CN115426723A - Vpn隧道建立方法、装置及电子设备 - Google Patents

Abstract

本申请提供了VPN隧道建立方法、装置及电子设备，VPN隧道建立方法可通过获取UPF的UPF信息，并基于第一5G终端设备的设备信息和UPF建立连接，得到获取第二5G终端设备的链路基础，之后通过连接接收UPF发送的第二5G终端设备的设备信息，使第一5G终端设备根据第二5G终端设备的设备信息自动配置VPN隧道，解决了需要人工配置VPN隧道的问题，实现了一种自适应端到端的5G LAN。

Description

VPN隧道建立方法、装置及电子设备

技术领域

本申请涉及通信技术领域，尤其涉及VPN隧道建立方法、装置及电子设备。

背景技术

目前5G终端侧芯片对3GPP标准的支持还不成熟，尚不能提供以太网接入能力，不能很好地实现基于3GPP标准的5G局域网（5GLocalAreaNetwork，5GLAN）。现有技术中，在构建利用5G核心网的5G局域网时，往往需要人工配置5G局域网中的5G终端设备，且需要5G核心网中的用户面网元参与数据报文的封装与解封装，使得数据报文的传输效率较低。

发明内容

有鉴于此，本申请提供了VPN隧道建立方法、装置及电子设备，以实现5G终端设备端到端的VPN隧道自动配置与建立，实现了一种自适应端到端5GLAN，同时使得用户面网元与数据报文的封装与解封装解耦，实现了数据报文传输效率的提升。具体地，本申请是通过如下技术方案实现的：

本申请第一方面，提供了一种VPN隧道建立方法，应用于第一5G终端设备，包括：获取用户面网元UPF的属性信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接；通过所述第一连接接收所述UPF发送的第二5G终端设备的设备信息；根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道。

在一种可能的实现方式中，所述UPF的属性信息包括所述UPF的IP地址，所述第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址；所述基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接，包括：基于所述UPF的IP地址，所述第一5G终端设备向所述UPF发送连接请求，所述连接请求包括所述第一5G终端设备的设备信息，以使所述UPF判断已配置的5G虚拟网络组表中是否存在第一5G终端设备的5G虚拟网络组标识，若是，则基于所述第一5G终端设备的IP地址向所述第一5G终端设备发送连接响应；接收所述UPF发送的连接响应，并基于所述连接响应建立所述第一5G终端设备与所述UPF之间的第一连接。

在一种可能的实现方式中，第二5G终端设备的设备信息包括第二5G终端设备的IP地址、第二5G终端设备的5G虚拟网络组标识，所述第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识；所述根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道，包括：若所述第二5G终端设备的5G虚拟网络组标识和所述第一5G终端设备的5G虚拟网络组标识相同，则在隧道表中生成所述第一5G终端设备至所述第二5G终端设备的VPN隧道表项，所述VPN隧道表项包括VPN隧道的标识、VPN隧道的隧道端口和所述第二5G终端设备的IP地址之间的对应关系；其中，所述隧道端口是所述第一5G终端设备上与所述UPF连接的端口。

在一种可能的实现方式中，所述方法进一步包括：若接收到待转发报文，获取所述待转发报文中的目的MAC地址，通过所述目的MAC地址查询MAC地址表，得到所述目的MAC地址对应的目标出端口；其中，所述MAC地址表包括MAC地址和出端口的映射关系；通过所述目标出端口查询所述隧道表中的VPN隧道表项；若所述目标出端口为所述VPN隧道表项中的隧道端口，则将所述待转发报文封装为隧道报文，并通过所述隧道端口发送所述隧道报文；其中，所述隧道报文包括所述待转发报文和隧道报文头信息，所述隧道报文头信息包含所述隧道端口对应的第二5G终端设备的IP地址，所述第二5G终端设备的IP地址用于使所述UPF转发所述隧道报文至所述第二5G终端设备。

本申请第二方面，提供了一种VPN隧道建立方法，应用于用户面网元UPF，包括：获取第一5G终端设备的设备信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接；获取第二5G终端设备的设备信息，基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接；通过所述第一连接将所述第二5G终端设备的设备信息发送给第一5G终端设备，以使所述第一5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道；通过所述第二连接将所述第一5G终端设备的设备信息发送给第二5G终端设备，以使所述第二5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第二5G终端设备至所述第一5G终端设备的VPN隧道。

在一种可能的实现方式中，所述UPF的属性信息包括所述UPF的5G虚拟网络组标识和所述UPF的IP地址，所述第一5G终端设备或第二5G终端设备的设备信息包括第一5G终端设备或第二5G终端设备的5G虚拟网络组标识以及第一5G终端设备或第二5G终端设备的IP地址，所述基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接，包括：获取第一5G终端设备发送的连接请求，所述连接请求包含第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与所述第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址所对应的表项，若存在对应表项，则向第一5G终端设备发送连接响应，以建立第一连接，若不存在对应表项，则不响应所述连接请求；基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接，包括：获取第二5G终端设备发送的连接请求，所述连接请求包含第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与所述第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址所对应的表项，若存在对应表项，则向第二5G终端设备发送连接响应，以建立第二连接，若不存在对应表项则，不响应所述连接请求。

在一种可能的实现方式中，所述方法进一步包括：接收第一5G终端设备通过隧道端口发送的隧道报文，所述隧道报文包括隧道报文头信息，所述隧道报文头信息包含所述VPN隧道关联的第二5G终端设备的IP地址；基于所述隧道报文头信息中的第二5G终端设备的IP地址，将所述隧道报文转发给第二5G终端设备。

本申请第三方面，提供了一种VPN隧道建立装置，所述装置包括：连接建立单元，用于获取用户面网元UPF的属性信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接；信息接收单元，用于通过所述第一连接接收所述UPF发送的第二5G终端设备的设备信息；隧道建立单元，用于根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道。

本申请第四方面，提供了一种VPN隧道建立装置，所述装置包括：第一连接建立单元，用于获取第一5G终端设备的设备信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接；第二连接建立单元，用于获取第二5G终端设备的设备信息，基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接；第一隧道建立单元，用于通过所述第一连接将所述第二5G终端设备的设备信息发送给第一5G终端设备，以使所述第一5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道；第二隧道建立单元，用于通过所述第二连接将所述第一5G终端设备的设备信息发送给第二5G终端设备，以使所述第二5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第二5G终端设备至所述第一5G终端设备的VPN隧道。

本申请第五方面，提供了一种电子设备，所述电子设备包括计算机可读存储介质、处理器；所述计算机可读存储介质，用于存储在存储器上并可在处理器上运行的计算机程序；所述处理器，用于执行所述计算机程序，以实现上述的VPN隧道建立方法。

由上述技术方案可以看出，本申请实施例中的VPN隧道建立方法，可通过获取UPF对应的UPF信息，并基于第一5G终端设备的设备信息和UPF建立连接，得到获取第二5G终端设备的链路基础，之后可通过该连接接收UPF发送的第二5G终端设备的设备信息，以便根据第二5G终端设备自动配置第一5G终端设备与第二5G终端设备之间的VPN隧道，解决了现有技术中需要人工配置VPN隧道的问题，实现了一种自适应端到端的5G LAN。UPF可根据第一连接与第二连接构成的隧道转发报文，无需拆装或封装隧道报文，提高了信息传输效率。

附图说明

图1为本申请一实施例中的VPN隧道建立方法的流程图。

图2为本申请一实施例中的VPN隧道组网示意图。

图3为本申请一实施例中的VPN隧道建立方法的流程图。

图4为本申请一实施例中的VPN隧道建立方法的交互流程示意图。

图5为本申请一实施例中的VPN隧道建立装置500的功能框图。

图6为本申请一实施例中的VPN隧道建立600的功能框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

首先介绍本申请涉及的无线通信系统。

5G核心网（5G Core Network，5GC），是5G移动网络的核心。可以为用户建立可靠、安全的网络连接，能够处理5G移动网络中的各种基本功能，例如连接性和移动性管理、身份验证和授权、用户数据管理和策略管理等。5G核心网引入了服务化架构，可包含接入和移动性管理网元（Access and Mobility Management Function，AMF）、会话管理网元（SessionManagement Function，SMF）、鉴权服务网元（Authentication Server Function，AUSF）、通用数据网元（Unified Data Management, UDM）、策略控制网元（Policy ControlFunction，PCF）、用户面网元（User Plane Function，UPF）等。

以下为本申请可能涉及的5G相关概念：

会话管理功能网元（Session Management Function，SMF），可负责5G核心网中移动终端的协议数据单元（Protocol Data Unit，PDU）会话的管理、IP地址分配、用户面网元的选择和控制等功能。

用户面网元（User Plane Function，UPF），是5G核心网中的重要组件之一，可主要负责用户设备的用户面数据传输、路由、服务质量（Quality of Service，QoS）。N3接口可为无线接入网（Radio Access Network，RAN）或接入网（Access Network，AN）和UPF之间的参考点，N6接口为UPF和数据网路（Data Network，DN）之间的参考点。其中，DN可以是互联网Internet、WAP网络、局域网等各种形式或结构的网络，本申请不对DN的类型和组网方式进行限制。

5G用户设备（5GUser Equipment，5G UE），可为5GC的终端，也可称5G终端设备，本实施例中以5G终端设备为例进行说明。

鉴权（Authentication、Authorization、Accounting，AAA）服务器，可用于认证、授权、计费，鉴权是网络安全的一种管理机制，提供了认证、授权、计费等安全功能。

二次鉴权：5G安全架构中，含两次鉴权。初次鉴权是在5G终端设备的注册过程，是5G终端设备与5G网络之间的相互认证。二次鉴权是在PDU会话建立过程，是DN中的AAA服务器对5G终端设备进行验证，从而控制5G终端设备访问DN。二次鉴权为可选的，由SMF根据5G终端设备的签约数据（存储于UDM）和本地配置决定是否发起。

5G客户前置设备（5GCustomer Premise Equipment，5GCPE）是一种可将4G或者5G信号转换成WiFi信号或有线信号的设备。

5G局域网（5G L ocal Area Network，5G LAN），可为5G系统提供的一项服务，使得5G终端设备通过5G网络进行以太网通信或局域网业务。

5G虚拟网络组（5G Virtual Network Group，5G VNG），可指示一组处于同一虚拟网络内的5G终端设备，包括有线5G终端设备、移动5G终端设备以及移动5G终端设备的下挂终端。

发明人发现，目前5G终端设备侧尚不能很好地提供以太网接入能力。尤其在家居、企业办公以及工业自动化等场景中，需要使用具有移动性、安全性、高效性的以太网服务的要求愈发凸显，例如，汽车制造等工业自动化场景中，可能经常需要移动接入网络的测试设备或制造设备，同时基于安全性的考量，这些设备可能经常需要使用局域网（Local AreaNetwork，LAN）或虚拟专用网（Virtual Private Network，VPN），常见的可为基于以太协议的二层VPN，例如虚拟扩展局域网（Virtual Extensible Local Area Network，VXLAN）或通用路由封装网络虚拟化（Network Virtualization Using Generic RoutingEncapsulation，NVGRE）等。因此，本申请提出了一种VPN隧道建立方法，用于实现一种可以接入以太网的基于5G终端设备的5G LAN。

图1为本申请一实施例中的VPN隧道建立方法的流程图。

参见图1，该方法可应用于第一5G终端设备，该方法步骤如下：

步骤S101，获取UPF的属性信息，基于第一5G终端设备的设备信息和UPF的属性信息与UPF建立第一连接。

其中，UPF的属性信息可以是用于表征UPF的属性的信息，例如，属性信息可包括UPF维护的5G虚拟网络组表中的信息和UPF自身的IP地址。5G终端设备的设备信息可包括5G终端设备的IP地址和5GVNG标识（如5G VNG的ID）。第一连接可以是基于TCP协议建立的可靠的长连接。

在一可能的实施例中，第一连接还可替换为基于UDP协议的连接。

图2为本申请一实施例中的VPN隧道组网示意图。

参见图2，在本实施例中，第一5G终端设备可以是通过5GRAN将其下挂的二层网络（基于以太协议的网络）接入5G网络的设备，第一5G终端设备可以是5G CPE或其他可以接入5G网络的设备，例如5G路由器。若第一5G终端设备为5GCPE，则可基于RAN提供的接入服务与UPF建立第一连接；若第一5G终端设备为DN中的5G路由器，则可在UPF和5G路由器本地配置彼此相对应的连接信息，例如彼此配置对方的IP地址等，使得该5G路由器可直接基于本地配置连接至该UPF，无需通过5GRAN的接入服务。

在一个可能的实施例中，UPF的属性信息包括UPF的IP地址，第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址。基于第一5G终端设备的设备信息和UPF的属性信息与UPF建立第一连接，包括：基于UPF的IP地址，第一5G终端设备向UPF发送连接请求，该连接请求包括第一5G终端设备的设备信息，以使该UPF判断已配置的5G虚拟网络组表中是否存在第一5G终端设备的5G虚拟网络组标识，若是，则允许该第一5G终端设备建立VPN隧道，并基于该第一5G终端设备的IP地址向该第一5G终端设备发送连接响应；若否，则禁止该第一5G终端设备建立VPN隧道，禁止向该第一5G终端设备发送连接响应。其中，5G虚拟网络组表用于记录允许建立VPN隧道的5G终端设备的5G虚拟网络组标识。接收UPF发送的连接响应，并基于连接响应建立第一5G终端设备与UPF之间的第一连接。

其中，第一5G终端设备与第二5G终端设备之间可存在数据链路，例如，参见图2，第一5G终端设备（如5GCPE1）可通过无线信号（虚线表示）连接5G RAN，再接入UPF；第二5G终端设备（如5GCPE2）亦可通过无线信号连接5G RAN，再接入UPF，或，DN中的第二5G终端设备（如5G路由器1）通过有线信号连接UPF，则可通过UPF实现第一5G终端设备和第二5G终端设备的连接。一般地，如无特殊说明，本申请实施例中的“第一”与“第二”仅用于区分可连接的不同端的5G终端设备，并非限制某一5G终端设备为第一或第二。

步骤S101的实现方式可有多种，在本实施例中用以下示例进一步说明：

例如，若第一5G终端设备为5G CPE，基于第一5G终端设备的设备信息和UPF的属性信息与该UPF建立第一连接，可包括：在第一5G终端设备与SMF建立PDU会话过程中，第一5G终端设备向SMF发送认证请求报文，该认证请求报文携带第一5G终端设备的认证信息，如用户名、密码或国际用户识别码（International Mobile Subscriber Identity，IMSI）或者其他可用于验证第一5G终端设备的信息。SMF将获取到的认证请求报文中的认证信息发送给DN中的AAA服务器进行二次鉴权，该认证信息和AAA服务器中存储的信息进行对比，若有相同记录，则AAA服务器通过二次鉴权。二次鉴权通过后，AAA服务器将第一5G终端设备所属的5G VNG的ID、该5G VNG的ID所对应的UPF的IP地址以及AAA服务器分配给5G终端设备的IP地址，通过认证响应报文发送给SMF。SMF收到认证响应报文后，将该认证响应报文中携带的5G VNG的ID和分配给该第一5G终端设备的IP地址，通过N4会话建立请求报文发送至与该5GVNG对应的UPF，后可将5G VNG的ID和该UPF的IP地址通过该PDU会话建立的响应报文传给第一5G终端设备，以使得该5G VNG的ID对应的UPF和获得该5G VNG的ID的第一5G终端设备彼此获得对方的IP地址，从而使得第一5G终端设备可基于IP地址和相同的5G VNG的ID与UPF建立第一连接。

在一可能的实施例中，基于第一5G终端设备的设备信息和UPF信息与用户面网元UPF建立连接，还可包括：第一5G终端设备可以基于自身的配置文件，判断是否开启二层VPN服务（L2 VPN服务），若已开启L2 VPN服务则与UPF建立连接。其中，二层VPN服务可指针对具有物理层和数据链路层的网络的虚拟专用网络服务。

例如，第一5G终端设备上电后读取配置信息，根据配置信息决定是否开启L2 VPN服务，如果开启，则该第一5G终端设备向UPF发起连接的请求，该请求包含第一5G终端设备的IP和所属5G VNG的ID，以供UPF检查本地的5GVNG信息表，判断该信息表中是否记录了SMF通过N4会话发送来的对应的5G VNG的ID和该第一5G终端设备的IP地址的信息，若存在对应信息，则UPF向该第一5G终端设备返回同意请求的响应报文，该第一5G终端设备与该UPF之间可建立连接。

步骤S102，通过第一连接接收UPF发送的第二5G终端设备的设备信息。

其中，第二5G终端设备的设备信息可包括：该第二5G终端设备所属的5G VNG的ID和该第二5G终端设备的IP地址。

在一个可能的实施例中，第一5G终端设备与UPF建立第一连接后，可从该UPF接收设备信息通告报文，该设备信息通告报文包括第二5G终端设备向该UPF发送的设备信息。

例如，该第一5G终端设备可从UPF获取具有相同5G VNG的ID的第二5G终端设备的IP地址。

步骤S103，根据第二5G终端设备的设备信息和第一5G终端设备的设备信息建立第一5G终端设备至第二5G终端设备的VPN隧道。

在一个可能的实施例中，根据接收到的设备信息建立第一5G终端设备至第二5G终端设备的VPN隧道，可包括：若第二5G终端设备的5G VNG的ID和第一5G终端设备的5G VNG的ID相同，则可在第一5G终端设备本地配置VPN隧道对应的隧道端口，VPN隧道的隧道端口与该第二5G终端设备的IP地址对应。

例如，当第一5G终端设备从UPF发送的设备信息通告报文中获取到第二5G终端设备的IP和5G VNG的ID后，可检查该第二5G终端设备的5G VNG的ID与第一5G终端设备的是否相同，如果相同，则在第一5G终端设备本地配置第二5G终端设备的IP地址以及与该IP地址对应的出端口的端口号，配置完成即建立第一5G终端设备至第二5G终端设备的VPN隧道，之后可通过隧道端口向第二5G终端设备发送数据报文。每个第一5G终端设备均可通过该步骤自动获取第二5G终端设备的设备信息，从而自动建立与该第一5G终端设备的5G VNG的 ID相同的第二5G终端设备之间的VPN隧道，从而实现相同5G VNG的5G终端设备之间通过VPN隧道两两互连。

在一个可能的实施例中，第二5G终端设备的设备信息包括第二5G终端设备的IP地址、第二5G终端设备的5G虚拟网络组标识，第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识。根据第二5G终端设备的设备信息和第一5G终端设备的设备信息建立第一5G终端设备至第二5G终端设备的VPN隧道，可包括：若第二5G终端设备的5G虚拟网络组标识和第一5G终端设备的5G虚拟网络组标识相同，则可在隧道表中生成该第一5G终端设备至该第二5G终端设备的VPN隧道表项，VPN隧道表项可包括VPN隧道的标识、VPN隧道的隧道端口和第二5G终端设备的IP地址之间的对应关系；其中，隧道端口可以是第一5G终端设备上与UPF连接的端口。

在一个可能的实施例中，所述方法进一步包括：若接收到待转发报文，获取待转发报文中的目的MAC地址，通过目的MAC地址查询MAC地址表，得到目的MAC地址对应的目标出端口；其中，MAC地址表包括MAC地址和出端口的映射关系；通过目标出端口查询隧道表中的VPN隧道表项；若目标出端口为VPN隧道表项中的隧道端口，则将待转发报文封装为隧道报文，并通过隧道端口发送隧道报文；其中，隧道报文包括待转发报文和隧道报文头信息，隧道报文头信息包含隧道端口对应的第二5G终端设备的IP地址，第二5G终端设备的IP地址用于使UPF转发隧道报文至第二5G终端设备。

在一个可能的实施例中，例如，对于数据上行方向而言（二层网络中的交换机向5G终端设备发送MAC报文，5G终端设备从下挂的该二层网络接收数据），二层网络中交换机下挂的用户终端设备向该交换机发送MAC报文后，二层网络的交换机先基于自身的MAC地址表检查是否存在对应MAC地址的转发端口，如果存在对应的转发端口且该转发端口是VPN隧道的隧道端口，则将MAC报文通过隧道协议封装为隧道报文，并通过该对应的隧道端口向远端5G终端设备发送，如果不存在对应的转发端口，则根据MAC地址表中记录的虚拟局域网（Virtual Local Area Network，VLAN）的ID，将该MAC报文转发到与该VLAN的ID相同的其他出端口。其中，用户终端设备可以是手机、PC，或能够接入网络的生产、测试设备等面向用户的终端设备，不同于5G终端设备。待转发的报文可以是数据报文，例如MAC报文等。

对于数据下行方向而言（二层网络中的交换机接收5G终端设备发送的MAC报文，5G终端设备向下挂的该二层网络发送数据），5G终端设备可从VPN隧道接收到隧道报文后对该报文解封装得到MAC报文，根据得到的该MAC报文所携带的目的MAC地址查找MAC地址表，若该MAC地址表中存在对应的MAC地址，则通过该MAC地址对应的出端口转发该MAC报文，如果没有查找到对应的MAC地址，则二层网络中的交换机向与MAC地址表中具有相同虚拟局域网（VirtualLocalAreaNetwork，VLAN）ID的用户终端设备广播该MAC报文，该被广播的MAC报文不再转发至隧道端口，以避免循环广播。其中，VLAN的ID可以由用户在5G终端设备本地进行配置。

在一个可能的实施例中，若MAC地址表中没有与获取到的待转发报文的源MAC地址所对应的MAC地址，该方法可进一步包括：可将待转发报文的源MAC地址以及获取到待转发报文的端口记入MAC地址表，作为MAC地址表中的MAC地址和与该MAC地址对应的端口，可将MAC地址表中新增的MAC地址和与该MAC地址对应的端口发送至UPF，使UPF将该新增的MAC地址转发至第二5G终端设备。

例如，每个5G终端设备可以将从本地学到的新增的MAC地址，封装成MAC学习报文并发送至UPF。UPF接收到该MAC学习报文后，可将该MAC学习报文转发至5G VNG的ID相同的第二5G终端设备。第二5G终端设备接收到该MAC学习报文后，可将该MAC学习报文中的源MAC地址项所记录的MAC地址新增至MAC地址表中，并将接收该MAC学习报文的端口设置为与MAC地址表中新增的MAC地址对应的隧道端口，从而实现隧道端口的自动学习，免去人工配置VPN隧道的繁琐。

在一可能的实施例中，该方法还可进一步包括：若第一5G终端设备与UPF之间的连接删除、第一5G终端设备断开与SMF之间的PDU会话或第一5G终端设备关闭VPN服务，则第一5G终端设备可向UPF发送连接删除报文。基于连接删除报文，该UPF可删除和该第一5G终端设备的连接，并可向5G VNG的ID相同的第二5G终端设备发送更新报文，以通知第二5G终端设备删除与该第一5G终端设备关联的VPN隧道。

其中，通知第二5G终端设备删除与该第一5G终端设备关联的VPN隧道，可包括：删除与该第一5G终端设备对应的隧道端口以及与该隧道端口对应的该第一5G终端设备的IP地址。

由以上内容可知本申请实施例中的VPN隧道建立方法，可通过获取用户面网元UPF对应的UPF信息，并基于第一5G终端设备的设备信息和用户面网元UPF建立连接，得到获取第二5G终端设备的链路基础，之后可通过该连接接收UPF发送的第二5G终端设备的设备信息，以便第一5G终端设备根据第二5G终端设备的设备信息自动配置两两之间的VPN隧道，解决了现有技术中需要人工配置VPN隧道的问题，实现了一种自适应的端到端的5G LAN。

图3示出了本申请一实施例中的VPN隧道建立方法的流程图。

参见图3，该方法可包括：

步骤S301，获取第一5G终端设备的设备信息，基于第一5G终端设备的设备信息和UPF的属性信息与第一5G终端设备建立第一连接。

在一个可能的实施例中，基于第一5G终端设备的设备信息和UPF的属性信息与第一5G终端设备建立第一连接，可包括：获取第一5G终端设备发送的连接请求，连接请求包含第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址所对应的表项，若存在对应表项，则向第一5G终端设备发送连接响应，以建立第一连接，若不存在对应表项，则不响应所述连接请求。

步骤S302，获取第二5G终端设备的设备信息，基于第二5G终端设备的设备信息和UPF的属性信息与第二5G终端设备建立第二连接。

在一个可能的实施例中，可获取第二5G终端设备发送的连接请求，连接请求包含第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与所述第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址所对应的表项，若存在对应表项，则向第二5G终端设备发送连接响应，以建立第二连接，若不存在对应表项，则不响应所述连接请求。

步骤S303，可通过第一连接将第二5G终端设备的设备信息发送给第一5G终端设备，以使第一5G终端设备根据第二5G终端设备的设备信息和第一5G终端设备的设备信息建立第一5G终端设备至第二5G终端设备的VPN隧道。

在一个可能的实施例中，可通过第一连接向第一5G终端设备发送获取到的第二5G终端设备的IP地址，以使第一5G终端设备根据第二5G终端设备的IP地址和与该第二5G终端设备IP地址对应的端口建立VPN隧道表项。

步骤S304，可通过第二连接将第一5G终端设备的设备信息发送给第二5G终端设备，以使第二5G终端设备根据第二5G终端设备的设备信息和第一5G终端设备的设备信息建立第二5G终端设备至第一5G终端设备的VPN隧道。

在一个可能的实施例中，可通过第二连接向第二5G终端设备发送获取到的第一5G终端设备的IP地址，以使第二5G终端设备根据第一5G终端设备的IP地址和与该第一5G终端设备IP地址对应的端口建立VPN隧道表项。

在一个可能的实施例中，若接收到5G终端设备发送的隧道报文，则可根据该隧道报文的隧道报文头信息，将该隧道报文转发至第二5G终端设备，其中可包括：

接收第一5G终端设备通过VPN隧道发送的隧道报文，该隧道报文包括隧道报文头信息，隧道报文头信息可包含VPN隧道关联的第二5G终端设备的IP地址，基于隧道报文头信息中的第二5G终端设备的IP地址，将该隧道报文转发给第二5G终端设备。

可见，本申请实施例中的VPN隧道建立方法，可根据隧道报文的报文头信息中的第二5G终端设备的设备信息直接转发报文，无需拆装或封装隧道报文，提高了信息传输效率。

图4为本申请一实施例中的VPN隧道建立方法的交互流程示意图。

参见图4，该方法可包括以下步骤：

步骤S401，5G终端设备向SMF发起PDU会话建立请求，在5G终端设备与SMF建立PDU会话过程中，5G终端设备向SMF发送认证请求报文，该认证请求报文携带5G终端设备的认证信息。

步骤S402，SMF将获取到的认证请求报文中的认证信息发送给DN中的AAA服务器进行二次鉴权，该认证信息和AAA服务器中存储的信息进行对比，若有相同记录则二次鉴权通过。

步骤S403，二次鉴权通过后，AAA服务器将用户所属的5G VNG的ID和5G VNG的ID对应的UPF的IP地址以及AAA服务器分配给5G终端设备的IP地址通过认证响应报文发送给SMF。

步骤S404，SMF收到认证响应报文后，将该认证响应报文中携带的5G VNG的ID和分配给该5G终端设备的IP地址通过N4会话建立请求报文发送至与该5G VNG的ID对应的UPF。

步骤S405，SMF可接收N4会话建立响应以确定UPF接收到5G终端设备的IP地址和5GVNG的ID。

步骤S406，SMF将5G VNG的ID和UPF的IP地址通过PDU会话建立的响应报文发送至5G终端设备。

步骤S407，5G终端设备基于5G VNG的ID对应的UPF的IP地址，与该UPF建立连接。

步骤S408，5G终端设备连接UPF后，可将自身的设备信息，发送至所连接的UPF。

步骤S409，5G终端设备连接UPF后，可接收该UPF发送的对端5G终端设备的设备信息，包括：对端5G终端设备的IP地址和5G VNG的ID，从而实现针对对端5G终端设备的IP地址配置隧道端口，以建立本端5G终端设备至对端5G终端设备的VPN隧道。

在一可能的实施例中，参见图4，若5G终端设备学到新的MAC地址，则该方法还可进一步包括：

步骤S410，5G终端设备可向UPF发送该MAC地址，使得UPF可将该MAC地址通告至对端5G终端设备。具体可参见上文的详细步骤，此处不赘述。

与前述VPN隧道建立方法的实施例相对应，本申请还提供了VPN隧道建立装置的实施例。本申请VPN隧道建立装置的实施例可以应用在电子设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在电子设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。

图5为本申请一实施例中的VPN隧道建立装置500的功能框图。

参见图5，该VPN隧道建立装置500，可包括：

连接建立单元501，用于获取用户面网元UPF的属性信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接。

信息接收单元502，用于通过所述第一连接接收所述UPF发送的第二5G终端设备的设备信息。

隧道建立单元503，用于根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道。

图6为本申请一实施例中的VPN隧道建立装置600的功能框图。

参见图6，该VPN隧道建立装置600，可包括：

第一连接建立单元601，用于获取第一5G终端设备的设备信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接；

第二连接建立单元602，用于获取第二5G终端设备的设备信息，基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接；

第一隧道建立单元603，用于通过所述第一连接将所述第二5G终端设备的设备信息发送给第一5G终端设备，以使所述第一5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道；

第二隧道建立单元604，用于通过所述第二连接将所述第一5G终端设备的设备信息发送给第二5G终端设备，以使所述第二5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第二5G终端设备至所述第一5G终端设备的VPN隧道。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本说明书中描述的主题及功能操作的实施例可以在以下中实现：数字电子电路、有形体现的计算机软件或固件、包括本说明书中公开的结构及其结构性等同物的计算机硬件、或者它们中的一个或多个的组合。本说明书中描述的主题的实施例可以实现为一个或多个计算机程序，即编码在有形非暂时性程序载体上以被数据处理装置执行或控制数据处理装置的操作的计算机程序指令中的一个或多个模块。可替代地或附加地，程序指令可以被编码在人工生成的传播信号上，例如机器生成的电、光或电磁信号，该信号被生成以将信息编码并传输到合适的接收机装置以由数据处理装置执行。计算机存储介质可以是机器可读存储设备、机器可读存储基板、随机或串行存取存储器设备、或它们中的一个或多个的组合。

本说明书中描述的处理及逻辑流程可以由执行一个或多个计算机程序的一个或多个可编程计算机执行，以通过根据输入数据进行操作并生成输出来执行相应的功能。所述处理及逻辑流程还可以由专用逻辑电路—例如FPGA（现场可编程门阵列）或ASIC（专用集成电路）来执行，并且装置也可以实现为专用逻辑电路。

适合用于执行计算机程序的计算机包括，例如通用和/或专用微处理器，或任何其他类型的中央处理单元。通常，中央处理单元将从只读存储器和/或随机存取存储器接收指令和数据。计算机的基本组件包括用于实施或执行指令的中央处理单元以及用于存储指令和数据的一个或多个存储器设备。通常，计算机还将包括用于存储数据的一个或多个大容量存储设备，例如磁盘、磁光盘或光盘等，或者计算机将可操作地与此大容量存储设备耦接以从其接收数据或向其传送数据，抑或两种情况兼而有之。然而，计算机不是必须具有这样的设备。此外，计算机可以嵌入在另一设备中，例如移动电话、个人数字助理（PDA）、移动音频或视频播放器、游戏操纵台、全球定位系统（GPS）接收机、或例如通用串行总线（USB）闪存驱动器的便携式存储设备，仅举几例。

适合于存储计算机程序指令和数据的计算机可读介质包括所有形式的非易失性存储器、媒介和存储器设备，例如包括半导体存储器设备（例如EPROM、EEPROM和闪存设备）、磁盘（例如内部硬盘或可移动盘）、磁光盘以及CD ROM和DVD-ROM盘。处理器和存储器可由专用逻辑电路补充或并入专用逻辑电路中。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。

由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种VPN隧道建立方法，其特征在于，应用于第一5G终端设备，包括：

获取用户面网元UPF的属性信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接；

通过所述第一连接接收所述UPF发送的第二5G终端设备的设备信息；

根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道。

2.根据权利要求1所述的方法，其特征在于，所述UPF的属性信息包括所述UPF的IP地址，所述第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址；

所述基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接，包括：

基于所述UPF的IP地址，所述第一5G终端设备向所述UPF发送连接请求，所述连接请求包括所述第一5G终端设备的设备信息，以使所述UPF判断已配置的5G虚拟网络组表中是否存在第一5G终端设备的5G虚拟网络组标识，若是，则基于所述第一5G终端设备的IP地址向所述第一5G终端设备发送连接响应；

接收所述UPF发送的连接响应，并基于所述连接响应建立所述第一5G终端设备与所述UPF之间的第一连接。

3.根据权利要求1所述的方法，其特征在于，第二5G终端设备的设备信息包括第二5G终端设备的IP地址、第二5G终端设备的5G虚拟网络组标识，所述第一5G终端设备的设备信息包括第一5G终端设备的5G虚拟网络组标识；

所述根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道，包括：

若所述第二5G终端设备的5G虚拟网络组标识和所述第一5G终端设备的5G虚拟网络组标识相同，则在隧道表中生成所述第一5G终端设备至所述第二5G终端设备的VPN隧道表项，所述VPN隧道表项包括VPN隧道的标识、VPN隧道的隧道端口和所述第二5G终端设备的IP地址之间的对应关系；其中，所述隧道端口是所述第一5G终端设备上与所述UPF连接的端口。

4.根据权利要求3所述的方法，其特征在于，所述方法进一步包括：

若接收到待转发报文，获取所述待转发报文中的目的MAC地址，通过所述目的MAC地址查询MAC地址表，得到所述目的MAC地址对应的目标出端口；其中，所述MAC地址表包括MAC地址和出端口的映射关系；

通过所述目标出端口查询所述隧道表中的VPN隧道表项；

若所述目标出端口为所述VPN隧道表项中的隧道端口，则将所述待转发报文封装为隧道报文，并通过所述隧道端口发送所述隧道报文；其中，所述隧道报文包括所述待转发报文和隧道报文头信息，所述隧道报文头信息包含所述隧道端口对应的第二5G终端设备的IP地址，所述第二5G终端设备的IP地址用于使所述UPF转发所述隧道报文至所述第二5G终端设备。

5.一种VPN隧道建立方法，其特征在于，应用于用户面网元UPF，包括：

获取第一5G终端设备的设备信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接；

获取第二5G终端设备的设备信息，基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接；

通过所述第一连接将所述第二5G终端设备的设备信息发送给第一5G终端设备，以使所述第一5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道；

通过所述第二连接将所述第一5G终端设备的设备信息发送给第二5G终端设备，以使所述第二5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第二5G终端设备至所述第一5G终端设备的VPN隧道。

6.根据权利要求5所述的方法，其特征在于，所述UPF的属性信息包括所述UPF的5G虚拟网络组标识和所述UPF的IP地址，所述第一5G终端设备或第二5G终端设备的设备信息包括第一5G终端设备或第二5G终端设备的5G虚拟网络组标识以及第一5G终端设备或第二5G终端设备的IP地址，

所述基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接，包括：

获取第一5G终端设备发送的连接请求，所述连接请求包含第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与所述第一5G终端设备的5G虚拟网络组标识和第一5G终端设备的IP地址所对应的表项，若存在对应表项，则向第一5G终端设备发送连接响应，以建立第一连接，若不存在对应表项，则不响应所述连接请求；

基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接，包括：

获取第二5G终端设备发送的连接请求，所述连接请求包含第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址，检查5G虚拟网络组表中是否存在与所述第二5G终端设备的5G虚拟网络组标识和第二5G终端设备的IP地址所对应的表项，若存在对应表项，则向第二5G终端设备发送连接响应，以建立第二连接，若不存在对应表项，则不响应所述连接请求。

7.根据权利要求5所述的方法，其特征在于，所述方法进一步包括：

接收第一5G终端设备通过隧道端口发送的隧道报文，所述隧道报文包括隧道报文头信息，所述隧道报文头信息包含所述VPN隧道关联的第二5G终端设备的IP地址；基于所述隧道报文头信息中的第二5G终端设备的IP地址，将所述隧道报文转发给第二5G终端设备。

8.一种VPN隧道建立装置，其特征在于，所述装置包括：

连接建立单元，用于获取用户面网元UPF的属性信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述UPF建立第一连接；

信息接收单元，用于通过所述第一连接接收所述UPF发送的第二5G终端设备的设备信息；

隧道建立单元，用于根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道。

9.一种VPN隧道建立装置，其特征在于，所述装置包括：

第一连接建立单元，用于获取第一5G终端设备的设备信息，基于所述第一5G终端设备的设备信息和所述UPF的属性信息与所述第一5G终端设备建立第一连接；

第二连接建立单元，用于获取第二5G终端设备的设备信息，基于所述第二5G终端设备的设备信息和所述UPF的属性信息与所述第二5G终端设备建立第二连接；

第一隧道建立单元，用于通过所述第一连接将所述第二5G终端设备的设备信息发送给第一5G终端设备，以使所述第一5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第一5G终端设备至所述第二5G终端设备的VPN隧道；

第二隧道建立单元，用于通过所述第二连接将所述第一5G终端设备的设备信息发送给第二5G终端设备，以使所述第二5G终端设备根据所述第二5G终端设备的设备信息和所述第一5G终端设备的设备信息建立所述第二5G终端设备至所述第一5G终端设备的VPN隧道。

10.一种电子设备，其特征在于，所述电子设备包括计算机可读存储介质、处理器；所述计算机可读存储介质，用于存储在存储器上并可在处理器上运行的计算机程序；所述处理器，用于执行所述计算机程序，以实现权利要求1-4中任意一项所述方法中的步骤，或者，实现权利要求5-7中任意一项所述方法中的步骤。

Images