CN1747436A - 一种虚拟专网客户端的接入方法及系统 - Google Patents

Abstract

本发明公开了一种虚拟专网(VPN)客户端的接入方法，应用于包括VPN客户端、一个以上VPN分支网络以及一个以上VPN分支网关的系统，每一VPN分支网络连接一个以上的VPN分支网关；设置用于保存各VPN分支网关接入配置信息的VPN中心网关；该方法还包括：A.所述VPN客户端从所述VPN中心网关获取VPN分支网关的接入配置信息；B.该VPN客户端按所获取的VPN分支网关的接入配置信息与VPN分支网关建立连接，并通过该VPN分支网关接入VPN分支网络。本发明还提供了一种系统，应用本发明方法及系统能简化VPN客户端的配置操作，并提高系统性能。

Description

一种虚拟专网客户端的接入方法及系统

技术领域

本发明涉及虚拟专网(VPN，Virtual Private Network)技术，特别涉及一种VPN客户端的接入方法及系统。

背景技术

虚拟专用网络，简称虚拟专网(VPN)，能够利用因特网(Internet)或其它公共互联网络基础设施为用户创建虚拟的逻辑网络，具有与私有网络相同的安全性、易管理性和稳定性，可以满足企业内部局域网与分支机构、移动用户、远程用户间安全连接的要求。一般来说，VPN连接可以分为基于网络的VPN和基于客户端的VPN这两种形式。

其中，基于网络的VPN对使用网络的终端用户来说是透明的，VPN链路的建立、数据的加密传输均由边缘路由器或VPN网关实现，可以通过公用网络在公司企业总部和远程办公室、供应商、合作伙伴和用户之间建立起虚拟专用网络。而基于客户端的VPN则面向出差流动员工、远程办公人员和远程小办公室，提供了通过公用网络与企业的内部局域网建立私有网络连接的功能。目前，此基于客户端的VPN已经成为企业网VPN解决方案的重要组成部分。

然而，目前基于客户端的VPN的发展已受到管理复杂和性能受限等因素的严重阻碍。对于移动VPN客户端而言，如要正常接入企业局域网建立VPN连接，必须配置复杂的运行参数；如果企业中拥有多个分支局域网络，用户则必须为与每一个分支网络的VPN连接配置复杂的参数。所配置的参数包括：VPN网关信息、加密算法信息、密钥协商机制等，这些参数对于普通用户来说难以理解，在配置参数时将遇到诸多麻烦，也容易出现误操作。此外，现有的VPN解决方案中的单点接入VPN入口网关机制也成为移动VPN客户端接入的性能瓶颈。

目前，通常采用二层隧道协议(L2TP)技术与IPSec技术相结合来实现安全移动VPN客户端的接入。在这种VPN解决方案中为了在VPN用户和企业网服务器之间安全地传递数据报文，必须在VPN客户端与VPN网关(LNS)间建立L2TP通道，同时通过因特网安全协议(IPSec)对数据提供加密，确保数据传输的安全性。鉴于前面所述现有VPN技术出现的问题，以L2TP/IPSec VPN为基础的移动VPN客户端将具有以下缺点：

1、配置复杂：除了要配置VPN网关的IP地址、共享密钥等基本参数外，还要对IPSec参数、因特网密钥交换(IKE)参数以及路由表进行配置。如果企业中拥有多个分支局域网络，用户则必须为与每一个分支网络的VPN连接配置一套复杂的参数。

2、无法与动态获取IP地址的企业分支网络的VPN分支网关互连：由于移动VPN客户端无法得知分支网络的VPN分支网关动态获取的IP地址，因此无法建立连接。

3、安全策略难以保证：由于用户可自由选择加密算法强度以及路由策略，因此无法保证加密强度，也可能因为企业内部服务器与Internet可通过移动VPN客户端互连，而造成安全隐患。

4、性能瓶颈严重：这种VPN客户端接入方式采用了以VPN入口网关为中心的接入和转发机制，系统中所有VPN客户端与VPN分支网关之间的报文都要经由统一的VPN入口网关进行数据加密和转发，这样使数据加密和转发压力集中于VPN入口网关这一单点设备，从而形成VPN客户端接入的性能瓶颈，难以适应大规模的移动VPN客户端的并发接入。

可见，移动VPN客户端配置的复杂性和接入性能的瓶颈，已严重影响了移动VPN客户端接入的推广应用。随着VPN在安全技术方面的日渐成熟，用户对移动VPN客户端的关注重点也逐渐从基本的安全加密转移到了易用性和高性能等方面，所以目前亟待改进VPN客户端接入技术。

发明内容

有鉴于此，本发明的主要目的在于提供一种VPN客户端的接入方法及系统，能显著降低VPN客户端接入网络时的配置复杂度，方便用户使用，并提高系统性能。

为达到上述目的，本发明的技术方案是这样实现的：

本发明公开了一种VPN客户端的接入方法，应用于包括VPN客户端、一个以上VPN分支网络以及一个以上VPN分支网关的系统，每一VPN分支网络连接一个以上的VPN分支网关；设置用于保存各VPN分支网关接入配置信息的VPN中心网关；该方法还包括：

A.所述VPN客户端从所述VPN中心网关获取VPN分支网关的接入配置信息；

B.该VPN客户端按所获取的VPN分支网关的接入配置信息与VPN分支网关建立连接，并通过该VPN分支网关接入VPN分支网络。

其中，步骤A所述获取VPN分支网关的接入配置信息的方法为：

A1.所述VPN客户端与VPN中心网关建立连接，该VPN中心网关根据来自该VPN客户端的身份认证信息对该VPN客户端进行身份认证，当身份认证成功时，下发VPN客户端所能接入的VPN分支网络以及该所能接入的VPN网络连接的VPN分支网关的信息给该VPN客户端；

A2.该VPN客户端确定自身当前准备接入的VPN分支网络，并从所述VPN中心网关获取该准备接入的VPN分支网络连接的VPN分支网关的接入配置信息。

其中，所述VPN中心网关预先保存各个VPN分支网络的接入权限信息，该接入权限信息用于指示各VPN客户端所能接入的各VPN分支网络及其连接的VPN分支网关；步骤A1中，所述VPN中心网关根据自身预先保存的各VPN分支网络的接入权限信息，下发该VPN客户端所能接入的VPN分支网络及其连接的VPN分支网关的信息。

步骤A2中，所述确定当前准备接入的VPN分支网络的方法为：从步骤A1下发的该VPN客户端所能接入的VPN分支网络的信息中确定当前准备接入的VPN分支网络。

步骤A1中，所述VPN客户端与VPN中心网关建立连接的方法为：所述VPN客户端按自身预先配置的安全策略与所述VPN中心网关建立安全连接。

步骤A1中，所述VPN客户端与VPN中心网关建立连接的方法为：该VPN中心网关下发安全策略给该VPN客户端，该VPN客户端按此安全策略与该VPN中心网关建立安全连接。

步骤A中，当所述VPN客户端从所述VPN中心网关获取所述VPN分支网关的接入配置信息时，该方法进一步包括：该VPN中心网关按预先保存的各VPN客户端与各VPN分支网关之间的连接权限配置信息，对该VPN客户端与该VPN分支网关的连接权限进行认证，并将当前认证得到的连接权限信息包含在所述VPN分支网关的接入配置信息中；步骤B中，所述VPN客户端按此连接权限信息与所述VPN分支网关建立连接。

其中，所述VPN分支网关的接入配置信息包括：安全策略和连接参数。

本发明还公开了一种VPN客户端的接入系统，该系统包括：VPN客户端、一个以上VPN分支网络及其连接的VPN分支网关、VPN中心网关，每一VPN分支网络连接一个以上的VPN分支网关；所述VPN中心网关，用于保存VPN分支网关接入配置信息，发送VPN分支网关的接入配置信息给所述VPN客户端；所述VPN客户端，用于按VPN分支网关的接入配置信息连接VPN分支网关；所述VPN分支网关，用于将所述VPN客户端接入自身连接的VPN分支网络。

其中，各个VPN分支网关进一步与所述VPN中心网关相连，用于发送自身的VPN分支网关的接入配置信息给该VPN中心网关。

由上述方案可以看出，本发明的关键在于：设置用于保存各个VPN分支网关的接入配置信息的VPN中心网关；当VPN客户端准备接入VPN分支网络时，从该VPN中心网关获取该VPN分支网络的VPN分支网关的接入配置信息，再按此接入配置信息与该VPN分支网关建立连接，并通过该VPN分支网关接该VPN分支网络。

因此，本发明所提供的VPN客户端的接入方法及系统，能显著降低VPN客户端的配置复杂度，使用户采用VPN客户端接入VPN分支网络的操作更加简单，还能通过VPN中心网关对安全策略进行集中管理来保证接入VPN分支网络的安全性。此外，VPN客户端与VPN分支网关的直接连接，使原来VPN入口网关的数据处理压力由各个VPN分支网关来分担，从而解决了现有技术存在的VPN入口网关性能瓶颈问题，利于VPN的进一步发展。

附图说明

图1为本发明方法一较佳实施例处理流程示意图；

图2为本发明系统一较佳实施例组成结构示意图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

本发明提供了一种VPN客户端的接入方法，应用于包括VPN客户端、各个VPN分支网络及其连接的VPN分支网关的系统。为实现VPN客户端接入VPN分支网络，本发明在此系统之上设置了用于集中保存各个VPN分支网关接入配置信息的VPN中心网关；VPN客户端在接入VPN分支网络时，可从VPN中心网关获取该VPN分支网络的VPN分支网关的接入配置信息，进而与该VPN分支网关建立连接，并通过该VPN分支网关接入该VPN分支网络。

应用本发明方法后，VPN客户端的参数配置过程被大大简化，用户仅需在VPN客户端配置VPN中心网关的IP地址、用户的身份认证信息等，而无需配置各个VPN分支网关的信息。VPN客户端在与VPN中心网关建立连接的过程中进行身份认证，当身份认证成功时，从VPN中心网关获知自身所能接入的VPN分支网络以及该所能接入的VPN分支网络连接的各个VPN分支网关。当VPN客户端确定接入某VPN分支网络时，可从VPN中心网关获取当前VPN分支网络的VPN分支网关的接入配置信息，并按此接入配置信息与该VPN分支网关建立连接，以接入VPN分支网络。

图1为本发明方法一较佳实施例处理流程示意图。如图1所示，具体处理包括：

步骤101：VPN客户端发送VPN接入请求给VPN中心网关。这里，VPN客户端需要预先配置与VPN中心网关的连接参数，如：VPN中心网关的IP地址等。

由于，本发明中VPN客户端首先与VPN中心网关建立连接，因此根据实现的需要，可进一步由VPN中心网关负责完成VPN客户端的身份认证，以减轻VPN分支网关的处理压力。所以，该VPN接入请求可携带VPN客户端的身份认证信息，包括：用户名、密码等等。

步骤102：VPN中心网关根据步骤101所述VPN接入请求中的身份认证信息对VPN客户端进行身份认证，并在身份认证成功时，确定该VPN客户端所能接入的VPN分支网络，再将该VPN客户端所能接入的VPN分支网络及其连接的VPN分支网关的相关信息下发给该VPN客户端。这里，当身份认证失败时，将结束当前处理流程。

其中，VPN中心网关可预先保存各个VPN客户端的身份认证信息，以对VPN客户端进行身份认证，还可预先保存各个VPN分支网络的接入权限信息，以确定当前VPN客户端所能接入的VPN分支网络。这里，所述各个VPN分支网络的接入权限信息用于指示各VPN客户端所能接入的各VPN分支网络及其连接的VPN分支网关。

步骤103：VPN客户端与VPN中心网关建立连接。

这里，VPN中心网关通常要与VPN客户端建立安全连接，此时VPN客户端需要了解二者之间的安全策略。本步骤中，VPN客户端可按自身预先配置的安全策略与VPN中心网关建立连接。考虑到安全策略配置的复杂性，步骤102中，VPN中心网关可进一步向VPN客户端下发安全策略，然后本步骤中的VPN客户端可按接收到的安全策略建立安全连接。所述安全策略包括：所采用的加解密算法、密钥协商机制、链路加密强度等等。

步骤104：VPN客户端根据步骤102接收到的自身所能接入的VPN分支网络及其VPN分支网关的相关信息，确定当前准备接入的VPN分支网络，并向VPN中心网关查询该VPN分支网络的VPN分支网关的接入配置信息。

步骤105：VPN中心网关下发当前查询得到的VPN分支网关的接入配置信息给该VPN客户端。这里，所述VPN分支网关的接入配置信息，包括：连接参数和安全策略等，所述连接参数包括：终端安全状态以及路由信息等等，所述安全策略包括：所采用的加解密算法、密钥协商机制、链路加密强度等等。

其中，每一VPN客户端与VPN分支网关建立连接时，都需要对VPN客户端的连接权限进行认证，VPN客户端将按此连接权限来与VPN分支网关建立连接。为减轻VPN分支网关的处理负担，可将连接权限的认证处理移至VPN中心网关进行。所以，上述步骤104中，VPN中心网关还可进一步对VPN客户端的连接权限进行认证并得到连接权限信息，步骤105下发的VPN分支网关的接入配置信息中将进一步包含该连接权限信息。这里，VPN中心网关预先保存各VPN客户端与各VPN分支网关之间的连接权限配置信息，并按此连接权限配置信息对VPN客户端的连接权限进行认证；其中，连接权限配置信息包括：各VPN客户端对通过各VPN分支网关接入各VPN分支网络的访问权限、路由策略等信息，所述连接权限信息包括：访问分支网络的访问控制列表(ACL)控制策略等等。

步骤106：VPN客户端按步骤105接收到的VPN分支网关的接入配置信息中的连接参数、安全策略与VPN分支网关建立安全连接，并通过该VPN分支网关接入VPN分支网络。

在现有技术中，VPN客户端接入VPN分支网关时，通常都要经过统一的VPN入口网关来发送报文，这样VPN入口网关的处理压力相当大。而本步骤中，VPN客户端可与VPN分支网关直接建立连接，由各个VPN分支网关负责各自VPN分支网络的数据加密和转发，则可解决现有技术存在的性能瓶颈的问题。

基于上述本发明方法，本发明还公开了一种VPN客户端的接入系统，该系统包括：VPN客户端、VPN分支网络及其连接的VPN分支网关、VPN中心网关，而VPN分支网络以及VPN分支网关可能有一个或多个，且每一VPN分支网络可连接一个或多个VPN分支网关。本文所述一个或多个指一个以上。

图2为本发明系统一较佳实施例组成结构示意图。图2中，包括两个VPN分支网络：VPN分支网络1和VPN分支网络2，它们连接的VPN分支网关分别为VPN分支网关1和VPN分支网关2。

其中，VPN中心网关，用于保存各个VPN分支网关的接入配置信息，并发送VPN分支网关的接入配置信息给VPN客户端；VPN客户端，用于按接收到的VPN分支网关的接入配置信息与VPN分支网关建立连接；VPN分支网关，用于连接VPN客户端和VPN分支网络，从而将VPN客户端接入VPN分支网络。这里，可由系统操作员将各个VPN分支网关的接入配置信息输入VPN中心网关。

另外，本发明还提出了另一较佳的系统实施例：在上段所述系统实施例的基础之上，VPN中心网关可进一步连接系统中的各个VPN分支网关，从而VPN中心网关可自动从各个VPN分支网关接收VPN分支网关的接入配置信息。这样，每当有新的VPN分支网关加入，该新的VPN分支网关将按预先配置的VPN中心网关的IP地址发送自身的接入配置信息给VPN中心网关；每当有VPN分支网关的接入配置信息发生变化，该VPN分支网关也将发送最新的接入配置信息给VPN中心网关以完成接入配置信息的更新。进而，使整个系统更易于管理并能保证VPN分支网关接入配置信息的准确性。

综上所述，本发明所提供的方法及系统解决了移动VPN客户端配置复杂的问题，用户只需简单配置VPN中心网关的连接参数，而不必考虑各个VPN分支网关的连接参数，即可实现VPN客户端与VPN分支网关的安全互连，从而降低了用户使用的难度，并能提高企业网安全互连的整体性能，特别适合大型企业网的VPN应用场景。另外，VPN客户端接入VPN分支网络的安全策略等可由VPN中心网关统一进行管理，也更易于保证接入的安全性，避免了由VPN客户端自行配置安全策略时存在的安全隐患。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1、一种虚拟专网VPN客户端的接入方法，应用于包括VPN客户端、一个以上VPN分支网络以及一个以上VPN分支网关的系统，每一VPN分支网络连接一个以上的VPN分支网关；其特征在于，设置用于保存各VPN分支网关接入配置信息的VPN中心网关；该方法还包括：

A.所述VPN客户端从所述VPN中心网关获取VPN分支网关的接入配置信息；

B.该VPN客户端按所获取的VPN分支网关的接入配置信息与VPN分支网关建立连接，并通过该VPN分支网关接入VPN分支网络。

2、根据权利要求1所述的方法，其特征在于，步骤A所述获取VPN分支网关的接入配置信息的方法为：

A1.所述VPN客户端与VPN中心网关建立连接，该VPN中心网关根据来自该VPN客户端的身份认证信息对该VPN客户端进行身份认证，当身份认证成功时，下发VPN客户端所能接入的VPN分支网络以及该所能接入的VPN网络连接的VPN分支网关的信息给该VPN客户端；

A2.该VPN客户端确定自身当前准备接入的VPN分支网络，并从所述VPN中心网关获取该准备接入的VPN分支网络连接的VPN分支网关的接入配置信息。

3、根据权利要求2所述的方法，其特征在于，所述VPN中心网关预先保存各个VPN分支网络的接入权限信息，该接入权限信息用于指示各VPN客户端所能接入的各VPN分支网络及其连接的VPN分支网关；

步骤A1中，所述VPN中心网关根据自身预先保存的各VPN分支网络的接入权限信息，下发该VPN客户端所能接入的VPN分支网络及其连接的VPN分支网关的信息。

4、根据权利要求2所述的方法，其特征在于，步骤A2中，所述确定当前准备接入的VPN分支网络的方法为：

从步骤A1下发的该VPN客户端所能接入的VPN分支网络的信息中确定当前准备接入的VPN分支网络。

5、根据权利要求2所述的方法，其特征在于，步骤A1中，所述VPN客户端与VPN中心网关建立连接的方法为：

所述VPN客户端按自身预先配置的安全策略与所述VPN中心网关建立安全连接。

6、根据权利要求2所述的方法，其特征在于，步骤A1中，所述VPN客户端与VPN中心网关建立连接的方法为：

该VPN中心网关下发安全策略给该VPN客户端，该VPN客户端按此安全策略与该VPN中心网关建立安全连接。

7、根据权利要求1至6任一项所述的方法，其特征在于，步骤A中，当所述VPN客户端从所述VPN中心网关获取所述VPN分支网关的接入配置信息时，该方法进一步包括：

该VPN中心网关按预先保存的各VPN客户端与各VPN分支网关之间的连接权限配置信息，对该VPN客户端与该VPN分支网关的连接权限进行认证，并将当前认证得到的连接权限信息包含在所述VPN分支网关的接入配置信息中；

步骤B中，所述VPN客户端按此连接权限信息与所述VPN分支网关建立连接。

8、根据权利要求1至6任一项所述的方法，其特征在于，所述VPN分支网关的接入配置信息包括：安全策略和连接参数。

9、一种VPN客户端的接入系统，其特征在于，该系统包括：VPN客户端、一个以上VPN分支网络及其连接的VPN分支网关、VPN中心网关，每一VPN分支网络连接一个以上的VPN分支网关；所述VPN中心网关，用于保存VPN分支网关接入配置信息，发送VPN分支网关的接入配置信息给所述VPN客户端；

所述VPN客户端，用于按VPN分支网关的接入配置信息连接VPN分支网关；

所述VPN分支网关，用于将所述VPN客户端接入自身连接的VPN分支网络。

10、根据权利要求9所述的系统，其特征在于，各个VPN分支网关进一步与所述VPN中心网关相连，用于发送自身的VPN分支网关的接入配置信息给该VPN中心网关。

Images