CN101087236A - Vpn接入方法和设备 - Google Patents

Abstract

本发明公开了一种VPN接入方法，包括如下步骤：根据通过验证的客户端的信息以及预先配置的对应关系，获取客户端的接入接口所属的接口VLAN的信息；根据获取的信息，配置客户端的接入接口到接口VLAN，从而将客户端划分到与接口VLAN对应的VPN。本发明还公开了用于VPN接入的设备。通过使用本发明，实现了客户端在接入过程中，认证服务器和接入设备自动根据接入用户的特征，如认证用户名等，按照预先配置的策略将客户端划分到不同的VPN中去，该预先配置的策略可以根据需要进行灵活的修改。

Description

VPN接入方法和设备

技术领域

本发明涉及通信技术领域，尤其涉及一种VPN(Virtual Private Networks，虚拟专用网)的接入方法和设备。

背景技术

随着政府集中办公、金融/大企业数据集中的发展趋势，对网络虚拟化的需求不断增加：在共用一张物理网络的基础上，区域内不同部门/群组、业务实现逻辑隔离，同一VPN内用户，可以彼此进行通信；与其他部门所属VPN用户进行访问隔离。用户首先要加入到自己所属的VPN中，然后根据该VPN用户的权限对相应的资源或者服务器进行访问，这种VPN技术的应用具有很强的访问隔离性。

现有的技术是在接入设备连接用户的以太网接口上手动配置VLAN号，然后将该VLAN(Virtual Local Area Network，虚拟局域网)三层接口绑定到VPN中，从而将该端口接入的用户绑定到该VPN中，这样的结果是一个固定的以太网端口上只能接入到一个固定的VPN中。对于一个大型的会议室接入端口或者一个公用接入端口，在不同的时间范围内，不同的接入用户需要归属在不同的VPN中，而按照现有的实现技术，需要在设备上修改该接口VLAN号。

频繁地因为接入用户需要访问不同的VPN资源而人为的手工修改配置，很容易对现网业务产生影响，网管人员的工作量也比较大。VLAN不变时，在某个接口上接入的用户全部都在一个VPN中，都能访问该VPN的所有资源，没有对接入用户进行控制，存在安全风险。

现有技术中的另一种方法是不用改变设备接口配置，而是改变接入的端口。不同的端口已经分别绑定在不同的VPN中，用户需要接入不同的VPN，只能选择从接入设备的不同端口接入，以实现对不同VPN资源的访问。

使用这种方法，意味着接入设备需要为每个可能使用的VPN提供至少一个接入物理端口，产生大量的接口浪费，而且用户在访问网络的时候，要自行选择从正确的物理接口接入，这在实际应用中是很少使用的方式

发明内容

本发明的要解决的问题是提供一种VPN接入方法和设备，以简化现有技术中VPN的配置复杂程度，实现客户端到VPN的灵活接入。

为达到上述目的，本发明提供一种VPN接入方法，包括如下步骤：

根据通过验证的客户端的信息以及预先配置的对应关系，获取所述客户端的接入接口所属的接口VLAN的信息；

根据所述获取的信息，配置所述客户端的接入接口到所述接口VLAN，从而将所述客户端划分到与所述接口VLAN对应的VPN。

其中，所述获取客户端的接入接口所属的接口VLAN前，还包括步骤：

配置客户端的接入接口与接口VLAN的对应关系；

配置接口VLAN与归属VPN的对应关系。

其中，所述获取客户端的接入接口所属的接口VLAN的步骤具体为：

获取客户端的信息，所述信息包括登录ID、MAC地址或IP地址中的一种或多种；

根据所述客户端的信息，在所述预先配置的客户端的接入接口与接口VLAN的对应关系中获取所述客户端的接入接口对应的接口VLAN；

将所述获取到的接口VLAN作为所述客户端的接入接口所属的接口VLAN。

其中，所述配置接口VLAN与归属VPN的对应关系的步骤具体为：

将不同的虚拟三层接口VLAN与不同的VPN进行绑定。

其中，所述配置客户端的接入接口到接口VLAN的步骤具体为：

根据所述获取的信息，获取其中携带的所述客户端的接入接口所属的接口VLAN；

所述客户端的接入接口配置到所述获取的所属的接口VLAN，从而将所述客户端划分到与所述接口VLAN绑定的VPN中。

本发明还提供一种接入设备，应用于VPN接入系统中，包括：

消息接收单元，用于接收认证服务器发送的携带客户端的接入接口所属的接口VLAN的消息；

处理单元，用于根据所述消息接收单元接收到消息，配置所述客户端的接入接口到所述接口VLAN，从而将所述客户端划分到与所述接口VLAN对应的VPN。

其中，还包括：VPN关系存储单元，用于预先配置接口VLAN与归属VPN的对应关系，从而将客户端划分到与不同的接口VLAN对应的VPN。

本发明还提供一种认证服务器，应用于VPN接入系统中，包括：

客户端信息获取单元，用于根据接入需要获取已经通过验证的客户端的信息；

消息生成单元，用于根据所述客户端信息获取单元获取的客户端的信息，以及预先配置的客户端的接入接口与接口VLAN对应关系，确定客户端的接入接口所属的接口VLAN信息。

其中，还包括：对应关系存储单元，用于存储客户端的接入接口与接口VLAN的对应关系并提供给所述消息生成单元。

与现有技术相比，本发明具有以下优点：

实现了客户端在接入过程中，认证服务器和接入设备自动根据接入用户的特征，如认证用户名等，按照预先配置的策略将客户端划分到不同的VPN中去，该预先配置的策略可以根据需要进行灵活的修改。另外，在VPN的划分过程中，认证服务器根据用户特征自动下发策略给接入设备，无需手工修改配置，简单灵活且提高了处理效率。

附图说明

图1是本发明中一种VPN的接入方法流程图；

图2是本发明中应用场景的组网示意图；

图3是本发明中客户端的认证过程流程图；

图4是本发明中一种VPN的接入系统的结构示意图。

具体实施方式

本发明的核心思想在于，采用认证服务器向接入设备下发策略的方式，将请求接入的客户端归属到不同的VPN中。对于从同一个交换机的接口接入的客户端，认证服务器可以根据客户端的信息的不同，将其划入到不同的VLAN中，从而归属到不同的VPN中。

本发明中一种VPN的接入方法如图1所示，包括以下步骤：

步骤s101、在接入设备上配置接口VLAN与归属VPN的对应关系。

在接入设备上将不同的虚拟三层VLAN接口与不同的VPN进行绑定，这样，当客户端的接入接口位于某虚拟三层VLAN接口时，其就会在接入后属于与该虚拟三层VLAN接口所对应的VPN。

步骤s102、在认证服务器上配置客户端的接入接口与接口VLAN的对应关系。

根据接入客户端的信息不同，可以预先将不同的接入客户端的接入接口划分到不同的接口VLAN。该客户端的信息包括：登录ID(Identifier，身份)、IP(Internet Protocol，因特网协议)地址或MAC(Media Access Control，媒体接入控制)等，该客户端的信息可以由接入设备在接入过程中进行获取。

步骤s103、接收到客户端的接入请求时，认证服务器根据预先配置的对应关系，获取该客户端的接入接口所属的接口VLAN并通知接入设备。

认证服务器在认证过程中，可以获得客户端的信息如根据客户端的信息如ID、MAC地址或IP地址，此时认证服务器根据预先配置的客户端的接入接口与接口VLAN的对应关系，可以确定该客户端所属的接口VLAN。

步骤s104、接入设备根据认证服务器下发的消息，配置该客户端接入接口到其所属的接口VLAN，从而将客户端规划到相应VPN中。

接入设备在接收到认证服务器发送的客户端接入接口所属的接口VLAN的信息后，将该客户端接入接口配置到其所属的接口VLAN中，因为接口VLAN与归属VPN的对应关系已经进行了预先设置，因此将客户端规划到了其所属的VPN。

以下结合一具体的应用场景，描述本发明的具体实施方式。

如图2所示，不同的客户端使用同一个交换机的接口连接到VPN中，客户端在接入时由认证服务器进行身份认证。其中，假设与交换机连接的VPN有两个，分别为VPN100和VPN200，并且以客户端的登录ID作为客户端所属VPN的划分标准，如对于使用ID为AAA请求接入的客户端，将其接入到VPN100，对于使用ID为BBB请求接入的客户端，将其接入到VPN200中。

则此场景中，预先配置的接口VLAN与归属VPN的对应关系可以如下表1所示：

表1：接口VLAN与归属VPN的对应关系

接口VLAN	归属VPN
		VLAN100	VPN100
VLAN200	VPN200

通过该对应关系表，在接入设备上配置了虚拟三层VLAN接口100和VLAN200。其中，将虚拟三层VLAN接口100绑定到VPN100中，将虚拟三层VLAN接口200绑定到VPN200中。这样所有接口位于VLAN100中的客户端就会接入到VPN100中，所有接口位于VLAN200中的客户端就会接入到VPN200中。

以客户端的登录ID作为接口VLAN的划分标准时，预先配置的客户端的接入接口与接口VLAN的对应关系如表2所示：

表2：客户端的接入接口与接口VLAN的对应关系

客户端登录ID	接口VLAN
		AAA	VLAN100
BBB	VLAN200

通过该对应关系表，在认证服务器上配置了客户端所使用的接入接口与接口VLAN的对应关系。在客户端使用用户名AAA接入时，认证服务器将客户端的接入接口划分到VLAN100；在客户端使用用户名BBB接入时，认证服务器将客户端的接入接口划分到VLAN200。

以上配置完成后，在客户端要求接入时，会通过接入设备向认证服务器发送接入请求，认证服务器根据该认证请求判断该客户端是否可以通过认证。对于能够通过认证的客户端，认证服务器根据客户端的信息，获得该客户端的接入接口，本场景中，对于使用用户名AAA接入的客户端，认证服务器查询表2，获取到该客户端的接入接口应该划分到VLAN100。认证服务器将该获取到的客户端的接入接口VLAN通知接入设备，则接入设备根据该接入接口VLAN100，将客户端的接入接口划分到VLAN100中。按照表1可以得知接入接口VLAN100所对应的为VPN100，因此该使用用户名AAA接入的客户端被划分到VPN100中。

以下结合附图，具体说明上述描述中，认证服务器对客户端的接入请求进行认证并通知接入设备客户端的接入接口的过程。

在目前的网络接入控制中，主要是采用基于802.1x的认证系统，其在客户端和接入设备之间使用EAPOL(Extensible Authentication Protocol over LAN，局域网的扩展认证协议)格式封装EAP协议传送认证信息，接入设备与认证服务器之间通过RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)协议传送认证信息。如图3所示，该客户端的认证过程具体包括如下步骤：

步骤s301、客户端向接入设备发送EAPOL-Start报文，发起802.1x认证接入。

步骤s302、接入设备向客户端发送EAP-Request/ID报文，要求客户端上传用户名。

步骤s303、客户端向接入设备发送EAP-Response/ID报文，其中包括用户名。

步骤s304、接入设备将EAP-Response/ID报文封装到RADIUS-Access-Request报文中，发送给认证服务器。

步骤s305、认证服务器产生一个Challenge，并向接入设备发送RADIUS-Access-Challenge报文，其中包含有EAP-Request/Challenge。

步骤s306、接入设备通过EAP-Request/Challenge发送给客户端，要求客户端进行认证。

步骤s307、客户端收到EAP-Request/Challenge后，按照预先设定的算法，使用密码和Challenge获取Challenged-Password，并将该Challenged-Password在EAP-Response/Challenge报文中回应给接入设备。

步骤s308、接入设备将Challenge，Challenged Password和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证。

步骤s309、RADIUS服务器根据用户信息，判断用户是否合法，如果成功，携带协商参数，以及用户的相关业务属性给用户授权，向接入设备发送RADIUS-Access-Accept报文。如果认证失败，则流程到此结束，该失败情况在此不做描述。

步骤s310、接入设备向客户端发送EAP-Success。

步骤s311、客户端基于标准的DHCP协议通过接入设备获取IP地址。

步骤s312、接入设备发送计费开始请求给RADIUS用户认证服务器；

步骤s313、RADIUS服务器回应计费开始请求报文。用户上线完毕。

上述步骤s309中，认证服务器在客户端认证成功后，即可按照客户端的信息(这里以登录ID为例)，查询表1获得该客户端的接入接口。获得该接入接口后，认证服务器在向接入设备发送的Radius-Access-Accept报文中添加该接入接口(VLAN_id)，从而通知了接入设备。该接入接口参数在Radius-Access-Accept报文中的添加位置可以参考现有技术中RFC2868与RFC3580中涉及的字符串VLAN下发标准。接入设备收到后，将客户端所在接入接口加入到该VLAN_id所标识的VLAN中，从而将该客户端划分到了对应的VPN。

对于以上描述的本发明中VPN的接入方法，主要是以客户端的接入ID作为客户端所属VPN的划分标准，在实际应用时，可以根据不同的需要，结合不同的客户端特征(MAC地址、IP地址等)进行设置，从而将接入的客户端自动的划分到对应的VPN中。对于不同的客户端特征下的VPN接入方法，与上述使用接入ID作为划分标准的过程相同，在此不进行重复描述。

通过使用上述VPN的接入方法，实现了客户端在接入过程中，认证服务器和接入设备自动根据接入用户的特征，如认证用户名等，按照预先配置的策略将客户端划分到不同的VPN中去，该预先配置的策略可以根据需要进行灵活的修改。另外，在VPN的划分过程中，认证服务器根据用户特征自动下发策略给接入设备，无需手工修改配置，简单灵活且提高了处理效率。

本发明还提供了一种VPN接入系统，如图4所示，包括至少一个客户端10、接入设备20以及认证服务器30。

其中，客户端10用于通过接入设备20向认证服务器发送认证请求，并在认证过程中向认证服务器30发送认证所需的信息，如登录ID、密码等。

接入设备20用于在客户端10与认证服务器30的认证过程中进行消息的转发。另外，预先配置接口VLAN与归属VPN的对应关系。在认证服务器30对客户端10的认证成功时，接收认证服务器30发送的携带客户端接入VLAN的消息，根据该消息中的客户端接入VLAN，将客户端的接入接口配置到该接入VLAN，从而确定了客户端所属的VPN。

认证服务器30用于对客户端10进行认证，认证通过时，根据认证过程中获取的客户端的信息，以及客户端的接入接口与接口VLAN的对应关系，获取客户端的接入接口所属的接口VLAN，并将该客户端接入接口所属的接口VLAN通知接入设备20，用于客户端所属VPN的划分。

具体的，接入设备20进一步包括：

消息接收单元21，用于接收认证服务器30发送的携带客户端接入VLAN的消息。

处理单元22，用于根据消息接收单元21接收到的客户端接入VLAN，将客户端的接入接口配置到该接入VLAN，从而根据VPN关系存储单元23中预先存储的配置确定了客户端所属的VPN。

VPN关系存储单元23，用于预先配置接口VLAN与归属VPN的对应关系。

具体的，认证服务器30进一步包括：

客户端信息获取单元31，用于根据认证需要获取客户端的信息。

消息生成单元32，用于根据客户端信息获取单元31获取的客户端的信息，以及对应关系存储单元33存储的客户端的接入接口与接口VLAN的对应关系，确定客户端的接入接口所属的接口VLAN。

对应关系存储单元33，用于存储客户端的接入接口与接口VLAN的对应关系。

通过使用上述VPN的接入系统和设备，实现了客户端在接入过程中，认证服务器和接入设备自动根据接入用户的特征，如认证用户名等，按照预先配置的策略将客户端划分到不同的VPN中去，该预先配置的策略可以根据需要进行灵活的修改。另外，在VPN的划分过程中，认证服务器根据用户特征自动下发策略给接入设备，无需手工修改配置，简单灵活且提高了处理效率

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台设备执行本发明各个实施例所述的方法。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (9)

1、一种VPN接入方法，其特征在于，包括如下步骤：

根据通过验证的客户端的信息以及预先配置的对应关系，获取所述客户端的接入接口所属的接口VLAN的信息；

根据所述获取的信息，配置所述客户端的接入接口到所述接口VLAN，从而将所述客户端划分到与所述接口VLAN对应的VPN。

2、如权利要求1所述的VPN接入方法，其特征在于，所述获取客户端的接入接口所属的接口VLAN前，还包括步骤：

配置客户端的接入接口与接口VLAN的对应关系；

配置接口VLAN与归属VPN的对应关系。

3、如权利要求2所述的VPN接入方法，其特征在于，所述获取客户端的接入接口所属的接口VLAN的步骤具体为：

获取客户端的信息，所述信息包括登录ID、MAC地址或IP地址中的一种或多种；

根据所述客户端的信息，在所述预先配置的客户端的接入接口与接口VLAN的对应关系中获取所述客户端的接入接口对应的接口VLAN；

将所述获取到的接口VLAN作为所述客户端的接入接口所属的接口VLAN。

4、如权利要求2所述的VPN接入方法，其特征在于，所述配置接口VLAN与归属VPN的对应关系的步骤具体为：

将不同的虚拟三层接口VLAN与不同的VPN进行绑定。

5、如权利要求4所述的VPN接入方法，其特征在于，所述配置客户端的接入接口到接口VLAN的步骤具体为：

根据所述获取的信息，获取其中携带的所述客户端的接入接口所属的接口VLAN；

所述客户端的接入接口配置到所述获取的所属的接口VLAN，从而将所述客户端划分到与所述接口VLAN绑定的VPN中。

6、一种接入设备，应用于VPN接入系统中，其特征在于，包括：

消息接收单元，用于接收认证服务器发送的携带客户端的接入接口所属的接口VLAN的消息；

处理单元，用于根据所述消息接收单元接收到消息，配置所述客户端的接入接口到所述接口VLAN，从而将所述客户端划分到与所述接口VLAN对应的VPN。

7、如权利要求6所述的接入设备，其特征在于，还包括：

VPN关系存储单元，用于预先配置接口VLAN与归属VPN的对应关系，从而将客户端划分到与不同的接口VLAN对应的VPN。

8、一种认证服务器，应用于VPN接入系统中，其特征在于，包括：

客户端信息获取单元，用于根据接入需要获取已经通过验证的客户端的信息；

消息生成单元，用于根据所述客户端信息获取单元获取的客户端的信息，以及预先配置的客户端的接入接口与接口VLAN对应关系，确定客户端的接入接口所属的接口VLAN信息。

9、如权利要求8所述的认证服务器，其特征在于，还包括：

对应关系存储单元，用于存储客户端的接入接口与接口VLAN的对应关系并提供给所述消息生成单元。

Images