在二层隧道协议虚拟专用网实现移动的方法、系统和装置

摘要

本发明提供了一种二层隧道协议虚拟专用网(L2TP VPN)中实现移动的方法、系统和装置，访问集中器(LAC)检测到远端设备的LAC地址变更后，向网络服务器(LNS)发送携带变更后的LAC地址信息和L2TP隧道标识的隧道重关联请求，并利用变更后的LAC地址更新远端设备中包含L2TP隧道标识的L2TP隧道信息；LNS接收到隧道重关联请求后，利用变更后的LAC地址信息在本地更新包含L2TP隧道标识的L2TP隧道信息，并向LAC客户端回复隧道重关联响应；远端设备和LNS利用本地更新后的L2TP隧道信息发送数据。通过本发明能够提高远端设备在移动过程中的安全性和方便性。

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种二层隧道协议虚拟专用网实现移动的方法和系统。

背景技术

远程访问虚拟专用网(Access VPN)向出差流动员工、远程办公人员和远程小办公室提供了通过公用网络与企业内部网络(Intranet)建立私有的网络连接。

二层隧道协议虚拟专用网(L2TP VPN)是Access VPN的一种，采用L2TP构建虚拟专用网络，其典型组网如图1所示，主要包括：远端设备、L2TP访问集中器(LAC)和网络服务器(LNS)。其中，远端设备是要接入Intranet网络的远端用户设备或分支结构，通常是一个用户主机或私有分支网络的一台路由设备。LAC是具有点对点(PPP)端系统和L2TP处理能力的设备，通常是当地网络服务提供商(ISP)的网络接入服务器(NAS)，为PPP端设备提供接入服务，其位于远端设备和LNS之间，用于在LNS和远端设备之间传递信息包。LNS既是PPP端设备，又是L2TP协议的服务器端，通常作为一个Intranet网络的边缘设备。在该组网中，通过在公网中建立L2TP隧道连接，将远端设备的PPP连接的另一端由LAC在逻辑上延伸到了Intranet网络的LNS，从而实现远端设备接入Intranet。

L2TP VPN的连接建立包括两种类型，一种是NAS发起的VPN连接，一种是用户发起的VPN连接。本发明主要涉及用户发起的VPN连接，如图2所示，这种方式下，远端设备为本地支持L2TP协议的设备，即在远程设备中设置了LAC客户端，该LAC客户端获得Internet访问权限后，可直接向LNS发起隧道连接请求，无需经过一个单独的LAC设备建立L2TP隧道，远程设备的LAC地址由LNS分配。其中，LAC地址是L2TP隧道使用的私网地址。

在L2TP隧道建立完成后，远端设备会在建立的L2TP隧道上进行PPP会话协商和PPP认证，从而建立PPP会话。但是，如果远端设备为移动用户，则常常遇到LAC地址发生变化的情况，例如，远端设备的接入点发生变化，或者切换到不同的网卡。这就需要重新建立L2TP隧道，并在新建立的L2TP隧道上重新进行PPP会话协商和PPP认证。这就需要远程设备记住用户输入的PPP认证信息，存在一定安全隐患，或者需要用户重新输入PPP认证信息给用户带来不便。另外，重新进行的PPP会话协商会为远程设备重新分配PPP地址，PPP地址的变化往往会给业务应用带来不便。例如远程用户如果使用FTP从Intranet下载数据，远程设备的移动如果造成LAC地址变化，则重新进行的PPP会话协商为远程设备重新分配PPP地址，则会造成FTP的下载中断，需要利用新的PPP地址重新进行FTP下载任务。

发明内容

有鉴于此，本发明提供了一种在L2TP VPN实现移动的方法和系统，以便于在远程设备移动造成LAC地址变化时，无需远程设备记住用户输入的PPP认证信息，且无需重新进行PPP会话协商，从而提高安全性和方便性。

一种在L2TP VPN实现移动的方法，应用于包含远端设备、LAC和LNS的L2TP VPN，其中，LAC客户端设置在远端设备中；该方法包括：

A、LAC客户端检测到所述远端设备的LAC地址变更后，向所述LNS发送携带变更后的LAC地址信息和L2TP隧道标识的隧道重关联请求，并利用变更后的LAC地址更新远端设备中包含所述L2TP隧道标识的L2TP隧道信息；

B、所述LNS接收到隧道重关联请求后，利用所述变更后的LAC地址信息在本地更新包含所述L2TP隧道标识的L2TP隧道信息，并向所述LAC客户端回复隧道重关联响应；

C、所述远端设备和LNS利用本地更新后的L2TP隧道信息发送数据。

一种在L2TP VPN中实现移动的系统，该系统包括：远端设备、LAC客户端和LNS，其中，所述LAC客户端设置在所述远端设备中；

所述LAC客户端，用于检测到所述远端设备的LAC地址变更后，向所述LNS发送携带变更后的LAC地址信息和L2TP隧道标识的隧道重关联请求，并利用变更后的LAC地址信息更新远端设备中包含所述L2TP隧道标识的L2TP隧道信息，以便所述远端设备利用本地更新后的L2TP隧道信息发送数据；

所述LNS，用于接收到隧道重关联请求后，利用所述变更后的LAC地址信息在本地更新包含所述L2TP隧道标识的L2TP隧道信息，以便利用本地更新后的L2TP隧道信息发送数据，向所述LAC客户端回复隧道重关联响应。

一种LAC客户端，应用于包含远端设备、LAC客户端和LNS的系统，所述LAC客户端设置在所述远端设备中；所述LAC客户端包括：变更检测单元、第一重关联单元和第一更新单元；

所述变更检测单元，用于检测所述远端设备的LAC地址是否发生变更；

所述第一重关联单元，用于在所述变更检测单元检测到所述远端设备的LAC地址发生变更后，向所述LNS发送携带变更后的LAC地址信息和L2TP隧道标识的隧道重关联请求，以供所述远端设备利用变更后的LAC地址信息在远端设备本地更新包含所述L2TP隧道标识的L2TP隧道信息；

所述第一更新单元，用于在所述变更检测单元检测到所述远端设备的LAC地址发生变更后，利用变更后的LAC地址信息更新所述远端设备中包含所述L2TP隧道标识的L2TP隧道信息，以便所述远端设备利用本地更新后的L2TP隧道信息发送数据。

一种LNS，应用于包含远端设备、LAC客户端和LNS的系统，所述LAC客户端设置在所述远端设备中；所述LNS包括：第二重关联单元和第二更新单元；

所述第二重关联单元，用于接收所述LAC客户端在检测到所述远端设备的LAC地址变更后发送的隧道重关联请求；在所述第二更新单元更新L2TP隧道信息后，向所述LAC客户端回复隧道重关联响应；

所述第二更新单元，用于从所述隧道重关联请求中获取远端设备变更后的LAC地址信息和L2TP隧道标识，利用所述变更后的LAC地址信息更新该LNS中包含所述L2TP隧道标识的L2TP隧道信息，以便该LNS利用本地更新后的L2TP隧道信息发送数据。

由以上技术方案可以看出，本发明中LAC客户端将变更后的LAC地址和L2TP隧道标识通过隧道重关联请求发送给LNS，使得LAC和LNS都能够利用LAC地址信息更新本地包含L2TP隧道标识的L2TP隧道信息，便可以基于更新后的L2TP隧道信息进行数据通信，而无需重新建立L2TP隧道。由于对原有L2TP隧道来说仅更换了L2TP隧道信息中的LAC地址，因此与该L2TP隧道相关联的会话不会受到影响，无需远端设备记住用户输入的PPP认证信息，也无需用户重新输入PPP认证信息，从而提高了安全性；也无需重新进行相关会话的协商，用户的IP地址不会引起变更，从而为各种会话应用带来方便，也可以使得基于L2TP隧道的会话得以快速恢复。

附图说明

图1为L2TP VPN的典型组网示意图；

图2为用户发起L2TP VPN连接的示意图；

图3为本发明实施例提供的详细方法流程图；

图4为本发明实施例提供的AVP格式示意图；

图5为本发明实施例提供的L2TP隧道信息的示意图；

图6为本发明实施例提供的系统结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明所提供的方法主要包括：LAC客户端检测到远端设备的LAC地址变更后，向LNS发送携带L2TP隧道标识和变更后LAC地址信息的隧道重关联请求(SCRRQ)，并利用变更后的LAC地址在本地更新包含该L2TP隧道标识的L2TP隧道信息；LNS利用该变更后的LAC地址信息在本地更新包含该L2TP隧道标识的L2TP隧道信息，并向LAC客户端回复隧道重关联响应(SCRRP)；远端设备和LNS利用本地更新后的L2TP隧道信息发送数据。

另外，可以在初始的L2TP隧道建立过程中，LAC客户端与LNS进行L2TP移动接入能力的协商，如果LAC客户端和LNS都支持L2TP移动接入，则可以在远端设备检测到自身的LAC地址变更后，按照本发明提供的上述方法进行隧道重关联；如果LAC客户端或LNS不支持L2TP移动接入，则可以在远端设备检测到自身的LAC地址变更后，按照现有技术中的方式重新建立L2TP隧道，也可以按照其它方式处理。

下面结合具体实施例对上述方法进行详细描述。图3为本发明实施例提供的详细方法流程图，如图3所示，该方法可以包括以下步骤：

步骤301：在L2TP隧道建立过程中，远端设备的LAC客户端通过隧道建立请求(SCCRQ)携带远端设备的L2TP移动接入能力信息。

本发明可以在L2TP隧道建立过程的能力协商过程中，通过扩展的L2TP控制报文来携带远端设备的L2TP移动接入能力信息。可以具体为：首先在SCCRQ中包含扩展的属性值对(AVP，Attribute-Value-Pair)，该AVP用于描述L2TP移动接入能力，其格式可以如图4所示。其中，M字段用于携带该属性是否为可选属性，可以用0标识可选；H字段用于携带该属性是否需要隐藏，可以用0标识不需要隐藏；属性长度(Length)字段用于携带该属性的长度信息；企业标识(Vendor ID)字段用于携带企业标识，由于不同的企业可能采用不同的AVP版本，因此，可以用该字段对不同版本进行区分；属性类型(Attribute Type)字段可以定义为0x1；属性值(AttributeValue)字段携带L2TP移动接入能力信息。

步骤302：LNS接收到携带远端设备的L2TP移动接入能力信息的SCCRQ后，在隧道建立响应(SCCRP)中携带该LNS的L2TP移动接入能力信息。

本步骤中，也可以通过在SCCRP中通过扩展的AVP携带该LNS的L2TP移动接入能力信息，具体携带方式与步骤301中相同。

LAC客户端获取到LNS的L2TP移动接入能力信息后，如果确定LNS支持L2TP移动接入，则在检测到远端设备的LAC地址变更后，按照下述步骤执行。如果确定LNS不支持L2TP移动接入，则在检测到远端设备的LAC地址变更后，可以按照现有技术中的方式重新建立L2TP隧道，或者采用其它方式处理。

后续隧道建立过程、PPP会话协商和PPP认证过程与现有技术相同，在此省略。

如果LAC客户端检测到远端设备的LAC地址变更，则不再重新建立L2TP隧道，而是执行下述隧道重关联过程。

步骤303：当LAC客户端检测到远端设备的LAC地址变更后，确定变更前的LAC地址对应的L2TP隧道标识，向LNS发送携带L2TP隧道标识和变更后LAC地址信息的SCRRQ，并利用变更后的LAC地址在本地更新包含该L2TP隧道标识的L2TP隧道信息。

当远端设备与LNS完成L2TP隧道建立后，在远端设备和LNS端都会保存建立的L2TP隧道信息，该L2TP隧道信息的内容可以如图5所示，包括：LAC地址、LAC端口、LNS地址、LNS端口和L2TP隧道标识。需要说明的是，L2TP隧道标识可能包含：LAC客户端分配的L2TP隧道标识(LACAssigned Tunnel ID)和LNS分配的L2TP隧道标识(LNS Assigned TunnelID)，这两个隧道标识可能并不相同，针对这种情况，本发明中涉及到的L2TP隧道标识是指LNS分配的L2TP隧道标识。

远端设备和LNS通常利用本地保存的L2TP隧道信息进行数据的封装和解封装，以及隧道的维护。另外，包括PPP会话等基于该L2TP隧道的会话信息与对应的L2TP隧道标识相关联。

LAC客户端检测到远端设备的LAC地址变更后，可以根据本地的L2TP隧道信息确定变更LAC地址对应的L2TP隧道标识。然后通过SCRRQ将变更后的LAC地址信息和该L2TP隧道标识发送给LNS，以进行隧道重关联。

该SCRRQ是一个新增的L2TP控制报文，该SCRRQ的AVP中除了包含L2TP隧道标识之外，还可以包含报文类型信息、协议版本号、远端设备标识。变更后的LAC地址信息可以通过该SCRRQ的源地址信息携带，如果LAC端口也发生变更，则还可以通过SCRRQ的源端口信息携带变更后的LAC端口信息。

另外，LAC客户端会利用变更后的LAC端口在本地更新包含该L2TP隧道标识的L2TP隧道信息。

步骤304：LNS从接收到的SCRRQ中获取变更后的LAC地址信息和L2TP隧道标识，确定包含该L2TP隧道标识的L2TP隧道信息，将该L2TP隧道信息中的LAC地址更新为变更后的LAC地址，然后向LAC客户端回复SCRRP。

如果LAC端口也发生变更，则同时利用变更后的LAC端口，将确定的L2TP隧道信息中的LAC端口更新为变更后的LAC端口。上述变更后的LAC地址和变更后的LAC端口可以从SCRRQ的源地址和源端口获取，这样即便在LAC客户端和LNS之间存在NAT，也能够保证隧道重关联的正确性。

如果LNS没有找到包含L2TP隧道标识的L2TP隧道信息，或者LNS本身不支持L2TP移动接入，则可以不回复SCRRP。

步骤305：LAC客户端接收到SCRRP后，向LNS回复隧道重关联成功报文(SCRCN)。

步骤306：LNS接收到SCRCN后，回应零长度体响应(ZLB ACK)。

至此，隧道重关联过程结束。由于L2TP隧道没有重建且重关联的L2TP隧道标识没有发生变化，PPP会话利用的用户IP地址也没有发生变化，因此可以利用已有的PPP会话参数继续基于该L2TP隧道进行相应的PPP会话。

更优地，由于LAC地址的变更对于LNS来说是不可预知的，因此，在LAC客户端发起隧道重关联之前LNS需要保留所有的隧道信息，为了防止LAC客户端意外断线长时间占用隧道资源，可以为隧道信息进行超时处理，如果在设定时间内没有通过某L2TP隧道接收到报文，则删除该L2TP隧道的隧道信息并释放该L2TP隧道资源。

在上述隧道重关联过程中，LAC客户端通过SCRRQ告知LNS发生变更的LAC地址和L2TP隧道标识之间的对应关系，这样很容易遭到非法攻击。只要知道了L2TP隧道标识，非法LAC客户端就可以接管已存在的L2TP隧道，使得合法的LAC客户端不能使用该L2TP隧道进行通信。因此，为了进一步提高安全性，可以在上述重关联过程中引入LAC认证过程，具体方案如下：

在步骤302中，如果LNS支持L2TP移动接入，在回复的SCCRP中除了携带该LNS的L2TP移动接入能力信息之外，还可以携带LNS为所述L2TP隧道分配的隧道重关联挑战码(RCC)，该RRC同样可以通过扩展的AVP携带。其中，该RRC是LNS随机分配的，对于不同的L2TP隧道，这个随机分配的RRC应最大限度保证唯一性。

另外，在LNS和LAC客户端均会记录该RRC与隧道标识之间的对应关系，以便后续重关联过程中进行认证使用。

当LAC客户端检测到远端设备的LAC地址变更，从而发起隧道重关联过程时，在步骤303中发送的SCRRQ中可以进一步携带隧道重关联认证码(RAC)。其中，该RAC是利用LNS和该LAC客户端的共享密钥(share-key)以及LNS分配的RRC按照约定的算法生成的，具体生成方法可以采用多种方式，例如采用哈希(HASH)算法，即RAC＝HASH(share-key，RCC)，其中，HASH算法可以采用信息摘要算法5(MD5)，也可以采用安全散列算法(SHA)等方式。

在步骤304中，LNS接收到SCRRQ后，还会进一步利用其中包含的RAC对LAC客户端的合法性进行认证，如果认证通过，则重新为该LAC客户端分配RCC，并将该RRC携带在SCRRP中回复给LAC客户端，LAC客户端接收到该重新分配的RRC后，更新记录的RRC与L2TP隧道标识之间的对应关系。如果认证失败，则不更新L2TP隧道信息，且不向LAC客户端回复SCRRP。

其中，LNS在进行合法性认证时，具体的认证过程为：确定SCRRQ中携带的L2TP隧道标识所对应的RRC，利用LNS和该LAC客户端的share-key以及确定的RRC按照约定的算法生成RAC，将生成的RAC与SCRRQ携带的RAC进行比较，如果一致，说明认证通过，否则认证失败。需要说明的是，LNS与LAC客户端在生成RAC时约定的算法是相同的。

以上是对本发明所提供的方法进行的详细描述，下面对本发明所提供的系统进行详细描述。如图6所示，该系统主要包括：远端设备600、LAC客户端610和LNS 620，其中，LAC客户端610设置在远端设备600中。

LAC客户端610，用于检测到远端设备600的LAC地址变更后，向LNS 620发送携带变更后的LAC地址信息和L2TP隧道标识的SCRRQ，并利用变更后的LAC地址信息更新远端设备600中包含L2TP隧道标识的L2TP隧道信息，以便远端设备600利用本地更新后的L2TP隧道信息发送数据。

LNS 620，用于接收到SCRRQ后，利用变更后的LAC地址信息在本地更新包含L2TP隧道标识的L2TP隧道信息，以便利用本地更新后的L2TP隧道信息发送数据，向LAC客户端610回复SCRRP。

下面对上述的LAC客户端610和LNS 620的结构进行具体描述。其中，上述LAC客户端610可以具体包括：变更检测单元611、第一重关联单元612和第一更新单元613。

变更检测单元611，用于检测远端设备600的LAC地址是否发生变更。

第一重关联单元612，用于在变更检测单元611检测到远端设备600的LAC地址发生变更后，向LNS 620发送携带变更后的LAC地址信息和L2TP隧道标识的SCRRQ。

第一更新单元613，用于在变更检测单元600检测到远端设备600的LAC地址发生变更后，利用变更后的LAC地址信息更新远端设备600中包含L2TP隧道标识的L2TP隧道信息。

LNS 620可以具体包括：第二重关联单元621和第二更新单元622。

第二重关联单元621，用于接收SCRRQ；在第二更新单元622更新L2TP隧道信息后，向LAC客户端610回复SCRRP。

第二更新单元622，用于从SCRRQ中获取变更后的LAC地址信息和L2TP隧道标识，利用变更后的LAC地址信息更新该LNS 620中包含L2TP隧道标识的L2TP隧道信息，以便该LNS 620利用本地更新后的L2TP隧道信息发送数据。

更进一步地，第一重关联单元612可以在收到SCRRP后，向LNS 620回复SCRCN。

第二重关联单元621可以在收到SCRCN后，向LAC客户端610回复ZLBACK。

另外，LAC客户端610还可以包括：第一隧道建立单元614和第一能力协商单元615。

第一隧道建立单元614，用于在L2TP隧道建立过程中，向LNS 620发送SCCRQ，接收LNS 620回复的SCCRP。

第一能力协商单元615，用于在SCCRQ中携带远端设备600的L2TP移动接入能力信息；如果根据SCCRP确定LNS 620支持L2TP移动接入，则使能第一重关联单元612在变更检测单元611检测到远端设备600的LAC地址变更后，发送SCRRQ。

如果根据SCCRP确定LNS 620不支持L2TP移动接入，则第一能力协商单元615可以使能第一隧道建立单元612在变更检测单元611检测到远端设备600的LAC地址变更后，重新向LNS 620发起L2TP隧道建立过程，或者采用其它方式处理。

对应地，LNS 620还可以包括：第二隧道建立单元623和第二能力协商单元624。

第二隧道建立单元623，用于接收到SCCRQ后，向LAC客户端610回复SCCRP。

第二能力协商单元624，用于在SCCRP中携带该LNS 620的L2TP移动接入能力信息。

由于远端设备600的移动除了引起LAC地址发生变更之外，还可能引起LAC端口发生变更，针对这种情况，变更检测单元611，还可以用于检测远端设备600的LAC端口是否发生变更。

第一重关联单元612，还用于在远端设备600的LAC端口也发生变更时，在SCRRQ中还携带变更后的LAC端口信息。

第一更新单元613，还用于在远端设备600的LAC端口发生变更时，利用变更后的LAC端口信息更新远端设备600中包含L2TP隧道标识的L2TP隧道信息。

对应地，第二更新单元622，还可以用于利用变更后的LAC端口信息更新该LNS 620中包含L2TP隧道标识的L2TP隧道信息。

其中，LNS 620中的第二更新单元622可以将SCRRQ的源IP地址和源端口分别作为变更后的LAC地址信息和变更后的LAC端口信息。

为了防止非法的LAC客户端利用重关联过程对LNS发起攻击，接管原有的L2TP隧道，造成合法LAC客户端无法使用L2TP隧道，更优地，LNS 620可以进一步包括：第二认证单元625，用于在SCCRP中携带该LNS 620分配的RCC；利用LNS 620和LAC客户端610的共享密钥以及RCC按照约定的算法生成RAC，将生成的RAC与SCRRQ中携带的RAC进行比较，如果一致，则认证成功，则使能第二更新单元622执行更新该LNS 620中包含L2TP隧道标识的L2TP隧道信息；如果不一致，则认证失败，禁止第二更新单元622执行更新该LNS 620中包含L2TP隧道标识的L2TP隧道信息。

LAC客户端610可以进一步包括：第一认证单元616，用于在远端设备600的LAC地址发生变更后，利用LNS 620和LAC客户端610的共享密钥以及RCC按照约定的算法生成RAC，并将该RAC携带在SCRRQ中。

更优地，为了在后续过程中更加严密地保证安全性，第二认证单元625可以在认证成功后，重新分配RCC并携带在所述SCRRP中发送给LAC客户端610。

为了避免LAC客户端断线后长时间占用L2TP隧道资源，LNS 620还可以包括：信息维护单元(该单元在图6中没有示出)，用于在设定时长内没有通过与所述LAC客户端建立的L2TP隧道接收和发送报文，则删除所述L2TP隧道的隧道信息并释放所述L2TP隧道资源。

由以上描述可以看出，本发明中LAC客户端将变更后的LAC地址和L2TP隧道标识通过隧道重关联请求发送给LNS，使得LAC和LNS都能够利用LAC地址信息更新本地包含L2TP隧道标识的L2TP隧道信息，便可以基于更新后的L2TP隧道信息进行数据通信，而无需重新建立L2TP隧道。由于对原有L2TP隧道来说仅更换了L2TP隧道信息中的LAC地址，因此与该L2TP隧道相关联的会话不会受到影响，无需远端设备记住用户输入的PPP认证信息，也无需用户重新输入PPP认证信息，从而提高了安全性；也无需重新进行相关会话的协商，用户的IP地址不会引起变更，从而为各种会话应用带来方便，也可以使得基于L2TP隧道的会话得以快速恢复。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。