NAT技术在Linux平台防火墙中的应用研究

随着Linux操作系统防火墙迅速发展,其已经在现代互联网中得到了广泛的普及应用。Linux平台防火墙采用NAT技术,实现了内外网互联,并且最大化地利用内网地址,提高了网络地址的利用率,具有重要的作用。     

NAT技术在Linux平台防火墙中的应用研究

随着Linux操作系统防火墙迅速发展，其已经在现代互联网中得到了广泛的普及应用。Linux平台防火墙采用NAT技术，实现了内外网互联，并且最大化地利用内网地址，提高了网络地址的利用率，具有重要的作用。     

SIP信令与媒体流穿透NAT的实现

从会话初始化协议(SIP)消息的特点出发.基于网络地址转换(NAT)和防火墙自身的角度考虑,提出了一种无需扩展SIP协议的应用层解决方案.该方案通过引入UDP对NAT的简单穿透(STUN)协议,获得IP地址和端口的映射绑定关系,修改SIP和会话描述协议(SDP)消息中的内容来保证通信连接,从而实现了对NAT的穿透.     

两端均为私网用户的NAT穿越

NAT(Network Address Translation)是一种把内部私有网络的IP地址翻译成公共网络的IP地址的技术。在国内由于公网IP地址资源匮乏和网络安全问题等原因,大量企业用户和个人宽带用户采用了内网编址,并通过NAT/防火墙来与公共网络通信。NAT/防火墙能够完成私有编址与公网编址的相互转化,并设置相应的包过滤规则,让不满足条件的IP包不能够穿透NAT/防火墙。目前的NAT/防火墙设备对HTTP、POP3等端口固定的常用协议都有很好的支持,只要稍加配置即可很好地实现穿透,但对于语音和视频应用来说,其控制信息常需要用到动态协商或随机打开…     

基于连接特性的Skype流量分析与识别

Skype是基于P2P技术的VoIP业务．以其易用及无缝穿透NAT和防火墙的工作能力．加之具有比其它即时通信软件更好的通话质量，给传统的VoIP业务带来了巨大冲击。然而，它的无缝穿透NAT和防火墙，以及由于其超级节点机制而造成网络带宽负担加剧的问题．也对企业的安全性和稳定性造成了威胁。因为Skype使用加密和覆盖技术，使得检测Skype流量比较困难。文章通过分析传输层报文的信息，针对Skype的连接特性．对识别Skype流量提出了相应的策略。     

业界要闻

中国将制定SIP/H.323穿越NAT/防火墙的标准 随着基于SIP/H.323的宽带业务的蓬勃发展,为了解决网络安全问题和IP地址资源匮乏等问题,大量企业和驻地网采用了私有编址(RFC1918)通过NAT/防火墙出口来接入公共网络。NAT/防火墙能够完成私有编址与公网编址的相互转化,并设置相应的包过滤规则,不满足条件的IP包小能够穿透NAT/防火墙。NAT/防火墙对HTTP等端口固定的一般应用协议,只需要转换IP/TCP/UDP头即可很好地实现穿透。但对于H.323/S1P/H.248/MGCP应用来说,是在控制信息中动态地协商媒体流端口     

中国将制定SIP／H．323穿越NAT／防火墙的标准

随着基于SIP/H.323的宽带业务的蓬勃发展,为了解决网络安全问题和IP地址资源匮乏等问题,大量企业和驻地网采用了私有编址(RFC1918)通过NAT/防火墙出口来接入公共网络。 NAT/防火墙能够完成私有编址与公网编址的相互转化,并设置相应的包过滤规则,不满足条件的IP包不能够穿透NAT/防火墙。 NAT/防火墙对HTTP等端口固定的一般应用协议只需要转换IP/TCP/UDP头即可很好的实现穿透,但对于H.323/SIP/H.248/     

IP音视频穿越NAT技术的研究

音视频流媒体技术在近些年的发展非常迅速,己经广泛应用于互联网上.但是为了安全性和节省IP地址,目前大量的企业和局域网都采用防火墙/NAT(Network Address Translation)技术连接到因特网.基于目前NAT技术的原理及应用,文中分析并指出了由于NAT技术的特性造成的主机无法主动与处于NAT后方的主机通讯的问题,结合穿越NAT技术的现状,分析了各种穿越技术的优劣点,并提出了一种新的穿越方案,丰富了穿越NAT的方法,提供了关于穿越NAT防火墙技术的参考.     

穿越防火墙/NAT的SIP通信研究

私网和公网之间的安全防护和地址转换的常用方法是防火墙/NAT,但防火墙/NAT不支持SIP协议,阻碍了SIP信令安全地穿过防火墙/NAT,限制了私网内的SIP终端同Internet上的SIP终端之间的业务互通。本文介绍了一种基于虚拟代理和IP隧道的隧道穿透方案,实现了防火墙/NAT两侧的SIP信令和媒体的互通。     

中国将制定SIP／H．323穿越NAT／防火墙的标准

随着展于SIP／H.323的宽带业务的蓬勃发展，为了解决网络安全问题和IP地址资源匮乏等问题，大量企业和驻地网采用了私有编址(RFC1918)通过NAT／防火墙出口来接入公共网络。NAT／防火墙能够完成私有编址与公网编址的相互转化，并设置相应的包过滤规则，不满足条什的IP包不能够穿透NAT／防火墙NAT／防火墙对HTTP等端口固定的一般应用协议，只需要     

基于ICE与HTTP Tunnel技术的NAT/FW穿越方案

在现代网络中,越来越多的主机被部署在NAT和防火墙(FW)之后,这就要求VoIP、P2P等通信软件必须具备穿越NAT/FW的能力,才能实现端到端的数据传输.现有的STUN、TURN、ICE等方案虽然可以穿越大部分NAT/FW,但对有端口或协议限制的防火墙却无能为力.本文提出了将ICE和HTTP Tunnel技术相结合的穿越方案,设计并实现了可跨平台运行的HTTP Tunnel模块来配合ICE进行穿越.实验证明,在防火墙只开放80端口这种苛刻的条件下,该HTTP Tunnel模块也能够成功穿越大部分防火墙,实现数据流的稳定传输.     

H.323协议穿越NAT/防火墙

文章对网络地址转换(NAT)类型以及防火墙特性进行了介绍和分类,指出由于H 323协议本身没有考虑NAT的应用,在NAT设备进行地址转换时发生了困难,产生了内、外网难以互通的问题.为了解决问题,文章探讨了H 323协议穿越NAT的6种方式:H.323代理方式、应用层网关方式、中间盒通信(MIDCOM)方式、隧道方式、扩展协议方式、STUN方式,并对不同的穿越方式进行了分析.     

A conflict-insensitive NATed roaming framework using NAToD for proxy mobile IPv4 in WLANs

Providing efficient mobility management in the current Internet is increasingly important due to the quick growth of wireless mobile users. The emerging Proxy Mobile IPv4 (PMIPv4) technique brings a possible solution for that purpose. Since NAT function is widely adopted in IPv4 environment nowadays because of lacking IPv4 addresses, the PMIPv4 interoperating with NAT must be considered. Unfortunately, owing to the possible conflict of private IP address, we encounter a problem in broadcasted point-to-multipoint wireless networks such as IEEE 802.11 networks. To address this issue, we proposed a novel Network Address Translation on Demand (NAToD) scheme, which can well interoperate with the PMIPv4 solution. With our scheme, single public IPv4 addresses can be shared by multiple mobile nodes in both home and foreign networks, low-latency handoff can be achieved, deployment cost can be reduced, and software upgrade can be avoided for mobile nodes in wireless LANs. Our work allows mobile users in WLAN to access Internet based on the advantages of both PMIPv4 and NAT.     

基于端口预测的P2PNAT穿越方法的改进

Network Address Translation（NAT）技术能够解决公网IP地址紧缺问题,保证网络安全,但它也影响了对等联网的直接通信。丈中论述了NAT的穿越特性,分析目前已有的P2PTCP穿越NAT技术,提出了一种P_P2PNAT穿越方法。通过端口预测方法实现对称型网络地址转换的穿越。实验验证了该方法的正确性,保证了Symmetric NAT之间的成功穿越。     

IPSec与NAT协同工作的研究

因特网网络层安全协议(IPSec)和网络地址翻译(NAT)不兼容,这严重限制了IPSec的应用范围。在分析IP-Sec与NAT不兼容原因、讨论IPSec与NAT协同工作的一些方法及所存在的问题的基础上,对UDP封装IPSec数据包方法中所存在的安全隐患,以及在NAPT环境下,外出的数据根据SPD的选择符无法正确定位SAD中的SA问题,提出了解决办法。     

基于Netfilter框架和IP Queue机制的轻量级网络防火墙实现

一般而言,要在Linux下开发防火墙的程序,需要对内核协议栈有深入的理解,并掌握内核协议栈代码的细节。这对普通开发者是非常有难度的。Netfilter是一个支持数据报过滤、数据报处理、NAT等功能的内核子系统框架。以Linux 2.6内核为基础。IP Queue机制是Linux内核在Netfilter框架的基础上提供的,是应用层上的机制,通过NetLink和内核进行交互,这使得开发一些用户态的防火墙应用成为可能。在此基础上,同时实现了一种基于Netfilter框架和IP Queue机制的轻量级防火墙。通过对比测试表明,由于设计清晰的模块架构、较强的可扩展性,本文实现的轻量级防火墙能够很好地达到实际要求,容易开发出更专业防火墙程序。     

IPSec VPN与防火墙协同工作的系统设计与实现

IPSec VPN和防火墙为网络的安全做出了重大贡献.采用IPSec VPN技术不仅可实现数据在公网中安全传输,还可在一定程度上保护内网安全;防火墙所完成的任务是保护网络不受非法的"入侵".当IPSec VPN与防火墙同时共存于同一系统中时需考虑两者的协同工作问题.文中提出了并实现了一种基于虚拟网卡技术的IPSec VPN系统.将虚拟网卡与IPSecVPN相结合的系统可有效实现IPSec VPN与内网防火墙协同工作.     

NAT Issues in the Remote Management of Home Network Devices

Currently, many customer devices are being connected to home networks. For this reason, it is expected that device management capabilities will be a powerful instrument for the service provider to cope with high maintenance costs, security concerns, and management issues related to home networks. Through DM, the service provider could provide valuable services such as auto-provisioning, remote configuration, firmware and software updates, diagnostics, monitoring, scheduling, and fraud management. However, network address translators that are widely deployed in the home network environment prohibit DM operations from reaching user devices behind the NAT. In this article, we focus on NAT issues in the management of home network devices. Specifically, we discuss efforts relating to standardization and present our proposal to deploy DM services for VoIP and IPTV devices behind NATs. By slightly changing the behavior of Simple Network Management Protocol managers and agents and by defining additional management objects (MOs) to gather NAT binding information, we could solve the NAT traversal problem under a symmetric NAT. Moreover, we propose an enhanced method to search for the UDP hole binding time of the NAT box. For evaluation, we applied our method to 22 randomly selected VoIP devices out of 194 NATed hosts in the real broadband network and achieved a success ratio of 99 percent for exchanging SNMP request messages and a 26 percent enhancement in determining the UDP hole binding time.     

H.323视讯网络的终端接入

本主要研究了H．323视讯网络的终端接入问题，即视讯终端配置公开IP地址或私有IP地址，通过不同接入方式(如专线、NAT／PAT、VPN等)实现视讯业务，同时着重分析了H．323视讯终端在防火墙存在情况下通过NAT／PAT接入的几种解决方案。     

基于OCTEON芯片的NAT功能实现

针对WLAN(无线局域网)等网络处理设备在开启NAT(网络地址转换)功能时性能受影响的问题,对NAT在OC-TEON芯片中的实现进行了研究。通过分析OCTEON芯片硬件加速特性,引入了数据面和控制面分离的软件设计架构,探讨了OCTEON芯片特殊的任务调度机制,提出了一种基于OCTEON芯片的NAT功能实现方案。实验结果表明,该方案能较大地提高NAT转换性能,具有较强的实用性。