CN111064650B - 一种动态变更隧道连接服务端口号的方法及装置 - Google Patents

Abstract

本发明公开了一种动态变更隧道连接服务端口号的方法及装置，服务器在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；并且服务器在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。本发明在业务不中断的情况下，客户端自动的接受该新的端口号，服务器端口号在业务建立后动态随机变化，安全性大大提升。

Description

一种动态变更隧道连接服务端口号的方法及装置

技术领域

本发明属于虚拟专用网络技术领域，尤其涉及一种动态变更隧道连接服务端口号的方法及装置。

背景技术

视频显示以其直观、准确、及时和信息内容丰富而广泛应用于许多场合，在安全防范系统中尤其重要。近年来，随着计算机、网络以及图像处理、传输技术的飞速发展，采用视频显示的安全防范系统的普及化趋势越来越明显。目前，随着标准化且易扩展的网络技术和IP技术不断发展，基于IP和网络的安全防范技术得到快速发展，IP安全防范系统已经成为主流。

而为了安全和成本，大部分的安全防范系统都部署在私网。很多移动用户或者公网用户作为VC客户端(Video Client)要访问私网的安防资源，会通过建立虚拟专用网络VPN隧道接入到私网进行访问。

以L2TP(Layer 2 Tunneling Protocol，二层隧道协议)拨号建立的VPN隧道为例，如图1所示，安全防范系统中的视频管理服务器VM、媒体服务器MS、网络摄像机IPC等安防设备在一个私网内，VC客户端位于另一个私网内，VC要访问安全防范系统内的安防资源，需要建立VPN隧道。

所有安全防范系统内注册的设备和终端，只要与VM不在同一个私网，那么都使用L2TP拨号建立隧道，通过L2TP隧道连接至安全防范系统，使用L2TP获取的私有IP地址进行注册和通信。

与L2TP建立的VPN类似的，UNP(Universal network passport)万能网络护照也是采用隧道技术，UNPC(客户端)和UNPS(服务器端)使用真实的物理接口建立UNP隧道，分别得到虚拟地址IP1’和IP2’。后续UNPC和UNPS之间使用IP1’和IP2’进行业务交互，交互报文在UNP隧道中转发，不会受到中间网络防火墙、NAT设备、网闸的干扰，从而实现对这些网络的穿越。

然而，目前的VPN隧道普遍存在的问题是，VPN建立后，其服务器的端口号固定不变，易受到黑客的监听和攻击，存在一定的安全隐患。

发明内容

本发明的目的是提供一种动态变更隧道连接服务端口号的方法及装置，用于解决易受到黑客的监听和攻击存在的安全隐患。

为了实现上述目的，本申请技术方案如下：

一种动态变更隧道连接服务端口号的方法，用于客户端和服务器之间的通信，所述动态变更隧道连接服务端口号的方法，包括：

服务器在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

服务器在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。

进一步的，所述动态变更隧道连接服务端口号的方法，还包括：

服务器保留在第一端口继续侦听来自客户端的隧道建立协商报文。

进一步的，所述动态变更隧道连接服务端口号的方法，还包括：

服务器在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

进一步的，所述动态变更隧道连接服务端口号的方法，还包括：

服务器在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

进一步的，所述服务器将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还包括：

服务器接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

本申请还提出了一种动态变更隧道连接服务端口号的装置，用于客户端和服务器之间的通信，所述动态变更隧道连接服务端口号的装置，包括：

协商模块，用于在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

端口变更模块，用于在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。

进一步的，所述协商模块，还保留在第一端口继续侦听来自客户端的隧道建立协商报文。

进一步的，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

进一步的，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

进一步的，所述端口变更模块将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还执行如下操作：

接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

本申请提出的一种动态变更隧道连接服务端口号的方法及装置，在VPN隧道建立后，不中断连接的情况下，由服务器建立两层封装通知客户端动态变化端口号。在业务不中断的情况下，客户端自动的接受该新的端口号，无须中断隧道重新拨号。服务器端口号在业务建立后动态随机变化，安全性大大提升。

附图说明

图1为背景技术VPN组网结构示意图；

图2为本申请实施例VPN组网示意图；

图3为本申请实施例一种动态变更隧道连接服务端口号的方法流程图；

图4是本申请实施例一种动态变更隧道连接服务端口号的装置示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅用以解释本申请，并不用于限定本申请。

本申请提供的一种动态变更VPN服务端口号的方法，可以应用于如图2所示的应用环境中。在图2中，将网络简化为客户端与服务器通过公网建立隧道连接，而不限于具体哪些设备作为隧道连接的客户端，或哪些设备作为隧道连接的服务器。在各种业务中，建立隧道连接的场景比较多，例如分支机构用户访问总部的内部网络服务器，视频监控系统中私网内的监控资源与另一个私网内的管理服务器之间建立通信等等。在以下的实施例中，以视频监控系统中媒体服务器MS为VPN服务器，以网络硬盘录像机NVR为VPN客户端为例进行说明，

在一个实施例中，如图3所示，提供了一种动态变更隧道连接服务端口号的方法，包括：

服务器在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

服务器在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。

容易理解的是，在VPN技术中，客户端与服务器之间需要先建立隧道(Tunnel)，然后才建立会话连接(Session)。隧道的建立是一个三次握手的过程，首先由客户端发起隧道建立请求，服务器收到请求后进行应答，最后客户端在收到应答后再给服务器返回确认，隧道建立。在隧道建立之后，一旦检测到用户呼叫，就请求建立会话连接。关于VPN如何建立隧道和会话连接，是比较成熟的技术，这里不再赘述。

本实施例，建立隧道时，服务器端口号固定为A端口，该A端口只处理隧道建立的协商过程，在协商过程结束后，服务器随机分配另一个端口号B，客户端后续与服务器建立会话，进行数据传输通过新的B端口进行业务交互。

本实施例以网络硬盘录像机NVR为VPN客户端，媒体服务器MS作为VPN的服务器为例进行说明，VM作为监控平台，管理MS、NVR等设备。在视频监控系统中，NVR需要将视频流数据发送给媒体服务器MS，由媒体服务器MS进行转发，因此常常需要建立其NVR与MS之间的VPN隧道，并发送后续的数据。

NVR第一次进行VPN拨号时，按照现有流程，MS设备接收到拨号请求，并回应，完成后，分配一个虚拟地址给NVR，假设NVR分配的虚拟地址为192.168.1.1。NVR获取到地址后，向MS返回确认，隧道建立成功。

在隧道建立成功后，NVR即可以向VM发起会话连接、注册、保活等请求了，关于NVR建立会话连接等，属于视频监控技术领域的成熟技术，这里不再赘述。

与背景技术不同的是，本申请服务器在第一端口上侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口上侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话。

例如，在媒体服务器MS接收到NVR的第一次拨号请求时，比如此时MS设备的服务器接收端口为A(第一端口)，在进行拨号协商交互完成隧道建立后，MS增加一步回应消息，在回应消息中携带第二端口(端口B)信息，告诉客户端通过实际的B端口进行会话连接并传输数据，发送消息后，MS设备打开B端口进行侦听。

需要说明的是，MS可以随机选择第二端口来作为会话端口，也可以指定一个端口作为会话端口，本申请对此不做限制。

NVR接收到该消息后，得知和MS的隧道建立协商已完成，此后NVR对此消息进行回应，表示已接受到新端口的信息，接下来会将端口B作为目的端口建立会话连接。此后NVR通过目的端口B来进行会话连接的建立，并进行业务传输。

本实施例中，服务器在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口上侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。

具体的，NVR在通过端口B运行了一段时间后(时间由MS服务器控制，随机的动态调整)，服务器为了保证安全性，需要将端口B动态的变化，假设变更为端口C。服务器上都预先配置有所支持的端口列表，关于端口的变更，可以在预先配置的端口列表中随机选择，或者从预先配置的端口列表中依次选择，当前所选择的端口与原来使用的端口不同即可。关于如何选择变更后的端口，本申请并不限制。

本申请动态变更端口，就是服务器每隔一个预设时间间隔，变更会话端口。同时还可以随机的调整这个预设时间间隔的周期，在一定的时间范围内，不定期的改变预设时间间隔。这样的设置可以进一步增强端口变化的不确定性，防止攻击。每次变化之前，服务器在回应客户端的消息中内部再增加一层UDP封装，该UDP层的端口号为C，而该消息的最外层的UDP封装仍然为端口B，使得该消息能顺利的送达客户端。并且在内层UDP封装时，服务器会在该层带上一个特殊标记，以表明即将开始更换会话端口，并携带即将更换的新的端口C信息。

本实施例在MS变更会话端口之前，MS首先在VPN的UDP隧道封装消息中，内嵌套一个UDP的封装头(该消息的UDP源端口为C)，并在该消息体的内容中增加说明，表示此消息为通知消息，后续会话端口将变更为端口C，请求通过该端口进行数据传输。发送完成该消息后，MS设备打开端口C进行侦听。

NVR接收到该UDP消息，外层封装仍然是通过B端口发出的，内存的UDP封装显示新端口为C，这样的消息体结构也说明了该消息是通知进行会话端口变更的消息。

客户端接收到该双层封装的UNP报文后，可以明确服务器即将变化端口，此时客户端回复报文给服务器，带上标记，表明收悉。例如NVR对此消息进行回应，告知MS已接收到端口变化的通知，后续以新的会话端口C作为目的端口与服务器进行会话。对于该VPN隧道，服务器后续回复的报文不再用端口B封装UDP报文，直接用新端口C封装UDP报文。客户端也通过新的目的端口进行数据传输。

需要说明的是，本申请中第一端口作为服务器隧道建立协商报文的侦听端口，始终保持不变，服务器保留在第一端口继续侦听来自客户端的隧道建立协商报文，以便客户端在已经建立的隧道拆除后，仍然可以通过第一端口与服务器建立隧道。

在一个实施例中，所述服务器将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还包括：

服务器接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

具体的，服务器将新的会话端口信息内嵌套在通知报文中发送给客户端后，NVR对此消息进行响应，告知MS已接收到端口变化的通知，后续以新的会话端口C作为目的端口与服务器进行会话，在响应消息中携带了客户端的端口信息，MS接收到该响应消息，查看到UDP最外层封装，记录下来NVR发起方的端口信息(IP地址和端口号)，记录的目的是，后续NVR发送新端口的会话消息时，源IP地址和端口号仍然同之前相同，MS可以方便对该新的会话进行控制，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求，例如对其他的源IP地址和端口号发起的会话请求，MS就可以拒绝会话请求，保障了会话的安全性。

需要说明的是，服务器保留在第一端口上继续侦听来自客户端的隧道建立协商报文，即MS的端口A一直保持监听状态，但只用于处理隧道协商的报文，不涉及具体业务，这样即使发生了通过端口A进行的攻击，也不会影响到业务会话，提高了安全性。后续新的客户端的隧道建立请求，仍然是通过端口A进行协商。

如果有多台NVR客户端建立隧道的情况，MS也遵循相同流程。服务器在与客户端会话过程中动态变更会话端口时，具有如下两种情况：

情况1、服务器在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

例如，媒体服务器MS与多个客户端建立有隧道，在与客户端会话过程中动态变更会话端口时，例如有端口B变为端口C时，所有客户端与服务器的会话端口都变为端口C。

情况2、服务器在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

例如，媒体服务器MS与多个客户端建立有隧道时，在与客户端会话过程中动态变更会话端口时，对于客户端1，例如由端口B变为端口C，而对于客户端2，例如由端口B变为端口D。服务器分别对客户端1、客户端2单独进行变更，相互之间不影响。

本申请技术方案，在VPN隧道建立后，不中断连接的情况下，由服务器建立两层封装通知客户端动态变化的端口号，业务不中断的情况下，客户端自动的接受该新的端口号，无须中断隧道重新拨号。服务器端口号在业务建立后的动态随机变化，安全性大大提升。

在一个实施例中，本申请还提供了一种动态变更隧道连接服务端口号的装置，如图4所示，用于客户端和服务器之间的通信，所述动态变更隧道连接服务端口号的装置，包括：

协商模块，用于在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

端口变更模块，用于在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话。

关于动态变更隧道连接服务端口号的装置的具体限定可以参见上文中对于动态变更隧道连接服务端口号的方法的限定，在此不再赘述。上述动态变更隧道连接服务端口号的装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，所述协商模块，还保留在第一端口继续侦听来自客户端的隧道建立协商报文。

在一个实施例中，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

在一个实施例中，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

在一个实施例中，所述端口变更模块将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还执行如下操作：

接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种动态变更隧道连接服务端口号的方法，用于客户端和服务器之间的通信，其特征在于，所述动态变更隧道连接服务端口号的方法，包括：

服务器在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

服务器在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话；

其中，所述将新的会话端口信息内嵌套在通知报文中发送给客户端，包括：

服务器在通知报文内部增加一层UDP封装，该UDP层的端口号为新的会话端口号，并携带特殊标记，所述特殊标记用以表征即将开始更换会话端口。

2.根据权利要求1所述的动态变更隧道连接服务端口号的方法，其特征在于，所述动态变更隧道连接服务端口号的方法，还包括：

服务器保留在第一端口继续侦听来自客户端的隧道建立协商报文。

3.根据权利要求1所述的动态变更隧道连接服务端口号的方法，其特征在于，所述动态变更隧道连接服务端口号的方法，还包括：

服务器在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

4.根据权利要求1所述的动态变更隧道连接服务端口号的方法，其特征在于，所述动态变更隧道连接服务端口号的方法，还包括：

服务器在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

5.根据权利要求1-4任一项权利要求所述的动态变更隧道连接服务端口号的方法，其特征在于，所述服务器将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还包括：

服务器接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

6.一种动态变更隧道连接服务端口号的装置，用于客户端和服务器之间的通信，其特征在于，所述动态变更隧道连接服务端口号的装置，包括：

协商模块，用于在第一端口侦听隧道建立协商报文，在与客户端协商建立隧道后，选择第二端口作为会话端口并携带第二端口信息向客户端发送回应消息，在第二端口侦听会话报文，以便客户端在收到回应消息后，将第二端口作为目的端口与服务器进行会话；

端口变更模块，用于在与客户端会话过程中动态变更会话端口，将新的会话端口信息内嵌套在通知报文中发送给客户端，在新的会话端口侦听会话报文，以便客户端在收到通知报文后，以新的会话端口作为目的端口与服务器进行会话；

其中，所述将新的会话端口信息内嵌套在通知报文中发送给客户端，包括：

服务器在通知报文内部增加一层UDP封装，该UDP层的端口号为新的会话端口号，并携带特殊标记，所述特殊标记用以表征即将开始更换会话端口。

7.根据权利要求6所述的动态变更隧道连接服务端口号的装置，其特征在于，所述协商模块，还保留在第一端口继续侦听来自客户端的隧道建立协商报文。

8.根据权利要求6所述的动态变更隧道连接服务端口号的装置，其特征在于，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，统一进行变更。

9.根据权利要求6所述的动态变更隧道连接服务端口号的装置，其特征在于，所述端口变更模块在与多个客户端会话过程中动态变更会话端口时，针对不同的客户端，分别进行动态变更。

10.根据权利要求6-9任一项权利要求所述的动态变更隧道连接服务端口号的装置，其特征在于，所述端口变更模块将新的会话端口信息内嵌套在通知报文中发送给客户端之后，还执行如下操作：

接收客户端的响应消息，获取客户端与新的会话端口进行通信的客户端端口信息并记录，在此后接收到客户端的会话报文时，比较会话报文的客户端端口信息，若与记录的不一致则拒绝会话请求。

Images