CN1209712C - 用于使用本地ip地址和不可转换端口地址的局域网的网址转换网关 - Google Patents

用于使用本地ip地址和不可转换端口地址的局域网的网址转换网关 Download PDF

Info

Publication number
CN1209712C
CN1209712C CNB018059384A CN01805938A CN1209712C CN 1209712 C CN1209712 C CN 1209712C CN B018059384 A CNB018059384 A CN B018059384A CN 01805938 A CN01805938 A CN 01805938A CN 1209712 C CN1209712 C CN 1209712C
Authority
CN
China
Prior art keywords
address
datagram
spi
local
port address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
CNB018059384A
Other languages
English (en)
Other versions
CN1408088A (zh
Inventor
伊斯拉埃尔·达尼埃尔·苏丹
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CAI Software LLC
Original Assignee
Nexland Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nexland Inc filed Critical Nexland Inc
Publication of CN1408088A publication Critical patent/CN1408088A/zh
Application granted granted Critical
Publication of CN1209712C publication Critical patent/CN1209712C/zh
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2517—Translation of Internet protocol [IP] addresses using port numbers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/255—Maintenance or indexing of mapping tables
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/256—NAT traversal
    • H04L61/2564—NAT traversal for a higher-layer protocol, e.g. for session initiation protocol [SIP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
    • H04L69/162—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields involving adaptations of sockets based mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/663—Transport layer addresses, e.g. aspects of transmission control protocol [TCP] or user datagram protocol [UDP] ports

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种网络地址转换网关(20)，为从使用本地IP地址的局域网(10)向外部网络(30)传播的IP数据报提供常规网络转换，但当端口为特定协议预留时，例如作为IPSec协议模型一部分的ISAKMP“握手”协议，却挂起源服务地址(端口)的转换(图2和图3)。ISAKMP交换需要源计算机和目标计算机都使用相同的服务地址(端口)。通过提供不转换源服务地址(端口)的网络接口，本网关能够发起并维持在使用本地IP地址的局域网和Internet服务器之间使用IPSec协议的安全加密传输。

Description

用于使用本地IP地址和不可转换端口地址的局域网的网址转换网关
技术领域
虚拟专用网络(VPN)采用TCP/IP协议，利用Internet作为通信介质，能够使远程计算站点之间进行安全、高速通信。可以使用多种安全措施来保护Internet上站点之间流动的信息，防止不希望的窃听者或恶意黑客拦截。有效的安全措施必须(至少)具有以下确保任何或全部防护的功能：防止传输过程中无意或恶意修改数据以保持数据完整性；使用抗重复措施防止拒绝服务(DOS，denial-of-service)攻击；源认证；传输过程中源地址和其它报头信息的机密性；以及防止有害窃听保护分组的有效负载。提供Internet安全的标准模型之一是IPSec(因特网协议安全组)。IPSec与TCP/IP传输协议一起工作，为连接在Internet或自身连接到Internet的专用局域网(LAN)上的设备之间提供安全通信。
背景技术
TCP/IP(传输控制协议/网际协议)协议组利用IP地址识别网络上的每个设备。全球性IP地址唯一地确定Internet上的设备。该设备可以是计算机，打印机，路由器，交换器，网关，或其它网络设备。在Internet上，拥有全球性IP地址的设备可以作为源或目的地被直接访问。但是，TCP/IP通信协议并非专门用于Internet，而也可用于专用局域网。使用TCP/IP的专用局域网通常为网络设备使用“本地”IP地址。尽管专用局域网中没有两个设备可以共用同一个本地IP地址，专用局域网还是与Internet隔绝，并且从Internet上也看不见局域网上的本地设备。因此，本地设备的IP地址不需要“全球性”的唯一性。使用本地IP地址的局域网可以通过网关连接到Internet上，网关是一种可以对局域网和Internet之间的消息进行过滤或路由的设备。由于网关直接连接在Internet上，并由Internet上可视，所以为通过Internet进行通信，网关必须拥有全球唯一的IP地址。然而，由于从Internet不能直接看到局域网，所以局域网上的本地机器并不需要全球唯一的IP地址。
TCP/IP是Internet上使用的通信协议。使用TCP/IP进行通信的信息包含在“数据报”中。数据报由添加了一个或多个报头的离散信息“分组”构成。报头含有TCP/IP所需要的信息，用来引导分组到达其预期目的地并确保其在传输过程中得到正确处理。每个数据报都单独设定地址，可以是面向连接的TCP数据报，也可以是无连接的UDP(用户数据报协议)数据报。每个UDP数据报都含有一个IP报头和一个UDP报头。IP报头至少含有“源”IP地址和“目的地”IP地址，而UDP报头含有源服务地址和目的地服务地址(端口地址，以数字形式给出)。在IPv4中，IP地址的长度是32位，其格式是现在所熟悉的xxx.xxx.xxx.xxx。该格式中，每三个数字的字段是一个介于0和255之间的二进制八位字节(binary octet)。完整的IP地址将合理的网络或网段地址与网络“节点”(设备)地址结合在一起。网络或网段的地址可以包括IP地址的前3，6或9位数。网络或网段上的设备由节点地址(含有网络或网段地址中没有使用的那些其余数字)识别。
包含在UDP报头中的源服务地址和目的地服务地址是16位的数字，在不同情况下被称为“端口”或“接口(socket)”，用来把分组导引到发送或接收设备中运行的预期进程中。此处所用的术语“端口”或“端口地址”涉及到UDP报头中的服务地址字段。虽然理论上16位的数中有多少端口就有同样多的地址，但根据惯例通常为所建立的进程预留了许多端口地址。因此，例如，端口80为HTTP预留，端口20和21为FTP预留。通过使用端口地址，数据抵达运行着多于一个进程的本地设备后，可以被导引到预期的进程中。当本地主机上运行的进程不是所预留进程之一时，本地主机将从大量的未预留的端口号中挑选任一端口号来识别“源”进程。涉及“目的地”字段中该端口号的回复分组将被直接引导进该进程中。
随着最近十年Internet应用的爆炸性增长和未来的预期增长，全球唯一性IP地址已经成为稀缺资源。另外，许多维持专用局域网的企业很少或根本不需要其局域网上的计算机和设备拥有全球唯一的IP地址。在任何情况下，许多这样的企业更宁愿维持他们计算机IP地址的机密性。许多专用局域网给局域网上的设备使用本地IP地址，而不是给每个本地设备提供一个全球唯一IP地址，浪费有限的全球性资源。为了提供到Internet的连通性，这种局域网将在分隔其与Internet的网关上使用一个全球唯一的地址。
通过应用网址转换技术(NAT)，分隔局域网与Internet的网关设备能够提供防火墙的安全性，使拥有本地IP地址的机器能够通过网关的全球唯一地址访问Internet。局域网上的设备可以拥有静态本地IP地址，也可以拥有登录时动态分配的本地IP地址。网关用局域网上每个设备的本地IP地址维持转换表。由本地机器发往Internet的UDP分组含有本地IP地址和端口地址，它们分别在IP和UDP报头的源字段中识别。网关接收来自本地机器的分组，并把外部全球唯一IP地址和新的端口地址(从大量的未使用也未预留的端口地址中挑选)代入IP和UDP报头的源字段中。接下来，网关将更新循环冗余校验(CRC)，并为保证数据完整进行所必需的任何其它改变，然后向Internet发送分组。作为处理过程的一部分，网关将用以下内容更新其本地转换表以对应本地机器的IP地址：该机器最初报告的源端口地址；分配给Internet范围传播的分组的新源端口地址；以及目的地IP地址。接收到来自Internet的回应后，网关将从分组报头中识别出它自己的IP地址，并检查所接收分组的目的地端口地址。若发现目的地端口地址位于其内部表中，网关将把对照后的本地机器IP地址和原始端口地址代入分组的目的地字段中，并将更新CRC以及其它任何所必须更新的参数，然后把分组分派到局域网，在那里分组将被本地机器接收并导引到合适的进程中。通过这种方式，仅拥有本地IP地址的局域网上的一系列计算机就可以通过一个全球唯一的IP地址与Internet通信。
虽然应用网址转换技术(NAT)的网关提供了防火墙安全性，防止从Internet直接访问局域网，但其不能在Internet上传输过程中防止截听或更改发往局域网的分组，也不能确保源自局域网本地的询问的可信性。因此，对于连接到Internet时必须保持安全性的局域网，由IPSec提供的安全性是其必要保护。
通常，实施IPSec是为由至少一个主计算站点和一个或多个远程局域网构成的虚拟专用网络(VPN)提供安全性。主站点和远程局域网通过Internet连接，用这种高速介质代替明显昂贵的专用租借线路来实现站点之间的通信。但是，用Internet作为传输介质的缺点是其与生俱来的不安全性，以及很少或根本没有内在保护来防止侦听，探测，欺骗，或超级偷窃，以及黑客更改或转移信息。因此，需要安全数据传输的地方就需要全面的安全措施。IPSec协议实行安全措施以确保数据认证和数据完整。
IPSec协议组在多层OSI(开放系统互联)网络参考模型的网络层上实现安全性。该组包含一些相互关联的独立协议，用来确保携带信息穿越Internet的UDP数据报的安全。IPSec兼容系统的基本体系由RFC2401(《Security Architecture for the Internet Protocol》S.Kent和R.Atkinson著，1998年11月)解释。AH(验证报头)协议确保数据完整，源认证，并结合“抗重复”措施阻止拒绝服务(DOS)攻击。ESP(封装安全载荷)协议提供了与AH协议相似的防护，但增加了有效负载加密的其它特征。AH和ESP报头都有SPI(安全参数索引)字段。SPI是一个伪随机的32位数值，用来为数据报识别SA(安全联盟)。关于这些协议的更多信息可以在RFC1826(《IP AuthenticationHeader》R.Atkinson著，1995年8月)和RFC2406(《IP EncapsulatingSecurity Payload(ESP)，S.Kent和R.Atkinson著，1998年11月》)中找到。ISAKMP/Oakley(因特网安全协会和密钥管理协议，一般还称为因特网密钥交换-IKE)是一个握手协议，用来为两主机之间的安全会话设立参数，并交换密钥和其它安全信息，用来实现安全会话并允许传输加密数据。ISAKMP/Oakley协议(此后简称为ISAKMP)包括未加密消息的原始交换，用来为两主机提供原始数据，由这些原始数据可以建立认证并产生加密数据的密钥。所述处理过程的解释可以在RFC2409(《The Internet Key Exchange》，D.Harkins和.D.Carrel，1998年11月)中找到。一旦安全参数足以确定：在主机之间的SA(安全联盟)已经交换后，所有后来的传输将被加密并根据所述协议进行充分认证。此时ISAKMP协议终止。根据该会话中每台机器的IP地址和机器的SPI进行后续寻址工作。每个会话中每台机器的SPI是唯一的。专用局域网的网关将维持一个内部表，其中SPI-In在对应于本地机器IP地址的数值中，SPI-Out对应于与本地机器通信的Internet上机器的IP地址。每台机器的SPI由ISAKMP传输过程中交换的信息计算出，并在附加于UDP分组的AH或ESP报头中携带。因为IPSec协议可以通过嵌套为多种环境提供安全性，所以一个单独的数据报可以包含AH和ESP报头，也可以加密某些报头信息。
所述每个安全协议都通过以下方式修改UDP分组：在分组上放置新报头信息，为遵守所用协议修改分组的特定字段，某些情况下加密有效负载以及部分或全部其它分组的报头。因此，IPSec中，当UDP数据报离开“安全”区域而在不可信赖的网络上传输时，IPSec通常包括IP报头，AH或ESP报头(或二者皆有)，以及加密的有效负载。报头信息将包括目的地地址，SPI，和足够的SA信息，用来确保数据报能够到达其目的地并被目的地主机认证。加密有效负载确保包含在有效负载中的信息可以拒绝不需要的窃听者和黑客。数据报的原始目的地主机可以是路由器，网关，或局域网与Internet之间的防火墙。到达局域网和Internet的边界的设备后，数据报可以被打开，检验，部分或全部解密，为寻求更多地址信息而进行分析，向LAN上的本地IP地址进行路由引导。
IPSec中应用的ISAKMP握手协议要求建立安全会话的两台主机都使用特殊进程端口(地址端口500)进行原始消息交换。因此，端口500就被专门分配给ISAKMP协议专用了。通常，试图使用ISAKMP协议协商安全通信参数的计算机必须直接通过每台计算机的端口500进行通信。即，来自任一计算机的ISAKMP信息必须把端口500识别为源和目的地端口地址。若任一计算机接收到的分组的源和目的地都没有指定为端口500，则该分组将被丢弃。
但是，这种协议仅确保两台主机之间相互通信，而当其中一台主机位于使用本地IP地址和NAT网关的局域网上时，则该协议不能实行。例如，主机A，在由NAT网关保护的的远程LAN上拥有本地IP地址，希望与主机B建立安全会话，主机B位于主办公计算站点上。主机A将通过向主机B发送未加密的UDP数据报启用该协议，同时给出主机B的IP地址作为目的地，以及端口500作为目的地端口地址。然而，当数据报到达把远程局域网连接到Internet的网关时，该网关将把目的地端口地址转换为任意端口号。当数据报到达主机B时，ISAKMP协议将不被识别，主机B也没有响应。计算机将不能建立安全会话。迄今为止，由于这种困难，人们一直相信ISAKMP协议不能用来建立使用NAT网关并且远程LAN上的每台计算机都使用本地而非全球性IP地址的VPN(虚拟专用网)。
因此，本发明的一个目的是提供一种网关，通过使用Internet作为传输介质，该网关允许拥有非全球性IP地址的计算机与主计算机之间利用ISAKMP协议进行认证并交换密钥。
本发明更深一层的目的是提供一种允许使用本地IP地址的专用LAN上任意数量的计算机都能使用ISAKMP协议通过Internet发送和接收消息的网关。
本发明的另一个目的是提供一种能够在Internet上两个或多个LAN站点之间使用虚拟专用网、使用ISAKMP协议发送安全通信的方法。
本发明的所述和其它目的在下面的描述中显而易见。
发明内容
根据本发明，连接到外部网络(例如通过NAT网关连接到Internet)的远程局域网上使用本地IP地址的计算机将利用ISAKMp协议交换密钥并建立SA(安全联盟)，这将支持IPSec下的安全会话。对于非ISAKMP业务，网关象平常一样进行地址转换。然而，只要局域网上的机器发出ISAKMP协议信息，网关将识别含有端口500的端口地址的数据报。遇到这样的数据报时，网关将转换源IP地址，但不转换源端口地址，将其预留在端口500，并把分组和端口500(指定为源和目的地端口地址)发往Internet。网关也将更新其内部表以将端口500绑定到本地IP地址，并在预定长度时间内将绑定与目的地机器的外部IP地址结合起来。如果预定长度时间内没有接收到有效回复，端口500和本地IP地址之间的绑定将被解除。这种特征对确保端口500不被不确定性地占用是必要的，例如，在ISAKMP协议传输被发往错误的目的地IP地址的情况下。这种条件下，网关将接收不到有效回复。若在没接收到有效回复的一定时间后，定时器没有释放端口500，则网关重新启动以前该端口将被束缚在本地IP地址上。大多数情况下，等待有效回复时，2秒钟足以保持端口500和本地IP地址之间的绑定。
在端口500被绑定到本地IP地址上的那段时间内，网关一边等待有效回复，一边继续处理没有端口500地址的数据报。有效回复是含有源IP地址的数据报，其源IP地址和与端口500相关的外部IP地址相同，而且源和目的地端口地址皆为端口500。等待有效回复时，网关将忽略来自外部网络的源和目的地端口地址皆为端口500的其它UDP数据报，但正确的源IP地址除外。同样，当端口500绑定到本地IP地址后，含有源和目的地端口地址皆为端口500的来自局域网的数据报将经历常规的地址转换，其中，端口500源端口地址在发往外部网络前将被转换为任意未使用的端口地址。因为这种数据报的源和目的地端口地址不都是端口500的，所以它不是有效的ISAKMP数据报，其到达目的地IP地址后将被忽略。若绑定端口500到本地IP地址的时间终止，而网关仍然没有接收到有效数据报，绑定将被解除，下一个源和目的地端口地址皆为端口500的数据报将可以使用端口500。
端口500被绑定时，接收到含有源和目的地端口地址皆为端口500以及正确的源IP地址的有效回复数据报后，网关将把本地机器的IP地址代入数据报报头的目的地IP地址字段，从而处理数据报，然后将数据报传播到局域网以发送给本地机器。数据报离开网关后，网关将释放本地IP地址与端口500的绑定，并恢复常规的数据报处理。
若从外部网络没有收到含有正确源IP地址且端口地址为端口500的回复，网关在短的预定时间后将终止连接。若网关在收到有效回复之前终止连接，那个ISAKMP消息交换就不能完成并需要重发。
ISAKMP协议一旦完成、且加密安全会话正在进行时，网关将通过参照流入和流出的数据报的ESP报头的SPI执行本地地址转换。网关也将确保流过网关的数据报的每个分组的类型(ESP分组的类型是50)正确。有时候，跨越VPN的安全会话会被打断，或启动新会话。网关对这种情况第一个表示将是接收到50型数据报，其中IP地址可以识别，而其内部表中没有出现与目的地相关联的SPI。发生这种情况时，网关将用新的SPI将数据报发往目的地IP地址，在表中把目的地SPI值(根据传输方向选择SPI-In或SPI-Out)设为新的值，并把源SPI值设置为0。收到传输的回应后，网关将用目的地IP地址的新SPI替换SPI字段表中的0。
因为本发明的网关不加密或解密消息，仅把有效负载(其可以加密或不加密)传输给局域网或Internet在接收机器上进行处理，其不需要强大的处理功能，并可以在需要考虑安装和维护费用和易用性的专用LAN中使用。
附图说明
在优选实施例的详细说明中联系附图可以发现本发明的其它目的和优点。其中：
图1描述了虚拟专用网，其中，使用本地IP地址的远程局域网通过外部网络(可以是Internet)与主计算站点联网；局域网通过NAT网关连接到外部网络；
图2描述了本发明的网关为处理来自局域网发往Internet的数据报所使用的决策图；
图3描述了本发明的网关处理来自Internet发往局域网设备的数据报的步骤的决策图；
图4为后图如图5，6和7提供了参考；图4是一个表，含有局域网(从L-1到L-3)上本地机器的IP地址，网关的本地和外部IP地址，以及外部网络上外部机器(从目标T-1到T-3)的IP地址；
图5a-5c显示了网关内部表的典型字段，用于认证加密数据报的安全参数索引(SPI)对照局域网(L-1，L-2，……L-x)上机器的本地IP地址和外部设备(T-1到T-3)的外部IP地址。SPI-Out代表由网关发往Internet上的设备的加密数据报的SPI，而SPI-In则代表发往局域网本地机器的加密数据报的SPI；表a，b和c表示了源报头值，目的地的报头值，以及不同时间点的SPI；数值的变化表示本地机器和目标机器之间开始了新会话；
图6A-6B表示了在一台本地机器和外部网络上的一台设备之间交换的数据报报头的典型字段。报头值由本发明网关处理后修正。
图7A-7B表示了在LAN上在三台本地机器(L-1到L-3)和外部网络上的三个目标(T-1到T-3)之间交换的数据报报头的典型字段。报头值由本发明的网关处理后修正。
图8是一个示意图，显示了数据报处理功能和定时器之间流动的信号。
优选实施例说明
图1显示了虚拟专用网(VPN)，其中，专用局域网(LAN)10连接到Internet 50上的计算站点30。LAN10使用本地IP地址，通过本发明的网址转换网关(NAT)20连接到Internet 50。计算站点30可以是商业总部，或跨国公司的任一专用LAN，教育设备，或远程频繁访问的任何站点。这些站点通常有能够运行加密或其它安全程序的防火墙或网关35。这种网关可以打开分组，解密，或访问其内容，并执行地址转换，形成路由，解封，以及数据处理功能。虽然这些设备可以支持ISAKMP和其它IPSec协议，但是它们要通过打开并解密分组以及处理数据才能够支持ISAKMP及其它IPSec协议，并且一般来说，它们因为太昂贵和功能过于强大而基本上不会被需要在主计算站点上建立VPN的远程局域网站点有效地采用。
主站点的服务器40运行VPN服务器软件程序。远程站点的每台计算机15都运行适当的VPN客户端软件程序，这种程序在每台计算机上都执行IPSec安全协议。
LAN 10上的计算机15通过网关20向计算站点30的服务器40发送IP数据报，从而与Internet上的设备进行通信。
根据图2和3所示的决策图处理网关20接收的数据报。虽然流程图图2和3都显示了处理步骤和步骤顺序，但执行某些功能的顺序并不严格，某些步骤能够以不同于流程图所示的顺序执行，而不影响最终结果。例如，图2和3显示了网关接收到数据报后的第一步是判断数据报类型，而最后一步是执行数据报传送到网关前所必须进行的IP地址转换。然而，某些实施例，可以把地址转换步骤在处理过程中提前放置，这将不影响处理结果。由于对整个过程而言，IP地址的转换的顺序并不严格，决定何时执行转换步骤是工程选择的事情。
如图2所示，接收到来自LAN的数据报后，网关将检查数据报是否加密。网关通过检查IP地址的“下一个报头”字段而判断它所处理的数据报的类型，并判断数据报是否被加密。50型数据报(ESP)表明数据报已经加密，端口地址信息不可用。
继续进行图2的决策树，若数据报加密，网关将检查数据报的SPI，了解其是否出现在网关的内部表的SPI-Out字段中。这种表的典型字段如图5a-5c所示。若数据报的SPI出现在内部表的SPI-Out字段中，网关将把数据报的源IP地址修改为网关的外部IP地址，并把数据报发往外部网络，传输给外部设备。
若数据报加密，但SPI没有出现在网关的内部表中，那么，根据图2的决策图，网关将假定数据报正在启动新会话。这种情况下，网关将把内部表的SPI-In字段设置为0，并把SPI-Out设置为来自数据报的新SPI。图5a和5b反应了内部表的这些修改，其中，图5b显示了“新”SPI(14662，其在图5a网关内部表SPI-Out字段中没有出现)已经进入SPI-Out字段，而且SPI-In已经设置为0。源IP地址由本地设备的IP地址转换为网关的外部IP地址后，加密数据报将被发往外部网关。图5b和5c显示了这些步骤。
继续如图2的决策图，若数据报没有加密，接下来，网关将检查数据报的目的地端口地址。若端口地址不是端口500，网关将把源端口地址加入其内部表中，用(本地)源IP地址对照此表，然后把任一没使用的端口地址代入到IP报头的源端口地址字段中。网关也将把新的端口地址加入其内部表，重复对照(本地)源IP地址。该处理过程，其用于端口地址不是端口500的未加密数据报，被称为源自LAN的数据报的“常规地址转换”。图6的第1和第2行显示了这种转换。数据报将被发往Internet，并向目的地IP地址导引路由。
图2中，所接收数据报的源和目的地端口地址都是端口500，接下来，网关必须检查其表，判断端口500是否已经绑定到IP地址上。若端口500空闲，那么，网关将把端口500绑定到数据报的(本地)源IP地址上，在端口和(外部)目的地IP地址之间制造关联，并发送信号启动本地定时器。网关也通过用网关的外部IP地址替换源IP地址字段的本地IP地址的方式处理数据报。但是，网关不转换源端口地址。通过延缓源端口地址的“常规”转换，网关确保目标机器能够把数据报识别为ISAKMP数据报。图6的第5行和第6行显示了所述步骤。
图2中，若来自LAN的数据报的源和目的地端口都是端口500，但端口500已经被绑定到其它本地IP地址，那么，网关不能为所处理的消息绑定端口500。这种情况下，网关将“正常”处理数据报，好像它不是ISAKMP数据报。即，网关将把数据报的源端口地址转换为任意数值，并把源IP地址转换为网关外部IP地址。然后，网关将向Internet发送数据报，在这里因其不符合ISAKMP数据报而将被目标机器拒绝接收。图7的第15行和第16行描述了所述事件。
图3显示的是决策图，其概述了网关在处理来自Internet的数据报时所遵循的步骤。接收到数据报后，网关将首先检查其类型，并且，若数据报加密，将检查SPI是否出现在其内部表中。若识别出SPI，其目的地IP地址将被转换为本地设备的IP地址，数据报被传给LAN，并向本地机器传送。若没有识别出SPI，接下来，网关将检查对应于数据报的源IP地址的SPI-In字段是否为0。若SPI-In是0，网关将假定该数据报是新会话的第一个回复，并用数据报的SPI替换SPI-In字段中的0。网关将把目的地IP地址转换为LAN上设备的本地IP地址，并向LAN发送数据报以备传送。图5b和5c显示了这个事件。图5b中，本地机器L-1的SPI-In已被设置为0。网关在接收到来自Internet的SPI为3288的数据报后，在SPI-In字段中网关找不到此SPI。接下来，网关将判断SPI-In字段是否保持为0。若判断本地机器L-1的SPI-In为0，网关将用数据报的SPI(“3288”)替换0，并把数据报发往LAN。图5c显示了所述内容。
图3中，若来自Internet的数据报没有加密，网关将检查并判断其端口地址是否为500。若否，数据报将经历对来自外部网络的数据报进行的“常规”地址转换，即，LAN上设备的本地端口地址和本地IP地址将被替换为数据报的目的字段，数据报被发往LAN。图6第3行和第4行显示了这种来自Internet的数据报的“常规”地址转换。
仍然参考图3，若数据报的端口地址的确是500，接下来，网关必须检查端口500是否被绑定到本地IP地址上，以及是否与数据报的(外部)源IP地址相关联。若是，那么，该数据报有效，在目的地IP地址由外部网关的IP地址转换为本地设备的IP地址后，数据报被发往LAN。数据报传往LAN后，网关将释放端口500。图6的第7行和第8行解释了所述事件。
图3中，若端口500被绑定到本地IP地址，并与外部IP地址相关联，而不是出现在数据报的源IP地址中，那么，该数据报无效，随后也不会被网关处理。图7的25-31行可以看到此事件。在第25-26行，本地机器L-1向目标T-1发送ISAKMP数据报。此时，端口500与本地机器L-1的IP地址绑定，并与目标T-1的IP地址相关联，但是，如图7所示，网关收到来自T-1的回复之前定时器已经超时，而且，在第27行，端口500被释放。在第28行和第29行，本地机器L-3向目标T-3发送ISAKMP数据报，将端口500绑定到L-3的IP地址上，并与T-3的IP地址相关联。端口500绑定后，接收到来自T-1的回复。但是，因为端口500被绑定，并与T-3的IP地址相关联，来自T-1的回复被丢弃。图7的第30和31行显示了所述内容。
图5a-5c描述了网关的内部表，其中维持着本地计算机与Internet目标之间进行加密通信所使用的IP地址和SPI号码。简单起见，“L-1”，“L-2”，“L-x”以及“T-1”到“T-3”包含的字段不在网关的内部表中出现。图5中，在与LAN上特定计算机安全会话中，“SPI-Out”字段为每台目标机器预留SPI。“SPI-In”字段给出了相应的SPI，其将被本地计算机识别，表示期望的有效数据报。图5a表示了初始阶段的表。在表中数据存在期间，8台本地计算机与3个目标(T-1到T-3)一起参与保密会话。这通过每台本地机器有一个与其IP地址相关联的SPI-In字段的事实表现出来。虽然表中仅表示了3台目标，但可以注意到，每台目标机器与每台本地机器进行通信时都使用不同的SPI-Out。这样，目标机器就可以知道从哪个源产生了加密数据报。
图5b显示了与图5a相同的本地和目标计算机。但是，在这里，L-1和T-1之间会话的SPI-Out是新的SPI，其表明计算机之间的新会话。表明产生新会话的网关的第一个表示是其从LAN接收的加密数据报，其SPI(“14662”)不在表中。网关向Internet传输数据报，但也为该数据报修改数据报的表，在源和目的地IP地址相关的SPI-Out字段中设置新SPI。网关也把SPI-In字段设置为0，以此作为标记，表明需要新SPI-In。图5c显示了来自T-1的数据报含有新SPI(“3288”)。该SPI已进入网关的SPI-In字段，本会话中，L-1和T-1之间的后续通信将使用这些SPI来认证它们的消息。
利用LAN上的一台计算机与Internet上一台远程目标进行通信，图6表明了流经本发明网关的典型数据报的流程。图表的每一行代表到达带有网关的LAN接口或带有网关的Internet接口的数据报的信息。连续的行代表进入网关的一端又从另一端流出的数据。网关有一个IP地址，它可以是本地IP地址(在与LAN的接口)和一个全球性IP地址(在与Internet的接口)。图6的列描述了数据报穿过的网关边缘，数据报类型，数据报的源IP地址和端口地址，数据报的目的地IP地址和端口地址，以及使用ESP(封闭安全载荷)协议的50型加密数据报的安全参数索引(SPI)。
图6第一行显示了到达网关本地接口的UDP数据报，该数据报有对应于本地计算机L-1的源IP地址，和Internet上目标T-1的目的地IP地址。为方便阅读，对应于本地名称L-1到L-3和目标名称T-1到T-3，图4提供了IP地址列表。L-1的源端口地址是端口6404，其目标机器的端口是端口80。由于数据报没有加密，也没有表示出端口500号，数据报经历了常规转换，其中，任意端口号，如端口10425，被代入源端口地址字段，网关的外部IP地址由数据报的源IP地址所代替。虽说转换后的源端口地址是“任意”的，但其通常是网关所维护的大量的未预留且目前也未使用的端口地址序列中的下一个端口地址。
在数据报离开网关时，如图6第2行所示，网关的地址转换功能把网关的外部IP地址代入数据报报头，成为源IP地址，并把一个任意号码分配给源端口。第3行和第4行显示了来自目标的回复数据报。第3行中，来自目标的UDP数据报显示了目的地IP地址，即为网关的外部IP地址，也显示了目的地端口，即由网关分配的任意端口地址。由于数据报没有加密，也没有端口地址500，数据报经历了目的地端口地址和IP地址的常规转换，然后被发往LAN。第4行中，在数据报被发往LAN之前，网关将本地计算机的本地IP地址和端口地址代入报头的目的地字段。
图6第5行中，本地计算机与目标之间启用了ISAKMP协议。所示数据报类型是ISAKMP。源和目的地端口地址皆为端口500。网关判断目的地端口地址是端口500时，将检查端口500是否正绑定到任何IP地址上。因为端口500没有绑定，网关将传送该数据报，并仅转换源IP地址字段以表示出网关的外部IP地址，但不改变源端口地址。
图6的5-16行表示了6个标准ISAKMP握手数据报的交换，这对建立安全联盟(SA)以支持数据报的全面加密和认证是必须的。虽然ISAKMP的某些模型使用较少交换，图6描述了主要的模型。SA建立后，本地计算机和目标开始使用ESP协议加密数据报进行通信。这里，通过使用数据报报头的SPI字段中的安全参数索引(SPI)号码维护数据报的有效性。每台主机都可以识别对应于其SPI“寻址”的数据报，在会话中，当需要确保连续安全性时，双方主机都同意后可以修改数据报。当加密数据报流过网关时，如图6中第17和18行所示，虽然数据报的源IP地址被转换为网关的外部IP地址，但源和目的地SPI都没有被网关修改。
因此，当网关接收到加密数据报时，数据报将被表示为50型数据报(ESP)。遇到这种类型的数据报时，网关将检查数据报的安全参数索引(SPI)，判断该SPI是否被记录在网关的内部表中。若是，网关将适当转换数据报的源或目的地IP地址，并根据传输方向给LAN或Internet发送数据报。然而，若来自LAN的数据报的SPI没有出现在网关的内部表中，且源和目的地是已识别的IP地址，网关将假定已经启用新会话。这种情况下，网关将给外部网络传送数据报，使新SPI完整无缺，但在其内部表的“SPI-Out”字段中记录新的SPI，并在“SPI-In”字段中写入0。在第25和26行中，可以发现已经出现了表明新会话的新SPI。图5b对应于这个事件，其中，“SPI-In”字段中的0对应于新SPI-Out中的“14662”。在第27和28行中，来自外部网络的回复分组表明“老”的SPI“9802”已经被“新”的SPI“3288”所代替。
图7说明了数据报所经过的本发明网关的通道。除此之外，图7与图6相似，这些数据报在LAN上三台计算机(命名为L-1，L-2和L-3)与Internet上有全球唯一IP地址的三台目标(命名为T-1 T-2和T-3)之间传输。为简化起见，图4中给出了含有所述设备IP地址的表。如图7所示，命名为“L-1 out”的传输代表从L-1本地计算到网关的传输。“T-1 in”代表从网关到目标T-1的传输。“T-1 out”代表从目标T-1到网关的传输，而“L-1 in”代表从网关到L-1计算机的传输。
如图7第1-8行所示，L-1和L-2计算机与目标T-1he T-2之间进行“不受阻碍”(in the clear)的通信。在第9行，L-1开始与T-1进行ISAKMP会话。9-14行显示了ISAKMP协议中L-1和T-1之间交换的头三个信息。在第15行，L-3计算机开始与T-3计算机进行ISAKMP-1消息交换。然而，此时，端口500被绑定到L-1，且与T-1的IP地址相关联，等待来自T-1的ISAKMP-4回复。在这种情况下，来自L-3的数据报不可能绑定端口500，其源端口地址也将被转换。象这样，L-3就完不成第15行开始的传输。
此后，在第17-18行，T-1的回复(ISAKMP-4)由网关接收并发送给L-1，且端口500立刻可用。因此，在第19行，当L-3再次尝试其ISAKMP-1传输时，传输就成功了。
在图7的第19-20行，L-3的ISAKMP-1传输将端口500与L-3的IP地址绑定在一起。因此，当K-1尝试其ISAKMP-5传输时，在第21-22行，端口500不可用，网关仅将目的地端口地址由端口500转换为任意端口号(此时为“9603”)，并将数据报发往Internet，在这里目标T-1将不会将其识别为ISAKMP数据报。然而，在第23-24行，L-3释放端口500后，L-1的下一步传输ISAKMP-5被T-1成功接收。但是，T-1的回复很慢，在第27行，端口500从其与L-1的绑定中释放出来，在第28-29行，为进行ISAKMP-3传输，端口500被L-3迅速夺取。因此，当T-1的ISAKMP-6回复到达网关后，如第30和31行所示，端口500被阻塞，数据报就被忽视了。此后，L-1没有收到对其ISAKMP-5信息的回复，就再次发送，如第34-35行所示，在第36-37行，L-1收到T-1的回复。在38-39和42-43行，根据其ISAKMP握手，通过使用ESP协议，L-1和T-1能够安全通信。
图7的38-57行说明了网关对许多本地计算机与目标之间的多种数据报的处理过程。第40-41行显示了UDP数据报，第42-43行和52-53行显示了ESP数据报，第44-45行显示了ISAKMP数据报。虽然图7显示了每台设备的不同IP地址，但实际上，许多处理过程可以在其它相同设备上运行。网关对唯一源端口的替换，以及使用SPI区分不同加密传输确保了源自一台机器上运行的多个进程的数据报不会被误导。
图8描述了数据报处理电路100和定时器110之间的信号的初始化和传输。当出现需要将端口地址绑定到IP地址的事件时，信号120将被发往定时器110开始记时。当超过合适的时间间隔后，定时器110将发送信号140，表示时间已到，这种情况下，被绑定的所有端口都将被释放。在过渡时期，若预期的数据报到达，并且先前绑定的端口将要被释放，失效信号130将被发往定时器110，表明定时器110需要重新记时并等待下一个信号开始记时。显然，本领域中有许多已知记时电路，图8所示的特定配置仅是许多可能的实施例中的一种。
由上所述，本领域的技术人员可以理解，这里所描述的优选实施例并非是实现本发明的唯一方法，并且在不脱离本发明的精神和范围的情况下，可用许多其它实施例来实现本发明。例如，所述优选实施例涉及端口500(为使用ISAKMP协议而专门预留)，可以用相同方式使用本发明处理指定其它端口地址的数据报，这些端口将来可以被分配给其它进程或协议。特别的，许多Internet上玩的游戏需要在本地和外部机器上使用特定端口，其地址不能被正常转换。另外，虽然本发明已被描述为主要关于专用LAN和Internet之间的通信，很显然，本发明的网关能够使用在两个网络间的任何接口，并拥有前述相同的功能。
到此为止，所附权利要求意在涵盖本发明的精神和范围内的修改和变化。

Claims (17)

1.一种把LAN连接到外部网络的网址转换网关装置，所述LAN使用本地IP地址，所述网关装置具有本地IP地址，其可被所述LAN上的设备引用，以及外部IP地址，其可被所述外部网络上的设备引用，所述网关装置维护
多个内部表，它和所述LAN上本地设备的本地IP地址、所述外部网络上外部设备的外部IP地址、SPI-In值、SPI-Out值、源端口地址、目的地端口地址、预留端口地址的组合相关联，并维护预留端口地址的列表，
所述网关装置包括：
一种装置，用于对从所述LAN流向所述外部网络，以及从所述外部网络流向所述LAN的数据报进行常规地址转换，
一种装置，用于通过接收来自所述LAN上本地设备的打算发往所述外部网络上的外部设备的数据报，把来自所述LAN上的本地设备的数据报传送到所述外部网络上的外部设备，并且确定所述数据报的目的地端口地址是否包含在所述预留端口地址列表中，若所述目的地端口地址不包括在所述预留端口地址列表中，则对所述数据报执行常规地址转换，并将该数据报传送到所述外部网络，以便路由并发往所述外部设备，
若所述目的地端口地址包含在所述预留端口地址列表内，则确定所述目的地端口地址是否绑定到本地IP地址，若所述目的地端口地址绑定到本地IP地址，则对该数据报执行常规地址转换，并将该数据报传送到所述外部网络，
若所述目的地端口地址没有绑定到本地IP地址，则把包含在所述数据报的IP报头的源IP地址字段中的源IP地址修改为所述网关装置的所述外部IP地址，并把所述目的地端口地址绑定到所述本地设备的本地IP地址，创建所述目的地端口地址与所述外部设备的外部IP地址之间的关联，并把该数据报传送到所述外部网络，以便路由并发送给所述外部设备。
2.根据权利要求1所述的网址转换网关装置，其中，所述用于把来自所述LAN上的本地设备的数据报传送到外部设备的装置还包括用于确定所述数据报是否加密的装置，若所述数据报加密，则确定所述数据报的SPI是否被记录在所述内部表的SPI-Out字段中，若所述SPI被记录在所述SPI-Out字段中，则把包含在所述数据报的IP报头中的源IP地址字段中的所述源IP地址修改为所述网关装置的所述外部IP地址，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备。
3.根据权利要求2所述的网址转换网关装置，还包括一种装置，若所述SPI没有记录在所述内部表的所述SPI-Out字段中，则把对应于所述本地设备的本地IP地址的SPI-In字段设置为0，并设置所述SPI-Out字段等于所述SPI，把所述数据报的所述源IP地址修改为所述网关装置的所述外部IP地址，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备。
4.根据权利要求1所述的网址转换网关装置，其中，该网址转换网关装置还包括：一种装置，用于通过接收来自所述外部网络上的外部设备的打算发送给所述LAN上的所述本地设备的数据报，把来自所述外部设备的数据报发送到所述本地设备；一种装置，用于确定所述数据报是否加密，若所述数据报加密，则确定该数据报的SPI是否被记录在所述内部表的所述SPI-In字段中，若所述SPI被记录在所述SPI-In字段中，则把所述数据报的目的地IP地址修改为所述本地设备的本地IP地址，并把该数据报传送到所述LAN，以便路由并发送给所述本地设备，
若所述SPI没有记录在所述内部表的所述SPI-In字段中，则确定对应于所述外部设备的所述IP地址的所述SPI-In字段是否为0，若所述SPI-In字段不是0，则丢弃该数据报，若所述SPI-In字段为0，则设置所述SPI-In字段等于所述SPI，把所述数据报的目的地IP地址修改为所述本地设备的本地IP地址，并把该数据报传送到所述LAN，以便路由并发送给所述本地设备，
若所述数据报没有加密，则确定所述数据报的目的地端口地址是否包含在所述预留端口地址列表中，若所述目的地端口地址没有包含在所述预留端口地址列表中，则对所述数据报执行常规地址转换，并将该数据报传送到所述LAN，以发送给所述本地设备，
若所述目的地端口地址包含在所述预留端口地址列表中，则判断所述目的地端口地址是否绑定到本地IP地址，若所述目的地端口地址没有绑定到本地IP地址，则丢弃该数据报，若所述目的地端口地址绑定到本地IP地址，则确定所述目的地端口地址是否与所述外部设备的外部IP地址相关联，若所述目的地端口地址与所述外部设备的外部IP地址相关联，则把所述数据报的目的地IP地址修改为所述本地设备的绑定的本地IP地址，并释放所述目的地端口地址与所述本地IP地址的绑定，然后将该数据报传送到所述LAN以发送给所述本地设备。
5.根据权利要求1所述的网址转换网关装置，还包含定时器，其中，收到表明端口地址已经绑定到IP地址的信号时，所述定时器将开始在一段预定长度时间内记时，当超过所述预定长度时间后，定时器将发出信号，使所述端口地址与所述IP地址松开绑定，当收到表示所述端口地址已经与所述IP地址松开绑定的信号后，所述定时器将停止记时并复位。
6.根据权利要求1所述的网址转换网关装置，其中，所述外部网络是Internet。
7.根据权利要求6所述的网址转换网关装置，其中，所述LAN是虚拟专用网。
8.一种处理从使用本地IP地址的LAN上的本地设备经过网址转换网关装置发往外部网络上外部设备的IP数据报的方法，包含以下步骤：
维护多个内部表，该内部表和所述LAN上的本地设备的本地IP地址、所述外部网络上外部设备的外部IP地址、所述本地设备的端口地址、所述外部设备的端口地址、SPI-In值、SPI-Out值、预留的端口地址相关联，以及维护预留端口地址的列表，
接收来自所述LAN的数据报，
判断所述数据报的目的地端口地址是否被包含在所述预留端口地址列表中，若所述目的地端口地址没有包含在所述预留端口地址列表中，则对所述数据报执行常规地址转换，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备，
若所述目的地端口地址包含在所述预留端口地址列表中，则判断所述目的地端口地址是否绑定到一个IP地址，若所述目的地端口地址绑定在一个IP地址，则对所述数据报执行常规地址转换，并将该数据报传送到所述外部网络，
若所述目的地端口地址没有绑定到IP地址，则把包含在IP报头的源IP地址字段中的所述源IP地址修改为所述网关装置的所述外部IP地址，把所述目的地端口地址绑定到所述本地设备的本地IP地址，创建所述目的地端口地址与所述外部设备的所述外部IP地址之间的关联，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备。
9.根据权利要求8所述的方法，还包含下述步骤：
判断所述数据报是否加密，若所述数据报加密，则判断所述数据报的SPI是否被记录在所述多个内部表的其中一个内部表的SPI-Out字段中，若所述SPI记录在所述内部表的所述SPI-Out字段中，则把源IP地址修改为所述网关装置的外部IP地址，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备，若所述SPI没有记录在所述内部表的SPI-Out字段中，则把对应于所述外部设备的IP地址的所述SPI-Out字段设置为与所述SPI相等，并把所述内部表的所述SPI-In字段设为0，把所述源IP地址修改为所述网关装置的所述外部IP地址，并将该数据报传送到所述外部网络，以便路由并发送给所述外部设备。
10.根据权利要求8所述的方法，还包括以下步骤：
当所述目的地端口地址绑定到所述本地设备的所述本地IP地址时，启动定时器，
当所述目的地端口地址释放后，复位所述的定时器，
当所述定时器在工作且从定时器记时开始的预定长度时间超时时，发出信号。
11.根据权利要求9所述的方法，该方法还包括以下步骤：
当所述目的地端口地址绑定到所述本地设备的所述本地IP地址时，启动定时器，
当所述目的地端口地址释放后，复位所述的定时器，
当所述定时器在工作且从定时器记时开始的预定长度时间超时时，发出信号。
12.根据权利要求10所述的方法，其中，所述外部网络是Internet。
13.根据权利要求10所述的方法，其中，所述LAN是虚拟专用网。
14.一种处理从外部网络上的外部设备经过网址转换网关装置传送到使用本地IP地址的LAN上本地设备的数据报的方法，该方法包括以下步骤：
维护多个内部表，该内部表和所述LAN上本地设备的本地IP地址、所述外部网络上外部设备的外部IP地址、所述本地设备的端口地址、所述外部设备的端口地址、SPI-In值、SPI-Out值、以及预留端口地址相关联，以及维护预留端口地址的列表，
接收来自所述外部网络的数据报，
判断所述数据报是否加密，若所述数据报没有加密，则判断所述数据报的目的地端口地址是否包含在所述预留端口地址列表中，若所述目的地端口地址没有包含在所述预留端口地址列表中，则执行常规地址转换，并将该数据报传送到所述LAN，以便路由并发送给所述本地设备，
若所述目的地端口地址包含在所述预留端口地址列表中，则判断所述数据报的所述目的地端口地址是否绑定到本地IP地址，若所述目的地端口没有绑定到本地IP地址，则丢弃该数据报，
若所述目的地端口地址绑定到本地IP地址，则确定所述目的地端口地址是否与所述外部设备的外部IP地址相关联，若所述目的地端口地址与所述外部设备的所述外部IP地址相关联，则把所述目的地IP地址修改为所述本地设备的绑定的本地IP地址，释放所述目的地端口地址与所述本地IP地址之间的绑定，并将该数据报传送到所述LAN，以便路由并发送给所述本地设备。
15.根据权利要求14所述的方法，其中，如果所述数据报加密，则该方法还包括以下步骤：
判断所述数据报的SPI是否被记录在所述多个内部表的其中一个内部表的SPI-In字段中，若所述SPI被记录在所述内部表的SPI-In字段中，则把目的地IP地址修改为所述本地设备的本地IP地址，并将该数据报传送到所述LAN，以便路由并发送给所述本地设备，
若所述SPI没有记录在所述内部表的所述SPI-In字段中，则判断对应于所述外部设备的IP地址的所述SPI-In字段是否为0，若所述SPI-In字段不是0，则丢弃该数据报，
若所述SPI-In字段为0，则把所述SPI-In字段修改为所述SPI，把所述目的地IP地址修改为所述本地设备的本地IP地址，并将该数据报传送到所述LAN，以便路由并发送给所述本地设备。
16.根据权利要求15所述的方法，其中，所述外部网络是Internet。
17.根据权利要求15所述的方法，其中，所述LAN是虚拟专用网。
CNB018059384A 2000-03-03 2001-02-27 用于使用本地ip地址和不可转换端口地址的局域网的网址转换网关 Expired - Lifetime CN1209712C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US09/518,399 2000-03-03
US09/518,399 US7058973B1 (en) 2000-03-03 2000-03-03 Network address translation gateway for local area networks using local IP addresses and non-translatable port addresses

Publications (2)

Publication Number Publication Date
CN1408088A CN1408088A (zh) 2003-04-02
CN1209712C true CN1209712C (zh) 2005-07-06

Family

ID=24063767

Family Applications (2)

Application Number Title Priority Date Filing Date
CNB018059384A Expired - Lifetime CN1209712C (zh) 2000-03-03 2001-02-27 用于使用本地ip地址和不可转换端口地址的局域网的网址转换网关
CN01117340A Pending CN1332552A (zh) 2000-03-03 2001-03-02 使用本地ip地址和不可转换端口地址的局域网的网络地址转换网关

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN01117340A Pending CN1332552A (zh) 2000-03-03 2001-03-02 使用本地ip地址和不可转换端口地址的局域网的网络地址转换网关

Country Status (14)

Country Link
US (3) US7058973B1 (zh)
EP (2) EP1259886B1 (zh)
JP (2) JP4634687B2 (zh)
KR (2) KR100798660B1 (zh)
CN (2) CN1209712C (zh)
AT (1) ATE315860T1 (zh)
AU (1) AU2001243311B2 (zh)
BR (1) BR0109033B1 (zh)
CA (1) CA2401103C (zh)
DE (1) DE60116610T2 (zh)
MX (1) MXPA02008626A (zh)
RU (1) RU2241252C2 (zh)
TW (1) TW494301B (zh)
WO (1) WO2001067258A1 (zh)

Families Citing this family (162)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7107614B1 (en) 1999-01-29 2006-09-12 International Business Machines Corporation System and method for network address translation integration with IP security
US7058973B1 (en) * 2000-03-03 2006-06-06 Symantec Corporation Network address translation gateway for local area networks using local IP addresses and non-translatable port addresses
JP3636095B2 (ja) * 2000-05-23 2005-04-06 インターナショナル・ビジネス・マシーンズ・コーポレーション Ｖｐｎ接続のセキュリティ
US20050198379A1 (en) 2001-06-13 2005-09-08 Citrix Systems, Inc. Automatically reconnecting a client across reliable and persistent communication sessions
US20030009561A1 (en) * 2001-06-14 2003-01-09 Sollee Patrick N. Providing telephony services to terminals behind a firewall and /or network address translator
US7900042B2 (en) * 2001-06-26 2011-03-01 Ncipher Corporation Limited Encrypted packet inspection
US7769865B1 (en) * 2001-10-16 2010-08-03 Sprint Communications Company L.P. Configuring computer network communications in response to detected firewalls
US20030079000A1 (en) * 2001-10-19 2003-04-24 Chamberlain Robert L. Methods and apparatus for configuring multiple logical networks of devices on a single physical network
US7159109B2 (en) * 2001-11-07 2007-01-02 Intel Corporation Method and apparatus to manage address translation for secure connections
KR100449809B1 (ko) * 2001-12-27 2004-09-22 한국전자통신연구원 다중 보안 서비스를 제공하는 개선된 아이피 계층에서의패킷 보호 방법
JP2003204326A (ja) 2002-01-09 2003-07-18 Nec Corp 通信システムと暗号処理機能付きｌａｎ制御装置、及び通信制御プログラム
KR20030062106A (ko) * 2002-01-16 2003-07-23 한국전자통신연구원 가상 사설망으로부터 데이터 패킷을 수신하는 방법 및 장치
DE60203779T2 (de) * 2002-01-23 2006-03-09 Sony International (Europe) Gmbh Ein Verfahren zur Übertragung von End-to-End QoS durch Anwendung des end-to-end negotiation protocols (E2ENP)
JP4010830B2 (ja) * 2002-03-05 2007-11-21 富士通株式会社 通信装置およびネットワークシステム
US7243368B2 (en) * 2002-03-29 2007-07-10 Hewlett-Packard Development Company, L.P. Access control system and method for a networked computer system
US7558873B1 (en) 2002-05-08 2009-07-07 Nvidia Corporation Method for compressed large send
US7676579B2 (en) * 2002-05-13 2010-03-09 Sony Computer Entertainment America Inc. Peer to peer network communication
US7243141B2 (en) * 2002-05-13 2007-07-10 Sony Computer Entertainment America, Inc. Network configuration evaluation
CN100433667C (zh) * 2002-05-29 2008-11-12 华为技术有限公司 网络地址转换中私网用户访问资源分配方法
GB2418821B (en) * 2002-06-13 2006-08-09 Nvidia Corp Method and apparatus for enhanced security for communication over a network
US7191331B2 (en) 2002-06-13 2007-03-13 Nvidia Corporation Detection of support for security protocol and address translation integration
DE10392807B9 (de) * 2002-06-13 2011-06-16 Nvidia Corp., Santa Clara Verfahren und Vorrichtung für eine verbesserte Sicherheit für eine Kommunikation über ein Netzwerk
US7120930B2 (en) 2002-06-13 2006-10-10 Nvidia Corporation Method and apparatus for control of security protocol negotiation
US7143137B2 (en) * 2002-06-13 2006-11-28 Nvidia Corporation Method and apparatus for security protocol and address translation integration
US7143188B2 (en) 2002-06-13 2006-11-28 Nvidia Corporation Method and apparatus for network address translation integration with internet protocol security
JP3564117B2 (ja) 2002-07-01 2004-09-08 株式会社バッファロー 無線ｌａｎ装置
KR100878764B1 (ko) * 2002-07-06 2009-01-14 삼성전자주식회사 사용자의 익명성보장을 위한 무선 랜 시스템 및 사용자의익명성 보장방법
US7437548B1 (en) 2002-07-11 2008-10-14 Nvidia Corporation Network level protocol negotiation and operation
JP4056849B2 (ja) * 2002-08-09 2008-03-05 富士通株式会社 仮想閉域網システム
US6826627B2 (en) 2002-09-03 2004-11-30 Burnbag, Ltd. Data transformation architecture
FR2844949B1 (fr) * 2002-09-24 2006-05-26 Radiotelephone Sfr Procede de gestion d'une configuration d'une passerelle par un utilisateur de la passerelle
CZ298394B6 (cs) * 2002-10-01 2007-09-19 Anect A. S. Komunikacní infrastruktura spolupracující korporace
KR100479261B1 (ko) 2002-10-12 2005-03-31 한국전자통신연구원 네트워크 주소 변환 상에서의 데이터 전송 방법 및 장치
TWI220344B (en) * 2002-10-23 2004-08-11 Winbond Electronics Corp Manufacture and method for accelerating network address translation
US7921285B2 (en) * 2002-12-27 2011-04-05 Verizon Corporate Services Group Inc. Means of mitigating denial of service attacks on IP fragmentation in high performance IPsec gateways
US7290134B2 (en) * 2002-12-31 2007-10-30 Broadcom Corporation Encapsulation mechanism for packet processing
US7634805B2 (en) * 2003-03-05 2009-12-15 Microsoft Corporation Use of network address translation for implementation of stateful routing
CN1311664C (zh) * 2003-03-05 2007-04-18 华为技术有限公司 在分布式网络交换系统中实现的端口捆绑方法
DE10310351A1 (de) 2003-03-10 2004-09-23 Giesecke & Devrient Gmbh Laden von Mediendaten in einen tragbaren Datenträger
CN100356743C (zh) * 2003-06-03 2007-12-19 华为技术有限公司 网关地址和网络地址转换地址池中地址重叠的实现方法
CN1331328C (zh) * 2003-06-06 2007-08-08 华为技术有限公司 一种基于身份认证的地址转换方法
CN100356752C (zh) * 2003-06-14 2007-12-19 华为技术有限公司 一种网络地址资源的利用方法
US20050021839A1 (en) * 2003-06-23 2005-01-27 Russell Thomas C. Method and apparatus for providing a selectively isolated equipment area network for machine elements with data communication therebetween and with remote sites
US7620070B1 (en) 2003-06-24 2009-11-17 Nvidia Corporation Packet processing with re-insertion into network interface circuitry
US7913294B1 (en) 2003-06-24 2011-03-22 Nvidia Corporation Network protocol processing for filtering packets
KR100568178B1 (ko) 2003-07-18 2006-04-05 삼성전자주식회사 게이트웨이 장치 및 그 제어방법
CN1571440A (zh) * 2003-07-25 2005-01-26 中兴通讯股份有限公司 一种跨越私网实现多媒体呼叫的系统和方法
JP2005051473A (ja) * 2003-07-28 2005-02-24 Sony Corp ネットワーク相互接続装置及びネットワーク相互接続方法、名前解決装置、並びにコンピュータ・プログラム
CN100463551C (zh) * 2003-08-14 2009-02-18 中兴通讯股份有限公司 一种在移动通信系统中实现加密通信的系统和方法
CN100359893C (zh) * 2003-08-28 2008-01-02 华为技术有限公司 以主机代理方式实现地址转换应用网关的方法
US8687485B1 (en) * 2003-09-12 2014-04-01 Rockstar Consortium USLP Method and apparatus for providing replay protection in systems using group security associations
CN1317874C (zh) * 2003-09-27 2007-05-23 财团法人资讯工业策进会 提供虚拟主机服务快速查询置换的网络地址端口转换网关器与方法
US7978716B2 (en) 2003-11-24 2011-07-12 Citrix Systems, Inc. Systems and methods for providing a VPN solution
CN100454882C (zh) * 2003-12-19 2009-01-21 华为技术有限公司 多isp局域网的出口选择方法及装置
US7992199B1 (en) * 2003-12-31 2011-08-02 Honeywell International Inc. Method for permitting two parties to establish connectivity with both parties behind firewalls
EP1562346A1 (en) * 2004-02-06 2005-08-10 Matsushita Electric Industrial Co., Ltd. Method and system for reliably disconnecting IPSec security associations
US7895648B1 (en) * 2004-03-01 2011-02-22 Cisco Technology, Inc. Reliably continuing a secure connection when the address of a machine at one end of the connection changes
US8186026B2 (en) * 2004-03-03 2012-05-29 Rockstar Bidco, LP Technique for maintaining secure network connections
US8738159B2 (en) * 2004-03-15 2014-05-27 Siemens Industry, Inc. System and method for accessing PLC data on demand
EP1615372B1 (en) * 2004-04-05 2013-12-18 Nippon Telegraph And Telephone Corporation Packet cryptographic processing proxy apparatus, method therefor and recording medium for program
US7422152B2 (en) 2004-05-13 2008-09-09 Cisco Technology, Inc. Methods and devices for providing scalable RFID networks
FI20045234A0 (fi) * 2004-06-21 2004-06-21 Nokia Corp Datan lähetys viestintäjärjestelmässä
US7757074B2 (en) 2004-06-30 2010-07-13 Citrix Application Networking, Llc System and method for establishing a virtual private network
US8495305B2 (en) 2004-06-30 2013-07-23 Citrix Systems, Inc. Method and device for performing caching of dynamically generated objects in a data communication network
US8739274B2 (en) 2004-06-30 2014-05-27 Citrix Systems, Inc. Method and device for performing integrated caching in a data communication network
KR20070037649A (ko) 2004-07-23 2007-04-05 사이트릭스 시스템스, 인크. 게이트웨이에서 종단으로 패킷을 라우팅하기 위한 방법 및시스템
EP1771998B1 (en) 2004-07-23 2015-04-15 Citrix Systems, Inc. Systems and methods for optimizing communications between network nodes
KR20070083482A (ko) 2004-08-13 2007-08-24 사이트릭스 시스템스, 인크. 다수의 원격 액세스 서버를 통한 트랜잭션 무결성 유지방법
CN1756259B (zh) * 2004-09-27 2011-04-20 国际商业机器公司 因特网协议网络中使用网络地址翻译的方法和系统
TWI253818B (en) * 2004-10-29 2006-04-21 Benq Corp Transparent address translation methods
US8458467B2 (en) * 2005-06-21 2013-06-04 Cisco Technology, Inc. Method and apparatus for adaptive application message payload content transformation in a network infrastructure element
US7664879B2 (en) * 2004-11-23 2010-02-16 Cisco Technology, Inc. Caching content and state data at a network element
US7987272B2 (en) 2004-12-06 2011-07-26 Cisco Technology, Inc. Performing message payload processing functions in a network element on behalf of an application
US7725934B2 (en) 2004-12-07 2010-05-25 Cisco Technology, Inc. Network and application attack protection based on application layer message inspection
US8082304B2 (en) * 2004-12-10 2011-12-20 Cisco Technology, Inc. Guaranteed delivery of application layer messages by a network element
US8700695B2 (en) 2004-12-30 2014-04-15 Citrix Systems, Inc. Systems and methods for providing client-side accelerated access to remote applications via TCP pooling
US8706877B2 (en) 2004-12-30 2014-04-22 Citrix Systems, Inc. Systems and methods for providing client-side dynamic redirection to bypass an intermediary
US7810089B2 (en) 2004-12-30 2010-10-05 Citrix Systems, Inc. Systems and methods for automatic installation and execution of a client-side acceleration program
US8954595B2 (en) 2004-12-30 2015-02-10 Citrix Systems, Inc. Systems and methods for providing client-side accelerated access to remote applications via TCP buffering
US8549149B2 (en) 2004-12-30 2013-10-01 Citrix Systems, Inc. Systems and methods for providing client-side accelerated access to remote applications via TCP multiplexing
AU2005321876B2 (en) 2004-12-31 2011-07-07 Ntrepid, Llc System for protecting identity in a network environment
EP2739014B1 (en) 2005-01-24 2018-08-01 Citrix Systems, Inc. Systems and methods for performing caching of dynamically generated objects in a network
US8255456B2 (en) 2005-12-30 2012-08-28 Citrix Systems, Inc. System and method for performing flash caching of dynamically generated objects in a data communication network
CN100414929C (zh) * 2005-03-15 2008-08-27 华为技术有限公司 一种移动互联网协议网络中的报文传送方法
US7703124B2 (en) * 2005-03-31 2010-04-20 Hewlett-Packard Development Company, L.P. System and method for implementing a private virtual backbone on a common network infrastructure
JP4768324B2 (ja) * 2005-06-07 2011-09-07 株式会社東芝 無線通信機器
US8266327B2 (en) * 2005-06-21 2012-09-11 Cisco Technology, Inc. Identity brokering in a network element
CN101243319B (zh) * 2005-06-22 2016-01-06 约翰·霍普金斯大学 卵巢癌的生物标记：ctap3-相关蛋白质
IES20050439A2 (en) * 2005-06-30 2006-08-09 Asavie R & D Ltd A method of network communication
KR100799575B1 (ko) * 2005-12-07 2008-01-30 한국전자통신연구원 ＩＰｖ６ 네트워크에서 이동노드에게 ＶＰＮ 서비스를제공하는 방법 및 이를 위한 게이트웨이
US7345585B2 (en) 2005-08-01 2008-03-18 Cisco Technology, Inc. Network based device for providing RFID middleware functionality
US7672289B2 (en) * 2005-08-09 2010-03-02 Mitsubishi Electric Research Laboratories, Inc. Method for defining, allocating and assigning addresses in ad hoc wireless networks
US20070079366A1 (en) * 2005-10-03 2007-04-05 Microsoft Corporation Stateless bi-directional proxy
US20070088815A1 (en) * 2005-10-13 2007-04-19 Kenneth Ma Automated setup and test confirmation of dynamic DNS service
CN100477671C (zh) * 2005-12-16 2009-04-08 中国科学院计算技术研究所 Pat模式下支持多会话应用层协议的网络地址转换方法
US7921184B2 (en) 2005-12-30 2011-04-05 Citrix Systems, Inc. System and method for performing flash crowd caching of dynamically generated objects in a data communication network
US8301839B2 (en) 2005-12-30 2012-10-30 Citrix Systems, Inc. System and method for performing granular invalidation of cached dynamically generated objects in a data communication network
CN101047711B (zh) * 2006-04-27 2010-08-18 华为技术有限公司 Ip报文传输、协商带宽节省能力和节省网络带宽的方法
US7797406B2 (en) * 2006-07-27 2010-09-14 Cisco Technology, Inc. Applying quality of service to application messages in network elements based on roles and status
US7539189B2 (en) * 2006-08-01 2009-05-26 Cisco Technology, Inc. Apparatus and methods for supporting 802.1X in daisy chained devices
US8079077B2 (en) * 2006-08-08 2011-12-13 A10 Networks, Inc. System and method for distributed multi-processing security gateway
CN101155183B (zh) * 2006-09-29 2012-02-08 松下电器产业株式会社 处理巢状网际网络安全协议信道的方法及网络装置
JP4708297B2 (ja) * 2006-09-29 2011-06-22 富士通テレコムネットワークス株式会社 ＩＰｓｅｃの複数セッションを処理する通信装置
US8095786B1 (en) * 2006-11-09 2012-01-10 Juniper Networks, Inc. Application-specific network-layer virtual private network connections
CN100525251C (zh) * 2006-11-30 2009-08-05 中国科学院计算技术研究所 一种网络地址转换方法
CN101072102B (zh) * 2007-03-23 2010-10-06 南京联创科技集团股份有限公司 网络环境下基于安全桌面的信息防泄漏技术
US8621552B1 (en) * 2007-05-22 2013-12-31 Skybox Security Inc. Method, a system, and a computer program product for managing access change assurance
US7729366B2 (en) * 2007-10-03 2010-06-01 General Instrument Corporation Method, apparatus and system for network mobility of a mobile communication device
CN101227494B (zh) * 2008-01-09 2013-06-12 中兴通讯股份有限公司 接入多分组数据网时因特网安全协议安全联盟的建立方法
US7817636B2 (en) * 2008-01-30 2010-10-19 Cisco Technology, Inc. Obtaining information on forwarding decisions for a packet flow
KR20090092503A (ko) * 2008-02-27 2009-09-01 주식회사 휴커넥스 하나의 아이피 주소로 복수의 아이피 장비들을 지원할 수있는 멀티포트 장치
US8228848B2 (en) * 2008-11-17 2012-07-24 Sierra Wireless, Inc. Method and apparatus for facilitating push communication across a network boundary
US8924486B2 (en) * 2009-02-12 2014-12-30 Sierra Wireless, Inc. Method and system for aggregating communications
WO2010054471A1 (en) 2008-11-17 2010-05-20 Sierra Wireless, Inc. Method and apparatus for network port and network address translation
US20100235689A1 (en) * 2009-03-16 2010-09-16 Qualcomm Incorporated Apparatus and method for employing codes for telecommunications
US8874785B2 (en) * 2010-02-15 2014-10-28 Damaka, Inc. System and method for signaling and data tunneling in a peer-to-peer environment
US8356087B1 (en) * 2010-08-24 2013-01-15 Amazon Technologies, Inc. Automatically configuring virtual private networks
US20120269059A1 (en) * 2010-10-19 2012-10-25 Qualcomm Incorporated Methods and apparatus for contemporaneously providing quality of service functionality and local ip access
US9143480B2 (en) * 2011-01-10 2015-09-22 Secure Global Solutions, Llc Encrypted VPN connection
US9258271B1 (en) 2011-01-13 2016-02-09 Google Inc. Network address translation for virtual machines
EP2673927A4 (en) 2011-02-08 2016-08-24 Sierra Wireless Inc METHOD AND DATA-TRANSFER SYSTEM BETWEEN NETWORK DEVICES
CN103299284B (zh) * 2011-04-29 2016-01-20 中天安泰（北京）信息技术有限公司 数据安全读取方法及装置
US8838735B2 (en) 2011-06-28 2014-09-16 At&T Intellectual Property I, L.P. Methods, systems, and products for address translation in residential networks
US8621038B2 (en) 2011-09-27 2013-12-31 Cloudflare, Inc. Incompatible network gateway provisioned through DNS
US8438240B2 (en) * 2011-09-27 2013-05-07 Cloudflare, Inc. Distributing transmission of requests across multiple IP addresses of a proxy server in a cloud-based proxy service
US9258272B1 (en) * 2011-10-21 2016-02-09 Juniper Networks, Inc. Stateless deterministic network address translation
US9178846B1 (en) 2011-11-04 2015-11-03 Juniper Networks, Inc. Deterministic network address and port translation
KR20130052240A (ko) * 2011-11-11 2013-05-22 삼성전자주식회사 네트워크 주소 변환기 통과 기법을 프로비저닝하기 위한 방법 및 장치
CN103139189B (zh) * 2011-12-05 2017-03-22 京信通信系统（中国）有限公司 一种IPSec隧道共用方法、系统及设备
US9118618B2 (en) 2012-03-29 2015-08-25 A10 Networks, Inc. Hardware-based packet editor
US8891540B2 (en) 2012-05-14 2014-11-18 Juniper Networks, Inc. Inline network address translation within a mobile gateway router
US9596286B2 (en) 2012-05-25 2017-03-14 A10 Networks, Inc. Method to process HTTP header with hardware assistance
WO2014052099A2 (en) 2012-09-25 2014-04-03 A10 Networks, Inc. Load distribution in data networks
US10021174B2 (en) 2012-09-25 2018-07-10 A10 Networks, Inc. Distributing service sessions
US10027761B2 (en) 2013-05-03 2018-07-17 A10 Networks, Inc. Facilitating a secure 3 party network session by a network device
RU2637471C2 (ru) * 2013-10-09 2017-12-04 Нек Корпорейшн Система связи, аппаратура связи и способ управления связью
WO2015066840A1 (zh) * 2013-11-05 2015-05-14 华为技术有限公司 一种网络地址转换设备及方法
CN103607403A (zh) * 2013-11-26 2014-02-26 北京星网锐捷网络技术有限公司 一种nat网络环境下使用安全域的方法、装置和系统
KR102282548B1 (ko) * 2014-02-06 2021-07-29 이^엔에이티 테크놀로지스 엘엘씨 다중 보안 링크 아키텍처를 제공하는 시스템 및 방법
CN103942499B (zh) * 2014-03-04 2017-01-11 中天安泰（北京）信息技术有限公司 基于移动存储器的数据黑洞处理方法及移动存储器
US10020979B1 (en) 2014-03-25 2018-07-10 A10 Networks, Inc. Allocating resources in multi-core computing environments
US9806943B2 (en) 2014-04-24 2017-10-31 A10 Networks, Inc. Enabling planned upgrade/downgrade of network devices without impacting network sessions
US9525627B2 (en) 2014-05-27 2016-12-20 Google Inc. Network packet encapsulation and routing
US10129207B1 (en) 2015-07-20 2018-11-13 Juniper Networks, Inc. Network address translation within network device having multiple service units
CN107925914B (zh) * 2015-08-21 2021-05-11 瑞典爱立信有限公司 分组数据网络上的非ip数据的通信
US10038672B1 (en) * 2016-03-29 2018-07-31 EMC IP Holding Company LLC Virtual private network sessions generation
CN106330653A (zh) * 2016-08-30 2017-01-11 成都极玩网络技术有限公司 基于轻量级安全虚拟专用网的智能分流网关
US10469446B1 (en) 2016-09-27 2019-11-05 Juniper Networks, Inc. Subscriber-aware network address translation
JP2018067248A (ja) * 2016-10-21 2018-04-26 富士通株式会社 制御プログラム、制御方法、及び情報処理装置
KR101920190B1 (ko) * 2016-11-22 2019-02-08 한국인터넷진흥원 임의의 ip 생성 방법 및 그 장치
US10594829B2 (en) * 2017-05-24 2020-03-17 At&T Intellectual Property I, L.P. Cloud workload proxy as link-local service configured to access a service proxy gateway via a link-local IP address to communicate with an external target service via a private network
US10565062B1 (en) * 2017-08-03 2020-02-18 Veritas Technologies Llc Systems and methods for managing replication of data to a remote storage device
CN107547690B (zh) * 2017-09-25 2021-06-18 新华三信息安全技术有限公司 Nat中的端口分配方法、装置、nat设备及存储介质
CN107943438A (zh) * 2017-12-21 2018-04-20 国网河北省电力有限公司衡水供电分公司 无人值守变电站的办公优化方法
US10791091B1 (en) * 2018-02-13 2020-09-29 Architecture Technology Corporation High assurance unified network switch
CN110858229B (zh) 2018-08-23 2023-04-07 阿里巴巴集团控股有限公司 数据处理方法、设备、访问控制系统及存储介质
CN109152096B (zh) * 2018-09-27 2020-09-25 安科讯(福建)科技有限公司 Eps架构的报文传输方法及计算机可读存储介质
CN110138748B (zh) * 2019-04-23 2020-10-23 北京交通大学 一种网络融合通信方法、网关设备和系统
JP7309443B2 (ja) * 2019-05-14 2023-07-18 キヤノン株式会社 印刷装置、制御方法及びプログラム
CN112671939B (zh) * 2020-08-17 2022-07-05 紫光云技术有限公司 一种区分nat删除和nat解绑弹性公网ip的方法
US11394686B1 (en) * 2021-02-25 2022-07-19 Nvidia Corporation Dynamic network address translation using prediction
CN113794788B (zh) * 2021-09-14 2023-07-25 北京百度网讯科技有限公司 网关导流方法、系统、装置、设备、存储介质及产品

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4727370A (en) * 1985-12-17 1988-02-23 Ampex Corporation Method and system for synchronous handshake generation
US5577209A (en) 1991-07-11 1996-11-19 Itt Corporation Apparatus and method for providing multi-level security for communication among computers and terminals on a network
WO1997026734A1 (en) 1996-01-16 1997-07-24 Raptor Systems, Inc. Transferring encrypted packets over a public network
WO1997026735A1 (en) * 1996-01-16 1997-07-24 Raptor Systems, Inc. Key management for network communication
US5781550A (en) * 1996-02-02 1998-07-14 Digital Equipment Corporation Transparent and secure network gateway
CN1216657A (zh) * 1996-04-24 1999-05-12 北方电讯有限公司 互联网协议过滤器
US5983350A (en) * 1996-09-18 1999-11-09 Secure Computing Corporation Secure firewall supporting different levels of authentication based on address or encryption status
FI105753B (fi) * 1997-12-31 2000-09-29 Ssh Comm Security Oy Pakettien autentisointimenetelmä verkko-osoitemuutosten ja protokollamuunnosten läsnäollessa
US6353614B1 (en) * 1998-03-05 2002-03-05 3Com Corporation Method and protocol for distributed network address translation
US6055236A (en) * 1998-03-05 2000-04-25 3Com Corporation Method and system for locating network services with distributed network address translation
US7032242B1 (en) * 1998-03-05 2006-04-18 3Com Corporation Method and system for distributed network address translation with network security features
US6006259A (en) 1998-11-20 1999-12-21 Network Alchemy, Inc. Method and apparatus for an internet protocol (IP) network clustering system
US6691168B1 (en) * 1998-12-31 2004-02-10 Pmc-Sierra Method and apparatus for high-speed network rule processing
US6330562B1 (en) * 1999-01-29 2001-12-11 International Business Machines Corporation System and method for managing security objects
US6615357B1 (en) * 1999-01-29 2003-09-02 International Business Machines Corporation System and method for network address translation integration with IP security
US6449251B1 (en) * 1999-04-02 2002-09-10 Nortel Networks Limited Packet mapper for dynamic data packet prioritization
US6957346B1 (en) * 1999-06-15 2005-10-18 Ssh Communications Security Ltd. Method and arrangement for providing security through network address translations using tunneling and compensations
US6347376B1 (en) * 1999-08-12 2002-02-12 International Business Machines Corp. Security rule database searching in a network security environment
US7058973B1 (en) * 2000-03-03 2006-06-06 Symantec Corporation Network address translation gateway for local area networks using local IP addresses and non-translatable port addresses
JP3597756B2 (ja) * 2000-06-09 2004-12-08 日本電信電話株式会社 ネットワークアドレス変換装置およびｖｐｎクライアント多重化システム

Also Published As

Publication number Publication date
JP2003526270A (ja) 2003-09-02
CN1332552A (zh) 2002-01-23
KR20020079979A (ko) 2002-10-21
AU2001243311B2 (en) 2003-12-18
CA2401103A1 (en) 2001-09-13
WO2001067258A1 (en) 2001-09-13
KR100798660B1 (ko) 2008-01-28
US7581247B2 (en) 2009-08-25
TW494301B (en) 2002-07-11
EP1130846A3 (en) 2003-09-24
AU4331101A (en) 2001-09-17
KR20010087322A (ko) 2001-09-15
EP1130846A2 (en) 2001-09-05
RU2002126235A (ru) 2004-03-27
DE60116610T2 (de) 2006-11-23
ATE315860T1 (de) 2006-02-15
US7058973B1 (en) 2006-06-06
BR0109033B1 (pt) 2015-03-10
CN1408088A (zh) 2003-04-02
JP4634687B2 (ja) 2011-02-16
MXPA02008626A (es) 2003-02-24
EP1259886A4 (en) 2004-04-28
DE60116610D1 (de) 2006-04-06
US20060185010A1 (en) 2006-08-17
EP1259886A1 (en) 2002-11-27
JP2001313679A (ja) 2001-11-09
CA2401103C (en) 2007-04-10
US20090059940A1 (en) 2009-03-05
US8165140B2 (en) 2012-04-24
RU2241252C2 (ru) 2004-11-27
EP1259886B1 (en) 2006-01-11
BR0109033A (pt) 2003-06-03

Similar Documents

Publication Publication Date Title
CN1209712C (zh) 用于使用本地ip地址和不可转换端口地址的局域网的网址转换网关
Fall et al. Tcp/ip illustrated
EP2253123B1 (en) Method and apparatus for communication of data packets between local networks
CN101682656B (zh) 用于保护数据分组的路由选择的方法和设备
CN103650436B (zh) 业务路径分配方法、路由器和业务执行实体
CN1575462A (zh) 在第2层装置中实现第3层/第7层防火墙的方法和设备
CN1536847A (zh) 鉴权分组有效负荷的方法
CN101345689B (zh) 一种ip安全业务的实现方法、装置和通信设备
Alotaibi et al. Security issues in protocols of TCP/IP model at layers level
US8146144B2 (en) Method and system for the transparent transmission of data traffic between data processing devices, corresponding computer program product, and corresponding computer-readable storage medium
CN1640094A (zh) 利用转换连接来管理无源网络设备的系统和方法
CN100466599C (zh) 一种专用局域网的安全访问方法及用于该方法的装置
WO2019165235A1 (en) Secure encrypted network tunnels using osi layer 2 protocol
CN100592265C (zh) 路由分组通信量来确保通信安全的方法、系统和计算机系统
WO2008114007A1 (en) Data communication method and apparatus
EP1973275A1 (en) Data communications method and apparatus
RU2801835C1 (ru) Внутренняя сеть, формируемая модулями сетевой криптографической защиты
US7466711B2 (en) Synchronous system and method for processing a packet
Shrivastava Threats and Security Aspects of IPv6
Zamani et al. Deploying IPv6: Security and Future
Fall et al. TCP/IP Illustrated: The Protocols, Volume 1
Kanani et al. Intricate Port Scanning
CN1567877A (zh) 同步封包处理系统与方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: SYMANTEC CORP

Free format text: FORMER OWNER: NEXLAND INC.

Effective date: 20070518

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20070518

Address after: American California

Patentee after: Symantec Corp.

Address before: American Florida

Patentee before: Nexland Inc.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20200109

Address after: California, USA

Patentee after: CA,INC.

Address before: California, USA

Patentee before: Symantec Corporation

CX01 Expiry of patent term

Granted publication date: 20050706

CX01 Expiry of patent term