基于P2P与NAT两大技术结合中TCP穿透问题的研究

收稿日期：2010－05－06；修订日期：2010－06－30

作者简介：孙卫喜（1965－），男，陕西澄城人，研究方向：实验教学、实验室建设与管理。

第28卷第4期2010年8月

江西

科

学

JIANGXI

SCIENCE

Vol．28No．4Aug．2010

文章编号：1001－3679（2010）04－0524－04

基于P2P 与NAT 两大技术结合中

TCP 穿透问题的研究

孙卫喜1，苟红玲

2

（1．渭南师范学院计算机科学系，陕西渭南714000；2．渭南师范学院数学与信息科学系，陕西渭南714000）

摘要：穿透是P2P 与NAT 两大技术结合中的关键问题，提出采用应用程序协助完成TCP 的穿透方案，使连接中3次握手由应用程序控制完成，服务器只协助传递2个特定参数，减少了对第3方服务器的依赖，提高连接效率和安全性。

关键词：P2P ；NAT ；TCP ；穿透中图分类号：TP393．2

文献标识码：A

The Study of TCP Penetration Question Based on the

Combination of Two Technologies of P 2P and NAT

SUN Wei-xi 1，GOU Hong-ling 2

（1．Department of Computer Science ，Weinan Teachers University ，Shanxi Weinan 714000PRC ；

2．Department of Mathematic and Information Science ，Weinan Teachers University ，Shanxi Weinan 714000PRC ）

Abstract ：TCP penetration is a key question of combining the 2technologies ，the paper puts forward adoption application program helps fulfill TCP penetration plan．And makes 3handshakes finish via application program control．Servers only helps to deliver 2special parameters ，reduces dependence to the third server and advances connection efficiency and security．Key words ：P2P ，NAT ，TCP ，Penetration

0引言

P2P （peer-to-peer ）即对等互联（点对点技

术），它被认为是一种通信模式、一种逻辑网络模

型、

一种技术甚至是一种理念。P2P 网络不同于传统的客户机/服务器（Client /Server ）模式，它允许Internet 用户直接与其他用户的计算机建立连接并使用对方的资源。即就是消除中间环节使P2P 网络中每个结点既充当服务器，又为其它结点提供服务，同时也享用其它结点提供的服务。P2P 技术的应用使得网络上的沟通变得更容易、

更直接，它改变了现今Internet 以服务器为中心

的集中式互联网结构、重返“非中心化”，并把权力交还给用户。从某种意义上讲，

P2P 体现了In-ternet 的本质［1 5］。自1999年第一个P2P 应用出现以来在学术界获得了广泛的重视，

在应用领域获得了较大的成功，

P2P 网络应用非常广泛，P2P 已成为互联网内容发展的重点方向。P2P 网络占

据了当前Internet 超过一半的带宽资源，被称为“改变Internet 的新一代网络技术”。

NAT （Network Address Translator ）是一个IETF （internet engineering task force ）标准。它通

DOI:10.13990/j.issn1001-3679.2010.04.034

过将只能作为局域网内部地址而在因特网上不能被识别或直接使用的私有IP地址映射为Internet 上合法的IP地址，实现私有网络中节点对Inter-net的成功访问，有效的缓解了Internet用户对非常稀缺的公网IP地址的需求。网络地址转换（NAT）设备位于互联网与局域网之间，起到翻译网络地址和保护网络安全的作用。但由于NAT 之后主机的IP地址在Internet上是不可见的，In-ternet上的主机是不能主动访问这些内网主机的，NAT之后的主机可以作为客户机访问外部网络，但却不能作为服务器向外部网络提供服务，而位于不同NAT之后的主机间更是无法相互识别而不能直接交换信息。这种对外不可见、不透明的内部网络有背于互联网的公平、相互共享等思想，特别是与目前广泛应用于Internet的P2P网络技术所不容，因而内网用户欲实现P2P“用户之间直接共享资源”的思想必须解决好NAT的穿透问题［6］。

1NAT穿透技术的研究开发现状及发展趋势

因特网传输层有2种主要协议：一种是无连接的UDP（User Datagram Protocol）协议，一种是面向连接的TCP（Transmission Control protocol）协议。现阶段UDP穿透NAT的方法已经比较成熟，大多采取UDP打洞的方式。UDP Hole Punc-hing技术有效地保持了NAT网络环境的透明性，它不需要了解网络的拓扑信息以及其他特别的软件环境的支持，可以被普通的应用程序实现。目前比较典型的NAT穿透方法有STUN（Simple Traversal of UDP Through Network Address transla-tors）方法、TURN（Traversal Using Relay NAT）方法和Mid Com（Middle box Communications）方法等［7］。STUN是一种基于UDP协议的NAT穿透方法，其局限性在于不支持基于TCP连接的穿透和对称NAT的穿透。TURN通过Relay方法穿透NAT，所有报文不是直接发送给对方通信端而是必须经过第3方服务器转发，增大了包的延迟和丢包的可能性。Mid Com方法通过中间盒（Mid-dle box）在第3方实体（Mid Com Agent）和NAT 之间建立连接通信，Agent通过协议通知建立相映的映射表。Mid Com Middle box NAT不足之处在于Mid Com要求对现有的设备进行升级以支持Mid Com协议。

目前大多数NAT的穿透方法是基于UDP 的，而UDP穿透技术存在会话时间不确定性问题会导致在第3方服务器上注册的地址信息失效。此外考虑到很多P2P软件是基于TCP协议的，UDP穿透技术也无法应用。另外在现实的网络环境中，存在很多网络是不允许使用UDP协议的。基于UDP穿透NAT建立连接的局限性及TCP连接优势，人们开始尝试TCP穿透NAT。但由于TCP连接建立的不对称性致使TCP穿透NAT较难实现，TCP是面向连接的，其连接过程需要实现3次握手，故无法直接套用UDP穿透NAT的方法。目前TCP穿越NAT的方法主要有2种：（1）不同NAT内的2个主机同时建立TCP 连接，该方法需要某个TCP端口既作为监听端口又作为主动连接端口，微软的操作系统并不支持这一特性，因此该方案在Windows操作系统下很难实现；（2）允许NAT设备内的主机在NAT设备上建立明确的地址映射，如采用UPnP（Universal Plug and Play）协议。但这种方法的缺点是NAT 设备必须支持UPnP等协议。有学者提出利用第3方服务器伪造TCP连接报文，实现NAT穿透的方案。在这种方案中，服务器S在建立前起协助作用，在TCP连接后则不再起作用，实现了真正意义上的NAT后2台主机的TCP直连。但由于3次握手过程都需要在位于公网的第3方服务器中转3次握手的详细信息，连接容易受到网络状况的干扰，降低了连接效率。同时位于NAT后的主机与第3方服务器之间的认证也变得极为重要，如果第3方服务器不能对位于NAT后的主机进行有效的认证，则黑客可以很轻易地对第3方服务器进行攻击［8］。

本文提出采用应用程序协助完成TCP穿透的方案不但克服了目前多种基于UDP协议NAT 穿透方法所面临的问题，同时由于TCP协议本身的特点，还保证了数据传输过程中的可靠性。这对P2P网络来说是很关键的性能参数。

2NAT的分类及测试方法

NAT设备的类型对于TCP穿透NAT有着十分重要的影响，根据映射方式不同，NAT可以分成两大类：第1类是克隆式NAT（ConeNAT）。NAT把来自相同内部私有地址的所有连接请求都映射到相同的外部公网地址。第2类是对称式NAT（SymmetricNAT）。NAT为每一个新的连接

·

525

·

第4期孙卫喜等：基于P2P与NAT两大技术结合中TCP穿透问题的研究

请求都映射一个不同的外部公网地址，而不管这些连接是否来自相同的内部私有地址［9］。对称式NAT又可细分为两类，若NAT对公网地址的分配具有规律性（通常情况下为连续分配），则称为地址映射可预测；若NAT对公网地址的分配是随机而无规律的，则称为地址映射不可预测。

针对不同类型的NAT，TCP穿透的方法有所不同［10］。因此需要在TCP穿透实现之前确定NAT的类型。本文采用NAT类型的判定方法是：（1）客户端A利用端口Port与服务器S建立TCP 连接，S记录下A经过NAT映射后的地址信息

AddressA；（2）客户端A利用端口Port+1与服务器S建立TCP连接，S记录下A经过NAT映射后的地址信息AddressA'；（3）如果AddressA和Ad-dressA'相同，则可判定该NAT是克隆式NAT；如果AddressA和AddressA'不相同，则可判定该NAT是对称式NAT；（4）多次执行步骤1 2，若每次得到的地址信息AddressA和AddressA'连续或者有规律变化，则可判断此NAT的地址映射是可预测的，否则该NAT地址映射不可预测。

目前，市面上大多数NAT设备为克隆式NAT，对称式NAT应用很少且大都为地址映射可预测的，因此本文不考虑NAT地址映射不可预测的情况。

3应用程序协助完成TCP穿透

由应用程序协助完成TCP穿透方案是在连接开始以前由第3方服务器记录下双方的地址信息并将其传送到对方机器，之后的连接中3次握手由应用程序控制完成，服务器只协助传递2个特定参数，减少了对第3方服务器的依赖，提高了连接效率和安全性［11］。如图1所示。

（1）客户端A与公网上的Server S建立TCP 连接，并将特殊识别信息K发送到服务器端。S 判断客户端A所连接NAT A的类型，记录下A的私有网地址（10．0．0．3：2001）经过NAT A映射后的公网地址信息（200．0．0．3：5001）、A的特殊识别信息K以及NAT A的映射方法。同样客户端B也与服务器S建立TCP连接，并记录下B的私有网地址（172．16．0．3：3001）经过NAT B转换后的公网地址信息（210．0．0．3：6001）、B的特殊识别信息K'以及NAT B的映射法。

图1TCP连接流程

（2）S通过已经建立的TCP连接把A的相关信息（200．0．0．3：5001，K）传送给B，把B的相关信息（210．0．0．3：6001，K'）传送给A。

（3）客户端A和B记录下相关的信息，然后开始向对方映射的公网地址发送SYN消息，并在该消息中加入自己的特殊识别信息：

A：172．16．0．3：3001/210．0．0．3：6001，K，SYN：X；B：10．0．0．3：2001/200．0．0．3：5001，K'，SYN：Y；

其中X和Y为标志符，与每一个SYN包相对应。这样A和B就在各自的NAT设备上建立了到对方公网地址的映射记录，对方以后发送来的数据就能够穿过该NAT，而不是被丢弃。

（4）如果A发出的第一个SYN包在B往A 的第一个SYN包发送出来以前就到达了NATB，NAT B会把A发出的SYN包当成不请求的不安全包而丢弃。因此需要在SYN包发出以后，将A 和B的应用程序设为监听状态，若在一定时延T 内没有收到回复信息，则向对方发送新的SYN 包。

（5）若收到对方的SYN包，A或B将SYN包中的K或K'值与之前由服务器S传送过来的K 或K值相比较。如果相等说明该SYN可信任，则在内存中开辟一堆栈，将公网地址、SYN信息及对应的标志符保存到该堆栈中，并立即向服务器S发送一个特殊字符P，由服务器将该字符转发到对方机器，对方机器接收到该字符后则终止SYN包的发送尝试，然后向对方映射的公网地址发送SYN+ACK数据包，该数据包含有SYN包的标识符以及各自的特殊识别信息：

A：172．16．0．3：3001/210．0．0．3：6001，K，SYN+ ACK：X，Y+1；

B：10．0．0．3：2001/200．0．0．3：5001，K'，SYN+

·

625

·江西科学2010年第28卷

ACK，Y，X+1；

同时利用应用程序将该SYN+ACK数据包复制，从堆栈顶取出最新的公网地址，不断向其送。由于新的公网地址在对方NAT上留下了痕迹，所以至少有一条SYN+ACK数据包信息将通过对方的NAT，此时A和B都认为对方已经接收了自己之前发送的SYN包信息。

（6）A或B收到SYN+ACK数据包信息后向服务器发送一个特殊字符P'，由服务器将该字符转发到对方机器，对方机器接收到该字符则终止SYN+ACK数据包的发送。应用程序在自动产生的ACK信息中加入对应标识符及特殊识别信息，并同样复制该信息，反复向对方最新的公网地址发送，直到连接成功

A：172．16．0．3：3001/210．0．0．3：6001，K，ACK：Y +1；

B：10．0．0．3：2001/200．0．0．3：5001，K'，ACK：X +1；

至此，TCP连接的3次握手在应用程序的协助下已经完成。同时一直保存在数据包中的特殊识别信息保证了整个传输过程中信息的可信任度。在上述连接过程中前2个步骤由第3方服务器支持完成，之后服务器仅协助传递2个参数以作为停止发包的指令。后续所有连接步骤由各自的应用程序完成，减少了对服务器的依赖提高了连接的效率。

4结束语

提出采用应用程序协助完成TCP穿透的方案不但克服了目前多种基于UDP协议NAT穿透方法所面临的问题，也为P2P应用程序开发人员提供一个穿透NAT的良好平台，给P2P技术的发展提供有力的技术支持。但本方案在实施中也发现一些问题如T值的选取等还需进一步探索。

参考文献：

［1］杨天路，刘宇宏，张文，等．P2P网络技术原理与系统开发案例［M］．北京：人民邮电出版社，2007．［2］陈贵海，李振华，对等网络：结构、应用与设计［M］．北京：清华大学出版社，2007．

［3］Srisure2s P，2Ford B2，Kegel D．State ofpeer to peer（p2p）communication across network address tra2nsl2ators

（nats）．Internet2draft，IETF，February2007［EB/OL］．http：

//www．ietf．org/internetdrafts/draft-ietf-behave-p2p-state-

02．txt．2007－12－02．

［4］ZHANG Jian-feng，nWANG Ru-chuan．An agent-based incentive mechanism for P2P systems［J］．中国邮电高

校学报（英文版），2006，13（4）：81－85．

［5］Flenner Robert，Abbott Michael．JAVA P2P技术内幕［M］．北京：人民邮电出版社，2003．

［6］徐向阳，韦昌法．基于NAT穿越技术的P2P通信方案的研究与实现［J］．计算机工程与设计，2007，28

（7）：1559－1561．

［7］耿福泉，陈洁，方忠民，等．DHT网络中一种TCP 穿越NAT机制［J］．东北大学学报，2007，（1）：49－

52．

［8］李河，王树．P2P网络中使用UDP穿越NAT的方法研究［J］．吉林大学学报（信息科学版），2003，

21（3）：275－279．

［9］黄道颖，李祖鹏，庄雷，等．分布式Peer to Peer网络Gnutella模型研究［J］．计算机工程与应用，

2003，39（5）：60－63．

［10］Guha S．Stunt-Simple Traversal of UDP ThroughNATs and TCP too．Work in progress［EB/OL］．http：//nutss．

gforge．cis．cornell．edu/pub/dr2aft2guha STUNT-00．

txt．2007－12－02．

［11］Rosenberg J．STUN-Simple Traversal of User Datagram Protocol through Network Address Translators［C］．

IETF RFC，3489．

·

725

·

第4期孙卫喜等：基于P2P与NAT两大技术结合中TCP穿透问题的研究