CN115396171A - 报文传输方法、报文传输通道建立方法及装置 - Google Patents

Abstract

本发明公开了一种报文传输方法、报文传输通道建立方法及装置，涉及通信技术领域，主要目的在于明确报文的来源私网以及在来源私网中的来源私网设备；报文传输方法应用于包括发送端设备以及接收端设备的系统，发送端设备与接收端设备之间建立有通用路由封装GRE隧道，报文传输方法包括：发送端设备通过GRE隧道将私网设备的目标报文发送至接收端设备，目标报文中携带有私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

Description

报文传输方法、报文传输通道建立方法及装置

技术领域

本发明涉及通信技术领域，特别是涉及一种报文传输方法、报文传输通道建立方法及装置。

背景技术

目前，为了减少公网地址的分配，同一私网内的私网地址映射到同一公网地址。在私网内的私网设备去访问外部网络时，诸如NAT(Network Address Translation，网络地址转换)设备等发送端设备会将私网设备外出的报文中的私网地址转换为其映射的公网地址。经过NAT设备的地址转换后，接收端设备接收到报文后，仅能基于公网地址定位报文来自哪个私网，但是不能定位报文具体来自于私网中的哪个私网设备。

发明内容

有鉴于此，本发明提出了一种报文传输方法、报文传输通道建立方法及装置，主要目的在于明确报文的来源私网以及在来源私网中的来源私网设备。

为了达到上述目的，本发明主要提供了如下技术方案：

第一方面，本发明提供了一种报文传输方法，应用于包括发送端设备以及接收端设备的系统，其中，所述发送端设备与所述接收端设备之间建立有通用路由封装GRE隧道，所述方法包括：

所述发送端设备通过所述GRE隧道将私网设备的目标报文发送至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

第二方面，本发明提供了一种报文传输通道建立方法，应用于包括发送端设备以及接收端设备的系统，所述方法包括：

建立所述发送端设备和所述接收端设备之间的GRE隧道；

配置所述发送端设备的GRE隧道应用机制，其中，所述GRE隧道应用机制用于限定所述发送端将私网设备的目标报文通过GRE隧道传输至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

第三方面，本发明提供了一种报文传输通道建立装置，应用于包括发送端设备以及接收端设备的系统，所述装置包括：

建立单元，用于建立所述发送端设备和所述接收端设备之间的GRE隧道；

配置单元，用于配置所述发送端设备的GRE隧道应用机制，其中，所述GRE隧道应用机制用于限定所述发送端将私网设备的目标报文通过GRE隧道传输至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

第四方面，本发明提供了一种计算机可读存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行第一方面所述的报文传输方法，和/或，执行第二方面所述的报文传输通道建立方法。

本发明提供的报文传输方法、报文传输通道建立方法及装置，发送端设备通过GRE隧道将携带有私网地址和GRE标识的目标报文发送至接收端设备，以使接收端设备解封目标报文获得私网设备对应的私网地址和GRE标识。由于同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性，因此接收端设备能够基于其获得的私网地址和GRE标识定位出目标报文对应的私网设备来源于哪个私网，且定位出私网设备为所定位的私网中的哪个私网设备，以使接收端设备能够对定位出的私网设备进行具体的业务操作。可见，本发明实施例提供的方案能够使接收端设备明确报文的来源私网以及在来源私网中的来源私网设备。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本发明一个实施例提供的一种报文传输方法的流程图；

图2示出了本发明一个实施例提供的一种报文传输所涉及设备的连接关系示意图；

图3示出了本发明一个实施例提供的一种第一GRE报文示意图；

图4示出了本发明一个实施例提供的一种目标报文的示意图；

图5示出了本发明另一个实施例提供的一种报文传输所涉及设备的连接关系示意图；

图6示出了本发明一个实施例提供的一种第二IPsec报文的示意图；

图7示出了本发明另一个实施例提供的一种目标报文的示意图；

图8示出了本发明一个实施例提供的一种报文传输通道建立方法的流程图；

图9示出了本发明一个实施例提供的一种报文传输通道建立装置的结构示意图；

图10示出了本发明另一个实施例提供的一种报文传输通道建立装置的结构示意图。

具体实施方式

下面将参照附图更加详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

目前，为了减少公网地址的分配，同一私网内的私网地址映射到同一公网地址。在私网内的私网设备去访问外部网络时，诸如NAT设备等发送端设备会将私网设备外出的报文中的私网地址转换为其映射的公网地址。经过NAT设备的地址转换后，接收端设备接收到报文后，仅能基于公网地址定位报文来自哪个私网，但是不能定位报文具体来自于私网中的哪个私网设备。

接收端设备仅能基于公网地址定位报文来自哪个私网，但是不能定位报文具体来自于私网中的哪个私网设备的这种缺陷，会造成一些业务盲区。比如，在网络安全领域中，因为NAT设备的地址转换操作，作为接收端设备的上网行为审计系统仅能基于报文，定位到私网设备来源哪个私网，但是不能定位到其是所定位的私网中的哪个私网设备，因此无法针对私网设备进行上网行为审计。

为了使接收端设备能够明确报文的来源私网以及在来源私网中的来源私网设备，本发明实施例提供了一种报文传输方法、报文传输通道建立方法及装置，下面对本发明实施例提供的报文传输方法、报文传输通道建立方法及装置进行具体说明。

如图1所示，本发明实施例提供了一种报文传输方法，该报文传输方法应用于包括发送端设备以及接收端设备的系统，其中，发送端设备与接收端设备之间建立有通用路由封装GRE隧道，该报文传输方法包括如下步骤101：

101、发送端设备通过GRE隧道将私网设备的目标报文发送至接收端设备，其中，目标报文中携带有私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

本发明实施例提供的报文传输方法应用于包括发送端设备以及接收端设备的系统中。发送端设备与接收端设备之间建立有GRE隧道，GRE隧道为实现发送端设备以及接收端设备之间链接的虚拟直连链路，其用于将使用一个路由协议的报文封装在另一协议的报文中。

发送端设备存在有对应的私网，其用于通过GRE隧道将其对应的私网内的私网设备的目标报文发送至接收端设备。目标报文中携带有私网设备对应的私网地址和GRE标识，其中，GRE标识用于表示目标报文对应的私网设备来源于哪个私网，私网地址用于表示目标报文对应的私网设备为具有GRE标识的私网内的哪个私网设备。

下面对GRE标识的设置原则进行说明：在实际应用中，Internet地址分配组织IANA(The Internet Assigned Numbers Authority，互联网数字分配机构)将10.0.0.0～10.255.255.255，172.16.0.0～172.31.255.255，192.168.0.0～192.168.255.255三个地址段空间划分为私有地址，这些私网地址只能在诸如企业网、校园网等私网内的私网设备使用，不会分配给外网。但同一个私网地址可以在不同私网中重复使用，因此，为了区分私网地址来源于哪个私网，需要设置同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性，也就是不同私网不能重复使用同一GRE标识。

私网内的私网设备去访问外部网络时，私网设备会基于访问发出数据报文，数据报文中除了携带有私网设备对应的私网地址和GRE标识之外，还携带有访问涉及的网络数据，这里的网络数据体现私网设备的上网行为。而目标报文基于数据报文而得，因此其除了携带有私网设备对应的私网地址和GRE标识之外，也携带有访问涉及的网络数据。另外，需要说明的是，由于发送端设备通过GRE隧道将私网设备的目标报文发送至接收端设备，因此，目标报文为进行过GRE隧道封装的报文。

发送端设备在得到私网设备的目标报文后，通过GRE隧道将私网设备的目标报文发送至接收端设备。发送端设备通过GRE隧道将私网设备的目标报文发送至接收端设备的具体过程为：发送端设备基于GRE隧道对应的传输地址，将目标报文发送至接收端设备。

本发明实施例提供的报文传输方法，发送端设备通过GRE隧道将携带有私网地址和GRE标识的目标报文发送至接收端设备，接收端设备解封目标报文获得私网设备对应的私网地址和GRE标识。由于同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性，因此接收端设备能够基于其获得的私网地址和GRE标识定位出目标报文对应的私网设备来源哪个私网，且定位出私网私网为所定位的私网中的哪个私网设备，以使接收端设备能够对定位出的私网设备进行具体的业务操作。可见，本发明实施例提供的方案能够使接收端设备明确报文的来源私网以及在来源私网中的来源私网设备。

进一步的，在上述步骤101发送端设备通过GRE隧道将私网设备的目标报文发送至接收端设备之后，报文传输方法还包括如下步骤102：

102、接收端设备解封目标报文获得私网地址和GRE标识。

接收端设备为根据目标报文中携带的私网地址和GRE标识执行具体业务的设备，其具体业务的类型可以根据业务需求确定。示例性的，接收端设备为上网行为审计系统，其根据目标报文中携带的GRE标识定位目标报文对应的私网设备来源于哪个私网，以及其根据目标报文中携带的私网地址定位目标报文对应的私网设备为其定位到的私网中的哪个私网设备。在定位到私网设备后，基于目标报文中携带的网络数据对目标报文对应的私网设备进行上网行为审计。

接收端设备在接收到目标报文时，根据GRE隧道对应的解封装方法，对目标报文进行解封，解封完成后即可获得私网地址、GRE标识以及网络数据。

在接收端设备解封目标报文获得私网地址和GRE标识之后，为了更好管理私网设备的上网行为，则该报文传输方法还可包括如下过程：接收端设备提取目标报文携带的网络数据，接收端设备基于网络数据审计对应于私网地址和GRE标识的私网设备的上网行为。

网络数据描述私网设备的网络访问内容，其体现私网设备的上网行为，其可作为管理私网设备上网行为的依据，因此接收端设备需要提取目标报文携带的网络数据，基于网络数据审计对应于私网地址和GRE标识的私网设备的上网行为。

接收端设备在审计出对应于私网地址和GRE标识的私网设备的上网行为合规时，可按照私网设备的上网需求转发网络数据，以使其网络数据对应的上网行为得以实现。如图2和图5所示，接收端设备24在审计出对应于私网地址和GRE标识的私网设备的上网行为合规时，可按照私网设备的上网需求通过防火墙27、交换机28以及边界防火墙29将网络数据转发至互联网30，以使网络数据对应的上网行为在互联网30中得以实现。

接收端设备在审计出对应于私网地址和GRE标识的私网设备的上网行为不合规时，拦截网络数据，以使其网络数据对应的上网行为不能实现，以及向对应于私网地址和GRE标识的私网设备发出上网行为不合规的提示。

进一步的，上述步骤101所涉及的目标报文的确定方法，与发送端设备和接收端设备所在系统的具体组成架构有关。下面通过如下实施例一和实施例二进行具体说明：

实施例一，如图2所示，发送端设备由第一设备21和第二设备22组成，第一设备21与同一私网内的多个私网设备23连接，且第一设备21与接收端设备24之间建立GRE通道25，第一设备21和第二设备22之间建立有网际互联协议安全IPsec隧道26。上述步骤101的具体执行过程可包括如下步骤201至203：

201、第一设备对私网设备发出的数据报文进行GRE隧道封装，形成第一GRE报文，其中，数据报文中携带有私网设备对应的私网地址和GRE标识。

第一设备与同一私网内的私网设备连接，其负责该私网内所有私网设备的组网引流。也就是说，每一个私网均具有其专属的第一设备。如图2所示，私网A具有其专属的第一设备21，私网A专属的第一设备21与私网A中的私网设备23连接。第一设备的具体类型本实施例不做具体限定。示例性的，第一设备为CPE(Customer Premise Equipment，客户终端设备)。第二设备与第一设备连接，其负责一个或多个第一设备的组网引流，也就是说，其可以负责对多个私网对应的第一设备进行组网引流。为了提高报文传输的安全性，第一设备和第二设备之间建立有IPsec隧道，以通过IPsec隧道对报文进行安全传输。如图2所示，第一设备21和第二设备22之间建立有IPsec隧道26。为了使接收端设备能够明确报文的来源私网以及在来源私网中的来源私网设备，第一设备与接收端设备之间建立有GRE隧道。如图2所示，第一设备21与接收端设备24之间建立有GRE隧道25，GRE隧道25的GRE标识为“GRE标识0”，其为私网A专属的GRE隧道。

第一设备用于获取其对应的私网内的私网设备发出的数据报文，在其获取到数据报文后，不进行地址转换而是对数据报文进行GRE隧道封装，形成第一GRE报文，因此使得数据报文中的私网设备对应的私网地址和GRE标识得以保留。第一设备对私网设备的数据报文进行GRE隧道封装的具体过程包括如下步骤201A至201C：

201A、第一设备基于GRE隧道对应的协议以及数据报文对应的协议，生成第一GRE协议包头。

为了使得数据报文经过GRE隧道封装后，其可通过GRE隧道传输至接收端设备以及接收端设备能够解封其接收到的目标报文，因此第一设备需要基于GRE隧道对应的协议以及数据报文对应的协议，生成第一GRE协议包头。示例性的，GRE隧道对应的协议为0X0800，数据报文对应的协议为IP，则生成的第一GRE协议包头中记载有“GRE首部，协议类型0X0800，标识载荷协议为IP”。

201B、第一设备基于GRE隧道的源地址和目标地址生成第一地址包头，其中，源地址为第一设备的地址，目标地址为接收端设备的地址。

源地址为GRE隧道的起点地址，其用于告知第一设备其为GRE隧道的起点，以使第一设备基于其进行路由查证。目标地址为GRE隧道的终点地址，其用于告知接收端设备其为GRE隧道的终点，以使接收端设备基于其进行路由查证。因此，第一设备基于GRE隧道的源地址和目标地址生成第一地址包头。示例性的，第一设备的地址为“101.1.1.1/24”，接收端设备的地址为“101.1.1.2/24”，生成的第一地址包头中记载有“GRE封装新IP地址信息，源地址：101.1.1.1/24，目标地址：101.1.1.2/24”。

201C、第一设备为数据报文依次添加第一GRE协议包头、第一地址包头，形成第一GRE报文。

由于接收端设备在解封其接收到的报文时，需要按照先解封地址，然后根据解封出的目标地址确认其自身为终点时，才进行进一步的解封，因此第一设备封装数据报文时，需要为数据报文依次添加第一GRE协议包头、第一地址包头，也就是说，封装后得到的报文，第一地址包头在最外侧，然后是第一GRE协议包头，最后才是数据报文。

如图3所示，图3示意了一种第一GRE报文。2A表示数据报文中的网络数据。2B表示数据报文中的GRE标识。2C表示数据报文中的原地址信息，其记载有“原IP地址信息，源地址：私网地址，目标地址：私网设备要访问的地址”。2D表示第一GRE协议包头。2E表示第一地址包头。

202、第一设备对第一GRE报文进行IPsec隧道封装，并通过IPsec隧道将封装后形成的第一IPsec报文发送至第二设备。

第一设备和第二设备之间建立有IPsec隧道，第一设备与接收端设备之间建立GRE隧道，这种隧道的建立方法的主要目的在于：在实际应用中，第二设备的现有版本可能不支持将IPsec隧道传输转换成GRE隧道传输，因此为了减少第二设备升级带来的时间成本，采用了此种隧道建立方法，此种隧道建立方法既可以通过GRE隧道对私有设备的数据报文进行封装，又可以通过IPSec隧道对封装后的报文进行加密和传输，保证报文的安全性。

IPsec隧道具有兴趣流识别机制，其可以根据第一GRE报文的标识，在第一GRE报文形成之后，但未传输至接收端设备之前，对第一GRE报文进行IPsec隧道封装。

第一设备对第一GRE报文进行IPsec隧道封装的具体过程包括如下步骤202A至202C：

202A、第一设备基于第一GRE报文包括的内容，生成第一IPsec包头。

第一GRE报文包括的内容即为：网络数据、私网地址和GRE标识。第一设备基于第一GRE报文包括的内容，生成第一IPsec包头的具体过程为：通过MD5算法或SHA1算法对第一GRE报文包括的内容进行运算，基于运算结果生成第一IPsec包头。

202B、第一设备基于IPsec隧道的源地址和目标地址生成第二地址包头，其中，源地址为第一设备的地址，目标地址为第二设备的地址。

源地址为IPsec隧道的起点地址，其用于告知第一设备其为IPsec隧道的起点。目标地址为IPsec隧道的终点地址，其用于告知第二设备其为IPsec隧道的终点。因此，第一设备基于IPsec隧道的源地址和目标地址生成第二地址包头。示例性的，第一设备的地址为“101.1.1.1/24”，第二设备的地址为“101.1.1.3/24”，生成的第二地址包头中记载有“IPsec封装新IP地址信息，源地址：101.1.1.1/24，目标地址：101.1.1.3/24”。

202C、为第一GRE报文依次添加第一IPsec包头、第二地址包头。

封装后得到的报文即为目标报文，第二地址包头在最外侧，然后是第一IPsec包头，第一IPsec包头与第一GRE报文中的第一地址包头相邻。如图4所示，2F表示第一IPsec包头，2G表示第二地址包头，2F与2E“第一地址包头”相邻，2F位于2E“第一地址包头”的外侧。

203、第二设备将第一IPsec报文作为目标报文发送至接收端设备。

第二设备在接收到第一IPsec报文之后，解析出第一IPsec报文封装的第一GRE报文，以根第一GRE报中的第一地址包头中所携带的信息，通过GRE隧道将第一IPsec报文发送至接收端设备。第一地址包头中所携带的信息即源地址“第一设备的地址”和目标地址“接收端设备的地址”。第二设备依据上述的源地址和目标地址，确定GRE隧道对应的传输地址，并通过所确定的传输地址将目标报文作为目标报文发送至接收端设备。

实施例二，如图5所示，发送端设备由第一设备21和第二设备22组成，第一设备21用于与同一私网内的多个私网设备23连接，第一设备21与第二设备22之间建立有IPsec隧道26，且第二设备22与接收端设备24之间建立GRE通道25，上述步骤101的具体执行过程可包括如下步骤301至302：

301、第一设备对私网设备发出的数据报文进行IPsec隧道封装，并通过IPsec隧道将封装后形成的第二IPsec报文发送第二设备，其中，数据报文中携带有私网设备对应的私网地址和GRE标识。

第一设备与同一私网内的私网设备连接，其负责该私网内所有私网设备的组网引流。也就是说，每一个私网均具有其专属的第一设备。如图5所示，私网B具有其专属的第一设备21，私网B专属的第一设备21与私网B中的私网设备23连接。私网C具有其专属的第一设备21，私网C专属的第一设备21与私网C中的私网设备23连接。第一设备的具体类型本实施例不做具体限定。示例性的，第一设备为CPE(Customer Premise Equipment，客户终端设备)。第二设备与第一设备连接，其负责一个或多个第一设备的组网引流，也就是说，其可以负责对多个私网对应的第一设备进行组网引流。如图5所示，第二设备22通过SD-WAN(Software Defined Wide Area Network，软件定义广域网)负责对私网B对应的第一设备21和私网C对应的第一设备22进行组网引流。为了提高报文传输的安全性，第一设备和第二设备之间建立有IPsec隧道，以通过IPsec隧道对报文进行安全传输。如图5所示，第一设备21和第二设备22之间建立有IPsec隧道26。为了使得接收端设备能够明确报文的来源私网以及在来源私网中的来源私网设备，第二设备与接收端设备中建立有GRE隧道。如图5所示，第二设备22与接收端设备24之间建立了两个GRE隧道25。其中，一个GRE隧道25的GRE标识为“GRE标识1”，其是私网B专属的GRE隧道。一个GRE隧道25的GRE标识为“GRE标识2”，其是私网C专属的GRE隧道。

第一设备和第二设备之间建立有IPsec隧道，第二设备与接收端设备之间建立GRE隧道，这种隧道的建立方法的主要目的在于：第二设备的现有版本支持将IPsec隧道传输转换成GRE隧道传输，因此采用了此种隧道建立方法，此种隧道建立方法既可以通过GRE隧道对私有设备的数据报文进行封装，又可以通过IPSec隧道对封装后的报文进行加密和传输，保证报文传输的安全性。

第一设备对私网设备的数据报文进行IPsec隧道封装的具体过程包括如下步骤301A至301C：

301A、第一设备基于数据报文包括的内容，生成第二IPsec包头。

数据报文包括的内容即为：网络数据、私网地址和GRE标识。对数据第一设备基于数据报文包括的内容，生成第二IPsec包头的具体过程为：通过MD5算法或SHA1算法对数据报文包括的内容进行运算，基于运算结果生成第二IPsec包头。

301B、第一设备基于IPsec隧道的源地址和目标地址生成第四地址包头，其中，源地址为所述第一设备的地址，目标地址为所述第二设备的地址。

源地址为IPsec隧道的起点地址，其用于告知第一设备其为IPsec隧道的起点。目标地址为IPsec隧道的终点地址，其用于告知第二设备其为IPsec隧道的终点。因此，第一设备基于IPsec隧道的源地址和目标地址生成第四地址包头。示例性的，第一设备的地址为“101.1.1.1/24”，第二设备的地址为“101.1.1.3/24”，生成的第四地址包头中记载有“IPsec封装新IP地址信息，源地址：101.1.1.1/24，目标地址：101.1.1.3/24”。

301C、为数据报文依次添加第二IPsec包头、第四地址包头。

封装后得到的报文即为第二IPsec报文，第四地址包头在最外侧，然后是第二IPsec包头，第二IPsec包头与原有数据报文的相邻。示例性，如图6所示，图6示意了一种第二IPsec报文。3A表示数据报文中的网络数据。3B表示数据报文中的GRE标识。3C表示数据报文中的原地址信息，其记载有“原IP地址信息，源地址：私网地址，目标地址：私网设备要访问的地址”。3D表示第二IPsec包头。3E表示第四地址包头。

302、第二设备对第二IPsec报文进行GRE隧道封装形成目标报文，并将目标报文发送至接收端设备。

第二设备对第二IPsec报文进行GRE隧道封装形成目标报文的具体过程包括如下步骤302A至302C：

302A、第二设备基于GRE隧道对应的协议以及第二IPsec报文对应的协议，生成第二GRE协议包头；

为了使得数据报文经过GRE隧道封装后，其可通过GRE隧道传输至接收端设备以及接收端设备能够解封其接收到的目标报文，因此需要第二设备基于GRE隧道对应的协议以及数据报文对应的协议，生成第二GRE协议包头。示例性的，GRE隧道对应的协议为0X0800，数据报文对应的协议为IP，则生成的第一GRE协议包头中记载有“GRE首部，协议类型0X0800，标识载荷协议为IP”。

302B、第二设备基于GRE隧道的源地址和目标地址生成第三地址包头，其中，源地址为所述第二设备的地址，目标地址为接收端设备的地址。

源地址为GRE隧道的起点地址，其用于告知第二设备其为GRE隧道的起点。目标地址为GRE隧道的终点地址，其用于告知接收端设备其为GRE隧道的终点。因此，第二设备基于GRE隧道的源地址和目标地址生成第三地址包头。第三地址包头中记载有“GRE封装新IP地址信息，源地址：第二设备的地址，目标地址：接收端设备的地址”。

302C、第二设备为第二IPsec报文依次添加第二GRE协议包头、第三地址包头。

由于接收端设备在解封其接收到的报文时，需要按照先解封地址，然后根据解封出的目标地址确认其自身为终点时，采用进行进一步的解封，因此第二设备封装数据报文时，需要为数据报文依次添加第二GRE协议包头、第三地址包头，也就是说，封装后得到的报文，第三地址包头在最外侧，然后是第二GRE协议包头，最后才是第二IPsec报文。

第二设备对第二IPsec报文进行GRE隧道封装形成目标报文之后，第二设备确定GRE隧道对应的传输地址，通过所确定的传输地址将目标报文发送至接收端设备。

如图7所示，图7示意了一种目标报文。3G表示第三地址包头，3F表示第二GRE协议包头，3F与3E“第四地址包头”相邻，3F位于3E“第四地址包头”的外侧。

进一步的，上述实施例一和实施例二中均涉及到了第一设备和第二设备之间建立有IPsec隧道，因此本发明实施例提供的报文传输方法还包括如下建立IPsec隧道的过程，该过程包括如下步骤401至402：

401、第一设备向第二设备发送携带有第一设备的地址的IPsec隧道建立请求，其中，第一设备的地址作为IPsec隧道的源地址。

第一设备作为IPsec隧道的起点，因此由第一设备向第二设备发送携带有第一设备的地址的IPsec隧道建立请求，以告知第二设备在其与第一设备之间需要构建IPsec隧道。将第一设备的地址发送至第二设备的目的，是为了告知第二设备IPsec隧道的起点地址。

402、第一设备接收第二设备返回的IPsec隧道建立接受响应，并从IPsec隧道建立接受响应中提取第二设备的地址。

第二设备在接收到IPsec隧道建立请求时，若其接受与第一设备之间建立IPsec隧道，则第二设备将第一设备的地址配置为IPsec隧道的源地址，并回复第一设备IPsec隧道建立接受响应。第一设备接收第二设备返回的IPsec隧道建立接受响应，并从IPsec隧道建立接受响应中提取第二设备的地址。

403、第一设备将第二设备的地址配置为IPsec隧道的目标地址。

第一设备将第二设备的地址配置为IPsec隧道的目标地址，即表示第一设备和第二设备之间的IPsec隧道。IPsec隧道的源地址为第一设备的地址，其供第一设备在封装报文进行IPsec隧道的隧道路由查证使用。IPsec隧道的目标地址为第二设备的地址，其供第二设备在获取报文时进行IPsec隧道的隧道路由查证使用。

进一步的，上述实施例中均涉及到了发送端设备和接收端设备之间建立有GRE隧道，因此本发明实施例提供的报文传输方法还包括如下建立GRE隧道的过程，该过程包括如下步骤501至502：

501、发送端设备向接收端设备发送携带有发送端设备的地址的GRE隧道建立请求，其中，发送端设备的地址作为GRE隧道的源地址。

发送端设备作为GRE隧道的起点，因此由发送端设备向接收端设备发送携带有发送端设备地址的GRE隧道建立请求，以告知接收端设备在其与发送端设备之间需要构建GRE隧道。将发送端设备的地址发送至接收端设备的目的，是为了告知接收端设备GRE隧道的起点地址。

502、发送端设备接收接收端设备返回的GRE隧道建立接受响应，并从GRE隧道建立接受响应中提取接收端设备的地址。

接收端设备在接收到GRE隧道建立请求时，若其接受与发送端设备之间建立GRE隧道，则接收端设备将发送端设备的地址配置为GRE隧道的源地址，并回复发送端设备GRE隧道建立接受响应。发送端设备接收接收端设备返回的GRE隧道建立接受响应，并从GRE隧道建立接受响应中提取接收端设备的地址。

503、发送端设备将接收端设备的地址配置为GRE隧道的目标地址。

发送端设备将接收端设备的地址配置为GRE隧道的目标地址，即表示发送端设备和接收端设备之间的GRE隧道。GRE隧道的源地址为发送端设备的地址，其供发送端设备在封装报文进行GRE隧道的隧道路由查证使用。GRE隧道的目标地址为接收端设备的地址，其供接收端设备在获取报文时进行GRE隧道的隧道路由查证使用。

进一步的，本发明的另一个实施例还提供了一种报文传输通道建立，该报文传输通道建立方法，该报文传输通道建立方法应用于包括发送端设备以及接收端设备的系统，如图8所示，该报文传输通道建立方法包括如下步骤：

601、建立发送端设备和接收端设备之间的GRE隧道。

建立发送端设备和接收端设备之间的GRE隧道的具体过程，请参见上述步骤501至502的具体描述，这里将不再赘述。

602、配置发送端设备的GRE隧道应用机制，其中，GRE隧道应用机制用于限定发送端设备将私网设备的目标报文通过GRE隧道传输至接收端设备，其中，目标报文中携带有私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

发送端设备与接收端设备之间建立的GRE隧道为实现发送端设备以及接收端设备之间链接的虚拟直连链路，其用于将使用一个路由协议的报文封装在另一协议的报文中。

发送端设备存在有对应的私网，配置发送端设备的GRE隧道应用机制主要是配置发送端设备能够通过GRE隧道将其对应的私网内的私网设备的目标报文发送至接收端设备。

目标报文中携带有私网设备对应的私网地址和GRE标识，其中，GRE标识用于表示目标报文对应的私网设备来源于哪个私网，私网地址用于表示目标报文对应的私网设备为具有GRE标识的私网内的哪个私网设备。因此，接收端设备在接收到目标报文后，能够根据GRE隧道对应的解封装方法，对目标报文进行解封，解封完成后即可获得私网地址、GRE标识。接收端设备能够基于私网地址、GRE标识定位目标报文对应的私网设备来源于哪个私网以及定位私网设备在其为定位到的私网中的哪个私网设备。

本发明实施例提供的报文传输通道建立方法，由于建立发送端设备和接收端设备之间的GRE隧道，且配置发送端设备的GRE隧道应用机制。因此发送端设备能够通过GRE隧道将携带有私网地址和GRE标识的目标报文发送至接收端设备，接收端设备解封目标报文获得私网设备对应的私网地址和GRE标识。由于同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性，因此接收端设备能够基于其获得的私网地址和GRE标识定位出目标报文对应的私网设备来源哪个私网，且定位出私网私网为所定位的私网中的哪个私网设备，以使接收端设备能够对定位出的私网设备进行具体的业务操作。可见，本发明实施例提供的方案能够使接收端设备明确报文的来源私网以及在来源私网中的来源私网设备。

进一步的，发送端设备由第一设备和第二设备组成，其中，第一设备与同一私网内的多个私网设备连接，第二设备分别与第一设备和接收端设备连接，步骤601建立发送端设备和所述接收端设备之间的GRE隧道的具体过程包括如下步骤601A至601C：

601A、判断第二设备是否支持将IPsec隧道传输转换成GRE隧道传输；若不支持，则执行步骤601B；若支持，执行步骤601C。

第一设备与同一私网内的私网设备连接，其负责该私网内所有私网设备的组网引流。也就是说，每一个私网均具有其专属的第一设备。第一设备的具体类型本实施例不做具体限定。示例性的，第一设备为CPE(Customer Premise Equipment，客户终端设备)。第二设备与第一设备连接，其负责一个或多个第一设备的组网引流，也就是说，其可以负责对多个私网对应的第一设备进行组网引流。示例性的，第二设备为VCPE(Virtual CustomerPremise Equipment，虚拟客户端设备)。

在实际应用中，第二设备的现有版本可能不支持将IPsec隧道传输转换成GRE隧道传输，因此需要判断第二设备是否支持将IPsec隧道传输转换成GRE隧道传输，执行判断的依据可以为第二设备的版本信息，在版本信息为目标版本信息时，判定第二设备支持将IPsec隧道传输转换成GRE隧道传输，反之，则判定第二设备不支持将IPsec隧道传输转换成GRE隧道传输。

601B、建立第一设备和发送端设备之间的GRE隧道。

判定第二设备不支持将IPsec隧道传输转换成GRE隧道传输，则为了减少第二设备升级带来的时间成本，建立第一设备和发送端设备之间的GRE隧道，此种隧道建立方法能够实现通过GRE隧道对私有设备的数据报文进行封装。

601C、建立第二设备和接收端设备之间的GRE隧道。

判定第二设备支持将IPsec隧道传输转换成GRE隧道传输，建立第二设备和接收端设备之间的GRE隧道，此种隧道建立方法能够实现通过GRE隧道对私有设备的数据报文进行封装。

进一步的，为了保证报文传输的安全性，建立第一设备和第二设备之间的IPsec隧道。建立第一设备和第二设备之间的IPsec隧道的具体过程，请参见上述步骤401至403的具体描述，这里将不再赘述。

在建立第二设备和接收端设备之间的GRE隧道的情况下，私网设备发出的数据报文，经过第一设备和第二设备之间的IPsec隧道封装和传输处理，到达第二设备。然后第二设备对其接收到的报文进行GRE隧道封装形成目标报文后，通过GRE隧道传输至接收端设备。

在建立第一设备和发送端设备之间的GRE隧道的情况下，该报文传输通道建立方法还包括如下步骤：配置第一设备在对私网设备发出的数据报文进行GRE隧道封装，形成第一GRE报文之后，对第一GRE报文进行IPsec隧道封装；其中，数据报文中携带有所述私网设备对应的私网地址和GRE标识。上述的配置方案是为了保证报文的安全性。在此配置方案下，私网设备发出的数据报文，第一设备对其进行GRE隧道封装，形成第一GRE报文。然后第一设备对第一GRE报文进行IPsec隧道封装。IPsec隧道封装后的报文即为目标报文，被传输至接收端设备。

进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种报文传输通道建立装置，应用于包括发送端设备以及接收端设备的系统，如图9所示，所述装置包括：

建立单元71，用于建立所述发送端设备和所述接收端设备之间的GRE隧道；

配置单元72，用于配置所述发送端设备的GRE隧道应用机制，其中，所述GRE隧道应用机制用于限定所述发送端设备将私网设备的目标报文通过GRE隧道传输至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

本发明实施例提供的报文传输通道建立装置，由于建立发送端设备和接收端设备之间的GRE隧道，且配置发送端设备的GRE隧道应用机制。因此发送端设备能够通过GRE隧道将携带有私网地址和GRE标识的目标报文发送至接收端设备，接收端设备解封目标报文获得私网设备对应的私网地址和GRE标识。由于同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性，因此接收端设备能够基于其获得的私网地址和GRE标识定位出目标报文对应的私网设备来源哪个私网，且定位出私网私网为所定位的私网中的哪个私网设备，以使接收端设备能够对定位出的私网设备进行具体的业务操作。可见，本发明实施例提供的方案能够使接收端设备明确报文的来源私网以及在来源私网中的来源私网设备。

可选的，如图10所示，所述系统包括第一设备和第二设备，其中，所述第一设备与同一私网内的多个私网设备连接，所述第二设备分别与所述第一设备和所述接收端设备连接，建立单元71包括：

判断模块711，用于判断所述第二设备是否支持将IPsec隧道传输转换成GRE隧道传输；若不支持，则触发第一建立模块712建立所述第一设备和所述接收端设备之间的GRE隧道；若支持，则触发第二建立模块713建立所述第二设备和所述接收端设备之间的GRE隧道。

可选的，如图10所示，所述建立单元71还用于建立所述第一设备和所述第二设备之间的IPsec隧道。

可选的，如图10所示，配置单元72，还用于在建立所述第一设备和所述接收端设备之间的GRE隧道的情况下，配置所述第一设备在对私网设备发出的数据报文进行GRE隧道封装，形成第一GRE报文之后，对所述第一GRE报文进行IPsec隧道封装；其中，所述数据报文中携带有所述私网设备对应的私网地址和GRE标识。

本发明实施例提供的报文传输通道建立装置中，各个功能模块运行过程中所采用的报文传输通道建立方法详解可以参见上述方法实施例的对应方法详解，在此不再赘述。

进一步的，依据上述实施例，本发明的另一个实施例还提供了一种计算机可读存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行上述的报文传输方法，和/或，执行上述的报文传输通道建立方法。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

可以理解的是，上述方法及装置中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的深度神经网络模型的运行方法、装置及框架中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (17)

1.一种报文传输方法，其特征在于，应用于包括发送端设备以及接收端设备的系统，其中，所述发送端设备与所述接收端设备之间建立有通用路由封装GRE隧道，所述方法包括：

所述发送端设备通过所述GRE隧道将私网设备的目标报文发送至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

2.根据权利要求1所述的方法，其特征在于，所述发送端设备由第一设备和第二设备组成，所述第一设备与同一私网内的多个私网设备连接，且所述第一设备与所述接收端设备之间建立GRE通道，所述第一设备和所述第二设备之间建立有网际互联协议安全IPsec隧道，所述发送端设备通过所述GRE隧道将私网设备的目标报文发送至所述接收端设备，包括：

所述第一设备对所述私网设备发出的数据报文进行GRE隧道封装，形成第一GRE报文，其中，所述数据报文中携带有所述私网设备对应的私网地址和GRE标识；

所述第一设备对所述第一GRE报文进行IPsec隧道封装，并通过所述IPsec隧道将封装后形成的第一IPsec报文发送至所述第二设备；

所述第二设备将所述第一IPsec报文作为所述目标报文发送至所述接收端设备。

3.根据权利要求2所述的方法，其特征在于，所述第一设备对所述私网设备的数据报文进行GRE隧道封装，包括：

所述第一设备基于所述GRE隧道对应的协议以及所述数据报文对应的协议，生成第一GRE协议包头；

所述第一设备基于所述GRE隧道的源地址和目标地址生成第一地址包头，其中，所述源地址为所述第一设备的地址，所述目标地址为所述接收端设备的地址；

所述第一设备为所述数据报文依次添加第一GRE协议包头、第一地址包头。

4.根据权利要求2所述的方法，其特征在于，所述第一设备对所述第一GRE报文进行IPsec隧道封装，包括：

所述第一设备基于所述第一GRE报文包括的内容，生成第一IPsec包头；

所述第一设备基于所述IPsec隧道的源地址和目标地址生成第二地址包头，其中，所述源地址为所述第一设备的地址，所述目标地址为所述第二设备的地址；

为所述第一GRE报文依次添加第一IPsec包头、第二地址包头。

5.根据权利要求1所述的方法，其特征在于，所述发送端设备由第一设备和第二设备组成，所述第一设备用于与同一私网内的多个私网设备连接，所述第一设备与所述第二设备之间建立有IPsec隧道，且所述第二设备与所述接收端设备之间建立GRE通道，所述发送端设备通过所述GRE隧道将私网设备的目标报文发送至所述接收端设备，包括：

所述第一设备对所述私网设备发出的数据报文进行IPsec隧道封装，并通过所述IPsec隧道将封装后形成的第二IPsec报文发送至所述第二设备，其中，所述数据报文中携带有所述私网设备对应的私网地址和GRE标识；

所述第二设备对所述第二IPsec报文进行GRE隧道封装形成所述目标报文，并将所述目标报文发送至所述接收端设备。

6.根据权利要求5所述的方法，其特征在于，所述第二设备对所述第二IPsec报文进行GRE隧道封装，包括：

所述第二设备基于所述GRE隧道对应的协议以及所述第二IPsec报文对应的协议，生成第二GRE协议包头；

所述第二设备基于所述GRE隧道的源地址和目标地址生成第三地址包头，其中，所述源地址为所述第二设备的地址，所述目标地址为所述接收端设备的地址；

所述第二设备为所述第二IPsec报文依次添加第二GRE协议包头、第三地址包头。

7.根据权利要求5所述的方法，其特征在于，所述第一设备对所述私网设备的数据报文进行IPsec隧道封装，包括：

所述第一设备基于所述数据报文包括的内容，生成第二IPsec包头；

所述第一设备基于所述IPsec隧道的源地址和目标地址生成第四地址包头，其中，所述源地址为所述第一设备的地址，所述目标地址为所述第二设备的地址；

为所述数据报文依次添加第二IPsec包头、第四地址包头。

8.根据权利要求2或5所述的方法，其特征在于，所述方法还包括：

所述第一设备向所述第二设备发送携带有所述第一设备的地址的IPsec隧道建立请求，其中，所述第一设备的地址作为IPsec隧道的源地址；

所述第一设备接收所述第二设备返回的IPsec隧道建立接受响应，并从所述IPsec隧道建立接受响应中提取所述第二设备的地址；

所述第一设备将所述第二设备的地址配置为所述IPsec隧道的目标地址。

9.根据权利要求1-7中任一所述的方法，其特征在于，在所述发送端设备通过所述GRE隧道将私网设备的目标报文发送至所述接收端设备之后，所述方法还包括：

所述接收端设备解封所述目标报文获得所述私网地址和所述GRE标识。

10.根据权利要求9所述的方法，其特征在于，在所述接收端设备解封所述目标报文获得所述私网地址和所述GRE标识之后，所述方法还包括：

所述接收端设备提取所述目标报文携带的网络数据；

所述接收端设备基于所述网络数据审计对应于所述私网地址和所述GRE标识的私网设备的上网行为。

11.根据权利要求1-7中任一所述的方法，其特征在于，所述方法还包括：

所述发送端设备向所述接收端设备发送携带有所述发送端设备的地址的GRE隧道建立请求，其中，所述发送端设备的地址作为GRE隧道的源地址；

所述发送端设备接收所述接收端设备返回的GRE隧道建立接受响应，并从所述GRE隧道建立接受响应中提取所述接收端设备的地址；

所述发送端设备将所述接收端设备的地址配置为所述GRE隧道的目标地址。

12.一种报文传输通道建立方法，其特征在于，应用于包括发送端设备以及接收端设备的系统，所述方法包括：

建立所述发送端设备和所述接收端设备之间的GRE隧道；

配置所述发送端设备的GRE隧道应用机制，其中，所述GRE隧道应用机制用于限定所述发送端设备将私网设备的目标报文通过GRE隧道传输至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

13.根据权利要求12所述的方法，其特征在于，所述发送端设备由第一设备和第二设备组成，其中，所述第一设备与同一私网内的多个私网设备连接，所述第二设备分别与所述第一设备和所述接收端设备连接，建立所述发送端设备和所述接收端设备之间的GRE隧道，包括：

判断所述第二设备是否支持将IPsec隧道传输转换成GRE隧道传输；

若不支持，则建立所述第一设备和所述接收端设备之间的GRE隧道；

若支持，则建立所述第二设备和所述接收端设备之间的GRE隧道。

14.根据权利要求13所述的方法，其特征在于，所述方法还包括：

建立所述第一设备和所述第二设备之间的IPsec隧道。

15.根据权利要求14所述的方法，其特征在于，在建立所述第一设备和所述接收端设备之间的GRE隧道的情况下，则所述方法还包括：

配置所述第一设备在对私网设备发出的数据报文进行GRE隧道封装，形成第一GRE报文之后，对所述第一GRE报文进行IPsec隧道封装；其中，所述数据报文中携带有所述私网设备对应的私网地址和GRE标识。

16.一种报文传输通道建立装置，其特征在于，应用于包括发送端设备以及接收端设备的系统，所述装置包括：

建立单元，用于建立所述发送端设备和所述接收端设备之间的GRE隧道；

配置单元，用于配置所述发送端设备的GRE隧道应用机制，其中，所述GRE隧道应用机制用于限定所述发送端设备将私网设备的目标报文通过GRE隧道传输至所述接收端设备，其中，所述目标报文中携带有所述私网设备对应的私网地址和GRE标识，同一私网内的私网设备共用同一GRE标识，且GRE标识具有唯一性。

17.一种计算机可读存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至权利要求11中任意一项所述的报文传输方法，和/或，执行权利要求12至权利要求15中任意一项所述的报文传输通道建立方法。

Images