一種尋址和訪問方法、網關及系統(tǒng)的制作方法
【專利摘要】本發(fā)明涉及一種尋址和訪問方法、網關及系統(tǒng)，該方法包括：根據地址轉換列表中存儲的二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換，其中，當報文攜帶外網轉換到內網的請求時，從所述地址轉換列表中尋找對應的內網IP地址，將所述攜帶外網轉換到內網的請求的報文的目的IP地址轉換成所述內網IP地址；當報文攜帶內網轉換到外網的請求時，從所述地址轉換列表中尋找對應的外網IP地址，將所述攜帶內網轉換到外網的請求的報文的源IP地址轉換成所述外網IP地址。本發(fā)明所述的方法通過一對一的NAT轉換，既能外網主動訪問外網，又能內外主動訪問外網。
【專利說明】一種尋址和訪問方法、網關及系統(tǒng)

【技術領域】
[0001]本發(fā)明涉及網絡安全領域，具體地，涉及一種用于公有云的尋址和訪問方法、網關及系統(tǒng)。

【背景技術】
[0002]網絡安全領域中，經常需要提供地址轉換功能。地址轉換的起因是IPv4地址不夠用，為了重用公網IP地址，將網絡劃分為外部網絡(簡稱外網)和內部網絡(簡稱內網)。外網使用公網IP地址，實現(xiàn)全球網絡通信；內網利用內部網絡實現(xiàn)內網通信；當內網訪問外網或者外網訪問內網時，通過NAT (地址轉換，Network Address Translat1n)技術。
[0003]當內網訪問外網時，使用的是SNAT 技術(Source Network Address Translat1n源地址轉換)，即將內網主動訪問外網的請求報文的源地址由內網IP地址轉換成外網IP地址。為了節(jié)省公網IP地址，一般是內網地址多，而外網地址少，或者只有一個外網地址，即多對一或多對少的映射，且只能支持內網主動發(fā)起訪問。
[0004]當外網訪問內網時，使用的是DNAT技術(Destinat1n Network AddressTranslat1n目的地址轉換)，即將外網主動訪問內網服務器的請求報文的目的地址由外網IP地址轉換成內網IP地址。由于公網IP地址有限，一般情況下都是一個公網IP地址對應一個或多個內網服務器組成的服務器集群，即一個公網IP地址轉換成一個或多個內網IP。此時的DNAT只能是一對一或者一對多的地址轉換，且只能支持外網主動發(fā)起的訪問。
[0005]隨著網絡技術和虛擬技術的發(fā)展，云服務得以產生并取得的很大的發(fā)展，目前私有云和公有云已經商用，并且市場在進一步發(fā)展和擴大，前景十分廣闊。對于公有云，會提供一種“虛擬主機”的服務，簡單的是說就是“虛擬主機”在云服務提供商的內網，外網用戶需要能夠主動訪問內網的“虛擬主機”，又能在內外的“虛擬主機”主動訪問外網上的各種服務；而且對外提供服務器的“虛擬主機”的數(shù)量是龐大的，多大上百、上千甚至上萬，無論是DNAT還是SNAT，都無法滿足此需求，因此需要一種全新的NAT轉換方式。


【發(fā)明內容】

[0006]本發(fā)明針對上述情況，提供一種尋址和訪問方法、網關及系統(tǒng)，該方法通過一對一的NAT轉換，既能外網主動訪問外網，又能內外主動訪問外網，并提供ARP代理功能，無需將要求轉換的目的地址配置在安全網關的網口上。
[0007]為此目的，本發(fā)明提出了一種尋址和訪問方法，其特征在于，所述方法包括:根據地址轉換列表中存儲的二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換，其中，當報文攜帶外網轉換到內網的請求時，從所述地址轉換列表中尋找對應的內網IP地址，將所述攜帶外網轉換到內網的請求的報文的目的IP地址轉換成所述內網IP地址；當報文攜帶內網轉換到外網的請求時，從所述地址轉換列表中尋找對應的外網IP地址，將所述攜帶內網轉換到外網的請求的報文的源IP地址轉換成所述外網IP地址。
[0008]其中，所述內網IP地址配置在虛擬主機上。
[0009]其中，在所述對內網轉換到外網的請求進行對應的地址轉換或所述對外網轉換到內網的請求進行對應的地址轉換時，通過ARP代理來進行ARP響應。
[0010]其中，所述二元地址組是由所述內網IP地址和所述外網IP地址形成的一對一的二元地址組。
[0011]本發(fā)明的另一個方面，提供了一種網關，所述網關包括:收發(fā)單元，用于接收和發(fā)送攜帶地址轉換請求的報文；存儲單元，用于存儲地址轉換列表，所述地址轉換列表包含至少一個由內網IP地址與外網IP地址形成的一對一的二元地址組；處理單元，所述處理單元分別于所述收發(fā)單元和所述存儲單元連接，用于根據所述二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換。
[0012]其中，所述處理單元還用于在地址轉換時通過ARP代理提供相應的ARP響應。
[0013]本發(fā)明的又一個方面，提供一種尋址和訪問系統(tǒng)，所述系統(tǒng)包括:如上所述的網關；服務器，該服務器用于將內網IP地址配置虛擬主機。
[0014]通過上述實施例可知，使用本發(fā)明的尋址和訪問方法、網關及系統(tǒng)，通過一對一的IP地址組配置，可以實現(xiàn)當虛擬主機的外網IP地址發(fā)生變化時，不需要對內網網絡拓撲結構進行相應的修改。同時本發(fā)明不僅僅是一種DNAT轉換，也是一種SNAT轉換，內網主機可以通過這種一對一的NAT轉換實現(xiàn)外網訪問內網和內網訪問外網。另外，使用該方法不需要將大量外網IP地址都配置在安全網關上，通過ARP代理功能即可實現(xiàn)ARP響應，從而使得該方法方案靈活，易于內網管理。

【專利附圖】

【附圖說明】
[0015]通過參考附圖會更加清楚的理解本發(fā)明的特征和優(yōu)點，附圖是示意性的而不應理解為對本發(fā)明進行任何限制，在附圖中:
[0016]圖1示出了本發(fā)明的尋址和訪問方法的流程圖。
[0017]圖2示出了本發(fā)明的尋址和訪問方法的具體實施例的示意圖。
[0018]圖3示出了本發(fā)明的網關的結構框圖。
[0019]圖4示出了本發(fā)明的尋址和訪問系統(tǒng)的結構框圖。

【具體實施方式】
[0020]下面將結合附圖對本發(fā)明的實施例進行詳細描述。
[0021]圖1示出了本發(fā)明的尋址和訪問方法的流程圖。
[0022]參照圖1，本發(fā)明實施例的尋址和訪問方法包括步驟:
[0023]S1、根據地址轉換列表中存儲的二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換；
[0024]S2、當報文攜帶外網轉換到內網的請求時，從所述地址轉換列表中尋找對應的內網IP地址，將所述攜帶外網轉換到內網的請求的報文的目的IP地址轉換成內網IP地址；
[0025]S2’、當報文攜帶內網轉換到外網的請求時，從所述地址轉換列表中尋找對應的外網IP地址，將所述攜帶內網轉換到外網的請求的報文的源IP地址轉換成外網IP地址。
[0026]在上述方法中，S2和S2’的步驟不區(qū)分先后順序，是內網轉換到外網或外網轉換到內網的兩種轉換情況。
[0027]在上述方法中，內網IP地址配置在內網的虛擬主機上，并且對內網轉換到外網的請求進行對應的地址轉換或所述對外網轉換到內網的請求進行對應的地址轉換時，通過ARP代理來進行ARP響應。
[0028]上述二元地址組是由內網IP地址和外網IP地址形成的一對一的二元地址組。
[0029]在一個實施例，外網IP地址是網絡通信中的公用網絡IP地址，內網IP地址是內部網絡的私用IP地址。
[0030]圖2示出了本發(fā)明的尋址和訪問方法的具體實施例的示意圖。
[0031]參照圖2，本實施例是在云服務的公有云的情況下進行的，在公有云的云服務中，內網服務器提供多個虛擬主機，每個虛擬主機對應地配置一個內網IP地址，在網關的存儲單元存儲的地址轉換列表中有多個二元地址組，該二元地址組是內網IP地址和外網IP地址一對一的二元地址組，如可以設置為:內網IP地址I對應外網IP地址1，內網IP地址2對應外網IP地址2等等。
[0032]在本實施例中，外網IP地址是在云服務中心之外的網絡通信中的公用網絡的用戶的IP地址，即外部網絡的IP地址，內網IP地址是在云服務中心中的各個虛擬主機的私用網絡IP地址。
[0033]本實施例的網關上設置有ARP代理功能，以在進行內外網轉換時提供ARP響應。
[0034]當外網用戶訪問內網時，外網用戶發(fā)送攜帶外網轉換到內網的請求的報文，網關接收到該報文后，在存儲單元的地址轉換列表中尋找對應的二元地址組，并找到對應的內網IP地址，將該報文的目的IP地址轉換成內網IP地址。
[0035]當內網用戶訪問外網時，內網用戶發(fā)送攜帶內網轉換到外網的請求的報文，網關接收到該報文后，在存儲單元的地址轉換列表中尋找對應的二元地址組，并找到對應的外網IP地址，將該報文的源IP地址轉換成外網IP地址。
[0036]圖3示出了本發(fā)明的網關的結構框圖。
[0037]如圖3所示，本發(fā)明的另一個實施例提供了一種網關10，該網關10包括:
[0038]收發(fā)單元100，用于接收和發(fā)送攜帶地址轉換請求的報文；
[0039]存儲單元200，用于存儲地址轉換列表，所述地址轉換列表包含至少一個由內網IP地址與外網IP地址形成的一對一的二元地址組；
[0040]處理單元300，所述處理單元分別于所述收發(fā)單元和所述存儲單元連接，用于根據所述二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換。
[0041]另外，處理單元還用于在地址轉換時通過ARP代理提供相應的ARP響應。
[0042]圖4示出了本發(fā)明的尋址和訪問系統(tǒng)的結構框圖。
[0043]如圖4所示，本發(fā)明的又一個實施例提供了一種尋址和訪問系統(tǒng)，該系統(tǒng)包括:如上所述的網關10和服務器20，服務器20用于對內網IP地址配置虛擬主機。
[0044]通過上述實施例可知，使用本發(fā)明的尋址和訪問方法、網關及系統(tǒng)，通過一對一的IP地址組配置，可以實現(xiàn)當虛擬主機的外網IP地址發(fā)生變化時，不需要對內網網絡拓撲結構進行相應的修改。同時本發(fā)明不僅僅是一種DNAT轉換，也是一種SNAT轉換，內網主機可以通過這種一對一的NAT轉換實現(xiàn)外網訪問內網和內網訪問外網。另外，使用該方法不需要將大量外網IP地址都配置在安全網關上，通過ARP代理功能即可實現(xiàn)ARP響應，從而使得該方法方案靈活，易于內網管理。
[0045]雖然結合附圖描述了本發(fā)明的實施方式，但是本領域技術人員可以在不脫離本發(fā)明的精神和范圍的情況下做出各種修改和變型，這樣的修改和變型均落入由所附權利要求所限定的范圍之內。
【權利要求】
1.一種尋址和訪問方法，其特征在于，所述方法包括: 根據地址轉換列表中存儲的二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換， 其中，當報文攜帶外網轉換到內網的請求時,從所述地址轉換列表中尋找對應的內網IP地址，將所述攜帶外網轉換到內網的請求的報文的目的IP地址轉換成所述內網IP地址； 當報文攜帶內網轉換到外網的請求時，從所述地址轉換列表中尋找對應的外網IP地址，將所述攜帶內網轉換到外網的請求的報文的源IP地址轉換成所述外網IP地址。
2.根據權利要求1所述的尋址和訪問方法，其特征在于，所述內網IP地址配置在虛擬主機上。
3.根據權利要求1所述的尋址和訪問方法，其特征在于，在所述對內網轉換到外網的請求進行對應的地址轉換或所述對外網轉換到內網的請求進行對應的地址轉換時，通過ARP代理來進行ARP響應。
4.根據權利要求1所述的尋址和訪問方法，其特征在于，所述二元地址組是由所述內網IP地址和所述外網IP地址形成的一對一的二元地址組。
5.一種網關，其特征在于，所述網關包括: 收發(fā)單元，用于接收和發(fā)送攜帶地址轉換請求的報文； 存儲單元，用于存儲地址轉換列表，所述地址轉換列表包含至少一個由內網IP地址與外網IP地址形成的一對一的二元地址組； 處理單元，所述處理單元分別于所述收發(fā)單元和所述存儲單元連接，用于根據所述二元地址組，對內網轉換到外網的請求進行對應的地址轉換或對外網轉換到內網的請求進行對應的地址轉換。
6.根據權利要求5所述的網關，其特征在于，所述處理單元還用于在地址轉換時通過ARP代理提供相應的ARP響應。
7.—種尋址和訪問系統(tǒng)，其特征在于，所述系統(tǒng)包括: 權利要求5-6所述的任一項的網關； 服務器，用于對內網IP地址配置虛擬主機。
【文檔編號】H04L29/12GK104202439SQ201410350747
【公開日】2014年12月10日 申請日期:2014年7月22日 優(yōu)先權日:2014年7月22日
【發(fā)明者】何志福 申請人:北京漢柏科技有限公司