CN101515882A - 一种局域网与公网通信的方法、设备及系统 - Google Patents

Abstract

本发明适用于网络通信领域，提供了一种局域网与公网通信的方法及设备，所述方法包括下述步骤：为局域网内的终端分配多个IP地址，所述多个IP地址中包含至少一个公共IP地址；当从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息；当从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端。本发明实施例在不需要ALG配合的情况下可以实现报文流的地址转换，维持大多数现有的NAT/ALG组网模式不变，对于用户的使用习惯变化不大。

Description

一种局域网与公网通信的方法、设备及系统

技术领域

本发明属于网络通信领域，尤其涉及一种局域网与公网通信的方法、设备及系统。

背景技术

网络地址转换(Network Address Translation，NAT)是一个Internet工程任务组(Internet Engineering Task Force，IETF)标准，允许一个整体机构以一个公共IP(Internet Protocol)地址出现在Internet上，是一种将局域网内的IP地址翻译成公共IP地址的技术。NAT功能通常被集成到路由器、防火墙、综合业务数字网(Integrated Service Digital Network，ISDN)路由器或者单独的NAT设备中。如图1所示，终端在局域网中使用局域网内IP地址，当需要与公网通讯时，在网关处将终端的局域网内IP地址翻译换成公共IP地址，从而在公网(Internet)上正常使用。

为了能够有效解决报文流的NAT转换的问题，需要应用层网关(ApplicationLayer Gateway，ALG)的配合。ALG是解决NAT组网条件下应用互通问题的一种网络技术，一般与NAT功能一起被集成在同一个设备中，帮助NAT完成应用层报文中相关地址和端口信息的修改工作。但采用NAT/ALG组网时，对于报文内容中含有有用的地址信息的情况很难处理，不能处理IP报头加密的情况，同时由于隐藏了内部主机地址，会使网络调试变得复杂，另外还影响报文转发的效率，尤其对于新的应用，ALG需要不断更新，以支持新的应用组网。

发明内容

本发明实施例的目的在于提供一种局域网与公网通信的方法，旨在解决采用现有技术中需要ALG配合，才能有效解决报文流的网络地址转换的问题。

本发明实施例是这样实现的，一种局域网与公网通信的方法，所述方法包括下述步骤：

为局域网内的终端分配多个IP地址，所述多个IP地址中包含至少一个公共IP地址；

当从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息；

当从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端。

本发明实施例的另一目的在于提供一种网关设备，所述网关设备包括：

公共IP地址分配单元，用于将公共IP地址分配给局域网内的终端；以及

报文传输单元，用于在从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息，在从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端。

本发明实施例的另一目的在于提供一种网络终端，所述网络终端包括：

IP地址绑定单元，用于在终端上分配多个IP地址，所述多个IP地址中包含至少一个公共IP地址；以及

网络通信单元，用于通过所述公共IP地址与公网通信。

本发明实施例的另一目的在于提供一种网络通信系统，所述系统包括：

至少一个终端，所述终端分配有多个IP地址，所述多个IP地址中包含至少一个公共IP地址；

网关，用于将公共IP地址分配给所述终端，当从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息，当从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至对应的终端。

本发明实施例通过为终端分配包含一个公共IP地址的多个IP地址，采用基于业务流识别的动态策略路由机制确定报文的转发规则，在不需要ALG配合的情况下，就可以实现报文流的地址转换。

附图说明

图1是现有技术提供的NAT工作原理示意图；

图2是本发明实施例适用的网络通信系统的结构图；

图3是本发明实施例提供的PPPoE方式中终端获取双IP地址的实现示意图；

图4是本发明实施例提供的局域网中的报文向公网传递的协议处理示意图；

图5是本发明实施例提供的公网中的报文向局域网传递的协议处理示意图；

图6是本发明实施例提供的网络终端的结构图；

图7是本发明第一实施例提供的终端中IP地址绑定单元的结构图；

图8是本发明第二实施例提供的终端中IP地址绑定单元的结构图；

图9是本发明实施例提供的网关设备的结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例中，为终端分配多个IP地址，其中一个是公共IP地址，网关基于业务流识别的动态策略路由机制，在路由转发过程中动态决定报文转发规则，在不需要ALG配合的情况下，就可以实现报文流的地址转换。

图2示出了本发明实施例适用的网络通信系统的结构，该系统包括至少一个终端和网关，终端和网关组成一个局域网，每个终端分配有多个IP地址，其中一个是网关在广域网(Wide Area Network，WAN)接口侧的公共IP地址，还可以包括一个局域网内IP地址。局域网内IP地址用于局域网内部的终端之间的互通，公共IP地址用于终端访问公网。在具体实现时，终端从网关处获取一个局域网内IP地址，例如10.1.1.1，同时，网关将WAN口侧获取的公共IP地址，例如195.1.1.1分配给终端。

在本发明实施例中，终端从网关上获取多个IP地址的方式可以基于动态终端分配协议(Dynamic Host Configuration Protocol，DHCP)、以太网上的点对点协议(Point to Point Protocol over Ethernet，PPPoE)或其他地址分配协议。不同的地址分配协议在终端侧产生不同的接口模式。

以获取两个IP地址为例，在DHCP方式下，终端在一个网络接口上绑定两个IP地址，其中一个为公共IP地址。在PPPoE方式下，终端生成两个网络接口，一个是PPPoE接口，绑定公共IP地址，一个是以太网(ETH)接口，绑定局域网内IP地址。绑定公共IP地址的接口一般被设置为终端的缺省路由。

对于普通计算机用户，由于并非所有桌面操作系统都支持多IP地址绑定，而PPPoE拨号终端已经被广泛使用，用户也比较容易接受，所以可以选择使用PPPoE方式，在终端上生成一个新的网络接口，用于绑定公共IP地址。DHCP方式可以用于类似综合接入设备(Integrated Access Device，IAD)类型的嵌入式终端，可以实现与PPPoE方式相同的应用模式，不再赘述。

以PPPoE方式为例，如图3所示，局域网中的任何一台终端启动后，通过DHCP方式从网关获取局域网内IP地址。终端获取局域网内IP地址后，用户从终端上发起PPPoE认证过程，网关终结终端发起的PPPoE连接(PPPoEsession)，并将其获取的公共IP地址分配给终端，同时下发缺省网关、域名系统(Domain Name System，DNS)服务器等相关网络信息，建立PPP通道。终端生成两个网络接口，一个是以太网(ETH)接口，绑定获取到的局域网内IP地址；一个是PPPoE接口，绑定网关分配的公共IP地址。

作为本发明的一个实施例，网关可以通过终端拨号使用的PPPoE帐号或者密码信息决定是否向终端转发无连接的外部报文，例如帐号A允许外部直接访问，帐号B不允许外部直接访问。终端1采用帐号A建立PPPoE通道后，网关将所有转发到该局域网公共IP地址的报文都转发给终端1。终端2采用帐号B建立PPPoE通道后，当终端2主动向外发起请求时，网关只将其请求报文的响应报文转发给终端2。

在局域网内部，由于各个终端都使用相同的IP地址，为了使得终端能够与公网之间实现报文收发，网关需要对终端进行标定。作为本发明的一个实施例，可以通过媒体接入控制(Media Access Control，MAC)地址标定来自不同终端的报文。在PPPoE方式下，也可以使用连接标识(SESSION ID)标定不同的终端。此时，网关内部的IP协议栈需要支持基于MAC/SESSION ID的策略路由，将终端的MAC地址或PPP SESSION ID等终端的标定信息加入到策略路由信息中。

在本发明实施例中，终端也可以通过PPPoE扩展、DHCP选项(DHCPoption)等方式向网关上传服务、设备类型等信息，网关记录终端的这些属性信息后可以更加准确的分配转发报文流记录，从而更好的定义报文(流)转发规则。

在本发明实施例中，当网关从局域网侧收到以上述公共IP地址为源地址的报文时，将报文发送至公网，同时记录报文的策略路由信息；当网关从公网侧收到以上述公共IP地址为目的地址的报文时，根据报文的网络信息确定报文的策略路由信息，将报文发送至局域网内对应的终端。

作为本发明的一个实施例，报文的策略路由信息包含报文的网络信息，以及对应该报文的终端的标定信息。报文的网络信息主要是报文的源IP地址、目的IP地址、协议类型、源端口、目的端口等IP五元组信息，终端的标定信息可以是终端的MAC地址或PPP SESSION ID。

局域网中的报文向公网传递的协议处理如图4所示，由于网关输出的端口只有一个WAN PPPoE，终端向公网发送报文不会存在问题。为了保证公网向终端的回传报文的正常转发，网关需要记录终端向公网发送的以上述公共IP地址为源地址的报文的源IP地址、目的IP地址、协议类型、源端口、目的端口等IP五元组信息，以及报文(流)的源MAC地址或者SESSION ID信息、终端类型信息，以此建立回传报文的策略路由信息，并可以根据双向报文提供老化机制，例如如果网关在很长一段时间之内没有收到公网返回的回传报文，则网关会将向公网发送过报文的终端对应的MAC地址删除，等下次报文发送时重新记录。

如果出现报文(流)的源MAC地址或者SESSION ID与网关记录的不同，报文(流)的IP五元组信息与网关记录的完全相同时，即局域网内的两个终端使用同样的源端口、访问同一个的公网服务器，则网关将该报文进行端口地址转换(Port Address Translation，PAT)处理，将报文的源端口映射到其他未使用端口，并做相应的ALG处理。网关也可以不处理这一类型的冲突，直接将该报文转发出去。在该报文的回传方向上，将对应的回传报文在有外出记录的所有PPP端口上广播出去，由终端的应用层判断是否接收回传报文。

公网的报文向局域网传递的协议处理如图5所示，网关在局域网方向上有多个PPP接口，网关需要判断将报文(流)转发到哪个PPP端口上。

如果终端向公网发送过报文，则网关记录了报文的IP五元组信息、源MAC地址或者SESSION ID等信息，根据完全匹配规则，网关可以根据公网侧的回传报文找到正确的局域网侧回传PPP端口。这种情况可以满足基于客户端/服务器(C/S)网络服务模型的所有网络应用。

如果来自公网侧的报文的IP五元组信息与网关记录的IP五元组信息部分匹配，例如目的IP地址、源IP地址、协议类型能够匹配，端口号无法匹配时，则网关向所有能够完成部分匹配的PPP端口回传，可以适用于C/S模型下，公网中的服务器在该报文中修改了工作端口号的情况。

如果来自公网侧的报文的IP五元组信息与网关记录的IP五元组信息完全不匹配，可能有两种应用场景会出现这种情况，一是局域网内部有服务器提供对外服务，二是类语音服务，例如通过SIP流之后的实时传输协议(Real TimeTransport Protocol，RTP)流。此时，网关可以通过广播报文方式，动态学习和记录报文的策略路由信息。

作为本发明的一个实施例，在局域网内部有服务器提供对外服务时，网关对来自公网侧的第一个报文可以执行广播的转发策略，向所有LAN侧允许接收外部访问的PPP端口转发，并记录该第一个报文的IP五元组信息。局域网内部的服务器响应该第一个报文后，当响应报文通过网关向公网传送时，网关记录哪个端口响应了该第一个报文，并将端口信息补充到该第一个报文的IP五元组信息中，以保证后续由公网向局域网的报文不需要再做广播操作。当收到公网向局域网发送的后续报文后，局域网网关将后续报文的网络信息与记录的网络信息对比，根据网络信息之间的匹配情况将报文发送至局域网内对应的终端。实际操作中，还可以采用网关获取局域网侧服务器信息的方式解决，例如局域网侧服务器通过DHCP选项(DHCP option)、PPPoE扩展上报服务类型(开放端口信息)，或采用手工配置，或远端自动配置下发，绑定局域网侧服务器和PPP端口的关系。

作为本发明的另一实施例，在类语音服务中，以两个SIP用户代理(UserAgent，UA)采用RTP收发端口不一致的策略，局域网到公网以及公网到局域网的报文的网络信息无法完全匹配为例进行描述，其他情况比该种情况简单，更加容易处理。针对来自公网侧的第一个报文，网关可以执行广播的转发策略，向所有局域网侧允许接受外部访问的PPP端口转发，同时网关记录该第一个报文的IP五元组信息。

当局域网侧的SIP UA向公网的SIP UA发出第一个RTP报文后，网关可以建立一个部分匹配规则，即源IP地址、目的IP地址、协议类型匹配，端口号不匹配，后续公网到局域网的报文就可以按照上述IP五元组信息部分匹配的情况处理。当然，如果收发端口一致就可以采用IP五元组信息完全匹配的规则来处理。

图6示出了本发明实施例提供的网关的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

公共IP地址分配单元61将公共IP地址分配给终端，报文传输单元62在收到以公共IP地址为源地址的报文时，将报文发送至公网，并记录报文的策略路由信息。在收到以公共IP地址为目的地址的报文时，根据报文的网络信息确定报文的策略路由信息，将报文发送至局域网内对应的终端。

作为本发明的一个实施例，网络信息记录模块621记录报文的网络信息，报文的网络信息可以为报文的IP五元组信息，当报文为终端向公网发送的报文时，网络信息记录模块621记录的报文的网络信息中还可以包括报文的MAC地址或者SESSION ID，以用来标定终端。

路由规则确定模块622根据报文的网络信息确定报文转发的策略路由信息，策略路由信息的具体确定方式如上所述，不再赘述。

报文转发模块623将以公共IP地址为源地址的报文转发至公网，或者根据路由规则确定模块622确定的策略路由信息，将以公共IP地址为目的地址的报文转发至局域网对应的终端。

图7示出了本发明实施例提供的网络终端的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

IP地址绑定单元71在终端上分配多个IP地址，该多个IP地址中至少包含有一个用于终端访问公网的公共IP地址，还可以包括一个局域网内IP地址。网络通信单元72通过终端的公共IP地址与公网通信，将以该公共IP地址为源地址将报文通过网关发送到公网，或者接收网关转发的以该公共IP地址为目的地址的报文。

在本发明实施例中，终端从网关上获取多IP地址的方式可以基于DHCP、PPPoE或其他地址分配协议等方式。很明显，终端具体采用哪种方式获取多个IP地址视终端的配置而定，例如当终端支持PPPoE方式时，就可以采用PPPoE方式，当终端支持DHCP方式时，就可以采用DHCP方式。

当终端采用PPPoE方式时，如图8所示，PPPoE接口生成模块711在终端生成PPPoE接口，公共IP地址绑定模块712在该PPPoE接口上绑定网关分配的公共IP地址。

当采用DHCP方式时，如图9所示，DHCP地址绑定模块713通过DHCP方式在终端的一个网络接口上绑定包括网关分配的公共IP地址在内的多个IP地址。

由于PPPoE拨号终端已经被广泛使用，用户也比较容易接受，因此作为本发明的一个优选实施例，网络通信单元72为PPPoE客户端或者DHCP客户端。

本发明实施例通过为终端分配包含一个公共IP地址的多个IP地址，采用基于业务流识别的动态策略路由机制确定报文的转发规则，在不需要ALG配合的情况下，就可以实现报文流的地址转换，可以维持大多数现有的NAT/ALG组网模式不变，对于用户的使用习惯变化不大，网关无需支持多种网络应用的ALG处理，便可使得终端共享公网连接，减少了新应用带来的网络故障，并减少了网关ALG支持大量应用协议NAT穿越的工作量，提高了报文转发效率。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (13)

1、一种局域网与公网通信的方法，其特征在于，所述方法包括下述步骤：

为局域网内的终端分配多个IP地址，所述多个IP地址中包含至少一个公共IP地址；

当从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息；

当从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端。

2、如权利要求1所述的方法，其特征在于，所述为局域网内的终端分配多个IP地址的步骤具体为：

通过DHCP方式在局域网终端的一个网络接口上绑定所述多个IP地址。

3、如权利要求1所述的方法，其特征在于，所述为局域网内的终端分配多个IP地址的步骤具体为：

在局域网的终端生成一个PPPoE接口；

在所述PPPoE接口上绑定所述公共IP地址。

4、如权利要求1所述的方法，其特征在于，所述报文的策略路由信息包括报文的网络信息，以及所述报文对应的终端的标定信息。

5、如权利要求1所述的方法，其特征在于，当从公网侧接收到的报文的网络信息与记录的报文的网络信息完全不匹配时，所述根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端的步骤具体为：

将来自公网侧的第一个报文向所有局域网侧允许接收公网访问的端口转发，并记录所述第一个报文的网络信息；

当所述第一个报文的响应报文通过网关向公网传送时，记录响应所述第一个报文的端口；

当收到公网向局域网发送的后续报文后，根据报文的网络信息与记录的网络信息的匹配情况将报文发送至局域网内对应的终端。

6、如权利要求1或5所述的方法，其特征在于，当从公网侧接收到的报文的网络信息与记录的报文的网络信息部分匹配时，将所述报文发送至局域网内与所述报文的网络信息部分匹配的端口。

7、一种网关设备，其特征在于，所述网关设备包括：

公共IP地址分配单元，用于将公共IP地址分配给局域网内的终端；以及

报文传输单元，用于在从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息，在从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至局域网内对应的终端。

8、如权利要求7所述的网关设备，其特征在于，所述报文传输单元包括：

网络信息记录模块，用于记录报文的网络信息；

路由规则确定模块，用于根据报文的网络信息确定报文的策略路由信息；以及

报文转发模块，用于将从局域网侧接收的以所述公共IP地址为源地址的报文转发至公网，或者根据所述路由规则确定模块记录的策略路由信息，将从公网接收的报文转发至局域网对应的终端。

9、一种网络终端，其特征在于，所述网络终端包括：

IP地址绑定单元，用于在终端上分配多个IP地址，所述多个IP地址中包含至少一个公共IP地址；以及

网络通信单元，用于通过所述公共IP地址与公网通信。

10、如权利要求9所述的网络终端，其特征在于，所述IP地址绑定单元包括：

PPPoE接口生成模块，用于在终端生成一个PPPoE接口；以及

公共IP地址绑定模块，用于在所述PPPoE接口上绑定所述公共IP地址。

11、如权利要求9或10所述的网络终端，其特征在于，所述网络通信单元为PPPoE客户端或者DHCP客户端。

12、如权利要求9所述的网络终端，其特征在于，所述IP地址绑定单元包括：

DHCP地址绑定模块，用于通过DHCP方式在终端的一个网络接口上绑定所述多个IP地址。

13、一种网络通信系统，其特征在于，所述系统包括：

至少一个终端，所述终端分配有多个IP地址，所述多个IP地址中包含至少一个公共IP地址；

网关，用于将公共IP地址分配给所述终端，当从局域网侧收到以所述公共IP地址为源地址的报文时，将所述报文发送至公网，并记录报文的策略路由信息，当从公网侧收到报文时，根据所述报文的网络信息确定所述报文的策略路由信息，将所述报文发送至对应的终端。

Images