CN115913617A - 云组网系统、安全访问方法、设备及存储介质 - Google Patents

Abstract

本申请实施例提供一种云组网系统、安全访问方法、设备及存储介质。在本申请实施例中，在基于TR的组网系统中，引入安全管控VPC，在安全管控VPC中使用GWLB，将GWLB作为对外提供安全服务的暴露对象；由于GWLB与TR不在同一平面，在该组网系统中进一步增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。进一步，还有利于简化TR组网场景中安全服务的接入实现，流量转发路径较短，有利于降低路径上的传输时延。

Description

云组网系统、安全访问方法、设备及存储介质

技术领域

本申请涉及云计算技术领域，尤其涉及一种云组网系统、安全访问方法、设备及存储介质。

背景技术

随着云计算技术的发展，用户可以在云网络上构建自己的虚拟私有云(VirtualPrivate Cloud，VPC)，VPC是一个隔离的、允许用户自己管理配置和策略的虚拟网络环境，不同VPC相互隔离，实现数据、服务的安全。

在实际应用中，不同VPC之间可能需要互通，于是出现了转发路由器(TransitRouter，TR)，通过TR可以实现不同VPC之间的互通，不同VPC之间的服务可以互访，简称为TR组网场景。

但是，VPC的初衷是安全隔离，不同VPC互通之后，不同VPC之间的服务可以互访，这相当于对VPC的安全性降级，所以TR组网场景面临着如何解决跨VPC互访时的安全问题。

发明内容

本申请的多个方面提供一种云组网系统、安全访问方法、设备及存储介质，用以解决TR组网场景面临的跨VPC互访时的安全问题。

本申请实施例提供一种云组网系统，包括：转发路由器TR，以及与所述TR互联的多个客户虚拟私有云VPC；所述多个客户VPC之间通过所述TR进行服务互访；所述云组网系统还包括：安全管控VPC，所述安全管控VPC中包括网关型负载均衡设备GWLB以及与所述GWLB互联的多个安全服务节点，用于对外提供安全服务；在所述云组网系统中还部署有GWLB连接组件，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联；所述TR上配置有默认指向所述GWLB连接组件的至少一条安全路由信息，用于在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过所述GWLB连接组件和所述GWLB使用所述安全管控VPC中的安全服务节点为所述服务访问过程提供安全服务。

本申请实施例还提供一种安全访问方法，应用于云组网系统中的转发路由器TR，所述方法包括：接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；若所述第一隧道报文对应的路由信息属于安全路由信息，将所述第一隧道报文发送给云组网系统中的GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对所述原始报文进行安全认证；其中，所述安全路由信息指向所述GWLB连接组件，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

本申请实施例还提供一种安全访问方法，应用于云组网系统中的网关型负载均衡设备GWLB连接组件，所述方法包括：接收云组网系统中的转发路由器TR发送的第一隧道报文，所述第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；从所述第一隧道报文中解析出所述原始报文，将所述原始报文发送给安全管控VPC中的GWLB，以使所述GWLB将所述原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证；所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

本申请实施例还提供一种安全访问方法，应用于云组网系统中的虚拟私有云VPC连接组件，所述方法包括：接收其所在客户VPC中客户端请求访问目标服务的原始报文；根据预先配置的指向转发路由器TR的路由信息，将所述原始报文封装为第一隧道报文；将所述第一隧道报文发送给所述TR，以通过所述TR与提供所述目标服务的另一客户VPC进行服务互访。

本申请实施例提供一种安全访问装置，可位于云组网系统中的转发路由器TR中实现，该装置包括：存储模块，用于存储默认指向云组网系统中的网关型负载均衡设备GWLB连接组件的至少一条安全路由信息；接收模块，用于接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；发送模块，用于在所述第一隧道报文对应的路由信息属于安全路由信息的情况下，将所述第一隧道报文发送给所述GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对所述原始报文进行安全认证；其中，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

本申请实施例提供一种转发路由器，可应用于云组网系统中，包括：存储器和处理器；所述存储器用于存储计算机程序和默认指向云组网系统中的网关型负载均衡设备GWLB连接组件的至少一条安全路由信息；所述处理器，与所述存储器耦合，用于执行所述计算机程序，以用于执行本申请实施例提供的可由转发路由器执行的方法中的步骤。

本申请实施例提供一种安全访问装置，安全访问装置，可位于云组网系统中的网关型负载均衡设备GWLB连接组件中实现，该装置包括：接收模块，用于接收云组网系统中的转发路由器TR发送的第一隧道报文，所述第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；解封装模块，用于从所述第一隧道报文中解析出所述原始报文；发送模块，用于将所述原始报文发送给安全管控VPC中的GWLB，以使所述GWLB将所述原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证；所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

本申请实施例提供一种云计算设备，可作为云组网系统中的网关型负载均衡设备GWLB连接组件实现，包括：存储器和处理器；所述存储器用于存储计算机程序，所述处理器，与所述存储器耦合，用于执行所述计算机程序，以用于执行本申请实施例提供的可由GWLB连接组件执行的方法中的步骤。

本申请实施例提供一种云计算设备，可作为云组网系统中的虚拟私有云VPC连接组件实现，包括：存储器和处理器；所述存储器用于存储计算机程序，所述处理器，与所述存储器耦合，用于执行所述计算机程序，以用于执行本申请实施例提供的可由VPC连接组件执行的方法中的步骤。

本申请实施例提供一种存储有计算机程序的计算机可读存储介质，当所述计算机程序被处理器执行时，致使所述处理器能够实现本申请实施例提供的各方法中的步骤。

在本申请实施例中，在基于TR的组网系统中，引入安全管控VPC，在安全管控VPC中使用GWLB，将GWLB作为对外提供安全服务的暴露对象；由于GWLB与TR不在同一平面，在该组网系统中进一步增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

另外，在本申请实施例中，直接在TR和GWLB之间增加GWLB连接组件的方式，有利于简化TR组网场景中安全服务的接入实现，客户VPC之间的互访流量只需经TR和GWLB连接组件流入GWLB进而使用安全服务，流量转发路径较短，有利于降低路径上的传输时延。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1a为本申请示例性实施例提供的一种云组网系统的结构示意图；

图1b为本申请示例性实施例提供的另一云网络系统的结构示意图；

图2a为本申请示例性实施例提供的一种安全访问方法的流程示意图；

图2b为本申请示例性实施例提供的另一种安全访问方法的流程示意图；

图2c为本申请示例性实施例提供的又一种安全访问方法的流程示意图；

图3a为本申请示例性实施例提供的一种安全访问装置的结构示意图；

图3b为本申请示例性实施例提供的另一种安全访问装置的结构示意图；

图3c为本申请示例性实施例提供的又一种安全访问装置的结构示意图；

图4为本申请示例性实施例提供的转发路由器的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

现有TR组网场景面临着如何解决跨VPC互访时的安全问题，针对该技术问题，在本申请实施例中，在基于TR的组网系统中，引入安全管控VPC，在安全管控VPC中使用GWLB，将GWLB作为对外提供安全服务的暴露对象；由于GWLB与TR不再同一平面，在该组网系统中进一步增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

另外，在本申请实施例中，直接在TR和GWLB之间增加GWLB连接组件的方式，有利于简化TR组网场景中安全服务的接入实现，客户VPC之间的互访流量只需经TR和GWLB连接组件流入GWLB进而使用安全服务，流量转发路径较短，有利于降低路径上的传输时延。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1a为本申请示例性实施例提供的一种云组网系统的结构示意图。如图1a所示，该系统100包括：转发路由器(Transit Router，TR)10，以及与TR 10互联的多个客户VPC(Customer VPC)。在图1a中，以两个客户VPC为例进行图示，分别是客户VPC 11和客户VPC12。

在本实施例中，TR 10是指具有流量转发功能的网元实例，可以在不同网络实例之间进行流量转发。在本申请实施例中，网络实例主要指客户VPC，但并不限于此，例如还可以是边界路由器(Virtual Border Router，VBR)实例，或者云连接网(Cloud ConnectNetwork，CCN)实例。需要说明的是，本实施例中通过TR互联的客户VPC可以位于同一区域(Region)内，也可以位于不同区域内，也就是说，TR可以转发同区域内或不同区域间的流量。需要说明的是，TR可以有多种实现形态，除了可以实现为路由器形态之外，还可以实现为网关形态，例如可以具体实现为转发网关(Transit Gateway，TGW)，在图1a中以TGW为例进行图示。在本实施例中，TR 10为了实现不同客户VPC的互联和流量转发，至少具有与客户VPC互联、支持路由表、以及允许添加路由条目或路由策略等丰富的网络互通和路由管理功能。

在本实施例中，客户VPC是一种VPC，VPC是采用虚拟化技术在物理网络上构建出的逻辑隔离的网络环境。其中，物理网络包括各种物理资源，例如，物理机、交换机或网关等。一个区域中的物理资源上可以部署一个或多个客户VPC，同一客户VPC通常部署在一个区域中。每个客户VPC中包括至少一个计算节点，该计算节点可以是弹性计算服务(ElasticCompute Service，ECS)实例、裸金属服务器、虚拟机等，在一个区域中部署客户VPC，具体是指，在该区域中的物理机上部署客户VPC中的计算节点。这些计算节点上可以部署各种服务，可选地，同一VPC中可以部署一种服务，也可以部署多种服务，对此不做限定。另外，同一VPC中的同一种服务，可以由多个服务实例提供，也可以由一个服务实例提供。可选地，可提供服务的服务实例可以是部署于计算节点上的容器、虚拟机或应用等。

这些客户VPC可以位于同一区域，也可以位于不同区域；每个区域包括一个或多个可用区(Azone)，对于位于同一区域内的客户VPC，可以位于同一可用区内，也可以分布在不同的可用区内。另外，对同一客户VPC，其可以位于同一区域中的同一可用区内，也可以分布在同一区域的不同可用区内，即跨可用区实现；或者，也可以跨区域实现，即同一客户VPC分布在不同的区域中，具体可以分布在不同区域的不同可用区内。在本实施例中，对于同一客户VPC分布在一个或多个可用区的情况，也可以称为该客户VPC包括至少一个可用区。在图1a中，客户VPC 11包括两个可用区AZ1和AZ2，也就是说，客户VPC 11分布在可用区AZ1和AZ2中；相应地，客户VPC 12包括两个可用区AZ3和AZ4，也就是说，客户VPC12分布在两个可用区AZ3和AZ4中。

在本实施例中，为了满足更大范围的组网需求，例如企业级的组网需求，需要多个客户VPC之间进行互联。具体地，多个客户VPC之间通过TR 10进行互联，并且可以通过TR 10进行服务互访。如图1a所示，客户VPC 11和客户VPC 12通过TR 10互联。在本实施例中，TR10不属于客户VPC，它属于系统层面的网元实例，可选地，可以部署在云组网系统100的系统VPC中。考虑到TR 10与客户VPC不在同一平面，一个属于系统VPC，一个是客户VPC，为了实现客户VPC与TR 10之间的互联，本申请实施例提出一种产品对象，即VPC连接组件(VPCAttachment)，VPC连接组件被部署在客户VPC中，并被挂载到TR 10下面，用于与TR 10互联，进而实现其所在客户VPC与TR 10之间的互联。如图1a所示，客户VPC11中部署有VPC连接组件11a，客户VPC 12中部署有VPC连接组件12a，且VPC连接组件11a和VPC连接组件12a分别与TR 10互联。其中，将VPC连接组件挂载到TR 10下面是指在TR 10上添加VPC连接组件的标识，建立TR 10与VPC连接组件之间的绑定关系。另外，为了达到多个客户VPC之间通过TR 10进行互联的目的，在VPC连接组件上配置有默认指向TR 10的路由信息，基于该路由信息，客户VPC中到达VPC连接组件的所有报文会被发送给TR 10。当然，在将报文发送给TR 10之前，还可以采用客户VPC使用的隧道协议对报文进行隧道封装。为了便于区分和描述，在本申请实施例中，将隧道封装之前的报文称为原始报文，将经过隧道封装后的报文称为隧道报文。也就是说，VPC连接组件不仅具有路由功能还具有隧道封装和解封装功能。

在本实施例中，每个客户VPC具有自己可用的IP地址网段，该客户VPC内的服务实例可以从该客户VPC的IP地址网段中分配IP地址。从访问角色的角度，对客户VPC中的服务实例进行划分，将发起访问请求的服务实例称为客户端(client)，将提供服务的服务实例称为服务端(Server)。在图1a中，客户VPC 11中的可用区AZ1中包括客户端(client)，客户VPC 12中的可用区AZ4中包括服务端(Server)，且客户VPC 11中的客户端可以通过TR10访问客户VPC 12中的服务端提供的服务，为便于描述，将客户VPC 12中的服务端提供的服务称为目标服务。在基于TR实现互联的情况下，客户VPC 11中的客户端可以通过TR 10访问客户VPC 12中的服务端提供的目标服务，该服务访问过程如图1a所示，包括：

步骤1，客户VPC 11中的客户端向客户VPC 11中的VPC连接组件11a发起访问目标服务的原始报文，该原始报文可以是服务请求，但不限于此。

在本实施例中，客户端发起的原始报文具有五元组信息，该五元组信息中的源IP地址为客户端的IP地址，源端口号为客户端的端口号，目的IP地址为目标服务(或者服务端)的IP地址，目的端口号为目标服务(或服务端)的端口号，传输协议可以是TCP或UDP，本申请实施例对此不做限定。

步骤2，VPC连接组件11a接收客户端发起的原始报文，基于本地预先配置的默认指向TR 10的路由信息，将该原始报文封装为第一隧道报文，并将第一隧道报文发送给TR 10。

具体地，VPC连接组件11a为原始报文添加第一隧道封装信息，生成第一隧道报文。第一隧道封装信息包括客户VPC 11对应的隧道标识(ID)以及隧道五元组信息，该隧道五元组信息中的源IP地址为VPC连接组件11a对应的IP地址，具体可以是VPC连接组件11a自身的IP地址或者是承载VPC连接组件11a的虚拟网卡设备的IP地址，源端口号为随机分配的端口号或者默认端口号，目的IP地址为TR 10的IP地址，目的端口号为TR 10的端口号。

步骤3，TR 10根据预先配置的客户VPC 11与客户VPC 12之间的路由信息，将第一隧道报文封装为第二隧道报文，并将第二隧道报文发送给客户VPC 12中的VPC连接组件12a。

具体地，TR 10将第一隧道报文中的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文。第二隧道封装信息包括客户VPC 12对应的隧道标ID以及隧道五元组信息，该隧道五元组信息中的源IP地址为TR 10的IP地址，源端口号为TR 10的端口号，目的IP地址为VPC连接组件12a对应的IP地址，具体可以是VPC连接组件12a自身的IP地址或者是承载VPC连接组件12a的虚拟网卡设备的IP地址，目的端口号为随机分配的端口号或者默认端口号。为了实现跨VPC的互访，TR 10除了具有跨VPC的路由功能之外，还具有隧道解封装和再封装功能。

步骤4，VPC连接组件12a对第二隧道报文进行解析，得到原始报文，将原始报文发送给客户VPC 12中AZ4中的服务端，使得该服务端为客户端提供目标服务。

服务端为客户端提供目标服务之后，采用步骤5-8所示的流程向客户端返回服务结果。其中，步骤5-8是上述步骤1-4的逆过程，其处理操作相同或相似，在此不再详述。

在上述服务访问过程中，有可能会给客户VPC11和客户VPC 12带来安全风险。为了保证客户VPC互访时的安全性，在本申请实施例的云组网系统100中引入了安全管控VPC13，安全管控VPC 13也是一种VPC，具有VPC的通用属性和特性，不再赘述。其中，安全管控VPC 13可以是第三方服务商提供的，也可以是云组网系统100的云厂商提供的，还可以是客户VPC所属客户自身提供的，对此不做限定。安全管控VPC 13中包括多个安全服务节点，用于对外提供安全服务，具体是指在客户VPC的服务互访过程中提供安全服务，确保客户VPC的安全性。通过这些安全服务可以配置哪些流量是可以放行的，哪些流量是不能放行的，即需要被过滤或丢弃，从而保证客户VPC互访时的安全性。

在本实施例中，并不限定安全管控VPC 13对外提供的安全服务的形式，相应地，也不限定安全服务节点的实现形态。例如，安全服务节点可以是但不限于：防火墙、入侵检测和防御系统、深度数据包检测系统等。在本实施例中，安全管控VPC 13可以仅包含同一种安全服务节点，例如所有安全服务节点均为防火墙，从而对外提供一种安全服务；当然，安全管控VPC 13也可以同时包含多种不同的安全服务节点，例如该安全管控VPC 13中同时包含防火墙和深度数据包检测系统，从而对外提供不同的安全服务，对此不做限定。在图1a中，安全管控VPC 13包括两个可用区，分别是可用区AZ5和AZ6，且以安全服务节点是防火墙为例进行图示，但并不限于此。在此说明，图1a中，各VPC中包含的可用区可以是相同的可用区，也可以是不同的可用区。例如，可用区AZ1和可用区AZ3是同一可用区，可用区AZ2和可用区AZ4是同一可用区；当然，也可以是可用区AZ1和可用区AZ3是不同的可用区，可用区AZ2和可用区AZ4是不同的可用区。

在本实施例中，安全管控VPC 13面向云组网系统100中的各客户VPC提供安全服务，为了保证安全管控VPC 13的高可用性和可扩展性，在安全管控VPC 13中采用网关型负载均衡设备(Gateway Load Balancer，GWLB)，安全管控VPC 13中负责提供安全服务的安全服务节点挂载在GWLB之后，安全管控VPC 13对外暴露的服务对象为GWLB，从而对外提供基于负载均衡的安全服务。基于GWLB使得安全管控VPC 13中部署、扩展和管理安全服务节点的可用性变得简单且经济高效。但是，因为GWLB与TR不在同一平面，不能直接互联，例如为了实现客户端与服务端之间的通信，TR使用隧道技术，而GWLB并未使用隧道技术，所以两者无法直接互联。于是，在本实施例的云组网系统100中增加一种新的产品对象即GWLB连接组件(GWLB Attachment)14，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联。

本实施例的GWLB连接组件作为具有流量转发功能的网元实例，是一种逻辑产品对象，可以认为是一种特殊类型的私网连接(privatelink)的终端端点(endpoint)，该特殊类型的endpoint与传统私网连接的endpoint相比，功能更丰富。其中，GWLB连接组件至少具有以下功能：一方面GWLB连接组件14可以与指定的GWLB进行关联，能够直接连接到其关联的GWLB，可以理解为该GWLB连接组件具备负载均衡能力，被汇聚到GWLB连接组件的流量可经GWLB被负载到各个安全服务节点上进行安全处理；另一方面GWLB连接组件14类似VPC连接组件，能够与TR 10互联，而且能够作为TR 10在路由信息中的下一跳，在TR 10上做路由配置的时候，可以将GWLB连接组件配置为下一跳，可以理解为该GWLB连接组件具备网关能力，对TR组网中来自网关TR 10的边界流量具有汇聚作用。简单来说，本实施例的GWLB连接组件14同时融合了网关和负载均衡能力，一方面能够将TR组网中来自网关边界的流量汇聚到一起，另一方面借助于GWLB的负载均衡能力可将汇聚到一起的流量负载均衡到各个安全服务节点上。再者，GWLB连接组件还融合了隧道封装和解封装功能，以与TR 10的隧道功能相适配。

基于上述，还可以通过在TR 10上配置默认指向GWLB连接组件的安全路由信息，安全路由信息是指需要使用安全管控VPC提供安全服务的路由信息，每条安全路由信息涉及两个客户VPC，表示两个客户VPC之间的流量需要经过安全处理，可选地，可以配置两个客户VPC之间的流量可以支持单向安全处理，也可以支持双向安全处理。对于安全路由信息，其下一跳是GWLB连接组件14，用于通过GWLB连接组件14将两个客户VPC之间需要进行安全处理的流量引入到安全管控VPC中进行安全处理。

在本实施例中，安全路由信息涉及的是两个客户VPC之间的流量，安全路由信息中包括其涉及的两个客户VPC的网段信息，如果是单向安全处理，则该安全路由信息表示从一个客户VPC发往另一个客户VPC的全部流量需要经过安全管控VPC 13中的安全服务节点进行安全处理；如果是双向安全处理，则该安全路由信息表示两个客户VPC之间的全部流量需要经过安全管控VPC 13中的安全服务节点进行安全处理。以客户VPC 11和客户VPC 12为例，可以配置一条支持单向安全处理的安全路由信息：客户VPC 11->客户VPC 12需经安全处理，其下一跳是GWLB连接组件，在该安全路由信息中包括客户VPC 11的网段信息和客户VPC12的网段信息。继续以客户VPC 11和客户VPC 12为例，可以配置一条支持双向安全处理的安全路由信息：客户VPC 11->客户VPC 12需经安全处理，客户VPC 12->客户VPC 11需经安全处理，其下一跳是GWLB连接组件，在该安全路由信息中包括客户VPC 11的网段信息和客户VPC 12的网段信息。

基于上述安全路由信息，TR 10可以将安全路由信息对应的两个客户VPC之间需要进行安全处理的流量通过GWLB连接组件和GWLB引入安全管控VPC 13中进行安全处理，也就是说能够在安全路由信息对应的两个客户VPC进行服务访问过程中，通过GWLB连接组件和GWLB使用所述安全管控VPC中的安全服务节点为该服务访问过程提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

在此说明，TR 10上除了可以配置安全路由信息之外，也可以配置常规路由信息，常规路由信息同样涉及两个客户VPC，但是这两个客户VPC之间的流量无需经过安全处理，即不需要进行安全处理，对于这种路由信息，两个客户VPC之间的服务访问过程可以按照上述步骤1-8描述的流程进行处理，在本申请实施例中不做重点描述。

进一步，在增加安全管控VPC和GWLB连接组件的基础上，结合TR 10上预先配置的安全路由信息和常规路由信息，云组网系统100中的任一客户VPC中的任一客户端都可以向另一客户VPC发起服务访问；任一客户VPC中的VPC连接组件可接收其所在客户VPC中客户端发起的原始报文，将该原始报文封装成第一隧道报文，并基于指向TR 10的路由信息将第一隧道报文发送给TR 10。对TR 10来说，可以接收来自任一客户VPC的第一隧道报文，识别第一隧道报文对应的路由信息是否为安全路由信息；若第一隧道报文对应的路由信息属于安全路由信息，则将第一隧道报文发送给GWLB连接组件14，以通过GWLB使用安全管控VPC 13中的安全服务节点对原始报文进行安全认证。

具体地，TR 10在识别第一隧道报文对应的路由信息是否为安全路由信息时，可以从第一隧道报文中解析出原始报文，根据原始报文中的源IP地址和目的IP地址，确定源客户VPC和目的客户VPC的网段信息；原始报文中的源IP地址是客户端的IP地址，则根据客户端的IP地址可以确定客户端所属客户VPC的网段信息，该客户VPC也就是源客户VPC；相应地，原始报文中的目的IP地址是目标服务或服务端的IP地址，则根据目标服务或服务端的IP地址可以确定目标服务或服务端所属客户VPC的网段信息，该客户VPC也就是目的客户VPC；根据源客户VPC和目的客户VPC的网段信息在至少一条安全路由信息中匹配；若匹配中某条安全路由信息，确定第一隧道报文对应的路由信息为安全路由信息，被匹配中的安全路由信息即为第一隧道报文对应的路由信息。

对GWLB连接组件14而言，可以接收安全管控VPC 13发送的第一隧道报文，从第一隧道报文中解析出原始报文，将原始报文发送给GWLB，以使GWLB将原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证。进一步可选地，GWLB连接组件14还可以对第一隧道报文进行会话管理，记录第一隧道报文对应的会话信息，该会话信息包括第一隧道报文对应的第一隧道封装信息，以及原始报文中的五元组信息等，以便于通过该会话信息在原始报文通过安全认证的情况下，重新向TR 10返回第一隧道报文。

接续上文，GWLB接收GWLB连接组件14发送的原始报文，一方面对原始报文进行会话管理，维护原始报文所属的会话连接，记录原始报文的会话信息，该会话信息可包括原始报文的五元组信息等；另一方面将原始报文负载均衡至安全管控VPC中的目标安全服务节点上，以使目标安全服务节点基于本地安全策略对原始报文进行安全认证；在原始报文通过安全认证的情况下，目标安全服务节点根据原始报文生成安全报文，并向GWLB返回安全报文。可选地，在原始报文未通过安全认证的情况下，目标安全服务节点可以将该原始报文丢弃。可选地，安全报文与原始报文的载荷信息相同，且包含原始报文中的五元组信息，区别在于报文格式不同。可选地，GWLB可以采用各种负载均衡算法，例如对原始报文的五元组进行哈希处理，从而将原始报文负载均衡至安全管控VPC中的目标安全服务节点上，且可以将属于同一会话的原始报文尽量负载均衡至同一安全服务节点上，但并不限于此。

GWLB接收到安全报文之后，会将该安全报文返回给GWLB连接组件14；GWLB连接组件14还用于接收GWLB返回的安全报文，根据第一隧道报文对应的会话信息和该安全报文重新生成第一隧道报文并返回给TR 10。具体地，GWLB连接组件14可以根据安全报文中携带的原始报文中的五元组信息，在各隧道报文对应的会话信息中进行匹配，从而确定该安全报文对应于第一隧道报文对应的会话信息；然后，根据第一隧道报文对应的会话信息中的第一隧道封装信息，对安全报文进行隧道封装，重新得到第一隧道报文。例如，可以为安全报文添加第一隧道封装信息，得到第一隧道报文。可选地，GWLB可以根据上述会话信息，确定需要将第一隧道报文返回给TR 10，或者，也会维护指向TR 10的路由信息，基于该路由信息可以将重新封装得到的第一隧道报文发送给TR 10。

进一步，TR 10还会接收TR返回的第一隧道报文，根据第一隧道报文对应的安全路由信息，可以将第一隧道报文封装为第二隧道报文并提供给提供目标服务的另一客户VPC，以使另一客户VPC为上述请求目标服务的任一客户VPC提供所述目标服务。具体地，根据第一隧道报文对应的安全路由信息，可以确定第二隧道封装信息，将第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文。其中，第一隧道封装信息包括请求目标服务的任一客户VPC对应的隧道ID以及对应的隧道五元组信息，该隧道五元组信息中的源IP地址是任一客户VPC中VPC连接组件对应的IP地址，源端口号为随机分配的端口号或者默认端口号，目的IP地址为TR 10的IP地址，目的端口号为TR 10的端口号。根据第一隧道报文对应的安全路由信息中另一客户VPC的网段信息，可以确定另一客户VPC是谁，进而基于客户VPC与隧道ID之间的对应关系，可确定另一客户VPC对应的隧道ID；除此之外，还可以确定另一客户VPC中VPC连接组件对应的IP地址作为第二隧道封装信息中的目的IP地址，该IP地址指向目标服务。在另一客户VPC中VPC连接组件对应多个IP地址，且多个IP地址都能指向目标服务的情况下，可以采用哈希算法或随机选择算法等，从多个IP地址中选择一个IP地址。例如，可以对第一隧道报文中的隧道五元组信息进行哈希处理，根据哈希结果对应的IP地址。据此确定第二隧道封装信息，第二隧道封装信息包括提供目标服务的另一客户VPC对应的隧道ID以及对应的隧道五元组信息，该隧道五元组信息中的源IP地址是TR 10的IP地址，源端口号为TR 10的端口号，目的IP地址是另一客户VPC中VPC连接组件对应的IP地址，目的端口号为随机分配的端口号或者默认端口号或者默认端口号。

在此说明，在上述实施例中，在确定另一客户VPC中VPC连接组件对应的IP地址作为第二隧道封装信息中的目的IP地址时，对客户端和服务端是否必须位于同一可用区不做限定。在一可选实施例中，根据应用需求需要客户端和服务端位于同一可用区，则在确定另一客户VPC中VPC连接组件对应的IP地址时，可以结合客户端所在可用区来确定，具体地，可以从另一客户VPC中VPC连接组件对应的多个IP地址中选择位于客户端所在可用区内的IP地址，作为第二隧道封装信息中的目的IP地址。其中，TR 10可以根据用户的配置信息获取客户端所在的可用区信息，或者，也可以在原始报文的报文头中携带客户端所在的可用区信息，TR 10通过对第一隧道报文进行解析，从原始报文的报文头中获取客户端所在的可用区信息。

其中，第二隧道报文被发送给另一客户VPC中的VPC连接组件之后，该VPC连接组件从第二隧道报文中解析出安全报文，将安全报文提供给服务端，由服务端提供目标服务，服务结果可依次通过另一客户VPC中的VPC连接组件、TR 10，发起服务访问的任一客户VPC中的VPC连接组件，直至到达客户端。在该过程中，也会涉及报文的封装、解封装过程，对此不做详述。

以上描述了第一隧道报文对应的路由信息属于安全路由信息的安全访问过程。可选地，第一隧道报文对应的路由信息也可能是常规路由信息，则在第一隧道报文对应的路由信息是常规路由信息的情况下，TR 10可以直接根据第一隧道报文对应的常规路由信息，确定第二隧道封装信息，将第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文，将第二隧道报文发送给提供目标服务的另一客户VPC中的VPC连接组件；该VPC连接组件从第二隧道报文中解析出安全报文，将安全报文提供给服务端，由服务端提供目标服务，服务结果可依次通过另一客户VPC中的VPC连接组件、TR 10，发起服务访问的任一客户VPC中的VPC连接组件，直至到达客户端。在该过程中，也会涉及报文的封装、解封装过程，对此不做详述。

为便于更清楚的理解本申请实施例提供的云组网系统100中客户VPC之间进行安全互访的过程，结合图1a，以客户VPC 11中的客户端通过TR 10访问客户VPC 12中的服务端提供的目标服务的过程为例，结合图1a，对整个服务访问过程进行示例性说明：

步骤1，客户VPC 11中的客户端向客户VPC 11中的VPC连接组件11a发起访问目标服务的原始报文，该原始报文可以是服务请求，但不限于此。

步骤2，VPC连接组件11a接收客户端发起的原始报文，基于本地预先配置的默认指向TR 10的路由信息，将该原始报文封装为第一隧道报文，并将第一隧道报文发送给TR 10。

步骤2.1，TR 10接收VPC连接组件11a发送的第一隧道报文，在第一隧道报文对应的路由信息属于安全路由信息的情况下，将第一隧道报文发送给GWLB连接组件14。

步骤2.2，GWLB连接组件14接收安全管控VPC 13发送的第一隧道报文，从第一隧道报文中解析出原始报文，将原始报文发送给GWLB。

步骤2.3，GWLB接收GWLB连接组件14发送的原始报文，将原始报文负载均衡至安全管控VPC中的目标安全服务节点上，以使目标安全服务节点基于本地安全策略对原始报文进行安全认证。

步骤2.4，在原始报文通过安全认证的情况下，目标安全服务节点根据原始报文生成安全报文，并向GWLB返回安全报文。

步骤2.5，GWLB接收到安全报文之后，会将该安全报文返回给GWLB连接组件14。

步骤2.6，GWLB连接组件14接收到安全报文后，重新生成第一隧道报文并返回给TR10。

步骤3，TR 10根据预先配置的客户VPC 11与客户VPC 12之间的安全路由信息，将第一隧道报文封装为第二隧道报文，并将第二隧道报文发送给客户VPC 12中的VPC连接组件12a。

步骤4，VPC连接组件12a对第二隧道报文进行解析，得到安全报文，将安全报文发送给客户VPC 12中AZ4中的服务端，使得该服务端为客户端提供目标服务。

步骤5，服务端向VPC连接组件12a返回服务结果。

步骤6，VPC连接组件12a将服务结果封装为第三隧道报文，并发送给TR 10。

第三隧道报文对应的第三隧道封装信息，第三隧道封装信息包括客户VPC 12对应的隧道ID以及隧道五元组信息，该隧道五元组信息中的源IP地址是VPC连接组件12a对应的IP地址，源端口号是随机分配的端口号，目的IP地址是TR 10的IP地址，目的端口号是TR 10的端口号。

步骤7，TR 10将第三隧道报文封装为第四隧道报文，并发送给VPC连接组件11a。

进一步可选地，在步骤7中，若预先配置的客户VPC 11与客户VPC 12之间的安全路由信息是需要单向安全处理，则TR 10在接收到VPC连接组件12a发送的第三隧道报文之后，直接将第三隧道报文封装为第四隧道报文，并发送给VPC连接组件11a。

进一步可选地，在步骤7中，若预先配置的客户VPC 11与客户VPC 12之间的安全路由信息是需要双向安全处理，则在执行步骤7之前，TR 10可以参照步骤2.1-2.6的过程对第三隧道报文进行处理，当接收到GWLB连接组件14重新返回的第三隧道报文时再执行步骤7中将第三隧道报文封装为第四隧道报文并发送给VPC连接组件11a的操作，关于参照步骤2.1-2.6对第三隧道报文进行处理的过程与对第一隧道报文进行处理的过程相同或相似，在此不再赘述。

具体地，将第三隧道报文对应的第三隧道封装信息替换为第四隧道封装信息，得到第四隧道报文。第四隧道封装信息包括客户VPC 11对应的隧道ID以及隧道五元组信息，该隧道五元组信息中的源IP地址是TR 10的IP地址，源端口号是TR 10的端口号，目的IP地址是VPC连接组件11a对应的IP地址，目的端口号是随机分配的端口号。

步骤8，VPC连接组件11a对第四隧道报文进行解析，得到服务结果，将服务结果发送给客户端。

进一步可选地，在第一隧道报文对应的路由信息属于常规路由信息的情况下，则可以跳过步骤2.1-2.6，直接进入步骤3-8。

在本申请上述实施例中，在基于TR的云组网系统中，引入安全管控VPC，在安全管控VPC中使用GWLB，将GWLB作为对外提供安全服务的暴露对象；由于GWLB与TR不再同一平面，在该组网系统中进一步增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

另外，需要说明的是，除了采用本实施例中直接在TR和GWLB之间增加GWLB连接组件，实现TR和GWLB之间的互联之外，也可以采用图1b所示方式，在TR和GWLB之间增加一个中间VPC，在该中间VPC中部署VPC连接组件和GWLB对应的终端节点(Gateway Load Balancerendpoint，GWLBe)，GWLBe与GWLB互联，GWLBe与VPC连接组件，VPC连接组件再与TR 10互联。在图1b中，以中间VPC包括两个可用区AZ7和AZ8为例进行图示，但并不限于此。在图1b所示系统中，在TR与防火墙之间的安全访问过程包括步骤3.1-步骤3.8，需要依次经过中间VPC中的VPC连接组件，GWLBe，GWLB才能到防火墙，该流量转发路径相对较长，传输时延相对较大，但同样可以实现TR组网场景中安全服务的接入，解决TR组网场景中跨VPC服务互访时的安全问题。相比于通过中间VPC、VPC连接组件和GWLBe实现TR与GWLB互联的方式，在本申请实施例中，直接在TR和GWLB之间增加GWLB连接组件，由GWLB连接组件实现TR与GWLB互联，有利于简化TR组网场景中安全服务的接入实现；而且客户VPC之间的互访流量只需经TR和GWLB连接组件流入GWLB进而使用安全服务，流量转发路径较短，有利于降低路径上的传输时延。

关于步骤3.1-步骤3.8进行简单描述：步骤3.1，TR将第一隧道报文发送给中间VPC中的VPC连接组件；步骤3.2，中间VPC中的VPC连接组件从第一隧道报文中解析出原始报文，将原始报文发送给GWLBe；步骤3.3，GWLBe将原始报文发送给GWLB；步骤3.4，GWLB将原始报文负载均衡至安全服务节点(例如某个防火墙)上进行安全认证；步骤3.5，安全服务节点在原始报文通过安全认证的情况下，根据原始报文生成安全报文，将安全报文发送给GWLB；步骤3.6，GWLB将安全报文发送给GWLBe；步骤3.7，GWLBe将安全报文发送给中间VPC中的VPC连接组件；步骤3.8，中间VPC中的VPC连接组件重新将安全报文封装成第一隧道报文，并返回给TR。图1b中的步骤1-8与图1a中的步骤1-8相同或相似，不再赘述。

在本申请实施例中，GWLB连接组件作为具有流量转发功能的网元实例，是一种逻辑产品对象，其流量转发功能可由虚拟网卡设备来承载，相应地，安全路由信息和常规路由信息配置在该虚拟网卡设备上，由该虚拟网卡设备与TR进行互联。但是，需要说明的是，GWLB连接组件不属于客户VPC，也不属于安全管控VPC，而是属于系统VPC，GWLB连接组件对客户来说是不可见的，因此不需要消耗各客户VPC和安全管控VPC中的虚拟网卡资源，有利于节约客户VPC的网卡资源。

同理，客户VPC中的VPC连接组件也具有流量转发功能，其流量转发功能可由虚拟网卡设备来承载，相应地，指向TR的路由信息也配置在该虚拟网卡设备上，由该虚拟网卡设备与TR进行互联。进一步，在客户VPC包括至少一个可用区的情况下，该客户VPC中的VPC连接组件可以包括与每个可用区对应的虚拟网卡设备，即可以为每个可用区配置至少一个虚拟网卡设备，优选地，一个可用区对应一个虚拟网卡设备，每个虚拟网网卡设备负责接收其对应可用区内客户端发起的请求访问目标服务的原始报文，将原始报文封装为第一隧道报文，并基于指向TR的路由信息，将第一隧道报文发送给TR。具体地，对虚拟网卡设备来说，还具有隧道封装和解封装功能，可以为原始报文添加第一隧道封装信息，生成第一隧道报文，所述第一隧道封装信息包括该虚拟网卡设备所属客户VPC对应的隧道标识ID、源IP地址为该虚拟网卡设备的IP地址，目的IP地址为TR的IP地址。

在一可选实施例中，虚拟网卡设备可以采用弹性网络接口(Elastic NetworkInterface，ENI)，ENI是一种与各种VPC(例如客户VPC、系统VPC)绑定的虚拟网卡，例如，ENI会为与其绑定的VPC连接组件或GWLB连接组件提供一个私网IP地址，该私网IP地址可以是该ENI所在VPC中的一个IP地址，也就是其所承载的VPC连接组件或GWLB连接组件的IP地址。在本实施例中，ENI的主要作用与TR进行互联，并负责与TR进行流量转发。

在一可选实施例中，本实施例的云组网系统还包括：管控节点。该管控节点属于控制面节点，用于面向客户提供人机交互接口，用于接收客户的各种请求，对客户的请求进行响应。具体地，该管控节点可以响应转发路由器的创建请求，在系统VPC中创建TR；以及响应路由配置操作，在所创建的TR上配置至少一条安全路由信息；另外，在每条安全路由信息对应的两个客户VPC中分别部署VPC连接组件，并在该TR上添加所部署的VPC连接组件的标识，以建立VPC连接组件与TR之间的关联关系。另外，在基于TR的云组网场景中，在客户需要引入基于GWLB的服务的情况下，还可以通过管控节点针对GWLB服务创建GWLB连接组件。具体地，管控节点还可以响应GWLB连接组件的创建请求，在系统VPC中部署GWLB连接组件，并指定该GWLB连接组件关联的GWLB，在本实施例中，该GWLB指向安全管控服务；进一步，还需要在TR上添加GWLB连接组件的标识，以建立TR与GWLB连接组件的对应关系，使得该GWLB连接组件可以作为安全路由信息中的下一跳。需要说明的是，GWLB连接组件的创建和TR的创建过程相对独立，客户可以根据应用需求灵活创建。

需要说明的是，在云组网系统中，TR可以是一个或多个，在图1a中，以一个TR为例进行图示。在TR为多个的情况下，每个TR都有各自对应的GWLB连接组件，多个TR对应的GWLB连接组件可以关联到同一GWLB，即多个TR可以使用同一GWLB所在VPC提供的服务。

需要说明的是，本申请实施例提供的云组网系统不仅适用于引入安全管控VPC的场景，可以拓展至引入任何基于GWLB的中间服务VPC的场景，中间服务VPC是指可以在客户VPC之间通过TR进行服务互访过程中提供某种中间服务的VPC，例如可以是数据清洗服务，或数据计算服务，或安全服务。基于此，本申请实施例还提供另一种云组网系统，该云组网系统，包括TR，以及与TR互联的多个客户VPC；多个客户VPC之间通过TR进行服务互访；进一步，还云组网系统还包括：中间服务VPC，中间服务VPC中包括GWLB以及与GWLB互联的多个中间服务节点，用于对外提供中间服务。进一步，在云组网系统中还部署有GWLB连接组件，GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联。基于此，在TR上配置默认指向GWLB连接组件的至少一条安全路由信息，该TR可以在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过GWLB连接组件和GWLB使用中间服务VPC中的中间服务节点为服务访问过程提供中间服务。关于该云组网系统中的相关组件或对象的定义、描述以及相关动作的详细描述均可参见前述实施例，在此不再赘述。

除上述云组网系统之外，本申请实施例还提供了以下几种安全访问方法，这些安全访问方法分别是从TR、GWLB连接组件和VPC连接组件的角度进行的描述，具体参见图2a-图2c所示方法实施例。

图2a为本申请示例性实施例提供的一种安全访问方法的流程示意图。该方法是从转发路由器TR角度进行的描述，如图2a所示，该方法包括：

21a、接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；

22a、若第一隧道报文对应的路由信息属于安全路由信息，将第一隧道报文发送给云组网系统中的GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对原始报文进行安全认证。

在本实施例中，在云组网系统中，增设新的产品对象即GWLB连接组件；GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，在安全管控VPC中，GWLB与安全服务节点互联。

在本实施例中，在TR上预先配置有默认指向GWLB连接组件的至少一种安全路由信息，每条安全路由信息涉及两个客户VPC，表示两个客户VPC之间的流量需要经过安全处理，可选地，可以配置两个客户VPC之间的流量可以支持单向安全处理，也可以支持双向安全处理。

进一步可选地，安全路由信息涉及的是两个客户VPC之间的流量，安全路由信息中包括其涉及的两个客户VPC的网段信息，如果是单向安全处理，则该安全路由信息表示从一个客户VPC发往另一个客户VPC的全部流量需要经过安全管控VPC中的安全服务节点进行安全处理；如果是双向安全处理，则该安全路由信息表示两个客户VPC之间的全部流量需要经过安全管控VPC 13中的安全服务节点进行安全处理。基于此，TR可以在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过GWLB连接组件和GWLB使用安全管控VPC中的安全服务节点为服务访问过程提供安全服务。

具体地，TR可以接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；若第一隧道报文对应的路由信息属于安全路由信息，将第一隧道报文发送给云组网系统中的GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对原始报文进行安全认证。

进一步可选地，该方法还包括：识别第一隧道报文对应的路由信息是否属于安全路由信息的步骤。该步骤具体包括：从第一隧道报文中解析出原始报文，根据原始报文中的源IP地址和目的IP地址，确定源客户VPC和目的客户VPC的网段信息；根据源客户VPC和目的客户VPC的网段信息在至少一条安全路由信息中匹配；若匹配中，确定第一隧道报文对应的路由信息为安全路由信息。

进一步可选地，该方法还包括：接收GWLB连接组件返回的第一隧道报文，第一隧道报文是GWLB连接组件在原始报文通过安全认证的情况下根据GWLB返回的安全报文重新生成的，安全报文是安全管控VPC中的安全服务节点在原始报文通过安全认证的情况下根据原始报文生成的；将第一隧道报文封装为第二隧道报文，并提供给另一客户VPC，以使另一客户VPC为任一客户VPC提供目标服务。

进一步可选地，上述将第一隧道报文封装为第二隧道报文，包括：根据第一隧道报文对应的安全路由信息，将第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文；第二隧道封装信息包括另一客户VPC对应的隧道标识ID，且第二隧道封装信息中的源IP地址为TR的IP地址，目的IP地址为另一客户VPC中VPC连接组件对应的IP地址；第一隧道封装信息包括任一客户VPC对应的隧道ID，且第一隧道封装信息的源IP地址为任一客户VPC中VPC连接组件对应的IP地址，目的IP地址为TR的IP地址。

在本实施例中，在云组网系统中增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

图2b为本申请示例性实施例提供的另一种安全访问方法的流程示意图；该方法是从GWLB连接组件角度进行的描述，如图2b所示，该方法包括：

21b、接收云组网系统中的转发路由器TR发送的第一隧道报文，所述第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；

22b、从第一隧道报文中解析出原始报文，将原始报文发送给安全管控VPC中的GWLB，以使GWLB将所述原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证。

在本实施例中，在云组网系统中，增设新的产品对象即GWLB连接组件；GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，在安全管控VPC中，GWLB与安全服务节点互联。

在本实施例中，TR可以接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；若第一隧道报文对应的路由信息属于安全路由信息，将第一隧道报文发送给云组网系统中的GWLB连接组件。

在本实施例中，GWLB连接组件除了分别与TR和GWLB互联之外，还可以接收云组网系统中的TR发送的第一隧道报文，从第一隧道报文中解析出原始报文，将原始报文发送给安全管控VPC中的GWLB，以使GWLB将原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证。GWLB连接组件还具有报文收发和解封装(或解析)的功能。

进一步可选地，该方法还包括：在将原始报文发送给GWLB之前，记录第一隧道报文对应的会话信息；以及在将原始报文发送给GWLB之后，接收GWLB返回的安全报文，该安全报文是在原始报文通过安全认证的情况下由安全管控VPC中的安全服务节点根据原始报文生成并提供给GWLB的；进一步，根据第一隧道报文对应的会话信息和安全报文重新生成第一隧道报文，并返回给TR，以使所述TR将第一隧道报文封装为第二隧道报文并提供给另一客户VPC，进而使得另一客户VPC为所述任一客户VPC提供目标服务。由此可见，在本申请实施例中，GWLB连接组件还具有报文封装以及会话记录和维护等功能。

在本实施例中，在云组网系统中增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

图2c为本申请示例性实施例提供的又一种安全访问方法的流程示意图；该方法是从VPC连接组件角度进行的描述，如图2c所示，该方法包括：

21c、接收VPC连接组件所在客户VPC中客户端请求访问目标服务的原始报文；

22c、根据预先配置的指向转发路由器TR的路由信息，将原始报文封装为第一隧道报文；

23c、将第一隧道报文发送给TR，以通过TR与云组网系统中提供目标服务的另一客户VPC进行服务互访。

在本实施例中，在云组网系统中，增设新的产品对象即GWLB连接组件；GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，在安全管控VPC中，GWLB与安全服务节点互联。

客户VPC中客户端请求访问目标服务时向VPC连接组件发送原始报文；VPC连接组件接收该原始报文，并根据预先配置的指向TR的路由信息，将原始报文封装为第一隧道报文；将第一隧道报文发送给TR。TR可以接收第一隧道报文，若第一隧道报文对应的路由信息属于安全路由信息，将第一隧道报文发送给云组网系统中的GWLB连接组件。GWLB连接组件接收TR发送的第一隧道报文，从第一隧道报文中解析出原始报文，将原始报文发送给安全管控VPC中的GWLB，以使GWLB将原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证。

在本实施例中，在云组网系统中增加一种新的产品对象即GWLB连接组件，作为TR和GWLB之间的路由媒介，实现TR和GWLB的互联，并通过在TR上配置默认指向GWLB连接组件的安全路由信息，使得能够在安全路由信息对应的两个客户VPC进行服务访问过程中提供安全服务，实现安全互访，解决TR组网场景中客户VPC之间互访时所面临的安全问题。

需要说明的是，在上述实施例及附图中的描述的一些流程中，包含了按照特定顺序出现的多个操作，但是应该清楚了解，这些操作可以不按照其在本文中出现的顺序来执行或并行执行，操作的序号如21a、22a等，仅仅是用于区分开各个不同的操作，序号本身不代表任何的执行顺序。另外，这些流程可以包括更多或更少的操作，并且这些操作可以按顺序执行或并行执行。需要说明的是，本文中的“第一”、“第二”等描述，是用于区分不同的消息、设备、模块等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。

图3a为本申请示例性实施例提供的一种安全访问装置的结构示意图。该装置可位于云组网系统中的转发路由器TR中实现，如图3a所示，该装置包括：存储模块31a、接收模块32a和发送模块33a。

存储模块31a，用于存储默认指向云组网系统中的GWLB连接组件的至少一条安全路由信息。接收模块32a，用于接收来自云组网系统中任一客户VPC中的第一隧道报文，第一隧道报文是根据任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的。发送模块33a，用于在第一隧道报文对应的路由信息属于安全路由信息的情况下，将所述第一隧道报文发送给所述GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对所述原始报文进行安全认证；其中，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

在一可选实施例中，该装置还包括：解析模块，用于从第一隧道报文中解析出原始报文，根据原始报文中的源IP地址和目的IP地址，确定源客户VPC和目的客户VPC的网段信息。以及匹配模块，用于根据源客户VPC和目的客户VPC的网段信息在至少一条安全路由信息中匹配；若匹配中，确定第一隧道报文对应的路由信息为安全路由信息。

在一可选实施例中，接收模块32a还用于：接收GWLB连接组件返回的第一隧道报文，第一隧道报文是GWLB连接组件在原始报文通过安全认证的情况下根据GWLB返回的安全报文重新生成的，安全报文是根据原始报文生成的。相应地，发送模块33a还用于：将第一隧道报文封装为第二隧道报文，并提供给另一客户VPC，以使另一客户VPC为任一客户VPC提供目标服务。

进一步可选地，发送模块33a在将第一隧道报文封装为第二隧道报文时，具体用于：根据第一隧道报文对应的安全路由信息，将第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文；第二隧道封装信息包括另一客户VPC对应的隧道标识ID，且第二隧道封装信息中的源IP地址为TR的IP地址，目的IP地址为另一客户VPC中VPC连接组件对应的IP地址；第一隧道封装信息包括任一客户VPC对应的隧道ID，且第一隧道封装信息的源IP地址为任一客户VPC中VPC连接组件对应的IP地址，目的IP地址为TR的IP地址。

图3b为本申请示例性实施例提供的另一种安全访问装置的结构示意图。该装置可位于云组网系统中的GWLB连接组件中实现，如图3b所示，该装置包括：解封装模块31b、接收模块32b和发送模块33b。

接收模块32b，用于接收云组网系统中的转发路由器TR发送的第一隧道报文，第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的。解封装模块31b，用于从第一隧道报文中解析出原始报文。发送模块33b，用于将原始报文发送给安全管控VPC中的GWLB，以使GWLB将原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证。其中，GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，GWLB与安全服务节点互联。

在一可选实施例中，该装置还包括：封装模块和会话管理模块。会话管理模块，用于在将原始报文发送给GWLB之前，记录第一隧道报文对应的会话信息。接收模块32b还用于：在将原始报文发送给GWLB之后，接收GWLB返回的安全报文，安全报文是在原始报文通过安全认证的情况下根据原始报文生成的。封装模块用于：根据第一隧道报文对应的会话信息和安全报文重新生成第一隧道报文。发送模块33b还用于：将第一隧道报文返回给TR，以使TR将第一隧道报文封装为第二隧道报文并提供给另一客户VPC。

图3c为本申请示例性实施例提供的另一种安全访问装置的结构示意图。该装置可位于云组网系统中的VPC连接组件中实现，如图3c所示，该装置包括：封装模块31c、接收模块32c和发送模块33c。

接收模块32c，用于接收VPC连接组件所在客户VPC中客户端请求访问目标服务的原始报文。封装模块31c，用于根据预先配置的指向转发路由器TR的路由信息，将原始报文封装为第一隧道报文。发送模块33c，用于将第一隧道报文发送给TR，以通过TR与云组网系统中提供目标服务的另一客户VPC进行服务互访。

在此说明，上述各装置中各模块所实现的详细功能可参见前述方法或系统实施例中的相关描述，在此不再赘述。

图4为本申请示例性实施例提供的一种转发路由器的结构示意图。该转发路由器可实现为一种云计算设备，包括：存储器41、处理器42以及通信组件43。

存储器41，用于存储计算机程序，并可被配置为存储其它各种数据以支持在转发路由器上的操作。这些数据的示例包括用于在转发路由器上操作的任何应用程序或方法的指令，消息，图片，视频等。进一步，存储器41还用于存储默认指向云组网系统中的GWLB连接组件的至少一条安全路由信息。

处理器42，与存储器41耦合，用于执行存储器41中的计算机程序，以用于在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过安全管控VPC中的GWLB连接组件和GWLB使用安全管控VPC中的安全服务节点为服务访问过程提供安全服务。其中，GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，GWLB与安全服务节点互联。

可选地，处理器42具体用于：通过通信组件43接收来自云组网系统中任一客户VPC中的第一隧道报文，第一隧道报文是根据任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；若第一隧道报文对应的路由信息属于安全路由信息，将第一隧道报文发送给云组网系统中的GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对原始报文进行安全认证。

可选地，处理器42还用于：从第一隧道报文中解析出原始报文，根据原始报文中的源IP地址和目的IP地址，确定源客户VPC和目的客户VPC的网段信息；根据源客户VPC和目的客户VPC的网段信息在至少一条安全路由信息中匹配；若匹配中，确定第一隧道报文对应的路由信息为安全路由信息。

可选地，处理器42还用于：通过通信组件43接收GWLB连接组件返回的第一隧道报文，第一隧道报文是GWLB连接组件在原始报文通过安全认证的情况下根据GWLB返回的安全报文重新生成的，安全报文是根据原始报文生成的；将第一隧道报文封装为第二隧道报文，并提供给另一客户VPC，以使另一客户VPC为任一客户VPC提供目标服务。

可选地，处理器42具体用于：根据第一隧道报文对应的安全路由信息，将第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文；第二隧道封装信息包括另一客户VPC对应的隧道标识ID，且第二隧道封装信息中的源IP地址为TR的IP地址，目的IP地址为另一客户VPC中VPC连接组件对应的IP地址；第一隧道封装信息包括任一客户VPC对应的隧道ID，且第一隧道封装信息的源IP地址为任一客户VPC中VPC连接组件对应的IP地址，目的IP地址为TR的IP地址。

进一步，如图4所示，该转发路由器还包括：电源组件44等其它组件。图4中仅示意性给出部分组件，并不意味着转发路由器只包括图4所示组件。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被处理器执行时，致使处理器能够实现上述方法实施例中可由TR执行的各步骤。

本申请实施例提供一种云计算设备，该云计算设备和图4所示转发路由器具有相同或相似的结构，故未作图示，具体可参见图4所示。本实施例提供的云计算设备可作为于云组网系统中的GWLB连接组件实现，包括存储器和处理器，存储器用于存储计算机程序，处理器与存储器耦合，用于执行存储器中存储的计算机程序，以用于：接收云组网系统中的转发路由器TR发送的第一隧道报文，第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；从第一隧道报文中解析出原始报文，将原始报文发送给安全管控VPC中的GWLB，以使GWLB将原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证；GWLB连接组件作为TR和GWLB之间的路由媒介，分别与TR和GWLB互联，GWLB与安全服务节点互联。

进一步可选地，处理器还用于：在将原始报文发送给GWLB之前，记录第一隧道报文对应的会话信息；以及在将原始报文发送给GWLB之后，接收GWLB返回的安全报文，安全报文是在原始报文通过安全认证的情况下根据原始报文生成的；根据第一隧道报文对应的会话信息和安全报文重新生成第一隧道报文，并返回给TR，以使TR将第一隧道报文封装为第二隧道报文并提供给另一客户VPC。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被处理器执行时，致使处理器能够实现上述方法实施例中可由GWLB连接组件执行的各步骤。

本申请实施例提供一种云计算设备，该云计算设备和图4所示转发路由器具有相同或相似的结构，故未作图示，具体可参见图4所示。本实施例提供的云计算设备可作为于云组网系统中的VPC连接组件实现，包括存储器和处理器，存储器用于存储计算机程序，处理器与存储器耦合，用于执行存储器中存储的计算机程序，以用于：接收VPC连接组件所在客户VPC中客户端请求访问目标服务的原始报文；根据预先配置的指向转发路由器TR的路由信息，将原始报文封装为第一隧道报文；将第一隧道报文发送给TR，以通过TR与云组网系统中提供目标服务的另一客户VPC进行服务互访。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被处理器执行时，致使处理器能够实现上述方法实施例中可由VPC连接组件执行的各步骤。

上述实施例中的存储器可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

上述实施例中的通信组件被配置为便于通信组件所在设备和其他设备之间有线或无线方式的通信。通信组件所在设备可以接入基于通信标准的无线网络，如WiFi，2G、3G、4G/LTE、5G等移动通信网络，或它们的组合。在一个示例性实施例中，通信组件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，通信组件还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

上述实施例中的电源组件，为电源组件所在设备的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为电源组件所在设备生成、管理和分配电力相关联的组件。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (15)

1.一种云组网系统，其特征在于，包括：转发路由器TR，以及与所述TR互联的多个客户虚拟私有云VPC；所述多个客户VPC之间通过所述TR进行服务互访；

所述云组网系统还包括：安全管控VPC，所述安全管控VPC中包括网关型负载均衡设备GWLB以及与所述GWLB互联的多个安全服务节点，用于对外提供安全服务；

在所述云组网系统中还部署有GWLB连接组件，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联；

所述TR上配置有默认指向所述GWLB连接组件的至少一条安全路由信息，用于在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过所述GWLB连接组件和所述GWLB使用所述安全管控VPC中的安全服务节点为所述服务访问过程提供安全服务。

2.根据权利要求1所述的系统，其特征在于，所述TR具体用于：接收来自任一客户VPC的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；若所述第一隧道报文对应的路由信息属于安全路由信息，将所述第一隧道报文发送给所述GWLB连接组件，以通过所述GWLB使用所述安全管控VPC中的安全服务节点对所述原始报文进行安全认证；

所述GWLB连接组件，用于从所述第一隧道报文中解析出所述原始报文，将所述原始报文发送给所述GWLB，以使所述GWLB将所述原始报文负载均衡至所述安全管控VPC中的安全服务节点上进行安全认证。

3.根据权利要求2所述的系统，其特征在于，所述GWLB连接组件还用于：记录所述第一隧道报文对应的会话信息；以及接收所述GWLB返回的安全报文，根据所述第一隧道报文对应的会话信息和所述安全报文重新生成所述第一隧道报文并返回给所述TR，所述安全报文是所述安全管控VPC中的安全服务节点在所述原始报文通过安全认证的情况下根据所述原始报文生成并发送给所述GWLB的；

所述TR还用于：接收所述GWLB连接组件返回的所述第一隧道报文，将所述第一隧道报文封装为第二隧道报文并提供给所述另一客户VPC，以使所述另一客户VPC为所述任一客户VPC提供所述目标服务。

4.根据权利要求1-3任一项所述的系统，其特征在于，所述多个客户VPC中分别部署有VPC连接组件；所述VPC连接组件上配置有默认指向所述TR的路由信息，用于将其所在客户VPC中请求访问目标服务的原始报文封装为第一隧道报文，并将所述第一隧道报文发送给所述TR，以通过所述TR与提供所述目标服务的另一客户VPC进行服务互访。

5.根据权利要求1-3任一项所述的系统，其特征在于，还包括：管控节点，用于执行：

响应转发路由器的创建请求，在系统VPC中创建转发路由器TR，以及响应路由配置操作，在所述TR上配置至少一条安全路由信息，在每条安全路由信息对应的两个客户VPC中分别部署VPC连接组件，并在所述TR上添加所述VPC连接组件的标识；

和/或

响应GWLB连接组件的创建请求，在所述系统VPC中部署GWLB连接组件，并指定所述GWLB连接组件关联的GWLB；以及在所述TR上添加所述GWLB连接组件的标识，以建立所述TR与所述GWLB连接组件的对应关系。

6.一种安全访问方法，其特征在于，应用于云组网系统中的转发路由器TR，所述方法包括：

接收来自云组网系统中任一客户VPC中的第一隧道报文，所述第一隧道报文是根据所述任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；

若所述第一隧道报文对应的路由信息属于安全路由信息，将所述第一隧道报文发送给云组网系统中的GWLB连接组件，以通过安全管控VPC中的GWLB使用安全管控VPC中的安全服务节点对所述原始报文进行安全认证；

其中，所述安全路由信息指向所述GWLB连接组件，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

7.根据权利要求6所述的方法，其特征在于，还包括：

从所述第一隧道报文中解析出所述原始报文，根据所述原始报文中的源IP地址和目的IP地址，确定源客户VPC和目的客户VPC的网段信息；

根据所述源客户VPC和目的客户VPC的网段信息在至少一条安全路由信息中匹配；若匹配中，确定所述第一隧道报文对应的路由信息为安全路由信息。

8.根据权利要求6或7所述的方法，其特征在于，还包括：

接收所述GWLB连接组件返回的第一隧道报文，所述第一隧道报文是所述GWLB连接组件在所述原始报文通过安全认证的情况下根据所述GWLB返回的安全报文重新生成的，所述安全报文是根据所述原始报文生成的；

将所述第一隧道报文封装为第二隧道报文，并提供给所述另一客户VPC，以使所述另一客户VPC为所述任一客户VPC提供所述目标服务。

9.根据权利要求8所述的方法，其特征在于，将所述第一隧道报文封装为第二隧道报文，包括：

根据所述第一隧道报文对应的安全路由信息，将所述第一隧道报文对应的第一隧道封装信息替换为第二隧道封装信息，得到第二隧道报文；

所述第二隧道封装信息包括所述另一客户VPC对应的隧道标识ID，且所述第二隧道封装信息中的源IP地址为所述TR的IP地址，目的IP地址为所述另一客户VPC中VPC连接组件对应的IP地址；

所述第一隧道封装信息包括所述任一客户VPC对应的隧道ID，且所述第一隧道封装信息的源IP地址为所述任一客户VPC中VPC连接组件对应的IP地址，目的IP地址为所述TR的IP地址。

10.一种安全访问方法，其特征在于，应用于云组网系统中的网关型负载均衡设备GWLB连接组件，所述方法包括：

接收云组网系统中的转发路由器TR发送的第一隧道报文，所述第一隧道报文是根据云组网系统中任一客户VPC向另一客户VPC请求目标服务的原始报文进行隧道封装得到的；

从所述第一隧道报文中解析出所述原始报文，将所述原始报文发送给安全管控VPC中的GWLB，以使所述GWLB将所述原始报文负载均衡至安全管控VPC中的安全服务节点上进行安全认证；

所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联，所述GWLB与安全服务节点互联。

11.根据权利要求10所述的方法，其特征在于，还包括：

在将所述原始报文发送给GWLB之前，记录所述第一隧道报文对应的会话信息；以及

在将所述原始报文发送给GWLB之后，接收所述GWLB返回的安全报文，所述安全报文是在所述原始报文通过安全认证的情况下根据所述原始报文生成的；

根据所述第一隧道报文对应的会话信息和所述安全报文重新生成所述第一隧道报文，并返回给所述TR，以使所述TR将所述第一隧道报文封装为第二隧道报文并提供给所述另一客户VPC。

12.一种转发路由器，可应用于云组网系统中，其特征在于，包括：存储器和处理器；

所述存储器用于存储计算机程序和默认指向云组网系统中的网关型负载均衡设备GWLB连接组件的至少一条安全路由信息；所述处理器，与所述存储器耦合，用于执行所述计算机程序，以用于执行权利要求6-9任一项所述方法中的步骤。

13.一种云计算设备，可作为云组网系统中的网关型负载均衡设备GWLB连接组件实现，其特征在于，包括：存储器和处理器；所述存储器用于存储计算机程序，所述处理器，与所述存储器耦合，用于执行所述计算机程序，以用于执行权利要求10-11任一项所述方法中的步骤。

14.一种存储有计算机程序的计算机可读存储介质，其特征在于，当所述计算机程序被处理器执行时，致使所述处理器能够实现权利要求6-9以及权利要求10-11中任一项所述方法中的步骤。

15.一种云组网系统，其特征在于，包括：转发路由器TR，以及与所述TR互联的多个客户虚拟私有云VPC；所述多个客户VPC之间通过所述TR进行服务互访；

所述云组网系统还包括：中间服务VPC，所述中间服务VPC中包括网关型负载均衡设备GWLB以及与所述GWLB互联的多个中间服务节点，用于对外提供中间服务；

在所述云组网系统中还部署有GWLB连接组件，所述GWLB连接组件作为所述TR和所述GWLB之间的路由媒介，分别与所述TR和所述GWLB互联；

所述TR上配置有默认指向所述GWLB连接组件的至少一条安全路由信息，用于在每条安全路由信息对应的两个客户VPC进行服务访问过程中，通过所述GWLB连接组件和所述GWLB使用所述中间服务VPC中的中间服务节点为所述服务访问过程提供中间服务。

Images