CN116938639B - 虚拟专用网络接入方法、设备及存储介质 - Google Patents

Abstract

本公开提供一种虚拟专用网络VPN接入方法、设备及存储介质，其中，所述的方法包括：控制设备接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；基于所述VPN客户端的第一位置信息，获取第一预选入网点PoP设备列表；所述第一预选PoP设备列表中包括至少一个PoP设备及每个PoP设备对应的第二位置信息；基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定接入PoP设备；在所述接入PoP设备上创建与VPN客户端对应的VPN服务器Server；发送所述VPN Server的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN Server的第二配置信息创建与所述接入PoP设备之间的VPN隧道。

Description

虚拟专用网络接入方法、设备及存储介质

技术领域

本公开涉及虚拟专用网络（Virtual Private Network，简称VPN）领域，尤其涉及一种虚拟专用网络接入方法、设备及存储介质。

背景技术

随着企业业务的快速发展和推进，企业对出差、居家办公等远程移动办公的需求也越来越多。鉴于此，各种支持移动办公的VPN技术逐渐成为技术热点。相关技术中，通常预先在所有的入网点（Point of Presence，简称POP）设备上创建VPN 服务器Server，待VPN客户端与相关的接入POP设备创建VPN隧道时，只需确定所述接入POP设备即可。上述方法中，由于所述VPN客户端与所述接入POP设备未建立VPN隧道时，所述接入POP设备仍需承担所述VPN Server的数据流量，增大了所述接入POP设备的闲时功耗。

发明内容

本公开提供一种虚拟专用网络VPN接入方法、设备及存储介质，以解决相关技术中的问题。

本公开的第一方面实施例提出了一种虚拟专用网络VPN接入方法，该方法包括：

控制设备接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

基于所述VPN客户端的第一位置信息，获取第一预选入网点设备列表；所述第一预选入网点设备列表中包括至少一个入网点设备及每个入网点设备对应的第二位置信息；

基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备；

在所述接入入网点设备上创建与VPN客户端对应的VPN服务器；

发送所述VPN服务器的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN服务器的第二配置信息创建与所述接入入网点设备之间的VPN隧道。

在本公开的一些实施例中，所述基于所述VPN客户端的第一位置信息，获取预选入网点设备列表，包括：

基于所述VPN客户端的身份信息，判断所述VPN客户端是否为合法VPN客户端；所述身份信息至少包括所述VPN客户端的账号信息和租户标识信息；

若判断结果为是，则基于所述VPN客户端的第一位置信息，确定所述VPN客户端的第一位置；

基于所述VPN客户端的第一位置及预设位置条件，获取与所述VPN客户端的位置关系满足所述预设位置条件的所述第一预选入网点设备列表。

在本公开的一些实施例中，所述预设位置条件为：

入网点设备与所述VPN客户端的距离不大于预设距离阈值，或，

入网点设备与所述VPN客户端在同一行政区域内。

在本公开的一些实施例中，所述基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备，包括：

基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定所述第一预选入网点设备列表中与所述VPN客户端距离最近的第一入网点设备；

基于所述VPN客户端的身份信息，判断所述第一入网点设备是否已创建所述与VPN客户端对应的VPN服务器；

若判断结果为否，则确定所述第一入网点设备为所述接入入网点设备。

在本公开的一些实施例中，所述在所述接入入网点设备上创建与VPN客户端对应的VPN服务器，包括：

基于所述接入入网点设备的第一配置信息，判断所述接入入网点设备的资源利用率是否大于预设资源利用率阈值；

若判断结果为否，则获取所述接入入网点设备的空闲端口和地址池；

利用所述接入入网点设备的空闲端口和地址池配置与VPN客户端对应的VPN服务器。

在本公开的一些实施例中，所述的VPN接入方法还包括：

获取所述VPN隧道的通信质量；

判断所述VPN隧道的通信质量是否满足预设通信质量指标要求；所述预设通信质量指标至少包括预设数据传输速率指标、预设网络抖动指标、预设时延指标中的一种；

若判断结果为否，则更新所述第一预选入网点设备列表为第二预选入网点设备列表；所述第二预选入网点设备列表指删除所述接入入网点设备后的第一预选入网点设备列表；

基于所述VPN客户端的第一位置信息，及所述第二预选入网点设备列表中每个入网点设备对应的第二位置信息，重新确定接入入网点设备，直至所述VPN隧道的通信质量满足预设通信质量指标要求。

在本公开的一些实施例中，所述的VPN接入方法还包括：

根据预设时间间隔获取所述VPN隧道的通信状态；

当所述VPN隧道的通信状态为离线状态的连续次数达到预设次数时，删除所述VPN服务器。

本公开的第二方面实施例提出了一种虚拟专用网络VPN接入方法，包括：

VPN客户端向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

接收所述控制设备发送的与VPN客户端对应的VPN服务器的第二配置信息；

基于所述VPN服务器的第二配置信息，创建与所述VPN服务器的第二配置信息对应的接入入网点设备之间的VPN隧道。

本公开的第三方面实施例提出了一种控制设备，包括：

第一接收单元，用于接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

获取单元，用于基于所述VPN客户端的第一位置信息，获取第一预选入网点设备列表；所述第一预选入网点设备列表中包括至少一个入网点设备及每个入网点设备对应的第二位置信息；

确定单元，用于基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备；

第一创建单元，用于在所述接入入网点设备上创建与VPN客户端对应的VPN服务器；

第一发送单元，用于发送所述VPN服务器的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN服务器的第二配置信息创建与所述接入入网点设备之间的VPN隧道。

本公开的第四方面实施例提出了一种VPN客户端，包括：

第二发送单元，用于向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

第二接收单元，用于接收所述控制设备发送的与VPN客户端对应的VPN服务器的第二配置信息；

第二创建单元，用于基于所述VPN服务器的第二配置信息，创建与所述VPN服务器的第二配置信息对应的接入入网点设备之间的VPN隧道。

本公开的第五方面实施例提出了一种通信设备，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行本公开第一方面实施例或第二方面实施例中描述的方法。

本公开的第六方面实施例提出了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，计算机指令用于使计算机执行本公开第一方面实施例或第二方面实施例中描述的方法。

综上，本公开提出的VPN接入方法，包括VPN客户端向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；控制设备接收VPN客户端发送的接入认证请求；控制设备基于所述VPN客户端的第一位置信息，获取第一预选入网点PoP设备列表；所述第一预选PoP设备列表中包括至少一个PoP设备及每个PoP设备对应的第二位置信息；控制设备基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定接入PoP设备；控制设备在所述接入PoP设备上创建与VPN客户端对应的VPN Server；控制设备发送所述VPN Server的第二配置信息至所述VPN客户端；VPN客户端接收所述控制设备发送的与VPN客户端对应的VPN Server的第二配置信息；VPN客户端基于所述VPN Server的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。

本公开提供的方案，能够通过所述VPN客户端的第一位置信息及所述第一预选PoP设备列表中每个PoP设备的第二位置信息，确定所述接入PoP设备。然后在所述接入PoP设备上创建与VPN客户端对应的VPN Server，并使所述VPN客户端基于所述VPN Server的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。上述过程中，由于预先未在PoP设备上创建所述VPN Server，因此，在所述接入PoP设备未与所述VPN客户端之间建立VPN隧道时，所述接入PoP设备无需承担所述VPN Server的数据流量，进而有效的降低所述接入PoP设备的功耗。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理，并不构成对本公开的不当限定。

图1为本公开实施例提供的VPN接入***的应用场景图；

图2为本公开实施例提供的第一种VPN接入方法的流程示意图；

图3为本公开实施例提供的获取第一预选入网点PoP设备列表的方法的流程示意图；

图4为本公开实施例提供的确定接入PoP设备的方法的流程示意图；

图5为本公开实施例提供的创建VPN Server的方法的流程示意图；

图6为本公开实施例提供的重建VPN隧道的方法的流程示意图；

图7为本公开实施例提供的第二种VPN接入方法的流程示意图；

图8为本公开应用示例提供的VPN接入方法的流程示意图；

图9为本公开应用示例提供的获取所述第一预选PoP设备列表的方法的流程示意图；

图10为本公开应用示例提供的动态创建VPN Server的方法的流程示意图；

图11为本公开实施例提供的控制设备的结构示意图；

图12为本公开实施例提供的VPN客户端的结构示意图；

图13为本公开实施例提供的通信设备的硬件组成结构示意图。

具体实施方式

下面详细描述本公开的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本公开，而不能理解为对本公开的限制。

随着企业业务的快速发展和推进，企业对出差、居家办公等远程移动办公的需求也越来越多。鉴于此，各种支持移动办公的VPN技术逐渐成为技术热点。而在构建VPN客户端与PoP设备的VPN隧道的过程中，如何选择PoP接入设备，搭建稳定可靠的网络是一大技术难题。

下面简单介绍相关技术中的几种方案：

方案A：手动配置VPN，运维人员手动选择POP接入设备，搭建VPN网络。

方案B：通过周期性探测所有PoP设备上网络线路的丢包率、平均时延、抖动值等通信质量指标，设计算法综合考虑各个指标，计算每个PoP设备的通信质量分数并排序，选择通信质量最优的PoP设备作为接入PoP设备。

方案C：获取SD-WAN网络中所有关于PoP设备的历史数据（至少包括实际完成时间、丢包率、抖动值、平均延迟值中的一项或多项）和标准数据（至少包括PoP标识、任务类型、标准处理时间中的一项或多项），将其输入到神经网络中，训练得到PoP设备选择接入模型。利用训练得到的PoP设备选择接入模型，根据当前所有PoP设备的状态数据（即PoP设备完成上一次任务时的历史数据）和标准数据，获得适合于当前任务的PoP设备建立接入路径。

上述三种方案，存在以下缺陷：

方案A：严重依赖人工手动配置，效率低下；而且当手动配置的VPN网络发生故障后，仍需依赖人工重新定位接入PoP设备并配置VPN网络，不支持动态切换，灵活性低。

方案B：该方案需要周期性探测VPN网络通信质量指标，不仅占用用户带宽，而且在极端场景下，此类非实时的性能探测方法可能会因网络延迟、抖动等问题，造成计算结果偏差较大；此外，VPN配置信息在闲时也会保留，增加了PoP设备的使用成本。

方案C：该方案依赖于大量历史数据来提高PoP设备选择接入模型准确性，不仅对计算和存储要求高，需要大量额外资源；而且由于没有历史数据作为训练样本，对于新任务类型的选择结果不甚理想，PoP设备选择接入模型的鲁棒性较差。

为了解决相关技术中存在的问题，本公开提出一种VPN接入方法，无需探测相关PoP设备的通信质量，不占用用户的带宽。且能够通过所述VPN客户端的第一位置信息及所述第一预选PoP设备列表中每个PoP设备的第二位置信息，确定所述接入PoP设备。然后在所述接入PoP设备上创建与VPN客户端对应的VPN Server，并使所述VPN客户端基于所述VPNServer的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。上述过程中，由于预先未在PoP设备上创建所述VPN Server，因此，在所述接入PoP设备未与所述VPN客户端之间建立VPN隧道时，所述接入PoP设备无需承担所述VPNServer的数据流量，进而有效的降低所述接入PoP设备的功耗。

在介绍本公开的详细方案之前，先对本公开方案所应用的场景进行描述。图1为本公开实施例提供的VPN接入***的应用场景图。如图1所示，该应用场景中包括控制设备（VPN控制设备）、VPN客户端和PoP设备；其中，

VPN客户端，可通过软件或硬件的形式位于用户终端(用户终端可以是用户的手机、电脑等终端设备)上，主要完成VPN接入认证、VPN隧道构建和VPN数据包解/封装等功能。

控制设备，主要完成VPN接入认证和VPN接入PoP设备选择，可通过控制设备之间的接口获取PoP设备的配置信息并实现移动用户终端接入到指定的接入PoP设备，完成VPN网络资源的部署、配置、监控等。

PoP设备，作为VPN数据转发平面，主要完成VPN上下文的创建和维护、VPN接入到对应VPN上下文的匹配、VPN数据包的解/封装等等。其中，每个区域(例如图1中的区域1、区域2…区域M等)中可设置有多个PoP设备，如图1中仅以每个区域中设置一个PoP设备为示例，实际应用中可不限于每个区域中设置一个PoP设备。

上述图1的示例只是实现本公开实施例的一个***架构示例，本公开实施例并不限于上述图1所述的***结构，基于该***架构，提出本公开各个实施例。

下面结合附图及具体实施例对本公开作进一步详细的说明。

如图2所示，图2为本公开实施例提供的第一种VPN接入方法的流程示意图。本公开实施例提供的VPN接入方法，包括以下步骤：

步骤201，控制设备接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

在一实施例中，所述控制设备可以是控制器、服务器等，所述控制设备上运行有VPN业务管理平台。所述控制设备用于完成VPN接入认证和VPN接入PoP设备选择，可通过控制设备之间的接口获取PoP设备的配置信息并实现移动用户终端接入到指定的接入PoP设备，完成VPN网络资源的部署、配置、监控等。所述VPN客户端，可通过软件或硬件的形式位于用户终端(用户终端可以是用户的手机、电脑等终端设备)上，主要完成VPN接入认证、VPN隧道构建和VPN数据包解/封装等功能。

步骤202，基于所述VPN客户端的第一位置信息，获取第一预选入网点PoP设备列表；所述第一预选PoP设备列表中包括至少一个PoP设备及每个PoP设备对应的第二位置信息；

在一实施例中，所述VPN客户端的第一位置信息可由客户端内置的GPS模块获取。

在一实施例中，获取所述第一预选入网点PoP设备列表之前，还需基于所述VPN客户端的身份信息判断所述VPN客户端对应的用户的账号信息和租户标识信息是否合法，进而判断所述VPN客户端是否为合法VPN客户端。比如，所述账号信息不存在，或者所述账号信息内的账户和密码信息不对应，均可判断所述用户为非法用户。或者所述租户标识信息不合法，即可判断所述客户端为非法客户端。若所述VPN客户端不是合法VPN客户端，则直接结束VPN接入流程。若所述VPN客户端是合法VPN客户端，则根据广域网通信中，在相同的通信条件下，物理距离越长，信道通信质量越差的原理，根据就近原则，获取第一预选入网点PoP设备列表。

基于此，在一实施例中，如图3所示，所述步骤202，包括：

步骤301，基于所述VPN客户端的身份信息，判断所述VPN客户端是否为合法VPN客户端；所述身份信息至少包括所述VPN客户端的账号信息和租户标识信息；

步骤302，若判断结果为是，则基于所述VPN客户端的第一位置信息，确定所述VPN客户端的第一位置；

步骤303，基于所述VPN客户端的第一位置及预设位置条件，获取与所述VPN客户端的位置关系满足所述预设位置条件的所述第一预选PoP设备列表。

步骤203，基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定接入PoP设备；

在一实施例中，可基于所述VPN客户端的第一位置信息，确定所述所述VPN客户端的第一位置；基于所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，所述第一预选PoP设备列表中每个PoP设备的第二位置；进而根据就近原则，将所述第一预选PoP设备列表中距离所述VPN客户端最近的PoP设备确定为所述接入PoP设备。

步骤204，在所述接入PoP设备上创建与VPN客户端对应的VPN服务器Server；

在一实施例中，所述控制设备可基于所述VPN客户端的租户标识信息确定对应的QoS参数；其中，所述QoS参数包括该用户对应的流量优先级、带宽限制等相关信息；所述控制设备还可基于所述接入PoP设备的第一配置信息，确定所述接入PoP设备的空闲端口和地址池，进而确定所述与VPN客户端对应的VPN Server的如IP地址、网络端口等配置参数，确保与所述VPN客户端的配置相匹配。最后还可选择适当的加密协议，完成VPN Server的配置。

步骤205，发送所述VPN Server的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN Server的第二配置信息创建与所述接入PoP设备之间的VPN隧道。

综上，本公开提供的方案，能够通过所述VPN客户端的第一位置信息及所述第一预选PoP设备列表中每个PoP设备的第二位置信息，确定所述接入PoP设备。然后在所述接入PoP设备上创建与VPN客户端对应的VPN Server，并使所述VPN客户端基于所述VPN Server的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。上述过程中，由于预先未在PoP设备上创建所述VPN Server，因此，在所述接入PoP设备未与所述VPN客户端之间建立VPN隧道时，所述接入PoP设备无需承担所述VPN Server的数据流量，进而有效的降低所述接入PoP设备的功耗。

在一实施例中，步骤303中所述预设位置条件为：

PoP设备与所述VPN客户端的距离不大于预设距离阈值，或，

PoP设备与所述VPN客户端在同一行政区域内。

在一实施例中，所述的预设距离阈值为50千米、100千米、150千米或200千米中的一种，或者根据实际需要选择合适的所述预设距离阈值，本公开中对此不予限定。

在一实施例中，所述的行政区域包括国家、省、市、县（区）等。例如，首先判断是否存在与所述VPN客户端在同一县（区）内的PoP设备，若有，则获取由所有与所述VPN客户端在同一县（区）内的PoP设备构成的第一预选PoP设备列表。若无，判断是否存在与所述VPN客户端在同一市内的PoP设备，若有，则获取由所有与所述VPN客户端在同一市内的PoP设备构成的第一预选PoP设备列表。以此类推，获取所述第一预选PoP设备列表。

本公开提供的根据预设位置条件获取所述第一预选PoP设备列表的方法，不仅满足在相同的通信条件下，物理距离越长，信道通信质量越差的原理，还无需探测PoP设备的通信质量，不用占用用户带宽，提高了所述接入PoP设备的确定效率，降低了使用成本。

在一实施例中，若所述VPN客户端与PoP设备不是第一次接入，则在所述第一预选PoP设备列表中，与所述VPN客户端距离最近的PoP设备上，可能已存在与所述VPN客户端对应的VPN Server。在此场景下，无需重新创建所述VPN Server，直接利用已存在的VPNServer构建所述VPN客户端与PoP设备之间的VPN隧道，以形成CPN网络即可。

基于此，在一实施例中，如图4所示，所述步骤203，包括：

步骤401，基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定所述第一预选PoP设备列表中与所述VPN客户端距离最近的第一PoP设备；

步骤402，基于所述VPN客户端的身份信息，判断所述第一PoP设备是否已创建所述与VPN客户端对应的VPN Server；

步骤403，若判断结果为否，则确定所述第一PoP设备为所述接入PoP设备。

在一实施例中，取决于PoP设备的硬件和软件和配置，一个PoP设备上可创建多个VPN Server。若一个PoP设备上创建的VPN Server的数目太多，将导致PoP设备的资源利用率高达，负载过高，进而影响VPN网络的通信质量。

基于此，如图5所示，所述步骤204，包括：

步骤501，基于所述接入PoP设备的第一配置信息，判断所述接入PoP设备的资源利用率是否大于预设资源利用率阈值；

步骤502，若判断结果为否，则获取所述接入PoP设备的空闲端口和地址池；

步骤503，利用所述接入PoP设备的空闲端口和地址池配置与VPN客户端对应的VPNServer。

在一实施例中，当所述VPN客户端与所述接入PoP设备之间建立VPN隧道后，还需检测VPN网络的质量，即所述VPN隧道的通信质量。当所述VPN隧道的通信质量不符合要求时，为了建立符合通信质量要求的VPN隧道，还需更换所述接入PoP设备，使所述VPN客户端与更换后的所述接入PoP设备之间建立新的VPN隧道。

基于此，在一实施例中，如图6所示，所述的VPN接入方法还包括：

步骤601，获取所述VPN隧道的通信质量；

步骤602，判断所述VPN隧道的通信质量是否满足预设通信质量指标要求；所述预设通信质量指标至少包括预设数据传输速率指标、预设网络抖动指标、预设时延指标中的一种；

若判断结果为否，则进入步骤603；

步骤603，更新所述第一预选PoP设备列表为第二预选PoP设备列表；所述第二预选PoP设备列表指删除所述接入PoP设备后的第一预选PoP设备列表；

步骤604，基于所述VPN客户端的第一位置信息，及所述第二预选PoP设备列表中每个PoP设备对应的第二位置信息，重新确定接入PoP设备，直至所述VPN隧道的通信质量满足预设通信质量指标要求。

在一实施例中，由于所述VPN客户端通常不是一直处于在线状态，而是在需要的时候才处于在线状态。因此，为了降低空闲时间PoP设备的数据流量，当VPN客户端的离线状态达到预设标准时，可以从PoP设备上删除所述VPN Server，以降低空闲时间PoP设备的功耗。

基于此，在一实施例中，所述的VPN接入方法还包括：

根据预设时间间隔获取所述VPN隧道的通信状态；

当所述VPN隧道的通信状态为离线状态的连续次数达到预设次数时，删除所述VPNServer。

在一实施例中，所述预设时间间隔可以为5分钟、10分钟或15分钟中的任一种，所述预设时间间隔也可根据实际需要设置，本公开中对此不予限定。

在一实施例中，通常一个VPN Server上关联多个VPN客户端，因此，当所述VPN隧道的通信状态为离线状态可以指，所有与所述VPN Server关联的多个VPN客户端均处于离线状态。

与相关技术相比，本公开实施例提供的VPN接入方法：

首先，能够通过所述VPN客户端的第一位置信息及所述第一预选PoP设备列表中每个PoP设备的第二位置信息，确定所述第一预选PoP设备列表中与所述VPN客户端距离最近的所述接入PoP设备。无需探测每个PoP设备的通信质量，不用占用用户带宽，提高了所述接入PoP设备的确定效率，降低了使用成本。

其次，在所述接入PoP设备上动态创建与VPN客户端对应的VPN Server，并使所述VPN客户端基于所述VPN Server的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。实现了所述VPN Server随用随配，进而有效的降低所述接入PoP设备闲时的功耗。

再次，本公开设置了VPN客户端状态机，根据预设时间间隔获取所述VPN隧道的通信状态，当所述VPN隧道的通信状态为离线状态的连续次数达到预设次数时，删除所述VPNServer，进一步降低了所述接入PoP设备闲时的功耗。

如图7所示，图7为本公开实施例提供的第二种VPN接入方法的流程示意图。本公开实施例提供的第二种VPN接入方法，包括以下步骤：

步骤701，VPN客户端向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

步骤702，接收所述控制设备发送的与VPN客户端对应的VPN Server的第二配置信息；

步骤703，基于所述VPN Server的第二配置信息，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。

根据本公开实施例提供的第二种VPN接入方法，所述VPN客户端能够在接收所述控制设备发送的VPN Server的第二配置信息后，创建与所述VPN Server的第二配置信息对应的接入PoP设备之间的VPN隧道。与相关技术相比，实现了所述VPN Server的随用随配，降低了所述接入PoP设备闲时的功耗。

下面以一应用示例对本公开提供的VPN接入方法做进一步说明：

如图8所示，图8为本公开应用示例提供的VPN接入方法的流程示意图。所述VPN接入方法，包括以下步骤：

步骤801，VPN客户端向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

步骤802，控制设备接收VPN客户端发送的接入认证请求；

步骤803，控制设备基于所述VPN客户端的身份信息，判断所述VPN客户端是否为合法VPN客户端；所述身份信息至少包括所述VPN客户端的账号信息和租户标识信息；

若判断结果为是，进入步骤804，

若判断结果为否，进入步骤812；

步骤804，控制设备基于所述VPN客户端的第一位置信息，确定所述VPN客户端的第一位置；

步骤805，基于所述VPN客户端的第一位置及预设位置条件，获取与所述VPN客户端的位置关系满足所述预设位置条件的所述第一预选PoP设备列表；

其中，如图9所示，所述预设位置条件为PoP设备与所述VPN客户端在同一行政区域内。所述VPN客户端的第一位置包括其第一位置所属县（区）、市、省、国家的行政区域信息，相应的，所述步骤805，包括以下步骤：

步骤901，控制设备根据所述县（区）的行政区域信息筛选该行政区域内的PoP设备，获取第一预选PoP设备列表；

步骤902，判断所述第一预选PoP设备列表是否为空；

若判断结果为是，进入步骤903；

若判断结果为否，进入步骤910；

步骤903，控制设备根据所述市的行政区域信息筛选该行政区域内的PoP设备，获取第一预选PoP设备列表；

步骤904，判断所述第一预选PoP设备列表是否为空；

若判断结果为是，进入步骤905；

若判断结果为否，进入步骤910；

步骤905，控制设备根据所述省的行政区域信息筛选该行政区域内的PoP设备，获取第一预选PoP设备列表；

步骤906，判断所述第一预选PoP设备列表是否为空；

若判断结果为是，进入步骤907；

若判断结果为否，进入步骤910；

步骤907，控制设备根据所述国家的行政区域信息筛选该行政区域内的PoP设备，获取第一预选PoP设备列表；

步骤908，判断所述第一预选PoP设备列表是否为空；

若判断结果为是，进入步骤909；

若判断结果为否，进入步骤910；

步骤909，控制设备返回无可用PoP设备；

步骤910，控制设备获取所述第一预选PoP设备列表中每个PoP设备的第一配置信息及第二位置信息。

步骤806，控制设备确定所述第一预选PoP设备列表中与所述VPN客户端距离最近的第一PoP设备；

步骤807，控制设备判断所述第一PoP设备是否已创建所述与VPN客户端对应的VPNServer；

若判断结果为是，则进入步骤809；

若判断结果为否，则进入步骤808；

步骤808，控制设备在所述第一PoP设备上动态创建与所述VPN 服务器对应的VPNServer；

其中，如图10所示，所述步骤808，包括以下步骤：

步骤1001，控制设备基于所述接入PoP设备的第一配置信息，判断所述接入PoP设备的资源利用率是否大于预设资源利用率阈值；

若判断结果为是，则从所述第一预选PoP设备列表中删除该PoP设备,并进入步骤806；

若判断结果为否，则进入步骤1002；

步骤1002，控制设备获取所述接入PoP设备的空闲端口和地址池；

步骤1003，控制设备利用所述接入PoP设备的空闲端口和地址池配置与VPN客户端对应的VPN Server。

步骤809，控制设备发送所述与VPN客户端对应的VPN Server的第二配置信息至所述VPN客户端；

步骤810，所述VPN客户端接收所述控制设备发送的与VPN客户端对应的VPNServer的第二配置信息；

步骤811，所述VPN客户端基于所述VPN Server的第二配置信息，创建与所述VPNServer的第二配置信息对应的接入PoP设备之间的VPN隧道；

步骤812，结束VPN接入流程。

在一应用示例中，所述步骤811之后，还包括：

控制设备获取所述VPN隧道的通信质量；

控制设备判断所述VPN隧道的通信质量是否满足预设通信质量指标要求；所述预设通信质量指标至少包括预设数据传输速率指标、预设网络抖动指标、预设时延指标中的一种；

若判断结果为否，则控制设备更新所述第一预选PoP设备列表为第二预选PoP设备列表；所述第二预选PoP设备列表指删除所述接入PoP设备后的第一预选PoP设备列表；

控制设备基于所述VPN客户端的第一位置信息，及所述第二预选PoP设备列表中每个PoP设备对应的第二位置信息，利用步骤805至步骤806重新确定接入PoP设备，直至所述VPN隧道的通信质量满足预设通信质量指标要求。

在一应用实例中，所述步骤811之后，还包括：

基于所述VPN客户端的第一位置信息，确定所述VPN客户端的位移速度及位移轨迹；

基于所述VPN客户端的位移速度及位移轨迹判断所述VPN客户端的第一位置在半个小时内是否会跨省；

若判断结果为是，则利用步骤805至步骤811，另外建立一条所述VPN客户端与PoP设备之间的第二VPN隧道，并基于PoP设备的负载均衡策略，引导用户数据流量至第二VPN隧道；

待所述VPN客户端移动到新的省对应的行政区域，将用户流量全部切换到第二VPN隧道，以实现不同VPN隧道之间的平滑切换。

为了实现本公开实施例提供的第一种VPN接入方法，本公开实施例还提供一种控制设备，如图11所示。图11为本公开实施例提供的控制设备的结构示意图，所述控制设备1100，包括：

第一接收单元1101，用于接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

获取单元1102，用于基于所述VPN客户端的第一位置信息，获取第一预选入网点PoP设备列表；所述第一预选PoP设备列表中包括至少一个PoP设备及每个PoP设备对应的第二位置信息；

确定单元1103，用于基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定接入PoP设备；

第一创建单元1104，用于在所述接入PoP设备上创建与VPN客户端对应的VPN服务器Server；

第一发送单元1105，用于发送所述VPN Server的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN Server的第二配置信息创建与所述接入PoP设备之间的VPN隧道。

在一实施例中，所述获取单元1102，具体用于：

基于所述VPN客户端的身份信息，判断所述VPN客户端是否为合法VPN客户端；所述身份信息至少包括所述VPN客户端的账号信息和租户标识信息；

若判断结果为是，则基于所述VPN客户端的第一位置信息，确定所述VPN客户端的第一位置；

基于所述VPN客户端的第一位置及预设位置条件，获取与所述VPN客户端的位置关系满足所述预设位置条件的所述第一预选PoP设备列表。

在一实施例中，所述预设位置条件为：

PoP设备与所述VPN客户端的距离不大于预设距离阈值，或，

PoP设备与所述VPN客户端在同一行政区域内。

在一实施例中，所述确定单元1103，具体用于：

基于所述VPN客户端的第一位置信息，及所述第一预选PoP设备列表中每个PoP设备对应的第二位置信息，确定所述第一预选PoP设备列表中与所述VPN客户端距离最近的第一PoP设备；

基于所述VPN客户端的身份信息，判断所述第一PoP设备是否已创建所述与VPN客户端对应的VPN Server；

若判断结果为否，则确定所述第一PoP设备为所述接入PoP设备。

在一实施例中，所述第一创建单元1104，具体用于：

基于所述接入PoP设备的第一配置信息，判断所述接入PoP设备的资源利用率是否大于预设资源利用率阈值；

若判断结果为否，则获取所述接入PoP设备的空闲端口和地址池；

利用所述接入PoP设备的空闲端口和地址池配置与VPN客户端对应的VPN Server。

在一实施例中，所述控制设备1100，还包括重接入单元，所述重接入单元，用于：

获取所述VPN隧道的通信质量；

判断所述VPN隧道的通信质量是否满足预设通信质量指标要求；所述预设通信质量指标至少包括预设数据传输速率指标、预设网络抖动指标、预设时延指标中的一种；

若判断结果为否，则更新所述第一预选PoP设备列表为第二预选PoP设备列表；所述第二预选PoP设备列表指删除所述接入PoP设备后的第一预选PoP设备列表；

基于所述VPN客户端的第一位置信息，及所述第二预选PoP设备列表中每个PoP设备对应的第二位置信息，重新确定接入PoP设备，直至所述VPN隧道的通信质量满足预设通信质量指标要求。

在一实施例中，所述控制设备1100，还包括删除单元，所述删除单元，用于：

根据预设时间间隔获取所述VPN隧道的通信状态；

当所述VPN隧道的通信状态为离线状态的连续次数达到预设次数时，删除所述VPNServer。

需要说明的是：上述实施例提供的控制设备在进行VPN接入时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将控制设备的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的控制设备与本公开实施例提供的第一种VPN接入方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

为了实现本公开实施例提供的第二种VPN接入方法，本公开实施例还提供一种VPN客户端，如图12所示。图12为本公开实施例提供的VPN客户端的结构示意图，所述VPN客户端1200，包括：

第二发送单元1201，用于向控制设备发送接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

第二接收单元1202，用于接收所述控制设备发送的与VPN客户端对应的VPNServer的第二配置信息；

第二创建单元1203，用于基于所述VPN Server的第二配置信息，创建与所述VPNServer的第二配置信息对应的接入PoP设备之间的VPN隧道。

需要说明的是：上述实施例提供的VPN客户端在进行VPN接入时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将VPN客户端的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的VPN客户端与本公开实施例提供的第二种VPN接入方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图13为本公开实施例提供的通信设备的硬件组成结构示意图，如图13所示，所述通信设备1300包括至少一个处理器1302；以及与所述至少一个处理器1302通信连接的存储器1301；其中，所述存储器1301存储有可被所述至少一个处理器1302执行的指令，所述指令被所述至少一个处理器1302执行，以实现本公开实施例所述的应用于控制设备的VPN接入方法的步骤；或者，所述指令被所述至少一个处理器1302执行，以实现本公开实施例所述的应用于VPN客户端的VPN接入方法的步骤。

可选地，该通信设备具体可为本申请实施例的控制设备，并且该通信设备可以实现本申请实施例的各个方法中由控制设备实现的相应流程，为了简洁，在此不再赘述。

可选地，该通信设备具体可为本申请实施例的VPN客户端，并且该通信设备可以实现本申请实施例的各个方法中由VPN客户端实现的相应流程，为了简洁，在此不再赘述。

可理解，通信设备中还包括通信接口1303。通信设备中的各个组件通过总线***1304耦合在一起。可理解，总线***1304用于实现这些组件之间的连接通信。总线***1304除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图13中将各种总线都标为总线***1304。

可以理解，存储器1301可以是易失性存储器或非易失性存储器，也可包括易失性和

非易失性存储器两者。其中，非易失性存储器可以是只读存储器(ROM，Read OnlyMemory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM，Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器(FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM，Static Random Access Memory)、同步静态随机存取存储器(SSRAM，Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM，SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM，SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器(DRRAM，Direct Rambus Random Access Memory)。本发明实施例描述的存储器1301旨在包括但不限于这些和任意其它适合类型的存储器。

上述本公开实施例揭示的方法可以应用于处理器1302中，或者由处理器1302实现。处理器1302可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1302中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1302可以是通用处理器、DSP，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器1302可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本发明实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器1301，处理器1302读取存储器1301中的信息，结合其硬件完成前述方法的步骤。

在示例性实施例中，通信设备可以被一个或多个应用专用集成电路(ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD，ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、FPGA、通用处理器、控制器、MCU、微处理器(Microprocessor)、或其他电子元件实现，用于执行前述方法。

本公安实施例还提供了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行时实现本发明实施例所述的应用于控制设备的VPN接入方法的步骤；或者，所述计算机指令用于使所述计算机执行时实现本发明实施例所述的应用于VPN客户端的VPN接入方法的步骤。

可选的，该计算机可读存储介质可应用于本申请实施例中的控制设备，并且该计算机指令使得计算机执行本申请实施例的各个方法中由控制设备实现的相应流程，为了简洁，在此不再赘述。

可选地，该计算机可读存储介质可应用于本申请实施例中的VPN客户端，并且该计算机指令使得计算机执行本申请实施例的各个方法中由VPN客户端实现的相应流程，为了简洁，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个***，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种虚拟专用网络VPN接入方法，其特征在于，包括：

控制设备接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

基于所述VPN客户端的第一位置信息，获取第一预选入网点设备列表；所述第一预选入网点设备列表中包括至少一个入网点设备及每个入网点设备对应的第二位置信息；

基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备；

在所述接入入网点设备上创建与VPN客户端对应的VPN服务器；

发送所述VPN 服务器的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN 服务器的第二配置信息创建与所述接入入网点设备之间的VPN隧道。

2.根据权利要求1所述的方法，其特征在于，所述基于所述VPN客户端的第一位置信息，获取预选入网点设备列表，包括：

基于所述VPN客户端的身份信息，判断所述VPN客户端是否为合法VPN客户端；所述身份信息至少包括所述VPN客户端的账号信息和租户标识信息；

若判断结果为是，则基于所述VPN客户端的第一位置信息，确定所述VPN客户端的第一位置；

基于所述VPN客户端的第一位置及预设位置条件，获取与所述VPN客户端的位置关系满足所述预设位置条件的所述第一预选入网点设备列表。

3.根据权利要求2所述的方法，其特征在于，所述预设位置条件为：

入网点设备与所述VPN客户端的距离不大于预设距离阈值，或，

入网点设备与所述VPN客户端在同一行政区域内。

4.根据权利要求1所述的方法，其特征在于，所述基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备，包括：

基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定所述第一预选入网点设备列表中与所述VPN客户端距离最近的第一入网点设备；

基于所述VPN客户端的身份信息，判断所述第一入网点设备是否已创建所述与VPN客户端对应的VPN服务器；

若判断结果为否，则确定所述第一入网点设备为所述接入入网点设备。

5.根据权利要求1所述的方法，其特征在于，所述在所述接入入网点设备上创建与VPN客户端对应的VPN服务器，包括：

基于所述接入入网点设备的第一配置信息，判断所述接入入网点设备的资源利用率是否大于预设资源利用率阈值；

若判断结果为否，则获取所述接入入网点设备的空闲端口和地址池；

利用所述接入入网点设备的空闲端口和地址池配置与VPN客户端对应的VPN服务器。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述的方法还包括：

获取所述VPN隧道的通信质量；

判断所述VPN隧道的通信质量是否满足预设通信质量指标要求；所述预设通信质量指标至少包括预设数据传输速率指标、预设网络抖动指标、预设时延指标中的一种；

若判断结果为否，则更新所述第一预选入网点设备列表为第二预选入网点设备列表；所述第二预选入网点设备列表指删除所述接入入网点设备后的第一预选入网点设备列表；

基于所述VPN客户端的第一位置信息，及所述第二预选入网点设备列表中每个入网点设备对应的第二位置信息，重新确定接入入网点设备，直至所述VPN隧道的通信质量满足预设通信质量指标要求。

7.根据权利要求1至5中任一项所述的方法，其特征在于，所述的方法还包括：

根据预设时间间隔获取所述VPN隧道的通信状态；

当所述VPN隧道的通信状态为离线状态的连续次数达到预设次数时，删除所述VPN服务器。

8.一种控制设备，其特征在于，包括：

第一接收单元，用于接收VPN客户端发送的接入认证请求；所述接入认证请求至少包括所述VPN客户端的身份信息和第一位置信息；

获取单元，用于基于所述VPN客户端的第一位置信息，获取第一预选入网点设备列表；所述第一预选入网点设备列表中包括至少一个入网点设备及每个入网点设备对应的第二位置信息；

确定单元，用于基于所述VPN客户端的第一位置信息，及所述第一预选入网点设备列表中每个入网点设备对应的第二位置信息，确定接入入网点设备；

第一创建单元，用于在所述接入入网点设备上创建与VPN客户端对应的VPN服务器；

第一发送单元，用于发送所述VPN服务器的第二配置信息至所述VPN客户端，以使所述VPN客户端根据所述VPN服务器的第二配置信息创建与所述接入入网点设备之间的VPN隧道。

9.一种通信设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1至7中任一项所述的方法。

10.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行根据权利要求1至7中任一项所述的方法。