CN115277308B - 云资源池sslvpn设备部署方法和装置 - Google Patents

Abstract

本公开涉及一种云资源池SSLVPN设备部署方法和装置，该方法包括：创建防火墙资源池，该防火墙资源池包括可使其与公共网络进行联通的GLOBAL1；创建SSLVPN独立资源池，该SSLVPN独立资源池包括可使其与公共网络进行联通的GLOBAL2系统；创建VPC，在接收到用户VPC申请后创建VPC1以及在防火墙资源池中创建VR1，并将VPC1编排在VR1上，以使VPC1能够与公共网络进行通讯；创建SSLVPN，在接收到用户SSLVPN申请后查询SSLVPN独立资源池，当SSLVPN独立资源池存在空闲SSLVPN资源时在SSLVPN独立资源池创建VR2，并在VR2上创建SSLVPN1，以及分配SSLVPN1的IP地址为IP1；创建隧道，在防火墙资源池的GLOBAL1系统与SSLVPN独立资源池之间GLOBAL2系统之间建立隧道，以实现建立在VR1上的VPC1与建立在SSLVPN独立资源池中的SSLVPN1之间的通讯。

Description

云资源池SSLVPN设备部署方法和装置

技术领域

本公开涉及云计算服务技术领域，具体而言，涉及一种云资源池SSLVPN设备部署方法和装置。

背景技术

随着云计算业务的发展，当前面向大众的公有云一般至少提供公网IP服务、安全组、VPC(Virtual Private Cloud，虚拟私有云)、网络与子网、虚拟路由器、虚拟防火墙、虚拟负载均衡、IPSec VPN、SSLVPN、VNAT网关等各类网络服务，用户可根据业务得实际需求订购各类网络及安全业务。在用户订购业务后，后台SDN(Software Defined Network，软件定义网络)编排系统根据用户的订购业务的情况，将用户订购的业务编排到具体的网元上，为用户提供快速部署的、可伸缩的业务能力。

虚拟路由器、虚拟防火墙、IPSec VPN、SSLVPN、VNat网关等各类网络服务如何编排是SDN的一个关键问题。实际编排中，可以考虑将相关业务承载在一个集中网元上，也可以考虑将不同网络服务编排到不同的网元上。比如，从简化编排难度的角度考虑，可以将网络服务使用一个虚拟防火墙承载，即虚拟路由器、虚拟防火墙、IPSec VPN、SSLVPN、VNAT都承载一个虚拟系统中，租户流量从SDN网关引流到对应的虚拟系统中，在虚拟系统中做完安全业务(通过内部通道绕行到GLOBAL防火墙系统转发)，然后通过GLOBAL防火墙系统与公共网络互联互通。

上述网络服务编排方法将相关网络业务编排在同一个虚拟系统中，所有相关业务都在该虚拟系统完成，即在一个虚拟系统中同时承载虚拟路由器、虚拟防火墙、IPSecVPN、SSLVPN、VNAT等相关网络服务。而虚拟路由器、虚拟防火墙、VPN、VNAT等存在的规格不对等现象会导致出现某类资源耗尽其他资源无法分配的问题。各类安全资源共享同一套硬件，各资源的消耗相互影响，很难发挥各自的最大性能。

因此，需要一种可克服SSLVPN规格不对等导致的SSLVPN性能受限提升的云资源池SSLVPN设备部署方法和装置。

发明内容

有鉴于此，本公开提供一种云资源池SSLVPN设备部署方法和装置。根据本公开的一方面，提出一种云资源池SSLVPN设备部署方法，该方法包括：创建防火墙资源池，所述防火墙资源池包括GLOBAL1，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；创建VPC，在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；创建SSLVPN，在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；创建隧道，在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

根据本公开的云资源池SSLVPN设备部署方法，其还包括：在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道时，采用GRE隧道。

根据本公开的云资源池SSLVPN设备部署方法，其中，在建立所述GRE隧道时，获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

根据本公开的云资源池SSLVPN设备部署方法，其还包括：在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其的出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

根据本公开的云资源池SSLVPN设备部署方法，其还包括：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

根据本公开的云资源池SSLVPN设备部署方法，其还包括：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

根据本公开的另一方面，提出一种云资源池SSLVPN设备部署装置，该装置包括：防火墙资源池创建组件，用于创建防火墙资源池，所述防火墙资源池包括GLOBAL1，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；SSLVPN独立资源池创建组件，用于创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；VPC创建组件，用于在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；SSLVPN创建组件，用于在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；隧道创建组件，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

根据本公开的云资源池SSLVPN设备部署装置，其中所述隧道创建组件还包括：GRE隧道创建组件，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道时，采用GRE隧道。

根据本公开的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件在建立所述GRE隧道时，还包括：Underlay IP地址获取组件，用于获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；防火墙资源池端GRE隧道创建组件，用于在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；SSLVPN独立资源池端GRE隧道创建组件，用于在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

根据本公开的云资源池SSLVPN设备部署装置，其还包括：SSLVPN独立资源池端路由下发组件，用于在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其的出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；防火墙资源池路由下发组件，用于获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

根据本公开的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件还用于：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

根据本公开的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件还用于：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

综上，采用本公开的云资源池SSLVPN设备部署方法和装置，将SSLVPN编排到独立的公共资源池中，之后通过GRE隧道的建立以及将GRE隧道与虚拟系统进行关联实现SSLVPN的独立部署。通过部署专用设备的方式，提高了SSLVPN并发及转发性能，解决了SSLVPN规格不对等资源不匹配带来的SSLVPN性能提升受限问题。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。

附图说明

通过参照附图详细描述其示例实施例，本申请的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1所示的是根据本公开实施例的云资源池SSLVPN设备部署方法的流程示意图。

图2所示的是根据本公开实施例的云资源池SSLVPN设备部署方法的应用场景图。

图3所示的根据本公开实施例的云资源池SSLVPN设备部署装置的原理示意图。

图4所示的是根据本公开实施例的云资源池SSLVPN设备部署装置中的隧道创建组件310的原理示意图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、系统、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的，因此不能用于限制本公开的保护范围。

本公开实施例涉及专业术语如下：

GRE(Generic Routing Encapsulation，通用路由封装)协议是对某些网络层协议的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议中传输；

GRE Tunnel，每一条GRE配置都对应一个三层虚拟接口；

VPN(Virtual Private Network)，即虚拟专用网；

SSLVPN(Security Socket Layer-VPN，基于安全套接字层协议SSL的VPN)，是以SSL协议为安全基础的VPN远程接入技术，移动办公人员(在SSLVPN中被称为远程用户)使用SSLVPN可以安全、方便的接入企业内网进行企业内网资源的访问；

VPC(virutal private cloud)，指云上的虚拟私有网络。

Overlay网络，层叠网络，指在基础网络基础上构架的租户网络；

Underlay网络，与Overlay网络对应，即基础网络各租户共享的公共网络。

FW(Fire Wall)，即防火墙；

VR(Virtual Router)，即虚拟路由。

根据本公开实施例的云资源池SSLVPN设备部署方法和装置，将SSL VPN编排到独立的公共资源池中，以解决SSLVPN规格不对等、SSLVPN性能无法有效提升的问题。

图1所示的是根据本公开实施例的云资源池SSLVPN设备部署方法的流程示意图，如图1所示，在步骤S102中，创建防火墙资源池，所述防火墙资源池包括GLOBAL1，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；

在步骤S104中，创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；

在步骤S106中，创建VPC，在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；

在步骤S108中，创建SSLVPN，在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；

在步骤S110中，创建隧道，在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

根据本公开实施例的云资源池SSLVPN设备部署方法，其还包括：在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道时，采用GRE隧道。

根据本公开实施例的云资源池SSLVPN设备部署方法，其中，在建立所述GRE隧道时，获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

根据本公开实施例的云资源池SSLVPN设备部署方法，其还包括：在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其的出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

根据本公开实施例的云资源池SSLVPN设备部署方法，其还包括：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

根据本公开实施例的云资源池SSLVPN设备部署方法，其还包括：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

图2所示的是根据本公开实施例的云资源池SSLVPN设备部署方法的应用场景图。如图2所示，根据本公开实施例的云资源池SSLVPN设备部署方法，通过在防火墙的公共系统(GLOBAL-vFW0)中创建起GRE隧道，将SSLVPN独立资源池中的SSLVPN实例(SSLVPN1)与编排在防火墙上的租户虚拟路由(vR1_1)直接互联起来，解决SSLVPN部署到独立资源池的问题。更具体的，如图2所示，详细部署方法如下：

S1：在租户申请VPC网络后，编排系统将为租户创建的VPC编排在vR1_1，此时用户可以正常上网。

S2：租户申请SSLVPN，编排系统发现存在独立SSLVPN资源，编排系统就将SSLVPN服务编排在独立SSLVPN的资源上，具体编排过程如下：

S21：编排系统发现存在独立SSLVPN资源SSLVPN对1且SSLVPN资源池SSLVPN对1中存在剩余的SSLVPN资源时，创建vR1_1并在vR1_1上创建SSLVPN1，并分配SSLVPN1的服务IP为：3.3.3.1。

S22：编排系统读取防火墙对1上的GLOBAL-vFW0系统上的Underlay的IP地址，假设地址IP1为1.1.1.1，以及SSLVPN对1上的Underlay的IP地址，假设地址IP2为2.2.2.1。

S23：编排系统读取两个Underlay IP(1.1.1.1、2.2.2.1)后，在SSLVPN对1上创建GRE隧道及GRE Tunnel的隧道口，GRE Tunnel的隧道口假定为Tunnel1，并将Tunnel1编排到vR1_1上，该GRE隧道的源IP/目的IP即为1.1.1.1/2.2.2.1；在防火墙对1上GRE创建过程参考在SSLVPN对1创建GRE的过程，并假定在防火墙对1上的所创建的GRE的隧道口为Tunnel2(也可以为其它值比如Tunnel1，两个互不影响)，并将Tunnel2绑定在防火墙对1中的vR1_1上。

S24：GRE隧道创建完成后，编排系统下发默认路由或策略路由，使得所有SSLVPN1解封装之后的流量的出接口为Tunnel1，这样SSLVPN1解封装之后的流量即可通过GRE隧道到达vR1_1上，在完成其它的安全业务后，经过虚拟路由器的转发到达租户的Overlay的网络；编排系统读取SSLVPN1的SSLVPN地址池，假设SSLVPN1的地址池建设为192.168.1.0/24，在防火墙对1的系统中下发默认路由或策略路由，使得192.168.1.0/24的路由至Tunnel2，这样从租户侧回程的SSLVPN流量即可通过GRE隧道的封装转发至SSLVPN1上。

经过上述的云资源池SSLVPN设备部署后，针对北南走向流量，SSLVPN封装的流量(目的IP流量为3.3.3.1)到达SSLVPN对1后，经公共系统GLOBAL-vsys0达到vR1_1，解封装后源IP为SSLVPN1地址池的地址192.168.1.0/24，目的IP为租户内网服务器的地址，通过默认路由转发至Tunnel1，在Tunnel1中加封装，然后到达防火墙对1公共系统GLOBAL-vFW0，在公共系统解封装，然后通过关联的Tunnel2口，到达vR1_1中，经过vR1_1的转发至租户的内网服务器。

针对南北走向流量：租户流量(目的地址192.168.1.0/24)的通过SDN网关进入vR1_1后，匹配下发的192.168.1.0/24的静态路由，转发至GRE的隧道口Tunnel2进行加封装，加封装后由公共系统GLOBAL-vFW0查路由发送到SSLVPN对1，然后由在公共系统GLOBAL-vsys0解封装后，通过Tunnel1关联的GRE隧道进入SSLVPN1的虚拟系统中转发，进行SSLVPN1加封装，然后发送到租户的SSLVPN客户端上。

需要说明的是，如图2所示，对于SSLVPN的独立部署，其可旁挂在南北汇聚交换机上，也可以部署在Underlay网络的任何其他位置上。

更具体的，当其他租户订购SSLVPN时，可以与上述实施例不同的GRE IP建立GRE隧道，例如可以是：1.1.1.2和2.2.2.2，以打通租户虚拟系统与SSLVPN虚拟系统的连接。使用新的IP建立GRE隧道，便于设备根据不同的IP进行分流，以降低单核CPU的消耗。

更具体的，多个IP之间可以使用N*N的GRE IP配置方式，一方面可降低IP地址的数量，另一方面提高了IP地址的时用力。例如，可以是在1.1.1.1与2.2.2.2、1.1.1.1与2.2.2.3或者1.1.1.1与2.2.2.1之间都可以建立GRE隧道。

更具体的，也可以通过扩展GRE KEY值的方法配置两个GRE隧道地址，实现对GRE数量极大扩展，比如，防火墙对1的隧道可配置为：

1	1.1.1.1	2.2.2.2	Key＝100
				2	1.1.1.1	2.2.2.2	Key＝200

相应地，SSLVPN的隧道可配置为：

1	2.2.2.2	1.1.1.1	Key＝100
				2	2.2.2.2	1.1.1.1	Key＝200

需要说明的是，根据本公开实施例的云资源池SSLVPN设备部署方法，采用的是GRE隧道，也可通过其他类型的隧道进行隧道建设。

图3所示的根据本公开实施例的云资源池SSLVPN设备部署装置的原理示意图，如图3所示，该装置包括：

防火墙资源池创建组件302，用于创建防火墙资源池，所述防火墙资源池包括GLOBAL1，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；

SSLVPN独立资源池创建组件304，用于创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；

VPC创建组件306，用于在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；

SSLVPN创建组件308，用于在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；

隧道创建组件310，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

图4所示的是根据本公开实施例的云资源池SSLVPN设备部署装置中的隧道创建组件310的原理示意图。根据本公开实施例的云资源池SSLVPN设备部署装置，如图4所示，其中所述隧道创建组件310还包括：GRE隧道创建组件310a，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池之间GLOBAL2系统之间建立隧道时，采用GRE隧道。

如图4所示，根据本公开实施例的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件310a在建立所述GRE隧道时，还包括：

Underlay IP地址获取组件310a2，用于获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；

防火墙资源池端GRE隧道创建组件310a4，用于在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；

SSLVPN独立资源池端GRE隧道创建组件310a6，用于在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

根据本公开实施例的云资源池SSLVPN设备部署装置，其还包括：

SSLVPN独立资源池端路由下发组件312，用于在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其的出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；

防火墙资源池路由下发组件314，用于获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

根据本公开实施例的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件310a还用于：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

根据本公开实施例的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件310a还用于：针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

综上，采用本公开的云资源池SSLVPN设备部署方法和装置，将SSLVPN编排到独立的公共资源池中，之后通过GRE隧道的建立以及将GRE隧道与虚拟系统进行关联实现SSLVPN的独立部署。通过部署专用设备的方式，提高了SSLVPN并发及转发性能，解决了SSLVPN规格不对等资源不匹配带来的SSLVPN性能提升受限问题。

总体而言，采用本公开的技术手段，在租户申请VPC网络后，编排系统将租户创建的VPC编排在VR1_1,此时用户可以正常上网。租户申请SSLVPN，编排系统发现存在独立SSLVPN资源，编排系统就将SSLVPN服务编排在独立SSLVPN的资源上。具体编排过程为，编排系统发现存在独立SSLVPN资源且SSLVPN资源池中存在剩余的SSLVPN资源时，创建VR1_1并在VR1_1上创建SSLVPN1，并分配SSLVPN的服务IP 3.3.3.1。编排系统读取防火墙对1上的GLOBAL-Vfw0系统上的underlay的ip地址，假设为ip11.1.1.1，以及SSLVPN对1上的underlay的ip地址，假设地址ip2为2.2.2.1。编排系统读取两个underlay ip(1.1.1.1、2.2.2.1)后，在SSLVPN对1上创建GRE隧道及GRE tunnel的隧道口，GRE tunnel的隧道口假定为tunnel1，并将tunnel1编排到VR1_1中，该GRE隧道的源IP及目的IP即为1.1.1.1,2.2.2.1，在防火墙对1上GRE创建过程参考SSLVPN对1，并假定GRE的隧道口为tunnel2(也可以为其它值比如tunnel1，两个互不影响)，tunnel2绑定在VR1_1中。GRE隧道创建完成后，编排器下发默认路由或策略路由(所有SSLVPN解封装之后的流量)的出接口为tunnel1，这样SSLVPN解封装之后的流量即可通过GRE隧道到达VR1_1上，做其它安全业务，并经过虚拟路由器的转发到达租户的overlay的网络；编排器读取SSLVPN1的SSLVPN地址池建设为192.168.1.0/24，在防火墙对1的系统中下发，192.168.1.0/24的路由至tunnel2，这样从租户侧回程的SSLVPN流量即可，通过GRE隧道的封装转发至SSLVPN1上。北南向流量走向：SSLVPN封装的流量(目的IP流量为3.3.3.1)到达,SSLVPN对1后，经公共系统达到vR1_1，解封装后源IP为SSLVPN地址池的地址192.168.1.0/24，目的IP为租户内网服务器的地址，通过默认路由转发至tunnel2，在tunnel2中加封装，然后经过公共系统到达防火墙对1，在公共系统解封装，然后通过关联的tunnel1口，到达VR1_1中，经过VR1_1的转发至租户的内网服务器。南北向流量走向：租户流量(目的地址192.168.1.0/24)的通过SDN网关进入VR1_1后，匹配下发的192.168.1.0/24的静态路由，转发至GRE的隧道口tunnel2进行加封装，加封装后由公共系统查路由发送到SSLVPN对1，然后由在公共系统解封装后，通过tunnel1关联的GRE隧道进入SSLVPN1的虚拟系统中转发，进行SSLVPN解封装，然后发送到租户的SSLVPN客户端上。在其他租户订购SSLVPN时，使用新的GRE IP 1.1.1.2、2.2.2.2，建立GRE隧道，打通租户虚拟系统与SSLVPN虚拟系统的连接。使用新的IP便于设备根据不同的IP进行分流，降低单核CPU的消耗。多个IP之间可以N*N租户从而降低IP地址的数量，提高IP地址的时用力。比如1.1.1.1与2.2.2.2，1.1.1.1与2.2.2.3以及1.1.1.1与2.2.2.1之间都可以建立GRE隧道。也可以通过扩展GRE KEY值的方法，两个GRE隧道地址，即可无限扩展GRE的数量。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本申请实施方式的上述方法。

所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：根据待测设备的类型生成测试脚本；对所述测试脚本进行解析生成多个命令数据；调用与所述多个命令数据的类型对应的多个接口；基于所述多个接口将所述多个命令数据分别发送至高加速应力筛选控制箱；高加速应力筛选控制箱根据命令数据对所述待测设备进行测试。该计算机可读介质还可实现如下功能：在测试过程中，高加速应力筛选控制箱实时生成返回消息；基于所述返回消息进行测试状态展示；和/或基于所述返回消息生成测试报告。

本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本申请实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本申请实施例的方法。

以上具体地示出和描述了本申请的示例性实施例。应可理解的是，本申请不限于这里描述的详细结构、设置方式或实现方法；相反，本申请意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (12)

1.一种云资源池SSLVPN设备部署方法，包括：

创建防火墙资源池，所述防火墙资源池包括GLOBAL1系统，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；

创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；

创建VPC，在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；

创建SSLVPN，在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；

创建隧道，在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池的GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

2.根据权利要求1所述的云资源池SSLVPN设备部署方法，其还包括：

在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池的GLOBAL2系统之间建立隧道时，采用GRE隧道。

3.根据权利要求2所述的云资源池SSLVPN设备部署方法，其中，在建立所述GRE隧道时，

获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；

在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；

在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

4.根据权利要求3所述的云资源池SSLVPN设备部署方法，其还包括：

在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；

获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

5.根据权利要求2所述的云资源池SSLVPN设备部署方法，其还包括：

针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

6.根据权利要求2所述的云资源池SSLVPN设备部署方法，其还包括：

针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

7.一种云资源池SSLVPN设备部署装置，包括：

防火墙资源池创建组件，用于创建防火墙资源池，所述防火墙资源池包括GLOBAL1系统，所述防火墙资源池通过所述GLOBAL1系统与公共网络进行联通；

SSLVPN独立资源池创建组件，用于创建SSLVPN独立资源池，所述SSLVPN独立资源池包括GLOBAL2系统，所述SSLVPN独立资源池通过所述GLOBAL2系统与公共网络进行联通；

VPC创建组件，用于在接收到用户VPC申请后创建VPC1以及在所述防火墙资源池中创建VR1，并将所述VPC1编排在所述VR1上，以使所述VPC1能够与公共网络进行通讯；

SSLVPN创建组件，用于在接收到用户SSLVPN申请后查询所述SSLVPN独立资源池，当所述SSLVPN独立资源池存在空闲SSLVPN资源时在所述SSLVPN独立资源池创建VR2，并在所述VR2上创建SSLVPN1，以及分配所述SSLVPN1的IP地址为IP1；

隧道创建组件，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池的GLOBAL2系统之间建立隧道，以实现建立在所述VR1上的所述VPC1与建立在所述SSLVPN独立资源池中的所述SSLVPN1之间的通讯。

8.根据权利要求7所述的云资源池SSLVPN设备部署装置，其中所述隧道创建组件还包括：

GRE隧道创建组件，用于在所述防火墙资源池的GLOBAL1系统与所述SSLVPN独立资源池的GLOBAL2系统之间建立隧道时，采用GRE隧道。

9.根据权利要求8所述的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件在建立所述GRE隧道时，还包括：

Underlay IP地址获取组件，用于获取所述GLOBAL1系统的Underlay IP地址和所述GLOBAL2系统的Underlay IP地址；

防火墙资源池端GRE隧道创建组件，用于在所述防火墙资源池创建GRE1隧道，所述GRE1隧道的隧道口的源IP为所述GLOBAL1系统的Underlay IP地址以及目的IP为所述GLOBAL2系统的Underlay IP地址，并将所述GRE1的隧道口绑定到所述VR1上；

SSLVPN独立资源池端GRE隧道创建组件，用于在所述SSLVPN独立资源池中创建GRE2隧道，所述GRE2的隧道口的源IP为所述GLOBAL2系统的Underlay IP地址以及目的IP为所述GLOBAL1系统的Underlay IP地址，并将所述GRE2的隧道口绑定到所述VR2上。

10.根据权利要求9所述的云资源池SSLVPN设备部署装置，其还包括：

SSLVPN独立资源池端路由下发组件，用于在所述SSLVPN独立资源池中下发第一路由，所述第一路由包括设置目的IP地址为所述IP1的流量在经所述SSLVPN1解封后，其出接口为所述GRE2的隧道口，以使所述SSLVPN1解封后的流量可经所述GRE2到达所述VR1，并最终转发至所述VPC1的Overlay网络；

防火墙资源池路由下发组件，用于获取所述SSLVPN1的地址资源池，在所述防火墙资源池中下发第二路由，所述第二路由包括设置目的地址为所述SSLVPN1的地址资源池中的地址的流量的出接口为所述GRE1的隧道口，以使从所述VPC1到所述SSLVPN1的流量可经所述GRE1到达所述SSLVPN1。

11.根据权利要求8所述的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件还用于：

针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，采用与已创建的GRE隧道两端不同的IP地址进行隧道创建。

12.根据权利要求8所述的云资源池SSLVPN设备部署装置，其中，所述GRE隧道创建组件还用于：

针对在接收到针对新创建的VPC的SSLVPN申请后所创建的新SSLVPN，在建立其与所述新创建的VPC之间的GRE隧道时，可采用与已创建的GRE隧道两端相同的IP地址但不同的GRE隧道KEY值进行创建。

Images