CN101640607B

CN101640607B - 基于因特网安全协议的虚拟专用网的配置方法及***

Info

Publication number: CN101640607B
Application number: CN2009100815660A
Authority: CN
Inventors: 刘向明; 陈建永
Original assignee: Hillstone Networks Communication Technology (Beijing) Co Ltd
Current assignee: Shanshi Network Communication Technology Co Ltd
Priority date: 2009-04-13
Filing date: 2009-04-13
Publication date: 2012-02-22
Anticipated expiration: 2029-04-13
Also published as: CN101640607A

Abstract

本发明提供了一种IPSec VPN的配置方法和***，该方法包括：在VPN中，在中心服务器上配置各分支机构的配置参数；中心服务器根据配置参数对请求接入虚拟专用网的分支机构进行认证；如果认证成功，中心服务器将配置参数发送给对应的分支机构；以及分支机构利用该配置参数进行配置。本发明实现了能够简单方便地对IPSec VPN进行配置的技术效果。

Description

基于因特网安全协议的虚拟专用网的配置方法及***

技术领域

本发明涉及网络通信领域，具体而言，涉及一种基于因特网安全协议的虚拟专用网的配置方法及***。

背景技术

虚拟专用网(Virtual Private Network，VPN)能够利用因特网(Internet)或其它公共互联网络基础设施为用户创建虚拟的逻辑网络，具有与私有网络相同的安全性、易管理性和稳定性。基于IP安全协议来创建虚拟网络的IPSec VPN是目前应用最广泛的VPN技术。

IPSec VPN的正常工作依赖于该VPN的多个分支机构通过因特网密钥交换(IKE)来协商加密算法、哈希算法、认证算法等多个配置参数，协商完成后，网络管理人员使用协商好的配置参数对每个分支机构分别进行相应配置。在配置过程中，对该多个分支机构配置的所有配置参数必须完全相同或对应，VPN才能正常工作。

在实现本发明的过程中，发明人发现，采用相关技术中的IPSecVPN的配置方法需要分别在每个分支机构上手动配置多个参数，从而导致VPN的配置过程繁琐，工作量大。

发明内容

本发明提供了一种IPSec VPN的配置方法及***，能够解决相关技术中IPSec VPN的参数配置繁琐、工作量大的技术问题。

根据本发明的一个方面，提供了一种IPSec VPN的配置方法，包括：在VPN中，在中心服务器上配置各分支机构的配置参数；中心服务器根据配置参数对请求接入虚拟专用网的分支机构进行认证；如果认证成功，中心服务器将配置参数发送给对应的分支机构；以及分支机构利用该配置参数进行配置。

根据本发明的另一个方面，提供了一种IPSec VPN的配置***，包括：中心服务器，用于存储各分支机构的配置参数，并根据该配置参数对请求接入该VPN的分支机构进行身份认证，以及在认证成功时，将配置参数发送给对应的分支机构；以及分支机构，用于接收配置参数，并根据该配置参数进行配置。

在本发明实施例中，通过中心服务器将配置参数发送给分支机构以实现分支机构的自动配置，所以克服了相关技术中网络管理人员需要手动对VPN的各分支机构进行配置从而导致IPSec VPN的配置变得繁琐的问题，进而达到了能够简单方便地对IPSec VPN进行配置的技术效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1示出了根据本发明实施例的IPSec VPN的配置方法的流程图；

图2示出了根据本发明另一实施例的IPSec VPN的配置***的方框图；以及

图3示出了根据本发明另一实施例的IPSec VPN的配置***的示意图。

具体实施方式

下面将参考附图并结合实施例，来详细说明本发明。

图1示出了根据本发明实施例的IPSec VPN的配置方法的流程图。

参照图1，根据本发明实施例的IPSec VPN的配置方法包括：

步骤S102，在VPN中，在中心服务器上配置各分支机构的配置参数；

步骤S104，中心服务器根据配置参数对请求接入该VPN的分支机构进行认证；

步骤S106，如果认证成功，中心服务器将配置参数发送给对应的分支机构；以及

步骤S108，分支机构利用该配置参数进行配置。

根据本实施例的IPSec VPN的配置方法在分支机构向中心服务器发出需要接入VPN的请求后，中心服务器根据配置在其上的该分支机构对应的配置参数对该分支机构进行身份认证，如果认证通过，则将该分支机构对应的配置参数发送给该分支机构，该分支机构根据接收到的这些配置参数进行自动配置，从而省去了相关技术中需要在分支机构手动配置与中心服务器对应的配置参数的步骤，从而解决了相关技术中VPN配置繁琐的技术问题。

例如，在网络管理人员需要改变对每个分支机构的配置或是增加分支机构的情况下，根据本实施例的IPSec VPN的配置方法只需要在中心服务器上改变该分支机构相应的配置参数或是增加与该分支机构相应的配置参数，然后中心服务器把该更新或增加的配置参数发送给对应的分支机构，就能够达到更新分支机构的配置参数或增加分支机构的目的。

另外，应用根据本实施例的IPSec VPN的配置方法以后，只需要在中心服务器端配备专业的网络管理人员来配置各分支机构的配置参数即可，而对于分支机构，由于需要配置的参数很少并且容易配置，所以不需要配备专业的网络管理人员，从而节省了人员配置，减少了工作量。

优选地，该配置参数包括：分支机构的IKE ID、DNS地址、WINS地址、DHCP地址池、网关、子网掩码、路由、以及身份认证信息。

分支机构的这些参数均可以在中心服务器上配置，当分支机构需要连接到VPN网络时，只需要向中心服务器发出接入请求，待身份认证通过就可以获得这些配置参数以进行自动配置，从而大大简化了分支机构端的配置步骤。

可选地，该配置参数也可以包括除上述配置参数以外的其它参数，例如，各分支机构的安全策略或权限。

优选地，在中心服务器上配置各分支机构的配置参数之后还包括：在中心服务器上配置IKE参数；中心服务器接收到分支机构的连接请求后，与分支机构协商IKE参数；以及分支机构按照协商的IKE参数与中心服务器建立连接。

在因特网协议中规定，需要由VPN中的双方来协商IKE参数。根据本实施例的IPSec VPN的配置方法在中心服务器中配置IKE参数，例如，第一阶段和第二阶段的加密算法和哈希算法，对于分支机构，仅需要使其配置为支持常用的每种第一阶段和第二阶段算法，而不需要在分支机构配置具体的IKE协商参数。

在双方进行IKE协商的第一阶段，双方互相传递特殊的VendorID payload，以表示对根据本实施例的IPSec VPN的配置方法的支持。由于中心服务器仅支持配置的IKE参数所包含的加密算法和哈希算法，例如AES或SHA中的一种以及3DES或MD5中的一种，而分支机构支持广泛的第一阶段和第二阶段算法(即，同时支持AES、SHA、3DES和MD5)，所以协商结果取决于中心服务器的IKE参数中所包含的算法。这样可以省去相关技术中需要在分支机构上配置与中心服务器上相同的IKE参数的步骤。

优选地，该身份认证信息是预共享密钥。则连接请求包括分支机构的用户名和密码，中心服务器对分支机构进行身份认证具体包括：中心服务器根据用户名在分支机构的配置参数中查找分支机构的预共享密钥；中心服务器根据预共享密钥进行VPN协商；以及如果协商成功，则认证成功。

优选地，该身份认证信息是证书，连接请求包括分支机构的用户名、证书、以及中心服务器的授权机构证书，中心服务器对分支机构进行身份认证具体包括：中心服务器根据用户名在分支机构的配置参数中查找分支机构的证书主题；中心服务器根据证书主题以及配置的CA证书对分支机构的证书进行验证以及虚拟专用网协商；以及如果协商成功，则认证成功。

在根据本实施例的IPSec VPN的配置方法中，中心服务器可以根据预共享密钥进行VPN协商，如果协商成功，则表明中心服务器与分支机构双方预共享密钥相符从而认证成功；中心服务器也可以根据证书主题以及配置的CA证书对分支机构的证书进行验证，如果VPN协商成功则表明双方证书可被信任从而认证成功。对于各分支机构，只需要配置需要连接的VPN的中心服务器的IP地址、该分支机构在中心服务器上对应的IKE ID和诸如预共享密钥或认证证书的身份认证信息。从而减少了VPN配置过程中对分支机构的配置的工作量并减少了分支机构配置出错的可能性。

优选地，中心服务器向分支机构发送分支机构对应的配置参数具体包括：中心服务器按照IKE参数向分支机构发送分发机构对应的配置参数。

在中心服务器与分支机构成功协商IKE参数后，IPSec VPN通道建立，中心服务器利用协商好的IKE参数对该分支机构的用户名对应的配置参数进行加密，并通过该VPN通道发送给具有该用户名的分支机构。分支机构接收到该配置参数后，利用协商好的IKE参数对其进行解密，然后根据解密后的配置参数对其自身进行配置。配置完成后，该分支机构接入VPN以正常工作，这样能够保证VPN网络的保密性能。

总之，应用根据本实施例的IPSec VPN的配置方法以后，只需要在中心服务器上配置各分支机构的相关配置参数和IKE参数，而对于各分支机构，只需要配置该中心服务器的IP地址、该分支机构相应的IKE ID和诸如预共享密钥或认证证书的身份认证信息就能够完成该分支机构接入VPN的配置，从而能够简单方便地对IPSecVPN进行配置，并减少了工作量。

图2示出了根据本发明另一实施例的IPSec VPN的配置***的方框图。

参照图2，根据本发明另一实施例的IPSec VPN的配置***。

参照图2，根据本实施例的IPSec VPN的配置***包括：中心服务器202，用于存储各分支机构的配置参数，并根据该配置参数对请求接入该VPN的分支机构进行身份认证，以及在认证成功时，将配置参数发送给对应的分支机构；以及分支机构204，用于接收配置参数，并根据该配置参数进行配置。

根据本实施例的IPSec VPN的配置***在中心服务器上配置配置参数，在分支机构向中心服务器发出需要接入VPN的请求后，中心服务器根据配置在其上的该分支机构对应的配置参数对该分支机构进行身份认证，如果认证通过，则将该分支机构对应的配置参数发送给该分支机构，该分支机构根据接收到的这些配置参数进行自动配置，从而省去了相关技术中需要在分支机构手动配置与中心服务器对应的配置参数的步骤，从而解决了相关技术中VPN配置繁琐的技术问题。

例如，在网络管理人员需要改变对每个分支机构的配置或是增加分支机构的情况下，根据本实施例的IPSec VPN的配置***只需要在中心服务器上改变该分支机构相应的配置参数或是增加与该分支机构相应的配置参数，然后中心服务器把该更新或增加的配置参数发送给对应的分支机构，就能够达到更新分支机构的配置参数或增加分支机构的目的。

另外，应用根据本实施例的IPSec VPN的配置***以后，只需要在中心服务器端配备专业的网络管理人员来配置各分支机构的配置参数即可，而对于分支机构，由于需要配置的参数很少并且容易配置，所以不需要配备专业的网络管理人员，从而节省了人员配置，减少了工作量。

分支机构的这些参数均可以在中心服务器上配置，当分支机构需要连接到VPN网络时，只需要向中心服务器发出接入请求，待身份认证通过就可以获得这些配置参数以进行自动配置，从而大大简化了分支机构端的配置。

参照图3，根据本发明另一实施例的IPSec VPN的配置***包括中心服务202和分支机构2042(北京)和2044(上海)。

中心服务器202上配置有：IKE第一阶段参数，加密协议为AES-128，哈希协议为SHA-1，Diffie-Hellman第2组；第二阶段参数，加密协议为3DES，哈希协议为MD5，Diffie-Hellman第1组；以及两个用户，该两个用户分别用两个分支机构的IKE ID做用户名：beijing和shanghai，每个用户有自己的DNS服务器、WINS服务器、DHCP地址池和网关、掩码、以及路由，每个用户有不同的预共享密钥。

在北京分支机构上只需要配置3个参数：中心服务器IP，本地用户ID(beijing)，和预共享密钥xxxxxxxx。在IPSec通道建立之后，有关北京这个用户的配置会被下发到北京分支机构设备上。北京下联的设备会被分配192.168.1.0/24的地址，192.168.1.254的网关，同时学习到DNS服务器192.168.100.1和WINS服务器192.168.100.3。分支机构还学到经过VPN的路由(192.168.100.0/24，192.168.101.0/24)，至此该分支机构设备配置完毕。

上海分支机构的配置过程与北京分支机构类似。

在本实施例的IPSec VPN的配置***中添加一个新的分支机构(例如，广州)非常简单：只需要在中心服务器里添加一个新的用户guangzhou，然后配置所需参数。广州分支机构的设备在可以上网的前提下，输入上述的3个参数：中心服务器IP，本地用户ID(guangzhou)，和预共享密钥zzzzzzzz即可。

通过上述对本发明实施例的描述，可以看出，本发明通过中心服务器将配置参数发送给分支机构以实现分支机构的自动配置，所以实现了能够简单方便地对IPSec VPN进行配置的技术效果。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于因特网安全协议的虚拟专用网的配置方法，其特征在于，包括：

在所述虚拟专用网中，在中心服务器上配置各分支机构的配置参数；

所述中心服务器根据所述配置参数对请求接入所述虚拟专用网的分支机构进行认证；

如果认证成功，则所述中心服务器向所述分支机构下发对应的所述配置参数；以及

所述分支机构利用所述配置参数进行配置，

其中，在中心服务器上配置各分支机构的配置参数之后还包括：

在中心服务器上配置因特网密钥交换参数；对于所述分支机构，仅使其配置为支持常用的每种第一阶段和第二阶段的算法，而不在所述分支机构配置具体的因特网密钥交换参数；

所述中心服务器接收到所述分支机构的连接请求后，与所述分支机构协商所述因特网密钥交换参数；以及

所述分支机构按照协商的所述因特网密钥交换参数与所述中心服务器建立连接。

2.根据权利要求1所述的配置方法，其特征在于，所述配置参数包括：所述分支机构的因特网密钥交换用户名、域名服务器地址、Windows互联网名称服务器地址、动态主机分配协议地址池、网关、子网掩码、路由、以及身份认证信息。

3.根据权利要求2所述的配置方法，其特征在于，所述身份认证信息是预共享密钥。

4.根据权利要求3所述的配置方法，其特征在于，所述连接请求包括所述分支机构的用户名和密码，所述中心服务器对所述分支机构进行身份认证具体包括：

所述中心服务器根据所述用户名在所述分支机构的配置参数中查找所述分支机构的预共享密钥；

所述中心服务器根据所述预共享密钥进行虚拟专用网协商；以及

如果协商成功，则认证成功。

5.根据权利要求2所述的配置方法，其特征在于，所述身份认证信息是证书。

6.根据权利要求5所述的配置方法，其特征在于，所述连接请求包括所述分支机构的用户名、证书、以及所述中心服务器的授权机构证书，所述中心服务器对所述分支机构进行身份认证具体包括：

所述中心服务器根据所述用户名在所述分支机构的配置参数中查找所述分支机构的证书主题；

所述中心服务器根据所述证书主题以及配置的授权机构证书对所述分支机构的证书进行验证以及虚拟专用网协商；以及

如果协商成功，则认证成功。

7.根据权利要求1所述的配置方法，其特征在于，所述中心服务器向所述分支机构发送所述分支机构对应的所述配置参数具体包括：

所述中心服务器按照所述因特网密钥交换参数向所述分支机构发送所述分支机构对应的所述配置参数。

8.一种基于因特网安全协议的虚拟专用网的配置***，其特征在于，包括：

中心服务器，用于存储各分支机构的配置参数，并根据所述配置参数对所述分支机构进行身份认证，以及在所述认证成功时将所述配置参数发送给对应的所述分支机构；以及

所述分支机构，用于接收所述配置参数，并根据所述配置参数进行配置，

其中，所述中心服务器还用于在接收到所述分支机构的连接请求后，与所述分支机构协商因特网密钥交换参数，其中，在所述中心服务器上配置有因特网密钥交换参数；对于所述分支机构，仅使其配置为支持常用的每种第一阶段和第二阶段的算法，而不在所述分支机构配置具体的因特网密钥交换参数，所述分支机构还用于按照协商的所述因特网密钥交换参数与所述中心服务器建立连接。

9.根据权利要求8所述的配置***，其特征在于，所述配置参数包括：所述分支机构的因特网密钥交换用户名、域名服务器地址、Windows互联网名称服务器地址、动态主机分配协议地址池、网关、子网掩码、路由、以及身份认证信息。