CN116781428B - 一种基于虚拟专用网络vpn流量的转发系统 - Google Patents

Abstract

本发明涉及数字通信技术领域，尤其涉及一种基于虚拟专用网络VPN流量的转发系统，包括：封装模块，其用以将各节点发出的专网流量进行封装以形成封装流量；识别模块，其用以根据封装流量确定对应的专网流量；定位模块，其用以根据专网流量识别对应的服务器并发送至对应的服务器；封闭模块，其用以对专网流量进行识别并将完成识别的专网流量传输至各服务器；本发明利用设置上述模块，在公网上设置VPN通道，并对专网流量进行分割和加密，并将加密信息和专网流量分别发送至不同的服务器，在有效降低了VPN流量被拦截的同时，降低了因IP污染导致的流量指向异常的概率，从而有效提升了专网数据的安全性。

Description

一种基于虚拟专用网络VPN流量的转发系统

技术领域

本发明涉及数字通信技术领域，尤其涉及一种基于虚拟专用网络VPN流量的转发系统。

背景技术

VPN作为一种大型企业或团体与团体间的私人网络的通讯方法，它利用隧道协议来达到保密、发送端认证、消息准确性等私人消息安全效果。

其利用公网发送保密信息，在进行信息发送时，通过直连服务器的方式对信息进行传递。

中国专利授权公告号：CN113347071B公开了一种动态虚拟专用网络VPN建立方法、装置及设备，其中，方法包括：向VPN用户侧的服务设备发送用户面数据加密层建立请求；接收服务设备返回的用户面数据加密层的建立完成通知消息；基于用户面数据加密层的建立完成通知消息，向服务设备发送用户面数据协议层建立请求；接收服务设备根据用户面数据协议层建立请求返回的用户面数据协议层的建立完成通知消息，基于用户面数据协议层的建立完成通知消息，确定网络设备与服务设备之间的VPN用户面隧道建立成功。通过该发明，能够解决目前的VPN建立方法不能支持“多端到多端，多端与云之间”的多宿主混合组网方案的问题。

但是，上述方法存在以下问题：无法有效避免信息被拦截的问题。

发明内容

为此，本发明提供一种基于虚拟专用网络VPN流量的转发系统，用以克服现有技术中无法有效避免信息被拦截的问题，从而导致专网数据安全性下降的问题。

为实现上述目的，本发明提供一种基于虚拟专用网络VPN流量的转发系统，包括：

封装模块，其与各节点相连，用以将各节点发出的专网流量以预设封装策略进行封装，以形成封装流量；

识别模块，其与所述封装模块相连，用以根据所述封装流量确定对应的所述专网流量；

定位模块，其与所述识别模块相连，用以根据所述专网流量识别对应的服务器，并将专网流量发送至对应的服务器；

封闭模块，其与所述识别模块、所述定位模块以及对应的服务器相连，用以对所述专网流量以预设过滤策略进行识别，并将完成识别的所述专网流量传输至各服务器；

其中，所述预设封装策略为将所述专网流量进行封装并加入密钥；所述预设过滤策略为根据加密信息将对应的专网流量进行筛选，并将符合加密信息的对应专网流量标记为完成识别的专网流量；

其中，所述加密信息与所述封装流量对应，且分别发送至对应的服务器。

进一步地，所述封装模块包括：

数据分割单元，其用以将所述专网流量进行分割，并形成若干分割流量；

标记单元，其与所述数据分割单元相连，用以将各分割流量进行排序并生成对应的标记信息；

加密单元，其与所述数据分割单元以及所述标记单元相连，用以将各标记信息分别赋予加密信息，并生成对应的加密信息集；

其中，所述加密信息集与所述专网流量对应，且，所述密钥与所述加密信息集相互对应；

所述标记单元的排序方式与所述分割流量的发送时间有关。

进一步地，所述识别模块包括：

时序单元，其与所述标记单元相连，用以识别所述标记信息；

解密单元，其与所述加密单元相连，用以根据所述密钥识别对应的加密信息集，并根据密钥的识别结果确定所述分割流量是否能够传输；

分配单元，其与所述时序单元以及所述解密单元相连，用以根据所述标记信息以及对应的所述识别结果确定各分割流量的发送策略；

其中，所述发送策略包括整体发送策略以及分割发送策略；

其中，所述整体发送为将所述专网流量传输至对应的服务器；

所述分割发送为将各分割流量分别传输至对应的服务器。

进一步地，所述定位模块包括：

指向单元，其与所述分配单元相连，用以根据所述发送策略将对应的分割流量的物理地址进行识别，以形成对应的地址信息；

锁定单元，其与所述指向单元相连，用以根据所述地址信息将与所述定位模块相连的服务器传输的IP地址进行锁定。

进一步地，所述分配单元在所述整体发送策略下，将对应的专网流量通过若干转发服务器传输至目标服务器；

其中，所述密钥与对应的专网流量以预设时间间隔分别发送。

进一步地，所述分配单元在所述分割发送策略下，将各分割流量经由若干转发服务器传输至目标服务器，并将所述密钥以及对应的加密信息集发送至目标服务器。

进一步地，所述指向单元存有目标服务器的对应物理地址，在将所述专网流量和/或分割流量进行传输时，所述指向单元将目标服务器的物理地址屏蔽。

进一步地，所述封闭模块包括：

缓存单元，其与公网相连，用以将公网的流量进行缓存，并将封闭模块内的所述服务器与公网隔离，并且临时存储所述密钥、所述加密信息集、所述专网流量以及所述分割流量；

组合单元，其与所述缓存单元以及各转发服务器相连，用以将所述密钥、所述加密信息集、所述专网流量以及所述分割流量分别进行组合；

地址单元，其与所述缓存单元相连，用以将所述专网流量传输至对应的终端。

进一步地，所述加密信息集中的数据与各分割流量相互对应；

其中，所述加密信息集与所述专网流量的传输时间有关，所述分割流量根据所述专网流量的传输时间顺次生成，且各分割流量的数据容量处于预设容量范围；

其中，所述预设容量范围的上限与所述转发服务器的内存容量成正相关。

进一步地，所述专网流量在未与所述密钥结合时无法被读取；

其中，目标服务器在获取所述密钥时，若任一转发服务器的分割流量未传输至目标服务器，目标服务器将该转发服务器标记为损坏服务器，所述定位模块将未传输至目标服务器的分割流量通过其余转发服务器传输至目标服务器。

与现有技术相比，本发明的有益效果在于，利用设置封装模块、识别模块、定位模块以及封闭模块的方式，在公网上设置VPN通道，并对专网流量进行分割和加密，并将加密信息和专网流量分别发送至不同的服务器，在有效降低了VPN流量被拦截的同时，降低了因IP污染导致的流量指向异常的概率，从而有效提升了专网数据的安全性。

进一步地，利用设置数据分割单元、标记单元以及加密单元的方式，将专网数据进行分割，并将完成分割的各数据进行分别加密，在有效提升了专网数据传输系统的鲁棒性的同时，从而进一步提升了专网数据的安全性。

进一步地，通过时序对数据进行加密和解密，在有效提升了专网数据的完整性的同时，进一步提升了专网数据的安全性。

进一步地，通过将数据由多个不同的转发服务器进行传输的方式，将数据由不同路由分别发送，并且利用识别物理地址的方式，避免目标服务器因公网网络传输的问题导致IP被污染，在有效提升了传输准确性的同时，进一步提升了专网数据的安全性。

进一步地，利用将目标服务器与公网相互隔离的方式，避免目标服务器被来自公网的指令进行破坏，同时，在有效提升了转发系统的鲁棒性的同时，进一步提升了专网数据的安全性。

附图说明

图1为本发明基于虚拟专用网络VPN流量的转发系统的结构示意图。

具体实施方式

为了使本发明的目的和优点更加清楚明白，下面结合实施例对本发明作进一步描述；应当理解，此处所描述的具体实施例仅仅用于解释本发明，并不用于限定本发明。

下面参照附图来描述本发明的优选实施方式。本领域技术人员应当理解的是，这些实施方式仅仅用于解释本发明的技术原理，并非在限制本发明的保护范围。

需要说明的是，在本发明的描述中，术语“上”、“下”、“左”、“右”、“内”、“外”等指示的方向或位置关系的术语是基于附图所示的方向或位置关系，这仅仅是为了便于描述，而不是指示或暗示所述装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

此外，还需要说明的是，在本发明的描述中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域技术人员而言，可根据具体情况理解上述术语在本发明中的具体含义。

请参阅图1所示，其为本发明基于虚拟专用网络VPN流量的转发系统的结构示意图，基于虚拟专用网络VPN流量的转发系统，包括：

封装模块，其与各节点相连，用以将各节点发出的专网流量以预设封装策略进行封装，以形成封装流量；

识别模块，其与封装模块相连，用以根据封装流量确定对应的专网流量；

定位模块，其与识别模块相连，用以根据专网流量识别对应的服务器，并将专网流量发送至对应的服务器；

封闭模块，其与识别模块、定位模块以及对应的服务器相连，用以对专网流量以预设过滤策略进行识别，并将完成识别的专网流量传输至各服务器；

其中，预设封装策略为将专网流量进行封装并加入密钥；预设过滤策略为根据加密信息将对应的专网流量进行筛选，并将符合加密信息的对应专网流量标记为完成识别的专网流量；

其中，加密信息与封装流量对应，且分别发送至对应的服务器。

与现有技术相比，本发明的有益效果在于，利用设置封装模块、识别模块、定位模块以及封闭模块的方式，在公网上设置VPN通道，并对专网流量进行分割和加密，并将加密信息和专网流量分别发送至不同的服务器，在有效降低了VPN流量被拦截的同时，降低了因IP污染导致的流量指向异常的概率，从而有效提升了专网数据的安全性。

具体而言，封装模块包括：

数据分割单元，其用以将专网流量进行分割，并形成若干分割流量；

标记单元，其与数据分割单元相连，用以将各分割流量进行排序并生成对应的标记信息；

加密单元，其与数据分割单元以及标记单元相连，用以将各标记信息分别赋予加密信息，并生成对应的加密信息集；

其中，加密信息集与专网流量对应，且，密钥与加密信息集相互对应；

标记单元的排序方式与分割流量的发送时间有关。

利用设置数据分割单元、标记单元以及加密单元的方式，将专网数据进行分割，并将完成分割的各数据进行分别加密，在有效提升了专网数据传输系统的鲁棒性的同时，从而进一步提升了专网数据的安全性。

在实施中，对专网数据（AaBbCc）添加密钥时，将该专网数据分离为密钥（abc）以及专网数据（ABC），同时，根据其对应的发送时间打上时间戳，即密钥（1a2b3c），专网数据（1A2B3C），同时将密钥与专网数据分别发送；

可以理解的是，当密钥与专网数据未同时传输至目标服务器时，该专网数据无法被读取。

具体而言，识别模块包括：

时序单元，其与标记单元相连，用以识别标记信息；

解密单元，其与加密单元相连，用以根据密钥识别对应的加密信息集，并根据密钥的识别结果确定分割流量是否能够传输；

分配单元，其与时序单元以及解密单元相连，用以根据标记信息以及对应的识别结果确定各分割流量的发送策略；

其中，发送策略包括整体发送策略以及分割发送策略；

其中，整体发送为将专网流量传输至对应的服务器；

分割发送为将各分割流量分别传输至对应的服务器。

其中，分配单元根据时序单元的标记结果对专网流量的发送策略进行分配；

在实施中，专网流量（AB）包含A文件和B文件，

若时序单元识别：发送A文件需要1s，发送B文件需要0.5s，分配单元判定专网流量（AB）采用分割发送策略；

若时序单元识别：发送A文件需要0.25s，发送B文件需要0.12s，分配单元判定专网流量（AB）采用整体发送策略；

可以理解的是，上述发送时长与网络带宽相关、服务器的处理能力或服务器的发送方式相关，其发送的时长均能由时序单元识别，且手段不唯一，在此不再赘述。

通过时序对数据进行加密和解密，在有效提升了专网数据的完整性的同时，进一步提升了专网数据的安全性。

在实施中，以专网数据（ABCD）为例：

其在发送时，共发送5s，各秒发送的内容分别为：A1，A2，B，C，D，标记单元根据其内容，将专网数据（ABCD）分割为分割数据：1A1,2A2,3B，4C，5D，并将上述分割数据分别进行加密；

若其在发送时，共发送4s，各秒发送的内容分别为：A，B，C，D，标记单元根据其内容，将专网数据（ABCD）分割为分割数据：1A,2B，3C，4D，并将上述分割数据分别进行加密；

若其在发送时，共发送3s，各秒发送的内容分别为：AB，C，D，标记单元根据其内容，将专网数据（ABCD）分割为分割数据：1AB，2C，3D，并将上述分割数据分别进行加密；

可以理解的是，上述实施例标记在字母左侧的数字仅为标记，其与密钥无关。

具体而言，定位模块包括：

指向单元，其与分配单元相连，用以根据发送策略将对应的分割流量的物理地址进行识别，以形成对应的地址信息；

锁定单元，其与指向单元相连，用以根据地址信息将与定位模块相连的服务器传输的IP地址进行锁定。

通过将数据由多个不同的转发服务器进行传输的方式，将数据由不同路由分别发送，并且利用识别物理地址的方式，避免目标服务器因公网网络传输的问题导致IP被污染，在有效提升了传输准确性的同时，进一步提升了专网数据的安全性。

可以理解的是，转发服务器和目标服务器可以互相转换，且，转发服务器设置有若干个；

具体而言，分配单元在整体发送策略下，将对应的专网流量通过若干转发服务器传输至目标服务器；

其中，密钥与对应的专网流量以预设时间间隔分别发送。

具体而言，专网流量在未与密钥结合时无法被读取；

其中，目标服务器在获取密钥时，若任一转发服务器的分割流量未传输至目标服务器，目标服务器将该转发服务器标记为损坏服务器，定位模块将未传输至目标服务器的分割流量通过其余转发服务器传输至目标服务器。

利用将目标服务器与公网相互隔离的方式，避免目标服务器被来自公网的指令进行破坏，同时，在有效提升了转发系统的鲁棒性的同时，进一步提升了专网数据的安全性。

以专网数据（AaBbCc）为例，利用转发服务器α、转发服务器β以及转发服务器γ进行分别发送：

先将密钥（1a2b3c）传输至转发服务器α以及转发服务器β，间隔5ms后再将专网数据（1A2B3C）传输至转发服务器α以及转发服务器γ，在目标服务器接收到密钥（1a2b3c）以及专网数据（1A2B3C）时，该专网数据传输完成。

具体而言，分配单元在分割发送策略下，将各分割流量经由若干转发服务器传输至目标服务器，并将密钥以及对应的加密信息集发送至目标服务器。

具体而言，指向单元存有目标服务器的对应物理地址，在将专网流量和/或分割流量进行传输时，指向单元将目标服务器的物理地址屏蔽。

可以理解的是，转发服务器与目标服务器可以互换，且目标服务器若作为指向单元的对应服务器，在指向单元被来自公网的数据进行攻击、干扰或被误导至其它服务器时，其对应的下一个服务器不能是目标服务器；

在实施中，上述情况常出现在因DNS服务器被攻击导致的IP污染的对应场景，现有服务器α、服务器β、服务器γ，以服务器α作为目标服务器，以服务器β以及服务器γ作为转发服务器为例：

在指向单元向目标服务器α发送信息时，其余服务器作为转发服务器进行使用，指向单元将目标服务器α对应的物理地址进行屏蔽，以免信息不经由其余服务器，并直接传输至服务器α导致数据丢失的问题。

具体而言，封闭模块包括：

缓存单元，其与公网相连，用以将公网的流量进行缓存，并将封闭模块内的服务器与公网隔离，并且临时存储密钥、加密信息集、专网流量以及分割流量；

组合单元，其与缓存单元以及各转发服务器相连，用以将密钥、加密信息集、专网流量以及分割流量分别进行组合；

地址单元，其与缓存单元相连，用以将专网流量传输至对应的终端。

以专网数据（AaBbCc）为例，其被分割为分割数据1A、分割数据2B以及分割数据3C，其对应的加密信息集为[1a,2b,3c]：

其中，加密信息集与专网流量的传输时间有关，分割流量根据专网流量的传输时间顺次生成，且各分割流量的数据容量处于预设容量范围；

其中，预设容量范围的上限与转发服务器的内存容量成正相关。

可以理解的是，预设容量范围为堆栈空间，其容量上限与转发服务器的内存容量成正相关：

如32G内存空间的服务器的预设容量范围的上限可以设置为10G；

如2G内存空间的服务器的预设容量范围的上限可以设置为1G；

如128G内存空间的服务器的预设容量范围的上限可以设置为30G；

对于分割容量而言，在实施中，其数据容量根据时间确定：

在实施中，以专网数据（ABCD）4G为例：

其在发送时，共发送5s，各秒发送的内容分别为：A1（0.75G），A2（0.25G），B（1G），C（1.2G），D（0.8G），标记单元根据其内容，将专网数据（ABCD）分割为分割数据：1A1,2A2,3B，4C，5D，并将分割数据按对应的内容所占容量分割即可。

先将密钥（1a2b3c）传输至转发服务器α、转发服务器β以及转发服务器γ，同时，将加密信息集中的各加密信息分别发送至随机转发服务器中，间隔5ms后再将专分割数据1A传输至转发服务器α，分割数据2B传输至转发服务器β，分割数据3C传输至转发服务器γ，在目标服务器接收到密钥（1a2b3c）、加密信息集中的任一加密信息或任一分割数据时，该目标服务器将该信息进行拼接，直至所有信息传输到位，该专网数据传输完成。

具体而言，加密信息集中的数据与各分割流量相互对应；

其中，目标服务器还设有最大时间阈值，当目标服务器中接收到专网数据中的任一数据时，目标服务器开始计时，当目标服务器达到最大时间阈值时，若仍未收到全部数据，目标服务器判定存在转发服务器发生损坏，并发出转发服务器损坏报警，同时，目标服务器上报损坏，所述定位模块利用任一能够接收的转发服务器将专网信息传输至目标服务器。

至此，已经结合附图所示的优选实施方式描述了本发明的技术方案，但是，本领域技术人员容易理解的是，本发明的保护范围显然不局限于这些具体实施方式。在不偏离本发明的原理的前提下，本领域技术人员可以对相关技术特征做出等同的更改或替换，这些更改或替换之后的技术方案都将落入本发明的保护范围之内。

以上所述仅为本发明的优选实施例，并不用于限制本发明；对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于虚拟专用网络VPN流量的转发系统，其特征在于，包括：

封装模块，其与各节点相连，用以将各节点发出的专网流量以预设封装策略进行封装，以形成封装流量；

识别模块，其与所述封装模块相连，用以根据所述封装流量确定对应的所述专网流量；

定位模块，其与所述识别模块相连，用以根据所述专网流量识别对应的服务器，并将专网流量发送至对应的服务器；

封闭模块，其与所述识别模块、所述定位模块以及对应的服务器相连，用以对所述专网流量以预设过滤策略进行识别，并将完成识别的所述专网流量传输至各服务器；

其中，所述预设封装策略为将所述专网流量进行封装并加入密钥；所述预设过滤策略为根据加密信息将对应的专网流量进行筛选，并将符合加密信息的对应专网流量标记为完成识别的专网流量；

其中，所述加密信息与所述封装流量对应，且分别发送至对应的不同服务器；

所述封装模块包括：

数据分割单元，其用以将所述专网流量进行分割，并形成若干分割流量；

标记单元，其与所述数据分割单元相连，用以将各分割流量进行排序并生成对应的标记信息；

加密单元，其与所述数据分割单元以及所述标记单元相连，用以将各标记信息分别赋予加密信息，并生成对应的加密信息集；

其中，所述加密信息集与所述专网流量对应，且，所述密钥与所述加密信息集相互对应；

所述标记单元的排序方式与所述分割流量的发送时间有关。

2.根据权利要求1所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述识别模块包括：

时序单元，其与所述标记单元相连，用以识别所述标记信息；

解密单元，其与所述加密单元相连，用以根据所述密钥识别对应的加密信息集，并根据密钥的识别结果确定所述分割流量是否能够传输；

分配单元，其与所述时序单元以及所述解密单元相连，用以根据所述标记信息以及对应的所述识别结果确定各分割流量的发送策略；

其中，所述发送策略包括整体发送策略以及分割发送策略；

其中，所述整体发送为将所述专网流量传输至对应的服务器；

所述分割发送为将各分割流量分别传输至对应的服务器。

3.根据权利要求2所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述定位模块包括：

指向单元，其与所述分配单元相连，用以根据所述发送策略将对应的分割流量的物理地址进行识别，以形成对应的地址信息；

锁定单元，其与所述指向单元相连，用以根据所述地址信息将与所述定位模块相连的服务器传输的IP地址进行锁定。

4.根据权利要求3所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述分配单元在所述整体发送策略下，将对应的专网流量通过若干转发服务器传输至目标服务器；

其中，所述密钥与对应的专网流量以预设时间间隔分别发送。

5.根据权利要求3所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述分配单元在所述分割发送策略下，将各分割流量经由若干转发服务器传输至目标服务器，并将所述密钥以及对应的加密信息集发送至目标服务器；

其中，转发服务器与目标服务器能够互换，且目标服务器若作为指向单元的对应服务器，在指向单元被来自公网的数据进行攻击、干扰或被误导至其它服务器时，其对应的下一个服务器不能是目标服务器。

6.根据权利要求4或5任一项所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述指向单元存有目标服务器的对应物理地址，在将所述专网流量和/或分割流量进行传输时，所述指向单元将目标服务器的物理地址屏蔽。

7.根据权利要求6所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述封闭模块包括：

缓存单元，其与公网相连，用以将公网的流量进行缓存，并将封闭模块内的所述服务器与公网隔离，并且临时存储所述密钥、所述加密信息集、所述专网流量以及所述分割流量；

组合单元，其与所述缓存单元以及各转发服务器相连，用以将所述密钥、所述加密信息集、所述专网流量以及所述分割流量分别进行组合；

地址单元，其与所述缓存单元相连，用以将所述专网流量传输至对应的终端。

8.根据权利要求6所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述加密信息集中的数据与各分割流量相互对应；

其中，所述加密信息集与所述专网流量的传输时间有关，所述分割流量根据所述专网流量的传输时间顺次生成，且各分割流量的数据容量处于预设容量范围；

其中，所述预设容量范围的上限与所述转发服务器的内存容量成正相关。

9.根据权利要求1-3任一项所述的基于虚拟专用网络VPN流量的转发系统，其特征在于，所述专网流量在未与所述密钥结合时无法被读取；

其中，目标服务器在获取所述密钥时，若任一转发服务器的分割流量未传输至目标服务器，目标服务器将该转发服务器标记为损坏服务器，所述定位模块将未传输至目标服务器的分割流量通过其余转发服务器传输至目标服务器。