CN102694738B - 在虚拟专用网网关转发报文的方法以及虚拟专用网网关 - Google Patents

Abstract

提供一种在虚拟专用网(VPN)网关转发报文的方法和VPN网关。所述方法包括：当从公网接收到封装有通用路由封装协议(GRE)报文的传输协议报文时，将封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文；创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述传输协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址；根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文。

Description

在虚拟专用网网关转发报文的方法以及虚拟专用网网关

技术领域

本申请涉及一种在虚拟专用网(VPN)网关转发报文的方法以及VPN网关，尤其涉及一种通过动态地建立与远程VPN网关之间的通用路由封装协议(GRE)隧道来实现私网之间的通信。

背景技术

随着企业规模日益扩大，其客户分布可日益广泛，合作伙伴也会日益增多。基于固定地点的专线连接方式的传统的企业网，已难以适应现代企业的需求。

例如，大型的企业除企业总部以外，一般会在多个城市设置分支机构。为了将这些分支机构互联实现分支机构与总部之间的安全数据共享，VPN(Virtual Private Network)成为多数企业普遍采纳的解决方案，如图1所示。

VPN技术是在公网上构建私有网络的新兴技术。为了防止在广域网上传输日常业务数据时被恶意用户窃听、篡改和攻击，采用VPN可以解决这些方面的忧虑。但是，在建立起VPN网络后，随着分支机构的规模日益壮大，企业的IP人员将面临VPN的稳定性降低、日常维护工作量增加以及排障难度增加等挑战。

GRE(Generic Routing Encapsulation，通用路由封装)协议作为实现VPN的可选协议来说，可支持使用不同的本地网络的各分支机构基于公网建立连接，以进行数据通信。如图2所示，GRE基于Tunnel(隧道)技术对某些网络层协议(如IP和IPX)的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议(如IP)中传输。

图3示出了GRE隧道中传输的数据格式。通常将需要封装和传输的数据报文称为净荷(Payload)，净荷的协议类型就叫做乘客协议(PassengerProtocol)。系统收到一个净荷后，首先使用封装协议(Encapsulation Protocol)对这个净荷进行GRE封装，即把乘客协议报文进行了“包装”，加上了一个GRE头部成为GRE报文；然后再将封装好的原始报文和GRE头部封装在另一个协议的报文中，比如IP报文，这样就可完全由IP层负责此报文的前向转发。通常将这个负责前向转发的协议称为传输协议(Delivery Protocol)。

GRE隧道是一个虚拟的点到点的连接，为封装的数据报文提供了一条传输通路，GRE隧道的两端分别对数据报进行封装及解封装。

图4是示出通过GRE隧道位于两个不同的两个客户机之间实现通信的示意图。

参照图4，在图示的通信系统中，客户机PCA和PCB位于不用的私网(局域网)内，他们分别通过网关RTA和RTB接入公网，在网关RTA和RTB时间建立GRE隧道(如“tunnel-gre-1)。

在图4的示例中，假设将客户机PCA的IP地址配置为192.168.1.2，为网关RTA的公网连接配置IP地址1.1.1.1，私网连接配置IP地址192.168.1.1；将客户机PCB的IP地址配置为192.168.2.2，为网关RTB的公网连接配置IP地址2.2.2.2，私网连接配置IP地址192.168.2.1；网关RTA和RTB通过广域网中的交换机SWA相互传输数据报文。

在图4中用于实现客户机PCA和PCB之间的通信的处理通常如下：

在网关RTA上，

1.创建与网关RTB之间传输数据报文的GRE隧道tunnel-gre-1，其中，将tunnel-gre-1的local端地址配置为1.1.1.1，将tunnel-gre-1的remote端地址配置为2.2.2.1。

2.配置相应的路由

首先，配置客户机PCA所在的私网到客户机PCB所在的私网的路由“route add 192.168.2.0/24via tunnel-gre-1”；然后，添加tunnel-gre-1的local端点到remote端点的路由“route add 2.2.2.0/24via 1.1.1.2”。

在网关RTB上，

1.创建与网关RTA之间传输数据报文的GRE隧道tunnel-gre-1，其中，配置将tunnel-gre-1的local端地址配置为2.2.2.1，将tunnel-gre-1的remote端地址配置为1.1.1.1。

2.配置相应的路由

首先，配置客户机PCB所在的私网到客户机PCA所在的私网的路由“route add 192.168.1.0/24via tunnel-gre-1”；然后，添加tunnel-gre-1的local端点到remote端点的路由“route add 1.1.1.0/24via 2.2.2.2”。

最后，在客户机PCA上添加默认路由“route add 0.0.0.0/0via192.168.1.1”，在客户机PCB上添加默认路由“route add 0.0.0.0/0via192.168.2.1”。

图5示出当客户机PCA与客户机PCB交互(以从客户机PCA执行对客户机PCB的ping命令)时，从客户机PCA发送到客户机PCB的报文在RTA被封装，并且在RTB被解封装的处理。

但是，在现有的基于GRE的VPN解决方案中，在VPN的网关上，需要手动配置每个GRE隧道的两个端点。这对于星形拓扑的网络来说，位于中心节点的VPN网关需要手动地添加每个分支节点处的VPN网关的GRE配置，不仅操作工作量巨大，并且容易出错。

发明内容

本发明的目的在于提供一种在VPN网关上转发数据报文的方法以及使用所述方法的VPN网关，其中，通过动态地建立与远程VPN网关的GRE隧道来实现本地局域网中的客户机和远程局域网的客户机之间的通信，不必手动配置与每个新增加的VPN网关之间的GRE隧道，方便了网络的配置和管理。

根据本发明的一方面，提供一种在虚拟专用网(VPN)网关转发报文的方法，包括：当从公网接收到封装有通用路由封装协议(GRE报文)的传输协议报文时，将封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述传输协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文。

所述传输协议报文可以是基于IP的传输协议。

根据本发明的另一方面，提供一种转发报文的通用路由封装协议(VPN)网关，包括：第一模块，用于当从公网接收到封装有GRE报文的传输协议报文时，进行以下处理：将封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述传输协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文。

所述传输协议报文可以是基于IP的传输协议。

根据本发明的另一方面，提供一种在虚拟专用网(VPN)网关转发报文的方法，包括：当接收到从所述VPN网关管理的私网发送给另一私网的IP协议报文时，在包括至少一个具有客户机私网IP地址和网关IP地址的表项的通用路由封装协议(GRE)隧道动态表中查找客户机私网IP地址与IP协议报文的目标IP地址匹配的表项；将所述IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文；根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

根据本发明的另一方面，提供一种转发报文的虚拟专用网(VPN)网关，包括：第一模块，用于当接收到从所述VPN网关管理的私网发送给另一私网的IP协议报文时，进行以下处理：在包括至少一个具有客户机私网IP地址和网关IP地址的表项的通用路由封装协议(GRE)隧道动态表中查找客户机私网IP地址与IP协议报文的目标IP地址匹配的表项；将所述IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文；根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

根据本发明的另一方面，提供一种在虚拟专用网(VPN)网关转发报文的方法，包括：当从公网接收到封装有通用路由封装协议(GRE)报文的第一IP协议报文时，将所述封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述第一IP协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文；当接收到从所述VPN网关管理的私网发送给另一私网的第二IP协议报文时，在GRE隧道动态表中查找客户机私网IP地址与第二IP协议报文的目标IP地址匹配的表项，将所述第二IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文，根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

根据本发明的另一方面，提供一种转发报文的VPN网关，包括：第一模块，用于当从公网接收到封装有GRE报文的第一IP协议报文时，进行以下处理：将所述封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述第一IP协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文；第二模块，用于当接收到从所述VPN网关管理的私网发送给另一私网的第二IP协议报文时，进行以下处理：在GRE隧道动态表中查找客户机私网IP地址与第二IP协议报文的目标IP地址匹配的表项，将所述第二IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文，根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

根据本发明的另一方面，提供一种在通用路由封装协议(GRE)网关转发报文的方法，包括：当从公网接收到封装有GRE报文的第一IP协议报文时，将所述封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述第一IP协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文；当接收到从所述VPN网关管理的私网发送给另一私网的第二IP协议报文时，在GRE隧道动态表中查找客户机私网IP地址与第二IP协议报文的目标IP地址匹配的表项，将所述第二IP协议报文作为净荷封装为GRE协议报文，并且构建以所述GRE网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文，根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

附图说明

通过下面结合附图进行的描述，本发明的上述和其他目的和特点将会变得更加清楚，其中：

图1是示出具有多个分支机构的企业的VPN系统架构的示意图；

图2是示出在VPN网关之间通过GRE隧道进行通信的示意图；

图3是示出用于在GRE隧道传输的报文的数据格式的示意图；

图4是示出通过GRE隧道位于两个不同的两个客户机之间实现通信的示意图；

图5是示出在两个私网的客户机之间的数据报文在传输过程中被封装和解封装的示意图；

图6是示出实施根据本发明的示例性实施例的转发报文的方法的通信系统架构的示意图；

图7是示出根据本发明的示例性实施例的转发报文的方法对传输报文的处理的示意图；

图8是示出根据本发明的示例性实施例的转发报文的方法的流程图；

图9是示出根据本发明的另一示例性实施例的转发报文的方法的流程图。

具体实施方式

以下，参照附图来详细说明本发明的实施例。

图6示出实施根据本发明的示例性实施例的转发报文的方法的通信系统架构。根据本发明的通信系统采用与图4中示出的现有的通信系统的相同的架构。不同的是，在根据本发明的通信系统中，将其中的一个VPN网关(即位于企业总部的VPN网关)作为中心节点(称为中心VPN网关)，在所述中心VPN网关)上不需手动配置与各其他VPN网关(称为节点VPN网关)的GRE隧道端点，而是维护用于记录GRE隧道远程端点信息以及其相应的私网信息的GRE隧道动态表。

当中心VPN网关从公网接收到封装有GRE报文的传输协议报文时，创建包含所述传输协议报文的源IP和GRE报文中的乘客协议报文的源IP地址的表项，并且将创建的表项记录在GRE隧道动态表中。

当中心VPN网关从其所管理的私网接收到发送给另一私网的IP协议报文时，可利用GRE隧道动态表中相应的表项信息进行GRE报文封装并构建传输协议报文，并且通过GRE隧道将传输协议报文发送给目标。

图7示出根据本发明的示例性实施例的转发报文的方法在图6中示出的通信系统中对传输中的报文进行的处理。图7中示出的是从客户机PCA向客户机PCB发送ICMP报文时的示例性处理，需要指出，本发明的转发报文的方法适用于任何基于IP的通信协议(如TCP、UDP)报文。

参照图7，客户机PCA响应自用户接收的“ping192.168.2.2”的命令，构建源地址为192.168.1.2、目的地址为192.168.2.2的ICMP报文，并且根据其操作系统中的路由设置，将构建的ICMP报文先发送给VPN网关RTA。

当VPN网关RTA接收到所述ICMP报文时，通过其GRE模块将所述ICMP报文作为净荷加封装，以构建用于通过GRE隧道发送的传输协议报文(在此为基于IP的协议)，将构建的传输协议报文的IP报头中的源地址和目的地址分别设为GRE隧道的本地端点和远程端点的IP地址“1.1.1.1”和“2.2.2.1”。然后，VPN网关RTA将构建的传输协议报文匹配默认路由后，通过SWA发送到VPN网关RTB。

VPN网关RTB接收到封装有GRE报文的传输协议报文，通过其GRE模块将封装的GRE报文解封装，以提取作为GRE报文的净荷的ICMP协议报文(即乘客协议报文)。此后，VPN网关RTB创建包含远程端点的网关IP地址“1.1.1.1”以及远程客户机PCA的IP地址“192.168.1.2”的表项，并且将创建的表项记录在GRE隧道动态表中。然后，VPN网关RTB根据与所述ICMP报文的报头中的目标IP地址“192.168.2.2”匹配的路由，将所述ICMP报文转发给客户机PCB。

客户机PCB响应客户机PCA的ICMP报文(ping请求)，构建源地址为“192.168.2.2”、目的地址为“192.168.1.2”的ICMP响应报文，并且经过路由匹配后将所述ICMP响应报文发送到VPN网关RTB。

VPN网关RTB在接收到所述ICMP响应报文后，根据所述ICMP响应报文的目的地址“192.168.1.2”在其GRE隧道动态表中查找与之对应的表项，从而匹配到远程端点的网关IP地址为“1.1.1.1”的表项。此后，VPN网关RTB通过其GRE模块将所述ICMP响应报文进行封装，以构建源IP地址为“2.2.2.1”、目的IP地址为“1.1.1.1”的传输协议报文(在此为基于IP的协议)，将原始的ICMP响应报文作为净荷放到GRE报头之后。然后，将加封装的传输协议报文匹配默认路由后，通过SWA发送到VPN网关RTA。

VPN网关RTA在接收到所述封装有GRE报文的传输协议报文后，通过其GRE模块将所述传输协议报文解封装，并且将原始的ICMP响应报文转发给客户机PCA。

综上所述，本发明的在VPN网关转发报文的技术方案能够在中心VPN网关接收到来自位于分部的私网的客户机的报文时，在事先知晓或者不知晓位于所述分部的VPN网关的IP地址的情况下，动态地建立与所述节点VPN网关之间的GRE隧道，实现总部的私网和分部私网之间的通信。在此过程中，不需要在中心VPN网关手动设置GRE隧道的端点。

图8是示出根据本发明的示例性实施例的转发报文的方法的流程图。

参照图8，当在步骤S810，VPN网关RTB从公网接收到封装有GRE报文的传输协议报文时，在步骤S820，VPN网关RTB将封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文。

随后，在步骤S830，VPN网关RTB创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述传输协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址。

然后，在步骤S840，VPN网关RTB根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文。

图9是示出根据本发明的另一示例性实施例的转发报文的方法的流程图。

当在步骤S910，VPN网关RTB接收到从其所管理的私网发送给另一私网的IP协议报文时，在步骤S920，VPN网关RTB在包括至少一个具有客户机私网IP地址和网关IP地址的表项的GRE隧道动态表中查找客户机私网IP地址与IP协议报文的目标IP地址匹配的表项。

此后，在步骤S930，VPN网关RTB将所述IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文。

在步骤S940，VPN网关RTB根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

尽管已参照优选实施例表示和描述了本发明，但本领域技术人员应该理解，在不脱离由权利要求限定的本发明的精神和范围的情况下，可以对这些实施例进行各种修改和变换。

Claims (2)

1.一种在中心虚拟专用网(VPN)网关转发报文的方法，包括：

当中心VPN网关从公网接收到封装有通用路由封装协议(GRE)报文的第一IP协议报文时，

将所述封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，

创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述第一IP协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，

根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文；

当中心VPN网关接收到从所述中心VPN网关管理的私网针对所述乘客协议报文响应的第二IP协议报文时，

在GRE隧道动态表中查找客户机私网IP地址与第二IP协议报文的目标IP地址匹配的表项，

将所述第二IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文，

根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。

2.一种转发报文的中心VPN网关，包括：

第一模块，用于当中心VPN网关从公网接收到封装有GRE报文的第一IP协议报文时，进行以下处理：

将所述封装的GRE报文解封装，以提取作为GRE报文的净荷的乘客协议报文，

创建包含网关IP地址、客户机私网IP地址的表项，并且将创建的表项记录在GRE隧道动态表中，所述网关IP地址是所述第一IP协议报文的源IP地址，所述私网IP是所述乘客协议报文的源IP地址，

根据与所述乘客协议报文的报头信息匹配的路由，转发所述乘客协议报文；

第二模块，用于当中心VPN网关接收到从所述中心VPN网关管理的私网针对所述乘客协议报文响应的第二IP协议报文时，进行以下处理：

在GRE隧道动态表中查找客户机私网IP地址与第二IP协议报文的目标IP地址匹配的表项，

将所述第二IP协议报文作为净荷封装为GRE协议报文，并且构建以所述VPN网关的外网IP地址作为源IP地址并且以所述匹配的表项中的网关IP地址作为目标地址的传输协议报文，

根据与所述传输协议报文的报头信息匹配的路由，转发所述传输协议报文。