CN112532505A

CN112532505A - 基于sd-wan的局域网间通信方法、装置、可读存储介质及控制设备

Info

Publication number: CN112532505A
Application number: CN202011388411.4A
Authority: CN
Inventors: 刘聪培; 吴澳
Original assignee: Changsha Tongxun Computer Technology Co ltd
Current assignee: Changsha Tongxun Computer Technology Co ltd
Priority date: 2020-12-01
Filing date: 2020-12-01
Publication date: 2021-03-19

Abstract

本发明公开了一种基于SD‑WAN的局域网间通信方法、装置、可读存储介质及控制设备，所述方法包括：对预先接入SD‑WAN控制器的CPE和POP分组；检测两台分支CPE设备是否均为私网IP，若否，则CPE之间互访，隧道流量通过与POP进行互通，POP点根据线路质量等级进行路由转发至相应端口；若是，则发起端CPE设备向SD‑WAN控制器获取接收端CPE的网络信息，向接收端CPE发起直连请求；若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连；若接收端CPE未收到请求，则任意一方的CPE向SD‑WAN控制器发送申请，要求其协助完成直连请求。本发明能够解决不同局域网通信连接时，传输速度慢、通信稳定性低、安全风险高的问题。

Description

基于SD-WAN的局域网间通信方法、装置、可读存储介质及控制设备

技术领域

本发明涉及网络通信技术领域，特别是涉及一种基于SD-WAN的局域网间通信方法、装置、可读存储介质及控制设备。

背景技术

世界范围内的互联网是由一个个彼此隔离的小的局域网组成的，不同的局域网主机之间需要通过网络地址转换（Network Address Translation，NAT）机制进行通信，此机制的问题在于，NAT设备自动屏蔽了非内网主机主动发起的连接，也就是说，从外网发往内网的数据包将被NAT设备丢弃，这使得位于不同NAT设备之后的主机之间无法直接交换信息。为P2P通信带来了一定困难。

目前主流解决方案是通过虚拟专用网（Virtual Private Network，VPN）在通信双方之间建立虚拟专用通道实现通信的。

现有的VPN的缺陷有如下几点：

1.使用传统的VPN时，数据总是需要封装和解密，传输速度较慢，时延较高。

2.VPN的兼容性不足，容易与用户主机上安装的其他的软件冲突，导致影响业务，且冲突不可预知。

3.通常VPN只有1台服务器，无备份。如果出现故障，存在较高的业务中断风险。

4.VPN通常是根据用户现有的网络结构进行对应配置，只能适用于单一不变的网络环境。

5.VPN配置管理复杂，需要专业的网络技术人员进行业务开通，人力物力耗费较高。

不同分支的VPN之间是独立存在的，缺少统一的管理权限，企业安全风险随之增高。

发明内容

为此，本发明的一个实施例提出一种基于SD-WAN的局域网间通信方法，以解决不同局域网通信连接时，传输速度慢、通信稳定性低、安全风险高的问题。

根据本发明一实施例的基于SD-WAN的局域网间通信方法，所述方法包括：

对预先接入SD-WAN控制器的CPE和POP分组；

检测两台分支CPE设备是否均为私网IP，若否，则CPE之间互访，隧道流量通过与POP进行互通，POP点根据线路质量等级进行路由转发至相应端口；若是，则

发起端CPE设备向SD-WAN控制器获取接收端CPE的网络信息，向接收端CPE发起直连请求，其中，所述网络信息包括接收端CPE的WAN口IP 以及接收端CPE控制信令的出口公网IP/端口；

若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连；若接收端CPE未收到请求，则

任意一方的CPE向SD-WAN控制器发送申请，要求其协助完成直连请求。

在其中一个实施例中，所述发起端CPE设备向SD-WAN控制器获取接收端CPE的网络信息，向接收端CPE发起直连请求的步骤具体包括：

发起端CPE设备向接收端CPE的WAN口IP地址A发送直连请求，若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连；若否，则

发起端CPE设备向接收端CPE的的广域网IP地址B发送直连请求，若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连；若否，则

在其中一个实施例中，所述任意一方的CPE向SD-WAN控制器发送申请，要求其协助完成直连请求具体包括：

D-WAN控制器接收CPE发送的请求；

SD-WAN控制器同时向两端的CPE发起NAT穿透，分别向两端CPE发送接收端CPE控制信令的出网公网IP/端口消息；

两端CPE接收SD-WAN控制器的消息，向接收端CPE控制信令的出口公网IP/端口发起NAT穿透消息。

在其中一个实施例中，所述SD-WAN控制器同时向两端的CPE发起NAT穿透，分别向两端CPE发送接收端CPE控制信令的出网公网IP/端口消息的步骤包括：

SD-WAN控制器向接收端CPE发送直连请求，请求消息内容包括发起端CPE的身份ID，发起端CPE的公网可见IP和udp端口；

SD-WAN控制器向发起端CPE发送直连请求，请求消息内容包括接收端CPE的身份ID，接收端CPE的公网可见IP和udp端口。

在其中一个实施例中，所述两端CPE接收SD-WAN控制器的消息，向接收端CPE控制信令的出口公网IP/端口发起NAT穿透消息的步骤包括：

发起端CPE和接收端CPE中的任意一CPE检查对端身份ID是否在自己的成员表里，消息里的目标身份ID是否与自身匹配，不匹配则丢弃，否则回复消息给另一端CPE，消息内容包括：a)本端隧道ID、会话ID，b)本端是否支持消息加密、压缩，c)两端的身份ID。

本发明的另一个实施例提出一种基于SD-WAN的局域网间通信装置，所述装置包括：

SD-WAN控制器，提供虚拟化网络设备2-7层协议管理，管理隧道建连、路由优选以及协议分流技术提供Qos控制；

POP模块，用于分配隧道IP网段，SDWAN管理上填写SD-WAN控制器的通信地址(IP+端口)和服务ID、Token后即可上线，POP通过ICMP心跳和控制器保活；

CPE模块，用于填写SD-WAN控制器的通信地址。

本发明的另一个实施例还提出一种可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述方法的步骤。

本发明的另一个实施例还提出一种控制设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述方法的步骤。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实施例了解到。

发明通过两台CPE之间的直连，对比VPN通信需要中转的情况，传输速度更快，时延更低。

（2）本发明通过SD-WAN控制器控制分支CPE设备，无需安装客户端软件，减少与用户其他软件之间的兼容性问题。

（3）本发明的每个POP点就相当于一个备份服务器，即使一个POP出现故障，其他的POP点也能承担通信作用，降低了业务中断风险。

（4）本发明的分支CPE设备可以灵活部署在企业内网中，无需改变现有网络结构，适用多种网络环境。

（5）本发明的分支CPE设备仅需通过SD-WAN控制器配置，客户无需手动配置，成本较低。

（6）本发明的SD-WAN控制器能有效控制分支CPE设备，支持统一管理，安全风险低。

附图说明

本发明实施例的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本发明第一实施例的基于SD-WAN的局域网间通信方法的流程图；

图2是CPE之间进行P2P打洞NAT穿透直连的步骤流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，本发明第一实施例提出的基于SD-WAN的局域网间通信方法，对预先接入SD-WAN控制器的CPE和POP分组。其中，SD-WAN控制器是指能实现各CPE设备统一管控的软件管理平台。CPE（ Customer Premises Equipment，客户端设备）是指位于用户端的网络终端设备，用于与运营商对接服务，是网络解决方案的重要组成部分，通常是路由器、防火墙或者路由安全一体机等设备。

检测两台分支CPE设备是否均为私网IP，若否，则CPE之间互访，隧道流量通过与POP进行互通，POP点根据线路质量等级进行路由转发至相应端口；若是，则发起端CPE设备向SD-WAN控制器获取接收端CPE的网络信息，向接收端CPE发起直连请求，其中，所述网络信息包括接收端CPE的WAN口IP 以及接收端CPE控制信令的出口公网IP/端口。其中，pop点(point-of-presence) ，即入网点，是企业局域网与广域网进行数据交互的中转站，一个POP点下可能包含有若干个局域网。WAN口IP即运营商分配的运营商局域网 IP，并非公网 IP。

依照本发明的方法。多台在不同局域网环境下的CPE，通过NAT穿透技术，突破局域网环境的限制，实现CPE间的数据互联互通，无需通过POP点进行数据中转。能有效降低SD-WAN数据业务的时延与POP点带宽成本。通过两台CPE之间的直连，对比VPN通信需要中转的情况，传输速度更快，时延更低。

本发明通过SD-WAN控制器控制分支CPE设备，无需安装客户端软件，减少与用户其他软件之间的兼容性问题。

本发明的每个POP点就相当于一个备份服务器，即使一个POP出现故障，其他的POP点也能承担通信作用，降低了业务中断风险。

本发明的分支CPE设备可以灵活部署在企业内网中，无需改变现有网络结构，适用多种网络环境。

本发明的分支CPE设备仅需通过SD-WAN控制器配置，客户无需手动配置，成本较低。

本发明的SD-WAN控制器能有效控制分支CPE设备，支持统一管理，安全风险低。

发起端CPE设备向接收端CPE的WAN口IP地址A发送直连请求，若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连。

若否，则发起端CPE设备向接收端CPE的的广域网IP地址B发送直连请求，若接收端CPE收到请求，则向发起者返回ACK消息，完成CPE间直连。其中，一般CPE部署于局域网内，WAN口IP地址A不等于广域网IP地址B。

若否，则任意一方的CPE向SD-WAN控制器发送申请，要求其协助完成直连请求。

D-WAN控制器接收CPE发送的请求；

SD-WAN控制器，提供虚拟化网络设备2-7层协议管理，管理隧道建连、路由优选以及协议分流技术提供Qos控制。在一个具体的实施例中，SD-WAN控制器可选用神行者SD-WAN控制器。该控制器是基于云SDN技术的一套虚拟链路管理与服务平台，控制器负责管理所有POP点和CPE设备，提供虚拟化网络设备2-7层协议管理；管理隧道建连、路由优选以及协议分流技术提供Qos控制以及服务质量保证，对云平台系统透明；同时提供实时 SLA 保证、展示与监控。

CPE模块，用于填写SD-WAN控制器的通信地址。

通过部署节点，CPE根据互联网延时选择最优POP接入点，同时通过独有的路由优选技术，选择最优的路线，使数据传输效率大大提升。

其中，SDWAN基础模块构成及工作过程包括：

企业管理：企业总部分支管理；

POP管理：POP点状态、线路管理；

CPE管理：CPE参数配置、CPE状态、CPE组网配置管理；

链路拓扑：链路管理、组网拓扑图；

VBR上云：用于POP透传VLAN，接入专线使用；

告警管理：配置CPE和POP点监控告警参数；

用户权限管理：分配用户组和用户权限；

设备接入过程包括：

控制器添加POP:在SD-WAN控制器创建一条POP设备记录，填入POP点线路IP保存后会生成POP 的服务ID 和 Token。

POP接入：POP分配隧道IP网段，SDWAN管理上填写SD-WAN控制器的通信地址(IP+端口)和服务ID、Token后即可上线，POP通过ICMP心跳和控制器保活后即可上线。

CPE接入：CPE设备上填写SD-WAN控制器的通信地址(IP+端口)。

设备通信：CPE、POP在网时，会向SD-WAN控制器发送请示接入信息，CPE与POP、控制器建立双udp心跳保活。

注册CPE：在SD-WAN控制器CPE未注册设备列表通过UUID找到与相关CPE对应的列表记录，点击开通即可。

CPE、POP分组过程包括：

SD-WAN控制器管理界面：创建企业、部门

CPE部分：1.把相关CPE划分到某企业某部门；2.把CPE 设置为中心节点或分支节点。

POP部分：把相关POP添加到某企业某部门。其中一个CPE只能归属到一个企业的一个部门，一个POP可以归属到多个企业、多个部门，一个企业部门有多个CPE、多个POP。

CPE、POP 路由选路过程包括

某企业一份完整的隧道建立流程：该CPE全部注册完成后，会就近延时选择企业权限下POP建立连接，控制器通知POP给该企业所有隧道封装一个唯一标识（企业ID）；

SD-WAN控制器管理界面为该企业每个CPE 添加内网网段，各分支CPE内网互通，进入隧道的流量会被封装成企业ID+数据包的形式，POP点根据企业ID和线路等级搜寻目标路由抵达对端CPE。

CPE中转直连过程包括：

1.CPE中转：CPE之间互访，隧道流量通过与POP进行互通，POP点根据线路质量等级进行路由转发至相应端口。

CPE直连：当直连打开，CPE之间与POP点建立隧道成功之后，控制器会下发指令，让CPE之间进行P2P打洞NAT穿透，建立直连通道，直连隧道通过UDP心跳保活。

CPE基础模块包括：

监控中心：查看内网流量、TOP用户排行、TOP流量排行、连接会话快照等；

网络管理：配置LAN、WAN、SDWAN参数等；

路由管理：静态路由、策略路由管理等；

DHCP设置：LANDHCP服务配置；

行为管理：HTTP黑白名单管控；

日志管理：日志记录、上网日志；

功能中心：SNMP、DDNS、HA主备等；

系统管理：备份还原、系统升级、服务重启、用户管理等；

系统工具：PING检测、时间配置、恢复出厂等。

此外，本发明的实施例还提出一种控制设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述方法的步骤。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备（如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统）使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，“计算机可读介质”可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。

计算机可读介质的更具体的示例（非穷尽性列表）包括以下：具有一个或多个布线的电连接部（电子装置），便携式计算机盘盒（磁装置），随机存取存储器（RAM），只读存储器（ROM），可擦除可编辑只读存储器（EPROM或闪速存储器），光纤装置，以及便携式光盘只读存储器（CDROM）。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列（PGA），现场可编程门阵列（FPGA）等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、 “示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims

1.一种基于SD-WAN的局域网间通信方法，其特征在于，所述方法包括：

对预先接入SD-WAN控制器的CPE和POP分组；

2.根据权利要求1所述的基于SD-WAN的局域网间通信方法，其特征在于，所述发起端CPE设备向SD-WAN控制器获取接收端CPE的网络信息，向接收端CPE发起直连请求的步骤具体包括：

3.根据权利要求1所述的基于SD-WAN的局域网间通信方法，其特征在于，所述任意一方的CPE向SD-WAN控制器发送申请，要求其协助完成直连请求具体包括：

D-WAN控制器接收CPE发送的请求；

4.根据权利要求3所述的基于SD-WAN的局域网间通信方法，其特征在于，所述SD-WAN控制器同时向两端的CPE发起NAT穿透，分别向两端CPE发送接收端CPE控制信令的出网公网IP/端口消息的步骤包括：

5.根据权利要求4所述的基于SD-WAN的局域网间通信方法，其特征在于，所述两端CPE接收SD-WAN控制器的消息，向接收端CPE控制信令的出口公网IP/端口发起NAT穿透消息的步骤包括：

6.一种基于SD-WAN的局域网间通信装置，其特征在于，所述装置包括：

CPE模块，用于填写SD-WAN控制器的通信地址。

7.一种可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-4任意一项所述的方法。

8.一种控制设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4任意一项所述的方法。