基于内网节点的防火墙穿透方法

《基于内网节点的防火墙穿透方法》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于内网节点的防火墙穿透方法摘要：网络防火墙是保护数据安全的有效手段，目前采用最多的是nat技术，但在特定情况下需要外网无痕穿越防火墙对内网数据进行访问，在这种需求下nat技术就束手无策。针对上述需求，提出一种新的防火墙穿透技术，采用内网节点主动发起连接的方式连接内外网，实现防火墙或子网的穿透，并在arm平台上实验验证了该技术的可行性，该方法已经获得了国家知识产权局的发明专利授权。关键词：防火墙穿透；nat；网络节点；内外网引言随着计算机技术和通信技术的飞速发展，信息交换频繁，网络安全引起了社会各界的广泛关注。为了保证信息安全，人们越来越倾向于使

2、用防火墙技术，其中使用最为广泛的是nat(networkaddresstransla—基于内网节点的防火墙穿透方法摘要：网络防火墙是保护数据安全的有效手段，目前采用最多的是nat技术，但在特定情况下需要外网无痕穿越防火墙对内网数据进行访问，在这种需求下nat技术就束手无策。针对上述需求，提出一种新的防火墙穿透技术，采用内网节点主动发起连接的方式连接内外网，实现防火墙或子网的穿透，并在arm平台上实验验证了该技术的可行性，该方法已经获得了国家知识产权局的发明专利授权。关键词：防火墙穿透；nat；网络节点；内外网引言随着计算机技术和通信技术的飞速发展

3、，信息交换频繁，网络安全引起了社会各界的广泛关注。为了保证信息安全，人们越来越倾向于使用防火墙技术，其中使用最为广泛的是nat(networkaddresstransla—tion)技术。nat技术是通过在网络内部使用非注册的ip地址，为其可信任用户转换一小部分外部注册的ip地址，对内部数据信息等进行访问，从而隐藏了内部网络结构，降低了内部网络受到攻击的风险。但是nat技术无法实现防火墙的反向穿透，即通过内网主动向外网用户发起连接，以进行信息的传递交换。本文弥补了防火墙穿透技术的这一空白，提出了通过建立内网节点作为数据转发服务器，外网的请求和内网

4、的数据都通过此转发服务器，从而实现防火墙／子网的穿透的新技术。这项新的防火墙穿透理念，为网络犯罪的监听，案件的协助破获等提供了有效的技术支持。1传统nat穿透方法传统的nat技术是通过将专用的网络地址(如企业内部网intranet)转换为公用地址(如互联网internet)，从而对外隐藏了内部管理的ip地址。这样，通过在内部使用非注册的ip地址，并将它们转换为一小部分外部注册的ip地址，从而减少了ip地址注册的费用以及节省了目前越来越缺乏的地址空间。同时，这也隐藏了内部网络结构，从而降低了内部网络受到攻击的风险。1.1nat穿透的原理图1表示了n

5、at技术的穿透过程。nat设备(或软件)维护一个状态表，用来把内部网络的私有ip地址映射到外部网络的合法lp地址上去。每个包头中的ip地址和端口信息在nat设备(或软件)中都被修改并翻译成一正确的ip地址发往下一级。当一个内部网主机通过nat打开一个“外出”的tcp或udp会话时，napt分配给这个会话一个公网ip和端口，用来接收外网的响应的数据包，并经过转换通知内部网的主机。这样，napt在私有lp：私有端口]和[公网ip：公网端口之间建立了一个端口绑定。1.2nat的技术缺陷随着nat技术的广泛使用，技术本身的不足之处逐渐表现出来，主要归纳为

6、以下五点：(1)nat网络需要是稀疏的端到端流量矩阵。否则，nat表将会很大，从而就使得性能低下。但是，未来的诸多应用都需要是一个丰富的流量矩阵(比如对分散资源的查询)，这样从长远来看，nat就不再那么有吸引力了；(2)增加了错误编址的可能性；(3)使得一些应用无法实现(至少也会使得运行这些应用程序更加困难)；(4)nat隐藏了主机的id，使得无法识别主机。它提供了保密性的同时也成为了一个缺陷；(5)和snmp，dns等诸多技术有兼容性问题。此外，nat技术的内网穿透是由外网用户主动向内网发起连接请求，经过内网用户的认证后才能进行通信。在特定需要

7、内网主动发起连接的情形下，则通信无法正常进行，为了克服以上缺陷提出了反向穿透的方法。2反向穿透方法反向穿透方法为基于内网节点的防火墙穿透技术。图2表示了穿透的基本过程。该方法通过在内网中建立内网节点，作为数据转发器，进行数据转发。功能的实现由server模块，client模块，proxy模块完成。2.1反向穿透的技术原理2.1.1server模块该模块运行于数据转发服务器上，主要负责主动发起连接，建立lc通道(命令通道)和所需的ld通道(数据通道)，处理由client(客户)转发的请求，获得相应的资源，并且进行转发。(1)主线程该线程用于循环读取

8、ip列表内的ip地址，对各个ip地址尝试连接，如果连接成功就将创建线程，并将socket套接口和对应的ip位置count传递给创建成功的