WO2009132594A1 - 实现私网之间转发数据的方法和系统 - Google Patents

实现私网之间转发数据的方法和系统 Download PDF

Info

Publication number
WO2009132594A1
WO2009132594A1 PCT/CN2009/071586 CN2009071586W WO2009132594A1 WO 2009132594 A1 WO2009132594 A1 WO 2009132594A1 CN 2009071586 W CN2009071586 W CN 2009071586W WO 2009132594 A1 WO2009132594 A1 WO 2009132594A1
Authority
WO
WIPO (PCT)
Prior art keywords
allocation information
ssl
address
address allocation
tunnel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2009/071586
Other languages
English (en)
French (fr)
Inventor
刘利锋
黄敏
万适
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Digital Technologies Chengdu Co Ltd
Original Assignee
Huawei Symantec Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Symantec Technologies Co Ltd filed Critical Huawei Symantec Technologies Co Ltd
Priority to EP09737704.8A priority Critical patent/EP2262185B1/en
Publication of WO2009132594A1 publication Critical patent/WO2009132594A1/zh
Priority to US12/915,430 priority patent/US8549286B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H04L12/4675—Dynamic sharing of VLAN information amongst network nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5038—Address allocation for local use, e.g. in LAN or USB networks, or in a controller area network [CAN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method and apparatus for sharing private network address allocation information and a method and system for forwarding data between private networks. Background technique
  • a Virtual Private Network (VPN) based on Secure Socket Layer (SSL) technology can ensure the security of users accessing the network remotely through SSL to achieve secure transmission of data like a dedicated network.
  • SSL VPN technology helps users access important enterprise applications through a standard web browser, so that department employees do not have to carry their own laptops when they are on a business trip. They can access corporate resources only through a computer connected to the Internet. It is convenient for enterprises to improve efficiency, and it can also solve security problems well.
  • SSL VPN devices are deployed at the branch network and public network.
  • SSL VPN devices have public routes that can be routed on the public network.
  • Network IP address each branch office network uses a private network address, and all private network addresses are uniformly allocated. The IP address in any branch network of the entire organization is different from the IP address in other branch networks, which makes all belong to The internal terminals of each of the agency's branch network "converge" into an overall network.
  • the embodiment of the present invention provides a method and an apparatus for sharing private network address allocation information, which can solve the problem that a private network SSL VPN device resolves private network addresses of other private networks.
  • a method for sharing private network address allocation information includes: receiving, by using an SSL tunnel, address allocation information of another private network; storing the address allocation information, where the address allocation information is used to receive data The packet determines whether the destination address of the data packet belongs to the other private network.
  • An apparatus for sharing private network address allocation information includes: an address allocation information receiving unit, configured to receive another address allocation information of a private network through an SSL tunnel; and an address allocation information saving unit, configured to save the location
  • the address allocation information received by the address allocation information receiving unit is used to determine whether the destination address of the data packet belongs to the other private network when the data packet is received.
  • the address allocation information of another private network transmitted by the SSL VPN device in another private network is received through the SSL tunnel, and the address allocation information is saved, so that a private network SSL VPN device learns another The allocation information of a private network private address, so that when the data packet is received, it can be determined according to the address allocation information whether the destination address of the data packet belongs to the other private network, so that a private network SSL VPN device can be implemented for other Resolution of the private network address of the private network.
  • the embodiment of the invention provides a method and a system for implementing data forwarding between private networks, which can solve the problem that terminals in different private networks use private network addresses for secure communication.
  • the method for forwarding data between private networks including: establishing an SSL tunnel with another SSL VPN device of the private network; receiving, by using the SSL tunnel, address allocation information of another private network, The address allocation information is transmitted by the SSL VPN device in the other private network through the SSL tunnel; storing the address allocation information, and the address allocation information and a public network IP of the SSL VPN device transmitting the allocation information Corresponding relationship between the address and the session ID of the SSL tunnel transmitting the allocation information; forwarding the data packet whose destination address belongs to another private network to the SSL VPN device of the private network to which the destination address belongs according to the address allocation information and the corresponding relationship .
  • a system for forwarding data between private networks including two or more private networks, each of which is accessed by an SSL VPN device with a public network IP address.
  • the SSL VPN device includes: an SSL tunnel establishing unit, configured to establish an SSL tunnel with another SSL VPN device of the private network; and an address allocation information receiving unit configured to be established by the SSL tunnel establishing unit.
  • the SSL tunnel receives the address allocation information of the other private network, and the address allocation information is transmitted by the SSL VPN device in the other private network through the SSL tunnel; and the saving unit is configured to save the address allocation information receiving unit to receive Address allocation information, and a correspondence between the address allocation information and a public network IP address of the SSL VPN device transmitting the allocation information and a session ID of the SSL tunnel transmitting the allocation information; a packet forwarding unit, configured to The address allocation information and the correspondence relationship saved by the saving unit, and the destination address belongs to another private network data. Forwarded to the destination address belongs to the private network of SSL VPN appliances.
  • an SSL tunnel is established with another SSL VPN device of the private network, and address allocation information of the other private network transmitted by the SSL VPN device in another private network through the SSL tunnel is received and saved.
  • the address allocation information is such that the SSL VPN device of one private network owns the allocation information of another private network private address; by storing the address allocation information and the public network IP address and transmission of the SSL VPN device transmitting the allocation information
  • the SSL of the allocation information The correspondence between the session IDs of the tunnels, for a data packet whose source address is a private network address and whose destination address is a private IP address of another private network, and the corresponding information is queried through the address allocation information to obtain a corresponding IP address of the public network.
  • the SSL VPN device and the SSLP channel corresponding to the session ID can forward the data packet to the queried SSL VPN device, thus solving the problem that the terminal in different private networks uses the private network address for secure communication.
  • FIG. 1 is a flowchart of a method for sharing private network address allocation information according to Embodiment 1 of the present invention
  • FIG. 2 is a structural diagram of an apparatus for sharing private network address allocation information according to Embodiment 2 of the present invention
  • FIG. 4 is a flowchart of a method for forwarding data between SSL networks according to Embodiment 3
  • FIG. 4 is a flowchart of operations for forwarding data by an SSL VPN device according to Embodiment 3 of the present invention
  • FIG. 5 is a determination and session ID according to Embodiment 3 of the present invention
  • FIG. 6 is a structural diagram of each SSL VPN device in a system for implementing data forwarding between private networks according to Embodiment 4 of the present invention
  • FIG. 7 is a structural diagram of a data packet forwarding unit according to Embodiment 4 of the present invention.
  • FIG. 8 is a schematic diagram of a network according to a specific embodiment of Embodiment 5 of the present invention. detailed description
  • a method for sharing private network address allocation information includes: Step 101: A private network SSL VPN device receives another address allocation information of a private network through an SSL tunnel;
  • the address allocation information is transmitted by the SSL VPN device of another private network through the SSL tunnel.
  • Step 102 Save the address allocation information, where the address allocation information is used to determine, when the data packet is received, whether the destination address of the data packet belongs to the other private network.
  • Step 103 The correspondence between the address allocation information and the public network IP address of the SSL VPN device that transmits the address allocation information and the session ID of the SSL tunnel that transmits the address allocation information is saved.
  • the second embodiment of the present invention provides a device for sharing private network address allocation information. As shown in FIG. 2, the method includes:
  • the address allocation information receiving unit 201 the SSL VPN device for a private network receives the address allocation information of another private network through the SSL tunnel; the address allocation information is passed by the SSL VPN device in the other private network through the SSL Tunnel transmission.
  • the address allocation information holding unit 202 is configured to save the address allocation information, where the address allocation information is used to determine whether the destination address of the data packet belongs to the another private network when the SSL VPN receives the data packet.
  • the correspondence relationship holding unit 203 is configured to store the correspondence between the address allocation information and the public network IP address of the SSL VPN device that transmits the address allocation information and the session ID of the SSL tunnel that transmits the address allocation information.
  • the device can be deployed on an existing SSL VPN device, so that the SSL VPN device has the capability of other private network logical topologies, that is, the ability to resolve private network addresses of other private networks.
  • an SSL VPN device of a private network receives address allocation information of another private network transmitted by an SSL VPN device in another private network through an SSL tunnel, and saves the address allocation information, so that the private network SSL VPN device has a private network privately Address allocation information, so that when the data packet is received, it can be determined according to the address allocation information whether the destination address of the data packet belongs to the other private network, thereby realizing the privacy of a private network SSL VPN device to other private networks. Analysis of the network address.
  • a method for forwarding data between private networks includes:
  • Step 301 Establish an SSL tunnel between an SSL VPN device of a private network and an SSL VPN device of another private network;
  • the established SSL tunnel corresponds to a session ID
  • the session ID is used to uniquely identify the established SSL connection.
  • the session ID is used to determine which SSL tunnel is used when the SSL VPN device forwards data through the public network.
  • Step 302 Receive, by using the SSL tunnel, address allocation information of another private network, where the address allocation information is transmitted by the SSL VPN device in the other private network through the SSL tunnel.
  • the step of requesting another private network address allocation information through the SSL tunnel is further included.
  • Step 303 The address allocation information is saved, and the address allocation information is associated with a public network IP address of an SSL VPN device that transmits the allocation information and a session ID of an SSL tunnel that transmits the allocation information.
  • Step 304 Forward, according to the address allocation information and the corresponding relationship, the data packet whose destination address belongs to another private network to the SSL VPN device of the private network to which the destination address belongs.
  • this step specifically includes:
  • Step 401 Receive an IP data packet whose destination address is another private network terminal.
  • Step 402 Determine address allocation information corresponding to another private network according to the network segment to which the destination address of the IP data packet belongs.
  • the SSL VNP device of the private network After receiving the IP data packet, the SSL VNP device of the private network judges the network segment to which the destination address belongs, and determines the address allocation information corresponding to the private network to which the IP data packet should be sent.
  • Step 403 Query the corresponding relationship according to the address allocation information, determine an SSL VPN device that transmits the address allocation information corresponding to the public network IP address, and an SSL tunnel corresponding to the session ID.
  • the method specifically includes: Step 501: Query the status of the SSL tunnel according to the session ID.
  • Step 502 Determine whether the SSL tunnel is invalid.
  • Step 503 If an SSL tunnel is available, determine that the SSL tunnel is an SSL tunnel corresponding to the session ID.
  • Step 504 if the SSL tunnel fails, requesting to restore the SSL tunnel to the determined SSL VPN device according to the session ID.
  • Step 505 Determine whether the SSL tunnel is successfully restored.
  • Step 506 If the recovery is successful, determine that the restored SSL tunnel is an SSL tunnel corresponding to the session ID.
  • Step 507 if the recovery fails, the SSL VPN device of the private network requests the determined SSL VPN device to establish a new tunnel, and uniquely identifies the newly established SSL tunnel with a new session ID, and replaces the saved session ID by the new one.
  • the session ID determines the newly established SSL tunnel.
  • IP packets need to be encapsulated and decapsulated to ensure data transmission security.
  • This process specifically includes: Authenticating users and servers to ensure that data is sent to the correct client and server; encrypting data to prevent data from being stolen in the middle; maintaining data integrity and ensuring that data is not altered during transmission.
  • the IP packet After the SSL VPN device on the private network to which the destination address belongs receives the data packet forwarded by the SSL VPN device of the other private network through the SSL tunnel, the IP packet is decapsulated.
  • the network segment to which the destination address of the IP packet belongs is determined. Whether the network segment of the private network belongs to the same network segment. If yes, re-encapsulate the Layer 2 header of the IP data packet and forward the data packet to the destination address in the internal network. If not, the SSL VPN device of the private network is further encapsulated. Find the address allocation information and corresponding relationship of the saved private network, and forward the data packet whose destination address belongs to another private network to the SSL VPN device of the private network to which the destination address belongs.
  • the address of the source terminal is used as the destination address
  • the destination address is used as the source address
  • the data forwarding process is the same as step 304.
  • step 304 For the case where there are multiple private networks and multiple SSL VPN devices, the steps for the terminals in each of the two private networks to communicate using the private network address are the same as step 304.
  • the core of the method for forwarding data between the private networks provided by the third embodiment of the present invention is as shown in FIG. 6.
  • the fourth embodiment of the present invention provides a system for implementing data forwarding between private networks, including two. Or two or more private networks, each of which is connected to the public network by using an SSL VPN device that is assigned a public network IP address, where each SSL VPN device includes:
  • An SSL tunnel establishing unit 601 is configured to establish an SSL tunnel with another SSL VPN device of the private network.
  • the SSL tunnel corresponds to a session ID, and the session ID is used to uniquely identify the established SSL connection.
  • the session ID is used to determine which SSL tunnel to use when the SSL VPN device forwards data through the public network.
  • the address allocation information receiving unit 602 is configured to receive, by using the SSL tunnel, address allocation information of another private network, where the address allocation information is transmitted by the SSL VPN device in the other private network through the SSL tunnel.
  • the saving unit 603 is configured to save the address allocation information, and the correspondence between the address allocation information and the public network IP address of the SSL VPN device that transmits the allocation information and the session ID of the SSL tunnel that transmits the allocation information.
  • the packet forwarding unit 604 is configured to forward, according to the address allocation information and the corresponding relationship, a data packet whose destination address belongs to another private network to an SSL VPN device of a private network to which the destination address belongs.
  • the packet forwarding unit 604 specifically includes:
  • a data packet receiving module 701, configured to receive an IP data packet whose destination address is another private network terminal;
  • the address allocation information determining module 702 is configured to determine, according to the network segment to which the destination address of the IP data packet belongs, address allocation information corresponding to another private network;
  • the correspondence determining module 703 is configured to query the correspondence according to the address allocation information, determine an SSL VPN device that transmits the address allocation information corresponding to the public network IP address, and an SSL tunnel corresponding to the session ID.
  • the correspondence determining module 703 specifically includes:
  • the SSL VPN device determining sub-module 7032 is configured to query the corresponding relationship according to the address allocation information, and determine an SSL VPN device that transmits the address allocation information corresponding to the public network IP address;
  • the SSL tunnel determination sub-module 7034 is configured to query the corresponding relationship according to the address allocation information, and determine an SSL tunnel corresponding to the session ID.
  • the sub-module 7034 first queries the status of the SSL tunnel according to the session ID. If the SSL tunnel is available, Determining that the SSL tunnel is an SSL tunnel corresponding to the session ID. If the SSL tunnel is invalid, requesting to restore the SSL tunnel to the determined SSL VPN device according to the session ID, determining that the restored SSL tunnel is an SSL tunnel corresponding to the session ID. If the recovery fails, the SSL VPN device of the private network goes to the determined SSL VPN device. Request to establish a new tunnel, and uniquely identify the newly established SSL tunnel with a new session ID, replace the saved session ID, and determine the newly established SSL tunnel by the new session ID.
  • the SSL tunnel determination sub-module 7034 can ensure that the query obtains a valid SSL tunnel, and then encapsulates the IP data packet, and then forwards the SSL tunnel determined by the above steps to the SSL VPN device to implement data forwarding between the SSL VPN devices. .
  • the data packet sending module 704 is configured to encapsulate the IP data packet and send the data to the SSL VPN device through the SSL tunnel.
  • an SSL tunnel is established with another private network SSL VPN device to receive address allocation information of another private network, and the address allocation information is saved, so that a private network SSL VPN device has another private The allocation information of the private address of the network; by using the private network address for storing the address allocation information and the public network IP address of the SSL VPN device transmitting the distribution information and the session ID of the SSL tunnel transmitting the allocation information
  • the data packet sent to the other private network terminal is used to query the corresponding relationship by using the address allocation information, and the SSL VPN device corresponding to the public network IP address and the SSL tunnel corresponding to the session ID are obtained, so that the data packet can be forwarded to The SSL VPN device is queried, which solves the problem that terminals in different private networks use private network addresses for secure communication.
  • FIG. 8 is a schematic diagram of a network for implementing communication between private networks according to Embodiment 5 of the present invention:
  • the private network address of 10.0.0.0.0/8 is used internally in the entire organization network, and the private network address is uniformly allocated, including three branch office networks: A branch office network (referred to as A network), and the assigned IP address segment is 10.1.0.0/16; B branch office network (referred to as B network), the assigned IP address segment is 10.2.0.0/16; C branch office network (referred to as C network), the allocated address segment is 10.3.0.0/16.
  • An SSL VPN device is deployed on each branch network and the edge of the public network. The device has a public IP address that can be routed on the public network: an SSL VPN device (referred to as A device) in the A network, and the public network IP address is 20.1.1.10.
  • SSL VPN device (referred to as B device) in the B network, public network IP address The IP address of the public network is 40.1.1.10, and the SSL VPN device (referred to as C device) in the C network. An SSL tunnel is established between each SSL VPN device to transmit communication data between branch network.
  • a terminal For a terminal with IP address 10.1.0.2/16 in the A network (referred to as A terminal), it needs to communicate with a terminal (referred to as B terminal) with IP address 10.2.0.2/16 in the B network. The following communication steps are required. :
  • the SSL VPN device (A device) in the A network and the SSL VPN device (B device) in the B network establish an SSL site-to-site tunnel, and the tunnel uniquely corresponds to a session ID;
  • the A device receives the address allocation information of the B network sent by the B device through the SSL tunnel, that is, 10.2.0.0/16, and the A device records the address allocation information, and the source address of the transmission information (ie, the device of the B device)
  • the network IP address 30.1.1.10) and the session ID of the SSL tunnel that transmits the information are bound, and the correspondence between the address allocation information of the B network and the public network IP address and session ID of the B device is saved;
  • the device B receives the address allocation information of the A network sent by the A device through the SSL tunnel, that is, 10.1.0.0/16, and the B device records the address allocation information, and the source address of the transmission information (ie, the device A)
  • the network IP address 20.1.1.10) and the session ID of the SSL tunnel that transmits the information are bound, and the correspondence between the address allocation information of the A network and the public network IP address and session ID of the A device is saved. Step 2 and step 3 can be simultaneously performed. get on.
  • the A terminal communicates with the B terminal, and the A terminal sends an IP data packet whose destination address is the B terminal address ( 10.2.0.2/16 ) and the source address is the A terminal address ( 10.1.0.2/16 ). Since the destination address does not belong to the A network, the data packet is sent to the A device.
  • the A device After the A device obtains the IP data packet, it determines that the destination address is 10.2.0.2/16 and the destination address belongs to the network segment 10.2.0.0/16. By querying the corresponding relationship saved in step 2, it is known that the network segment corresponds to the public network IP address.
  • the B device with the address of 30.1.1.10 determines the SSL tunnel that the A device communicates with the B device according to the session ID in the saved correspondence. Therefore, the A device encapsulates the IP data packet as a load, and then passes the A device and the B device.
  • the SSL tunnel between the devices is transmitted to the B device; In the SSL tunnel that determines that the A device communicates with the B device according to the session ID in the saved correspondence, the state of the SSL tunnel is first queried according to the session ID.
  • the SSL tunnel is determined; if the SSL tunnel fails, Requesting to restore the SSL tunnel to the B device according to the session ID; if the recovery fails, the A device requests the B device to establish a new tunnel, and uniquely identifies the newly established SSL tunnel with a new session ID, and replaces the saved session ID with the new one.
  • the session ID determines the newly established SSL tunnel.
  • the B device receives the data packet transmitted by the A device from the SSL connection, decapsulates the IP data packet, and determines that the network segment to which the destination address 20.1.0.2 belongs belongs to the same network segment as the network segment of the branch device to which the device is connected. Re-encapsulating the Layer 2 header of the IP data packet and forwarding the data packet to the intranet;
  • the data packet of the B terminal responding to the A terminal is the address of the A terminal ( 10.1.0.2 ), and the address of the B terminal ( 10.2.0.2 ) is the source address. Therefore, the transmission process of the response packet and the above step 4 5, 6 is similar.
  • the communication steps between the A network and the C network, the B network, and the terminals in the C network are also consistent with the above steps. It can be understood that the foregoing provides a method and apparatus for sharing private network address allocation information and a method and system for implementing data forwarding between private networks, which can be widely applied to be geographically or logically isolated.
  • the network of multiple branch offices the network of each branch office uses the uniformly assigned private network address to be interconnected through the public network, so that each branch internal terminal can use the assigned private network address to interact with other branches.
  • the terminals in the network perform secure and convenient communication.
  • the storage medium may be a magnetic disk, an optical disk, a read only memory (ROM), or a random access memory (RAM).
  • Each functional unit in the embodiment of the present invention may be integrated into one processing module, or each unit may exist physically separately, or two or more units may be integrated into one module.
  • the integrated modules can be implemented either in hardware or in software.
  • the integrated modules, if implemented in the form of software functional modules and sold or used as separate products, may also be stored in a computer readable storage medium.
  • the above-mentioned storage medium may be a read only memory, a magnetic disk or an optical disk or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

实现私网之间转发数据的方法和系统 本申请要求了 2008年 4月 30日提交的、 申请号为 200810094439.X、 发 明名称为 "实现私网之间转发数据的方法和系统" 的中国申请的优先权， 其 全部内容通过引用结合在本申请中。 技术领域
本发明涉及通信技术领域， 具体而言是涉及一种共享私网地址分配信息 的方法和装置以及实现私网之间转发数据的方法和系统。 背景技术
在全球化的商业环境中， 一个大型的跨国企业可能在全世界都有其子公 司或是分支机构， 如何安全快速的远程访问企业内部资源具有重要意义。 基 于安全套接层（ Secure Socket Layer, SSL)技术的虚拟专用网 （ Virtual Private Network, VPN )可通过 SSL来保证用户远程接入网络的安全性， 以达到像专 用网络一样的数据的安全传输。 SSL VPN技术帮助用户通过标准的 Web浏览 器就可以访问重要的企业应用， 使得部门员工出差时不必再携带自己的笔记 本电脑， 仅仅通过一台接入了 Internet的计算机就能访问企业资源， 这为企业 提高效率带来了方便， 同时也可以很好的解决安全性问题。
目前很多机构通过公共网络（例如互联网）， 使用 SSL VPN设备连接地 理或逻辑上分离的分支机构网络， SSL VPN设备部署在分支机构网络与公共 网络边缘， SSL VPN设备具有可以在公网路由的公网 IP地址， 每个分支机构 网络使用私网地址， 所有私网地址统一分配， 则整个机构的任一分支网络中 的 IP地址与其它分支网络中的 IP地址是不相同的，这使得所有属于该机构的 每个分支机构网络的内部终端 "融合" 成为一个总体的网络。
对于这样的机构网络， 要实现各分支机构私网之间的通信， 即要实现分 支机构内部终端使用分配的私网地址与其他分支机构网络内部的终端之间转 发数据 , 由于当前每个分支机构的 SSL VPN设备无法解析其他分支机构网络 的私网地址， 因此无法将待转发的数据封装到相应的 SSL隧道， 发送至目的 地址为其他分支机构网络的 SSL VPN设备。 要传输私网之间的通信数据， 当 前采用的方案是向运营商租用专用线路， 即专用网 （ Private Network )。 由于 专用网仅供租用者使用， 因此数据的安全和网络带宽可以得到充分的保证。
但是在实现本发明的过程中， 发明人发现现有技术中至少存在如下问题： 专用网的部署比较复杂， 对现有网络设备和结构的改动较大， 因而不能成为 一个实用的解决方案。 发明内容
一方面， 本发明实施例提供了一种共享私网地址分配信息的方法和装置， 能够解决一个私网的 SSL VPN设备对其他私网的私网地址进行解析的问题。
本发明实施例提供的一种共享私网地址分配信息的方法， 包括： 通过 SSL隧道接收另外一个私网的地址分配信息； 保存所述地址分配信 息， 所述地址分配信息用于在接收到数据包时判断所述数据包的目的地址是 否属于所述另外一个私网。
本发明实施例提供的一种共享私网地址分配信息的装置， 包括： 地址分配信息接收单元，用于通过 SSL隧道接收另外一个私网的地址分配 信息； 地址分配信息保存单元， 用于保存所述地址分配信息接收单元接收的 地址分配信息， 所述地址分配信息用于在接收到数据包时判断所述数据包的 目的地址是否属于所述另外一个私网。
由以上技术方案可知，通过 SSL隧道接收由另外一个私网中的 SSL VPN设 备传输的另外一个私网的地址分配信息， 并保存所述地址分配信息， 使得一 个私网的 SSL VPN设备获知了另外一个私网私有地址的分配信息， 这样在接 收到数据包时能够根据该地址分配信息判断该数据包的目的地址是否属于所 述另外一个私网 , 因此能够实现一个私网的 SSL VPN设备对其他私网的私网 地址的解析。 另一方面， 本发明实施例提供了一种实现私网之间转发数据的方法和系 统， 能够解决不同私网内的终端使用私网地址进行安全通信的问题。
本发明实施例提供的一种实现私网之间转发数据的方法， 包括： 与另外一个私网的 SSL VPN设备之间建立 SSL隧道； 通过所述 SSL隧道接 收另外一个私网的地址分配信息， 所述地址分配信息由所述另外一个私网中 的 SSL VPN设备通过所述 SSL隧道传输； 保存所述地址分配信息， 以及所述地 址分配信息与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输该分配 信息的 SSL隧道的会话 ID的对应关系；根据所述地址分配信息及所述对应关系 将目的地址属于另外一个私网的数据包转发至目的地址所属私网的 SSL VPN 设备。
本发明实施例提供的一种实现私网之间转发数据的系统， 包括两个或两 个以上私网 ,所述每个私网分别通过分配有公网 IP地址的 SSL VPN设备接入到 公网， 所述每个 SSL VPN设备包括： SSL隧道建立单元， 用于与另外一个私网 的 SSL VPN设备之间建立 SSL隧道；地址分配信息接收单元，用于通过所述 SSL 隧道建立单元建立的 SSL隧道接收另外一个私网的地址分配信息，所述地址分 配信息由所述另外一个私网中的 SSL VPN设备通过所述 SSL隧道传输；保存单 元， 用于保存所述地址分配信息接收单元接收的地址分配信息， 以及所述地 址分配信息与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输该分配 信息的 SSL隧道的会话 ID的对应关系； 数据包转发单元， 用于根据所述保存单 元保存的所述地址分配信息及所述对应关系， 将目的地址属于另外一个私网 的数据包转发至目的地址所属私网的 SSL VPN设备。
由以上技术方案可知， 通过与另外一个私网的 SSL VPN设备建立 SSL隧 道，接收另外一个私网中的 SSL VPN设备通过所述 SSL隧道传输的所述另外一 个私网的地址分配信息，并保存所述地址分配信息，使得一个私网的 SSL VPN 设备拥有了另外一个私网私有地址的分配信息； 通过保存所述地址分配信息 与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输该分配信息的 SSL 隧道的会话 ID的对应关系， 对于一个源地址为私网地址， 目的地址为另一个 私网的私有 IP地址的数据包，通过所述地址分配信息查询该对应关系，得到与 公网 IP地址对应的 SSL VPN设备以及与会话 ID对应的 SSLP遂道，从而能够将该 数据包转发至查询到的 SSL VPN设备， 因此解决了不同私网内的终端使用私 网地址进行安全通信的问题。 附图说明
为了更清楚地说明本发明实施例的技术方案， 下面将对实施例中所需要 使用的附图作一简单地介绍， 显而易见地， 下面描述中的附图仅仅是本发明 的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前 提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例一提供的共享私网地址分配信息的方法的流程图； 图 2为本发明实施例二提供的共享私网地址分配信息的装置的结构图； 图 3为本发明实施例三提供的实现私网之间转发数据的方法的流程图； 图 4为本发明实施例三中由 SSL VPN设备转发数据操作的流程图； 图 5为本发明实施例三中确定与会话 ID对应的 SSL隧道操作的流程图； 图 6为本发明实施例四提供的实现私网之间转发数据的系统中每个 SSL VPN设备的结构图；
图 7为本发明实施例四中数据包转发单元的结构图；
图 8为本发明实施例五提供的一个具体实施例的网络示意图。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有做 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
实施例一 参见图 1 , 本发明实施例一提供的共享私网地址分配信息的方法， 包括： 步骤 101 , —个私网的 SSL VPN设备通过 SSL隧道接收另外一个私网的 地址分配信息；
所述地址分配信息由另外一个私网的 SSL VPN设备通过所述 SSL隧道传 输。
步骤 102,保存所述地址分配信息， 所述地址分配信息用于在接收到数据 包时判断所述数据包的目的地址是否属于所述另外一个私网。
步骤 103 , 保存所述地址分配信息与传输该地址分配信息的 SSL VPN设 备的公网 IP地址及与传输该地址分配信息的 SSL隧道的会话 ID的对应关系。
实施例二
在本发明实施例一提供的方法基础上， 本发明实施例二提供了一种共享 私网地址分配信息的装置， 如图 2所示， 包括：
地址分配信息接收单元 201 , 用于一个私网的 SSL VPN设备通过 SSL隧 道接收另外一个私网的地址分配信息； 所述地址分配信息由所述另外一个私 网中的 SSL VPN设备通过所述 SSL隧道传输。
地址分配信息保存单元 202, 用于保存所述地址分配信息， 所述地址分配 信息用于在该 SSL VPN接收到数据包时判断所述数据包的目的地址是否属于 所述另外一个私网。
对应关系保存单元 203 ,用于保存所述地址分配信息与传输该地址分配信 息的 SSL VPN设备的公网 IP地址及与传输该地址分配信息的 SSL隧道的会 话 ID的对应关系。
所述装置可以部署在现有的 SSL VPN设备上，使得 SSL VPN设备拥有其 它私网逻辑拓朴的能力， 即拥有可以解析其它私网的私网地址的能力。
由以上实施例可知，一个私网的 SSL VPN设备通过 SSL隧道接收由另外 一个私网中的 SSL VPN设备传输的另外一个私网的地址分配信息， 并保存所 述地址分配信息， 使得该私网的 SSL VPN设备拥有了另外一个私网的私有地 址分配信息， 这样在接收到数据包时就能够根据该地址分配信息判断该数据 包的目的地址是否属于所述另外一个私网， 因此实现了一个私网的 SSL VPN 设备对其他私网的私网地址的解析。
实施例三
如图 3 所示， 本发明实施例三提供的实现私网之间转发数据的方法， 包 括：
步骤 301 , —个私网的 SSL VPN设备与另外一个私网的 SSL VPN设备之 间建立 SSL隧道；
在本步骤中， 建立的 SSL隧道对应一个会话 ID, 所述会话 ID用于唯一 标识建立的 SSL连接。 在 SSL VPN设备可能存在多个 SSL连接、 建立多个 SSL隧道的情况下， 会话 ID用以确定 SSL VPN设备间通过公网转发数据时 使用哪个 SSL隧道传输。
步骤 302, 通过所述 SSL隧道接收另外一个私网的地址分配信息， 所述 地址分配信息由所述另外一个私网中的 SSL VPN设备通过所述 SSL隧道传 输；
在本步骤中， 还包括通过所述 SSL隧道请求另外一个私网的地址分配信 息的步骤。
步骤 303 ,保存所述地址分配信息， 以及所述地址分配信息与传输该分配 信息的 SSL VPN设备的公网 IP地址的及与传输该分配信息的 SSL隧道的会 话 ID对应关系。
步骤 304,根据所述地址分配信息及所述对应关系， 将目的地址属于另外 一个私网的数据包转发至目的地址所属私网的 SSL VPN设备。
如图 4所示， 本步骤具体包括：
步骤 401 , 接收目的地址为另外一个私网终端的 IP数据包。
由于目的地址为另外一个私网终端， 因此该 IP数据包将首先发往本私网 的 SSL VPN设备。 步骤 402, 根据该 IP数据包的目的地址所属网段确定另外一个私网对应 的地址分配信息。
本私网的 SSL VNP设备在接收到该 IP数据包后，对目的地址所属的网段 进行判断， 从而确定该 IP数据包应发往的私网对应的地址分配信息。
步骤 403 , 根据所述地址分配信息查询所述对应关系， 确定与公网 IP地 址对应的传输该地址分配信息的 SSL VPN设备， 以及与会话 ID对应的 SSL 隧道。
通过查询对应关系中， 所述地址分配信息与传输该地址分配信息的 SSL VPN设备的公网 IP地址的对应关系及所述地址分配信息与传输该地址分配信 息的 SSL隧道的会话 ID的对应关系，确定该 IP数据包要发往的 SSL VPN设 备及要通过的 SSL隧道。
在确定与会话 ID对应的 SSL隧道步骤中， 如图 5所示， 具体包括： 步骤 501 , 根据会话 ID查询 SSL隧道的状态；
步骤 502, 判断 SSL隧道是否失效？
步骤 503 , 如果 SSL隧道可用， 则确定该 SSL隧道为与会话 ID对应的 SSL隧道；
步骤 504, 如果 SSL隧道失效， 则根据会话 ID向所述确定的 SSL VPN 设备请求恢复该 SSL隧道；
步骤 505, 判断 SSL隧道是否恢复成功？
步骤 506,如果恢复成功，确定该恢复的 SSL隧道为与会话 ID对应的 SSL 隧道；
步骤 507,如果恢复失败，则由本私网的 SSL VPN设备向所述确定的 SSL VPN设备请求建立新隧道， 并用一个新的会话 ID唯一标识新建立的 SSL隧 道， 替换保存的会话 ID, 由新的会话 ID确定新建立的 SSL隧道。
通过以上步骤， 能够确保查询得到一条有效的 SSL隧道， 然后封装所述 IP数据包后通过以上步骤确定的所述 SSL隧道转发至所述 SSL VPN设备，实 现 S SL VPN设备之间的数据转发。
SSL VPN设备之间通过在公网中建立 SSL隧道进行数据传输时， 为保证 数据传输的安全性，需要对 IP数据包进行封装和解封装。这个过程具体包括： 认证用户和服务器， 以确保数据发送到正确的客户机和服务器； 加密数据以 防止数据中途被窃取； 维护数据的完整性， 确保数据在传输过程中不被改变。
在目的地址所属私网的 SSL VPN设备通过 SSL隧道接收到由其他私网的 SSL VPN设备转发的数据包后， 解封装得到 IP数据包； 判断该 IP数据包的 目的地址所属的网段与本私网的网段是否属于同一网段， 如果是， 则重新封 装该 IP数据包二层报头后向内网中的该目的地址转发该数据包； 如果否， 则 再由本私网的 SSL VPN设备查找保存的其他私网的地址分配信息及对应关 系，并将目的地址属于另外一个私网的数据包转发至目的地址所属私网的 SSL VPN设备。
对于目的地址终端响应源地址终端的数据包， 则以源终端的地址为目的 地址， 本目的地址作为源地址， 其数据转发过程同于步骤 304。
对于存在多个私网和多个 SSL VPN设备的情况， 每两个私网内的终端使 用私网地址进行通信的步骤都同于步骤 304。
实施例四
在本发明实施例三提供的实现私网之间转发数据的方法的基石出上，如图 6 所示， 本发明实施例四提供了一种实现私网之间转发数据的系统， 包括两个 或两个以上私网，所述每个私网分别通过分配有公网 IP地址的 SSL VPN设备 接入到公网， 所述每个 SSL VPN设备包括：
SSL隧道建立单元 601 , 用于与另外一个私网的 SSL VPN设备之间建立 SSL隧道；
所述 SSL隧道对应一个会话 ID,会话 ID用于唯一标识建立的 SSL连接。 在 SSL VPN设备可能存在多个 SSL连接、建立多个 SSL隧道的情况下，会话 ID用以确定 SSL VPN设备间通过公网转发数据时使用哪个 SSL隧道传输。 地址分配信息接收单元 602, 用于通过所述 SSL隧道接收另外一个私网 的地址分配信息， 所述地址分配信息由所述另外一个私网中的 SSL VPN设备 通过所述 SSL隧道传输。
保存单元 603 , 用于保存所述地址分配信息， 以及所述地址分配信息与传 输该分配信息的 SSL VPN设备的公网 IP地址及与传输该分配信息的 SSL隧 道的会话 ID的对应关系。
数据包转发单元 604, 用于根据所述地址分配信息及所述对应关系， 将目 的地址属于另外一个私网的数据包转发至目的地址所属私网的 SSL VPN设 备。
其中， 如图 7所示， 所述数据包转发单元 604具体包括：
数据包接收模块 701 , 用于接收目的地址为另外一个私网终端的 IP数据 包；
地址分配信息确定模块 702, 用于根据该 IP数据包的目的地址所属网段 确定另外一个私网对应的地址分配信息；
对应关系确定模块 703 , 用于根据所述地址分配信息查询所述对应关系， 确定与公网 IP地址对应的传输该地址分配信息的 SSL VPN设备，以及与会话 ID对应的 SSL隧道。
所述对应关系确定模块 703 , 具体包括：
SSL VPN设备确定子模块 7032, 用于根据所述地址分配信息查询所述对 应关系， 确定与公网 IP地址对应的传输该地址分配信息的 SSL VPN设备；
SSL隧道确定子模块 7034, 用于根据所述地址分配信息查询所述对应关 系， 确定与会话 ID对应的 SSL隧道， 该子模块 7034首先根据会话 ID查询 SSL隧道的状态， 如果 SSL隧道可用， 则确定该 SSL隧道为与会话 ID对应 的 SSL隧道； 如果 SSL隧道失效， 则根据会话 ID向所述确定的 SSL VPN设 备请求恢复该 SSL隧道， 确定该恢复的 SSL隧道为与会话 ID对应的 SSL隧 道； 如果恢复失败， 则由本私网的 SSL VPN设备向所述确定的 SSL VPN设备 请求建立新隧道， 并用一个新的会话 ID唯一标识新建立的 SSL隧道， 替换保 存的会话 ID, 由新的会话 ID确定新建立的 SSL隧道。
SSL隧道确定子模块 7034能够确保查询得到一条有效的 SSL隧道，然后 封装所述 IP数据包后通过以上步骤确定的所述 SSL隧道转发至所述 SSL VPN 设备， 实现 SSL VPN设备之间的数据转发。
数据包发送模块 704, 用于封装所述 IP数据包后通过所述 SSL隧道发送 至所述 SSL VPN设备。
由以上技术方案可知，通过与另外一个私网的 SSL VPN设备建立 SSL隧 道接收另外一个私网的地址分配信息， 并保存所述地址分配信息， 使得一个 私网的 SSL VPN设备拥有了另外一个私网私有地址的分配信息； 通过保存所 述地址分配信息与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输该 分配信息的 SSL隧道的会话 ID的对应关系，对于一个使用私网地址发往另外 一个私网终端的数据包， 通过所述地址分配信息查询该对应关系， 得到与公 网 IP地址对应的 SSL VPN设备以及与会话 ID对应的 SSL隧道， 从而能够将 该数据包转发至查询到的 SSL VPN设备， 从而解决了不同私网内的终端使用 私网地址进行安全通信的问题。
实施例五
下面以一个具体的实施例对本发明的技术方案进行说明， 如图 8 所示， 为本发明实施例五提供的一种实现私网之间通信的网络示意图：
在本实施例中， 整个机构网络内部使用 10.0.0.0/8的私网地址， 私网地址 统一分配 , 包括三个分支机构网络： A分支机构网络（简称 A网络）， 分配的 IP地址段为 10.1.0.0/16; B分支机构网络（简称 B网络 ), 分配的 IP地址段为 10.2.0.0/16; C分支机构网络 (简称 C网络）, 分配的地址段为 10.3.0.0/16。 各个分支机构网络与公共网络的边缘分别部署 SSL VPN设备， 设备具有可以 在公网路由的公网 IP地址： A网络中的 SSL VPN设备（简称 A设备）， 公网 IP地址为 20.1.1.10; B网络中的 SSL VPN设备 (简称 B设备）， 公网 IP地址 为 30.1.1.10; 和 C网络中的 SSL VPN设备（简称 C设备）， 公网 IP地址为 40.1.1.10。 各 SSL VPN设备之间建立 SSL隧道， 用于传输分支机构网络之间 的通信数据。
对于 A网络中一台 IP地址为 10.1.0.2/16的终端（简称 A终端 )需要和 B 网络中一台 IP地址为 10.2.0.2/16的终端 (简称 B终端 )通信， 需要经过以下 通信步骤：
1、 A网络中的 SSL VPN设备（ A设备）和 B网络中的 SSL VPN设备（B 设备）建立 SSL的点对点 （site-to-site ) 隧道， 并且该隧道唯一对应一个会话 ID;
2、 A设备通过 SSL隧道接收 B设备发送的 B网络的地址分配信息， 即 10.2.0.0/16, A设备记录该地址分配信息，并与该传输该分配信息的源地址（即 B设备的公网 IP地址 30.1.1.10 )以及传输该信息的 SSL隧道的会话 ID绑定， 保存 B网络的地址分配信息与 B设备的公网 IP地址及会话 ID的对应关系；
3、 B设备通过 SSL隧道接收 A设备发送的 A网络的地址分配信息， 即 10.1.0.0/16, B设备记录该地址分配信息，并与该传输该分配信息的源地址（即 A设备的公网 IP地址 20.1.1.10 )以及传输该信息的 SSL隧道的会话 ID绑定， 保存 A网络的地址分配信息与 A设备的公网 IP地址及会话 ID的对应关系； 其中步骤 2与步骤 3可以同时进行。
4、 A终端与 B终端通信， 由 A终端发出一个目的地址为 B终端地址 ( 10.2.0.2/16 )、 源地址为 A终端地址 ( 10.1.0.2/16 ) 的 IP数据包。 由于目的 地址不属于 A网络， 因此， 该数据包会发往 A设备；
5、 A设备得到该 IP数据包后，判断目的地址 10.2.0.2/16发现该目的地址 属于 10.2.0.0/16网段， 通过查询步骤 2保存的对应关系， 得知该网段对应公 网 IP地址为 30.1.1.10的 B设备， 并根据保存的对应关系中的会话 ID确定 A 设备与 B设备进行通信的 SSL隧道， 因此 A设备将该 IP数据包作为负载进 行封装后， 通过 A设备和 B设备之间的 SSL隧道传输至 B设备； 在根据保存的对应关系中的会话 ID确定 A设备与 B设备进行通信的 SSL 隧道中， 首先根据会话 ID查询 SSL隧道的状态， 如果 SSL隧道可用， 则确 定该 SSL隧道；如果 SSL隧道失效，则根据会话 ID向 B设备请求恢复该 SSL 隧道； 如果恢复失败， 则由 A设备向 B设备请求建立新隧道， 并用一个新的 会话 ID唯一标识新建立的 SSL隧道， 替换保存的会话 ID, 由新的会话 ID确 定新建立的 SSL隧道。
6、 B设备从 SSL连接中接收 A设备传输的数据包， 解封装得到 IP数据 包，判断目的地址 20.1.0.2所属的网段与本设备所连接的分支机构的网段属于 同一网段， 则重新封装该 IP数据包的二层报头后向内网转发数据包；
7、 B终端响应 A终端的数据包是以 A终端的地址（ 10.1.0.2 )为目的地 址， B 终端的地址（10.2.0.2 ) 为源地址， 因此响应数据包的传输过程与上述 步骤 4、 5、 6类似。
另外 A网和 C网、 B网和 C网内终端之间的通信步骤也和上述步骤一致。 可以理解的是， 以上对本发明所提供的一种共享私网地址分配信息的方 法和装置以及实现私网之间转发数据的方法和系统进行了详细介绍， 可广泛 应用在由地理或逻辑上隔离的多个分支机构网络组成、 各个分支机构的网络 使用统一分配的私网地址通过公共网络互连的整个机构网络中， 使得每个分 支机构内部终端使用分配的私网地址即可与其它分支机构网络内的终端进行 安全方便的通信。
最后需要说明的是， 本领域普通技术人员可以理解实现上述实施例方法 中的全部或部分流程， 是可以通过计算机程序来指令相关的硬件来完成， 所 述的程序可存储于一计算机可读取存储介质中， 该程序在执行时， 可包括如 上述各方法的实施例的流程。 其中， 所述的存储介质可为磁碟、 光盘、 只读 存储记忆体 ( ROM )或随机存储记忆体 ( RAM )等。
本发明实施例中的各功能单元可以集成在一个处理模块中， 也可以是各 个单元单独物理存在， 也可以两个或两个以上单元集成在一个模块中。 上述 集成的模块既可以采用硬件的形式实现， 也可以采用软件功能模块的形式实 现。 所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售 或使用时， 也可以存储在一个计算机可读取存储介质中。 上述提到的存储介 质可以是只读存储器， 磁盘或光盘等。
上述具体实施例并不用以限制本发明， 对于本技术领域的普通技术人员 来说， 凡在不脱离本发明原理的前提下， 所作的任何修改、 等同替换、 改进 等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1、 一种共享私网地址分配信息的方法， 包括以下步骤：
通过 SSL隧道接收另外一个私网的地址分配信息；
保存所述地址分配信息， 所述地址分配信息用于在接收到数据包时判断所 述数据包的目的地址是否属于所述另外一个私网。
2、 根据权利要求 1所述的共享私网地址分配信息的方法， 其特征在于， 所 述方法还包括步骤：
保存所述地址分配信息与传输该地址分配信息的 SSL VPN设备的公网 IP地 址及与传输该地址分配信息的 SSL隧道的会话 ID的对应关系。
3、 一种共享私网地址分配信息的装置， 其特征在于， 包括：
地址分配信息接收单元， 用于通过 SSL隧道接收另外一个私网的地址分配 信息；
地址分配信息保存单元， 用于保存所述地址分配信息接收单元接收的地址 分配信息， 所述地址分配信息用于在接收到数据包时判断所述数据包的目的地 址是否属于所述另外一个私网。
4、 根据权利要求 3所述的共享私网地址分配信息的装置， 其特征在于， 所 述装置还包括：
对应关系保存单元， 用于保存所述地址分配信息与传输该地址分配信息的 SSL VPN设备的公网 IP地址及与传输该地址分配信息的 SSL隧道的会话 ID的 对应关系。
5、 一种实现私网之间转发数据的方法， 包括以下步骤：
与另外一个私网的 SSL VPN设备之间建立 SSL隧道；
通过所述 SSL隧道接收另外一个私网的地址分配信息， 所述地址分配信息 由所述另外一个私网中的 SSL VPN设备通过所述 SSL隧道传输；
保存所述地址分配信息， 以及所述地址分配信息与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输该分配信息的 SSL隧道的会话 ID的对应关系； 根据所述地址分配信息及所述对应关系将目的地址属于另外一个私网的数 据包转发至目的地址所属私网的 SSL VPN设备。
6、 根据权利要求 5所述的实现私网之间转发数据的方法， 其特征在于， 根 据所述地址分配信息及所述对应关系将目的地址属于另外一个私网的数据包转 发至目的地址所属私网的 SSL VPN设备的步骤具体为：
接收目的地址为另外一个私网终端的 IP数据包；
根据该 IP数据包的目的地址所属网段确定另外一个私网对应的地址分配信 息；
根据所述地址分配信息查询所述对应关系， 确定与公网 IP地址对应的传输 该地址分配信息的 SSL VPN设备， 以及与会话 ID对应的 SSL隧道；
通过所述确定的 SSL隧道将所述 IP数据包封装后转发至所述确定的 SSL VPN设备。
7、 根据权利要求 6所述的实现私网之间转发数据的方法， 其特征在于， 所 述确定与会话 ID对应的 SSL隧道的步骤具体为：
根据会话 ID查询 SSL隧道的状态；
如果 SSL隧道可用， 则确定该 SSL隧道为与会话 ID对应的 SSL隧道； 如果 SSL隧道失效， 则根据会话 ID向所述确定的 SSL VPN设备请求恢复 该 SSL隧道， 确定该恢复的 SSL隧道为与会话 ID对应的 SSL隧道；
如果恢复失败，则由本私网的 SSL VPN设备向所述确定的 SSL VPN设备请 求建立新隧道， 并用一个新的会话 ID唯一标识新建立的 SSL隧道，替换保存的 会话 ID, 由新的会话 ID确定新建立的 S SL隧道。
8、 一种实现私网之间转发数据的系统， 其特征在于， 包括两个或两个以上 私网 , 所述每个私网分别通过分配有公网 IP地址的 SSL VPN设备接入到公网 , 所述每个 SSL VPN设备包括：
SSL隧道建立单元， 用于与另外一个私网的 SSL VPN设备之间建立 SSL隧 道； 地址分配信息接收单元， 用于通过所述 SSL隧道建立单元建立的 SSL隧道 接收另外一个私网的地址分配信息， 所述地址分配信息由所述另外一个私网中 的 SSL VPN设备通过所述 SSL隧道传输；
保存单元， 用于保存所述地址分配信息接收单元接收的地址分配信息， 以 及所述地址分配信息与传输该分配信息的 SSL VPN设备的公网 IP地址及与传输 该分配信息的 SSL隧道的会话 ID的对应关系；
数据包转发单元， 用于根据所述保存单元保存的地址分配信息及所述对应 关系将目的地址属于另外一个私网的数据包转发至目的地址所属私网的 SSL VPN设备。
9、 根据权利要求 8所述的实现私网之间转发数据的系统， 其特征在于， 所 述数据包转发单元具体包括：
数据包接收模块， 用于接收目的地址为另外一个私网终端的 IP数据包； 地址分配信息确定模块， 用于根据该 IP数据包的目的地址所属网段确定另 外一个私网对应的地址分配信息；
对应关系确定模块， 用于根据所述地址分配信息查询所述对应关系， 确定 与公网 IP地址对应的传输该地址分配信息的 SSL VPN设备， 以及与会话 ID对 应的 SSL隧道；
数据包发送模块， 用于通过所述确定的 SSL隧道将所述 IP数据包封装后转 发至所述确定的 SSL VPN设备。
10、 根据权利要求 9所述的实现私网之间转发数据的系统， 其特征在于， 所述对应关系确定模块进一步包括：
SSL VPN设备确定子模块，用于根据所述地址分配信息查询所述对应关系， 确定与公网 IP地址对应的传输该地址分配信息的 SSL VPN设备；
SSL 隧道确定子模块， 用于根据所述地址分配信息查询所述对应关系， 确 定与会话 ID对应的 SSL隧道， 所述 SSL隧道确定子模块首先根据会话 ID查询 SSL隧道的状态， 如果 SSL隧道可用， 则确定该 SSL隧道为与会话 ID对应的 SSL隧道； 如果 SSL隧道失效， 则根据会话 ID向所述确定的 SSL VPN设备请 求恢复该 SSL隧道， 确定该恢复的 SSL隧道为与会话 ID对应的 SSL隧道； 如 果恢复失败，则由本私网的 SSL VPN设备向所述确定的 SSL VPN设备请求建立 新隧道，并用一个新的会话 ID唯一标识新建立的 SSL隧道，替换保存的会话 ID, 由新的会话 ID确定新建立的 SSL隧道。
PCT/CN2009/071586 2008-04-30 2009-04-30 实现私网之间转发数据的方法和系统 Ceased WO2009132594A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09737704.8A EP2262185B1 (en) 2008-04-30 2009-04-30 Method and system for forwarding data among private networks
US12/915,430 US8549286B2 (en) 2008-04-30 2010-10-29 Method and system for forwarding data between private networks

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810094439XA CN101572643B (zh) 2008-04-30 2008-04-30 实现私网之间转发数据的方法和系统
CN200810094439.X 2008-04-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/915,430 Continuation US8549286B2 (en) 2008-04-30 2010-10-29 Method and system for forwarding data between private networks

Publications (1)

Publication Number Publication Date
WO2009132594A1 true WO2009132594A1 (zh) 2009-11-05

Family

ID=41231882

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/071586 Ceased WO2009132594A1 (zh) 2008-04-30 2009-04-30 实现私网之间转发数据的方法和系统

Country Status (4)

Country Link
US (1) US8549286B2 (zh)
EP (1) EP2262185B1 (zh)
CN (1) CN101572643B (zh)
WO (1) WO2009132594A1 (zh)

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101572643B (zh) 2008-04-30 2011-06-22 成都市华为赛门铁克科技有限公司 实现私网之间转发数据的方法和系统
CN101778045B (zh) 2010-01-27 2012-07-04 成都市华为赛门铁克科技有限公司 报文传输方法、装置及网络系统
CN101964799B (zh) * 2010-10-21 2014-06-04 神州数码网络(北京)有限公司 点到网隧道方式下地址冲突的解决方法
US9137198B2 (en) * 2011-10-21 2015-09-15 Hewlett-Packard Development Company, L.P. Centralized configuration with dynamic distributed address management
TWI482469B (zh) * 2012-05-23 2015-04-21 Gemtek Technology Co Ltd 路由裝置
US9596271B2 (en) * 2012-10-10 2017-03-14 International Business Machines Corporation Dynamic virtual private network
CN102970229A (zh) * 2012-12-18 2013-03-13 网神信息技术（北京）股份有限公司 数据转发的方法及装置
CN103716244B (zh) * 2013-12-27 2017-02-15 杭州华三通信技术有限公司 一种实现组播跨vpn转发的方法及装置
CN105991370B (zh) * 2015-03-27 2020-01-03 杭州迪普科技股份有限公司 一种udp通道探测方法及装置
US10944590B2 (en) * 2015-12-10 2021-03-09 Nicira, Inc. Transport protocol task offload emulation to detect chunks of data for communication with a private network
US10447591B2 (en) 2016-08-30 2019-10-15 Oracle International Corporation Executing multiple virtual private network (VPN) endpoints associated with an endpoint pool address
CN108512755B (zh) * 2017-02-24 2021-03-30 华为技术有限公司 一种路由信息的学习方法及装置
CN110784390B (zh) * 2019-10-31 2021-10-15 北京天融信网络安全技术有限公司 一种ssl vpn客户端快速分配虚地址的方法、装置及网关
CN111404870B (zh) * 2019-11-13 2022-05-31 浙江中控技术股份有限公司 一种应用于Modbus实现安全可靠公网通信方法
CN110995564B (zh) * 2019-12-31 2021-11-12 北京天融信网络安全技术有限公司 一种报文传输方法、装置及安全网络系统
CN111277481B (zh) * 2020-01-09 2021-09-24 奇安信科技集团股份有限公司 一种建立vpn隧道的方法、装置、设备及存储介质
CN114697388B (zh) * 2020-12-11 2024-01-30 成都鼎桥通信技术有限公司 数据传输方法及装置
US12192351B2 (en) * 2021-11-27 2025-01-07 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification
WO2023189016A1 (ja) * 2022-03-31 2023-10-05 株式会社エヌエスアイテクス セキュア中継機器及びデータ送受信システム
US11652800B1 (en) 2022-10-03 2023-05-16 Uab 360 It Secure connections between servers in a virtual private network
CN115865471B (zh) * 2022-11-25 2025-11-21 北京天融信网络安全技术有限公司 网络通信方法、装置、电子设备和存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1838638A (zh) * 2006-03-21 2006-09-27 杭州华为三康技术有限公司 一种vpn数据转发方法及用于数据转发的vpn设备
US20080043749A1 (en) * 2006-08-21 2008-02-21 Citrix Systems, Inc. Methods for Associating an IP Address to a User Via an Appliance
CN101132420A (zh) * 2007-10-16 2008-02-27 杭州华三通信技术有限公司 一种基于ssl vpn的链接改写方法和设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7280540B2 (en) * 2001-01-09 2007-10-09 Stonesoft Oy Processing of data packets within a network element cluster
JP2004229229A (ja) 2003-01-27 2004-08-12 Canon Inc テレビジョンシステム
US7496097B2 (en) * 2003-11-11 2009-02-24 Citrix Gateways, Inc. System, apparatus and method for establishing a secured communications link to form a virtual private network at a network protocol layer other than at which packets are filtered
US7333990B1 (en) * 2004-06-22 2008-02-19 Sun Microsystems, Inc. Dynamic reverse proxy
US7848335B1 (en) * 2005-10-27 2010-12-07 Juniper Networks, Inc. Automatic connected virtual private network
US7962743B2 (en) * 2006-05-22 2011-06-14 Cisco Technology, Inc. System and method for protected spoke to spoke communication using an unprotected computer network
CN101572643B (zh) 2008-04-30 2011-06-22 成都市华为赛门铁克科技有限公司 实现私网之间转发数据的方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1838638A (zh) * 2006-03-21 2006-09-27 杭州华为三康技术有限公司 一种vpn数据转发方法及用于数据转发的vpn设备
US20080043749A1 (en) * 2006-08-21 2008-02-21 Citrix Systems, Inc. Methods for Associating an IP Address to a User Via an Appliance
CN101132420A (zh) * 2007-10-16 2008-02-27 杭州华三通信技术有限公司 一种基于ssl vpn的链接改写方法和设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2262185A4 *

Also Published As

Publication number Publication date
EP2262185A1 (en) 2010-12-15
CN101572643B (zh) 2011-06-22
US20110040968A1 (en) 2011-02-17
US8549286B2 (en) 2013-10-01
EP2262185A4 (en) 2011-11-30
EP2262185B1 (en) 2014-06-11
CN101572643A (zh) 2009-11-04

Similar Documents

Publication Publication Date Title
WO2009132594A1 (zh) 实现私网之间转发数据的方法和系统
CN107959654B (zh) 一种数据传输方法、装置及混合云系统
EP2579544B1 (en) Methods and apparatus for a scalable network with efficient link utilization
RU2533063C2 (ru) Способ установления соединения (варианты), способ передачи пакета данных и система удаленного доступа
JP4361270B2 (ja) 網フロースイッチを用いてのｖｐｎデバイスのクラスタリング
JP5167225B2 (ja) １つのファイラー上の複数の仮想ファイラーが重複するネットワークアドレスを有する複数のアドレス空間に参加することを可能にする技術
EP2569902B1 (en) Interconnecting members of a virtual network
TWI549452B (zh) 用於對虛擬私人網路之特定應用程式存取之系統及方法
US20140230044A1 (en) Method and Related Apparatus for Authenticating Access of Virtual Private Cloud
CN106790420B (zh) 一种多会话通道建立方法和系统
WO2014075312A1 (zh) 一种网络穿越服务的提供方法、装置及系统
KR101650831B1 (ko) Ｉｐ 패킷 처리 방법 및 장치, 및 네트워크 시스템
CN107948086A (zh) 一种数据包发送方法、装置及混合云网络系统
JP2019526983A (ja) ブロードバンドリモートアクセスサーバの制御プレーン機能と転送プレーン機能の分離
CN109617906B (zh) 一种混合云的接入方法及装置
CN103023898A (zh) 一种访问vpn服务端内网资源的方法及装置
WO2009143729A1 (zh) 实现dhcp用户业务批发的方法、系统和设备
US11012418B2 (en) Multi-access interface for internet protocol security
WO2008037210A1 (fr) Procédé et dispositif servant à transférer un message dans un réseau local privé virtuel
WO2009149646A1 (zh) 端口切换方法、网络设备及网络系统
WO2007141840A1 (ja) 中継ネットワークシステム及び端末アダプタ装置
JP3491828B2 (ja) 閉域網間接続システムと閉域網間接続方法およびその処理プログラムを記録した記録媒体ならびにホスティングサービスシステム
WO2012075768A1 (zh) 身份位置分离网络的监听方法和系统
CN111130978B (zh) 网络流量转发方法、装置、电子设备及机器可读存储介质
CN117834753B (zh) 一种支持WireGuard设备的端口共用和IP绑定的系统和方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09737704

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009737704

Country of ref document: EP