CN101075964A - 一种以路由器接口地址实现端口重定向的方法及其系统 - Google Patents

Abstract

本发明公开了一种以路由器接口地址实现端口重定向的方法及其系统，其中该方法包括：一访问控制列表配置步骤，用于在所述路由器上配置访问控制列表；一路由器属性配置步骤，用于配置所述路由器的属性参数；一端口重定向规则配置步骤，用于根据所述属性参数配置端口重定向规则；及一动态可重用NAT规则配置步骤，用于根据所述访问控制列表、所述属性参数配置动态可重用NAT规则。与现有技术相比，本发明解决了在使用路由器的外部公网IP地址同时配置端口重定向和动态可重用NAT规则时的端口冲突问题，使得同时配置这两种规则不再有地址上的限制，从而节省了要申请的外部公网IP地址，降低了组网的费用，提高了使用NAT组网的灵活性。

Description

一种以路由器接口地址实现端口重定向的方法及其系统

技术领域

本发明涉及数据通讯领域的路由转发技术，特别是涉及一种以路由器接口地址实现端口重定向的方法及其系统。

背景技术

目前随着网络的快速发展，IPv4(Internet Protocol Version 4，互联网协议第4版)地址面临着地址耗尽的问题。而NAT(Network Address Translation，网络地址转换)能够帮助IPv4避免地址耗尽。NAT技术是一种地址映射技术，通常用于子域内具有私有IP地址的内部主机访问外部主机时将该主机的私有IP地址映射为一个外部唯一可识别的公用IP地址；同时，将外部主机返回给内部主机的公用IP地址映射回内部标志该主机的私有IP地址，使得返回的数据包正确到达内部目的主机。该技术使得不同私网(即私有网络)可以使用相同的私有IP地址段而不会导致外部网络的地址信息出现混乱，从而扩展了IP地址的应用范围，在一定程度上缓解了当前IPv4地址空间不足的问题。

NAT一般可分为三种类型：

1)静态NAT：内部私有IP地址与外部公网(Internet)IP地址的映射是静态一一对应的。如果结合端口来实现静态映射关系，就是端口重定向或静态NAPT(Network Address Port Translation，网络地址端口转换)。

2)动态不可重用NAT：使用外部公网IP地址池技术，从公网IP地址池中获取一个可用的外部地址进行转换。通信完毕之后，该公用IP地址也被释放回地址池中。在使用过程中，一个公用IP只能有一个映射关系。

3)动态可重用NAT(NAPT)：与动态不可重用模式相比，通信的映射是通过IP地址和端口号(对于TCP、UDP包是端口号，对于ICMP包则是包内的ID号)的组合来完成的。

TCP为(Transmission Control Protocol，传输控制协议)，UDP为(UserDatagram Protocol，用户数据协议)，ICMP为(Internet Control Message Protocol，网际控制报文协议)。

在规模较小的企业组网应用中，可以使用动态可重用NAT的方式来实现内部私网与外部公网的通信。为了进一步节省外部公网IP地址，在配置动态可重用NAT时可以复用路由器的接口IP地址——直接将NAT出接口(该接口与外部公网相连，NAT转换后的数据报文从该接口被转发出去)的IP地址配置到地址池中。在这种应用模式中，为了不影响路由器本身的一些功能，端口的使用有一定的限制，包含一些知名用途的端口在内的低值端口不能用于NAT转换过程中。

如果企业需要在私网内部设置一些服务器为公网用户提供一些服务，这时可以通过端口重定向来实现。

在目前的组网应用中，在配置端口重定向功能时是不允许使用路由器接口IP地址的；而且配置端口重定向功能和实现动态可重用NAT时需要使用不同的外部公网IP地址，这样就增加了企业组网的费用。

发明内容

本发明所要解决的技术问题在于提供一种以路由器接口地址实现端口重定向的方法及其系统，用于克服现有技术中的端口重定向功能不能使用路由器的接口IP地址，且不能与动态可重用NAT共用一个IP地址的缺点。

为了实现上述目的，本发明提供了一种以路由器接口地址实现端口重定向的方法，其特征在于，包括：

一访问控制列表配置步骤，用于在所述路由器上配置访问控制列表；

一路由器属性配置步骤，用于配置所述路由器的属性参数；

一端口重定向规则配置步骤，用于根据所述属性参数配置端口重定向规则；及

一动态可重用NAT规则配置步骤，用于根据所述访问控制列表、所述属性参数配置动态可重用NAT规则。

所述的以路由器接口地址实现端口重定向的方法，其中，所述属性参数包括NAT入接口、NAT出接口、地址池，所述地址池又包括所述路由器的NAT出接口IP地址。

所述的以路由器接口地址实现端口重定向的方法，其中，当所述动态可重用NAT规则使用的端口为高值保留端口时，则在配置所述端口重定向规则时，所述端口重定向规则使用的端口也为高值保留端口。

所述的以路由器接口地址实现端口重定向的方法，其中，当所述动态可重用NAT规则配置步骤先于所述端口重定向规则配置步骤执行且所述端口重定向规则所用的端口被所述动态可重用NAT规则占用时，断开由所述端口建立的内部私网与外部公网之间的通信链路，以回收保留所述端口。

所述的以路由器接口地址实现端口重定向的方法，其中，所述端口重定向规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中存在冲突端口时，将所述冲突端口分配给所述端口重定向规则使用。

所述的以路由器接口地址实现端口重定向的方法，其中，当由所述冲突端口在内部私网与外部公网之间已建立链接时，清除所述路由器中含有所述冲突端口的映射关系，中断所述链接，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立所述端口重定向规则表述的所述路由器的NAT出接口IP地址与所述冲突端口之间的静态映射关系。

所述的以路由器接口地址实现端口重定向的方法，其中，当由所述冲突端口在内部私网与外部公网之间未建立链接时，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立所述端口重定向规则表述的所述路由器的NAT出接口IP地址与所述冲突端口之间的静态映射关系。

所述的以路由器接口地址实现端口重定向的方法，其中，所述动态可重用NAT规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中存在冲突端口时，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立内部私网的IP地址、端口与所述路由器的NAT出接口IP地址、端口之间的映射关系。

所述的以路由器接口地址实现端口重定向的方法，其中，所述动态可重用NAT规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中不存在冲突端口时，建立内部私网的IP地址、端口与所述路由器的NAT出接口IP地址、端口之间的映射关系。

为了实现上述目的，本发明还提供了一种以路由器接口地址实现端口重定向的系统，其特征在于，包括：

一访问控制列表配置模块，用于在所述路由器上配置防问控制列表；

一路由器属性配置模块，用于配置所述路由器的属性参数；

一端口重定向规则配置模块，用于根据所述属性参数配置端口重定向规则；及

一动态可重用NAT规则配置模块，用于根据所述访问控制列表、所述属性参数配置动态可重用NAT规则。

本发明的有益技术效果在于：

与现有技术相比，由于本发明的以路由器的接口IP地址实现端口重定向的方法采用了合理的方法，解决了在使用路由器的外部公网IP地址(含接口地址)同时配置端口重定向和动态可重用NAT规则时的端口冲突问题，使得同时配置这两种规则不再有地址上的限制，因此节省了要申请的外部公网IP地址，降低了组网的费用，提高了使用NAT组网的灵活性；同时本发明还具有配置简单灵活、操作统一、运行稳定和安全可靠等优点。

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1是本发明以路由器接口地址实现端口重定向的方法流程图；

图2是本发明以路由器接口地址实现端口重定向的系统结构图；

图3是本发明私网用户通过动态可重用NAT访问公网，公网用户通过端口重定向功能访问私网内部的服务器的组网示意图；

图4是本发明以路由器接口地址配置端口重定向功能时的处理流程示意图；

图5是本发明以路由器接口地址配置动态可重用NAT功能时的处理流程示意图；

图6是本发明以路由器接口地址实现端口重定向的又一方法流程图。

具体实施方式

下面结合附图和具体实施例对本发明技术方案作进一步的详细描述。

如图1所示，是本发明以路由器接口地址实现端口重定向的方法流程图。该方法流程是本发明在路由器上实现以路由器接口的外部公网IP地址来配置端口重定向功能，且允许端口重定向功能和动态可重用NAT使用相同的外部公网IP地址的方法，具体包括步骤如下：

步骤101，在路由器上配置访问控制列表(Access Control List，ACL)功能，该功能应用于动态可重用NAT，可以控制特定的私网用户能通过动态可重用NAT访问外部公网；

步骤102，配置路由器的NAT入接口、NAT出接口、地址池；配置地址池时要包含路由器的NAT出接口IP地址；

步骤103，配置动态可重用NAT规则；这样ACL允许的私网用户就可以访问外部公网了；

步骤104，配置端口重定向规则；当该规则使用的是路由器的NAT出接口IP地址时，端口需要使用高值保留端口；而当该规则使用的不是路由器的NAT出接口IP地址时，端口的使用没有限制。

上述步骤104中，端口需要使用TCP/IP协议所允许的0～65535中数值较大的值，如可以约定只能使用7000～65535之间的值。同时，应避免使用那些已经用于知名服务的端口值，如用于FTP功能的端口21、用于Telnet的端口23等。

在配置顺序上步骤101与步骤102没有先后的限制；在配置顺序上步骤103与步骤104也没有先后的限制，但在内部的处理流程上会有差别；当先配置动态可重用NAT规则时，端口重定向规则所用的端口可能已经被私网的某个用户占用，这样在将该端口回收保留之前，还需要强行断开利用此端口所建立的通信链接。

本发明在路由器上实现以路由器的NAT出接口IP地址来配置端口重定向功能，且允许重定向功能和动态可重用NAT使用相同的外部公网IP地址。

当一个企业在组建自己的内部私网时，通过使用路由器的NAT出接口IP地址的动态可重用NAT来实现私网用户对外部公网的访问，其中端口使用64k个端口中的高值保留端口。在配置端口重定向功能时，端口也使用高值保留端口，TCP/IP协议所能使用的0～65535端口中，较小值的部分已经分配给知名服务，如FTP、HTTP；较大值的部分是给其它服务保留的。

进一步地，在在路由器上以路由器的NAT出接口IP地址配置端口重定向规则时，使用64k个端口中的高值保留端口；如果同时还配置了动态可重用NAT规则，在端口使用可能有冲突的情况下将该端口保留给端口重定向功能使用。

进一步地，本发明在路由器上实现以路由器的NAT出接口IP地址来配置端口重定向功能，且允许重定向功能和动态可重用NAT使用相同的外部公网IP地址的方法还可以包括使用非接口地址的情况，但是在端口的使用上与使用接口地址有所区别。在使用非路由器接口地址同时实现端口重定向和动态可重用NAT时，对于端口重定向的端口不需要进行限制。

当这两种功能同时存在且所用的端口有冲突时，冲突的端口只能给端口重定向功能使用，在动态可重用NAT的端口资源中，该端口需设置成保留状态，不参与动态规则的映射关系。只有在端口重定向规则被删除后，其所使用的端口才能释放出来，重新被动态可重用NAT使用。

如图2所示，是本发明以路由器接口地址实现端口重定向的系统结构图。该系统结构包括：

访问控制列表配置模块110，用于在路由器上配置访问控制列表；

路由器属性配置模块120，用于配置路由器的属性参数，包括NAT入接口、NAT出接口、地址池，地址池又包括路由器的NAT出接口IP地址。

端口重定向规则配置模块130，用于根据属性参数配置端口重定向规则；

动态可重用NAT规则配置模块140，用于根据访问控制列表、属性参数配置动态可重用NAT规则。

当动态可重用NAT规则使用的端口为高值保留端口时，则在配置端口重定向规则时，端口重定向规则使用的端口也为高值保留端口。

在配置端口重定向规则之前，配置当动态可重用NAT规则并且端口重定向规则所用的端口被动态可重用NAT规则占用时，则断开由该端口建立的内部私网与外部公网之间的通信链路，以回收保留端口。

如图3所示，是本发明私网用户通过动态可重用NAT访问公网，公网用户通过端口重定向功能访问私网内部的服务器的组网示意图。企业私网包含以下设备：主机PC、一台或多台私网服务器SERVER、路由器R等。路由器R的NAT入接口与企业的私有网络相连，路由器R的NAT出接口与外部公网相连。私网服务器SERVER可以提供一些常用的Internet服务(如HTPP，FTP等)。在配置路由器R上NAT功能时，端口重定向和动态可重用NAT都使用路由器R的NAT出接口IP地址。对于公网用户，其在访问私网服务器SERVER时使用的是路由器R的NAT出接口IP地址，而并不显示给用户该私网服务器SERVER在私网中的真实地址。

图3中，端口重定向如下：

192.168.88.100:80～172.40.10.1:8000

192.168.88.100:23～172.40.10.1:8001

……

动态NAT地址池(复用接口地址)如下：

172.40.10.1～172.40.10.1

路由器R的NAT出接口的IP：172.40.10.1

路由器R的NAT入接口的IP：192.168.88.200

主机PC为多个，各主机PC的IP地址如下：

PC1：192.168.88.1

PC2：192.168.88.2

……

私网服务器SERVER的IP：192.168.88.100

图3中，在私网服务器192.168.88.100上运行了HTPP服务(使用端口80)，通过端口重定向公网用户实际是通过访问172.40.10.1(端口8000)来获得服务的。而私网用户在访问外部公网时使用的是其它一些高值保留端口(如7000以上)，路由器R在收到目的端口是这一类型的数据包时，不按本地包处理，而是将这些数据包根据已有的映射关系转发给私网用户。

如图4所示，是本发明以路由器接口地址配置端口重定向功能时的处理流程示意图。

步骤401，启用NAT功能，设置路由器的NAT入接口、NAT出接口；

步骤402，以路由器的NAT出接口IP地址和符合要求的端口号配置端口重定向规则；检查路由器上是否已经以路由器的NAT出接口IP地址实现了动态可重用NAT，且端口重定向所用端口落在了动态可重用NAT规则所用端口范围内；如果不存在上述冲突，即转至步骤406；如果存在上述冲突，则转至步骤403；

步骤403，继续判断当前是否有私网用户利用此端口建立了与外部公网之间的链接，如果链接未建立，则转至步骤405；如果已存在链接，则转至步骤404；

步骤404，直接清除路由器中已经生成的含该端口的映射关系，中断利用该端口所建立的私网用户与外部公网之间的链接；

步骤405，将该端口从动态可重用NAT的端口资源中取出，并设置为保留状态，不允许动态可重用NAT规则再使用该端口，如分配该端口用于建立新的通信链路；以及

步骤406，建立起端口重定向所表述的路由器的NAT出接口IP地址与端口的静态映射关系；此时外部公网用户就能通过这个映射条目来实现对内部私网服务器的访问了。

如图5所示，是本发明以路由器接口地址配置动态可重用NAT功能时的处理流程示意图。

步骤501，启用NAT功能，配置ACL、含路由器的NAT出接口IP地址的地址池、路由器的NAT入接口、NAT出接口；

步骤502，以设置的地址池、ACL来配置动态可重用NAT功能，并检查是否有含路由器的NAT出接口IP地址且使用端口有冲突的端口重定向规则，如果存在上述冲突，则转至步骤503；如果没有上述冲突，则转至步骤504；

步骤503，将该端口从动态可重用NAT的端口资源中取出，并设置为保留状态，不允许动态可重用NAT规则再使用该端口，如分配该端口用于建立新的通信链路；

步骤504，当路由器的NAT入接口收到私网用户发起的数据报文时，对符合ACL的数据报文进行NAT转换，数据报文中所含的私网地址(源IP地址)和源端口被映射为路由器的NAT出接口IP地址和一个NAT规定范围内的未被使用的端口(该端口作为转换后数据报文的源端口)，从而建立起一条通信链路。

上述步骤504中，映射关系指的是IP地址和端口结合在一起形成的，而不是单独指地址之间或端口之间的映射关系。

下面进一步描述硬件部分由一台以上的主机、一台路由器、一台服务器和双绞线若干等组成的情形，组网关系图如图3所示，软件部分的具体处理过程参见图6，具体包括如下步骤：

步骤601，在路由器R上配置访问控制列表ACL，应用于动态可重用NAT规则；

ip access-list standard 1

permit 192.168.88.00.0.0.255

步骤602，在路由器R启用NAT功能，在路由器R的接口上设置NAT属性；

a.启用NAT功能

ip nat start

b.NAT入接口

ip nat inside

c.NAT出接口

ip nat outside

步骤603，在路由器R上以路由器R的NAT出接口IP地址配置动态可重用NAT规则所用的地址池，然后配置动态可重用NAT规则；

a.配置地址池

ip nat pool zte 172.40.10.1 172.40.10.1 prefix_length 24

b.配置动态可重用NAT规则

ip nat inside source list 1 pool zte overload

步骤604，在路由器R上以路由器R的NAT出接口IP地址配置端口重定向规则。配置端口是否与动态可重用NAT规则有冲突，冲突的端口怎样进行管理在配置时不需要关注；

ip nat inside source static tcp 192.168.88.10080 172.40.10.1 8000

ip nat inside source static tcp 192.168.88.10023 172.40.10.1 8001

配置完成可以见到两条映射条目

inside                     outside

192.168.88.100:80         172.40.10.1:8000

192.168.88.100:23         172.40.10.1:8001

步骤605，如果在服务器上启用HTTP服务(使用端口80)和Telnet服务(使用端口23)，外部公网用户就通过对172.40.10.1和8000端口来获取HTTP服务，通过172.40.10.1的8001来远程登陆该服务器。私网用户在访问外部公网时能看到动态生成的NAT转换条目，见表1。

表1

NAT转换条目表
		192.168.88.1:1	172.40.10.1:7000
192.168.88.1:2	172.40.10.1:7001
		192.168.88.2:30	172.40.10.1:7002

采用本发明克服了现有技术中的端口重定向功能不能使用路由器接口IP地址，且不能与动态可重用NAT共用一个IP地址的缺点；减少了企业在组建自己的私网时需要申请的外部公网IP地址数，从而降低了组网费用。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (10)

1、一种以路由器接口地址实现端口重定向的方法，其特征在于，包括：

一访问控制列表配置步骤，用于在所述路由器上配置访问控制列表；

一路由器属性配置步骤，用于配置所述路由器的属性参数；

一端口重定向规则配置步骤，用于根据所述属性参数配置端口重定向规则；及

一动态可重用NAT规则配置步骤，用于根据所述访问控制列表、所述属性参数配置动态可重用NAT规则。

2、根据权利要求1所述的以路由器接口地址实现端口重定向的方法，其特征在于，所述属性参数包括NAT入接口、NAT出接口、地址池，所述地址池又包括所述路由器的NAT出接口IP地址。

3、根据权利要求1或2所述的以路由器接口地址实现端口重定向的方法，其特征在于，当所述动态可重用NAT规则使用的端口为高值保留端口时，则在配置所述端口重定向规则时，所述端口重定向规则使用的端口也为高值保留端口。

4、根据权利要求1或2所述的以路由器接口地址实现端口重定向的方法，其特征在于，当所述动态可重用NAT规则配置步骤先于所述端口重定向规则配置步骤执行且所述端口重定向规则所用的端口被所述动态可重用NAT规则占用时，断开由所述端口建立的内部私网与外部公网之间的通信链路，以回收保留所述端口。

5、根据权利要求1或2所述的以路由器接口地址实现端口重定向的方法，其特征在于，所述端口重定向规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中存在冲突端口时，将所述冲突端口分配给所述端口重定向规则使用。

6、根据权利要求5所述的以路由器接口地址实现端口重定向的方法，其特征在于，当由所述冲突端口在内部私网与外部公网之间已建立链接时，清除所述路由器中含有所述冲突端口的映射关系，中断所述链接，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立所述端口重定向规则表述的所述路由器的NAT出接口IP地址与所述冲突端口之间的静态映射关系。

7、根据权利要求5所述的以路由器接口地址实现端口重定向的方法，其特征在于，当由所述冲突端口在内部私网与外部公网之间未建立链接时，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立所述端口重定向规则表述的所述路由器的NAT出接口IP地址与所述冲突端口之间的静态映射关系。

8、根据权利要求1或2所述的以路由器接口地址实现端口重定向的方法，其特征在于，所述动态可重用NAT规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中存在冲突端口时，从所述动态可重用NAT规则的端口资源中取出所述冲突端口并将所述冲突端口的状态设置为保留状态，再建立内部私网的IP地址、端口与所述路由器的NAT出接口IP地址、端口之间的映射关系。

9、根据权利要求1或2所述的以路由器接口地址实现端口重定向的方法，其特征在于，所述动态可重用NAT规则配置步骤中，当所述动态可重用NAT规则、所述端口重定向规则分别使用的地址是所述路由器的NAT出接口IP地址且所使用的端口中不存在冲突端口时，建立内部私网的IP地址、端口与所述路由器的NAT出接口IP地址、端口之间的映射关系。

10、一种以路由器接口地址实现端口重定向的系统，其特征在于，包括：

一访问控制列表配置模块，用于在所述路由器上配置访问控制列表；

一路由器属性配置模块，用于配置所述路由器的属性参数；

一端口重定向规则配置模块，用于根据所述属性参数配置端口重定向规则；及

一动态可重用NAT规则配置模块，用于根据所述访问控制列表、所述属性参数配置动态可重用NAT规则。

Images