|
引言 近年來，隨著Internet的迅猛發(fā)展，連入Internet的主機數(shù)量成倍增長。由于最初設計Internet的時候并沒有考慮到需要支持這么大的規(guī)模，因而Internet使用的Ipv4協(xié)議中IP地址的長度選擇了32位，它可以使IP包的格式很好地對齊；但是，目前IP地址的短缺已經成為Internet面臨的最大問題之一。 為了解決IP地址短缺的問題，人們提出了許多解決方案，nternet能夠支持到新一代IP協(xié)議Ipv6的出臺。在眾多的解決方案中，網絡地址轉換NAT（Network Address Translation）技術提供了一種完全將私有網和公共網隔離的方法，從而得到了廣泛的應用。 1 NAT技術 NAT技術的基本功能就是，用1個或幾個IP地址來實現(xiàn)1個私有網中的所有主機和公共網中主機的IP通信。NAT技術可為TCP、UDP以及ICMP數(shù)據(jù)包提供透明轉發(fā)。 1.1 NAT工作原理 NAT的基本工作原理是，當私有網主機和公共網主機通信的IP包經過NAT網關時，將IP包中的源IP或目的IP在私有IP和NAT的公共IP之間進行轉換。 
圖1 NAT工作原理示意圖 如圖1所示，NAT網關有2個網絡端口，其中公共網絡端口的IP地址是統(tǒng)一分配的公共IP，為202.204.65.2；私有網絡端口的IP地址是保留地址，為192.168.1.1。私有網中的主機192.168.1.2向公共網中的主機166.111.80.200發(fā)送了1個IP包（Des=166.111.80.200,Src=192.168.1.2）。當IP包經過NAT網關時，NAT會將IP包的源IP轉換為NAT的公共 IP并轉發(fā)到公共網，此時IP包（Des=166.111.80.200，Src=202.204.65.2）中已經不含任何私有網IP的信息。由于IP 包的源IP已經被轉換成NAT的公共IP，響應的IP包（Des=202.204.65.2,Src=166.111.80.200）將被發(fā)送到NAT。這時，NAT會將IP包的目的IP轉換成私有網中主機的IP，然后將IP包（Des=192.168.1.2，Src=166.111.80.200）轉發(fā)到私有網。對于通信雙方而言，這種地址的轉換過程是完全透明的。 1.2 NAPT技術 由于NAT實現(xiàn)是私有IP和NAT的公共IP之間的轉換，那么，私有網中同時與公共網進行通信的主機數(shù)量就受到NAT的公共IP地址數(shù)量的限制。為了克服這種限制，NAT被進一步擴展到在進行IP地址轉換的同時進行Port的轉換，這就是網絡地址端口轉換NAPT（Network Address Port Translation）技術。 NAPT與NAT的區(qū)別在于，NAPT不僅轉換IP包中的IP地址，還對IP包中TCP和UDP的Port進行轉換。這使得多臺私有網主機利用1個NAT公共IP就可以同時和公共網進行通信。
如圖2所示，私有網主機192.168.1.2要訪問公共網中的Http服務器166.111.80.200。首先，要建立TCP連接，假設分配的TCP Port是1010，發(fā)送了1個IP包（Des=166.111.80.200:80,Src=192.168.1.2:1010）,當IP包經過NAT 網關時，NAT會將IP包的源IP轉換為NAT的公共IP，同時將源Port轉換為NAT動態(tài)分配的1個Port。然后，轉發(fā)到公共網，此時IP包（Des=166.111.80.200：80，Src=202.204.65.2:2010）已經不含任何私有網IP和Port的信息。由于IP包的源 IP和Port已經被轉換成NAT的公共IP和Port，響應的IP包（Des=202.204.65.2:,Src=2010166.111.80.200:80）將被發(fā)送到NAT。這時NAT會將IP包的目的IP轉換成私有網主機的IP，同時將目的Port轉換為私有網主機的Port，然后將IP包（Des=192.168.1.2:1010，Src=166.111.80.200:80）轉發(fā)到私網。對于通信雙方而言，這種IP地址和Port的轉換是完全透明的。 2 VxWorks的網絡協(xié)議棧 與VxWorks操作系統(tǒng)捆綁發(fā)行的標準網絡協(xié)議棧，是一個與BSD4.4兼容、功能齊全并針對嵌入式應用作了大量優(yōu)化的TCP/IP協(xié)議棧。該網絡協(xié)議棧與VxWorks操作系統(tǒng)、開發(fā)工具、設備管理工具以及上層協(xié)議和應用可以集成在一起，有完整的路由功能并可以根據(jù)需要進行剪裁。 VxWorks的網絡協(xié)議棧的分層結構如圖3所示。
VxWorks網絡協(xié)議棧傳輸數(shù)據(jù)使用的內存，是在系統(tǒng)啟動進行網絡協(xié)議初始化的時候就申請下來的，并使用系統(tǒng)提供的netBufLib建立內存字點池來管理這些內存空間。網絡協(xié)議棧傳輸數(shù)據(jù)所需的內存都是從這些內存節(jié)點池中申請，使用完畢后再釋放。 NetBufLib通過3種數(shù)據(jù)結構處理網絡協(xié)議棧傳輸?shù)臄?shù)據(jù)：mBlk、clBlk和Cluster。其中，Cluster保存的是實際的數(shù)據(jù)，mBlk和clBlk中保存的信息是用來管理Cluster中保存的數(shù)據(jù)的。為了滿足傳輸不同大小數(shù)據(jù)的需要，Cluster是一些大小不同的內存塊；缺省情況下，VxWorks網絡協(xié)議棧創(chuàng)建了大小從64～2048字節(jié)的6個不同的內存節(jié)點池。 由于mBlk中保存的只是指向數(shù)據(jù)的指針，因此，網絡協(xié)議棧不同層之間的數(shù)據(jù)傳輸可以避免數(shù)據(jù)拷貝。此外，對于分布在多個Cluster中的數(shù)據(jù)，可以通過mBlk把它們鏈在一起，并且只需要傳遞鏈首的mBlk就可以了。VxWorks網絡協(xié)議棧的“零拷貝”技術就是建立在這種機制的基礎之上的。圖4描述了2個提交給網絡協(xié)議棧TCP層的包的數(shù)據(jù)結構。
在mBlk結構中，有2個指向其它mBlk的指針：1個指向同一個包的下一個mBlk；另一個指向下一個包的鏈首的mBlk。ClBlk指向的就是實際存儲數(shù)據(jù)的Cluster。 3 向VxWorks網絡協(xié)議棧加入NAT 為了向VxWorks網絡協(xié)議棧中加入NAT，必須實現(xiàn)2個基本操作：IP包的截獲得IP包的處理。 3.1 VxWorks下IP包的截獲 VxWorks網絡協(xié)議棧在物理驅動層和IP層上分別提供了兩類鉤子函數(shù)：EtherHook和IpFilterHook。利用這兩類鉤子函數(shù)，可以實現(xiàn)對IP包的截獲。 （1）EtherHook EtherHook提供對以太幀的截獲功能。它包括2個鉤子函數(shù)：以太幀接收鉤子函數(shù)EtherInputHook和以太幀發(fā)送鉤子函數(shù) EtherOutPutHook。它們分別用函數(shù)EtherInputHookAdd和EtherOutputHookAdd安裝。安裝了這些鉤子函數(shù)后，每當有以太幀被接收到時，函數(shù)EtherInputHook就會在該以太幀被提交給上層處理前被自動調用；每當有以太幀被發(fā)送時，函數(shù) EtherOutputHook會在該以太幀被發(fā)送前被自動調用。通過截獲以太帖，可以達到截獲IP包的目的。 （2）IpFilterHook IpFilterHook提供對IP包的截獲功能。它只對應1個鉤子函數(shù)，用函數(shù)ipFilterHookAdd就可以完成 IpFilterHook的安裝。安裝了IpFilterHook后，每當有IP包被接收到時，函數(shù)IpFilterHook就會被自動調用，從而實現(xiàn)對 IP包的截獲。 3.2 NAT過程中IP包的處理 利用鉤子函數(shù)完成IP包的截獲后，就可以根據(jù)需要對IP包進行處理。首先，可以從IP包中剝離出IP頭，根據(jù)IP頭中的“協(xié)議”域可以判斷出是 UDP包還是TCP包。然后，從IP包中剝離出UDP頭或TCP頭，利用IP頭和UDP頭或者TCP頭中的相關信息，就可以根據(jù)需要進行IP地址和 Port的轉換處理。 NAT一般采用1個映射表來實現(xiàn)IP地址和Port的轉換。對于截獲到的IP包，通過比較IP包的目的IP、目的Port、源IP、源Port和NAT映射表中的相應表現(xiàn)，對IP包的目的IP、目的Port、源IP、源Port進行轉換。 典型的NAT映射表如圖5所示。
（1）處理由內到外的IP包 由內到外的IP包指的是私有網主機通過NAT發(fā)送到公共網主機的IP包。它的源IP是私有IP，目的IP是公共IP。 當截獲到1個由內到外的IP包時，NAT首先以IP包的源IP和源Port作為Real Src IP和Real Src Port的匹配條件，在映射表中進行搜索。如果找到1個對應的表項，就用表項的NAT IP和NAT Port替換IP包的源IP和源Port，而保持IP包的目的IP和目的Port不變。然后，重新計算TCP或UDP的校驗和，就可把IP包歸還給 VxWorks網絡協(xié)議棧。 如果在映射表中沒有搜索到對應的表項，NAT就會向映射表中添加1個新的表現(xiàn)。該表項中的Real Src IP和Real Src Port用IP包的源IP和源Port來填充；NAT Port用NAT分配的1個空閑Port填充。然后，根據(jù)新增加的表項，按照上面相同的步驟完成對IP包的處理。后續(xù)相同的IP包也都用這個表項來處理。 （2）處理由外到內的IP包 由外到內的IP包指的是從公共網通過NAT發(fā)送到私有用的IP包。它的源IP是公共IP，目的IP是NAT的公共IP。 當截獲到1個由外到內的IP包時，NAT就以IP包的目的IP和目的Port作為NAT IP和NAT Port的匹配條件，在映射表中進行搜索。如果找到1個對應的表項，就用表項的Real Src IP和Real Src Port來替換IP包的目的IP和目的Port，而保持IP包的源IP和源Port不變。然后，重新計算TCP或UDP的校驗和，就可把IP包歸還給 VxWorks網絡協(xié)議棧。 如果在映射表中沒有搜索到對應的表項，則對IP包不作任何處理，直接歸還給VxWorks網絡協(xié)議棧。 （3）NAT映射表的配置 作為NAT完成IP包中IP和Port轉換的依據(jù)，NAT映射表的管理關系到NAT的功能和性能。NAT映射表的配置可以分為2部分：靜態(tài)配置部分和動態(tài)配置部分。 靜態(tài)配置部分主要用于NAT IP、NAT Port和私有IP、私有Port的映射關系可以預見的應用，例如UDP通信和TCP Server運行在私網中某個主機等情況。NAT映射表靜態(tài)配置部分可以在NAT運行前根據(jù)規(guī)劃直接完成配置。 動態(tài)配置部分主要用于NAT IP、NAT Port和私有IP、私有Port的映射關系不可預見的應用，例如在私有網中某個主機上運行TCP Client來與公共網中某個主機上的TCP Server建立連接進行通信。因這種情況下，私有網主機使用的Port是動態(tài)分配的。為了實現(xiàn)需要NAT IP、NAT Port和私有IP、私有Port的轉換，必須動態(tài)配置NAT映射表。相對于靜態(tài)配置部分而言，動態(tài)配置部分的數(shù)據(jù)結構、數(shù)據(jù)組織和搜索算法的設計和實現(xiàn)的難度要大得多，關鍵是要實現(xiàn)一個高效的搜索算法。 參考文獻 1. WindRiver VxWorks Network Programmer 's Guide 2. Uyless Black TCP/IP & Related Protocols(SecondEdition 3. Comer Douglas E.林瑤 用TCP/IP進行網際互聯(lián) 2000 作 者：華北電力大學 劉燕華 東方通信科技發(fā)展有限公司 林立志 來 源：單片機與嵌入式系統(tǒng)應用 2003（7） |
