在網絡中實現透明網關或代理伺服器的方法
2023-10-04 23:42:49 2
專利名稱：在網絡中實現透明網關或代理伺服器的方法
技術領域：
本發明涉及一種在網絡中實現透明網關或代理伺服器的方法，特別是在路由器，網關或開關裝置使用修正網絡地址變換(以下稱「NAT」)實現透明網關或透明代理伺服器的方法。
通常，一個闖入中斷系統的代理伺服器或網關通常作為一個網關使用。在代理伺服器中，用戶通常設置或進入一個代理伺服器，然後，再進入一個所需的伺服器。但是，在透明網關中，由於透明網關在完成確認程序後與真實伺服器建立一個連接，用戶直接進入一個所需的系統而不知道網關或代理伺服器的存在，因此用戶和伺服器可以相信他們沒有通過網關與夥伴直接聯繫。
現有技術存在網絡代理伺服器的透明網關系統的構造。
這裡，如果一個網絡服務埠將一個指定的TCP數據包重新定位到網絡設備上的代理伺服器，代理伺服器取得所有數據包並通過自己的Internet協議(以下稱「IP」)再連接到伺服器與其通信。由於網絡上使用包含主機名稱和被連接的夥伴網絡伺服器的URL的HTTP協議，上述過程才可能。
儘管該方法對於允許用戶直接連接到伺服器不用指定的代理伺服器是有作用的，這裡產生了一個問題，伺服器承認的不是原始客戶而是代理伺服器為其客戶。這一結構的問題不僅在於伺服器確認正確客戶有困難，而且在基於IP認證系統的適應上存在致命缺點。另外，由於伺服器幾乎不確認正確用戶，服務可能不能提供給那些通過網關的用戶，除非相應的問題得到解決。因此，出於安全和其他目的應用網關的企業或機構可能面對在網關的運作上的問題。
首先，需要改變用戶環境的額外工作。第二，必須承擔教育用戶正確使用網關的沉重過程。第三，用於操作幫助-平臺的由用戶在使用實際中可能產生的那部分的額外花費。第四，儘管運行上述透明網絡代理伺服器，網際網路上基於IP的大量系統的控制伺服器不能收到適當的服務。第五，由於透明網絡代理伺服器只是對於可以確認在存在應用協議例如HTTP的目標伺服器可使用，如果網關是由如Telnet或FTP的網關構成，用戶必須首先進入一個網關，然後，為了建立一個連接伺服器的網關的IP。因此實現一個透明代理伺服器或透明網關不僅對於透明代理伺服器，而且對於基於TCP的所有服務的應用程式是必要的。
在近些年經歷快速增長的Internet的結構，是首先產生在幾十年前，它提供的大量連接現在是不可預見的。作為解決可行的IP的方式，NAT概念被引入。NAT是一個概念，基於重新使用個人網絡地址，通常應用到一個路由器或相似方式，路由器從每個埠接收數據，根據NAT規則(Mapping Rule變址規則)將一個IP數據包的源IP位址欄位變換為一個授權IP位址然後傳輸。
如果個人網絡請求進入擴展網絡，應用上述NAT的網絡設備在分離的地址工具中儲存一個適當數量的IP位址，並在沒有使用的授權地址中分配那些地址給個人網絡。這裡，授權IP位址的變換是由一個NAT表完成的。
圖1為通常描述的基本NAT概念圖。如圖1所示，在基本NAT中輸出數據流的情況，一個全球IP位址被分配給原始本地IP位址然後記錄在NAT表，本地IP位址變換為全球IP位址然後傳輸。當輸入數據流的情況，使用目標的全球IP位址，也就是上述輸出數據流的情況的變換源搜索一個本地IP位址，然後全球IP位址變換為本地IP位址。由於在該基本NAT中數據流通過目標IP位址單獨分離，並由多個主機同時共享一個IP位址是不可能的，當一個IP位址的使用率急劇減少時，地址的變換減輕。下面給出了參考圖1的一個詳細介紹。
例如，假設本地網絡的主機A與全球網絡的主機X通訊，而本地網絡主機B與全球網絡主機Y通訊，源A的地址以及在那裡分配的全球IP位址G記錄在從A到X數據流的NAT表中。另外，如果分配從A到X(G)數據流的同樣IP位址也如圖1所示分配從B到Y的數據流，在基本NAT輸入時，當只根據從Y到目標地址G的傳輸數據檢索NAT表時，A和B的本地地址被檢索，這樣對於傳輸數據產生混淆。因此，在本地網絡中具有分別的IP位址的多個主機不能被變換為一個，並且在基本NAT中同樣全球同步IP也是這樣。為了解決這一問題，在服務站通常使用NAT表保持IP記錄，埠等等。
還有在圖1中，對於從A到X的數據流，源A的地址和埠號100以及分配的全球IP位址G和埠號1000記錄在NAT表中。從B到Y的數據流，具有可變的埠號2000的全球地址G可被分配到源B的地址和埠號100。在輸入數據流時，為了傳輸從Y到B的傳輸數據，如果NAT表用目的地址G和埠號2000檢索，只有B的本地地址和埠號100被搜索到，因此，從A到X的數據流可以與從B到Y的數據流分離。
為了實現上述目的，本發明提供了一種通過使用包括一個NAT表的網絡設備在包括網關或代理伺服器的網絡中實現透明網關或透明代理伺服器的方法。另外，本發明包括，第一步，確認一個收到的數據包的源埠或目標埠是否在NAT表中；第二步，如果上述源埠或目標埠在第一步中存在確認於上述NAT表中，記錄對話信息表中的對話；第三步，在上述第二步之後變換上述數據包中的IP位址。
圖2為一個IP頭的組成圖。
圖3為一個TCP頭的組成圖。
圖4為根據本發明使用透明網關的網絡組成圖。
圖5為變化NAT技術的概念圖。
圖6為根據本發明一個連接通常網關的TCP對話連接程序例子的流程圖。
圖7為根據本發明由透明代理伺服器設置的網關的TCP對話連接程序例子的流程圖。
圖8為根據本發明的變化的NAT方法的流程圖。
圖9和圖10為根據本發明的NAT方法的其他實施例流程圖。
發明的較佳實施例下面詳述本發明的較佳實施例，圖2是一IP報頭的結構，圖3是一顯示了一TCP報頭的結構的圖，圖4是根據本發明的應用，透明網關的網絡結構。
圖4中，一顧客10可以直接與伺服器70通信。然而，出於安全或者其他目的通常在網絡間設置網關。這種網關的典型例子是闖入者切斷系統。其它的網關例如網絡代理伺服器，SMTP網關，FTP網關，Telnet網關等等也可以考慮。當在網絡的交通路徑上安裝了網關，顧客通常不得不通過改變環境來進入網關。當顧客通過一IP數據程序與伺服器通訊時，網關再次進入伺服器。從而，包含NAT的網絡設備30中的IP數據程序的IP報頭可被更改。如果流出數據包是需要網關的數據包，數據包的目標IP改變以使網關可以收到該數據包。然後該數據報流向網關G140或者網關G250以被閱讀並被後者處理。處理結束後，數據包傳送回網絡設備30，因此網絡設備30將數據包的源IP從網關IP改為顧客IP。然後，將其傳送給伺服器70。
現在，解釋隨後的伺服器70的引入數據包。接收到引入數據包後，網絡設備30將目標IP從顧客IP改為網關40，50的IP。由網關40，50處理後，該數據包傳送回網絡設備30，然後，數據包的源IP改變為伺服器70的IP後，將數據包傳送給顧客10。這樣，在網關IP隱藏的情況下，完成了顧客10與伺服器70的通信。
參考圖5和圖6，依照本發明的實現透明網關或者透明代理伺服器的的方法的例子在下面給出。
圖5顯示了根據本發明使用各種NAT技術實現透明網關或者透明代理伺服器的方法的實施例的結構描述，圖6是根據本發明普通網關TCP對話連接的例子的流程圖。
圖5中，主機C100是IP位址是C的顧客，主機S110是IP位址是S的伺服器。現在，網絡設備130的NAT表定義了附圖中所描述的，也就是，使用埠號23的Telnet的目標埠是23，使用網關G，使用埠號是80的網的目標埠是80，使用網關G。
如圖5和圖6所示，主機C100試圖與主機S110建立通信連接。在這個程序過程中，TCP數據包中設置SYN標記(CG，23SYN)。TCP報頭包括源埠和目標埠。網絡設備的NAT130認可目標埠是23或者80的數據包可被傳送。這裡，在其目標IP改為G後，數據包發送到網關120。網絡設備130在對話信息表中的註冊有以下結構，發送數據包括在表中。
收到該數據包後，網關120以其設置的SYN標記和ACK標記從顧客100傳送到網絡設備130(G，23C SYN+ACK)。網絡設備130，於是，決定如何參考對話信息表處理該數據包。由於源埠是23，可以知道該數據包是顧客的相應數據包。因而，該數據包的源IP改為伺服器IP後傳送給顧客。
然後，顧客100發送包含ACK標記(CG，23ACK)的數據包。因此，顧客和網關間的TCP連接建立。上述程序的問題在於，網關並不知道實際的目標IP。這樣，網絡設備130的NAT只好將上表的值傳送回網關120。如圖6所示，包括NAT的網絡設備130將對話信息傳送給網關120。現在，網關120知道了實際伺服器IP，可以建立連接。
然後，網關120傳送包括SYN標記(GS，23SYN)的數據包以通過TCP連接到伺服器。數據包的源IP改為網關IP C(G；S，23SYN)，作為顧客IP根據網絡設備130的上述表格傳送給網關。伺服器110傳送響應數據包(S，23C SYN+ACK)至顧客100。這裡，由於網絡設備130首先閱讀並處理該數據包，可知網關120使用了上述對話信息的值。從而，該數據包的目標IP從顧客C改為網關(G S，23G SYN+ACK)後，傳送到網關120。
如果網關120將按照ACK標記(GS，23ACK)設置的數據包傳送回伺服器110，網絡設備130將由對話信息表(CS，23ACK)獲得的顧客信息修改過的數據包傳送給伺服器120。因此在網關100和伺服器110之間建立起TCP連接。通過這種方法，真實顧客100通過網關120與伺服器110使用TCP連接。
圖7是根據本發明由透明代理伺服器設置的TCP對話連接過程實例的流程圖。
一些通用商業網關或代理伺服器可以通過其應用程式識別目標的地址，典型的例子是信件傳遞系統和網絡代理伺服器HTTP。在這種情況下，目標IP在應用程式的數據中搜索。然而，在這種情況下，由於當對話信息如圖6所示傳送給網關時，應用程式的協議已經更改，產生了商業程序不能如它所能提供的功能使用。為解決該問題，在圖5中的NAT表中提供了模式欄。這裡模式值G，意味著這是一通用網關，模式值T意味著這是一可識別目標IP的透明網關。
如果目標埠設置為80且網絡代理伺服器設置為網關，模式則設為T，如圖7所示的TCP連接可以建立。然而，圖7和圖6的不同之處在於對話信息沒有傳送給網關。
圖8是根據本發明不同NAT方法的流程圖。
在接收數據包時，確認數據包是否是TCP或者不是S800。當其不是TCP時，數據包直接傳送。當數據包是TCP時，確認目標埠是否是在NAT表S810中。如果目標埠不在NAT表中，進一步確認源埠是否在NAT表S820中。如果源埠不在NAT表中，意味著數據包與網關無關，直接由數據包傳送模塊傳送。
當源埠或目標埠在NAT表中存在時，確定源IP是否是網關IPS830。作為參考，這裡沒有目標IP是網關IP的情況，因為將目標IP改變為網關IP是NAT的功能。
當目標IP不是網關IP時，意味著該數據包是顧客數據包或伺服器數據包，這需要相對更多的處理。如果數據包由SYN標記S840設置，意味著該數據包是對話初始化數據包，該對話在對話信息表S850中註冊。
之後，確認網關模式是否是G S860。如果網關模式不是G而是T，數據包不改變IP位址直接傳送到數據包傳送模塊。如果數據包是G，進行對話信息表中的對話搜索870。搜索方法由使用唯一記錄包括源IP信息，源埠，目標IP，目標埠S880搜索是否有結果決定。
當該表產生任何結果後，目標IP改變為網關IPS900，數據包傳送給模塊。當該表沒有產生結果時，數據包被丟棄S890。上述描述涉及到當從顧客或者伺服器收到數據包的情況。
然而，網關處理並傳送數據包S830，對話信息表中的記錄用目標IP，目標埠，網關IP和源埠S910搜索。搜索後，確定表是否產生了任何結果S920。表產生了任何結果時，如果數據包由FIN標記設置了兩次或者該數據包由RST標記設置S940，則對話從對話表S950中刪除，在表S960中源IP由網關IP改為真實IP，數據包傳送到數據包傳送模塊。
在以上步驟S940中，如果由FIN標記設置的數據包沒有發生兩次或者該數據包由RST標記沒有處理，則忽略刪除對話950的步驟，該數據包在表中源IP由網關IP改為真實IP後，傳送給數據包傳輸模塊。
另一方面，如果對話信息表不包括上述步驟S920的記錄，數據包被丟棄S930。
然後，根據圖9和其他
本發明的另一實現透明網關或透明代理伺服器的方法的實施例。上述實施例實現透明網關或透明代理伺服器的問題部分是將對話信息傳送回網關。可以選擇的是，本系統可刪除傳送對話信息至網關的部分並如圖9所示使用TCP/IP的特性使得源埠不能使用和顧客對話連接相同的埠號，除非目標IP獨自在網關處理。換句話說，對話表如圖9改變，加入了網關對話表。
圖9中每個表生成每個條款的過程在下面解釋。當接收到有SYN標記的數據包時，將對話加到對話表中，除非源IP是網關IPS1000。然後，將網關對話表加入到S1100。這之後，對話表連接到網關對話表S1200。然後，為了從網關對話表S1300中檢索到對話表，網關對話表也連接到對話表。數據包在網關對話表信息的基礎上被修正，也就是目標IP從D1到G1修正，然後，將數據包傳輸到傳輸模塊。
由於網關不能識別目標IP，則嘗試與源IP連接，來替代與目標IP的連接。目標埠連接到源埠使得原始對話被NAT確認。這裡，敘述的重點是雖然源IP是連接的，目標IP實際上是連接的。這種情況下，雖然收到了帶SYN標記的數據包，源IP變為網關IP。這裡，一域加入到網關對話表S1400且在增加的域中該部分將目標IP變為網關IP。為了在網關對話表S1500中搜索對話表，對話表被連接。這裡，對話表由目標對話表和源埠搜索。最後，網關對話表連接到對話表S1600的網關對話。
現在，下面解釋傳送真實數據的過程中地址變換的方法。當源IP為網關IP時，網關對話表被搜索。如果NAT表中存在目標埠，該IP依照由網關對話表的對話指定的對話表的信息進行變換。如果相反，目標埠不存在於NAT表中，埠的IP變為由網關對話表的對話指定的對話表的相反值，也就是對話表中的源IP改為目標IP，對話表中的目標IP改為源IP。
當源IP不是網關IP時，首先搜索對話表。如果搜索得到任何結果，IP改為CPTR指定的網關對話表中具有一表格。如果搜索沒有獲得結果，用相反的IP和埠進行新的搜索，其中源地址和目標地址翻轉。如果搜索獲得結果，IP獲得由SPTR指定的網關對話表的一個表格。
然後，解釋在對話表中刪除一個條目的過程。如果收到的是一個遇到兩個FIN標記的數據包，或者被RST標記設置的數據包，對話完全終止。如果源IP是網關IP，數據包在被按照真實數據傳輸過程修正後被傳輸，然後，網關對話表中的相應的條目被刪除。如果源IP不是網關IP，數據包在依照真實數據傳輸過程修正後被傳輸，然後，對話表中的相應的條目刪除。
圖10是如圖9描述的本發明的方法的另一實施例的流程圖。
這裡，在接收數據包S2000時，確認在NAT表S2010中是否存在目標埠。
如果在NAT表中存在目標埠，需要額外確認是否設置SYN標記S2020。如果SYN標記已經設置，確認源IP是否是網關IP。
如果源IP不是網關IP，數據包在對話表S2040和網關對話表S2050中註冊。然後，數據包連接到對話表S2060的Cptr，IP變為與對話表S2070相同的ST.Cptr。
如果在以上步驟S2030中源IP是網關IP，數據包在網關對話表S2080中註冊，並連接到對話表S2090的Sptr。然後，該IP和埠變為與網關對話表S2100相同的對話。
如果在上述步驟S2020中沒有SYN標記，則確認源IP是否是網關IP S2110，當源IP不是網關IP時，在對話表中搜索對話。當源IP是網關IP時，步驟S2200在下面描述。
下面，確認源IP和目標IP是否翻轉S2130，然後，當源和目標翻轉S2140時，IP和埠變為相同的ST.Sptr。當目標和埠沒有翻轉時，IP和埠改為相同的ST.Cptr。
然後，確認是否設置了FIN或者RST標記S2160，對話表被刪除S2170，當設置了FIN或者RST標記時，數據包傳輸到數據包傳輸模塊。
如果在上述步驟S2010中NAT表中不存在目標埠，還要確認在NAT表中是否存在源埠S2180，當在NAT表中存在源埠，上述S2020步驟重複，當NAT表中不存在源埠，確認源IP和網關IP是否相同S2190。
當源IP與網關IP相同時，在網關對話表中搜索該對話S2200，並確認在表中是否存在對話S2210。
當在網關對話表中不存在對話時，數據包立即傳輸到傳輸模塊，當網關對話表S2220中存在對話，IP和埠變為網關對話表相同的對話。
然後，確認是否設置了FIN或RST標記S2230，數據包立即傳輸到數據報傳輸模塊，當該標記已經設置時，網關對話被刪除S2240後數據包傳輸到數據包傳輸模塊。
雖然依照本發明的實施例，以上已經描述了本發明的結構和效果，本發明的權利不局限在這裡，而是決定於權利要求，本領域技術人員做出的允許的變化、改變和修改將不超出本發明的範圍和精神。
工業實用性如上所述，本發明允許使用者通過一透明網關或者透明代理伺服器與通訊夥伴通訊而不注意到其存在，並不需要在用戶環境中做任何變化。
而且，本發明可使在構造和維持網絡的時間和費用上有實質性的減少，並且不需要培訓使用者如何使用網關。
另外，本發明允許一種基於IP的控制伺服器提供普通服務，即使是需要協議的代理伺服器或網關，保證其透明，即不能從如Telnet或者FTP的目錄知道其目標IP。
權利要求
1.一種在包括網關或代理伺服器的網絡中執行透明網關或透明代理伺服器的方法，通過使用包括一個NAT表的網絡設備，包括第一步，確認在上述NAT表中是否存在一個收到的數據包的源埠或目標埠；第二步，如果在上述第一步中確認上述NAT表中存在上述源埠或目標埠，在對話信息表中記錄該對話；並第三步，在上述第二步之後變換上述數據包中的IP位址。
2.根據權利要求1所述的實現透明網關或透明代理伺服器的方法，其中所述的第三步包括當源IP不是目標IP的情況，設置一個SYN標記時，註冊一個對話的步驟；當預置網關模式是通常網關模式情況，在對話信息中搜索上述對話的步驟；當上述對話搜索得到任何結果時，目標IP改變網關IP的步驟；和如果預置網關模式是透明網關模式，直接傳輸上述數據包的步驟。
3.根據權利要求2所述的執行透明網關或透明代理伺服器的方法，其中所述的對話使用源IP，源埠，目標IP和目標埠搜索。
4.根據權利要求1所述的執行透明網關或透明代理伺服器的方法，其中所述的上述第三步包括當源IP是目標IP時，在對話信息表中搜索上述對話的步驟；和當上述對話搜索得到任何結果時，當設置一個FIN或RST標記時，從數據包中刪除所述對話後，源IP從網關IP改變為真實源IP的步驟。
5.根據權利要求4所述的實現透明網關或透明代理伺服器的方法，其中所述的對話是用目標IP，目標埠，網關IP和源埠搜索。
6.一種在包括網關或代理伺服器的網絡中執行透明網關或透明代理伺服器的方法，通過使用裝有一個NAT表的網絡設備，包括第一步，確認收到的數據包的源埠或目標埠是否在於上述NAT表中；第二步，其中，如果上述源或目標埠在上述第一步中不存在於上述NAT表中，當源IP是網關IP時，對話在網關對話表中搜索；如果源或目標埠存在於上述NAT表中，IP埠按照網關對話表的對話改變；和第三步，在設置FIN或RST標記時，刪除網關對話。
7.一種在包括網關或代理伺服器的網絡中執行透明網關或透明代理伺服器的方法，通過使用裝有一個NAT表的網絡設備，包括第一步，確認收到的數據包的源埠或目標埠是否在上述NAT表中；第二步，如果上述源或目標埠在上述第一步中存在於上述NAT表中，確認是否設置了一個SYN標記；和第三步，在上述第二步中設置SYN標記時，改變IP和埠。
8.根據權利要求7所述的執行透明網關或透明代理伺服器的方法，其中所述的第三步包括如果源IP是一個網關IP，在網關對話表中註冊的步驟；連接對話表的Sptr的步驟；和改變IP和埠與網關對話表相同的步驟。
9.根據權利要求7所述的執行透明網關或透明代理伺服器的方法，其中所述的第三步包括如果源IP不是網關IP，在對話表以及網關對話表中註冊的步驟；連接到對話表的Cptr的步驟；和改變IP和埠與ST.Cptr相同的步驟。
10.一種在包括網關或代理伺服器的網絡中執行透明網關或透明代理伺服器的方法，通過使用裝有一個NAT表的網絡設備，包括第一步，確認收到的數據包的源埠或目標埠是否在上述NAT表中；第二步，其中，如果上述第一步中的上述NAT表中存在上述源埠或目標埠，確認是否設置了SYN標記；和第三步，在上述第二步中沒有設置SYN標記時，改變IP和埠。
11.根據權利要求10所述的執行透明網關或透明代理伺服器的方法，其中所述的第三步包括如果源IP是網關IP，在網關對話表中搜索對話，並當對話表存在時，將網關對話表和對話表的IP和埠變換為相同的步驟，和在設置了FIN或RST標記時刪除網關對話的步驟。
12.根據權利要求10所述的執行透明網關或透明代理伺服器的方法，其中所述的第三步包括如果源IP不是網關IP，在網關對話表中搜索對話，並確認當對話存在時是否源IP和目標IP被調換的步驟；當源IP和目標IP被調換時改變IP和埠與ST.Sptr相同，和在設置FIN或RST標記後刪除對話表的步驟；和當源IP和目標IP沒有被調換時改變IP和埠與ST.Cptr相同，和在設置FIN或RST標記後刪除對話表的步驟。
全文摘要
本發明涉及一種在網絡中執行透明網關或代理伺服器的方法，特別的特徵在於，使用NAT傳輸方法特別是在應用例如路由器，網關和/或開關裝置的地址轉化方法的網絡設備中使用NAT轉換方法。根據本發明，客戶和伺服器可以通過在網絡路徑中提供的但不用識別的網關相互通訊。
文檔編號H04L29/06GK1460347SQ02800801
公開日2003年12月3日 申請日期2002年4月4日 優先權日2001年6月22日
發明者李在亨 申請人:埃克斯克網絡有限公司