CN106375493A - 一种跨网络通信的方法以及代理服务器 - Google Patents

Abstract

本发明实施例公开了一种跨网络通信的方法，用于不修改IDC全网的路由配置，完成跨网络的数据通信，降低在跨IDC通信过程中的成本。该方法包括：第一代理服务器接收第一数据服务器发送的第一数据，第一数据包括第一源地址和第一目的地址，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址；第一代理服务器通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；第一代理服务器将第二数据向第二代理服务器发送。

Description

一种跨网络通信的方法以及代理服务器

技术领域

本发明涉及通信领域，尤其涉及一种跨网络通信的方法以及代理服务器。

背景技术

在现有技术中，处于不同互联网数据中心(Internet Data Center，IDC)的数据服务器，通常采用虚拟专用网络(Virtual Private Network，VPN)方式进行内网通信。即两个(或者多个)IDC机房内网互通，通常在IDC出口部署VPN网关，各个VPN网关配置好VPN隧道实现彼此互通，VPN网关配置去其他IDC的数据走不同的VPN隧道；同时在每个IDC上配置路由策略(目的地址是去其他IDC内网网络的互联网协议(Internet Protocol，IP)数据包，走VPN网关出去)。

对于大型IDC机房，内部网络通常运行动态路由协议，路由配置改动全传达到整个IDC网络，IDC中服务器的IP数据包转发都是由路由器实现的。如果要跨网通信，就需要告诉路由器，单台核心路由器做了配置变更之后，会通过路由协议同步到其他路由器。

但是，修改IDC全网路由的成本代价过高，而且是一件非常危险的事情。

发明内容

本发明实施例提供了一种跨网络通信的方法以及代理服务器，用于不修改IDC全网的路由配置，完成跨网络的数据通信，降低在跨IDC通信过程中的成本。

本发明实施例第一方面提供一种跨网络通信的方法，该方法应用于跨网络通信系统，该跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于该第一网络数据中心，第二代理服务器和第二数据服务器属于该第二网络数据中心，该方法可以包括：

该第一代理服务器接收该第一数据服务器发送的第一数据，该第一数据包括第一源地址和第一目的地址，其中，该第一源地址为该第一数据服务器的内网IP地址和端口地址，该第一目的地址为该第一代理服务器的内网IP地址和端口地址；

该第一代理服务器通过预设的代理规则，将包括该第一源地址和该第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，该第二源地址为该第一代理服务器的内网IP地址和端口地址，该第二目的地址为该第二代理服务器的内网IP地址和端口地址；

该第一代理服务器将该第二数据向该第二代理服务器发送。

本发明实施例第二方面提供一种跨网络通信的方法，该方法应用于跨网络通信系统，该跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于该第一网络数据中心，第二代理服务器和第二数据服务器属于该第二网络数据中心，该方法可以包括：

该第二代理服务器接收该第一代理服务器发送的第二数据，该第二数据包括第二源地址和第二目的地址，该第二源地址为该第一代理服务器的内网IP地址和端口地址，该第二目的地址为该第二代理服务器的内网IP地址和端口地址；

该第二代理服务器通过预设的代理规则，将包括该第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，该第三源地址为该第二代理服务器的内网IP地址和端口地址，该第三目的地址为该第二数据服务器的内网IP地址和端口地址；

该第二代理服务将该第三数据发送至该第二数据服务器。

本发明实施例第三方面提供一种代理服务器，该代理服务器为第一代理服务器，应用于跨网络通信系统，该跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于该第一网络数据中心，第二代理服务器和第二数据服务器属于该第二网络数据中心，该代理服务器包括：

接收模块，用于接收该第一数据服务器发送的第一数据，该第一数据包括第一源地址和第一目的地址，其中，该第一源地址为该第一数据服务器的内网IP地址和端口地址，该第一目的地址为该第一代理服务器的内网IP地址和端口地址；

代理模块，用于通过预设的代理规则，将包括该第一源地址和该第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，该第二源地址为该第一代理服务器的内网IP地址和端口地址，该第二目的地址为该第二代理服务器的内网IP地址和端口地址；

发送模块，用于将该第二数据向该第二代理服务器发送。

本发明实施例第四方面提供一种代理服务器，该代理服务器为第二代理服务器，应用于跨网络通信系统，该跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于该第一网络数据中心，第二代理服务器和第二数据服务器属于该第二网络数据中心，该代理服务器包括：

接收模块，用于接收该第一代理服务器发送的第二数据，该第二数据包括第二源地址和第二目的地址，该第二源地址为该第一代理服务器的内网IP地址和端口地址，该第二目的地址为该第二代理服务器的内网IP地址和端口地址；

代理模块，用于通过预设的代理规则，将包括该第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，该第三源地址为该第二代理服务器的内网IP地址和端口地址，该第三目的地址为该第二数据服务器的内网IP地址和端口地址；

发送模块，用于将该第三数据发送至该第二数据服务器。

从以上技术方案可以看出，本发明实施例具有以下优点：

在本发明实施例中，主要应用于跨网络通信系统，该跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于该第一网络数据中心，第二代理服务器和第二数据服务器属于该第二网络数据中心，该第一代理服务器接收该第一数据服务器发送的第一数据，该第一数据包括第一源地址和第一目的地址，其中，该第一源地址为该第一数据服务器的内网IP地址和端口地址，该第一目的地址为该第一代理服务器的内网IP地址和端口地址；该第一代理服务器通过预设的代理规则，将包括该第一源地址和该第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，该第二源地址为该第一代理服务器的内网IP地址和端口地址，该第二目的地址为该第二代理服务器的内网IP地址和端口地址；该第一代理服务器将该第二数据向该第二代理服务器发送。第一代理服务器不需要像现有技术中修改IDC全网路由信息，而是第一代理服务器直接通过预设的代理规则，将第一数据的第一源地址和第一目的地址转换，转换为包括第二源地址和第二目的地址的第二数据，再将第二数据向第二代理服务器，而第二数据包括的第二目的地址是关于第二代理服务器的地址信息，所以，完成跨网络的数据通信。

附图说明

为了更清楚地说明本发明实施例技术方案，下面将对实施例和现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例中提供的现有技术中跨网络数据通信的一个系统示意图；

图2为本发明实施例中跨网络数据通信的一个系统示意图；

图3为本发明实施例中跨网络数据通信的数据流的流程示意图；

图4(a)为本发明实施例中跨网络数据通信的方法的一个实施例示意图；

图4(b)为本发明实施例中跨网络数据通信的方法中数据接口平台的一个示意图；

图5为本发明实施例中代理服务器的一个实施例示意图；

图6为本发明实施例中代理服务器的另一个实施例示意图；

图7为本发明实施例中代理服务器的另一个实施例示意图；

图8为本发明实施例中代理服务器的另一个实施例示意图；

图9为本发明实施例中代理服务器的另一个实施例示意图。

具体实施方式

本发明实施例提供了一种跨网络通信的方法以及代理服务器，用于不修改IDC全网的路由配置，完成跨网络的数据通信，降低在跨IDC通信过程中的成本。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

现有技术中，以两个网络互联网数据中心IDC之间的通信为例来进行说明。处于不同IDC的数据服务器，通常采用虚拟专用网络(Virtual Private Network，VPN)方式进行内网通信。如图1所示，为跨网络数据通信的一个系统示意图，在路由器RouterA、路由器RouterB、两个IDC所有网络路由器上配置对应的路由信息，对每个IDC来说是全局的，即A网络的任意一台数据服务器与B网络的任意一台数据服务器之间是互通的。两个(或者多个)IDC机房内网互通，通常在IDC出口部署VPN网关，各个VPN网关配置好VPN隧道实现彼此互通，VPN网关配置去其他IDC的数据走不同的VPN隧道；同时在每个IDC配置路由(目的地址是去其他IDC内网网络的IP数据包，从VPN网关出去)。

图1中描述了路由信息，及路由器接收到网络数据包后，需要查路由表、确定如何处理数据包、以及数据包从哪个接口传出去等信息。但是，VPN要实现两个IDC内网互通，就需要配置路由策略，这带来如下问题：路由配置复杂，成本过高，不同的IDC之间进行通信，需要在IDC路由器上配置路由。对于大型IDC机房，内部网络通常运行动态路由协议，路由配置改动全传达到整个IDC网络，为了实现部分网络的服务器跨网通信，而修改IDC全网路由是一件非常危险的事情，成本代价过高。

下面先对本发明实施例中所用到的缩略语和关键术语的定义做一个简要的说明：

VPN：Virtual Private Network，虚拟专用网络，功能是：在公用网络上建立专用网络，进行加密通讯。VPN网关通过对数据包的加密和对数据包目标地址的转换实现远程访问。VPN有多种分类方式，主要是按协议进行分类。VPN可通过服务器、硬件、软件等多种方式实现。

OpenSwan：Linux下互联网协议安全性(Internet Protocol security，IPsec)的最佳实现方式，其功能强大，最大程度地保证了数据传输中的安全性、完整性问题。

IPsec：IPSec是IETF(Internet Engineering Task Force，Internet工程任务组)的IPSec小组建立的一组IP安全协议集。IPSec定义了在网际层使用的安全服务，其功能包括数据加密、对网络单元的访问控制、数据源地址验证、数据完整性检查和防止重放攻击等。

Linux：Linux是一套免费使用和自由传播的类Unix操作系统，是一个基于POSIX和UNIX的多用户、多任务、支持多线程和多中央处理器(Central Processing Unit，CPU)的操作系统。

IDC：Internet Data Center，互联网数据中心，IDC为互联网内容提供商(Internet Content Provider，ICP)、企业、媒体和各类网站提供大规模、高质量、安全可靠的专业化服务器托管、空间租用、网络批发带宽以及动态服务器页面(Active ServerPages，ASP)、电子商务(Electronic Commerce，EC)等业务。

SNAT：源地址转换，其作用是将IP数据包的源地址转换成另外一个地址。

DNAT:目的地址转换，其作用是将IP数据包的目的地址转换成另外一个地址。

NAT:地址转换，包含SNAT/DNAT。

本发明技术方案的基本思想和原理为：如图2所示，为本发明技术方案所应用的一个系统示意图，对于局部数据服务器之间的跨IDC网络通信，数据服务器之间不直接进行通信，而是直接和本IDC的VPN服务器通信，通过两个VPN代理转发和修改网络数据包的地址达到间接的网络通信，同时VPN服务器只知道对端VPN的内网和外网IP，因此IDC网络路由器不需要配置对端IDC网络路由。如图3所示，为本发明实施例中跨网络数据通信的数据流的流程示例图，本发明实施例的数据流的流程为：发起请求方的数据服务器A——VPNServerA:TcpPort——Proxy(NAT)——VPN隧道——VPNServerB:TcpPort——Proxy(NAT)——获得请求的数据服务器B。

下面以实施例的方式对本发明实施例提供的跨网络通信的方法进行具体描述，如图4(a)所示，为本发明实施例中跨网络通信的方法的一个实施例示意图，包括：

401、第一数据服务器将第一数据发送至第一代理服务器；

在本发明实施例中，该步骤可以包括a和b两个步骤，如下所示：

a、第一数据服务器向第一代理服务器发送第一数据；

在本发明实施例中，主要应用于跨网络通信系统，跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于第一网络数据中心，第二代理服务器和第二数据服务器属于第二网络数据中心。第一网络数据中心和第二网络数据中心就是上述提及的IDC，互联网数据中心。第一数据服务器向第一代理服务器发送第一数据，这里的第一数据一般都是数据包的形式，第一数据的包头包括第一源地址和第一目的地址，其中，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址。

示例性的，这里的第一数据服务器可以是上述图3中所示的服务器A，第一代理服务器是上述图3中所示的VPN服务器ServerA，那么，对应的，第一数据包括源地址为服务器A的内网IP地址和端口地址，第一数据还包括目的地址为VPNServerA的内网IP地址和端口地址。服务器A将第一数据发给VPNServerA的内网IP和内网监听端口(端口地址)。因为ServerA和VPNServerA在同一个IDC网络内，内网本来就是互通的，因此A网络的IDC路由不需要做任何修改。

b、第一代理服务器接收第一数据服务器发送的第一数据，第一数据包括第一源地址和第一目的地址，其中，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址；

在本发明实施例中，第一代理服务器接收第一数据服务器发送的第一数据，第一数据包括第一源地址和第一目的地址，其中，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址。

示例性的，如表1所示，第一数据包括第一源地址为服务器A的内网IP地址和端口地址，第一数据还包括第一目的地址为VPNServerA的内网IP地址和端口地址。应理解，VPNServerA上会配置代理Proxy转发规则、防火墙策略和VPN服务等。

源内网IP地址	目的内网IP地址	源端口地址	目的端口地址
				ServerA内网IP	VPNServerA内网IP	ServerA源端口	VPNServerA目的端口

表1

402、第一代理服务器通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；

在本发明实施例中，第一代理服务器因为配置了Proxy转发规则，所以具有地址转换的功能。那么，第一代理服务器通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址。

具体的，还可包括：第一代理服务器判断第一数据包括的第一数据服务器的内网IP地址是否在白名单内；若在，则第一代理服务器通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据。

示例性的，接上述步骤，VPNServerA是通过VPN网关接收到第一数据的，VPNServerA的防火墙判断第一数据包括的服务器A的内网IP地址是否在白名单，若不在白名单内，则丢弃这个第一数据，即对这个第一数据不做后续的处理；若在白名单内，则进入下一个流程，对该第一数据包括的源地址和目的地址进行地址转换，如表2所示。即将第一源地址为服务器A的内网IP地址和端口地址，转换为第二源地址，第二源地址为VPNServerA的内网IP地址和端口地址；将第一目的地址为VPNServerA的内网IP地址和端口地址，转换为第二目的地址，第二目的地址为VPNServerB的内网IP地址和端口地址。

表2

需要说明的是，这里第一代理服务器实现转换地址的功能是由代理软件实现的， 而代理软件包括但不限于Proxy程序，如socat、nginx、haproxy、iptables等程序。

下面对VPNServerA上的socat转发规则做一个示例的说明，如下所示：

Socat TCP4-LISTEN:${LOCAL_VPNA_PORT}，

bind＝${LOCAL_VPNA_IP}，reuseaddr，

fork TCP4:${REMOTE_VPNB_IP}：${REMOTE_VPNB_PORT}&

这里指设置的配置变量，其中，Local_VPNA_Port：VPNA上代理软件监听的对外提供连接的端口；LOCAL_VPNA_IP：VPNA上代理软件监听的IP地址；REMOTE_VPNB_IP：对端VPNB上，代理软件监听的IP地址；

REMOTE_VPNB_PORT：对端VPNB上，理软件监听的对外提供连接的端口。

VPNServerA安装OpenSwan，配置VPN规则实现VPNServerA和VPNServerB内外互通。对应VPN配置中指定的左网关外网地址leftsubnet/右网关外网地址rightsubnet都为32位地址(通常只配本端及对端的内网32位IP，目的是只允许VPN之间直接互通)配置如下：

conn vpna2b

type＝tunnel

authby＝secret

left＝％defaultroute

leftid＝A外网IP

leftnexthop＝％defaultroute

leftsubnet＝A内网IP/32

right＝B外网IP

rightsubnet＝B内网IP/32

pfs＝yes

auto＝start

上述的含义：配置为自动启动。

403、第一代理服务器将第二数据发送至第二代理服务器；

在本发明实施例中，该步骤可以包括c和d两个步骤，如下所示：

c、第一代理服务器将第二数据向第二代理服务器发送。

在本发明实施例中，第一代理服务器将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据之后，第一代理服务器将第二数据向第二代理服务器发送。可选的，还可以是第一代理服务器对第二数据进行加密，得到加密数据，再将该加密数据向第二代理服务器发送。

示例性的，第二数据包括的第二源地址为VPNServerA的内网IP地址和端口地址；包括的第二目的地址为VPNServerB的内网IP地址和端口地址。

在实际应用中，防火墙规则如下所示：

允许来源IP为ServerA访问VPNA代理转发端口：

Iptalbe-I 1INPUT-s ServerA/32-d VPNA/32-p tcp--dport VPNATcpPort-jAccept

拒绝其他来源访问VPNA代理转发端口：

Iptalbe-A INPUT-p tcp--dport VPNATcpPort-j Drop

在实际应用中，此时通过VPNServerA进入VPN隧道的数据包数据段会被加密，同时数据包会加上两端VPNServer的外网IP地址，如表3所示：

表3

d、第二代理服务器接收第一代理服务器发送的第二数据，第二数据包括第二源地址和第二目的地址，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；

在本发明实施例中，第二代理服务器接收第一代理服务器发送的第二数据，第二数据包括第二源地址和第二目的地址，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址。具体的，第二数据还可以为加密数据。第二代理服务器也配置了配置Proxy转发规则、防火墙策略和VPN服务等。

404、第二代理服务器通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，第三源地址为第二代理服务器的内网IP地址和端口地址，第三目的地址为第二数据服务器的内网IP地址和端口地址；

在本发明实施例中，第二代理服务器接收第二数据之后，可以通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，第三源地址为第二代理服务器的内网IP地址和端口地址，第三目的地址为第二数据服务器的内网IP地址和端口地址。

具体的，该步骤可以包括：

(1)当第二数据为加密数据时，第二代理服务器先对第二数据进行解密，得到解密数据；第二代理服务器再通过预设的代理规则，将包括第二源地址和第二目的地址的解密数据转换为包括第三源地址和第三目的地址的第三数据。

(2)第二代理服务器判断第二数据包括的第一代理服务器的内网IP地址是否在白名单内；若在，则第二代理服务器通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据。

示例性的，接上述步骤，数据包到达VPNServerB后，VPNServerB去掉外网IP包头并对第二数据解密，如表4所示，应理解，这个表4的内容和上述表2的内容相同，并根据Proxy转发规则，将数据包转发到ServerB，并对进入和外出的数据做防火墙控制。VPNServerB的Proxy规则和VPNServerA类似的。

表4

VPNServerB是通过VPN网关接收到第二数据的，VPNServerB的防火墙可以判断第二数据包括的VPNServerA的内网IP地址是否在白名单，若不在白名单内，则丢弃这个第二数据，即对这个第二数据不做后续的处理；若在白名单内，则进入下一个流程，对该第二数据包括的源地址和目的地址进行地址转换，再次封装，如表5所示。即将第二源地址为VPNServerA的内网IP地址和端口地址，转换为第三源地址，第二源地址为VPNServerB的内网IP地址和端口地址；将第一目的地址为VPNServerB的内网IP地址和端口地址，转换为第二目的地址，第二目的地址为服务器B的内网IP地址和端口地址。

源内网IP地址	目的内网IP地址	源端口地址	目的端口地址
				VPNServerA内网IP	ServerB内网IP	VPNServerB源端口	ServerB目的端口

表5

需要说明的是，这里第二代理服务器实现转换地址的功能是由代理软件实现的， 而代理软件包括但不限于Proxy程序，如socat、nginx、haproxy、iptables等程序。

在实际应用中，防火墙规则如下所示：

允许来源IP为VPNServerA内网访问VPNServerB代理转发端口：

Iptalbe-I 1INPUT-s VPNA/32-d VPNB/32-p tcp–dport VPNBTcpPort-j Accept

拒绝其他来源访问VPNB代理转发端口：

Iptalbe-A INPUT-p tcp--dport VPNBTcpPort-j Drop

下面对VPNServerB上的socat转发规则做一个示例的说明，如下所示：

Socat TCP4-LISTEN:${LOCAL_VPNB_PORT}，

bind＝${LOCAL_VPNB_IP}，reuseaddr，

fork TCP4:${REMOTE_ServerB_IP}：${REMOTE_ServerB_PORT}&

这里指设置的配置变量，其中，Local_VPNB_Port：VPNB上代理软件监听的对外提供连接的端口；LOCAL_VPNB_IP：VPNB上代理软件监听的IP地址；REMOTE_ServerB_IP：对端ServerB上，代理软件监听的IP地址；REMOTE_ServerB_PORT：对端ServerB上，理软件监听的对外提供连接的端口。

VPNServerB的Ipsec配置也和VPNServerA的类似：

conn vpnb2a

type＝tunnel

authby＝secret

left＝％defaultroute

leftid＝B外网IP

leftnexthop＝％defaultroute

leftsubnet＝B内网IP/32

right＝A外网IP

rightsubnet＝A内网IP/32

pfs＝yes

auto＝start

上述的含义为：要授权这一点，但实际上没有启动它。它指定IPSec隧道应启动和安全守护程序本身启动时所创建的路线。

405第二代理服务器将第三数据发送至第二数据服务器；

在本发明实施例中，该步骤可以包括e和f两个步骤，如下所示：

e、第二代理服务器将第三数据发送第二数据服务器；

在本发明实施例中，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据之后，第二代理服务将第三数据发送至第二数据服务器。示例性的，第三地址包括的第三源地址为VPNServerB的内网IP地址和端口地址；包括的第三目的地址为服务器B的内网IP地址和端口地址。

f、第二数据服务器接收第二代理服务器发送的第三数据。

在本发明实施例中，第二代理服务器将第三数据向第二数据服务器发送之后，第二数据服务器接收第二代理服务器发送的第三数据。第三数据包括第三源地址和第三目的地址的第三数据，其中，第三源地址为第二代理服务器的内网IP地址和端口地址，第三目的地址为第二数据服务器的内网IP地址和端口地址。

示例性的，此时ServerB收到VPNServerB的请求，处理完毕请求直接按原路将数据返回给VPNServerB。因ServerB和VPNServerB在同一IDC网络，内网是互通的，无需配置路由策略。自此数据流将按照原路返回到ServerA，完成一次跨网通信。

在本发明实施例中，第一代理服务器不需要像现有技术中修改IDC全网路由信息，而是第一代理服务器直接通过预设的代理规则，将第一数据的第一源地址和第一目的地址转换，转换为包括第二源地址和第二目的地址的第二数据，再将第二数据向第二代理服务器，而第二数据包括的第二目的地址是关于第二代理服务器的地址信息，所以，完成跨网络的数据通信。本方法避免了高成本修改路由及带来的网络风险；同时可以极大消除不同IDC网络地址冲突带来的问题；通过proxy规则，最小粒度控制跨网访问，提高网络安全。

进一步的，在现有技术中，网络地址重叠冲突无法实现VPN互通：各个IDC内网网络有相同网络地址段时，无法配置路由，无法实现跨网内网互通。即IDC网络IP地址分公用地址和私有地址。公用地址不能重复，私有地址可以重复。这里网络地址重叠是指的私有地址。如果俩个IDC VPN互通后，都有相同的一个地址A，那么B要和A通信，B不知道和哪个IDC的A通信。但是，在本发明实施例中，代理服务器每次对接收的数据包括源地址和目的地址，再向下一个服务器发送数据时，先做一个地址转换，即将源地址和目的地址进行转换，而根据转换后的源地址和目的地址就可以访问下一个服务器，所以，可以准确的知道要进行访问的目标服务器。

在现有技术中，数据服务器通过VPN跨IDC互通，通常是双向的，且不对来源做限制，单个IDC出现安全问题容易波及其他IDC。安全不可控，即配置路由后，两个IDC都可以互相访问，带来安全风险。若VPN互联俩个IDC后，内网互通。如果一侧IDC中的数据服务器被黑客攻击获取权限后，通过此机器为跳板，可以对另外一侧IDC发起攻击。但是，在本发明实施例中，实现的是单向的数据通信，因为在VPNServerA和VPNServerB上都有预设的代理规则和防火墙，当数据包括的源地址的内网IP地址在白名单内，则可以进行后续的通信流程，若不在，则停止该数据的处理，所以，对数据有了进一步的筛选，而且，在数据通过VPN链路发送的时候，可以加密，进一步的保证了数据的安全性。

在实际应用中，本发明实施例主要可以解决敏感数据跨IDC单向通信问题。应理解，这里的敏感数据可以是游戏数据修改等敏感操作产生的数据，或者一些重要的数据等，在公网传输需要加密。游戏营销活动等需要IDIP来实现。IDIP是互娱运营数据接口平台，营销平台、客服系统等通过调用IDIP接口实现对游戏侧数据的操作(发送道具、角色恢复、钻石奖励等)。

随着腾讯游戏在海外上线，海外IDC与腾讯IDC网络相互隔离，要实现敏感数据跨IDC通信，而传统VPN方案需要配置IDC全网路由，此方案难度太大。因此通常需要在海外同IDC部署IDIP模块来实现敏感数据通信。通过本发明实施例可以打通腾讯IDC与海外IDC之间网络，实现腾讯IDC的IDIP服务器对海外IDC中GIDIP的单向访问，可以减少维护成本及重复部署。GIDIP是游戏侧互娱运营数据接口平台。如图4(b)所示，为数据接口平台IDIP的一个页面示意图。通常情况下是IDIP对外部系统提供接口，GIDIP对IDIP提供接口。数据路径为：外部平台——IDIP平台——游戏侧GIDIP接口——游戏侧数据。

外部平台，IDIP平台可以理解为网络A内的服务(通常在国内腾讯机房)，通常为公共平台，如封号处理、及其他修改玩家数据功能等等；游戏侧GIDIP接口，游戏侧数据可以理解为网络B内的服务，即海外机房(腾讯游戏在海外多个地域机房部署)，多个游戏多个海外地域部署。

数据服务器A和VPNServerA属于国内的同一个互联网数据中心，数据服务器B和VPNServerB属于国外的同一个互联网数据中心，用户A在国内的数据服务器A上的IDIP平台，将某款游戏中的玩家数据修改，这个修改的玩家数据属于敏感数据，发送到VPNServerA，VPNServerA转换地址后，通过VPN链路将修改的玩家数据传到VPNServerB，VPNServerB再转换地址，转发到数据服务器B，数据服务器B的GIDIP接口就会接收到修改的玩家数据，完成一次数据的通信。

上面对本发明实施例中的跨网络通信的方法做了说明，下面对本发明实施例中所提供的第一代理服务器和第二代理服务器进行具体的说明。如图5所示，为本发明实施例中代理服务器的一个实施例示意图，该代理服务器为第一代理服务器，应用于跨网络通信系统，跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于第一网络数据中心，第二代理服务器和第二数据服务器属于第二网络数据中心，该代理服务器包括：

接收模块501，用于接收第一数据服务器发送的第一数据，第一数据包括第一源地址和第一目的地址，其中，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址；

代理模块502，用于通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；

发送模块503，用于将第二数据向第二代理服务器发送。

可选的，在本发明的一些实施例中，

代理模块502，具体用于判断第一数据包括的第一数据服务器的内网IP地址是否在白名单内；若在，则代理模块通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据。

可选的，在本发明的一些实施例中，在图5所示的基础上，如图6所示，该代理服务器还包括：

加密模块504，用于对第二数据进行加密，得到加密数据；

发送模块503，具体用于将加密数据向第二代理服务器发送。

如图7所示，为本发明实施例中代理服务器的另一个实施例示意图，该代理服务器为第二代理服务器，应用于跨网络通信系统，跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于第一网络数据中心，第二代理服务器和第二数据服务器属于第二网络数据中心，该代理服务器包括：

接收模块701，用于接收第一代理服务器发送的第二数据，第二数据包括第二源地址和第二目的地址，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；

代理模块702，用于通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，第三源地址为第二代理服务器的内网IP地址和端口地址，第三目的地址为第二数据服务器的内网IP地址和端口地址；

发送模块703，用于将第三数据发送至第二数据服务器。

可选的，在本发明的一些实施例中，

代理模块702，具体用于判断第二数据包括的第一代理服务器的内网IP地址是否在白名单内；若在，则代理模块通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据。

可选的，在本发明的一些实施例中，在图7所示的基础上，如图8所示，第二数据为加密数据，该代理服务器还包括：

解密模块704，用于对加密数据进行解密，得到解密数据；

代理模块702，具体用于预设的代理规则，将包括第二源地址和第二目的地址的解密数据转换为包括第三源地址和第三目的地址的第三数据。

如图9所示，为本发明实施例中代理服务器的另一个实施例示意图，包括：

该代理服务器可因配置或性能不同而产生比较大的差异，可以包括收发器901，一个或一个以上中央处理器(central processing units，CPU)902(例如，一个或一个以上处理器)和存储器903，一个或一个以上存储应用程序9041或数据9042的存储介质904(例如一个或一个以上海量存储设备)。其中，存储器903和存储介质904可以是短暂存储或持久存储。存储在存储介质904的程序可以包括一个或一个以上模块(图9中没示出)，每个模块可以包括对代理服务器中的一系列指令操作。更进一步地，中央处理器902可以设置为与存储介质904通信，在代理服务器上执行存储介质904中的一系列指令操作。

在本发明实施例中，若该代理服务器为第一代理服务器时，

收发器901还具有以下功能：接收第一数据服务器发送的第一数据，第一数据包括第一源地址和第一目的地址，其中，第一源地址为第一数据服务器的内网IP地址和端口地址，第一目的地址为第一代理服务器的内网IP地址和端口地址；将第二数据向第二代理服务器发送；

中央处理器902还具有以下功能：通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址。

可选的，在本发明的一些实施例中，

中央处理器902还具有以下功能：判断第一数据包括的第一数据服务器的内网IP地址是否在白名单内；若在，则第一代理服务器通过预设的代理规则，将包括第一源地址和第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据。

可选的，在本发明的一些实施例中，

中央处理器902还具有以下功能：对第二数据进行加密，得到加密数据；

收发器901还具有以下功能：将加密数据向第二代理服务器发送。

在本发明实施例中，若该代理服务器为第二代理服务器时，

收发器901还具有以下功能：接收第一代理服务器发送的第二数据，第二数据包括第二源地址和第二目的地址，第二源地址为第一代理服务器的内网IP地址和端口地址，第二目的地址为第二代理服务器的内网IP地址和端口地址；将第三数据发送至第二数据服务器。

中央处理器902还具有以下功能：通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，第三源地址为第二代理服务器的内网IP地址和端口地址，第三目的地址为第二数据服务器的内网IP地址和端口地址。

可选的，在本发明的一些实施例中，

中央处理器902还具有以下功能：判断第二数据包括的第一代理服务器的内网IP地址是否在白名单内；若在，则第二代理服务器通过预设的代理规则，将包括第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据。

可选的，在本发明的一些实施例中，

中央处理器902还具有以下功能：对加密数据进行解密，得到解密数据；通过预设的代理规则，将包括第二源地址和第二目的地址的解密数据转换为包括第三源地址和第三目的地址的第三数据。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (12)

1.一种跨网络通信的方法，其特征在于，所述方法应用于跨网络通信系统，所述跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于所述第一网络数据中心，第二代理服务器和第二数据服务器属于所述第二网络数据中心，所述方法包括：

所述第一代理服务器接收所述第一数据服务器发送的第一数据，所述第一数据包括第一源地址和第一目的地址，其中，所述第一源地址为所述第一数据服务器的内网IP地址和端口地址，所述第一目的地址为所述第一代理服务器的内网IP地址和端口地址；

所述第一代理服务器通过预设的代理规则，将包括所述第一源地址和所述第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，所述第二源地址为所述第一代理服务器的内网IP地址和端口地址，所述第二目的地址为所述第二代理服务器的内网IP地址和端口地址；

所述第一代理服务器将所述第二数据向所述第二代理服务器发送。

2.根据权利要求1所述的方法，其特征在于，所述第一代理服务器通过预设的代理规则，将包括所述第一源地址和所述第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，包括：

所述第一代理服务器判断所述第一数据包括的所述第一数据服务器的内网IP地址是否在白名单内；

若在，则所述第一代理服务器通过预设的代理规则，将包括所述第一源地址和所述第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述第一代理服务器对所述第二数据进行加密，得到加密数据；

所述第一代理服务器将所述第二数据向所述第二代理服务器发送，包括：

所述第一代理服务器将所述加密数据向所述第二代理服务器发送。

4.一种跨网络通信的方法，其特征在于，所述方法应用于跨网络通信系统，所述跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于所述第一网络数据中心，第二代理服务器和第二数据服务器属于所述第二网络数据中心，所述方法包括：

所述第二代理服务器接收所述第一代理服务器发送的第二数据，所述第二数据包括第二源地址和第二目的地址，所述第二源地址为所述第一代理服务器的内网IP地址和端口地址，所述第二目的地址为所述第二代理服务器的内网IP地址和端口地址；

所述第二代理服务器通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，所述第三源地址为所述第二代理服务器的内网IP地址和端口地址，所述第三目的地址为所述第二数据服务器的内网IP地址和端口地址；

所述第二代理服务将所述第三数据发送至所述第二数据服务器。

5.根据权利要求4所述的方法，其特征在于，所述第二代理服务器通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，包括：

所述第二代理服务器判断所述第二数据包括的所述第一代理服务器的内网IP地址是否在白名单内；

若在，则所述第二代理服务器通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据。

6.根据权利要求4或5所述的方法，其特征在于，所述第二数据为加密数据，所述方法还包括：

所述第二代理服务器对所述加密数据进行解密，得到解密数据；

所述第二代理服务器通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，包括：

所述第二代理服务器通过预设的代理规则，将包括所述第二源地址和第二目的地址的解密数据转换为包括第三源地址和第三目的地址的第三数据。

7.一种代理服务器，其特征在于，所述代理服务器为第一代理服务器，应用于跨网络通信系统，所述跨网络通信系统包括第一网络数据中心和第二网络数据中心，所述第一代理服务器和第一数据服务器属于所述第一网络数据中心，第二代理服务器和第二数据服务器属于所述第二网络数据中心，所述代理服务器包括：

接收模块，用于接收所述第一数据服务器发送的第一数据，所述第一数据包括第一源地址和第一目的地址，其中，所述第一源地址为所述第一数据服务器的内网IP地址和端口地址，所述第一目的地址为所述第一代理服务器的内网IP地址和端口地址；

代理模块，用于通过预设的代理规则，将包括所述第一源地址和所述第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据，其中，所述第二源地址为所述第一代理服务器的内网IP地址和端口地址，所述第二目的地址为所述第二代理服务器的内网IP地址和端口地址；

发送模块，用于将所述第二数据向所述第二代理服务器发送。

8.根据权利要求7所述的代理服务器，其特征在于，

所述代理模块，具体用于判断所述第一数据包括的所述第一数据服务器的内网IP地址是否在白名单内；若在，则所述代理模块通过预设的代理规则，将包括所述第一源地址和所述第一目的地址的第一数据转换为包括第二源地址和第二目的地址的第二数据。

9.根据权利要求6或7所述的代理服务器，其特征在于，所述代理服务器还包括：

加密模块，用于对所述第二数据进行加密，得到加密数据；

所述发送模块，具体用于将所述加密数据向所述第二代理服务器发送。

10.一种代理服务器，其特征在于，所述代理服务器为第二代理服务器，应用于跨网络通信系统，所述跨网络通信系统包括第一网络数据中心和第二网络数据中心，第一代理服务器和第一数据服务器属于所述第一网络数据中心，所述第二代理服务器和第二数据服务器属于所述第二网络数据中心，所述代理服务器包括：

接收模块，用于接收所述第一代理服务器发送的第二数据，所述第二数据包括第二源地址和第二目的地址，所述第二源地址为所述第一代理服务器的内网IP地址和端口地址，所述第二目的地址为所述第二代理服务器的内网IP地址和端口地址；

代理模块，用于通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据，其中，所述第三源地址为所述第二代理服务器的内网IP地址和端口地址，所述第三目的地址为所述第二数据服务器的内网IP地址和端口地址；

发送模块，用于将所述第三数据发送至所述第二数据服务器。

11.根据权利要求10所述的代理服务器，其特征在于，

所述代理模块，具体用于判断所述第二数据包括的所述第一代理服务器的内网IP地址是否在白名单内；若在，则所述代理模块通过预设的代理规则，将包括所述第二源地址和第二目的地址的第二数据转换为包括第三源地址和第三目的地址的第三数据。

12.根据权利要求10或11所述的代理服务器，其特征在于，所述第二数据为加密数据，所述代理服务器还包括：

解密模块，用于对所述加密数据进行解密，得到解密数据；

所述代理模块，具体用于预设的代理规则，将包括所述第二源地址和第二目的地址的解密数据转换为包括第三源地址和第三目的地址的第三数据。