通信方法及装置与流程

本技术涉及通信，特别涉及一种通信方法及装置。

背景技术：

1、软件定义广域网(software-defined wide area network,sd-wan)为软件定义网络(software-defined networking,sdn)技术的核心应用场景。sd-wan架构主要包括underlay网络(物理层承载网络)与overlay网络(虚拟化逻辑网络)。overlay网络中通常通过sd-wan隧道封装技术实现企业分支站点间的安全互联。

2、在sd-wan的存在点(point of presence，pop，即服务提供商的网络接入节点)组网中，管理服务提供商(managed service provider，msp)拥有自己的骨干网(backbonenetwork)。位于不同区域的网关(例如(pop gateway，pop gw，负责连接用户设备与骨干网的接入点网关))通过骨干网互联。部署在用户侧网络的接入设备(例如客户前置设备(customer premises equipment，cpe，部署在企业分支的终端接入设备)通过因特网(internet)线路接入pop点。例如，两个接入设备之间可以通过如下连接方式互联并进行流量互访。

3、接入设备a---(internet线路a，经过安全设备a)---网关a---(骨干网络)---网关b---(internet线路b，经过安全设备b)---接入设备b。

4、目前，当组网条件满足如下条件时，两个接入设备难以根据私网ip地址建立sd-wan隧道。

5、(1)接入设备通过internet线路连接到网关。

6、(2)接入设备没有固定公网ip地址，且接入设备与网关之间的internet线路所经过的安全设备会对接入设备对外发送的报文中的源ip地址进行网络地址转换(networkaddress translation，nat)，该nat的类型可能是对称型nat(symmetric nat)。

技术实现思路

1、本技术提供了一种通信方法及装置，在接入设备通过internet线路连接到网关，且该internet线路经过的安全设备采用对称型nat的情况下，有助于降低两个接入设备建立端到端sd-wan隧道的难度。所述技术方案如下。

2、第一方面，提供了一种通信方法，所述方法包括：

3、第一网关接收第一安全设备发送的nat探测报文，所述nat探测报文包括第一接入设备的第一传输网络接口tnp的信息，所述第一tnp的信息包括所述第一tnp的互联网协议ip地址和所述第一tnp的端口号，所述nat探测报文的源地址和源端口号分别为所述第一安全设备对所述第一tnp的ip地址和端口号进行网络地址转换nat后得到的，其中，所述第一接入设备通过第一因特网线路与所述第一网关设备连接，所述第一因特网线路经过所述第一安全设备；

4、所述第一网关向所述第一接入设备发送针对所述nat探测报文的nat响应报文，所述nat响应报文包括所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号。

5、在第一方面提供的方法中，第一网关通过在接收到包含第一接入设备的第一tnp的信息的nat探测报文的情况下，返回包含第一网关针对第一tnp分配的nat后的ip地址和端口号(第一ip地址和第一端口号)的nat响应报文，使得第一接入设备能够获得第一tnp的nat后的ip地址和端口号。第一网关分配的第一tnp的nat后的ip地址和端口号(第一ip地址和第一端口号)可以固定用于供远端的第二接入设备访问第一接入设备，使得第二接入设备能够以第一ip地址和第一端口号作为目的ip地址和目的端口号发起nat打洞。这样，即使第一网关与第一接入设备之间的第一安全设备采用对称型nat，将第一接入设备先后发送的nat探测报文和nat打洞报文中的源ip地址和源端口号转换为不同的源ip地址或者不同的源端口号，由于第二接入设备无需感知第一安全设备进行nat后的ip地址和端口号，而是依据第一网关分配的nat后的ip地址和端口号发起nat打洞，因此突破了第一安全设备采用对称型nat的情况下，第二接入设备无法nat穿越更无法建立sd-wan隧道的限制，降低建立sd-wan隧道的难度。

6、在一些实施方式中，所述方法还包括：

7、所述第一网关接收第二网关发送的第一协议报文，所述第一协议报文包括第二ip地址和第二端口号，其中，所述第二ip地址和所述第二端口号分别为所述第一安全设备对所述第一接入设备的第一tnp的ip地址和端口号进行网络地址转换nat后得到的；

8、所述第一网关生成入方向nat转换表项，所述入方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第二ip地址和所述第二端口号之间的对应关系；

9、所述第一网关生成出方向nat转换表项，所述出方向nat转换表项包括所述第二ip地址、所述第二端口号、所述第一ip地址和所述第一端口号之间的对应关系。

10、通过如上方式，第一网关通过基于协议报文中携带的第一安全设备针对第一tnp分配的nat后的ip地址和端口号(第二ip地址和所述第二端口号)以及本网关分配的第一tnp的nat后的ip地址和端口号(第一ip地址和第一端口号)生成nat转换表项，从而在后续转发数据报文时，能够在不需要修改第一网关的转发面，也不需要对数据报文解密的情况下，依据上述通过控制面生成的nat转换表项将第一安全设备发送的报文中的源地址转换至本网关分配的nat后的ip地址和端口号，以及向第一安全设备发送的报文中的目的地址转换至第一安全设备分配的nat后的ip地址和端口号。

11、在一些实施方式中，所述第一协议报文还包括所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号，所述方法还包括：所述第一网关生成源地址验证条目，所述源地址验证条目包括所述第三ip地址和所述第三端口号。

12、考虑到与第一接入设备通过sd-wan通信的远端接入设备可能不仅存在第二接入设备这一台接入设备，而是存在多台远端接入设备，第一网关通过生成源地址验证条目，便于后续验证报文是否来自第二接入设备，降低第一网关错误地将第三接入设备访问第一接入设备的报文的目的ip地址转换为第一安全设备为第一接入设备访问第二接入设备的报文分配的ip地址，引起报文在第一安全设备处传输失败的风险。

13、在一些实施方式中，所述方法还包括：所述第一网关从第二接入设备向所述第一地址发起的nat打洞报文中获取第四ip地址和第四端口号，所述nat打洞报文的源ip地址和源端口号分别为所述第四ip地址和所述第四端口号，所述第四ip地址和所述第四端口号分别为第二安全设备对所述第二接入设备的第二tnp的ip地址和端口号进行nat后得到的；所述第一网关向所述第二网关发送第二协议报文，所述第二协议报文包括所述第四ip地址和所述第四端口号。

14、第一网关由于将第二安全设备对所述第二接入设备的第二tnp的ip地址和端口号进行nat得到的ip地址和端口号，通过协议报文通告给第二网关，便于第二网关基于第二安全设备进行nat得到的ip地址和端口号生成nat转换表项。

15、在一些实施方式中，所述第二协议报文还包括所述第一ip地址和所述第一端口号。

16、第一网关由于将本端针对第一tnp分配的nat后的ip地址和端口号通过协议报文通告给第二网关，便于第二网关生成包含第一网关分配的nat后的ip地址和端口号的源地址验证条目，便于第二网关后续验证报文是否来自第一接入设备，降低第二网关将第四接入设备访问第二接入设备的报文的目的ip地址错误地转换为第二安全设备为第二接入设备访问第一接入设备的报文分配的ip地址，引起报文在第二安全设备处传输失败的风险。

17、在一些实施方式中，所述第一网关为存在点pop网关，所述第一接入设备为客户前置设备cpe设备，所述第一安全设备为防火墙。

18、在一些实施方式中，所述nat探测报文为stun绑定请求报文，所述nat响应报文为stun绑定响应报文。

19、在一些实施方式中，所述方法还包括：所述第一网关接收由所述第二网关发送的所述第二接入设备访问所述第一接入设备的第一数据报文，所述第一数据报文的源ip地址和源端口号分别为所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号，所述第一数据报文的目的ip地址和目的端口号分别为所述第一ip地址和所述第一端口号；根据所述入方向nat转换表项，所述第一网关将所述第一数据报文的目的ip地址和目的端口号分别转换为所述第二ip地址和所述第二端口号，以得到第二数据报文；所述第一网关向所述第一安全设备发送所述第二数据报文。

20、由于第一网关将数据报文的目的ip地址和目的端口号转换为第一安全设备针对第一tnp分配的nat后的ip地址和端口号(第二ip地址和所述第二端口号)，使得数据报文能够穿越使能了对称型nat的第一安全设备到达第一接入设备。

21、在一些实施方式中，所述第一网关将所述第一数据报文的目的ip地址和目的端口号分别转换为所述第二ip地址和所述第二端口号之前，所述方法还包括：所述第一网关基于所述第一数据报文的源ip地址和源端口号与源地址验证条目的匹配结果，对所述第一数据报文进行源地址验证，所述源地址验证条目包括所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号。

22、由于第一网关先基于源地址验证条目对所述第一数据报文进行源地址验证，再对第一数据报文的目的ip地址和目的端口号进行nat，降低第一网关错误地将第三接入设备访问第一接入设备的报文的目的ip地址转换为第一安全设备为第一接入设备访问第二接入设备的报文分配的ip地址，引起报文在第一安全设备处传输失败的风险。

23、在一些实施方式中，所述方法还包括：第一网关接收所述第一接入设备通过所述第一安全设备发送的访问所述第二接入设备的第三数据报文，所述第三数据报文的源ip地址和源端口号分别为所述第二ip地址和所述第二端口号，所述第三数据报文的目的ip地址和目的端口号分别为所述第二网关为第二接入设备的第二tnp分配的第三ip地址和所述第三端口号；根据所述出方向nat转换表项，所述第一网关将所述第三数据报文的源ip地址和源端口号分别转换为所述第一ip地址和所述第一端口号，得到第四数据报文；所述第一网关向所述第二网关发送所述第四数据报文。

24、由于第一网关将数据报文的源ip地址和源端口号转换为第一网关针对第一tnp分配的nat后的ip地址和端口号(第一ip地址和所述第一端口号)，使得数据报文能够穿越使能了对称型nat的第二安全设备到达远端的第二接入设备。

25、在一些实施方式中，所述第二协议报文为bgp报文，所述bgp报文包括地址族标识、子地址族标识以及nlri字段，所述地址族标识和/或所述子地址族标识用于标识所述bgp报文携带nat后的ip地址和端口号，所述nlri字段包括所述第四ip地址和所述第四端口号。

26、通过对bgp报文的地址族或者子地址族进行扩展来携带nat后的ip地址和端口号，对bgp协议的改动较小，实现复杂度较小。

27、第二方面，提供了一种通信方法，所述方法还包括：

28、第一接入设备通过第一安全设备向第一网关发送nat探测报文，所述nat探测报文包括所述第一接入设备的第一传输网络接口tnp的信息，所述第一传输网络接口的信息包括所述第一传输网络接口的互联网协议ip地址和所述第一传输网络接口的端口号，所述nat探测报文的源地址和源端口号分别为第一第一tnp的ip地址和端口号，所述第一接入设备通过第一因特网线路与所述第一网关连接，所述第一因特网线路经过第一安全设备；

29、所述第一接入设备接收来自所述第一网关发送的针对所述nat探测报文的nat响应报文，所述nat响应报文包括所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号；

30、所述第一接入设备根据所述第一ip地址和所述第一端口号与第二接入设备建立端到端sd-wan隧道，所述端到端sd-wan隧道的隧道端点分别为所述第一接入设备和所述第二接入设备，所述端到端sd-wan隧道经过所述第一安全设备，所述第一网关，第二网关，以及第二安全设备。即，所述第一接入设备通过所述第一安全设备，所述第一网关，第二网关，以及第二安全设备与所述第二接入设备通信连接，

31、在第二方面提供的方法中，第一接入设备通过向第一网关发起nat探测报文，基于第一网关返回的nat响应报文中携带的第一tnp的nat后的ip地址和端口号(第一ip地址和第一端口号)与第二接入设备建立端到端sd-wan隧道，使得第二接入设备在建立端到端sd-wan隧道的过程中，能够以第一ip地址和第一端口号作为目的ip地址和目的端口号向第一接入设备发起nat打洞。这样，即使第一网关与第一接入设备之间的第一安全设备采用对称型nat，将第一接入设备先后发送的nat探测报文和nat打洞报文中的源ip地址和源端口号转换为不同的源ip地址或者不同的源端口号，由于第二接入设备无需感知第一安全设备进行nat后的ip地址和端口号，而是依据第一网关分配的nat后的ip地址和端口号发起nat打洞，因此突破了第一安全设备采用对称型nat的情况下，第二接入设备无法nat穿越更无法建立sd-wan隧道的限制，降低建立sd-wan隧道的难度。

32、在一些实施方式中，所述方法还包括：

33、所述第一接入设备向所述第二接入设备发送第一bgp报文，所述第一bgp报文包括所述第一ip地址、所述第一端口号和所述第一传输网络接口的信息。

34、在一些实施方式中，所述方法还包括：

35、所述第一接入设备接收所述第二接入设备发送的第二bgp报文，所述第二bgp报文包括所述第二网关为所述第二接入设备分配的第二ip地址、所述第二网关为所述第二接入设备分配的第二端口号和所述第二接入设备的第二传输网络接口的信息。

36、在一些实施方式中，所述第一接入设备根据所述第一ip地址和所述第一端口号与第二接入设备建立端到端sd-wan隧道，包括：

37、所述第一接入设备基于所述第一ip地址、所述第一端口号、所述第二ip地址和所述第二端口号，建立到所述第二接入设备的端到端sd-wan隧道。

38、在一些实施方式中，所述方法还包括：

39、所述第一接入设备通过所述第一安全设备和所述第一网关，发送访问所述第二接入设备的第一数据报文，所述第一数据报文包括sd-wan隧道封装报文头，所述sd-wan隧道封装报文头的源ip地址和源端口号分别为所述第一传输网络接口的ip地址和端口号，所述sd-wan隧道封装报文头的目的ip地址和目的端口号分别为所述第二ip地址和所述第二端口号。

40、在一些实施方式中，所述方法还包括：

41、所述第一接入设备接收所述第二接入设备通过所述第二安全设备和所述第二网关发送的访问所述第一接入设备的第二数据报文，所述第二数据报文包括sd-wan隧道封装报文头，所述sd-wan隧道封装报文头的源ip地址和源端口号分别为所述第二ip地址和所述第二端口号，所述sd-wan隧道封装报文头的目的ip地址和目的端口号分别为所述第一传输网络接口的ip地址和端口号。

42、第三方面，提供了一种通信方法，所述方法包括：

43、第一网关接收由第二网关发送的第二接入设备访问第一接入设备的第一数据报文，所述第一数据报文的目的ip地址和目的端口号分别为所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号，所述第一数据报文的源ip地址和源端口号分别为所述第二网关为所述第二接入设备分配的第二ip地址和第二端口号；

44、根据入方向nat转换表项，所述第一网关将所述第一数据报文的目的ip地址和目的端口号分别转换为第三ip地址和第三端口号，以得到第二数据报文，所述第三ip地址和第三端口号分别为所述第一安全设备对所述第一接入设备的第一传输网络接口tnp的ip地址和端口号进行网络地址转换nat后得到的ip地址和端口号，所述入方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第三ip地址和第三端口号；

45、所述第一网关向所述第一安全设备发送所述第二数据报文。

46、在一些实施方式中，所述入方向nat转换表项还包括所述第二ip地址和第二端口号，所述第一网关将所述第一数据报文的目的ip地址和目的端口号分别转换为第三ip地址和第三端口号之前，所述方法还包括：

47、所述第一网关根据所述第一数据报文的源ip地址以及源端口号分别与所述入方向nat转换表项中的第二ip地址和第二端口号匹配，对所述第一数据报文源地址验证通过。

48、在一些实施方式中，所述方法还包括：

49、所述第一网关接收所述第一接入设备通过所述第一安全设备发送的访问所述第二接入设备的第三数据报文，所述第三数据报文的目的ip地址和目的端口号分别为所述第二ip地址和所述第二端口号，所述第三数据报文的源ip地址和源端口号分别为所述第三ip地址和所述第三端口号；

50、根据出方向nat转换表项，所述第一网关将所述第三数据报文的源ip地址和源端口号分别转换为所述第一ip地址和所述第一端口号，得到第四数据报文，所述出方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第三ip地址和所述第三端口号；

51、所述第一网关向所述第二网关发送所述第四数据报文。

52、第四方面，提供了一种通信装置，该通信装置包括多个功能单元，所述多个功能单元相互作用，以实现上述任一方面，或任一方面任一可能的实施方式中所述的方法的部分或全部操作。该通信装置例如用于实现第一方面或第一方面中任一可能的实施方式中第一网关所执行的方法。

53、具体来说：所述通信装置包括：

54、接收单元，用于接收第一安全设备发送的nat探测报文，所述nat探测报文包括第一接入设备的第一传输网络接口tnp的信息，所述第一tnp的信息包括所述第一tnp的互联网协议ip地址和所述第一tnp的端口号，所述nat探测报文的源地址和源端口号分别为所述第一安全设备对所述第一tnp的ip地址和端口号进行网络地址转换nat后得到的，其中，所述第一接入设备通过第一因特网线路与所述第一网关设备连接，所述第一因特网线路经过所述第一安全设备；

55、发送单元，用于向所述第一接入设备发送针对所述nat探测报文的nat响应报文，所述nat响应报文包括所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号。

56、在一些实施方式中，所述接收单元，还用于接收第二网关发送的第一协议报文，所述第一协议报文包括第二ip地址和第二端口号，其中，所述第二ip地址和所述第二端口号分别为所述第一安全设备对所述第一接入设备的第一tnp的ip地址和端口号进行网络地址转换nat后得到的；

57、所述装置还包括：处理单元，用于生成入方向nat转换表项，所述入方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第二ip地址和所述第二端口号之间的对应关系；生成出方向nat转换表项，所述出方向nat转换表项包括所述第二ip地址、所述第二端口号、所述第一ip地址和所述第一端口号之间的对应关系。

58、在一些实施方式中，所述第一协议报文还包括所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号，所述装置还包括：处理单元，用于生成源地址验证条目，所述源地址验证条目包括所述第三ip地址和所述第三端口号。

59、在一些实施方式中，所述装置还包括：处理单元，用于从第二接入设备向所述第一地址发起的nat打洞报文中获取第四ip地址和第四端口号，所述nat打洞报文的源ip地址和源端口号分别为所述第四ip地址和所述第四端口号，所述第四ip地址和所述第四端口号分别为第二安全设备对所述第二接入设备的第二tnp的ip地址和端口号进行nat后得到的；

60、所述发送单元，还用于向所述第二网关发送第二协议报文，所述第二协议报文包括所述第四ip地址和所述第四端口号。

61、在一些实施方式中，所述第二协议报文还包括所述第一ip地址和所述第一端口号。

62、在一些实施方式中，所述第一网关为存在点pop网关，所述第一接入设备为客户前置设备cpe设备，所述第一安全设备为防火墙。

63、在一些实施方式中，所述nat探测报文为stun绑定请求报文，所述nat响应报文为stun绑定响应报文。

64、在一些实施方式中，所述接收单元，还用于接收由所述第二网关发送的所述第二接入设备访问所述第一接入设备的第一数据报文，所述第一数据报文的源ip地址和源端口号分别为所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号，所述第一数据报文的目的ip地址和目的端口号分别为所述第一ip地址和所述第一端口号；

65、所述装置还包括：处理单元，用于根据所述入方向nat转换表项，所述第一网关将所述第一数据报文的目的ip地址和目的端口号分别转换为所述第二ip地址和所述第二端口号，以得到第二数据报文；

66、所述发送单元，还用于向所述第一安全设备发送所述第二数据报文。

67、在一些实施方式中，所述装置还包括：处理单元，用于基于所述第一数据报文的源ip地址和源端口号与源地址验证条目的匹配结果，对所述第一数据报文进行源地址验证，所述源地址验证条目包括所述第二网关为第二接入设备的第二tnp分配的第三ip地址和第三端口号。

68、在一些实施方式中，所述接收单元，还用于接收所述第一接入设备通过所述第一安全设备发送的访问所述第二接入设备的第三数据报文，所述第三数据报文的源ip地址和源端口号分别为所述第二ip地址和所述第二端口号，所述第三数据报文的目的ip地址和目的端口号分别为所述第二网关为第二接入设备的第二tnp分配的第三ip地址和所述第三端口号；

69、所述装置还包括：处理单元，用于根据所述出方向nat转换表项，将所述第三数据报文的源ip地址和源端口号分别转换为所述第一ip地址和所述第一端口号，得到第四数据报文；

70、所述发送单元，还用于向所述第二网关发送所述第四数据报文。

71、在一些实施方式中，所述第二协议报文为bgp报文，所述bgp报文包括地址族标识、子地址族标识以及nlri字段，所述地址族标识和/或所述子地址族标识用于标识所述bgp报文携带nat后的ip地址和端口号，所述nlri字段包括所述第四ip地址和所述第四端口号。

72、第五方面，提供了一种通信装置，该通信装置包括多个功能单元，所述多个功能单元相互作用，以实现上述任一方面，或任一方面任一可能的实施方式中所述的方法的部分或全部操作。该通信装置例如用于实现第二方面或第二方面中任一可能的实施方式中第一接入设备所执行的方法。

73、具体来说：所述通信装置包括：

74、发送单元，用于通过第一安全设备向第一网关发送nat探测报文，所述nat探测报文包括所述第一接入设备的第一传输网络接口tnp的信息，所述第一传输网络接口的信息包括所述第一传输网络接口的互联网协议ip地址和所述第一传输网络接口的端口号，所述nat探测报文的源地址和源端口号分别为第一第一tnp的ip地址和端口号，所述第一接入设备通过第一因特网线路与所述第一网关连接，所述第一因特网线路经过第一安全设备；

75、接收单元，用于接收来自所述第一网关发送的针对所述nat探测报文的nat响应报文，所述nat响应报文包括所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号；

76、处理单元，用于根据所述第一ip地址和所述第一端口号与第二接入设备建立端到端sd-wan隧道，所述端到端sd-wan隧道的隧道端点分别为所述第一接入设备和所述第二接入设备，所述端到端sd-wan隧道经过所述第一安全设备，所述第一网关，第二网关，以及第二安全设备。即，所述第一接入设备通过所述第一安全设备，所述第一网关，第二网关，以及第二安全设备与所述第二接入设备通信连接。

77、在一些实施方式中，所述发送单元，还用于向所述第二接入设备发送第一bgp报文，所述第一bgp报文包括所述第一ip地址、所述第一端口号和所述第一传输网络接口的信息。

78、在一些实施方式中，所述接收单元，还用于接收所述第二接入设备发送的第二bgp报文，所述第二bgp报文包括所述第二网关为所述第二接入设备分配的第二ip地址、所述第二网关为所述第二接入设备分配的第二端口号和所述第二接入设备的第二传输网络接口的信息。

79、在一些实施方式中，所述处理单元，用于基于所述第一ip地址、所述第一端口号、所述第二ip地址和所述第二端口号，建立到所述第二接入设备的端到端sd-wan隧道。

80、在一些实施方式中，所述发送单元，还用于通过所述第一安全设备和所述第一网关，发送访问所述第二接入设备的第一数据报文，所述第一数据报文包括sd-wan隧道封装报文头，所述sd-wan隧道封装报文头的源ip地址和源端口号分别为所述第一传输网络接口的ip地址和端口号，所述sd-wan隧道封装报文头的目的ip地址和目的端口号分别为所述第二ip地址和所述第二端口号。

81、在一些实施方式中，所述接收单元，还用于接收所述第二接入设备通过所述第二安全设备和所述第二网关发送的访问所述第一接入设备的第二数据报文，所述第二数据报文包括sd-wan隧道封装报文头，所述sd-wan隧道封装报文头的源ip地址和源端口号分别为所述第二ip地址和所述第二端口号，所述sd-wan隧道封装报文头的目的ip地址和目的端口号分别为所述第一传输网络接口的ip地址和端口号。

82、第六方面，提供了一种通信装置，该通信装置包括多个功能单元，所述多个功能单元相互作用，以实现上述任一方面，或任一方面任一可能的实施方式中所述的方法的部分或全部操作。该通信装置例如用于实现第三方面或第三方面中任一可能的实施方式中的第一网关所执行的方法。

83、具体来说：所述通信装置包括：

84、接收单元，用于接收由第二网关发送的第二接入设备访问第一接入设备的第一数据报文，所述第一数据报文的目的ip地址和目的端口号分别为所述第一网关为所述第一接入设备分配的第一ip地址和第一端口号，所述第一数据报文的源ip地址和源端口号分别为所述第二网关为所述第二接入设备分配的第二ip地址和第二端口号；

85、处理单元，用于根据入方向nat转换表项，将所述第一数据报文的目的ip地址和目的端口号分别转换为第三ip地址和第三端口号，以得到第二数据报文，所述第三ip地址和第三端口号分别为所述第一安全设备对所述第一接入设备的第一传输网络接口tnp的ip地址和端口号进行网络地址转换nat后得到的ip地址和端口号，所述入方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第三ip地址和第三端口号；

86、发送单元，用于向所述第一安全设备发送所述第二数据报文。

87、在一些实施方式中，所述入方向nat转换表项还包括所述第二ip地址和第二端口号，所述处理单元，还用于根据所述第一数据报文的源ip地址以及源端口号分别与所述入方向nat转换表项中的第二ip地址和第二端口号匹配，对所述第一数据报文源地址验证通过。

88、在一些实施方式中，所述接收单元，还用于接收所述第一接入设备通过所述第一安全设备发送的访问所述第二接入设备的第三数据报文，所述第三数据报文的目的ip地址和目的端口号分别为所述第二ip地址和所述第二端口号，所述第三数据报文的源ip地址和源端口号分别为所述第三ip地址和所述第三端口号；所述处理单元，还用于根据出方向nat转换表项，将所述第三数据报文的源ip地址和源端口号分别转换为所述第一ip地址和所述第一端口号，得到第四数据报文，所述出方向nat转换表项包括所述第一ip地址、所述第一端口号、所述第三ip地址和所述第三端口号；

89、所述发送单元，还用于向所述第二网关发送所述第四数据报文。

90、本技术实施例上述任一方面中提及的通信装置，可以是用于实现本技术方法的芯片，也可以是交换机、路由器等网络设备，还可以是网络设备上的一部分组件，例如是网络设备上的单板，线卡，还可以是网络设备上的一个功能模块，本技术实施例不做具体限定。通信装置之间例如可以但不限于通过以太网线或光缆直接连接。当所述通信装置为芯片时，通信装置的接收单元和/或发送单元，可以由芯片的接口电路来实现，通信装置的处理单元，可以由芯片的处理电路来实现。

91、第七方面，提供了一种通信装置，该通信装置例如为第一网关，该通信装置包括处理器，所述处理器与存储器耦合，所述存储器中存储有至少一条计算机程序指令，所述至少一条计算机程序指令由所述处理器加载并执行，以使所述通信装置实现上述第一方面或第一方面任一种可选方式所提供的方法。第七方面提供的通信装置的具体细节可参见上述第一方面或第一方面任一种可选方式，此处不再赘述。

92、第八方面，提供了一种通信装置，通信装置例如为第一接入设备，该通信装置包括处理器，所述处理器与存储器耦合，所述存储器中存储有至少一条计算机程序指令，所述至少一条计算机程序指令由所述处理器加载并执行，以使所述通信装置实现上述第一方面或第一方面任一种可选方式所提供的方法。第八方面提供的通信装置的具体细节可参见上述第一方面或第一方面任一种可选方式，此处不再赘述。

93、第九方面，提供了一种通信装置，通信装置例如为第一网关，该通信装置包括处理器，所述处理器与存储器耦合，所述存储器中存储有至少一条计算机程序指令，所述至少一条计算机程序指令由所述处理器加载并执行，以使所述通信装置实现上述第一方面或第一方面任一种可选方式所提供的方法。第九方面提供的通信装置的具体细节可参见上述第一方面或第一方面任一种可选方式，此处不再赘述。

94、第十方面，提供了一种计算机可读存储介质，该存储介质中存储有至少一条指令，该指令在处理器上运行时，执行上述第一方面或第一方面任一种可选方式所提供的方法。

95、第十一方面，提供了一种计算机可读存储介质，该存储介质中存储有至少一条指令，该指令在处理器上运行时，执行上述第二方面或第二方面任一种可选方式所提供的方法。

96、第十二方面，提供了一种计算机可读存储介质，该存储介质中存储有至少一条指令，该指令在处理器上运行时，执行上述第三方面或第三方面任一种可选方式所提供的方法。

97、第十三方面，提供了一种计算机程序产品，所述计算机程序产品包括一个或多个计算机程序指令，当所述计算机程序指令被处理器加载并运行时，执行上述第一方面或第一方面任一种可选方式所提供的方法。

98、第十四方面，提供了一种计算机程序产品，所述计算机程序产品包括一个或多个计算机程序指令，当所述计算机程序指令被处理器加载并运行时，执行上述第二方面或第二方面任一种可选方式所提供的方法。

99、第十五方面，提供了一种计算机程序产品，所述计算机程序产品包括一个或多个计算机程序指令，当所述计算机程序指令被处理器加载并运行时，执行上述第三方面或第三方面任一种可选方式所提供的方法。

100、第十六方面，提供了一种芯片，包括接口电路和处理电路，通过所述接口电路和所述处理电路，执行上述任一方面或任一方面任意一种可能的实现方式中的方法的部分或全部操作。

101、第十七方面，提供了一种通信系统，该通信系统包括上述第四方面或第四方面任一种可选方式所述的通信装置以及上述第五方面或第五方面任一种可选方式所述的通信装置。或者，该通信系统包括上述第六方面或第六方面任一种可选方式所述的通信装置以及上述第五方面或第五方面任一种可选方式所述的通信装置。