CN101442565A - 一种固定虚拟网络地址的分配方法和网关 - Google Patents

Abstract

本发明实施例属于通信技术领域，提供了一种固定虚拟网络地址的分配方法，该方法包括：接收终端发送的携带虚拟网络地址请求的报文；获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址；根据查询的结果为所述终端分配固定虚拟网络地址，向所述终端返回携带所述固定虚拟网络地址的响应报文。本发明实施例还提供了一种网关。通过本发明实施例，能够满足用户在移动性要求很高的情况下，随时随地都可以获得固定的虚拟IP地址，方便对用户的管理、在线控制、和用户行为审计。

Description

一种固定虚拟网络地址的分配方法和网关

技术领域

本发明涉及通信技术领域，尤其涉及一种固定虚拟网络地址的分配方法和网关。

背景技术

因特网的开放性和商业化使因特网得以迅速发展，但是因特网的开放性同时也带来了网络安全问题，随着因特网应用的日益普及，黑客与病毒无孔不入，使网络信息系统遭受了前所未有的威胁。

企业作为信息化的主体，是信息技术最普遍的实践者。在信息化的过程中，企业一方面需要扩展其内网应用服务资源和数据资源的访问领域，以满足越来越多的远程接入需求，比如分支机构接入、合作伙伴接入、客户接入、出差员工接入、远程办公接入等。另一方面，还需要保证内网的安全和接入的安全性，防止企业内部网络遭受黑客和病毒的攻击，并确保传输的信息不被监听、窃取或篡改。因此，如何保证用户安全地远程接入重要的信息资源是一个重要的课题。

安全接入网关是一种具备远程安全接入能力的接入设备，它可以采用网络安全(IPSec，Internet Protocol)隧道方式，或者SSL(Security Socket Layer，安全套接层协议)与TLS(Transport Layer Security Protocol，传输层安全协议)加密方式，为通过因特网接入企业网的用户提供了安全加密的VPN(VirtualPrivate Network，虚拟专用网络)通道。通过VPN安全接入网关，远程接入时首先需要进行认证授权，进行用户身份识别并给予相应的访问权限。只有通过了认证授权，才能访问该用户拥有相关权限的资源。认证方式可以采用本地数据库认证和外部认证服务器认证。通过认证和授权，保证只允许合法用户接入VPN访问合法的资源，进一步提高了访问内网服务器的用户的安全性。

IPSec VPN接入和SSL VPN的网络扩展接入实现了在外网访问内网IP应用的支持，可使用户如同访问局域网一样远程访问企业内网资源。安全接入需要在客户端主机上分配虚拟IP，客户端截获原始IP报文，经过协议封装，然后转发至VPN网关。网关解密数据，将原始IP报文发给内网的目的主机，并将目的主机返回的IP报文进行加密，发送给客户端，从而实现客户端与内网主机的网络层通信。该功能需要给客户端的虚拟网卡分配一个位于内网网段的虚拟IP，使其能与内网主机进行虚拟通信。

现有技术中，虚拟IP分配方式一般有两种，分别为虚拟IP地址池方式和动态主机分配协议(DHCP，Dynamic Host Configuration Protocol)服务器分配方式。在虚拟IP地址池方式下，网关在运行过程中根据客户端的虚拟IP请求，从地址池中找出一个未被使用的虚拟IP，分配给客户端。由于虚拟IP是动态分配的，客户端多次请求虚拟IP时，很可能会获得不同的虚拟IP。在DHCP服务器分配方式下，客户端的请求虚拟IP报文被转发给DHCP服务器，由DHCP服务器根据当前的IP地址分配情况进行动态分配虚拟IP。

发明人在对现有技术的研究和实践过程中发现如下问题：虚拟IP地址池方式和DHCP服务器分配方式都是动态分配方式，因此，获得的虚拟IP地址是动态的，不方便对远程接入用户进行访问管理和用户行为审计。

发明内容

本发明实施例要解决的技术问题是提供一种固定虚拟网络地址的分配方法和网关，能够使得用户随时随地都可以获取固定的虚拟IP地址。

为解决上述技术问题，本发明实施例提供的一种基于用户身份的固定虚拟IP地址分配方法和网关是通过以下技术方案实现的：

本发明一个实施例提供了一种固定虚拟网络地址的分配方法，该方法包括：

接收终端发送的携带虚拟IP地址请求的报文；

获取所述终端的用户身份，根据所述用户身份查询虚拟IP地址；

根据查询的结果为所述终端分配固定虚拟IP地址，向所述终端返回携带所述固定虚拟IP地址的响应报文。

本发明另一个实施例提供了一种网关，该网关包括：

接收单元，用于接收终端发送的携带虚拟IP地址请求的报文；

查询单元，用于获取所述终端的用户身份，根据所述用户身份查询虚拟IP地址；

分配单元，用于根据所述查询单元查询的结果为所述终端分配固定虚拟IP地址；

响应单元，用于向所述终端返回所述分配单元分配的固定虚拟IP地址。

本发明实施例终端请求虚拟IP地址时，查询与终端的用户身份绑定的虚拟IP地址，然后根据查询结果为终端分配固定虚拟IP地址，由于分配的IP地址是固定的，因此无论用户处于何时何地，均能得到固定虚拟IP地址，方便对远程接入用户的访问管理和用户行为审计。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的固定虚拟网络地址的分配方法流程图；

图2是本发明实施例二提供的固定虚拟网络地址的分配方法流程图；

图3是本发明实施例三提供的固定虚拟网络地址的分配方法流程图；

图4是本发明实施例四提供的固定虚拟网络地址的分配方法流程图；

图5是本发明实施例五提供的固定虚拟网络地址的分配方法流程图；

图6是本发明实施例六提供的网关示意图；

图7是本发明实施例七提供的网关示意图；

图8是本发明实施例八提供的网关示意图；

图9是本发明实施例九提供的网关示意图；

图10是本发明实施例十提供的网关示意图；

图11是本发明实施例十一提供的网关示意图；

图12是本发明实施例十二提供的网关示意图；

图13是本发明实施例十三提供的网关示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一、

参见图1，为本发明实施例一提供的固定虚拟网络地址的分配方法流程图，所述固定虚拟网络地址的分配方法包括：

S101：网关接收终端(如客户端)发送的携带虚拟IP地址请求的报文。

S102：网关获取终端的用户身份。主要通过以下方式来获取：网关根据S101接收的报文中携带的用户信息获取终端的用户身份；或，根据终端输入的信息(用户名和密码)获取终端的用户身份；或，根据当前终端的证书获取终端的用户身份。

S103：根据所述用户身份在认证服务器上查询与所述用户身份绑定的虚拟网络(IP，Internet Protocol)地址，查询的结果为：存在与终端的用户身份绑定的虚拟地址，或者不存在与终端的用户身份绑定的虚拟IP地址。

S104：网关从认证服务器接收查询结果。

S105：网关根据查询的结果为终端用户分配固定虚拟IP地址。具体的，如果认证服务器上存在与终端的用户身份绑定的虚拟IP地址，则为终端分配与该终端的用户身份绑定的虚拟IP地址；如果认证服务器上不存在与终端的用户身份绑定的虚拟IP地址，则为终端用户动态分配一个虚拟IP地址，并将动态分配的虚拟IP地址与该终端的用户身份绑定并保存，当该终端用户再次发送虚拟IP地址请求的时候，将本次动态分配并保存的虚拟IP地址分配给该终端用户。

S106：向终端用户返回携带固定虚拟IP地址的响应报文。该固定虚拟IP地址为预先在服务器上与用户身份绑定的虚拟IP地址，或者为该用户动态分配并与该用户身份绑定的虚拟IP地址。

本实施例可以看出，由于用户在不同时间不同地点通过网络扩展服务远程接入内网时，都能够获取固定虚拟IP地址，因此满足内网服务器进行访问控制的需求，方便对远程接入用户进行访问管理和用户行为审计。

实施例二、

参见图2，为本发明实施例二提供的方固定虚拟网络地址的分配方法法流程图，所述固定虚拟网络地址的分配方法包括：

S201：管理员或者用户在认证源或者认证服务器上，为用户身份(如用户帐号记录)设置合法的用户虚拟IP地址，并将设置的用户虚拟IP地址与用户身份绑定，用户在远端通过客户端软件登录网关，开启网络业务后，向网关发送携带虚拟IP地址的请求的报文。

S202：网关获取用户身份，主要通过以下方式来获取：网关通过根据所述携带虚拟IP地址请求的报文携带的用户信息获取所述终端的用户身份；或，根据所述终端输入的信息获取所述终端的用户身份；或，根据所述终端的证书获取所述终端的用户身份。

S203：网关向认证源或者认证服务器发送查找与获取的用户身份绑定的虚拟IP地址的消息。

S204：认证源或者认证服务器查找与用户身份绑定的虚拟IP地址。

S205：认证源或者认证服务器向网关返回不存在与用户身份绑定的虚拟IP地址的消息。

S206：网关为用户动态分配一个虚拟IP地址，并将该动态分配的虚拟IP地址通过客户端软件发送给用户。该动态分配的虚拟IP地址不能与分配给其他用户的虚拟IP地址重复。

S207：网关向认证服务器发送存储为该用户动态分配的虚拟IP地址的请求。

S208：认证服务器存储用户身份与动态分配的虚拟IP地址的绑定关系。

本实施例中，网关与认证源或者认证服务器集成在一起，用户为本地认证用户，认证源或者认证服务器上预先为用户身份配置了虚拟IP地址，当用户请求虚拟IP地址时，网关为用户动态分配虚拟IP地址，并将该用户身份与动态分配的虚拟IP地址绑定关系保存在认证服务器上，当用户以后无论在何地向该网关发送虚拟IP地址请求时，该网关从认证服务器获取本次为该用户动态分配的虚拟IP地址，从而可以向该用户分配固定的虚拟IP地址。

实施例三、

参见图3，为本发明实施例三提供的固定虚拟网络地址的分配方法方法流程图，所述固定虚拟网络地址的分配方法包括：

S301：用户在远端通过浏览器登录网关，开启网络扩展业务后，用户通过浏览器向网关发送携带虚拟IP地址请求的报文。

S302：网关通过用户在网页上输入的信息(如用户名和密码)，或者用户通过网页显示的证书获取用户身份(如用户名)。

S303：网关根据S302获取的用户身份，向认证源或者认证服务器发送查找与用户身份绑定的虚拟IP地址的请求。

S304：认证源或者认证服务器查找与用户身份绑定的虚拟IP地址。

S305：认证源或者认证服务器向网关返回与用户身份绑定的虚拟IP地址。

S306：网关根据网络地址的发放时间和范围，为所述终端分配的虚拟IP地址的有效性。

S307：网关通过客户端软件向用户返回携带虚拟IP地址的报文。

本实施例中，网关通过浏览器接收用户发送的携带虚拟IP地址请求的报文，还需提取用户的身份信息，并通过用户身份从认证源或者认证服务器中查找与用户身份绑定的虚拟IP地址，并将与用户身份绑定的虚拟IP地址返回给用户，用户从而可以获得固定的虚拟IP地址。

实施例四、

参见图4，为本发明实施例四提供的固定虚拟网络地址的分配方法流程图，所述固定虚拟网络地址的分配方法包括：

S401：在认证服务器上，认证服务器管理员为每个外部用户设定固定的虚拟IP地址，该虚拟IP地址与用户身份绑定。外部认证用户在远程通过客户端软件登录网关，向网关发送用户身份合法性验证请求。

S402：网关接收外部认证用户发送的用户身份合法性验证请求，网关将该请求转发至认证服务器。

S403：认证服务器进行用户身份合法性验证，并向网关发送验证结果。

S404：网关向外部认证用户转发验证结果。

S405：外部认证用户接收验证结果，若通过验证，则开启远程接入服务，通过客户端向网关发送虚拟IP地址的请求。

S406：网关获取用户身份，主要通过以下方式来获取：网关根据携带虚拟IP地址请求的报文中携带的用户信息获取终端的用户身份；或，根据终端输入的信息获取终端的用户身份；或，根据终端当前的证书获取终端的用户身份。

S407：网关向认证服务器转发外部认证用户发送与用户身份绑定的虚拟IP地址请求。

S408：认证服务器查找与用户身份绑定的虚拟IP地址。

S409：认证服务器向网关返回所述与用户身份绑定的虚拟IP地址。

S410：网关通过客户端软件向用户返回所述与用户身份绑定的虚拟IP地址。

本实施例中，如果外部认证用户是通过浏览器向网关发送验证用户身份合法性请求的，则S406替换为：网关通过用户输入或者用户证书获取用户身份(如用户名)；相应的，S409则替换为：网关通过浏览器向用户返回虚拟IP地址。

本实施例中，网关与认证源或者认证服务器独立设计，该认证服务器上预先为用户身份配置了虚拟IP地址，当用户请求虚拟IP地址时，网关通过认证服务器向用户返回与用户身份绑定的虚拟IP地址，这样，相同的用户能够获得固定的虚拟IP地址。

实施例五、

参见图5，为本发明实施例五提供的固定虚拟网络地址的分配方法方法流程图，所述固定虚拟网络地址的分配方法包括：

S501：外部认证用户在远程通过浏览器登录网关，向网关发送验证用户身份合法性请求。

S502：网关接收外部认证用户发送的验证用户身份合法性请求，网关将该请求转发至认证服务器。

S503：认证服务器进行用户身份合法性验证，并向网关发送验证结果。

S504：网关向外部认证用户转发验证结果。

S505：外部认证用户接收验证结果，若通过验证，则开启远程接入服务，向网关发起虚拟IP地址的请求。

S506：网关通过外部认证用户在网页上输入的信息(如用户名和密码)，或者网关通过网页显示的用户证书获取该外部认证用户的用户身份。

S507：网关向认证服务器发送与外部认证用户的用户身份绑定的虚拟IP地址请求。

S508：认证服务器查找与外部认证用户的用户身份绑定的虚拟IP地址。

S509：认证服务器向网关返回不存在与外部认证用户的用户身份绑定的虚拟IP地址的消息。

S510：网关为外部认证用户动态分配一个虚拟IP地址，并将该动态分配的虚拟IP地址通过浏览器发送给外部认证用户。该动态分配的虚拟IP地址不能与分配给其他用户的虚拟IP地址重复。

S511：网关向认证服务器发送存储为该外部认证用户动态分配的虚拟IP地址的请求。

S512：认证服务器存储该外部认证用户的用户身份与动态分配的虚拟IP地址的绑定关系。

本实施例中，认证服务器与网关独立设计，当外部认证用户请求虚拟IP地址时，网关如果在认证服务器中查找不到与用户身份绑定的虚拟IP地址，则为该外部认证用户动态分配一个虚拟IP地址，并将该用户身份与动态分配的虚拟IP地址绑定关系保存在认证服务器上，当外部认证用户以后无论在何地向该网关发送虚拟IP地址请求时，该网关从认证服务器获取本次为该用户动态分配的虚拟IP地址，从而可以向该用户分配固定的虚拟IP地址。

以上对本发明提供的方法实施例进行了描述，下面对本发明网关实施例进行详细描述。

实施例六、

参见图6，为本发明实施例六提供的网关示意图，所述网关包括：

接收单元601，用于接收终端发送的携带虚拟IP地址请求的报文。该终端为浏览器或者客户端软件。

查询单元602，用于获取所述终端的用户身份，根据所述用户身份查询虚拟IP地址。

分配单元603，用于根据查询单元602查询的结果为终端分配固定虚拟IP地址。

响应单元604，用于向终端返回携带分配单元603分配的固定虚拟IP地址的响应报文。

实施例七、

参见图7，本实施例中，接收单元601是通过客户端接收虚拟IP地址请求的，相对于本发明实施例六提供的网关，查询单元602包括：

第一查询单元701，用于根据所述接收单元601接收的报文中携带的用户信息获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址。

相应的，分配单元603，用于根据第一查询单元701查询的结果为终端分配固定虚拟IP地址。

实施例八、

参见图8，本实施例中，接收单元601是通过浏览器或者客户端接收虚拟IP地址请求的，相对于本发明实施例六提供的网关，查询单元602包括：

第二查询单元801，用于根据所述终端输入的信息获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址。

相应的，分配单元603，用于根据第二查询单元801查询的结果为终端分配固定虚拟IP地址。

实施例九、

参见图9，本实施例中，接收单元601是通过浏览器或者客户端接收虚拟IP地址请求的，相对于本发明实施例六提供的网关，查询单元602包括：

第三查询单元901，用于根据所述终端当前的证书获取所述终端用户身份，根据所述用户身份查询虚拟网络地址。

相应的，分配单元603，用于根据第三查询单元901查询的结果为终端分配固定虚拟IP地址。

实施例十、

参见图10，本实施例相对实施例六提供的网关而言，分配单元603包括：

第一分配单元1001，用于查询单元602的查询结果为认证服务器上存在用户身份绑定的虚拟地址，则为发送请求的终端分配与用户身份绑定的虚拟IP地址，该认证服务器可与本发明实施例提供的网关集成在一起或者独立设计。

实施例十一、

参见图11，本实施例相对实施例六而言，分配单元603包括：第二分配单元1101，用于查询单元602的查询结果为认证服务器上不存在与用户身份绑定的虚拟IP地址，则为终端用户动态分配一个虚拟IP地址；并将动态分配的虚拟IP地址与该终端的用户身份绑定并保存，当用户再次发送虚拟IP地址请求的时候，将动态分配并绑定用户身份的虚拟IP地址分配给该用户，该认证服务器可与本发明实施例提供的网关集成在一起或者独立设计。

实施例十二、

参见图12，本实施例中，为了保证发送给用终端用户的虚拟IP地址有效，相对于实施例六，在响应单元604向用户响应虚拟IP地址之前，还包括：

检查单元1201，用于根据网络地址的发放时间和范围，检查分配单元603为终端分配的虚拟IP地址的有效性，如果检查分配单元603为终端分配的虚拟IP地址有效，则将检查后的为终端分配的虚拟IP地址发送给响应单元604。

实施例十三、

参见图13，本实施例相对实施例六，在接收单元601接收用户发送的携带虚拟IP地址请求的报文之前，还包括：

认证单元1301，用于接收终端用户身份认证请求，对该用户身份进行认证，并将验证结果发送给终端用户。用户接收到通过身份认证的消息时，开启远程接入业务，向接收单元601发送携带虚拟IP地址请求的报文。

以上实施可以看出，网关通过识别终端用户的用户名或者证书，确定用户身份，根据用户身份为其分配特定的虚拟IP，从网络扩展远程接入到内网，都能获取指定的虚拟IP，而保证用户无论何时何地，只要通过网络扩展远程接入到内网，都能获取指定的虚拟IP，满足内网服务器进行访问控制的需求。方便管理员进行用户管理、在线监控、和用户行为审计。

本领域普通技术人员可以理解实现上述方法实施例中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中。

上述提到的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

衣裳对本发明实施例所提供的一种固定虚拟网络地址的分配方法和网关进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1、一种固定虚拟网络地址的分配方法，其特征在于，所述方法包括：

接收终端发送的携带虚拟网络地址请求的报文；

获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址；

根据查询的结果为所述终端分配固定虚拟网络地址，向所述终端返回携带所述固定虚拟网络地址的响应报文。

2、根据权利要求1所述的方法，其特征在于，所述接收终端发送的携带虚拟网络地址请求的报文之前，还包括：

接收所述终端发送的用户身份认证请求，对所述用户身份进行认证，并将验证结果发送给所述终端。

3、根据权利要求1所述的方法，其特征在于，所述获取所述终端的用户身份，包括：

根据所述报文中携带的用户信息获取所述终端的用户身份；或，

根据所述终端输入的信息获取所述终端的用户身份；或，

根据所述终端当前的证书获取所述终端的用户身份。

4、根据权利要求1所述的方法，其特征在于，所述根据查询的结果为所述终端分配固定虚拟网络地址，包括：

所述查询结果为存在与所述用户身份绑定的虚拟网络地址，则为所述终端分配与所述用户身份绑定的虚拟网络地址；或，

所述查询结果为不存在与所述用户身份绑定的虚拟网络地址，则为所述终端动态分配一个虚拟网络地址，绑定并保存该虚拟网络地址与所述用户身份。

5、根据权利要求1所述的方法，其特征在于，向所述终端返回携带所述固定虚拟网络地址的响应报文之前，还包括：

根据网络地址的发放时间和范围，检查为所述终端分配的虚拟网络地址的有效性。

6、一种网关，其特征在于，所述网关包括：

接收单元，用于接收终端发送的携带虚拟网络地址请求的报文；

查询单元，用于获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址；

分配单元，用于根据所述查询单元查询的结果为所述终端分配固定虚拟网络地址；

响应单元，用于向所述终端返回所述分配单元分配的固定虚拟网络地址。

7、根据权利要求6所述的网关，其特征在于，所述网关还包括：

认证单元，用于接收所述终端发送的用户身份认证请求，对所述用户身份进行认证，并将验证结果发送给所述终端。

8、根据权利要求6所述的网关，其特征在于，所述查询单元包括：

第一查询单元，用于根据所述接收单元接收的报文中携带的用户信息获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址；或，

第二查询单元，用于根据所述终端输入的信息获取所述终端的用户身份，根据所述用户身份查询虚拟网络地址；或，

第三查询单元，用于根据所述终端当前的证书获取所述终端用户身份，根据所述用户身份查询虚拟网络地址。

9、根据权利要求6所述的网关，其特征在于，所述分配单元包括：

第一分配单元，用于所述查询单元的查询结果为存在与所述用户身份绑定的虚拟网络地址，为所述终端分配与所述用户身份绑定的虚拟网络地址；或，

第二分配单元，用于所述查询单元的查询结果为不存在与所述用户身份绑定的虚拟网络地址，则为所述终端动态分配一个虚拟网络地址；绑定并保存该虚拟网络地址与所述用户身份。

10、根据权利要求6所述的网关，其特征在于，所述网关还包括：

检查单元，用于根据网络地址的发放时间和范围，检查所述分配单元分配的虚拟网络地址的有效性。

Images