[发明专利]一种数据处理方法及装置

权利要求书

1.一种数据处理方法，应用于二次网络地址转换NAT组网中的二次NAT设备，其特征在于，该方法包括：

接收一次NAT设备发送的针对目标IP地址和目标端口范围的NAT资源下发请求；所述目标IP地址和所述目标端口范围是所述一次NAT设备对已上线的分支用户终端所属私网网段进行NAT转换得到的；

下发针对所述目标IP地址和目标端口范围的目标访问控制列表ACL表项，所述目标ACL表项用于指示所述二次NAT设备对所述目标IP地址和目标端口范围的流量进行NAT转换；

当确定满足删除所述目标ACL表项的条件时，删除所述目标ACL表项。

2.根据权利要求1所述的方法，其特征在于，所述确定满足删除所述目标ACL表项的条件，包括：

当接收到所述一次NAT设备发送的针对所述目标IP地址和目标端口范围的NAT资源删除请求时，确定满足删除所述目标ACL表项的条件；或，

当所述目标ACL表项的老化时间超时时，确定满足删除所述目标ACL表项的条件。

3.根据权利要求1所述的方法，其特征在于，所述下发针对所述目标IP地址和目标端口范围的目标ACL表项之前，还包括：

判断是否存在针对所述目标IP地址和目标端口范围的目标ACL表项；

若存在，则刷新所述目标ACL表项的老化时间；

否则，确定执行所述下发针对所述目标IP地址和目标端口范围的目标ACL表项的步骤。

4.根据权利要求1所述的方法，其特征在于，所述NAT资源下发请求中包括安全检测标识；所述安全检测标识由所述一次NAT设备和所述二次NAT设备协商确定；

所述下发针对所述目标IP地址和目标端口范围的目标ACL表项之后，还包括：

对应所述目标ACL表项记录所述安全检测标识；

所述方法还包括：

当接收到源IP地址为所述目标IP地址，且源端口处于所述目标端口范围的流量时，判断所述流量中是否携带有所述安全检测标识；

若携带有，则根据所述目标ACL表项对所述流量进行NAT转换；

否则，拒绝根据所述目标ACL表项对所述流量进行NAT转换。

5.一种数据处理方法，应用于二次网络地址转换NAT组网中的一次NAT设备，其特征在于，该方法包括：

当首个分支用户终端上线时，向二次NAT设备发送NAT资源下发请求，所述NAT资源下发请求携带有所述分支用户终端所属私网网段对应的一次NAT转换后的目标IP地址和目标端口范围，以使所述二次NAT设备下发针对所述目标IP地址和目标端口范围的目标ACL表项；

当确定满足删除所述目标ACL表项的条件时，向所述二次NAT设备发送针对所述目标IP地址和目标端口范围的NAT资源删除请求，以使所述二次NAT设备删除所述目标ACL表项。

6.根据权利要求5所述的方法，其特征在于，所述确定满足所述目标ACL表项的删除条件，包括：

当在预设时间内未检测到分支用户网段的流量，且分支用户终端的会话为空时，确定满足所述目标ACL表项的删除条件；或，

当所述目标IP地址或/和端口范围变更时，确定满足所述目标ACL表项的删除条件。

7.根据权利要求5所述的方法，其特征在于，所述向二次NAT设备发送NAT资源下发请求之前，还包括：

判断所述一次NAT设备是否使能安全检测功能；

若使能，则在向所述二次NAT设备发送的NAT资源下发请求中携带安全检测标识；所述安全检测标识由所述一次NAT设备和所述二次NAT设备协商确定。

8.根据权利要求7所述的方法，其特征在于，所述在向所述二次NAT设备发送的NAT资源下发请求中携带安全检测标识之后，还包括：

在向所述二次NAT设备发送的所述目标IP地址和目标端口范围的流量中携带所述安全检测标识。