[发明专利]一种4-6-4混合协议网络中分布式网关系统和访问方法

说明书

技术领域

本发明涉及互联网通信领域，尤其涉及一种4-6-4混合协议网络中分布式网关系统和访问方法，尤其涉及一种IPv4和IPv6混合网络中基于分布式网关的网络访问方法和系统。

背景技术

目前，应用层网关ALG(Application Layer Gateway)技术工作于TCP/IP协议的应用层，主要针对特定的应用层协议，如超文本传输协议(HTTP)，文本传输协议(FTP)，域名解析协议(DNS)，SIP协议等等。

当受信任网络上的用户打算连接到不受信任网络(如Internet)上的服务时，该应用首先被引导至防火墙中的代理服务器。在代理服务器中，网络封包中所携带的终端IP地址信息和端口信息将会被修改成网关代理的地址和IP，从而达到隐藏内部网络主机地址和网络拓扑的目的。

普通的ALG一般能够提供如下功能：

1.允许客户端应用使用动态TCP/UDP端口与服务端应用的已知端口通信，可以通过网关的端口范围由防火墙配置管理。2.作为内部网络与外部网络通信的网关，转换在网络封包的应用层中携带的网络层地址信息。3.识别在应用层中出现的控制命令并提供常规的安全控制。4.交换并同步多个网络会话和数据流之间的信息。

有状态NAT64网络地址翻译是一种允许IPv6主机与IPv4服务器之间进行通讯的机制，主要由IETF文档RFC6146描述。该技术一般只支持通过IPv6网络侧用户发起连接访问IPv4侧网络资源，但也支持通过手工配置静态映射关系，实现IPv4网络主动发起连接访问IPv6网络。NAT64作为一个有状态翻译网关，需要维护一张IPv4与IPv6的映射关系表，并定时更新和去除已经通信完毕的映射状态。

通过这个映射表，有状态NAT64可以实现1:N的地址映射，即把多个IPv6地址和端口映射到一个IPv4地址上。有状态NAT64是网络层的协议翻译技术，其映射表记录了“IPv4地址+端口”与IPv6地址的映射表会话状态。由于网络封包进入网关之后，IPv4地址被网关翻译成IPv6地址，如果通信封包中携带了转换之前的IPv4地址信息，则需要网关作为ALG对封包的内容进行修改，把封包内携带的地址信息修改成映射之后的地址信息。

无状态NAT64网络地址翻译与有状态NAT64网络地址翻译相似，但是不需要维护一张映射状态表，主要由IETF文档RFC6145描述。无状态NAT64网络地址翻译只支持1:1的映射关系，即每一个IPv4地址和端口对应特定的IPv6地址和端口。

由于是1:1的映射关系，在无状态NAT64翻译网关的两侧主机都能主动向另一侧发起连接。其地址翻译遵循一定的算法规则，每个通过网关的网络封包根据这个规则进行IPv4和IPv6地址的互转换，其算法描述主要由IETF文档RFC6052描述。由于不需要定时维护映射状态表，无状态NAT64网络地址翻译比有状态NAT64翻译的效率更高，但是对IPv4地址块的消耗大，同时也对IPv6地址格式有要求。由于IP地址经过网关之后会被改变，无状态NAT64网关同时也需要做ALG，保证网络两侧的主机能正常工作在各个应用层协议下。

4-6-4网络是指通信的两端为IPv4网络，而通信过程中需要经过IPv6网络的场景，该网络场景同时由有状态NAT64网络地址翻译设备PLAT(Provider side translator)和无状态NAT64网络地址翻译设备CLAT(Customer side translator)组成的网络，其应用场景见图1所示。

4-6-4网络的主要承载协议是IPv6协议，通过对IPv4封包的两次转换，达到让IPv4网络封包穿越IPv6网络访问IPv4服务器的目的。在4-6-4网络中，IPv4网络中的用户主机发送出的IPv4封包经过CLAT的转换变成IPv6封包，穿越IPv6网络到达PLAT，PLAT通过相应规则把IPv6封包转换成IPv4封包送达目的IPv4服务器。

现有技术中的4-6-4网络的分布式网关部署方式见如图1所示，客户端请求消息首先被发送到CLAT网关处进行地址翻译，而后经由IPv6网络到达PLAT网关处进行第二次翻译，期间IP地址要完成两次转换，在CLAT进行一次IPv4地址转成IPv6地址，在PLAT把IPv6地址转换成IPv4地址，此时网络封包的源IPv4地址已经不是封包发出主机的IPv4地址，而是从PLAT映射地址池中通过算法计算得到的一个IPv4地址。