CN107517150A - 基于虚拟专用网络vpn的内网资源访问方法及装置 - Google Patents

Abstract

本发明公开了一种基于虚拟专用网络VPN的内网资源访问方法，包括：当接收到访问终端通过接入点所转发的内网资源访问请求时，将访问请求中访问终端的真实IP地址替换为预设虚拟IP地址；将使用虚拟IP地址的访问请求转发至内网服务器，接收服务器响应访问请求所发送的资源数据包；根据虚拟IP地址，确定返回资源数据包所对应的接入点；将资源数据包转发至对应接入点，以供通过对应接入点将资源数据包转发至对应访问终端。本发明还公开了一种基于虚拟专用网络VPN的内网资源访问装置。本发明可以避免内网资源转发时由于可能存在网段冲突而无法确定接入点，进而导致内网资源访问失败的问题，提高内网资源访问的可靠性。

Description

基于虚拟专用网络VPN的内网资源访问方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及基于虚拟专用网络VPN的内网资源访问方法及装置。

背景技术

如图1所示，通常远程部署的无线接入点AP(Wireless Access Point)都使用本地转发模式转发流量数据，从而节省封隧道所带来的带宽消耗。但此类场景下，用户终端接入无线接入点网络后，无法访问无线控制器WAC(Wireless Access Point Controller)一侧的内网资源，而采用虚拟专用网络VPN(Virtual Private Network)，通过在公用网络上建立专用网络并进行加密通讯，则可以实现用户终端通过无线接入点AP访问无线控制器一侧的内网资源，但此类访问流量数据的封装隧道需要走无线控制器，因此，为保证路由畅通，还需将接入点一侧的网段通知给无线控制器，但由于存在多个接入点，而这些接入点又有可能配置了相同的本地转发网段，因而控制器一侧就不知道应该把流量数据转发给哪一个接入点，也即若存在网段冲突，则将会导致内网资源访问失败。

发明内容

本发明的主要目的在于提供一种基于虚拟专用网络VPN的内网资源访问方法及装置，旨在解决现有访问内网资源技术中由于存在网段冲突而无法确定接入点，进而导致内网资源访问失败的技术问题。

为实现上述目的，本发明提供一种基于虚拟专用网络VPN的内网资源访问方法，所述内网资源访问方法包括：

当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

优选地，所述内网资源访问方法还包括：

监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

若是，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

优选地，所述内网资源访问方法还包括：

监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

若是，则检测是否存在回收的且未分配的虚拟IP地址；

若是，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

进一步地，为实现上述目的，本发明还提供一种基于虚拟专用网络VPN的内网资源访问方法，所述内网资源访问方法包括：

将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点；

将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

优选地，所述根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点包括：

将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。

进一步地，为实现上述目的，本发明还提供一种基于虚拟专用网络VPN的内网资源访问装置，所述内网资源访问装置包括：

第一替换模块，用于当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

接收模块，用于将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

确定模块，用于根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

转发模块，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

优选地，所述内网资源访问装置还包括：

第一监控模块，用于监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

第二替换模块，用于若所述虚拟IP网段发生变化，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

优选地，所述内网资源访问装置还包括：

第二监控模块，用于监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

检测模块，用于若所述虚拟IP网段中的虚拟IP地址的数量小于所述阈值，则检测是否存在回收的且未分配的虚拟IP地址；

分配模块，用于若存在回收的且未分配的虚拟IP地址，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

进一步地，为实现上述目的，本发明还提供一种基于虚拟专用网络VPN的内网资源访问装置，所述内网资源访问装置包括：

请求处理模块，用于将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

接入点确定模块，用于根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点；

数据转发模块，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

优选地，所述接入点确定模块包括：

字典树构造单元，用于将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

接入点查找单元，用于遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。

本发明中，通过将访问报文中终端的真实IP地址替换为虚拟IP地址，从而在返回对应的资源数据包时，通过虚拟IP地址即可定位到终端，并由终端即可确定其所属的接入点，从而无需直接通过网段来确定对应的接入点，进而可避免内网资源转发时由于可能存在网段冲突而无法确定接入点并导致内网资源访问失败的问题，提高了内网资源访问的可靠性。

附图说明

图1为本发明基于VPN的内网资源访问方法第一实施例的流程示意图；

图2为本发明基于VPN的内网资源访问方法第二实施例的流程示意图；

图3为本发明基于VPN的内网资源访问方法第三实施例的流程示意图；

图4为本发明基于VPN的内网资源访问方法第四实施例的流程示意图；

图5为本发明基于VPN的内网资源访问方法第五实施例的流程示意图；

图6为本发明用于进行网段冲突检测的多分支字典树的示意图；

图7为本发明基于VPN的内网资源访问装置第一实施例的功能模块示意图；

图8为本发明基于VPN的内网资源访问装置第二实施例的功能模块示意图；

图9为本发明基于VPN的内网资源访问装置第三实施例的功能模块示意图；

图10为本发明基于VPN的内网资源访问装置第四实施例的功能模块示意图；

图11为本发明基于VPN的内网资源访问装置第五实施例的功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明基于VPN的内网资源访问方法第一实施例的流程示意图。本实施例中，所述内网资源访问方法包括：

步骤S110，当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

通常，数据的转发模式包括集中转发模式与本地转发模式，其中，集中转发模式是指访问终端的所有数据流量都经过无线接入点AP(Wireless AccessPoint)封装后，转发给无线控制器WAC(Wireless Access Point Controller)，然后再由无线控制器进行统一的应用层处理与转发；而本地转发则是指访问终端的所有数据流量都经过无线接入点AP转发而不经过无线控制器。

上述两种数据转发模式都不能实现对无线控制器一侧的内网资源的访问，因此，本实施例中，采用虚拟专用网络VPN(Virtual Private Network)，通过在公用网络上建立专用网络，进行加密通讯，从而可实现访问终端通过无线接入点AP访问无线控制器一侧的内网资源。其中，本实施例中，对于VPN转发处理过程及实现方式与现有VPN技术基本相同，因此不做过多赘述。

本实施例中，当内网资源访问装置(例如内网资源访问装置位于无线控制器WAC中)接收到访问终端通过接入点AP所转发的内网资源访问请求时，内网资源访问装置为每一个接入内网资源访问装置的访问终端分配一个虚拟的IP地址，具体对应为：将访问请求中访问终端的真实IP地址(报文源地址)替换为预设的虚拟IP地址，从而使得内网资源服务器认为访问终端是使用该虚拟IP地址进行的资源访问。

本实施例中，虚拟IP地址所对应的网段由用户预先配置，而对于虚拟IP地址的分配、回收等维护工作则由内网资源访问装置进行，从而可防止内网资源访问装置一侧的资源服务器直接通过IP地址访问接入点一侧的访问终端，也即本实施例中的VPN数据隧道是单向的。

步骤S120，将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

本实施例中，当内网资源服务器接收到带有虚拟IP地址的资源访问请求时，服务器将该访问请求所对应的资源打包成资源数据包并发送至内网资源访问装置进行转发。其中，资源数据包中的返回报文的目的地址为虚拟IP地址。

步骤S130，根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

本实施例中，内网资源访问装置将根据虚拟IP地址，确定资源数据包返回时所对应的接入点，具体确定方式不限。

例如，访问请求报文中携带有访问终端的MAC地址(作为源MAC地址)，则内网资源访问装置将根据虚拟IP地址(也即资源数据包中的返回报文的目的地址)，定位到对应访问终端的MAC地址，进而再根据所确定的MAC地址，确定该访问终端所属的接入点。

再例如，访问请求报文中携带有访问终端的真实IP地址(作为源地址)，则内网资源访问装置将根据虚拟IP地址，确定对应访问终端的真实IP地址，进而再根据该确定的真实IP地址，确定该访问终端所属的接入点。

步骤S140，将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

本实施例中，当内网资源访问装置确定资源数据包所要转发的接入点后，内网资源访问装置将资源数据包转发至对应接入点，从而再通过对应接入点将资源数据包转发至对应访问终端，从而完成内网资源的整个访问过程。其中，通过接入点将服务器所返回的资源数据包转发给访问终端的方式与现有技术相同，因此不做过多赘述。

本实施例中，内网资源访问装置对应多个接入点AP(每个接入点对应一个网段)，而每个接入点对应多个访问终端。因此，内网资源访问装置在进行资源数据包转发时，需要先确定对应的接入点(也即确定对应的网段)，然后再进行转发。而通常，接入点侧的网段都是由用户手动配置，因此，若多个接入点都配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，内网资源访问装置也无法确定将资源数据包转发给哪一个接入点，也即若存在网段冲突，则将会导致内网资源访问失败。

因此，本实施例中，内网资源访问装置通过对每一个接入的访问终端分配一个虚拟的IP地址，也即用虚拟IP地址替换掉访问请求中访问终端的真实IP地址，从而使访问终端采用虚拟IP地址访问内网资源，进而使得内网资源服务器认为虚拟IP地址即为访问终端的地址，从而在服务器返回资源数据包时，将会以虚拟IP地址作为目的IP地址，同时，本实施例中，内网资源访问装置在进行地址替换的同时，也已经建立了访问终端的MAC地址与虚拟IP地址或真实IP地址与虚拟IP地址的对应关系，从而当内网资源访问装置接收到服务器返回的资源数据包时，内网资源访问装置将可直接通过上述对应关系，定位到对应的访问终端，而后再通过访问终端确定其所属的接入点，或者直接通过真实的IP地址获取对应的接入点。

本实施例中，通过将访问报文中终端的真实IP地址替换为虚拟IP地址，从而在返回对应的资源数据包时，通过虚拟IP地址即可定位到终端，并由终端即可确定其所属的接入点，从而无需直接通过网段来确定对应的接入点，进而可避免内网资源转发时由于可能存在网段冲突而无法确定接入点并导致内网资源访问失败的问题，提高了内网资源访问的可靠性。此外，本实施例中采用间接方式来确定返回包的接入点，从而避免直接确定返回包的接入点时可能存在的网段冲突而导致访问失败的问题，同时也更进一步避免了需要用户重新划分网段以避免网段冲突的繁琐操作。

另外，需要进一步说明的是，虚拟IP地址统一由内网资源访问装置(例如无线控制器)进行管理，因而可以保证虚拟IP地址的分配不会存在冲突。同时，由于虚拟IP地址由内网资源访问装置进行维护管理。也即用户无法获知，因而内网资源服务器将无法直接通过IP来访问接入点一侧的资源与访问终端。也即本实施例中的VPN访问方案是一种单向的VPN访问方案，在该方案下，只允许接入点侧的访问终端主动访问内网资源访问装置侧的内网资源，而不允许内网资源主动访问接入点侧的资源。

参照图2，图2为本发明基于VPN的内网资源访问方法第二实施例的流程示意图。基于上述方法第一实施例，本实施例中，所述内网资源访问方法还包括：

步骤S210，监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

步骤S220，若是，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

本实施例中，由于虚拟IP地址所对应的虚拟IP网段是由用户配置，而由内网资源访问装置进行维护，因此，若用户临时更改了虚拟IP网段，则将导致当前已分配的虚拟IP地址失效，因此，内网资源访问装置需要监测虚拟IP网段是否发生变化，并根据监测结果进行相应处理。

本实施例中，当配置的虚拟IP网段发生变化的时候，内网资源访问装置将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的虚拟IP网段中的虚拟IP地址，从而保证虚拟IP地址与虚拟IP网段的实时对应。

参照图3，图3为本发明基于VPN的内网资源访问方法第三实施例的流程示意图。基于上述方法第二实施例，本实施例中，所述内网资源访问方法还包括：

步骤S310，监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

本实施例中，对于预设阈值的设置不限，具体根据实际需要进行设置。虚拟IP网段中未分配的虚拟IP地址的数量将会随着访问终端数量的增加而相应减少，而当减少到预设阈值时，将无法继续分配。

因此，为满足所有接入内网资源访问装置的各访问终端的虚拟IP地址分配要求，提高虚拟IP地址的重复利用率，本实施例中采用虚拟IP地址的回收机制，比如采用DHCP回收访问终端所释放的虚拟IP地址，从而使同一个虚拟IP地址可以重复进行多次分配。

步骤S320，若是，则检测是否存在回收的且未分配的虚拟IP地址；

步骤S330，若是，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

本实施例中，当虚拟IP地址池发生变化的时候，内网资源访问装置需要遍历当前接收到的内网资源访问请求，以确定是否分配回收的虚拟IP地址(也即替换访问请求中的目的IP地址)。由于访问终端数量过多，从而可能导致大量的性能消耗在遍历访问终端上，因此，为防止影响内网资源访问装置的其他性能，因此，本实施例采用分批次遍历当前接收到的内网资源访问请求，也即每次遍历都只处理部分访问请求，进而减少设备运行负荷，避免内网资源访问装置因负荷加重而导致性能减弱。此外，本实施例中对于虚拟IP地址的分配方式不限，例如，当接收到访问终端的访问请求报文时，使用类似SNAT的方式来更改访问请求报文中的目的IP地址。

参照图4，图4为本发明基于VPN的内网资源访问方法第四实施例的流程示意图。本实施例中，所述内网资源访问方法包括：

步骤S410，将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

步骤S420，根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点；

步骤S430，将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

本实施例中，采用虚拟专用网络VPN进行内网资源的访问，具体为通过在公用网络上建立专用网络，进行加密通讯，从而可实现访问终端通过无线接入点AP访问无线控制器一侧的内网资源。其中，本实施例中，对于VPN转发处理过程及实现方式与现有VPN技术基本相同，因此不做过多赘述。

本实施例中，当内网资源访问装置接收到访问终端通过接入点AP所转发的内网资源访问请求时，内网资源访问装置直接将该访问请求转发至内网服务器，并接收服务器所返回的资源数据包。

本实施例中，内网资源访问装置对应多个接入点AP(每个接入点对应一个网段)，而每个接入点对应多个访问终端。因此，内网资源访问装置在进行资源数据包转发时，需要先确定对应的接入点(也即确定对应的网段)，然后再进行转发。而通常，内网资源访问装置都要求所有接入点AP上报本地网段，从而便于内网资源访问装置根据资源数据包中的目的IP地址，确定对应网段以及接入点，而大量接入点AP上报本地网段将会造成内网资源访问装置的带宽浪费。因此，本实施例中，直接将真实的本地网段配置在接入点AP上，从而内网资源访问装置即可直接获知接入点侧的真实网段而无须让接入点上报，进而提升了内网资源访问装置的带宽利用率。

此外，本实施例中，由于是直接将真实的本地网段配置在接入点AP上，因此，内网资源访问装置一侧的资源也可以访问接入点一侧的资源，从而形成双向的VPN访问方案。另外，需要进一步说明的是，通常，接入点侧的网段都是由用户手动配置，因此，若多个接入点都配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，内网资源访问装置也无法确定将资源数据包转发给哪一个接入点，也即若存在网段冲突，则将会导致内网资源访问失败。因此，本实施例中，在遍历所有接入点上各自所配置的IP地址网段的同时，进行网段冲突检测，若检测存在网段冲突，则直接警告用户，从而由用户重新配置不冲突的新的网段。

参照图5，图5为本发明基于VPN的内网资源访问方法第五实施例的流程示意图。基于上述方法第四实施例，本实施例中，上述步骤S420包括：

步骤S4201，将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

步骤S4202，遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。

通常，接入点侧的网段都是由用户手动配置，也即由用户来保证网段，而若多个接入点无意间配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，内网资源访问装置也无法确定将资源数据包转发给哪一个接入点，也即若接入点存在网段冲突，则将会导致内网资源访问失败。因此，需要对用户所配置的接入点侧的网段进行冲突检测以避免网段冲突，从而保证内网资源访问能够成功。

对于网段冲突的检测方式很多，同时，既可以是提前进行预防性检测，同时也可以在资源数据包转发过程中进行检测，具体根据实际需要进行设置。本实施例中，具体在确定返回所述资源数据包的对应接入点的同时，进行网段冲突检测。

如图6所示的用于进行网段冲突检测的多分支字典树的示意图。考虑到如果内网资源访问装置所对应的接入点较多，也即对应的网段较多，那么遍历各网段将需要花费大量的时间，进一步地，若返回的报文量很大，则对于内网资源访问装置的性能消耗也同样非常明显。

因此，本实施例中，先将IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有IP地址网段所对应的多分支字典树。

本实施例中所述的数据节点构造失败具体是指在构造字典树的过程中，由于存在相同的数据节点(也即存在相同的IP地址)而导致该数据节点构造冲突，进而使得该数据节点构造失败。通常，对于访问同一内网资源的所有IP地址来说，其中是一定不存在相同的IP地址的，因此，在构造所有的IP地址网段所对应的多分支字典树的过程中，如果发现要插入的数据节点上已经有了子节点或者要在一个已经插入数据的节点的子节点上再插入数据，则说明存在相同的IP地址，从而导致数据节点构造失败，也即说明存在接入点的网段冲突，并可将对应网段告知用户，从而便于用户重新配置新的网段。如图6所示，如每一个数据节点代表4位二进制，则遍历一个IP地址(32位二进制)则只需要遍历8次即可，因而本实施例中，采用多分支字典树，可以使用空间换时间，大大节省遍历的时间，降低时间复杂度。

本实施例中，内网资源访问装置在处理大量接入点时，将各接入点所对应的网段下的IP地址作为数据节点，构造多分支字典树，可以节省遍历的时间，降低时间复杂度，此外，在构造字典树的同时，将自动完成网段冲突检测，从而提升内网资源访问装置的性能及访问内网资源的可靠性。

参照图7，图7为本发明基于VPN的内网资源访问装置第一实施例的功能模块示意图。本实施例中，所述内网资源访问装置包括：

第一替换模块110，用于当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

通常，数据的转发模式包括集中转发模式与本地转发模式，其中，集中转发模式是指访问终端的所有数据流量都经过无线接入点AP(Wireless AccessPoint)封装后，转发给无线控制器WAC(Wireless Access Point Controller)，然后再由无线控制器进行统一的应用层处理与转发；而本地转发则是指访问终端的所有数据流量都经过无线接入点AP转发而不经过无线控制器。

上述两种数据转发模式都不能实现对无线控制器一侧的内网资源的访问，因此，本实施例中，采用虚拟专用网络VPN(Virtual Private Network)，通过在公用网络上建立专用网络，进行加密通讯，从而可实现访问终端通过无线接入点AP访问无线控制器一侧的内网资源。其中，本实施例中，对于VPN转发处理过程及实现方式与现有VPN技术基本相同，因此不做过多赘述。

本实施例中，当第一替换模块110(例如内网资源访问装置位于无线控制器WAC中)接收到访问终端通过接入点AP所转发的内网资源访问请求时，第一替换模块110为每一个接入内网资源访问装置的访问终端分配一个虚拟的IP地址，具体对应为：将访问请求中访问终端的真实IP地址(报文源地址)替换为预设的虚拟IP地址，从而使得内网资源服务器认为访问终端是使用该虚拟IP地址进行的资源访问。

本实施例中，虚拟IP地址所对应的网段由用户预先配置，而对于虚拟IP地址的分配、回收等维护工作则由内网资源访问装置进行，从而可防止内网资源访问装置一侧的资源服务器直接通过IP地址访问接入点一侧的访问终端，也即本实施例中的VPN数据隧道是单向的。

接收模块120，用于将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

本实施例中，当内网资源服务器接收到带有虚拟IP地址的资源访问请求时，服务器将该访问请求所对应的资源打包成资源数据包并发送至内网资源访问装置进行转发。其中，资源数据包中的返回报文的目的地址为虚拟IP地址。

确定模块130，用于根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

本实施例中，确定模块130将根据虚拟IP地址，确定资源数据包返回时所对应的接入点，具体确定方式不限。

例如，访问请求报文中携带有访问终端的MAC地址(作为源MAC地址)，则确定模块130将根据虚拟IP地址(也即资源数据包中的返回报文的目的地址)，定位到对应访问终端的MAC地址，进而再根据所确定的MAC地址，确定该访问终端所属的接入点。

再例如，访问请求报文中携带有访问终端的真实IP地址(作为源地址)，则确定模块130将根据虚拟IP地址，确定对应访问终端的真实IP地址，进而再根据该确定的真实IP地址，确定该访问终端所属的接入点。

转发模块140，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

本实施例中，当确定模块130确定资源数据包所要转发的接入点后，转发模块140将资源数据包转发至对应接入点，从而再通过对应接入点将资源数据包转发至对应访问终端，从而完成内网资源的整个访问过程。其中，通过接入点将服务器所返回的资源数据包转发给访问终端的方式与现有技术相同，因此不做过多赘述。

本实施例中，内网资源访问装置对应多个接入点AP(每个接入点对应一个网段)，而每个接入点对应多个访问终端。因此，转发模块140在进行资源数据包转发时，需要先确定对应的接入点(也即确定对应的网段)，然后再进行转发。而通常，接入点侧的网段都是由用户手动配置，因此，若多个接入点都配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，转发模块140也无法确定将资源数据包转发给哪一个接入点，也即若存在网段冲突，则将会导致内网资源访问失败。

因此，本实施例中，内网资源访问装置通过对每一个接入的访问终端分配一个虚拟的IP地址，也即用虚拟IP地址替换掉访问请求中访问终端的真实IP地址，从而使访问终端采用虚拟IP地址访问内网资源，进而使得内网资源服务器认为虚拟IP地址即为访问终端的地址，从而在服务器返回资源数据包时，将会以虚拟IP地址作为目的IP地址，同时，本实施例中，内网资源访问装置在进行地址替换的同时，也已经建立了访问终端的MAC地址与虚拟IP地址或真实IP地址与虚拟IP地址的对应关系，从而当内网资源访问装置接收到服务器返回的资源数据包时，内网资源访问装置将可直接通过上述对应关系，定位到对应的访问终端，而后再通过访问终端确定其所属的接入点，或者直接通过真实的IP地址获取对应的接入点。

本实施例中采用间接方式来确定返回包的接入点，从而避免直接确定返回包的接入点时可能存在的网段冲突而导致访问失败的问题，同时也更进一步避免了需要用户重新划分网段以避免网段冲突的繁琐操作。此外，需要进一步说明的是，虚拟IP地址统一由内网资源访问装置(例如无线控制器)进行管理，因而可以保证虚拟IP地址的分配不会存在冲突。同时，由于虚拟IP地址由内网资源访问装置进行维护管理。也即用户无法获知，因而内网资源服务器将无法直接通过IP来访问接入点一侧的资源与访问终端。也即本实施例中的VPN访问方案是一种单向的VPN访问方案，在该方案下，只允许接入点侧的访问终端主动访问内网资源访问装置侧的内网资源，而不允许内网资源主动访问接入点侧的资源。

参照图8，图8为本发明基于VPN的内网资源访问装置第二实施例的功能模块示意图。基于上述装置第一实施例，本实施例中，所述内网资源访问装置还包括：

第一监控模块150，用于监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

第二替换模块160，用于若所述虚拟IP网段发生变化，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

本实施例中，由于虚拟IP地址所对应的虚拟IP网段是由用户配置，而由内网资源访问装置进行维护，因此，若用户临时更改了虚拟IP网段，则将导致当前已分配的虚拟IP地址失效，因此，第一监控模块150需要监测虚拟IP网段是否发生变化，并根据监测结果进行相应处理。

本实施例中，当配置的虚拟IP网段发生变化的时候，第二替换模块160将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的虚拟IP网段中的虚拟IP地址，从而保证虚拟IP地址与虚拟IP网段的实时对应。

参照图9，图9为本发明基于VPN的内网资源访问装置第三实施例的功能模块示意图。基于上述装置第二实施例，本实施例中，所述内网资源访问装置还包括：

第二监控模块170，用于监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

本实施例中，对于预设阈值的设置不限，具体根据实际需要进行设置。虚拟IP网段中未分配的虚拟IP地址的数量将会随着访问终端数量的增加而相应减少，而当减少到预设阈值时，将无法继续分配。

因此，为满足所有接入内网资源访问装置的各访问终端的虚拟IP地址分配要求，提高虚拟IP地址的重复利用率，本实施例中采用虚拟IP地址的回收机制，比如采用DHCP回收访问终端所释放的虚拟IP地址，从而使同一个虚拟IP地址可以重复进行多次分配。

检测模块180，用于若所述虚拟IP网段中的虚拟IP地址的数量小于所述阈值，则检测是否存在回收的且未分配的虚拟IP地址；

分配模块190，用于若存在回收的且未分配的虚拟IP地址，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

本实施例中，当虚拟IP地址池发生变化的时候，内网资源访问装置需要遍历当前接收到的内网资源访问请求，以确定是否分配回收的虚拟IP地址(也即替换访问请求中的目的IP地址)。由于访问终端数量过多，从而可能导致大量的性能消耗在遍历访问终端上，因此，为防止影响内网资源访问装置的其他性能，因此，本实施例采用分批次遍历当前接收到的内网资源访问请求，也即每次遍历都只处理部分访问请求，进而减少设备运行负荷，避免内网资源访问装置因负荷加重而导致性能减弱。此外，本实施例中对于虚拟IP地址的分配方式不限，例如，当接收到访问终端的访问请求报文时，使用类似SNAT的方式来更改访问请求报文中的目的IP地址。

参照图10，图10为本发明基于VPN的内网资源访问装置第四实施例的功能模块示意图。本实施例中，所述内网资源访问装置包括：

请求处理模块210，用于将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

接入点确定模块220，用于根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段，确定返回所述资源数据包的对应接入点；

数据转发模块230，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

本实施例中，采用虚拟专用网络VPN进行内网资源的访问，具体为通过在公用网络上建立专用网络，进行加密通讯，从而可实现访问终端通过无线接入点AP访问无线控制器一侧的内网资源。其中，本实施例中，对于VPN转发处理过程及实现方式与现有VPN技术基本相同，因此不做过多赘述。

本实施例中，当请求处理模块210接收到访问终端通过接入点AP所转发的内网资源访问请求时，请求处理模块210直接将该访问请求转发至内网服务器，并接收服务器所返回的资源数据包。

本实施例中，内网资源访问装置对应多个接入点AP(每个接入点对应一个网段)，而每个接入点对应多个访问终端。因此，内网资源访问装置在进行资源数据包转发时，需要先确定对应的接入点(也即确定对应的网段)，然后再进行转发。而通常，内网资源访问装置都要求所有接入点AP上报本地网段，从而便于内网资源访问装置根据资源数据包中的目的IP地址，确定对应网段以及接入点，而大量接入点AP上报本地网段将会造成内网资源访问装置的带宽浪费。因此，本实施例中，直接将真实的本地网段配置在接入点AP上，从而内网资源访问装置即可直接获知接入点侧的真实网段而无须让接入点上报，进而提升了内网资源访问装置的带宽利用率。

此外，本实施例中，由于是直接将真实的本地网段配置在接入点AP上，因此，内网资源访问装置一侧的资源也可以访问接入点一侧的资源，从而形成双向的VPN访问方案。另外，需要进一步说明的是，通常，接入点侧的网段都是由用户手动配置，因此，若多个接入点都配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，内网资源访问装置也无法确定将资源数据包转发给哪一个接入点，也即若存在网段冲突，则将会导致内网资源访问失败。因此，本实施例中，在遍历所有接入点上各自所配置的IP地址网段的同时，进行网段冲突检测，若检测存在网段冲突，则直接警告用户，从而由用户重新配置不冲突的新的网段。

参照图11，图11为本发明基于VPN的内网资源访问装置第五实施例的功能模块示意图。基于上述装置第四实施例，本实施例中，上述接入点确定模块220包括：

字典树构造单元2201，用于将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

接入点查找单元2202，用于遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。

通常，接入点侧的网段都是由用户手动配置，也即由用户来保证网段，而若多个接入点无意间配置了相同的网段，即使各网段所对应的访问终端所使用的IP地址不同，内网资源访问装置也无法确定将资源数据包转发给哪一个接入点，也即若接入点存在网段冲突，则将会导致内网资源访问失败。因此，需要对用户所配置的接入点侧的网段进行冲突检测以避免网段冲突，从而保证内网资源访问能够成功。

对于网段冲突的检测方式很多，同时，既可以是提前进行预防性检测，同时也可以在资源数据包转发过程中进行检测，具体根据实际需要进行设置。本实施例中，具体在确定返回所述资源数据包的对应接入点的同时，进行网段冲突检测。

如图6所示的用于进行网段冲突检测的多分支字典树的示意图。考虑到如果内网资源访问装置所对应的接入点较多，也即对应的网段较多，那么遍历各网段将需要花费大量的时间，进一步地，若返回的报文量很大，则对于内网资源访问装置的性能消耗也同样非常明显。

因此，本实施例中，先将IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有IP地址网段所对应的多分支字典树。同时，在构造字典树的过程中，如果发现要插入的数据节点上已经有了子节点或者要在一个已经插入数据的节点的子节点上再插入数据，也即数据节点构造失败时，则说明存在接入点的网段冲突，并可将对应网段告知用户，从而便于用户重新配置新的网段。如图6所示，如每一个数据节点代表4位二进制，则遍历一个IP地址(32位二进制)则只需要遍历8次即可，因而本实施例中，采用多分支字典树，可以使用空间换时间，大大节省遍历的时间，降低时间复杂度。

本实施例中，内网资源访问装置在处理大量接入点时，将各接入点所对应的网段下的IP地址作为数据节点，构造多分支字典树，可以节省遍历的时间，降低时间复杂度，此外，在构造字典树的同时，将自动完成网段冲突检测，从而提升内网资源访问装置的性能。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种基于虚拟专用网络VPN的内网资源访问方法，其特征在于，所述内网资源访问方法包括：

当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

2.如权利要求1所述的内网资源访问方法，其特征在于，所述内网资源访问方法还包括：

监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

若是，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

3.如权利要求2所述的内网资源访问方法，其特征在于，所述内网资源访问方法还包括：

监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

若是，则检测是否存在回收的且未分配的虚拟IP地址；

若是，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

4.一种基于虚拟专用网络VPN的内网资源访问方法，其特征在于，所述内网资源访问方法包括：

将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点；

将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

5.如权利要求4所述的内网资源访问方法，其特征在于，所述根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点包括：

将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。

6.一种基于虚拟专用网络VPN的内网资源访问装置，其特征在于，所述内网资源访问装置包括：

第一替换模块，用于当接收到访问终端通过接入点所转发的内网资源访问请求时，将所述访问请求中所述访问终端的真实IP地址替换为预设虚拟IP地址；

接收模块，用于将使用所述虚拟IP地址的所述访问请求转发至内网服务器，接收所述服务器响应所述访问请求所发送的资源数据包；

确定模块，用于根据所述虚拟IP地址，确定返回所述资源数据包所对应的接入点；

转发模块，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

7.如权利要求6所述的内网资源访问装置，其特征在于，所述内网资源访问装置还包括：

第一监控模块，用于监测所述虚拟IP地址所对应的虚拟IP网段是否发生变化；

第二替换模块，用于若所述虚拟IP网段发生变化，则将所有内网资源访问请求中各访问终端的真实IP地址替换为变化后的所述虚拟IP网段中的虚拟IP地址。

8.如权利要求7所述的内网资源访问装置，其特征在于，所述内网资源访问装置还包括：

第二监控模块，用于监测所述虚拟IP网段中未分配的虚拟IP地址的数量是否小于预设阈值；

检测模块，用于若所述虚拟IP网段中的虚拟IP地址的数量小于所述阈值，则检测是否存在回收的且未分配的虚拟IP地址；

分配模块，用于若存在回收的且未分配的虚拟IP地址，则分批次遍历当前接收到的内网资源访问请求，并将回收的且未分配的虚拟IP地址分配给当前未分配虚拟IP地址的内网资源访问请求，以供替换内网资源访问请求中访问终端的真实IP地址。

9.一种基于虚拟专用网络VPN的内网资源访问装置，其特征在于，所述内网资源访问装置包括：

请求处理模块，用于将接收到的访问终端通过接入点所转发的内网资源访问请求转发至内网服务器，并接收所述服务器响应所述访问请求所发送的资源数据包；

接入点确定模块，用于根据所述资源数据包中的目的IP地址，遍历所有接入点上各自所配置的IP地址网段并进行网段冲突检测，确定返回所述资源数据包的对应接入点；

数据转发模块，用于将所述资源数据包转发至对应接入点，以供通过对应接入点将所述资源数据包转发至对应访问终端。

10.如权利要求9所述的内网资源访问装置，其特征在于，所述接入点确定模块包括：

字典树构造单元，用于将所有所述IP地址网段各自所对应的IP地址换算为对应的二进制IP地址，并以所述二进制IP地址中的N位地址为一个数据节点，构造所有所述IP地址网段所对应的多分支字典树，其中，在构造所述多分支字典树时，若存在数据节点构造失败，则确定存在接入点的网段冲突；

接入点查找单元，用于遍历所述多分支字典树，以定位所述目的IP地址所在的所述IP地址网段，并确定定位到的所述IP地址网段所对应的接入点为返回所述资源数据包所对应的接入点。