下载文档原格式
50２００５．８网络安全网络安全技术与应用０ 引言ＩＰＳＥＣ作为网络实时通信的安全协议，已经成为ＩＮＴＥＲＮＥＴ的实际安全标准；而ＮＡＴ也有效解决了目前ＩＰＶ４地址的严重不足。
当ＩＰＳＥＣ数据包穿越ＮＡＴ设备时，会产生严重的兼容性问题。
ＮＡＴ－Ｔ（ＮＡＴ－Ｔｒａｖｅｒｓａｌ）是目前较为流行的一种解决两者兼容性问题的方案，并越来越被广泛采用。
１ ＩＰＳＥＣ、ＮＡＴ工作原理１．１ ＩＰＳＥＣＩＰＳＥＣ是ＩＥＴＦ制定的保障ＩＮＴＥＲＮＥＴ通信安全的标准。
该标准主要由安全协议ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）和ＥＳＰ（ＥｎｃａｐｓｕｌａｔｉｎｇＳｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ），密钥交换协议ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）两大部份组成。
为在Ｉｎｔｅｒｎｅｔ上进行数据通讯的用户提供加密、数据完整性、认证ＩＰ报文及防止重放攻击等安全服务。
ＩＰＳＥＣ规范定义了两种保护通信数据包的模式：传输模式（Ｔｒａｎｓｐｏｒｔ Ｍｏｄｅ）：在数据包的ＩＰ报头和其余部分之间插入ＩＰＳＥＣ信息。
图１ 传输模式隧道模式（Ｔｕｎｎｅｌ Ｍｏｄｅ）：保留原有的ＩＰ数据包，然后在数据包外面封装新的ＩＰ报头和ＩＰＳＥＣ信息。
图２ 隧道模式１．２ ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）ＮＡＴ是为了缓解日益紧张的Ｉｎｔｅｒｎｅｔ公网地址匮乏的问题，而采用的一种将内部私有网络ＩＰ地址映射为外部公网ＩＰ地址的技术标准。
主要可以划分为静态ＮＡＴ，动态ＮＡＴ和网络地址端口转换ＮＡＰＴ三种类型。
其基本工作原理（以ＮＡＰＴ为例）为：ＮＡＴ设备接受内部主机的数据包，将该包的内部ＩＰ地址和ＴＣＰ／ＵＤＰ端口号转换为自身的公网ＩＰ地址和特定的端口号，然后将数据包送往目标主机；同时，将此映射关系存表。
当ＮＡＴ收到目标主机的应答后，查表，修改目标主机的ＩＰ地址和端口号并回送给相应的客户端。
２ ＩＰＳＥＣ、ＮＡＴ的兼容性问题ＩＰＳＥＣ和ＮＡＴ的设计思想存在矛盾。
基于混合式P2P网络UDP下NAT穿越方案的研究与设计的开题报告一、选题背景现代互联网通信技术已经广泛应用于个人之间的通信、商务交流、娱乐活动等方面，并且随着云计算、物联网等技术的发展，其应用范围和数量正在不断扩大。
在这一过程中，P2P网络作为一种高效的传输技术，在实际应用中也得到了广泛的应用。
然而，P2P网络在穿越NAT静态或动态网络环境下面临着很大的困难。
二、选题目的与意义本论文旨在从理论和实践两个方面，研究和设计一种基于混合式P2P网络UDP下NAT穿越方案。
该方案的出现，将有助于解决P2P网络在穿越NAT环境时出现的问题，提高P2P网络的应用范围和效率。
三、主要研究内容1.研究混合式P2P网络模式及其原理，了解其工作机制和优势，为后续研究提供理论基础。
2.探究UDP通信协议在NAT网络环境下的挑战，以及常见的NAT穿透技术，如STUN、TURN、ICE等原理和应用方式。
3.设计一种基于混合式P2P网络UDP下NAT穿越方案，旨在解决P2P网络在穿越NAT环境时出现的问题。
4.实验验证该方案在实际场景下的性能以及可行性，并且对应用场景进行探索和分析。
四、研究方法1.文献研究法：通过查阅相关学术文献和网络资源，了解混合式P2P 网络UDP下NAT穿透方面的最新研究成果和思路。
2.实验方法：通过实验验证方案的性能及可行性，同时对应用场景进行探索和分析。
五、预期成果1.设计出一种基于混合式P2P网络UDP下NAT穿越方案，并且验证其在实际场景下的性能和可行性。
2.提出一种完善的应用场景，分析该方案应用具体场景的优势和效果。
3.在论文研究过程中，对混合式P2P网络和NAT穿透技术等相关领域的研究和发展提供指导和建议。
六、论文结构1.基础知识部分：介绍混合式P2P网络、UDP协议和NAT穿透技术的相关知识。
2.相关研究部分：探究混合式P2P网络UDP下NAT穿透方案的研究现状，并分析优缺点。
3.基于混合式P2P网络UDP下NAT穿透方案的设计：详细阐述设计方案的原理，包括选择合适的通信协议、实现NAT穿透、服务器部署等。
信息安全与通信保密・2008.4学术研究A c a d e 47马义涛，薛质，王轶骏（上海交通大学信息安全工程学院，上海 ２００２４０）【摘 要】论文主要论述了ＮＡＴ原理和基于ＴＣＰ协议的ＮＡＴ穿越技术的原理，主要分析了一种最简单但最健壮且实际有效的穿越ＮＡＴ技术，也就是ＴＣＰ打洞技术［６］。
文章在分析目前常用的ＴＣＰ打洞技术（例如ＮＡＴＢｌａｓｔｅｒ［４］）的基础上，提出了一种新的ＴＣＰ打洞技术。
新技术的穿越成功率比以往技术提高了５％。
【关键词】网络穿越；打洞技术；ＮＡＴ；Ｐ２Ｐ［７］；ＳＴＵＮＴ［３］【中图分类号】ＴＰ３０９ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００８） ０４－００４７－０３Study and Analysis on TCP Traversal through NAT *MA Yi-tao, XUE Zhi, W ANG Yi-jun(Institute of Information Security Engineering, Shanhai Jiaotong University, Shanghai 200240, China)【Abstract 】The principles of both Network Address Translation(NAT) and NAT Traversal techniques based on TCP protocol are described in this paper. The paper focuses on a simple but robust NAT Traversal technique, which is known as "TCP Hole Punching". In addition, this paper analyzes some defects of the currently used "TCP Hole Punching", i.e.NATBalster [4], and provides some improved methods toward them. The success rate is increased by 5 percent.【Keywords 】TCP traversal; hole punching; network address translator; peer to peer; STUNT关于ＴＣＰ穿越ＮＡＴ技术的研究与分析＊０ 引言Ｐ２Ｐ技术使得网络上的资源得到充分的利用和最大化的共享，从而Ｐ２Ｐ应用也得到了快速发展，主要表现在实时通信、协同工作、内容分发和分布式计算等各个领域。
P2P网络通信中NAT穿越技术的研究及实现P2P网络通信中，NAT（网络地址转换）是一个经典的问题。
由于大多数用户都位于防火墙后面并尝试与其他用户通信，因此NAT穿透技术成为了P2P网络通信的必要条件。
本文将介绍关于P2P网络通信中NAT穿越技术的研究及其实现。
NAT穿透技术通过各种技术手段，使得两个设备都能够进行P2P通信，即使它们位于不同的内部网络中。
最常见的NAT 类型是家庭中典型的家庭路由器，这些路由器使NAT成为P2P通信的主要障碍。
当设备连接到家庭路由器时，路由器将分配一个本地IP地址（例如192.168.1.1），并将其与Internet 上的唯一IP地址相关联。
当前，P2P通信中NAT穿透技术有以下实现：1.端口映射技术这是最常见的NAT穿透技术。
当一个设备试图与其他用户通信时，它尝试打开一个本地端口，并将该端口映射到Internet 上一个唯一的IP地址。
然后，远程用户可以使用该唯一IP地址和相应的端口来建立连接。
2.反向连接技术这种技术允许NAT防火墙控制的设备向外部设备发起连接。
当远程设备试图与NAT设备进行通信时，NAT设备将打开一个本地端口，并将其映射到一个公共IP地址。
远程设备的连接将被路由到该本地端口上。
3.中转服务器技术这种技术需要一个中介服务器来充当两个设备之间的桥梁。
当P2P通信设备之间存在一些NAT限制时，数据将通过中介服务器进行传输。
虽然这种技术可以轻松地克服NAT限制，但它需要更高的带宽，因此可能会增加整体通信的延迟。
在实际应用过程中，NAT穿透技术可以通过TCP / UDP协议，STUN / TURN服务以及ICE框架等来实现。
ICE (Interactive Connectivity Establishment)是一种计算机网络协议，在WebRTC、P2P网络通信中被广泛使用。
ICE协议在允许P2P通信的同时，允许两个设备在没有额外的服务器的情况下相互连接。
P2P中的NAT穿越方案简介1P2P简介P2P即点对点通信，或称为对等联网，与传统的服务器客户端模式有着明显的区别，传统的服务器客户端模型如图2所示。
P2P这一术语在不同的上下文环境里可能有不同的内涵，它可以指一种通信模式、一种逻辑网络模型、一种技术、甚至一种理念。
在P2P网络中如图1所示，所有通信节点的地位都是对等的，每个节点都扮演着客户机和服务器双重角色，节点之间通过直接通信实现文件信息、处理器运算能力、存储空间等资源的共享。
P2P网络具有分散性、可扩展性、健壮性等特点，这使得P2P技术在信息共享、实时通信、协同工作、分布式计算、网络存储等领域都有广阔的应用。
图1 P2P结构模型图2 CS模式2NAT简介目前，IPv4地址资源的紧缺使得NAT技术获得了广泛的应用。
NAT技术是一种把内部网络（简称为内网）私有IP地址转换为外部网络（简称为外网）公共IP地址的技术，它使得一定范围内的多台主机只利用一个公共IP地址连接到外网，可以在很大程度上缓解了公网IP地址紧缺的问题。
3NAT对P2P通信的影响NAT技术虽然在一定程度上解决了IPv4地址短缺的问题，在构建防火墙、保证网络安全方面都发挥了一定的作用，却破坏了端到端的网络通信。
NAT阻碍主机进行P2P通信的主要原因是NAT不允许外网主机主动访问内网主机，因为NAT设备上没有相关转发表项，要在NAT网络环境中进行有效的P2P通信，就必须寻找相应的解决方案。
本文就着重介绍几种常见的解决方案。
4P2P穿越NAT的几种方案4.1反向链接技术当通信的双方中只有一方位于NAT之后时，它们可以利用反向链接技术来进行P2P通信。
图3中Client A（拥有内网IP地址10.0.0.1）位于NAT之后，它通过TCP端口1234连接到服务器（拥有外网IP地址）的TCP端口1235上，NAT设备（拥有外网IP地址155.99.25.11）为这个连接重新分配了TCP端口62000。
NAT穿越技术研究及实现NAT（Network Address Translation，网络地址转换）是一种网络技术，通常用于将私有网络中的IP地址转换为公共网络的IP地址，以便实现与公共网络的通信。
然而，在一些情况下，需要在私有网络中的主机之间直接通信，而不经过NAT设备的转换。
这就需要使用NAT穿越技术。
在实现NAT穿越技术时，主要有以下几种方法：1.反向连接：这种方法是在私有网络中的主机主动向公共网络中的主机发送连接请求，然后公共网络中的主机再发起一个反向的连接请求来建立连接。
这种方法可以绕过NAT设备的转换，但需要公共网络中的主机能够接受外部连接。
2.中继服务器：这种方法是在公共网络中设置一个中继服务器，私有网络中的主机通过中继服务器进行通信。
中继服务器充当了一个桥梁的角色，可以帮助私有网络中的主机建立直接的点对点连接。
这种方法需要有一个可信赖的中继服务器，并增加了网络延迟。
3.UDP打洞：这种方法是利用UDP协议的一些特性，通过在NAT设备上生成映射规则，使私有网络中的主机能够直接与公共网络中的主机通信。
具体步骤是，私有网络中的主机发送一个UDP包给公共网络中的主机，此时NAT设备会生成一条映射规则，将公共网络中的数据包转发到私有网络中的主机。
1.NAT设备的类型：不同的NAT设备采用不同的转换规则，因此在实现NAT穿越技术时，需要针对特定类型的NAT设备设计相应的解决方案。
2.端口映射：NAT设备通常会对IP地址和端口进行映射转换。
在实现NAT穿越技术时，需要确定私有网络中的主机的公共网络端口是如何映射到私有网络中的端口的。
3.安全性：NAT穿越技术涉及到跨越网络边界的通信，因此需要考虑安全性的问题。
在设计和实现NAT穿越技术时，需要采取相应的安全措施，以确保通信的安全性和可靠性。
总之，NAT穿越技术是一种允许私有网络中的主机直接通信的技术。
它可以通过反向连接、中继服务器、UDP打洞等方法实现。
IPSec协议穿越NAT方案的VPN研究与改进的开题报告一、选题背景VPN（Virtual Private Network）是在公有网络上建立一个虚拟专用网络，使得不同的企业、部门、甚至个人用户都能通过VPN安全地访问互联网以及企业内部局域网（LAN）。
常见的VPN协议有PPTP、L2TP、IPSec等。
IPSec协议是一种常用的VPN协议，它提供了IP层面的信息加密和认证机制，保证了数据包传输的安全性和数据的完整性。
然而，在使用IPSec协议实现VPN时，由于网络中存在NAT设备，导致IPSec协议无法正确地处理加密和认证信息，从而使得VPN 的建立无法成功。
因此，在实际的VPN应用中，如何通过NAT设备，实现IPSec协议的正确传输和处理，成为了一个重要的研究课题。
二、选题意义1. 实现VPN加密传输随着互联网的普及和发展，网络中攻击和窃听行为也越来越多，而VPN的加密传输机制可以有效地保障用户的数据安全，防止隐私泄漏。
2. 扩大VPN的应用范围目前，由于NAT设备的存在，VPN的应用范围受限。
通过研究如何穿越NAT设备，可以扩大VPN的应用范围，为用户提供更广泛的VPN服务。
3. 促进VPN的发展VPN作为网络安全技术中的重要一环，其发展对于网络安全具有重要意义。
通过研究和改进IPSec协议穿越NAT方案，可以促进VPN技术的发展和进一步完善。
三、研究内容和技术路线1. 研究IPSec协议在NAT设备背景下的问题由于NAT设备对于IPSec协议的影响，会导致VPN无法建立，因此需要深入分析IPSec协议在NAT设备背景下的应用，寻找解决方案。
2. 探究基于NAT的IPSec传输方案针对IPSec协议在NAT设备下的无法传输的问题，需要研究如何利用NAT设备，实现IPSec协议的正确传输和处理，以此建立VPN连接。
3. 设计、实现和测试基于NAT的IPSec传输方案根据前期研究的成果，设计、实现和测试基于NAT的IPSec传输方案，验证其可行性和有效性。
0引言最近几年，对等网络(peer-to-peer ，P2P )迅速成为计算机界关注的热门话题之一，财富杂志更将P2P 列为影响Internet 未来的4项科技之一。
目前，越来越多的用户在使用对等网络应用如即时通信的ICQ 、Yahoo Messenger 、MSN Messenger 以及国内的QQ 等，实时比赛和游戏，项目组内协作以及与其它人共享文件如eDonkey 、eMule 、BT 等，内容分发，分布式计算。
P2P 打破了传统的Client/Server 模式，在网络中的每个结点的地位都是对等的[1]。
每个结点既充当服务器，为其它结点提供服务，同时也享用其它结点提供的服务。
网络地址转换(network address translation ，NAT )是一个In-ternet 工程任务组(internet engineering task force ，IETF )标准，允许一个整体机构以一个公用IP (internet protocol )地址出现在In-ternet 上。
它是一种把内部专有域网络地址(IP 地址)翻译成合法网络IP 地址的技术。
NAT 功能通常被集成到路由器、防火墙、ISDN 路由器或者单独的NAT 设备中。
NAT 能解决IP 地址紧缺的问题，而且能使得内外网络隔离，提供一定的网络安全保障[2]。
它解决问题的办法是：在内部网络中使用内部地址，通过NAT 把内部地址翻译成合法的IP 地址在Internet 上使用。
但是随着对等网络技术的广泛应用，越来越多的局域网主机参与到对等网络中来。
而NAT 之后的主机IP 地址是私有域地址(简称内网)，例如10.0.0.0~10.255.255.255，172.16.0.0~172.16.255.255，192.168.0.0~192.168.255.255，这些地址在因特网上是不能被识别或直接使用的。
因此，因特网上主机不能主动访问NAT 之后的主机，而位于不同NAT 之后的主机之间更是无法相互识别而不能直接交换信息。
而对等网络通信的最重要的特性就是任何主机能够对等通信，因而在对等网络中必须解决穿透NAT 实现双向对等通讯的问题。
1P2P 与NAT 原理1.1P2P 网络P2P 技术不仅为个人用户提供了前所未有的自由和便利，收稿日期：2007-06-03E-mail ：lyyl2322@基金项目：国家863高技术研究发展计划基金项目(2007AA010503)；哈尔滨工业大学(威海)校研究基金项目(HIT (WH )200702)。
作者简介：刘扬(1972－)，男，陕西武功人，硕士，讲师，研究方向为计算机网络安全、协议分析及安全保障；董开坤(1969－)，男，博士，副教授，研究方向为高性能计算、网络安全；刘杨(1978－)，女，硕士，助教，研究方向为计算机网络安全；迟乐军(1955－)，男，教授，研究方向为计算机理论及应用。
对等网络中穿越NAT 解决方案的研究刘扬，董开坤，刘杨，迟乐军(哈尔滨工业大学(威海)计算机科学与技术学院，山东威海264209)摘要：网络通信的发展极其迅速，与传统通信一样，P2P 通信同样受到NAT 穿越问题的制约。
针对对等网络在NAT 上进行穿越的问题，分析了对等网络通信受到NAT 影响的原因，提出了一种检测NAT 类型的方法。
在该方法的基础上，对基于锥型网络地址转换和对称型网络地址转换的P2P 网络穿越NAT 过程进行了分析，对现有的穿越方案进行了总结，并提出了一种综合解决方案。
关键词：对等网络;网络地址转换;锥型网络地址转换;对称型网络地址转换;穿越网络地址转换中图法分类号：TP393.08文献标识码：A文章编号：1000-7024(2008)06-1311-05Research on solution method of NAT hole punching of P2PLIU Yang,DONG Kai-kun,LIU Yang,CHI Le-jun(Department of Computer Science and Technology,Harbin Institute of Technology,Weihai 264209,China )Abstract ：As traditional communication the network communication is now in rapid development,and P2P communication is also face the problem of NAT hole punching,aimed at this problem the reason why network address translation affect the P2P network communi-cation is analyzed and the method to check the type of network address translation is proposed.Based on this method some analysis on the hole punching process of clone network address translation and symmetric network address translation is made,the existing hole pun-ching methods is summarized and one comprehensive solution method is proposed.Key words ：peer to peer;network address translation;clone network address translation;symmetric network address translation;network address translation hole punching2008年3月计算机工程与设计Mar.2008第29卷第6期Vol.29No.6Computer Engineering and Design同时也试图有效地整合互联网的潜在资源，将基于网页的互联网转变成动态存取、自由交互的海量信息网络。
P2P 网络是一种具有较高扩展性的分布式系统结构，其对等概念是指网络中的物理节点在逻辑上具有相同的地位，而并非处理能力的对等。
P2P 系统最大的特点就是用户之间直接共享资源，其核心技术就是分布式对象的定位机制，这也是提高网络可扩展性、解决网络带宽被吞噬的关键所在。
迄今为止，P2P 网络已经历了3代不同网络模型，包括以Napster 为代表的集中式目录结构、以Gnutella 为代表的查询洪泛方式以及最流行的P2P 软件之一的KaZaa 为代表的半分布式结构。
根据CA 公司统计，全球KaZaa 的下载量超过2.5亿次。
使用KaZaa 软件进行文件传输消耗了互联网40%的带宽[3]。
之所以它如此的成功，是因为它结合了Napster 和Gnutella 共同的优点。
P2P 技术的发展以及P2P 与网格技术的结合，将影响整个计算机网络的概念和人们的信息获取模式，P2P 已成为互联网内容发展的重点方向。
1.2NAT 原理NAT 通过网络地址翻译在两个地址域(外网和内网)之间进行地址的翻译和映射。
NAPT (network address/port transla-tion )，在地址翻译的基础上，还需要进行端口的映射。
不同的应用协议(如HTTP 、FTP 等)，采用不同的TCP 或者UDP 端口[4]。
在很多情况下，映射不但是地址映射也是端口的映射。
如图1所示。
NAT 内网IP 地址为10.0.0.4，外网地址为138.76.29.7；内网中IP 为10.0.0.1端口3345的A 主机要通过NAT 访问外网IP 为128.119.40.186端口80的B 主机。
主机A 将源IP ：10.0.0.1源端口3345目的IP ：128.119.40.186目的端口80的分组发送到10.0.0.4上，由NAT 更改分组源IP 为外网IP ：138.76.29.7并动态分配源端口5001，同时在其NAT 翻译表中为该分组登记一条从内网到外网的映射，10.0.0.1：3345←→138.76.29.7：5001，主机A 发送的分组经过NAT 转发变成了源IP ：138.76.29.7源端口5001目的IP ：128.119.40.186目的端口80的分组，该分组已经成为能被主机B 识别的分组。
当从主机B 响应分组到达138.76.29.7时，通过查找NAT 翻译表的映射关系，就可以将信息递交到主机A 上。
2对等网络通过NAT 通信存在的问题虽然NAT 技术使得局域网的用户可以共享一个IP 地址访问Internet ，节省了IP 地址，同时也起到了防火墙的作用。
但NAT 的存在给对等网络应用也带来了问题，因为NAT 不允许外部主机主动访问内部主机[5]。
这种局限性却不适合对等网络应用的需要，主要存在的问题表现在：内网主机的IP 地址是私有地址，它们在Internet 上是无效的，如果发送方B 位于外网，NAT 又尚未给位于内网的接收方A 分配公有地址，此时发出的数据包将无法送达对方；如果发送方B 位于某NAT 之后，接收方A 位于另一NAT 之后，由于A 与B 相互都不具有外网IP ，因而无法相互通信；即使内网主机的IP 地址已知，NAT 仍然阻止外网主机主动访问内网主机；内网主机可以作为客户机访问外网，但不能作为服务器向外网提供服务；对于一个ISP 来说，用户的企业网络或者家庭网络可以不直接接入外网，而是接入一个ISP 自己的网络。
这个ISP的网络相对于In-ternet 来说，这个网络是一个“更大”的内网，而相对于连接到其上的企业网/家庭网络来说，又相当于一个外网。
这样做的好处是可以保证更好的管理和安全性，同时也更加节约公共IP 地址。
但是对于NAT 穿越来说，则增加了更多的困难和问题的复杂性[6]。
上述这些问题阻碍了对等网络应用，如果不能够穿过NAT ，对等网络就无法实现真正的对等，也就无法实现所有信息的交换或共享。
3NAT 穿越原理NAT 能解决IP 地址紧缺的问题，而且能使得内外网络隔离，提供一定的网络安全保障，但NAT 的特点决定了只能由NAT 内的计算机主动向NAT 外部的主机发起连接，外部的主机想直接和NAT 内的计算机直接建立连接是不被允许的，这意味着由于NAT 内的计算机和NAT 外的计算机只能通过服务器中转数据来进行通讯。
