WO2008092351A1 - Procédé de liaison dynamique de réseau privé virtuel - Google Patents

Procédé de liaison dynamique de réseau privé virtuel Download PDF

Info

Publication number
WO2008092351A1
WO2008092351A1 PCT/CN2007/071137 CN2007071137W WO2008092351A1 WO 2008092351 A1 WO2008092351 A1 WO 2008092351A1 CN 2007071137 W CN2007071137 W CN 2007071137W WO 2008092351 A1 WO2008092351 A1 WO 2008092351A1
Authority
WO
WIPO (PCT)
Prior art keywords
ipsec
address
network
bgp
branch
Prior art date
Application number
PCT/CN2007/071137
Other languages
English (en)
French (fr)
Inventor
Lin Zou
Original Assignee
Maipu Communication Technology Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Maipu Communication Technology Co., Ltd. filed Critical Maipu Communication Technology Co., Ltd.
Publication of WO2008092351A1 publication Critical patent/WO2008092351A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways

Definitions

  • the present invention relates to network technologies, and more particularly to a method for implementing dynamic VPN (Virtual Private Network).
  • VPN Virtual Private Network
  • IP Security IP Security, IP Layer Protocol Security
  • IP Layer Protocol Security IP Security, IP Layer Protocol Security
  • Traditional IPSec VPNs use a static configuration method to establish an encrypted tunnel by specifying the protected data stream and the address of the peer VPN device to implement access across the Internet between branch offices in different locations.
  • IPSec can be used to build an IPSec VPN network with a star or mesh topology based on application requirements.
  • the most commonly used IPSec VPN network topology is the star structure topology, which is closely related to the hierarchical management topology of early user organizations.
  • As the central node of the IPSec VPN star network each branch office establishes an IPSec tunnel with the central node. The branch office accesses the servers in the LAN of the enterprise headquarters through the IPSec tunnel.
  • more and more branches need to access each other, and the access traffic is getting larger and larger.
  • the common solution is to allow the data exchanged between the branches to transit through the IPSec VPN device of the central node to meet the mutual access requirements of the branches.
  • the data of mutual visits between branches must be decrypted and encrypted before the central node's IPSec VPN device can reach the visited branch.
  • Such a processing process itself increases the delay of data packets, and does not satisfactorily meet the service applications of low latency requirements such as VOIP (Voice over Internet Protocol) currently used by enterprises.
  • VOIP Voice over Internet Protocol
  • the requirements for the IPSec VPN device performance and the egress bandwidth of the central node are also higher and higher.
  • Traditional IPSec VPN also has a method to solve the need for mutual access between branches, which is to establish a mesh IPSec VPN topology. Such mutual access between branches does not require forwarding through the central node.
  • each branch has An IPSec tunnel needs to be established with other branches and central nodes.
  • n (n-1) tunnels need to be configured. This is a fatal problem for deploying large IPSec VPN networks. Therefore, the mesh IPSec VPN topology is only suitable for networks with very few branches.
  • ADSL Asymmetric Digital Subscriber Line
  • the dynamic IPSec VPN network has the advantage of a static full mesh IPSec VPN network, and there is no complicated shortcoming of static full mesh IPSec VPN configuration management. Simply put, a dynamic IPSec VPN network must have the following characteristics:
  • the configuration is simple. You do not need to configure the IPSec remote end on the VPN device. You do not need to know the IP addresses of all remote devices on the IPSec VPN network and protect the data flow.
  • Branches can directly perform secure access protected by IPSec tunnels without having to go through IPSec devices in the IPSec VPN network center.
  • the deployment is simple.
  • the entire IPSec VPN network has good scalability and can automatically adapt to the addition and deletion of remote IPSec devices.
  • the IPSec tunnel between branches can be dynamically established on demand, and the tunnel is automatically deleted when the idle time expires.
  • the most representative ones are the multi-point general routing encapsulation protocol, the next hop resolution protocol and the dynamic routing protocol combined with IPSec to implement the dynamic IPSec VPN solution.
  • the scheme uses the next hop resolution protocol to implement The public device IP address of the peer device is obtained, and the generalized routing encapsulation protocol and the dynamic routing protocol are used to obtain the information of the protected data stream.
  • the solution has the characteristics that the above-mentioned dynamic IPSec VPN should have, and can better meet the needs of some customers. However, this solution requires that all IPSec devices access the public network address and cannot support NAT (Network Address Translation) access.
  • NAT Network Address Translation
  • the technical problem to be solved by the present invention is to provide a virtual private network dynamic connection method for the above-mentioned shortcomings of the prior art, and use a combination of IPSec and BGP protocol (Border Gateway Protocol) to implement a dynamic IPSec VPN network.
  • BGP protocol Border Gateway Protocol
  • the present invention solves the technical problem, and the technical solution adopted is a virtual private network dynamic connection method, which includes the following steps:
  • the IPSec device of the central node and the IPSec device of the branch establish BGP adjacency through the static IPSec tunnel.
  • the IPSec device automatically adds a route mapping policy to the BGP neighbors that have established BGP adjacencies, and sets the extended community attribute value of the routing information.
  • the IPSec device in the IPSec VPN network advertises the IP address/network segment of the local network to be protected to other IPSec devices through the BGP routing protocol.
  • the IPSec device of the central node distributes the IP address/network segment information of the data to be protected by the branch to the IPSec device of other branches through the BGP route reflector function.
  • the IPSec device between the branches learns the IP address/network segment information of the data that the other branches need to protect. Then, obtain the peer public network address from the extended community attribute, and then negotiate to establish an IPSec tunnel.
  • the invention has the beneficial effects that the network resources are small and the cost is low. Easy to configure, DRAWINGS
  • Figure 1 is a network topology diagram of an embodiment.
  • the BGP dynamic routing protocol is used to send the resource information to be protected by the local end to the remote VPN device in the manner of BGP routing update.
  • the remote VPN device obtains the legal address of the local VPN device based on the next hop address in the received BGP route update and the extended community attribute of the BGP route.
  • IPSec is responsible for automatically establishing related IPSec tunnels based on the learned information.
  • the virtual private network connection method of the present invention includes the following steps:
  • the IPSec device of the central node and the IPSec device of the branch establish BGP adjacency through the static IPSec tunnel.
  • the IPSec device automatically adds a route mapping policy to the BGP neighbors that have established BGP adjacencies, and sets the extended community attribute value of the routing information.
  • the IPSec device in the IPSec VPN network advertises the IP address/network segment of the local network to be protected to other IPSec devices through the BGP routing protocol.
  • the IPSec device of the central node distributes the IP address/network segment information of the data to be protected by the branch to the IPSec device of other branches through the BGP route reflector function.
  • the IPSec device between the branches learns the IP address/network segment information of the data that the other branches need to protect. Then, obtain the peer public network address from the extended community attribute, and then negotiate to establish an IPSec tunnel.
  • the IPSec device of the central node and the IPSec device of the branch establish a BGP adjacency relationship through the static IPSec tunnel and the IP address of the loopback interface of the IPSec device.
  • the extension The community attribute value is the respective public network IP address.
  • the extended community attribute value is the public network IP address of the central node device.
  • the IPSec device of the central node distributes the IP address/network segment information of the data to be protected by the branch to the IPSec device of the other branch through the BGP route reflector function, and specifies Protected protocol and port number.
  • the BGP tunnel cannot be traversed.
  • the IPSec tunnel is used to protect the transmission of BGP packets.
  • the BGP protocol supports the source interface for sending packets.
  • the loopback interface of the IPSec device of each branch office and the central node is used as the source interface for BGP packets.
  • the IP address allocation of the loopback interface can be completely planned by the user, which also provides great convenience for configuring the static protection data flow of BGP communication.
  • the BGP protocol is negotiated to establish the BGP adjacency relationship between the IPSec device of the branch and the IPSec device of the central node.
  • the IPSec device of the central node learns the IP address information to be protected by each branch office in the manner of route update notification (corresponding to the current static IPSec protection data flow, the IP address information learned here) To protect the destination address of the data stream).
  • the BGP protocol supports the feature of CIDR (Classless Inter-Domain Routing), which can accurately control the learning of protected data stream addresses.
  • the IPSec device configured on the central node is a BGP route reflector.
  • the information about the IPSec tunnel protection that is learned from the IPSec device of the other branch is distributed to the IPSec device of the branch office in the route update notification.
  • the public network address of the IPSec device of the branch is added to the extended community attribute by the central node, while the IP address of the IPSec device is sent to the IPSec device of the branch. In this way, the IPSec device of the same IPSEC VPN network can learn the IP address/network segment of the IPSec tunnel protection and the public network address of the IPSec device.
  • the IPSec device of each branch office and the corresponding IPSec device public network according to the destination address of the access data.
  • the IPSec negotiation is performed on the address to establish an IPSec tunnel to ensure user service access and security.
  • NAT detection is automatically completed by the IPSec protocol.
  • the public network IP address filled in the extended community attribute is the IPSec device of the central node. IP address.
  • the IPSec device of the other branch node after discovering that the peer is behind the NAT and not behind the NAT, does not initiate tunnel negotiation actively, but waits for the branch behind the NAT to initiate tunnel negotiation. If both ends are behind the NAT, the IPSec device of the branch will actively negotiate with the IPSec device at the central node to the tunnel of the peer branch. After receiving the routing information, the other end will also process the same. In this way, the connection can be completed by the forwarding of the central node in the manner of a star network. This method increases the flexibility of IPSec access and greatly reduces the access requirements for users to deploy dynamic IPSec VPN.
  • the BGP routing information attribute used in the present invention is:
  • this attribute carries the IP address/network segment of the protection data issued by the branch office.
  • this information corresponds to the destination address/segment of the static IPSec.
  • this information corresponds to the source address/segment of the static IPSec.
  • the next hop address Because the loopback interface address of each IPSec device is used when BGP adjacency is established, the next hop of each routing information is the loopback interface address of the IPSec device that advertises the routing information.
  • the loopback interface address is planned by the user. In the network, it uniquely represents each IPSec device (each branch office). Therefore, it is recommended that the assigned loopback interface address be the host address.
  • the BGP routing protocol supports two community attributes, one is a standard community attribute and the other is an extended community attribute. Some values in the standard community properties are dedicated to controlling the propagation of routes.
  • the format using the standard community attribute may be a number, and the attribute is used to define the protocol type of the data stream to be protected. If the TCP protocol is protected, the value is specified as 259. Accurate control over the range of resources that need to be protected can greatly improve the security of the network.
  • the routing target attribute of the community attribute and The route source attribute supports values in two formats. One is ASN:N; the kind is IP address: NN.
  • the public address information of the IPSec device is carried by using the IP address of the route destination attribute: NN format.
  • the latter NN code is used as an extension definition to implement the security isolation function. This allows for more precise control of access rights in the IPSec VPN network, enabling isolation of different permissions in the same IPSEC VPN network.
  • the protocol port number is defined using the ASN:NN format in the route source attribute.
  • the standard community attribute values correspond to the protocol types as follows:
  • Extended community attribute RT attribute value in the public network IP address fill in the rules:
  • the IPSec device of the branch is not behind the NAT.
  • the IP address filled in the extended community attribute is the public network of the IPSec device of the branch. IP address.
  • the IPSec device of the branch is behind the NAT.
  • the IP address filled in the extended community attribute is the public IP address of the IPSec device of the central node. .
  • IP address of the IPSec device is the same as the IP address of the IPSec device on the central node, and the next hop of the route is the IP address of the loopback interface of the non-central node, determine the branch that advertises the routing information.
  • the organization's IPSec device is behind NAT.
  • the dynamic IPSec VPN network which uses BGP dynamic routing and the IPSec protocol, uses the flexibility of the BGP routing protocol to ensure the flexibility of network topology scaling. Supports multiple access modes and supports NAT traversal. Only an IPSec device with one access point has a public IP address to form a dynamic IPSec VPN network. Other access points can use any access method. As long as they can access the public network, they can join the dynamic IPSec VPN network. Moreover, the present invention has high network access control capabilities and security. Use the routing community attribute value to specify the communication protocol and port number to be protected, and implement precise control of the protection data flow. Use the routing community extension attribute to implement security isolation. That is, the same IPSec VPN network can be accessed. .
  • branches there are three branches and one central node, and a dynamic IPSec VPN needs to be established. Branches need to access each other.
  • the access IP address provided by the network service provider of branch office C is the network service provider's own intranet address, which is a private IP address. Access to the Internet (that is, the public network) requires NAT.
  • the access methods of the other two branches A and B get dynamic public IP addresses.
  • the invention mainly utilizes the BGP routing protocol, uses unicast, and does not need to be directly connected to the neighbors, and does not need to support the IP address: the characteristics of the extended community attribute in the NN format, so that the IPSec devices of each branch office and the central node dynamically learn Go to the data stream to be protected and the public network address of the peer IPSec device.
  • at least one IPSec device needs to have a fixed public address in the entire IPSec VPN network.
  • the network segment judges the existence of NAT and performs special processing.
  • All loopback interface addresses are assigned to all IPSec devices according to the overall network plan (host address is recommended).
  • Configure BGP on the IPSec device at the central node and each branch and use the loopback interface address as the neighbor address and the address of the negotiation/update packet (it can be regarded as the specified loopback interface address as the BGP address) and configure to send BGP to the neighbor.
  • the extended community attribute is used to carry the corresponding public IP address of the IPSec device in the route distribution process.
  • On the IPSec device of the branch only the IPSec device of the central node is configured as the neighbor, and the IPSec device of the central node needs to accept the IPSec device of each branch as the neighbor.
  • BGP network commands are used to advertise locally protected IP addresses/network segments.
  • the source address/segment of the data stream is protected.
  • the IP address/network segment advertised by the network command is sent by the BGP process to the IPSec device of the central node or the branch as the normal route.
  • the destination address of the protected data stream of the IPSec device is learned. .
  • the IPSec device learned by the IPSec device of the central node In order to allow the IPSec device learned by the IPSec device of the central node to be distributed to the IPSec device of the other branch, the IPSec device of the central node needs to be configured as a route reflector. Client.
  • the process is mainly to determine the source and destination IP address/network segment of the data packets that need to be forwarded through the IPSec tunnel.
  • IPSec tunnel to protect BGP traffic.
  • the IPSec device configuration of the branch VIII, B, and C corresponds to the protection data flow.
  • the source address is the loopback interface address of the local IPSec device
  • the destination address is the loopback interface address of the central node.
  • the IPSec device of the central node finds that the IPSec device of branch C is behind the NAT, and the IPSec devices of other branches have the public IP address. Therefore, the IPSec device at the central node actively searches for the BGP configuration according to the address of the peer loopback interface that protects the BGP communication tunnel, and adds the m-direction route mapping to the BGP neighbor configuration corresponding to the branches A, B, and C.
  • the extended community attribute values are the IP addresses of the IPSec devices on the public network.
  • the extended community attribute value is the public IP address of the IPSec device on the central node. Because the loopback interface is used as the BGP neighbor address and the negotiation update packet address, the BGP adjacency can only be established after the IPSec tunnel that protects its communication is established. This sequence ensures the timeliness of the central node IPSec to set the route map. After the BGP adjacency is established, the IPSec devices of each branch learn from each other to protect the IP address/network segment information. The IPSec device of the branch A or B is based on the IP of the corresponding community extension attribute in the learned BGP route.
  • the IPSec device of the branch office A or B After receiving the protection data flow information about the branch office C, the IPSec device of the branch office A or B checks that the public network address of the peer end and the IPSec device address of the central node are the same, and the corresponding The BGP route next hop is not the loopback interface address of the IPSec device of the central node. In the process of negotiating the BGP IPSec tunnel, you can know that you are not behind the NAT. The IPSec device of branch C actively establishes a tunnel.
  • the IPSec device of branch C When the IPSec device of branch C receives the protection address information of the corresponding A or B branch through BGP, and finds that the IP address in the corresponding extended community attribute is not the IP address of the central node, the IPSec device of branch C actively takes the initiative.
  • the IP address in the extended attribute is used as the peer address to establish an IPSec tunnel. It is assumed that there is another branch D after the NAT. At this time, the IPSec device of the branch C or D receives the protected address information of the other party. Check the extended attributes and the next hop address of the BGP route to ensure that the other party is behind the NAT.
  • the NAT detection function of the IPSec protocol can obtain information about whether it is behind the NAT, and then know that the peer is behind the NAT, then Establish an IPSec tunnel corresponding to the data flow with the IPSec device of the central node.
  • the IPSec device at the central node needs to perform special processing on the branch offices behind the NAT to ensure that the IPSec tunnel is established.
  • the IPSec device forwarding of the central node is used to implement branch access. At this point, the IPSec tunnel is established.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

说 明 书
虚拟专用网动态连接方法 技术领域
本发明涉及网络技术， 特别涉及动态 VPN (虚拟专用网） 的实 现方法。
背景技术
IPSec (IP Security, IP层协议安全结构） 协议是一个端到端的 协议。传统的 IPSec VPN—般使用静态配置的方式，通过指定保护的 数据流和对端 VPN设备地址来建立加密隧道， 实现不同地点分支机 构间跨越因特网的访问。
根据应用需求， 利用 IPSec 可以组建成星型或网状网络拓扑的 IPSec VPN网络。 其中， 最常用的 IPSec VPN网络拓扑是星型结构拓 扑， 这和早期用户企业机构的分层管理拓扑结构是紧密相连的。企业 机构总部作为 IPSec VPN星型网络的中心节点，各个分支机构都和中 心节点建立 IPSec隧道， 分支机构通过 IPSec隧道访问企业机构总部 局域网中的服务器。但是， 随着企业机构管理拓扑的扁平化发展， 越 来越多的分支机构间需要相互访问， 而且访问流量也越来越大。在传 统 IPSec VPN网络中，常用的解决办法是让各个分支机构间互访的数 据，通过中心节点的 IPSec VPN设备中转，来满足分支机构间的互访 需求。这样，分支机构间互访的数据，就必须在中心节点的 IPSec VPN 设备经过解密， 再加密然后才能到达被访问分支机构。这样的处理流 程本身就加大了数据报文的时延， 不能很好的满足现在企业常用的 VOIP (Voice over Internet Protocol, IP i吾音） 之类低时延要求的服务 应用。而且随着分支机构节点间互访数据流量的加大， 对中心节点的 IPSec VPN设备性能和出口带宽的要求也越来越高。
传统 IPSec VPN还有一种解决分支机构间互访需求的方法，就是 建立网状 IPSec VPN拓扑结构。这样分支机构间的相互访问，就无需 经过中心节点的转发。要建立网状 IPSec VPN拓扑，每个分支机构都 需要和其他分支机构及中心节点建立 IPSec 隧道，对于具有 n个分支 机构的网络， 就需要配置 n (n-1 )条隧道。 这对部署大型 IPSec VPN 网络是个致命的问题。所以， 网状 IPSec VPN拓扑结构只适合于分支 机构非常少的网络。同时，要想所有的分支机构间都建立 IPSec隧道， 也要求这些分支机构的接入必须有固定的公网地址（动态域名方法的 出现， 不强制要求有固定地址， 但公网地址是必须的。） 面对现在国 内各个网络服务提供商提供的接入服务， 似乎只有电信的 ADSL (非 对称数字用户环线）接入方式能够满足为每个接入用户提供一个公网 地址。 采用 ADSL接入一般都是动态分配一个公网 IP地址， 而且一 般接入带宽有限， 上下行带宽不对称， 不适合作为服务端接入。如果 需要固定的公网地址和较高的带宽， 费用则会成倍增长。为了满足用 户不断发展的应用需求， 相对与传统的静态 IPSec VPN网络部署方 案， 众多的厂商纷纷推出了动态多点 IPSec VPN网络解决方案。
动态 IPSec VPN网络具有静态全网状 IPSec VPN网络的优势，同 时又没有静态全网状 IPSec VPN配置管理复杂的缺点。简单说，一个 动态 IPSec VPN网络必须具备以下特点：
具有静态 IPSec VPN网络保护数据安全的全部特性。
配置简单，不用在 VPN设备上为每个 IPSec 远端做专门的配置， 不需要预先知道 IPSec VPN网络中所有远端设备公网的 IP地址， 以 及保护数据流。
分支机构间能够直接进行受 IPSec隧道保护的安全访问， 而不必 经过 IPSec VPN网络中心的 IPSec设备的转发。
部署简单，整个 IPSec VPN网络有较好的伸缩性， 能够自动适应 远端 IPSec设备的添加和删除。
能够按需动态建立分支机构间的 IPSec隧道， 当空闲时间超时后 自动删除隧道。
在各种动态多点 IPSec VPN网络解决方案中，最有代表性的就是 利用多点通用路由封装协议、 下一跳解析协议和动态路由协议配合 IPSec实现动态 IPSec VPN方案。 该方案使用下一跳解析协议来实现 对端设备公网 IP地址的获得， 使用通用路由封装协议和动态路由协 议来得到获保护数据流的信息。该方案具有上述动态 IPSec VPN所应 具备的特点， 能够较好的满足一部分客户需要。但该方案要求所有的 IPSec 设备接入都必须使用公网地址， 不能够支持 NAT (网络地址转 换）接入。 同时不能象静态 IPSec VPN网络一样根据高层协议、端口 号等信息精确地控制用户保护的网络资源， 安全性有所降低。该方案 需要配置、维护多种协议来实现 IPSec VPN网络的动态连接，这样就 要求用户有较高的技术能力来维护管理该网络。
发明内容
本发明所要解决的技术问题， 就是针对现有技术的上述缺点， 提 供一种的虚拟专用网动态连接方法， 使用 IPSec和 BGP协议 （边界 网关协议） 结合， 实现动态 IPSec VPN网络。
本发明解决所述技术问题， 采用的技术方案是， 虚拟专用网动态 连接方法， 包括以下歩骤：
a.在中心节点的 IPSec设备和分支机构的 IPSec设备间配置静态 IPSec隧道；
b. 中心节点的 IPSec设备和分支机构的 IPSec设备通过所述静 态 IPSec隧道， 建立 BGP邻接关系；
c IPSec设备自动在已建立 BGP邻接关系的 BGP邻居上， 添 加路由映射策略， 设置路由信息的扩展团体属性值；
d. IPSec VPN网络中的 IPSec设备通过 BGP路由协议， 通告本 地需要被保护的网络的 IP地址 /网段给其它 IPSec设备；
e. 中心节点的 IPSec设备通过 BGP的路由反射器功能， 将分支 机构需要保护的数据的 IP 地址 /网段信息分发到其他分支机构的 IPSec设备上；
f. 分支机构间的 IPSec 设备相互学习其他分支机构需要保护的 数据的 IP地址 /网段信息后， 从扩展团体属性中获得对端公网地址， 然后协商建立 IPSec隧道。
本发明的有益效果是， 占用网络资源少，成本低。具有配置简单， 附图说明
图 1是实施例的网络拓扑图。
具体实施方式
下面结合附图及实施例， 详细描述本发明的技术方案。
本发明使用 BGP动态路由协议， 以 BGP路由更新的方式， 将本 端需要保护的资源信息， 发送给远端 VPN设备。远端 VPN设备根据 收到的 BGP路由更新中的下一跳地址，和 BGP路由的扩展团体属性 来获得本端 VPN设备的合法地址。 IPSec则负责根据学习到的信息自 动建立相关 IPSec隧道。
本发明的虚拟专用网连接方法， 包括以下歩骤：
a.在中心节点的 IPSec设备和分支机构的 IPSec设备间配置静态 IPSec隧道；
b. 中心节点的 IPSec设备和分支机构的 IPSec设备通过所述静 态 IPSec隧道， 建立 BGP邻接关系；
c IPSec设备自动在已建立 BGP邻接关系的 BGP邻居上， 添 加路由映射策略， 设置路由信息的扩展团体属性值；
d. IPSec VPN网络中的 IPSec设备通过 BGP路由协议， 通告本 地需要被保护的网络的 IP地址 /网段给其它 IPSec设备；
e. 中心节点的 IPSec设备通过 BGP的路由反射器功能， 将分支 机构需要保护的数据的 IP 地址 /网段信息分发到其他分支机构的 IPSec设备上；
f. 分支机构间的 IPSec 设备相互学习其他分支机构需要保护的 数据的 IP地址 /网段信息后， 从扩展团体属性中获得对端公网地址， 然后协商建立 IPSec隧道。
进一歩的， 所述歩骤 b中， 中心节点的 IPSec设备和分支机构的 IPSec设备通过所述静态 IPSec隧道， 使用 IPSec设备的环回接口 IP 地址， 建立 BGP邻接关系。
具体的， 歩骤 c中， 对于处在 NAT前面的分支机构， 所述扩展 团体属性值为各自的公网 IP地址； 对于处在 NAT后面的分支机构， 所述扩展团体属性值为中心节点设备的公网 IP地址。
进一歩的， 所述歩骤 e中， 中心节点的 IPSec设备通过 BGP的 路由反射器功能， 将分支机构需要保护的数据的 IP地址 /网段信息分 发到其他分支机构的 IPSec设备上， 并指定保护的协议和端口号。
本发明的技术方案， 因为要尽量降低用户接入条件的限制， 所以 要考虑各种网络接入方式， 这样就不可避免的存在 NAT穿越问题。 而 BGP是无法穿越 NAT的， 需要使用 IPSec隧道保护 BGP报文的 传输。 BGP 协议支持指定报文发送的源接口， 利用这个特性， 直接 使用各个分支机构和中心节点的 IPSec设备的环回接口， 作为 BGP 报文的源接口。 对环回接口的 IP地址分配可以完全由用户规划， 这 样对配置 BGP通信的静态保护数据流， 也提供了非常大的方便。 在 分支机构的 IPSec设备和中心节点的 IPSec设备间，保护 BGP通信的 IPSec隧道建立后， BGP协议进行协商， 建立分支机构的 IPSec设备 和中心节点的 IPSec设备间的 BGP邻接关系。 通过 BGP动态路由协 议， 中心节点的 IPSec设备以路由更新通告的方式， 学习到各个分支 机构要保护的 IP地址信息 （对应现在的静态 IPSec的保护数据流来 说，此处学习到的 IP地址信息为保护数据流的目的地址）。利用 BGP 协议支持 CIDR (无类域间路由） 的特性， 可以很精确的控制被保护 数据流地址的学习。 利用 BGP路由的团体属性， 可以更加精确的指 定需要保护的协议和端口号。 配置中心节点的 IPSec设备为 BGP协 议路由反射器， 将从其它分支机构的 IPSec设备学习到的要 IPSec隧 道保护的资源信息，以路由更新通告的方式分发给下面的分支机构的 IPSec设备。 同时， 利用 BGP自身的扩展团体属性， 在将需要保护的 IP地址发送给分支机构的 IPSec设备的同时， 分支机构的 IPSec设备 的公网地址， 由中心节点添加到扩展团体属性中。 这样， 同一 IPSEC VPN网络的 IPSec设备，就可以学习到其他分支机构需要 IPSec隧道 保护的 IP地址 /网段和 IPSec设备的公网地址。 然后由各个分支机构 的 IPSec设备， 按照访问数据的目的地址来和对应的 IPSec设备公网 地址进行 IPSec协商， 建立 IPSec隧道， 保证用户服务的访问和安全 性。在 IPSec隧道建立过程中，由 IPSec协议自动完成了 NAT的检测。 对处在 NAT后面的分支机构的 IPSec设备，中心节点的 IPSec设备在 向其它分支机构发送该节点的 BGP路由更新信息时， 扩展团体属性 中填入的公网 IP地址为中心节点的 IPSec设备的 IP地址。 其他分支 机构节点的 IPSec设备， 发现对端处于 NAT后面， 而自身又不是在 NAT后面时， 就不会主动发起隧道协商， 而是等待处于 NAT后面的 分支机构发起隧道协商。如果两端都处于 NAT后面，分支机构的 IPSec 设备就会主动和中心节点的 IPSec设备协商到对端分支机构的隧道， 另一端收到路由信息后， 也会同样处理。这样就可以按照星型网络的 方式， 通过中心节点的转发来完成连接。 使用这种方式增加了 IPSec 访问的灵活性，很大程度的降低了对用户部署动态 IPSec VPN的接入 要求。
本发明中使用的 BGP路由信息属性作用：
NLRI (网络层可达信息）： 在本发明中， 该属性携带分支机构发 布的保护数据的 IP地址 /网段。 对于路由接收者， 该信息即对应于静 态 IPSec的目的地址 /网段。而对于发布者，该信息即对应于静态 IPSec 的源地址 /网段。
下一跳地址： 因为在建立 BGP邻接时， 使用的是每台 IPSec 设 备的环回接口地址，所以每条路由信息的下一跳就是发布该路由信息 的 IPSec设备的环回接口地址。 环回接口地址是由用户自行规划的， 在网络中它唯一代表了每台 IPSec设备 （每个分支机构）。 所以建议 分配的环回接口地址为主机地址。
标准团体属性和扩展团体属性： BGP 路由协议支持两种团体属 性， 一种是标准团体属性， 一种是扩展团体属性。标准团体属性中一 些值专用于控制路由的传播。在本发明中， 使用标准团体属性的格式 可以为数字， 利用该属性来定义需要保护的数据流的协议类型， 如保 护的是 TCP协议， 则指定该值为 259。对需要保护的资源范围的精确 控制， 能够大大提高网络的安全性。扩展团体属性的路由目标属性和 路由源属性支持两种格式的值。一种为 ASN:N ;—种为 IP地址: NN。 在本发明中， 利用路由目标属性的 IP地址: NN格式， 来携带 IPSec 设备的公网地址信息。后面的 NN编码作为扩展定义， 用来实现安全 隔离功能。 这样能够更加精确的控制 IPSec VPN网络中的访问权限， 做到同一 IPSEC VPN网络中不同权限间的相互隔离。 利用路由源属 性中的 ASN:NN格式来定义协议端口号。
标准团体属性值对应协议类型如下：
<0-255> An IP protocol number
256 ICMP
257 IGMP
258 IP
259 TCP
260 UDP
扩展团体属性 RT属性值中公网 IP地址填入规则：
分支机构的 IPSec设备不处于 NAT后面， 则中心节点的 IPSec 设备在分发由该分支机构的 IPSec设备发布的路由信息时， 扩展团体 属性中填入的 IP地址为分支机构的 IPSec设备自身的公网 IP地址。 分支机构的 IPSec设备处于 NAT后面，则中心节点的 IPSec设备在分 发由该分支机构的 IPSec设备发布的路由信息时， 扩展团体属性中填 入的 IP地址为中心节点的 IPSec设备的公网 IP地址。
对 BGP路由信息的判断规则：
检查 BGP 路由信息中的扩展团体属性值， 如果和中心节点的 IPSec设备的 IP地址相同，而且该路由的下一跳为非中心节点的环回 接口 IP地址， 则判断发布该条路由信息的分支机构的 IPSec设备处 于 NAT后。
检查 BGP 路由信息中的扩展团体属性值， 如果和中心节点的 IPSec设备的 IP地址相同，而且该路由的下一跳为中心节点的环回接 口地址。 则判断该条路由信息由中心节点发布。
检查 BGP 路由信息中的扩展团体属性值， 如果和中心节点的 IPSec设备的 IP地址不同，则认为发布该条路由的分支机构是直接连 接到公网的。
检查 BGP路由信息中的扩展团体属性值， 如果为空， 而且该路 由的下一跳为 0.0.0.0则是由本地发布的路由信息。
使用 BGP动态路由， 配合 IPSec协议实现的动态 IPSec VPN网 络， 利用 BGP路由协议本身的灵活性， 保证了网络拓扑伸缩的灵活 性。 支持现有多种接入方式， 支持 NAT穿越， 只需要有一个接入点 的 IPSec设备有公网 IP地址， 即可组建动态 IPSec VPN网络。 其它 的接入点可以使用任意的接入方式， 只要能够访问公网， 即可加入该 动态 IPSec VPN网络。而且，本发明具有较高的网络访问控制能力和 安全性。 使用路由团体属性值， 指定需要保护的通信协议、 端口号， 实现保护数据流的精确控制； 使用路由团体扩展属性， 实现安全隔离 功能， 即可以实现同一 IPSec VPN网络中， 不同访问权限不能互访。
实施例
参见图 1， 共有三个分支机构和一个中心节点， 需要建立动态 IPSec VPN。 分支机构间需要相互访问， 其中分支机构 C的网络服务 提供商提供的接入 IP地址为网络服务提供商自己的内网地址， 是私 有 IP地址， 访问因特网 （即公网） 需要通过 NAT。 其它两个分支机 构 A、 B的接入方式都获得动态的公网 IP地址。
两点间要建立 IPSec隧道， 除了协商参数， 认证材料（预共享密 钥 /证书）外，最重要的就是对端 IPSec设备的公网地址和保护数据流 的学习。 本发明主要是利用 BGP路由协议， 使用单播、 且邻居间不 需要直接相连、不需要支持 IP地址: NN格式的扩展团体属性的特点， 让各个分支机构及中心节点的 IPSec设备， 动态地学习到要保护的数 据流和对端的 IPSec设备的公网地址。与其它方案一样，在整个 IPSec VPN网络中至少需要有一个 IPSec设备具有固定的公网地址。
下面是本例的实施过程：
首先确定本地需要保护的 IP地址 /网段， 然后学习到需要建立 IPSec隧道的对端 IPSec设备公网 IP地址和对端需要保护的 IP地址 / 网段， 同时判断 NAT的存在， 并做特殊处理。
按照整个网络的规划， 给所有的 IPSec设备分配一个环回接口地 址 （建议使用主机地址）。 在中心节点和各个分支机构的 IPSec设备 上配置 BGP, 使用环回接口地址作为邻居地址和协商 /更新报文的地 址（可以看做指定环回接口地址作为 BGP地址）， 并且配置向邻居发 送 BGP 的扩展团体属性， 用来在路由分发过程中携带对应的 IPSec 设备公网地址。 分支机构的 IPSec设备上只需配置中心节点的 IPSec 设备为邻居，而中心节点的 IPSec设备需要接受每个分支机构的 IPSec 设备为邻居。 在 BGP中， 使用网络命令来发布本地受保护的 IP地址 /网段，对照静态 IPSec VPN,就是保护数据流的源地址 /网段。在 BGP 邻居建立起来后，通过网络命令发布的 IP地址 /网段， 由 BGP进程按 照普通路由一样发送到中心节点或分支机构的 IPSec设备， 作为学习 到该路由信息 IPSec设备的保护数据流目的地址。为了让中心节点的 IPSec设备将从分支机构学习到的路由信息， 分发到其他分支机构的 IPSec设备， 中心节点的 IPSec设备需要配置为路由反射器， 需要配 置每个分支机构的 IPSec设备为路由反射器客户端。 这一过程， 主要 就是确定本地需要通过 IPSec 隧道转发的数据报文的源、 目的 IP地 址 /网段。
建立保护 BGP通信的 IPSec隧道。在中心节点的 IPSec设备上配 置静态 IPSec隧道， 保护数据流源地址为中心节点 IPSec设备的环回 接口 IP地址： 1.1.1.1， 目的地址为分支机构 A、 B、 C的 IPSec设备 的环回接口 IP地址网段： 1丄 1.0/24。 分支机构八、 B、 C的 IPSec设 备配置对应保护数据流为： 源地址为本地的 IPSec设备的环回接口地 址， 目的地址为中心节点的环回接口地址。 根据 IPSec建立开始阶段 的 NAT探测， 中心节点的 IPSec设备会发现分支机构 C的 IPSec设 备处于 NAT后面， 其他分支机构的 IPSec设备都具有公网 IP地址。 于是中心节点的 IPSec设备， 主动根据保护 BGP通信隧道的对端环 回接口地址， 在 BGP配置中查找， 在分支机构 A、 B、 C对应的 BGP 邻居配置上添加 m方向的路由映射， 在路由映射中设置扩展团体属 性。 对于分支机构 A和分支机构 B， 扩展团体属性值分别为各自的 IPSec设备公网 IP地址； 对于分支机构 C, 扩展团体属性值为中心节 点的 IPSec设备的公网 IP地址。 因为是使用环回接口作为 BGP的邻 居地址和协商更新报文地址， 所以 BGP邻接关系只能在保护它通信 的 IPSec 隧道建立后才能建立。 这样的先后顺序就保证了中心节点 IPSec设置路由映射的及时性。 BGP邻接关系建立后， 各个分支机构 的 IPSec设备相互学习到其他分支机构需要保护 IP地址 /网段信息， 分支机构 A或 B的 IPSec设备根据学习到的 BGP路由中对应的团体 扩展属性中的 IP地址， 可以设定规则由环回接口地址大的一方主动 发起建立保护对应数据流的 IPSec隧道。 对于处于 NAT后面的分支 机构 C， 分支机构 A或 B的 IPSec设备接收到关于分支机构 C的保 护数据流信息后， 检查到对端的公网地址和中心节点的 IPSec设备地 址是一样的， 而且对应的 BGP路由下一跳也不是中心节点的 IPSec 设备的环回接口地址， 并且在协商保护 BGP的 IPSec隧道过程中， 可以知道自己不是在 NAT后面的， 则不会主动建立 IPSec隧道， 而 是等待分支机构 C的 IPSec设备来主动建立隧道。 当分支机构 C的 IPSec设备通过 BGP接收到对应 A或 B分支机构的保护地址信息， 而且发现对应的扩展团体属性中的 IP地址不是中心节点端的 IP地 址， 那么分支机构 C的 IPSec设备就主动将扩展属性中的 IP地址作 为对端地址， 建立 IPSec隧道。 假设又存在一个在 NAT后的分支机 构 D， 此时， 分支机构 C或 D的 IPSec设备都收到了对方的保护地 址信息。检查扩展属性和 BGP路由下一跳地址， 确定对方在 NAT后 面时， 因为通过 IPSec协议的 NAT检测功能， 就可以获得自己是否 在 NAT后面的信息， 此时又知道对端在 NAT后面， 那么就和中心节 点的 IPSec设备建立对应数据流的 IPSec隧道。同样，中心节点的 IPSec 设备也需要对处于 NAT后面的分支机构做特殊处理， 以保证 IPSec 隧道建立，通过中心节点的 IPSec设备转发来实现分支机构相互访问。 至此， IPSec 隧道建立完毕。

Claims

权 利 要 求 书
1. 虚拟专用网动态连接方法， 包括以下歩骤：
a.在中心节点的 IPSec设备和分支机构的 IPSec设备间配置静态 IPSec隧道；
b. 中心节点的 IPSec设备和分支机构的 IPSec设备通过所述静 态 IPSec隧道， 建立 BGP邻接关系；
c IPSec设备自动在已建立 BGP邻接关系的 BGP邻居上， 添 加路由映射策略， 设置路由信息的扩展团体属性值；
d. IPSec VPN网络中的 IPSec设备通过 BGP路由协议， 通告本 地需要被保护的网络的 IP地址 /网段给其它 IPSec设备；
e. 中心节点的 IPSec设备通过 BGP的路由反射器功能， 将分支 机构需要保护的数据的 IP 地址 /网段信息分发到其他分支机构的 IPSec设备上；
f. 分支机构间的 IPSec 设备相互学习其他分支机构需要保护的 数据的 IP地址 /网段信息后， 从扩展团体属性中获得对端公网地址， 然后协商建立 IPSec隧道。
2. 根据权利要求 1所述的虚拟专用网动态连接方法， 其特征在 于， 所述歩骤 b中， 中心节点的 IPSec设备和分支机构的 IPSec设备 通过所述静态 IPSec隧道， 使用 IPSec设备的环回接口 IP地址， 建立 BGP邻接关系。
3. 根据权利要求 1所述的虚拟专用网动态连接方法， 其特征在 于， 歩骤 c中， 对于处在 NAT前面的分支机构， 所述扩展团体属性 值为各自的公网 IP地址； 对于处在 NAT后面的分支机构， 所述扩展 团体属性值为中心节点设备的公网 IP地址。
4. 根据权利要求 1所述的虚拟专用网动态连接方法， 其特征在 于， 所述歩骤 e中， 中心节点的 IPSec设备通过 BGP的路由反射器 功能， 将分支机构需要保护的数据的 IP地址 /网段信息分发到其他分 支机构的 IPSec设备上， 并指定保护的协议和端口号。
1
PCT/CN2007/071137 2007-01-26 2007-11-28 Procédé de liaison dynamique de réseau privé virtuel WO2008092351A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200710048341.6 2007-01-26
CNB2007100483416A CN100440846C (zh) 2007-01-26 2007-01-26 虚拟专用网动态连接方法

Publications (1)

Publication Number Publication Date
WO2008092351A1 true WO2008092351A1 (fr) 2008-08-07

Family

ID=38697778

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/071137 WO2008092351A1 (fr) 2007-01-26 2007-11-28 Procédé de liaison dynamique de réseau privé virtuel

Country Status (3)

Country Link
CN (1) CN100440846C (zh)
RU (1) RU2438254C2 (zh)
WO (1) WO2008092351A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015047143A1 (en) * 2013-09-30 2015-04-02 Telefonaktiebolaget L M Ericsson (Publ) A method performed at an ip network node for ipsec establishment
CN105471725A (zh) * 2014-08-05 2016-04-06 杭州华三通信技术有限公司 穿越自治系统的路由方法和装置
US10469595B2 (en) * 2017-02-17 2019-11-05 Arista Networks, Inc. System and method of dynamic establishment of virtual private networks using border gateway protocol ethernet virtual private networks technology
WO2021103986A1 (zh) * 2019-11-29 2021-06-03 中兴通讯股份有限公司 一种网络设备管理方法、装置、网络管理设备及介质

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100440846C (zh) * 2007-01-26 2008-12-03 成都迈普产业集团有限公司 虚拟专用网动态连接方法
CN101626366B (zh) * 2008-07-10 2012-11-07 华为技术有限公司 保护代理邻居发现的方法、系统和相关装置
CN103259726B (zh) 2012-02-21 2017-04-12 华为技术有限公司 存储和发送mac地址表项的方法、设备及系统
CN103259725B (zh) * 2012-02-21 2017-04-12 华为技术有限公司 报文发送方法和网络设备
JP5941703B2 (ja) * 2012-02-27 2016-06-29 株式会社日立製作所 管理サーバ及び管理方法
CN102711106B (zh) * 2012-05-21 2018-08-10 中兴通讯股份有限公司 建立IPSec隧道的方法及系统
CN102739530B (zh) * 2012-06-19 2018-08-07 南京中兴软件有限责任公司 一种避免网络可达性检测失效的方法及系统
CN104253733B (zh) * 2013-06-26 2017-12-19 北京思普崚技术有限公司 一种基于IPSec的VPN多方连接方法
CN104348923B (zh) * 2013-07-29 2017-10-03 中国电信股份有限公司 基于IPSec VPN的通信方法、装置与系统
CN103491088B (zh) * 2013-09-22 2016-03-02 成都卫士通信息产业股份有限公司 一种IPSec VPN网关数据处理方法
CN104883287B (zh) * 2014-02-28 2018-06-12 杭州迪普科技股份有限公司 IPSec VPN系统控制方法
CN104486292B (zh) * 2014-11-24 2018-01-23 东软集团股份有限公司 一种企业资源安全访问的控制方法、装置及系统
CN104954260A (zh) * 2015-05-22 2015-09-30 上海斐讯数据通信技术有限公司 一种基于数据链路层的点对点vpn路由方法及系统
CN107222449B (zh) * 2016-03-21 2020-06-16 华为技术有限公司 基于流规则协议的通信方法、设备和系统
CN106100960B (zh) * 2016-07-06 2020-03-24 新华三技术有限公司 跨存储区域网络Fabric互通的方法、装置及系统
CN106302424B (zh) * 2016-08-08 2020-10-13 新华三技术有限公司 一种安全隧道的建立方法及装置
CN108512755B (zh) * 2017-02-24 2021-03-30 华为技术有限公司 一种路由信息的学习方法及装置
CN107800569B (zh) * 2017-10-16 2020-09-04 中国联合网络通信有限公司广东省分公司 一种基于ont的vpn快速接入系统和方法
CN109639848A (zh) * 2018-12-20 2019-04-16 全链通有限公司 在区块链中发布域名的方法、设备、系统及存储介质
CN109495362B (zh) * 2018-12-25 2020-12-11 新华三技术有限公司 一种接入认证方法及装置
US11563600B2 (en) 2019-07-31 2023-01-24 Palo Alto Networks, Inc. Dynamic establishment and termination of VPN tunnels between spokes
CN111064670B (zh) * 2019-12-30 2021-05-11 联想(北京)有限公司 一种获取下一跳路由信息的方法和装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1394042A (zh) * 2001-06-29 2003-01-29 华为技术有限公司 在虚拟私有网的隧道虚接口上保证互联网协议安全的方法
CN101009629A (zh) * 2007-01-26 2007-08-01 成都迈普产业集团有限公司 虚拟专用网动态连接方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020184388A1 (en) * 2001-06-01 2002-12-05 Nimer Yaseen Layered approach to virtual private routing
US20060083215A1 (en) * 2004-10-19 2006-04-20 James Uttaro Method and apparatus for providing a scalable route reflector topology for networks
US8547874B2 (en) * 2005-06-30 2013-10-01 Cisco Technology, Inc. Method and system for learning network information
CN1761253A (zh) * 2005-11-03 2006-04-19 上海交通大学 支持大规模多用户并发访问的mplsvpn在线实验方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1394042A (zh) * 2001-06-29 2003-01-29 华为技术有限公司 在虚拟私有网的隧道虚接口上保证互联网协议安全的方法
CN101009629A (zh) * 2007-01-26 2007-08-01 成都迈普产业集团有限公司 虚拟专用网动态连接方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
WEI Y.-K.: "Research and design of BGP/MPLS VPN based IPSec", UNIVERSITY OF ELECTRONIC SCIENCE AND TECHNOLOGY OF CHINA MASTER DISSERTATION COMMUNICATION AND INFORMATION SYSTEM, 26 October 2004 (2004-10-26), pages 36 - 48 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015047143A1 (en) * 2013-09-30 2015-04-02 Telefonaktiebolaget L M Ericsson (Publ) A method performed at an ip network node for ipsec establishment
US10050794B2 (en) 2013-09-30 2018-08-14 Telefonaktiebolaget Lm Ericsson (Publ) Method performed at an IP network node for IPSec establishment
CN105471725A (zh) * 2014-08-05 2016-04-06 杭州华三通信技术有限公司 穿越自治系统的路由方法和装置
CN105471725B (zh) * 2014-08-05 2019-01-22 新华三技术有限公司 穿越自治系统的路由方法和装置
US10469595B2 (en) * 2017-02-17 2019-11-05 Arista Networks, Inc. System and method of dynamic establishment of virtual private networks using border gateway protocol ethernet virtual private networks technology
WO2021103986A1 (zh) * 2019-11-29 2021-06-03 中兴通讯股份有限公司 一种网络设备管理方法、装置、网络管理设备及介质

Also Published As

Publication number Publication date
RU2009139311A (ru) 2011-04-27
RU2438254C2 (ru) 2011-12-27
CN100440846C (zh) 2008-12-03
CN101009629A (zh) 2007-08-01

Similar Documents

Publication Publication Date Title
WO2008092351A1 (fr) Procédé de liaison dynamique de réseau privé virtuel
Gleeson et al. A framework for IP based virtual private networks
US11711242B2 (en) Secure SD-WAN port information distribution
US10148456B2 (en) Connecting multiple customer sites over a wide area network using an overlay network
US7917948B2 (en) Method and apparatus for dynamically securing voice and other delay-sensitive network traffic
US7848335B1 (en) Automatic connected virtual private network
Touch Dynamic Internet overlay deployment and management using the X-Bone
US7373660B1 (en) Methods and apparatus to distribute policy information
US7447901B1 (en) Method and apparatus for establishing a dynamic multipoint encrypted virtual private network
US8971335B2 (en) System and method for creating a transitive optimized flow path
Guichard et al. MPLS and VPN architectures
US20240098061A1 (en) Secure private traffic exchange in a unified network service
WO2007112691A1 (fr) Système, procédé et dispositif réseau permettant à un client de réseau privé virtuel (vpn) d&#39;accéder à un réseau public
Chen Design and implementation of secure enterprise network based on DMVPN
Gleeson et al. RFC2764: A framework for IP based virtual private networks
CN110086720B (zh) 基于二维路由协议实现l3vpn的方法及系统
JP4011528B2 (ja) ネットワーク仮想化システム
US20090106449A1 (en) Method and apparatus for providing dynamic route advertisement
WO2012075768A1 (zh) 身份位置分离网络的监听方法和系统
Pepelnjak Mpls And Vpn Architectures (Volume Ii)
US11924172B1 (en) System and method for instantiation of stateless extranets
Edgeworth et al. Cisco Intelligent WAN (IWAN)
Fang Ruta: Dis-aggregated routing system over multi-cloud
Jain Analyzing Control Plane Traffic
Armitage et al. Network Working Group B. Gleeson Request for Comments: 2764 A. Lin Category: Informational Nortel Networks J. Heinanen Telia Finland

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07817327

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 4446/CHENP/2009

Country of ref document: IN

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009139311

Country of ref document: RU

122 Ep: pct application non-entry in european phase

Ref document number: 07817327

Country of ref document: EP

Kind code of ref document: A1