当前位置：文档之家 › 关于TCP穿越NAT技术的研究与分析

关于TCP穿越NAT技术的研究与分析

  • 格式：pdf
  • 大小：192.74 KB
  • 文档页数：3

信息安全与通信保密・2008.4学术研究A c a d e 47马义涛，薛质，王轶骏（上海交通大学信息安全工程学院，上海　２００２４０）【摘 要】论文主要论述了ＮＡＴ原理和基于ＴＣＰ协议的ＮＡＴ穿越技术的原理，主要分析了一种最简单但最健壮且实际有效的穿越ＮＡＴ技术，也就是ＴＣＰ打洞技术［６］。

文章在分析目前常用的ＴＣＰ打洞技术（例如ＮＡＴＢｌａｓｔｅｒ［４］）的基础上，提出了一种新的ＴＣＰ打洞技术。

新技术的穿越成功率比以往技术提高了５％。

【关键词】网络穿越；打洞技术；ＮＡＴ；Ｐ２Ｐ［７］；ＳＴＵＮＴ［３］【中图分类号】ＴＰ３０９ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００８）　０４－００４７－０３Study and Analysis on TCP Traversal through NAT *MA Yi-tao, XUE Zhi, W ANG Yi-jun(Institute of Information Security Engineering, Shanhai Jiaotong University, Shanghai 200240, China)【Abstract 】The principles of both Network Address Translation(NAT) and NAT Traversal techniques based on TCP protocol are described in this paper. The paper focuses on a simple but robust NAT Traversal technique, which is known as "TCP Hole Punching". In addition, this paper analyzes some defects of the currently used "TCP Hole Punching", i.e.NATBalster [4], and provides some improved methods toward them. The success rate is increased by 5 percent.【Keywords 】TCP traversal; hole punching; network address translator; peer to peer; STUNT关于ＴＣＰ穿越ＮＡＴ技术的研究与分析＊０ 引言Ｐ２Ｐ技术使得网络上的资源得到充分的利用和最大化的共享，从而Ｐ２Ｐ应用也得到了快速发展，主要表现在实时通信、协同工作、内容分发和分布式计算等各个领域。

然而，目前普遍使用的ＮＡＴ技术却给Ｐ２Ｐ通信带来了一个重要的问题：端到端间的ＴＣＰ连接。

利用ＴＣＰ穿越技术可以解决这个问题。

本文将主要论述一种位于不同ＮＡＴ设备后面的ＰＣ间建立ＴＣＰ连接的方案，也就是“打洞技术”。

在目前常用穿越技术的基础上，本文分析并改进了现有的ＴＣＰ打洞技术（即ＮＡＴＢｌａｓｔｅｒ），提出了一种新的ＴＣＰ打洞技术。

经过在多种网络环境下测试，发现新的打洞技术的成功率提高了５％。

１ ＮＡＴ原理在深入研究ＴＣＰ打洞技术之前，一定要清楚地了解ＮＡＴ原理和设备的具体行为特性，因为这些行为特性直接影响着具体的ＴＣＰ打洞技术的实现。

在所有ＮＡＴ设备中最常见的是传统ＮＡＴ设备［１］，而此类设备主要分为两种：基本ＮＡＴ和ＮＡＰＴ。

本文将主要讨论后者，也就是ＮＡＰＴ。

由于内部网络结点的内部ＩＰ地址在Ｉｎｔｅｒｎｅｔ上是非法的，所以一定要经过网络地址转换后以合法ＩＰ的身份来访问Ｉｎｔｅｒｎｅｔ。

例如：内网主机Ａ（１９２．１６８．４７．１０８）想访问外网服务器Ｓ（２１８．１９３．１８７．１６），那么Ａ将发送数据包给Ｓ：１９２．１６８．４７．１０８：２３→２１８．１９３．１８７．１６：８０；当此数据包到达ＮＡＰＴ设备时，ＮＡＰＴ将会修改此数据包的源地址和端口，并在映射表中添加映射关系条目，然后将数据发送出去：２０２．１２０．３６．１８１：５０００→２１８．１９３．１８７．１６：８０。

外网服务器发送的回应数据包：２１８．１９３．１８７．１６：８０→２０２．１２０．s e a r c h学术研究３６．１８１：５０００；当ＮＡＰＴ收到此包后，检查映射关系表，然后修改数据包并转发：２１８．１９３．１８７．１６：８０→１９２．１６８．４７．１０８：２３。

具体的流程请参考图１。

２ ＴＣＰ穿越ＮＡＴ原理及其分析要实现ＴＣＰ穿越ＮＡＴ或者防火墙，位于ＮＡＴ或者防火墙设备后的Ｃｌｉｅｎｔ　ＰＣ一定要清楚地了解所处ＮＡＴ设备的行为特性，这样才能针对此类设备设计不同的打洞技术，从而实现ＴＣＰ穿越的成功。

所以穿越ＮＡＴ和防火墙需要三个必要的步骤：（１）　所处ＮＡＴ设备的行为特性诊断和收集。

（２）　端口预测。

（３）　ＴＣＰ打洞。

本文将基于ＮＡＴＢｌａｓｔｅｒ来讲解穿越ＮＡＴ原理，并分析其优点和不足，最后给出一种改良的ＴＣＰ打洞技术。

２．１　ＮＡＴ设备行为特性的诊断在给出具体的诊断策略之前，文中假设了这样一个典型的网络环境：位于不同ＮＡＴ设备之后的两台Ｃｌｉｅｎｔ　ＰＣ间的Ｐ２Ｐ通信。

ＮＡＴ设备行为特性的诊断和获取，要借助于第三方ＳＴＵＮＴ服务器：每台ＮＡＴ后的Ｃｌｉｅｎｔ　ＰＣ通过与ＳＴＵＮＴ服务器会话，从而可以获得自身及对等体的内部和外部ＩＰ／Ｐｏｒｔ对；通过与ＳＴＵＮＴ服务器的会话测试集，可以诊断出所属ＮＡＴ设备的行为特性。

２．２　端口预测利用ＳＴＵＮＴ协议，Ｃｌｉｅｎｔ　ＰＣ可以通过详细的会话测试集得到关于所属ＮＡＴ设备的映射特性具体值、过滤特性具体值。

根据ＮＡＴ设备的这些特性，可以来判断Ｃｌｉｅｎｔ　ＰＣ的端口是不是可以预测的。

如果同时从Ｃｌｉｅｎｔ　ＰＣ的两个连续端口分别向ＳＴＵＮＴ服务器建立两个连接，经过会话分析后发现，被映射的外部端口也是连续的，那么Ｃｌｉｅｎｔ　ＰＣ的端口是可以预测的。

例如：ａ：ｐ→Ｓ：Ｒ和ａ：ｐ＋１→Ｓ：Ｒ经ＮＡＴ后修改为：Ａ：Ｐ→Ｓ：Ｒ和Ａ：Ｐ＋１→Ｓ：Ｒ。

如果从Ｃｌｉｅｎｔ　ＰＣ的同一端口发往同一ＩＰ地址的数据包被映射到相同的外部端口，那么也称此端口是可以预测的。

例如：ａ：ｐ→Ｓ：Ｒ和ａ：ｐ→Ｓ：Ｑ经ＮＡＴ后修改为：Ａ：Ｐ→Ｓ：Ｒ和Ａ：Ｐ→Ｓ：Ｑ。

通过会话测试集测试以后，如果Ｃｌｉｅｎｔ　ＰＣ的端口是可以预测的，那么Ｃｌｉｅｎｔ　ＰＣ经ＳＴＵＮＴ服务器可以获知对等实体的内部和外部ＩＰ／Ｐｏｒｔ对，从而可以比较简单地实现ＴＣＰ打洞；否则，相应的打洞技术十分复杂而且可靠性和效率不高。

２．３　ＴＣＰ打洞Ｃｌｉｅｎｔ　ＰＣ获得了所属ＮＡＴ设备的行为特性后，就可以针对不同特性采取稍微不同的打洞技术来建立端到端直接的ＴＣＰ连接，进而实现通常的ＴＣＰ通信。

在此假设ＣｌｉｅｎｔＰＣ所属的ＮＡＴ设备是ＮＢ＝ＡＤＰ［３］和ＥＦ＝ＡＤＰ［３］类型，因为此类型的ＮＡＴ设备在网络环境中使用得较多且比较典型。

目前流行的ＮＡＴＢｌａｓｔｅｒ打洞技术的具体打洞时序流程如图２所示。

详细步骤如下：第一步，Ｃｌｉｅｎｔ　Ａ发送ＳＹＮ［５］数据包给Ｃｌｉｅｎｔ　Ｂ，但此ＳＹＮ数据包应具有适当的ＴＴＬ值，使得此数据包会通过ＮＡＴ　Ａ而不会到达ＮＡＴ　Ｂ，从而完成了对ＮＡＴ　Ａ的打洞；另外，Ｃｌｉｅｎｔ　Ａ还利用ｌｉｂｐｃａｐ库来侦听数据包获得ＳＹＮ包的序列号（利用ｌｉｂｐｃａｐ库来侦听）。

对于Ｃｌｉｅｎｔ　Ｂ完成同样的工作。

第二步，ＮＡＴ　Ａ／Ｂ会收到ＩＣＭＰ差错包后简单地丢弃。

第三步，通过ＳＴＵＮＴ服务器Ｓ，Ｃｌｉｅｎｔ　Ａ和Ｂ交换ＳＹＮ包序列号，以供后续ＳＹＮＡＣＫ使用。

第四步，Ｃｌｉｅｎｔ　Ａ和Ｂ分别向对方发送ＳＹＮＡＣＫ包（利用ｌｉｂｎｅｔ库），而后又发送确认ＡＣＫ包，从而ＴＣＰ三次握手成功，最终在Ｃｌｉｅｎｔ　Ａ和Ｂ间成功建立了直接的ＴＣＰ连接。

２．４　ＮＡＴＢｌａｓｔｅｒ分析及改进利用ＮＡＴＢｌａｓｔｅｒ技术，可以成功地穿越行为特性良好的ＮＡＴ设备。

这些良好的行为特性包括：具有可以预测的图１ ＮＡＰＴ数据包转换图２ ＮＡＴＢｌａｓｔｅｒ技术时序信息安全与通信保密・2008.4学术研究A c a d e 49端口，对于错误的数据包ＮＡＴ设备只是简单的丢弃等。

另外，ＮＡＴＢｌａｓｔｅｒ比较容易实现，有较好的健壮性和适应性。

而对于行为特性不好的ＮＡＴ设备，通过ＮＡＴＢｌａｓｔｅｒ技术也可以成功地实现网络穿越。

但是，根据ＮＡＴＢｌａｓｔｅｒ的原理可以得知这项技术也有其自身的不足之处：它要求选择适当的ＴＴＬ值；要求ＮＡＴ设备忽略ＩＣＭＰ错误；如果ＮＡＴ设备有改变ＳＹＮ包的序列号的不良行为特性，那么ＮＡＴＢｌａｓｔｅｒ技术将会失败。

鉴于ＮＡＴＢｌａｓｔｅｒ上述的不足，文中改进了ＮＡＴＢｌａｓｔｅｒ技术并提出了如图３所示的打洞技术，新的打洞技术的具体步骤如下：第一步，Ｃｌｉｅｎｔ　Ａ发送ＳＹＮ［５］数据包给Ｃｌｉｅｎｔ　Ｂ，但此ＳＹＮ数据包应具有适当的ＴＴＬ值，使得此数据包会通过ＮＡＴ　Ａ而不会到达ＮＡＴ　Ｂ，这样就简单地完成了对ＮＡＴ　Ａ的打洞：ＮＡＴ　Ａ将允许来自于Ｃｌｉｅｎｔ　Ｂ的数据包ＳＹＮ通过。

第二步，ＮＡＴ　Ａ／Ｂ会收到ＩＣＭＰ差错包后简单地丢弃。

第三步，Ｃｌｉｅｎｔ　Ｂ首先发送ＳＹＮ包给Ｃｌｉｅｎｔ　Ａ，进行ＴＣＰ连接的三次握手；最终在Ｃｌｉｅｎｔ　Ａ和Ｂ间成功建立直接的ＴＣＰ连接。

新技术第一步中由于发送的ＳＹＮ包带有适当的ＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）值，所以ＮＡＴ　Ａ不会收到ＲＳＴ应答包，而仅仅是收到ＩＣＭＰ　ＴＴＬ超时差错包，这样就保证了在ＮＡＴＡ上打的洞的正常打开状态，从而保证了ＮＡＴ穿越的成功。

另外，对于适当的ＴＴＬ值，通过使用类似Ｔｒａｃｅｒｏｕｔｅｒ［２］的技术可以获得。

在具体的实现中可以通过ｓｅｔｓｏｃｋｏｐｔ（）函数来设置每一次测试的ＴＴＬ值，不过在ＴＣＰ连接建立以后一定要把ＴＴＬ值恢复到默认值，这样才能保证后续的数据包正确地到达目的地。

在ＮＡＴＢｌａｓｔｅｒ技术中，由于发送的ＳＹＮＡＣＫ包带有对上一次对方发送的ＳＹＮ包的确认，所以其中包括了对方ＳＹＮ包的序列号，然而在技术设计上没有让ＳＹＮ包到达对方客户机。

因此必须采取一种策略使得双方Ｃｌｉｅｎｔ在发送ＳＹＮＡＣＫ包之前都能够获得对方上次发送的ＳＹＮ包的序列号。

ＮＡＴＢｌａｓｔｅｒ采用了ｌｉｂｐｃａｐ库来侦听已发送ＳＹＮ包的序列号，并通过ＳＴＵＮＴ服务器交换Ｃｌｉｅｎｔ双方的ＳＹＮ包序列号，而且ｌｉｂｐｃａｐ库的使用还要求用户的管理员权限级别。

合集下载

总结 nat 技术原理及其在实际应用中的优缺点

总结 nat 技术原理及其在实际应用中的优缺点

总结nat技术原理及其在实际应用中的优缺点NAT（网络地址转换）技术原理是将私有IP地址转换为公有IP 地址，使得内部网络的设备可以通过NAT网关访问外部网络。

NAT网关根据端口号将内部网络的私有IP地址和端口号转换为外部网络的公有IP地址和端口号，实现内部网络与外部网络之间的通信。

在实际应用中，NAT技术的优点包括：
1.节省IP地址：NAT技术可以将多个内部网络的私有IP地址映射到一个公有IP地址，从而节省了IP地址的使用。

2.提高安全性：NAT技术隐藏了内部网络的真实IP地址，使得外部网络无法直接访问内部网络的设备，提高了网络的安全性。

3.方便远程访问：通过NAT技术，内部网络的设备可以使用外部网络的公有IP地址访问外部网络，无需进行手动配置，提高了远程访问的便利性。

然而，NAT技术也存在一些缺点：
1.延迟增加：由于NAT设备需要检查和修改数据包中的IP地址，因此会增加网络延迟和降低网络性能。

2.应用限制：某些应用程序需要直接访问计算机的IP地址，而NAT会隐藏计算机的真实IP地址，导致这些应用程序无法正常工作。

3.配置复杂度：NAT设备的配置相对复杂，需要专业人员进行操作，增加了网络管理的复杂度。

4.端口限制：NAT技术通常使用端口号进行转换，因此受到端口号的限制，可能无法满足大规模的网络通信需求。

综上所述，NAT技术在节省IP地址、提高安全性和方便远程访问等方面具有优势，但也存在增加延迟、应用限制、配置复杂度和端口限制等缺点。

在实际应用中，需要根据具体情况选择是否使用NAT 技术。

NAT穿透技术穿透原理和方法详解

NAT穿透技术穿透原理和方法详解

NAT穿透技术穿透原理和方法详解NAT（Network Address Translation）是一种将私有网络中的IP地址转换为公网IP地址的技术。

它的主要作用是解决了IPv4地址资源不足的问题，同时也提供了一定程度的网络安全保护。

然而，NAT也带来了一些问题，其中最显著的就是它在一些情况下会阻碍对私有网络中主机的远程访问。

为了解决NAT对远程访问的限制，出现了NAT穿透技术。

NAT穿透技术允许位于私有网络中的主机与公网上的主机建立直接的连接，从而使得私有网络中的主机可以被公网上的主机访问到。

下面详细介绍NAT穿透技术的实现原理和具体方法。

一、NAT穿透的原理：私有网络中的主机首先与穿透服务器建立连接，并将本地IP和端口号发送给穿透服务器。

穿透服务器将这些信息记录下来并分配一个公网IP和端口号。

对于公网上的主机来说，私有网络中的主机就像一个虚拟的公网主机一样可直接访问。

同时，私有网络中的主机也可以主动发起连接到公网上的主机。

私有网络中的主机相当于是通过穿透服务器将自己的通信请求“穿透”了NAT 防火墙，直接到达公网上的主机。

二、NAT穿透的方法：1.端口映射：端口映射是最常见和简单的NAT穿透方法之一、私有网络中的主机将本地的端口号映射到公网IP的一些端口上，然后通过穿透服务器将请求转发到该端口上，从而实现私有网络中主机的远程访问。

2.中继服务器：中继服务器是一种在公网上与私有网络中的主机建立连续连接的方法。

私有网络中的主机首先连接到中继服务器，然后公网上的主机也连接到中继服务器，中继服务器将两端的请求进行转发，从而实现私有网络中的主机和公网上的主机直接通信。

3.UDP打洞：UDP打洞是一种通过UDP协议来穿透NAT防火墙的方法。

私有网络中的主机先向公网主机发送一个UDP数据包，公网主机也向私有网络的主机发送UDP数据包，通过这两个数据包的发送和接收，NAT防火墙会记录下私有网络中主机的IP和端口号，从而实现两者之间的直接通信。

ipsec nat穿越原理

ipsec nat穿越原理

IPsec NAT穿越原理什么是IPsec？IPsec（Internet Protocol Security）是一种网络协议，用于在IP网络上提供安全的数据传输。

它通过加密和认证机制来保护数据的完整性、机密性和身份验证。

IPsec可以在两个主机之间或两个子网之间建立安全的通信链路。

它可以用于远程访问VPN（Virtual Private Network）连接、站点到站点VPN连接以及移动设备的安全通信。

为什么需要NAT穿越？NAT（Network Address Translation）是一种网络技术，用于将私有IP地址转换为公共IP地址，以实现多个设备共享同一个公网IP地址。

然而，由于NAT会改变IP头部信息，导致加密后的数据包无法正确解析。

这就给使用IPsec进行加密通信的应用程序带来了困扰。

因此，需要一种方法来克服NAT 对IPsec的限制，实现安全的通信。

IPsec NAT穿越原理1. NAT Traversal为了解决NAT对IPsec的限制问题，提出了NAT Traversal技术。

NAT Traversal 允许在经过NAT设备时建立和维护安全通道。

a. UDP封装NAT Traversal使用UDP封装技术将原始的IPsec数据包封装在UDP数据包中。

由于UDP是一种无连接的协议，它可以通过NAT设备传输到目标主机。

在发送IPsec数据包之前，发送方会将IPsec数据包封装在UDP数据包中，并将目的端口设置为特定的值（通常是4500）。

这样，NAT设备就会将整个UDP数据包转发到目标主机。

b. NAT检测NAT Traversal还引入了一种称为”keepalive”的机制来检测是否经过了NAT设备。

当IPsec设备与对等方建立连接时，它会周期性地向对等方发送keepalive消息。

如果对等方收到了keepalive消息，则说明没有经过NAT设备。

如果对等方未收到keepalive消息，则说明可能经过了NAT设备，并且需要使用UDP封装技术。

NAT_T实现IPSEC穿越NAT的全面分析

NAT_T实现IPSEC穿越NAT的全面分析

50２００５．８网络安全网络安全技术与应用０　引言ＩＰＳＥＣ作为网络实时通信的安全协议，已经成为ＩＮＴＥＲＮＥＴ的实际安全标准；而ＮＡＴ也有效解决了目前ＩＰＶ４地址的严重不足。

当ＩＰＳＥＣ数据包穿越ＮＡＴ设备时，会产生严重的兼容性问题。

ＮＡＴ－Ｔ（ＮＡＴ－Ｔｒａｖｅｒｓａｌ）是目前较为流行的一种解决两者兼容性问题的方案，并越来越被广泛采用。

１　ＩＰＳＥＣ、ＮＡＴ工作原理１．１　ＩＰＳＥＣＩＰＳＥＣ是ＩＥＴＦ制定的保障ＩＮＴＥＲＮＥＴ通信安全的标准。

该标准主要由安全协议ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）和ＥＳＰ（ＥｎｃａｐｓｕｌａｔｉｎｇＳｅｃｕｒｉｔｙ　Ｐａｙｌｏａｄ），密钥交换协议ＩＫＥ（Ｉｎｔｅｒｎｅｔ　Ｋｅｙ　Ｅｘｃｈａｎｇｅ）两大部份组成。

为在Ｉｎｔｅｒｎｅｔ上进行数据通讯的用户提供加密、数据完整性、认证ＩＰ报文及防止重放攻击等安全服务。

ＩＰＳＥＣ规范定义了两种保护通信数据包的模式：传输模式（Ｔｒａｎｓｐｏｒｔ　Ｍｏｄｅ）：在数据包的ＩＰ报头和其余部分之间插入ＩＰＳＥＣ信息。

图１　传输模式隧道模式（Ｔｕｎｎｅｌ　Ｍｏｄｅ）：保留原有的ＩＰ数据包，然后在数据包外面封装新的ＩＰ报头和ＩＰＳＥＣ信息。

图２　隧道模式１．２　ＮＡＴ（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｉｏｎ）ＮＡＴ是为了缓解日益紧张的Ｉｎｔｅｒｎｅｔ公网地址匮乏的问题，而采用的一种将内部私有网络ＩＰ地址映射为外部公网ＩＰ地址的技术标准。

主要可以划分为静态ＮＡＴ，动态ＮＡＴ和网络地址端口转换ＮＡＰＴ三种类型。

其基本工作原理（以ＮＡＰＴ为例）为：ＮＡＴ设备接受内部主机的数据包，将该包的内部ＩＰ地址和ＴＣＰ／ＵＤＰ端口号转换为自身的公网ＩＰ地址和特定的端口号，然后将数据包送往目标主机；同时，将此映射关系存表。

当ＮＡＴ收到目标主机的应答后，查表，修改目标主机的ＩＰ地址和端口号并回送给相应的客户端。

２　ＩＰＳＥＣ、ＮＡＴ的兼容性问题ＩＰＳＥＣ和ＮＡＴ的设计思想存在矛盾。