WO2016086876A1 - 一种报文处理方法、网络服务器及虚拟专用网络系统 - Google Patents

一种报文处理方法、网络服务器及虚拟专用网络系统 Download PDF

Info

Publication number
WO2016086876A1
WO2016086876A1 PCT/CN2015/096303 CN2015096303W WO2016086876A1 WO 2016086876 A1 WO2016086876 A1 WO 2016086876A1 CN 2015096303 W CN2015096303 W CN 2015096303W WO 2016086876 A1 WO2016086876 A1 WO 2016086876A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
network server
identifier
list
suppression
Prior art date
Application number
PCT/CN2015/096303
Other languages
English (en)
French (fr)
Inventor
李军
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP15866349.2A priority Critical patent/EP3190743B1/en
Publication of WO2016086876A1 publication Critical patent/WO2016086876A1/zh
Priority to US15/612,285 priority patent/US20170279771A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • the present invention relates to the field of communications, and in particular, to a message processing method, a network server, and a virtual private network system.
  • VPDN Virtual Private Dial Up Networks
  • VPDN Virtual Private Dial Up Networks
  • the user equipment establishes a session with the L2 (Layer 2 Tunneling Protocol Network Server) through the LAC (Layer 2 Tunneling Protocol Access Concentrator) and accesses the virtual private network. If a user fails to go online, or fails to go online for multiple authentications, the LAC confirms the user as an illegal user and sets the user to the suppression state. The user's access request is directly rejected. After the suppression is continued for a certain period of time, Restore the service to the user.
  • the LAC is an access device of the local ISP (Internet Service Provider).
  • the LAC devices of different service providers have different suppression mechanisms for users, and the number of sessions or tunnels that can be established on the LNS is certain. If too many illegal users establish a session on the LNS, the legitimate users will not be able to go online. Therefore, the virtual private network system cannot effectively suppress illegal users.
  • Embodiments of the present invention provide a message processing method, a network server, and a virtual private network system. To solve the problem that the virtual private network system cannot effectively suppress illegal users.
  • a virtual private network system includes a network server, an access device, and a user equipment;
  • the user equipment is configured to send a first packet to the access device, where the first packet includes an identifier of the first user, and the identifier of the first user is used to mark the first user.
  • the access device is configured to receive the first packet sent by the user equipment, and search for the suppression status identifier of the first user in the second list that has been stored according to the identifier of the first user, when When the second list does not include the suppression status identifier of the first user, the first packet is sent to the network server, and the suppression status identifier of the first user is used to indicate that the first user is not Provide services;
  • the network server is configured to receive the first packet sent by the access device, and search for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user, when When the first list includes the suppression status identifier of the first user, the first packet is discarded.
  • the network server is further configured to record a first occurrence time of the failure of the first user and accumulate the number of failures, where the number of failures is the number of times the first user fails to go online at the network server and the first user is At least one of the number of times the network server is offline or the number of failures is a sum of a number of times the first user fails to go online at the network server and a number of times the first user goes offline at the network server;
  • the network server stores the suppression status identifier of the first user in the first list; when the network server is After the first occurrence of the fault occurs, the number of faults of the first user is cleared after the duration of the accumulated fault times reaches the first duration.
  • the network server is further configured to delete the first list in the first list after the network server stores the suppression state identifier of the first user in the first list for a second length of time A user's suppression status indicator.
  • the network server is further configured to: when the first list includes the suppression status identifier of the first user, send a second packet to the access device, where the second packet includes the first User's suppression status identifier;
  • the access device is further configured to receive the second packet sent by the network server, record the suppression status identifier of the first user in the second list, and stop providing the first user service.
  • the access device is further configured to discard the first packet when the second user includes the suppression status identifier of the first user.
  • a network server is applied to a virtual private network system, including:
  • a receiving unit configured to receive a first packet sent by the access device, where the first packet includes an identifier of the first user, and the identifier of the first user is used to mark the first user;
  • a searching unit configured to search for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user received by the receiving unit;
  • a suppression unit configured to discard the first packet when the first list that is searched by the searching unit includes the suppression status identifier of the first user, where the suppression status identifier of the first user is used to indicate No service is provided to the first user.
  • the suppression unit is further configured to record the first occurrence time of the failure of the first user and accumulate the number of failures, where the number of failures is the number of times the first user fails to go online at the network server and the first user is At least one of the number of times the network server is offline or the number of failures is a sum of a number of times the first user fails to go online at the network server and a number of times the first user goes offline at the network server;
  • the network server stores the suppression status identifier of the first user in the first list; when the network server is After the first occurrence of the fault occurs, the number of faults of the first user is cleared after the duration of the accumulated fault times reaches the first duration.
  • the suppression unit is further configured to: after the network server stores the suppression state identifier of the first user in the first list for a second duration, the network server is in the first list. Deleting the suppression status identifier of the first user.
  • the network server further includes a sending unit, configured to send a second packet to the access device when the first list includes the suppression status identifier of the first user, where the second packet includes Determining a status indication of the first user, so that the access device stops providing service to the first user according to the suppression status identifier of the first user.
  • a sending unit configured to send a second packet to the access device when the first list includes the suppression status identifier of the first user, where the second packet includes Determining a status indication of the first user, so that the access device stops providing service to the first user according to the suppression status identifier of the first user.
  • a packet processing method is applied to a virtual private network system, including:
  • the network server Receiving, by the network server, the first packet sent by the access device, where the first packet includes an identifier of the first user, and the identifier of the first user is used to mark the first user;
  • the network server searches for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user;
  • the network server discards the first packet, and the suppression status identifier of the first user is used to indicate that the first user is not Provide services.
  • the method further includes:
  • the network server records the first occurrence time of the failure of the first user and accumulates the number of failures, the number of failures being the number of times the first user fails to go online at the network server and the first user is in the network server At least one of the number of times of the offline or the number of failures is a sum of the number of times the first user fails to go online at the network server and the number of times the first user goes offline at the network server;
  • the network server stores the suppression status identifier of the first user in the first list
  • the network server starts from the first occurrence of the fault, and the duration of the accumulated fault number reaches the first duration, the number of faults of the first user is cleared.
  • the method further includes:
  • the network server After the network server stores the suppression time identifier of the first user in the first list for a second duration, the network server deletes the suppression of the first user in the first list. Status identifier.
  • the method further includes:
  • the network server sends a second packet to the access device, where the second packet includes a suppression status of the first user. Identifying, so that the access device stops providing service to the first user according to the suppression status identifier of the first user.
  • the network server receives the first packet sent by the access device, and searches for the first list in the stored first list according to the identifier of the first user.
  • a status indicator of a user if found, discards the first packet, and participates in determining whether to suppress the user through the network server, thereby effectively and effectively suppressing the illegal user, and solving the prior art, the virtual private network system
  • the problem of illegal suppression of illegal users is not possible.
  • FIG. 1 is a schematic structural diagram of a virtual private network system according to an embodiment of the present invention.
  • FIG. 2 is a schematic structural diagram of a network server according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of a network server according to another embodiment of the present invention.
  • FIG. 4 is a schematic flowchart of a packet processing method according to an embodiment of the present disclosure.
  • FIG. 5 is a schematic diagram of information exchange of a packet processing method according to another embodiment of the present invention.
  • the embodiment of the present invention provides a virtual private network system.
  • the virtual private network system 10 includes a network server 101, an access device 102, and a user equipment 103.
  • the network server 101 may be a Layer 2 tunneling protocol network server LNS
  • the access device 102 may be a Layer 2 tunneling protocol access concentrator LAC.
  • LNS Layer 2 tunneling protocol network server
  • LAC Layer 2 tunneling protocol access concentrator
  • the user equipment 103 establishes a connection with the LAC through a public network
  • the public network may be a PSTN (Public Switched Telephone Network) or an ISDN (Integrated Services Digital Network). , integrated business digital network) and so on.
  • PSTN Public Switched Telephone Network
  • ISDN Integrated Services Digital Network
  • the user equipment 103 can communicate with the LNS through an L2TP tunnel established between the LAC and the LNS according to the L2TP (Layer 2 Tunneling Protocol).
  • L2TP Layer 2 Tunneling Protocol
  • the user equipment 103 is configured to send the first packet to the access device 102, where the first packet includes the identifier of the first user, and the identifier of the first user is used to mark the first user.
  • the access device 102 is configured to receive the first packet sent by the user equipment 103, and search for the suppression status identifier of the first user in the second list that is already stored according to the identifier of the first user, where the second list does not include the first packet.
  • the first packet is sent to the network server 101, and the suppression status identifier of the first user is used to indicate that the first user is not provided with the service.
  • the network server 101 is configured to receive the first packet sent by the access device 102, and search for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user, where the first user is included in the first list. When the status flag is suppressed, the first packet is discarded.
  • the network server 101 is further configured to record the first occurrence time of the failure of the first user and accumulate the number of failures, where the number of failures is the number of times the first user fails to go online on the network server and the number of times the first user goes offline on the network server. At least one, of course, the number of failures may also be the sum of the number of times the first user fails to go online on the network server and the number of times the first user goes offline on the network server.
  • the network server stores the suppression status identifier of the first user in the first list.
  • the network server starts from the time when the fault first occurs, it accumulates After the number of times of the obstacle reaches the first time, the number of failures of the first user is cleared.
  • the network server 101 is further configured to delete the suppression status identifier of the first user in the first list after the network server stores the suppression status identifier of the first user in the first list for a second duration.
  • the network server 101 is further configured to: when the first list includes the suppression status identifier of the first user, send the second packet to the access device 102, where the second packet includes the suppression status identifier of the first user.
  • the access device 102 is further configured to receive the second packet sent by the network server 101, record the suppression status identifier of the first user in the second list, and stop providing the service to the first user.
  • the access device 102 is further configured to: when the second list includes the suppression status identifier of the first user, discard the first packet.
  • the user equipment sends the first packet to the access device, and the access device receives the first packet sent by the user equipment, and then stores the second packet according to the identifier of the first user.
  • the first status of the first user is detected in the list.
  • the second list does not include the suppression status identifier of the first user
  • the first packet is sent to the network server, and the network server stores the first user according to the identifier of the first user.
  • the first identifier of the first user is searched in a list. If the first identifier is found, the first packet is discarded, and the network server and the access device are combined to determine whether to suppress the user, and the suppression of the illegal user can be implemented quickly and efficiently.
  • the virtual private network system cannot effectively suppress illegal users.
  • the embodiment of the present invention provides a network server.
  • the network server may be an LNS.
  • the network server 20 includes a receiving unit 201, a searching unit 202, and a suppression. Unit 203.
  • the receiving unit 201 is configured to receive the first packet sent by the access device, where the first packet includes the identifier of the first user, and the identifier of the first user is used to mark the first user.
  • the searching unit 202 is configured to search for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user received by the receiving unit 201.
  • the suppression unit 203 is configured to discard the first packet when the first list searched by the searching unit 202 includes the suppression status identifier of the first user, and the suppression status identifier of the first user is used to indicate that the first user does not provide the service.
  • the suppression unit 203 is further configured to record the first occurrence time of the failure of the first user and accumulate the number of failures, where the number of failures is the number of times the first user fails to go online on the network server and the number of times the first user goes offline on the network server. At least one, of course, the number of failures may also be the sum of the number of times the first user fails to go online on the network server and the number of times the first user goes offline on the network server.
  • the network server stores the suppression status identifier of the first user in the first list. When the network server starts from the first occurrence of the fault and the duration of the accumulated fault times reaches the first duration, the number of faults of the first user is cleared.
  • the suppression unit 203 is further configured to: after the network server stores the suppression time identifier of the first user in the first list for a second duration, the network server deletes the suppression status identifier of the first user in the first list.
  • the network server 20 further includes a sending unit 204, configured to send a second packet to the access device when the first list includes the suppression status identifier of the first user, where the second packet includes the suppression of the first user.
  • the status identifier is such that the access device stops providing services to the first user according to the suppression status identifier of the first user.
  • the network server provided by the embodiment of the present invention receives the first packet sent by the access device, and searches for the status identifier of the first user in the first list that has been stored according to the identifier of the first user, and discards the first identifier if found.
  • the message is used by the network server to determine whether to suppress the user. The suppression of the illegal user can be implemented quickly and efficiently, and the problem that the virtual private network system cannot effectively suppress the illegal user in the prior art is solved.
  • the network server 30 includes: at least one processor 301, a memory 302, a bus 303, a transmitter 304, and The receiver 305, the at least one processor 301, the memory 302, the transmitter 304, and the receiver 305 are connected by a bus 303 and complete communication with each other.
  • the bus 303 may be an ISA (Industry Standard Architecture) bus, a PCI (Peripheral Component) bus, or an EISA (Extended Industry Standard Architecture) bus.
  • the bus 303 can be one or more of an address bus, a data bus, and a control bus. For ease of representation, only one thick line is shown in Figure 3, but it does not mean that there is only one bus or one type of bus. among them:
  • the memory 302 is used to execute the application code of the solution of the present invention, and the application code for executing the embodiment of the present invention is stored in a memory and controlled by the processor 301 for execution.
  • the memory can be a read only memory ROM or other type of static storage device that can store static information and instructions, a random access memory RAM or other type of dynamic storage device that can store information and instructions, or can be electrically erasable or programmable.
  • These memories are connected to the processor via a bus.
  • the processor 301 may be a central processing unit (CPU), or an application specific integrated circuit (ASIC), or one or more configured to implement the embodiments of the present invention. Integrated circuits.
  • CPU central processing unit
  • ASIC application specific integrated circuit
  • the processor 301 is configured to invoke the program code in the memory 302 to perform the operations of the search unit and the suppression unit in the device embodiment corresponding to the foregoing FIG. 2 .
  • the processor 301 is configured to invoke the program code in the memory 302 to perform the operations of the search unit and the suppression unit in the device embodiment corresponding to the foregoing FIG. 2 .
  • the processor 301 is configured to invoke the program code in the memory 302 to perform the operations of the search unit and the suppression unit in the device embodiment corresponding to the foregoing FIG. 2 .
  • the processor 301 is configured to invoke the program code in the memory 302 to perform the operations of the search unit and the suppression unit in the device embodiment corresponding to the foregoing FIG. 2 .
  • the network server provided by the embodiment of the present invention receives the first packet sent by the access device, and searches for the status identifier of the first user in the first list that has been stored according to the identifier of the first user, and discards the first identifier if found.
  • the message is used by the network server to determine whether to suppress the user. The suppression of the illegal user can be implemented quickly and efficiently, and the problem that the virtual private network system cannot effectively suppress the illegal user in the prior art is solved.
  • the embodiment of the present invention provides a packet processing method, which is applied to the network server described in the foregoing embodiments corresponding to FIG. 1, FIG. 2, and FIG. As shown in FIG. 4, the information transmission method provided in this embodiment includes:
  • the network server receives the first packet sent by the access device.
  • the first packet includes an identifier of the first user, and the identifier of the first user is used to mark the first user.
  • the identifier of the first user may be a Calling Number of the first user.
  • the first packet may be an uplink message of the first user, and includes the request information of the first user accessing the virtual private network, or the first packet may also be the data packet sent by the first user.
  • the network server searches for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user.
  • the suppression status identifier of the first user is used to indicate that the first user is not provided with a service.
  • the network server records the first time of the failure of the first user and accumulates the number of failures.
  • the number of failures is at least one of the number of times the first user fails to go online and the number of times the first user goes offline.
  • the number of failures may also be the number of times the first user fails to go online on the network server and the first user is The sum of the number of times the network server goes offline; when the number of failures of the first user in the first duration is greater than or equal to the first threshold, the network server stores the suppression status identifier of the first user in the first list; After the first time occurs, after the duration of the accumulated fault times reaches the first time, the number of faults of the first user is cleared.
  • the first threshold may be set according to the load condition of the access user on the network side.
  • the specific value of the first threshold is not limited in the present invention.
  • the network server discards the first packet.
  • the first list includes the suppression status identifier of the first user, indicating that the number of failures of the first user has exceeded a first threshold, and the first user is an illegal user, stopping providing services to the first user.
  • the network server deletes the suppression status identifier of the first user in the first list.
  • the network server receives the first packet sent by the access device, and searches for the status identifier of the first user in the first list that has been stored according to the identifier of the first user, and if found, The first packet is discarded, and the network server participates in judging whether to suppress the user.
  • the suppression of the illegal user can be implemented efficiently and quickly, and the problem that the virtual private network system cannot effectively suppress the illegal user in the prior art is solved.
  • another embodiment of the present invention provides a packet processing method, which is applied to the virtual private network system described in the embodiment corresponding to FIG. 1.
  • a network is used.
  • the device is an LNS
  • the access device is an LAC.
  • the present embodiment is only an example, and the present invention is not limited thereto. Referring to FIG. 5, the method includes:
  • the user equipment sends the first packet to the access device.
  • the first message includes an identifier of the first user for marking the first user.
  • the first packet may be an online message of the first user or a data message of the first user.
  • the access device searches for the suppression status identifier of the first user in the second list that has been stored according to the identifier of the first user.
  • the suppression status identifier of the first user is used to indicate that the first user is not provided with a service.
  • the LAC determines whether the first user is locally suppressed by searching the suppression status indicator of the first user in the second list. If the second list includes the suppression status identifier of the first user, the LAC may discard the first The message, if not found, can continue to execute 503.
  • the access device sends the first packet to the network server.
  • the first packet may be sent to the LNS, and the LNS further determines whether the first user needs to be suppressed. Therefore, because the LNS on the network side also participates in determining whether to suppress the user. So that the network side in the virtual private network can effectively and quickly suppress users.
  • the network server searches for the suppression status identifier of the first user in the first list that has been stored according to the identifier of the first user.
  • the network server records the first time of the first user's fault and accumulates the number of faults, where the number of faults is at least one of the number of times the first user fails to go online and the number of times the first user goes offline on the network server.
  • the number of failures may also be the sum of the number of times the first user fails to go online and the number of times the first user goes offline on the network server; when the number of failures of the first user in the first duration is greater than or equal to the first threshold, the network The server stores the suppression status identifier of the first user in the first list. After the network server starts from the first occurrence of the fault, and the duration of the accumulated fault times reaches the first duration, the number of failures of the first user is cleared.
  • the access device can also record the number of faults of the user in the foregoing manner, which is not described in this embodiment.
  • the network server discards the first packet.
  • the network server deletes the first user's suppression status identifier in the first list.
  • the second packet includes a suppression status identifier of the first user.
  • the LNS receives the first packet, and the local LAC does not suppress the first user.
  • the LNS sends a second packet that includes the suppression status identifier of the first user to the LAC, and the LAC is configured to suppress the first user. If the LAC receives the packets from the first user again, the LAC can directly discard the packets. This prevents the packets from being exchanged between the LAC and the LNS.
  • the user equipment sends the first packet to the access device, and after receiving the first packet sent by the user equipment, the access device is in the second list that has been stored according to the identifier of the first user.
  • Finding a suppression status identifier of the first user when the second list does not include the suppression status identifier of the first user, sending the first packet to the network server, where the network server stores the first list according to the identifier of the first user
  • the status identifier of the first user is searched. If the first user is found, the first packet is discarded, and the network server and the access device are combined to determine whether to suppress the user, and the suppression of the illegal user can be implemented quickly and efficiently.
  • the virtual private network system cannot effectively suppress illegal users.
  • Computer readable media includes both computer storage media and communication media including any medium that facilitates transfer of a computer program from one location to another.
  • a storage medium may be any available media that can be accessed by a computer.
  • the computer readable medium may include a RAM (Random Access Memory), a ROM (Read Only Memory), and an EEPROM (Electrically Erasable Programmable Read Only Memory).
  • CD-ROM Compact Disc Read Only Memory
  • CD-ROM Compact Disc Read Only Memory
  • Any connection may suitably be a computer readable medium.
  • coaxial cable, fiber optic cable, twisted pair, DSL (Digital Subscriber Line), or wireless technologies such as infrared, radio, and microwave
  • coaxial cable, fiber optic cable, twisted pair, DSL or wireless technologies such as infrared, wireless and microwave are included in the fixing of the associated medium.
  • the disc and the disc include a CD (Compact Disc), a laser disc, a disc, a DVD disc (Digital Versatile Disc), a floppy disc, and a Blu-ray disc, wherein the disc is usually magnetic.
  • the data is copied, and the disc uses a laser to optically replicate the data. Combinations of the above should also be included within the scope of the computer readable media.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种报文处理方法、网络服务器及虚拟专用网络系统，涉及通信领域，能够解决现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。该方法包括：网络服务器接收接入设备发送的第一报文，第一报文包含第一用户的标识，第一用户的标识用于标记第一用户；网络服务器根据第一用户的标识在已经存储的第一列表中查找第一用户的抑制状态标识；第一列表中包含第一用户的抑制状态标识时，网络服务器丢弃第一报文，第一用户的抑制状态标识用于指示对所述第一用户不提供服务。

Description

一种报文处理方法、网络服务器及虚拟专用网络系统
本申请要求于2014年12月05日提交中国专利局、申请号为201410735369.7、发明名称为“一种报文处理方法、网络服务器及虚拟专用网络系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信领域，尤其涉及一种报文处理方法、网络服务器及虚拟专用网络系统。
背景技术
VPDN(Virtual Private Dial up Networks，虚拟专用拨号网)是指利用公共网络的拨号功能接入专用网络而实现的虚拟专用网，能够使得企业远端用户通过公共网络接入企业内部网。
现有技术中，用户设备通过LAC(Layer 2Tunneling Protocol Access Concentrator，二层隧道协议访问集中器)与LNS(Layer 2Tunneling Protocol Network Server，二层隧道协议网络服务器)建立会话，接入到虚拟专用网。如果某个用户反复上线，或者连续多次上线认证失败，则LAC将该用户确认为非法用户，并将该用户设置为抑制状态，对该用户的接入请求直接拒绝，抑制持续一定时间后，恢复对该用户的服务。但是LAC是当地ISP(Internet Service Provider，互联网服务提供商)的接入设备，不同服务提供商的LAC设备对于用户的抑制机制都不相同，而LNS上能够建立的会话或隧道数量是一定的，如果有过多非法用户在LNS上建立会话，就会使得合法用户无法上线，因此，虚拟专用网络系统无法有效地对非法用户进行抑制。
发明内容
本发明的实施例提供一种报文处理方法、网络服务器及虚拟专用网络系统， 以解决虚拟专用网络系统无法对非法用户进行有效抑制的问题。
为达到上述目的，本发明的实施例采用如下技术方案：
第一方面，一种虚拟专用网络系统，包括网络服务器、接入设备及用户设备；
其中，所述用户设备，用于向所述接入设备发送第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
所述接入设备，用于接收所述用户设备发送的第一报文，根据所述第一用户的标识在已经存储的第二列表中查找所述第一用户的抑制状态标识，当所述第二列表中不包含所述第一用户的抑制状态标识时，将所述第一报文发送至所述网络服务器，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务；
所述网络服务器，用于接收所述接入设备发送的所述第一报文，根据所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识，当所述第一列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文。
结合第一方面，在第一种可能的实现方式中，
所述网络服务器，还用于记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；当所述网络服务器从所述故障首次发生时间开始，累加故障次数的时长达到所述第一时长后，清空所述第一用户的故障次数。
结合第一方面或第一方面的第一种可能的实现方式，在第二种可能的实现方式中，
所述网络服务器，还用于当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，在所述第一列表中删除所述第一用户的抑制状态标识。
结合第一方面，在第三种可能的实现方式中，
所述网络服务器，还用于当所述第一列表中包含所述第一用户的抑制状态标识时，向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识；
所述接入设备，还用于接收所述网络服务器发送的所述第二报文，在所述第二列表中记录所述第一用户的抑制状态标识，并停止对所述第一用户提供服务。
结合第一方面至第一方面的第三种可能的实现方式中任一实现方式，在第四种可能的实现方式中，
所述接入设备，还用于当所述第二列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文。
第二方面，一种网络服务器，应用于虚拟专用网络系统，包括：
接收单元，用于接收接入设备发送的第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
查找单元，用于根据所述接收单元接收的所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识；
抑制单元，用于当所述查找单元查找的所述第一列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务。
结合第二方面，在第一种可能的实现方式中，
所述抑制单元，还用于记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；当所述网络服务器从所述故障首次发生时间开始，累加故障次数的时长达到所述第一时长后，清空所述第一用户的故障次数。
结合第二方面或第二方面的第一种可能的实现方式，在第二种可能的实现方式中，
所述抑制单元，还用于当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，所述网络服务器在所述第一列表中删除所述第一用户的抑制状态标识。
结合第二方面至第二方面的第二种可能的实现方式中任一实现方式，在第三种可能的实现方式中，
所述网络服务器还包括发送单元，用于当所述第一列表中包含所述第一用户的抑制状态标识时，向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识，以便所述接入设备根据所述第一用户的抑制状态标识停止对所述第一用户提供服务。
第三方面，一种报文处理方法，应用于虚拟专用网络系统，包括：
网络服务器接收接入设备发送的第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
所述网络服务器根据所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识；
当所述第一列表中包含所述第一用户的抑制状态标识时，所述网络服务器丢弃所述第一报文，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务。
结合第三方面，在第一种可能的实现方式中，所述方法还包括：
所述网络服务器记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；
当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；
当所述网络服务器从所述故障首次发生时间开始，累加故障次数的时长达到所述第一时长后，清空所述第一用户的故障次数。
结合第三方面或第三方面的第一种可能的实现方式，在第二种可能的实现方式中，所述方法还包括：
当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，所述网络服务器在所述第一列表中删除所述第一用户的抑制状态标识。
结合第三方面至第三方面的第二种可能的实现方式中任一实现方式，在第三种可能的实现方式中，所述方法还包括：
当所述第一列表中包含所述第一用户的抑制状态标识时，所述网络服务器向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识，以便所述接入设备根据所述第一用户的抑制状态标识停止对所述第一用户提供服务。
根据本发明实施例的一种报文处理方法、网络服务器及虚拟专用网络系统，网络服务器接收接入设备发送的第一报文，根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器参与判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种虚拟专用网络系统结构示意图；
图2为本发明实施例提供的一种网络服务器结构示意图；
图3为本发明另一实施例提供的一种网络服务器结构示意图；
图4为本发明实施例提供的一种报文处理方法流程示意图；
图5为本发明另一实施例提供的一种报文处理方法信息交互示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例提供一种虚拟专用网络系统，参照图1所示，该虚拟专用网络系统10包括网络服务器101、接入设备102以及用户设备103。可选的，网络服务器101可以是二层隧道协议网络服务器LNS，接入设备102可以是二层隧道协议访问集中器LAC，当然，此处只是举例说明，并不代表本发明局限于此。
可选的，在图1所示的虚拟专用网络系统中，用户设备103通过公共网络与LAC建立连接，公共网络可以是PSTN(Public Switched Telephone Network，公共交换电话网络)或ISDN(Integrated Services Digital Network，综合业务数字网)等。用户设备103与LAC建立连接后，可以通过LAC与LNS之间根据L2TP(Layer 2Tunneling Protocol，二层隧道协议)建立的L2TP隧道与LNS进行通信。
在本发明实施例中，用户设备103，用于向接入设备102发送第一报文，第一报文包含第一用户的标识，第一用户的标识用于标记第一用户。
接入设备102，用于接收用户设备103发送的第一报文，根据第一用户的标识在已经存储的第二列表中查找第一用户的抑制状态标识，当第二列表中不包含第一用户的抑制状态标识时，将第一报文发送至网络服务器101，第一用户的抑制状态标识用于指示对第一用户不提供服务。
网络服务器101，用于接收接入设备102发送的第一报文，根据第一用户的标识在已经存储的第一列表中查找第一用户的抑制状态标识，当第一列表中包含第一用户的抑制状态标识时，丢弃第一报文。
可选的，网络服务器101，还用于记录第一用户的故障首次发生时间并累加故障次数，故障次数是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数中的至少一个，当然故障次数也可以是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数之和。当第一用户在第一时长内的故障次数大于或等于第一阈值时，网络服务器在第一列表中存储第一用户的抑制状态标识。当网络服务器从故障首次发生时间开始，累加故 障次数的时长达到第一时长后，清空第一用户的故障次数。
可选的，网络服务器101，还用于当网络服务器在第一列表中存储第一用户的抑制状态标识的时间长度达到第二时长后，在第一列表中删除第一用户的抑制状态标识。
可选的，网络服务器101，还用于当第一列表中包含第一用户的抑制状态标识时，向接入设备102发送第二报文，第二报文包含第一用户的抑制状态标识。
接入设备102，还用于接收网络服务器101发送的第二报文，在第二列表中记录第一用户的抑制状态标识，并停止对第一用户提供服务。
可选的，接入设备102，还用于当第二列表中包含第一用户的抑制状态标识时，丢弃第一报文。
本发明实施例提供的虚拟专用网络系统中，用户设备向接入设备发送第一报文，接入设备接收用户设备发送的第一报文后，根据第一用户的标识在已经存储的第二列表中查找第一用户的抑制状态标识，当第二列表中不包含第一用户的抑制状态标识时，将第一报文发送至网络服务器，网络服务器根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器和接入设备联合起来判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
基于上述图1对应的实施例，本发明实施例提供一种网络服务器，可选的，该网络服务器可以是LNS，参照图2所示，该网络服务器20包括接收单元201、查找单元202及抑制单元203。
其中，接收单元201，用于接收接入设备发送的第一报文，第一报文包含第一用户的标识，第一用户的标识用于标记第一用户。
查找单元202，用于根据接收单元201接收的第一用户的标识在已经存储的第一列表中查找第一用户的抑制状态标识。
抑制单元203，用于当查找单元202查找的第一列表中包含第一用户的抑制状态标识时，丢弃第一报文，第一用户的抑制状态标识用于指示对第一用户不提供服务。
可选的，抑制单元203，还用于记录第一用户的故障首次发生时间并累加故障次数，故障次数是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数中的至少一个，当然故障次数也可以是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数之和。当第一用户在第一时长内的故障次数大于或等于第一阈值时，网络服务器在第一列表中存储第一用户的抑制状态标识。当网络服务器从故障首次发生时间开始，累加故障次数的时长达到第一时长后，清空第一用户的故障次数。
抑制单元203，还用于当网络服务器在第一列表中存储第一用户的抑制状态标识的时间长度达到第二时长后，网络服务器在第一列表中删除第一用户的抑制状态标识。
可选的，网络服务器20还包括发送单元204，用于当第一列表中包含第一用户的抑制状态标识时，向接入设备发送第二报文，第二报文包含第一用户的抑制状态标识，以便接入设备根据第一用户的抑制状态标识停止对第一用户提供服务。
本发明实施例提供的网络服务器，接收接入设备发送的第一报文，根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器参与判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
基于上述图1对应的实施例，本发明另一实施例提供一种网络服务器30，参照图3所示，该网络服务器30包括：至少一个处理器301、存储器302、总线303、发射器304和接收器305，该至少一个处理器301、存储器302、发射器304和接收器305通过总线303连接并完成相互间的通信。
该总线303可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(Peripheral Component，外部设备互连)总线或EISA(Extended Industry Standard Architecture，扩展工业标准体系结构)总线等。该总线303可以是地址总线、数据总线、控制总线中的一种或多种。为便于表示，图3中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：
存储器302用于执行本发明方案的应用程序代码，执行本发明实施例方案的应用程序代码保存在存储器中，并由处理器301来控制执行。
该存储器可以是只读存储器ROM或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器EEPROM、只读光盘CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。这些存储器通过总线与处理器相连接。
处理器301可能是一个中央处理器301(Central Processing Unit，简称为CPU)，或者是特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者是被配置成实施本发明实施例的一个或多个集成电路。
处理器301，用于调用存储器302中的程序代码，用以执行上述图2对应的设备实施例中查找单元及抑制单元的操作，具体描述参照图2对应的设备实施例，这里不再赘述。
本发明实施例提供的网络服务器，接收接入设备发送的第一报文，根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器参与判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
基于上述图1、图2及图3对应的实施例，本发明实施例提供一种报文处理方法，应用于上述图1、图2及图3对应的实施例中所描述的网络服务器，参照图4所示，本实施例提供的信息传输方法包括：
401、网络服务器接收接入设备发送的第一报文。
其中，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户。可选的，第一用户的标识可以是第一用户的呼叫号码(Calling Number)。第一报文可以是第一用户的上线报文，包含第一用户接入虚拟专用网的请求信息，或者第一报文也可以是第一用户发送的数据报文。
402、所述网络服务器根据所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识。
其中，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务。
可选的，网络服务器记录第一用户的故障首次发生时间并累加故障次数， 故障次数是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数中的至少一个，当然故障次数也可以是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数之和；当第一用户在第一时长内的故障次数大于或等于第一阈值时，网络服务器在第一列表中存储第一用户的抑制状态标识；当网络服务器从故障首次发生时间开始，累加故障次数的时长达到第一时长后，清空第一用户的故障次数。
其中，第一阈值可以根据网络侧接入用户的负载情况而设定，本发明对第一阈值的具体取值不做限定。
当然，此处只是以上线失败或者用户下线作为一次故障进行统计，也可以将用户的其他行为作为故障进行统计，本实施例对此不作限定。
403、当所述第一列表中包含所述第一用户的抑制状态标识时，所述网络服务器丢弃所述第一报文。
可选的，结合402，如果第一列表包含第一用户的抑制状态标识，说明第一用户的故障次数已经超过第一阈值，将第一用户作为非法用户，停止对第一用户提供服务。
另外，可选的，当网络服务器在第一列表中存储第一用户的抑制状态标识的时间长度达到第二时长后，网络服务器在第一列表中删除第一用户的抑制状态标识。
本发明实施例提供的信息传输方法，网络服务器接收接入设备发送的第一报文，根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器参与判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
基于上述图4对应的实施例，本发明另一实施例提供一种报文处理方法，应用于图1对应的实施例中所描述的虚拟专用网络系统，可选的，本实施例中以网络设备为LNS，接入设备为LAC为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，参照图5所示，包括：
501、用户设备向接入设备发送第一报文。
第一报文包含第一用户的标识，用于标记第一用户。
可选的，该第一报文可以是第一用户的上线报文或者第一用户的数据报文。
502、接入设备根据第一用户的标识在已经存储的第二列表中查找第一用户的抑制状态标识。
其中，第一用户的抑制状态标识用于指示对第一用户不提供服务。
可选的，LAC通过在第二列表中查找第一用户的抑制状态标识判定是否已经对第一用户进行本地抑制，如果第二列表中包含第一用户的抑制状态标识，则LAC可以丢弃第一报文，如果没有查找到则可以继续执行503。
503、当第二列表中不包含第一用户的抑制状态标识时，接入设备将第一报文发送至网络服务器。
如果本地LAC没有对第一用户进行抑制，则可以将第一报文发送至LNS，由LNS进一步判定是否需要对第一用户进行抑制，这样，因为网络侧的LNS也参与判定是否对用户进行抑制，使得虚拟专用网络中网络侧可以高效快速的对用户进行抑制。
504、网络服务器根据第一用户的标识在已经存储的第一列表中查找第一用户的抑制状态标识。
可选的，网络服务器记录第一用户的故障首次发生时间并累加故障次数，故障次数是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数中的至少一个，当然故障次数也可以是第一用户在网络服务器上线失败的次数和第一用户在网络服务器下线的次数之和；当第一用户在第一时长内的故障次数大于或等于第一阈值时，网络服务器在第一列表中存储第一用户的抑制状态标识；当网络服务器从故障首次发生时间开始，累加故障次数的时长达到第一时长后，清空第一用户的故障次数。
结合502，接入设备也可以通过上述方式记录用户的故障次数，本实施例不再赘述。
505、当第一列表中包含第一用户的抑制状态标识时，网络服务器丢弃第一报文。
可选的，当网络服务器在第一列表中存储第一用户的抑制状态标识的时间长度达到第二时长后，网络服务器在第一列表中删除第一用户的抑制状态标识。
506、向接入设备发送第二报文。
其中，第二报文包含第一用户的抑制状态标识。
可选的，LNS接收到第一报文，证明本地LAC没有对第一用户进行抑制，LNS通过向LAC发送包含第一用户的抑制状态标识的第二报文，告知LAC对第一用户进行抑制，如果LAC再次接收到第一用户的报文，就可以直接丢弃，这样也避免了LAC与LNS之间报文交互过多，占用过多资源。
本发明实施例提供的信息传输方法，用户设备向接入设备发送第一报文，接入设备接收用户设备发送的第一报文后，根据第一用户的标识在已经存储的第二列表中查找第一用户的抑制状态标识，当第二列表中不包含第一用户的抑制状态标识时，将第一报文发送至网络服务器，网络服务器根据第一用户的标识在已经存储的第一列表中查找第一用户的状态标识，如果查找到，则丢弃第一报文，通过网络服务器和接入设备联合起来判断是否对用户进行抑制，能够高效快速的实现对非法用户的抑制，解决了现有技术中，虚拟专用网络系统无法对非法用户进行有效抑制的问题。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可以用硬件实现，或固件实现，或它们的组合方式来实现。当使用软件实现时，可以将上述功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括RAM(Random Access Memory，随机存储器)、ROM(Read Only Memory，只读内存)、EEPROM(Electrically Erasable Programmable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact Disc Read Only Memory，即只读光盘)或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。此外。任何连接可以适当的成为计算机可读介质。例如，如果软件是使用同轴电缆、光纤光缆、双绞线、DSL(Digital Subscriber Line，数字用户专线)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或者其他远程源传输的，那么同轴电缆、光纤光缆、双绞线、DSL或者诸如红外线、无线和微波之类的无线技术包括在所属介质的定影中。如本发明所使用的，盘和碟包括CD(Compact Disc，压缩光碟)、激光碟、光碟、DVD碟(Digital Versatile Disc，数字通用光)、软盘和蓝光光碟，其中盘通常磁性 的复制数据，而碟则用激光来光学的复制数据。上面的组合也应当包括在计算机可读介质的保护范围之内。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (13)

  1. 一种虚拟专用网络系统，其特征在于，包括网络服务器、接入设备及用户设备；
    其中，所述用户设备，用于向所述接入设备发送第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
    所述接入设备，用于接收所述用户设备发送的第一报文，根据所述第一用户的标识在已经存储的第二列表中查找所述第一用户的抑制状态标识，当所述第二列表中不包含所述第一用户的抑制状态标识时，将所述第一报文发送至所述网络服务器，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务；
    所述网络服务器，用于接收所述接入设备发送的所述第一报文，根据所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识，当所述第一列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文。
  2. 根据权利要求1所述的网络系统，其特征在于，
    所述网络服务器，还用于记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；当所述网络服务器从所述故障首次发生时间开始，累加故障次数的时长达到所述第一时长后，清空所述第一用户的故障次数。
  3. 根据权利要求1或2所述的网络系统，其特征在于，
    所述网络服务器，还用于当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，在所述第一列表中删除所述第一用户的抑制状态标识。
  4. 根据权利要求1所述的网络系统，其特征在于，
    所述网络服务器，还用于当所述第一列表中包含所述第一用户的抑制状态标识时，向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识；
    所述接入设备，还用于接收所述网络服务器发送的所述第二报文，在所述第二列表中记录所述第一用户的抑制状态标识，并停止对所述第一用户提供服务。
  5. 根据权利要求1-4任一项所述的网络系统，其特征在于，
    所述接入设备，还用于当所述第二列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文。
  6. 一种网络服务器，其特征在于，应用于虚拟专用网络系统，包括：
    接收单元，用于接收接入设备发送的第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
    查找单元，用于根据所述接收单元接收的所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识；
    抑制单元，用于当所述查找单元查找的所述第一列表中包含所述第一用户的抑制状态标识时，丢弃所述第一报文，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务。
  7. 根据权利要求6所述的网络服务器，其特征在于，
    所述抑制单元，还用于记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；当所述网络服务器从所述故障首次发生时间开始，累加故障次数的时长达到所述第一时长后，清空所述第一用户的故障次数。
  8. 根据权利要求6或7所述的网络服务器，其特征在于，
    所述抑制单元，还用于当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，所述网络服务器在所述第一列表中删除所述第一用户的抑制状态标识。
  9. 根据权利要求6-8任一项所述的网络服务器，其特征在于，
    所述网络服务器还包括发送单元，用于当所述第一列表中包含所述第一用户的抑制状态标识时，向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识，以便所述接入设备根据所述第一用户的抑制状态标识停止对所述第一用户提供服务。
  10. 一种报文处理方法，其特征在于，应用于虚拟专用网络系统，包括：
    网络服务器接收接入设备发送的第一报文，所述第一报文包含第一用户的标识，所述第一用户的标识用于标记第一用户；
    所述网络服务器根据所述第一用户的标识在已经存储的第一列表中查找所述第一用户的抑制状态标识；
    当所述第一列表中包含所述第一用户的抑制状态标识时，所述网络服务器丢弃所述第一报文，所述第一用户的抑制状态标识用于指示对所述第一用户不提供服务。
  11. 根据权利要求10所述的方法，其特征在于，所述方法还包括：
    所述网络服务器记录所述第一用户的故障首次发生时间并累加故障次数，所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数中的至少一个或所述故障次数是所述第一用户在所述网络服务器上线失败的次数和所述第一用户在所述网络服务器下线的次数之和；
    当所述第一用户在第一时长内的故障次数大于或等于第一阈值时，所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识；
    当所述网络服务器从所述故障首次发生时间开始，累加故障次数 的时长达到所述第一时长后，清空所述第一用户的故障次数。
  12. 根据权利要求10所述的方法，其特征在于，所述方法还包括：
    当所述网络服务器在所述第一列表中存储所述第一用户的抑制状态标识的时间长度达到第二时长后，所述网络服务器在所述第一列表中删除所述第一用户的抑制状态标识。
  13. 根据权利要求10-12任一项所述的方法，其特征在于，所述方法还包括：
    当所述第一列表中包含所述第一用户的抑制状态标识时，所述网络服务器向所述接入设备发送第二报文，所述第二报文包含所述第一用户的抑制状态标识，以便所述接入设备根据所述第一用户的抑制状态标识停止对所述第一用户提供服务。
PCT/CN2015/096303 2014-12-05 2015-12-03 一种报文处理方法、网络服务器及虚拟专用网络系统 WO2016086876A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP15866349.2A EP3190743B1 (en) 2014-12-05 2015-12-03 Packet processing method, network server and virtual private network system
US15/612,285 US20170279771A1 (en) 2014-12-05 2017-06-02 Packet processing method, network server, and virtual private network system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410735369.7 2014-12-05
CN201410735369.7A CN104468313B (zh) 2014-12-05 2014-12-05 一种报文处理方法、网络服务器及虚拟专用网络系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/612,285 Continuation US20170279771A1 (en) 2014-12-05 2017-06-02 Packet processing method, network server, and virtual private network system

Publications (1)

Publication Number Publication Date
WO2016086876A1 true WO2016086876A1 (zh) 2016-06-09

Family

ID=52913718

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/096303 WO2016086876A1 (zh) 2014-12-05 2015-12-03 一种报文处理方法、网络服务器及虚拟专用网络系统

Country Status (4)

Country Link
US (1) US20170279771A1 (zh)
EP (1) EP3190743B1 (zh)
CN (2) CN109088809A (zh)
WO (1) WO2016086876A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109088809A (zh) * 2014-12-05 2018-12-25 华为技术有限公司 报文处理方法、网络服务器和虚拟专用网络系统
CN108429731B (zh) * 2018-01-22 2021-10-12 新华三技术有限公司 防攻击方法、装置及电子设备

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060072572A1 (en) * 2004-10-05 2006-04-06 Koji Ikeda Layer 2 switch
CN101257420A (zh) * 2007-03-02 2008-09-03 华为技术有限公司 一种点对点协议接入方法、系统及接入节点设备
CN101304387A (zh) * 2008-06-18 2008-11-12 中兴通讯股份有限公司 一种实现二层隧道协议隧道转换的方法
CN101562526A (zh) * 2009-05-27 2009-10-21 杭州华三通信技术有限公司 数据交互的方法、系统及设备
CN101867476A (zh) * 2010-06-22 2010-10-20 杭州华三通信技术有限公司 一种3g虚拟私有拨号网用户安全认证方法及其装置
CN102195988A (zh) * 2011-05-31 2011-09-21 中兴通讯股份有限公司 实现企业网aaa服务器与公网aaa服务器合一的方法及装置
CN104468313A (zh) * 2014-12-05 2015-03-25 华为技术有限公司 一种报文处理方法、网络服务器及虚拟专用网络系统

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1043869A3 (en) * 1999-02-26 2003-12-10 Lucent Technologies Inc. Providing quality of service in layer two tunneling protocol networks
US20020166063A1 (en) * 2001-03-01 2002-11-07 Cyber Operations, Llc System and method for anti-network terrorism
JP3794491B2 (ja) * 2002-08-20 2006-07-05 日本電気株式会社 攻撃防御システムおよび攻撃防御方法
US7808889B1 (en) * 2004-11-24 2010-10-05 Juniper Networks, Inc. Silent failover from a primary control unit to a backup control unit of a network device
JP4401942B2 (ja) * 2004-12-08 2010-01-20 株式会社日立コミュニケーションテクノロジー パケット転送装置および通信ネットワーク
CN101399749B (zh) * 2007-09-27 2012-04-04 华为技术有限公司 一种报文过滤的方法、系统和设备
US8509767B2 (en) * 2007-12-06 2013-08-13 Evolving Systems, Inc. Controlled access to a wireless network
US9350708B2 (en) * 2010-06-01 2016-05-24 Good Technology Corporation System and method for providing secured access to services
CN102377731A (zh) * 2010-08-10 2012-03-14 正文科技股份有限公司 虚拟专用网络系统及其网络装置
CN102904867A (zh) * 2012-05-12 2013-01-30 杭州迪普科技有限公司 一种vpn权限控制方法及装置
EP2904820B1 (en) * 2012-10-08 2020-07-15 Telefónica Germany GmbH & Co. OHG Communication system and a method for operating the same

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060072572A1 (en) * 2004-10-05 2006-04-06 Koji Ikeda Layer 2 switch
CN101257420A (zh) * 2007-03-02 2008-09-03 华为技术有限公司 一种点对点协议接入方法、系统及接入节点设备
CN101304387A (zh) * 2008-06-18 2008-11-12 中兴通讯股份有限公司 一种实现二层隧道协议隧道转换的方法
CN101562526A (zh) * 2009-05-27 2009-10-21 杭州华三通信技术有限公司 数据交互的方法、系统及设备
CN101867476A (zh) * 2010-06-22 2010-10-20 杭州华三通信技术有限公司 一种3g虚拟私有拨号网用户安全认证方法及其装置
CN102195988A (zh) * 2011-05-31 2011-09-21 中兴通讯股份有限公司 实现企业网aaa服务器与公网aaa服务器合一的方法及装置
CN104468313A (zh) * 2014-12-05 2015-03-25 华为技术有限公司 一种报文处理方法、网络服务器及虚拟专用网络系统

Also Published As

Publication number Publication date
EP3190743A1 (en) 2017-07-12
EP3190743A4 (en) 2017-09-06
US20170279771A1 (en) 2017-09-28
CN104468313B (zh) 2018-08-14
CN104468313A (zh) 2015-03-25
CN109088809A (zh) 2018-12-25
EP3190743B1 (en) 2019-08-14

Similar Documents

Publication Publication Date Title
CN109889547B (zh) 一种异常网络设备的检测方法及装置
US10191758B2 (en) Directing data traffic between intra-server virtual machines
US10785257B2 (en) Data center redundancy in a network
KR101889761B1 (ko) 컨텐츠 이름 기반의 네트워크 장치 및 컨텐츠 보호 방법
US20090077631A1 (en) Allowing a device access to a network in a trusted network connect environment
KR20140131523A (ko) 보안 프로토콜의 동적 선택 기법
CN108259425A (zh) 攻击请求的确定方法、装置及服务器
CN110519265B (zh) 一种防御攻击的方法及装置
WO2016127884A1 (zh) 消息推送方法及装置
WO2020229707A1 (en) Systems and methods for using dns messages to selectively collect computer forensic data
US8588056B1 (en) Elimination of unwanted packets entering a restricted bandwidth network
JP5980968B2 (ja) 情報処理装置、情報処理方法及びプログラム
JP6367381B2 (ja) クライアント経路制御システムを活用した障害誘発クライアント検出方法及びそのシステム
CN105490995A (zh) 一种在nvo3网络中nve转发报文的方法和设备
US10680930B2 (en) Method and apparatus for communication in virtual network
WO2016086876A1 (zh) 一种报文处理方法、网络服务器及虚拟专用网络系统
CN106411819A (zh) 一种识别代理互联网协议地址的方法及装置
WO2024103716A1 (zh) 一种链路中子网管理的方法、装置、设备及可读介质
JP2007013263A (ja) ワーム判定プログラム、ワーム判定方法およびワーム判定装置
WO2018028345A1 (zh) 用于检测访问路径的方法和装置
KR101826728B1 (ko) 로그 관리 방법, 시스템 및 컴퓨터 판독 가능한 기록 매체
CN114338669B (zh) 基于区块链的数据传输方法、装置、设备以及存储介质
CN110071868B (zh) 一种链路聚合方法、装置及网络设备
KR101535381B1 (ko) Ip 주소 및 url를 이용한 인터넷 접속 차단 방법
WO2023248652A1 (ja) 情報処理装置、ドメイン確認方法、及びドメイン確認プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15866349

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2015866349

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2015866349

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE