CN116566764A - 一种接入虚拟专用网络的配置方法和装置 - Google Patents

Abstract

本发明公开了一种接入虚拟专用网络的配置方法和装置，涉及通信领域，解决移动办公用户不能简便安全和快捷地连接虚拟专用网络的问题。该方法包括：创建第一用户网关设备与云服务器之间的虚拟专用网络通道，云服务器为虚拟专用网络的服务器；将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为虚拟专用网络通道；向云服务器的接入网关设备发送目标用户的用户信息，接入网关设备上存储有不同用户的用户信息，接入网关设备用于在接收到用户网关设备发送的访问请求时，根据存储的用户信息和访问请求中的用户信息，确定用户网关设备是否具有访问云服务器的权限。

Description

一种接入虚拟专用网络的配置方法和装置

技术领域

本发明涉及通信领域，尤其涉及一种接入虚拟专用网络的配置方法和装置。

背景技术

现今越来越多的企业部门都部署了内部的虚拟专用网络，如企业内部有企业专用的虚拟专用网络，用户可通过部署在企业内的专用IP地址连接虚拟专用网络。

在移动办公的场景下，用户可通过VPN服务登录并连接企业的虚拟专用网络。但对企业来说，实现VPN服务需要部署专用的服务器，建设和维护的成本较高。对用户来说，每次连接专网也都需要登录操作，并且每次更换终端设备连接虚拟专用网络时，都需要重新申请登录密码，不够简便。

在家庭办公场景下，由于用户都是通过固定的家庭网关接入网络，因此可通过在家庭网关和企业的虚拟专用网络建立专用通道连接，实现用户远程接入企业的虚拟专用网络。但在家庭中，用户的终端设备除了访问虚拟专用网络外，还可能访问办公的虚拟专用网络之外的网络，而通过虚拟专用网络的通道访问外部网络会使企业的网络安全存在隐患。

因此，如何以简便的方式，使移动办公用户安全快捷地连接虚拟专用网络成为一个亟待解决的问题。

发明内容

本发明提供了一种接入虚拟专用网络的配置方法和装置，用于解决移动办公用户不能简便、安全和快捷地连接虚拟专用网络的问题。

为达到上述目的，本发明采用如下技术方案：

第一方面，本发明提供了一种接入虚拟专用网络的配置方法，应用于配置设备，包括：创建第一用户网关设备与云服务器之间的虚拟专用网络通道，云服务器为虚拟专用网络的服务器；将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为虚拟专用网络通道；向云服务器的接入网关设备发送目标用户的用户信息，目标用户为第一用户网关设备的用户，接入网关设备上存储有不同用户的用户信息，接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和访问请求中的用户信息，确定第二用户网关设备是否具有访问云服务器的权限。

由上述技术方案可知，本申请是基于第一用户网关设备和云服务器之间的虚拟专用网络通道，用户可以使用任何终端设备连接第一用户网关设备，进而可使用任何终端设备通过第一用户网关设备连接虚拟专用网络的云服务器，使用方便。并且，上述一系列的配置过程都是由配置设备完成的，不需要用户做路由表的配置等操作，减少了用户的操作，提高了用户体验。

除此之外，由于在移动办公场景下，用户可能会浏览虚拟专用网络之外的网络，云服务器的虚拟专用网络之外的网络数据可能对于云服务器的虚拟专用网络有安全威胁，本申请创建第一用户网关设备与云服务器之间的虚拟专用网络通道，并在第一用户网关设备上配置路由表，使只有第一用户网关设备与云服务器之间的数据通过该虚拟专用网络通道传输，保证了虚拟专用网络的安全性。

可选的，创建第一用户网关设备与云服务器之间的虚拟专用网络通道，包括：获取云服务器的服务器地址和目标用户的用户信息；根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备的IP地址，创建第一用户网关设备与云服务器之间的虚拟专用网络通道。

可选的，目标用户的用户信息还包括目标用户的网络连接身份信息，网络连接身份信息为第一用户网关设备连接宽带时所使用的身份信息；接入网关设备为宽带接入服务器；宽带接入服务器用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户的网络连接身份信息和用户网关设备的IP地址，确定第二用户网关设备是否具有访问云服务器的权限。

可选的，用户信息还包括目标用户的服务访问权限，服务访问权限为目标用户访问云服务器提供的服务的权限，云服务器提供的不同服务具有不同的端口号；接入虚拟专用网络的配置方法还包括：向接入网关设备发送目标用户的服务访问权限和目标用户的服务访问权限对应的服务的端口号，以使接入网关设备在接收到第一用户网关设备发送的目标数据时，根据目标用户的服务访问权限和目标数据访问的服务的端口号，确定是否转发目标数据。

可选的，配置设备和业务支撑系统通信连接；按照下述步骤获取目标用户的用户信息：接收到业务支撑系统发送的目标用户的网络连接身份信息和目标用户的用户网关设备的硬件地址；根据目标用户的用户网关设备的硬件地址，从接入网关设备获得目标用户的用户网关设备的IP地址。

第二方面，本发明提供了一种接入虚拟专用网络的配置装置，应用于接入网关设备，包括：接收到配置设备发送的目标用户的用户信息，目标用户为具有访问云服务器的权限的用户；云服务器为虚拟专用网络的服务器；接入网关设备为云服务器的网关设备；存储目标用户的用户信息；当接收到用户网关设备发送的对云服务器的访问请求时，根据存储的用户信息和访问请求中用户网关设备对应的用户信息，确定用户网关设备是否具有访问云服务器的权限。

可选的，目标用户的用户信息还包括目标用户的网络连接身份信息和第一用户网关设备的IP地址，网络连接身份信息为第一用户网关设备连接宽带时所使用的身份信息，第一用户网关设备为目标用户的用户网关设备；接入网关设备为宽带接入服务器；根据存储的用户信息和访问请求中用户网关设备对应的用户信息，确定用户网关设备是否具有访问云服务器的权限，包括：根据存储的用户的网络连接身份信息和用户的用户网关设备的IP地址，确定用户网关设备是否具有访问云服务器的权限。

可选的，用户信息还包括目标用户的服务访问权限，服务访问权限为目标用户访问云服务器提供的服务的权限，云服务器提供的不同服务具有不同的端口号；接入虚拟专用网络的配置方法还包括：接收到第一用户网关设备向云服务器的服务发送的目标数据，目标数据用于访问云服务器提供的目标服务；如果根据存储的目标用户的服务访问权限目标服务的端口号判定目标用户具有访问目标服务的权限，则通过第一用户网关设备与云服务器之间的虚拟专用网络通道，将目标数据转发至云服务器。

可选的，虚拟专用网络通道为配置设备根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备的IP地址，创建的在第一用户网关设备与云服务器之间的虚拟专用网络通道。

可选的，虚拟专用网络通道为配置设备根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备IP地址，创建的在第一用户网关设备与云服务器之间的虚拟专用网络通道。

第三方面，本公开提供一种订单识别装置，包括：通道建立模块，用于创建第一用户网关设备与云服务器之间的虚拟专用网络通道，云服务器为虚拟专用网络的服务器；路由配置模块，用于将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为虚拟专用网络通道；信息分发模块，用于向云服务器的接入网关设备发送目标用户的用户信息，目标用户为第一用户网关设备的用户，接入网关设备上存储有不同用户的用户信息，接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和访问请求中的用户信息，确定第二用户网关设备是否具有访问云服务器的权限。

本公开中第二方面到第三方面及其各种实现方式的具体描述，可以参考第一方面及其各种实现方式中的详细描述；并且，第二方面到第三方面及其各种实现方式的有益效果，可以参考第一方面及其各种实现方式中的有益效果分析，此处不再赘述。

本申请的这些方面或其他方面在以下的描述中会更加简明易懂。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中的一种接入虚拟专用网络的配置方法的系统架构示意图；

图2为本申请实施例中配置设备101和云服务器103基本物理结构包含的计算装置的结构示意图；

图3为本申请实施例中接入虚拟专用网络的配置方法的步骤示意图；

图4为本申请实施例中又一种接入虚拟专用网络的配置方法的步骤示意图；

图5为本申请实施例中接入虚拟专用网络的配置装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。

如背景技术中所描述，随着虚拟专用网络的普遍使用，很多企业或部门为了保障网络信息的安全，都建立了虚拟专用网络。但是由于虚拟专用网络为了安全性，普遍使用固定IP地址接入的方式，不能满足用户的移动办公需求。

基于此，本申请提供了一种接入虚拟专用网络的配置方法，该接入虚拟专用网络的配置方法可适用于如图1所示的系统架构。该系统架构包括配置设备101、第一用户网关设备102、云服务器103和云服务器103的接入网关设备104。其中，配置设备101、第一用户网关设备102、云服务器103和接入网关设备104中任两个可通过有线网络或者无线网络连接。

其中，云服务器103为虚拟专用网络的服务器。第一用户网关设备102和云服务器103之间通过虚拟专用网络通道连接，该虚拟专用网络通道为配置设备101创建的第一用户网关设备102和云服务器103之间的虚拟专用网络通道。接入网关设备104作为云服务器103的网关设备，是虚拟专用网络通道中的一个传输设备，用于控制第一用户网关设备102和云服务器103之间的数据传输。

需要说明的是，本申请对系统架构中配置设备101、第一用户网关设备102、云服务器103和接入网关设备104的数量不进行限定，本申请在图1中以一个配置设备101、一个第一用户网关设备102、一个云服务器103和一个接入网关设备104为例进行说明。

本申请实施例中，配置设备101可创建第一用户网关设备102与云服务器103之间的虚拟专用网络通道。配置设备101还可将第一用户网关设备102的路由表中以云服务器103的服务器地址为目的地址的路由通道，设置为上述虚拟专用网络通道。配置设备101还能向接入网关设备104发送第一用户网关设备102的目标用户的用户信息。

接入网关设备104可将配置设置101发送的用户信息存储起来，并在接收到访问请求时，根据存储的用户信息，判断发出访问请求的用户网关设备是否是第一用户网关设备102，即是否具有访问云服务器103的权限。

可选的，接入网关设备104还能够接收到第一用户网关设备102发送的目标数据，并根据第一用户网关设备102发送的目标数据访问的云服务器103上的目标服务，以及第一用户网关设备102的用户信息中的服务访问权限，判定是否转发目标数据。

本申请实施例中的配置设备101可以是手机、台式电脑、平板电脑、笔记本电脑、手持计算机、可穿戴电子设备、手持计算机、超级移动个人计算机(Ultra-mobilePersonalComputer，UMPC)、上网本等电子设备，本申请实施例对此不做任何限制。

本申请实施例中的第一用户网关设备102可以是有线路由器、无线路由器和无线接入设备等，本申请实施例对此不做任何限制。

本申请实施例中的云服务器103可以是机架式服务器、刀片服务器、塔式服务器或机柜式服务器等设备，搭建方式可以是单一集成式、集群式或分布式，本申请实施例中对此不做限制。

本申请实施例中的接入网关设备104可以是交换机、路由器、BRAS设备(宽带接入服务器，BroadbandRemoteAccessServer)或者具有路由功能的计算机，本申请实施例中对此不做限制。

配置设备101和云服务器103基本物理结构类似，都包括图2所示计算装置所包括的元件。下面以图2所示的计算装置为例，介绍服务器101和终端设备102的物理结构。

处理器201是计算装置的控制中心，可以是一个处理器，也可以是多个处理元件的统称。例如，处理器201可以是一个通用中央处理单元(centralprocessingunit，CPU)，也可以是其他通用处理器等。其中，通用处理器可以是微处理器或者是任何常规的处理器等。

作为一种实施例，处理器201可以包括一个或多个CPU，例如图2中所示的CPU0和CPU1。

存储器202可以是只读存储器(read-onlymemory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(randomaccessm emory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasableprogrammableread-onl ymemory，EEPROM)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

一种可能的实现方式中，存储器202可以独立于处理器201存在，存储器202可以通过总线204与处理器201相连接，用于存储指令或者程序代码。处理器201调用并执行存储器202中存储的指令或程序代码时，能够实现本申请实施例提供的模型部署方法。

在本申请实施例中，对于配置设备101和云服务器103而言，存储器202中存储的软件程序不同，实现的功能不同。关于各设备所执行的功能将结合下面的流程图进行描述。

另一种可能的实现方式中，存储器202也可以和处理器201集成在一起。

通信接口203，用于计算装置与其他设备通过通信网络连接，所述通信网络可以是以太网，无线接入网(radioaccessnetwork，RAN)，无线局域网(wirelesslocalareanetworks，WLAN)等。通信接口203可以包括用于接收数据的接收单元，以及用于发送数据的发送单元。

总线204，可以是工业标准体系结构(IndustryStandardArchitectur e，ISA)总线、外部设备互连(PeripheralComponentInterconnect，PCI)总线或扩展工业标准体系结构(ExtendedIndustryStandardArchitecture，EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图2中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

需要指出的是，图2中示出的结构并不构成对该计算装置的限定，除图2所示部件之外，该计算装置可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图3所示，本申请提供的一种接入虚拟专用网络的配置方法，应用于配置设备，例如应用于如图1中示出的配置设备101，该方法可以包括如下S301至S303。

S301：创建第一用户网关设备与云服务器之间的虚拟专用网络通道，云服务器为虚拟专用网络的服务器。

S302：将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为虚拟专用网络通道。

例如，配置设备可通过调用接入网网管系统(PONElementManagement System)中的服务，在第一用户网关设备与云服务器之间创建第一用户网关设备与云服务器之间虚拟专用网络通道。

在虚拟专用网络通道创建完成后，配置设备可通过RMS系统(远程管理系统，RemoteManagementService)将虚拟专用网络的信息发送至第一用户网关设备，以配置路由表，使第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，与上述建立的虚拟专用网络通道绑定，即将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为该虚拟专用网络通道。

在一种可能的实施例中，上述路由表为静态路由表。

本申请通过上述方法配置了第一用户网关设备和云服务器之间的虚拟专用网络通道，并将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，与上述建立的虚拟专用网络通道绑定。这样，第一用户网关设备发送以云服务器的服务器为地址的消息时，只会通过该虚拟专用网络通道发送，且第一用户网关设备发送至其他目的地址的消息不能通过该虚拟专用网络通道发送，使第一用户网关设备访问虚拟专用网络和其他网络传输通道分离。可防止第一用户网关设备访问虚拟专用网络以外的网络时，传输的不安全数据对云服务器的数据造成影响，提高了第一用户网关设备与云服务器之间数据传输的安全性。

S303：向云服务器的接入网关设备发送目标用户的用户信息，目标用户为具有访问云服务器的权限的第一用户网关设备的用户，接入网关设备上存储有不同用户的用户信息，接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和访问请求中的用户信息，确定第二用户网关设备是否具有访问云服务器的权限。

例如，配置设备会向云服务器的接入网关设备发送目标用户的用户信息“信息A”，在接入网关接收到第二用户网关设备发送的访问请求时，可根据第二用户网关设备的访问请求中的用户信息，与“信息A”进行对比，确定第二用户网关设备是否属于第一用户网关设备，从而确定第二用户网关设备是否具有访问云服务器的权限。

虚拟专用网络(VPN，VirtualPrivateNetwork)是在公用网络上建立的用于进行加密通讯专用网络。通常使用的远程VPN服务，对于使用虚拟专用网络的企业部门来说，需要另外设置远程登录的服务器，建设和管理的成本较高。对于用户来说，在移动办公的场景下，尤其是家庭办公的场景下，一般远程VPN服务是设置在用户终端上的，因此用户每次更换设备就需要重新设置远程VPN服务，或重新向远程VPN服务申请密码，操作繁琐，用户体验较差。

由上述实施例可知，本申请是基于第一用户网关设备和云服务器之间的虚拟专用网络通道，用户可以使用任何终端设备连接第一用户网关设备，进而可使用任何终端设备通过第一用户网关设备连接虚拟专用网络的云服务器，使用方便。并且，上述一系列的配置过程都是由配置设备完成的，不需要用户做路由表的配置等操作，减少了用户的操作，提高了用户体验。

除此之外，由于在移动办公场景下，用户可能会浏览虚拟专用网络之外的网络，云服务器的虚拟专用网络之外的网络数据可能对于云服务器的虚拟专用网络有安全威胁，本申请创建第一用户网关设备与云服务器之间的虚拟专用网络通道，并在第一用户网关设备上配置路由表，使只有第一用户网关设备与云服务器之间的数据通过该虚拟专用网络通道传输，保证了虚拟专用网络的安全性。

在一种可能的实施例中，创建第一用户网关设备与云服务器之间的虚拟专用网络通道，包括：获取云服务器的服务器地址和目标用户的用户信息。根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备的IP地址，创建第一用户网关设备与云服务器之间的虚拟专用网络通道。

例如，配置设备获得了云服务器的服务器地址“10.0.0.0”，以及目标用户的用户信息中第一用户网关设备的IP地址“192.168.11.11”，在获得这两者的IP地址后，就可创建这两者之间的虚拟专用网络通道。

在一种可能的实施例中，目标用户的用户信息还包括目标用户的网络连接身份信息，网络连接身份信息为第一用户网关设备连接宽带时所使用的身份信息。接入网关设备为宽带接入服务器，宽带接入服务器用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户的网络连接身份信息和用户网关设备的IP地址，确定第二用户网关设备是否具有访问云服务器的权限。

上述宽带接入服务器为BRAS服务器(BroadbandRemoteAccessServer)是面向宽带网络应用的新型接入网关，它位于骨干网的边缘层，可以完成用户带宽的IP/ATM网的数据接入，实现商业楼宇及小区住户的宽带上网和基于IPSec(IPSecurityProtocol)的IPVPN服务等应用。

一般，用户为了连接网络，会申请开通网络连接业务并开通网络宽带，在网络连接业务开通成功后，用户会获得用于连接宽带时使用的网络连接身份信息。用户在连接网络时，需要先通过BRAS服务器验证过网络连接身份信息，才能连接网络。并且，用户网关设备通电后会自动在BRAS设备上验证身份信息，建立网络连接。因此，第二用户网关设备向接入网关设备发起对云服务器的访问请求也可以是通电自动进行的。

由上述实施例可知，由于本申请的接入网关设备是BRAS设备，因此第二用户网关设备可在通电尝试连接网络的同时，在接入网关设备上进行了是否能连接云服务器的验证。除此之外，在第二用户网关设备被接入网关设备确定为具有访问云服务器权限的设备时，即第二用户网关设备也是第一用户网关设备时，用户可以使用其他终端设备，通过第二用户网关设备与云服务器连接，不需要再次验证。并且该权限验证操作是自动操作，省去了用户输入类似用户名密码等信息进行身份验证的过程，提高了用户体验。

在一种可能的实施例中，配置设备和业务支撑系统通信连接。按照下述步骤获取目标用户的用户信息：接收到业务支撑系统发送的目标用户的网络连接身份信息和目标用户的用户网关设备的硬件地址。根据目标用户的用户网关设备的硬件地址，从接入网关设备获得目标用户的用户网关设备的IP地址。

上述业务支撑系统为BSS系统(BusinessSupportSystems)，用于受理和支撑用户业务。

在用户网络连接业务开通成功后，目标用户的网络连接身份信息和第一用户网关设备的硬件地址保存在业务支撑系统中，业务支撑系统可将目标用户的网络连接身份信息和第一用户网关设备的硬件地址发送至配置设备。

因为根据第一用户网关设备的硬件地址不能直接寻找到第一用户网关设备，所以配置设备还需要获得第一用户网关设备的IP地址。由于用户网关设备一般使用的IP地址是私网地址，在数据传输时，会通过BRAS服务器将用户网关设备的私网地址转换成公网地址，以保证用户网关设备的安全性，因此配置设备可通过BRAS服务器，即接入网关设备，根据第一用户网关设备的硬件地址获得第一用户网关设备的IP地址。

除此之外，由于用户网关设备的IP地址会因BRAS服务器的定期断开重连，或用户网关设备自身的重启等而改变，其IP地址的变化是由BRAS服务器等专业系统管理的，所以通过上述的方式获得第一用户网关设备的IP地址，配置设备只需要借助其他管理系统协同来完成接入虚拟专用网络的配置，自也不需要存储目标用户信息的数据，是较为合理的配置方式。并且，接入网关设备(BRAS服务器)只要确定了目标用户身份后，第一用户网关设备的IP地址更新等都可由接入网关设备(BRAS服务器)自行管理，增强了系统的稳定性。

在一种可能的实施例中，用户信息还包括目标用户的服务访问权限，服务访问权限为目标用户访问云服务器提供的服务的权限，云服务器提供的不同服务具有不同的端口号。接入虚拟专用网络的配置方法还包括：向接入网关设备发送目标用户的服务访问权限和目标用户的服务访问权限对应的服务的端口号，以使接入网关设备在接收到第一用户网关设备发送的第一数据时，根据目标用户的服务访问权限和第一数据访问的服务的端口号，确定是否转发第一数据。

一般，云服务器会提供多种服务，并且会对不同的服务提供不同的端口，每个端口都有标识性的端口号。配置设备向接入网关设备发送服务对应的端口号，可方便接入网关设备在接收到第一数据时，根据第一数据访问的云服务器的端口号，判定第一数据访问的服务。然后，接入网关设备即可根据第一数据访问的服务和发送第一数据的目标用户的服务访问权限，来确定是否转发第一数据。

由上述实施例可知，本申请在接入网关设备对接收到的第一用户网关设备的第一数据，根据第一用户网关设备的访问权限对第一数据进行验证，从而确定是否转发第一数据，从而能够控制第一用户网关设备对云服务器上的服务的访问，使不同的目标用户只能访问云服务器上具有访问权限的服务。

在一种可能的实施例中，接入虚拟专用网络的配置方法，还包括：根据目标用户的服务访问权限，在第一用户网关设备上，对目标用户具有访问权限的服务配置对应的参数，参数表征在第一用户网关设备向云服务器的服务发送第一数据时，对第一数据的安全保障程度和/或提供带宽资源的优先程度。

例如，云服务器的邮件服务的参数表征的安全保障程度比办公系统服务的参数表征的安全保障程度更低。目标网关设备在访问邮件服务，向邮件服务发送第一数据时，可使用保密程度更低的加密算法，目标网关设备在访问办公系统服务，向办公系统服务发送第一数据时，可使用保密程度更高的加密算法。

再例如，目标用户具有访问云服务器的邮件服务和会议服务的权限，并且邮件服务的参数表征的提供带宽资源的优先程度比会议服务的参数表征的提供带宽资源的优先程度低。那么，当目标用户同时访问云服务器的邮件服务和会议服务，且带宽资源不足时，根据邮件服务和会议服务的参数，用户网关设备会将更多的带宽资源分配给目标用户访问的会议服务。

由上述实施例可知，本申请可通过对目标用户访问的不同服务配置第一参数，在访问服务时，用户网关设备可通过第一参数，对访问服务的数据提供相应的安全服务或带宽资源。

如图4所示，本申请提供的一种接入虚拟专用网络的配置方法，应用于接入网关设备，例如应用于如图1中示出的接入网关设备104，该方法可以包括如下S401至S403。

S401：接收到配置设备发送的目标用户的用户信息，目标用户为具有访问云服务器的权限的用户，云服务器为虚拟专用网络的服务器，接入网关设备为云服务器的网关设备。

S402：存储目标用户的用户信息。

S403：当接收到用户网关设备发送的对云服务器的访问请求时，根据存储的用户信息和访问请求中用户网关设备对应的用户信息，确定用户网关设备是否具有访问云服务器的权限。

应理解，接入网关设备作为云服务器的网关设备，位于用户网关设备和云服务器之间，用户网关设备和云服务器之间的数据传输都需要经过接入网关设备。因此，接入网关设备需先获得具有访问云服务器的权限的目标用户的用户信息，才能确定用户网关设备是否是具有访问云服务器的权限的网关设备。

由上述实施例可知，本方法是接入网关设备接收配置设备发送的目标用户的用户信息，在接收到用户网关设备发送的访问请求后，通过对比目标用户的用户信息和访问请求，来确定用户网关设备是否具有访问云服务器的权限。

在一种可能的实施例中，目标用户的用户信息还包括目标用户的网络连接身份信息和第一用户网关设备的IP地址，网络连接身份信息为第一用户网关设备连接宽带时所使用的身份信息，第一用户网关设备为目标用户的用户网关设备。接入网关设备为宽带接入服务器，根据存储的用户信息和访问请求中用户网关设备对应的用户信息，确定用户网关设备是否具有访问云服务器的权限，包括：根据存储的用户的网络连接身份信息和用户的用户网关设备的IP地址，确定用户网关设备是否具有访问云服务器的权限。

应理解，用户开通宽带的网络业务，连接网络时，需要先验证用户网络连接身份信息。并且，该验证过程是由用户网关设备在通电后自动进行的，因此，用户网关设备向接入网关设备发送对云服务器的访问请求也可以是自动进行的。

例如，用户网关设备在通电后，自动尝试连接网络，向网络发送访问请求，而接入网关设备作为BRAS服务器，会接收到用户网关设备的访问请求。接入网关设备上存储有目标网关设备的用户信息。接入网关设备会验证用户网关设备的网络连接信息，确定用户网关设备是否具有连接因特网的权限，同时会对比用户网关设备的用户的用户信息和目标用户的用户信息，来确定用户网关设备是否是第一用户网关设备，即确定用户网关设备是否具有访问云服务器的权限。

由上述实施例可知，用户网关设备可在通电后，自动通过接入网关设备的身份验证，访问云服务器，而不需要目标用户通过如输入验证信息这样的主动验证，去连接云服务器的虚拟专用网络，减少了用户操作，提高了用户体验。除此之外，目标用户可使用任意终端设备通过目标网关设备与虚拟专用网络建立连接，相比每次更换终端设备都需要再次申请远程VPN服务，本方法能使用户简单、快捷和自由地远程连接虚拟专用网络。

在一种可能的实施例中，用户信息还包括目标用户的服务访问权限，服务访问权限为目标用户访问云服务器提供的服务的权限，云服务器提供的不同服务具有不同的端口。接入虚拟专用网络的配置方法还包括：接收到第一用户网关设备向云服务器的服务发送的目标数据，目标数据用于访问云服务器提供的目标服务。如果根据存储的目标用户的服务访问权限目标服务的端口号判定目标用户具有访问目标服务的权限，则通过第一用户网关设备与云服务器之间的虚拟专用网络通道，将目标数据转发至云服务器。

例如，云服务器的地址为“10.0.0.0”，其中，邮件服务的端口号为“23”。目标用户的访问权限为具有对端口号“23”的邮件服务的访问权限。如果第一用户网关设备要向云服务器的邮件服务发送第一数据，第一用户网关设备会先识别到第一数据携带访问的目标地址“10.0.0.0:23”，并根据路由表中目标地址与虚拟专用网络通道的绑定关系，通过虚拟专用网络通道，发送第一数据。接入网关设备作为虚拟专用网络通道中的其中一个传输设备，接收到第一数据。接入网关设备根据第一数据的“10.0.0.0:23”,识别到第一用户网关设备发送的第一数据为访问云服务器的邮件服务的数据，并根据目标用户的访问权限为具有对端口号“23”的邮件服务的访问权限，则会确定转发第一数据，继续通过虚拟专用网络通道，发送至云服务器。

由上述实施例可知，云服务器上可能提供多种服务，而第一用户网关设备与云服务器之间所有的数据传输都会经过接入网关设备，因此，本方法可通过在接入网关设备对第一用户网关设备发送的访问云服务器服务的第一数据进行权限验证，从而保证控制具有不同访问权限的目标用户，只能访问云服务器中具有访问权限的服务。

在一种可能的实施例中，虚拟专用网络通道为配置设备根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备的IP地址，创建的在第一用户网关设备与云服务器之间的虚拟专用网络通道。

由于用户在远程接入虚拟专用网络时，可能需要访问虚拟专用网络之外的网络，但是虚拟专用网络之外的网络的数据可能是不安全的数据访问，会对云服务器的数据造成影响。因此，可通过创建第一用户网关设备和云服务器之间的虚拟专用网络通道，并且使只有第一用户网关设备和云服务器之间的数据通过该虚拟专用网络通道传输，使目标网关设备访问虚拟专用网络通道与访问其他网络的通道分隔开，从而保证了虚拟专用网络的安全性。

如图5所示，在一些实施例中，本申请提供的一种接入虚拟专用网络的配置装置，可以包括：

通道建立模块501，用于创建第一用户网关设备与云服务器之间的虚拟专用网络通道，云服务器为虚拟专用网络的服务器。

路由配置模块502，用于将第一用户网关设备的路由表中以云服务器的服务器地址为目的地址的路由通道，设置为虚拟专用网络通道。

信息分发模块503，用于向云服务器的接入网关设备发送目标用户的用户信息，目标用户为第一用户网关设备的用户，接入网关设备上存储有不同用户的用户信息，接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和访问请求中的用户信息，确定第二用户网关设备是否具有访问云服务器的权限。

在一种可能的实施例中，通道建立模块501，具体用于：获取云服务器的服务器地址和目标用户的用户信息。根据云服务器的服务器地址和目标用户的用户信息中第一用户网关设备的IP地址，创建第一用户网关设备与云服务器之间的虚拟专用网络通道。

在一种可能的实施例中，目标用户的用户信息还包括目标用户的网络连接身份信息，网络连接身份信息为第一用户网关设备连接宽带时所使用的身份信息，接入网关设备为宽带接入服务器。宽带接入服务器用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户的网络连接身份信息和用户网关设备的IP地址，确定第二用户网关设备是否具有访问云服务器的权限。

在一种可能的实施例中，用户信息还包括目标用户的服务访问权限，服务访问权限为目标用户访问云服务器提供的服务的权限，云服务器提供的不同服务具有不同的端口号，信息分发模块503，还用于向接入网关设备发送目标用户的服务访问权限和目标用户的服务访问权限对应的服务的端口号，以使接入网关设备在接收到第一用户网关设备发送的目标数据时，根据目标用户的服务访问权限和目标数据访问的服务的端口号，确定是否转发目标数据。

在一种可能的实施例中，接入虚拟专用网络的配置装置和业务支撑系统通信连接。通道建立模块501，还用于按照下述步骤获取目标用户的用户信息：接收到业务支撑系统发送的目标用户的网络连接身份信息和目标用户的用户网关设备的硬件地址；根据目标用户的用户网关设备的硬件地址，从接入网关设备获得目标用户的用户网关设备的IP地址。

本申请实施例还提供了一种计算机可读存储介质，计算机可读存储介质上存储程序或指令，程序或指令被处理器执行时实现上述方法实施例中的各个步骤。

其中，计算机可读存储介质，例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘。随机存取存储器(RandomAccessMemory，RAM)、只读存储器(Read-OnlyMemory，ROM)、可擦式可编程只读存储器(ErasablePr ogrammableReadOnlyMemory，EPROM)、寄存器、硬盘、光纤、便携式紧凑磁盘只读存储器(CompactDiscRead-OnlyMemory，CD-ROM)、光存储器件、磁存储器件、或者上述的人以合适的组合、或者本领域数值的任何其他形式的可读存储介质。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于特定用途集成电路(Appl icationSpecificIntegratedCircuit，ASIC)中。在本申请实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

本申请的实施例提供一种计算机程序产品，该计算机程序产品被存储在非易失的存储介质中，该计算机程序产品被至少一个处理器执行以实现上述方法实施例所示的各个步骤。

在上述实施例中，可以全部或部分地通过软件、物理、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式来实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在可读存储介质中，或者从一个可读存储介质向另一个可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(DigitalSubscriberLine，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质(例如，DVD)、或者半导体介质(例如固态硬盘(SolidStateDisk，SSD))等。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能单元的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元完成，即将装置的内部结构划分成不同的功能单元，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

由于本申请的实施例中的设备、可读存储介质、计算机程序产品可以应用于上述方法，因此，其所能获得的技术效果也可参考上述方法实施例，本申请的实施例在此不再赘述。

需要说明的是，上述各单元可以为单独设立的处理器，也可以集成在控制器的某一个处理器中实现，此外，也可以以程序代码的形式存储于控制器的存储器中，由控制器的某一个处理器调用并执行以上各单元的功能。这里所述的处理器可以是一个中央处理器(CentralProcessingUnit，CPU)，或者是特定集成电路(ApplicationSpecificIntegratedCircuit，ASIC)，或者是被配置成实施本申请实施例的一个或多个集成电路。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子物理、或者计算机软件和电子物理的结合来实现。这些功能究竟以物理还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合、直接耦合或通信连接可以是通过接口实现的，其接口连接可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种接入虚拟专用网络的配置方法，其特征在于，应用于配置设备，包括：

创建第一用户网关设备与云服务器之间的虚拟专用网络通道，所述云服务器为所述虚拟专用网络的服务器；

将所述第一用户网关设备的路由表中以所述云服务器的服务器地址为目的地址的路由通道，设置为所述虚拟专用网络通道；

向所述云服务器的接入网关设备发送目标用户的用户信息，所述目标用户为所述第一用户网关设备的用户，所述接入网关设备上存储有不同用户的用户信息，所述接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和所述访问请求中的用户信息，确定所述第二用户网关设备是否具有访问所述云服务器的权限。

2.根据权利要求1所述的接入虚拟专用网络的配置方法，其特征在于，所述创建第一用户网关设备与云服务器之间的虚拟专用网络通道，包括：

获取所述云服务器的服务器地址和所述目标用户的用户信息；

根据所述云服务器的服务器地址和所述目标用户的用户信息中所述第一用户网关设备的IP地址，创建所述第一用户网关设备与所述云服务器之间的虚拟专用网络通道。

3.根据权利要求2所述的接入虚拟专用网络的配置方法，其特征在于，所述目标用户的用户信息还包括所述目标用户的网络连接身份信息，所述网络连接身份信息为所述第一用户网关设备连接宽带时所使用的身份信息；

所述接入网关设备为宽带接入服务器；所述宽带接入服务器用于在接收到所述第二用户网关设备发送的访问请求时，根据存储的用户的网络连接身份信息和用户网关设备的IP地址，确定所述第二用户网关设备是否具有访问所述云服务器的权限。

4.根据权利要求1所述的接入虚拟专用网络的配置方法，其特征在于，所述用户信息还包括所述目标用户的服务访问权限，所述服务访问权限为所述目标用户访问所述云服务器提供的服务的权限，所述云服务器提供的不同服务具有不同的端口号；

所述方法还包括：

向所述接入网关设备发送所述目标用户的服务访问权限和所述目标用户的服务访问权限对应的服务的端口号，以使所述接入网关设备在接收到所述第一用户网关设备发送的目标数据时，根据所述目标用户的服务访问权限和所述目标数据访问的服务的端口号，确定是否转发所述目标数据。

5.根据权利要求3所述的接入虚拟专用网络的配置方法，其特征在于，所述配置设备和业务支撑系统通信连接；按照下述步骤获取所述目标用户的用户信息：

接收到所述业务支撑系统发送的所述目标用户的网络连接身份信息和所述目标用户的用户网关设备的硬件地址；

根据所述目标用户的用户网关设备的硬件地址，从所述接入网关设备获得所述目标用户的用户网关设备的IP地址。

6.一种接入虚拟专用网络的配置方法，其特征在于，应用于接入网关设备，包括：

接收到配置设备发送的目标用户的用户信息，所述目标用户为具有访问所述云服务器的权限的用户；所述云服务器为所述虚拟专用网络的服务器；所述接入网关设备为所述云服务器的网关设备；

存储所述目标用户的用户信息；

当接收到用户网关设备发送的对所述云服务器的访问请求时，根据存储的用户信息和所述访问请求中所述用户网关设备对应的用户信息，确定所述用户网关设备是否具有访问所述云服务器的权限。

7.根据权利要求6所述的接入虚拟专用网络的配置方法，其特征在于，所述目标用户的用户信息还包括所述目标用户的网络连接身份信息和第一用户网关设备的IP地址，所述网络连接身份信息为所述第一用户网关设备连接宽带时所使用的身份信息，所述第一用户网关设备为所述目标用户的用户网关设备；

所述接入网关设备为宽带接入服务器；所述根据存储的用户信息和所述访问请求中所述用户网关设备对应的用户信息，确定所述用户网关设备是否具有访问所述云服务器的权限，包括：

根据存储的用户的网络连接身份信息和用户的用户网关设备的IP地址，确定所述用户网关设备是否具有访问所述云服务器的权限。

8.根据权利要求6或7所述的接入虚拟专用网络的配置方法，其特征在于，所述用户信息还包括所述目标用户的服务访问权限，所述服务访问权限为所述目标用户访问所述云服务器提供的服务的权限，所述云服务器提供的不同服务具有不同的端口号；

所述方法还包括：

接收到所述第一用户网关设备向所述云服务器的服务发送的目标数据，所述目标数据用于访问所述云服务器提供的目标服务；

如果根据存储的所述目标用户的服务访问权限所述目标服务的端口号判定所述目标用户具有访问所述目标服务的权限，则通过所述第一用户网关设备与所述云服务器之间的虚拟专用网络通道，将所述目标数据转发至所述云服务器。

9.根据权利要求8所述的接入虚拟专用网络的配置方法，其特征在于，所述虚拟专用网络通道为所述配置设备根据所述云服务器的服务器地址和所述目标用户的用户信息中所述第一用户网关设备的IP地址，创建的在所述第一用户网关设备与所述云服务器之间的虚拟专用网络通道。

10.一种接入虚拟专用网络的配置装置，其特征在于，包括：

通道建立模块，用于创建第一用户网关设备与云服务器之间的虚拟专用网络通道，所述云服务器为所述虚拟专用网络的服务器；

路由配置模块，用于将所述第一用户网关设备的路由表中以所述云服务器的服务器地址为目的地址的路由通道，设置为所述虚拟专用网络通道；

信息分发模块，用于向所述云服务器的接入网关设备发送目标用户的用户信息，所述目标用户为所述第一用户网关设备的用户，所述接入网关设备上存储有不同用户的用户信息，所述接入网关设备用于在接收到第二用户网关设备发送的访问请求时，根据存储的用户信息和所述访问请求中的用户信息，确定所述第二用户网关设备是否具有访问所述云服务器的权限。