CN103051642A

CN103051642A - 基于vpn实现防火墙内局域网设备访问的方法及网络系统

Info

Publication number: CN103051642A
Application number: CN2013100202776A
Authority: CN
Inventors: 赵康
Original assignee: SHANGHAI YUNHE INFORMATION SYSTEM CO Ltd
Current assignee: SHANGHAI YUNHE INFORMATION SYSTEM CO Ltd
Priority date: 2013-01-18
Filing date: 2013-01-18
Publication date: 2013-04-17

Abstract

本发明涉及一种基于VPN实现防火墙内局域网设备访问的方法及分布式网络系统，属于网络应用技术领域。该方法中，设置有防火墙的局域网内的被控设备注册到接入公网的云服务器；控制设备通过云服务器选定需要访问的被控设备后；云服务器将VPN服务器信息发送至选定的被控设备；选定的被控设备进行VPN拨号连接到VPN服务器，而后将本机的VPN内网IP信息发送至云服务器；控制设备通过VPN拨号连接到VPN服务器后，根据被控设备的VPN内网IP信息访问所述的被控设备，从而能够在客户设备设置于安装有防火墙的局域网中的情况下，自动穿透防火墙，实现对于被控设备的远程控制，且本发明的方法的实现方式简便，成本低廉，应用范围也较为广泛。

Description

基于VPN实现防火墙内局域网设备访问的方法及网络系统

技术领域

本发明涉及网络应用技术领域，特别涉及虚拟专用网络技术领域，具体是指一种基于虚拟专用网络实现防火墙内局域网设备访问的方法及网络系统。

背景技术

在通过网络实现远程控制的网络应用中，经常碰到的情况是在多个客户那里安装了多个服务器，但是由于这些服务器位于客户方的局域网内，对外也不映射公网IP地址，从而使无法远程访问和维护这些机器。同时由于各种特定的原因，客户方不提供VPN服务器，所以也无法通过VPN连接到客户方局域网。

防火墙是一个由软件和硬件组合而成、在内部网络和外部网络之间、专用网络与公用网络之间的界面上构造的保护屏障。所以从外部网络的机器上是无法直接访问到处于防火墙保护下的内网机器的，因此在某些特殊情况下，如要在外部网络访问内部网络机器时，就需要防火墙穿透技术来实现该目的。

VPN即虚拟专用网络，指的是在公用网络上建立专用网络的技术。VPN属于远程访问技术，简单地说就是利用公网链路架设私有网络。例如公司员工出差到外地，他想访问企业内网的服务器资源，这种访问就属于远程访问。此时只需要在企业内网中搭建VPN服务器，提供外网IP及拨号用户密码，则在企业外部，即可利用VPN技术进行拨号，拨号成功后，则企业外网机器就相当于位于企业内网中，也就实现了穿透防火墙，从而达到在外部网络访问内部网络中机器的目的。

TCP/IP即传输控制协议/因特网互联协议，又名网络通讯协议，是Internet最基本的协议、Internet国际互联网络的基础，由网络层的IP协议和传输层的TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。TCP是面向连接的通信协议，通过三次握手建立连接，通讯完成时要拆除连接，TCP提供的是一种可靠的数据流服务，采用“带重传的肯定确认”技术来实现传输的可靠性。利用TCP/IP协议可以实现两台机器之间的通讯，基于此可以通过约定的通讯内容实现一台机器对另外一台的远程控制。

发明内容

本发明的目的是克服了上述现有技术中的缺点，提供一种能够在客户设备设置于安装有防火墙的局域网中，且不提供虚拟专用网络服务器的情况下，能够无需人工干预，自动穿透防火墙，访问局域网中的客户设备，实现对于其的远程控制，且实现方式简便，成本低廉，应用范围较为广泛的基于虚拟专用网络实现防火墙内局域网设备访问的方法及网络系统。

为了实现上述的目的，本发明的基于虚拟专用网络实现防火墙内局域网设备访问的方法包括以下步骤：

（1）至少一个设置有防火墙的局域网内的至少一个被控设备通过TCP/IP协议注册到接入公网的云服务器；

（2）控制设备通过公网访问所述的云服务器，并根据用户操作，选定需要访问的被控设备；

（3）云服务器通过TCP/IP协议连接将所述的虚拟专用网络服务器信息发送至所述的选定的被控设备；

（4）所述的选定的被控设备根据所述的虚拟专用网络服务器信息进行虚拟专用网络拨号连接到虚拟专用网络服务器；

（5）所述的选定的被控设备将本机的虚拟专用网络内网IP信息发送至所述的云服务器；

（6）所述的云服务器将所述的选定的被控设备的虚拟专用网络内网IP信息发送至所述的控制设备；

（7）控制设备通过虚拟专用网络拨号连接到虚拟专用网络服务器；

（8）控制设备根据所述的被控设备的虚拟专用网络内网IP信息，访问所述的被控设备。

该基于虚拟专用网络实现防火墙内局域网设备访问控制的方法中，所述的至少一个设置有防火墙的局域网内的至少一个被控设备通过TCP/IP协议连接到接入公网的云服务器，具体包括以下步骤：

（11）至少一个设置有防火墙的局域网内的至少一个被控设备通过TCP/IP协议连接到所述的云服务器，并保持心跳连接；

（12）所述的云服务器进行各连接的被控设备注册，并根据各被控设备的心跳连接状态维护被控设备描述信息与其在线状态对照表。

该基于虚拟专用网络实现防火墙内局域网设备访问控制的方法中，所述的控制设备通过公网访问所述的云服务器，并根据用户操作，选定需要访问的被控设备，具体包括以下步骤：

（21）所述的控制设备通过公网访问所述的云服务器；

（22）所述的控制设备获得被控设备描述信息与其在线状态对照表；

（23）所述的控制设备将用户基于所述的被控设备描述信息与其在线状态对照表选定的被控设备的描述信息发送至所述的云服务器。

该基于虚拟专用网络实现防火墙内局域网设备访问控制的方法中，所述的虚拟专用网络服务器提供固定的公网IP地址，所述的云服务器通过TCP/IP协议连接将所述的虚拟专用网络服务器信息发送至所述的选定的被控设备，具体包括以下步骤：

（31）所述的云服务器配置所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息；

（32）所述的云服务器通过TCP/IP协议连接将所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息发送至所述的选定的被控设备。

该基于虚拟专用网络实现防火墙内局域网设备访问控制的方法中，所述的选定的被控设备根据所述的虚拟专用网络服务器信息进行过虚拟专用网络拨号连接到虚拟专用网络服务器，具体包括以下步骤：

（41）所述的选定的被控设备根据所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息进行过虚拟专用网络拨号；

（42）所述的虚拟专用网络服务器向所述的选定的被控设备返回被控设备的虚拟专用网络的内网IP地址信息。

本发明还提供一种用于实现所述的基于虚拟专用网络的防火墙内局域网设备访问控制的方法的分布式网络系统，该系统包括：控制设备、至少一个被控设备、虚拟专用网络服务器和云服务器。所述的控制设备连接于公网，根据用户操作进行对于设置有防火墙的局域网内部的设备的访问；被控设备则连接于一个设置有防火墙的局域网内，并通过该局域网连接所述的公网；虚拟专用网络服务器连接于所述的公网，并提供固定的公网IP地址；云服务器连接于所述的公网，并基于TCP/IP协议的公网连接所述的控制设备和被控设备，用以实现各所述的被控设备的注册，提供所述的控制设备已注册的被控设备的信息，该云服务器配置所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息。

采用了该发明的基于虚拟专用网络实现防火墙内局域网设备访问的方法及分布式网络系统中，设置有防火墙的局域网内的被控设备通过TCP/IP协议注册到接入公网的云服务器；控制设备通过云服务器选定需要访问的被控设备后；云服务器将虚拟专用网络服务器信息发送至选定的被控设备；选定的被控设备根据虚拟专用网络服务器信息进行虚拟专用网络拨号连接到虚拟专用网络服务器，而后将本机的虚拟专用网络内网IP信息发送至云服务器；控制设备通过虚拟专用网络拨号连接到虚拟专用网络服务器后，根据所述的被控设备的虚拟专用网络内网IP信息，访问所述的被控设备，能够在客户设备设置于安装有防火墙的局域网中，且不提供虚拟专用网络服务器的情况下，无需人工干预，自动穿透防火墙，实现对于被控设备的远程控制，且本发明的基于虚拟专用网络实现防火墙内局域网设备访问的方法及网络系统，其实现方式简便，成本低廉，应用范围也较为广泛。

附图说明

图1为本发明的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法的流程示意图。

图2为用于实现本发明的基于虚拟专用网络的防火墙内局域网设备访问控制的方法的分布式网络系统结构示意图。

具体实施方式

为了能够更清楚地理解本发明的技术内容，特举以下实施例详细说明。

请参阅图1所示，为本发明的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法的流程示意图。

在一种实施方式中，该基于虚拟专用网络实现防火墙内局域网设备访问控制的方法包括以下步骤：

在一种较优选的实施方式中，所述的至少一个设置有防火墙的局域网内的至少一个被控设备通过TCP/IP协议连接到接入公网的云服务器，具体包括以下步骤：

在一种进一步优选的实施方式中，所述的控制设备通过公网访问所述的云服务器，并根据用户操作，选定需要访问的被控设备，具体包括以下步骤：

（21）所述的控制设备通过公网访问所述的云服务器；

在另一种较优选的实施方式中，所述的虚拟专用网络服务器提供固定的公网IP地址，所述的云服务器通过TCP/IP协议连接将所述的虚拟专用网络服务器信息发送至所述的选定的被控设备，具体包括以下步骤：

在另一种进一步优选的实施方式中，所述的选定的被控设备根据所述的虚拟专用网络服务器信息进行过虚拟专用网络拨号连接到虚拟专用网络服务器，具体包括以下步骤：

本发明还提供一种用于实现所述的基于虚拟专用网络的防火墙内局域网设备访问控制的方法的分布式网络系统。在具体的实施方式中，该系统如图2所示，包括控制设备、至少一个被控设备、虚拟专用网络服务器和云服务器。所述的控制设备连接于公网，根据用户操作进行对于设置有防火墙的局域网内部的设备的访问；被控设备则连接于一个设置有防火墙的局域网内，并通过该局域网连接所述的公网；虚拟专用网络服务器连接于所述的公网，并提供固定的公网IP地址；云服务器连接于所述的公网，并基于TCP/IP协议的公网连接所述的控制设备和被控设备，用以实现各所述的被控设备的注册，提供所述的控制设备已注册的被控设备的信息，该云服务器配置所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息。

在实际应用中，本发明的基于虚拟专用网络的防火墙内局域网设备访问控制的方法主要用以解决一下的技术问题：

1、穿透防火墙：穿透防火墙技术目前有UDP打洞等实现方式，但是穿透后的访问控制等需要再开发，因此本发明采用VPN的方式，直接拨号穿透，使得发起方机器与被控制方机器位于同一个局域网中，从而实现相互之间的访问，如文件共享、远程桌面等，不需要额外开发文件和桌面共享的功能。

2、VPN服务器的选择与搭建：由于被控制方机器可能位于不同的多个局域网中，且这些局域网不可能都提供VPN服务器，所以通过发起方VPN拨号到被控制方机器的局域网中的方式不可行，所以本发明中，需要提供一个VPN服务器，拥有固定的公网IP地址，搭建好之后，发起方机器拨号到VPN服务器的所在局域网，同时，被控制方机器也拨号到VPN服务器的所在局域网中，这样，发起方与被控制方就位于同一个局域网中，从而达到发起方机器可以穿透防火墙访问到被控制方机器。

3、被控制方自动拨号与断开：由于被控制方机器可能是无人干预的，即没有人手工操作被控制方机器去连接到VPN服务器，同时为了节省VPN服务器资源，被控制方机器不能一直保持VPN拨号，而应该在需要的时候才进行拨号，为了解决这个问题，本发明中开发了一套软件，分服务器端和客户端，服务器端机器成为云服务器，需要部署在公网上，并提供固定的公网IP地址，被控制方机器安装客户端。软件安装完成后，被控制方机器首先需要注册，即将本机的描述信息注册到云服务器中，同时，客户端启动后，将通过TCP/IP协议连接到云服务器，并保持心跳连接，如果网络出现异常断开则重新连接，和云服务器连接正常的被控制方机器的状态为在线状态，连接中断的成为离线状态。云服务器端配置VPN服务器的IP地址、拨号用户、拨号密码等信息。发起方也需要安装控制客户端，当发起方通过客户端连接到云服务器后，可以查看所有注册到云服务器上的被控制方机器列表以及描述信息和在线状态，选择在线的被控制方机器可以点击连接，此时，发起方会通知云服务器需要连接该被控制方机器，云服务器则通过与该被控制方机器的TCP连接将VPN服务器的IP地址、拨号用户、拨号密码等信息发送过去，被控制方机器的客户端软件收到消息后进行拨号，成功后将本机的拨号后的VPN内网IP地址发回给云服务器，云服务器则将拨号结果及新IP地址返回给发起方，发起方判断拨号成功并拿到了被控制方的IP地址后，本机也进行VPN拨号，拨号成功后，就可以通过被控制方机器的IP地址进行访问和操作，操作完成后，断开连接也是同样的逻辑。这样就实现了被控制方机器的无人工干预情况下的自动拨号与断开。

具体而言，为了实现在广域网上对位于防火墙之后的某个局域网中机器进行访问控制的方法，整个系统平台部署结构包括以下部分：

云服务器，安装服务器端软件，挂在公网上，提供公网IP供客户端连接于注册使用，并接受控制请求，通知被控制方进行VPN拨号，连接到VPN服务器所在局域网。

VPN服务器，用于提供VPN服务，供外网机器拨号连接使用，该服务器可以和云服务器是同一个服务器。

被控制方机器，可以是一个也可以是多个，有多个被控制方机器时，可以分布在多个局域网中。该机器上需要安装客户端软件并设置开机启动，客户端软件启动后，自动连接到云服务器。

发起方机器，该机器也需要安装客户端软件，当需要访问控制被控制方机器时，打开客户端软件，会连接云服务器并请求当前在线的被控制方机器列表，可以选择一个进行连接。

以上述的系统平台部署结构实现，防火墙之后的某个局域网中机器访问控制的具体实施流程为：

1、架设VPN服务器：设置好VPN拨号的用户及拨号设置，固定对外的公网IP，分配好客户端拨号后的IP网段。

2、安装云服务器：安装操作系统后（Linux与Windows都可以），将服务器部署到公网上，并分配一个固定的公网IP地址，安装服务器端软件并启动，并将VPN服务器的IP、用户等信息配置到软件设置中。

3、安装被控制方机器：安装客户端软件并设置为开机启动，第一次启动客户端软件时，配置需要连接的云服务器的IP地址与端口，连接成功后，输入本机的描述信息注册到云服务器上。注册成功后或者以后每次启动客户端软件时，会自动连接到云服务器上，并且保持心跳包，如果网络异常或者其他原因导致连接断开，则自动重连，连接成功后，该机器在云服务器上状态为在线状态，否则为离线状态。

4、安装发起方机器：安装客户端软件，当启动软件时，输入云服务器的IP地址和端口进行连接，连接成功后，可以从云服务器上获取所有的注册过的被控制方机器列表、注册描述信息及各机器的在线状态，根据机器的描述信息可以判断选择自己需要访问的机器，如果该机器在线，那么就可以进行连接，连接时会经由云服务器通知该被控制方机器进行VPN拨号，如果成功，那么发起方机器从云服务器获取VPN服务器信息和被控制方机器拨号后的IP地址，发起方根据VPN服务器信息也进行拨号，成功后即可以通过被控制方的机器IP地址进行访问和控制。

通过以上的步骤和方法，本发明实现了穿透防火墙访问到不同局域网的机器，且只需要提供一个公共的VPN服务器，其余的内网局域网都不需要专门搭建VPN服务器，大大节省了成本以及简化了各局域网的搭建。同时利用云服务器和云客户端的远程控制，使得被控制方无需人手工干涉，减少了人工维护成本。

在此说明书中，本发明已参照其特定的实施例作了描述。但是，很显然仍可以作出各种修改和变换而不背离本发明的精神和范围。因此，说明书和附图应被认为是说明性的而非限制性的。

Claims

1.一种基于虚拟专用网络实现防火墙内局域网设备访问控制的方法，其特征在于，所述的方法包括以下步骤：

2.根据权利要求1所述的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法，其特征在于，所述的至少一个设置有防火墙的局域网内的至少一个被控设备通过TCP/IP协议连接到接入公网的云服务器，具体包括以下步骤：

3.根据权利要求2所述的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法，其特征在于，所述的控制设备通过公网访问所述的云服务器，并根据用户操作，选定需要访问的被控设备，具体包括以下步骤：

（21）所述的控制设备通过公网访问所述的云服务器；

4.根据权利要求1所述的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法，其特征在于，所述的虚拟专用网络服务器提供固定的公网IP地址，所述的云服务器通过TCP/IP协议连接将所述的虚拟专用网络服务器信息发送至所述的选定的被控设备，具体包括以下步骤：

5.根据权利要求4所述的基于虚拟专用网络实现防火墙内局域网设备访问控制的方法，其特征在于，所述的选定的被控设备根据所述的虚拟专用网络服务器信息进行过虚拟专用网络拨号连接到虚拟专用网络服务器，具体包括以下步骤：

6.一种用于实现权利要求1所述的基于虚拟专用网络的防火墙内局域网设备访问控制的方法的分布式网络系统，所述的系统包括：

控制设备，连接于公网，根据用户操作进行对于设置有防火墙的局域网内部的设备的访问；

至少一个被控设备，连接于一个设置有防火墙的局域网内，并通过该局域网连接所述的公网；

其特征在于，该系统还包括：

虚拟专用网络服务器，连接于所述的公网，并提供固定的公网IP地址；

云服务器，连接于所述的公网，并基于TCP/IP协议的公网连接所述的控制设备和被控设备，用以实现各所述的被控设备的注册，提供所述的控制设备已注册的被控设备的信息，该云服务器配置所述的虚拟专用网络服务器的内网IP地址、拨号用户和拨号密码信息。