CN115987629A - 基于分布式加密隧道的网络系统及组网方法 - Google Patents

Abstract

本发明涉及网络构建技术领域，公开了一种基于分布式加密隧道的网络系统及组网方法，旨在解决现有全互联组网方式存在成本和延迟较高以及安全性较低的问题，方案主要包括：可信连接器管理平台和至少两个可信连接器；可信连接器在进行设备注册后，将状态信息上报至可信连接器管理平台；可信连接器管理平台在收到状态信息后，向可信连接器返回组网配置信息列表；可信连接器接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求；可信连接器管理平台对收到的组网请求进行验证并将验证结果返回至可信连接器，可信连接器在验证通过后建立与对应可信连接器的加密隧道。本发明降低了流量成本和延迟，提高了网络安全性。

Description

基于分布式加密隧道的网络系统及组网方法

技术领域

本发明涉及网络构建技术领域，具体来说涉及一种基于分布式加密隧道的网络系统及组网方法。

背景技术

传统的虚拟专用网络(Virtual Private Network，VPN)可以轻松使用笔记本、桌面PC、智能手机、PDA等移动终端设备实现安全、便捷的远程接入内网，其能够在降低运营成本的同时大幅提高企业的生产效率，VPN解决方案在金融、运营商、能源、大中型企业等各种场景都得到了广泛应用。但是针对互联网场景下，不同的厂区、办公区、工控设备产线需要快速组建一个分布式的安全网络，并打通一个安全的隧道提供节点下的设备进行通信。而传统的VPN只支持站点到站点、端到端、端到网关的场景，无法满足多个异地厂区下的多节点之间进行全互联组网，需要转发流量，导致成本和延迟较高并且安全性较低，采用传统部署专线网络的成本也较高。

发明内容

本发明旨在解决现有多节点之间进行全互联组网方式存在成本和延迟较高以及安全性较低的问题，提出一种基于分布式加密隧道的网络系统及组网方法。

本发明解决上述技术问题所采用的技术方案是：

第一方面，提供一种基于分布式加密隧道的网络系统，包括：可信连接器管理平台和至少两个可信连接器，所述可信连接器分布设置于对应区域；

所述可信连接器，用于在可信连接器管理平台进行设备注册后，将资产信息上报至可信连接器管理平台，并接收可信连接器管理平台返回的组网配置信息列表；以及接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求，并在可信连接器管理平台验证通过后建立与对应可信连接器的加密隧道；

所述可信连接器管理平台，用于对可信连接器进行设备注册，并在收到可信连接器上报的资产信息后，向可信连接器返回组网配置信息列表；以及对收到的组网请求进行验证，并向对应的可信连接器返回验证结果。

进一步地，所述可信连接器管理平台包括身份管理服务器和设备管理服务器；

所述可信连接器，具体用于向身份管理服务器发送设备注册请求，所述设备注册请求中包含设备信息；在收到设备注册成功的结果后，向身份管理服务器发起Token获取请求，将ChisID和VP发送给身份管理服务器；以及接收身份管理服务器返回的Token；

所述身份管理服务器，具体用于接收设备注册请求，根据分布式数字身份规则生成ChisID，并将设备注册结果以及对应的ChisID和VP返回给可信连接器，同时将注册信息进行本地存储；以及接收Token获取请求，并根据对应的ChisID和VP进行验证，验证成功后颁发Token，并将Token返回至对应的可信连接器。

进一步地，所述设备信息包括：设备SN号、MAC地址、设备名称和版本号。

进一步地，所述可信连接器，具体用于向设备管理服务器发起状态上报请求，向设备管理服务器上报当前资产信息、南向设备IP、可信连接器IP和Token；

所述设备管理服务器，具体用于在收到状态上报请求后，将包含Token的验证请求发送至身份管理服务器；以及在收到身份管理服务器返回的验证成功的结果后保存当前资产信息；

所述身份管理服务器，具体用于收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给设备管理服务器。

进一步地，所述可信连接器，具体还用于在至少两个可信连接器均进行设备注册后，向其他可信连接器发送组网请求，组网请求中包含设备信息、可信连接器IP和Token；

其他可信连接器用于在收到组网请求后，将包含Token的验证请求发送至身份管理服务器；以及在收到身份管理服务器返回的验证成功的结果后向发送组网请求的可信连接器返回可以组网的结果，并建立与该可信连接器的加密隧道；

所述身份管理服务器，具体用于在收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给对应的可信连接器。

另一方面，提供一种基于分布式加密隧道的组网方法，包括以下步骤：

步骤1、可信连接器在可信连接器管理平台进行设备注册后，将状态信息上报至可信连接器管理平台；

步骤2、可信连接器管理平台在收到可信连接器上报的状态信息后，向可信连接器返回组网配置信息列表；

步骤3、在至少两个可信连接器在可信连接器管理平台进行设备注册后，可信连接器接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求；

步骤4、可信连接器管理平台对收到的组网请求进行验证，并将验证结果返回至可信连接器，可信连接器在验证通过后建立与对应可信连接器的加密隧道。

进一步地，所述可信连接器管理平台包括身份管理服务器和设备管理服务器，所述方法具体包括：

所述可信连接器向身份管理服务器发送设备注册请求，所述设备注册请求中包含设备信息；

所述身份管理服务器接收设备注册请求，根据分布式数字身份规则生成ChisID，并将设备注册结果以及对应的ChisID和VP返回给可信连接器，同时将注册信息进行本地存储；

所述可信连接器在收到设备注册成功的结果后，向身份管理服务器发起Token获取请求，将ChisID和VP发送给身份管理服务器；

所述身份管理服务器接收Token获取请求，并根据对应的ChisID和VP进行验证，验证成功后颁发Token，并将Token返回至对应的可信连接器；

所述可信连接器接收身份管理服务器返回的Token。

进一步地，所述设备信息包括：设备SN号、MAC地址、设备名称和版本号。

进一步地，所述方法具体包括：

所述可信连接器向设备管理服务器发起状态上报请求，向设备管理服务器上报当前资产信息、南向设备IP、可信连接器IP和Token；

所述设备管理服务器在收到状态上报请求后，将包含Token的验证请求发送至身份管理服务器；

所述身份管理服务器收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给设备管理服务器；

所述设备管理服务器在收到身份管理服务器返回的验证成功的结果后保存当前资产信息。

进一步地，所述方法具体包括：

所述可信连接器在至少两个可信连接器均进行设备注册后，向其他可信连接器发送组网请求，组网请求中包含设备信息、可信连接器IP和Token；

其他可信连接器用于在收到组网请求后，将包含Token的验证请求发送至身份管理服务器；

所述身份管理服务器在收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给对应的可信连接器。

其他可信连接器在收到身份管理服务器返回的验证成功的结果后向发送组网请求的可信连接器返回可以组网的结果，并建立与该可信连接器的加密隧道。

本发明的有益效果是：本发明所述的基于分布式加密隧道的网络系统及组网方法，通过在可信连接器搭载WireGuard，并将可信连接器作为各个分布式节点上的网关装置，各可信连接器通过与可信连接器管理平台进行设备认证后，进行全互联方式组网，在各个节点间建立加密隧道，即便各个节点的距离较远，也能实现端到端的加密通信，相较于传统VPN网关而言，本发明任意两个节点之间均是直连，无需中转流量，进而降低了转发流量成本和延迟，也提高了网络安全性。

附图说明

图1为本发明实施例所述的基于分布式加密隧道的网络系统的结构示意图；

图2为本发明实施例所述的基于分布式加密隧道的组网方法的流程示意图。

具体实施方式

下面将结合附图对本发明的实施方式进行详细描述。

本发明旨在降低流量成本和延迟，提高网络安全性，提出一种基于分布式加密隧道的网络系统及组网方法，其主要的技术方案包括：可信连接器管理平台和至少两个可信连接器，所述可信连接器分布设置于对应区域；可信连接器在可信连接器管理平台进行设备注册后，将状态信息上报至可信连接器管理平台；可信连接器管理平台在收到可信连接器上报的状态信息后，向可信连接器返回组网配置信息列表；在至少两个可信连接器在可信连接器管理平台进行设备注册后，可信连接器接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求；可信连接器管理平台对收到的组网请求进行验证，并将验证结果返回至可信连接器，可信连接器在验证通过后建立与对应可信连接器的加密隧道。

具体而言，针对多个区域，本发明分别在各区域设置可信连接器作为分布式节点上的网关装置，例如，分别在边缘服务区、办公区、生产厂区、环境能耗采集区等区域分布式设置可信连接器，并将所有的可信连接器在可信连接器管理平台进行设备注册，当可信连接器在可信连接器管理平台注册后，可信连接器管理平台向各可信连接器返回可以组网的配置信息列表，可信连接器在收到组网配置信息列表后，向组网配置信息列表中的其他可信连接器发起组网请求，并通过可信连接器管理平台进行验证后，建立多个可信连接器之间的加密隧道，进而实现任意两个可信连接器之间进行直连，进而实现多个分布式节点间的全互联组网，无需中转流量，降低了转发流量成本和延迟，也提高了网络安全性。

实施例

请参阅图1，本发明实施例所述的基于分布式加密隧道的网络系统，包括：可信连接器管理平台和至少两个可信连接器，所述可信连接器分布设置于对应区域。

本实施例中，可信连接器可以为四个，分别设置于边缘服务区、办公区、生产厂区和环境能耗采集区。可信连接器搭载有WireGuard，WireGuard是一个易于配置、快速且安全的开源VPN，其具有易于部署的特点。

本实施例中，可信连接器管理平台包括身份管理服务器和设备管理服务器。

请参阅图2，基于上述网络系统，本实施提供的基于分布式加密隧道的组网方法，包括以下步骤：

步骤1、可信连接器在可信连接器管理平台进行设备注册后，将状态信息上报至可信连接器管理平台；

本实施例中，所有可信连接器均在可信连接器管理平台进行设备注册，各可信连接器的设备注册流程包括以下步骤：

步骤101、可信连接器向身份管理服务器发送设备注册请求，所述设备注册请求中包含设备信息，设备信息包括：设备SN号、MAC地址、设备名称和版本号；

步骤102、身份管理服务器接收设备注册请求，根据分布式数字身份规则生成ChisID，并将设备注册结果以及对应的ChisID和VP返回给可信连接器，同时将注册信息进行本地持久化存储；

步骤103、所述可信连接器在收到设备注册成功的结果后，向身份管理服务器发起Token获取请求，将ChisID和VP发送给身份管理服务器；

步骤104、身份管理服务器接收Token获取请求，并根据对应的ChisID和VP进行验证，验证成功后颁发Token，并将Token返回至对应的可信连接器；

步骤105、可信连接器接收身份管理服务器返回的Token，完成设备注册。

本实施例中，可信连接器在可信连接器管理平台进行设备注册后，向可信连接器上报状态信息，各可信连接器的状态信息上报流程包括以下步骤：

步骤111、可信连接器在设备注册完成后，向设备管理服务器发起状态上报请求，向设备管理服务器上报当前资产信息、南向设备IP、可信连接器IP和Token；

步骤112、设备管理服务器在收到状态上报请求后，将包含Token的验证请求发送至身份管理服务器；

步骤113、身份管理服务器收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给设备管理服务器；

步骤114、设备管理服务器在收到身份管理服务器返回的验证成功的结果后保存当前资产信息。

步骤2、可信连接器管理平台在收到可信连接器上报的状态信息后，向可信连接器返回组网配置信息列表；

具体地，各可信连接器在完成设备注册和状态信息上报后，设备管理服务器向可信连接器返回可以进行组网的配置信息列表，。

步骤3、在至少两个可信连接器在可信连接器管理平台进行设备注册后，可信连接器接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求；

步骤4、可信连接器管理平台对收到的组网请求进行验证，并将验证结果返回至可信连接器，可信连接器在验证通过后建立与对应可信连接器的加密隧道。

本实施例中，当可信连接器收到组网配置信息列表后，如果组网配置信息列表中存在其他可以组网的可信连接器，则向其他可信连接器发起组网请求进行组网，组网流程包括以下步骤：

步骤a、可信连接器向其他可信连接器发送组网请求，组网请求中包含设备信息、可信连接器IP和Token；

步骤b、其他可信连接器用于在收到组网请求后，将包含Token的验证请求发送至身份管理服务器；

步骤c、身份管理服务器在收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给对应的可信连接器。

步骤d、其他可信连接器在收到身份管理服务器返回的验证成功的结果后向发送组网请求的可信连接器返回可以组网的结果，并建立与该可信连接器的加密隧道。

通过上述流程，即可建立任意两个可信连接器之间的直连通信，实现了端到端的多个节点间的全互联组网，组网成功后，跨地区的边缘服务区、办公区、生产厂区和环境能耗采集区可以实现加密通信，并且由于所有节点之间均是直连，无需中转流量，相比于传统VPN网关而言，降低了转发流量成本和延迟，也提高了网络安全性。

Claims (10)

1.基于分布式加密隧道的网络系统，其特征在于，包括：可信连接器管理平台和至少两个可信连接器，所述可信连接器分布设置于对应区域；

所述可信连接器，用于在可信连接器管理平台进行设备注册后，将资产信息上报至可信连接器管理平台，并接收可信连接器管理平台返回的组网配置信息列表；以及接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求，并在可信连接器管理平台验证通过后建立与对应可信连接器的加密隧道；

所述可信连接器管理平台，用于对可信连接器进行设备注册，并在收到可信连接器上报的资产信息后，向可信连接器返回组网配置信息列表；以及对收到的组网请求进行验证，并向对应的可信连接器返回验证结果。

2.如权利要求1所述的基于分布式加密隧道的网络系统，其特征在于，所述可信连接器管理平台包括身份管理服务器和设备管理服务器；

所述可信连接器，具体用于向身份管理服务器发送设备注册请求，所述设备注册请求中包含设备信息；在收到设备注册成功的结果后，向身份管理服务器发起Token获取请求，将ChisID和VP发送给身份管理服务器；以及接收身份管理服务器返回的Token；

所述身份管理服务器，具体用于接收设备注册请求，根据分布式数字身份规则生成ChisID，并将设备注册结果以及对应的ChisID和VP返回给可信连接器，同时将注册信息进行本地存储；以及接收Token获取请求，并根据对应的ChisID和VP进行验证，验证成功后颁发Token，并将Token返回至对应的可信连接器。

3.如权利要求2所述的基于分布式加密隧道的网络系统，其特征在于，所述设备信息包括：设备SN号、MAC地址、设备名称和版本号。

4.如权利要求2所述的基于分布式加密隧道的网络系统，其特征在于，

所述可信连接器，具体用于向设备管理服务器发起状态上报请求，向设备管理服务器上报当前资产信息、南向设备IP、可信连接器IP和Token；

所述设备管理服务器，具体用于在收到状态上报请求后，将包含Token的验证请求发送至身份管理服务器；以及在收到身份管理服务器返回的验证成功的结果后保存当前资产信息；

所述身份管理服务器，具体用于收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给设备管理服务器。

5.如权利要求2所述的基于分布式加密隧道的网络系统，其特征在于，

所述可信连接器，具体还用于在至少两个可信连接器均进行设备注册后，向其他可信连接器发送组网请求，组网请求中包含设备信息、可信连接器IP和Token；

其他可信连接器用于在收到组网请求后，将包含Token的验证请求发送至身份管理服务器；以及在收到身份管理服务器返回的验证成功的结果后向发送组网请求的可信连接器返回可以组网的结果，并建立与该可信连接器的加密隧道；

所述身份管理服务器，具体用于在收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给对应的可信连接器。

6.基于分布式加密隧道的组网方法，其特征在于，包括以下步骤：

步骤1、可信连接器在可信连接器管理平台进行设备注册后，将状态信息上报至可信连接器管理平台；

步骤2、可信连接器管理平台在收到可信连接器上报的状态信息后，向可信连接器返回组网配置信息列表；

步骤3、在至少两个可信连接器在可信连接器管理平台进行设备注册后，可信连接器接收其他可信连接器发送的组网请求，向可信连接器管理平台请求验证所述组网请求；

步骤4、可信连接器管理平台对收到的组网请求进行验证，并将验证结果返回至可信连接器，可信连接器在验证通过后建立与对应可信连接器的加密隧道。

7.如权利要求6所述的基于分布式加密隧道的组网方法，其特征在于，所述可信连接器管理平台包括身份管理服务器和设备管理服务器，所述方法具体包括：

所述可信连接器向身份管理服务器发送设备注册请求，所述设备注册请求中包含设备信息；

所述身份管理服务器接收设备注册请求，根据分布式数字身份规则生成ChisID，并将设备注册结果以及对应的ChisID和VP返回给可信连接器，同时将注册信息进行本地存储；

所述可信连接器在收到设备注册成功的结果后，向身份管理服务器发起Token获取请求，将ChisID和VP发送给身份管理服务器；

所述身份管理服务器接收Token获取请求，并根据对应的ChisID和VP进行验证，验证成功后颁发Token，并将Token返回至对应的可信连接器；

所述可信连接器接收身份管理服务器返回的Token。

8.如权利要求7所述的基于分布式加密隧道的组网方法，其特征在于，所述设备信息包括：设备SN号、MAC地址、设备名称和版本号。

9.如权利要求7所述的基于分布式加密隧道的组网方法，其特征在于，所述方法具体包括：

所述可信连接器向设备管理服务器发起状态上报请求，向设备管理服务器上报当前资产信息、南向设备IP、可信连接器IP和Token；

所述设备管理服务器在收到状态上报请求后，将包含Token的验证请求发送至身份管理服务器；

所述身份管理服务器收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给设备管理服务器；

所述设备管理服务器在收到身份管理服务器返回的验证成功的结果后保存当前资产信息。

10.如权利要求7所述的基于分布式加密隧道的组网方法，其特征在于，所述方法具体包括：

所述可信连接器在至少两个可信连接器均进行设备注册后，向其他可信连接器发送组网请求，组网请求中包含设备信息、可信连接器IP和Token；

其他可信连接器用于在收到组网请求后，将包含Token的验证请求发送至身份管理服务器；

所述身份管理服务器在收到包含Token的验证请求后，对Token进行验证，并将验证结果返回给对应的可信连接器。

其他可信连接器在收到身份管理服务器返回的验证成功的结果后向发送组网请求的可信连接器返回可以组网的结果，并建立与该可信连接器的加密隧道。

Images