CN100461784C - 一种从网关设备之间进行通信的方法和系统 - Google Patents

Abstract

本发明公开了一种从网关设备之间进行通信的方法和系统，应用于采用四层或四层以上隧道技术的虚拟专用网络中。主网关设备将任意两个从网关设备中的一个设置为服务器端；主网关设备将设置为服务器端的从网关设备的IP地址发送至所述两个从网关设备中作为客户端的从网关设备；作为客户端的从网关设备根据接收到的IP地址与设置为服务器端的从网关设备建立隧道连接；所述两个从网关设备通过所建立的隧道连接进行通信。在本发明中，主网关设备无需对从网关设备之间的数据流进行一系列繁琐的转发处理过程，因而大大减少了主网关设备的业务负荷量。

Description

一种从网关设备之间进行通信的方法和系统

技术领域

本发明涉及虚拟专用网络(VPN)技术，特别是涉及一种在采用四层或四层以上隧道技术的VPN中在从网关设备之间实现通信的方法和系统。

背景技术

目前，采用四层或四层以上隧道技术的VPN已被广泛应用。采用四层或四层以上隧道技术的VPN，是基于安全超文本传输协议(HTTPS)来进行VPN的访问，也就是说，客户端通过互联网浏览器便可以进行安全的VPN访问，而无需进行额外的客户端软件安装过程，因此，整个业务实现过程方便快捷。

在采用四层或四层以上隧道技术的VPN中，在每一个地域的分支网络中均设置一个网关设备，不同分支网络中的网关设备之间建立特定隧道连接，并通过所建立的特定隧道连接组建成VPN，从而实现通信。其中，在不同分支网络的各网关设备中，至少有一个网关设备的IP地址为固定的公网IP地址，也就是说，该网关设备每次接入互联网的IP地址为同一个IP地址，而其它网关设备的IP地址为动态的公网IP地址，也就是说，该网关设备每次接入互联网的IP地址不固定，通常为不同的IP地址。为便于描述，以下将具有固定公网IP地址的网关设备称为主网关设备，将不具有固定公网IP地址，即为动态公网IP地址的网关设备称为从网关设备。

安全套接口层虚拟专用网络(SSL VPN)是目前最为常用的一种采用四层以上隧道技术的VPN。图1是现有技术在SSL VPN中在从网关设备之间实现通信的系统结构示意图。图2是现有技术在SSL VPN中在从网关设备之间实现通信的流程图。参见图1和图2，在SSL VPN中，现有技术在从网关设备之间实现通信的过程主要包括：

步骤201：在SSL VPN中，从网关设备A和从网关设备B分别与主网关设备建立安全套接口层(SSL)隧道连接，并分别完成相关的鉴权和认证过程。

步骤202：当从网关设备A与从网关设备B中的一方需要向另一方发送数据流时，该发送数据流的从网关设备，比如为从网关设备A，首先利用所建立的自身与主网关设备之间的SSL隧道连接，将加密后的数据流发送至主网关设备。

这里，如果从网关设备A与一个地址转换设备相连，那么，在本步骤中，从网关设备A首先通过SSL隧道将加密后的数据流发送至该地址转换设备，由该地址转换设备将数据流最外层上SSL封装的IP头中的源IP地址即从网关设备A的IP地址，修改为一个公网的IP地址，然后，该地址转换设备将加密后的数据流发送至主网关设备。

步骤203：主网关设备对所接收到的加密后的数据流进行解密。

步骤204：主网关设备根据解密后的数据流查找路由表，确定路由，然后对数据流进行加密。

步骤205：主网关设备根据所确定的路由，通过自身与从网关设备B之间的SSL隧道连接，将加密后的数据流发送至从网关设备B。

上述图2所示过程描述了在SSL VPN中，从网关设备之间实现通信的过程。而对于其它采用四层以上隧道技术的VPN，在从网关设备之间实现通信的过程与上述图2所示过程的原理完全相同，只是其建立的隧道连接不再是SSL隧道连接，而为其它特定的隧道连接。

由以上描述可以看出，在采用四层以上隧道技术的VPN中，从网关设备之间的数据流必须首先发送给主网关设备，再由该主网关设备转发给对应的从网关设备。这样，主网关设备则必须进行数据流转发的一系列处理过程，比如，对接收到的数据流进行解密、查找路由表、对数据流进行加密等一系列繁琐的处理过程，从而大大增加了主网关设备的业务负荷量。另外，由于从网关设备之间的数据流必须通过主网关设备进行转发，所以增加了数据流的传输时延，降低了数据流的传输速度。

发明内容

有鉴于此，本发明的主要目的在于提供一种从网关设备之间进行通信的方法，本发明的另一目的在于提供一种从网关设备之间进行通信的系统，以便在采用四层以上隧道技术的VPN中减少主网关设备的业务负荷量。

为了达到上述目的，本发明的技术方案是这样实现的：

一种从网关设备之间进行通信的方法，应用于采用四层或四层以上隧道技术的虚拟专用网络中，其特征在于，该方法包括：

S、任意两个从网关设备分别构造在消息体中携带自身IP地址的探测消息，并分别通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备；

A、主网关设备分别根据接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换；如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端；

B、主网关设备将当前设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中当前作为客户端的从网关设备；

C、作为客户端的从网关设备根据接收到的地址信息与设置为服务器端的从网关设备建立隧道连接；

D、所述两个从网关设备通过所建立的隧道连接进行通信。

步骤A中，所述将发来未经过地址转换的探测消息的从网关设备设置为服务器端的步骤包括：主网关设备将监听设置指示发送至发来未经过地址转换的探测消息的从网关设备，接收到监听设置指示的从网关设备启动相应监听端口进行监听；

所述步骤C包括：作为客户端的从网关设备根据监听端口的信息以及接收到的地址信息，将隧道建立请求发送给设置为服务器端的从网关设备；设置为服务器端的从网关设备通过所启动的监听端口接收到隧道建立请求，建立所述的隧道连接。

所述步骤A进一步包括：

如果主网关设备判断出两个探测消息均未经过地址转换，则在所述两个从网关设备中随机选取一个从网关设备作为服务器端。

所述步骤A进一步包括：如果主网关设备判断出两个探测消息均经过地址转换，则在所述两个从网关设备中随机选取一个从网关设备作为服务器端，并设置与所选取从网关设备相连的地址转换设备支持所述两个从网关设备的绑定功能；

在步骤B中，所述设置为服务器端的从网关设备的地址信息为：在设置为服务器端的从网关设备发送至主网关设备的探测消息中，最外层IP头中的、经地址转换设备转换后的源IP地址；

在步骤C中，所述作为客户端的从网关设备将隧道建立请求发送至设置为服务器端的从网关设备的步骤包括：作为客户端的从网关设备根据接收到的地址转换后的源IP地址，将隧道建立请求发送至地址转换设备；地址转换设备根据自身所配置的所述两个从网关设备的绑定功能，将接收到的隧道建立请求发送至设置为服务器端的从网关设备。

在步骤A中，所述监听设置指示中携带有监听端口的信息；

在步骤A中，所述启动相应监听端口的步骤包括：接收到监听设置指示的从网关设备根据监听设置指示中所携带的监听端口的信息，启动相应监听端口；

所述步骤B进一步包括：主网关设备将携带在监听设置指示中的监听端口的信息发送至作为客户端的从网关设备；

在步骤C中，作为客户端的从网关设备所根据的监听端口的信息为主网关设备发来的监听端口的信息。

在步骤A中，所述监听设置指示中未携带监听端口的信息；

在步骤A中，所述启动相应监听端口的步骤包括：接收到监听设置指示的从网关设备启动所述采用四层或四层以上隧道技术的虚拟专用网络中的默认监听端口；

在步骤C中，作为客户端的从网关设备所根据的监听端口的信息为所述采用四层或四层以上隧道技术的虚拟专用网络中的默认监听端口。

所述步骤A进一步包括：主网关设备产生验证码，将该验证码发送至设置为服务器端的从网关设备；

所述步骤B进一步包括：主网关设备将所产生的验证码发送至作为客户端的从网关设备；

所述步骤C进一步包括：作为客户端的从网关设备通过所建立的隧道连接，将验证码发送至设置为服务器端的从网关设备；设置为服务器端的从网关设备判断作为客户端的从网关设备发来的验证码与主网关设备发来的验证码是否相同，如果是，则执行步骤D，否则，结束当前流程。

在判断出验证码相同之后，并在执行步骤D之前，步骤C进一步包括：设置为服务器端的从网关设备将成功消息发送至主网关设备；

在步骤C之后进一步包括：主网关设备判断是否接收到成功消息，如果是，则结束；

否则，主网关设备判断所述两个从网关设备是否均曾被设置为服务器端，如果是，则结束，否则，主网关设备将作为客户端的从网关设备设置为当前的服务器端，返回步骤B。

所述采用四层以上隧道技术的虚拟专用网络为安全套接口层虚拟专用网络。

一种从网关设备之间进行通信的系统，应用于采用四层或四层以上隧道技术的虚拟专用网络中，该系统包括：任意两个从网关设备和主网关设备，其中，

主网关设备，用于分别根据接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换，如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中作为客户端的从网关设备；

作为客户端的从网关设备，用于构造在消息体中携带自身IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，根据接收到的地址信息，与设置为服务器端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为服务器端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为服务器端的从网关设备的数据流；

作为服务器端的从网关设备，用于构造在消息体中携带自身IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，与作为客户端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为客户端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为客户端的从网关设备的数据流。

所述主网关设备，进一步用于产生验证码，将该验证码分别发送至作为客户端的从网关设备和作为服务器端的从网关设备；

作为客户端的从网关设备，进一步用于在建立完所述的隧道连接后，将接收到的验证码发送至作为服务器端的从网关设备；

作为服务器端的从网关设备，进一步用于判断作为客户端的从网关设备发来的验证码与主网关设备发来的验证码是否相同，并在确定出相同后，执行所述发送和接收数据流的过程，在确定出不相同后，拆除所建立的隧道连接。

所述任意两个从网关设备和主网关设备位于安全套接口层虚拟专用网络中。

一种主网关设备，具有固定的公网IP地址，该主网关设备中包括：配置单元和接口单元，其中，

配置单元，用于根据接口单元分别接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换，如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送给接口单元；

接口单元，用于接收所述外部两个从网关设备分别发来的所述两个探测消息，将接收到的从网关设备的地址信息发送给所述外部两个从网关设备中的另一个从网关设备。

所述主网关设备中进一步包括：验证码生成单元，用于产生验证码，将所产生的验证码发送至接口单元；

所述接口单元，进一步用于将接收到的验证码，分别发送给所述外部的两个从网关设备。

一种从网关设备，该从网关设备中包括：接口单元和接入控制单元，其中，

接口单元，用于构造在消息体中携带所在设备IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，接收外部主网关设备发来的地址信息，将接收到的地址信息发送至接入控制单元，通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；

接入控制单元，用于根据接收到的地址信息，在接口单元与所述外部的从网关设备之间建立隧道连接。

所述从网关设备中进一步包括：验证码存储单元，用于接收接入控制单元发来的验证码，并保存；

所述接口单元，进一步用于接收外部主网关设备发来的验证码，将该验证码发送至接入控制单元，并通过所建立的隧道连接将接入控制单元发来的验证码发送至所述外部的从网关设备；

所述接入控制单元，进一步用于将接收到的验证码发送至验证码存储单元，并在建立完所述的隧道连接后，从验证码存储单元中读取验证码，将所读取的验证码发送至接口单元。

一种从网关设备，该从网关设备中包括接口单元和接入控制单元，其中，

接口单元，用于构造在消息体中携带所在设备IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；

接入控制单元，用于在接口单元与所述外部的从网关设备之间建立隧道连接。

所述从网关设备中进一步包括：验证单元，

所述接口单元，进一步用于接收外部的主网关设备发来的验证码，以及接收所述外部的从网关设备通过所建立的隧道连接发来的验证码，将该两个验证码分别发送至验证单元；

所述验证单元，用于接收所述两个验证码，并判断所述两个验证码是否相同，在确定相同后，将成功信息发送至接入控制单元，在确定不相同后，将失败信息发送至接入控制单元；

所述接入控制单元，进一步用于在接收到成功信息后，控制接口单元执行所述的接收和发送数据流的过程，在接收到失败信息后，拆除接口单元与所述外部从网关设备之间的隧道连接。

由此可见，在本发明中，从网关设备之间的数据流能够直接发送给对方，而无需再经过主网关设备的转发，这样，主网关设备则无需再进行诸如解密、查找路由表和对数据流进行加密等一系列繁琐的转发处理过程，因而大大减少了主网关设备的业务负荷量。并且，由于从网关设备之间的数据流无需通过主网关设备进行转发，所以减少了从网关设备之间数据流的传输时延，提高了数据流的传输速度。另外，本发明能够通过验证码来验证从网关设备之间所建立的隧道连接是否合法，因此提高了从网关设备间通信的安全性。

附图说明

图1是现有技术在SSL VPN中在从网关设备之间实现通信的系统结构示意图。

图2是现有技术在SSL VPN中在从网关设备之间实现通信的流程图。

图3是本发明系统的结构示意图。

图3A1是在本发明系统中主网关设备内部的基本结构示意图。

图3A2是在本发明系统中主网关设备内部的优选结构示意图。

图3B1是在本发明系统中作为客户端的从网关设备内部的基本结构示意图。

图3B2是在本发明系统中作为客户端的从网关设备内部的优选结构示意图。

图3C1是在本发明系统中设置为服务器端的从网关设备内部的基本结构示意图。

图3C2是在本发明系统中设置为服务器端的从网关设备内部的优选结构示意图。

图4是本发明实施例的流程图。

图5是在本发明实施例中根据从网关设备所发送的消息是否经过地址转换选取从网关设备的流程图。

具体实施方式

本发明提出了一种在采用四层以上隧道技术的VPN中在从网关设备之间进行通信的方法，其核心思想是：主网关设备将任意两个从网关设备中的一个设置为服务器端；主网关设备将设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中作为客户端的从网关设备；作为客户端的从网关设备根据接收到的地址信息与设置为服务器端的从网关设备建立隧道连接；所述两个从网关设备通过所建立的隧道连接交互数据流。

相应的，本发明还提出了一种在采用四层以上隧道技术的VPN中从网关设备之间进行通信的系统。图3是本发明系统的结构示意图。参见图3，本发明系统包括：任意两个从网关设备和主网关设备，其中，

主网关设备，用于将所述两个从网关设备中的一个设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中作为客户端的从网关设备；

作为客户端的从网关设备，用于根据接收到的地址信息，与设置为服务器端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为服务器端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为服务器端的从网关设备的数据流；

作为服务器端的从网关设备，用于与作为客户端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为客户端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为客户端的从网关设备的数据流。

图3A1是在本发明系统中主网关设备内部的基本结构示意图。参见图3A1，在本发明系统中，所述主网关设备内部的基本结构包括：配置单元和接口单元，并且，配置单元，用于将外部两个从网关设备中的一个设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送给接口单元；接口单元，用于将接收到的从网关设备的地址信息发送给所述外部两个从网关设备中的另一个从网关设备。

图3A2是在本发明系统中主网关设备内部的优选结构示意图。参见图3A2，所述主网关设备中还进一步包括：验证码生成单元，用于产生验证码，将所产生的验证码发送至接口单元；所述接口单元，进一步用于将接收到的验证码，分别发送给所述外部的两个从网关设备。

图3B1是在本发明系统中作为客户端的从网关设备内部的基本结构示意图。参见图3B1，在本发明系统中，所述作为客户端的从网关设备内部的基本结构包括：接口单元和接入控制单元，其中，接口单元，用于接收外部主网关设备发来的地址信息，将接收到的地址信息发送至接入控制单元，通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；接入控制单元，用于根据接收到的地址信息，在接口单元与所述外部的从网关设备之间建立隧道连接。

图3B2是在本发明系统中作为客户端的从网关设备内部的优选结构示意图。参见图3B2，所述作为客户端的从网关设备中还可以进一步包括：验证码存储单元，用于接收接入控制单元发来的验证码，并保存；所述接口单元，进一步用于接收外部主网关设备发来的验证码，将该验证码发送至接入控制单元，并通过所建立的隧道连接将接入控制单元发来的验证码发送至所述外部的从网关设备；所述接入控制单元，进一步用于将接收到的验证码发送至验证码存储单元，并在建立完所述的隧道连接后，从验证码存储单元存储单元中读取验证码，将所读取的验证码发送至接口单元。

图3C1是在本发明系统中设置为服务器端的从网关设备内部的基本结构示意图。参见图3C1，在本发明系统中，所述设置为服务器端的从网关设备内部的基本结构包括：接口单元和接入控制单元，其中，接口单元，用于通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；接入控制单元，用于在接口单元与所述外部的从网关设备之间建立隧道连接。

图3C2是在本发明系统中设置为服务器端的从网关设备内部的优选结构示意图。参见图3C2，所述设置为服务器端的从网关设备中进一步包括：验证单元；所述接口单元，进一步用于接收外部的主网关设备发来的验证码，以及接收所述外部的从网关设备通过所建立的隧道连接发来的验证码，将该两个验证码分别发送至验证单元；所述验证单元，用于接收所述两个验证码，并判断所述两个验证码是否相同，在确定相同后，将成功信息发送至接入控制单元，在确定不相同后，将失败信息发送至接入控制单元；所述接入控制单元，进一步用于在接收到成功信息后，控制接口单元执行所述的接收和发送数据流的过程，在接收到失败信息后，拆除接口单元与所述外部从网关设备之间的隧道连接。

为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

在以下的实施例中，以SSL VPN作为所述的采用四层以上隧道技术的VPN为例，来详细说明本发明的实现过程。

图4是本发明实施例的流程图。参见图3和图4，利用本发明系统，本发明方法在SSL VPN的从网关设备之间实现通信的过程具体包括以下步骤：

步骤401：在SSL VPN中，从网关设备A和从网关设备B分别与主网关设备建立SSL隧道连接，并分别完成相关的鉴权和认证过程。

这里，如果在一个从网关设备侧，比如在从网关设备A侧，设置有与该从网关设备A相连的地址转换设备，那么，从网关设备A与主网关设备所建立的SSL隧道连接经过所述的地址转换设备。

步骤402：主网关设备在从网关设备A和从网关设备B中选取一个作为服务器端。

这里，由于在现有技术中，在从网关设备之间传输数据流时，必须通过主网关设备的转发，也就是说，主网关设备在从网关设备的通信中充当了服务器端，能够启动相应端口的SSL监听，响应从网关设备发来的信令和数据流。这样，为了能将主网关设备从繁琐的转发工作中释放出来，使从网关设备能够直接通信，则必须从需通信的两个从网关设备中选取一个作为服务器端，由该选取的作为服务器端的从网关设备启动相应端口的SSL监听，响应该另一个从网关设备发来的信令和数据。因此，在本步骤中，主网关设备在从网关设备A和从网关设备B中选取一个作为服务器端，相应的，未被选取的从网关设备则作为客户端。

在本步骤中，主网关设备可以通过多种方式来选取出作为服务器端的从网关设备。比如，

方式一、根据从网关设备所发送的消息是否需经过地址转换来选取。

当通过该方式一来实现本步骤402的过程时，在上述步骤401与步骤402之间进一步包括：从网关设备A和从网关设备B分别构造在消息体中携带有自身IP地址的第一探测消息和第二探测消息，并分别通过与主网关设备之间的SSL隧道连接将所构造的第一和第二探测消息发送至主网关设备。其中，如果一个从网关设备，比如从网关设备A侧设置有地址转换设备，那么，从网关设备A在发送所构造的第一探测消息时，首先将该第一探测消息发送至地址转换设备，该地址转换设备将第一探测消息最外层上SSL封装的IP头中的源IP地址，即从网关设备A在其所在IP地址，修改为一个公网IP地址，然后再发送至目的端即主网关设备。

这样，本步骤402的实现过程可参见图5所示，包括以下步骤：

步骤501：主网关设备将第一探测消息最外层IP头中的源IP地址与消息体中的IP地址进行比较，如果相同，则确定第一探测消息没有经过地址转换，如果不相同，则确定第一探测消息经过了地址转换。

步骤502：主网关设备将第二探测消息最外层IP头中的源IP地址与消息体中的IP地址进行比较，如果相同，则确定第二探测消息没有经过地址转换，如果不相同，则确定第二探测消息经过了地址转换。

步骤503：主网关设备判断在第一探测消息和第二探测消息中，是否仅有一个探测消息未经过地址转换，如果是，则执行步骤504，否则，执行步骤505。

步骤504：主网关设备选取发来该未经过地址转换探测消息的从网关设备作为服务器端，结束当前流程。

这里，如果一个从网关设备比如从网关设备A所发送的消息必须经过地址转换设备进行地址转换，那么，从网关设备B则无法获得从网关设备A的IP地址，从网关设备B需直接发送给从网关设备A的隧道建立请求也只能发送至与从网关设备A相连的地址转换设备，此时，则必须配置地址转换设备支持从网关设备A与从网关设备B之间的绑定功能，从而使得地址转换设备接收到从网关设备B发来的隧道建立请求后能够根据所配置的绑定功能，将隧道建立请求发送给从网关设备A。而配置地址转换设备支持从网关设备A与从网关设备B之间的绑定功能会增加地址转换设备实现的难度。而在本步骤中，从网关设备A与从网关设备B中仅有一个发送的探测消息经过了地址转换，因此，较佳的处理方式为：将所发送的消息未经过地址转换的从网关设备选取作为服务器端。

步骤505：主网关设备在从网关设备A和从网关设备B中随机选取一个作为服务器端。

执行到本步骤时，由于从网关设备A和从网关设备B所发送的消息均经过了地址转换或者均未经过地址转换，因此，应从中随机选取一个作为服务器端。另外，如果从网关设备A和从网关设备B所发送的消息均经过了地址转换，那么，在本步骤中，进一步配置与选取为服务器端的从网关设备相连的地址转换设备支持从网关设备A与从网关设备B之间的绑定功能。

方式二、根据用户预先配置的服务属性来选取。

当通过该方式二来实现本步骤402的过程时，由用户预先为SSL VPN中的从网关设备配置服务属性，所配置的服务属性可以为适合作服务器端或不适合作服务器端，这样，在本步骤402中，主网关设备判断在所述两个从网关设备中，是否仅有一个从网关设备的服务属性为适合作服务器端，如果是，则选取该服务属性为适合作服务器端的从网关设备；否则，即如果该两个从网关设备的服务属性均为适合作服务器端或均为不适合作服务器端，主网关设备在所述两个从网关设备中随机选取一个从网关设备。

方式三、直接随机选取。也就是说，主网关设备直接在从网关设备A和从网关设备B中随机选取一个作为服务器端。

为便于描述，以下以从网关设备A作为所选的服务器端，相应的，从网关设备B作为客户端为例，来说明本发明的后续实现过程。

步骤403：主网关设备产生一个验证码，通过SSL隧道连接将该验证码以及监听设置指示发送至所选的、作为服务器端的从网关设备A。

这里，如果需要配置作为服务器端的从网关设备A采用SSL VPN中默认的监听端口443来执行服务器的监听功能，那么，在本步骤中，主网关设备可以在该监听设置指示中携带该默认的监听端口号443或者缺省即在该监听设置指示中不携带监听端口的信息。

如果需要配置作为服务器端的从网关设备A采用非默认的、重新指定的监听端口来执行服务器的监听功能，那么，在本步骤中，主网关设备可以在该监听设置指示中携带所重新指定的监听端口信息。

步骤404：作为服务器端的从网关设备A保存所接收到的验证码。

步骤405：作为服务器端的从网关设备A根据所接收到的监听设置指示，设置自身的监听端口，并启动该监听端口进行监听。

这里，如果监听设置指示中携带有监听端口信息，那么，在本步骤中，作为服务器端的从网关设备A根据监听设置指示中所携带的监听端口信息设置自身的监听端口。比如，监听设置指示中所携带的监听端口信息为430，那么，作为服务器端的从网关设备A设置自身的监听端口为430。

如果监听设置指示中未携带监听端口信息，那么，在本步骤中，作为服务器端的从网关设备A将自身的监听端口设置为SSL VPN中默认的监听端口号443。

步骤406：主网关设备将所产生的验证码以及作为服务器端的从网关设备A的地址信息发送至作为客户端的从网关设备B。

这里，如果在步骤403中，配置作为服务器端的从网关设备A采用SSLVPN中默认的监听端口443来执行服务器的监听功能，那么，在本步骤中，主网关设备可以将默认的监听端口信息发送至作为客户端的从网关设备B，也可以缺省，即不向作为客户端的从网关设备B发送监听端口的信息。

如果在步骤403中，主网关设备配置作为服务器端的从网关设备A采用非默认的、重新指定的监听端口来执行服务器的监听功能，那么，在本步骤中，主网关设备进一步将重新指定的监听端口的信息发送至作为客户端的从网关设备B。

需要说明的是，如果设置为服务器端的从网关设备A发送的探测消息经过了地址转换，那么，在本步骤中，所述作为服务器端的从网关设备A的地址信息为：在设置为服务器端的从网关设备A发送至主网关设备的探测消息中，最外层IP头中的、经地址转换设备转换后的源IP地址，即址转换设备的IP地址。

步骤407：作为客户端的从网关设备B根据监听端口的信息以及接收到的地址信息，与作为服务器端的从网关设备A建立SSL隧道连接。

这里，如果作为客户端的从网关设备B接收到了主网关设备发来的监听端口的信息，那么，在本步骤中，作为客户端的从网关设备B在建立SSL隧道连接时所根据的监听端口信息是该从网关设备B所接收到的监听端口的信息。

如果作为客户端的从网关设备B未接收到主网关设备发来的监听端口的信息，那么，在本步骤中，作为客户端的从网关设备B在建立SSL隧道连接时所根据的监听端口信息是SSL VPN中默认的监听端口443。

并且，在本步骤中，建立SSL隧道连接的实现过程为现有技术，但可简单描述为：作为客户端的从网关设备B根据接收到的地址信息和监听端口信息，将隧道建立请求发送给作为服务器端的从网关设备A；从网关设备A通过所启动的监听端口接收到隧道建立请求，建立隧道连接。

其中，如果作为服务器端的从网关设备A与地址转换设备相连，那么，作为客户端的从网关设备B根据接收到的地址信息，即地址转换设备的IP地址，将隧道建立请求发送至地址转换设备，该地址转换设备则根据自身中所配置的从网关设备B与从网关设备A的绑定功能，将隧道建立请求发送至从网关设备A，从网关设备A通过所启动的监听端口接收到隧道建立请求，从而与作为客户端的从网关设备B建立隧道连接。

步骤408：作为客户端的从网关设备B通过与作为服务器端的从网关设备A所建立的SSL隧道连接，将所接收到的验证码发送至作为服务器端的从网关设备A。

步骤409：作为服务器端的从网关设备A判断作为客户端的从网关设备B所发来的验证码与之前主网关设备发来的验证码是否相同，如果是，则执行步骤411，否则，执行步骤410。

步骤410：作为服务器端的从网关设备A释放所建立的与作为客户端的从网关设备B之间的SSL隧道连接，结束当前流程。

步骤411：作为服务器端的从网关设备A与作为客户端的从网关设备B通过所建立的SSL隧道连接进行通信。

在本发明中，为了进一步确保从网关设备之间能够进行通信，在上述步骤409中，在作为服务器端的从网关设备A判断出验证码相同之后，作为服务器端的从网关设备A将成功消息发送至主网关设备。这样，在上述步骤409之后，进一步包括：主网关设备判断是否接收到作为服务器端的从网关设备A发来的成功消息，如果是，则可确定本次连接成功，主网关设备不执行任何处理，否则，则可确定本次连接不成功，主网关设备将原作为客户端的从网关设备B设置为服务器端，相应的，原作为服务器端的从网关设备A则作为了客户端，并根据上述步骤403至步骤411所示过程的原理，实现从网关设备B作为服务器端且从网关设备A作为客户端时，从网关设备B与从网关设备A建立SSL隧道连接并进行通信。

需要说明的是，在上述实施例中，是以所述的采用四层以上隧道技术的VPN为SSL VPN为例来说明本发明的实现过程。对于其它的采用四层以上隧道技术的VPN，实现从网关设备之间进行通信的过程与上述实施例所述过程的原理完全相同。

总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (18)

1.一种从网关设备之间进行通信的方法，应用于采用四层或四层以上隧道技术的虚拟专用网络中，其特征在于，该方法包括：

S、任意两个从网关设备分别构造在消息体中携带自身IP地址的探测消息，并分别通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备；

A、主网关设备分别根据接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换；如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端；

B、主网关设备将当前设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中当前作为客户端的从网关设备；

C、作为客户端的从网关设备根据接收到的地址信息与设置为服务器端的从网关设备建立隧道连接；

D、所述两个从网关设备通过所建立的隧道连接进行通信。

2.根据权利要求1所述的方法，其特征在于，步骤A中，所述将发来未经过地址转换的探测消息的从网关设备设置为服务器端的步骤包括：主网关设备将监听设置指示发送至发来未经过地址转换的探测消息的从网关设备，接收到监听设置指示的从网关设备启动相应监听端口进行监听；

所述步骤C包括：作为客户端的从网关设备根据监听端口的信息以及接收到的地址信息，将隧道建立请求发送给设置为服务器端的从网关设备；设置为服务器端的从网关设备通过所启动的监听端口接收到隧道建立请求，建立所述的隧道连接。

3.根据权利要求1所述的方法，其特征在于，所述步骤A进一步包括：

如果主网关设备判断出两个探测消息均未经过地址转换，则在所述两个从网关设备中随机选取一个从网关设备作为服务器端。

4.根据权利要求1所述的方法，其特征在于，所述步骤A进一步包括：如果主网关设备判断出两个探测消息均经过地址转换，则在所述两个从网关设备中随机选取一个从网关设备作为服务器端，并设置与所选取从网关设备相连的地址转换设备支持所述两个从网关设备的绑定功能；

在步骤B中，所述设置为服务器端的从网关设备的地址信息为：在设置为服务器端的从网关设备发送至主网关设备的探测消息中，最外层IP头中的、经地址转换设备转换后的源IP地址；

在步骤C中，所述作为客户端的从网关设备将隧道建立请求发送至设置为服务器端的从网关设备的步骤包括：作为客户端的从网关设备根据接收到的地址转换后的源IP地址，将隧道建立请求发送至地址转换设备；地址转换设备根据自身所配置的所述两个从网关设备的绑定功能，将接收到的隧道建立请求发送至设置为服务器端的从网关设备。

5.根据权利要求2所述的方法，其特征在于，在步骤A中，所述监听设置指示中携带有监听端口的信息；

在步骤A中，所述启动相应监听端口的步骤包括：接收到监听设置指示的从网关设备根据监听设置指示中所携带的监听端口的信息，启动相应监听端口；

所述步骤B进一步包括：主网关设备将携带在监听设置指示中的监听端口的信息发送至作为客户端的从网关设备；

在步骤C中，作为客户端的从网关设备所根据的监听端口的信息为主网关设备发来的监听端口的信息。

6.根据权利要求2所述的方法，其特征在于，在步骤A中，所述监听设置指示中未携带监听端口的信息；

在步骤A中，所述启动相应监听端口的步骤包括：接收到监听设置指示的从网关设备启动所述采用四层或四层以上隧道技术的虚拟专用网络中的默认监听端口；

在步骤C中，作为客户端的从网关设备所根据的监听端口的信息为所述采用四层或四层以上隧道技术的虚拟专用网络中的默认监听端口。

7.根据权利要求1所述的方法，其特征在于，所述步骤A进一步包括：主网关设备产生验证码，将该验证码发送至设置为服务器端的从网关设备；

所述步骤B进一步包括：主网关设备将所产生的验证码发送至作为客户端的从网关设备；

所述步骤C进一步包括：作为客户端的从网关设备通过所建立的隧道连接，将验证码发送至设置为服务器端的从网关设备；设置为服务器端的从网关设备判断作为客户端的从网关设备发来的验证码与主网关设备发来的验证码是否相同，如果是，则执行步骤D，否则，结束当前流程。

8.根据权利要求7所述的方法，其特征在于，在判断出验证码相同之后，并在执行步骤D之前，步骤C进一步包括：设置为服务器端的从网关设备将成功消息发送至主网关设备；

在步骤C之后进一步包括：主网关设备判断是否接收到成功消息，如果是，则结束；

否则，主网关设备判断所述两个从网关设备是否均曾被设置为服务器端，如果是，则结束，否则，主网关设备将作为客户端的从网关设备设置为当前的服务器端，返回步骤B。

9.根据权利要求1所述的方法，其特征在于，所述采用四层以上隧道技术的虚拟专用网络为安全套接口层虚拟专用网络。

10.一种从网关设备之间进行通信的系统，应用于采用四层或四层以上隧道技术的虚拟专用网络中，其特征在于，该系统包括：任意两个从网关设备和主网关设备，其中，

主网关设备，用于分别根据接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换，如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送至所述两个从网关设备中作为客户端的从网关设备；

作为客户端的从网关设备，用于构造在消息体中携带自身IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，根据接收到的地址信息，与设置为服务器端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为服务器端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为服务器端的从网关设备的数据流；

作为服务器端的从网关设备，用于构造在消息体中携带自身IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，与作为客户端的从网关设备建立隧道连接，通过所建立的隧道连接接收作为客户端的从网关设备发来的数据流，并通过所建立的隧道连接发送需传给作为客户端的从网关设备的数据流。

11.根据权利要求10所述的系统，其特征在于，所述主网关设备，进一步用于产生验证码，将该验证码分别发送至作为客户端的从网关设备和作为服务器端的从网关设备；

作为客户端的从网关设备，进一步用于在建立完所述的隧道连接后，将接收到的验证码发送至作为服务器端的从网关设备；

作为服务器端的从网关设备，进一步用于判断作为客户端的从网关设备发来的验证码与主网关设备发来的验证码是否相同，并在确定出相同后，执行所述发送和接收数据流的过程，在确定出不相同后，拆除所建立的隧道连接。

12.根据权利要求10或11所述的系统，其特征在于，所述任意两个从网关设备和主网关设备位于安全套接口层虚拟专用网络中。

13.一种主网关设备，具有固定的公网IP地址，其特征在于，该主网关设备中包括：配置单元和接口单元，其中，

配置单元，用于根据接口单元分别接收到的两个探测消息最外层IP头中的源IP地址与消息体中的IP地址是否相同，判断该两个探测消息是否未经过地址转换，如果仅有一个探测消息未经过地址转换，则将发来未经过地址转换的探测消息的从网关设备设置为服务器端，并将设置为服务器端的从网关设备的地址信息发送给接口单元；

接口单元，用于接收所述外部两个从网关设备分别发来的所述两个探测消息，将接收到的从网关设备的地址信息发送给所述外部两个从网关设备中的另一个从网关设备。

14.根据权利要求13所述的主网关设备，其特征在于，所述主网关设备中进一步包括：验证码生成单元，用于产生验证码，将所产生的验证码发送至接口单元；

所述接口单元，进一步用于将接收到的验证码，分别发送给所述外部的两个从网关设备。

15.一种从网关设备，其特征在于，该从网关设备中包括：接口单元和接入控制单元，其中，

接口单元，用于构造在消息体中携带所在设备IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，接收外部主网关设备发来的地址信息，将接收到的地址信息发送至接入控制单元，通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；

接入控制单元，用于根据接收到的地址信息，在接口单元与所述外部的从网关设备之间建立隧道连接。

16.根据权利要求15所述的从网关设备，其特征在于，所述从网关设备中进一步包括：验证码存储单元，用于接收接入控制单元发来的验证码，并保存；

所述接口单元，进一步用于接收外部主网关设备发来的验证码，将该验证码发送至接入控制单元，并通过所建立的隧道连接将接入控制单元发来的验证码发送至所述外部的从网关设备；

所述接入控制单元，进一步用于将接收到的验证码发送至验证码存储单元，并在建立完所述的隧道连接后，从验证码存储单元中读取验证码，将所读取的验证码发送至接口单元。

17.一种从网关设备，其特征在于，该从网关设备中包括：接口单元和接入控制单元，其中，

接口单元，用于构造在消息体中携带所在设备IP地址的探测消息，通过与主网关设备之间的隧道连接将所构造的探测消息发送至主网关设备，通过所建立的隧道连接接收外部的一个从网关设备发来的数据流，以及通过所建立的隧道连接将数据流发送至该外部的从网关设备；

接入控制单元，用于在接口单元与所述外部的从网关设备之间建立隧道连接。

18.根据权利要求17所述的从网关设备，其特征在于，所述从网关设备中进一步包括：验证单元，

所述接口单元，进一步用于接收外部的主网关设备发来的验证码，以及接收所述外部的从网关设备通过所建立的隧道连接发来的验证码，将该两个验证码分别发送至验证单元；

所述验证单元，用于接收所述两个验证码，并判断所述两个验证码是否相同，在确定相同后，将成功信息发送至接入控制单元，在确定不相同后，将失败信息发送至接入控制单元；

所述接入控制单元，进一步用于在接收到成功信息后，控制接口单元执行所述的接收和发送数据流的过程，在接收到失败信息后，拆除接口单元与所述外部从网关设备之间的隧道连接。

Images