CN100456716C - 一种虚拟私有网上的数据传输方法 - Google Patents

Abstract

本发明公开了一种虚拟私有网上的数据传输方法，其特征在于该方法包括：A、VPN中的每个用户端分别通过UDP封装的Tunnel报文向服务器端发送注册信息，服务器端将用户端的注册信息分别通过UDP封装的Tunnel报文发送到注册成功的用户端；B、注册成功的用户端根据得到的注册信息，建立VPN节点之间的映射关系；C、传输数据的源VPN节点根据所建立的映射关系，将源地址和源端口号、目的地址和目的端口号、以及被传输的数据采用UDP封装的形式封装在Tunnel报文中，然后，将封装后报文发送到目的VPN节点。

Description

一种虚拟私有网上的数据传输方法

技术领域

本发明涉及网络的数据传输领域，尤其涉及一种虚拟私有网(VPN)的数据传输方法。

背景技术

当前，通过网络传输数据正得到更多的应用，以VPN技术为例，该技术的主要特点在于：利用公共网络基础设施，通过“隧道”技术等手段达到类似私有专网的数据安全传输。在现有技术中，采用基于通用路由封装(GRE)的隧道(Tunnel)技术实现在VPN上的数据传输。在该技术中，Tunnel在公共网络上提供虚拟的点对点连接通路，采用GRE封装将被传输的数据封装起来形成数据包，在Tunnel在公共网络上所提供的虚拟通路上传输该数据包，以此方式实现在VPN上的数据传输。下面以一个具有总部和分支机构的企业为例，说明该企业是如何利用VPN进行数据传输的。在该企业中，总部和分支机构通过互联网服务提供商(ISP)接入互联网(INTERNET)，为了实现在VPN上进行数据传输，各个分支机构和总部在各自的接入设备上分别建立Tunnel接口，每个Tunnel接口均有各自的私网地址，所有分支机构在通过接入设备接入互联网时，其各自的接入设备均被动态分配一个公网IP地址，而总部的接入设备则具有一个固定的公网IP地址，分支机构向总部发送注册信息，这些注册信息均包括每个分支机构接入设备的当前公网IP地址和Tunnel接口的私网地址，总部得到这些注册信息后，将所有的注册信息发布给所有注册成功的分支机构，每个注册成功的分支机构在得到这些注册信息后，就能够根据这些信息，通过接入设备的Tunnel接口实现在INTERNET上进行具有良好安全性的数据传输。

然而，随着接入INTERNET的用户逐渐增多，可供ISP分配给用户的公网IP地址越来越少，为了能够更加有效的使用有限的公网IP地址资源，以接入更多的用户，ISP在为用户提供接入INTERNET的接入服务时，多采用地址转换(NAT)技术。利用该NAT技术，ISP为接入INTERNET的用户分配ISP内部的私网地址，在用户通过ISP接入INTERNET时，再将该私网地址转换为公网地址，以此方式实现节省公网IP地址资源。此种NAT技术目前只适用于包括传输控制协议(TCP)和用户数据报协议(UDP)在内的传输层协议，而对于上述基于GRE的Tunnel技术则不支持，因此，就造成了NAT技术无法与当前使用的VPN技术共同使用的问题，从而限制了VPN技术的应用。

发明内容

有鉴于此，本发明的主要目的在于提供一种VPN上的数据传输方法，该方法采用UDP封装的Tunnel报文进行数据传输，在VPN上进行数据传输时，使得在ISP使用NAT技术的情况下，依然可以建立VPN，从而在有效利用公网IP地址资源的基础上进行VPN数据传输。

本发明为一种虚拟私有网上的数据传输方法，构建虚拟私有网(VPN)的接入设备至少包括服务器端和用户端，所述服务器端和用户端为VPN网络的节点，其特征在于，该方法包括：

A1、VPN中的各个用户端分别将包括ISP当前分配给该用户端的ISP的私网IP地址、UDP端口号和Tunnel接口的VPN内部私网IP地址在内的注册信息通过UDP封装的Tunnel报文发送到该用户端所接入的ISP，该ISP上的NAT设备分别将接收到报文中的ISP的私网IP地址和UDP端口号转换成为公网IP地址和端口号，并且记录地址转换结果，然后将转换后的注册信息发送到服务器端；

A2、服务器端将所有用户端发送来的注册信息生成VPN信息表，根据每个用户端发送来的注册信息将该VPN信息表通过UDP封装的Tunnel报文分别发送到注册成功的用户端；

B、注册成功的用户端根据得到的VPN信息表，建立VPN节点之间的映射关系；

C1、传输数据的源VPN节点根据所建立的映射关系，将源地址和源端口号、目的地址和目的端口号、以及被传输的数据采用UDP封装的形式封装在Tunnel报文中，该封装的报文经过源VPN节点和目的VPN节点的ISP，通过公共网络传输到目的VPN节点，在传输过程中，连接用户端的ISP上的NAT设备利用步骤A1中的地址转换结果对该报文中的地址进行转换。

其中，步骤A1中所述记录地址转换结果为：

ISP上的NAT设备将地址转换结果记录为一个NAT Cache表项。

其中，步骤A2中所述服务器端根据每个用户端发送来的注册信息将该VPN信息表通过UDP封装的Tunnel报文分别发送到每个注册成功的用户端包括：

服务器端以用户端的发送来的注册信息中的公网IP地址和UDP端口号作为所述UDP封装的Tunnel报文的目的地址和端口号，将该Tunnel报文发送到该将用户端接入INTERNET的ISP上，该ISP上的NAT设备根据步骤A1中的地址转换结果，将该Tunnel报文的公网IP地址和端口号转换为ISP的私网IP地址和UDP端口号，然后，根据转换后的ISP的私网IP地址和UDP端口号将该Tunnel报文发送到用户端。

其中，步骤C1中所述源VPN节点根据所建立的映射关系，将源地址和源端口号、目的地址和目的端口号、以及被传输的数据采用UDP封装的形式封装在Tunnel报文中包括：

所述源VPN节点将该源VPN节点的IP地址和UDP端口号作为源IP地址和端口号，将映射关系中提供的目的VPN节点的IP地址和端口号作为目的IP地址和端口号，用UDP方式将被传输的数据封装在Tunnel报文中。

其中，在步骤C1中，所述连接用户端的ISP上的NAT设备利用步骤A1中的地址转换结果对该报文中的地址进行转换包括：

NAT设备根据NAT Cache表项所记录的地址转换结果进行所述转换。

其中，步骤A1进一步包括：

每个用户端定期通过UDP封装的Tunnel报文向服务器端上报携带有该用户端的ISP分配的私网IP地址、UDP端口号和Tunnel私网地址在内的注册信息，每个用户端所接入的ISP上的NAT设备进行所述地址转换，NAT设备用当前的地址转换结果更新自身上已经记录的地址转换结果。

其中，所述服务器端的IP地址为ISP分配的私网地址时，该方法进一步包括：

为服务器端提供接入网络的ISP上的NAT设备将该私网地址转换为一个与该私网地址一对一对应的公网地址。

可见，本发明采用UDP封装Tunnel报文，然后将该Tunnel报文在VPN上进行传输；当Tunnel用于构建VPN时，由于采用UDP封装的Tunnel报文在该网络上传输数据，因而使得在ISP采用NAT技术的情况下，仍然可以在VPN上传输数据从而，可以在更有效的使用公网地址资源的情况下在VPN上进行数据传输，达到扩大VPN数据传输方法应用范围的目的。

附图说明

图1为本发明的动态VPN技术组网图。

图2为本发明中采用UDP封装方式的Tunnel报文格式示意图。

具体实施方式

本发明为一种VPN上的数据传输方法，该方法采用UDP封装的Tunnel报文在网络上传输数据，下面结合附图，对本发明进行详细描述。

以一个具有1个公司总部和2个分支机构的企业为例，参见图1所示，该企业设有1个总部和2个分支机构；总部通过接入设备R0接入INTERNET，分支机构1和分支机构2分别通过接入设备R1和接入设备R2接入INTERNET，R0作为VPN网络中的服务器(SERVER)端，R1和R2作为用户(CLIENT)端，R0、R1和R2都被称为VPN节点，他们之间互为VPN邻居。ISP0为R0提供接入INTERNET的服务，ISP1和ISP2分别为R1和R2提供接入INTERNET的服务。R0具有固定的公网IP地址gIP0和预先指定的UDP端口PORT，R0上设置有隧道接口，该隧道接口具有私网地址uip0；R1和R2的IP地址为ISP的私网IP地址，而不是INTERNET的地址，该ISP的私网IP地址在R1和R2通过ISP接入INTERNET时由各自的ISP动态分配，R1和R2的UDP端口分别为私网端口dport1和dport2，ISP1和ISP2均使用NAT技术，该NAT技术可以实现多个ISP所分配的私网IP地址和UDP端口号与一个预先设定的INTERNET的公网IP地址和UDP端口号的相互转换；R1和R2上分别设置有隧道接口，R1的隧道接口具有VPN内部的私网地址uip1，R2的隧道接口具有VPN内部的私网地址uip2。在本发明其它实施例中，R0、R1和R2也可采用其它ISP接入INTERNET，或者还可采用相同的ISP接入INTERNET，R0、R1和R2接入INTERNET的方式不影响本发明的实现。

下面以分支机构1上的PC向分支机构2上的PC传输数据为例，说明本发明实施例中的数据的传输过程，具体包括：

步骤A：

R0、R1和R2分别通过ISP0、ISP1和ISP2接入INTERNET时，ISP1和ISP2分别为R1和R2分配动态的私网IP地址dIP1和dIP2，R1和R2在分别得到该动态私网IP地址后，生成注册报文，该注册报文采用如图2所示的UDP封装的Tunnel报文格式；在图2所示的Tunnel报文格式中，外层的IP Header和UDP Header是经过Tunnel封装后生成的新的IP报文头和UDP报文头，Payload Packet是负载报文，实际上就是VPN内部传输的IP报文，VPN Header可以包含VPN ID、TYPE、OPTION项，其中，VPN ID不是必需的，TYPE用来指明该报文所携带内容的类型；由于本步骤中的Tunnel报文是注册报文，因此，该报文中的负载报文项的内容为空，在该报文中携带有注册信息，以R1为例，该注册报文中所包括的注册信息以及注册信息在该注册报文中的携带方式参见表1所示：

类别	内容	携带方式
			从ISP动态获取的IP地址	dIP1	作为IP Header的源IP地址
发起连接的UDP端口号	Dport1	作为UDP Header的源端口号
			Server的固定IP地址	gIP0	作为IP Header的目的IP地址
Server上预先指定的端口号	PORT	作为UDP Header的目的端口号
			报文类型	Register	作为VPN Header中的TYPE域
Tunnel隧道上的私网地址	uip1	作为VPN Header里的选项携带
			VPN标识	VPN ID	VPN Header中的VPN ID域，可选

表1

R2注册报文中的注册信息内容以及注册信息的携带方式与R1类似；

步骤B：

R1和R2将注册报文分别通过ISP1和ISP2进行NAT转换后发送到R0，以R1为例，该步骤具体包括：

ISP1收到R1发送来的注册报文，在ISP1的NAT设备上对该注册报文中的IP源地址和UDP源端口号进行NAT转换，具体包括：

将注册报文中的IP Header项的IP源地址dIP1和UDP源端口号dport1转换成新的INTERNET上的公网IP地址gIP1和端口号gport1，NAT设备记录一个NAT cache表项，该表项中包括由本次地址转换的结果：dIP1/dport1<＝＝>gIP1/gport1；

对于R2的注册报文，ISP2上的NAT设备对该注册报文所作的NAT转换与ISP1对R1注册报文所作NAT转换类似，其转换结果为：

将R2注册报文中的IP源地址dIP2和UDP源端口号dport2转换成新的INTERNET上的公网IP地址gIP2和端口号gport2，并且ISP2的NAT设备记录一个NAT cache表项，该表项中包括由本次地址转换的结果：Dip2/dport2<＝＝>gIP2/gport2；

在ISP1和ISP2上的NAT设备分别对R1和R2的注册报文进行NAT转换之后，将转换后的注册报文发送到R0；

步骤C：

R0收到R1和R2发送来的注册报文，判断这些注册报文中的信息是否为合法的注册信息，如果是，则注册成功，记录这些注册报文中的注册信息；本发明实施例中，R0将R1和R2注册报文中的注册信息记录在一张VPN信息表中，参见表2所示，该表具体包括R0、R1和R2各自的Tunnel的私网IP地址、源IP地址和源端口号，R0将该VPN信息表携带在图2所示报文格式的OPTION项中；

表2

步骤D：

R0根据R1和R2的注册信息，向R1和R2分别发送UPDATE报文，该UPDATE报文中携带有步骤C中R0所记录的注册信息，在本发明实施例中，该UPDATE报文仍然采用图2所示的报文格式，表2所示的包括R0、R1和R2在内的注册信息作为图2所示报文格式中的OPTION内容携带在VPN Header中；发送给R1的UPDATE报文的目的地址和目的端口号为R1注册信息中所包括的gIP1/gport1，而发送给R2的UPDATE报文的目的地址和目的端口号为R2注册信息中所包括的gIP2/gport2，发往R1的UPDATE报文首先到达ISP1的NAT设备，NAT设备根据在步骤B所记录的内容为dIP1/dport1<＝＝>gIP1/gport1的NAT Cache，将该UPDATE报文中的目的地址和端口号改为dIP1/dport1，然后将该报文发往R1；同理，ISP2的NAT设备也对UPDATE报文进行地址转换，将目的地址和端口号改为dIP2/dport2后发往R2；

步骤E：

R1和R2分别收到UPDATE报文，由UPDATE报文中分别得到VPN中该VPN中所有注册节点的信息，该信息包括该注册节点的Tunnel的私网IP地址、该节点的源IP地址以及该节点的源端口号，根据得到的这些注册节点的信息，R1和R2分别建立与该VPN上其余节点的映射；

步骤F：

分支机构1向分支机构2所发送的数据首先到达R1，R1根据路由表查到出接口是Tunnel，下一跳是VPN节点R2的Tunnel的私网ip地址uip2；R1根据步骤E中所建立的映射，将gIP2作为目的IP地址、gport2作为目的端口号、dIP1作为源IP地址、dport1作为源端口号对要传输的数据进行UDP方式的Tunnel封装形成新的数据包报文，该数据包报文在经过NAT转换后发送到R2；在本发明实施例中，该数据包报文自R1发送到R2的具体过程包括：

该数据包报文自R1发送到ISP1的NAT设备，ISP1的NAT设备根据记录的内容为dIP1/dport1<＝＝>gIP1/gport1的NAT Cache项，将该数据包报文中的源地址和端口号由dIP1/dport1转换成gIP1/gport1，而目的地址和端口号不变；

然后，该数据包报文到达ISP2的NAT设备后，该ISP2的NAT设备根据其记录的内容为dIP2/dport2<＝＝>gIP2/gport2的NAT Cache项，将该数据包报文中的目的地址和端口号由gIP2/gport2改为dIP2/dport2，然后根据该数据包报文在进行NAT转换后的目的地址和端口号dIP2/dport2，将该数据包报文发送到R2；

步骤G：

R2收到该数据包报文后，判断得到该报文的目的IP地址和端口号dIP2/dport2与自己的Tunnel接口用来封装数据的源IP地址和源端口号dIP2/dport2相同，从而确认这个报文是经过封装的私网的报文，R2去除这个UDP方式的Tunnel封装，将该报文中负载报文项中的IP数据包还原出来，再将还原出来的IP数据包发送到分支机构2的PC上，从而完成从分支机构1的PC到分支机构2的PC的数据传输。

由于一般NAT设备中的NAT Cache都是有生存周期的，因此，为了保证在通讯过程中Cache不会因为超时而失效，本发明实施例中所有的Client要定期向Server注册，以保持NAT设备中的Cache项会定时被刷新而不会超时删除。

以上所举仅为在VPN中，分支机构1向分支机构2传输数据的过程，同理，依照本发明上述实施例所述的方法，也可以完成任意两个VPN节点间的数据传输。在当数据传输的源VPN节点或目的VPN节点为SERVER端时，由于在本发明实施例中，与SERVER端连接的ISP没有采用NAT技术，因此，在与SERVER端连接的ISP上不进行NAT地址转换，其余过程与上述实施例相同。

同样，对于具有SERVER和多个CLIENT的VPN的情况，也可以利用上述方法实现在VPN上进行数据传输。

另外，在本发明其它实施例中，作为SERVER的接入设备的固定的IP地址也可采用私网IP地址，在此情况下，为SERVER提供接入服务的ISP要为该私网地址提供一个与之一一对应的公网地址，在收发报文过程中，为SERVER提供接入服务的ISP上的NAT设备实现私网地址与公网地址的NAT转换。

以上所述为在VPN上进行数据传输的具体实现方法，可见，该方法支持ISP所采用的NAT技术，使得动态VPN技术能够在更宽的领域实现。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1、一种虚拟私有网上的数据传输方法，构建虚拟私有网VPN的接入设备至少包括服务器端和用户端，所述服务器端和用户端为VPN网络的节点，其特征在于，该方法包括：

A1、VPN中的各个用户端分别将包括互联网服务提供商ISP当前分配给该用户端的ISP的私网IP地址、用户数据报协议UDP端口号和隧道Tunnel接口的VPN内部私网IP地址在内的注册信息通过UDP封装的Tunnel报文发送到该用户端所接入的ISP，该ISP上的地址转换NAT设备分别将接收到报文中的ISP的私网IP地址和UDP端口号转换成为公网IP地址和端口号，并且记录地址转换结果，然后将转换后的注册信息发送到服务器端；

A2、服务器端将所有用户端发送来的注册信息生成VPN信息表，根据每个用户端发送来的注册信息将该VPN信息表通过UDP封装的Tunnel报文分别发送到注册成功的用户端；

B、注册成功的用户端根据得到的VPN信息表，建立VPN节点之间的映射关系；

C1、传输数据的源VPN节点根据所建立的映射关系，将源地址和源端口号、目的地址和目的端口号、以及被传输的数据采用UDP封装的形式封装在Tunnel报文中，该封装的报文经过源VPN节点和目的VPN节点的ISP，通过公共网络传输到目的VPN节点，在传输过程中，连接用户端的ISP上的NAT设备利用步骤A1中的地址转换结果对该报文中的地址进行转换。

2、根据权利要求1所述的方法，其特征在于，步骤A1中所述记录地址转换结果为：

ISP上的NAT设备将地址转换结果记录为一个NAT Cache表项。

3、根据权利要求1所述的方法，其特征在于，步骤A2中所述服务器端根据每个用户端发送来的注册信息将该VPN信息表通过UDP封装的Tunnel报文分别发送到每个注册成功的用户端包括：

服务器端以用户端的发送来的注册信息中的公网IP地址和UDP端口号作为所述UDP封装的Tunnel报文的目的地址和端口号，将该Tunnel报文发送到该将用户端接入INTERNET的ISP上，该ISP上的NAT设备根据步骤A1中的地址转换结果，将该Tunnel报文的公网IP地址和端口号转换为ISP的私网IP地址和UDP端口号，然后，根据转换后的ISP的私网IP地址和UDP端口号将该Tunnel报文发送到用户端。

4、根据权利要求1所述的方法，其特征在于，步骤C1中所述源VPN节点根据所建立的映射关系，将源地址和源端口号、目的地址和目的端口号、以及被传输的数据采用UDP封装的形式封装在Tunnel报文中包括：

所述源VPN节点将该源VPN节点的IP地址和UDP端口号作为源IP地址和端口号，将映射关系中提供的目的VPN节点的IP地址和端口号作为目的IP地址和端口号，用UDP方式将被传输的数据封装在Tunnel报文中。

5、根据权利要求2所述的方法，其特征在于，在步骤C1中，所述连接用户端的ISP上的NAT设备利用步骤A1中的地址转换结果对该报文中的地址进行转换包括：

NAT设备根据NAT Cache表项所记录的地址转换结果进行所述转换。

6、根据权利要求1所述的方法，其特征在于，步骤A1进一步包括：

每个用户端定期通过UDP封装的Tunnel报文向服务器端上报携带有该用户端的ISP分配的私网IP地址、UDP端口号和Tunnel私网地址在内的注册信息，每个用户端所接入的ISP上的NAT设备进行所述地址转换，NAT设备用当前的地址转换结果更新自身上已经记录的地址转换结果。

7、根据权利要求1所述的方法，其特征在于所述服务器端的IP地址为ISP分配的私网地址时，该方法进一步包括：

为服务器端提供接入网络的ISP上的NAT设备将该私网地址转换为一个与该私网地址一对一对应的公网地址。

Images