CN107800603A - 内网用户基于vpn 访问前端设备的方法和存储介质 - Google Patents

Abstract

本申请提出了一种内网用户基于VPN访问前端设备的方法和存储介质，该方法包括，当内网通信服务器通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的注册端口的连接；所述内网通信服务器接收外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述外网网关设备下联的前端设备对应的虚拟接口；其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，所述虚拟接口用于内网用户访问所述前端设备。本申请的技术方案可以实现内网用户对前端设备的访问，尤其适于CLIENT‑LAN的VPN模式下局域网内用户访问前端设备。

Description

内网用户基于VPN访问前端设备的方法和存储介质

技术领域

本发明涉及通信技术领域，特别涉及一种内网用户基于VPN访问前端设备的方法、存储介质和内网通信服务器。

背景技术

VPN(Virtual Private Network，虚拟专用网络)是在公用网络(通常为因特网)上架设专用网络通道的技术。

传统技术中，基于LAN-LAN(局域网到局域网)的VPN模式已经可以实现局域网互访，这可以实现公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

但是在CLIENT-LAN(前端到局域网)的VPN模式下，尽管client端可以对局域网进行访问，局域网内用户却无法对局域网外的CLIENT域内的服务器进行访问。

因此，如何提供一种可以实现CLIENT-LAN的VPN模式下局域网内用户访问前端的方法，便成为亟需解决的技术问题。

发明内容

基于此，确有必要提供一种能够实现CLIENT-LAN的VPN模式下，局域网内用户访问前端的方法。

一种内网用户基于虚拟专用网络VPN访问前端设备的方法，包括：

当内网通信服务器通过注册端口监听到外网网关设备的连接请求后，基于 VPN通道建立所述外网网关设备与所述内网通信服务器的注册端口的连接；

所述内网通信服务器接收所述外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述外网网关设备下联的前端设备对应的虚拟接口；

其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息。在其中一个实施例中，所述信息结构体还包括：容错信息、时效控制信息、连接控制信息中的一种或几种。

所述虚拟接口用于内网用户访问所述前端设备；

所述应用端口为所述前端设备的可访问端口。

在其中一个实施例中，所述内网通信服务器创建一个的监听进程或线程，对内网用户的访问所述前端设备的所述应用端口的请求进行监听；当所述监听进程或线程监听到内网用户访问所述前端设备的所述应用端口的请求并建立用户访问连接后，

所述内网通信服务器向所述外网网关设备发送携带有用户访问连接的标识符的报文，以使所述外网网关设备发起与所述前端设备以及与所述内网通信服务器的数据传输端口的连接；

所述外网网关设备收到所述内网通信服务器发送的携带有用户访问连接的标识符的报文后，通过数据传输端口向所述内网通信服务器发送连接请求并建立数据传输连接；

所述内网通信服务器通过数据传输连接接收所述外网网关设备返回的携带有所述用户访问连接的标识符的报文，并根据所述用户访问连接的标识符建立所述用户访问连接与所述数据传输连接的连接；使所述内网用户通过所述虚拟接口基于建立的连接访问所述前端设备；

其中，所述携带有用户访问连接的标识符包含所述用户访问连接的标识。在其中一个实施例中，所述携带有用户访问连接的标识符还包含所述应用端口信息、和其他访问控制信息，其重要特征之一是具有唯一性。

在其中一个实施例中，预先设置所述内网通信服务器与VPN服务器的端口映射。

在其中一个实施例中，所述外网网关与所述前端设备为一体式结构设备或分体设备。

在其中的另一个实施例中，所述外网网关与所述前端设备为分体式结构设备。

相应的，本发明还提出了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的连接；

接收所述外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述前端设备对应的虚拟接口；其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，

所述虚拟接口用于内网用户访问所述前端设备。

所述应用端口为所述前端设备的可访问端口。

所述外网网关设备可以与所述前端设备联合组成一个设备，从而使所述联合设备兼具所述前端设备的可被访问功能和所述外网网关设备的代理网关功能。

本发明还提出了一种内网通信服务器，包含上述的计算机可读存储介质。

与传统技术相比，本发明提出的技术方案具有以下优点：

本发明提出的一种内网用户基于虚拟专用网络VPN访问前端设备的方法，通过根据包含前端设备的身份信息和应用端口信息的信息结构体，在内网通信服务器上映射与前端设备对应的虚拟接口，实现了内网用户通过该虚拟接口基于VPN管道对前端设备的访问，而且，无论所述前端设备的种类，无论每个所述前端设备的所述应用端口的数量、无论每个所述前端设备的所述应用端口的端口号是否一样，在本发明中都只需要一个注册端口和一个数据传输端口完成，特别适于CLIENT-LAN的VPN模式下局域网内用户访问前端设备。

附图说明

图1为本发明实施例提出的一种内网用户基于虚拟专用网络VPN访问前端设备的方法的流程示意图；

图2为本发明实施例提出的一种内网用户基于虚拟专用网络VPN访问前端设备的方法的应用系统图；

图3为本发明实施例提出的一种建立前端设备与内网通信服务器的数据传输端口连接的方法的流程图；

图4为本发明实施例提出的一种在具体应用场景中的内网用户基于虚拟专用网络VPN访问前端设备的方法的流程示意图；

图5为本发明实施例提出的一种具体应用场景下的应用本发明实施例提出的一种内网用户访问前端设备的系统的结构图。

具体实施方式

下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

如图1所示，为本发明实施例提出的一种内网用户基于虚拟专用网络VPN 访问前端设备、也就是使VPN客户端设备可以作为服务端被内网用户访问的方法的流程示意图。该方法应用于如图2所示的系统，包括：

步骤S101：当内网通信服务器通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的注册端口的连接。

在本发明实施例中，前端设备在启用(上电)后，可以视为可以被访问状态，因此需要构建起前端设备到内网通信服务器的数据传输链路。

另外，在本发明实施例中，可以在内网通信服务器内置协议软件，使内网通信服务器启用(上电)后可以开启对其注册端口和数据传输端口的监听。其中，通信服务器上的注册端口可以监听外网网关设备向内网通信服务器发送的连接请求。

在本发明实施例中，前端设备身份信息和应用端口列表信息可以作为配置文件存放在前端设备，也可以存放在外网网关设备中供读取，其中的应用端口是前端设备可被访问的端口；

外网网关设备在读取前端设备的身份信息和应用端口列表后，对应用端口列表中的每个应用端口，逐一实施如下数据通道的建立过程，，

外网网关设备首先读取前端设备的身份信息和一个应用端口数据，生成信息结构体，并通过注册端口的连接发送给内网通信服务器。

步骤S102：内网通信服务器接收外网网关设备发送的信息结构体，并根据信息结构体在内网通信服务器上映射出与前端设备对应的虚拟接口。其中，信息结构体包含前端设备的身份信息和应用端口信息，虚拟接口用于内网用户访问所述前端设备。应用端口为前端设备的可访问端口。

本发明实施例中提出的信息结构体中需至少包含前端设备的身份信息和应用端口信息。但在具体的应用场景中，身份信息可以为该前端设备将在内网通信服务器上映射的虚拟IP地址等可以表征设备身份的信息。其中，应用端口信息，包括，应用端口号信息，另外，还可以包括：容错信息、时效控制信息、连接控制信息中的一种或几种。

由于外网网关设备下联的前端设备可能不止一个，且每个前端设备的应用端口可能也不止一个，因此在具体的应用场景中，构建信息结构体时，外网网关设备可以从其配置文件中获取下联前端设备的应用端口列表，再基于该应用端口列表分别构建与各应用端口对应的信息结构体。

在本发明的实施例中，信息结构体包含一个前端设备的身份信息和一个该前端设备的应用端口信息。

在本发明的另一个实施例中，信息结构体包含一个前端设备的身份信息和该前端设备所使用的多个应用端口信息。需要说明的是，在构建信息结构体时，并不一定需要对前端设备的所有应用端口全部构建信息结构体，还可以根据内网用户的实际需求协商构建相应的信息结构体。因此，在构建的信息结构体时，满足至少包含了内网用户实际需要访问的前端设备应用端口的前提下，构建哪些前端设备对应的结构体，并不影响本发明的保护范围。

在本发明的实施例中，内网通信服务器接收外网网关设备发送的信息结构体包含一个前端设备的身份信息和一个该前端设备的应用端口信息，内网通信服务器对该信息结构体进行解析，然后在内网通信服务器上映射出与前端设备对应的虚拟接口。

在本发明的另一个实施例中，内网通信服务器接收外网网关设备发送的信息结构体包含一个前端设备的身份信息和该前端设备所使用的多个应用端口信息。

内网通信服务器解析该信息结构体，之后根据信息结构体内的身份信息在内网通信服务器上映射对应的虚拟接口，然后根据信息结构体内的各应用端口信息创建对应各应用端口的监听进程，监听内网用户对各应用端口的连接请求以实现对前端设备的访问。

需要说明的是，内网通信服务器每次接收外网网关设备发送的信息结构体内包含几个应用端口信息可以根据实际应用情景灵活设置，在保证内网通信服务器可以对接收的信息结构体经过解析后映射相应的虚拟接口、并可以获得需要监听的应用端口的前提下，具体如何接收、解析各信息结构体均在本发明的保护范围之内。

在本发明的实施例中，提出了一种在内网通信服务器上虚拟出与前端设备对应的虚拟接口后，建立基于某个应用端口的前端设备与内网通信服务器的数据传输端口连接的步骤。如图3所示，该方法包括：

步骤S201：内网通信服务器创建一个监听进程或线程，对内网用户的访问前端设备的请求进行监听。

在创建完该监听进程或线程后，内网通信服务器即可对内网用户对于前端设备的该应用端口的连接请求进行监听。

步骤S202：当监听到有用户访问前端设备的该应用端口并建立用户访问连接后，所述内网通信服务器生成一个具有唯一性的能标识用户访问连接的标识符的报文，所述标识用户访问连接的标识性报文可以包含所述用户访问连接的标识、所述应用端口信息和其他访问控制信息，其重要特征之一是具有唯一性。

随后，内网通信服务器立即通过注册端口的连接向外网网关设备发送携带有所述能标识用户访问连接的标识符的报文，以使外网网关设备发起与前端设备以及与内网通信服务器的数据传输端口的连接。

需要说明的是，所述能标识用户访问连接的标识符的报文，可以是进程PID，进程PID与线程PID的组合，只要在系统内，该串始终能够保持唯一性均在本发明的保护范围之内。

本发明实施例中创建的监听进程是基于前端设备的应用端口创建，每个应用端口对应一个监听进程。

在步骤S202中，内网通信服务器通过向外网网关设备发送报文；外网网关设备根据接收到的报文，搭建完成前端设备到内网通信服务器的基于该应用端口数据传输通道。

内网通信服务器可以通过注册端口向外网网关设备发送相应报文。外网网关设备与内网通信服务器的数据传输端口的连接可以为Socket连接。

内网通信服务器通过注册端口的连接向外网网关设备发送携带有所述能标识用户访问连接的标识符的报文是为了告知外网网关设备内网通信服务器已经映射出与前端设备对应的虚拟接口并且已经接收到用户对该接口的当前应用端口的访问请求，外网网关设备可以发起与前端设备以及内网通信服务器的连接，构建起相应的数据传输链路。

步骤S203：外网网关设备收到该标识符报文后，立即基于数据传输端口向内网通信服务器发起并新建一个数据传输连接，然后，启动该新建数据传输连接与前述外网网关基于当前可访问端口与前端设备建立的连接之间的全双工通信，同时立即通过新建的数据传输连接向内网通信服务器回送用户访问连接的标识符报文，内网通信服务器接收外网网关设备返回的携带有能标识监听进程的标识符的报文，并根据该用户访问连接的标识符建立该数据传输连接与用户访问连接的全双工通信，使所述内网用户可以通过所述虚拟接口基于建立的连接访问所述前端设备。

外网网关设备向内网通信服务器返回携带有能标识用户访问连接的标识符的报文，是为了告知通信服务器，内网用户所请求访问的前端设备已准备就绪，而且告知内网通信服务器，当前的数据传输连接应该与哪个用户访问连接相对应，内网用户可以通过虚拟接口访问对应的前端设备的对应的可访问端口。

至此，通过上述步骤建立前端设备到虚拟接口的连接，内网用户可以基于建立的连接，通过虚拟接口对前端设备的当前可访问端口进行访问。

需要说明的是，在内网通信服务器上虚拟完成与前端设备对应的虚拟接口后，通过前端网关设备与内网通信服务器之间响应，逐步实现前端设备到内网通信服务数据传输端口的连接，进而实现内网用户通过虚拟接口访问对应的前端设备仅是实现本发明技术方案的一种优选实施方式，在保证可以在内网通信服务器上映射与前端设备对应的虚拟接口的前提下，具体如何实现前端设备与内网通信服务的连接并不影响本发明的保护范围。

在本发明的一个实施例中，当外网网关设备一次性构建包括身份信息、和所有应用端口列表信息的信息结构体时，外网网关设备首先通过注册端口向内网通信服务器发送信息结构体，内网通信服务器根据信息结构体中前端设备的身份信息虚拟一个接口，然后依次读取信息结构体中应用端口信息，并为每一个应用端口创建一个监听进程，以便内网用户对该外网网关设备所指定的前端设备进行访问，

当监听到内网用户对该虚拟接口的当前应用端口的连接请求后，再向外网网关设备通过注册端口发送对应的用户访问连接标识符和应用端口号，外网网关设备在收到该用户访问连接标识符和应用端口号后，首先建立与下联前端设备的基于该应用端口的连接，同时基于数据传输端口建立基于该应用端口的到内网通信服务器的数据传输连接，连接成功后，立即回送该用户访问连接标识符、可以包括应用端口号，以便内网通信服务器实现全双工数据传输。

在本发明的一个实施例中，在步骤S101之前，还包括：

步骤S100，预先设置VPN服务器与内网通信服务器的端口映射。因此，在外网网关设备发起与通信服务器的连接时，实现外网网关设备与VPN服务器的连接，就相当于实现了外网网关设备与内网通信服务器的连接。

需要说明的是，在实施本发明实施例提出的技术方案之前，预先设置VPN 服务器与内网通信服务器的端口映射，仅是实施本发明实施例技术方案的一种优选方式，是为了方便快捷的构建起外网网关设备与内网通信服务器的连接，但是，内网通信服务器监听到外网网关设备发送的连接请求后，再设置外网网关设备与内网通信设备之间的端口映射，也可以实现外网网关设备与内网通信服务器之间的连接。因此，在保证可以实现VPN服务器和内网通信服务器端口映射的前提下，何时设置VPN服务器和内网通信服务器端口映射关系并不会影响本发明的保护范围。

与传统技术相比，本发明实施例所提出的技术方案具有以下优点：

本发明提出了一种内网用户基于VPN访问前端设备的方法，该方法包括，当内网通信服务器通过注册端口监听到外网网关设备的连接请求后，基于VPN 通道建立所述外网网关设备与所述内网通信服务器的连接；所述内网通信服务器接收外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述前端设备对应的虚拟接口；其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，所述虚拟接口用于内网用户访问所述前端设备，所述应用端口为所述前端设备的可访问端口。本发明的技术方案可以实现内网用户对前端设备的访问，尤其适于CLIENT-LAN的VPN模式下局域网内用户访问前端设备。

如图4所示，为本发明另外一个实施例提出的一种在具体应用场景中的内网用户基于虚拟专用网络VPN访问前端设备的方法，该方法应用于如图5所示的包含前端设备(如图5中的监控摄像头)DS、外网网关设备BC、VPN客户端AC、VPN服务器AS、内网通信服务器BS、内网用户客户端DC的系统中。该方法包括：

步骤S401：BS启动后，对注册端口和数据传输端口进行监听。

步骤S402：AS根据BC的请求完成VPN通道的搭建。

步骤S403：BC扫描DS的应用端口列表，并基于列表中的端口PORT[i]，构建信息结构体。

步骤S404：BS建立基于VPN通道的BC到BS的注册端口之间的连接。

步骤S405：BS接收BC发送的信息结构体，并进行解析。

步骤S406：BS根据信息结构体的信息在BS上虚拟与DS对应的虚拟接口。

步骤S407：BS基于应用端口PORT[i]创建一个监听进程，并绑定虚拟IP 监听对应用端口PORT[i]的连接请求。

步骤S408：BS监听成功并建立用户访问连接，生成连接标识符。

步骤S409：BS将生成连接标识符发送至BC，以便BC基于数据传输端口建立BC到BS数据传输端口的连接。

步骤S410：BC向BS发送收到的用户访问连接的标识符，BS接收BC转发的用户访问连接的标识符。

步骤S411：BS开启数据传输连接与用户访问连接的全双工通信。

步骤S412：BC向DS发起访问应用端口PORT[i]的请求并建立目标访问连接。

步骤S413：BC开启标访问连接与数据传输连接的全双工通信。

需要说明的是，在应用本发明具体应用场景的实施例时，假设需构建多个前端设备(DS)与内网用户客户端的数据双向传输时，在构建第二个或者之后的前端设备与内网用户的数据传输通道时，仅需重复步骤S403-S413。

至此，前端设备到内网通信服务器之间的数据传输链路搭建完成，内外用户可以通过该虚拟接口通过搭建的数据链路对前端设备访问。

基于相同的发明思想，本发明实施例还提出一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的连接；

接收所述外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述前端设备对应的虚拟接口；其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，

所述虚拟接口用于内网用户访问所述前端设备。

基于相同的发明思想，本发明实施例还提出一种内网通信服务器，包含上述的计算机可读存储介质。

本发明实施例中的前端设备为内置TCP Client、TCP Server、UDP Server中的一种或几种的设备。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等) 中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施场景所述的方法。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施场景的优劣。

以上公开的仅为本发明的几个具体实施场景，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (7)

1.一种内网用户基于虚拟专用网络VPN访问前端设备的方法，其特征在于，所述方法包括：

当内网通信服务器通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的注册端口的连接；

所述内网通信服务器接收所述外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述前端设备对应的虚拟接口；

其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，

所述虚拟接口用于内网用户访问所述前端设备；

所述应用端口为所述前端设备的可访问端口。

2.如权利要求1所述的方法，其特征在于，该方法还包括：

所述内网通信服务器根据所述信息结构体创建一个的监听进程或线程，对内网用户的访问所述前端设备的访问请求进行监听；

当所述监听进程或线程监听到内网用户访问所述前端设备的所述应用端口的访问请求，并建立一个用户访问连接后，所述内网通信服务器生成携带有用户访问连接的标识符的报文；

所述内网通信服务器向所述外网网关设备发送携带有用户访问连接的标识符的报文，以使所述外网网关设备发起与所述前端设备以及与所述内网通信服务器的数据传输端口的连接；

所述外网网关设备收到所述内网通信服务器发送的携带有用户访问连接的标识符的报文后，通过数据传输端口向所述内网通信服务器发送连接请求并建立数据传输连接；

所述内网通信服务器通过数据传输连接接收所述外网网关设备返回的携带有所述用户访问连接的标识符的报文，并根据所述用户访问连接的标识符建立所述用户访问连接与所述数据传输连接的连接；使所述内网用户通过所述虚拟接口基于建立的连接访问所述前端设备；

其中，所述携带有用户访问连接的标识符包含所述用户访问连接的标识。

3.如权利要求1所述的方法，其特征在于，所述信息结构体还包括：容错信息、时效控制信息、连接控制信息中的一种或几种。

4.如权利要求1所述的方法，其特征在于，该方法还包括，预先设置所述内网通信服务器与VPN服务器的端口映射。

5.如权利要求1所述的方法，其特征在于，所述外网网关与所述前端设备为一体式结构设备或分体设备。

6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现以下步骤：

通过注册端口监听到外网网关设备的连接请求后，基于VPN通道建立所述外网网关设备与所述内网通信服务器的连接；

接收所述外网网关设备发送的信息结构体，并根据所述信息结构体在所述内网通信服务器上映射出与所述前端设备对应的虚拟接口；其中，所述信息结构体包含所述前端设备的身份信息和应用端口信息，

所述虚拟接口用于内网用户访问所述前端设备。

7.一种内网通信服务器，其特征在于，包含如权利要求6所述的计算机可读存储介质。