摘要：介紹NAT、NAPT的基本概念和工作原理；結(jié)合VxWorks的網(wǎng)絡(luò)協(xié)議棧，描述一種利用VxWorks操作系統(tǒng)提供的鉤子函數(shù)來開發(fā)實(shí)現(xiàn)NAT和NAPT的方法。

    關(guān)鍵詞：NAT NAPT 鉤子函數(shù) 網(wǎng)絡(luò)協(xié)議棧 截獲 轉(zhuǎn)換 校驗(yàn)和

引言

近年來，隨著Internet的迅猛發(fā)展，連入Internet的主機(jī)數(shù)量成倍增長(zhǎng)。由于最初設(shè)計(jì)Internet的時(shí)候并沒有考慮到需要支持這么大的規(guī)模，因而Internet使用的Ipv4協(xié)議中IP地址的長(zhǎng)度選擇了32位，它可以使IP包的格式很好地對(duì)齊；但是，目前IP地址的短缺已經(jīng)成為Internet面臨的最大問題之一。

為了解決IP地址短缺的問題，人們提出了許多解決方案，nternet能夠支持到新一代IP協(xié)議Ipv6的出臺(tái)。在眾多的解決方案中，網(wǎng)絡(luò)地址轉(zhuǎn)換NAT（Network Address Translation）技術(shù)提供了一種完全將私有網(wǎng)和公共網(wǎng)隔離的方法，從而得到了廣泛的應(yīng)用。

圖1 NAT工作原理示意圖

1 NAT技術(shù)

NAT技術(shù)的基本功能就是，用1個(gè)或幾個(gè)IP地址來實(shí)現(xiàn)1個(gè)私有網(wǎng)中的所有主機(jī)和公共網(wǎng)中主機(jī)的IP通信。NAT技術(shù)可為TCP、UDP以及ICMP數(shù)據(jù)包提供透明轉(zhuǎn)發(fā)。

1.1 NAT工作原理

NAT的基本工作原理是，當(dāng)私有網(wǎng)主機(jī)和公共網(wǎng)主機(jī)通信的IP包經(jīng)過NAT網(wǎng)關(guān)時(shí)，將IP包中的源IP或目的IP在私有IP和NAT的公共IP之間進(jìn)行轉(zhuǎn)換。

如圖1所示，NAT網(wǎng)關(guān)有2個(gè)網(wǎng)絡(luò)端口，其中公共網(wǎng)絡(luò)端口的IP地址是統(tǒng)一分配的公共IP，為202.204.65.2；私有網(wǎng)絡(luò)端口的IP地址是保留地址，為192.168.1.1。私有網(wǎng)中的主機(jī)192.168.1.2向公共網(wǎng)中的主機(jī)166.111.80.200發(fā)送了1個(gè)IP包（Des=166.111.80.200,Src=192.168.1.2）。當(dāng)IP包經(jīng)過NAT網(wǎng)關(guān)時(shí)，NAT會(huì)將IP包的源IP轉(zhuǎn)換為NAT的公共IP并轉(zhuǎn)發(fā)到公共網(wǎng)，此時(shí)IP包（Des=166.111.80.200，Src=202.204.65.2）中已經(jīng)不含任何私有網(wǎng)IP的信息。由于IP包的源IP已經(jīng)被轉(zhuǎn)換成NAT的公共IP，響應(yīng)的IP包（Des=202.204.65.2,Src=166.111.80.200）將被發(fā)送到NAT。這時(shí)，NAT會(huì)將IP包的目的IP轉(zhuǎn)換成私有網(wǎng)中主機(jī)的IP，然后將IP包（Des=192.168.1.2，Src=166.111.80.200）轉(zhuǎn)發(fā)到私有網(wǎng)。對(duì)于通信雙方而言，這種地址的轉(zhuǎn)換過程是完全透明的。

1.2 NAPT技術(shù)

由于NAT實(shí)現(xiàn)是私有IP和NAT的公共IP之間的轉(zhuǎn)換，那么，私有網(wǎng)中同時(shí)與公共網(wǎng)進(jìn)行通信的主機(jī)數(shù)量就受到NAT的公共IP地址數(shù)量的限制。為了克服這種限制，NAT被進(jìn)一步擴(kuò)展到在進(jìn)行IP地址轉(zhuǎn)換的同時(shí)進(jìn)行Port的轉(zhuǎn)換，這就是網(wǎng)絡(luò)地址端口轉(zhuǎn)換NAPT（Network Address Port Translation）技術(shù)。

    NAPT與NAT的區(qū)別在于，NAPT不僅轉(zhuǎn)換IP包中的IP地址，還對(duì)IP包中TCP和UDP的Port進(jìn)行轉(zhuǎn)換。這使得多臺(tái)私有網(wǎng)主機(jī)利用1個(gè)NAT公共IP就可以同時(shí)和公共網(wǎng)進(jìn)行通信。

如圖2所示，私有網(wǎng)主機(jī)192.168.1.2要訪問公共網(wǎng)中的Http服務(wù)器166.111.80.200。首先，要建立TCP連接，假設(shè)分配的TCP Port是1010，發(fā)送了1個(gè)IP包（Des=166.111.80.200:80,Src=192.168.1.2:1010）,當(dāng)IP包經(jīng)過NAT網(wǎng)關(guān)時(shí)，NAT會(huì)將IP包的源IP轉(zhuǎn)換為NAT的公共IP，同時(shí)將源Port轉(zhuǎn)換為NAT動(dòng)態(tài)分配的1個(gè)Port。然后，轉(zhuǎn)發(fā)到公共網(wǎng)，此時(shí)IP包（Des=166.111.80.200：80，Src=202.204.65.2:2010）已經(jīng)不含任何私有網(wǎng)IP和Port的信息。由于IP包的源IP和Port已經(jīng)被轉(zhuǎn)換成NAT的公共IP和Port，響應(yīng)的IP包（Des=202.204.65.2:,Src=2010166.111.80.200:80）將被發(fā)送到NAT。這時(shí)NAT會(huì)將IP包的目的IP轉(zhuǎn)換成私有網(wǎng)主機(jī)的IP，同時(shí)將目的Port轉(zhuǎn)換為私有網(wǎng)主機(jī)的Port，然后將IP包（Des=192.168.1.2:1010，Src=166.111.80.200:80）轉(zhuǎn)發(fā)到私網(wǎng)。對(duì)于通信雙方而言，這種IP地址和Port的轉(zhuǎn)換是完全透明的。

2 VxWorks的網(wǎng)絡(luò)協(xié)議棧

與VxWorks操作系統(tǒng)捆綁發(fā)行的標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議棧，是一個(gè)與BSD4.4兼容、功能齊全并針對(duì)嵌入式應(yīng)用作了大量?jī)?yōu)化的TCP/IP協(xié)議棧。該網(wǎng)絡(luò)協(xié)議棧與VxWorks操作系統(tǒng)、開發(fā)工具、設(shè)備管理工具以及上層協(xié)議和應(yīng)用可以集成在一起，有完整的路由功能并可以根據(jù)需要進(jìn)行剪裁。VxWorks的網(wǎng)絡(luò)協(xié)議棧的分層結(jié)構(gòu)如圖3所示。

VxWorks網(wǎng)絡(luò)協(xié)議棧傳輸數(shù)據(jù)使用的內(nèi)存，是在系統(tǒng)啟動(dòng)進(jìn)行網(wǎng)絡(luò)協(xié)議初始化的時(shí)候就申請(qǐng)下來的，并使用系統(tǒng)提供的netBufLib建立內(nèi)存字點(diǎn)池來管理這些內(nèi)存空間。網(wǎng)絡(luò)協(xié)議棧傳輸數(shù)據(jù)所需的內(nèi)存都是從這些內(nèi)存節(jié)點(diǎn)池中申請(qǐng)，使用完畢后再釋放。

NetBufLib通過3種數(shù)據(jù)結(jié)構(gòu)處理網(wǎng)絡(luò)協(xié)議棧傳輸?shù)臄?shù)據(jù)：mBlk、clBlk和Cluster。其中，Cluster保存的是實(shí)際的數(shù)據(jù)，mBlk和clBlk中保存的信息是用來管理Cluster中保存的數(shù)據(jù)的。為了滿足傳輸不同大小數(shù)據(jù)的需要，Cluster是一些大小不同的內(nèi)存塊；缺省情況下，VxWorks網(wǎng)絡(luò)協(xié)議棧創(chuàng)建了大小從64～2048字節(jié)的6個(gè)不同的內(nèi)存節(jié)點(diǎn)池。

由于mBlk中保存的只是指向數(shù)據(jù)的指針，因此，網(wǎng)絡(luò)協(xié)議棧不同層之間的數(shù)據(jù)傳輸可以避免數(shù)據(jù)拷貝。此外，對(duì)于分布在多個(gè)Cluster中的數(shù)據(jù)，可以通過mBlk把它們鏈在一起，并且只需要傳遞鏈?zhǔn)椎膍Blk就可以了。VxWorks網(wǎng)絡(luò)協(xié)議棧的“零拷貝”技術(shù)就是建立在這種機(jī)制的基礎(chǔ)之上的。圖4描述了2個(gè)提交給網(wǎng)絡(luò)協(xié)議棧TCP層的包的數(shù)據(jù)結(jié)構(gòu)。

在mBlk結(jié)構(gòu)中，有2個(gè)指向其它mBlk的指針：1個(gè)指向同一個(gè)包的下一個(gè)mBlk；另一個(gè)指向下一個(gè)包的鏈?zhǔn)椎膍Blk。ClBlk指向的就是實(shí)際存儲(chǔ)數(shù)據(jù)的Cluster。

3 向VxWorks網(wǎng)絡(luò)協(xié)議棧加入NAT

為了向VxWorks網(wǎng)絡(luò)協(xié)議棧中加入NAT，必須實(shí)現(xiàn)2個(gè)基本操作：IP包的截獲得IP包的處理。

3.1 VxWorks下IP包的截獲

VxWorks網(wǎng)絡(luò)協(xié)議棧在物理驅(qū)動(dòng)層和IP層上分別提供了兩類鉤子函數(shù)：EtherHook和IpFilterHook。利用這兩類鉤子函數(shù)，可以實(shí)現(xiàn)對(duì)IP包的截獲。

（1）EtherHook

EtherHook提供對(duì)以太幀的截獲功能。它包括2個(gè)鉤子函數(shù)：以太幀接收鉤子函數(shù)EtherInputHook和以太幀發(fā)送鉤子函數(shù)EtherOutPutHook。它們分別用函數(shù)EtherInputHookAdd和EtherOutputHookAdd安裝。安裝了這些鉤子函數(shù)后，每當(dāng)有以太幀被接收到時(shí)，函數(shù)EtherInputHook就會(huì)在該以太幀被提交給上層處理前被自動(dòng)調(diào)用；每當(dāng)有以太幀被發(fā)送時(shí)，函數(shù)EtherOutputHook會(huì)在該以太幀被發(fā)送前被自動(dòng)調(diào)用。通過截獲以太帖，可以達(dá)到截獲IP包的目的。

（2）IpFilterHook

IpFilterHook提供對(duì)IP包的截獲功能。它只對(duì)應(yīng)1個(gè)鉤子函數(shù)，用函數(shù)ipFilterHookAdd就可以完成IpFilterHook的安裝。安裝了IpFilterHook后，每當(dāng)有IP包被接收到時(shí)，函數(shù)IpFilterHook就會(huì)被自動(dòng)調(diào)用，從而實(shí)現(xiàn)對(duì)IP包的截獲。

3.2 NAT過程中IP包的處理

利用鉤子函數(shù)完成IP包的截獲后，就可以根據(jù)需要對(duì)IP包進(jìn)行處理。首先，可以從IP包中剝離出IP頭，根據(jù)IP頭中的“協(xié)議”域可以判斷出是UDP包還是TCP包。然后，從IP包中剝離出UDP頭或TCP頭，利用IP頭和UDP頭或者TCP頭中的相關(guān)信息，就可以根據(jù)需要進(jìn)行IP地址和Port的轉(zhuǎn)換處理。

NAT一般采用1個(gè)映射表來實(shí)現(xiàn)IP地址和Port的轉(zhuǎn)換。對(duì)于截獲到的IP包，通過比較IP包的目的IP、目的Port、源IP、源Port和NAT映射表中的相應(yīng)表現(xiàn)，對(duì)IP包的目的IP、目的Port、源IP、源Port進(jìn)行轉(zhuǎn)換。

典型的NAT映射表如圖5所示。

（1）處理由內(nèi)到外的IP包

由內(nèi)到外的IP包指的是私有網(wǎng)主機(jī)通過NAT發(fā)送到公共網(wǎng)主機(jī)的IP包。它的源IP是私有IP，目的IP是公共IP。

當(dāng)截獲到1個(gè)由內(nèi)到外的IP包時(shí)，NAT首先以IP包的源IP和源Port作為Real Src IP和Real Src Port的匹配條件，在映射表中進(jìn)行搜索。如果找到1個(gè)對(duì)應(yīng)的表項(xiàng)，就用表項(xiàng)的NAT IP和NAT Port替換IP包的源IP和源Port，而保持IP包的目的IP和目的Port不變。然后，重新計(jì)算TCP或UDP的校驗(yàn)和，就可把IP包歸還給VxWorks網(wǎng)絡(luò)協(xié)議棧。

如果在映射表中沒有搜索到對(duì)應(yīng)的表項(xiàng)，NAT就會(huì)向映射表中添加1個(gè)新的表現(xiàn)。該表項(xiàng)中的Real Src IP和Real Src Port用IP包的源IP和源Port來填充；NAT Port用NAT分配的1個(gè)空閑Port填充。然后，根據(jù)新增加的表項(xiàng)，按照上面相同的步驟完成對(duì)IP包的處理。后續(xù)相同的IP包也都用這個(gè)表項(xiàng)來處理。

（2）處理由外到內(nèi)的IP包

由外到內(nèi)的IP包指的是從公共網(wǎng)通過NAT發(fā)送到私有用的IP包。它的源IP是公共IP，目的IP是NAT的公共IP。

當(dāng)截獲到1個(gè)由外到內(nèi)的IP包時(shí)，NAT就以IP包的目的IP和目的Port作為NAT IP和NAT Port的匹配條件，在映射表中進(jìn)行搜索。如果找到1個(gè)對(duì)應(yīng)的表項(xiàng)，就用表項(xiàng)的Real Src IP和Real Src Port來替換IP包的目的IP和目的Port，而保持IP包的源IP和源Port不變。然后，重新計(jì)算TCP或UDP的校驗(yàn)和，就可把IP包歸還給VxWorks網(wǎng)絡(luò)協(xié)議棧。

    如果在映射表中沒有搜索到對(duì)應(yīng)的表項(xiàng)，則對(duì)IP包不作任何處理，直接歸還給VxWorks網(wǎng)絡(luò)協(xié)議棧。

（3）NAT映射表的配置

作為NAT完成IP包中IP和Port轉(zhuǎn)換的依據(jù)，NAT映射表的管理關(guān)系到NAT的功能和性能。NAT映射表的配置可以分為2部分：靜態(tài)配置部分和動(dòng)態(tài)配置部分。

靜態(tài)配置部分主要用于NAT IP、NAT Port和私有IP、私有Port的映射關(guān)系可以預(yù)見的應(yīng)用，例如UDP通信和TCP Server運(yùn)行在私網(wǎng)中某個(gè)主機(jī)等情況。NAT映射表靜態(tài)配置部分可以在NAT運(yùn)行前根據(jù)規(guī)劃直接完成配置。

動(dòng)態(tài)配置部分主要用于NAT IP、NAT Port和私有IP、私有Port的映射關(guān)系不可預(yù)見的應(yīng)用，例如在私有網(wǎng)中某個(gè)主機(jī)上運(yùn)行TCP Client來與公共網(wǎng)中某個(gè)主機(jī)上的TCP Server建立連接進(jìn)行通信。因這種情況下，私有網(wǎng)主機(jī)使用的Port是動(dòng)態(tài)分配的。為了實(shí)現(xiàn)需要NAT IP、NAT Port和私有IP、私有Port的轉(zhuǎn)換，必須動(dòng)態(tài)配置NAT映射表。相對(duì)于靜態(tài)配置部分而言，動(dòng)態(tài)配置部分的數(shù)據(jù)結(jié)構(gòu)、數(shù)據(jù)組織和搜索算法的設(shè)計(jì)和實(shí)現(xiàn)的難度要大得多，關(guān)鍵是要實(shí)現(xiàn)一個(gè)高效的搜索算法。