CN102546444B - 一种通过二层隧道协议访问私网的方法和服务器 - Google Patents

Abstract

本发明公开了一种通过二层隧道协议访问私网的方法，该方法包括：LNS接收到公网客户端发送的需转发到公网中的报文时，将该报文携带的目的地址所在的网段以及掩码信息作为重定向路由信息发送给公网客户端，使所述公网客户端将对应的重定向路由信息添加为出接口为公网接口的路由。基于同样的发明构思，本发明还提出一种服务器，在不影响公网客户端访问私网的基础上，公网客户端无需进行任何手动配置时，能够方便地访问公网。

Description

一种通过二层隧道协议访问私网的方法和服务器

技术领域

本发明涉及通信技术领域，特别涉及一种通过二层隧道协议访问私网的方法和服务器。

背景技术

随着IP网络普及以及网络安全意识日益增强，各种企业、小型互联网服务提供商(ISP)均建立了较为隔离的专属企业私有网络，从而使得利用公共网络，如综合业务数字网(ISDN)或公共交换电话网(PSTN)的拨号功能接入公共网络实现虚拟专用网的应用日益普遍。二层隧道协议(L2TP)技术在公共网络上为企业建立了安全的虚拟专网。企业驻外机构和出差人员可从远程经由公共网络，通过虚拟隧道实现和企业总部之间的网络连接，而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。

参见图1，图1为移动用户访问企业私网的结构示意图。图1中公网用户通过公网客户端101使用二层隧道协议(L2TP)拨号，通过L2TP网络服务器(LNS)102接入企业私网中的监控管理中心103。图1中L1+L2为公网用户通过公网客户端101访问企业私网的路径。当使用L2TP拨号后，公网客户端101默认会增加一条高优先级的默认路由，其下一跳为L2TP拨号接口，导致用户在访问公网的其他服务器资源时，会先将报文发送到LNS102，也就是企业网络出口，然后再转发到公网服务器104，如果企业出口存在访问限制或者禁止访问，会对公网用户造成影响，另外也占有并浪费了企业的出口带宽资源，图1中L1+L3为现有实现中公网用户通过公网客户端101访问公网服务器104的路径。

对上述问题现有的最常用的解决方法有两种，第一种方法为公网用户在通过公网客户端101拨号之前，手动取消在远程网络上使用默认网关，这样拨号后不会添加默认路由；第二种方法为公网用户通过公网客户端101在拨号完成后，在公网客户端101上手动配置到企业私网的静态路由。

上述两种解决方法都存在一定的缺点，用户必须掌握一定的网络知识，在不影响公网用户访问私网的基础上，需对公网客户端进行手动配置才能访问公网。

发明内容

有鉴于此，本发明提供一种通过二层隧道协议访问私网的方法和服务器，在不影响公网客户端访问私网的基础上，公网客户端无需进行任何手动配置时，能够方便地访问公网。

为解决上述技术问题，本发明的技术方案是这样实现的：

一种通过二层隧道协议访问私网的方法，LNS与公网客户端建立连接后，使所述公网客户端将所有报文通过建立的连接进行转发，所述方法包括：

所述LNS通过所述连接接收到所述公网客户端发送的报文，根据所述报文携带的目的IP地址在本地路由转发表项中查找，若根据查找结果确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IP控制协议(IPCP)控制报文中携带的重定向路由信息添加为出接口为公网接口的路由；若根据查找结果确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

一种服务器，所述服务器包括：建立单元、接收单元、查找单元和处理单元；

所述建立单元，用于建立自身所在服务器与公网客户端的连接，使所述公网客户端将所有报文通过建立的连接进行转发；

所述接收单元，用于通过所述建立单元建立的连接接收所述公网客户端发送的报文；

所述查找单元，用于根据所述接收单元接收的报文携带的目的IP地址在本地路由转发表项中查找，并根据查找结果确定该报文为转发到公网中还是转发到私网中；

所述处理单元，用于若所述查找单元确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由；若所述查找单元确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

综上所述，本发明中LNS接收到公网客户端发送的需转发到公网中的报文时，将该报文携带的目的地址所在的网段以及掩码信息作为重定向路由信息发送给公网客户端，使所述公网客户端将对应的重定向路由信息添加为出接口为公网接口的路由，在不影响公网客户端访问私网的基础上，公网客户端无需进行任何手动配置时，能够方便地访问公网。

附图说明

图1为移动用户访问企业私网的结构示意图；

图2为本发明实施例中通过L2TP访问私网的方法流程示意图；

图3为现有实现中LNS本地路由转发表；

图4为本发明实施例中携带重定向路由信息的IPCP控制报文格式示意图；

图5为本发明具体实施例中基于L2TP访问私网的服务器的结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明所述方案作进一步地详细说明。

本发明实施例中提出一种通过L2TP访问私网的方法，LNS与公网客户端建立连接后，使所述公网客户端将所有报文通过建立的连接进行转发，即建立连接后公网客户端会在本地添加默认路由，默认发出的所有报文均通过建立的连接进行转发。建立连接过程同现有实现，这里不再赘述。

参见图2，图2为本发明实施例中通过L2TP访问私网的方法流程示意图。具体步骤为：

步骤201，LNS通过所述连接接收到所述公网客户端发送的报文，根据所述报文携带的目的IP地址在本地路由转发表项中查找。

参见图3，图3为现有实现中LNS本地路由转发表。根据报文携带的目的IP地址以及图3中的路由转发表中掩码信息获得路由转发表中的网段信息，根据获得的网段信息可以查找到对应的下一跳和出接口。若接收的报文携带的目的IP地址为192.168.254.5，在图3的本地路由表中查找对应的出接口和下一跳。

步骤202，若根据查找结果确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IP控制协议(IPCP)控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由。

参见图4，图4为本发明实施例中携带重定向路由信息的IPCP控制报文格式示意图。图4中Type：值为135，表示路由重定向消息；Length:表示路由消息的长度；Code：0：表示公网路由：LNS用于通告需重定向路由信息，公网客户端收到该消息后，下发该消息中携带的路由信息到公网接口；1：表示私网路由：用于LNS端感知网络出现调整(路由发生变化)时，即部分原本用于公网的部分路由更新为私网路由时将此类改变通告给公网客户端，公网客户端收到该消息后，在本地删除该消息中携带的路由信息表项。Network Number：报文中携带的路由条数；Network：路由信息的网段信息；Mask：路由消息的网段掩码长度。

在图3的路由转发表中根据掩码信息获得目的IP地址所在网段信息为192.168.254.0，在路由转发表中查找到的对应出接口InLoop0和下一跳127.0.0.1表明该报文需转发到公网时，则将该报文转发到公网中，并将网段信息和掩码信息作为重定向路由信息携带在IPCP控制报文发送给公网客户端。该IPCP控制报文的格式同图4，其中，Type填充为135，长度值填充为12，表示12个8比特长度，code值填充为0，Network Number填充为1；Network填充为目的IP地址192.168.254.5所在网段192.168.254.0，Mask填充为255.255.255.0。

使所述公网客户端将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由后，公网客户端再次向该网段发送报文时直接发送，不再默认发送给LNS，对于LNS未发送重定向路由信息的网段默认发送给LNS。

本步骤中将重定向路由信息携带在IPCP控制报文中发送给公网客户端之后，进一步包括：若在预设时间内未接收到所述公网客户端回应的IPCP确认报文，或回应的IPCP确认报文为配置下发失败，则再次向所述公网客户端发送携带所述重定向路由信息的IPCP控制报文。

步骤203，若根据查找结果确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

若在图3的路由转发表中查找到的对应出接口和下一跳表明该报文需转发到私网时，将该接收的报文转发到私网中，转发到私网的过程同现有实现，这里不再赘述。

步骤202中将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，进一步包括：使所述公网客户端设置重定向路由保活周期，在保活周期到时将本地所有重定向路由信息发送给所述LNS。

LNS根据查找结果确定该报文为转发到公网中时，进一步包括：将本地路由转发表项中接收报文携带的目的IP地址所在网段信息以及掩码信息记录为重定向路由信息。如将图3中的192.168.254.0/24记录为重定向路由信息。具体实现时，可以将通过加标识，或者重新记录各表项等方法实现。

LNS接收到公网客户端发送的重定向路由信息，与本地记录的重定向路由信息进行比较，若比较结果一致，则回应IPCP确认报文通知公网客户端刷新所有重定向路由信息；若比较结果不一致，则将不一致的重定向路由信息发给所述公网客户端，使其将不一致的重定向路由信息删除，并更新其他重定向路由信息。

如果公网客户端发送的重定向路由信息与本地记录的重定向路由信息完全一致，则在回应IPCP确认报文中Code字段和Network Number字段均填充为0，表示不存在不一致的重定向路由信息。如果公网客户端发送的重定向路由信息与本地记录的重定向路由信息不完全一致，则需通知公网客户端不一致的重定向路由信息，在回应IPCP确认报文中Code字段填充为1，Network Number字段根据不一致的重定向路由条数填充，若为1条则填充为1。

公网客户端收到LNS端回应IPCP确认报文时，根据重定向路由信息更新本地公网路由。如重定向路由信息Code字段和Network Number字段均为0，则本地记录的重定向路由信息只需刷新而不需更新。如重定向路由信息Code字段为1，则将该报文中携带的对应的Network路由从本地删除。

步骤202中将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，进一步包括：

使公网客户端设置重定向路由老化时间，在所述老化时间内未收到刷新重定向路由信息的IPCP确认报文时，将对应的重定向路由信息删除。在公网客户端周期向LNS发送本地记录的重定向路由信息，LNS会通过IPCP确认报文通知公网客户端删除或刷新对应的重定向路由信息。如果在老化时间内未收到刷新某个重定向路由信息，则将该重定向路由信息删除。

本发明具体实施例中预设时间、保活周期以及老化时间可以是遵循IPCP协议的时间，也可以根据实际环境具体设置的时间。

该方法进一步包括：当本地记录的重定向路由信息中部分被应用于私网时，所述LNS通知公网客户端删除对应的重定向路由信息。

当公网客户端已登录后，LNS端出现网络变化，如记录的部分重定向路由信息被应用于私网时，在向公网客户端发送的报文中将code填充为1，将记录的重定向路由信息应用于私网的条数填充在Network Number，将具体的重定向路由信息填充在Network和Mask中。

公网客户端收到该报文时，将对应的重定向路由信息删除。

基于同样的发明构思，本发明还提出一种实现上述技术的服务器。参见图5，本发明具体实施例中基于L2TP访问私网的服务器的结构示意图。该服务器包括：建立单元501、接收单元502、查找单元503和处理单元504。

建立单元501，用于建立自身所在服务器与公网客户端的连接，使所述公网客户端将所有报文通过建立的连接进行转发。

接收单元502，用于通过建立单元502建立的连接接收所述公网客户端发送的报文。

查找单元503，用于根据接收单元502接收的报文携带的目的IP地址在本地路由转发表项中查找，并根据查找结果确定该报文为转发到公网中还是转发到私网中。

处理单元504，用于若查找单元503确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由；若查找单元503确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

较佳地，

接收单元502，进一步用于在处理单元504将重定向路由信息携带在IPCP控制报文中发送给公网客户端之后，接收所述公网客户端回应的IPCP确认报文。

处理单元504，进一步用于在预设时间内接收单元502未接收到所述公网客户端回应的IPCP确认报文，或回应的IPCP确认报文为配置下发失败，则再次向所述公网客户端发送携带所述重定向路由信息的IPCP控制报文。

较佳地，

处理单元504，进一步用于将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，使所述公网客户端设置重定向路由保活周期，在保活周期到时将本地所有重定向路由信息发送给自身所在服务器。

较佳地，该服务器进一步包括：记录单元505和比较单元506。

记录单元505，用于查找单元503根据查找结果确定该报文为转发到公网中时，将本地路由转发表项中所述接收报文携带的目的IP地址所在网段信息以及掩码信息记录为重定向路由信息。

接收单元502，进一步用于接收所述公网客户端发送的重定向路由信息。

比较单元506，用于将接收单元502接收的重定向路由信息与记录单元505记录的重定向路由信息进行比较。

处理单元504，进一步用于当比较单元506进行比较的比较结果一致时，回应IPCP确认报文通知公网客户端刷新所有重定向路由信息；若比较结果不一致，将不一致的重定向路由信息发给所述公网客户端，使其将不一致的重定向路由信息删除，并更新其他重定向路由信息。

较佳地，

处理单元504，进一步用于将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，使所述公网客户端设置重定向路由老化时间，在所述老化时间内未收到刷新重定向路由信息的IPCP确认报文时，将对应的重定向路由信息删除。

较佳地，

处理单元504，进一步用于当记录单元505记录的重定向信息中部分被应用于私网时，通知所述公网客户端删除对应的重定向路由信息。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

综上所述，本发明具体实施例中LNS接收到公网客户端发送的需转发到公网中的报文时，将该报文携带的目的地址所在的网段以及掩码信息作为重定向路由信息发送给公网客户端，使所述公网客户端将对应的重定向路由信息添加为出接口为公网接口的路由，在不影响公网客户端访问私网的基础上，公网客户端无需进行任何手动配置时，能够方便地访问公网。

本发明具体实施例中通过对L2TP拨号过程中PPP IPCP协商报文进行扩展，新增IPCP协商报文字段的Type值135，表示路由重定向信息，在该报文中，L2TP的服务器LNS端可以将经过本地服务器转发的公网流量重定向到非本地转发路径，从而避免浪费私网的出口带宽资源。LNS按需动态下发公网路由，公网客户端可按需自动更新主机配置，管理方便。终端拨号用户通过公网客户端利用L2TP访问私网，利用公网访问公网，提高了私网出口带宽利用率和L2TP隧道带宽利用率；终端拨号用户完全不感知私网路由，保持了通过L2TP网络接入的安全性。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种通过二层隧道协议L2TP访问私网的方法，其特征在于，L2TP网络服务器LNS与公网客户端建立连接后，使所述公网客户端将所有报文通过建立的连接进行转发，所述方法包括：

所述LNS通过所述连接接收到所述公网客户端发送的报文，根据所述报文携带的目的IP地址在本地路由转发表项中查找，若根据查找结果确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IP控制协议IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由；若根据查找结果确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

2.根据权利要求1所述的方法，其特征在于，所述将重定向路由信息携带在IPCP控制报文中发送给公网客户端之后，所述方法进一步包括：

若在预设时间内未接收到所述公网客户端回应的IPCP确认报文，或回应的IPCP确认报文为配置下发失败，则再次向所述公网客户端发送携带所述重定向路由信息的IPCP控制报文。

3.根据权利要求1所述的方法，其特征在于，所述将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，所述方法进一步包括：

使所述公网客户端设置重定向路由保活周期，在保活周期到时将本地所有重定向路由信息发送给所述LNS。

4.根据权利要求3所述的方法，其特征在于，所述LNS根据查找结果确定该报文为转发到公网中时，所述方法进一步包括：将本地路由转发表项中所述接收报文携带的目的IP地址所在网段信息以及掩码信息记录为重定向路由信息；

所述LNS接收到公网客户端发送的重定向路由信息，与本地记录的重定向路由信息进行比较，若比较结果一致，则回应IPCP确认报文通知公网客户端刷新所有重定向路由信息；若比较结果不一致，则将不一致的重定向路由信息发给所述公网客户端，使其将不一致的重定向路由信息删除，并更新其他重定向路由信息。

5.根据权利要求4所述的方法，其特征在于，所述将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，所述方法进一步包括：

使所述公网客户端设置重定向路由老化时间，在所述老化时间内未收到刷新重定向路由信息的IPCP确认报文时，将对应的重定向路由信息删除。

6.根据权利要求4或5所述的方法，其特征在于，所述方法进一步包括：

当本地记录的重定向路由信息中部分被应用于私网时，所述LNS通知公网客户端删除对应的重定向路由信息。

7.一种服务器，其特征在于，所述服务器包括：建立单元、接收单元、查找单元和处理单元；

所述建立单元，用于建立自身所在服务器与公网客户端的连接，使所述公网客户端将所有报文通过建立的连接进行转发；

所述接收单元，用于通过所述建立单元建立的连接接收所述公网客户端发送的报文；

所述查找单元，用于根据所述接收单元接收的报文携带的目的IP地址在本地路由转发表项中查找，并根据查找结果确定该报文为转发到公网中还是转发到私网中；

所述处理单元，用于若所述查找单元确定该报文为转发到公网中，则将该报文转发到公网并将所述目的IP地址所在网段信息和掩码信息作为重定向路由信息携带在IP控制协议IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由；若所述查找单元确定所述接收的报文为转发到私网中，则将该接收的报文转发到私网中。

8.根据权利要求7所述的服务器，其特征在于，

所述接收单元，进一步用于在所述处理单元将重定向路由信息携带在IPCP控制报文中发送给公网客户端之后，接收所述公网客户端回应的IPCP确认报文；

所述处理单元，进一步用于在预设时间内所述接收单元未接收到所述公网客户端回应的IPCP确认报文，或回应的IPCP确认报文为配置下发失败，则再次向所述公网客户端发送携带所述重定向路由信息的IPCP控制报文。

9.根据权利要求7所述的服务器，其特征在于，

所述处理单元，进一步用于将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，使所述公网客户端设置重定向路由保活周期，在保活周期到时将本地所有重定向路由信息发送给自身所在服务器。

10.根据权利要求9所述的服务器，其特征在于，所述服务器进一步包括：记录单元和比较单元；

所述记录单元，用于所述查找单元根据查找结果确定该报文为转发到公网中时，将本地路由转发表项中所述接收报文携带的目的IP地址所在网段信息以及掩码信息记录为重定向路由信息；

所述接收单元，进一步用于接收所述公网客户端发送的重定向路由信息；

所述比较单元，用于将所述接收单元接收的重定向路由信息与所述记录单元记录的重定向路由信息进行比较；

所述处理单元，进一步用于当所述比较单元进行比较的比较结果一致时，回应IPCP确认报文通知公网客户端刷新所有重定向路由信息；若比较结果不一致，将不一致的重定向路由信息发给所述公网客户端，使其将不一致的重定向路由信息删除，并更新其他重定向路由信息。

11.根据权利要求10所述的服务器，其特征在于，

所述处理单元，进一步用于将重定向路由信息携带在IPCP控制报文中发送给公网客户端，使其将所述IPCP控制报文中携带的重定向路由信息添加为出接口为公网接口的路由时，使所述公网客户端设置重定向路由老化时间，在所述老化时间内未收到刷新重定向路由信息的IPCP确认报文时，将对应的重定向路由信息删除。

12.根据权利要求10或11所述的服务器，其特征在于，

所述处理单元，进一步用于当所述记录单元记录的重定向信息中部分被应用于私网时，通知所述公网客户端删除对应重定向路由信息。