CN104579879A - 一种虚拟专用网络通信系统、连接方法及数据包传输方法 - Google Patents

Abstract

本发明公开了一种虚拟专用网络通信系统，包含：多个客户端设备；服务器设备，采用预设协议与所述客户端设备通过虚拟专用网络建立VPN连接；其中所述客户端设备包含；认证请求单元，用于向所述服务器设备发送认证信息进行认证；第一存储单元，用于存储对端客户端的MAC地址链表及服务器设备的IP地址；虚拟网卡，具有属于虚拟专用网络的虚拟IP地址；加密单元，与所述虚拟网卡对应，用于对需要从虚拟网卡发送的数据包进行加密。本发明还公开了一种虚拟专用网连接方法及数据包传输方法。本发明采用N2N架构实现VPN网络，以保证通讯双方隐私不被泄露，架构简洁清晰，实现简单精简。

Description

一种虚拟专用网络通信系统、连接方法及数据包传输方法

技术领域

本发明涉及数据传输技术领域，具体涉及一种虚拟专用网络通信系统、连接方法及数据包传输方法。

背景技术

目前，会话初始协议（Session Initiation Protocol，SIP）已经能够实现IP网络中的点对点或多点之间的多媒体通讯，而且基于开源项目的SIP协议栈层出不穷，如VOCAL，osip，mjsip等，目前已开发出多种SIP终端，如X-Lite，sipXphone，Linphone，sipDroid等，而且Android操作系统已经成为全球最受欢迎的智能移动设备平台之一，SIP协议与Android的结合，将是音视频通讯领域的趋势之一，而在网络通讯过程中信息保密的需求是必需的，在通讯过程中实现VPN，就很好的解决了这个问题，而在现有Android操作系统中，OpenVpn很好的实现了VPN的功能。但是，OpenVpn的功能及实现复杂，涉及网络协议众多，对于开发人员来说理解难度大，维护成本高。对于硬件资源有限的手机平台，消耗资源多，降低性能。普通用户在日常生活中的信息交流不需要太复杂的加密处理，OpenVpn会影响处理速度及用户体验。

发明内容

本发明的目的在于提供一种虚拟专用网络通信系统、连接方法及数据包传输方法，基于使用Android操作系统的移动设备进行音视频通讯的过程中，信息需要进行加密处理，采用N2N架构实现VPN网络，以保证通讯双方隐私不被泄露，架构简洁清晰，实现简单精简，易于移植，把P2P的实现从应用层转移到网络层。

为了达到上述目的，本发明通过以下技术方案实现：一种虚拟专用网络通信系统，其特点是，包含：

多个客户端设备，当客户端设备之间通信时，发送数据包的客户端设备称为本地客户端，接收数据包的客户端设备称为对端客户端；

服务器设备，采用预设协议与所述客户端设备通过虚拟专用网络建立VPN连接；

其中所述客户端设备包含；

认证请求单元，用于向所述服务器设备发送认证信息进行认证，在所述认证失败时，服务器设备将VPN连接失败报告给所述客户端设备，在所述认证成功时，服务器设备与客户端设备通过虚拟专用网络建立VPN连接；

第一存储单元，用于存储对端客户端的MAC地址链表及服务器设备的IP地址；

虚拟网卡，具有属于虚拟专用网络的虚拟IP地址；

加密单元，与所述虚拟网卡对应，用于对需要从虚拟网卡发送的数据包进行加密。

所述的客户端设备进一步包含解密单元，与所述虚拟网卡对应，用于对从该虚拟网卡接收的数据包进行解码。

所述的服务器设备包含：

验证单元，用于对客户端设备发送的认证信息进行判断；

第二存储单元，用于存储已认证客户端设备链表；

转发单元，用于在客户端设备之间通信时传递数据。

所述的预设协议为UDP协议。

一种虚拟专用网络连接方法，其特点是，包含以下步骤：

A1、客户端设备通过认证请求单元向服务器设备发送认证请求并发送认证信息；

A2、服务器设备的验证单元对所述认证信息进行认证；

A3、在所述认证失败时，服务器设备将VPN连接失败报告给所述客户端设备；

A4、在所述认证成功时，服务器设备与客户端设备通过虚拟专用网络建立VPN连接。

所述的认证信息至少包含VPN用户名及密码。

一种虚拟专用网络数据包传输方法，用于本地客户端与对端客户端进行通信，其特点是，包含以下步骤：

S1、本地客户端的加密单元对数据包进行加密后发送至虚拟网卡的虚拟IP地址上；

S2、本地客户端在第一存储单元中的对端客户端的MAC地址链表中查找目的MAC地址；

S21、若不存在，则丢弃数据包；

S22、若存在，则对端客户端通过虚拟网卡接收数据包；

S3、对端客户端在其本身的第一存储单元的对端客户端的MAC地址链表中查找数据包的源MAC地址；

S31、若存在，则更新第一存储单元中的对端客户端的MAC地址链表；

S32、若不存在，则发送一个REGISTER类型消息至本地客户端进行注册；

所述的的步骤S31进一步包含，

S311、对端客户端的解密单元对数据包进行解密后进行后续处理。

在所述步骤S1之前包含步骤S0；所述步骤S0为本地客户端与对端客户端进行首次通信时，本地客户端发送的数据包经服务器设备转发至对端客户端。

所述的步骤S0具体包含：

S01、本地客户端的加密单元对数据包进行加密，通过虚拟网卡将数据包发送至服务器设备；

S02、服务器设备判断数据包类型是否为MSG_TYPE_PACKET；

S021、若是，则服务器设备遍历第二存储单元的已认证客户端设备链表；

S022、若否，则丢弃数据包；

所述步骤S21进一步包含，

S0211、服务器设备查询当前数据包的目的MAC地址是否存在；

S02111、若是，则将数据包经转发单元转发至对端客户端；

若否，则执行步骤S022丢弃数据包。

所述的本地客户端与对端客户端进行通信之前，还包含本地客户端与对端客户端需在服务器设备上进行认证。

本发明一种虚拟专用网络通信系统、连接方法及数据包传输方法与现有技术相比具有以下优点：可应用于在Android操作系统中的任意网络数据过程中，且易于移植，把P2P的实现从应用层转移到网络层；使用通用的UDP协议，更好的兼容防火墙的策略，用户自己定义密钥，应用更加广泛；加密算法采用twofish，开源、简便，处理速度快。

附图说明

图1为N2N网络构架图；

图2为本发明一种虚拟专用网络通信系统的结构框图；

图3为虚拟专用网络的连接方法流程图；

图4为本地客户端与对端客户端首次通信方法流程图；

图5为本地客户端与对端客户端通信方法流程图。

具体实施方式

以下结合附图，通过详细说明一个较佳的具体实施例，对本发明做进一步阐述。

N2N是一个双层架构的VPN，它让用户可以在网络层上开发P2P应用的典型功能，而不是在应用层上开发。这意味着用户可以获取本地IP一样的可见度，并且可以通过N2N虚拟网内的IP地址相互访问，而不必关心当前所属的物理网络地址。可以这样说，OpenVPN是把SSL从应用层转移到网络层实现（比如说实现https协议），而N2N则是把P2P的实现从应用层转移到网络层。

如图1所示，Edge node（边缘节点），指用户机器上安装的用于建立N2N网络的软件。几乎每个edge node都会建立一个tun/tap设备，作为接入N2N网络的入口。

Super node（超级节点），它在edge node间建立握手，或为位于防火墙之后的节点中转数据。它的基础作用是注册节点的网络路径，并为不能直通的节点做路由，能够直通的节点间通信，是P2P的。

Edge节点间通过虚拟的tap网卡交互。每个tap网卡都是一个N2N Edge node。每台用户机器可以有多个tap网卡，所以，在N2N网络中，同一台用户机器可以属于多个网络。

 N2N是基于P2P协议之上的两个私有网络间的加密层，加密是在edge node上执行的，使用开放的协议，用户自己定义密钥，即你自己控制自己的安全，不需要委托给第三方公司，每个N2N用户可以同时隶属于多个网络。N2N有NAT和穿越防火墙的功能，即使N2N节点位于私网中，也能够访问，防火墙不再是在IP层的直接沟通和交流的障碍。N2N网络不是独立的，它是能够跨越N2N和非N2N网络路由的。

super node提供场所，让两个位于NAT/防火墙之后的edge node进行会面，一旦双方完成首次握手，剩下的数据流就之发生在两个edge node之间，如果有一方的NAT属于对称型(symmetrical)，super node则还需继续为双方提供数据包的转发，edge node负责数据流的加解密，原理很简单。

 对于一个VPN而言，主要涉及封装和加解密两个步骤，edge node使用UDP协议进行封装，目的是为了更好的兼容防火墙的策略，因为很多防火墙禁用了非TCP/UDP协议禁用。加密算法则采用了twofish，开源、简便，处理速度快。

如图2所示，一种虚拟专用网络通信系统，包含：多个客户端设备1，当客户端设备1之间通信时，发送数据包的客户端设备1称为本地客户端，接收数据包的客户端设备1称为对端客户端；

服务器设备2，采用预设协议（UDP协议）与所述客户端设备1通过虚拟专用网络建立VPN连接；其中所述客户端设备1包含；认证请求单元11，用于向所述服务器设备2发送认证信息进行认证，在所述认证失败时，服务器设备2将VPN连接失败报告给所述客户端设备1，在所述认证成功时，服务器设备2与客户端设备1通过虚拟专用网络建立VPN连接；第一存储单元14，用于存储对端客户端的MAC地址链表及服务器设备2的IP地址；虚拟网卡12，具有属于虚拟专用网络的虚拟IP地址；加密单元13，与所述虚拟网卡12对应，用于对需要从虚拟网卡12发送的数据包进行加密；解密单元15，与所述虚拟网卡12对应，用于对从该虚拟网卡12接收的数据包进行解码。

服务器设备2包含：验证单元21，用于对客户端设备1发送的认证信息进行判断；第二存储单元22，用于存储已认证客户端设备1链表；转发单元23，用于在客户端设备1之间通信时传递数据。

本发明的虚拟网卡12为tun/tap设备，Tun/tap驱动程序中包含两个部分，一部分是字符设备驱动，还有一部分是网卡驱动部分。利用网卡驱动部分接收来自TCP/IP协议栈的网络分包并发送或者反过来将接收到的网络分包传给协议栈处理，而字符驱动部分则将网络分包在内核与用户态之间传送，模拟物理链路的数据接收和发送。Tun/tap驱动很好的实现了两种驱动的结合。

当打开一个tun/tap设备时，将完成一些重要的初始化过程，包括设置网卡驱动部分的初始化函数以及网络缓冲区链表的初始化和等待队列的初始化。Tun/tap驱动中网卡的注册被嵌入了字符驱动的ioctl例程中，它是通过对字符设备文件描述符利用自定义的ioctl设置标志TUNSETIFF完成网卡的注册的。

Tun/tap设备提供的虚拟网卡驱动，从tcp/ip协议栈的角度而言，它与真实网卡驱动并没有区别。从驱动程序的角度来说，它与真实网卡的不同表现在tun/tap设备获取的数据不是来自物理链路，而是来自用户区，Tun/tap设备驱动通过字符设备文件来实现数据从用户区的获取。发送数据时tun/tap设备也不是发送到物理链路，而是通过字符设备发送至用户区，再由用户区程序通过其他渠道发送。

使用tun/tap网卡的程序经过协议栈把数据传送给驱动程序，驱动程序调用注册好的hard_start_xmit函数发送，hard_start_xmit函数又会调用tun_net_xmit函数，其中skb将会被加入skb链表，然后唤醒被阻塞的使用tun/tap设备字符驱动读数据的进程，接着tun/tap设备的字符驱动部分调用其tun_chr_read()过程读取skb链表，并将每一个读到的skb发往用户区，完成虚拟网卡的数据发送。

当我们使用write()系统调用向tun/tap设备的字符设备文件写入数据时，tun_chr_write函数将被调用，它使用tun_get_user从用户区接受数据，其中将数据存入skb中，然后调用关键的函数netif_rx(skb) 将skb送给tcp/ip协议栈处理，完成虚拟网卡的数据接收。

如图3所示，一种虚拟专用网络连接方法，包含以下步骤：

A1、客户端设备1通过认证请求单元11向服务器设备2发送认证请求并发送认证信息，所述的认证信息至少包含VPN用户名及密码；

A2、服务器设备2的验证单元21对所述认证信息进行认证；

A3、在所述认证失败时，服务器设备2将VPN连接失败报告给所述客户端设备1；

A4、在所述认证成功时，服务器设备2与客户端设备1通过虚拟专用网络建立VPN连接。

如图4及图5所示，一种虚拟专用网络数据包传输方法，用于本地客户端与对端客户端进行通信，本地客户端与对端客户端进行通信之前，本地客户端与对端客户端需在服务器设备2上进行认证，具体的通信包含以下步骤：

S0、本地客户端与对端客户端进行首次通信时，本地客户端发送的数据包经服务器设备2转发至对端客户端；

S01、本地客户端的加密单元13对数据包进行加密，通过虚拟网卡12将数据包发送至服务器设备2；

S02、服务器设备2判断数据包类型是否为MSG_TYPE_PACKET；

S021、若是，则服务器设备2遍历第二存储单元22的已认证客户端设备1链表；

S022、若否，则丢弃数据包；

所述步骤S21进一步包含，

S0211、服务器设备2查询当前数据包的目的MAC地址是否存在；

S02111、若是，则将数据包经转发单元23转发至对端客户端1；

若否，则执行步骤S022丢弃数据包；

S1、本地客户端的加密单元13对数据包进行加密后发送至虚拟网卡12的虚拟IP地址上；

S2、本地客户端在第一存储单元14中的对端客户端的MAC地址链表中查找目的MAC地址；

S21、若不存在，则丢弃数据包；

S22、若存在，则对端客户端通过虚拟网卡接收数据包；

S3、对端客户端在其本身的第一存储单元14的对端客户端的MAC地址链表中查找数据包的源MAC地址；

S31、若存在，则更新第一存储单元14中的对端客户端的MAC地址链表；

S32、若不存在，则发送一个REGISTER类型消息至本地客户端进行注册；

所述的的步骤S31进一步包含，

S311、对端客户端的解密单元15对数据包进行解密后进行后续处理。

具体应用：首先开启服务器，也就是开启Super node，super node的启动也需要配置参数，可以指定本地监听端口，可以指定后台运行，可以指定log打印级别。

对于客户端edge node，要进行通信，首先要注册到super node上，edge node注册时，需配置参数，指定super node的IP地址，指定本地地址，端口号等，指定通讯子网络名称，指定私有密钥等等。

Edge node首先发送一个REGISTER_SUPER报文给当前super node，super node判断收到的报文类型，如果是REGISTER_SUPER则响应一个REGISTER_SUPER_ACK报文，并根据报文中携带的MAC地址信息更新edge节点链表。只有在super node上注册的edge node，双方才能通讯。

当本地edge node需要与对端edge node通信时，消息内容必须发送到虚拟网卡的IP地址上，虚拟网卡会先把信息进行加密处理，然后会在本地已记录的对端MAC地址链表中去寻找，是否存在当前报文的目的MAC地址，如果是第一次发送消息至这个对端IP地址上，就不会在本地已记录的对端MAC地址链表中寻找到匹配的MAC地址，就会使用当前的super node的IP地址作为目的地址，通过真实网卡发送出去。

此时super node收到上述edge node发送的报文数据，会先判断收到的报文类型，如果报文类型是MSG_TYPE_PACKET，则先判断报文类型是单播还是广播，在上述情况下，报文是单播类型，super node会遍历已注册的edge链表，寻找当前报文的目的MAC地址是否存在，若存在则进行转发，若不存在则丢弃。

当对端的edge node收到super node转发来的报文，首先会判断是否属于同一community，然后再判断报文类型，当前的报文类型是MSG_TYPE_PACKET，此时edge node会在自己的对端MAC地址链表中寻找是否存在这个报文的源MAC地址，若不存在，则发送一个REGISTER类型消息给对端，在对端注册自己。若存在，则只更新本地的对端MAC地址链表；接着把数据解密，把数据发送至tun/tap设备中，经tun/tap设备上传至内核协议栈处理。

以上流程就是第一次发包给对端的流程，经由super node转发数据信息，与此同时，在此次通讯过程中，促使对端发送REGISTER消息给本地。本地收到REGISTER消息后，会先判断其源MAC地址是否在本地的对端MAC地址记录链表中，若不存在，则把其添加到本地的pending_peers链表中，并给对端发送REGISTER消息；若存在，则更新记录。当收到对端响应的REGISTER_ACK消息时，把其MAC地址的记录从pending_peers链表中移动到kown_peers链表中。对端也实现了同样的流程，自此之后双方就可以直接通讯。

与此同时，edge node也会周期性的发送REGISTER_SUPER消息给supernode节点注册自己。

在上层应用程序启动时，相应的也会启动edge node，查找是否存在可用的网络连接，若不存在则无动作，等待网络连接的广播消息；若存在网络连接，则给super node发送注册消息。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims (10)

1.一种虚拟专用网络通信系统，其特征在于，包含：

多个客户端设备（1），当客户端设备（1）之间通信时，发送数据包的客户端设备（1）称为本地客户端，接收数据包的客户端设备（1）称为对端客户端；

服务器设备（2），采用预设协议与所述客户端设备（1）通过虚拟专用网络建立VPN连接；

其中所述客户端设备（1）包含；

认证请求单元（11），用于向所述服务器设备（2）发送认证信息进行认证，在所述认证失败时，服务器设备（2）将VPN连接失败报告给所述客户端设备（1），在所述认证成功时，服务器设备（2）与客户端设备（1）通过虚拟专用网络建立VPN连接；

第一存储单元（14），用于存储对端客户端的MAC地址链表及服务器设备（2）的IP地址；

虚拟网卡（12），具有属于虚拟专用网络的虚拟IP地址；

加密单元（13），与所述虚拟网卡（12）对应，用于对需要从虚拟网卡（12）发送的数据包进行加密。

2.如权利要求1所述的虚拟专用网络通信系统，其特征在于，所述的客户端设备（1）进一步包含解密单元（15），与所述虚拟网卡（12）对应，用于对从该虚拟网卡（12）接收的数据包进行解码。

3.如权利要求2所述的虚拟专用网络通信系统，其特征在于，所述的服务器设备（2）包含：

验证单元（21），用于对客户端设备（1）发送的认证信息进行判断；

第二存储单元（22），用于存储已认证客户端设备（1）链表；

转发单元（23），用于在客户端设备（1）之间通信时传递数据。

4.如权利要求1所述的虚拟专用网络通信系统，其特征在于，所述的预设协议为UDP协议。

5.一种虚拟专用网络连接方法，其特征在于，包含以下步骤：

A1、客户端设备（1）通过认证请求单元（11）向服务器设备（2）发送认证请求并发送认证信息；

A2、服务器设备（2）的验证单元（21）对所述认证信息进行认证；

A3、在所述认证失败时，服务器设备（2）将VPN连接失败报告给所述客户端设备（1）；

A4、在所述认证成功时，服务器设备（2）与客户端设备（1）通过虚拟专用网络建立VPN连接。

6.如权利要求5所述的虚拟专用网络连接方法，其特征在于，所述的认证信息至少包含VPN用户名及密码。

7.一种虚拟专用网络数据包传输方法，用于本地客户端与对端客户端进行通信，其特征在于，包含以下步骤：

S1、本地客户端的加密单元（13）对数据包进行加密后发送至虚拟网卡（12）的虚拟IP地址上；

S2、本地客户端在第一存储单元（14）中的对端客户端的MAC地址链表中查找目的MAC地址；

S21、若不存在，则丢弃数据包；

S22、若存在，则对端客户端通过虚拟网卡接收数据包；

S3、对端客户端在其本身的第一存储单元（14）的对端客户端的MAC地址链表中查找数据包的源MAC地址；

S31、若存在，则更新第一存储单元（14）中的对端客户端的MAC地址链表；

S32、若不存在，则发送一个REGISTER类型消息至本地客户端进行注册；

所述的的步骤S31进一步包含，

S311、对端客户端的解密单元（15）对数据包进行解密后进行后续处理。

8.如权利要求7所述的虚拟专用网络数据包传输方法，其特征在于，在所述步骤S1之前包含步骤S0；所述步骤S0为本地客户端与对端客户端进行首次通信时，本地客户端发送的数据包经服务器设备（2）转发至对端客户端。

9.如权利要求8所述的虚拟专用网络数据包传输方法，其特征在于，所述的步骤S0具体包含：

S01、本地客户端的加密单元（13）对数据包进行加密，通过虚拟网卡（12）将数据包发送至服务器设备（2）；

S02、服务器设备（2）判断数据包类型是否为MSG_TYPE_PACKET；

S021、若是，则服务器设备（2）遍历第二存储单元（22）的已认证客户端设备（1）链表；

S022、若否，则丢弃数据包；

所述步骤S21进一步包含，

S0211、服务器设备（2）查询当前数据包的目的MAC地址是否存在；

S02111、若是，则将数据包经转发单元（23）转发至对端客户端；

若否，则执行步骤S022丢弃数据包。

10.如权利要求8所述的虚拟专用网络数据包传输方法，其特征在于，所述的本地客户端与对端客户端进行通信之前，还包含本地客户端与对端客户端需在服务器设备（2）上进行认证。