CN1232080C - 网络中节省ip地址提供内部服务器的方法 - Google Patents

Abstract

本发明涉及一种网络中节省IP地址提供内部服务器的方法，该方法包括：首先，配置内部服务器的外部地址、外部端口、外部协议号与内部地址、内部端口、内部协议号；然后，将内部网络需要与外部因特网交换的报文所承载的地址、端口、协议号分别与所配置的地址、端口、协议号相匹配；最后，根据匹配结果对该报文做地址和端口的替换处理。本发明可以很容易的提供局域网内部的WEB服务器、FTP服务器等，且不会占用更多的合法的公有IP地址，大大节省了有限的公有IP地址资源，且本发明实现了对内部服务器的支持可以到达端口级，为网络设备的安全提供了保障。

Description

网络中节省IP地址提供内部服务器的方法

技术领域

本发明涉及一种网络通信技术，尤其涉及一种网络中节省IP地址提供内部服务器的方法。

背景技术

网络地址转换(NAT：Net address translation)技术提供了一种局域网内部主机访问互联网的手段，解决了互联网协议(IP)地址短缺问题；同时应用NAT技术，局域网的内部主机对互联网来说是不可见的，即互联网上的主机不能主动访问内部主机，例如有一个内部局域网的主机IP地址是10.110.0.0/24，而该局域网利用专线连接到互联网上，拥有从网络服务供应商(ISP)申请的合法的IP地址：202.38.160.1，此时便可以通过NAT技术，使得局域网的所有主机都可以共享202.38.160.1这个地址访问互联网，但是互联网上的主机无法主动访问到局域网中的任一内部主机。

随着网络技术的发展，很多单位开始使用私有地址建立内部局域网，而且有时需要局域网内部主机用于资源存放，允许互联网上的用户访问，例如局域网提供网页(WEB)服务器，这就要求互联网上的用户可以访问局域网内部提供WEB服务器的主机。目前，为了实现互联网上的主机可以访问局域网内部的主机，常用的技术是配置一个“静态映射”，例如该局域网想设置一台WEB服务器，其内部IP地址为10.110.0.1，则必须配置一个静态的映射，将通过ISP申请的合法IP地址202.38.160.1和地址10.110.0.1绑定，这样互联网上的主机如果想访问这台WEB服务器，就可以通过访问IP地址202.38.160.1，而访问到内部IP地址为10.110.0.1的主机。上述方法虽然满足了局域网提供内部服务器的要求，但同时也使得局域网的其他主机无法利用该合法IP地址对互联网进行访问，造成了合法的公有IP地址的浪费；并且该局域网不能再提供其它对外服务(比如想提供一个域名服务器(DNS)或者文件传输协议(FTP)服务器)。

由上述现有技术可以看出，在局域网中通过静态绑定地址的方法提供内部服务器存在如下缺点：

第一，静态绑定IP地址的方法虽然使局域网的内部服务器可以被互联网上的主机访问，但同时使得IP地址不能被充分利用，浪费了有限的IP地址资源。

第二，现有的技术方案存在较大的安全隐患：通常对外提供的服务器都是单一用途，例如WEB服务器就是为了给外部提供超文本传输协议(Http：Hypertext Transfer Protocol)服务，该主机只需要提供80端口的访问即可，但使用了静态绑定的方式提供WEB内部服务器，则外部网络的用户不但可以访问到内部服务器的80端口，还可以访问其它任何端口，例如某个服务器可以通过远程登录(Telnet)进行维护，这种维护只有内部网络设备可以进行，但如果使用了静态绑定的地址转换方式，那么外部网络的主机也可以Telnet到该服务器上，给内部服务器的安全带来了隐患。

第三，现有技术无法通过内部服务器的非标准端口提供内部服务，例如，如果局域网需要提供2个WEB服务器，其中一个WEB服务器不使用80端口，而使用8080端口，那么现有技术便无法实现。

发明内容

本发明的目的是提供一种网络中节省IP地址提供内部服务器的方法，使内部局域网在提供内部服务器时，可以节省IP地址资源、保证内部服务器安全。

本发明的目的是这样实现的：网络中节省IP地址提供内部服务器的方法，包括：

(1)配置内部服务器的外部地址、外部端口、外部协议号与内部地址、内部端口、内部协议号的地址、端口、协议号信息；

(2)将内部网络需要与外部因特网交换的报文所承载的目的地址、目的端口、目的协议号分别与所配置的外部地址、外部端口、外部协议号相匹配；或源地址、源端口、源协议号分别与所配置的内部地址、内部端口、内部协议号相匹配；

(3)根据匹配结果用内部地址、内部端口替换报文中的目的地址、目的端口；或用外部地址、外部端口替换报文中的源地址、源端口。

所述的内部网络需要与外部因特网交换的报文通过地址转换路由器处理后进入外部因特网。

所述步骤(2)中的外部因特网交换的报文所承载的相关信息分别与所配置的对应关系信息相匹配状态为：外部因特网收到报文的目的地址与外部地址一致、所述因特网收到报文的目的地址与外部地址的端口号和协议号分别一致。

所述的步骤(2)还进一步包括：

(41)判断通过地址转换路由器的报文是内部网络要接收的外部发来的报文，还是内部网络向外部发送的报文；

(42)如果是内部网络要接收的外部发来的报文，则将报文所承载的目的地址、目的端口及目的协议号与所配置的外部地址、外部端口及外部协议号相匹配；

(43)如果是内部网络向外部发送的报文，则将报文的源地址、源端口及源协议号与所配置的内部地址、内部端口及内部协议号相匹配。

对于内部网络要接收的外部发来的报文，所述的步骤(3)还进一步包括；

(51)判断内部服务器的对应关系信息中是否有与内部服务器的映射表相匹配的表项；

(52)如果有，则利用与内部网络要接收的外部发来的报文的相关信息匹配的外部地址、外部端口所对应的内部地址、内部端口替换报文中的目的地址、目的端口；

(53)如果没有，则对该内部网络要接收的外部发来的报文不作处理。

对于内部网络向外部发送的报文，所述的步骤(3)还进一步包括：

(61)判断内部服务器的对应关系信息中是否有与内部服务器的映射表相匹配的表项；

(62)如果有，则利用与内部网络向外部发送的报文的相关信息匹配的内部地址、内部端口所对应的外部地址、外部端口替换报文中的源地址、源端口；

(63)如果没有，则对该内部网络向外部发送的报文不作处理。

由上述本发明的技术方案可以看出，本发明可以很容易的提供局域网内部的WEB服务器、FTP服务器等，且不会占用更多的合法IP地址。例如局域网内部的WEB服务器和FTP服务器不在一台内部主机上，两个服务器具有着不同的内部私有IP地址，仍可以通过相同的合法的公有IP地址向外部网络提供服务。本发明节省了有限的合法的公有IP地址资源，解决了现有技术方案中为每一个内部服务器提供一个静态地址映射所存在的浪费合法的公有IP地址的问题。另外，本发明所提供的技术方案还可以实现对内部服务器的支持可以到达端口级，允许用户按照自己的需要配置内部服务器以提供给外部的端口、协议，例如，通过配置，外部网络的用户可以通过“http：//202.110.10.10：8080”这样的地址来访问内部地址为10.110.10.10的Web服务器，且访问使用的是内部服务器的8080端口。

附图说明

图1为本发明的应用环境示意图；

图2为本发明具体实施方案的流程图。

具体实施方式

本发明的应用环境如图1所示，图中内部网络通过地址转换路由器(NAT Router)接入互联网(Internet)，内部网络中包括内部主机PC1、内部服务器SERVER，内部网络采用以太网(Ethernet)组网方式组网。内部网络通过ISP获取一个合法的公有IP地址，网络内部的主机用户可共同使用该合法IP地址访问互联网，同时，本发明还保证内部网络中的内部服务器可对外提供服务，即保证外部主机可以通过该合法的公有IP地址访问到内部网络中对外提供服务的内部服务器。另外，为了保证内部服务器的安全，本发明还限定外部主机访问内部服务器是所应用的端口，即内部服务器可以根据需要设定为仅使用某一特定的端口向外部提供服务。

请参阅图2，为本发明提供的一种网络中节省IP地址提供内部服务器的方法，其具体实施方式叙述如下：

首先，用户需要在NAT Router上配置内部服务器的外部地址、外部端口及外部协议号与内部服务器的内部地址、内部端口及内部协议号，并根据配置的参数建立一个关于内部服务器的映射表，见步骤1，用于支持外部主机通过内部网络的合法的公有IP地址及内部服务器对外提供服务的端口访问内部服务器。

然后，将内部网络接收的报文及内部网络发出的报文所承载的相关信息分别与所配置的对应关系信息相匹配，其匹配过程如下：

首先需要判断通过NAT Router的报文为内部网络接收的报文还是内部服务器向外部发送的报文，见步骤2，其中：

如果是内部网络所接收的外部发来的报文，则将报文所承载的目的地址、目的端口及协议号与内部服务器的映射表中的外部地址、外部端口及外部协议号相匹配，见步骤3，并判断内部服务器的映射表中是否有匹配的表项，见步骤4，如果存在匹配的表项，则认为所接收报文为访问内部服务器的报文，执行步骤5；否则，对该报文不做处理，见步骤6。另外，如果内部服务器的映射表中没有与其相关信息匹配的报文，则可以交由其它处理模块进行处理；

如果是网络内部向外部发送的报文，则将报文的源地址、源端口及协议号与所配置的内部地址、内部端口及内部协议号相匹配，见步骤7，并判断内部服务器的映射表中是否有匹配的表项，见步骤8，如果存在匹配的表项，则认为该报文为内部服务器向外部发送的报文，执行步骤9，否则，对该报文不做处理，见步骤6，而是将该报文交给其它处理模块进行处理。

最后，根据匹配结果对该报文做相应处理，其中：

对于内部网络所接收的外部发来的报文，对于匹配命中的报文，利用内部服务器映射表中，与该报文的相关信息匹配的外部地址、外部端口所对应的内部地址、内部端口替换报文中的目的地址、目的端口，见步骤5，然后继续转发该报文，实现了具有内部地址的内部服务器可以正确地接收外部发来的报文；

对于网络内部向外部发送的报文，利用与报文的相关信息匹配的内部地址、内部端口所对应的外部地址、外部端口替换报文中的源地址、源端口，见步骤9，然后继续向外转发该报文，使从内部服务器向外部发送的报文可以正常进行转发。

由于本发明没有将内部网络通过ISP获取的合法的公有IP地址与内部服务器的私有IP地址静态绑定，从而使内部网络的其它主机也可以基于该公有IP地址进行访问互联网。同时，通过合理地配置内部服务器相关信息的映射表，可以指定内部服务器向外部提供服务所使用的端口，从而保证了内部服务器的安全，总之，只有与用户所建立的内部服务器的映射表中的相关信息匹配的报文，才可以在外部主机与内部网络中的内部服务器间交换，限制了外部主机对内部服务器的非法访问。

Claims (6)

1、一种网络中节省IP地址提供内部服务器的方法，包括：

(1)配置内部服务器的外部地址、外部端口、外部协议号与内部地址、内部端口、内部协议号的地址、端口、协议号信息；

(2)将内部网络需要与外部因特网交换的报文所承载的目的地址、目的端口、目的协议号分别与所配置的外部地址、外部端口、外部协议号相匹配；或源地址、源端口、源协议号分别与所配置的内部地址、内部端口、内部协议号相匹配；

(3)根据匹配结果用内部地址、内部端口替换报文中的目的地址、目的端口；或用外部地址、外部端口替换报文中的源地址、源端口。

2.根据权利要求1所述的网络中节省IP地址提供内部服务器的方法，其特征在于：所述的内部网络需要与外部因特网交换的报文通过地址转换路由器处理后进入外部因特网。

3、根据权利要求1所述的网络中节省IP地址系统内部服务器的方法，其特征在于：所述步骤(2)中的外部因特网交换的报文所承载的相关信息分别与所配置的对应关系信息相匹配状态为：外部因特网收到报文的目的地址与外部地址一致、所述因特网收到报文的目的地址与外部地址的端口号和协议号分别一致。

4、根据权利要求2所述的网络中节省IP地址提供内部服务器的方法，其特征在于所述的步骤(2)还进一步包括：

(41)判断通过地址转换路由器的报文是内部网络要接收的外部发来的报文，还是内部网络向外部发送的报文；

(42)如果是内部网络要接收的外部发来的报文，则将报文所承载的目的地址、目的端口及目的协议号与所配置的外部地址、外部端口及外部协议号相匹配；

(43)如果是内部网络向外部发送的报文，则将报文的源地址、源端口及源协议号与所配置的内部地址、内部端口及内部协议号相匹配。

5、根据权利要求3所述的网络中节省IP地址提供内部服务器的方法，其特征在于：对于内部网络要接收的外部发来的报文，所述的步骤(3)还进一步包括：

(51)判断内部服务器的对应关系信息中是否有与内部服务器的映射表相匹配的表项；

(52)如果有，则利用与内部网络要接收的外部发来的报文的相关信息匹配的外部地址、外部端口所对应的内部地址、内部端口替换报文中的目的地址、目的端口；

(53)如果没有，则对该内部网络要接收的外部发来的报文不作处理。

6.根据权利要求3所述的网络中节省IP地址提供内部服务器的方法，其特征在于：对于内部网络向外部发送的报文，所述的步骤(3)还进一步包括：

(61)判断内部服务器的对应关系信息中是否有与内部服务器的映射表相匹配的表项；

(62)如果有，则利用与内部网络向外部发送的报文的相关信息匹配的内部地址、内部端口所对应的外部地址、外部端口替换报文中的源地址、源端口；

(63)如果没有，则对该内部网络向外部发送的报文不作处理。

Images