提供弹性VPN服务的方法、系统和VPN服务中心

摘要

本发明公开了一种提供弹性VPN服务的方法、系统和VPN服务中心，涉及VPN领域。其中方法包括VPN服务中心为每个客户创建一个VPN根域；VPN服务中心对客户的VPN根域以及其所属VPN成员进行管理；VPN服务中心接受VPN成员的注册，以便实现端到端的VPN通信。用户共享VPN服务中心的VPN资源，VPN服务中心通过VPN域进行资源控制，从而实现对用户提供弹性的VPN服务。

说明书

技术领域

本发明涉及VPN（Virtual Private Network，虚拟专用网络）技 术领域，特别涉及一种提供弹性VPN服务的方法、系统和VPN服 务中心。

背景技术

随着网络的日益普及，公司各分支机构之间为了共享商业数据， 需要将各分支机构联网，在保证数据存储和传输安全的前提下实现数 据共享。为达此目的，企业各分支机构之间除了租用专线实现互联之 外，还可以利用隧道等技术建立VPN，从而通过公共网络实现类似 私有专网的数据传输。

在传统的VPN网关组网模式中，由于VPN网关的容量需要根据 用户数预先配置好，这样VPN网关只能对用户提供固定的VPN服务。 因此，部署VPN网关时会处于两难抉择：如果按现有需要配置硬件， 则以后扩容时则需要更换网关设备，原有投资无法得到保证；如果按大 容量标准配置硬件，则容易造成投资的过度。

发明内容

本发明实施例所要解决的一个技术问题是：提供一种提供弹性 VPN服务的方法、系统和VPN服务中心，以解决现有技术中只能为 用户提供固定VPN服务的问题。

根据本发明实施例的一个方面，提供了一种提供弹性虚拟专用网络 服务的方法，包括：虚拟专用网络VPN服务中心为每个客户创建一个 VPN根域；所述VPN服务中心对客户的VPN根域以及其所属VPN成 员进行管理；所述VPN服务中心接受VPN成员的注册，以便实现端到 端的VPN通信。

可选地，所述VPN服务中心对客户的VPN根域及其所属VPN成 员进行管理包括：所述VPN服务中心在VPN根域下创建VPN子域， 在VPN子域添加VPN成员，将VPN成员划分成员组，并为VPN成员 或成员组制定安全策略。

可选地，所述VPN服务中心接受VPN成员的注册包括：所述VPN 服务中心接收VPN成员通过其终端上报的节点信息，所述节点信息包 括用户标识、互联网协议IP地址和端口号；所述VPN服务中心向VPN 成员的终端下发配置信息，所述配置信息包括VPN成员所属VPN子 域和所属VPN子域中在线终端。

可选地，所述VPN服务中心接受VPN成员的注册之后，所述方法 还包括：所述VPN服务中心接收第一终端发送的与第二终端建立VPN 隧道的请求；所述VPN服务中心根据所述建立VPN隧道的请求，查 找相应的安全策略；如果所述安全策略允许所述第一终端和所述第二 终端建立VPN隧道，所述VPN服务中心向所述第一终端和所述第二 终端下发隧道建立信息，以便所述第一终端和所述第二终端根据所述 隧道建立信息建立VPN隧道。

可选地，所述VPN服务中心根据所述建立VPN隧道的请求，查 找相应的安全策略包括：所述VPN服务中心根据所述建立VPN隧道 的请求携带的所述第一终端和所述第二终端的用户标识，查找所述第 一终端和所述第二终端之间的安全策略。

可选地，所述方法还包括：所述VPN服务中心确定所述第一终端 和所述第二终端是否均为私网IP地址；如果所述第一终端和所述第二 终端均为私网IP地址，所述VPN服务中心通知所述第一终端和所述 第二终端分别和所述VPN服务中心中的具有公网IP地址的VPN转发 系统建立VPN隧道；或者，如果所述第二终端为公网IP地址，所述 VPN服务中心通知所述第一终端向所述第二终端发起VPN隧道建立 请求；或者，如果所述第一终端为公网IP地址，所述VPN服务中心 通知所述第二终端向所述第一终端发起VPN隧道建立请求。

可选地，所述VPN服务中心基于云计算技术构建。

根据本发明实施例的另一个方面，提供了一种虚拟专用网络服务中 心，包括：VPN业务管理系统，用于为每个客户创建一个VPN根域； 对客户的VPN根域以及其所属VPN成员进行管理；以及VPN接入系 统，用于接受VPN成员的注册，以便实现端到端的VPN通信。

可选地，所述VPN业务管理系统，用于在VPN根域下创建VPN 子域，在VPN子域添加VPN成员，将VPN成员划分成员组，并为VPN 成员或成员组制定安全策略。

可选地，所述VPN接入系统，用于接收VPN成员通过其终端上 报的节点信息，所述节点信息包括用户标识、互联网协议IP地址和端 口号；向VPN成员的终端下发配置信息，所述配置信息包括VPN成 员所属VPN子域和所属VPN子域中在线终端。

可选地，所述VPN接入系统，还用于接收第一终端发送的与第二 终端建立VPN隧道的请求；根据所述建立VPN隧道的请求，查找相 应的安全策略；如果所述安全策略允许所述第一终端和所述第二终端 建立VPN隧道，向所述第一终端和所述第二终端下发隧道建立信息， 以便所述第一终端和所述第二终端根据所述隧道建立信息建立VPN 隧道。

可选地，所述VPN接入系统，用于根据所述建立VPN隧道的请 求携带的所述第一终端和所述第二终端的用户标识，查找所述第一终 端和所述第二终端之间的安全策略。

可选地，所述虚拟专用网络服务中心还包括：具有公网IP地址的 VPN转发系统；所述VPN接入系统，还用于确定所述第一终端和所 述第二终端是否均为私网IP地址；如果所述第一终端和所述第二终端 均为私网IP地址，所述VPN服务中心通知所述第一终端和所述第二 终端分别和所述VPN转发系统建立VPN隧道；或者，如果所述第二 终端为公网IP地址，所述VPN服务中心通知所述第一终端向所述第 二终端发起VPN隧道建立请求；或者，如果所述第一终端为公网IP 地址，所述VPN服务中心通知所述第二终端向所述第一终端发起VPN 隧道建立请求。

可选地，所述VPN服务中心基于云计算技术构建。

根据本发明实施例的再一个方面，提供了一种提供弹性虚拟专用网 络服务的系统，包括上述VPN服务中心和终端。

本发明用户共享VPN服务中心的VPN资源，VPN服务中心通过 VPN域进行资源控制，从而实现对用户提供弹性的VPN服务。另外， VPN服务中心集中管理安全策略，用户根据安全策略按需动态建立 VPN隧道，用户自己无须VPN路由组织，因此减少了配置管理的复 杂性。并且，通过用户标识进行安全控制，使得安全策略不依赖于IP 地址，在终端IP地址改变时不影响安全策略，从而使得安全策略的维 护管理比较简单。另外，增设了一个具有公网IP地址的VPN转发系 统，具有私网IP地址的两个终端分别与具有公网IP地址的VPN转发 建立VPN隧道，从而在第一终端和第二终端间接建立起VPN连接， 解决了传统VPN中用户接入受限的问题。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将 对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见 地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技 术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获 得其他的附图。

图1示出本发明一个实施例提供的虚拟专用网络架构示意图。

图2示出本发明一个实施例的开户过程信息交互图。

图3示出本发明一个实施例的注册过程信息交互图。

图4示出本发明一个实施例的VPN隧道建立过程信息交互图。

图5示出本发明提供弹性VPN服务的方法的一个实施例的流程图。

图6示出本发明提供弹性VPN服务的方法的另一个实施例的流程图。

图7示出本发明提供弹性VPN服务的方法的再一个实施例的流程图。

图8示出本发明虚拟专用网络服务中心的一个实施例的结构示意图。

图9示出本发明虚拟专用网络服务中心的另一个实施例结构示意图。

图10示出本发明提供弹性VPN服务的系统的一个实施例的结构示 意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案 进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实 施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实 际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。 基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前 提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相 对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺 寸并不是按照实际的比例关系绘制的。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详 细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说 明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是 示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具 有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此， 一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行 进一步讨论。

图1示出本发明一个实施例提供的虚拟专用网络架构示意图。如图 1所示，该虚拟专用网络包括VPN服务中心102和终端104。其中，VPN 服务中心102可以包括VPN业务管理系统102a、VPN接入系统102b、 VPN转发系统102c。VPN业务管理系统102a主要负责VPN域管理、 用户的安全策略管理、用户帐号管理、用户路由信息封装管理，在IPSec （Internet Protocol Security，互联网协议安全性）VPN中还可以协助建 立用户端到端的IPSec加密隧道。VPN接入系统102b负责接收用户请 求、对用户进行认证等。VPN转发系统102c具有公网IP地址，负责为 VPN成员提供包转发服务，不论VPN成员是公网用户还是私网用户， 均可以实现VPN成员之间的双向通信，后续会详细说明。需要说明的是， 虚拟专用网络服务中心102可以基于云计算技术构建，从而可以根据用 户需求动态的调整资源配置。终端104一般可以有两个以上，作为示例， 图1仅示出两个终端，即第一终端和第二终端，每个终端可以安装客户 端软件，从而自动获取成员密钥，对数据包进行路由信息封装，以及自 动建立和拆除端到端的IPSec加密信道等。

一个完整的VPN服务流程通常包括三个阶段，分别是开户阶段、 注册阶段、VPN隧道建立阶段，下面分别详细说明。

图2示出本发明一个实施例的开户过程信息交互图。如图2所示， 该实施例的开户过程具体包括：

S202，业务管理员为每个客户在VPN服务中心创建一个VPN根 域以及根域管理员帐号，具体可以在VPN业务管理系统创建。

S204，VPN业务管理系统向根域管理员下发数字证书1。

S206，根域管理员通过其账号登录VPN服务中心，提交数字证 书1进行身份认证。

S208，VPN业务管理系统通过数字证书1对根域管理员进行身份 认证，如果认证通过，则向根域管理员返回身份认证通过消息，如果认 证不通过，则向根域管理员返回身份认证失败消息。

S210，根域管理员在身份认证通过后，在VPN服务中心对自身 对应的VPN根域及其所属VPN成员进行管理，具体可以在VPN业 务管理系统进行管理。例如，根域管理员可以进一步在VPN根域创 建添加VPN子域，在VPN子域还可以添加VPN成员，将VPN成 员划分成员组等，并可以针对VPN成员或者成员组灵活地制定安全 策略，以实现对企业内部的管理和控制。其中，VPN成员可以是企 业内部用户的终端，如个人电脑，移动设备等。

S212，VPN业务管理系统为VPN成员分配用于唯一标识VPN 成员的用户标识，以及成员账号和临时密码。其中，安全策略可以与 用户标识相对应。

S214，VPN成员通过其成员账号和临时密码登录VPN业务管理 系统。

S216，VPN业务管理系统向VPN成员下发数据证书2。

由上述开户过程可以看出，用户共享VPN服务中心的VPN资 源，VPN服务中心通过VPN域进行资源控制，从而实现对用户提供 弹性的VPN服务。

至此，开户过程结束。后续，VPN成员可以向VPN服务中心发 起注册过程。

图3示出本发明一个实施例的注册过程信息交互图。如图3所示， 终端即为VPN成员，终端向VPN服务中心的VPN接入系统发起注册， 该实施例的注册过程具体包括：

S302，VPN成员可以在其终端可以安装客户端软件，然后终端 自动向VPN服务中心的VPN接入系统提交注册请求，该请求中可以 携带终端的节点信息，如用户标识、IP地址、端口号等。

S304，VPN接入系统向终端发送身份认证请求。

S306，终端向VPN接入系统提交数字证书2进行身份验证。

S308，VPN接入系统根据数字证书2对终端进行身份验证，验 证通过后，向终端发送认证通过消息。

S310，终端和VPN接入系统双方协商加密算法和会话密钥，建 立加密信道。

S312，VPN接入系统向终端下发VPN成员所属VPN子域、同 属VPN子域中的在线终端等配置信息；

S314，终端定时发送保活信息，表明其在线状态。如果终端的 IP地址发生改变，则重新启动注册流程，以更新其节点信息。由于 VPN接入系统存储的是用户标识与安全策略的对应关系，因此，终端 IP地址改变并不会影响安全策略，只须更新终端的用户标识对应的 IP地址即可，无须更新相关的安全策略，从而使得安全策略的维护 管理比较简单。

至此，注册过程结束。后续，各个VPN成员可以通过VPN服 务中心建立VPN隧道。

图4示出本发明一个实施例的VPN隧道建立过程信息交互图。 如图4所示，第一终端和第二终端均为VPN成员，第一终端和第二 终端通过VPN服务中心建立VPN隧道，该实施例的VPN隧道建立 过程包括：

S402，第一终端在“在线终端”列表中选择第二终端，向VPN 服务中心的VPN接入系统发送与第二终端建立VPN隧道的请求， 该请求可以携带第一终端和第二终端的用户标识。

S404，VPN接入系统根据第一终端和第二终端的用户标识查找 相应的安全策略，如果符合安全策略，即安全策略允许第一终端与第 二终端建立VPN连接，VPN接入系统进一步确定第一终端和第二终 端是否均为私网IP地址；

a）如果第一终端和第二终端中至少有一个是公网IP地址，则

S406a1，VPN接入系统向两个终端下发预共享密钥等隧道建立信 息，并通知一个终端向具有公网IP地址的另一个终端发起VPN隧道 建立流程；

S406a2，两个终端根据预共享密钥等隧道建立信息最终建立起端 到端的VPN隧道。

例如，如果第二终端为公网IP地址，VPN接入系统通知第一终 端向第二终端发起VPN隧道建立请求，VPN接入系统向第一终端发 送第二终端的公网IP地址，并向第一终端和第二终端下发预共享密钥 等隧道建立信息，第一终端根据第二终端的公网IP地址向第二终端发 起VPN隧道建立流程，第一终端和第二终端根据预共享密钥等隧道建 立信息最终建立起VPN隧道。

又如，如果第一终端为公网IP地址，VPN接入系统通知第二终 端向第一终端发起VPN隧道建立请求，VPN接入系统向第二终端发 送第一终端的公网IP地址，并向第一终端和第二终端下发预共享密钥 等隧道建立信息，第二终端根据第一终端的公网IP地址向第一终端发 起VPN隧道建立流程，第一终端和第二终端根据预共享密钥等隧道建 立信息最终建立起VPN隧道。

另外，需要说明的是，如果两个终端都具有公网IP地址，可以由 任意一方发起VPN隧道建立流程，但是通常情况下，可以由发送建立 VPN隧道请求的一方来发起VPN隧道建立流程，例如，如果第一终 端和第二终端均具有公网IP地址，在本实施例中则可以由第一终端向 第二终端发起VPN隧道建立流程。

b）如果第一终端和第二终端均为私网IP地址，则

S406b1，VPN接入系统通知第一终端和第二终端分别和具有公网 IP地址的VPN转发系统建立VPN隧道，并向第一终端和第二终端下 发VPN转发系统的公网IP地址以及预共享密钥等隧道建立信息；

S406b2，第一终端根据VPN转发系统的公网IP地址向VPN转 发系统发起VPN隧道建立流程，第一终端和VPN转发系统根据预 共享密钥等隧道建立信息最终建立起VPN隧道；同时，第二终端根 据VPN转发系统的公网IP地址向VPN转发系统发起VPN隧道建 立流程，第二终端和VPN转发系统根据预共享密钥等隧道建立信息 最终建立起VPN隧道，则第一终端和第二终端通过VPN转发系统 间接建立起了VPN隧道，后续，第一终端和第二终端可以通过VPN 转发系统进行数据传输。

由上述VPN隧道建立过程可以看出，VPN服务中心集中管理安 全策略，用户根据安全策略按需动态建立VPN隧道，用户自己无须 VPN路由组织，因此减少了配置管理的复杂性。并且，通过用户标 识进行安全控制，使得安全策略不依赖于IP地址，在终端IP地址改 变时不影响安全策略，从而使得安全策略的维护管理比较简单。另外， 增设了一个具有公网IP地址的VPN转发系统，具有私网IP地址的 两个终端分别与具有公网IP地址的VPN转发建立VPN隧道，从而 在第一终端和第二终端间接建立起VPN连接，解决了传统VPN中 用户接入受限的问题。

至此，VPN隧道建立过程结束。后续，各个VPN成员可以通过 建立的VPN隧道进行数据传输。

参考上述VPN服务流程，为了解决现有技术中只能为用户提供 固定VPN服务的问题，本发明的一个实施例还提供了一种提供弹性 VPN服务的方法，图5示出该方法的流程图，包括：

S502，VPN服务中心为每个客户创建一个VPN根域。

S504，VPN服务中心对客户的VPN根域以及其所属VPN成员进 行管理；具体地，VPN服务中心在VPN根域下创建VPN子域，在VPN 子域添加VPN成员，将VPN成员划分成员组，并为VPN成员或成员组 制定安全策略。

S506，VPN服务中心接受VPN成员的注册，以便实现端到端的 VPN通信。

上述实施例中，用户共享VPN服务中心的VPN资源，VPN服 务中心通过VPN域进行资源控制，从而实现对用户提供弹性的VPN 服务。

参考上述VPN服务流程，为了解决现有技术中用户自己需要配 置和维护VPN路由组织的问题，如图6所示，VPN服务中心接受 VPN成员的注册之后，提供弹性VPN服务的方法还包括：

S602，VPN服务中心接收第一终端发送的与第二终端建立VPN 隧道的请求；

S604，VPN服务中心根据建立VPN隧道的请求，查找相应的安 全策略；

S606，如果安全策略允许第一终端和第二终端建立VPN隧道， VPN服务中心向第一终端和第二终端下发隧道建立信息，以便第一终 端和第二终端根据隧道建立信息建立VPN隧道。

上述实施例中，VPN服务中心集中管理安全策略，用户根据安全 策略按需动态建立VPN隧道，用户自己无须VPN路由组织，因此减 少了配置管理的复杂性。

其中，VPN服务中心可以根据建立VPN隧道的请求携带的第一 终端和第二终端的用户标识，查找第一终端和第二终端之间的安全策 略。

通过用户标识进行安全控制，使得安全策略不依赖于IP地址，在 终端IP地址改变时不影响安全策略，从而使得安全策略的维护管理比 较简单。

参考上述VPN服务流程，为了解决现有技术中两个终端均为私 网IP地址时接入受限的问题，如图7所示，安全策略允许第一终端 和第二终端建立VPN隧道之后，提供弹性VPN服务的方法还包括：

S702，VPN服务中心确定第一终端和第二终端是否均为私网IP 地址；

S704a，如果第一终端和第二终端均为私网IP地址，VPN服务中 心通知第一终端和第二终端分别和VPN服务中心中的具有公网IP地 址的VPN转发系统建立VPN隧道；

S704b，如果第二终端为公网IP地址，VPN服务中心通知第一终 端向第二终端发起VPN隧道建立请求；

S704c，如果第一终端为公网IP地址，VPN服务中心通知第二终 端向第一终端发起VPN隧道建立请求。

上述实施例中，增设了一个具有公网IP地址的VPN转发系统， 具有私网IP地址的两个终端分别与具有公网IP地址的VPN转发建 立VPN隧道，从而在第一终端和第二终端间接建立起VPN连接， 解决了传统VPN中用户接入受限的问题。

图8所示为本发明虚拟专用网络服务中心的一个实施例的结构示 意图，如图8所示，包括：

VPN业务管理系统102a，用于为每个客户创建一个VPN根域；对 客户的VPN根域以及其所属VPN成员进行管理；以及

VPN接入系统102b，用于接受VPN成员的注册，以便实现端到 端的VPN通信。

作为另一实施例，VPN业务管理系统102a，用于在VPN根域下创 建VPN子域，在VPN子域添加VPN成员，将VPN成员划分成员组， 并为VPN成员或成员组制定安全策略。

作为另一实施例，VPN接入系统102b，用于接收VPN成员通过 其终端上报的节点信息，节点信息包括用户标识、互联网协议IP地址 和端口号；向VPN成员的终端下发配置信息，配置信息包括VPN成 员所属VPN子域和所属VPN子域中在线终端。

作为另一实施例，VPN接入系统102b，还用于接收第一终端发送 的与第二终端建立VPN隧道的请求；根据建立VPN隧道的请求，查 找相应的安全策略；如果安全策略允许第一终端和第二终端建立VPN 隧道，向第一终端和第二终端下发隧道建立信息，以便第一终端和第 二终端根据隧道建立信息建立VPN隧道。

作为另一实施例，VPN接入系统102b，用于根据建立VPN隧道 的请求携带的第一终端和第二终端的用户标识，查找第一终端和第二 终端之间的安全策略。

作为另一实施例，如图9所示，虚拟专用网络服务中心还包括：具 有公网IP地址的VPN转发系统120c；VPN接入系统，还用于确定第 一终端和第二终端是否均为私网IP地址；如果第一终端和第二终端均 为私网IP地址，VPN服务中心通知第一终端和第二终端分别和VPN 转发系统建立VPN隧道；或者，如果第二终端为公网IP地址，VPN 服务中心通知第一终端向第二终端发起VPN隧道建立请求；或者，如 果第一终端为公网IP地址，VPN服务中心通知第二终端向第一终端 发起VPN隧道建立请求。

作为另一实施例，VPN服务中心基于云计算技术构建。

上述实施例中，用户共享VPN服务中心的VPN资源，VPN服 务中心通过VPN域进行资源控制，从而实现对用户提供弹性的VPN 服务。另外，VPN服务中心集中管理安全策略，用户根据安全策略 按需动态建立VPN隧道，用户自己无须VPN路由组织，因此减少 了配置管理的复杂性。并且，通过用户标识进行安全控制，使得安全 策略不依赖于IP地址，在终端IP地址改变时不影响安全策略，从而 使得安全策略的维护管理比较简单。另外，增设了一个具有公网IP 地址的VPN转发系统，具有私网IP地址的两个终端分别与具有公 网IP地址的VPN转发建立VPN隧道，从而在第一终端和第二终端 间接建立起VPN连接，解决了传统VPN中用户接入受限的问题。

图10所示为本发明提供弹性虚拟专用网络服务的系统的一个实 施例的结构示意图，如图10所示，提供弹性虚拟专用网络服务的系统 包括：上述VPN服务中心102和终端104。VPN服务中心102和终端 104的相关描述参见前述，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可 以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程 序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是 只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本 发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包 含在本发明的保护范围之内。