智汇华云|VPP全锥型NAT实现

如梦境

　　
　　
　　本期智汇华云，华云数据特别邀请到华云数据网络组开发工程师许猛为大家带来“VPP全锥型NAT实现”。
　　
　　内容介绍
　　
　　在现实Internet网络环境中，大多数计算机主机都位于防火墙或NAT之后，只有少部分主机能够直接接入Internet。很多时候，我们希望网络中的两台主机能够直接进行通信，即所谓的P2P通信，而不需要其他公共服务器的中转。由于主机可能位于防火墙或NAT之后，在进行P2P通信之前，我们需要进行检测以确认它们之间能否进行P2P通信以及如何通信。这种技术通常称为NAT穿透（NATTraversal）。最常见的NAT穿透是基于UDP的技术，如RFC3489中定义的STUN协议。
　　
　　RFC5780为了检测NAT类型，对NAT定义了三种映射规则Mapping跟Filtering，组合形成9种类型，包含RFC3489种定义的4种类型：FullConeNAT、RestrictedConeNAT、PortRestrictedConeNAT、SymmetricNAT。
　　
　　根据NAT实现原理，对称NAT安全性最高，全锥形NAT安全性最低，这也意味着对称NAT实现P2P条件最苛刻。VPP作为网络转发平面，VPP默认支持对称型NAT，要实现P2P必须要求对方为全锥形NAT，在现实网络环境中，网络路径中几乎不存在，为了最大程度支持P2P，VPP实现全锥形NAT，这种模式下，很适合类似视频推流里P2P。
　　
　　NAT类型分类
　　
　　RFC3489NAT的UDP的实现方式有4种类型：
　　
　　FullConeNAT：
　　
　　完全锥形NAT，所有从同一个内网IP和端口号发送过来的请求都会被映射成同一个外网IP和端口号，并且任何一个外网主机都可以通过这个映射的外网IP和端口号向这台内网主机发送包。
　　
　　        RestrictedConeNAT：
　　
　　限制锥形NAT，它也是所有从同一个内网IP和端口号发送过来的请求都会被映射成同一个外网IP和端口号。与完全锥形不同的是，外网主机只能够向先前已经向它发送过数据包的内网主机发送包。
　　
　　        PortRestrictedConeNAT：
　　
　　端口限制锥形NAT，与限制锥形NAT很相似，只不过它包括端口号。也就是说，一台IP地址X和端口P的外网主机想给内网主机发送包，必须是这台内网主机先前已经给这个IP地址X和端口P发送过数据包。
　　
　　        SymmetricNAT：
　　
　　对称NAT，所有从同一个内网IP和端口号发送到一个特定的目的IP和端口号的请求，都会被映射到同一个IP和端口号。如果同一台主机使用相同的源地址和端口号发送包，但是发往不同的目的地，NAT将会使用不同的映射。此外，只有收到数据的外网主机才可以反过来向内网主机发送包。
　　
　　RFC5780中9种NAT类型：
　　
　　
　　
　　下面介绍一种MappingBehavior（映射规则）和FielteringBehavior（过滤规则）：
　　
　　MappingBehavior：
　　
　　Endpoint-IndependentMapping：
　　
　　对于一个内网的EedpointP，其对应的外网EndpointG是基本固定的，不会随着通讯外部主机的不同而变化。
　　
　　FilteringBehavior：
　　
　　Endpoint-IndependentFiltering：
　　
　　对于这种过滤型，NAT在主机的一个外网EndpointG1收到包，只要找到与之对应的内网EndpointP1，NAT就会转发这个资料包给相应的内网EndpointP1，不管这个资料包的来源是哪里。（安全性最低，穿透性最高）
　　
　　VPPFullConeNAT
　　
　　VPP通过三元组（其实是四元组，fib用来做）记录内网IP跟出口网关的对应关系以及协议，而不记录对端IP以及PORT，所以回程不会检查过滤源IP及PORT。
　　
　　简化版NAT报文处理流程如下，文件in2out.cout2in.c：
　　
　　1、内网发起的对外请求
　　
　　2、查找user的in2out表，如果不存在则根据映射算法计算出NAT转换后的IP、PORT，建立转换关系in2out以及out2in表
　　
　　3、根据映射关系替换原始包头的IP、PORT重新计算校验和
　　
　　4、发送报文
　　
　　5、外网回复报文，进入到out2in流程，查找out2in表，找到对应映射关系
　　
　　6、根据映射关系替换原始包头的IP、PORT重新计算校验和
　　
　　7、接受报文
　　
　　8、发送给内网地址
　　
　　In2out处理简化流程：
　　
　　
　　
　　Out2in处理流程：