CN102821020A - 通过复制中转ip包来透传vpn通信的方法 - Google Patents

Abstract

本发明公开了一种通过复制中转IP包来透传VPN通信的方法，该方法具体为：局域网内部电脑设置为一个公网IP地址，在互联网上存在一台对应的中转服务器，真实拥有这个公网IP地址；内部电脑发出VPN通信IP包，局域网路由器把IP包复制到中转服务器，再通过中转服务器发送到VPN服务器；在中转服务器上建立局域网路由器和VPN服务器之间的映射关联表；VPN服务器发回来的IP包，到达中转服务器，中转服务器查找映射关联表，把IP包复制到对应的局域网路由器，再通过路由器转发到内部电脑。本发明的典型应用价值，是解决局域网电脑和互联网之间进行IPSEC隧道模式的VPN通信问题。

Description

通过复制中转IP包来透传VPN通信的方法

【技术领域】

本发明涉及计算机网络通信技术，尤其是一种通过复制中转IP包来透传VPN通信的方法。

【背景技术】

因为IPv4互联网网络IP地址数量的有限性，当前大多数以太局域网中的电脑或其他设备，都必须通过NAT处理，共用一个互联网出口的公网IP地址，才能实现连接访问互联网的通信功能。当前存在两种基本的NAT处理方式：NAT和NAPT。NAT是一对一转换，一个局域网中的私有IP地址，对应一个互联网公网IP地址。NAPT，是一对多转换，多个局域网中的私有IP地址，都使用一个相同的互联网公网IP地址。还存在其它变种NAT技术，但无论哪种NAT变种技术，都需要改变数据包中IP头部的IP地址。

NAT技术，虽然解决了局域网中多台电脑、共享一个公网IP地址、同时访问互联网的应用需求，但也对某些特殊的通信功能，带来限制。例如，对互联网中虚拟局域网(VPN)通信，带来诸多限制，使很多VPN通信，不能在局域网电脑和公网服务器之间进行，局域网中的电脑，不能成功拨号连接到公网上的VPN服务器。尤其是对IPSEC隧道模式实现的VPN通信，更是限制。IPSEC隧道模式的VPN通信，完全无法在局域网中电脑和公网服务器之间进行。IPSEC隧道模式通信，不允许从局域网内电脑发出的IP包，在到达互联网上的VPN服务器之前，IP地址发生改变。从VPN服务器发出的IP包，在到达局域网内电脑之前，也不允许IP地址发生改变。然而NAT处理，至少会改变IP包中IP头的IP地址。这样，就带来矛盾，造成两者无法兼容共存。

这个问题，对于酒店来讲，更是一个大问题。对于企业局域网，还可以部署某种特殊的软件或设备，来实现VPN对于NAT的穿透，实现VPN通信。但是对于酒店局域网，每天有各种各样的客人入住，每个客人可能有各种不同的VPN通信方式。尤其是IPSEC隧道模式的VPN通信，在欧美的使用范围很广泛。这些外国客人到中国来商务旅行，入住中国的酒店，也需要和客人所在公司的总部，进行IPSEC隧道模式的VPN通信。这种通信行为，完全无法在中国绝大多数酒店中实现，影响酒店的上网服务质量。

少数高星酒店，在客人需要IPSEC隧道模式的VPN通信时，临时分配一个备用的公网IP地址给客人使用，客人使用完后，再收回这个公网IP地址。这种临时的措施，虽然可以满足客人的VPN通信要求，但也给酒店管理方，带来很大的管理负担。并且酒店必须先向电信公司申请一个或多个公网IP地址，保留备用。这样的操作模式，既给酒店方带来成本负担，也带来宝贵公网IP地址资源的浪费。因为酒店保留备用的公网IP地址，平时是空闲的，客人需要时才使用。电信公司又必须一直给酒店保留这些公网IP地址，不能有效利用这些公网IP地址资源。

因此，开发研究一种可以有效解决局域网和互联网之间进行IPSEC隧道模式下的VPN通信问题的通信方法，成为一个亟待研究的课题。

【发明内容】

本发明旨在提供一种通过复制中转IP包来透传VPN通信的方法，此方法可有效解决局域网和互联网之间进行IPSEC隧道模式的VPN通信问题。

本发明的目的是这样实现的，它包括以下步骤：

A、局域网络中内部需要访问互联网进行VPN通信的电脑，在局域网中的IP地址，设置为互联网上的公网IP地址；和此内部电脑设置的公网IP地址对应，在互联网上，真实存在一台中转服务器，其IP地址设置为此公网IP地址，真实拥有此公网地址。

B、局域网的上网路由器，当其LAN网口接收到内部电脑发送来的VPN通信IP包时，先把IP包复制到中转服务器，再通过中转服务器发送IP包到互联网。

C、在中转服务器上，建立一个局域网上网路由器和VPN服务器IP地址之间的映射关联表。

D、中转服务器接收到从VPN服务器发送回来的VPN通信的IP包，查找第3步骤建立的映射关联表，找到对应的局域网上网路由器，把IP包复制到局域网上网路由器，上网路由器再把IP包发送到目标内部电脑。

本发明的有益效果在于：

其一、对于IPSEC隧道模式的VPN通信问题，在本发明技术方案中，当局域网电脑和互联网上的VPN服务器进行通信，双方收发的IP包数据，只是在中间传输过程中，增加了复制中转处理的环节，在到达通信双方时，IP层数据没有发生任何改变，IP地址没有被转换修改，所以可以顺利进行IPSEC隧道模式的VPN通信。从而彻底解决局域网和外部互联网之间进行VPN通信的问题。

其二、在酒店局域网中，本发明具有重要的实际使用价值，电信公司，可以提供一批公网IP地址，供不同的酒店使用。电信公司在为这一批公网IP地址，提供一台或者多台中转服务器硬件设备，来转发这批IP地址的VPN通信。每个酒店在其局域网中，都使用同一批公网IP地址。每个酒店，再使用具有本专利中复制IP包的功能的路由器。当酒店客人在进行IPSEC隧道模式的VPN通信时，通过路由器和中转服务器的协同处理，酒店客人就可以顺利进行VPN通信。即使是IPSEC隧道模式的VPN通信，也可以顺利进行。

本发明技术，并不局限于酒店网络中使用。对于一个企业，也可以使用同样的技术，来解决普遍存在的VPN通信的问题。本发明技术，典型的实用价值，是解决局域网和互联网之间进行IPSEC隧道模式的VPN通信问题。但本发明技术，也不局限于只解决此VPN通信的问题。利用本发明的技术，可以解决很多类似的通信问题。当NAT处理影响通信的顺利进行时，就可以考虑采取本发明的技术方案，来解决这种问题。实际使用中，可以把本方法的处理功能，增加到标准的路由器上。局域网电脑在进行非IPSEC的VPN通信时，进行常规的NAT处理。只有当局域网电脑在进行IPSEC的VPN通信时，才使用本发明方法进行处理。所以，在实际使用中，中转服务器并不会存在很大的通信处理压力，并不会阻碍本发明方法的实际运用。

【附图说明】

图1为本发明单台内部电脑网络拓扑示意图

图2为本发明多台内部电脑和多个局域网的网络拓扑示意图

【具体实施方式】

下面结合附图及具体实施方式对本发明作进一步说明：

本发明为一种通过复制中转IP包来透传VPN通信的方法，包括以下步骤：

(1)、局域网络中内部需要访问互联网进行VPN通信的电脑，在局域网中的IP地址，设置为互联网上的公网IP地址；和此内部电脑设置的公网IP地址对应，在互联网上，真实存在一台中转服务器，其IP地址设置为此公网IP地址，真实拥有此公网IP地址；

参照附图1所示，例如，一个局域网中的电脑，设置其IP地址为202.61.186.120。网关IP地址设置为任何有效的、同网段的IP地址，如：202.61.186.1，IP地址掩码为255.255.255.0；在互联网上的中转服务器，其IP地址设为202.61.186.120，其网关IP地址设为任何有效的、同网段的IP地址，如：202.61.186.1，IP地址掩码为255.255.255.0。

在局域网中的内部电脑，虽然其IP地址设置为公网IP地址(如：202.61.186.120)，但因为通信被局域网的上网路由器所隔断，并不会被互联网所真实访问到，在互联网上访问202.61.186.120这个公网IP地址时，必然实际访问到的是位于公网上的对应的中转服务器，并非访问到局域网中的内部电脑。

局域网内部电脑设置的网关IP地址，这个网关的角色，实际由局域网的上网路由器的LAN网口来担任。当内部电脑发出ARP查询包，询问其网关IP地址(202.61.186.1)对应的MAC地址时，上网路由器的LAN网口将发出ARP响应包，响应查询，通知内部电脑，202.61.186.1对应的MAC地址，就是路由器LAN网口的MAC地址。如此处理后，内部电脑访问互联网上的IP地址时，其IP包将被首先发送到路由器的LAN网口上来。

局域网的上网路由器的LAN网口，对于内部电脑，虽然担当一个网关(202.61.186.1)的角色，但其LAN网口的实际IP地址，还是设置一个私网IP地址，例如192.168.1.1，和常规的上网路由器并不产生冲突矛盾。路由器的LAN网口，只是额外多担当一个内部电脑的网关角色(202.61.186.1)的功能，响应内部电脑发出的网关IP地址(202.61.186.1)的ARP查询包，发出对应的ARP响应包，使得内部电脑发送的、访问互联网的IP包，首先被发送到上网路由器的LAN网口上来。上网路由器的WAN口，还是如常规路由器一样，设置一个真实有效的公网IP地址。通过此公网IP地址，路由器可以在互联网上进行正常的通信。

(2)、局域网的上网路由器，当其LAN网口接收到内部电脑发送来的VPN通信IP包时，先把IP包复制到中转服务器，再通过中转服务器发送IP包到互联网。

该步骤中上网路由器和常规上网路由器的处理完全不同，常规上网路由器接收到内部电脑发送来的IP包，经过上网路由器本身处理后，就直接发送到互联网，而本发明中的上网路由器，接收到内部电脑发送来的IP包，不直接发送到互联网，而是把IP包复制到中转服务器，再通过中转服务器来把IP包发送到互联网。在这个步骤处理的过程中，上网路由器需要把IP包复制到中转服务器，可以存在多种多样的复制IP包的方法；例如：上网路由器可以先把原始IP包封装到一个新的IP包里面，新的IP包的目标IP地址设置为中转服务器IP地址，再把新的IP包发送出去。新的IP包被中转服务器接收到，中转服务器再从IP包中把原始IP包解封出来。就实现把原始IP包从上网路由器复制到中转服务器；再例如，上网路由器和中转服务器之间可以建立一条TCP/IP的socket通信连接，上网路由器接收到内部电脑发送来的IP包，通过socket连接，把IP包数据发送到中转服务器，中转服务器从socket连接中接收到IP包的数据后，再重新构建一个IP包，IP包的数据就完全和内部电脑发送IP包的数据相同，也实现把原始IP包从上网路由器复制到中转服务器。

为什么要先把IP包复制到中转服务器，再通过中转服务器来发送IP包呢？因为上网路由器的公网IP地址，和内部电脑设置的IP地址并不相同。内部电脑发送的IP包的源IP地址，不是上网路由器的公网IP地址。上网路由器必须对IP包的源IP地址进行转换，才能通过公网IP地址发送出去。但正是IP地址转换的NAT处理，限制了IPSEC隧道模式的VPN通信无法顺利进行。所以，需要通过本发明的此步骤操作处理，先把IP包复制到中转服务器。中转服务器的IP地址，和内部电脑的IP地址是相同的，所以，不需要对IP包的源IP地址进行转换。在满足现有公知的IP通信的规则下，先把IP包复制到中转服务器，再通过中转服务器来最终把IP包发送到互联网，就可以避开常规上网路由器NAT转换对IP层数据造成的破坏，从而满足IPSEC隧道模式的VPN通信中不得对IP地址进行任何改变的要求。

先把IP包复制到中转服务器，再通过中转服务器来发送IP包，实际效果上，完全模拟出是中转服务器在访问VPN服务器的效果，造成是中转服务器在访问目标VPN服务器的假象，VPN服务器并不会知道是局域网中的内部电脑在访问它，VPN服务器只会认为是中转服务器在访问它，VPN服务器发回来的IP包，必然最终会到达中转服务器，被中转服务器接收到。

(3)、在中转服务器上，建立一个局域网上网路由器和VPN服务器IP地址之间的映射关联表。

在上面第2步的操作处理中，中转服务器接收到局域网上网路由器复制来的IP包数据时，同时也需要建立一个局域网上网路由器的公网IP地址和VPN服务器IP地址(即IP包目标IP地址)的一个映射关联表。如下面表格例子；

因为这个关联映射表的建立，也意味着一个前提条件：一台中转服务器上，不能同时从不同路由器上接收到访问同一个VPN服务器的IP包。这个前提条件，实际意味着，不同局域网中的两台相同IP地址的电脑，不能同时去访问同一个VPN服务器；但是，分别位于不同局域网中的两台电脑，IP地址还相同，还同时去访问同一个VPN服务器，这个几率是非常的小，所以，这个前提条件的存在，并不会限制本方法的实际运用。

(4)、中转服务器接收到从VPN服务器发送回来的VPN通信的IP包，查找第3步骤建立的映射关联表，找到对应的局域网上网路由器，把IP包复制到局域网上网路由器，上网路由器再把IP包发送到目标内部电脑。

从VPN服务器发送回来的IP包，经过互联网，最终必然会被发送到中转服务器，中转服务器接收到从互联网上VPN服务器发回来的IP包后，根据IP包的源IP地址(也就是VPN服务器的IP地址)，查找上面第3个步骤建立起来的关联映射表，查找到该IP包对应的局域网上网路由器IP地址，就知道该把这个IP包复制到哪一个局域网的上网路由器。中转服务器把IP包复制到上网路由器的具体方法，也可以存在多种不同的具体复制方法，完全和上面第2步骤中的叙述相同，不再重复叙述；局域网的上网路由器，接收到从中转服务器复制来的IP包后，根据中转服务器的IP地址(该IP地址和内部某台电脑设置的IP地址是相同的)，就知道该把此IP地址，发送到哪一台内部电脑，把复制来的IP包发送到内部电脑，内部电脑将最终接收到从VPN服务器发回的IP包。

这一步的处理，上网路由器不需要把IP包的目标IP地址，转换为目标内部电脑的IP地址，不需要进行NAT转换处理。在满足现有公知的IP通信的规则下，中转服务器接收到从VPN服务器发送回来的IP包，先把IP包复制到局域网上网路由器，再通过上网路由器来最终把IP包发送到内部电脑，就可以避开常规上网路由器NAT转换对IP层数据造成的破坏，从而满足IPSEC隧道模式的VPN通信中不得对IP地址进行任何改变的要求。

该步骤的实际效果上，完全模拟出是局域网内部电脑接收到从VPN服务器发送来的IP包的效果，造成是VPN服务器直接在和局域网内部电脑通信的假象。局域网内部电脑并不会知道IP包是先到达中转服务器、再从中转服务器复制而来，局域网电脑只会认为是接收到从VPN服务器发回来的IP包。

参照附图2所示，一个局域网中，可以同时存在多台这样的电脑，配置有多个这样的公网IP地址。每一台局域网电脑设置的公网IP地址，在公网上，都对应存在一台真实的中转服务器。每一个IP地址的通信处理，都是重复上面4个技术步骤的操作处理。也可以存在多个局域网，每一个局域网中的电脑，都使用同样的一批公网IP地址。这样，这一批IP地址，可以同时在多个局域网中使用，每一个IP地址的通信，也不过是重复上面4个技术步骤的操作处理。

从上面的技术步骤可以看出，按照这以上四个技术步骤来实现局域网上网路由器的通信处理，实现中转服务器的通信处理，进行局域网网络实施配置，局域网中的所有电脑，都可以顺利地和公网VPN服务器之间，进行IPSEC隧道模式的VPN通信。实际使用中，一个公网IP地址对应的中转服务器，并不一定要使用不同的服务器硬件，也可以使用一台服务器硬件，同时设置多个公网IP地址，为多个公网IP地址的通信，同时进行中转处理。以节省硬件资源。

本发明典型的实用价值，是解决局域网和互联网之间进行IPSEC隧道模式的VPN通信问题，但本发明技术，也不局限于只解决此VPN通信的问题，利用本发明的技术，可以解决很多类似的通信问题，当NAT处理影响通信的顺利进行时，就可以考虑采取本发明的技术方案，来解决这种问题。实际使用中，可以把本方法的处理功能，增加到标准的路由器上，局域网电脑在进行非IPSEC的VPN通信时，进行常规的NAT处理，只有当局域网电脑在进行IPSEC模式的VPN通信时，才使用本发明方法进行处理。所以，在实际使用中，中转服务器并不会存在很大的通信处理压力，并不会阻碍本发明方法的实际运用。

Claims (1)

1.一种通过复制中转IP包来透传VPN通信的方法，其特征在于包括以下步骤：

A、局域网络中内部需要访问互联网进行VPN通信的电脑，在局域网中的IP地址，设置为互联网上的公网IP地址；和此内部电脑设置的公网IP地址对应，在互联网上，真实存在一台中转服务器，其IP地址设置为此公网IP地址，真实拥有此公网地址。

B、局域网的上网路由器，当其LAN网口接收到内部电脑发送来的VPN通信IP包时，先把IP包复制到中转服务器，再通过中转服务器发送IP包到互联网。

C、在中转服务器上，建立一个局域网上网路由器和VPN服务器IP地址之间的映射关联表。

D、中转服务器接收到从VPN服务器发送回来的VPN通信的IP包，查找第3步骤建立的映射关联表，找到对应的局域网上网路由器，把IP包复制到局域网上网路由器，上网路由器再把IP包发送到目标内部电脑。

Images