信息，则通信终端将直接把这个报文发送出去。

这样，对于由通信终端输出的、需要经过NAT设备发往公网的报文来说，其报文头中的地址/端口信息为该通信终端的私网地址/端口，而其报文净载中的地址/端口信息为该通信终端被NAT后的公网地址/端口，如果其报文净载中嵌套有地址/端口信息的话。这将使得，NAT设备接收到通信终端输出的、需要发往公网的报文之后，无论这个报文的净载中是否嵌套有地址/端口信息，其只需按普通的NAT流程对这个报文的报文头中的私网地址/端口信息进行转换，即可实现NAT的穿越。

下面参照图2详细介绍本发明所提供穿越NAT的方法的一个应用实例，以帮助更好地理解本发明。

在图2中，通信终端100#A位于NAT设备200之后，且假定通信终端100#A的私网地址/端口为172.16.1.1:1000、NAT设备200的地址池中包括有公网地址/端口202.1.1.1:65000、通信终端100#B具有一个全球可路由的公网地址/端口138.1.1.1:65000。

当通信终端100#A需要和通信终端100#B进行通信时，通信终端100#A首先发送一个请求报文①给其对应的NAT设备200。当然，请求报文①中包含有通信终端100#A的私网地址172.16.1.1和用于此次通信的端口信息1000。

NAT设备200收到这个请求报文①之后，首先创建一条映射表项“172.16.1.1:1000202.1.1.1:65000”，用来表示私网地址/端口172.16.1.1:1000对应的公网地址/端口为202.1.1.1:65000、且该映射表项的编号为1200。随后，NAT设备200根据编号为1200的映射表项产生一个响应报文②，并把这个响应报文②发送给通信终端100#A。当然，响应报文②中包含有通信终端100#A将被NAT后的公网地址/端口信息202.1.1.1:65000以及相应的映射表项的编号1200。

通信终端100#A收到响应报文②之后，通过读取该响应报文②包含的地址/端口信息获知其被NAT后的公网地址/端口为202.1.1.1:65000。而且，为了告知NAT设备200其已获知其用于此次通信的公网地址/端口信息，通信终端100#A接着还要回应一个确认报文③给NAT设备200。当然，与响应报文②类似，确认报文③中也包含有相应的映射表项的编号1200。

在NAT设备200收到了包含映射表项编号的确认报文③之后，通信终端100#A与NAT设备200之间、为通信终端100#A事先获知其公网地址/端口而进行的私网内交互过程则结束了。这样，如图2所示，通过3次握手，通信终端100#A就事先知道了其被NAT后的公网地址/端口202.1.1.1:65000。

接着，为了与通信终端100#B建立通信，通信终端100#A发出报文净载中嵌套有地址/端口信息的通信请求④。由于通信请求④需要经过NAT设备200转发、且通信终端100#A已事先获知其被NAT后的公网地址/端口202.1.1.1:65000，因此通信请求④的报文净载中的地址/端口信息被通信终端100#A直接填写为202.1.1.1:65000，而通信请求④的报文头中的源地址/端口信息保持为通信终端100#A的私网地址/端口172.16.1.1:1000。

当通信请求④经过NAT设备200时，NAT设备将根据映射表项“172.16.1.1:1000202.1.1.1:65000”把其报文头中的源地址/端口信息172.16.1.1:1000映射成为202.1.1.1:65000之后再转发出去，从而使得通信请求④的报文净载中与报文头中的源地址/端口信息是一致的，进而使得通信请求④通过服务器300转发到通信终端100#B上时能被正确接收并识别出来。

由于通信终端100#B接收到通信请求④时，通信请求④的报文净载内的地址/端口信息已经是全球可路由的公网地址/端口202.1.1.1:65000，从而使得通信终端100#B将向公网地址/端口202.1.1.1:65000回复一个通信请求应答⑤以建立通信连接。

当通信请求应答⑤经过NAT设备200时，NAT设备同样将根据映射表项“172.16.1.1:1000202.1.1.1:65000”把其报文头中的目的地址/端口信息202.1.1.1:65000映射成为172.16.1.1:1000再转发给通信终端100#A。至此，完成了通信终端100#A与通信终端100#B之间通信的建立，也完成了对NAT设备200的穿越。也就是说，通信终端100#A与通信终端100#B就此可以相互通信⑥了。

下面参照图3详细介绍本发明所提供通信终端的一个优选实施例。

如图3所示，通信终端100包括公网地址获知模块110和穿越预处理模块120，其中公网地址获知模块110又具体包括请求单元111和获知单元112。而且，在图3中，与图2中相同的标记指示相同的组件/报文。

在通信终端100中，公网地址获知模块110用于与相应的NAT设备200进行交互，使得通信终端100能够事先从NAT设备200上获知其被NAT后的公网地址/端口。

一般来说，公网地址获知模块110与NAT设备200之间的至少包括两次握手，也即一次请求、一次响应。相应的，在公网地址获知模块110中，请求单元111用于发送一个请求报文①至NAT设备200，且请求报文①中包含有通信终端100的私网地址/端口；而获知单元112用于根据NAT设备200收到请求报文①后返回的响应报文②获知通信终端100被NAT后的公网地址/端口。

当然，在通信终端100已经获知其被NAT后的公网地址/端口之后，为了让NAT设备及时知晓其已获知，通信终端100中的公网地址获知模块110(图3中具体为获知单元112)在获知公网地址和/或端口之后，还将产生一个确认报文③，并将这个确认报文③发送至NAT设备200。

此外，为了方便识别出响应报文②及确认报文③与映射表项的对应关系，还可以优选地在响应报文②及确认报文③中包括有相应映射表项的编号。

在通信终端100中，穿越预处理模块120用于根据公网地址获知模块110事先获知的公网地址/端口，对通信终端100将要输出、且需经过NAT设备200的报文进行NAT穿越预处理，确保这个报文净载中的私网地址/端口信息为事先获知的通信终端被NAT后的公网地址/端口。

穿越预处理模块120可能作用于报文生成过程中。这时，穿越预处理模块120判断通信终端100将要输出、且需经过NAT设备200的报文的净载中是否需要嵌套私网地址/端口信息，如果判断结果为是则直接填写事先获知的公网地址/端口。

或者，穿越预处理模块120可能作用于报文生成之后。这时，穿越预处理模块120判断通信终端100将要输出、且需经过NAT设备200的报文的净载中是否嵌套有通信终端100的私网地址/端口，如果判断结果为是则把这个私网地址/端口替换为事先获知的公网地址/端口。

当然，本领域技术人员应能理解，通信终端100当可包括用于实现通信功能的其它组件，然而为了突出NAT穿越主题及简化视图，图3中并没有示出其它组件，且文字上也不赘述了。

下面参照图4详细介绍本发明所提供NAT设备的一个优选实施例。

如图4所示，NAT设备200包括公网地址分配模块210，且公网地址分配模块210又具体包括映射单元211和告知单元212。与图3一样，在图4中，与图2中相同的标记指示相同的组件/报文。

在NAT设备200中，公网地址分配模块210用于与NAT设备200之后的通信终端100进行交互，使得通信终端100能够事先从NAT设备200上获知其被NAT后的公网地址/端口。

一般来说，公网地址分配模块210与通信终端100之间的至少包括两次握手，也即一次请求、一次响应。相应的，公网地址分配模块210中，映射单元211用于根据通信终端100的请求报文①创建一条映射表项，而这条映射表项用于表示通信终端100的私网地址/端口与其被NAT后的公网地址/端口的对应关系；而告知单元212用于根据映射单元211创建的映射表项产生相应的响应报文②并将其返回至通信终端100，而这个响应报文②中包含有通信终端100被NAT后的公网地址/端口。

当然，在NAT设备200中，为了确保映射表项的实时有效性，公网地址分配模块210(图4中具体为映射单元211)收到通信终端100返回的确认报文③之后，再最终确定相应映射表项定义的对应关系成立。

此外，为了方便识别出响应报文②及确认报文③与映射表项的对应关系，还可以在响应报文②及确认报文③中优选地包括有相应映射表项的编号。

当然，本领域技术人员应能理解，NAT设备200当可包括用于实现NAT功能的其它组件，然而为了突出NAT穿越主题及简化视图，图4中并没有示出这些其它组件，且文字上也不赘述了。

需要声明的是，上述发明内容及具体实施方式意在证明本发明所提供技术方案的实际应用，不应解释为对本发明保护范围的限定。本领域技术人员在本发明的精神和原理内，当可作各种修改、等同替换、或改进。本发明的保护范围以所附权利要求书为准。

Claims (11)

1.一种穿越NAT的方法，其特征在于，包括有下列步骤：

步骤S1，NAT设备后的通信终端通过与所述NAT设备进行交互，从所述NAT设备上获知其被NAT后的公网地址和/或端口；

步骤S2，当所述通信终端产生要发往公网的报文时，其用所述公网地址和/或端口来填写所述报文的净载中的私网地址和/或端口信息，然后再将所述报文发送至所述NAT设备。

2.如权利要求1所述的穿越NAT的方法，其特征在于，所述步骤S1包括有下列步骤：

步骤S1-1，所述通信终端发送请求报文至所述NAT设备，所述请求报文中包含有所述通信终端的私网地址和/或端口；

步骤S1-2，所述NAT设备根据收到的所述请求报文创建映射表项，所述映射表项用来表达所述通信终端的私网地址和/或端口与其被NAT后的公网地址和/或端口的对应关系；同时，所述NAT设备根据所述映射表项产生响应报文并将其反馈回所述通信终端，且所述响应报文中包含有所述公网地址和/或端口。

3.如权利要求2所述的穿越NAT的方法，其特征在于，所述步骤S1在所述步骤S1-2之后还包括有步骤S1-3，所述通信终端根据收到的所述响应报文获知其被NAT后的公网地址和/或端口之后，产生相应的确认报文并将其反馈回所述NAT设备。

4.如权利要求2或3所述的穿越NAT的方法，其特征在于，所述响应报文和所述确认报文中包含有所述映射表项的编号。

5.一种通信终端，其特征在于，包括：

公网地址获知模块，用于通过与NAT设备进行交互，以从所述NAT设备上获知所述通信终端被NAT后的公网地址和/或端口；

穿越预处理模块，用于在所述通信终端产生要发往公网的报文时，用所述公网地址和/或端口来填写所述报文的净载中的私网地址和/或端口信息。

6.如权利要求5所述的通信终端，其特征在于，所述公网地址获知模块包括：

请求单元，用于发送请求报文至所述NAT设备，且所述请求报文中包含有所述通信终端的私网地址和/或端口；

获知单元，用于根据所述NAT设备收到所述请求报文后返回的响应报文，获知所述通信终端被NAT后的公网地址和/或端口。

7.如权利要求5或6所述的通信终端，其特征在于，所述公网地址获知模块或者所述获知单元在获知所述公网地址和/或端口之后，产生确认报文并将其反馈回所述NAT设备。

8.一种NAT设备，其特征在于，包括公网地址分配模块，用于根据所述NAT设备后通信终端的请求报文为所述通信终端分配其被NAT后的公网地址和/或端口，且通过相应的响应报文告知所述通信终端。

9.如权利要求8所述的NAT设备，其特征在于，所述公网地址分配模块包括：

映射单元，用于根据所述通信终端的请求报文创建映射表项，所述映射表项用来定义所述通信终端的私网地址和/或端口与其被NAT后的公网地址和/或端口的对应关系；

告知单元，用于根据所述映射表项产生所述响应报文并将其发送至所述通信终端，且所述响应报文中包含有所述公网地址和/或端口。

10.如权利要求9所述的NAT设备，其特征在于，所述公网地址分配模块或者所述映射单元收到所述通信终端返回的确认报文之后，再最终确定所述映射表项定义的对应关系成立。

11.如权利要求9或10所述的NAT设备，其特征在于，所述响应报文和所述确认报文中包含有所述映射表项的编号。

Images