СПОСОБ И УСТРОЙСТВО ДЛЯ РЕАЛИЗАЦИИ ДОСТУПА МЕЖДУ ВИРТУАЛЬНЫМИ ЧАСТНЫМИ СЕТЯМИ
METHOD AND DEVICE FOR PROVIDING ACCESS BETWEEN VIRTUAL PRIVATE NETWORKS

Область изобретения
Настоящее изобретение относится к сетевым технологиям, в частности к способу и устройству для реализации доступа между виртуальными частными сетями ВЧС (VPN).
Предпосылки к созданию изобретения
Одновременно с быстрым развитием интернет-технологий получили широкое распространение многопротокольные коммутаторы меток МПКМ (MPLS), применяющиеся для предоставления пользователям услуг ВЧС (VPN) уровня 3 (L3). Коммутаторы МПКМ (MPLS), используемые при построении компьютерных сетей предприятий и госучреждений, способны изолировать внутренние сети предприятий и госучреждений от сети общего пользования. Однако на практике может потребоваться взаимный доступ разных ВЧС (VPN) друг к другу.
В настоящее время взаимный доступ нескольких сетей ВЧС (VPN) может быть реализован посредством присвоения глобальных уникальных адресов сетям ВЧС (VPN). Однако такая схема требует единого планирования на начальном этапе организации сети, а управление сетью должно быть реализовано в строгом соответствии с единым планированием, что налагает большие ограничения на систему управления сетью. При этом для уже существующих сетей требуется переопределение IP-адресов, что вызывает затруднения при реорганизации существующих сетей. С помощью технологии трансляции сетевых адресов ТСА (NAT) можно реализовать взаимный доступ между сетями ВЧС (VPN) без изменения существующих сетей и без присвоения глобальных уникальных адресов.
Для трансляции адреса частной сети в адрес сети общего пользования обычно используется традиционное устройство ТСА (NAT). Устройство ТСА (NAT), поддерживающее ВЧС (VPN), используется обычно для решения проблемы доступа к сети общего пользования из нескольких сетей ВЧС (VPN). Следовательно, для реализации взаимного доступа между сетями ВЧС (VPN) необходимо связать каждую из двух взаимодействующих сетей ВЧС (VPN) с отдельным устройством ТСА (NAT) и транслировать частные адреса сетей ВЧС (VPN) в адреса сети общего пользования. Как показано на Фиг.1, процедура доступа из сетей ВЧС (VPN) 11 и 12 в сети ВЧС (VPN) 13 и 14 содержит: трансляцию частных адресов сетей ВЧС (VPN) 11 и 12 в адреса сети общего пользования с помощью устройства 15 ТСА (NAT) и трансляцию адресов сети общего пользования в частные адреса сетей ВЧС (VPN) 13 и 14 с помощью устройства 16 ТСА (NAT). Однако при использовании этого способа структура сети сложна, кроме того, могут возникнуть проблемы безопасности при трансляции адресов сети общего пользования. Другой традиционный способ организации взаимного доступа между сетями ВЧС (VPN) посредством ТСА (NAT) может быть реализован с помощью ТСА (NAT) между сетями ВЧС (VPN) в режиме "один к одному". Снова обратимся к Фиг. 1. Если необходим доступ между сетями ВЧС (VPN) с 11 по 14 через внутренние серверы, то необходимо выполнить настройки попарно между сетями ВЧС (VPN) 11 и 12, между сетями ВЧС (VPN) 11 и 13, между сетями ВЧС (VPN) 11 и 14, между сетями ВЧС (VPN) 12 и 13, между сетями ВЧС (VPN) 12 и 14 и между сетями ВЧС (VPN) 13 и 14, что влечет за собой большие трудности в конфигурировании и управлении.
Сущность изобретения
Настоящим изобретением предлагается способ и устройство для организации доступа между сетями ВЧС (VPN), имеющие целью снизить сложность реализации и преодолеть трудности конфигурирования и управления доступом между сетями ВЧС (VPN).
При реализации настоящего изобретения предлагается способ организации доступа между сетями ВЧС (VPN), содержащий следующие процессы:
конфигурирование общей сети ВЧС (VPN) и пула адресов ТСА (NAT), соответствующего общей сети ВЧС (VPN);
рассылку маршрутной информации пула адресов ТСА (NAT) в каждую из сетей ВЧС (VPN);
получение пакета данных, переданного в соответствии с маршрутной информацией из исходной сети ВЧС (VPN), когда исходная сеть ВЧС (VPN) запрашивает доступ к целевой сети ВЧС (VPN);
выполнение трансляции сетевых адресов в отношении адреса источника и/или адреса назначения, содержащихся в пакете данных, через пул адресов ТСА (NAT);
пересылку пакета данных в целевую сеть ВЧС (VPN), определяемую в соответствии с адресом назначения, содержащимся в пакете данных после проведенной трансляции сетевых адресов.
Кроме того, описанный выше способ содержит процессы: формирования таблицы сеанса ТСА (NAT) в соответствии с идентификатором маршрута пакета данных, включающим номер исходной сети ВЧС (VPN), адрес источника, адрес назначения и номер целевой сети ВЧС (VPN);
пересылки как минимум одного пакета данных в целевую сеть ВЧС (VPN) в соответствии с таблицей сеанса ТСА (NAT).
Кроме того, описанный выше способ содержит процессы:
формирования обратной таблицы сеанса ТСА (NAT) в соответствии с идентификатором обратного маршрута пакета данных, содержащим комбинацию адреса назначения, номера целевой сети ВЧС (VPN), номера исходной сети ВЧС (VPN) и адреса источника либо комбинацию номера общей сети ВЧС (VPN), номера исходной сети ВЧС (VPN) и адреса источника;
пересылки как минимум одного обратного пакета данных в целевую сеть ВЧС (VPN) в соответствии с обратной таблицей сеанса ТСА (NAT).
В описанном выше способе идентификатор маршрута или идентификатор обратного маршрута содержит: транслированный адрес источника и/или транслированный адрес назначения.
В описанном выше способе процесс конфигурирования общей сети ВЧС (VPN) и пула адресов ТСА (NAT), соответствующего общей сети ВЧС (VPN), содержит следующие шаги:
конфигурирование правил ТСА (NAT);
и процесс выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения с помощью пула адресов ТСА (NAT), содержащий:
принятие решения о необходимости для исходной сети ВЧС (VPN) выполнять трансляцию сетевых адресов по правилам ТСА (NAT), когда исходная сеть ВЧС (VPN) запрашивает доступ к целевой сети ВЧС (VPN); и поиск правила ТСА (NAT) для используемого пула адресов ТСА (NAT) и выполнение трансляции сетевых адресов в отношении адреса источника и/или адреса назначения с помощью используемого пула адресов ТСА (NAT), если принято решение, что для исходной сети ВЧС (VPN) необходимо выполнение трансляции сетевых адресов.
Кроме того, описанный выше способ содержит процессы:
поиска в маршрутной таблице целевой сети ВЧС (VPN) маршрута пересылки, соответствующего адресу назначения, содержащемуся в пакете данных после проведенной трансляции сетевых адресов;
пересылки пакета данных в соответствии с маршрутом пересылки.
Кроме того, описанный выше способ содержит процессы:
выполнения трансляции сетевых адресов и портов ТСАП (NAPT) в отношении порта источника и/или порта назначения, содержащихся в пакете данных, через пул адресов ТСА (NAT); и
пересылки пакета данных в соответствии с адресом назначения и портом назначения, содержащимися в пакете данных после проведенной трансляции сетевых адресов и портов.
В описанном выше способе пул адресов ТСА (NAT) содержит:
как минимум один пул адресов для трансляции адреса источника и как минимум один пул адресов для трансляции адреса назначения, причем любой из нескольких адресных пулов может быть либо статическим пулом трансляции адресов, либо динамическим пулом трансляции адресов.
В описанном выше способе маршрутная информация пула адресов ТСА (NAT) содержит:
маршрут к адресу из пула адресов общей сети ВЧС (VPN) или маршрут к устройству ТСА (NAT), определяющему пул адресов ТСА (NAT).
В реализации настоящего изобретения предлагается также устройство ТСА (NAT) для организации доступа между сетями ВЧС (VPN). Устройство ТСА (NAT) содержит:
блок конфигурирования общей сети ВЧС (VPN), предназначенный для конфигурирования общей сети ВЧС (VPN) и пула адресов ТСА (NAT), соответствующего этой сети ВЧС (VPN), и рассылки маршрутной информации пула адресов ТСА (NAT) в каждую из сетей ВЧС (VPN);
блок ТСА (NAT), предназначенный для выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения, содержащихся в пакете данных, через пул адресов ТСА (NAT), после получения пакета данных, переданного из исходной сети ВЧС (VPN), в соответствии с маршрутной информацией; и
блок выбора целевой сети ВЧС (VPN), предназначенный для поиска пула адресов ТСА (NAT) с целью определения целевой сети ВЧС (VPN) в соответствии с адресом назначения, содержащимся в пакете данных после проведенной трансляции сетевых адресов и пересылки пакета данных в выбранную целевую сеть ВЧС (VPN).
Кроме того, описанное выше устройство ТСА (NAT) содержит:
блок таблицы сеанса, предназначенный для формирования и хранения таблицы сеанса ТСА (NAT) в соответствии с идентификатором маршрута пакета данных и пересылки пакетов данных из исходной сети ВЧС (VPN) согласно таблице сеанса ТСА (NAT), причем идентификатор маршрута содержит номер исходной сети ВЧС (VPN), адрес источника, адрес назначения и номер целевой сети ВЧС (VPN); и
блок обратной таблицы сеанса, предназначенный для формирования и хранения обратной таблицы сеанса ТСА (NAT) в соответствии с идентификатором обратного маршрута пакета данных и пересылки обратных пакетов данных из целевой сети ВЧС (VPN) согласно обратной таблице сеанса ТСА (NAT), причем идентификатор обратного маршрута содержит либо комбинацию номера исходной сети ВЧС (VPN), адреса источника, адреса назначения и номера целевой сети ВЧС (VPN), либо комбинацию номера общей сети ВЧС (VPN), номера исходной сети ВЧС (VPN) и адреса источника.
Кроме того, идентификатор маршрута или идентификатор обратного маршрута содержит: транслированный адрес источника и/или транслированный адрес назначения.
Кроме того, описанное выше устройство ТСА (NAT) содержит: блок конфигурирования правил, связанный с блоком ТСА (NAT) и предназначенный для конфигурирования правил ТСА (NAT), определяющих необходимость для исходной сети ВЧС (VPN) выполнения трансляции сетевых адресов; а также определяющих необходимость выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения.
Кроме того, блок ТСА (NAT) описанного выше устройства ТСА (NAT) содержит:
субблок трансляции адресов, предназначенный для выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения с помощью пула адресов ТСА (NAT);
кроме того, блок ТСА (NAT) содержит:
субблок трансляции портов, предназначенный для выполнения трансляции ТСАП (NAPT) в отношении порта источника и/или порта назначения с помощью пула адресов ТСА (NAT).
В описанном выше устройстве ТСА (NAT) маршрутная информация пула адресов ТСА (NAT) содержит: маршрут к адресу из пула адресов общей сети ВЧС (VPN) или маршрут к устройству ТСА (NAT), определяющему пул адресов ТСА (NAT).
В описанном выше устройстве ТСА (NAT) пул адресов ТСА (NAT) содержит: как минимум один пул адресов для трансляции адреса источника и как минимум один пул адресов для трансляции адреса назначения, причем любой из нескольких адресных пулов может быть либо статическим пулом трансляции адресов, либо динамическим пулом трансляции адресов.
По сравнению с прототипом способ, предлагаемый в настоящем изобретении, может легко обеспечить доступ между сетями ВЧС (VPN) посредством конфигурирования общей сети ВЧС (VPN) и пула адресов ТСА (NAT) в сети и рассылки маршрутной информации пула адресов ТСА (NAT) в сетях ВЧС (VPN), в результате чего упрощается конфигурирование и управление, а также возрастает безопасность.
Краткое описание рисунков
На Фиг.1 представлена схема сети с поддержкой взаимного доступа нескольких сетей ВЧС (VPN) из уровня техники.
На Фиг.2 приведен алгоритм, отображающий способ организации доступа между сетями ВЧС (VPN) в соответствии с первым вариантом реализации настоящего изобретения.
На Фиг.3 приведен алгоритм, отображающий способ организации доступа между сетями ВЧС (VPN) в соответствии со вторым вариантом реализации настоящего изобретения.
На Фиг.4 приведена схема сети с поддержкой доступа между сетями ВЧС (VPN) в соответствии со вторым вариантом реализации настоящего изобретения.
На Фиг.5 приведена схема устройства ТСА (NAT), предназначенного для организации доступа между сетями ВЧС (VPN) в соответствии с настоящим изобретением.
Подробное описание изобретения
Подробное описание настоящего изобретения приводится со ссылками на прилагаемые рисунки и варианты реализации. В вариантах реализации настоящего изобретения выполнение трансляции сетевых адресов в отношении адреса источника обозначено как "ТСА (NAT) адреса источника", а выполнение трансляции сетевых адресов в отношении адреса назначения обозначено как "ТСА (NAT) адреса назначения",
В настоящем изобретении предлагается способ организации доступа между сетями ВЧС (VPN). Как показано на Фиг.2, способ по первому варианту реализации настоящего изобретения содержит следующие шаги.
На шаге S201 конфигурируют общую сеть ВЧС (VPN) и пул адресов ТСА (NAT), соответствующий этой общей сети ВЧС (VPN), а маршрутную информацию пула адресов ТСА (NAT) рассылают в каждую сеть ВЧС (VPN).
При этом должен существовать адресный пул для трансляции адресов с целью организации доступа между сетями ВЧС (VPN) с помощью ТСА (NAT).
В первом варианте реализации настоящего изобретения в первую очередь в сети конфигурируется общая сеть ВЧС (VPN) либо в виде реальной сети ВЧС (VPN), содержащей компьютеры, либо в виде виртуальной сети. Затем для общей сети ВЧС (VPN) конфигурируются один или несколько пулов адресов, т.е. пулов адресов ТСА (NAT). Сконфигурированный пул адресов содержит пул адресов для трансляции адреса источника и пул адресов для трансляции адреса назначения. Внешние сетевые адреса, получаемые при трансляции адресов ВЧС (VPN), независимо от типа трансляции (статическая или динамическая) принадлежат общей сети ВЧС (VPN). И, наконец, необходимо разослать маршрутную информацию пула адресов ТСА (NAT) в сети ВЧС (VPN), нуждающуюся во взаимном доступе, чтобы пакеты данных, посылаемые хостами из других сетей ВЧС (VPN), могли маршрутизироваться в общую сеть ВЧС (VPN), а хосты из других сетей ВЧС (VPN) могли иметь доступ к IP-адресам внешней сети в пуле адресов ТСА (NAT). В маршрутной информации пула адресов ТСА (NAT) может содержаться либо маршрут к адресу пула адресов, сконфигурированный для общей сети ВЧС (VPN), либо маршрут к устройству ТСА (NAT), предназначенному для конфигурирования пула адресов.
На шаге S202 выполняют ТСА (NAT) адреса источника и/или ТСА (NAT) адреса назначения с помощью пула адресов ТСА (NAT), когда исходная сеть ВЧС (VPN) запрашивает доступ посредством отправки пакета данных.
После конфигурирования общей сети ВЧС (VPN) и пула адресов ТСА (NAT), соответствующего этой общей сети ВЧС (VPN), и рассылки маршрутной информации пула адресов ТСА (NAT) в каждую сеть ВЧС (VPN) на шаге S201, если сеть ВЧС (VPN) запрашивает доступ к другой сети ВЧС (VPN) посредством отправки пакета данных, то этот пакет данных маршрутизируется на устройство ТСА (NAT). Если ТСА (NAT) адреса источника сконфигурирована по правилам ТСА (NAT), то адрес источника в пакете данных, удовлетворяющий правилу ТСА (NAT), транслируется, и сети ВЧС (VPN), запросившей доступ, присваивается доступный адрес в пуле адресов ТСА (NAT) общей сети ВЧС (VPN). Затем устройство ТСА (NAT) принимает решение о необходимости трансляции адреса назначения, относящегося к общей сети ВЧС (VPN), в соответствии с правилом ТСА (NAT). Если требуется ТСА (NAT) адреса назначения, то целевая сеть ВЧС (VPN) с этим адресом назначения сразу может быть доступна. ТСА (NAT) адреса источника и ТСА (NAT) адреса назначения настраиваются на взаимный доступ внутренних хостов между сетями ВЧС (VPN) с использованием их собственных частных IP-адресов. Если один из хостов первой сети ВЧС (VPN) получает доступ к другому хосту второй сети ВЧС (VPN) по IP-адресу сети общего пользования, необходимо использовать одну ТСА (NAT) адреса источника или ТСА (NAT) адреса назначения. Если оба хоста в разных сетях ВЧС (VPN) получают доступ друг к другу по IP-адресу сети общего пользования, нет необходимости выполнять ни ТСА (NAT) адреса источника, ни ТСА (NAT) адреса назначения, описанные в первом варианте реализации. Кроме того, описанные выше ТСА (NAT) адреса источника и/или ТСА (NAT) адреса назначения могут содержать также трансляцию порта источника и/или трансляцию порта назначения, которые будут описаны в третьем варианте реализации настоящего изобретения.
На шаге S203 выбирают целевую сеть ВЧС (VPN) в соответствии с адресом назначения или с транслированным адресом назначения.
Как видно из описания шага S201, сконфигурированный пул адресов ТСА (NAT) содержит пул адресов для трансляции адреса источника и пул адресов для трансляции адреса назначения. Если на шаге S202 выполняется ТСА (NAT) в соответствии с пулом адресов для трансляции адреса назначения, то целевая сеть ВЧС (VPN), пересылающая пакет данных, может быть выбрана в соответствии с транслированным адресом назначения. Если ТСА (NAT) адреса назначения пакета данных не выполняется, целевая сеть ВЧС (VPN), пересылающая пакет данных, может быть выбрана непосредственно в соответствии с адресом назначения, содержащимся в пакете данных после выполнения ТСА (NAT) адреса источника.
На шаге S204 пересылают пакет данных в целевую сеть ВЧС (VPN) согласно маршрутной информации.
После выбора на шаге S203 целевой сети ВЧС (VPN) маршрут пересылки может быть найден в маршрутной таблице целевой сети ВЧС (VPN) в соответствии с адресом назначения или с транслированным адресом назначения, так что пакет данных может пересылаться согласно маршрутной информации.
Как показано на Фиг.3, способ по второму варианту реализации настоящего изобретения для организации доступа между сетями ВЧС (VPN) содержит следующие шаги.
На шаге S301 конфигурируют общую сеть ВЧС (VPN) и пул адресов ТСА (NAT), соответствующий этой общей сети ВЧС (VPN), и рассылают маршрутную информацию пула адресов ТСА (NAT) в каждую сеть ВЧС (VPN).
Шаг S301 совпадает с шагом S201 первого варианта реализации. Для реализации ТСА (NAT) необходимо сконфигурировать пул адресов ТСА (NAT) и общую сеть ВЧС (VPN), разослать маршрут к адресу пула адресов ТСА (NAT) или маршрут к устройству ТСА (NAT), предназначенному для конфигурирования пула адресов ТСА (NAT), в различные сети ВЧС (VPN), выполняющие взаимный доступ в сеть. Таким образом, хосты из сетей ВЧС (VPN) могут получать доступ к IP-адресам сети общего пользования в пуле адресов ТСА (NAT).
На шаге S302 конфигурируют правило ТСА (NAT).
На практике при использовании ВЧС (VPN) в сетях ВЧС (VPN) предоставляется доступ к отдельным внутренним хостам или услугам; из соображений безопасности другим хостам из сетей ВЧС (VPN) выполнение ТСА (NAT) не разрешено. Кроме того, некоторые хосты могут получать доступ к сети и быть доступными из сети с использованием IP-адреса сети общего пользования внутри ВЧС (VPN); когда между такими сетями ВЧС (VPN) выполняется взаимный доступ, хостам необходимо выполнять трансляцию сетевых адресов, но не одновременную трансляцию адреса источника и адреса назначения. Права хостов или требования к ним при выполнении ТСА (NAT) в сетях ВЧС (VPN) могут конфигурироваться с помощью настройки правил ТСА (NAT). В то же время во избежание конфликта сетевых адресов, обрабатываемых с помощью ТСА (NAT), устройство ТСА (NAT) может присваивать разным сетям ВЧС (VPN) различные пулы адресов ТСА (NAT) в соответствии с требованиями услуг доступа пользователей. Следовательно, пул адресов ТСА (NAT) может также настраиваться заранее в соответствии с правилами ТСА (NAT).
Как показано на Фиг.4, процедура ТСА (NAT) для пользователя 10.10.0.1 из ВЧС (VPN) 41, получающего доступ к пользователю 10.10.0.1 в ВЧС (VPN) 42, выполняется в соответствии с шагами S301 и S302. Сначала устройство 43 ТСА (NAT) формирует общую сеть ВЧС (VPN) 44 и настраивает правило ТСА (NAT) для общей сети ВЧС (VPN) 44. Все пользователи сети ВЧС (VPN) 41, выполняющие внешний доступ, должны использовать ТСА (NAT) в соответствии с правилом ТСА (NAT). Устройство 43 ТСА (NAT) формирует пул адресов 60.0.0.1~60.0.0.32 для трансляции адреса источника и конфигурирует статическую трансляцию адреса назначения для ВЧС (VPN) 42 (внутренний сервер), т.е. отображение адреса ВЧС (VPN) 44: 60.0.1.1 в адрес ВЧС (VPN) 42: 10.10.0.1. ВЧС (VPN) 41 и ВЧС (VPN) 42 могут получить маршрут к ВЧС (VPN) 44, таким образом существует маршрут к адресу из пула адресов 60.0.0.1~60.0.0.32 и маршрут к адресу 60.0.1.1 в сети ВЧС (VPN) 41 и в сети ВЧС (VPN) 42.
На шаге S303, когда ВЧС (VPN) запрашивает доступ с помощью передачи пакета данных, устройство ТСА (NAT) принимает решение о необходимости выполнения ТСА (NAT) в соответствии с правилом ТСА (NAT). Если устройство ТСА (NAT) принимает решение о необходимости выполнения ТСА (NAT) в соответствии с правилом ТСА (NAT), то выполняется процесс, предусмотренный шагом S304.
С учетом требований безопасности и прав доступа, некоторым хостам из ВЧС (VPN) не разрешается доступ к внешней сети. Следовательно, необходимо принимать решение о необходимости выполнения ТСА (NAT) в соответствии с предопределенным правилом ТСА (NAT) после получения пакета данных, переданного из сети ВЧС (VPN).
На шаге S304 формируют пул адресов NAT в соответствии с правилом ТСА (NAT), и выполняют ТСА (NAT) адреса источника.
Как следует из описания шага S302, устройство ТСА (NAT) может формировать разные пулы адресов ТСА (NAT) для разных сетей ВЧС (VPN) в соответствии с условиями доступа пользователей. Следовательно, необходимо найти правило ТСА (NAT), определяющее пул адресов ТСА (NAT) для трансляции адресов при выполнении ТСА (NAT) устройством ТСА (NAT). Устройство ТСА (NAT) выполняет ТСА (NAT) в отношении адреса источника, содержащегося в пакете данных, в соответствии с конфигурацией трансляции адреса источника и присваивает сетевой адрес из пула адресов ТСА (NAT) общей сети ВЧС (VPN), получая в результате транслированный адрес источника.
На шаге S305 выполняют ТСА (NAT) адреса назначения для получения транслированного адреса назначения и целевой сети ВЧС (VPN).
На шаге S306 целевая сеть ВЧС (VPN) пересылает пакет данных.
Шаги S305 и S306 аналогичны шагам S202-S204 для первой реализации.
Адрес назначения, содержащийся в пакете данных, транслирован. Маршрут пересылки выбирается из таблицы пересылки, содержащейся в маршрутной таблице целевой сети ВЧС (VPN), в соответствии с транслированным адресом назначения. Пакет данных пересылается на хост, соответствующий адресу назначения в целевой сети ВЧС (VPN).
По данным описания шагов S303~S305 и Фиг.4 пользователем 10.10.0.1 из сети ВЧС (VPN) 41 запрашивается доступ к пользователю 60.0.1.1 в сети ВЧС (VPN) 44. Пакеты данных пользователя 10.10.0.1 маршрутизируются на устройство 43 ТСА (NAT), а устройство 43 ТСА (NAT) получает пул адресов ТСА (NAT) для адреса источника (60.0.0.1-60.0.0.32) согласно правилу ТСА (NAT) и выделяет неиспользуемый адрес 60.0.0.1 из пула адресов ТСА (NAT) для адреса источника. Сеть ВЧС (VPN) 44 используется в качестве общей сети ВЧС (VPN). Устройство 43 ТСА (NAT) находит таблицу статической трансляции адреса назначения (таблицу внутреннего сервера) из пула адресов ТСА (NAT) и получает результат трансляции адреса сети ВЧС (VPN) 42:10.10.0.1 (сеть 42 является целевой сетью), соответствующий адресу 60.0.1.1 и сети ВЧС (VPN) 44. Устройство 43 ТСА (NAT) замещает адрес источника 10.10.0.1 транслированным адресом 60.0.0.1 и адрес назначения 60.0.1.1 транслированным адресом 10.10.0.1. Маршрут пересылки выбирается из таблицы маршрутизации в целевой сети ВЧС (VPN) 42 в соответствии с транслированным адресом 10.10.0.1. Пакет данных пересылается по адресу 10.10.0.1 сети ВЧС (VPN) 42 в соответствии с маршрутом пересылки.
В приведенном описании второго варианта реализации изобретения трансляция сетевого адреса источника с использованием пула адресов 60.0.0.1~60.0.0.32 представляет собой динамическую ТСА (NAT), в то время как трансляция адреса назначения для конфигурирования внутреннего сервера 60.0.1.1 является статической. В качестве альтернативы трансляция сетевых адресов может также быть динамической трансляцией, использующей пул адресов и нуждающейся в интеграции со схемой динамического разрешения адресов, аналогичной разрешению доменных имен. Поскольку описанная выше схема трансляции адреса назначения не является существенной для настоящего изобретения, реализация этой схемы сложна, а трансляция адресов, выполняющая динамическое разрешение, заменена статическим отображением внутреннего сервера во втором варианте реализации настоящего изобретения, упомянутая схема далее подробно не рассматривается. Аналогично трансляция адреса источника также может использовать конфигурацию статического отображения, которая может быть легко разработана специалистами, поэтому далее не приводится описание трансляции адреса источника с использованием конфигурации статического отображения.
На шаге S307 формируют таблицу сеанса ТСА (NAT) и обратную таблицу сеанса ТСА (NAT) в соответствии с идентификатором маршрута пакета данных.
После организации взаимного доступа между сетями ВЧС (VPN) и пересылки пакетов данных между сетями ВЧС (VPN) таблица сеанса ТСА (VPN) и реверсивная таблица сеанса формируются в соответствии с идентификаторами маршрута пакетов данных. Последующие и обратные пакеты данных, передаваемые между одними и теми же хостами одной и той же сети ВЧС (VPN), могут пересылаться в соответствии с таблицей сеанса. Идентификатор маршрута может содержать, не ограничиваясь этим, номер исходной сети ВЧС (VPN), адрес источника, транслированный адрес источника, адрес назначения, транслированный адрес назначения и номер целевой сети ВЧС (VPN). Кроме того, идентификатор обратного маршрута обратной таблицы сеанса ТСА (NAT) может быть также сформирован путем замены адреса назначения и номера целевой сети ВЧС (VPN) на номер общей сети ВЧС (VPN), а пакеты данных из целевой сети ВЧС (VPN) в исходную сеть ВЧС (VPN) пересылаются описанным выше способом.
На шаге S308 пересылают последующие прямые и обратные пакеты данных в соответствии с таблицей сеанса ТСА (NAT) и с обратной таблицей сеанса ТСА (NAT).
Как следует из описания шага S307, для ускорения работы ТСА (NAT) необходимо сформировать таблицу сеанса ТСА (NAT) и обратную таблицу сеанса ТСА (NAT) в соответствии с номером исходной сети ВЧС (VPN), адресом источника, адресом назначения и номером целевой сети ВЧС (VPN), содержащимися в пакете данных. В результате, если последующие прямые и обратные пакеты данных могут соответствовать записи в таблице сеанса ТСА (NAT), трансляция адресов может выполняться непосредственно по таблице сеанса без выполнения перечисленных выше шагов. Запись таблицы сеанса ТСА (NAT) может быть удалена с использованием механизма устаревания, а таблица сеанса ТСА (NAT) может удаляться из устройства ТСА (NAT) через регулярные интервалы времени.
Исходя из описания шагов S307 и S308 и Фиг.4, взаимосвязь между сетью ВЧС (VPN) 41 с хостами 10.10.0.1 и 60.0.1.1 и сетью ВЧС (VPN) 42 с хостами 60.0.0.1 и 10.10.0.1 и обратная взаимосвязь между сетью ВЧС (VPN) 42 с хостами 10.10.0.1 и 60.0.0.1 и сетью ВЧС (VPN) 41 с хостами 60.0.1.1 и 10.10.0.1 устанавливаются в устройстве 43 ТСА (NAT), как показано в Табл.1. Кроме того, формируется обратная таблица сеанса между сетью ВЧС (VPN) 44 с хостами 10.10.0.1 и 60.0.0.1 и сетью ВЧС (VPN) 41 с хостами 60.0.1.1 и 10.10.0.1. Как показано в Табл.2, обратные номера доступа сетей ВЧС (VPN) замещаются номерами общей сети ВЧС (VPN), полученными в результате поиска в пуле адресов маршрута к обратному адресу 60.0.0.1.
В результате формирования записи таблицы сеанса ТСА (NAT) последующие пакеты данных от пользователя 10.10.0.1 из сети ВЧС (VPN) 41 пользователю 10.10.0.1 в сети ВЧС (VPN) 42 и обратные пакеты данных от пользователя 10.10.0.1 из сети ВЧС (VPN) 42 пользователю 10.10.0.1 в сети ВЧС (VPN) 41 могут транслироваться непосредственно по результатам поиска в таблице сеанса ТСА (NAT), а именно в Табл. 1.
Непосредственная трансляция ТСА (NAT) адреса источника или непосредственная трансляция ТСА (NAT) адреса назначения описана выше в первом и втором вариантах реализации настоящего изобретения. На практике трансляция сетевых адресов и портов ТСАП (NAPT) может выполняться с целью доступа между сетями ВЧС (VPN), описанного ниже в третьем варианте реализации настоящего изобретения.
В последующем описании третьего варианта реализации настоящего изобретения в качестве примера подробно описан доступ пользователя 10.10.0.1:10000 из сети ВЧС (VPN) 51 к пользователю 10.10.0.1:21 в сети ВЧС (VPN) 52.
Прежде всего формируют общую сеть ВЧС (VPN) 53, и для этой сети 53 конфигурируют правило ТСА (NAT) всем пользователям сети ВЧС (VPN) 51, которым необходим внешний доступ, требуется выполнение трансляции ТСА (NAT) в соответствии с правилом ТСА (NAT). Одновременно формируют пул адресов ТСА (NAT) 60.0.0.1-60.0.0.32. Адрес внутреннего сервера 60.0.1.1: 21 из сети ВЧС (VPN) 53 отображается на адрес пользователя 10.10.0.1: 21 сети ВЧС (VPN) 52. Сеть ВЧС (VPN) 51 и сеть ВЧС (VPN) 52 получают маршрут в сеть ВЧС (VPN) 53 и получают маршруты к адресам из пула 60.0.0.1~60.0.0.32 и маршрут к адресу 60.0.1.1.
Когда пользователь 10.10.0.1:10000 из сети ВЧС (VPN) 51 запрашивает доступ к пользователю 60.0.1.1:21, пакет данных от пользователя 10.10.0.1:10000 пересылается на устройство 53 ТСА (NAT) по маршруту, найденному в маршрутной таблице сети ВЧС (VPN) 51. Устройство 53 ТСА (NAT) получает пул адресов ТСА (NAT) 60.0.0.1~60.0.0.32 в соответствии со сконфигурированным правилом ТСА (NAT) и в этой реализации типом ТСА (NAT) является ТСАП (NAPT). Присваивается неиспользуемый адрес и порт 60.0.0.1:12000 из пула адресов ТСА (NAT), сеть ВЧС (VPN) 53 используется в качестве общей сети ВЧС (VPN) пула адресов ТСА (NAT). Сетью ВЧС (VPN) 53 и пользователем 60.0.1.1:21 проводится поиск во внутренней таблице сервера и результатом поиска является адрес и номер порта 10.10.0.1:21 сети ВЧС (VPN) 52. Наконец, адрес и номер порта источника 10.10.0.1:10000 замещаются транслированными адресом и номером порта 60.0.0.1:12000, адрес и номер порта назначения 60.0.1.1:21 замещаются транслированным адресом и номером порта 10.10.0.1:21. Сетью ВЧС (VPN) 52 проводится поиск в маршрутной таблице на основе адреса 10.10.0.1, а пакеты данных пересылаются по адресу 10.10.0.1 сети ВЧС (VPN) 52.
Для упрощения пересылки последующих прямых и обратных пакетов данных таблица сеанса ТСА (NAT) может формироваться после трансляции ТСАП (NAPT) сети ВЧС (VPN) в соответствии с маршрутными идентификаторами, содержащимися в пакетах данных. Как показано в Табл.3, взаимосвязь между сетью ВЧС (VPN) 51 с хостами 10.10.0.1:10000 и 60.0.1.1:21 и сетью ВЧС (VPN) 52 с хостами 60.0.0.1:12000 и 10.10.0.1 и обратная взаимосвязь между сетью ВЧС (VPN) 52 с хостами 10.10.0.1:21 и 60.0.0.1:12000 и сетью ВЧС (VPN) 51 с хостами 60.0.1.1:21 и 10.10.0.1:10000 может устанавливаться в таблице сеанса ТСА (NAT) в третьем варианте реализации настоящего изобретения. Кроме того, согласно Табл.4 может быть сформирована обратная таблица сеанса ТСА (NAT), отображающая взаимосвязь между общей сетью ВЧС (VPN) 53 с хостами 10.10.0.1:21 и 60.0.0.1:12000 и сетью ВЧС (VPN) 51 с хостами 60.0.1.1:21 и 10.10.0.1:10000, и номер общей сети ВЧС (VPN) может быть получен в результате поиска обратного маршрута к адресу 60.0.0.1 в пуле адресов ТСА (NAT).
В соответствии с приведенными таблицами сеанса ТСА (NAT) пакеты данных от пользователя 10.10.0.1 из сети ВЧС (VPN) 51 пользователю 10.10.0.1 в сети ВЧС (VPN) 52 и обратные пакеты данных от пользователя 10.10.0.1 из сети ВЧС (VPN) 52 пользователю 10.10.0.1 в сети ВЧС (VPN) 51 могут транслироваться непосредственно по результатам поиска в описанных выше таблицах сеанса ТСА (NAT).
ТСА (NAT) и ТСАП (NAPT) описаны в вариантах реализации изобретения соответственно с первого по третий. На практике в качестве альтернативы ТСА (NAT) и ТСАП (NAPT) могут быть выполнены соответственно в отношении адреса источника и адреса назначения. Кроме того, для простоты описания перечисленные выше варианты реализации настоящего изобретения приведены с использованием в качестве примера случая с двумя сетями ВЧС (VPN), использующими взаимный доступ. Описанные выше варианты реализации настоящего изобретения приспособлены также для взаимного доступа нескольких сетей ВЧС (VPN), при этом преимущества настоящего изобретения стали бы более очевидными, однако это не будет рассматриваться более подробно.
Как показано на Фиг.5, устройство ТСА (NAT), предназначенное для организации доступа между сетями ВЧС (VPN), также предлагается в настоящем изобретении. Устройство ТСА (NAT) содержит блок 610 конфигурирования общей сети ВЧС (VPN), блок 620 ТСА (NAT) и блок 630 выбора целевой сети ВЧС (VPN). Блок 610 конфигурирования общей сети ВЧС (VPN) используется для конфигурирования общей сети ВЧС (VPN) и пула адресов ТСА (NAT), соответствующего этой сети ВЧС (VPN), и рассылки маршрутной информации пула адресов ТСА (NAT) в каждую из сетей ВЧС (VPN). Блок 620 ТСА (NAT) используют для выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения, содержащихся в пакете данных, через пул адресов ТСА (NAT) после получения пакета данных, переданного из исходной сети ВЧС (VPN), в соответствии с маршрутной информацией. Блок 630 выбора целевой сети ВЧС (VPN) используется для поиска пула адресов ТСА (NAT) с целью определения целевой сети ВЧС (VPN) в соответствии с адресом назначения, содержащимся в пакете данных после проведенной трансляции сетевых адресов и пересылки пакета данных в выбранную целевую сеть ВЧС (VPN).
В данной реализации настоящего изобретения устройство ТСА (NAT) содержит также блок 640 таблицы сеанса, блок 650 реверсивной таблицы сеанса и блок 660 конфигурирования правил. Блок 640 таблицы сеанса используется для формирования и хранения таблицы сеанса ТСА (NAT), соответствующей идентификатору маршрута пакета данных, и пересылки последующих пакетов данных из исходной сети ВЧС (VPN) согласно таблице сеанса ТСА (NAT). Идентификатор маршрута содержит, не ограничиваясь этим, номер исходной сети ВЧС (VPN), адрес источника, транслированный адрес источника, адрес назначения, транслированный адрес назначения и номер целевой сети ВЧС (VPN). Блок 650 обратной таблицы сеанса используется для формирования и хранения обратной таблицы сеанса ТСА (NAT), соответствующей идентификатору обратного маршрута пакета данных, и пересылки обратных пакетов данных из целевой сети ВЧС (VPN) согласно обратной таблице сеанса ТСА (NAT). Идентификатор обратного маршрута содержит либо комбинацию адреса назначения, номера целевой сети ВЧС (VPN), номера исходной сети ВЧС (VPN) и адреса источника, либо комбинацию номера общей сети ВЧС (VPN), номера исходной сети ВЧС (VPN) и адреса источника. Блок 660 конфигурирования правил связан с блоком 620 ТСА (NAT) и используется для конфигурирования правил ТСА (NAT), определяющих необходимость для исходной сети ВЧС (VPN) выполнения трансляции сетевых адресов, а также определяющих необходимость выполнения трансляции сетевых адресов в отношении адреса источника и/или адреса назначения.
Кроме того, блок 620 ТСА (NAT) содержит субблок 621 трансляции адресов, а также субблок 622 трансляции портов. Субблок 621 трансляции адресов используется для выполнения ТСА (NAT) в отношении адреса источника и/или адреса назначения с помощью пула адресов ТСА (NAT). Субблок 622 трансляции портов используют для последующего выполнения ТСАП (NAPT) в отношении порта источника и/или порта назначения с помощью пула адресов ТСА (NAT).
В устройстве ТСА (NAT) маршрутная информация пула адресов ТСА (NAT) касается маршрута к адресу из пула адресов общей сети ВЧС (VPN) или маршрута к устройству ТСА (NAT), определяющему пул адресов ТСА (NAT). Все перечисленное выше представляет собой только некоторые варианты реализации, раскрываемые настоящим изобретением. Однако объем патентной защиты настоящего изобретения не ограничивается приведенными выше описаниями. Любые изменения или замещения в пределах технических решений, раскрываемых настоящим изобретением, легко выполняемые специалистами, должны относиться к патентной защите настоящего изобретения.
Таблица 1
Направление
Сеть доступа ВЧС(VPN)
IP-адрес источника
Адрес назначения
Транслированный номер сети ВЧС (VPN)
Транслированный адрес источника
Транслированный адрес назначения
Прямое
41
10.10.0.1
60.0.1.1
42
60.0.0.1
10.10.0.1
Обратное
42
10.10.0.1
60.0.0.1
41
60.0.1.1
10.10.0.1
Таблица 2
Направление
Сеть доступа ВЧС (VPN)
IP-адрес источника
Адрес назначения
Транслированный номер сети ВЧС (VPN)
Транслированный адрес источника
Транслированный адрес назначения
Прямое
41
10.10.0.1
60.0.1.1
42
60.0.0.1
10.10.0.1
Обратное
44
10.10.0.1
60.0.0.1
41
60.0.1.1
10.10.0.1
Таблица 3
Направление
Сеть доступа ВЧС(VPN)
Адрес источника
Порт источника
Адрес назначения
Порт назначения
Транслированный номер сети ВЧС (VPN)
Транслированный адрес источника
Транслированный порт источника
Транслированный адрес назначения
Транслированный порт назначения
Прямое
51
10.10.0.1
10000
60.0.1.1
21
52
60.0.0.1
12000
10.10.0.1
21
Обратное
52
10.10.0.1
21
60.0.0.1
12000
51
60.0.1.1
21
10.10.0.1
10000
Таблица 4
Направление
Сеть доступа ВЧС(VPN)
Адрес источника
Порт источника
Адрес назначения
Порт назначения
Транслированный номер сети ВЧС (VPN)
Транслированный адрес источника
Транслированный порт источника
Транслированный адрес назначения
Транслированный порт назначения
Прямое
51
10.10.0.1
10000
60.0.1.1
21
52
60.0.0.1
12000
10.10.0.1
21
Обратное
53
10.10.0.1
21
60.0.0.1
12000
51
60.0.1.1
21
10.10.0.1
10000