CN114039949B - 云服务浮动ip绑定方法及系统 - Google Patents

Abstract

本发明公开一种云服务浮动IP绑定方法及系统，方法包括VPN客户端进行VPN拨号，分配内网IP地址；通过公网VPN连接到VPN服务端，以使VPN服务端通过NAT将内网IP地址转发到VPN客户端地址；将VPN客户端地址通过NAT分配到公网内主机。本发明可实现给内网云主机分配公网IP，解决了内网主机访问公网的问题，可适应于某些需要内网主机直接通过公网IP访问对应网站的场景，方便后续进行溯源操作。

Description

云服务浮动IP绑定方法及系统

技术领域

本发明涉及通信技术领域，具体涉及一种云服务浮动IP绑定方法及系统。

背景技术

如图1所示，传统的云云服务主要通过SNAT和DNAT进行网络分配，包括平台为虚拟机网卡分配内网地址，以及平台通过SNAT将平台有的公网地址转发到内网地址中。这种分配方法可以将宿主网关本身的IP分配到对应的虚拟主机中，但是无法分配多层网络，或者远端机房的IP地址。

相关技术中，申请号为201811526821.3的发明专利申请公开了一种基于云主机进行跨网服务访问的方法，该方法包括如下步骤：1、获得拥有固定外网IP地址的云主机；2、在云主机上搭建VPN及网络服务访问代理工具；3、配置VPN用户拥有固定的拔号IP地址，并配置网络服务访问代理的映射关系；4、内网提供跨网服务的主机上拔通VPN，直接分配固定的IP，并与云主机建立固定的关联；5、外网通过云主机访问内网的服务，由代理工具跳转到内网服务上，从而实现外网通过云主机进行跨网服务访问。

该方法解决的是外部主机访问本地内网IP的问题，且客户端需要拨通公网的VPN才能够进行后续操作，无法解决内网主机访问外网的问题。

发明内容

本发明所要解决的技术问题在于如何解决内网主机访问外网的问题。

本发明通过以下技术手段实现解决上述技术问题的：

采用一种云服务浮动IP绑定方法，云服务器内配置有与本地VPN客户端相同数量的VPN服务端，所述方法包括：

所述VPN客户端进行VPN拨号，分配内网IP地址；

通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址转发到所述VPN客户端地址；

将所述VPN客户端地址通过NAT分配到公网内主机。

本发明可实现给内网云主机分配公网IP，解决了内网主机访问公网的问题，可适应于某些特殊的场景内(如渗透测试)，需要内网主机直接通过公网IP访问对应网站，方便后续进行溯源操作。

进一步地，所述方法还包括：

所述VPN客户端进行VPN拨号，将所述内网IP地址分配到DOCKER中，所述DOCKER由所述VPN客户端开启；

相应地，所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

进一步地，所述方法还包括：

所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。

另一方面，采用一种云服务浮动IP绑定系统，所述系统包括：

VPN拨号模块，用于通过所述VPN客户端进行VPN拨号，分配内网IP地址；

第一地址分配模块，用于通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址转发到所述VPN客户端地址；

第二地址分配模块，用于将所述VPN客户端地址通过NAT分配到公网内主机。

进一步地，所述VPN拨号模块还用于将所述内网IP地址分配到DOCKER中，所述DOCKER由所述VPN客户端开启；

相应地，所述第二地址分配模块还用于使所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

进一步地，所述系统还包括：

访问模块，用于所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

转发模块，用于所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。

本发明的优点在于：

(1)本发明可实现给内网云主机分配公网IP，解决了内网主机访问公网的问题。

(2)内网主机开启DOCKER，平台将内网IP地址分配到DOCKER中，并在DOCKER内配置NAT，将流量转发至公网，避免影响内网主机上的其他服务运行，以及方便集中管理。

(3)本发明可解决公网主机访问内网的问题。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

图1是本发明背景技术提及的传统浮动IP分配示意图；

图2是本发明实施例一中云服务浮动IP绑定方法的流程图；

图3是本发明实施例一中浮动IP分配示意图；

图4是本发明实施例二中云服务浮动IP绑定系统的结构图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图2所示，本发明实施例公开了一种云服务浮动IP绑定方法，云服务器内配置有与本地VPN客户端相同数量的VPN服务端，所述方法包括：

S10、所述VPN客户端进行VPN拨号，分配内网IP地址；

S20、通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址转发到所述VPN客户端地址；

S30、将所述VPN客户端地址通过NAT分配到公网内主机。

需要说明的是，NAT分配包括SNAT分配以及DNAT分配。

本实施例方案跟传统的浮动IP分配技术(如图1所示)相比，通过公网VPN接入外网或者其他内网的主机，来达到分配公网IP地址的功能，可以实现多层云嵌套下的IP地址分配需求，以及给内网云主机分配公网IP的需求。可适应于某些特殊的场景内(如渗透测试)，需要内网主机直接通过公网IP访问对应网站，方便后续进行溯源操作。

在一些实施例中，所述方法还包括：

所述VPN客户端进行VPN拨号，将所述内网IP地址分配到DOCKER中，所述DOCKER由所述VPN客户端开启；

相应地，所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

需要说明的是，VPN客户端开启DOCKER，将内网IP地址分配到DOCKER中，并在DOCKER内配置NAT，将流量转发至公网，避免影响主机上的其他服务运行，以及方便集中管理。

在一些实施例中，所述方法还包括：

所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。

需要说明的是，本实施例除了实现内网主机访问公网，还可以实现公网主机访问内网，公网访问内网是先通过访问公网分配的IP地址，公网的NAT将流量转发到VPN的IP地址上，VPN的IP收到流量后，将流量转发到内网主机当中。

本实施例中，内网主机访问公网，以及公网主机访问内网的通信示意图参见图3，云服务器访问外网的流程为：云服务器寻找默认路由到内网网关，内网网关通过路由表将对应来源IP主机的数据包分配到对应的VPN客户端DOCKER主机当中，DOCKER主机通过SNAT将地址转发到VPN网卡上，VPN网卡通过路由以及VPN隧道通信到公网VPN上，公网VPN上再通过SNAT将数据包转发到公网中。

外网服务器访问云服务器的流程为：客户访问公网IP，公网VPN通过DNAT识别数据包的目的IP，将对应的数据包下发给VPN客户端，VPN客户端再通过DNAT将对应数据包下发到目的的云服务器当中。

在一些实施例中，还可以通过利用socket代理(redsocks等工具)来实现SNAT的功能，利用V2ray的技术可以实现DNAT以及SNAT，V2ray技术以及Redsocks技术和VPN技术的流程基本一致，将VPN技术替换成V2ray一类的sockes代理，将NAT替换为NAT+Redsocks即可。

以下通过一具体示例对本实施例中的浮动IP分配过程进行说明：

假设公司A需要在公网上提供10个IP地址运行不同的服务，但是由于预算运营商原因，只能给A公司提供到1个动态的IP地址，于是A公司在阿里云上购买了10个IP地址，由于与安全的原因无法使用阿里云的云服务功能，需要将本地的服务器转发到公网上。那么可以通过本实施例方案来进行配置，具体如下：

本地启动一台VPN客户端，在阿里云服务器内配置VPN服务端。本地VPN客户端开启DOCKER进行VPN拨号，并分配内网IP到DOCKER当中。内网云服务器指定网关到VPN客户端。客户端根据服务器来源不同，通过路由表将流量分配到不同DOCKER当中，最后Docker内配置SNAT与DNAT，将流量转发到公网当中。

如图4所示，本实施例公开了一种云服务浮动IP绑定系统，所述系统包括：

VPN拨号模块10，用于通过所述VPN客户端进行VPN拨号，分配内网IP地址；

第一地址分配模块20，用于通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址转发到所述VPN客户端地址；

第二地址分配模块30，用于将所述VPN客户端地址通过NAT分配到公网内主机。

在一些实施例中，所述VPN拨号模块还用于将所述内网IP地址分配到DOCKER中，所述DOCKER由所述VPN客户端开启；

相应地，所述第二地址分配模块还用于使所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

在一些实施例中，所述系统还包括：

访问模块，用于所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

转发模块，用于所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。

本实施例中，本实施例通过公网VPN接入外网或者其他内网的主机，来达到分配公网IP地址的功能，可以实现多层云嵌套下的IP地址分配需求，以及给内网云主机分配公网IP的需求。可适应于某些特殊的场景内(如渗透测试)，需要内网主机直接通过公网IP访问对应网站，方便后续进行溯源操作。并且通过开启DOCKER，避免影响主机上的其他服务运行，以及方便集中管理。

需要说明的是，在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，“计算机可读介质”可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (6)

1.一种云服务浮动IP绑定方法，其特征在于，云服务器内配置有与本地VPN客户端相同数量的VPN服务端，所述方法包括：

所述VPN客户端进行VPN拨号，分配内网IP地址到DOCKER中，所述DOCKER由所述VPN客户端开启；

通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址从所述DOCKER内转发到所述VPN客户端地址；

在所述DOCKER内配置NAT将所述VPN客户端地址分配到公网内主机。

2.如权利要求1所述的云服务浮动IP绑定方法，其特征在于，所述方法还包括：

所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

3.如权利要求1所述的云服务浮动IP绑定方法，其特征在于，所述方法还包括：

所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。

4.一种云服务浮动IP绑定系统，其特征在于，所述系统包括：

VPN拨号模块，用于通过所述VPN客户端进行VPN拨号，分配内网IP地址到DOCKER中，所述DOCKER由所述VPN客户端开启；

第一地址分配模块，用于通过公网VPN连接到所述VPN服务端，以使所述VPN服务端通过NAT将所述内网IP地址从所述DOCKER中转发到所述VPN客户端地址；

第二地址分配模块，用于在所述DOCKER内配置NAT将所述VPN客户端地址分配到公网内主机。

5.如权利要求4所述的云服务浮动IP绑定系统，其特征在于，所述第二地址分配模块还用于使所述VPN客户端通过路由表将所述客户端地址分配到对应的所述DOCKER中，以在所述DOCKER内配置NAT，将所述客户端地址转发至所述公网内主机。

6.如权利要求4所述的云服务浮动IP绑定系统，其特征在于，所述系统还包括：

访问模块，用于所述公网访问所述公网分配的IP地址，通过NAT将流量转发到所述VPN服务端的IP地址上；

转发模块，用于所述VPN服务端的IP地址收到流量后，将流量转发到所述内网中的所述VPN客户端。