(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211227339.6 (22)申请日 2022.10.09 (71)申请人 浙江中控技 术股份有限公司 地址 310000 浙江省杭州市滨江区六和路 309号 (72)发明人 沈伟　章维　陈银桃　郭正飞　 马纳　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 专利代理师 崔熠 (51)Int.Cl. H04L 9/40(2022.01) H04L 61/2503(2022.01) H04L 61/2517(2022.01) H04L 61/2539(2022.01) (54)发明名称 消息转发方法、 装置、 设备及存 储介质 (57)摘要 本申请提供了一种消息转发方法、 装置、 设 备及存储介质， 其中， 该方法包括： 防火墙接收主 设备向从设备 发送的显性连接请求， 并对显性连 接请求进行解析和网络地址转换， 并建立连接映 射信息， 在接收到主设备与从设备之间的隐性通 信消息时， 对隐性通信消息进行解析， 并根据解 析结果以及连接映射信息对 隐性通信请求进行 网络地址转换， 再将转换后的隐性通信请求进行 转发， 一方面， 主设备与从设备的隐性通信可 以 通过显性通信打开通信通道， 并事 先约定任一端 口， 实现隐性通信消息在约定端口的发送与接 收， 从而适应动态端口的通信场景， 另一方面， 可 以实现只对防火墙中保存了连接映射信息的隐 性通信消息进行转发， 提高了隐性通信的可靠度 和效率。 权利要求书2页 说明书12页 附图5页 CN 115550044 A 2022.12.30 CN 115550044 A 1.一种消息转发方法， 其特 征在于， 应用于防火墙， 所述方法包括： 接收主设备向待连接的从设备发送的显性连接请求， 并对所述显性连接请求进行解 析， 得到转换 前四元组， 所述 转换前四元组包括： 源IP、 源端口、 目的IP以及目的端口； 根据目标转换策略， 对所述转换前四元组进行网络地址转换， 得到转换后四元组， 所述 目标转换 策略包括： 主设备转换 策略、 从设备转换 策略； 根据所述转换前四元组和所述转换后 四元组， 建立第一连接映射信息， 向所述从设备 发送包含所述转换后四元组的转换后显性连接请求， 并在接收到所述从设备返回的转换后 显性连接响应后， 向所述主设备发送显性连接响应， 其中， 所述第一连接映射信息包括： 第 一键和第一值， 所述第一键包括： 第一连接标识以及所述转换前四元组， 所述第一值包括： 所述转换后四元组中的源IP和目的IP、 以及所述 转换前四元组中的源端口和目的端口； 接收所述主设备向所述从设备发送的隐性通信请求， 并对所述隐性通信请求进行解 析， 得到所述第一连接标识以及所述 转换前四元组； 根据解析得到的所述第一连接标识、 所述转换前四元组以及第一连接映射信息， 确定 所述第一值， 根据所述第一值对所述隐性通信请求进行网络地址转换， 并将转换后的隐性 通信请求 转发至所述从设备。 2.根据权利要求1所述的方法， 其特征在于， 所述根据目标转换策略， 对所述转换前四 元组进行网络地址转换， 得到转换后四元组之后， 还 包括： 根据所述转换前四元组和所述转换后 四元组， 建立第二连接映射信息， 所述第二连接 映射信息包括： 第二键和第二值， 所述第二键包括： 第二连接标识以及所述转换后四元组， 所述第二 值包括： 所述 转换前四元组。 3.根据权利要求2所述的方法， 其特 征在于， 所述方法还 包括： 接收所述从设备发送的隐性通信消息， 并对所述 隐性通信消息进行解析， 得到所述第 二连接标识以及所述 转换后四元组； 根据解析得到的所述第二连接标识、 所述转换后 四元组以及所述第二连接映射信息， 确定所述第二值， 根据所述第二值对所述隐性通信消息进行网络地址转换， 并将转换后的 隐性通信消息转发至所述主设备。 4.根据权利要求1所述的方法， 其特征在于， 所述根据目标转换策略， 对所述转换前四 元组进行网络地址转换， 得到转换后四元组， 包括： 根据所述主设备转换策略， 对所述转换前四元组中的源I  P和源端口进行转换， 得到转 换后源IP以及转换后源端口； 根据所述从设备转换策略， 对所述转换前四元组中的目的I  P和目的端口进行转换， 得 到转换后目的IP以及转换后目的端口； 将所述转换后源IP、 转换后源端 口、 转换后目的IP以及转换后目的端口组合为所述转 换后四元组。 5.根据权利要求1所述的方法， 其特征在于， 所述根据所述转换前四元组和所述转换后 四元组， 建立第一连接映射信息， 包括： 接收第一连接标识； 将所述第一连接标识以及所述 转换前四元组 组合为所述第一键； 将所述转换后四元组中的源IP和目的IP、 以及所述转换前四元组中的源端口和目的端权　利　要　求　书 1/2 页 2 CN 115550044 A 2口作为所述第一 值。 6.根据权利要求2所述的方法， 其特征在于， 所述根据所述转换前四元组和所述转换后 四元组， 建立第二连接映射信息， 包括： 接收第二连接标识； 将所述第二连接标识以及所述 转换后四元组 组合为所述第二键； 将所述转换前四元组中的源IP和目的IP、 以及所述转换后四元组中的源端口和目的端 口作为所述第二 值。 7.根据权利要求1 ‑6任一项所述的方法， 其特征在于， 所述根据 所述第一值对所述隐性 通信请求进行网络地址转换， 包括： 根据所述第 一值， 对所述隐性通信请求中的传输层数据以及网络层数据进行网络地址 转换。 8.一种消息转发装置， 其特 征在于， 应用于防火墙， 所述装置包括： 接收模块， 用于： 接收主设备向待连接的从设备发送的显性连接请求， 并对所述显性连 接请求进行解析， 得到转换前四元 组， 所述转换前四元 组包括： 源IP、 源端口、 目的IP以及目 的端口； 转换模块， 用于： 根据目标转换策略， 对所述转换前四元组进行网络地址转换， 得到转 换后四元组， 所述目标转换 策略包括： 主设备转换 策略、 从设备转换 策略； 转发模块， 用于： 根据所述转换前四元组和所述转换后四元组， 建立第一连接映射信 息， 向所述从设备发送包含所述转换后四元组的转换后显性连接请求， 并在接 收到所述从 设备返回的转换后显性连接响应后， 向所述主设备发送包含第一连接标识的显性连接响 应， 其中， 所述第一连接映射信息包括： 第一键和第一值， 所述第一键包括： 第一连接标识以 及所述转换前四元 组， 所述第一值包括： 所述转换后四元 组中的源IP和目的IP、 以及所述转 换前四元组中的源端口和目的端口； 所述接收模块， 还用于： 接收所述主设备向所述从设备发送的隐性通信请求， 并对所述 隐性通信请求进行解析， 得到所述第一连接标识以及所述 转换前四元组； 所述转换模块， 还用于： 根据解析得到的所述第 一连接标识、 所述转换前四元组以及第 一连接映射信息， 确定所述第一值， 根据所述第一值对所述隐性通信请求进行网络地址转 换， 并将转换后的隐性 通信请求 转发至所述从设备。 9.一种电子设备， 其特征在于， 包括： 处理器、 存储介质和总线， 所述存储介质存储有所 述处理器可执行 的程序指令， 当电子设备运行时， 所述处理器与所述存储介质之间通过总 线通信， 所述处理器执行所述程序指令， 以执行时执行如权利要求1至7任一所述的消息转 发方法的步骤。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有计算机 程序， 所述计算机程序被处理器运行时执行如权利要求 1至7任一所述的消息转发方法的步 骤。权　利　要　求　书 2/2 页 3 CN 115550044 A 3