P2P中的NAT穿越方案

左手的ㄟ右手 2022-01-21 03:51 270阅读 0赞

##     ##

王军

# P2P简介 #

P2P即点对点通信，或称为对等联网，与传统的服务器客户端模式（如左图所示）有着明显的区别。P2P可以是一种通信模式、一种逻辑网络模型、一种技术、甚至一种理念。在P2P网络中（如右图所示），所有通信节点的地位都是对等的，每个节点都扮演着客户机和服务器双重角色，节点之间通过直接通信实现文件信息、处理器运算能力、存储空间等资源的共享。P2P网络具有分散性、可扩展性、健壮性等特点，这使得P2P技术在信息共享、实时通信、协同工作、分布式计算、网络存储等领域都有广阔的应用。

![20120828_1395026_image001_751474_30008_0.jpg][] ![20120828_1395027_image002_751474_30008_0.jpg][]

CS模式 P2P结构模型

NAT技术和P2P技术作为时下最热门的两项网络技术，在现在的网络上有着广泛的应用，P2P主机位于NAT网关后面的情况屡见不鲜。NAT技术虽然在一定程度上解决了IPv4地址短缺的问题，在构建防火墙、保证网络安全方面都发挥了一定的作用，却破坏了端到端的网络通信。NAT阻碍主机进行P2P通信的主要原因是NAT不允许外网主机主动访问内网主机，但是P2P技术却要求通信双方都能主动发起访问，所以要在NAT网络环境中进行有效的P2P通信，就必须采用新的解决方案。

P2P作为一项新兴技术，有很大的优化空间，并且相对于网络设备，基于P2P的应用程序在实现上更为灵活。所以为了兼容NAT，基于P2P的应用程序在开发的时候大多会根据自身特点加入一些穿越NAT的功能以解决上述问题。以下着重介绍几种常见的P2P穿越NAT方案。

## 一、 反向链接技术 ##

***适用场景：P2P通信双方中只有一方位于NAT设备之后***

如图1所示，客户端A位于NAT之后，它通过TCP端口1234连接到服务器的TCP端口1235上，NAT设备为这个连接重新分配了TCP端口62000。客户端B也通过TCP端口1234连接到服务器端口1235上。A和B从服务器处获知的对方的外网地址二元组\{IP地址:端口号\}分别为\{138.76.29.7:1234\}和\{155.99.25.11:62000\}，它们在各自的本地端口上进行侦听。

由于B 拥有外网IP地址，所以A要发起与B的通信，可以直接通过TCP连接到B。但如果B尝试通过TCP连接到A进行P2P通信，则会失败，原因是A位于NAT设备后，虽然B发出的TCP SYN请求能够到达NAT设备的端口62000，但NAT设备会拒绝这个连接请求。要想与Client A通信， B不是直接向A发起连接，而是通过服务器给A转发一个连接请求，反过来请求A连接到B（即进行反向链接），A在收到从服务器转发过来的请求以后，会主动向B发起一个TCP的连接请求，这样在NAT设备上就会建立起关于这个连接的相关表项，使A和B之间能够正常通信，从而建立起它们之间的TCP连接。

![20120828_1395028_image003_751474_30008_0.jpg][]

图1 反向链接示意图

## 二、 UDP打洞技术 ##

***适用场景： P2P通信双方都位于NAT设备之后，且进行基于UDP应用的通信***

UDP打洞技术是通过中间服务器的协助在各自的NAT网关上建立相关的表项，使P2P连接的双方发送的报文能够直接穿透对方的NAT网关，从而实现P2P客户端互连。如果两台位于NAT设备后面的P2P客户端希望在自己的NAT网关上打个洞，那么他们需要一个协助者——集中服务器，并且还需要一种用于打洞的Session建立机制。下面分三种情景介绍该机制的工作过程。

### 集中服务器 ###

集中服务器本质上是一台被设置在公网上的服务器，建立P2P的双方都可以直接访问到这台服务器。位于NAT网关后面的客户端A和B都可以与一台已知的集中服务器建立连接，并通过这台集中服务器了解对方的信息并中转各自的信息。

同时集中服务器的另一个重要作用在于判断某个客户端是否在NAT网关之后。具体的方法是：一个客户端在集中服务器上登陆的时候，服务器记录下该客户端的两对地址二元组信息\{IP地址:UDP端口\}，一对是该客户端与集中服务器进行通信的自身的IP地址和端口号，另一对是集中服务器记录下的由服务器“观察”到的该客户端实际与自己通信所使用的IP地址和端口号。我们可以把前一对地址二元组看作是客户端的内网IP地址和端口号，把后一对地址二元组看作是客户端的内网IP地址和端口号经过NAT转换后的外网IP地址和端口号。集中服务器可以从客户端的登陆消息中得到该客户端的内网相关信息，还可以通过登陆消息的IP头和UDP头得到该客户端的外网相关信息。如果该客户端不是位于NAT设备后面，那么采用上述方法得到的两对地址二元组信息是完全相同的。

### Session建立机制 ###

假定客户端A要发起对客户端B的直接连接，具体的“打洞”过程如下：

（1）A最初不知道如何向客户端B发起连接，于是A向集中服务器发送消息，请求集中服务器帮助建立与客户端B的UDP连接。

（2）集中服务器将含有B的外网和内网的地址二元组发给A，同时，集中服务器将包含有A的外网和内网的地址二元组信息的消息也发给B。这样一来， A与B就都知道对方外网和内网的地址二元组信息了。

（3）当A收到由集中服务器发来的包含B的外网和内网的地址二元组信息后， A开始向B的地址二元组发送UDP数据包，并且A会自动锁定第一个给出响应的B的地址二元组。同理，当B收到由集中服务器发来的A的外网和内网地址二元组信息后，也会开始向A的外网和内网的地址二元组发送UDP数据包，并且自动锁定第一个得到A回应的地址二元组。由于A与B互相向对方发送UDP数据包的操作是异步的，所以A和B发送数据包的时间先后并没有时序要求。

### 1. P2P的两个客户端位于同一个NAT设备后面，即位于同一内网中 ###

这是最简单的一种情况（如图4所示）。客户端A和B分别与集中服务器建立UDP连接，经过NAT转换后，A的公网端口被映射为62000，B的公网端口映射为62005。

![20120828_1395029_image004_751474_30008_0.png][]

图2 位于同一个NAT设备后的UDP打洞过程

当A向集中服务器发出消息请求与B进行连接，集中服务器将B的外网地址二元组以及内网地址二元组发给A，同时把A的外网以及内网的地址二元组信息发给B。A和B发往对方公网地址二元组信息的UDP数据包不一定会被对方收到，这取决于当前的NAT设备是否支持不同端口之间的UDP数据包能否到达（即Hairpin转换特性），无论如何A与B发往对方内网的地址二元组信息的UDP数据包是一定可以到达的，内网数据包不需要路由，且速度更快。A与B推荐采用内网的地址二元组信息进行常规的P2P通信。

假定NAT设备支持Hairpin转换，P2P双方也应忽略与内网地址二元组的连接，如果A 和B采用外网的地址二元组做为P2P通信的连接，这势必会造成数据包无谓地经过NAT设备，这是一种对资源的浪费。就目前的网络情况而言，应用程序在“打洞”的时候，最好还是把外网和内网的地址二元组都尝试一下。如果都能成功，优先以内网地址进行连接。

**什么是Hairpin技术？**

Hairpin技术又被称为Hairpin NAT、Loopback NAT或Hairpin Translation。Hairpin技术需要NAT网关支持，它能够让两台位于同一台NAT网关后面的主机，通过对方的公网地址和端口相互访问，NAT网关会根据一系列规则，将对内部主机发往其NAT公网IP地址的报文进行转换，并从私网接口发送给目标主机。目前有很多NAT设备不支持该技术，这种情况下，NAT网关在一些特定场合下将会阻断P2P穿越NAT的行为，打洞的尝试是无法成功的。好在现在已经有越来越多的NAT设备商开始加入到对该转换的支持中来。

### 2. P2P客户端位于不同的NAT设备后面，分属不同的内网 ###

这是最普遍的一种情况（如图3所示）。客户端A与B经由各自的NAT设备与集中服务器建立UDP连接， A与B的本地端口号均为4321，集中服务器的公网端口号为1234。在向外的会话中， A的外网IP被映射为155.99.25.11，外网端口为62000；B的外网IP被映射为138.76.29.7，外网端口为31000。

客户端A——>本地IP:10.0.0.1，本地端口:4321，外网IP:155.99.25.11，外网端口:62000

客户端B——>本地IP:10.1.1.3，本地端口:4321，外网IP:138.76.29.7，外网端口:31000

![20120828_1395030_image005_751474_30008_0.png][]

图3 位于不同NAT设备后的UDP打洞过程

在A向服务器发送的登陆消息中，包含有A的内网地址二元组信息，即10.0.0.1:4321；服务器会记录下A的内网地址二元组信息，同时会把自己观察到的A的外网地址二元组信息记录下来。同理，服务器也会记录下B的内网地址二元组信息和由服务器观察到的客户端B的外网地址二元组信息。无论A与B二者中的任何一方向服务器发送P2P连接请求，服务器都会将其记录下来的上述的外网和内网地址二元组发送给A或B。

A和B分属不同的内网，它们的内网地址在外网中是没有路由的，所以发往各自内网地址的UDP数据包会发送到错误的主机或者根本不存在的主机上。当A的第一个消息发往B的外网地址（如图3所示），该消息途经A的NAT设备，并在该设备上生成一个会话表项，该会话的源地址二元组信息是\{10.0.0.1:4321\}，和A与服务器建立连接的时候NAT生成的源地址二元组信息一样，但它的目的地址是B的外网地址。在A的NAT设备支持保留A的内网地址二元组信息的情况下，所有来自A的源地址二元组信息为\{10.0.0.1:4321\}的数据包都沿用A与集中服务器事先建立起来的会话，这些数据包的外网地址二元组信息均被映射为\{155.99.25.11:62000\}。

A向B的外网地址发送消息的过程就是“打洞”的过程，从A的内网的角度来看应为从\{10.0.0.1:4321\}发往\{138.76.29.7:31000\}，从A在其NAT设备上建立的会话来看，是从\{155.99.25.11:62000\}发到\{138.76.29.7:31000\}。如果A发给B的外网地址二元组的消息包在B向A发送消息包之前到达B的NAT设备，B的NAT设备会认为A发过来的消息是未经授权的外网消息，并丢弃该数据包。

B发往A的消息包也会在B的NAT设备上建立一个\{10.1.1.3:4321，155.99.25.11:62000\}的会话（通常也会沿用B与集中服务器连接时建立的会话，只是该会话现在不仅接受由服务器发给B的消息，还可以接受从A的NAT设备\{155.99.25.11:6200\}发来的消息）。

一旦A与B都向对方的NAT设备在外网上的地址二元组发送了数据包，就打开了A与B之间的“洞”，A与B向对方的外网地址发送数据，等效为向对方的客户端直接发送UDP数据包了。一旦应用程序确认已经可以通过往对方的外网地址发送数据包的方式让数据包到达NAT后面的目的应用程序，程序会自动停止继续发送用于“打洞”的数据包，转而开始真正的P2P数据传输。

### 3. P2P客户端位于两层（或多层）NAT设备之后，最上层的NAT设备通常是由网络提供商（ISP）提供，下层NAT设备是家用路由器 ###

（如图6所示）假定NAT C是由ISP提供的NAT设备，NAT C提供将多个用户节点映射到有限的几个公网IP的服务，NAT A和NAT B作为NAT C的内网节点将把用户的内部网络接入NAT C的内网，用户的内部网络就可以经由NAT C访问公网了。从这种拓扑结构上来看，只有服务器与NAT C是真正拥有公网可路由IP地址的设备，而NAT A和NAT B所使用的公网IP地址，实际上是由ISP服务提供商设定的（相对于NAT C而言）内网地址（我们将这种由ISP提供的内网地址称之为“伪”公网地址）。同理，隶属于NAT A与NAT B的客户端，它们处于NAT A，NAT B的内网，以此类推，客户端可以放到到多层NAT设备后面。客户端A和客户端B发起对服务器S的连接的时候，就会依次在NAT A和NAT B上建立向外的Session，而NAT A、NAT B要联入公网的时候，会在NAT C上再建立向外的Session。

![20120828_1395031_image006_751474_30008_0.png][]

图4 多层NAT下的打洞过程

假定客户端A和B通过UDP“打洞”完成两个客户端的P2P直连，最优化的路由策略是客户端A向客户端B的“伪”公网地址（即\{10.0.1.2:55000\}）上发送数据包。从服务器的角度只能观察到真正的公网地址，也就是NAT A、NAT B在NAT C建立Session真正的公网地址\{155.99.25.11:62000\}以及\{155.99.25.11:62005\}，但是客户端A与B无法通过服务器知道这些“伪”公网的地址；即使通过某种手段获知到了，我们仍然不建议采用上述的“最优化”的打洞方式，这是因为这些由ISP提供的地址有可能与客户端本身所在的内网地址重复，这样就会导致打洞数据包无法发出的问题。

因此客户端别无选择，只能使用由集中服务器观察到的客户端A、B的公网地址二元组进行“打洞”操作，用于“打洞”的数据包由NAT C进行转发。

当客户端A向客户端B的公网地址二元组\{155.99.25.11:62005\}发送UDP数据包时，NAT A首先把数据包的源地址二元组由A的内网地址二元组\{10.0.0.1:4321\}转换为“伪”公网地址二元组\{10.0.1.1:45000\}，现在数据包到了NAT C，NAT C应该可以识别出来该数据包是要发往自身转换过的公网地址二元组，如果NAT C可以支持Hairpin的话，NAT C将把该数据包的源地址二元组改为\{155.99.25.11:62000\}，目的地址二元组改为\{10.0.1.2:55000\}，即NAT B的“伪”公网地址二元组，NAT B最后会将收到的数据包发往客户端B。同样，由B发往A的数据包也会经过类似的过程。

当然，从应用的角度上来说，在完成打洞过程的同时，还有一些技术问题需要解决，如UDP在空闲状态下的超时问题

由于UDP转换协议提供的“洞”不是绝对可靠的，多数NAT设备内部都有一个UDP转换的空闲状态计时器，如果在一段时间内没有UDP数据通信，NAT设备会关掉由“打洞”过程打出来的“洞”。如果P2P应用程序希望“洞”的存活时间不受NAT网关的限制，就最好在穿越NAT以后设定一个穿越的有效期。

对于有效期目前没有标准值，它与NAT设备内部的配置有关，某些设备上最短的只有20秒左右。在这个有效期内，即使没有P2P数据包需要传输，应用程序为了维持该“洞”可以正常工作，也必须向对方发送“打洞”心跳包。这个心跳包是需要双方应用程序都发送的，只有一方发送不会维持另一方的Session正常工作。除了频繁发送“打洞”心跳包以外，还有一个方法就是在当前的“洞”超时之前，P2P客户端双方重新“打洞”，丢弃原有的“洞”，这也不失为一个有效的方法。

## 三、 TCP打洞技术 ##

从现在的主流应用的角度上来看，基于TCP的P2P应用显然不如基于UDP的应用那么广泛，但是也存在打洞的需求。

TCP相对于UDP而言要复杂的多，TCP连接的建立要依赖于三次握手的交互，所以NAT网关在处理TCP连接的时候，需要更多的开销。但是基于TCP的P2P打洞技术却比UDP复杂一点而已，而且，由于TCP协议完备的状态机机制，TCP反而比UDP更能精确的获取某个Session的生命期。

在前面提到的各种场景下， TCP打洞技术基本上也是沿用UDP打洞技术的思路。为了配合TCP在NAT上打洞，需要应用程序支持套接字和TCP端口重用技术。此后P2P通信双方只要各自向对方发起连接，以期待恰好一次尝试在双方的NAT网关上成功的打出一条通道。当然实际的打洞详细过程会考虑到很多特殊情况的处理方式，读者可参考相关文章参考，本文对此不赘述。

**结束语**

在IP地址极度短缺的今天，NAT几乎已经是无所不在的一项技术了，以至于现在任何一项新技术都不得不考虑和NAT的兼容。作为当下应用最热门的技术之一，P2P技术也必然面对NAT这个重镇。打洞技术看起来是一项近似乎蛮干的技术，却不失为一种有效的技术手段。在集中服务器的帮助下，P2P的双方利用端口预测的技术在NAT网关上打出通道，从而实现NAT穿越，解决了NAT对于P2P的阻隔，为P2P技术在网络中更广泛的推广作出了非常大的贡献。

[20120828_1395026_image001_751474_30008_0.jpg]: http://www.h3c.com.cn/res/201208/28/20120828_1395026_image001_751474_30008_0.jpg
[20120828_1395027_image002_751474_30008_0.jpg]: /images/20220121/54444f4be5d446e38466f25c7c5ea48a.png
[20120828_1395028_image003_751474_30008_0.jpg]: /images/20220121/6a3351deb2e748a38d0102a9bb04cc09.png
[20120828_1395029_image004_751474_30008_0.png]: /images/20220121/ca60ddec90d7416d84b3ba3162ba3958.png
[20120828_1395030_image005_751474_30008_0.png]: /images/20220121/e8772fea48b34dd2868cd87087b8b0af.png
[20120828_1395031_image006_751474_30008_0.png]: /images/20220121/023a703405324c81a18d00bec40caaec.png