CN110611607A - 隧道连接方法、控制设备、存储介质及装置 - Google Patents

Abstract

本发明涉及软件定义网络技术领域，公开了一种隧道连接方法、控制设备、存储介质及装置。本发明中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本发明中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD‑WAN中部署VPN连接时部署效率较低的技术问题。

Description

隧道连接方法、控制设备、存储介质及装置

技术领域

本发明涉及软件定义网络技术领域，尤其涉及隧道连接方法、控制设备、存储介质及装置。

背景技术

随着软件定义网络(Software Defined Network，SDN)作为一种新型网络架构的逐渐普及，还可将SDN应用至广域网场景中以形成一种特殊的服务，可将该服务称为广域软件定义网络(Software-Defined Wide Area Network，SD-WAN)。

就SD-WAN而言，SD-WAN适用于连接广阔地理范围下的企业网络、数据中心、互联网应用以及云服务。虚拟专用网络(Virtual Private Network，VPN)的配置功能是SD-WAN的核心功能，但是，VPN的配置功能大多需要用户通过点击操作来一个个地建立单个的VPN连接，部署效率较低。特别是在设备较多以及网络拓扑较为复杂时，部署效率更为低下。

可见，在SD-WAN中部署VPN连接时存在着部署效率较低的技术问题。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供隧道连接方法、控制设备、存储介质及装置，旨在解决在SD-WAN中部署VPN连接时部署效率较低的技术问题。

为实现上述目的，本发明提供一种隧道连接方法，所述隧道连接方法包括以下步骤：

选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

优选地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置；

在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

优选地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

所述在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置，具体包括：

在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

优选地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备；

基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置；

将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

优选地，所述选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备，具体包括：

选取第二分支设备与第三分支设备；

确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；

若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

优选地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；

基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；

将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

优选地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；

生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；

将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

此外，为实现上述目的，本发明还提出一种控制设备，所述控制设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的隧道连接程序，所述隧道连接程序配置为实现如上文所述的隧道连接方法的步骤。

此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有隧道连接程序，所述隧道连接程序被处理器执行时实现如上文所述的隧道连接方法的步骤。

此外，为实现上述目的，本发明还提出一种隧道连接装置，所述隧道连接装置包括：

设备选取模块，用于选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

配置生成模块，用于生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

配置下发模块，用于将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

本发明中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本发明中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD-WAN中部署VPN连接时部署效率较低的技术问题。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的控制设备结构示意图；

图2为本发明隧道连接方法第一实施例的流程示意图；

图3为本发明隧道连接方法第二实施例的流程示意图；

图4为本发明隧道连接方法第三实施例的流程示意图；

图5为本发明隧道连接装置第一实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明实施例方案涉及的硬件运行环境的控制设备结构示意图。

如图1所示，该控制设备可以包括：处理器1001，例如中央处理器(CentralProcessing Unit，CPU)，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)，可选用户接口1003还可以包括标准的有线接口以及无线接口，而用户接口1003的有线接口在本发明中可为通用串行总线(Universal Serial Bus，USB)接口。网络接口1004可选的可以包括标准的有线接口以及无线接口(如WI-FI接口)。存储器1005可以是高速随机存取存储器(Random Access Memory，RAM)；也可以是稳定的存储器，比如，非易失存储器(Non-volatile Memory)，具体可为，磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图1中示出的结构并不构成对控制设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种计算机存储介质的存储器1005中可以包括操作***、网络通信模块、用户接口模块以及隧道连接程序。

在图1所示的控制设备中，网络接口1004主要用于连接后台服务器，与所述后台服务器进行数据通信；用户接口1003主要用于连接外设；所述控制设备通过处理器1001调用存储器1005中存储的隧道连接程序，并执行以下操作：

选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置；

在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

所述在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置，具体包括：

在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备；

基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置；

将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

选取第二分支设备与第三分支设备；

确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；

若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；

基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；

将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

进一步地，处理器1001可以调用存储器1005中存储的隧道连接程序，还执行以下操作：

若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；

生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；

将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

本实施例中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本实施例中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD-WAN中部署VPN连接时部署效率较低的技术问题。

基于上述硬件结构，提出本发明隧道连接方法的实施例。

参照图2，图2为本发明隧道连接方法第一实施例的流程示意图。

在第一实施例中，所述隧道连接方法包括以下步骤：

步骤S10：选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备。

可以理解的是，SDN与SD-WAN均是将数据控制与数据转发进行分离，以简化网络的管理和操作。区别点在于，SDN是针对数据中心的网络架构，SD-WAN是针对广域网(WideArea Network，WAN)的网络架构。

在具体实现中，本实施例的执行主体为控制设备，具体地，该控制设备将为用于数据控制的SDN控制设备，同理地，第一总部设备以及第一分支设备为用于数据转发的SDN转发设备。其中，总部设备为公司总部侧的设备，分支设备为公司分支(比如，分公司或者地方办事处)侧的设备。若进一步地细分，该控制设备可为SD-WAN控制设备，同理地，第一总部设备以及第一分支设备可为SD-WAN转发设备。

应当理解的是，为了优化SD-WAN的VPN配置功能，以提高部署效率，无需用户手动操作来一个个地建立单个的VPN连接，一个建立完毕后再建立另一个VPN连接，本实施例给出了自动化的VPN部署方案。其中，本实施例中SD-WAN的VPN配置功能可被称为Auto VPN(Automation VPN)功能。

可以理解的是，若欲部署第一总部设备与第一分支设备之间的VPN连接，可先选取第一总部设备与第一分支设备。其中，第一分支设备的设备数量可为N，N为正整数。

需要说明的是，鉴于自动化处理的可拓展性，可进行VPN连接的批处理，所以，N可大于等于2。故而，可自动化地生成多个分支VPN配置。

当然，N也可为1。

步骤S20：生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置。

在具体实现中，在选取第一总部设备与4个第一分支设备后，可自动化地生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置，大大简化了企业VPN的部署与管理。其中，分别与4个第一分支设备对应的分支VPN配置也将存在着4份配置。

其中，总部VPN配置包括接入账号名称、接入密码(或者接入证书)、认证方式以及分组信息等，分支VPN配置包括总部名称、接入地址、接入账号名称、接入密码(或者接入证书)、认证方式以及共享密钥等。至于接入账号名称与接入密码对应于账号密码的认证方式，接入证书对应于证书的认证方式。

步骤S30：将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

可以理解的是，将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备，以使第一分支设备发起面向第一总部设备的VPN连接。

在具体实现中，在将自动化生成的配置下发至对应的设备后，鉴于第一分支设备的分支VPN配置中存在着与第一总部设备对应的总部名称、接入地址、接入账号名称、接入密码(或者接入证书)以及认证方式，可自动地向第一总部设备发起VPN隧道的连接，以成功地建立起第一总部设备与各第一分支设备之间的VPN连接。

本实施例中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本实施例中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD-WAN中部署VPN连接时部署效率较低的技术问题。

参照图3，图3为本发明隧道连接方法第二实施例的流程示意图，基于上述图2所示的第一实施例，提出本发明隧道连接方法的第二实施例。

第二实施例中，所述步骤S30之后，所述隧道连接方法还包括：

步骤S40：获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置。

应当理解的是，除了自动化生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置之后，还可实时获取与第一总部设备对应的第一拓扑配置以及与第一分支设备对应的第二拓扑配置，以实时展示网络的运行状态。其中，第一拓扑配置涉及第一总部设备的拓扑结构，第二拓扑配置涉及第一分支设备的拓扑结构。

步骤S50：在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

可以理解的是，可在预先设置的预设拓扑显示界面中进行拓扑结构的展示。

进一步地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

所述在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置，具体包括：

在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

在具体实现中，可周期性检测第一总部设备与第一分支设备之间的VPN连接状态，若成功连接，即所述VPN连接状态为成功连接状态，则实时上报该VPN连接状态，并在预设拓扑显示界面中展示该VPN隧道的连接状态。其中，该VPN连接状态包括延时状况、接收流速以及发送流速等。

进一步地，还可管理接入账号的相关信息，比如，可设置允许接入VPN的接入账号名称与接入密码、可设置是否启用硬件捆绑鉴权或者DKEY认证、可设置是否启用虚拟互联网协议(Internet Protocol，IP)、可设置接入账号使用的加密算法、接入账号的有效时间以及接入账号的内网权限等。其中，DKEY为一种令牌。

此外，还可对用户进行分组并设置组成员的公共属性等用户策略。为了实现多个网络节点之间的互联，还可针对网络节点互联进行管理。

本实施例中可实时展示SD-WAN架构中的各设备的运行状态。

参照图4，图4为本发明隧道连接方法第三实施例的流程示意图，基于上述图2所示的第一实施例，提出本发明隧道连接方法的第三实施例。

第三实施例中，所述步骤S30之后，所述隧道连接方法还包括：

步骤S401：选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备。

可以理解的是，就隧道间路由(Tunnel Route)而言，隧道间路由可实现多个设备(或者软件)之间的互联，但是，大多的隧道间路由仅提供端到端的连接，无法提供跨端访问的访问能力。然而，本实施例将在VPN连接时提供跨端访问的访问能力。

在具体实现中，就跨端访问而言，若存在着第二分支设备与第三分支设备，第二分支设备可与第二总部设备连接，第二总部设备可与第三分支设备连接，但是，第二分支设备与第三分支设备无法直接连接，即第二分支设备与第三分支设备无法跨端访问。

步骤S501：基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置。

可以理解的是，为了第二分支设备与第三分支设备之间可建立VPN连接，可交付于中间设备进行转发。故而，在自动化生成隧道间路由配置时，与所述第二分支设备对应的第一隧道间路由配置将建立起第二分支设备至中间设备的隧道，与所述第三分支设备对应的第二隧道间路由配置将建立起中间设备至第三分支设备的隧道。

步骤S601：将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

应当理解的是，通过自动化生成的第一隧道间路由配置与第二隧道间路由配置，使得第二分支设备与第三分支设备可借助于共同的总部设备进行路由转发，以达成第二分支设备与第三分支设备的互访。

此外，此处将分支设备与总部设备进行区别命名，仅为了表述不同的操作流程。所以，第一分支设备可与第二分支设备为同一分支设备，也可以不是，本实施例不作限制。总部设备也同样不作限制。

进一步地，所述选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备，具体包括：

选取第二分支设备与第三分支设备；

确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；

若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

在具体实现中，若第二分支设备与第三分支设备的中间设备存在多个，比如，第一待选用总部设备与第二待选用总部设备均为第二分支设备与第三分支设备的中间设备，即第一待选用总部设备与第二待选用总部设备均分别连接至第二分支设备与第三分支设备。可引入优先级，以进行中转设备的选取。比如，若第一优先级高于第二优先级，则可选用第一待选用总部设备作为中转设备进行路由转发，而不使用同样符合位置条件的第二待选用总部设备。

进一步地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；

基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；

将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

应当理解的是，就跨端访问而言，上文给出了第二分支设备与第三分支设备的互访场景，即分支互访的互访场景，本实施例还可提供其他的互访场景。

在具体实现中，比如，若第四分支设备与第三总部设备之间无法直接建立VPN连接，第四分支设备可通过二者共同连接的中转路由设备作为中转来访问第三总部设备。故而，在自动化生成隧道间路由配置时，与所述第四分支设备对应的第三隧道间路由配置将建立起第四分支设备至中转路由设备的隧道，与所述第三总部设备对应的第四隧道间路由配置将建立起中转路由设备至第三总部设备的隧道。

进一步地，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；

生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；

将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

在具体实现中，除了上文中两类跨端访问的互访场景外，本实施例还可提供分支上网的上网功能。比如，若待联网分支设备未配置联网端口，即表示某个分公司没有联网出口，则可通过待联网分支设备连接至总部设备并由总部设备路由转发来实现集中式的上网。

进一步地，还可进行总部设备之间的数据备份，比如，总部设备A与总部设备B均可访问某业务***，若某个分支设备通过总部设备A访问该业务***，当与总部设备A断开后，仍可通过总部设备B继续访问该业务***，实现了面向多总部的备份。

本实施例鉴于大多的隧道间路由仅提供端到端的连接，无法提供跨端访问的访问能力，故而，本实施例将在VPN连接时提供跨端访问的访问能力，以克服该缺陷。同时，本实施例还可使得没有联网出口的分支设备可进行上网操作。

此外，本发明实施例还提出一种存储介质，所述存储介质上存储有隧道连接程序，所述隧道连接程序被处理器执行时实现如下操作：

选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置；

在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

相应地，还实现如下操作：

在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备；

基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置；

将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

选取第二分支设备与第三分支设备；

确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；

若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；

基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；

将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

进一步地，所述隧道连接程序被处理器执行时还实现如下操作：

若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；

生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；

将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

本实施例中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本实施例中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD-WAN中部署VPN连接时部署效率较低的技术问题。

此外，参照图5，本发明实施例还提出一种隧道连接装置，所述隧道连接装置包括：

设备选取模块10，用于选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备。

可以理解的是，SDN与SD-WAN均是将数据控制与数据转发进行分离，以简化网络的管理和操作。区别点在于，SDN是针对数据中心的网络架构，SD-WAN是针对广域网(WideArea Network，WAN)的网络架构。

在具体实现中，控制设备将为用于数据控制的SDN控制设备，同理地，第一总部设备以及第一分支设备为用于数据转发的SDN转发设备。其中，总部设备为公司总部侧的设备，分支设备为公司分支(比如，分公司或者地方办事处)侧的设备。若进一步地细分，该控制设备可为SD-WAN控制设备，同理地，第一总部设备以及第一分支设备可为SD-WAN转发设备。

应当理解的是，为了优化SD-WAN的VPN配置功能，以提高部署效率，无需用户手动操作来一个个地建立单个的VPN连接，一个建立完毕后再建立另一个VPN连接，本实施例给出了自动化的VPN部署方案。其中，本实施例中SD-WAN的VPN配置功能可被称为Auto VPN(Automation VPN)功能。

可以理解的是，若欲部署第一总部设备与第一分支设备之间的VPN连接，可先选取第一总部设备与第一分支设备。其中，第一分支设备的设备数量可为N，N为正整数。

需要说明的是，鉴于自动化处理的可拓展性，可进行VPN连接的批处理，所以，N可大于等于2。故而，可自动化地生成多个分支VPN配置。

当然，N也可为1。

配置生成模块20，用于生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置。

在具体实现中，在选取第一总部设备与4个第一分支设备后，可自动化地生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置。其中，分别与4个第一分支设备对应的分支VPN配置也将存在着4份配置。

其中，总部VPN配置包括接入账号名称、接入密码(或者接入证书)、认证方式以及分组信息等，分支VPN配置包括总部名称、接入地址、接入账号名称、接入密码(或者接入证书)、认证方以及共享密钥等。

配置下发模块30，用于将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

可以理解的是，将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备，以使第一分支设备发起面向第一总部设备的VPN连接。

在具体实现中，在将自动化生成的配置下发至对应的设备后，鉴于第一分支设备的分支VPN配置中存在着与第一总部设备对应的总部名称、接入地址、接入账号名称、接入密码(或者接入证书)以及认证方式，可自动地向第一总部设备发起VPN隧道的连接，以成功地建立起第一总部设备与各第一分支设备之间的VPN连接。

本实施例中选取第一总部设备以及第一分支设备，第一总部设备与第一分支设备为软件定义网络中的转发设备；生成与第一总部设备对应的总部VPN配置以及与第一分支设备对应的分支VPN配置；将总部VPN配置下发至第一总部设备，将分支VPN配置下发至第一分支设备。明显地，本实施例中将采用自动化的方式来生成总部VPN配置与分支VPN配置，并自动地建立起转发设备之间的VPN连接，大大地提高了VPN的配置效率，解决了在SD-WAN中部署VPN连接时部署效率较低的技术问题。

在一实施例中，所述隧道连接装置还包括：

拓扑显示模块，用于获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置；

在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

在一实施例中，所述隧道连接装置还包括：

状态检测模块，用于检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

所述拓扑显示模块，还用于在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

在一实施例中，所述隧道连接装置还包括：

第一跨端模块，用于选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备；基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置；将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

在一实施例中，所述第一跨端模块，还用于选取第二分支设备与第三分支设备；确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

在一实施例中，所述隧道连接装置还包括：

第二跨端模块，用于选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

在一实施例中，所述隧道连接装置还包括：

联网模块，用于若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

本发明所述隧道连接装置的其他实施例或具体实现方式可参照上述各方法实施例，此处不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者***不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者***所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者***中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。词语第一、第二、以及第三等的使用不表示任何顺序，可将这些词语解释为名称。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如只读存储器、RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种隧道连接方法，其特征在于，所述隧道连接方法包括以下步骤：

选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。

2.如权利要求1所述的隧道连接方法，其特征在于，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

获取与所述第一总部设备对应的第一拓扑配置以及与所述第一分支设备对应的第二拓扑配置；

在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置。

3.如权利要求2所述的隧道连接方法，其特征在于，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

检测所述第一总部设备与所述第一分支设备之间的VPN连接状态；

所述在预设拓扑显示界面中展示所述第一拓扑配置以及所述第二拓扑配置，具体包括：

在预设拓扑显示界面中展示所述第一拓扑配置、所述第二拓扑配置以及所述VPN连接状态。

4.如权利要求1至3中任一项所述的隧道连接方法，其特征在于，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备；

基于所述第二总部设备生成与所述第二分支设备对应的第一隧道间路由配置以及与所述第三分支设备对应的第二隧道间路由配置；

将所述第一隧道间路由配置下发至所述第二分支设备，将所述第二隧道间路由配置下发至所述第三分支设备，以使所述第二分支设备与所述第三分支设备通过所述第二总部设备进行互访。

5.如权利要求4所述的隧道连接方法，其特征在于，所述选取第二分支设备与第三分支设备，并将分别连接至所述第二分支设备与所述第三分支设备的中间设备记为第二总部设备，具体包括：

选取第二分支设备与第三分支设备；

确定与所述第二分支设备连接的第一待选用总部设备以及第二待选用总部设备，查询与所述第一待选用总部设备对应的第一优先级以及与所述第二待选用总部设备对应的第二优先级；

若所述第一优先级高于所述第二优先级，将所述第一待选用总部设备作为分别连接至所述第二分支设备与所述第三分支设备的第二总部设备。

6.如权利要求1至3中任一项所述的隧道连接方法，其特征在于，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

选取第四分支设备与第三总部设备，并确定分别连接至所述第四分支设备与所述第三总部设备的中转路由设备；

基于所述中转路由设备生成与所述第四分支设备对应的第三隧道间路由配置以及与所述第三总部设备对应的第四隧道间路由配置；

将所述第三隧道间路由配置下发至所述第四分支设备，将所述第四隧道间路由配置下发至所述第三总部设备，以使所述第四分支设备与所述第三总部设备通过所述中转路由设备进行互访。

7.如权利要求1至3中任一项所述的隧道连接方法，其特征在于，所述将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备之后，所述隧道连接方法还包括：

若监测到联网请求，确定与所述联网请求对应的待联网分支设备以及与所述待联网分支设备连接的第四总部设备，所述待联网分支设备未配置联网端口；

生成与所述待联网分支设备对应的第五隧道间路由配置以及与所述第四总部设备对应的第六隧道间路由配置；

将所述第五隧道间路由配置下发至所述待联网分支设备，将所述第六隧道间路由配置下发至所述第四总部设备，以使所述待联网分支设备通过所述第四总部设备进行联网。

8.一种控制设备，其特征在于，所述控制设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行隧道连接程序，所述隧道连接程序被所述处理器执行时实现如权利要求1至7中任一项所述的隧道连接方法的步骤。

9.一种存储介质，其特征在于，所述存储介质上存储有隧道连接程序，所述隧道连接程序被处理器执行时实现如权利要求1至7中任一项所述的隧道连接方法的步骤。

10.一种隧道连接装置，其特征在于，所述隧道连接装置包括：

设备选取模块，用于选取第一总部设备以及第一分支设备，所述第一总部设备与所述第一分支设备为软件定义网络中的转发设备；

配置生成模块，用于生成与所述第一总部设备对应的总部虚拟专用网络VPN配置以及与所述第一分支设备对应的分支VPN配置；

配置下发模块，用于将所述总部VPN配置下发至所述第一总部设备，将所述分支VPN配置下发至所述第一分支设备。