一种私网内用户通过域名访问私网内服务器的方法

具体实施方式

下面结合附图对本发明做进一步说明。

实现本发明的网络结构如图1所示，在本实施例中，私网与公网连接的设备使用的是路由器R，当然本领域内技术人员可以理解使用其它三层设备如三层交换机也可以实现该功能。在本实施例中，企业内部至少包括以下设备：主机PC、私网内服务器SERVER、交换机和路由器R，而域名服务器在企业外部Internet上。内部主机PC和私网内服务器SERVER通过设备(本实施例中采用的是交换机)连接到路由器R的接口1，路由器R的接口2连接到外部Internet，并能访问域名服务器。在路由器R上应用的主要功能至少包括：网络地址转换NAT和环回接口loopback；其中该网络地址转换为私网内服务器配置静态地址转换。环回接口和接口1上至少配置：绑定策略路由或者访问控制列表ACL，设置入方向的网络地址转换属性；接口2和环回接口loopback至少配置有：设置出方向的网络地址转换属性。loopback环回接口是一个虚接口，不同于实接口，因此不需使用板卡，该接口的作用是将收到的报文向企业内部网络转发。其中环回接口loopback的IP地址为172.40.10.1，接口1的IP地址为192.168.88.200。该私网内服务器的私网IP为192.168.88.2，静态地址转换对应的公网IP为172.40.10.2，动态网络地址转换地址池为172.40.10.10～172.40.10.20。

为了提高网络的安全性，还可以在路由器R上启用访问控制列表ACL，访问控制列表功能主要应用于上述策略路由和网络地址转换。

本发明提出的一种私网内用户通过域名访问私网内服务器的方法优选实施例包括：

步骤(1)、在私网与公网连接的设备(本实施例中是如图1所示的路由器R)上至少启用地址转换(NAT)及环回接口(loopback)，且为私网内服务器配置静态地址转换；环回接口是一个虚拟接口，不需要实际硬件，该环回接口的功能是将接收到的数据包转发回发送的接口；

步骤(2)、当私网内用户通过域名访问私网内服务器时，位于公网上的域名服务器将该域名解析为该私网内服务器的公网IP地址；

步骤(3)、私网内用户向该公网IP发送报文；

步骤(4)、该报文发送到接口1，接口1具有入方向的NAT，将该报文的源IP地址转换为公网IP地址；

步骤(5)、上述路由器R接收到报文时，判断该报文的目的IP地址是否为私网内服务器对应的公网IP地址，如果是则将进入步骤(6)，否则步骤结束；

步骤(6)、将该报文发送到环回接口；

步骤(7)、环回接口将该报文向私网内转发，报文被返回接口1；并将该报文的源IP地址和目的IP地址转换为对应的私网IP地址；

步骤(8)、该报文被转发回私网内，发送到私网内服务器。

其中，上述步骤(5)中，该路由器R判断的方法可以为：

策略路由，即在环回接口上绑定策略路由，该策略路由可以根据目的IP地址设置不同的路由，即当该报文发送到路由器R时，读取该报文的目的IP地址；当目的IP地址为私网内服务器对应的公网IP地址时，将该报文发送至环回接口，并由环回接口将该报文返回私网内；当目的IP地址为其他IP地址时，按照现有技术中数据发送的方法，将该报文发送至其它接口，例如图1中所示的接口2。

访问控制列表，即在如图1所示的环回接口上启用访问控制列表，当报文发送到路由器R时，路由器R将该报文向所有的接口转发，环回接口的ACL设置为只允许目的IP地址为私网内服务器对应的公网IP地址的报文通过，其它IP地址不允许通过。这样只有目的IP地址私网内服务器对应的公网IP地址的报文可以进入环回接口，并由该环回接口转发回私网内。同时，为了节省网络资源，可以在接口2上启用ACL，该ACL不允许目的IP地址为私网内服务器对应的公网IP地址的报文通过。

其中，为了提高网络的安全性，可以在启用策略路由的同时还在该路由器R上再启用访问控制列表(ACL)，在报文到达路由器R时进行ACL检查，只有当源IP地址和目的IP地址都符合ACL设置时允许该报文通过，以提高私网IP地址的隐蔽性，防止内部用户的攻击。

其中，网络地址转换(NAT)的设置方法可以有多种，该技术为成熟的现有技术，在此不一一赘述。

下面以路由器上使用策略路由为例，对本发明进行进一步说明。该优选实施例的流程如图2所示，包括：

第一步，内部某主机通过域名访问某服务器，经过域名服务器DNS解析，得到该服务器的公网IP地址，该主机发出的报文就是以该主机私网IP地址为源IP地址，以该公网IP地址为目的IP地址的数据流；

第二步，报文到达路由器R的接口1，接口1具有入方向的NAT；

第三步，因为接口1上绑定了策略路由，若该报文的源和目的IP地址都通过ACL检查，则策略路由生效，该主机为PC，服务器为私网内服务器，转向第四步，反之，策略路由不生效，该用户访问Internet上的服务器，转向第九步；

第四步，该策略路由预设为下一跳为loopback环回接口；

第五步，该对该报文的源和目的IP地址都通过ACL检查，如果通过则进入第六步，否则丢弃该报文，步骤结束；

第六步，因为接口1和loopback环回接口分别具有入方向和出方向的网络地址转换属性，将该报文的源IP地址转换为对应的公网IP地址；在本实施例中该报文的将源IP地址为192.168.88.1，通过动态网络地址转换规则转换成地址池172.40.10.10～172.40.10.20中的某个地址，如172.40.10.10；根据预设的策略路由，该报文被发送到环回接口，环回接口将该报文返回接口1；

第七步，由于接口1具有入方向的网络地址转换，将该报文的源IP地址再转换为私网IP地址192.168.88.1；

第八步，所以将私网内服务器的公网IP地址172.40.10.2转换成私网IP地址192.168.88.2，报文的源和目的IP都是私网IP了，报文可以使用成熟的TCP/IP协议在私网内传输，最后到达私网内服务器，步骤结束；

第九步，报文将按照正常的路由进行转发，报文到达接口2，因为接口1和接口2上分别具有入方向和出方向的网络地址转换属性，所以将源IP地址通过动态网络地址转换规则转换成地址池172.40.10.11～172.40.10.20中的某个地址，如172.40.10.11，报文到达外部Internet。

其中第九步为现有技术，不是本发明关心的要点。

其中，网络地址转换的原理为：当一个网络只有几个公网IP地址时，如果有多个用户都需要同时访问Internet时则无法分配。为了解决公网IP地址数量不足的问题，在三层设备上涉及了NAT功能，即多个用户均采用私网IP地址，而将有限的公网IP地址作为IP地址池。当用户需要访问Internet时，源IP地址是一个私网IP地址。当该数据包到达三层设备时，该设备从IP地址池中选取一个公网IP地址，并将该数据包的源IP地址更换为该公网IP地址，然后向Internet发送。但是这样就会出现多个私网用户使用同一个公网IP地址的情况，为了保证返回的数据能够正确的到达私网内用户，因此设置了端口号以区分使用同一公网IP地址的多个私网用户。例如172.40.10.11：12345，前面使用公网IP地址，后面添加一个五位的端口号，不同的私网IP地址或不同的业务对应不同的端口号。这样就可以使同一公网IP地址对应多个私网用户，当三层设备收到Internet返回报文时，根据该返回报文的目的IP地址的端口号，就可以知道该公网IP地址对应的私网IP地址，并进行NAT，将公网IP地址正确的转换成对应的私网IP地址，确保数据包返回到正确的用户。

当私网内服务器向该私网内用户返回时步骤如图3所示，包括：

第1步，从私网内服务器发送的返回报文在到达接口1时，因为接口1上绑定了策略路由，返回报文的源和目的IP地址都通过ACL检查，策略路由生效；

第2步，策略路由预设的下一跳设置为环回接口；

第3步，该返回报文经过静态NAT，将源IP地址转换为公网IP，例如将源IP地址192.168.88.2转换为公网IP地址172.40.10.2，将该返回报文发送到环回接口；

第4步，环回接口将目的IP地址192.168.88.1通过动态网络地址转换规则转换成地址池172.40.10.10～172.40.10.20中的某个地址，如172.40.10.10；然后将该返回报文向私网内转发，发送到接口1；

第5步，接口1将返回报文的目的IP地址172.40.10.10转换成私网IP地址192.168.88.1，报文最后到达主机PC。

下面根据一个实例对本发明进行进一步说明。

假设企业的网络硬件部分由一台以上的主机、一台集线器或交换机、一台路由器、一台私网内服务器、一台位于公网上的域名服务器、百/千兆接口板和双绞线若干等组成，组网关系图如图1所示。

一、软件部分的处理步骤如下：

第1步：在路由器R上配置访问控制列表ACL，分别应用于动态网络地址转换和策略路由

ip access-list extended 100

rule 1 permit icmp 192.168.88.0 0.0.0.255 any

ip access-list extended 101

rule 1 permit icmp 192.168.88.1 0.0.0.0 172.40.10.2 0.0.0.0

第2步：在路由器R上配置策略路由PBR，使得内部访问私网内服务器的报文按照预置的路由进行转发

route-map nat permit 10

match ip address 101

set ip next-hop 172.40.10.2

第3步：在路由器R上配置loopback环回接口，使得内部访问私网内服务器的报文能够向内部网络转发

ip address 172.40.10.2 255.255.255.0

第4步：在路由器R上启用网络地址转换NAT并配置动态和静态网络地址转换规则

a.启用NAT模块

ip nat start

b.动态网络地址转换规则，应用于内部用户访问Internet

ip nat pool zte 172.40.10.10 172.40.10.20 prefix length 24

ip nat inside source list 100 pool zte

c.静态网络地址转换规则，应用于内部用户访问私网内服务器SERVER

ip nat inside source static 192.168.88.2 172.40.10.2

第5步：在接口1，接口2和loopback环回接口上分别配置网络地址转换NAT属性，并在接口1上绑定策略路由：

接口1

ip nat inside

ip policy route-map nat

接口2

ip nat outside

loopback接口

ip nat outside

二、从PC发送icmp报文至SERVER，得到网络地址转换条目信息

私网地址              公网地址

192.168.88.1————→172.40.10.10

192.168.88.1←————172.40.10.10

192.168.88.2←————172.40.10.2

三、从SERVER发送icmp报文至PC，得到网络地址转换条目信息

私网地址              公网地址

192.168.88.2————→172.40.10.2

192.168.88.1————→172.40.10.10

192.168.88.1←————172.40.10.10