的IP地址和相同的目的端口號，同時兩塊業(yè)務(wù)板NAT實現(xiàn)都采用上述方法根據(jù)式(I)選取源端口號。
[0058]由已知條件得出推論1:報文I的反向報文必定會分流到業(yè)務(wù)板1，報文2的反向報文必定會分流到業(yè)務(wù)板2
[0059]假設(shè):由于兩塊業(yè)務(wù)板獨立處理NAT，選取轉(zhuǎn)換后源端口時恰好選擇了相同的端口號，導(dǎo)致報文I和報文2轉(zhuǎn)換后的報文具有相同的四元組，即問題2所描述的情況。
[0060]由假設(shè)得出推論2:那么報文I的反向報文和報文2的反向報文也具有相同四元組，到達NAT設(shè)備時應(yīng)該分流到相同的業(yè)務(wù)板。
[0061]“由假設(shè)得出的推論2”與“由已知條件得出的推論I”相違背，所以假設(shè)不成立，即當業(yè)務(wù)板NAT采用本方案描述的方法選取源端口號時，不會出現(xiàn)問題2描述的情況。這是因為每塊業(yè)務(wù)板采用本方法計算端口號時使用不同的hash值，計算出的端口號屬于不同的范圍，所以當分別在不同業(yè)務(wù)板上進行NAT處理且具有不同四元組的IP報文，經(jīng)過地址轉(zhuǎn)換后具有相同的源IP地址、相同的目的IP地址和相同的目的端口號時，不同的業(yè)務(wù)板不會分配相同的源端口號。
[0062]綜上所述，通過采用“按報文四元組hash分流”的分流方式和利用hash等式計算合適的源端口的方式來保證做NAT的正向報文和反向報文經(jīng)過同一塊業(yè)務(wù)板，從而解決了分布式網(wǎng)絡(luò)設(shè)備處理多業(yè)務(wù)板NAT時存在的兩大問題。
[0063]進一步，需要說明的是，當與所述IP報文匹配的NAT策略不存在時，則直接轉(zhuǎn)發(fā)所述IP報文。當接收到所述正向IP報文對應(yīng)的反向報文時，根據(jù)所述正向IP報文創(chuàng)建的NAT會話表項對反向報文進行NAT處理并轉(zhuǎn)發(fā)。
[0064]相應(yīng)的，本發(fā)明還提供一種NAT設(shè)備的實施例，參考圖7所示的結(jié)構(gòu)示意圖，所述NAT設(shè)備包括:
[0065]地址轉(zhuǎn)換模塊71，用于根據(jù)正向IP報文匹配的NAT策略對所述報文的IP地址進行地址轉(zhuǎn)換；
[0066]端口轉(zhuǎn)換模塊72，用于根據(jù)預(yù)設(shè)的hash約束條件對所述IP報文四元組
[0067]中的源端口號進行轉(zhuǎn)換，其中所述預(yù)設(shè)的hash約束條件包括:所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換后的報文四元組的hash值與所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換前的報文四元組的hash值相等；
[0068]會話創(chuàng)建模塊73，用于根據(jù)所述IP報文的IP地址和源端口號的轉(zhuǎn)換過程創(chuàng)建該IP報文的NAT會話表項；
[0069]發(fā)送模塊74，用于轉(zhuǎn)發(fā)所述IP報文。
[0070]本實施例提供的技術(shù)方案中，對IP報文的IP地址進行轉(zhuǎn)換，之后對源端口號進行轉(zhuǎn)換，轉(zhuǎn)換時在IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換后的報文四元組的hash值與IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換前的報文四元組的hash值相等的條件下進行，這樣可以保證同一主機的正向報文和反向報文被分配到同一業(yè)務(wù)板。保證反向報文能夠查找到根據(jù)正向報文創(chuàng)建的會話表項。同時，當分別在不同業(yè)務(wù)板上進行NAT處理且具有不同四元組的IP報文，經(jīng)過地址轉(zhuǎn)換后具有相同的源IP地址、相同的目的IP地址和相同的目的端口號時，由于不同的業(yè)務(wù)板對應(yīng)不同的hash值，使得不同業(yè)務(wù)板對應(yīng)的轉(zhuǎn)換后的源端口號是不同的，即四元組不同的兩個或多個報文經(jīng)過地址轉(zhuǎn)換后它們的四元組也不同，保證多對一 NAT時，反向報文能夠根據(jù)端口號正確的回到原主機。
[0071]優(yōu)選的，所述NAT設(shè)備進一步還可以包括:
[0072]數(shù)據(jù)處理模塊，用于接收到所述正向IP報文對應(yīng)的反向報文時，根據(jù)所述正向IP報文創(chuàng)建的NAT會話表項對反向報文進行NAT處理；
[0073]觸發(fā)模塊，用于觸發(fā)所述發(fā)送模塊轉(zhuǎn)發(fā)處理后的IP報文。
[0074]其中，IP報文的分配由基于四元組的hash算法確定。所述IP報文的四元組包括IP報文的源IP地址、源端口號、目的IP地址、目的端口號。
[0075]在本發(fā)明中，需要說明的是，本發(fā)明提供的各實施例中所述的對IP報文的IP地址進行轉(zhuǎn)換可以是對源IP地址轉(zhuǎn)換，也可以是對目的IP地址轉(zhuǎn)換，這里不作限定。
[0076]以上實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述實施例對本發(fā)明進行了詳細的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當理解:其依然可以對前述各實施例所記載的技術(shù)方案進行修改，或者對其中部分技術(shù)特征進行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的精神和范圍。
【主權(quán)項】
1.分布式系統(tǒng)中多業(yè)務(wù)板分流時的NAT處理方法，其特征在于，包括: 根據(jù)正向IP報文匹配的NAT策略對所述報文的IP地址進行地址轉(zhuǎn)換； 根據(jù)預(yù)設(shè)的hash約束條件對所述IP報文的源端口號進行轉(zhuǎn)換，其中所述預(yù)設(shè)的hash約束條件包括:所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換后的報文四元組的hash值與所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換前的報文四元組的hash值相等； 根據(jù)所述IP報文的IP地址和源端口號的轉(zhuǎn)換過程創(chuàng)建該IP報文的NAT會話表項并轉(zhuǎn)發(fā)該報文。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括:當接收到所述正向IP報文對應(yīng)的反向報文時，根據(jù)所述正向IP報文創(chuàng)建的NAT會話表項對反向報文進行NAT處理并轉(zhuǎn)發(fā)。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括: 當與所述IP報文匹配的NAT策略不存在時，則直接轉(zhuǎn)發(fā)所述IP報文。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述正向IP報文采用基于報文四元組的hash算法進行分流。
5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述IP報文的四元組包括IP報文的源IP地址、源端口號、目的IP地址、目的端口號。
6.一種NAT設(shè)備，其特征在于，所述NAT設(shè)備包括: 地址轉(zhuǎn)換模塊，用于根據(jù)正向IP報文匹配的NAT策略對所述報文的IP地址進行地址轉(zhuǎn)換； 端口轉(zhuǎn)換模塊，用于根據(jù)預(yù)設(shè)的hash約束條件對所述IP報文四元組中的源端口號進行轉(zhuǎn)換，其中所述預(yù)設(shè)的hash約束條件包括:所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換后的報文四元組的hash值與所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換前的報文四元組的hash值相等； 會話創(chuàng)建模塊，用于根據(jù)所述IP報文的IP地址和源端口號的轉(zhuǎn)換過程創(chuàng)建該IP報文的NAT會話表項； 發(fā)送模塊，用于轉(zhuǎn)發(fā)所述IP報文。
7.根據(jù)權(quán)利要求6所述的NAT設(shè)備，其特征在于，所述NAT設(shè)備還包括:數(shù)據(jù)處理模塊，用于接收到所述正向IP報文對應(yīng)的反向報文時，根據(jù)創(chuàng)建的所述正向IP報文的NAT會話表項對反向報文進行NAT處理； 觸發(fā)模塊，用于觸發(fā)所述發(fā)送模塊轉(zhuǎn)發(fā)處理后的IP報文。
8.根據(jù)權(quán)利要求6所述的NAT設(shè)備，其特征在于，所述正向IP報文采用基于四元組的hash算法進行分流。
9.根據(jù)權(quán)利要求6所述的NAT設(shè)備，其特征在于，所述IP報文的四元組包括IP報文的源IP地址、源端口號、目的IP地址、目的端口號。
【專利摘要】本發(fā)明實施例公開了一種分布式系統(tǒng)中多業(yè)務(wù)板分流時的NAT處理方法及設(shè)備，應(yīng)用于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，保證正向報文和反向報文分配到同一業(yè)務(wù)板，且可以避免多業(yè)務(wù)板中報文端口沖突的問題。本發(fā)明實施例中，根據(jù)正向IP報文匹配的NAT策略對報文的IP地址進行地址轉(zhuǎn)換；根據(jù)預(yù)設(shè)的hash約束條件對所述IP報文四元組中的源端口號進行轉(zhuǎn)換，所述預(yù)設(shè)的hash約束條件包括：所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換后報文四元組的hash值與所述IP報文地址轉(zhuǎn)換和端口轉(zhuǎn)換前的報文四元組的hash值相等；根據(jù)所述IP報文的上述轉(zhuǎn)換過程創(chuàng)建該IP報文的NAT會話表項。
【IPC分類】H04L29-08, H04L29-12
【公開號】CN104580550
【申請?zhí)枴緾N201410843206
【發(fā)明人】付言華, 常超, 鄒希良, 陳旭
【申請人】北京天融信科技有限公司, 北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司, 北京天融信軟件有限公司
【公開日】2015年4月29日
【申請日】2014年12月30日