WO2011091688A1

WO2011091688A1 - 报文传输方法、装置及网络系统

Info

Publication number: WO2011091688A1
Application number: PCT/CN2010/079593
Authority: WO
Inventors: 刘冰; 徐业建; 徐蒙; 聂成蛟
Original assignee: 成都市华为赛门铁克科技有限公司
Priority date: 2010-01-27
Filing date: 2010-12-09
Publication date: 2011-08-04
Also published as: ES2626251T3; CN101778045A; EP2530883A1; US8713305B2; CN101778045B; EP2530883B1; EP2530883A4; US20120303949A1

Description

本申请要求于 2010 年 1 月 27 日提交中国专利局，申请号为 201010104324.1 , 发明名称为 "报文传输方法、装置及网络系统" 的中国专利申请的优先权，其全部内容通过引用结合在本申请中。技术领域

本发明涉及通信技术领域，特别涉及一种报文传输方法、装置及网络系统。背景技术

在安全套接层协议 ( Security Socket Layer Protocol, SSL )虚拟专用网 ( Virtual Private Network, VPN ) 网络中，客户端登陆 SSL VPN后能通过网络扩展功能访问内网，因此，对于一些公开业务的报文，客户端可以直接传输到内网，对于一些受保护业务的报文，客户端需要通过 SSL VPN将受保护业务的报文传到内网。

现有技术提供的网络拓朴结构如图 1所示，客户端在登陆 SSL VPN之后，客户端软件对不需要通过 SSL VPN传输的报文 (即公开业务的报文 )不加隧道 IP地址，不走 VPN隧道直接向内网服务器发送，该报文的源 IP地址为外网的 IP地址 (例如图 1 中 PortB发出的报文，外网的 IP地址为 50.1.1.1 ); 对需要通过 SSL VPN传输给内网的报文 (受保护业务的报文 )加入隧道 IP 地址后通过 VPN P遂道发送，此时发出的 4艮文的源 IP地址为外网的 IP地址（例如图 1中 PortA发出的报文，外网的 IP地址为 50.1.1.1 ), 防火墙根据该隧道 IP地址将该报文发送到 SSL VPN, SSL VPN为该客户端分配一个虚拟 IP地址（例如图 1中的 192.168.0.X ), 将报文中的源 IP地址（即外网 IP地址，例如图 1中的 50.1.1.1 ) 改为该虚拟 IP地址（如图 1中的 192.168.0.X ), 以便实现外网与内网通信，相应的，对应该虚拟 IP地址在内网上划分出一块私有网段专用于通过 SSL VPN与外网进行通信。

发明人在实现本发明的过程中发现。现有技术中由于需要在内网上划出私有网段专用于通过 SSL VPN与外网通信，所以内网的拓朴结构会发生改变，同时，由于内网上划分了私有网络，所以内网的管理策略等也会发生变化。尤其在多个客户端需要通过 SSL VPN访问内网时，还需要分配大量的虚拟 IP地址，同时需要在内网上划分出多个私有网络，从而会改变内网的拓朴结构。发明内容

本发明实施例提供一种报文传输方法、装置及网络系统，可以在不改变根据本发明实施例的一个方面，本发明实施例提供一种方法：

一种报文传输方法，包括：

通过 VPN隧道接收客户端发送的加密报文，所述加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的报文加密后发送的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；

对所述加密报文进行解密；

将解密后的报文发送给相应的内网服务器，所述解密后的报文的源 IP地址是外网 IP地址。

一种报文传输方法，包括：

判断预设的控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号，所述预设的控制策略中包含有能够与 SSL VPN 服务器进行报文交互的内网服务器的 IP地址和端口号信息；

当所述预设的控制策略中包含有与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，将所述待发送报文加密后通过 VPN隧道发出；当所述预设的控制策略中不包含与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，将所述待发送报文发送出去，所述待发送报文没有通过 VPN隧道进行发送。

一种 SSL VPN服务器，包括：第一接收单元，用于通过 VPN隧道接收客户端发送的加密报文，所述加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的^艮文加密后发出的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；

解密单元，用于对所述加密报文进行解密；

第一发送单元，用于将解密后的报文发送给相应的内网服务器，所述解密后的报文的源 IP地址是外网 IP地址。

一种客户端，包括：

判断单元，用于判断预设的控制策略中是否包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号 ,所述预设的控制策略中包含有能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；

加密单元，用于在判断单元的判断结果为所述预设的控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号时，对所述待发送报文进行加密；

发送单元，用于在判断单元的判断结果为预设的控制策略中包含有与待发送文的目的 IP地址和目的端口号相同的 IP地址和端口号时，将加密单元加密后的报文通过 VPN隧道发出；在判断单元的判断结果为预设的控制策略中没有包含与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号时，直接将所述待发送报文发出，所述待发送报文没有通过 VPN隧道进行发送。

一种网络系统，包括：上述 SSL VPN服务器以及客户端。

本发明实施例中控制策略中的 IP地址和端口号是对应 SSL VPN的内网服务器的 IP地址和端口号， SSL VPN服务器从 VPN隧道接收的客户端的报文是客户端判断控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的报文加密后发出的，由于 SSL VPN服务器可以根据该报文的目的 IP地址和目的端口号获知处理该报文（此时该报文是受保护业务的报文）的内网服务器的网段，因此不需要分配虚拟 IP地址，而是保持该报文的源 IP地址不变，即该报文的源 IP地址依然为外网 IP地址，因而不需要内网服务器上再划出私有网段专用于通过 SSL VPN与外网进行通信了，所以不用改变网络拓朴。附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图 1是现有技术提供的报文传输示意图；

图 2是本发明实施例提供的报文传输方法流程图；

图 3是本发明另一实施例提供的报文传输方法流程图；

图 4 A是本发明又一实施例提供的报文传输方法流程图；

图 4B是本发明又一实施例提供的报文传输示意图；

图 5A是本发明又一实施例提供的报文传输方法流程图；

图 5B是本发明又一实施例提供的报文传输示意图；

图 6A是本发明实施例提供的一种 SSL VPN服务器结构图；

图 6B是本发明实施例提供的另一种 SSL VPN服务器结构图；

图 7是本发明实施例提供的客户端结构图；

图 8A是本发明实施例提供的网络系统结构图；

图 8B是本发明另一实施例提供的网络系统结构图。具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参阅图 2, 图 2为本发明实施例提供一种报文传输方法的流程图，该方法包括：

201、通过 VPN隧道接收客户端发送的加密报文。

其中，加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的报文加密后发送的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息，内网服务器的 IP地址和端口号能够标识内网服务器的一个具体的网段。

202、对所述加密报文进行解密。

203、将解密后的报文发送给相应的内网服务器。

其中，所述解密后的报文包括目的 IP地址和目的端口号，所述解密后的报文的源 IP地址是外网 IP地址。

该方法各步骤的执行主体可以是 SSL VPN服务器。

本发明实施例中 SSL VPN服务器可以分别与路由设备和内网服务器连接，或者， SSL VPN服务器仅与路由设备连接，不与内网服务器连接。其中，路由设备可以是防火墙或者路由器。

当 SSL VPN服务器分别与路由设备和内网服务器连接时，客户端发送的报文 (包括客户端通过 VPN隧道发出的报文和不通过 VPN隧道直接发出的报文）被路由设备拉截，路由设备将所拦截的报文透传给 SSL VPN服务器， SSL VPN服务器将所接收的客户端不是通过 VPN隧道发出的报文透传输出到相应的内网服务器。而且，该 SSL VPN服务器还可以接收到来自内网服务器的响应 ·艮文；当预设的控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文加密后通过 VPN隧道向客户端发送；当预设的控制策略中没有包含与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应 ^艮文透传输出到客户端。

当 SSL VPN服务器仅与路由设备连接，不与内网服务器连接时， SSL VPN 服务器将解密后的报文向内网服务器发出后被路由设备拦截，路由设备将所拦截的报文发送到内网服务器。该 SSL VPN服务器还接收经由路由设备转发的内网服务器的响应报文，并将所述响应报文加密后通过 VPN隧道向客户端发送，其中，该响应报文是路由设备判断控制策略中包含有与响应报文的源 IP 地址和源端口号相同的 IP地址和端口号后转发给 SSL VPN服务器的。

本发明实施例中控制策略中的 IP地址和端口号是对应 SSL VPN的内网服务器的 IP地址和端口号， SSL VPN服务器从 VPN隧道接收的客户端的报文是客户端判断控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的报文加密后发出的，由于 SSL VPN服务器可以根据该报文的目的 IP地址和目的端口号获知处理该报文（此时该报文是受保护业务的报文）的内网服务器的网段，因此不需要分配虚拟 IP地址，而是保持该报文的源 IP地址不变，即该报文的源 IP地址依然为外网 IP地址，因而不需要内网服务器上再划出私有网段专用于通过 SSL VPN与外网进行通信了，所以不用改变网络拓朴。

参阅图 3 , 本发明实施例提供一种报文传输方法，该方法包括：

301、判断预设的控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号，所述预设的控制策略中包含有能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；当所述预设的控制策略中包含有与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，执行 302; 当所述预设的控制策略中不包含与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，执行 303。

其中，本发明实施例各步骤的执行主体可以是客户端，客户端上的控制策略是客户端登陆 SSL VPN时从 SSL VPN服务器下载的，本发明实施例及后续实施例中的控制策略中包含有能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息，其中，内网服务器的 IP地址和端口号能够标识内网服务器的一个具体的网段。

302、将所述待发送报文加密后通过 VPN隧道发出，结束本流程。

303、将所述待发送报文发送出去，所述待发送报文没有通过 VPN隧道进行发送。

其中，客户端判断预设的控制策略中是否包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号，由于控制策略中的 IP地址和端口号是能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号，所以如果判断结果为否，则表示该待发送报文为公开业务的报文，对于这些公开业务的报文不需要通过 SSL VPN传送，可以直接将该报文发出，此时报文不走 VPN隧道；如果判断结果为是，则表示该待发送报文为受保护业务的报文，对于这些受保护业务的报文需要通过 SSL VPN传送，所以将待发送报文加密并封装隧道 IP地址后通过 VPN隧道发出。

本发明实施例中控制策略中的 IP地址和端口号是对应 SSL VPN的内网服务器的 IP地址和端口号，客户端判断控制策略中包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号后对待发送的^艮文加密后通过 VPN 隧道发出，使 SSL VPN服务器可以根据该报文的目的 IP地址和目的端口号获知处理该报文的内网服务器的网段，因此不需要分配虚拟 IP地址，而是保持该报文的源 IP地址不变，即该报文的源 IP地址依然为外网 IP地址，因而不需要内网服务器上再划出私有网段专用于通过 SSL VPN与外网进行通信了，所以不用改变网络拓朴。

为了使本发明提供的技术方案更加清楚明白，如下两个实施例对本发明提供的技术方案进行详细介绍。

参阅图 4A和图 4B, 本发明一实施例提供一种报文传输方法，该实施例中 SSL VPN分别与路由设备和内网服务器连接，该实施例中路由设备为防火墙，该 4艮文传输方法包括：

401A、客户端判断预设的控制策略中是否包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号，如果否，不通过 VPN隧道而直接向内网服务器发送该报文（见图 4B中从 PortB口发出的报文）；如果是，对该待发送报文（见图 4B中从 PortA口发出的报文）进行加密并封装隧道 IP地址后通过 VPN隧道向 SSL VPN服务器发送。

需要说明的是，在该步骤之前，客户端登陆 SSL VPN时，需要从 SSL VPN 服务器下载控制策略。

402A、防火墙拦截来自客户端的报文，将所拦截的报文向 SSL VPN服务器发送。

403A、 SSL VPN服务器将从 VPN隧道接收的报文解密，向内网服务器发送解密后的报文，其中，该解密后的报文的源 IP地址是外网 IP地址，并保存该解密后的报文的目的 IP地址、目的端口号以及与 VPN隧道（该 VPN隧道是上述接收报文的 VPN隧道 ) 的对应关系；将不是从 VPN隧道接收的报文直接透传输出到内网服务器。

404A、内网服务器接收 SSL VPN服务器输出的报文，并对所接收的报文返回响应报文，该响应报文的源 IP地址、源端口号分别为所接收报文的目的 IP地址和目的端口号。

405A、 SSL VPN服务器接收来自内网服务器的响应报文，判断预设的控制策略中是否包含有与响应 4艮文的源 IP地址和源端口号相同的 IP地址和端口号，如果是，根据步骤 403 A中保存的对应关系，确定源 IP地址、源端口号所对应的 VPN隧道，将响应报文（如图 4B中 Portl发出的报文）加密后通过 VPN 隧道向客户端发送；如果否，直接将响应报文（如图 4B中 Port2发出的报文）透传输出。

该步骤中 SSL VPN服务器预设的控制策略中是否包含有与响应报文的源 IP地址和源端口号相同的 IP地址和端口号，如果预设的控制策略中没有包含与响应文的源 IP地址和源端口号相同的 IP地址和端口号，则表示该响应文为公开业务的报文，对于这些公开业务的报文不需要通过 SSL VPN传送，可以直接将该报文透传输出，此时直接将响应报文透传输出；如果预设的控制策略中包含有与响应报文的源 IP地址和源端口号相同的 IP地址和端口号，则表示该响应报文为受保护业务的报文，对于这些受保护业务的报文需要通过 VPN 隧道传送，需要将受保护业务的报文加密并封装隧道 IP地址后通过 VPN隧道发出。

406A、防火墙拦截来自 SSL VPN服务器的报文，将所拦截的报文发送给客户端。

本发明实施例中客户端通过判断控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号来确定该待发送 ^艮文是否经由 VPN隧道发送， SSL VPN服务器通过判断控制策略中是否包含有与响应报文的源 IP地址和源端口号相同的 IP地址和端口号来确定该响应 4艮文是否经由 VPN隧道发送，由于待发送报文和响应报文中都含有内网服务器的 IP地址和端口号，使 SSL VPN服务器能知道与自己交互报文的内网服务器的网段，因而在客户端通过 SSL VPN访问内网服务器时 SSL VPN服务器不用转换 IP地址，在不改变内网服务器的网络拓朴的同时实现对某些业务提供 SSL VPN访问保护功能。

参阅图 5A和图 5B, 本发明又一实施例提供一种报文传输方法，该实施例中， SSL VPN仅与路由设备连接，不与内网服务器连接，该实施例中路由设备为防火墙，该报文传输方法具体包括：

501A、客户端判断预设的控制策略中是否包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号，如果否，不通过 VPN隧道而直接向内网服务器发送该报文（见图 5B中从 PortB口发出的报文）；如果是，对该待发送报文（见图 5B中从 PortA口发出的报文）进行加密并封装隧道 IP地址后通过 VPN隧道向 SSL VPN服务器发送，进入 502A。

502A、防火墙拦截客户端的报文，当确定所拦截的报文封装了隧道 IP 地址 (即所拦截的客户端的报文是客户端通过 VPN隧道发出的报文）时，进入 503A; 当确定所拦截的报文没有封装隧道 IP地址 (即所拦截的客户端的报文不是经由 VPN隧道的报文 ) 时，进入 506A。

503A、防火墙将所拦截的报文向 SSL VPN服务器发送，进入 504 A。

504A、 SSL VPN服务器将从 VPN隧道接收的报文解密后发出，该解密后的报文的源 IP地址为外网 IP地址，并保存该解密后的报文中的目的 IP地址、目的端口号两者与 VPN隧道（该 VPN隧道是上述接收报文的 VPN隧道 ) 的对应关系，进入 505 A。

505A、防火墙拦截 SSL VPN服务器发出的报文并向内网服务器发送，进入 507A。

506A、防火墙将所拦截的报文直接向内网服务器发送，进入 507A。

507A、内网服务器接收客户端的报文，并对所接收的报文发出响应报文，该响应文的源 IP地址、源端口号分别为所接收^艮文的目的 IP地址和目的端口号，进入 508A。

508A、防火墙拦截来自内网服务器的响应报文，判断预设的控制策略中是否包含有与响应报文的源 IP地址和源端口号相同的 IP地址和端口号，如果是，进入 509A, 如果否，进入 512A。

509A、防火墙将响应报文向 SSL VPN服务器发送，进入 510A。具体可参见如图 5B中 Portl发出的报文。

510A、 SSL VPN服务器根据响应报文中的源 IP地址、源端口号及保存的对应关系 , 确定源 IP地址、源端口号两者所对应的 VPN隧道 , 将响应才艮文加密并封装隧道 IP地址后通过所确定的 VPN 隧道向客户端发出，进入 511A。

511A、防火墙拦截 SSL VPN服务器所发出的加密后的响应报文，将所拦截的报文发送到客户端，结束本流程。

512A、防火墙将来自内网服务器的响应报文透传输出到客户端。

具体可参见如图 5B中 Port2发出的报文。

本发明实施例中客户端通过判断控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号来确定该待发送 ^艮文是否经由 VPN隧道发送，防火墙通过判断控制策略中是否包含有与响应报文的源 IP 地址和源端口号相同的 IP地址和端口号来确定该响应报文是否经由 VPN隧道发送，由于待发送报文和响应报文中都含有内网服务器的 IP地址和端口号，使 SSL VPN服务器能知道与自己交互报文的内网服务器的网段，因而在客户端通过 SSL VPN访问内网服务器时不用转换 IP地址，在不改变内网服务器的网络拓朴的同时实现对某些业务提供 SSL VPN访问保护功能；进一步，该方法中在防火墙之后旁路布置 SSL VPN服务器，使 SSL VPN服务器出现异常时，防火墙仍然能将公开业务的报文直接发送给内网服务器，使这些公开业务不会中断。

参阅图 6A和图 6B, 本发明实施例提供一种 SSL VPN服务器，其中， SSL VPN服务器可以包括：

第一接收单元 601 , 用于通过 VPN隧道接收客户端发出的加密报文；其中，所述加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的报文加密后发出的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息。解密单元 602, 用于对所述加密报文进行解密；

第一发送单元 603 , 用于将解密后的报文发送给相应的内网服务器，所述解密后的报文的源 IP地址是外网 IP地址。

具体的，第一接收单元 601还用于不通过 VPN隧道接收客户端发出的报文；第一发送单元 603还用于将不通过 VPN隧道接收的报文透传输出到相应的内网服务器。

进一步的，在一种情况下，参阅图 6A, 本发明实施例所示 SSL VPN服务器还可以包括：

第二接收单元 604, 用于接收来自内网服务器的响应报文；

判断单元 605，用于判断预设的控制策略中是否包含有与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号；

第一加密单元 606, 用于当判断单元 605的判断结果为是时，对所述响应报文进行加密；

第二发送单元 607, 用于当判断单元 605的判断结果为否时，将所述响应报文透传输出到客户端；当判断单元 605的判断结果为是时，将第一加密单元 606加密后的响应报文向客户端发送。

进一步的，本发明实施例还可以包括：

保存单元 608, 用于保存解密后的报文中目的 IP地址、目的端口号与所述 VPN隧道的对应关系。

具体的，第二发送单元 607在判断单元 605的判断结果为是时，根据保存单元 608所保存的对应关系，经由与源 IP地址、源端口号对应的 VPN隧道向客户端发送第一加密单元 606加密后的响应 4艮文。

进一步的，在另一种情况下，参阅图 6B, 本发明实施例所示的 SSL VPN 服务器还可以包括：

保存单元 608, 用于保存解密后的报文中目的 IP地址、目的端口号与所述 VPN隧道的对应关系；

第三接收单元 609, 用于接收经由路由设备转发的内网服务器的响应报文；所述响应报文是所述路由设备根据预设的控制策略判断所述控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号后转发给 SSL VPN服务器的；

第二加密单元 610, 用于对所述响应^艮文进行加密；

第三发送单元 611 , 用于将所述第二加密单元 610加密后的响应报文向客户端发送。与源 IP地址、源端口号对应的 VPN隧道向客户端发送第二加密单元 610加密后的响应 4艮文。

参阅图 7, 本发明实施例提供一种客户端，包括：

判断单元 701 , 用于判断预设的控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号 ,所述预设的控制策略中包含有能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；加密单元 702, 用于在判断单元 701的判断结果为预设的控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号时，对所述待发送报文进行加密；

发送单元 703 , 用于将加密单元 702加密后的报文通过 VPN隧道发出；或在判断单元 701的判断结果为预设的控制策略中没有包含与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号时，直接将所述待发送文发出，所述待发送报文没有通过 VPN隧道进行发送。

参阅图 8A和图 8B, 本发明实施例提供一种网络系统，其包括：客户端 81、 SSL VPN服务器 82;

客户端 81 ,用于判断预设的控制策略中是否包含有与待发送报文的目的 IP 地址和目的端口号相同的 IP地址和端口号 ,所述预设的控制策略中包含有能够与 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；当所述预设的控制策略中包含有与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，将所述待发送报文加密后通过 VPN隧道发出；当所述预设的控制策略中不包含与所述待发送报文的目的地址和目的端口号相同的 IP地址和端口号时，直接将所述待发送报文发出，所述直接发出的待发送报文不通过 VPN隧道；

SSL VPN服务器 82,用于通过 VPN隧道接收客户端发出的加密报文，所述加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送才艮文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的^艮文加密后发出的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；对所述加密报文进行解密；将解密后的报文发送给相应的内网服务器，所述解密后的报文包括目的 IP地址和目的端口号，所述解密后的报文的源 IP地址是外网 IP地址；不通过 VPN隧道接收客户端发出的报文；将不通过 VPN隧道接收的报文透传输出到相应的内网服务器。

参阅图 8A ,该网络系统还包括内网服务器 83和路由设备 84，此时 S SL VPN 服务器 82直路部署于路由设备 84与内网服务器 83之间；

路由设备 84可以用于拦截客户端的报文，将所拦截的报文向 SSL VPN服务器 72发送；

其中所拦截的报文包括客户端 81通过 VPN隧道发出的报文以及不通过 VPN隧道发出的报文。

SSL VPN服务器 82, 还用于接收来自内网服务器 83的响应报文；当预设的控制策略中包含有与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文加密后通过 VPN隧道向客户端发送；当预设的控制策略中没有包含与所述响应 4艮文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文透传输出到客户端。

或者，参阅图 8B, 该网络系统还包括：内网服务器 93和路由设备 94, 此时， SSL VPN服务器 82仅与路由设备 94连接，不与内网服务器 93连接。

路由设备 94,用于拦截客户端的报文，当所拦截的报文是客户端通过 VPN 隧道发出的报文时，将所拦截的报文向 SSL VPN服务器发送；拦截 SSL VPN 服务器发出的解密后的报文并向内网服务器发送。

路由设备 94, 还用于拦截内网服务器的响应报文，判断预设的控制策略中是否包含有与响应报文的源 IP地址和源端口号相同的 IP地址和端口号，如果是，将响应报文转发到 SSL VPN服务器上；如果否，将响应报文透传到客户端；

SSL VPN服务器，还用于接收由路由设备转发的内网服务器的响应报文，将响应报文加密后通过 VPN隧道向客户端发送。

其中，该实施例中的路由设备可以是防火墙或者路由器。

本发明实施例中客户端通过判断控制策略中是否包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号来确定该待发送 ^艮文是否经由 VPN隧道发送， SSL VPN服务器或者路由设备通过判断控制策略中是否包含有与响应文的源 IP地址和源端口号相同的 IP地址和端口号来确定该响应报文是否经由 VPN隧道发送，由于待发送报文和响应报文中都含有内网服务器的 IP地址和端口号，使 SSL VPN服务器能知道与自己交互报文的内网服务器的网段，因而在客户端通过 SSL VPN访问内网服务器时不用转换 IP地址，在不改变内网服务器的网络拓朴的同时实现对某些业务提供 SSL VPN访问保护功能；进一步，该方法中在防火墙之后旁路布置 SSL VPN服务器，使 SSL VPN 服务器出现异常时，防火墙仍然能将公开业务的报文直接发送给内网服务器，使这些公开业务不会中断。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，例如只读存储器，磁盘或光盘等。

以上对本发明实施例所提供的报文传输方法、装置及网络系统进行了详上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

权利要求

1、一种报文传输方法，其特征在于，包括：

对所述加密报文进行解密；

2、根据权利要求 1所述的方法，其特征在于，还包括：

不通过 VPN隧道接收客户端发送的报文；

将不通过 VPN隧道接收的报文透传输出到相应的内网服务器。

3、根据权利要求 1所述的方法，其特征在于，还包括：

接收来自内网服务器的响应报文；

当预设的控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文加密后通过 VPN隧道向客户端发送；当预设的控制策略中没有包含与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文透传输出到客户端。

4、根据权利要求 1所述的方法，其特征在于，还包括：

接收经由路由设备转发的内网服务器的响应报文，所述响应报文是所述路由设备根据预设的控制策略判断所述控制策略中包含有与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号后转发给 SSL VPN服务器的；将所述响应报文加密后通过 VPN隧道向客户端发送。

5、根据权利要求 3或者 4所述的方法，其特征在于，还包括：

保存解密后的文中目的 IP地址、目的端口号与所述 VPN隧道的对应关系；

将所述响应报文加密后通过 VPN隧道向客户端发送包括：根据所述响应报文中的源 IP地址、源端口号以及保存的所述对应关系，将所述响应报文加密后经由与所述源 IP地址、源端口号对应的 VPN隧道向客户端发送。

6、一种 SSL VPN服务器，其特征在于，包括：

第一接收单元，用于通过 VPN隧道接收客户端发送的加密报文，所述加密报文是客户端根据预设的控制策略判断所述控制策略中包含有与待发送报文的目的 IP地址和目的端口号相同的 IP地址和端口号后对待发送的^艮文加密后发出的，所述控制策略中包含有能够与安全套接层协议虚拟专用网 SSL VPN服务器进行报文交互的内网服务器的 IP地址和端口号信息；

解密单元，用于对所述加密报文进行解密；

7、根据权利要求 6所述的 SSL VPN服务器，其特征在于：

所述第一接收单元，还用于不通过 VPN隧道接收客户端发送的报文；所述第一发送单元，还用于将不通过 VPN隧道接收的报文透传输出到相应的内网服务器。

8、根据权利要求 6所述的 SSL VPN服务器，其特征在于，还包括：第二接收单元，用于接收来自内网服务器的响应报文；

判断单元，用于判断预设的控制策略中是否包含有与所述响应报文的源 IP 地址和源端口号相同的 IP地址和端口号；

第一加密单元，用于当判断单元的判断结果为预设的控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号时，对所述响应报文进行加密；

第二发送单元，用于当判断单元的判断结果为预设的控制策略中没有包含与所述响应报文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述响应报文透传输出到客户端；当判断单元的判断结果为预设的控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号时，将所述第一加密单元加密后的响应报文向客户端发送。

9、根据权利要求 6所述的 SSL VPN服务器，其特征在于，还包括：第三接收单元，还用于接收经由路由设备转发的内网服务器的响应报文，所述响应报文是所述路由设备根据预设的控制策略判断所述控制策略中包含有与所述响应文的源 IP地址和源端口号相同的 IP地址和端口号后转发给 SSL VPN服务器的；

第二加密单元，用于对所述响应>¾文进行加密；

第三发送单元，用于将所述第二加密单元加密后的响应报文向客户端发送。

10、根据权利要求 8或者 9所述的 SSL VPN服务器，其特征在于，还包括：保存单元，用于保存所述解密单元解密后的报文中目的 IP地址、目的端口号与所述 VPN隧道的对应关系；

所述加密后的响应报文是根据保存单元所保存的对应关系，经由与所述加密后的响应报文的源 IP地址、源端口号对应的 VPN隧道向客户端发送的。

11、一种文传输方法，其特征在于，包括：

12、根据权利要求 11所述的报文传输方法，其特征在于，还包括：登陆 SSL VPN时，从 SSL VPN服务器下载控制策略。

13、一种客户端，其特征在于，包括：

14、一种网络系统，其特征在于，包括：权利要求 6-10任意一项所述的 SSL VPN服务器以及权利要求 13所述的客户端。