基于MAC地址的端口映射方法和装置

摘要

本发明公开了一种基于MAC地址的端口映射方法，包括：配置内部主机的端口映射信息；接收到包括内部主机的MAC地址的访问请求报文后，根据端口映射信息，获取MAC地址对应的IP地址；根据IP地址和端口映射信息，映射端口。本发明还提供了相应的基于MAC地址的端口映射装置。本发明所提供的基于MAC地址的端口映射方法和装置，只需要配置内部网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实现较为简单，并且能够为用户带来较好的体验。

说明书

技术领域

本发明涉及到通信技术领域，特别涉及到一种基于MAC地址的端口映射 方法和装置。

背景技术

在一个典型的IPV4接入网络中，CPE（Customer Premise Epuipmen t，客户终端设备）或网关以及路由器等终端设备都拥有一个Interne t公网地址，而内部网络的各个主机对Internet是不可见的，他们使用 私网地址，并由CPE的NAT（Network Address Translation，网络地 址转换）功能统一把私网地址转换成公网地址以完成和外部Internet 的通信。为了使通常的Internet业务（如HTTP、FTP等）能在内部网络 主机上应用，就需要在CPE上执行端口映射（Port  forwarding）功 能。端口映射是通过配置规则把外部请求访问的目的地址和端口转换 成内部地址和端口，而不改变外部请求报文的源地址和端口。当然， 也可以通过UPnP (Universal Plug and Play protocol)协议动 态的完成端口映射功能的配置。

为了防止恶意攻击，内部网络主机中通常安装有防火墙，而防火墙需 要禁止外部网络对内部网络业务应用的访问权限。因此，在IPv6接入 网络中，如果需要访问部署在防火墙后面的内部网络的主机或服务器 ，同样可以使用端口映射功能来完成。这样，不仅限制了外部网络的 任意访问，而且可以隐藏内部网络服务的端口信息，能够使用非明文 端口开放外部访问权限，加强了内部网络的安全性。

然而，在一个IPv4/IPv6双栈的网络系统中，由于需要将IPv4和IPv6地 址分开，并且一个设备上通常可以存在多个IPv6全局地址，这样，就 为端口映射功能的配置带来了极大的不方便，需要根据IPv4和IPv6地 址分别进行配置，使得端口映射功能的实现较为繁琐，且不能够为用 户带来较好的体验。

发明内容

本发明的主要目的为提供一种基于MAC地址的端口映射方法和装置，旨 在简化端口映射功能的配置过程，从而使端口映射功能的实现较为简 单，并且能够为用户带来较好的体验。

本发明提供一种基于MAC地址的端口映射方法，包括：

配置内部主机的端口映射信息；

接收到包括内部主机的MAC地址的访问请求报文后，根据所述端口映射 信息，获取所述MAC地址对应的IP地址；

根据所述IP地址和所述端口映射信息，映射端口。

优选地，所述端口映射信息至少包括以下之一：内部主机的MAC地址、 协议类型、监听端口、端口类型、目的主机以及目的端口。

优选地，所述根据端口映射信息，获取所述MAC地址对应的IP地址包括 ：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地 址进行转换，获取所述MAC地址对应的IP地址。

优选地，所述根据IP地址和所述端口映射信息，映射端口包括：

获取内部主机的MAC地址对应的IP地址后，根据所述端口映射信息，建 立连接跟踪会话；

根据所述连接跟踪会话，通过端口转换模块将对外部开放的端口映射 到所述内部主机的端口上。

优选地，在执行所述根据IP地址和所述端口映射信息，映射端口之前 ，还包括：

根据所述端口映射信息，判断是否存在连接跟踪会话；

若存在，则根据所述连接跟踪会话，映射端口。

本发明还提供一种基于MAC地址的端口映射装置，包括：

配置模块，用于配置内部主机的端口映射信息；

地址获取模块，用于接收到包括内部主机的MAC地址的访问请求报文后 ，根据所述端口映射信息，获取所述MAC地址对应的IP地址；

第一端口映射模块，用于根据所述IP地址和所述端口映射信息，映射 端口。

优选地，所述端口映射信息至少包括以下之一：内部主机的MAC地址、 协议类型、监听端口、端口类型、目的主机以及目的端口。

优选地，所述地址获取模块用于：

根据所述端口映射信息，将访问请求报文中所包括的内部主机的MAC地 址进行转换，获取所述MAC地址对应的IP地址。

优选地，所述第一端口映射模块包括：

会话建立单元，用于获取内部主机的MAC地址对应的IP地址后，根据所 述端口映射信息，建立连接跟踪会话；

映射单元，用于根据所述连接跟踪会话，通过端口转换模块将对外部 开放的端口映射到所述内部主机的端口上。

优选地，基于MAC地址的端口映射装置还包括：

判断模块，用于根据所述端口映射信息，判断是否存在连接跟踪会话 ；

第二端口映射模块，用于若存在，则根据所述连接跟踪会话，映射端 口。

本发明通过对内部主机的配置端口映射信息进行配置，并在接收到外 部的访问请求报文后，根据其中所包括的内部主机的MAC地址以及端口 映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和端口映射 信息，完成端口映射功能。采用这种方法，只需要配置内部网络中的 内部主机的端口映射信息，并根据内部主机的MAC地址与IP地址之间的 对应关系，即可以完成该内部主机对应的端口映射功能。这样，在很 大程度上简化了端口映射功能的配置过程，从而使端口映射功能的实 现较为简单，并且能够为用户带来较好的体验。

附图说明

图1为本发明基于MAC地址的端口映射方法一实施例的流程示意图；

图2为本发明基于MAC地址的端口映射方法中映射端口一实施例的流程 示意图；

图3为本发明基于MAC地址的端口映射方法再一实施例的流程示意图；

图4为本发明基于MAC地址的端口映射装置一实施例的结构示意图；

图5为本发明基于MAC地址的端口映射装置中第一端口映射模块的结构 示意图；

图6为本发明基于MAC地址的端口映射装置再一实施例的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一 步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于 限定本发明。

参照图1，图1为本发明基于MAC地址的端口映射方法一实施例的流程示 意图。

该方法包括：

步骤S10，配置内部主机的端口映射信息；

在本实施例中，所提供的基于MAC地址的端口映射方法，可以应用在I PV4接入网络或IPV6接入网络中，也可以应用在IPV4 /IPV6双协议栈 的接入网络中，通常将其用于具有防火墙功能的路由网关设备尤其是 家庭网关中。在IPV4接入网络中，由于无线终端接入设备有一个用于 完成和外部Internet通信的公网地址，而内部网络的各个主机则使用 私网地址；而在IPV6接入网络中，通常使用防火墙来禁止外部网络对 内部网络的访问权限。这就需要端口映射功能，来实现外部网络对内 部网络的访问。

由于处于无线网络中的每个主机都拥有唯一的MAC地址，用户可根据一 定的MAC映射策略，对内部主机的端口映射信息进行配置，即将端口映 射信息配置进内核。在本实施例中，端口映射信息通常可以包括：内 部主机的MAC地址、协议类型、监听端口、端口类型、目的主机以及目 的端口等。配置结束后，将用户所配置的端口映射信息进行保存，从 而在内核中，将内部主机的MAC地址与IP地址进行转换。在本实施例中 ，以所应用的网络环境为IPV4 /IPV6双协议栈的接入网络为例，这样 ，就需要分别在IPV4协议栈和IPV6协议栈中，根据MAC映射策略，学习 并维护内部主机的MAC地址与IP地址的对应关系，并且将内部主机的M AC地址与IP地址的对应关系分别保存在地址对应列表mac_ipv4_list和 mac_ipv6_list中。

步骤S20，接收到包括内部主机的MAC地址的访问请求报文后，根据端 口映射信息，获取MAC地址对应的IP地址；

当外部主机请求访问某一内部主机时，会发送一个访问请求报文，这 个访问请求报文中包含所需要访问的内部主机的MAC地址。当接收到这 个访问请求报文后，根据其中的MAC地址，以及用户所配置的端口映射 信息，在内核中获取该内部主机的的MAC地址所对应的IP地址。在本实 施例中，在IPV4协议栈和IPV6协议栈中，根据访问请求报文中的内部 主机的MAC地址，便可以在地址对应列表mac_ipv4_list和mac_ipv6_l ist中分别进行查找，获取该MAC地址对应的IP地址。

步骤S30，根据IP地址和端口映射信息，映射端口。

当根据访问请求报文中的MAC地址获取到其对应的IP地址后，根据这个 IP地址，以及用户所配置的端口映射信息，即根据当前接入网络环境 中的协议类型、内部主机的监听端口和端口类型、内部主机中的具体 的目的主机以及该目的主机上的目的端口等信息，完成端口映射。

本发明实施例，通过对内部主机的配置端口映射信息进行配置，并在 接收到外部的访问请求报文后，根据其中所包括的内部主机的MAC地址 以及端口映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和 端口映射信息，完成端口映射功能。采用这种方法，只需要配置内部 网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地 址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这 样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射 功能的实现较为简单，并且能够为用户带来较好的体验。

参照图2，图2为本发明基于MAC地址的端口映射方法中映射端口一实施 例的流程示意图。

在本实施例中，步骤S30包括：

步骤S31，获取内部主机的MAC地址对应的IP地址后，根据端口映射信 息，建立连接跟踪会话；

步骤S32，根据连接跟踪会话，通过端口转换模块将对外部开放的端口 映射到内部主机的端口上。

本实施例中，以在IPV4协议栈和IPV6协议栈中分别进行说明：

一、在IPV4协议栈中，假设外部主机的源IP地址为10.10.10.10，源端 口为Z；无线终端接入设备的IP地址为10.10.10.1，其对外开放的端口 为Y；而目的内部主机的目标IP地址为192.168.1.2，目的端口为X。

当接收到外部主机发送的访问请求报文，并根据其中的MAC地址在mac _ipv4_list列表中查找到该MAC地址对应的IP地址后，首先建立connt rack（连接跟踪）会话记录，然后利用CPE设备已有的NAT（Network  Address Translation，网络地址转换）功能模块进行MAC地址与IP地 址之间的转换；最终根据经过NAT转换后所得的IP地址，更新conntra ck会话记录，进一步完成源端口Z与目的端口X之间的转换，从而实现 外部主机与内部主机之间的通信。本实施例中，如果在mac_ipv4_lis t列表中查找MAC地址对应的IP地址失败，则直接退出，不进行端口映 射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送 的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，就可 以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除 MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当 mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntra ck会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话 10.10.10.10：[Z] → 10.10.10.1：[Y] 映射转换后会话 10.10.10.10：[Z] → 192.168.1.2：[X]

二、在IPV6协议栈中，假设外部主机的源IP地址为2001:db8::b，源端 口为Z；无线终端接入设备对外开放的端口为Y；而目的内部主机的目 标IP地址为2001:db8::a，目的端口为X。

当接收到外部主机发送的访问请求报文后，根据其中的MAC地址，在m ac_ipv6_list列表中查找MAC地址与IP地址的对应关系是否存在，并在 查找到存在对应关系时，进行端口映射功能的转换，并修改访问请求 报文的目的端口信息，将目的端口信息转发到内部网络主机。然后， 建立conntrack（连接跟踪）会话，根据conntrack会话，完成源端口 Z与目的端口X之间的转换，即可实现外部主机与内部主机之间的通信 。本实施例中，如果在mac_ipv6_list列表中没有查找到MAC地址与IP 地址的对应关系，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送 的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，就可 以直接根据conntrack会话进行端口映射的转换。而当用户修改或删除 MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当 mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntra ck会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话 2001:db8::b  [Z] → 2001:db8::a [Y] 映射转换后会话 2001:db8::b  [Z] → 2001:db8::a [X]

在IPV4协议栈和IPV6协议栈中，接收到的访问请求报文后，分别在地 址对应列表mac_ipv4_list和mac_ipv6_list中查找到内部主机的MAC地 址对应的IP地址后，根据端口映射信息，建立连接跟踪会话，并根据 连接跟踪会话，完成端口映射功能。这样，就进一步保证了只需要配 置内部网络中的内部主机的MAC地址，即可以完成该内部主机对应的端 口映射功能。从而进一步为简化端口映射功能的配置过程，使端口映 射功能的实现较为简单提供了保证。

参照图3，图3为本发明基于MAC地址的端口映射方法再一实施例的流程 示意图。

在本实施例中，在执行步骤S30之前，还包括：

步骤S40，根据端口映射信息，判断是否存在连接跟踪会话；当存在时 ，进入步骤S41；若不存在，则执行步骤S30；

步骤S41，映射端口。

在根据外部发送的访问请求报文中包含的内部主机的MAC地址，在地址 对应列表mac_ipv4_list或mac_ipv6_list中获取到MAC地址所对应的I P地址后，首先根据用户所配置的包括协议类型、监听端口、端口类型 、目的主机以及目的端口等信息的端口映射信息，判断当前是否已经 存在conntrack（连接跟踪）会话。如果判断出已经存在conntrack会 话，则直接根据conntrack会话，完成端口映射功能，并转发数据到内 部主机，就可以实现外部主机与内部主机之间的通信。

在根据外部发送的访问请求报文中包含内部主机的MAC地址获取到MAC 地址所对应的IP地址后，首先根据用户所配置端口映射信息，判断当 前是否已经存在conntrack会话，并在判断出存在时，直接根据connt rack会话，完成端口映射功能。这样，就更进一步保证了能够使端口 映射功能的实现较为简单，并且更进一步保证了能够为用户带来较好 的体验。

参照图4，图4为本发明基于MAC地址的端口映射装置一实施例的结构示 意图。该装置包括：

配置模块10，用于配置内部主机的端口映射信息；

地址获取模块20，用于接收到包括内部主机的MAC地址的访问请求报文 后，根据端口映射信息，获取MAC地址对应的IP地址；

第一端口映射模块30，用于根据IP地址和端口映射信息，映射端口。

在本实施例中，所提供的基于MAC地址的端口映射装置，可以应用在I PV4接入网络或IPV6接入网络中，也可以应用在IPV4 /IPV6双协议栈 的接入网络中，通常将其用于具有防火墙功能的路由网关设备尤其是 家庭网关中。在IPV4接入网络中，由于无线终端接入设备有一个用于 完成和外部Internet通信的公网地址，而内部网络的各个主机则使用 私网地址；而在IPV6接入网络中，通常使用防火墙来禁止外部网络对 内部网络的访问权限。这就需要端口映射功能，来实现外部网络对内 部网络的访问。

由于处于无线网络中的每个主机都拥有唯一的MAC地址，用户可根据一 定的MAC映射策略，通过配置模块10对内部主机的端口映射信息进行配 置，即将端口映射信息配置进内核。在本实施例中，端口映射信息通 常可以包括：内部主机的MAC地址、协议类型、监听端口、端口类型、 目的主机以及目的端口等。配置结束后，将用户所配置的端口映射信 息进行保存，从而在内核中，将内部主机的MAC地址与IP地址进行转换 。在本实施例中，以所应用的网络环境为IPV4 /IPV6双协议栈的接入 网络为例，这样，就需要分别在IPV4协议栈和IPV6协议栈中，根据MA C映射策略，学习并维护内部主机的MAC地址与IP地址的对应关系，并 且将内部主机的MAC地址与IP地址的对应关系分别保存在地址对应列表 mac_ipv4_list和mac_ipv6_list中。

当外部主机请求访问某一内部主机时，会发送一个访问请求报文，这 个访问请求报文中包含所需要访问的内部主机的MAC地址。当接收到这 个访问请求报文后，地址获取模块20根据其中的MAC地址，以及用户所 配置的端 口映射信息，在内核中获取该内部主机的的MAC地址所对应的IP地址。 在本实施例中，在IPV4协议栈和IPV6协议栈中，根据访问请求报文中 的内部主机的MAC地址，便可以在地址对应列表mac_ipv4_list和mac_ ipv6_list中分别进行查找，获取该MAC地址对应的IP地址。

当根据访问请求报文中的MAC地址获取到其对应的IP地址后，第一端口 映射模块30根据这个IP地址，以及用户所配置的端口映射信息，即第 一端口映射模块30根据当前接入网络环境中的协议类型、内部主机的 监听端口和端口类型、内部主机中的具体的目的主机以及该目的主机 上的目的端口等信息，完成端口映射。

本发明实施例，通过对内部主机的配置端口映射信息进行配置，并在 接收到外部的访问请求报文后，根据其中所包括的内部主机的MAC地址 以及端口映射信息，获取该MAC地址对应的IP地址，最终根据IP地址和 端口映射信息，完成端口映射功能。采用这种方法，只需要配置内部 网络中的内部主机的端口映射信息，并根据内部主机的MAC地址与IP地 址之间的对应关系，即可以完成该内部主机对应的端口映射功能。这 样，在很大程度上简化了端口映射功能的配置过程，从而使端口映射 功能的实现较为简单，并且能够为用户带来较好的体验。

参照图5，图5为本发明基于MAC地址的端口映射装置中第一端口映射模 块的结构示意图。

在本实施例中，第一端口映射模块30包括：

会话建立单元31，用于获取内部主机的MAC地址对应的IP地址后，根据 端口映射信息，建立连接跟踪会话；

映射单元32，用于根据连接跟踪会话，通过端口转换模块将对外部开 放的端口映射到所述内部主机的端口上。

本实施例中，以在IPV4协议栈和IPV6协议栈中分别进行说明：

一、在IPV4协议栈中，假设外部主机的源IP地址为10.10.10.10，源端 口为Z；无线终端接入设备的IP地址为10.10.10.1，其对外开放的端口 为Y；而目的内部主机的目标IP地址为192.168.1.2，目的端口为X。

当接收到外部主机发送的访问请求报文，并根据其中的MAC地址在 mac_ipv4_list列表中查找到该MAC地址对应的IP地址后，会话建立单 元31首先建立conntrack（连接跟踪）会话记录，然后利用CPE设备已 有的NAT（Network Address Translation，网络地址转换）功能模 块进行MAC地址与IP地址之间的转换；最终根据经过NAT转换后所得的 IP地址，更新conntrack会话记录，映射单元32进一步完成源端口Z与 目的端口X之间的转换，从而实现外部主机与内部主机之间的通信。本 实施例中，如果在mac_ipv4_list列表中查找MAC地址对应的IP地址失 败，则直接退出，不进行端口映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送 的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，映射 单元32就可以直接根据conntrack会话进行端口映射的转换。而当用户 修改或删除MAC映射策略时，需要删除所建立的对应的conntrack会话 ；并且，当mac_ipv6_list列表发生变化时，也需要删除所建立的对应 的conntrack会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话 10.10.10.10：[Z] → 10.10.10.1：[Y] 映射转换后会话 10.10.10.10：[Z] → 192.168.1.2：[X]

二、在IPV6协议栈中，假设外部主机的源IP地址为2001:db8::b，源端 口为Z；无线终端接入设备对外开放的端口为Y；而目的内部主机的目 标IP地址为2001:db8::a，目的端口为X。

当接收到外部主机发送的访问请求报文后，根据其中的MAC地址，在m ac_ipv6_list列表中查找MAC地址与IP地址的对应关系是否存在，并在 查找到存在对应关系时，进行端口映射功能的转换，并修改访问请求 报文的目的端口信息，将目的端口信息转发到内部网络主机。然后， 会话建立单元31建立conntrack（连接跟踪）会话，映射单元32根据c onntrack会话，完成源端口Z与目的端口X之间的转换，即可实现外部 主机与内部主机之间的通信。本实施例中，如果在mac_ipv6_list列表 中没有查找到MAC地址与IP地址的对应关系，则直接退出，不进行端口 映射的处理。

在本实施例中，所建立的conntrack会话，可以在后续接收到外部发送 的访问请求报文后，无需根据其中的MAC地址查找对应的IP地址，映射 单元32就可以直接根据conntrack会话进行端口映射的转换。而当用户 修改或删除 MAC映射策略时，需要删除所建立的对应的conntrack会话；并且，当 mac_ipv6_list列表发生变化时，也需要删除所建立的对应的conntra ck会话。源端口Z与目的端口X的转换过程如下表所示：

映射转换前会话 2001:db8::b  [Z] → 2001:db8::a [Y] 映射转换后会话 2001:db8::b  [Z] → 2001:db8::a [X]

在IPV4协议栈和IPV6协议栈中，接收到的访问请求报文后，分别在地 址对应列表mac_ipv4_list和mac_ipv6_list中查找到内部主机的MAC地 址对应的IP地址后，根据端口映射信息，建立连接跟踪会话，并根据 连接跟踪会话，完成端口映射功能。这样，就进一步保证了只需要配 置内部网络中的内部主机的MAC地址，即可以完成该内部主机对应的端 口映射功能。从而进一步为简化端口映射功能的配置过程，使端口映 射功能的实现较为简单提供了保证。

参照图6，图6为本发明基于MAC地址的端口映射装置再一实施例的结构 示意图。

在本实施例中，该装置还包括：

判断模块40，用于根据端口映射信息，判断是否存在连接跟踪会话；

第二端口映射模块50，用于若存在，则根据连接跟踪会话，映射端口 。

在根据外部发送的访问请求报文中包含的内部主机的MAC地址，在地址 对应列表mac_ipv4_list或mac_ipv6_list中获取到MAC地址所对应的I P地址后，判断模块40首先根据用户所配置的包括协议类型、监听端口 、端口类型、目的主机以及目的端口等信息的端口映射信息，判断当 前是否已经存在conntrack（连接跟踪）会话。如果判断出已经存在c onntrack会话，则第二端口映射模块50直接根据conntrack会话，完成 端口映射功能，并转发数据到内部主机，就可以实现外部主机与内部 主机之间的通信。

在根据外部发送的访问请求报文中包含内部主机的MAC地址获取到MAC 地址所对应的IP地址后，首先根据用户所配置端口映射信息，判断当 前是否已经存在conntrack会话，并在判断出存在时，直接根据connt rack会话，完成端口映射功能。这样，就更进一步保证了能够使端口 映射功能的实现较为简单，并且更进一步保证了能够为用户带来较好 的体验。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围 ，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换 ，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的 专利保护范围。