CN111371664A - 一种虚拟专用网络接入方法及设备 - Google Patents

Abstract

本发明实施例公开了一种虚拟专用网络(VPN)接入方法及设备。所述方法包括：VPN业务管理平台获得客户端的接入认证请求；所述接入认证请求中包括身份信息，基于所述接入认证请求确定所述客户端所在的第一地理位置；基于所述身份信息和所述第一地理位置选择接入网关，发送所述接入网关的信息至控制设备。

Description

一种虚拟专用网络接入方法及设备

技术领域

本发明涉及虚拟专用网络(VPN，Virtual Private Network)领域，具体涉及一种虚拟专用网络接入方法及设备。

背景技术

移动VPN为企业员工在外办公(例如出差或者在家办公)时供远程接入企业内部私有网络的能力。移动VPN主要包括用户终端、VPN客户端、VPN接入网关和认证服务器。目前，用户需要在VPN客户端配置VPN网关地址以及相应的VPN隧道和加密参数等，通过VPN客户端向VPN接入网关发起隧道建立请求；VPN客户端与VPN接入网关完成密钥协商，并建立隧道后，发起认证请求，并在认证通过后，由VPN接入网关为VPN客户端分配一个内网的互联网协议(IP，Internet Protocol)地址，使VPN客户端访问内网的流量均通过加密隧道到达VPN接入网关，达到安全访问内网的目的。

随着云计算、软件定义网络(SDN，Software Defined Network)以及网络功能虚拟化(NFV，Network Function Virtualization)技术的发展，运营商提供的企业VPN服务向软件化、云中心化、多租户化发展，同时，移动边缘计算的兴起对企业VPN访问性能、可靠性提出了新的要求。因此，传统的集中接入到企业总部VPN网关后再转接入到分支的方式已经不能满足性能要求。即传统的VPN集中接入方案存在如下问题：1、面向单租户VPN部署场景，主要解决接入安全问题和降低用户接入配置复杂性问题；2、没有考虑多租户、集中化部署场景，不能解决该场景下VPN接入网关的选择问题；3、没有考虑用户位置，没有解决接入到最好的VPN网关问题；4、没有基于SDN控制架构。

发明内容

为解决现有存在的技术问题，本发明实施例提供一种虚拟专用网络接入方法及设备。

为达到上述目的，本发明实施例的技术方案是这样实现的：

本发明实施例提供了一种VPN接入方法，所述方法包括：

VPN业务管理平台获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

基于所述接入认证请求确定所述客户端所在的第一地理位置；

基于所述身份信息和所述第一地理位置选择接入网关，发送所述接入网关的信息至控制设备。

上述方案中，所述基于所述接入认证请求确定所述客户端所在的第一地理位置，包括：根据所述接入认证请求的IP地址确定所述客户端所在的第一地理位置；或者，

根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

上述方案中，所述基于所述身份信息和所述地理位置选择接入网关，包括：

根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；

基于所述第一地理位置从所述网关列表中选择至少两个接入网关；选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

上述方案中，所述身份信息包括：用户标识、区域标识、部门标识、公司标识和国家标识；

所述根据所述身份信息匹配对应的网关列表，包括：

根据所述公司标识和所述国家标识确定租户标识；

根据所述部门标识确定租户对应的VPN标识；

根据所述租户标识和所述VPN标识匹配对应的网关列表。

上述方案中，所述发送所述接入网关的信息至控制设备之前，所述方法还包括：

根据所述身份信息确定对应的服务质量(QoS，Quality of Service)参数；

所述发送所述接入网关的信息至控制设备，包括：

向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和所述QoS参数。

本发明实施例还提供了一种VPN接入方法，所述方法包括：

控制设备接收VPN业务管理平台发送的接入网关的信息；

将所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

上述方案中，所述控制设备接收VPN业务管理平台发送的接入网关的信息，包括：所述控制设备接收VPN业务管理平台发送的VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和QoS参数；

所述将所述接入网关的信息和相关接入参数发送至客户端，包括：将用户标识、IP地址、接入网关的信息和QoS参数发送至客户端；

所述将所述相关接入参数发送至所述接入网关，包括：将用户标识、IP地址和QoS参数发送至所述接入网关。

上述方案中，所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；

所述将所述接入网关的信息和相关接入参数发送至客户端，包括：

从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一网关的信息和相关接入参数发送至客户端。

本发明实施例还提供了一种VPN业务管理平台，所述VPN业务管理平台包括：第一通讯单元、确定单元和决策单元；其中，

所述第一通讯单元，用于获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

所述确定单元，用于基于所述第一通讯单元获得的所述接入认证请求确定所述客户端所在的第一地理位置；

所述决策单元，用于基于所述身份信息和所述第一地理位置选择接入网关；

所述第一通讯单元，还用于发送所述决策单元选择的所述接入网关的信息至控制设备。

上述方案中，所述确定单元，用于根据所述接入认证请求的IP地址确定所述客户端所在的第一地理位置；或者，根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

上述方案中，所述决策单元，用于根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；基于所述第一地理位置从所述网关列表中选择至少两个接入网关；选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

上述方案中，所述身份信息包括：用户标识、区域标识、部门标识、公司标识和国家标识；

所述决策单元，用于根据所述公司标识和所述国家标识确定租户标识；根据所述部门标识确定租户对应的VPN标识；根据所述租户标识和所述VPN标识匹配对应的网关列表。

上述方案中，所述决策单元，还用于根据所述身份信息确定对应的QoS参数；

所述第一通讯单元，用于向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括以下至少之一：用户标识、IP地址、接入网关的信息、所述QoS参数。

本发明实施例还提供了一种控制设备，所述控制设备包括：接收单元和发送单元；其中，

所述接收单元，用于接收VPN业务管理平台发送的接入网关的信息；

所述发送单元，用于将所述接收单元接收的所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

上述方案中，所述接收单元，用于接收VPN业务管理平台发送的VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和QoS参数；

所述发送单元，用于将用户标识、IP地址、接入网关的信息和QoS参数发送至客户端；将用户标识、IP地址和QoS参数发送至所述接入网关。

上述方案中，所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；

所述发送单元，还用于从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一网关的信息和相关接入参数发送至客户端。

本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例所述的应用于VPN业务管理平台的VPN接入方法的步骤；或者，

该程序被处理器执行时实现本发明实施例所述的应用于控制设备的VPN接入方法的步骤。

本发明实施例还提供了一种VPN业务管理平台，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例所述的应用于VPN业务管理平台的VPN接入方法的步骤。

本发明实施例还提供了一种控制设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例所述的应用于控制设备的VPN接入方法的步骤。

本发明实施例提供的虚拟专用网络接入方法、系统及设备，所述方法包括：VPN业务管理平台获得客户端的接入认证请求；所述接入认证请求中包括身份信息，基于所述接入认证请求确定所述客户端所在的第一地理位置；基于所述身份信息和所述第一地理位置选择接入网关，发送所述接入网关的信息至控制设备。采用本发明实施例的技术方案，采用SDN控制架构，通过客户端的身份信息和所在的地理位置(即第一地理位置)选择匹配的且最佳的接入网关，满足了多租户、集中化部署场景，解决了该场景下的网关接入选择问题；并且考虑了客户端所在的地理位置，实现了最佳的接入网关的接入。

附图说明

图1为本发明实施例的虚拟专用网络接入系统的一种架构示意图；

图2为本发明实施例的虚拟专用网络接入方法的一种流程示意图；

图3为本发明实施例的虚拟专用网络接入方法中根据身份信息确定相关参数的流程示意图；

图4为本发明实施例的虚拟专用网络接入方法中选择接入网关的流程示意图；

图5为本发明实施例的虚拟专用网络接入方法的另一种流程示意图；

图6为本发明实施例的虚拟专用网络接入方法的交互流程示意图；

图7为本发明实施例的VPN业务管理平台的组成结构示意图；

图8为本发明实施例的控制设备的组成结构示意图；

图9为本发明实施例的通信设备的硬件组成结构示意图。

具体实施方式

在对本发明实施例进行详细说明之前，首先对本发明实施例的虚拟专用网络接入系统进行简单说明。

图1为本发明实施例的虚拟专用网络接入系统的一种架构示意图；如图1所示，虚拟专用网络接入系统可包括：VPN业务管理平台、控制器、VPN客户端(以下简称为客户端)和接入网关；其中，

客户端，可通过软件或硬件的形式位于用户终端(用户终端可以是用户的手机、电脑等终端设备)上，主要完成VPN接入认证、VPN链路构建和VPN数据包解/封装等功能；

VPN业务管理平台，主要完成VPN接入认证和VPN接入网关选择，可通过控制设备之间的接口获取VPN网络的状态并实现移动用户终端接入到指定的接入网关；

控制设备，主要接收来自VPN业务管理平台的任务请求，完成VPN网络资源的部署、配置、监控、QoS管理和控制等；

接入网关，作为VPN数据转发平面，主要完成VPN上下文的创建和维护、VPN接入到对应VPN上下文的匹配、VPN数据包的解/封装以及VPN数据包QoS的执行等等。其中，每个区域(例如图1中的区域1、区域2…区域M等)中可设置有多个接入网关，如图1中仅以每个区域中设置一个接入网关为示例，实际应用中可不限于每个区域中设置一个接入网关。

上述图1的例子只是实现本发明实施例的一个系统架构实例，本发明实施例并不限于上述图1所述的系统结构，基于该系统架构，提出本发明各个实施例。

下面结合附图及具体实施例对本发明作进一步详细的说明。

本发明实施例提供了一种虚拟专用网络接入方法。图2为本发明实施例的虚拟专用网络接入方法的一种流程示意图；如图2所示，所述方法包括：

步骤101：VPN业务管理平台获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

步骤102：基于所述接入认证请求确定所述客户端所在的第一地理位置；

步骤103：基于所述身份信息和所述第一地理位置选择接入网关，发送所述接入网关的信息至控制设备。

图3为本发明实施例的虚拟专用网络接入方法中根据身份信息确定相关参数的流程示意图；如图3所示，所述方法还包括：

步骤201：VPN业务管理平台为客户端分配身份信息；

步骤202：VPN业务管理平台构建租户、VPN和身份信息的关联表；

步骤203：VPN业务管理平台获取身份信息；

步骤204：VPN业务管理平台根据公司标识和国家标识匹配对应的租户标识；

步骤205：VPN业务管理平台根据租户标识和部门标识匹配对应的VPN标识；

步骤206：VPN业务管理平台根据租户标识、VPN标识、部门标识和区域标识匹配对应的私网IP地址；

步骤207：VPN业务管理平台根据身份信息匹配对应的QoS参数。

本发明实施例中，VPN业务管理平台在获得客户端的接入认证请求之前，首先在企业订购VPN业务时，为用户分配身份信息，以及构建租户、VPN与身份信息的关联表。其中，所述身份信息包括：用户标识(ID)、区域标识、部门标识、公司标识和国家标识等等。其中，公司标识表示企业所在的国家；公司标识与企业唯一对应；部门标识表示用户在公司中的部门；区域标识表示用户所在部门所在的区域；例如某公司在北京和深圳均有公司，且均由某部门，则该区域标识表示用户所在部门所在的区域。作为一种示例，身份信息可采用“用户ID@区域ID.部门ID.公司ID.国家ID”的格式。

本发明实施例中，VPN业务管理平台可通过接入认证请求获取客户端对应的身份信息，以根据该身份信息对客户端进行认证。其中，身份信息中不同的字段表示相应的身份信息。

本发明实施例中，公司标识和国家标识用于匹配租户标识，即VPN业务管理平台可根据客户端上报的公司标识和国家标识匹配对应的租户标识，如表1所示。

表1

国家ID

公司ID

租户ID

本发明实施例中，部门标识用于匹配租户对应的VPN标识(VPN-ID)，区域标识和部门标识用于匹配对应的私网IP地址，如表2所示，还可通过区域标识、部门标识，结合租户标识和/或VPN标识匹配对应的私网IP地址。表2中的IP地址可表示私网IP地址，在其他实施例中，也可表示公网IP地址(以下均简称为IP地址)。

表2

租户ID

部门ID

VPN-ID

VPN网关

IP地址

本发明实施例中，VPN业务管理平台根据身份信息匹配对应的QoS参数，例如表3所示，可根据租户标识、用户标识、VPN标识中的至少之一确定QoS参数；当然，本发明实施例中不限于采用上述标识匹配对应的QoS参数，其他身份信息也可用于匹配对应的QoS参数。其中，QoS参数包括该用户(或用户标识)对应的流量优先级、带宽限制等相关信息。一般可以根据企业用户重要性或者用户所在部门，将QoS分为几个优先级等级。该优先级等级与IP传送网络中的QoS优先级参数例如CoS、或者多协议标签交换(MPLS，Multi-Protocol LabelSwitching)标签等一一对应，或者具有相应的转换关系。

表3

租户ID

用户ID

VPN-ID

QoS参数

在本发明的一种可选实施例中，所述基于所述接入认证请求确定所述客户端所在的第一地理位置，包括：根据所述接入认证请求的IP地址确定所述客户端所在的第一地理位置；或者，根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

本实施例中，VPN业务管理平台基于所述接入认证请求分析客户端当前所在的地理位置。作为一种实施方式，可根据接入认证请求的IP地址确定所在的地理位置；实际应用中，固定的IP地址与实际的地理位置具有一一对应关系，则可根据这种对应关系确定该IP地址所在的第一地理位置。作为另一种实施方式，可根据该接入认证请求中携带的位置信息作为客户端所在的第一地理位置。

在本发明的一种可选实施例中，图4为本发明实施例的虚拟专用网络接入方法中选择接入网关的流程示意图；如图4所示，所述基于所述身份信息和所述地理位置选择接入网关，包括：

步骤1031：根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；

步骤1032：基于所述第一地理位置从所述网关列表中选择至少两个接入网关，选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

作为一种实施方式，所述根据所述身份信息匹配对应的网关列表，包括：根据所述公司标识和所述国家标识确定租户标识；根据所述部门标识确定租户对应的VPN标识；根据所述租户标识和所述VPN标识匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置。进一步地，由于企业拥有在多个区域的分支，则企业用户可以通过多个接入网关接入，本实施例中采用就近原则，根据所述客户端所在的第一地理位置在网关列表中选择最近的至少两个网关。实际应用中，可对网关列表中的所有网关按照与所述第一地理位置之间的距离由近到远的顺序进行排序，选择排序在前几位的接入网关。

在本发明的一种可选实施例中，所述发送所述接入网关的信息至控制设备之前，所述方法还包括：根据所述身份信息确定对应的QoS参数；所述发送所述接入网关的信息至控制设备，包括：向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和所述QoS参数。其中，所述接入网关的信息可包括接入网关的标识和/或接入网关的地址。

本实施例中，VPN业务管理平台一方面将选取的至少两个接入网关的信息发送至控制设备，另一方面，将相关接入参数也发送至控制设备；其中，所述相关接入参数包括上述QoS参数；所述相关接入参数还可包括以下至少之一：用户标识、IP地址、租户标识、VPN标识。

采用本发明实施例的技术方案，采用SDN控制架构，通过客户端的身份信息和所在的地理位置(即第一地理位置)选择匹配的且最佳的接入网关，满足了多租户、集中化部署场景，解决了该场景下的网关接入选择问题；并且考虑了客户端所在的地理位置，实现了最佳的接入网关的接入。

基于前述实施例，本发明实施例还提供了一种虚拟专用网络接入方法。图5为本发明实施例的虚拟专用网络接入方法的另一种流程示意图；如图5所示，所述方法包括：

步骤301：控制设备接收VPN业务管理平台发送的接入网关的信息。

步骤302：将所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

本实施例中，所述接入网关的信息包括接入网关的标识和/或接入网关的地址。所述接入网关的信息由所述VPN业务管理平台基于客户端的身份信息和地理位置确定。

本实施例中，所述相关接入参数也由所述VPN业务管理平台发送。其中，所述相关接入参数包括上述QoS参数；所述相关接入参数还可包括以下至少之一：用户标识、IP地址、租户标识、VPN标识。进一步地，控制设备分别将所述接入网关的信息和相关接入参数发送至客户端，以使所述客户端根据所述接入网关的信息以及相关接入参数创建与接入网关之间的VPN隧道；将所述相关接入参数发送至所述接入网关，以使所述接入网关根据所述相关接入参数创建与客户端之间的VPN隧道。

在本发明的一种可选实施例中，所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；所述将所述接入网关的信息和相关接入参数发送至客户端，包括：从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一接入网关的信息和相关接入参数发送至客户端。

本实施例中，控制设备从VPN业务管理平台选择的至少两个接入网关的信息中选择一个接入网关的信息，即第一接入网关的信息。实际应用中，控制设备可从至少两个接入网关的信息中选择第一个接入网关的信息作为本实施例中的第一接入网关的信息，将相关接入参数发送至所述第一接入网关。

在本发明的一种可选实施例中，所述方法还包括：控制设备监控所述第一接入网关的状态；当所述第一接入网关处于异常状态时，控制所述客户端与其他接入网关建立VPN隧道，即控制客户端接入其他接入网关。而控制客户端与其他接入网关建立VPN隧道的具体实现方式可参照上述所述，这里不再赘述。

本实施例中，控制设备将相关接入参数中的QoS参数映射成网络转发平面对应的标记，如映射成VPN隧道层CoS以及覆盖(underlay)网络层的CoS或者MPLS标签。

采用本发明实施例的技术方案，采用SDN控制架构，通过客户端的身份信息和所在的地理位置(即第一地理位置)选择匹配的且最佳的接入网关，满足了多租户、集中化部署场景，解决了该场景下的网关接入选择问题；并且考虑了客户端所在的地理位置，实现了最佳的接入网关的接入。

本发明实施例还提供了一种虚拟专用网络接入方法，图6为本发明实施例的虚拟专用网络接入方法的交互流程示意图；如图6所示，所述方法包括：

步骤401：客户端向VPN业务管理平台发送接入认证请求，所述接入认证请求中包括身份信息；

步骤402：VPN业务管理平台对接入认证请求进行合法性认证，在认证通过后，一方面，执行步骤403：向客户端发送认证通过的认证结果；另一方面，执行步骤404：根据身份信息选取网关列表；在网关列表中选择与客户端所在的地理位置最近的两个接入网关。

步骤405：VPN业务管理平台向控制设备发送接入服务请求，所述接入服务请求中包括两个接入网关的信息以及相关接入参数。

步骤406：控制设备分别向接入网关发送第一接入执行请求，向客户端发送第二接入执行请求；所述第一接入执行请求中包括相关接入参数；所述第二接入执行请求中包括接入网关的信息和相关接入参数。

步骤407a：接入网关创建与客户端之间的VPN隧道。

步骤407b：客户端创建与接入网关之间的VPN隧道。

步骤408a：接入网关依据QoS参数实现数据传输。

步骤408b：客户端依据QoS参数实现数据传输。

本实施例中的步骤401至步骤406可参照前述实施例的描述，这里不再赘述。

本实施例中，接入网关接收到相关接入参数时，根据VPN标识判断是否存在VPN上下文，例如是否存在VPN转发表等；若不存在VPN上下文，则创建对应的VPN上下文。

本实施例中，接入网关根据相关接入参数创建VPN隧道，而客户端根据接入网关的信息和相关接入参数创建VPN隧道；实际应用中，接入网关可根据相关接入参数进行VPN隧道的配置参数的配置，客户端根据接入网关的信息和相关接入参数进行VPN隧道的配置参数的配置，从而实现接入网关与客户端之间的VPN隧道的创建。

本实施例中，接入网关进行隧道数据包转发时，依据隧道IP COS值实现不同QoS要求的数据包转发，同时在数据包再封装时复制隧道层和最外层IP COS值，以保证该用户流量的QoS。

本实施例中，为保障对应用户流量QoS，客户端进行数据包封装时将QoS等级值封装在隧道和最外层IP COS字段中。

采用本发明实施例的技术方案，通过客户端携带身份信息进行接入认证，VPN业务管理平台对该用户进行认证，根据身份信息进行合法性认证；认证成功后，根据身份信息中的公司标识、部门标识、区域标识等相关字段信息，从多个不同租户的VPN中匹配到用户对应租户对应的VPN接入信息，例如可包括VPN接入网关地址列表、私网IP地址、QoS参数等；另外再根据客户端所在的地理位置，从对应的VPN接入网关地址列表中选择最优的两个接入网关作为主备的VPN接入网关用于移动用户的VPN接入，构建对应满足QoS要求的VPN隧道。

本发明实施例还提供了一种VPN业务管理平台。图7为本发明实施例的VPN业务管理平台的组成结构示意图；如图7所示，所述VPN业务管理平台包括：第一通讯单元51、确定单元52和决策单元53；其中，

所述第一通讯单元51，用于获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

所述确定单元52，用于基于所述第一通讯单元51获得的所述接入认证请求确定所述客户端所在的第一地理位置；

所述决策单元53，用于基于所述身份信息和所述第一地理位置选择接入网关；

所述第一通讯单元51，还用于发送所述决策单元53选择的所述接入网关的信息至控制设备。

在本发明的一种可选实施例中，所述确定单元52，用于根据所述接入认证请求的IP地址确定所述客户端所在的第一地理位置；或者，根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

在本发明的一种可选实施例中，所述决策单元53，用于根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；基于所述第一地理位置从所述网关列表中选择至少两个接入网关；选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

在本发明的一种可选实施例中，所述身份信息包括：用户标识、区域标识、部门标识、公司标识和国家标识；

所述决策单元53，用于根据所述公司标识和所述国家标识确定租户标识；根据所述部门标识确定租户对应的VPN标识；根据所述租户标识和所述VPN标识匹配对应的网关列表。

在本发明的一种可选实施例中，所述决策单元53，还用于根据所述身份信息确定对应的QoS参数；

所述第一通讯单元51，用于向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括以下至少之一：用户标识、IP地址、接入网关的信息、所述QoS参数。

本发明实施例中，所述VPN业务管理平台中的确定单元52和决策单元53，在实际应用中均可由所述VPN业务管理平台中的中央处理器(CPU，Central Processing Unit)、数字信号处理器(DSP，Digital Signal Processor)、微控制单元(MCU，Microcontroller Unit)或可编程门阵列(FPGA，Field－Programmable Gate Array)实现；所述VPN业务管理平台中的第一通讯单元51，在实际应用中可通过通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。

需要说明的是：上述实施例提供的VPN业务管理平台在进行VPN接入时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将VPN业务管理平台的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的VPN业务管理平台与VPN接入方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本发明实施例还提供了一种控制设备。图8为本发明实施例的控制设备的组成结构示意图；如图8所示，所述控制设备包括：接收单元61和发送单元62；其中，

所述接收单元61，用于接收VPN业务管理平台发送的接入网关的信息；

所述发送单元62，用于将所述接收单元61接收的所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

所述接收单元61，用于接收VPN业务管理平台发送的VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和QoS参数；

所述发送单元62，用于将用户标识、IP地址、接入网关的信息和QoS参数发送至客户端；将用户标识、IP地址和QoS参数发送至所述接入网关。

所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；

所述发送单元62，还用于从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一网关的信息和相关接入参数发送至客户端。

本发明实施例中，所述控制设备中的接收单元61和发送单元62，在实际应用中可通过通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。

需要说明的是：上述实施例提供的控制设备在进行VPN接入时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将控制设备的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的控制设备与VPN接入方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图9为本发明实施例的通信设备的硬件组成结构示意图，如图9所示，通信设备包括存储器72、处理器71及存储在存储器72上并可在处理器71上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例所述的应用于VPN业务管理平台的VPN接入方法的步骤；或者，所述处理器执行所述程序时实现本发明实施例所述的应用于控制设备的VPN接入方法的步骤。

可选地，该通信设备具体可为本申请实施例的VPN业务管理平台，并且该通信设备可以实现本申请实施例的各个方法中由VPN业务管理平台实现的相应流程，为了简洁，在此不再赘述。

可选地，该通信设备具体可为本申请实施例的控制设备，并且该通信设备可以实现本申请实施例的各个方法中由控制设备实现的相应流程，为了简洁，在此不再赘述。

可理解，通信设备中还包括通信接口73。通信设备中的各个组件通过总线系统74耦合在一起。可理解，总线系统74用于实现这些组件之间的连接通信。总线系统74除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图9中将各种总线都标为总线系统74。

可以理解，存储器72可以是易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(ROM，Read Only Memory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM，Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器(FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM，Static Random Access Memory)、同步静态随机存取存储器(SSRAM，Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM，SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM，SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器(DRRAM，Direct Rambus Random Access Memory)。本发明实施例描述的存储器72旨在包括但不限于这些和任意其它适合类型的存储器。

上述本发明实施例揭示的方法可以应用于处理器71中，或者由处理器71实现。处理器71可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器71中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器71可以是通用处理器、DSP，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器71可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本发明实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器72，处理器71读取存储器72中的信息，结合其硬件完成前述方法的步骤。

在示例性实施例中，通信设备可以被一个或多个应用专用集成电路(ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD，ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、FPGA、通用处理器、控制器、MCU、微处理器(Microprocessor)、或其他电子元件实现，用于执行前述方法。

本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例所述的应用于VPN业务管理平台的VPN接入方法的步骤；或者，该程序被处理器执行时实现本发明实施例所述的应用于控制设备的VPN接入方法的步骤。

可选的，该计算机可读存储介质可应用于本申请实施例中的VPN业务管理平台，并且该计算机程序使得计算机执行本申请实施例的各个方法中由VPN业务管理平台实现的相应流程，为了简洁，在此不再赘述。

可选地，该计算机可读存储介质可应用于本申请实施例中的控制设备，并且该计算机程序使得计算机执行本申请实施例的各个方法中由控制设备实现的相应流程，为了简洁，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (19)

1.一种虚拟专用网络VPN接入方法，其特征在于，所述方法包括：

VPN业务管理平台获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

基于所述接入认证请求确定所述客户端所在的第一地理位置；

基于所述身份信息和所述第一地理位置选择接入网关，发送所述接入网关的信息至控制设备。

2.根据权利要求1所述的方法，其特征在于，所述基于所述接入认证请求确定所述客户端所在的第一地理位置，包括：

根据所述接入认证请求的互联网协议IP地址确定所述客户端所在的第一地理位置；或者，

根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

3.根据权利要求1所述的方法，其特征在于，所述基于所述身份信息和所述地理位置选择接入网关，包括：

根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；

基于所述第一地理位置从所述网关列表中选择至少两个接入网关；选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

4.根据权利要求3所述的方法，其特征在于，所述身份信息包括：用户标识、区域标识、部门标识、公司标识和国家标识；

所述根据所述身份信息匹配对应的网关列表，包括：

根据所述公司标识和所述国家标识确定租户标识；

根据所述部门标识确定租户对应的VPN标识；

根据所述租户标识和所述VPN标识匹配对应的网关列表。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述发送所述接入网关的信息至控制设备之前，所述方法还包括：

根据所述身份信息确定对应的服务质量QoS参数；

所述发送所述接入网关的信息至控制设备，包括：

向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和所述QoS参数。

6.一种VPN接入方法，其特征在于，所述方法包括：

控制设备接收VPN业务管理平台发送的接入网关的信息；

将所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

7.根据权利要求6所述的方法，其特征在于，所述控制设备接收VPN业务管理平台发送的接入网关的信息，包括：

所述控制设备接收VPN业务管理平台发送的VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和QoS参数；

所述将所述接入网关的信息和相关接入参数发送至客户端，包括：将用户标识、IP地址、接入网关的信息和QoS参数发送至客户端；

所述将所述相关接入参数发送至所述接入网关，包括：将用户标识、IP地址和QoS参数发送至所述接入网关。

8.根据权利要求6所述的方法，其特征在于，所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；

所述将所述接入网关的信息和相关接入参数发送至客户端，包括：

从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一接入网关的信息和相关接入参数发送至客户端。

9.一种VPN业务管理平台，其特征在于，所述VPN业务管理平台包括：第一通讯单元、确定单元和决策单元；其中，

所述第一通讯单元，用于获得客户端的接入认证请求；所述接入认证请求中包括身份信息；

所述确定单元，用于基于所述第一通讯单元获得的所述接入认证请求确定所述客户端所在的第一地理位置；

所述决策单元，用于基于所述身份信息和所述第一地理位置选择接入网关；

所述第一通讯单元，还用于发送所述决策单元选择的所述接入网关的信息至控制设备。

10.根据权利要求9所述的VPN业务管理平台，其特征在于，所述确定单元，用于根据所述接入认证请求的IP地址确定所述客户端所在的第一地理位置；或者，根据所述接入认证请求携带的位置信息确定所述客户端所在的第一地理位置。

11.根据权利要求9所述的VPN业务管理平台，其特征在于，所述决策单元，用于根据所述身份信息匹配对应的网关列表；所述网关列表中包括至少两个接入网关以及每个接入网关对应的地理位置；基于所述第一地理位置从所述网关列表中选择至少两个接入网关；选择的所述至少两个接入网关的地理位置与所述第一地理位置之间的距离小于所述网关列表中其他接入网关的地理位置与所述第一地理位置之间的距离。

12.根据权利要求11所述的VPN业务管理平台，其特征在于，所述身份信息包括：用户标识、区域标识、部门标识、公司标识和国家标识；

所述决策单元，用于根据所述公司标识和所述国家标识确定租户标识；根据所述部门标识确定租户对应的VPN标识；根据所述租户标识和所述VPN标识匹配对应的网关列表。

13.根据权利要求9至12任一项所述的VPN业务管理平台，其特征在于，所述决策单元，还用于根据所述身份信息确定对应的QoS参数；

所述第一通讯单元，用于向控制设备发送VPN接入服务请求；所述VPN接入服务请求中包括以下至少之一：用户标识、IP地址、接入网关的信息、所述QoS参数。

14.一种控制设备，其特征在于，所述控制设备包括：接收单元和发送单元；其中，

所述接收单元，用于接收VPN业务管理平台发送的接入网关的信息；

所述发送单元，用于将所述接收单元接收的所述接入网关的信息和相关接入参数发送至客户端，将所述相关接入参数发送至所述接入网关，以使所述客户端和所述接入网关之间建立VPN隧道。

15.根据权利要求14所述的控制设备，其特征在于，所述接收单元，用于接收VPN业务管理平台发送的VPN接入服务请求；所述VPN接入服务请求中包括：用户标识、IP地址、接入网关的信息和QoS参数；

所述发送单元，用于将用户标识、IP地址、接入网关的信息和QoS参数发送至客户端；将用户标识、IP地址和QoS参数发送至所述接入网关。

16.根据权利要求14所述的控制设备，其特征在于，所述接入网关的信息包括所述VPN业务管理平台选择的至少两个接入网关的信息；

所述发送单元，还用于从所述至少两个接入网关的信息中确定第一接入网关的信息，将所述第一接入网关的信息和相关接入参数发送至客户端。

17.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1至5任一项所述方法的步骤；或者，

该程序被处理器执行时实现权利要求6至8任一项所述方法的步骤。

18.一种VPN业务管理平台，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至5任一项所述方法的步骤。

19.一种控制设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求6至8任一项所述方法的步骤。

Images