CN105591870A - 一种隧道建立方法和装置 - Google Patents

Abstract

本发明公开了一种隧道建立方法和设备，该方法包括：VAM？Server接收第一ADVPN设备的隧道建立请求，隧道建立请求用于请求与第二ADVPN设备建立隧道；VAM？Server基于隧道建立请求判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；当确定第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，VAM？Server将第二ADVPN设备的私网地址发送给第一ADVPN设备，以便第一ADVPN设备通过第二ADVPN设备的私网地址与第二ADVPN设备建立隧道；利用私网地址使得在同一个NAT网关内的两个ADVPN设备建立隧道，使得同一NAT网关内的ADVPN设备间建立的隧道不需要再进行NAT地址转换，减少了NAT网关设备的开销，同时隧道流量也不需要再绕公网转发，减少了公网的压力，提高了转发的性能。

Description

一种隧道建立方法和装置

技术领域

本发明涉及通信技术领域，特别涉及一种隧道建立方法和装置。

背景技术

ADVPN(AutoDiscoveryVirtualPrivateNetwork，自动发现虚拟专用网络)是一种动态VPN(VirtualPrivateNetwork，虚拟专用网络)技术，它可以搭建在公网上，穿越NAT(NetworkAddressTranslation，网络地址转换)网关自动建立隧道，使用户利用隧道进行安全的通信。

现有的实现的ADVPN穿越NAT的隧道技术，若ADVPN设备在NAT网关内，就需要利用ADVPN设备的公网地址建立隧道，即使这2台ADVPN设备在同一个NAT网关内，也还是利用的ADVPN设备的公网地址建立隧道，这样导致同一个NAT网关内的2台设备建立的隧道仍需过NAT网关设备进行NAT地址转换，也即该通信方式还需要在公网绕一圈，现有技术中的这种实现方式对设备和网络资源造成了浪费。

发明内容

本发明提供一种隧道建立方法，应用于VAMServer，包括：

接收第一ADVPN设备的隧道建立请求，所述隧道建立请求用于请求与第二ADVPN设备建立隧道；

基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；

当确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道。

优选的，基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内，具体包括：

提取所述第一ADVPN设备和第二ADVPN设备的公网地址；

判断所述第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否相同；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

判断第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

优选的，在将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道之后，还包括：

若接收所述第一ADVPN设备返回的隧道建立失败消息，将所述第二ADVPN设备的公网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的公网地址与与所述第二ADVPN设备建立隧道。

优选的，在接收第一ADVPN设备的隧道建立请求，之前还包括：

接收第一ADVPN设备和第二ADVPN设备的注册报文，所述注册报文中携带有发送所述注册报文的ADVPN设备的公网地址和私网地址。

记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。

本申请还提出了一种隧道建立装置，应用于VAMServer，包括：

接收模块，用于接收第一自动发现虚拟专用网络ADVPN设备的隧道建立请求，所述隧道建立请求用于请求与第二ADVPN设备建立隧道；

判断模块，用于基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；

发送模块，用于当确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道。

优选的，所述判断模块，具体用于：

提取所述第一ADVPN设备和第二ADVPN设备的公网地址；

判断所述第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否相同；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

判断第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

优选的，该装置还包括：

处理模块，用于当接收所述第一ADVPN设备返回的隧道建立失败消息时，将所述第二ADVPN设备的公网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的公网地址与所述第二ADVPN设备建立隧道。

记录模块，用于接收第一ADVPN设备和第二ADVPN设备的注册报文，所述第一ADVPN设备的注册报文中携带有发送所述注册报文的ADVPN设备的公网地址和私网地址；

记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。

与现有技术相比，本发明使得在同一个NAT网关内的两个ADVPN设备利用私网地址建立隧道，不需要再进行NAT地址转换，减少了NAT网关设备的开销，同时隧道流量也不需要再绕公网转发，减少了公网的压力，提高了转发的性能。

附图说明

图1为本发明实施例提出的一种隧道建立方法的流程示意图。

具体实施方式

针对现有技术中的缺陷，本发明实施例一提出了一种隧道建立方法，如图1所示，包括以下步骤：

步骤101、VAMServer(VPNAddressManagementServer，虚拟专用网络地址管理服务器)接收第一ADVPN设备的隧道建立请求，隧道建立请求用于请求与第二ADVPN设备建立隧道。

在VAMServer接收第一ADVPN设备的隧道建立请求之前还包括：VAMServer接收第一ADVPN设备和第二ADVPN设备的注册报文，注册报文中携带有发送注册报文的ADVPN设备的公网地址和私网地址；

VAMServer记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。

具体的，各ADVPN设备在注册时，向VAMServer发送注册报文，该注册报文中携带有自身的公网地址和私网地址，其中，以某一个ADVPN设备为例来进行说明，为例便于描述，命名为ADVPN设备1，该ADVPN设备1的公网地址为公网地址1，私网地址为私网地址1，其中公网地址1是经过NAT网关转换私网地址1得到的，在注册时，ADVPN设备1向VAMServer发送注册报文，该注册报文中携带有公网地址1和私网地址1，VAMServer接收到该注册报文后，存储该注册报文中的公网地址1和私网地址1，并建立公网地址1和私网地址1与ADVPN设备1的对应关系。需要说明的是，如果ADVPN设备为在NAT网关内，则可能不具有私网地址，在其注册报文中可携带公网地址，VAMserver会通过该公网地址对该ADVPN设备进行注册。

在一个具体的实施例中，ADVPN设备具体为spoke，其中第一ADVPN设备可以是源spoke，而第二ADVPN设备可以是目的spoke，当源spoke和目的spoke之间的数据流通过hub(多端口的转发器)进行中转时，hub会发送重定向报文给源spoke，而源spoke收到该重定向报文后，会向VAMServer查询源spoke到目的spoke直连隧道和路由信息，以判断后续报文是否能够通过spoke与spoke之间的直连隧道进行传输；具体的请求的路由信息的下一跳地址就是目的spoke的地址，通过分析源spoke和目的spoke是否在同一个NAT网关内，若确定在同一个NAT网关内，则后续可以进行相关直连session的建立。

在VAMServer接收第一ADVPN设备的隧道建立请求时，隧道建立请求中可以包含有需要与第一ADVPN设备建立隧道的第二ADVPN设备的标识，例如当ADVPN设备1需要与ADVPN设备2建立隧道时，ADVPN设备1向VAMServer发送隧道建立请求，该隧道建立请求中包含有ADVPN设备2的标识，具体的，可以预先通过ADVPN设备与VAMServer协商，ADVPN设备为每个ADVPN设备设置一个标识，每个标识用于唯一表示对应的ADVPN设备，例如存在5个ADVPN设备，VAMServer可以分别为这5个ADVPN设备设置5个标识，标识可以分别为0、1、2、3、4，当然也可以是其他的形式，在此不再进行赘叙。

步骤102、VAMServer基于隧道建立请求判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内。

具体的，在接收到隧道建立请求之后，VAMServer可以获取隧道建立请求中的标识，并通过标识确定需要与第一ADVPN设备建立隧道的第二ADVPN设备，可以预先建立标识与各ADVPN设备之间的对应关系，VAMServer通过在对应关系中查找该标识，就可以得知标识对应的ADVPN设备。此外，由于若第一ADVPN设备和第二ADVPN设备处于同一NAT网关内，其前提为第一ADVPN设备和第二ADVPN设备都处于NAT网关内，因此判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内有两种方式。

方式一是首先判断第一ADVPN设备和第二ADVPN设备是否处于NAT网关内，若确定第一ADVPN设备和第二ADVPN设备处于NAT网关内，再进一步判断是否第一ADVPN设备和第二ADVPN设备处于同一个NAT网关内；方式二则是直接判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内。

也即首先判断第一ADVPN设备和第二ADVPN设备是否都在NAT网关内(不需要都处于同一个NAT网关内)，例如ADVPN设备1和ADVPN设备2都处于NAT网关内，而ADVPN设备3不在NAT网关内，则ADVPN设备1与ADVPN设备3不是都在NAT网关内，ADVPN设备1和ADVPN设备2都在NAT网关内。在此基础上，若ADVPN设备1处于NAT网关1中，ADVPN设备2处于NAT网关2中，就可以判断ADVPN设备1和ADVPN设备2并不处于同一NAT网关内；若ADVPN设备1处于NAT网关1中，ADVPN设备2也处于NAT网关1中，就可以ADVPN设备1和ADVPN设备2处于同一NAT网关内。

而判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内，具体包括：

VAMServer提取第一ADVPN设备和第二ADVPN设备的公网地址；

VAMServer判断第一ADVPN设备的公网地址和第二ADVPN设备的公网地址是否相同；若判断结果为是，VAMServer确定第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

VAMServer判断第一ADVPN设备的公网地址和第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，VAMServer确定第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

若两个ADVPN设备都处于同一NAT网关中时，也即这两个ADVPN设备都可以通过同一个NAT网关将自身的私网地址转换为公网地址，而NAT网关进行地址转换时，有两种方式，一种是将所有的私网地址都转换为同一个公网地址；还一种是NAT网关预设设置有一个公网地址列表，NAT网关会从公网地址列表中选取一个公网地址分配给ADVPN设备，那么后续将待转换的私网地址转换成的公网地址一定会存在于该公网地址列表中。

步骤104、当确定第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，VAMServer将第二ADVPN设备的私网地址发送给第一ADVPN设备，以便第一ADVPN设备通过第二ADVPN设备的私网地址与第二ADVPN设备建立隧道。

具体的，在确定第一ADVPN设备和第二ADVPN设备处于同一NAT网关内后，VAMServer将第二ADVPN设备的私网地址发送给第一ADVPN设备，而在VAMServer将第二ADVPN设备的私网地址发送给第一ADVPN设备，之后还包括：

若VAMServer接收第一ADVPN设备返回的隧道建立失败消息，VAMServer将第二ADVPN设备的公网地址发送给第一ADVPN设备，以便第一ADVPN设备通过第二ADVPN设备的公网地址与第二ADVPN设备建立隧道。

第一ADVPN设备接收到来自VAMServer的第二ADVPN设备的私网地址后，就将需要发送的数据发送至第二ADVPN设备的私网地址，以此建立与第二ADVPN设备的隧道。在建立成功之后，可以返回给VAMServer隧道建立成功消息，而若是建立失败，则返回给VAMServer隧道建立失败消息，以此VAMServer在接收到隧道建立失败消息后，将第二ADVPN设备的公网地址发送给第一ADVPN设备，后续使得第一ADVPN设备通过公网地址与第二ADVPN设备建立隧道，其中该隧道建立失败请求实际上也是第二次隧道建立请求，具体的可以是TLV报文，其中该TLV报文中包含有协商字段，其中协商字段的格式如表1所示，

其中，Type：属性类型，为2个字节，暂定类型为5。

Length：属性总长度，为2个字节。

Value：值为1时表示第一次协商，优先使用私网地址；

值为2时表示为第二次协商，使用公网地址。

具体的，为了协商能顺利进行，还可以将私网地址或公网地址承载于协商报文中来进行传递，当然也可以承载于其他的报文或者以别的方式进行传递，在此不再进行赘叙。

以上针对的是第一ADVPN设备和第二ADVPN设备处于同一NAT网关内的情况，而第一ADVPN设备和第二ADVPN设备不处于同一NAT网关内还包括两种情况，一种是第一ADVPN设备和第二ADVPN设备都处于NAT网关内，但不处于同一NAT；还一种是第一ADVPN设备在NAT网关内，且第二ADVPN设备不在NAT网关内。

基于前述的判断第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内的两种方式，对应于方式一，可能出现一种情况，也即第一ADVPN设备和第二ADVPN设备都处于NAT网关内，且第一ADVPN设备和第二ADVPN设备不处于同一NAT网关内，在此情况下，VAMServer将第二ADVPN设备的公网地址发送给第一ADVPN设备，以便第一ADVPN设备通过第二ADVPN设备的公网地址与第二ADVPN设备建立隧道。

第一ADVPN设备在NAT网关内，且第二ADVPN设备不在NAT网关内，则进行普通的ADVPN隧道协商处理。

为了对本发明进行进一步的说明，本发明实施例还公开了一种隧道建立装置，应用于VAMServer，包括：

接收模块301，用于接收第一自动发现虚拟专用网络ADVPN设备的隧道建立请求，所述隧道建立请求用于请求与第二ADVPN设备建立隧道；

判断模块302，用于基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；

发送模块303，用于当确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道。

具体的，所述判断模块302，具体用于：

提取所述第一ADVPN设备和第二ADVPN设备的公网地址；

判断所述第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否相同；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

判断第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

该隧道建立装置，还包括：

处理模块，用于当接收所述第一ADVPN设备返回的隧道建立失败消息时，将所述第二ADVPN设备的公网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的公网地址与所述第二ADVPN设备建立隧道。

记录模块，用于接收第一ADVPN设备和第二ADVPN设备的注册报文，所述第一ADVPN设备的注册报文中携带有发送所述注册报文的ADVPN设备的公网地址和私网地址；

记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。

与现有技术相比，本发明使得在同一个NAT网关内的两个ADVPN设备利用私网地址建立隧道，不需要再进行NAT地址转换，减少了NAT网关设备的开销，同时隧道流量也不需要再绕公网转发，减少了公网的压力，提高了转发的性能。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施场景所述的方法。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施场景的优劣。

以上公开的仅为本发明的几个具体实施场景，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (8)

1.一种隧道建立方法，其特征在于，应用于虚拟专用网络地址管理服务器VAMServer，包括：

接收第一自动发现虚拟专用网络ADVPN设备的隧道建立请求，所述隧道建立请求用于请求与第二ADVPN设备建立隧道；

基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；

当确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道。

2.如权利要求1所述的方法，其特征在于，基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内，具体包括：

提取所述第一ADVPN设备和第二ADVPN设备的公网地址；

判断所述第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否相同；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

判断第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，所述VAMServer确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

3.如权利要求1所述的方法，其特征在于，在将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道之后，还包括：

若接收所述第一ADVPN设备返回的隧道建立失败消息，将所述第二ADVPN设备的公网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的公网地址与所述第二ADVPN设备建立隧道。

4.如权利要求1所述的方法，其特征在于，在接收第一ADVPN设备的隧道建立请求之前，还包括：

接收第一ADVPN设备和第二ADVPN设备的注册报文，所述注册报文中携带有发送所述注册报文的ADVPN设备的公网地址和私网地址；

记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。

5.一种隧道建立装置，应用于虚拟专用网络地址管理服务器VAMServer，其特征在于，包括：

接收模块，用于接收第一自动发现虚拟专用网络ADVPN设备的隧道建立请求，所述隧道建立请求用于请求与第二ADVPN设备建立隧道；

判断模块，用于基于所述隧道建立请求判断所述第一ADVPN设备和第二ADVPN设备是否处于同一NAT网关内；

发送模块，用于当确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内时，将所述第二ADVPN设备的私网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的私网地址与所述第二ADVPN设备建立隧道。

6.如权利要求5所述的装置，其特征在于，所述判断模块，具体用于：

提取所述第一ADVPN设备和第二ADVPN设备的公网地址；

判断所述第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否相同；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内；或

判断第一ADVPN设备的公网地址和所述第二ADVPN设备的公网地址是否在同一网关地址列表中；若判断结果为是，确定所述第一ADVPN设备和第二ADVPN设备处于同一NAT网关内。

7.如权利要求5所述的装置，其特征在于，还包括：

处理模块，用于当接收所述第一ADVPN设备返回的隧道建立失败消息时，将所述第二ADVPN设备的公网地址发送给所述第一ADVPN设备，以便所述第一ADVPN设备通过所述第二ADVPN设备的公网地址与所述第二ADVPN设备建立隧道。

8.如权利要求5所述的装置，其特征在于，还包括：

记录模块，用于接收第一ADVPN设备和第二ADVPN设备的注册报文，所述第一ADVPN设备的注册报文中携带有发送所述注册报文的ADVPN设备的公网地址和私网地址；

记录接收到的注册报文中的公网地址和私网地址，并建立公网地址和私网地址与对应ADVPN设备的对应关系。