WO2010127610A1 - 一种虚拟专用网节点信息的处理方法、设备及*** - Google Patents

一种虚拟专用网节点信息的处理方法、设备及*** Download PDF

Info

Publication number
WO2010127610A1
WO2010127610A1 PCT/CN2010/072424 CN2010072424W WO2010127610A1 WO 2010127610 A1 WO2010127610 A1 WO 2010127610A1 CN 2010072424 W CN2010072424 W CN 2010072424W WO 2010127610 A1 WO2010127610 A1 WO 2010127610A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
vpn
information
network
virtual private
Prior art date
Application number
PCT/CN2010/072424
Other languages
English (en)
French (fr)
Inventor
王雨晨
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN2009101393543A external-priority patent/CN101572729B/zh
Priority claimed from CN200910137660A external-priority patent/CN101557337B/zh
Priority claimed from CN2009101376586A external-priority patent/CN101557336B/zh
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Publication of WO2010127610A1 publication Critical patent/WO2010127610A1/zh
Priority to US13/289,552 priority Critical patent/US8769661B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method and a related device and system for processing virtual private network node information.
  • VPN virtual private network
  • public network usually the Internet
  • VPN networks help remote users, corporate branches, business partners, and suppliers establish trusted, secure connections to the company's intranet and securely transfer data.
  • registration information of all other nodes is pre-configured on each node, for example, configuring the current real Internet Protocol (IP, Internet Protocol), virtual IP address, and whether to accept external network connection information of other node devices. .
  • IP Internet Protocol
  • the node can establish a corresponding network tunnel with other nodes. For example, when other nodes accept external network connection information, they can establish network tunnels in direct-connected channel mode with other nodes according to the real IP addresses of other nodes; when other nodes do not accept external network connection information, they can be virtualized according to other nodes.
  • the IP address establishes a network tunnel in virtual switching mode with other nodes.
  • the inventor has found that in an existing VPN network, when joining a node, it is necessary to configure registration information of other original nodes on the joined node; at the same time, it is necessary to adjust the configuration of other original nodes; When you need to adjust the configuration of other original nodes, that is, in the existing
  • the addition or detachment of nodes in the VPN network will inevitably lead other nodes to adjust their configurations accordingly. Therefore, the existing VPN networks are generally only applicable to environments with a fixed topology and a relatively fixed network configuration, and the flexibility is poor. Summary of the invention
  • the embodiment of the invention provides a method for processing virtual private network node information, a related device and a system, which can improve the flexibility of the VPN network.
  • the embodiment of the present invention provides the following technical solutions:
  • An embodiment of the present invention provides a method for processing information of a virtual private network node, including: an access request message sent by a receiving node, where the access request message carries at least the authentication information of the node, a current real Internet protocol address, and a node name. And whether to accept external network connection information;
  • the node When the authentication information of the node is correct, the node is assigned a virtual internet protocol address; the current real internet protocol address, the node name of the node, whether to accept the external network connection information, and the virtual internet protocol address are registered as registration information. .
  • An embodiment of the present invention provides a processing device for virtual private network node information, including: a first receiving unit, configured to receive an access request message sent by a node, where the access request message carries at least the authentication information of the node, and a current Real Internet Protocol address, node name and whether to accept external network connection information;
  • a determining unit configured to determine whether the authentication information of the node is correct
  • An allocating unit configured to allocate a virtual internet protocol address to the node when the determining unit determines that the authentication information of the node is correct;
  • the registration unit is configured to register the current real internet protocol address, the node name, the external network connection information, and the virtual internet protocol address of the node as registration information.
  • the embodiment of the invention provides a virtual private network node device, including:
  • An obtaining unit configured to obtain its own authentication information, a current real Internet protocol address, a node name, and whether to accept external network connection information;
  • a sending unit configured to send the authentication information, the current real Internet protocol address, the node name, and whether to accept the external network connection information into the access request message, and send the message to the virtual private network section Point processing device.
  • the embodiment of the invention provides a virtual private network system, including:
  • the virtual private network node device is configured to acquire its own authentication information, a current real Internet protocol address, a node name, and whether to accept external network connection information, and the authentication information, the current real Internet protocol address, the node name, and whether to accept After the external network connection information is placed in the access request message, the processing device is sent to the virtual private network node information;
  • the processing device of the virtual private network node information is configured to receive an access request message sent by the virtual private network node device, where the access request message carries at least the authentication information of the virtual private network node device, and the current real Internet protocol. Address, node name, and whether to accept external network connection information; when determining that the authentication information is correct, assigning a virtual internet protocol address to the virtual private network node device; and setting a current real internet protocol address of the virtual private network node device , the node name, whether to accept external network connection information, and the virtual internet protocol address are registered as registration information.
  • the network tunnel establishment method provided by the embodiment of the present invention includes: the first virtual private network VPN node initiates a query request to the corresponding VPN gateway according to the locally preset VPN gateway address, where the query request carries the node identifier of the second VPN node.
  • the first VPN node receives the registration information of the second VPN node that is fed back by the VPN gateway, and the registration information of the second VPN node includes at least the address information of the second VPN node;
  • the registration information of the second VPN node establishes a direct network tunnel with the second VPN node.
  • the method for establishing a network tunnel includes: a second VPN node receiving a tunnel establishment request sent by a first VPN node, where the tunnel establishment request includes a node identifier of the first VPN node and address information of the first VPN node.
  • the second VPN node saves the node identifier of the first VPN node and the address information of the first VPN node, performs a related tunnel establishment procedure, and feeds back a tunnel establishment response to the first VPN node.
  • the data transmission method provided by the embodiment of the present invention includes: the VPN gateway receives the query request sent by the first VPN node, where the query request carries the node identifier of the second VPN node; and the VPN gateway according to the node identifier of the second VPN node Querying the registration information of the second VPN node locally, where the registration information of the second VPN node includes at least address information of the second VPN node; The VPN gateway feeds back the registration information of the second VPN node to the first VPN node, so that the first VPN node establishes a direct network tunnel with the second VPN node according to the registration information of the second VPN node. .
  • the virtual private network server provided by the embodiment of the present invention includes: a receiving unit, configured to receive a message sent by the first node, where the message is used to query registration information of the second node, and the sending unit is configured to: The registration information of the node is sent to the first node, so that the first node establishes a corresponding network tunnel with the second node, and the registration information of the second node includes at least whether the second node accepts an external connection. Information.
  • the virtual private network system includes: a virtual private network node and a virtual private network server; the virtual private network node is configured to query the virtual private network server for registration information of the second node, to determine Whether the second node accepts the external connection, the registration information of the second node includes at least information about whether the second node accepts the external connection; and establishing a corresponding network with the second node according to the queried registration information a virtual private network server, configured to receive a message sent by the virtual private network node, where the message is used to query registration information of the second node, and send the pre-stored registration information of the second node to the virtual And a dedicated network node, so that the virtual private network node establishes a corresponding network tunnel with the second node, and the registration information of the second node includes at least information about whether the second node accepts an external connection.
  • the embodiments of the present invention have the following advantages:
  • the processing device that uses the virtual private network node information performs centralized registration on the registration information of the VPN node, and avoids configuring the registration information of other VPN nodes on each VPN node.
  • a VPN node it is only necessary to register the registration information of the joined VPN node on the processing device of the virtual private network node information, and it is not necessary to adjust the configuration of other VPN nodes, so that the VPN can support the dynamically changing network structure and improve The flexibility of the VPN network;
  • the registration information about the second VPN node is obtained from the VPN gateway, and the registration information includes the address information of the second VPN node. Therefore, the first VPN node can establish a direct network tunnel with the second VPN node according to the address information of the second VPN node, the first VPN node and the second VPN. The node can transmit data through the direct network tunnel without forwarding data through the VPN gateway, thereby reducing the data processing pressure of the VPN gateway, balancing the load of each network element in the VPN, thereby improving the performance of data transmission in the VPN;
  • the first node in the VPN network can learn the registration information of the second node, and the registration information includes information about whether the second node accepts the external connection, so that the first node can be based on the registration information of the second node.
  • the second node establishes a corresponding network tunnel, which avoids the attempt to establish a direct network tunnel when the second node does not accept the external connection, thereby reducing the waste of network resources and improving the efficiency of establishing the network tunnel.
  • FIG. 1 is a flow chart of a method for processing virtual private network node information according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for querying node registration information according to an embodiment of the present invention
  • FIG. 3 is a flowchart of a method for communicating a virtual private network node according to an embodiment of the present invention
  • FIG. 5 is a structural diagram of a processing device for virtual private network node information according to an embodiment of the present disclosure
  • FIG. 6 is a structural diagram of a processing device for virtual private network node information according to an embodiment of the present invention.
  • FIG. 7 is a structural diagram of a processing device for virtual private network node information according to an embodiment of the present disclosure.
  • FIG. 8 is a structural diagram of a virtual private network node device according to an embodiment of the present invention
  • FIG. 9 is a structural diagram of a virtual private network system according to an embodiment of the present invention.
  • FIG. 10 is a schematic diagram of a virtual private network according to an embodiment of the present invention
  • FIG. 11 is a flowchart of a method for querying node registration information according to an embodiment of the present invention
  • FIG. 12 is a flowchart of a virtual private network node communication method according to an embodiment of the present invention
  • FIG. FIG. 14 is a flowchart of a method for establishing a network tunnel according to an embodiment of the present invention
  • FIG. 15 is a flowchart of a method for establishing a network tunnel according to an embodiment of the present invention
  • FIG. 16 is a flowchart of still another embodiment of a method for establishing a network tunnel according to an embodiment of the present invention
  • FIG. 10 is a schematic diagram of a virtual private network according to an embodiment of the present invention
  • FIG. 11 is a flowchart of a method for querying node registration information according to an embodiment of the present invention
  • FIG. 12 is a flowchart of a virtual private network node communication method according to
  • FIG. 17 is a flowchart of an embodiment of a data transmission method according to an embodiment of the present invention.
  • FIG. 18 is a structural diagram of a virtual private network server according to an embodiment of the present invention.
  • FIG. 19 is a structural diagram of a virtual private network system according to an embodiment of the present invention;
  • a schematic diagram of a VPN network; the technical solution in the embodiment of the present invention will be described clearly and completely in the following with reference to the accompanying drawings in the embodiments of the present invention.
  • the described embodiments are merely part of embodiments of the present invention rather than all embodiments. All other embodiments obtained by those skilled in the art based on the embodiments of the present invention without creative efforts are within the scope of the present invention.
  • Embodiment 1 is a diagrammatic representation of Embodiment 1:
  • FIG. 1 is a flowchart of a method for processing virtual private network node information according to Embodiment 1 of the present invention. As shown in FIG. 1, the method may include:
  • the access request message carries at least a node's authentication information, a current real Internet protocol address, a node name, and whether to accept external network connection information.
  • the nodes mentioned in this embodiment and subsequent embodiments include, but are not limited to, a mobile phone, a computer, a personal computer, a server, a gateway, and the like.
  • the node authentication information in the embodiment and the subsequent embodiments includes, but is not limited to, an account number and a password of the node; wherein, the authentication information of the node is required by the service provider according to the VPN network that the node desires to access in advance (for example, the number of nodes and the VPN network topology, etc.).
  • the current real Internet Protocol address of the node may be an Internet Protocol (IP) address of the node in the Internet, for example, Internet Protocol Version 4 IPv4. Address, or Internet Protocol version 6 IPv6 address, or the IP address of the node in the Internet combined with the Transmission Control Protocol (UDP)/User Datagram Protocol (UDP) port, or It is another service address represented by a Uniform Resource Locator (URL) in the Internet.
  • IP Internet Protocol
  • UDP Transmission Control Protocol
  • UDP User Datagram Protocol
  • URL Uniform Resource Locator
  • the access request message may carry other related information of the node in addition to the authentication information of the node, the current real Internet protocol address, the node name, and whether the external network connection information is accepted.
  • 102 When the authentication information of the node is correct, assign a virtual internet protocol address to the node; if the authentication information of the node received in the above 101 is the account and password of the node, then in 102, whether the account and password of the node can be determined All are correct, if the account and password of the node are correct, the node is assigned a virtual internet protocol address, and the assigned virtual IP address is sent to the node;
  • the node Conversely, if the node's account and password are not completely correct, the node is no longer assigned a virtual IP address. In this case, the node can send an error message and close the network connection.
  • the centralized management of the registration information of the node can be realized, so that no other configuration needs to be configured on each node.
  • the registration information of the node facilitates subsequent nodes to query other nodes and registration information of the node.
  • FIG. 2 is a flowchart of a method for querying node registration information according to Embodiment 1 of the present invention. As shown in FIG. 2, the method may include the following steps:
  • 201 Receive a query message sent by the first node, where the query message carries a node name of the second node and/or a virtual internet protocol address of the second node; 202: Query the registration information of the second node according to the node name of the second node and/or the virtual internet protocol address of the second node;
  • the method for processing the virtual private network node information allows the first node to query the registration information of the second node, and in order to accurately obtain the registration information of the second node that the first node needs to query, request the query sent by the first node.
  • the message needs to carry the information for identifying the second node. Since the name of each node and the current real Internet protocol address are different, the query message sent by the first node may carry the name and/or the name of the second node.
  • the query message sent by the first node may also carry other information for identifying the second node, which is not limited herein.
  • the processing method may further include the following steps:
  • the registration information of the first node is sent to the first node, and the registration information of the first node carries at least information of whether the first node accepts the external network connection.
  • the method for processing the virtual private network node information allows the first node to query the registration information of the first node. Similarly, the query message sent by the first node needs to carry information for identifying the first node, for example, The name of a node and/or the virtual internet protocol address of the first node, and so on.
  • FIG. 3 is a flowchart of a method for communicating a virtual private network node according to Embodiment 1 of the present invention. As shown in FIG. 3, the method may include the following steps:
  • the second node needs to receive a prompt message sent by the first node before sending the network tunnel request, where the prompt message is that the first node does not accept the external network connection, and the first node does not accept the external network connection.
  • the case is sent to prompt the second node to establish an indirect network connection with the first node in the virtual channel mode.
  • the request for establishing a network tunnel sent by the first node is sent by using a virtual internet protocol address of the first node
  • the request for establishing a network tunnel sent by the second node is sent by using a virtual internet protocol address of the second node.
  • the first node may actively send a network tunnel request to the second node.
  • the node After receiving the response sent by the second node, the node establishes a direct network tunnel in the direct channel mode with the second node.
  • the message is sent between the first node and the second node by using the current real Internet protocol address.
  • the first node may actively The second node sends a message for prompting the second node to establish a network tunnel to the first node; the first node receives the network tunnel request sent by the second node, and sends a response to the second node, and establishes a relationship with the second node.
  • Directly connected network tunnel in direct channel mode.
  • the embodiment of the present invention can centrally register the registration information of the node, and avoid configuring the registration information of other nodes on each node of the VPN network.
  • the embodiment of the present invention can centrally register the registration information of the node, and avoid configuring the registration information of other nodes on each node of the VPN network.
  • When joining a node only the registration information of the joined node can be registered. There is no need to adjust the configuration of other nodes, so that the VPN network can support the dynamically changing network structure and improve the flexibility of the VPN network.
  • Embodiment 2 is a diagrammatic representation of Embodiment 1:
  • FIG. 4 is a flowchart of a method for processing virtual private network node information according to Embodiment 2 of the present invention.
  • a processing device that pre-deploys a virtual private network node information on the Internet is required.
  • the processing device of the virtual private network node information should have a current real Internet protocol address, which may be an IP address of the processing device of the virtual private network node information in the Internet, or an IP address and a TCP/UDP port in the Internet.
  • the combined address, or other service address represented by a URL in the Internet can include:
  • the processing device of the virtual private network node information receives the access request information sent by the node.
  • the access request information sent by the node is sent according to the current real Internet protocol address of the processing device of the known virtual private network node information.
  • the access request information sent by the node may carry but is not limited to the node's current real Internet Protocol address, as well as authentication information and the like.
  • the node authentication information in this embodiment and subsequent embodiments includes but is not limited to the account number and password of the node; wherein the authentication information of the node is required by the service provider according to the VPN network that the node desires to access in advance (eg, the node)
  • the number and the VPN network topology, etc. are provided.
  • the processing device of the virtual private network node information determines whether the node authentication information is correct. If yes, execute 403; otherwise, execute 406.
  • the processing device of the virtual private network node information in the foregoing 402 determines whether the account and the password of the node are all correct, the node is assigned a virtual internet protocol address, and the allocated virtual internet protocol address is sent to the node;
  • the node Conversely, if the node's account and password are not completely correct, the node is no longer assigned a virtual internet protocol address. In this case, the node can send an error message and close the network connection.
  • the processing device of the virtual private network node information may allocate a virtual internet protocol address to the node, where the virtual internet protocol addresses assigned to each node are different from each other.
  • the processing device of the virtual private network node information can establish a routing and access control policy with other different VPN networks, the functions and behaviors of the processing device of the virtual private network node information appear as a node in the VPN network.
  • a virtual router or firewall the processing device of the virtual private network node information can further allocate information such as the virtual internet protocol address of the virtual gateway in the VPN network to the node.
  • the node may perform corresponding configuration on the virtual network card in the node, and then send the registration information to the processing device of the virtual private network node information.
  • the node sending registration information is a processing device that performs protocol encapsulation in a secure channel established between the node and the processing device of the virtual private network node information, and transmits the information to the virtual private network node information.
  • the security established between the node and the processing device of the virtual private network node information is established.
  • the request registration information sent by the receiving node where the request registration information carries the registration information of the node, including the current real Internet protocol address, the virtual internet protocol address, the node name, and the like.
  • the processing device of the virtual private network node information returns an error message to the node and closes the network connection.
  • the node sends an access request message, where the access request message carries at least the authentication information of the node, the current real Internet protocol address, the node name, and whether the external node is accepted.
  • Network connection information In this way, after the processing device of the virtual private network node information determines that the authentication information of the node is correct, the node may be assigned a virtual internet protocol address, and directly the current real internet protocol address of the node, the node name, and whether the external network is accepted.
  • the connection information and the virtual internet protocol address are registered; but in this embodiment, the node is in the virtual internet protocol address allocated by the processing device that receives the virtual private network node information. Then, the current real Internet Protocol address of the node, the node name, and whether or not the external network connection information and the virtual internet protocol address are accepted are registered as the processing device of the virtual private network node information to which the registration information is transmitted.
  • the embodiment of the present invention can centrally register the registration information of the node, and avoid configuring the registration information of other nodes on each node of the VPN network.
  • the embodiment of the present invention can centrally register the registration information of the node, and avoid configuring the registration information of other nodes on each node of the VPN network.
  • When joining a node only the registration information of the joined node can be registered. There is no need to adjust the configuration of other nodes, so that the VPN network can support the dynamically changing network structure and improve the flexibility of the VPN network.
  • Embodiment 3 is a diagrammatic representation of Embodiment 3
  • FIG. 5 is a structural diagram of a processing device for virtual private network node information according to Embodiment 3 of the present invention.
  • the processing device for virtual private network node information provided by the embodiment of the present invention is deployed on the Internet and has a real Internet. Protocol address.
  • the processing device of the virtual private network node information may include:
  • the first receiving unit 501 is configured to receive an access request message sent by the node, where the access request message carries at least the authentication information of the node, the current real Internet protocol address, the node name, and whether the external network connection information is accepted.
  • the node authentication information includes, but is not limited to, the account number and password of the node; wherein the authentication information of the node is required by the service provider according to the VPN network that the node desires to access in advance (eg, the number of nodes and the topology of the VPN network) Etc.) provided.
  • the determining unit 502 is configured to determine whether the authentication information of the node is correct.
  • the allocating unit 503 is configured to allocate a virtual internet protocol address to the node when the determining unit 302 determines that the authentication information of the node is correct;
  • the registration unit 504 is configured to register the current real internet protocol address of the node, the node name, whether to accept the external network connection information, and the virtual internet protocol address as the registration information.
  • FIG. 6 is a structural diagram of another processing apparatus for virtual private network node information according to Embodiment 3 of the present invention.
  • the processing device of the virtual private network node information shown in FIG. 6 is based on the processing device of the virtual private network node information shown in FIG. 3, and further includes:
  • the second receiving unit 505 is configured to: after the registration unit 504 registers the current real internet protocol address, the node name, whether the external network connection information, and the virtual internet protocol address of the node are registered as the registration information, receive the information sent by the first node.
  • Query message the query message Carrying the node name of the second node and/or the virtual internet protocol address of the second node
  • the querying unit 506 is configured to query the registration of the second node according to the node name of the second node and/or the virtual internet protocol address of the second node information
  • the first sending unit 507 is configured to send the registration information of the second node to the first node, where the registration information of the second node carries at least information about whether the second node accepts the external network connection.
  • the processing device of the virtual private network node information shown in FIG. 6 allows the first node to query the registration information of the second node, and in order to accurately obtain the registration information of the second node that the first node needs to query, request the query message sent by the first node.
  • the information for identifying the second node needs to be carried.
  • the name of each node and the current real Internet protocol address are different. Therefore, the query message sent by the first node may carry the name of the second node and/or the second.
  • the query message sent by the first node may also carry other information for identifying the second node, which is not limited herein.
  • the second receiving unit 505 is further configured to: after the registration unit 504 registers the current real Internet protocol address of the node, the node name, whether to accept the external network connection information, and the virtual internet protocol address as the registration information, receive the first node sending Querying a message, where the query message carries the node name of the first node and/or the virtual internet protocol address of the first node;
  • the query unit 506 is further configured to query the registration information of the first node according to the node name of the first node and/or the virtual internet protocol address of the first node;
  • the first sending unit 507 is further configured to send the registration information of the first node to the first node, where the registration information of the first node carries at least information about whether the first node accepts the external network connection.
  • the processing device of the virtual private network node information shown in FIG. 6 allows the first node to query the registration information of the first node. Similarly, the query message sent by the first node needs to carry information for identifying the first node, such as the first The name of the node and/or the virtual internet protocol address of the first node, and so on.
  • FIG. 7 is a structural diagram of another apparatus for processing virtual private network node information according to Embodiment 3 of the present invention.
  • the processing device of the virtual private network node information shown in FIG. 7 is based on the processing device of the virtual private network node information shown in FIG. 5, and further includes:
  • the third receiving unit 508 is configured to: after the first sending unit 507 sends the registration information of the second node to the first node, and send the registration information of the first node to the first node, receive the network tunnel request sent by the first node. ;
  • the establishing a network tunnel request sent by the first node is that after receiving the registration information of the second node and the first node sent by the first sending unit 507, the first node finds that the second node does not accept the external network connection, and the first The node is sent without accepting an external network connection.
  • a second sending unit 509 configured to send a establish network tunnel response to the first node, thereby establishing a network tunnel with the first node;
  • the third receiving unit 508 is further configured to: after the first sending unit 507 sends the registration information of the second node to the first node, and send the registration information of the first node to the first node, receive the established network sent by the second node. Tunnel request
  • the second node needs to receive a prompt message sent by the first node before sending the network tunnel request, where the prompt message is that the first node does not accept the external network connection, and the first node does not accept the external network connection.
  • the case is sent to prompt the second node to establish an indirect network connection with the first node in the virtual channel mode.
  • the second sending unit 509 is further configured to send a establish network tunnel response to the second node, thereby establishing a network tunnel with the second node;
  • the request for establishing a network tunnel sent by the first node is sent by using a virtual internet protocol address of the first node
  • the request for establishing a network tunnel sent by the second node is sent by using a virtual internet protocol address of the second node.
  • the forwarding control unit 510 is configured to receive information sent by the first node to the second node, and forward the information to the second node, and receive information sent by the second node to the first node, and send the information Forward to the first node.
  • the processing device of the virtual private network node information provided by the embodiment of the present invention can centrally register the registration information of the node, and avoids configuring the registration information of other nodes on each node of the VPN network.
  • the registration information of the added nodes can be centrally registered, and the configuration of other nodes does not need to be adjusted, so that the VPN network can support the dynamically changing network structure and improve the flexibility of the VPN network.
  • FIG. 8 is a structural diagram of a virtual private network node device according to Embodiment 4 of the present invention.
  • the virtual private network node device provided by the embodiment of the present invention includes but is not limited to a mobile phone, a palmtop computer, a personal computer, a server, a gateway, and the like. As shown in FIG. 8, the virtual private network node device may include:
  • the obtaining unit 801 is configured to acquire its own authentication information, a current real Internet protocol address, a node name, and whether to accept external network connection information;
  • the sending unit 802 is configured to send the authentication information, the current real Internet protocol address, the node name, and whether to accept the external network connection information into the access request message, and then send the information to the processing device of the virtual private network node information.
  • the processing device of the virtual private network node information described in this embodiment is the same as the configuration and function of the processing device of the virtual private network node information described in the third embodiment. This embodiment will not be repeated here.
  • the virtual private network node device of the embodiment of the present invention may further include:
  • the receiving unit 803 is configured to receive a virtual internet protocol address sent by the processing device of the virtual private network node information.
  • the virtual private network node device provided by the embodiment of the present invention can actively send its own authentication information, current real Internet protocol address, node name, and whether to accept external network connection information to the processing device of the virtual private network node information, to the virtual private network node.
  • the processing device of the information actively registers.
  • the method of authenticating the node device by the processing device of the virtual private network node information, the current real Internet protocol address, the node name, and whether to accept the centralized registration of the external network connection information avoids configuring other nodes on the virtual private network node device.
  • the registration information, and when joining the node does not require additional configuration of the node device itself, so that the VPN network can support the dynamically changing network structure and improve the flexibility of the VPN network.
  • Embodiment 5 is a diagrammatic representation of Embodiment 5:
  • FIG. 9 is a structural diagram of a virtual private network system according to Embodiment 5 of the present invention.
  • the virtual private network system may include:
  • the virtual private network node device 901 is configured to obtain its own authentication information, a current real Internet protocol address, a node name, and whether to accept external network connection information, And its own certification information, The current real Internet Protocol address, the node name, and whether the external network connection information is accepted into the access request message, the processing device 902 sent to the virtual private network node information;
  • the processing device 902 of the virtual private network node information is configured to receive an access request message sent by the virtual private network node device 901, where the access request message carries at least the authentication information of the virtual private network node device 901, the current real Internet protocol address, and the node. Name and whether to accept external network connection information; when it is determined that the authentication information of the virtual private network node device 901 is correct, the virtual private network node device 901 is assigned a virtual internet protocol address; and the current real internet protocol address of the virtual private network node device 901 , the node name, whether to accept external network connection information, and the virtual internet protocol address are registered as registration information.
  • the virtual private network system provided by the embodiment of the present invention can centrally register the registration information of the node, and avoids configuring the registration information of other nodes on each node of the VPN network. When joining a node, only the node to join is required. Registration information can be registered without the flexibility of adjusting other nodes.
  • FIG. 10 is a schematic diagram of a virtual private network according to Embodiment 6 of the present invention.
  • the virtual private network includes processing equipment of virtual private network node information and 6 nodes named NID-1, NID-2, NID-3, NID-4, NID-5, and NID-6, respectively.
  • nodes NID-2 and NID-4 are located in NAT device 1 and NAT device 2, respectively.
  • the processing device of the virtual private network node information receives the access request message sent by the node NID-1, NID-2 > NID-3, NID-4 > NID-5, and NID-6 respectively, if the node NID-1 is determined , NID-2 > NID-3, NID-4 > NID-5, NID-6 respectively send the access request message carrying the authentication information is correct, the virtual private network node information processing device to the node NID-1 , NID-2, NID-3, NID-4 > NID-5, NID-6 sends the assigned virtual address; and will node NID-1, NID-2 > NID-3, NID-4 > NID-5, NID -6 nodes NID-1, NID-2 > NID-3, NID-4 > NID-5, NID-6 current real Internet protocol address, virtual internet protocol address, and node carried in the access request message respectively sent by -6 The name is registered as registration information.
  • the nodes NID-1, NID-2, NID-3, NID-4 > NID-5, and NID-6 can respectively connect with the processing device of the virtual private network node information through the established network tunnel to form a VPN network.
  • Independent node; in addition, with virtual The node interconnected by the processing device of the network node information can also serve as a gateway to access other nodes in the local area network to the VPN network, as shown by node NID-5 in FIG.
  • the nodes NID-1, NID-2, NID-3, NID-4, NID-5, and NID-6 After registering the registration information of the nodes NID-1, NID-2, NID-3, NID-4, NID-5, and NID-6 on the processing device of the virtual private network node information, the nodes NID-1, NID-2, and NID -3, NID-4, NID-5, NID-6 form a virtual internal network through the network tunnel and the processing device of the virtual private network node information, and the network topology inside the virtual network may be a star network structure.
  • the virtual private network provided by the embodiment of the present invention can centrally register the registration information of the node, and avoids configuring the registration information of other nodes on each node of the VPN network.
  • the virtual private network can centrally register the registration information of the node, and avoids configuring the registration information of other nodes on each node of the VPN network.
  • When joining a node only the registration of the joined node is required. Information can be registered without the need to adjust the flexibility of other nodes.
  • FIG. 11 is a flowchart of a method for querying node registration information according to Embodiment 7 of the present invention. This embodiment is carried out on the basis of the registration of the registration information of the node in the foregoing embodiment.
  • the first node queries the registration information of the second node as an example, and the method for querying the VPN registration information provided by the embodiment of the present invention is introduced. As shown in FIG. 11, the method may include:
  • the first node sends, by using a network tunnel established by the processing device of the virtual private network node information, a message for querying the registration information of the second node to the processing device of the virtual private network node information.
  • the first node sends a message for querying the registration information of the second node to the processing device of the virtual private network node information, and may carry the node name of the second node and/or the virtual internet protocol address of the second node. .
  • the processing device of the virtual private network node information queries the registration information of all the registered nodes. If the query fails, the second node does not access the VPN network, and the processing device of the virtual private network node information sends an error message to the first node.
  • the processing device of the virtual private network node information queries the registration information of all the registered nodes. If the query is successful, the second node has connected to enter the VPN network, and the processing device of the virtual private network node information will register the registration information of the second node. Send to the first node.
  • the registration information of the second node includes at least whether the second node accepts the external network. Connected information.
  • the first node may establish a direct network tunnel in the direct channel mode according to the current real Internet protocol address of the second node; The node does not accept the external network connection, and the first node can establish an indirect network tunnel in the virtual switching mode with the second node according to the virtual internet protocol address of the second node.
  • the registration information of the second node sent by the processing device of the virtual private network node information in 1103 may be whether the second node accepts the external node. Information about network connections.
  • the processing device of the virtual private network node information in the embodiment of the present invention allows the first node to query the registration information of the second node, and in order to accurately obtain the registration information of the second node that the first node needs to query, request the query message sent by the first node.
  • the information for identifying the second node needs to be carried. Since the name of each node and the virtual internet protocol address are different, the query message sent by the first node may carry the name of the second node and/or the second node. Virtual internet protocol address. Certainly, the query message sent by the first node may also carry other information for identifying the second node, which is not limited herein.
  • FIG. 12 is a flowchart of a VPN network node communication method according to Embodiment 8 of the present invention. This embodiment is performed on the basis of the registration information registration of the node and the registration information inquiry of the node in the foregoing embodiment.
  • the communication method of the VPN network node provided by the embodiment of the present invention is described by taking the communication between the first node and the second node as an example. As shown in FIG. 12, the method may include:
  • each node has a virtual network card and a real real network card to transmit intranet communication messages according to the current real Internet protocol address.
  • the virtual network card of the first node encapsulates the "intranet communication packet", and adds the current real Internet protocol address of the processing device of the virtual private network node information to form "encapsulated message-1", which will The message is sent to the processing device of the virtual private network node information by using the current real Internet protocol address of the first node via the real network card of the first node;
  • the processing device of the virtual private network node information receives the "encapsulated message -1" and analyzes it, and obtains the internal "intranet communication message";
  • the processing device of the virtual private network node information encapsulates the "intranet communication message”, adds the real internet protocol address of the second node, forms “encapsulated message-2", and uses it through the second node.
  • the network tunnel is sent to the second node;
  • the processing device of the virtual private network node information learns that the "intranet communication message" needs to be forwarded to the second node according to the virtual internet protocol address of the second node carried in the "intranet communication message";
  • the processing device of the virtual private network node information may also query the real internet protocol address of the second node, and the network tunnel and the like currently used by the second node.
  • the second node After receiving the "encapsulated message -2", the second node will unpack the "encapsulated message -2" through the virtual network card to obtain the internal "intranet communication message".
  • the first node transits through the processing device of the virtual private network node information, and completes a communication with the second node.
  • the packet encapsulation/decapsulation in the above process is transparent to the network application in the first node and the second node, and the network application considers that the first node is directly used to communicate with the virtual IP address of the second VPN node.
  • the process in which the first node sends the "intranet communication message" to the second node is the same as the process in which the second node sends the "intranet communication message" to the first node. This embodiment is not repeated here.
  • the processing device of the virtual private network node information may receive the information sent by the first node and forward the information sent by the first node to the corresponding second node, and send the second node, based on the centralized registration of the registration information of the node.
  • the information is forwarded to the corresponding first node, so that an indirect network channel between the first node and the second node can be established.
  • FIG. 13 is a flowchart of a VPN network node communication method according to Embodiment 9 of the present invention. This embodiment is performed on the basis of the registration information registration of the node and the registration information inquiry of the node in the foregoing embodiment.
  • the communication between the first node and the second node is taken as an example, and the VPN network node communication method provided by the embodiment of the present invention is introduced.
  • the method may include: 1301. After the first node queries the processing device of the virtual private network node information to the virtual internet protocol address of the second node, constructs an "intranet communication 4" sent to the second node and sends the virtual information to the first node.
  • Network card Network card
  • the virtual network card of the first node encapsulates the "intranet communication message", adds the real Internet protocol address of the second node, and forms an "encapsulated message", and uses the real Internet protocol address of the first node to pass the message.
  • the real network card is sent to the second node;
  • the second node After receiving the "encapsulated message", the second node parses the virtual network card of the second node to obtain an internal "intranet communication message";
  • the second node submits the “intranet communication message” to the web application.
  • the first node performs network connection with the second node directly through the current real Internet protocol address, so that the network application of both parties completes using the real Internet protocol address of the first node and the real Internet protocol address of the second node.
  • the process of communication is
  • the packet encapsulation/decapsulation in the above process is transparent to the network application in the first node and the second node, and the network application considers that the first node is directly used to communicate with the virtual protocol address of the second node.
  • the processing device of the virtual private network node information provided by the embodiment of the present invention may send the registration information of the second node that is queried by the first node to the first node, so that a direct network tunnel can be established between the first node and the second node.
  • Embodiments of the present invention provide a network tunnel establishment method, a data transmission method, a communication system, and related devices, which are used to improve data transmission performance in a VPN.
  • an embodiment of a method for establishing a network tunnel in an embodiment of the present invention includes: 1401: A first VPN node initiates a query request to a corresponding VPN gateway according to a locally preset VPN gateway address.
  • the node identifier of the second VPN node may be determined, and the specific node identifier may be a node name, a node number, or the like, which is not limited herein.
  • the first VPN node may request to establish a direct network tunnel with the second VPN node, and the first VPN node needs to know the registration information of the second VPN node, and then the first VPN node sends the VPN network to the VPN network. And sending the query request to request to obtain the registration information of the second VPN node, where the query request carries the node identifier of the second VPN node, so that the VPN gateway performs the query.
  • IPgw IPgw
  • IPgw IP, VPN gateway
  • Internet Protocol Internet Protocol address
  • Pgw the port number used by the VPN gateway during the query.
  • the address of the VPN gateway may be other types, such as a Uniform Resource Locator (URL) address, and the specific address type is not limited herein.
  • URL Uniform Resource Locator
  • the first VPN node may send the query request to the corresponding VPN gateway according to the locally preset VPN gateway address.
  • the first VPN node receives registration information of the second VPN node fed back by the VPN gateway. After sending the query request to the VPN gateway, the first VPN node can obtain the query result from the VPN gateway, and the query result is the registration information of the second VPN node.
  • each node needs to register with the VPN gateway in the VPN when joining the VPN.
  • the VPN gateway saves the registration information of the VPN node requesting registration.
  • the registration information of the second VPN node in this embodiment includes at least the address information of the second VPN node.
  • the first VPN node establishes a direct network tunnel with the second VPN node according to the registration information of the second VPN node.
  • the first VPN node may establish a direct network tunnel with the second VPN node according to the address information of the second VPN node included in the registration information.
  • the registration information about the second VPN node is obtained from the VPN gateway, and the registration information includes the address information of the second VPN node
  • the first VPN node can establish a direct network tunnel with the second VPN node according to the address information of the second VPN node, and the first VPN node and the second VPN node can perform data transmission through the direct network tunnel without using a VPN.
  • the gateway forwards the data, so The data processing pressure of the VPN gateway is reduced, and the load of each network element in the VPN is balanced, thereby improving the performance of data transmission in the VPN.
  • FIG. 15 another embodiment of the network tunnel establishment method in the embodiment of the present invention includes:
  • the first VPN node sends a query request to the corresponding VPN gateway according to the locally preset VPN gateway address.
  • step 201 is the same as step 101 in the foregoing embodiment, and details are not described herein again.
  • the first VPN node receives registration information of the second VPN node fed back by the VPN gateway. After sending the query request to the VPN gateway, the first VPN node can obtain the query result from the VPN gateway, and the query result is the registration information of the second VPN node.
  • the registration information of the second VPN node in this embodiment may include address information of the second VPN node, and may further include transmission tunneling protocol parameters, network connection mode parameters, and encryption parameters.
  • the transport tunneling protocol parameter is used to indicate the type of the direct-connected network tunnel that the first VPN node and the second VPN node need to establish, that is, the protocol used to establish the direct-connected network tunnel.
  • the network connection mode parameter is used to indicate whether the second VPN node supports establishing a direct network tunnel. It should be noted that if the second VPN node joins the VPN through the address translation device, the VPN gateway detects that the second VPN node joins the VPN.
  • the real address used is the address of the address translation device, and is not the real address of the second VPN node. Therefore, the VPN gateway can set the network connection mode parameter in the registration information of the second VPN node to "disable direct connection".
  • the encryption parameter is used to indicate whether the direct network tunnel established by the first VPN node and the second VPN node needs to be encrypted. If encryption is needed, what encryption algorithm is used.
  • the registration information of each node stored in the VPN gateway can be as follows: Table 1
  • NID-2 IP2 P2 VIP2 IPsec Yes, A Warrier-2 connection
  • NID-3 IP3 P3 VIP3 SSL Yes, B Warrier-3 connection
  • step 1503. Determine whether the second VPN node is allowed to establish a direct network tunnel. If yes, go to step 204. If no, go to step 206.
  • the first VPN node determines, according to the network connection mode parameter in the registration information, whether the second VPN node is allowed to establish a direct network tunnel. If yes, step 204 is performed. If not, go to step 206.
  • the first VPN node sends a tunnel establishment request to the second VPN node.
  • the first VPN node may send a tunnel establishment request to the second VPN node according to the address information of the second VPN node, where the tunnel establishment request may carry the first The node identifier of a VPN node, the address information of the first VPN node, and the transmission tunneling protocol parameters.
  • the tunnel establishment request in this step may further carry the first VPN node according to the encryption.
  • the key is determined by the algorithm to facilitate the key negotiation with the second VPN node.
  • the process of initially determining the key according to the encryption algorithm is common knowledge of those skilled in the art, and is not limited herein.
  • the first VPN node receives a tunnel establishment response fed back by the second VPN node.
  • the second VPN node after receiving the tunnel establishment request sent by the first VPN node, saves the node identifier of the first VPN node and the address information of the first VPN node in the tunnel establishment request, and according to the transmission tunneling protocol.
  • the parameter performs the relevant tunnel establishment process, and then returns a tunnel establishment response to the first VPN node. If the tunnel establishment request carries the key initially determined by the first VPN node, the tunnel establishment response may also carry the second VPN node to determine. Eventually The key used.
  • the operation of the second VPN node to perform the relevant tunnel establishment process according to the parameters of the transmission tunneling protocol may include the operations of allocating resources, setting the port, and the like, and may also include other operations in the actual application, which is not limited herein.
  • the second VPN node may be preset with a "node-tunnel" information list, where the information about the directly connected network tunnel established by the second VPN node is stored, as shown in the following table. :
  • the first VPN node receives the tunnel establishment response sent by the second VPN node, saves the node identifier of the second VPN node and the address information of the second VPN node, and performs a related tunnel establishment process according to the transmission tunneling protocol parameter.
  • the operation of the first VPN node to perform the relevant tunnel establishment process according to the parameters of the transmission tunneling protocol may include allocating resources, setting ports, and the like, and may also include other operations in the actual application, which is not limited herein.
  • the first VPN node may also be preset with a "node-tunnel" information list, where the information about the directly connected network tunnel established by the first VPN node is stored, which may be as follows: Show:
  • a direct network tunnel is established between the first VPN node and the second VPN node (ie, the VPN node whose node name is NID-2).
  • the ID of the track is Tunnel-1.
  • the first VPN node determines that the second VPN node is not allowed to establish a direct-connected network tunnel, the first VPN node can communicate with the second VPN node in the manner of the VPN gateway.
  • the specific process is common knowledge of the person skilled in the art, and is not limited herein.
  • the address information of the first VPN node and the second VPN node may be the respective Internet Protocol version 4 IPv4 address, or the Internet Protocol version 6 IPv6 address, or the URL address.
  • the registration information about the second VPN node is obtained from the VPN gateway, and the registration information includes the address information of the second VPN node
  • the first VPN node can establish a direct network tunnel with the second VPN node according to the address information of the second VPN node, and the first VPN node and the second VPN node can perform data transmission through the direct network tunnel without using a VPN.
  • the gateway forwards the data, so the data processing pressure of the VPN gateway is reduced, and the load of each network element in the VPN is balanced, thereby improving the performance of data transmission in the VPN.
  • the registration information of the second VPN node may further include a network connection mode parameter, and the first VPN node establishes a direct connection network with the second VPN node only when the network connection mode parameter indicates that the second VPN node allows direct connection. Tunneling, thereby avoiding the problem that when the second VPN node joins the VPN using the address translation device, establishing a direct network tunnel with the second VPN node may cause communication failure.
  • the registration information of the second VPN node may further include an encryption parameter, so that the first VPN node can perform key negotiation with the second VPN node to establish an encrypted direct-connected network tunnel, thereby improving data transmission security.
  • a further embodiment of the network tunnel establishment method in the embodiment of the invention includes:
  • the second VPN node receives a tunnel establishment request sent by the first VPN node.
  • the second VPN node receives the tunnel establishment request sent by the first VPN node,
  • the tunnel establishment request includes a node identifier of the first VPN node and address information of the first VPN node.
  • the tunnel establishment request in this embodiment may further include a transmission tunnel protocol parameter, where the transmission tunneling protocol parameter is used to indicate a protocol used to establish the direct network tunnel.
  • the second VPN node feeds back a tunnel establishment response to the first VPN node.
  • the second VPN node After receiving the tunnel establishment request, the second VPN node saves the node identifier of the first VPN node and the address information of the first VPN node, performs a related tunnel establishment process, and feeds back a tunnel establishment response to the first VPN node.
  • the operation of the second VPN node to perform the related tunnel establishment may include allocating resources, setting the port, and the like, and may also include other operations in the actual application, which is not limited herein.
  • the second VPN node performs a related tunnel establishment procedure according to the transmission tunneling protocol parameter.
  • the address information of the first VPN node may be an IPv4 address, or an IPv6 address, or a URL address.
  • the second VPN node may establish a direct network tunnel with the first VPN node according to the tunnel establishment request sent by the first VPN node for data transmission, without forwarding data through the VPN gateway, thereby reducing the data of the VPN gateway.
  • the processing pressure balances the load of each network element in the VPN, thereby improving the performance of data transmission within the VPN.
  • the network tunnel establishment method in the embodiment of the present invention is described above from the perspective of the first VPN node and the second VPN node.
  • the operation performed by the VPN gateway in this embodiment is described from the perspective of the VPN gateway.
  • An embodiment of the data transmission method in the embodiment of the present invention includes:
  • the VPN gateway receives a query request sent by the first VPN node.
  • the first VPN node when the first VPN node requests to establish a direct network tunnel with the second VPN node, the first VPN node sends a query request to the VPN gateway to query the registration information of the second VPN node, where the query request carries the first The node identifier of the second VPN node.
  • the VPN gateway receives the registration request of each node, and the registration request carries at least the node identifier and the address information of the node, and Further carrying the transmission tunneling protocol parameters, network connection mode parameters and encryption parameters of the node.
  • the VPN gateway saves the registration information of the VPN node requesting registration.
  • the registration information of each VPN node saved by the VPN gateway may be as shown in Table 1 above.
  • the VPN gateway locally queries the registration information of the second VPN node.
  • the VPN gateway may query the foregoing Table 1 according to the node identifier to query the registration information of the second VPN node, and the queried registration information includes at least the second
  • the address information of the VPN node may further carry the transmission tunneling protocol parameters, the network connection mode parameter, and the encryption parameter of the second VPN node.
  • the VPN gateway feeds back, to the first VPN node, registration information of the second VPN node.
  • the VPN gateway may feed back the registration information of the second VPN node to the first VPN node, so that the first VPN node can register with the second VPN node according to the registration information of the second VPN node. Establish a direct network tunnel.
  • the VPN gateway may feed back the registration information of the second VPN node to the first VPN node according to the query request of the first VPN node, so that the first VPN node establishes a direct connection with the second VPN node according to the registration information of the second VPN node.
  • the first VPN node and the second VPN node can transmit data through the direct network tunnel without forwarding data through the VPN gateway, thus reducing the data processing pressure of the VPN gateway and balancing the networks in the VPN.
  • the load of the element thereby improving the performance of data transmission within the VPN.
  • FIG. 18 is a structural diagram of a virtual private network server according to an embodiment of the present invention.
  • the virtual private network server may include:
  • the receiving unit 1801 is configured to receive a message sent by the first node, where the message is used to query registration information of the second node;
  • the sending unit 1802 is configured to send registration information of the second node stored in advance to the first node, so that the first node establishes a corresponding network tunnel with the second node, and the registration of the second node
  • the information includes at least information as to whether the second node accepts an external connection.
  • the message sent by the first node received by the receiving unit 1801 may be further used to query the registration information of the first node, and the sending unit 1802 may further send the message to the first node.
  • the corresponding network tunnels in this embodiment include a direct-connected network tunnel in direct-connected channel mode and an indirect network tunnel in virtual switched mode.
  • the registration information of the second node may include, but is not limited to, the current real IP address of the second node, the virtual IP address, and information about whether to accept the external connection;
  • the registration information of the first node may include, but is not limited to, the current real IP address of the first node, the virtual IP address, and information of whether to accept the external connection.
  • the receiving unit 1801 is further configured to receive an access request message sent by the first node and an access request message sent by the second node;
  • the access request message sent by the first node includes the node name of the first node and the current real IP address;
  • the access request message sent by the second node includes the node name of the second node and the current real IP address;
  • the allocating unit 1803 is configured to allocate a virtual IP address to the first node according to the access request message sent by the first node received by the access unit 1801, and determine whether the first node accepts the information of the external connection;
  • the access request message sent by the second node received by the access unit 1801 the virtual IP address of the second node is allocated, and the information of whether the second node accepts the external connection is determined.
  • the storage unit 1804 is configured to store a correspondence between a node name of the first node, a current real IP address, an assigned virtual IP address, and information about whether to accept an external connection;
  • the allocating unit 1803 sends a connection request for establishing a network tunnel to the first node to determine whether the first node accepts the external connection, when the specified time is within the specified time. After receiving the response returned by the first node, confirm the first section The point accepts the external connection; conversely, if the response returned by the first node cannot be received within the specified time, it is confirmed that the first node does not accept the external connection;
  • the current real IP address of the second node refers to the legal address of the second node in the Internet network, and may specifically be the network IP address of the second node in the Internet network, or the second node in the Internet network.
  • the address combined with the IP address and the TCP I UDP port, or other service address represented by the URL of the second node in the Internet network;
  • the current real IP address of the first node refers to the legal address of the first node in the Internet network, and may specifically be the IP address of the first node in the Internet network, or the IP address of the first node in the Internet network.
  • the receiving unit 1801 in the virtual private network server provided by the embodiment of the present invention may receive the request of the first node, and the sending unit 1802 may be according to the first
  • the request of the node sends the registration information of the second node and the first node to the first node, so that the first node can know whether the second node and the first node accept the external connection before establishing the network tunnel with the second node. Further establishing a corresponding network tunnel with the second node avoids the attempt to establish a direct-connected network tunnel when the two nodes can only connect in the virtual switching mode, thereby reducing the waste of network resources, and Improve the efficiency of establishing network tunnels.
  • FIG. 19 is a structural diagram of a virtual private network system according to an embodiment of the present invention.
  • the virtual private network system may include:
  • the virtual private network node 1901 is configured to query the virtual private server 1902 for registration information of the second node to determine whether the second node accepts the external connection, and the registration information of the second node includes at least information about whether the second node accepts the external connection. ; according to the registration information obtained, and the second The node establishes a corresponding network tunnel;
  • a virtual private network server 1902 configured to receive a message sent by the virtual private network node 1901, where the message is used to query registration information of the second node; and the registration information of the second node stored in advance is sent to the virtual private network node 1901, so that The virtual private network node 1901 establishes a corresponding network tunnel with the second node, and the registration information of the second node includes at least information about whether the second node accepts the external connection.
  • the structure of the virtual private network node 1901 introduced in this embodiment has the same function as the virtual private network node structure described in the foregoing third embodiment, and the present embodiment does not reproduce the same herein.
  • the virtual private network introduced in this embodiment is good.
  • the structure of the server 1902 is the same as that of the virtual private network server structure described in the fourth embodiment, and the present embodiment is not repeated here.
  • FIG. 20 is a schematic diagram of a VPN network according to an embodiment of the present invention.
  • the VPN network provided in this embodiment may include a VPN server and a VPN node.
  • the VPN node may include, but is not limited to, a computer and other user terminals; wherein the VPN server must have a legal address in the Internet network (the address form may be an IP address, a combination of an IP address and a TCP/UDP port, or other URLs) Service address), and can receive data packets from the Internet network using its legal Internet address.
  • the address form may be an IP address, a combination of an IP address and a TCP/UDP port, or other URLs) Service address
  • the VPN server needs to have a node registration function and an information query function. That is, when a node accesses the VPN network, the VPN server needs to allocate the virtual IP address used by the first node in the VPN network to the node; and the node name of the first node, the current real IP address, and the assigned virtual IP address. Whether to accept external connections, even encryption parameters and other information for registration;
  • the VPN server allows nodes in the VPN network to query the registration information of other VPN nodes according to information such as the node name of other VPN nodes and the virtual IP address of other VPN nodes.
  • the node in this embodiment should have a communication function with the VPN server; and initiate a request for establishing a network tunnel with other nodes in the VPN network; meanwhile, the node in this embodiment should also have a receiving VPN network.
  • the corresponding network tunnel includes a direct-connected network tunnel and a virtual switch in the direct-connected channel mode. Indirect network tunnel in mode.
  • ID-1, ID-2 ID-3, ID-4; ID-1 and ID-2 are legal IP addresses in the Internet.
  • the computer is allowed to accept connections from the Internet;
  • ID-3 and ID-4 are both in the NAT network, do not have Internet legal addresses, and are not allowed to accept network connections from the Internet.
  • the network can directly establish a two-way network connection, such as between ID-1 and ID-2, any one node can actively establish a network tunnel to another node;
  • ID-1 does not have a legal IP address within the NAT network, only ID-3 is allowed to actively ID.
  • ID-3 establishes a network tunnel, and does not allow a network tunnel to be established by ID-1 to ID-3;
  • ID-3 and ID-4 are both in the NAT network, they do not have legal IP addresses, so ID-3 and ID-4. A direct tunnel cannot be established.
  • ID-3 and ID-4 can only establish a network tunnel with the VPN server respectively. The communication data between ID-3 and ID-4 must be transferred via the VPN server.
  • ID-1 in the VPN network shown in Figure 20 needs to communicate with ID-2 and ID-3.
  • ID-1 queries the VPN server for the registration information of ID-2 and ID-3.
  • ID-1 queries the VPN server for the registration information of ID-1.
  • the ID-1 sends a query message to the VPN server, where the query message is used to query the VPN server for the registration information of the ID-2; wherein the query message may include the name of the ID-2 and /ID-2 Current real IP address;
  • the ID-1 sends a query message to the VPN server, where the query message is used to query the VPN server for the registration information of the ID-3; wherein the query message may include the name of the ID-3 and the current real IP address of the /ID-3;
  • the ID-1 sends a query message to the VPN server, where the query message is used to query the VPN server for the registration information of the ID-1; wherein the query message may include the name of the ID-1 and the current reality of the /ID-1. IP address.
  • the VPN server After receiving the query message sent by ID-1, the VPN server queries the registration letters of ID-2 and ID-3. Interest and happen to ID-1.
  • Table 1 shows the registration messages of the node ID-1, ID-2 ID-3, and ID-4 in the VPN network shown in FIG. 3 stored in advance by the VPN server.
  • ID-3 and ID-4 are both in the NAT device, the current real IP address of ID-3 and ID-4 is actually the real IP address of the NAT device used by ID-3 and ID-4.
  • the registration information of the query ID-2 is: the name is NID-2, the real address is IP2: P2, and the virtual IP address VIP2 is allowed to accept external connection;
  • the registration information of ID-3 is: The name is NID-3, the real address is IP3:P3, and the virtual IP address is VIP3. External connections are not allowed.
  • the registration information of the query ID-1 is: The name is NID-1, the real address is IP1: P1, and the virtual IP address VIP1 is allowed to accept external connections.
  • the VPN server sends the registration information of ID-2, ID-3, and ID-1 to ID-1 according to the registration information of ID-2, ID-3, and ID-1.
  • the VPN server can also select only some ID-2, ID-3, and ID-1 registration information to be sent to ID-1.
  • the real address in the ID-2 registration information is IP2: P2, and the external connection is allowed.
  • the ID-3 registration information is not allowed to accept external connections, and the real address in the ID-1 registration information is IP1: P1, allowing external connections to be sent to ID-1.
  • ID-1 After ID-1 receives the registration information of ID-2, ID-3, and ID-1 sent by the VPN server, and finds that the ID-2 point accepts the external connection, ID-1 sends a network tunnel request to ID-2. If the response sent by ID-2 is received, the direct connection network in the direct channel mode between ID-1 and ID-2 is completed. Network tunnel
  • ID-3 does not accept the external connection, and ID-1 accepts the external connection, then ID-1 sends a message to ID-3 for prompting ID-3 to actively establish a network tunnel to ID-1; receiving the establishment of ID-3 transmission Network tunnel request; After the response sent to ID-3, the indirect network tunnel in the virtual exchange mode between ID-1 and ID-3 is completed.
  • ID-3 queries the VPN server for the registration information of ID-4.
  • ID-3 queries the VPN server for the registration information of ID-4.
  • the ID-3 sends a query message to the VPN server, where the query message is used to query the VPN server for the registration information of the ID-4; wherein the query message may include the name of the ID-4 and /ID-4 Current real IP address;
  • the ID-3 sends a query message to the VPN server, where the query message is used to query the VPN server for the registration information of the ID-3.
  • the query message may include the name of the ID-3 and the current real IP address of the /ID-3.
  • the VPN server After receiving the query message sent by ID-3, the VPN server queries the ID-4 registration information as: Name is NID-4, real address is IP4: P4, virtual IP address is VIP4, external connection is not allowed; Query ID The registration information of -3 is: The name is NID-3, the real address is IP3: P3, and the virtual IP address is VIP3. External connections are not allowed.
  • the VPN server sends the registration information of ID-4 and ID-3 to ID-3 according to the registered ID-4 and ID-3 registration information.
  • the VPN server can also only select some ID-4, ID-3 registration information to send to ID-3, for example, the ID-4 registration information is not allowed to accept external connections, ID-3 registration information is not Allow external connections to be sent to ID-3.
  • ID-3 After receiving the registration information of ID-4 and ID-3 sent by the VPN server, ID-3 finds that ID-4 does not accept external connection, and ID-3 does not accept external connection, indicating ID-3 and ID-4. If a direct network tunnel cannot be established, the ID-3 sends a network tunnel request to the VPN server; after receiving the response sent by the VPN server, completing a network tunnel with the VPN server;
  • the ID-3 sends a network tunneling message to the ID-4, so that the ID-4 establishes a network tunnel to the VPN server, thereby establishing a network tunnel of the ID-4 and the VPN server.
  • the VPN server As the relay device between ID-3 and ID-4, receive the communication data sent by ID-3 and forward it to ID-4; at the same time, receive the communication data sent by ID-4 and forward it to ID-3, thus indirectly establishing A network tunnel between ID-3 and ID-4.
  • the VPN server needs to register the registration messages of ID-1, ID-2, ID-3, and ID-4 in advance, specifically:
  • the VPN server receives the access request messages sent by ID-1, ID-2, ID-3, and ID-4, respectively, where the access request messages sent by ID-1, ID-2, ID-3, and ID-4 are respectively sent. Including the respective node name and current real IP address;
  • ID-1, ID-2, ID-3, and ID-4 The information about whether to accept the external connection by ID-1, ID-2, ID-3, and ID-4 is specifically as follows:
  • ID-1, ID-2, ID-3, and ID-4 After assigning their respective virtual IP addresses to ID-1, ID-2, ID-3, and ID-4, respectively, send a network tunnel to ID-1, ID-2, ID-3, and ID-4 respectively. Connection request to determine whether ID-1, ID-2, ID-3, ID-4 accept external connections;
  • ID-1 and ID-2 After receiving the response returned by ID-1 and ID-2 within the specified time, it is considered that ID-1 and ID-2 accept the external connection, that is, ID-1, ID-2, and "whether accept external connection” attribute is ' ⁇ ' "; When the response returned by ID-3 and ID-4 cannot be received within the specified time, it is considered that ID-3 and ID-4 do not accept the external connection, that is, the "Accept external connection” attribute of ID-3, ID-4" It is "NO".
  • the node In addition, if the node itself stores the registration information of the first node, the node only needs to
  • the VPN server can query the registration information of the second node, and it is not necessary to query the VPN server for the registration information of the first node again.
  • the node may query the registration information of other nodes from the VPN server before establishing a network tunnel with other nodes. Registration information of a node, so that it can know whether other nodes and the first node accept external connections, and then establish corresponding network tunnels with other nodes, thereby avoiding when two nodes can only connect in virtual switching mode, such two nodes still get on
  • the attempt to establish a direct network tunnel can reduce the waste of network resources and improve the efficiency of establishing a network tunnel.
  • the foregoing storage medium includes: a read only memory (ROM, Read-Only Memory), a random access memory (RAM), or an optical disc, and the like can store program codes. Medium.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本申请要求于 2009 年 5 月 4 日提交中国专利局， 申请号为： 200910139354.3 , 发明名称为 "一种虚拟专用网节点信息的处理方法及相关 设备、 ***"的中国专利申请的优先权。 本申请还要求 2009年 5月 4日提交 于中国专利局的， 申请号为： 200910137660.3 , 发明名称为 "网络隧道建立方 法、 数据传输方法、 通讯***及相关设备" 的中国专利申请的优先权， 以及， 2009年 5月 4 日提交中国专利局， 申请号为： 200910137658.6, 发明名称为 "一种建立网络隧道的方法， 数据处理方法及相关设备" 的中国专利申请的 优先权， 其部分内容通过引用结合在本申请中。 技术领域
本发明涉及通信技术领域， 特别涉及一种虚拟专用网节点信息的处理方 法及相关设备、 ***。
背景技术
目前， 不同的节点设备之间通过一个公用网络（通常是因特网）灵活而 安全地动态组建虚拟专用网 （VPN, Virtual Private Network ) 的技术应用日 益广泛。 VPN网络可以帮助远程用户、 公司分支机构、 商业伙伴及供应商与 公司的内部网建立可信的安全连接， 并保证数据的安全传输。
在现有的 VPN 网络中， 每一个节点上预先配置其它所有节点的注册信 息，比如，配置其它节点设备的当前真实互联网协议（IP， Internet Protocol ) , 虚拟 IP地址以及是否接受外部网络连接信息等。 根据其它节点的注册信息， 节点可以和其它节点建立相应的网络隧道。 比如， 当其它节点接受外部网络 连接信息时，可以根据其它节点的真实 IP地址与其它节点建立直连通道模式 下的网络隧道； 当其它节点不接受外部网络连接信息时， 可以根据其它节点 的虚拟 IP地址与其它节点建立虚拟交换模式下的网络隧道。
发明人发现， 在现有的 VPN网络中， 当加入一个节点时， 需要在加入的 节点上配置其它原有节点的注册信息； 同时， 还需要调整其它原有节点的配 置； 当一个节点脱离网络时， 也需要调整其它原有节点的配置， 即在现有的 VPN网络中节点的加入或脱离， 必然会导致其它节点相应调整自身配置， 因 此，现有的 VPN网络一般只适用于拓朴结构和网络配置较为固定的环境，灵 活性较差。 发明内容
本发明实施例提供了一种虚拟专用网节点信息的处理方法及相关设备、 ***， 可以提高 VPN网络的灵活性。
为实现上述目的， 本发明实施例提供如下技术方案：
本发明实施例提供了一种虚拟专用网节点信息的处理方法， 包括： 接收节点发送的接入请求消息， 该接入请求消息至少携带所述节点的认 证信息、 当前真实互联网协议地址， 节点名称以及是否接受外部网络连接信 息；
当所述节点的认证信息正确时， 给所述节点分配虚拟互联网协议地址； 将所述节点的当前真实互联网协议地址、 节点名称， 是否接受外部网络 连接信息以及虚拟互联网协议地址作为注册信息进行登记。
本发明实施例提供了一种虚拟专用网节点信息的处理设备， 包括： 第一接收单元， 用于接收节点发送的接入请求消息， 该接入请求消息至 少携带所述节点的认证信息、 当前真实互联网协议地址， 节点名称以及是否 接受外部网络连接信息；
判断单元， 用于判断所述节点的认证信息是否正确；
分配单元， 用于当所述判断单元判断所述节点的认证信息正确时， 给所 述节点分配虚拟互联网协议地址；
登记单元， 用于将所述节点的当前真实互联网协议地址、 节点名称， 是 否接受外部网络连接信息以及虚拟互联网协议地址作为注册信息进行登记。
本发明实施例提供了一种虚拟专用网节点设备， 包括：
获取单元， 用于获取自身的认证信息、 当前真实互联网协议地址， 节点 名称以及是否接受外部网络连接信息；
发送单元， 用于将所述认证信息、 当前真实互联网协议地址， 节点名称 以及是否接受外部网络连接信息放入接入请求消息后， 发送给虚拟专用网节 点信息的处理设备。
本发明实施例提供了一种虚拟专用网***， 包括：
虚拟专用网节点设备和虚拟专用网节点信息的处理设备；
所述虚拟专用网节点设备， 用于获取自身的认证信息、 当前真实互联网 协议地址、 节点名称以及是否接受外部网络连接信息， 并将所述认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接信息放入接 入请求消息之后， 发送给所述虚拟专用网节点信息的处理设备；
所述虚拟专用网节点信息的处理设备， 用于接收所述虚拟专用网节点设 备发送的接入请求消息， 该接入请求消息至少携带所述虚拟专用网节点设备 的认证信息、 当前真实互联网协议地址， 节点名称以及是否接受外部网络连 接信息； 当判断所述认证信息正确时， 给所述虚拟专用网节点设备分配虚拟 互联网协议地址；并将所述虚拟专用网节点设备的当前真实互联网协议地址、 节点名称、 是否接受外部网络连接信息以及虚拟互联网协议地址作为注册信 息进行登记。
本发明实施例提供的网络隧道建立方法， 包括： 第一虚拟专用网 VPN 节点根据本地预置的 VPN网关地址向对应的 VPN网关发起查询请求， 所述 查询请求中携带第二 VPN节点的节点标识； 第一 VPN节点接收所述 VPN 网关反馈的所述第二 VPN节点的注册信息， 所述第二 VPN节点的注册信息 至少包括所述第二 VPN节点的地址信息； 第一 VPN节点根据所述第二 VPN 节点的注册信息与所述第二 VPN节点建立直连网络隧道。
本发明实施例提供的网络隧道建立方法， 包括： 第二 VPN节点接收第一 VPN节点发送的隧道建立请求， 所述隧道建立请求中包含第一 VPN节点的 节点标识以及第一 VPN节点的地址信息； 第二 VPN节点保存所述第一 VPN 节点的节点标识以及所述第一 VPN 节点的地址信息， 执行相关隧道建立流 程， 向所述第一 VPN节点反馈隧道建立响应。
本发明实施例提供的数据传输方法， 包括： VPN网关接收第一 VPN节 点发送的查询请求， 所述查询请求中携带第二 VPN 节点的节点标识； VPN 网关根据所述第二 VPN节点的节点标识在本地查询所述第二 VPN节点的注 册信息 ,所述第二 VPN节点的注册信息至少包括第二 VPN节点的地址信息； VPN网关向所述第一 VPN节点反馈所述第二 VPN节点的注册信息， 以便于 所述第一 VPN节点根据所述第二 VPN节点的注册信息与所述第二 VPN节点 建立直连网络隧道。
本发明实施例提供的虚拟专用网络服务器， 包括： 接收单元， 用于接收 第一节点发送的消息， 所述消息用于查询第二节点的注册信息； 发送单元， 用于将预先存储的第二节点的注册信息发送至所述第一节点， 以使所述第一 节点与所述第二节点建立相应的网络隧道， 所述第二节点的注册信息至少包 括所述第二节点是否接受外部连接的信息。
本发明实施例提供的虚拟专用网络***， 包括： 虚拟专用网络节点和虚 拟专用网络服务器； 所述虚拟专用网络节点， 用于向所述虚拟专用网络服务 器查询第二节点的注册信息， 以确定所述第二节点是否接受外部连接， 所述 第二节点的注册信息至少包括所述第二节点是否接受外部连接的信息； 根据 查询到的所述注册信息， 与所述第二节点建立相应的网络隧道； 所述虚拟专 用网络服务器， 用于接收所述虚拟专用网络节点发送的消息， 所述消息用于 查询第二节点的注册信息； 将预先存储的第二节点的注册信息发送至所述虚 拟专用网络节点， 以使所述虚拟专用网络节点与所述第二节点建立相应的网 络隧道， 所述第二节点的注册信息至少包括所述第二节点是否接受外部连接 的信息。
从以上技术方案可以看出， 本发明实施例具有以下优点：
与现有的技术相比， 本发明实施例采用了虚拟专用网节点信息的处理设 备对 VPN节点的注册信息进行集中登记， 避免了在每一个 VPN节点上配置 其它 VPN节点的注册信息， 当加入一个 VPN节点时， 只需在虚拟专用网节 点信息的处理设备上对加入的 VPN节点的注册信息进行登记即可，无需调整 其它 VPN节点的配置， 从而使得 VPN可以支持动态变化的网络结构， 提高 了 VPN网络的灵活性； ；
本发明实施例中， 当第一 VPN节点期望与第二 VPN节点进行通信时， 会从 VPN网关获取到有关第二 VPN节点的注册信息， 而该注册信息中包含 第二 VPN节点的地址信息，因此第一 VPN节点能够根据该第二 VPN节点的 地址信息与第二 VPN节点建立直连网络隧道， 第一 VPN节点和第二 VPN 节点即可通过该直连网络隧道进行数据传输， 而无需通过 VPN 网关转发数 据， 所以减少了 VPN网关的数据处理压力， 均衡了 VPN内各网元的负荷， 从而提高 VPN内数据传输的性能；
本发明实施例使得 VPN 网络中的第一节点可以了解第二节点的注册信 息， 该注册信息中包含第二节点是否接受外部连接的信息， 从而第一节点可 以根据该第二节点的注册信息和第二节点建立相应的网络隧道， 避免了当第 二节点不接受外部连接时， 仍然进行直连网络隧道建立的尝试， 从而可以减 少网络资源的浪费， 并提高建立网络隧道的效率。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例中所需要使用的附图作筒单地介绍， 显而易见地， 下面描述中的附图仅 仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性 劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1 为本发明实施例中提供的一种虚拟专用网节点信息的处理方法的流 程图；
图 2 为本发明实施例中提供的一种查询节点注册信息的方法的流程图； 图 3 为本发明实施例中提供的一种虚拟专用网节点通信方法的流程图； 图 4 为本发明实施例中提供的一种虚拟专用网节点信息的处理方法的流 程图；
图 5 为本发明实施例中提供的一种虚拟专用网节点信息的处理设备的结 构图；
图 6 为本发明实施例中提供的一种虚拟专用网节点信息的处理设备的结 构图；
图 7 为本发明实施例中提供的一种虚拟专用网节点信息的处理设备的结 构图；
图 8 为本发明实施例中提供的一种虚拟专用网节点设备的结构图； 图 9 为本发明实施例中提供的一种虚拟专用网***的结构图；
图 10 为本发明实施例中提供的一种虚拟专用网的示意图； 图 11 为本发明实施例中提供的一种查询节点注册信息的方法流程图； 图 12 为本发明实施例中提供的一种虚拟专用网节点通信方法的流程图； 图 13 为本发明实施例中提供的一种虚拟专用网节点通信方法的流程图； 图 14为本发明实施例中提供的网络隧道建立方法一个实施例的流程图； 图 15为本发明实施例中提供的网络隧道建立方法另一实施例的流程图； 图 16为本发明实施例中提供的网络隧道建立方法再一实施例的流程图； 图 17为本发明实施例中提供的数据传输方法一个实施例的流程图； 图 18为本发明实施例中提供的一种虚拟专用网络服务器的结构图； 图 19为本发明实施例中提供的一种虚拟专用网络***的结构图； 图 20为本发明实施例中提供的一种 VPN网络示意图； 下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
实施例一：
请参阅图 1 ,图 1为本发明实施例一提供的一种虚拟专用网节点信息的处 理方法的流程图。 如图 1所示， 该方法可以包括：
101：接收节点发送的接入请求消息，该接入请求消息至少携带节点的认 证信息、 当前真实互联网协议地址， 节点名称以及是否接受外部网络连接信 息；
其中， 本实施例及后续实施例中所说的节点包括但不限于移动手机， 掌 上电脑， 个人电脑， 服务器以及网关等等。
优选地， 本实施例及后续实施例中所说的节点认证信息包括但不限于节 点的账号和口令； 其中， 节点的认证信息是由服务提供商预先根据节点期望 接入的 VPN网络的需要（如， 节点数量以及 VPN网络拓朴结构等） 而提供 的。
举例来说， 节点的当前真实互联网协议地址可以是节点在因特网中的互 联网协议（IP, Internet Protocol )地址， 例如， 互联网协议第四版 IPv4地 址， 或互联网协议第六版 IPv6地址， 或者是节点在因特网中的 IP地址与传 输控制协议 ( TCP, Transmission Control Protocol ) /用户数据报协议（ UDP， User Datagram Protocol )端口组合后的地址， 或者是节点在因特网中的以统 一资源定位符（ URL， Uniform Resource Locator )表示的其他服务地址， 具体 地址类型此处不做限定。
当然， 接入请求消息除了携带节点的认证信息、 当前真实互联网协议地 址， 节点名称以及是否接受外部网络连接信息之外， 还可以携带节点的其它 相关信息。
102： 当所述节点的认证信息正确时， 给节点分配虚拟互联网协议地址； 如果上述 101中接收到的节点的认证信息为节点的账号和口令， 那么在 102 中可以判断节点的账号和口令是否都正确， 如果节点的账号和口令都正 确， 则为该节点分配虚拟互联网协议地址， 并将分配的虚拟 IP地址发送给该 节点；
反之， 如果节点的账号和口令不完全正确， 则不再为节点分配虚拟 IP地 址， 此时， 可以给节点发送错误信息， 并关闭网络连接。
103： 将节点的当前真实互联网协议地址， 节点名称， 是否接受外部网络 连接信息以及虚拟互联网协议地址作为注册信息进行登记。
其中， 将当前真实互联网协议地址、 节点名称， 是否接受外部网络连接 信息以及虚拟互联网协议地址作为注册信息进行登记， 可以实现对节点的注 册信息的集中管理， 这样， 每一个节点上无需再配置其它节点的注册信息， 方便后续节点查询其它节点以及本节点的注册信息。
举例来说、 在上述步骤 103将节点的当前真实互联网协议地址， 节点名 称， 是否接受外部网络连接信息以及虚拟互联网协议地址作为注册信息进行 登记之后， 本发明实施例提供的虚拟专用网节点信息的处理方法还可以允许 节点进行注册信息的查询。 请一并参阅图 2, 图 2为本发明实施例一提供的 一种查询节点注册信息的方法的流程图， 如图 2所示， 该方法可以包括如下 步骤：
201 :接收第一节点发送的查询消息，该查询消息中携带第二节点的节点 名称和 /或第二节点的虚拟互联网协议地址； 202: 根据第二节点的节点名称和 /或第二节点的虚拟互联网协议地址查 询第二节点的注册信息；
203: 向第一节点发送第二节点的注册信息，第二节点的注册信息至少携 带第二节点的是否接受外部网络连接的信息。
本发明实施例提供的虚拟专用网节点信息的处理方法允许第一节点查询 第二节点的注册信息， 为了确切地获知第一节点需要查询的第二节点的注册 信息,要求第一节点发送的查询消息中需要携带有用于识别第二节点的信息， 由于每一个节点的名称以及当前真实互联网协议地址是不相同的， 所以第一 节点发送的查询消息中可以携带第二节点的名称和 /或第二节点的虚拟互联 网协议地址。
当然， 第一节点发送的查询消息中还可以携带其他用于识别第二节点的 信息， 本发明实施例在此不做限定。
举例来说、 在上述步骤 103将节点的当前真实互联网协议地址， 节点名 称， 是否接受外部网络连接信息以及虚拟互联网协议地址作为注册信息进行 登记之后， 本发明实施例提供的虚拟专用网节点信息的处理方法还可以包括 如下步骤：
接收第一节点发送的查询消息， 该查询消息中携带第一节点的节点名称 和 /或第一节点的虚拟互联网协议地址；
根据第一节点的节点名称和 /或第一节点的虚拟互联网协议地址查询第 一节点的注册信息；
向第一节点发送第一节点的注册信息， 第一节点的注册信息至少携带第 一节点的是否接受外部网络连接的信息。
本发明实施例提供的虚拟专用网节点信息的处理方法允许第一节点查询 第一节点的注册信息， 同样， 要求第一节点发送的查询消息中需要携带有用 于识别第一节点的信息，比如第一节点的名称和 /或第一节点的虚拟互联网协 议地址等等。
举例来说， 在第一节点在查询到第二节点以及第一节点的注册信息后， 如果发现第二节点不接受外部网络连接， 且第一节点不接受外部网络连接， 则本发明实施例提供的虚拟专用网节点信息的处理方法还可以利用与第一节 点和第二节点之间的网络隧道， 为第一节点和第二节点互相传递信息。 请一 并参阅图 3 , 图 3为本发明实施例一提供的一种虚拟专用网节点通信方法的 流程图， 如图 3所示， 该方法可以包括如下步骤：
301 : 分别接收第一节点和第二节点发送的建立网络隧道请求；
302: 分别向第一节点和第二节点发送建立网络隧道响应， 从而分别建 立所述第一节点和第二节点之间的网络隧道；
303: 利用第一节点和第二节点之间的网络隧道， 为第一节点和第二节 点互相传递信息。
其中， 第二节点在发送建立网络隧道请求之前， 需要接收第一节点发送 的提示消息， 该提示消息是第一节点在发现第二节点不接受外部网络连接， 且第一节点不接受外部网络连接的情况发送的， 用于提示第二节点需要和第 一节点建立虚拟通道模式下的间接网络连接。
其中， 第一节点发送的建立网络隧道请求是以第一节点的虚拟互联网协 议地址发送的， 第二节点发送的建立网络隧道请求是以第二节点的虚拟互联 网协议地址发送的。
举例来说， 在第一节点查询到第二节点以及第一节点的注册信息后， 如 果发现第二节点接受外部网络连接， 则第一节点可以主动向第二节点发送建 立网络隧道请求； 第一节点接收第二节点发送的响应后， 建立与第二节点之 间的直连通道模式下的直连网络隧道。
其中， 第一节点与第二节点之间是以当前真实互联网协议地址进行消息 的发送的。
举例来说， 在第一节点查询到第二节点以及第一节点的注册信息后， 如 果发现第二节点不接受外部网络连接， 而第一节点接受外部网络连接， 则第 一节点可以主动向第二节点发送用于提示第二节点向第一节点建立网络隧道 的消息； 第一节点接收第二节点发送的建立网络隧道请求， 并向第二节点发 送响应后， 建立与第二节点之间的直连通道模式下的直连网络隧道。
其中， 第一节点与第二节点之间是以当前真实互联网协议地址进行消息 的发送的。
本发明实施例可以对节点的注册信息进行集中登记 ,避免了在 VPN网络 的每一个节点上配置其它节点的注册信息， 当加入一个节点时， 只需对加入 的节点的注册信息进行登记即可， 无需调整其它节点的配置， 从而使得 VPN 网络可以支持动态变化的网络结构， 提高了 VPN网络的灵活性。
实施例二：
请参阅图 4 , 图 4为本发明实施例二提供的一种虚拟专用网节点信息的处 理方法的流程图。 根据本发明实施例提供的方法， 需要在因特网上预先部署 一个虚拟专用网节点信息的处理设备。 其中， 该虚拟专用网节点信息的处理 设备应该具有当前真实互联网协议地址， 可以是该虚拟专用网节点信息的处 理设备在因特网中的 IP地址， 或者是在因特网中的 IP地址与 TCP/ UDP端口组 合后的地址， 或者在因特网中以 URL表示的其他服务地址。 如图 2所示， 该方 法可以包括：
401 : 虚拟专用网节点信息的处理设备接收节点发送的接入请求信息。 其中， 节点发送的接入请求信息是根据已知的虚拟专用网节点信息的处 理设备的当前真实互联网协议地址发送的。
节点发送的接入请求信息可以携带但不限于节点当前真实互联网协议地 址， 以及认证信息等等。
本实施例及后续实施例中所说的节点认证信息包括但不限于节点的账号 和口令；其中，节点的认证信息是由服务提供商预先根据节点期望接入的 VPN 网络的需要（如， 节点数量以及 VPN网络拓朴结构等） 而提供的。
402: 虚拟专用网节点信息的处理设备接收到节点发送的接入请求信息 后， 判断节点认证信息是否正确， 如果正确， 则执行 403; 反之， 则执行 406。
如果上述 402中虚拟专用网节点信息的处理设备判断节点的账号和口令 是否都正确， 则为节点分配虚拟互联网协议地址， 并将分配的虚拟互联网协 议地址发送给节点；
反之， 如果节点的账号和口令不完全正确， 则不再为节点分配虚拟互联 网协议地址， 此时， 可以给节点发送错误信息， 并关闭网络连接。
403: 为节点分配虚拟互联网协议地址， 并发送给节点。 当节点的认证信息正确后， 虚拟专用网节点信息的处理设备可以给节点 分配虚拟互联网协议地址， 其中， 每一个节点被分配的虚拟互联网协议地址 是互不相同的。
另外， 当虚拟专用网节点信息的处理设备可以和其他不同的 VPN网络之 间建立路由与访问控制策略时， 虚拟专用网节点信息的处理设备的功能和行 为在 VPN网络内的节点看来如同一个虚拟的路由器或者防火墙。 这样， 虚拟 专用网节点信息的处理设备在给节点分配虚拟互联网协议地址的时候， 可以 进一步给节点分配 VPN网络内虚拟网关的虚拟互联网协议地址等信息。
其中， 节点在接收到虚拟专用网节点信息的处理设备发送的虚拟互联网 协议地址之后， 可以对节点内的虚拟网卡进行相应的配置， 然后再向虚拟专 用网节点信息的处理设备发送注册信息。
需要说明的是， 节点发送注册信息是在节点和虚拟专用网节点信息的处 理设备之间建立的安全通道内进行协议封装， 并传输到虚拟专用网节点信息 的处理设备。 其中， 节点和虚拟专用网节点信息的处理设备之间建立的安全 成后建立的。
404: 接收节点发送的请求注册信息， 该请求注册信息中携带有该节点的 注册信息， 包括当前真实互联网协议地址、 虚拟互联网协议地址以及节点名 称等等。
405: 登记该节点的注册信息。
406: 虚拟专用网节点信息的处理设备向节点返回错误信息并关闭此网络 连接。
本实施例与上述实施例一的区别在于， 在实施例一中， 节点在发送接入 请求消息， 该接入请求消息至少携带节点的认证信息， 当前真实互联网协议 地址， 节点名称以及是否接受外部网络连接信息； 这样， 当虚拟专用网节点 信息的处理设备判断节点的认证信息正确之后， 可以给节点分配虚拟互联网 协议地址， 并且直接将节点的当前真实互联网协议地址， 节点名称以及是否 接受外部网络连接信息和虚拟互联网协议地址进行登记； 而本实施例中， 节 点在接收到虚拟专用网节点信息的处理设备分配的虚拟互联网协议地址之 后， 再将节点的当前真实互联网协议地址， 节点名称以及是否接受外部网络 连接信息和虚拟互联网协议地址等作为注册信息发送给的虚拟专用网节点信 息的处理设备进行登记。
本发明实施例可以对节点的注册信息进行集中登记 ,避免了在 VPN网络 的每一个节点上配置其它节点的注册信息， 当加入一个节点时， 只需对加入 的节点的注册信息进行登记即可， 无需调整其它节点的配置， 从而使得 VPN 网络可以支持动态变化的网络结构， 提高了 VPN网络的灵活性。
实施例三：
请参阅图 5 ,为本发明实施例三提供的一种虚拟专用网节点信息的处理设 备的结构图； 本发明实施例提供的虚拟专用网节点信息的处理设备部署在因 特网中， 具有真实的互联网协议地址。 如图 5所示， 该虚拟专用网节点信息 的处理设备可以包括：
第一接收单元 501 , 用于接收节点发送的接入请求消息， 该接入请求消 息至少携带节点的认证信息， 当前真实互联网协议地址， 节点名称以及是否 接受外部网络连接信息；
举例来说， 节点认证信息包括但不限于节点的账号和口令； 其中， 节点 的认证信息是由服务提供商预先根据节点期望接入的 VPN网络的需要（如， 节点数量以及 VPN网络拓朴结构等） 而提供的。
判断单元 502, 用于判断节点的认证信息是否正确；
分配单元 503 , 用于在判断单元 302判断所述节点的认证信息正确时， 给节点分配虚拟互联网协议地址；
登记单元 504, 用于将节点的当前真实互联网协议地址， 节点名称， 是 否接受外部网络连接信息以及虚拟互联网协议地址作为注册信息进行登记。
请一并参阅图 6, 图 6为本发明实施例三提供的另一种虚拟专用网节点 信息的处理设备的结构图。 图 6所示的虚拟专用网节点信息的处理设备是在 图 3所示的虚拟专用网节点信息的处理设备的基础之上， 进一步包括：
第二接收单元 505 , 用于在登记单元 504将节点的当前真实互联网协议 地址、 节点名称、 是否接受外部网络连接信息以及虚拟互联网协议地址等信 息作为注册信息进行登记之后， 接收第一节点发送的查询消息， 该查询消息 中携带第二节点的节点名称和 /或第二节点的虚拟互联网协议地址； 查询单元 506, 用于根据第二节点的节点名称和 /或第二节点的虚拟互联 网协议地址查询第二节点的注册信息；
第一发送单元 507, 用于向第一节点发送所述第二节点的注册信息， 所 述第二节点的注册信息至少携带第二节点的是否接受外部网络连接的信息。
图 6所示的虚拟专用网节点信息的处理设备允许第一节点查询第二节点 的注册信息， 为了确切地获知第一节点需要查询的第二节点的注册信息， 要 求第一节点发送的查询消息中需要携带有用于识别第二节点的信息， 由于每 一个节点的名称以及当前真实互联网协议地址是不相同的， 所以第一节点发 送的查询消息中可以携带第二节点的名称和 /或第二节点的虚拟互联网协议 地址。
当然， 第一节点发送的查询消息中还可以携带其他用于识别第二节点的 信息， 本发明实施例在此不做限定。
其中， 第二接收单元 505还用于在登记单元 504将节点的当前真实互联 网协议地址， 节点名称， 是否接受外部网络连接信息以及虚拟互联网协议地 址作为注册信息进行登记之后， 接收第一节点发送的查询消息， 该查询消息 中携带第一节点的节点名称和 /或第一节点的虚拟互联网协议地址；
查询单元 506还用于根据第一节点的节点名称和 /或第一节点的虚拟互 联网协议地址查询第一节点的注册信息；
第一发送单元 507还用于向第一节点发送第一节点的注册信息， 所述第 一节点的注册信息至少携带第一节点的是否接受外部网络连接的信息。
图 6所示的虚拟专用网节点信息的处理设备允许第一节点查询第一节点 的注册信息， 同样， 要求第一节点发送的查询消息中需要携带有用于识别第 一节点的信息， 比如第一节点的名称和 /或第一节点的虚拟互联网协议地址等 等。
请一并参阅图 7, 图 7为本发明实施例三提供的另一种虚拟专用网节点 信息的处理设备的结构图。 图 7所示的虚拟专用网节点信息的处理设备是在 图 5所示的虚拟专用网节点信息的处理设备的基础之上， 进一步包括： 第三接收单元 508 , 用于在第一发送单元 507向第一节点发送第二节点 的注册信息， 以及向第一节点发送第一节点的注册信息之后， 接收第一节点 发送的建立网络隧道请求；
其中， 第一节点发送的建立网络隧道请求是第一节点在接收到第一发送 单元 507发送的第二节点以及第一节点的注册信息后， 发现第二节点不接受 外部网络连接， 且第一节点不接受外部网络连接的情况下发送的。
第二发送单元 509, 用于向第一节点发送建立网络隧道响应， 从而建立 与第一节点之间的网络隧道；
第三接收单元 508还用于在第一发送单元 507向第一节点发送第二节点 的注册信息， 以及向第一节点发送所述第一节点的注册信息之后， 接收第二 节点发送的建立网络隧道请求；
其中， 第二节点在发送建立网络隧道请求之前， 需要接收第一节点发送 的提示消息， 该提示消息是第一节点在发现第二节点不接受外部网络连接， 且第一节点不接受外部网络连接的情况发送的， 用于提示第二节点需要和第 一节点建立虚拟通道模式下的间接网络连接。
第二发送单元 509还用于向第二节点发送建立网络隧道响应， 从而建立 与所述第二节点之间的网络隧道；
其中， 第一节点发送的建立网络隧道请求是以第一节点的虚拟互联网协 议地址发送的， 第二节点发送的建立网络隧道请求是以第二节点的虚拟互联 网协议地址发送的。
转发控制单元 510, 用于接收第一节点发送给第二节点的信息， 并将所 述信息转发给第二节点； 以及接收第二节点发送给所述第一节点的信息， 并 将所述信息转发给第一节点。
本发明实施例提供的虚拟专用网节点信息的处理设备可以对节点的注册 信息进行集中登记，避免了在 VPN网络的每一个节点上配置其它节点的注册 信息， 当加入一个节点时，只需对加入的节点的注册信息进行集中登记即可， 无需调整其它节点的配置， 从而使得 VPN 网络可以支持动态变化的网络结 构， 提高了 VPN网络的灵活性。
实施例四： 请参阅图 8 , 图 8为本发明实施例四提供的一种虚拟专用网节点设备的 结构图。 本发明实施例提供的虚拟专用网节点设备包括但不限于移动手机， 掌上电脑， 个人电脑， 服务器以及网关等等。 如图 8所示， 该虚拟专用网节 点设备可以包括：
获取单元 801 , 用于获取自身的认证信息、 当前真实互联网协议地址， 节点名称以及是否接受外部网络连接信息；
发送单元 802, 用于将自身的认证信息、 当前真实互联网协议地址， 节 点名称以及是否接受外部网络连接信息放入接入请求消息后， 发送给虚拟专 用网节点信息的处理设备。
本实施例中所述的虚拟专用网节点信息的处理设备与上述实施例三介绍 的虚拟专用网节点信息的处理设备的结构和功能完成相同， 本实施例在此不 再复述。
优选地， 本发明实施例的虚拟专用网节点设备还可以包括：
接收单元 803 , 用于接收虚拟专用网节点信息的处理设备发送的虚拟互 联网协议地址。
本发明实施例提供的虚拟专用网节点设备可以主动将自身的认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接信息发送给 虚拟专用网节点信息的处理设备， 向虚拟专用网节点信息的处理设备主动进 行注册。 通过虚拟专用网节点信息的处理设备的对节点设备的认证信息、 当 前真实互联网协议地址、 节点名称以及是否接受外部网络连接信息集中注册 的方法， 避免了在虚拟专用网节点设备上配置其它节点的注册信息， 并且， 当加入节点时，也无需节点设备自身额外配置，从而使得 VPN网络可以支持 动态变化的网络结构， 提高了 VPN网络的灵活性。
实施例五：
请参阅图 9, 图 9为本发明实施例五提供的一种虚拟专用网***的结构 图。 如图 9所示， 该虚拟专用网***可以包括：
虚拟专用网节点设备 901和虚拟专用网节点信息的处理设备 902;其中， 虚拟专用网节点设备 901 , 用于获取自身的认证信息、 当前真实互联网 协议地址、节点名称以及是否接受外部网络连接信息，并将自身的认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接信息放入接 入请求消息之后， 发送给虚拟专用网节点信息的处理设备 902;
虚拟专用网节点信息的处理设备 902,用于接收虚拟专用网节点设备 901 发送的接入请求消息， 该接入请求消息至少携带虚拟专用网节点设备 901的 认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接 信息； 当判断虚拟专用网节点设备 901的认证信息正确时， 给虚拟专用网节 点设备 901分配虚拟互联网协议地址； 并将虚拟专用网节点设备 901的当前 真实互联网协议地址、 节点名称、 是否接受外部网络连接信息以及虚拟互联 网协议地址作为注册信息进行登记。
本发明实施例提供的虚拟专用网***可以对节点的注册信息进行集中登 记，避免了在 VPN网络的每一个节点上配置其它节点的注册信息， 当加入一 个节点时， 只需对加入的节点的注册信息进行登记即可， 无需调整其它节点 络的灵活性。
实施例六：
请参阅图 10, 为本发明实施例六提供的一种虚拟专用网的示意图。 如图 10所示， 虚拟专用网包括了虚拟专用网节点信息的处理设备以及名称分别为 NID-1、 NID-2、 NID-3、 NID-4、 NID-5 , NID-6的 6个节点。 其中， 节点 NID-2 和 NID-4分别处在 NAT设备 1和 NAT设备 2内。
当虚拟专用网节点信息的处理设备接收到节点 NID-1、 NID-2 > NID-3、 NID-4 > NID-5 , NID-6分别发送的接入请求消息之后， 如果判断节点 NID-1、 NID-2 > NID-3、 NID-4 > NID-5 , NID-6分别发送的接入请求消息携带的认证信 息都正确的时， 虚拟专用网节点信息的处理设备分别向节点 NID-1、 NID-2、 NID-3、 NID-4 > NID-5 , NID-6发送分配的虚拟地址； 并将节点 NID-1、 NID-2 > NID-3、 NID-4 > NID-5 , NID-6分别发送的接入请求消息中携带的节点 NID-1、 NID-2 > NID-3、 NID-4 > NID-5 , NID-6的当前真实互联网协议地址， 虚拟互联 网协议地址， 以及节点名称作为注册信息进行登记。 这样节点 NID-1、 NID-2、 NID-3、 NID-4 > NID-5 , NID-6分别可以和虚拟专用网节点信息的处理设备之 间通过建立的网络隧道连接， 构成 VPN网络内的独立节点； 另外， 与虚拟专 用网节点信息的处理设备互联的节点也可作为一个网关， 将本地局域网内的 其他节点接入该 VPN网络中， 如图 10中的节点 NID-5。
在虚拟专用网节点信息的处理设备上登记节点 NID-1、 NID-2、 NID-3、 NID-4、 NID-5 , NID-6的注册信息之后， 节点 NID-1、 NID-2、 NID-3、 NID-4、 NID-5 , NID-6通过网络隧道与虚拟专用网节点信息的处理设备组成一个虚拟 的内部网络， 该虚拟网络内部的网络拓朴结构可以为星型网络结构。
本发明实施例提供的虚拟专用网可以对节点的注册信息进行集中登记， 避免了在 VPN网络的每一个节点上配置其它节点的注册信息，当加入一个节 点时， 只需对加入的节点的注册信息进行登记即可， 无需调整其它节点的配 灵活性。
实施例七：
请参阅图 11 , 图 11为本发明实施例七提供的一种查询节点注册信息的 方法流程图。 本实施例是在前述实施例进行了节点的注册信息登记的基础之 上进行的。 本实施例以第一节点查询第二节点的注册信息为例， 介绍本发明 实施例提供的查询 VPN注册信息的方法。 如图 11所示， 该方法可以包括：
1101、 第一节点通过与虚拟专用网节点信息的处理设备建立的网络隧道， 向虚拟专用网节点信息的处理设备发送用于查询第二节点的注册信息的消 息；
举例来说， 第一节点向虚拟专用网节点信息的处理设备发送用于查询第 二节点的注册信息的消息中可以携带第二节点的节点名称和 /或第二节点的虚 拟互联网协议地址等信息。
1102、 虚拟专用网节点信息的处理设备查询已注册的所有节点的注册信 息， 如果查询失败， 说明第二节点尚未接入 VPN网络， 虚拟专用网节点信息 的处理设备向第一节点发送错误信息；
1103、 虚拟专用网节点信息的处理设备查询已注册的所有节点的注册信 息， 如果查询成功， 说明第二节点已经连接进入 VPN网络， 虚拟专用网节点 信息的处理设备将把第二节点的注册信息发送给第一节点。
举例来说， 第二节点的注册信息至少包括第二节点的是否接受外部网络 连接的信息。
其中， 如果第二节点接受外部网络连接的信息， 则第一节点可以根据第 二节点的当前真实的互联网协议地址与第二节点建立直连通道模式下的直连 网络隧道； 反之， 如果第二节点不接受外部网络连接， 则第一节点可以根据 第二节点的虚拟互联网协议地址与第二节点建立虚拟交换模式下的间接网络 隧道。
如果， 第一节点已知第二节点的虚拟互联网协议地址和虚拟互联网协议 地址，则 1103中的虚拟专用网节点信息的处理设备发送的第二节点的注册信 息可以是第二节点的是否接受外部网络连接的信息。
本发明实施例中虚拟专用网节点信息的处理设备允许第一节点查询第二 节点的注册信息，为了确切地获知第一节点需要查询的第二节点的注册信息， 要求第一节点发送的查询消息中需要携带有用于识别第二节点的信息， 由于 每一个节点的名称以及虚拟互联网协议地址是不相同的， 所以第一节点发送 的查询消息中可以携带第二节点的名称和 /或第二节点的虚拟互联网协议地 址。 当然， 第一节点发送的查询消息中还可以携带其他用于识别第二节点的 信息， 本发明实施例在此不做限定。
实施例八：
请参阅图 12, 图 12为本发明实施例八提供的一种 VPN网络节点通信方 法的流程图。 本实施例是在前述实施例进行了节点的注册信息登记以及节点 的注册信息查询的基础之上进行的。 本实施例以第一节点和第二节点进行通 信为例， 介绍本发明实施例提供的 VPN网络节点通信方法。 如图 12所示， 该方法可以包括：
1201、 第一节点查询到第二节点的虚拟互联网协议地址之后， 构造一个 发送给第二节点的 "网内通信报文" 并发送给第一节点的虚拟网卡；
需要说明的是， 在 VPN网络中， 每一个节点都具有一个虚拟网卡和真实 真实网卡的作用是根据当前真实互联网协议地址发送网内通信报文。
1202、 第一节点的虚拟网卡将 "网内通信报文" 进行封装， 添加虚拟专 用网节点信息的处理设备的当前真实互联网协议地址， 形成"封装报文 -1", 将 此报文使用第一节点的当前真实互联网协议地址经由第一节点的真实网卡发 送给虚拟专用网节点信息的处理设备；
1203、虚拟专用网节点信息的处理设备接收到"封装报文 -1"后对其进行解 析， 获得其内部的 "网内通信报文" ；
1204、 虚拟专用网节点信息的处理设备将 "网内通信报文" 进行封装， 添加第二节点的真实互联网协议地址， 形成"封装报文 -2", 并将其通过第二节 点当前所使用的网络隧道发送给第二节点；
虚拟专用网节点信息的处理设备根据 "网内通信报文" 携带的第二节点 的虚拟互联网协议地址， 得知 "网内通信报文" 需要转发给第二节点；
举例来说， 虚拟专用网节点信息的处理设备还可以查询第二节点的真实 互联网协议地址， 以及第二节点当前所使用的网络隧道等信息。
1205、 第二节点在接收到"封装报文 -2"后， 将通过虚拟网卡对"封装报文 -2"进行拆封， 获得其内部的 "网内通信报文" 。
至此， 第一节点通过虚拟专用网节点信息的处理设备进行中转， 与第二 节点完成了一次通信。 上述流程中的报文封装 /拆封对于第一节点、 第二节点 中的网络应用都是透明的， 网络应用会认为是在直接使用第一节点与第二 VPN节点的虚拟 IP地址进行通信。
由于第一节点向第二节点发送 "网内通信报文" 与第二节点向第一节点 发送 "网内通信 ·^艮文" 的过程完全相同， 本实施例在此不作复述。
本发明实施例提供的虚拟专用网节点信息的处理设备可以在对节点的注 册信息进行集中登记的基础之上， 接收第一节点发送的信息转发给对应的第 二节点， 并将第二节点发送的信息转发给对应的第一节点， 从而可以建立第 一节点和第二节点之间的间接网络通道。
实施例九：
请参阅图 13 , 图 13为本发明实施例九提供的一种 VPN网络节点通信方 法的流程图。 本实施例是在前述实施例进行了节点的注册信息登记以及节点 的注册信息查询的基础之上进行的。 本实施例以第一节点和第二节点进行通 信为例， 介绍本发明实施例提供的 VPN网络节点通信方法。 如图 13所示， 该方法可以包括： 1301、 第一节点向虚拟专用网节点信息的处理设备查询到第二节点的虚 拟互联网协议地址之后， 构造一个发送给第二节点的 "网内通信 4艮文" 并发 送给第一节点的虚拟网卡；
1302、 第一节点的虚拟网卡将 "网内通信报文" 进行封装， 添加第二节 点的真实互联网协议地址，形成"封装报文"，将此报文使用第一节点的真实互 联网协议地址经由其真实网卡发送给第二节点；
1303、第二节点在接收到"封装报文"后，将通过第二节点的虚拟网卡对其 进行解析， 获得其内部的 "网内通信报文" ；
1304、 第二节点将 "网内通信报文" 提交至网络应用程序。
至此， 第一节点通过与第二节点之间直接通过当前真实互联网协议地址 进行网络连接， 使双方的网络应用完成了一次使用第一节点的真实互联网协 议地址与第二节点的真实互联网协议地址进行通信的过程。
上述流程中的报文封装 /拆封对于第一节点、 第二节点中的网络应用都是 透明的， 网络应用会认为是在直接使用第一节点与第二节点的虚拟互联网协 议地址进行通信。
本发明实施例提供的虚拟专用网节点信息的处理设备可以给第一节点发 送第一节点查询的第二节点的注册信息， 以使第一节点和第二节点之间可以 建立直连网络隧道。
实施例十：
本发明实施例提供了一种网络隧道建立方法、 数据传输方法、 通讯*** 及相关设备， 用于提高 VPN内数据传输的性能。
请参阅图 14, 本发明实施例中网络隧道建立方法一个实施例包括： 1401、第一 VPN节点根据本地预置的 VPN网关地址向对应的 VPN网关 发起查询请求。
本实施例中， 当第一 VPN节点期望与第二 VPN节点进行通信时， 则可 以确定第二 VPN节点的节点标识，具体的节点标识可以为节点名称，或节点 编号等， 此处不作限定。
第一 VPN 节点可以请求与第二 VPN 节点建立直连网络隧道， 则第一 VPN节点需要获知第二 VPN节点的注册信息， 则第一 VPN节点向 VPN网 关发送查询请求， 以请求获取第二 VPN节点的注册信息，该查询请求中携带 有第二 VPN节点的节点标识， 以便于 VPN网关进行查询。
需要说明的是，在各 VPN节点加入 VPN之后，各 VPN节点中均保存有 该 VPN内的 VPN网关的地址， 例如可以为 "IPgw:Pgw" , 其中 IPgw为 VPN 网关真实的互联网协议（ IP , Internet Protocol )地址， Pgw为查询过程中 VPN 网关所使用的端口号。
可以理解的是， 实际应用中， VPN网关的地址还可以为其他的类型， 例 如统一资源定位符（URL, Uniform Resource Locator )地址， 具体地址类型 此处不作限定。
则第一 VPN节点可以根据本地预置的 VPN网关地址向对应的 VPN网关 发送上述查询请求。
1402、 第一 VPN节点接收 VPN网关反馈的第二 VPN节点的注册信息。 第一 VPN节点在向 VPN网关发送查询请求之后，即可从 VPN网关获取 到查询结果， 该查询结果为第二 VPN节点的注册信息。
需要说明的是，各节点在加入 VPN时，均需要向该 VPN内的 VPN网关 进行注册， 注册的过程中， VPN网关会保存请求注册的 VPN节点的注册信 息。
本实施例中的第二 VPN节点的注册信息至少包括第二 VPN节点的地址 信息。
1403、第一 VPN节点根据第二 VPN节点的注册信息与第二 VPN节点建 立直连网络隧道。
第一 VPN节点在从 VPN网关获取到第二 VPN节点的注册信息之后，即 可根据该注册信息中所包含的第二 VPN节点的地址信息与第二 VPN节点建 立直连网络隧道。
本实施例中， 当第一 VPN节点期望与第二 VPN节点进行通信时， 会从 VPN网关获取到有关第二 VPN节点的注册信息， 而该注册信息中包含第二 VPN节点的地址信息， 因此第一 VPN节点能够根据该第二 VPN节点的地址 信息与第二 VPN节点建立直连网络隧道，第一 VPN节点和第二 VPN节点即 可通过该直连网络隧道进行数据传输， 而无需通过 VPN网关转发数据，所以 减少了 VPN网关的数据处理压力， 均衡了 VPN内各网元的负荷， 从而提高 VPN内数据传输的性能。
为便于理解， 下面以一具体实例对本发明实施例中的网络隧道建立方法 进行说明，请参阅图 15 ,本发明实施例中网络隧道建立方法另一实施例包括：
1501、第一 VPN节点 ^据本地预置的 VPN网关地址向对应的 VPN网关 发起查询请求。
本实施例中，步骤 201与前述实施例中的步骤 101相同，此处不再赘述。
1502、 第一 VPN节点接收 VPN网关反馈的第二 VPN节点的注册信息。 第一 VPN节点在向 VPN网关发送查询请求之后，即可从 VPN网关获取 到查询结果， 该查询结果为第二 VPN节点的注册信息。
本实施例中的第二 VPN节点的注册信息可以包括第二 VPN节点的地址 信息， 还可以进一步包括传输隧道协议参数， 网络连接模式参数以及加密参 数。
其中， 传输隧道协议参数用于指示第一 VPN节点与第二 VPN节点所需 建立的直连网络隧道的类型， 即建立该直连网络隧道所采用的协议。
网络连接模式参数用于指示第二 VPN节点是否支持建立直连网络隧道， 需要说明的是， 若第二 VPN节点通过地址转换设备加入了 VPN, 则 VPN网 关会探测到第二 VPN节点加入 VPN时所采用的真实地址是地址转换设备的 地址， 而并不是第二 VPN节点的真实地址， 所以 VPN网关可以设置该第二 VPN节点的注册信息中的网络连接模式参数为 "禁止直接连接"。
加密参数用于指示第一 VPN节点与第二 VPN节点建立的直连网络隧道 是否需要进行加密， 若需要加密， 采用何种加密算法。
本实施例中， VPN网关内所保存的各节点的注册信息可以如下表所示： 表 1
节点设 节点 传输隧道 网络连接
真实地址 虚拟地址 力口密参数 备 名称 协议参数 模式参数
Road NID-1 IP1:P1 VIP1 IPsec 允许直接 否 Warder- 1 连接
Road 允许直连
NID-2 IP2:P2 VIP2 IPsec 是， A Warrier-2 连接
Road 禁止直连
NID-3 IP3:P3 VIP3 SSL 是， B Warrier-3 连接
1503、 判断第二 VPN节点是否允许建立直连网络隧道， 若是， 则执行步 骤 204, 若否， 则执行步骤 206。
本实施例中， 第一 VPN节点获取到第二 VPN节点的注册信息之后， 根 据该注册信息中的网络连接模式参数判断第二 VPN 节点是否允许建立直连 网络隧道， 若允许， 则执行步骤 204, 若不允许， 则执行步骤 206。
1504、 第一 VPN节点向第二 VPN节点发送隧道建立请求。
若第一 VPN 节点确定第二 VPN 节点允许建立直连网络隧道， 则第一 VPN节点可以根据第二 VPN节点的地址信息向第二 VPN节点发送隧道建立 请求， 该隧道建立请求中可以携带有第一 VPN节点的节点标识， 第一 VPN 节点的地址信息以及传输隧道协议参数。
需要说明的是，若第二 VPN节点的注册信息中的加密参数指示需要进行 加密， 并且指示了具体的加密算法， 则本步骤中的隧道建立请求中还可以进 一步携带第一 VPN节点根据该加密算法初步确定的密钥，以便于与第二 VPN 节点进行密钥协商， 本实施例中， 根据加密算法初步确定密钥的过程为本领 域技术人员的公知常识， 此处不作限定。
1505、 第一 VPN节点接收第二 VPN节点反馈的隧道建立响应。
本实施例中， 第二 VPN节点接收到第一 VPN节点发送的隧道建立请求 之后， 保存该隧道建立请求中的第一 VPN节点的节点标识以及第一 VPN节 点的地址信息， 并按照传输隧道协议参数执行相关隧道建立流程， 之后向第 一 VPN节点反馈隧道建立响应， 若隧道建立请求中携带有第一 VPN节点初 步确定的密钥，则在该隧道建立响应中也可以携带第二 VPN节点确定最终使 用的密钥。
第二 VPN 节点按照传输隧道协议参数执行相关隧道建立流程具体可以 包括分配资源， 设定端口等操作， 在实际应用中还可以包括其他的操作， 具 体此处不作限定。
需要说明的是， 第二 VPN节点本地可以预置有一个 "节点-隧道" 信息 列表， 该列表中保存有与第二 VPN节点所建立的直连网络隧道的相关信息， 具体可以如下表所示：
表 2
Figure imgf000026_0001
由上述表 2中可以看出， 在第二 VPN节点本地保存有其和第一 VPN节 点 （即节点名称为 NID-1的 VPN节点）之间建立有一个直连网络隧道， 通 道的 ID为 Tunnel- 1。
第一 VPN节点接收第二 VPN节点发送的隧道建立响应，保存第二 VPN 节点的节点标识以及第二 VPN节点的地址信息，按照传输隧道协议参数执行 相关隧道建立流程。
第一 VPN 节点按照传输隧道协议参数执行相关隧道建立流程可以包括 分配资源， 设定端口等操作， 在实际应用中还可以包括其他的操作， 具体此 处不作限定。
需要说明的是， 第一 VPN节点本地也可以预置有一个 "节点-隧道" 信 息列表， 该列表中保存有与第一 VPN 节点所建立的直连网络隧道的相关信 息， 具体可以如下表所示：
表 3
Figure imgf000026_0002
由上述表 3中可以看出， 在第一 VPN节点本地保存有其和第二 VPN节 点 （即节点名称为 NID-2的 VPN节点 )之间建立有一个直连网络隧道， 通 道的 ID为 Tunnel- 1。
1506、 执行其他处理流程。
若第一 VPN节点确定第二 VPN节点不允许建立直连网络隧道， 则可以 通过 VPN网关中转的方式与第二 VPN节点进行通信， 具体过程为本领域技 术人员的公知常识， 此处不作限定。
需要说明的是， 本实施例中， 第一 VPN节点以及第二 VPN节点的地址 信息可以为各自的互联网协议第四版 IPv4地址， 或互联网协议第六版 IPv6 地址， 或 URL地址。
本实施例中， 当第一 VPN节点期望与第二 VPN节点进行通信时， 会从 VPN网关获取到有关第二 VPN节点的注册信息， 而该注册信息中包含第二 VPN节点的地址信息， 因此第一 VPN节点能够根据该第二 VPN节点的地址 信息与第二 VPN节点建立直连网络隧道，第一 VPN节点和第二 VPN节点即 可通过该直连网络隧道进行数据传输， 而无需通过 VPN网关转发数据，所以 减少了 VPN网关的数据处理压力， 均衡了 VPN内各网元的负荷， 从而提高 VPN内数据传输的性能。
其次，第二 VPN节点的注册信息中还可以包括网络连接模式参数，并且 第一 VPN节点仅当该网络连接模式参数指示第二 VPN节点允许直接连接时， 才与第二 VPN节点建立直连网络隧道， 从而避免了当第二 VPN节点使用地 址转换设备加入 VPN时， 与该第二 VPN节点建立直连网络隧道会导致通信 失败的问题。
再次，第二 VPN节点的注册信息中还可以包括加密参数，使得第一 VPN 节点可以与第二 VPN节点进行密钥协商， 以建立加密的直连网络隧道，从而 提高了数据传输的安全性。
上述是从第一 VPN 节点的角度对本发明实施例中网络隧道建立的过程 进行了描述，下面从第二 VPN节点的角度对本发明实施例中的网络隧道建立 方法进行描述， 请参阅图 16, 本发明实施例中网络隧道建立方法再一实施例 包括：
1601、 第二 VPN节点接收第一 VPN节点发送的隧道建立请求。
本实施例中， 第二 VPN节点接收第一 VPN节点发送的隧道建立请求， 该隧道建立请求中包含第一 VPN节点的节点标识以及第一 VPN节点的地址 信息。
需要说明的是， 本实施例中的隧道建立请求中还可以进一步包括传输隧 道协议参数， 该传输隧道协议参数用于指示建立该直连网络隧道所使用的协 议。
1602、 第二 VPN节点向第一 VPN节点反馈隧道建立响应。
第二 VPN节点接收到隧道建立请求之后， 保存其中的第一 VPN节点的 节点标识以及第一 VPN节点的地址信息，执行相关隧道建立流程，并向第一 VPN节点反馈隧道建立响应。
第二 VPN节点执行相关隧道建立流程可以包括分配资源，设定端口等操 作， 在实际应用中还可以包括其他的操作， 具体此处不作限定。
若隧道建立请求中还包括传输隧道协议参数，则第二 VPN节点按照传输 隧道协议参数执行相关隧道建立流程。
需要说明的是， 本实施例中， 第一 VPN节点的地址信息可以为 IPv4地 址， 或 IPv6地址， 或 URL地址。
本实施例中， 第二 VPN节点可以根据第一 VPN节点发送的隧道建立请 求与第一 VPN节点建立直连网络隧道以进行数据传输， 而无需通过 VPN网 关转发数据， 所以减少了 VPN网关的数据处理压力， 均衡了 VPN内各网元 的负荷， 从而提高 VPN内数据传输的性能。
上面分别从第一 VPN节点以及第二 VPN节点的角度对本发明实施例中 的网络隧道建立方法进行了描述，下面从 VPN网关的角度对本实施例中 VPN 网关所执行的操作进行描述， 请参阅图 17, 本发明实施例中的数据传输方法 一个实施例包括：
1701、 VPN网关接收第一 VPN节点发送的查询请求。
本实施例中， 当第一 VPN节点请求与第二 VPN节点建立直连网络隧道 时，第一 VPN节点会向 VPN网关发送查询请求以查询第二 VPN节点的注册 信息， 该查询请求中携带第二 VPN节点的节点标识。
需要说明的是， 各节点在加入 VPN时， VPN网关接收各节点的注册请 求， 该注册请求中至少携带有该节点的节点标识以及地址信息， 同时还可以 进一步携带有该节点的传输隧道协议参数，网络连接模式参数以及加密参数。 注册的过程中， VPN网关会保存请求注册的 VPN节点的注册信息， VPN网 关所保存的各 VPN节点的注册信息可以如上述表 1所示。
1702、 VPN网关在本地查询第二 VPN节点的注册信息。
VPN网关在从查询请求中获知第二 VPN节点的节点标识之后， 即可根 据该节点标识在上述表 1中进行查询， 以查询第二 VPN节点的注册信息，查 询到的注册信息至少包括第二 VPN节点的地址信息，或者还可以进一步携带 第二 VPN节点的传输隧道协议参数， 网络连接模式参数以及加密参数。
1703、 VPN网关向第一 VPN节点反馈第二 VPN节点的注册信息。
VPN网关在查询到第二 VPN节点的注册信息之后， 即可向第一 VPN节 点反馈该第二 VPN节点的注册信息， 以便于第一 VPN节点根据第二 VPN 节点的注册信息与第二 VPN节点建立直连网络隧道。
本实施例中， VPN网关可以根据第一 VPN节点的查询请求向第一 VPN 节点反馈第二 VPN节点的注册信息以便于第一 VPN节点根据第二 VPN节点 的注册信息与第二 VPN节点建立直连网络隧道， 所以第一 VPN节点与第二 VPN节点之间可以通过直连网络隧道进行数据传输， 而无需通过 VPN网关 转发数据， 所以减少了 VPN网关的数据处理压力， 均衡了 VPN内各网元的 负荷， 从而提高 VPN内数据传输的性能。 实施例十一
请参阅图 18 , 图 18为本发明实施例提供的一种虚拟专用网络服务器的结 构图。 如图 18所示， 虚拟专用网络服务器可以包括：
接收单元 1801 , 用于接收第一节点发送的消息， 所述消息用于查询第二 节点的注册信息；
发送单元 1802,用于将预先存储的第二节点的注册信息发送至所述第一 节点， 以使所述第一节点与所述第二节点建立相应的网络隧道， 所述第二节 点的注册信息至少包括所述第二节点是否接受外部连接的信息。
本实施例中 ,接收单元 1801接收到的第一节点发送的消息还可以进一步 用于查询第一节点的注册信息，则发送单元 1802还可以进一步向第一节点发 送第一节点的注册信息， 第一节点的注册信息至少包括第一节点是否接受外 部连接的信息
举例来说， 本实施例所述的相应的网络隧道包括直连通道模式下的直连 网络隧道和虚拟交换模式下的间接网络隧道。
优选地， 第二节点的注册信息可以包括但不限于第二节点当前真实的 IP 地址、 虚拟 IP地址以及是否接受外部连接的信息；
同样， 第一节点的注册信息可以包括但不限于第一节点的当前真实的 IP 地址、 虚拟 IP地址以及是否接受外部连接的信息。
优选地，接收单元 1801还可以用于接收第一节点发送的接入请求消息和 第二节点发送的接入请求消息；
其中， 第一节点发送的接入请求消息包括第一节点的节点名称和当前真 实 IP地址；第二节点发送的接入请求消息包括第二节点的节点名称和当前真 实 IP地址；
则本发明实施例提供的虚拟专用网络服务器还可以包括：
分配单元 1803 , 用于根据接入单元 1801接收到的第一节点发送的接入 请求消息， 给第一节点分配虚拟 IP地址， 并确定第一节点的是否接受外部连 接的信息；
以及用于根据接入单元 1801接收到的第二节点发送的接入请求消息，分 配第二节点的虚拟 IP地址， 并确定第二节点的是否接受外部连接的信息。
存储单元 1804, 用于存储第一节点的节点名称、 当前真实 IP地址、 分 配的虚拟 IP地址和是否接受外部连接的信息的对应关系；
以及存储第二节点的节点名称、 当前真实 IP地址、 分配的虚拟 IP地址 和是否接受外部连接的信息的对应关系， 并且将所述第一节点以及第二节点 的节点名称、 当前真实互联网协议地址， 虚拟互联网协议地址以及指示所述 第一节点以及第二节点是否接受外部连接的信息作为第一节点和第二节点的 注册信息。
优选地， 分配单元 1803在给第一节点和第二节点分别分配了虚拟 IP地址之 后， 向第一节点发送一次建立网络隧道的连接请求以判断第一节点是否接受 外部连接， 当在规定时间内接收到第一节点返回的响应之后， 则确认第一节 点接受外部连接； 反之， 如果在规定时间内无法接收到第一节点返回的响应， 则确认第一节点不接受外部连接；
以及， 向第二节点发送一次建立网络隧道的连接请求以判断第二节点是 否接受外部连接， 当在规定时间内接收到第二节点返回的响应之后， 则确认 第二节点接受外部连接； 反之， 如果在规定时间内无法接收到第二节点返回 的响应， 则确认第二节点不接受外部连接。
更进一步地， 第二节点的当前真实 IP地址是指第二节点在 Internet网络 中的合法地址， 具体可以是第二节点在 Internet网络中的网 IP地址， 或者是 第二节点在 Internet网络中的 IP地址与 TCP I UDP端口组合后的地址， 或者 是第二节点在 Internet网络中的以 URL表示的其他服务地址；
同理， 第一节点的当前真实 IP地址是指第一节点在 Internet网络中的合 法地址， 具体可以是第一节点在 Internet网络中的 IP地址， 或者是第一节点 在 Internet网络中的 IP地址与 TCP/ UDP端口组合后的地址， 或者是第一节 点在 Internet网络中的以 URL表示的其他服务地址。
上述对本发明实施例四提供的一种虚拟专用网络服务器进行了详细的介 绍，本发明实施例提供的虚拟专用网络服务器中的接收单元 1801可以接收第 一节点的请求，发送单元 1802可以根据第一节点的请求，将第二节点以及第 一节点的注册信息发送至第一节点， 这样使得第一节点可以在和第二节点建 立网络隧道之前， 了解第二节点以及第一节点是否接受外部连接， 进而与第 二节点建立相应的网络隧道，避免了当两个节点只能以虚拟交换模式连接时， 这样两个节点还进行直连网络隧道建立的尝试， 从可以减少了网络资源的浪 费， 并提高建立网络隧道的效率。
实施例十二
请参阅图 19 , 图 19为本发明实施例提供的一种虚拟专用网络***的结构 图。 如图 20所示， 虚拟专用网络***可以包括：
虚拟专用网络节点 1901和虚拟专用网络服务器 1902; 其中，
虚拟专用网络节点 1901 , 用于向虚拟专用网络 务器 1902查询第二节 点的注册信息， 以确定第二节点是否接受外部连接， 第二节点的注册信息至 少包括第二节点是否接受外部连接的信息； 根据查询到的注册信息， 与第二 节点建立相应的网络隧道；
虚拟专用网络服务器 1902, 用于接收虚拟专用网络节点 1901发送的消 息， 该消息用于查询第二节点的注册信息； 将预先存储的第二节点的注册信 息发送至虚拟专用网络节点 1901 , 以使虚拟专用网络节点 1901与第二节点 建立相应的网络隧道， 第二节点的注册信息至少包括第二节点是否接受外部 连接的信息。
需要说明的是， 本实施例介绍的虚拟专用网络节点 1901的结构与上述实 施例三介绍的虚拟专用网络节点结构， 功能相同， 本实施例在此不作复述； 本实施例介绍的虚拟专用网络良务器 1902的结构与上述实施例四介绍的虚拟 专用网络服务器结构， 功能相同， 本实施例在此也不作复述。
请参阅图 20, 图 20为本发明实施例提供的一种 VPN网络示意图。 如图 20所示， 本实施例所提供的 VPN网络可以包括 VPN服务器以及 VPN节点。 其中， VPN节点可以包括但不限于计算机以及其他用户终端； 其中， VPN服 务器必须拥有 Internet网络中的合法地址（地址形式可以是 IP地址、 IP地址 与 TCP/UDP端口组合、 或者以 URL表示的其他服务地址）， 并且可以使用其 合法 Internet地址接收来自 Internet网络的数据报文。
其中， VPN服务器需要具备节点注册功能以及信息查询功能。 即当某一 个节点接入 VPN网络时， VPN服务器需要为节点分配第一节点在 VPN网络内 使用的虚拟 IP地址； 并将第一节点的节点名称、 当前真实 IP地址、 以及分配的 虚拟 IP地址、 是否接受外部连接、 甚至加密参数等信息进行注册登记；
VPN服务器允许 VPN网络内的节点根据其它 VPN节点的节点名称和 /或其 它 VPN节点的虚拟 IP地址等信息查询其它 VPN节点的注册信息。
其中， 本实施例中的节点应该具备与 VPN服务器之间的通信功能； 以及 发起与 VPN网络中其它节点之间建立网络隧道的请求功能； 同时， 本实施例 中的节点还应该具备接收 VPN网络中其它节点与其建立网络隧道的请求的功 能； 同时， 本实施例中的节点还应该具备这样的更能， 即可以获知其它节点 的注册信息以及第一节点的注册信息， 并与其它节点建立相应的网络隧道。
其中， 相应的网络隧道包括直连通道模式下的直连网络隧道和虚拟交换 模式下的间接网络隧道。
如图 20所示， VPN网络中共有 4个联网计算机， 名称分别为： ID-1、 ID-2 ID-3 , ID-4; 其中 ID-1与 ID-2是 Internet网中拥有合法 IP地址的计算机， 允许接 受来自 Internet网络连接； ID-3与 ID-4都处于 NAT网络内， 不具备 Internet合法 地址， 不允许接受来自 Internet的网络连接。
在 VPN网络中， 各节点之间的网络通信具有以下三种不同情况：
1)、 节点之间可以直接建立网络双向连接， 如 ID-1与 ID-2之间， 任意一个 节点可以主动对另一个节点建立网络隧道；
2)、 节点之间仅能直接建立单向连接， 如 ID-1与 ID-3之间， 由于 ID-3处于 NAT网络之内不具备合法 IP地址， 因此仅允许由 ID-3主动向 ID- 1建立网络隧 道， 而不允许由 ID-1向 ID-3建立网络隧道；
3)、 节点之间不能直接建立连接， 如 ID-3与 ID-4之间， 由于 ID-3与 ID-4都 处于 NAT网络内都不具备合法 IP地址， 因此 ID-3与 ID-4之间无法建立直接的隧 道， ID-3与 ID-4只能分别与 VPN服务器之间建立网络隧道， ID-3与 ID-4之间 的通信数据必须经由 VPN服务器中转。
假设图 20所示的 VPN网络中 ID-1需要与 ID-2 、 ID-3进行通信， 贝 ：
1 ) ID-1向 VPN服务器查询 ID-2、 ID-3的注册信息。
2 ) ID-1向 VPN服务器查询 ID-1的注册信息。
其中， 对于 1 ) , ID-1向 VPN服务器发查询消息， 该查询消息用于向 VPN 服务器查询 ID-2的注册信息； 其中，该查询消息可以包括 ID-2的名称和 /ID-2的 当前真实 IP地址；
ID-1向 VPN服务器发查询消息， 该查询消息用于向 VPN服务器查询 ID-3 的注册信息； 其中，该查询消息可以包括 ID-3的名称和 /ID-3的当前真实 IP地 址；
对于 2 ) , ID-1向 VPN服务器发查询消息， 该查询消息用于向 VPN服务器 查询 ID-1的注册信息； 其中，该查询消息可以包括 ID-1的名称和 /ID-1的当前真 实 IP地址。
VPN服务器接收到 ID-1发送的查询消息之后， 查询 ID-2 、 ID-3的注册信 息，并发生给 ID-1。表 1表示 VPN服务器预先存储的图 3所示的 VPN网络中节点 ID-1、 ID-2 ID-3、 ID-4的注册消息。
表 1
Figure imgf000034_0001
其中， 由于 ID-3、 ID-4都处于 NAT设备中， 所以 ID-3、 ID-4的当前真实 IP 地址， 实际上是 ID-3、 ID-4所使用 NAT设备的真实 IP地址。
3 ) VPN服务器分别接收到 ID-1发送的查询消息之后， 查询 ID-2的注册信 息为： 名称是 NID-2, 真实地址是 IP2:P2, 虚拟 IP地址 VIP2, 允许接受外部连 接；
查询 ID-3的注册信息为： 名称是 NID-3 , 真实地址是 IP3:P3 , 虚拟 IP地址 VIP3 , 不允许接受外部连接；
查询 ID-1的注册信息为： 名称是 NID-1 , 真实地址是 IP1 :P1 , 虚拟 IP地址 VIP1 , 允许接受外部连接。
4 ) VPN服务器根据查询到的 ID-2、 ID-3 , ID-1的注册信息， 分别将 ID-2、 ID-3 , ID-1的注册信息发送给 ID-1。
当然， VPN服务器也可以只选取部分 ID-2、 ID-3 , ID-1的注册信息发送 给 ID-1 , 比如将 ID-2的注册信息中的真实地址是 IP2:P2、 允许接受外部连接， ID-3的注册信息中的不允许接受外部连接，以及 ID-1的注册信息中的真实地址 是 IP1 :P1、 允许接受外部连接发送给 ID-1。
5 ) ID-1接收到 VPN服务器发送的 ID-2、 ID-3 , ID-1的注册信息之后， 发现 ID-2点接受外部连接， 则 ID-1向 ID-2发送建立网络隧道请求； 如果接 收到 ID-2发送的响应， 则完成 ID-1与 ID-2之间的直连通道模式下的直连网 络隧道；
发现 ID-3不接受外部连接， 而 ID-1接受外部连接， 则 ID-1向 ID-3发送用于 提示 ID-3向 ID-1主动建立网络隧道的消息； 接收 ID-3发送的建立网络隧道请 求； 向 ID-3发送的响应之后， 完成 ID-1与 ID-3之间的虚拟交换模式下的间接网 络隧道。
又假设图 20所示的 VPN网络中 ID-3需要与 ID-4进行通信， 则：
1 ) ID-3向 VPN服务器查询 ID-4的注册信息。
2 ) ID-3向 VPN服务器查询 ID-4的注册信息。
其中， 对于 1 ) , ID-3向 VPN服务器发查询消息， 该查询消息用于向 VPN 服务器查询 ID-4的注册信息； 其中，该查询消息可以包括 ID-4的名称和 /ID-4的 当前真实 IP地址；
ID-3向 VPN服务器发查询消息， 该查询消息用于向 VPN服务器查询 ID-3 的注册信息； 其中，该查询消息可以包括 ID-3的名称和 /ID-3的当前真实 IP地 址。
3 ) VPN服务器接收到 ID-3发送的查询消息之后， 查询 ID-4的注册信息为： 名称是 NID-4, 真实地址是 IP4:P4, 虚拟 IP地址 VIP4, 不允许接受外部连接； 查询 ID-3的注册信息为： 名称是 NID-3 , 真实地址是 IP3:P3 , 虚拟 IP地址 VIP3 , 不允许接受外部连接。
4 ) VPN服务器根据查询到的 ID-4、 ID-3的注册信息， 分别将 ID-4、 ID-3 的注册信息发送给 ID-3。
当然， VPN服务器也可以只选取部分 ID-4、 ID-3的注册信息发送给 ID-3 , 比如将 ID-4的注册信息中的不允许接受外部连接， ID-3的注册信息中的不允许 接受外部连接发送给 ID-3。
5 ) ID-3接收到 VPN服务器发送的 ID-4、ID-3的注册信息之后，发现 ID-4 不接受外部连接， 且 ID-3也不接受外部连接， 说明 ID-3和 ID-4之间无法建 立直连的网络隧道， 则 ID-3向 VPN服务器发送建立网络隧道请求； 在接收 VPN服务器发送的响应之后， 完成与 VPN服务器之间的网络隧道；
并且， ID-3向 ID-4发送建立网络隧道消息， 以使 ID-4向 VPN服务器建 立网络隧道， 从而建立 ID-4与 VPN服务器的网络隧道， 此时， VPN服务器 作为 ID-3与 ID-4之间的中转设备，接收 ID-3发送的通信数据并转发至 ID-4; 同时， 接收 ID-4发送的通信数据并转发至 ID-3 , 这样， 间接建立了 ID-3与 ID-4之间的网络隧道。
需要说明的是，本实施例中 VPN服务器需要预先存储的 ID-1、 ID-2、 ID-3 , ID-4的注册消息， 具体地：
VPN服务器接收 ID-1、 ID-2、 ID-3 , ID-4分别发送的接入请求消息， 其 中， ID-1、 ID-2、 ID-3、 ID-4各自发送的接入请求消息包括各自的节点名称 和当前真实 IP地址；
分别给 ID-1、 ID-2、 ID-3 , ID-4分配虚拟 IP地址，并分别确定 ID-1、 ID-2、 ID-3 , ID-4的是否接受外部连接的信息；
存储 ID-1、 ID-2, ID-3 , ID-4各自的节点名称、 当前真实 IP地址、 分配 的虚拟 IP地址和是否接受外部连接的信息的对应关系。
其中， 上述的分别确定 ID-1、 ID-2, ID-3 , ID-4的是否接受外部连接的信 息具体为：
在分别给 ID-1、 ID-2, ID-3 , ID-4分配了各自的虚拟 IP地址之后， 分别向 ID-1、 ID-2, ID-3 , ID-4发送一次建立网络隧道的连接请求以判断 ID-1、 ID-2, ID-3 , ID-4是否接受外部连接；
当在规定时间内接收到 ID-1、 ID-2返回的响应之后， 认为 ID-1、 ID-2接受 外部连接， 即 ID-1、 ID-2, "是否接受外部连接 "属性为' ΌΚ"; 当在规定时间 内无法接收到 ID-3、 ID-4返回的响应，认为 ID-3、 ID-4不接受外部连接，即 ID-3、 ID-4的"是否接受外部连接"属性为 "NO"。
另外， 如果节点本身存储了第一节点的注册信息的话， 则节点仅需向
VPN服务器查询第二节点的注册信息即可， 无需再次向 VPN服务器查询第 一节点的注册信息。
上述对本发明实施例五提供的一种 VPN网络进行了介绍，在本发明实施 例提供的 VPN网络中， 节点在和其它节点建立网络隧道之前， 可以从 VPN 服务器中查询其它节点的注册信息以及第一节点的注册信息， 从而可以了解 其它节点以及第一节点是否接受外部连接， 进而与其它节点建立相应的网络 隧道， 避免了当两个节点只能以虚拟交换模式连接时， 这样两个节点还进行 直连网络隧道建立的尝试， 从可以减少了网络资源的浪费， 并提高建立网络 隧道的效率。 本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步骤 可以通过程序指令相关的硬件来完成， 前述的程序可以存储于一计算机可读 取存储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述 的存储介质包括： 只读存储器 （ROM , Read-Only Memory ), 随机存取器 ( RAM, Random-Access Memory )磁碟或者光盘等各种可以存储程序代码 的介质。
以上对本发明实施例所提供的一种虚拟专用网节点信息的处理方法及相 关设备、 ***进行了详细介绍， 本文中应用了具体个例对本发明的原理及实 施方式进行了阐述， 以上实施例的说明只是用于帮助理解本发明的方法及其 核心思想； 同时， 对于本领域的一般技术人员， 依据本发明的思想， 在具体 实施方式及应用范围上均会有改变之处， 综上所述， 本说明书内容不应理解 为对本发明的限制。

Claims

权 利 要 求
1、 一种虚拟专用网节点信息的处理方法， 其特征在于， 包括： 接收节点发送的接入请求消息， 该接入请求消息至少携带所述节点的认 证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接信 息；
当所述节点的认证信息正确时， 给所述节点分配虚拟互联网协议地址； 将所述节点的当前真实互联网协议地址、 节点名称、 是否接受外部网络 连接信息以及虚拟互联网协议地址作为注册信息进行登记。
2、 根据权利要求 1所述的方法， 其特征在于， 该方法还包括： 接收第一节点发送的查询消息， 所述查询消息中携带第二节点的节点名 称和 /或第二节点的虚拟互联网协议地址；
根据所述第二节点的节点名称和 /或第二节点的虚拟互联网协议地址查 询所述第二节点的注册信息；
向所述第一节点发送所述第二节点的注册信息， 所述第二节点的注册信 息中至少携带第二节点是否接受外部网络连接的信息。
3、 根据权利要求 2所述的方法， 其特征在于， 该方法还包括： 接收第一节点发送的查询消息， 所述查询消息中携带第一节点的节点名 称和 /或第一节点的虚拟互联网协议地址；
根据所述第一节点的节点名称和 /或第一节点的虚拟互联网协议地址查 询所述第一节点的注册信息；
向所述第一节点发送所述第一节点的注册信息， 所述第一节点的注册信 息中至少携带第一节点是否接受外部网络连接的信息。
4、根据权利要求 2或 3所述的方法， 其特征在于， 若所述第二节点不接 受外部网络连接， 且所述第一节点不接受外部网络连接， 所述方法还包括： 分别接收所述第一节点和第二节点发送的建立网络隧道请求； 分别向所述第一节点和第二节点发送建立网络隧道响应， 从而建立与所 述第一节点和第二节点之间的网络隧道；
利用与所述第一节点和第二节点之间的网络隧道， 为所述第一节点和第 二节点互相传递信息。
5、 一种虚拟专用网节点信息的处理设备， 其特征在于， 包括： 第一接收单元， 用于接收节点发送的接入请求消息， 该接入请求消息至 少携带所述节点的认证信息、 当前真实互联网协议地址、 节点名称以及是否 接受外部网络连接信息；
判断单元， 用于判断所述节点的认证信息是否正确；
分配单元， 用于当所述判断单元判断所述节点的认证信息正确时， 给所 述节点分配虚拟互联网协议地址；
登记单元， 用于将所述节点的当前真实互联网协议地址、 节点名称、 是 否接受外部网络连接信息以及虚拟互联网协议地址作为注册信息进行登记。
6、根据权利要求 5所述的处理设备，其特征在于，所述处理设备还包括： 第二接收单元， 用于接收第一节点发送的查询消息， 所述查询消息中携 带第二节点的节点名称和 /或第二节点的虚拟互联网协议地址；
查询单元，用于根据所述第二节点的节点名称和 /或第二节点的虚拟互联 网协议地址查询所述第二节点的注册信息；
第一发送单元， 用于向所述第一节点发送所述第二节点的注册信息， 所 述第二节点的注册信息至少携带第二节点的是否接受外部网络连接的信息。
7、 根据权利要求 6所述的处理设备， 其特征在于，
所述第二接收单元， 用于接收第一节点发送的查询消息， 所述查询消息 中携带第一节点的节点名称和 /或第一节点的虚拟互联网协议地址；
所述查询单元，用于根据所述第一节点的节点名称和 /或第一节点的虚拟 互联网协议地址查询所述第一节点的注册信息；
所述第一发送单元，用于向所述第一节点发送所述第一节点的注册信息， 所述第一节点的注册信息至少携带第一节点的是否接受外部网络连接的信 息。
8、根据权利要求 6或 7所述的处理设备， 其特征在于， 若所述第二节点 不接受外部网络连接， 且所述第一节点不接受外部网络连接， 则所述处理设 备还包括：
第三接收单元， 用于接收所述第一节点发送的建立网络隧道请求， 以及 所述第二节点发送的建立网络隧道请求；
第二发送单元， 用于向所述第一节点发送建立网络隧道响应， 从而建立 与所述第一节点之间的网络隧道， 向所述第二节点发送建立网络隧道响应， 从而建立与所述第二节点之间的网络隧道；
转发控制单元， 用于接收所述第一节点发送给所述第二节点的信息， 并 转发给所述第二节点， 以及接收所述第二节点发送给所述第一节点的信息， 并转发给所述第一节点。
9、 一种虚拟专用网节点设备， 其特征在于， 包括：
获取单元， 用于获取自身的认证信息， 当前真实互联网协议地址， 节点 名称以及是否接受外部网络连接信息；
发送单元， 用于将所述认证信息， 当前真实互联网协议地址， 节点名称 以及是否接受外部网络连接信息放入接入请求消息后， 发送给虚拟专用网节 点信息的处理设备。
10、根据权利要求 9所述的虚拟专用网节点设备， 其特征在于， 还包括： 接收单元， 用于接收所述虚拟专用网节点信息的处理设备发送的虚拟互 联网协议地址。
11、 一种虚拟专用网***， 其特征在于， 包括：
虚拟专用网节点设备和虚拟专用网节点信息的处理设备；
所述虚拟专用网节点设备， 用于获取自身的认证信息、 当前真实互联网 协议地址、 节点名称以及是否接受外部网络连接信息， 并将所述认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连接信息放入接 入请求消息之后， 发送给所述虚拟专用网节点信息的处理设备；
所述虚拟专用网节点信息的处理设备， 用于接收所述虚拟专用网节点设 备发送的接入请求消息， 该接入请求消息至少携带所述虚拟专用网节点设备 的认证信息、 当前真实互联网协议地址、 节点名称以及是否接受外部网络连 接信息； 当判断所述认证信息正确时， 给所述虚拟专用网节点设备分配虚拟 互联网协议地址；并将所述虚拟专用网节点设备的当前真实互联网协议地址、 节点名称、 是否接受外部网络连接信息以及虚拟互联网协议地址作为注册信 息进行登记。
12、 一种网络隧道建立方法， 其特征在于， 包括：
第一虚拟专用网 VPN节点 ^据本地预置的 VPN网关地址向对应的 VPN 网关发起查询请求， 所述查询请求中携带第二 VPN节点的节点标识；
第一 VPN节点接收所述 VPN网关反馈的所述第二 VPN节点的注册信 息，所述第二 VPN节点的注册信息至少包括所述第二 VPN节点的地址信息； 第一 VPN节点根据所述第二 VPN节点的注册信息与所述第二 VPN节点 建立直连网络隧道。
13、 根据权利要求 12所述的方法， 其特征在于， 所述第二 VPN节点的 注册信息中还包括： 传输隧道协议参数；
所述第一 VPN节点根据所述第二 VPN节点的注册信息与所述第二 VPN 节点建立直连网络隧道包括：
第一 VPN节点根据所述第二 VPN节点的地址信息向所述第二 VPN节点 发送隧道建立请求，所述隧道建立请求中包含第一 VPN节点的节点标识，第 一 VPN节点的地址信息以及所述传输隧道协议参数，所述传输隧道协议参数 用于指示建立所述直连网络隧道所使用的协议；
第二 VPN节点接收所述隧道建立请求， 保存所述第一 VPN节点的节点 标识以及所述第一 VPN节点的地址信息，按照所述传输隧道协议参数执行相 关隧道建立流程， 向所述第一 VPN节点反馈隧道建立响应；
第一 VPN节点接收所述隧道建立响应， 保存所述第二 VPN节点的节点 标识以及所述第二 VPN节点的地址信息，按照所述传输隧道协议参数执行相 关隧道建立流程。
14、 根据权利要求 13所述的方法， 其特征在于， 所述第二 VPN节点的 注册信息中还包括： 加密参数；
所述方法还包括：
第一 VPN节点与第二 VPN节点根据所述加密参数进行密钥协商， 所述 密钥用于对通过所述直连网络隧道中传输的数据进行加密。
15、 根据权利要求 12至 14中任一项所述的方法， 其特征在于， 所述第 二 VPN节点的注册信息中还包括： 网络连接模式参数；
所述第一 VPN节点根据所述第二 VPN节点的注册信息与所述第二 VPN 节点建立直连网络隧道之前包括：
第一 VPN节点判断所述网络连接模式参数是否指示允许建立直接连接， 若为允许直接连接，则触发所述根据所述第二 VPN节点的注册信息与所述第 二 VPN节点建立直连网络隧道的步骤。
16、 根据权利要求 12至 14中任一项所述的方法， 其特征在于， 所述地 址信息为互联网协议第四版 IPv4地址， 或互联网协议第六版 IPv6地址， 或 统一资源定位符 URL地址。
17、 一种数据传输方法， 其特征在于， 包括：
VPN网关接收第一 VPN节点发送的查询请求， 所述查询请求中携带第 二 VPN节点的节点标识；
VPN网关根据所述第二 VPN节点的节点标识在本地查询所述第二 VPN 节点的注册信息， 所述第二 VPN节点的注册信息至少包括第二 VPN节点的 地址信息；
VPN网关向所述第一 VPN节点反馈所述第二 VPN节点的注册信息，以 便于所述第一 VPN节点根据所述第二 VPN节点的注册信息与所述第二 VPN 节点建立直连网络隧道。
18、 根据权利要求 17所述的方法， 其特征在于， 所述方法还包括： VPN网关接收第二 VPN节点的注册请求， 所述注册请求中携带所述第 二 VPN节点的节点标识以及地址信息；
VPN网关保存所述第二 VPN节点的节点标识以及地址信息。
19、 一种虚拟专用网络节点， 其特征在于， 包括：
查询单元， 用于向虚拟专用网络服务器查询第二节点的注册信息， 以确 定所述第二节点是否接受外部连接， 所述第二节点的注册信息至少包括所述 第二节点是否接受外部连接的信息；
建立网络隧道单元， 用于根据查询到的所述注册信息， 与所述第二节点 建立相应的网络隧道。
20、根据权利要求 19所述的虚拟专用网络节点， 其特征在于， 所述查询 单元包括：
发送子单元， 用于向虚拟专用网络服务器发送查询消息， 所述查询消息 包括查询第二节点的注册信息；
接收子单元， 用于接收所述虚拟专用网络服务器发送的所述第二节点的 注册信息。
21、 根据权利要求 19 所述的虚拟专用网络节点， 其特征在于， 所述建 立网络隧道单元包括：
第一建立子单元， 用于在所述第二节点接受外部连接时， 向所述第二节 点发送建立网络隧道请求； 接收所述第二节点发送的响应， 建立与所述第二 节点之间的网络隧道。
22、根据权利要求 19所述的虚拟专用网络节点， 其特征在于， 所述查询 单元还用于向所述虚拟专用网络服务器查询所述第一节点的注册信息， 以确 定所述第一节点是否接受外部连接， 所述第一节点的注册信息至少包括所述 第一节点是否接受外部连接的信息。
23、 根据权利要求 22 所述的虚拟专用网络节点， 其特征在于， 所述建 立网络隧道单元包括：
第二建立子单元， 用于在所述第二节点不接受外部连接， 且所述第一节 点接受外部连接时， 向所述第二节点发送用于提示所述第二节点向所述第一 节点建立网络隧道的消息， 接收所述第二节点发送的建立网络隧道请求； 向 所述第二节点发送的响应， 建立与所述第二节点之间的网络隧道。
24、 根据权利要求 22 所述的虚拟专用网络节点， 其特征在于， 所述建 立网络隧道单元包括：
第三建立子单元， 用于在所述第二节点不接受外部连接， 且所述第一节 点不接受外部连接时， 向所述虚拟专用网络服务器发送建立网络隧道请求； 接收所述虚拟专用网络服务器发送的响应， 建立与所述虚拟专用网络服务器 之间的网络隧道； 向所述第二节点发送建立网络隧道消息， 以使所述第二节 点向所述虚拟专用网络服务器建立网络隧道， 从而建立第一节点与所述第二 节点之间的网络隧道。
25、 一种虚拟专用网络服务器， 其特征在于， 包括：
接收单元， 用于接收第一节点发送的消息， 所述消息用于查询第二节点 的注册信息；
发送单元，用于将预先存储的第二节点的注册信息发送至所述第一节点， 以使所述第一节点与所述第二节点建立相应的网络隧道， 所述第二节点的注 册信息至少包括所述第二节点是否接受外部连接的信息。
26、根据权利要求 25所述的虚拟专用网络服务器， 其特征在于， 所述接 收单元还用于接收所述第一节点发送的接入请求消息， 所述接入请求消息中 包括第一节点的节点名称， 当前真实互联网协议地址；
所述虚拟专用网络服务器还包括：
分配单元， 用于分配所述第一节点的虚拟互联网协议地址， 并确定所述 第一节点是否接受外部连接；
存储单元， 用于存储所述第一节点的节点名称， 当前真实互联网协议地 址， 虚拟互联网协议地址以及指示所述第一节点是否接受外部连接的信息， 将所述第一节点的节点名称、 当前真实互联网协议地址， 虚拟互联网协议地 址以及指示所述第一节点是否接受外部连接的信息作为第一节点的注册信 息；
所述接收单元还用于接收所述第二节点发送的接入请求消息， 所述接入 请求消息中包括第二节点的节点名称， 当前真实互联网协议地址；
所述虚拟专用网络服务器还包括：
分配单元， 用于分配所述第二节点的虚拟互联网协议地址， 并确定所述 第二节点是否接受外部连接；
存储单元， 用于存储所述第二节点的节点名称， 当前真实互联网协议地 址， 虚拟互联网协议地址以及指示所述第二节点是否接受外部连接的信息， 将所述第二节点的节点名称、 当前真实互联网协议地址， 虚拟互联网协议地 址以及指示所述第二节点是否接受外部连接的信息作为第二节点的注册信 息。
27、 一种虚拟专用网络***， 其特征在于， 包括：
虚拟专用网络节点和虚拟专用网络 务器； 所述虚拟专用网络节点， 用于向所述虚拟专用网络 务器查询第二节点 的注册信息， 以确定所述第二节点是否接受外部连接， 所述第二节点的注册 信息至少包括所述第二节点是否接受外部连接的信息； 根据查询到的所述注 册信息， 与所述第二节点建立相应的网络隧道；
所述虚拟专用网络服务器，用于接收所述虚拟专用网络节点发送的消息， 所述消息用于查询第二节点的注册信息； 将预先存储的第二节点的注册信息 发送至所述虚拟专用网络节点， 以使所述虚拟专用网络节点与所述第二节点 建立相应的网络隧道， 所述第二节点的注册信息至少包括所述第二节点是否 接受外部连接的信息。
PCT/CN2010/072424 2009-05-04 2010-05-04 一种虚拟专用网节点信息的处理方法、设备及*** WO2010127610A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US13/289,552 US8769661B2 (en) 2009-05-04 2011-11-04 Virtual private network node information processing method, relevant device and system

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
CN200910139354.3 2009-05-04
CN2009101393543A CN101572729B (zh) 2009-05-04 2009-05-04 一种虚拟专用网节点信息的处理方法及相关设备、***
CN200910137658.6 2009-05-04
CN200910137660A CN101557337B (zh) 2009-05-04 2009-05-04 网络隧道建立方法、数据传输方法、通讯***及相关设备
CN2009101376586A CN101557336B (zh) 2009-05-04 2009-05-04 一种建立网络隧道的方法,数据处理方法及相关设备
CN200910137660.3 2009-05-04

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/289,552 Continuation US8769661B2 (en) 2009-05-04 2011-11-04 Virtual private network node information processing method, relevant device and system

Publications (1)

Publication Number Publication Date
WO2010127610A1 true WO2010127610A1 (zh) 2010-11-11

Family

ID=43049976

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/072424 WO2010127610A1 (zh) 2009-05-04 2010-05-04 一种虚拟专用网节点信息的处理方法、设备及***

Country Status (2)

Country Link
US (1) US8769661B2 (zh)
WO (1) WO2010127610A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013029455A1 (en) * 2011-09-01 2013-03-07 Hangzhou H3C Technologies Co., Ltd. Constructing a network enabling layer-2 interconnection of data centers
CN102999345A (zh) * 2012-12-06 2013-03-27 华为技术有限公司 一种操作***加载的方法、设备和***
US9921715B2 (en) 2015-02-26 2018-03-20 Red Hat, Inc. Visual representation of network-discovered components
WO2019206254A1 (zh) * 2018-04-24 2019-10-31 深圳市网心科技有限公司 处于不同nat节点下的设备的穿透方法、设备、服务器及介质

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10200325B2 (en) * 2010-04-30 2019-02-05 Shazzle Llc System and method of delivering confidential electronic files
US20130182651A1 (en) * 2012-01-13 2013-07-18 Amol Dhananjay Kelkar Virtual Private Network Client Internet Protocol Conflict Detection
US9596271B2 (en) 2012-10-10 2017-03-14 International Business Machines Corporation Dynamic virtual private network
KR20140092630A (ko) * 2013-01-16 2014-07-24 삼성전자주식회사 사용자장치, 통신서버 및 그 제어방법
WO2014156009A1 (ja) * 2013-03-26 2014-10-02 Kddi株式会社 転送装置
DE112013007099T5 (de) * 2013-05-23 2016-02-11 Mitsubishi Electric Corporation Relais-Vorrichtung, Verfahren zum Auswählen eines Kommunikationsverfahrens und Programm
US9420003B2 (en) * 2013-06-24 2016-08-16 Cisco Technology, Inc. Dynamic communication between secure endpoints
US9516061B2 (en) 2013-11-26 2016-12-06 Cisco Technology, Inc. Smart virtual private network
US9984348B2 (en) 2013-11-29 2018-05-29 Fedex Corporate Services, Inc. Context management of a wireless node network
KR20150065470A (ko) * 2013-12-05 2015-06-15 삼성전자주식회사 디텍터 내에 미리 저장된 디텍터 정보에 기초하여 촬영 시스템에 등록된 디텍터의 동작 조건을 설정하는 방법 및 장치
GB2520635B (en) * 2014-11-28 2015-10-21 Qip Solutions Ltd Method and system for configuring and securing a device or apparatus, a device or apparatus, and a computer program product
US11238397B2 (en) 2015-02-09 2022-02-01 Fedex Corporate Services, Inc. Methods, apparatus, and systems for generating a corrective pickup notification for a shipped item using a mobile master node
US9985839B2 (en) 2015-07-08 2018-05-29 Fedex Corporate Services, Inc. Systems, apparatus, and methods of event monitoring for an event candidate within a wireless node network based upon sighting events, sporadic events, and benchmark checkpoint events
US10965494B2 (en) 2015-10-01 2021-03-30 International Business Machines Corporation Intelligent multi-channel VPN orchestration
CN108702801B (zh) * 2015-10-22 2022-09-20 皇家Kpn公司 用于使能建立直接连接的方法
US10412168B2 (en) * 2016-02-17 2019-09-10 Latticework, Inc. Implementing a storage system using a personal user device and a data distribution device
US10630507B2 (en) * 2016-11-29 2020-04-21 Ale International System for and method of establishing a connection between a first electronic device and a second electronic device
US10673649B2 (en) * 2017-10-24 2020-06-02 Cisco Technology, Inc. Method and device for quality of service regulation
CN110324159B (zh) * 2018-03-28 2020-11-03 华为技术有限公司 链路配置方法、控制器和存储介质
CN111386427B (zh) * 2018-10-24 2022-04-29 亮锐控股有限公司 包括交叉线的照明设备
US11025592B2 (en) * 2019-10-04 2021-06-01 Capital One Services, Llc System, method and computer-accessible medium for two-factor authentication during virtual private network sessions
US11516126B2 (en) 2020-10-14 2022-11-29 Oracle International Corporation Techniques for high performant virtual routing capabilities
US11558245B1 (en) * 2021-10-29 2023-01-17 Oracle International Corporation Secure bi-directional network connectivity system between private networks
US11736558B2 (en) 2021-10-29 2023-08-22 Oracle International Corporation Transparent mounting of external endpoints between private networks
US20230171099A1 (en) * 2021-11-27 2023-06-01 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification
US11552932B1 (en) * 2022-02-24 2023-01-10 Oversee, UAB Identifying virtual private network servers for user devices

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1476204A (zh) * 2002-08-16 2004-02-18 华为技术有限公司 基于动态ip地址的虚拟专用网实现方法及***
CN101076796A (zh) * 2004-01-15 2007-11-21 思科技术公司 为漫游用户建立虚拟专用网络
CN101309272A (zh) * 2008-07-09 2008-11-19 中兴通讯股份有限公司 认证服务器及虚拟专用网的移动通信终端接入控制方法
CN101557337A (zh) * 2009-05-04 2009-10-14 成都市华为赛门铁克科技有限公司 网络隧道建立方法、数据传输方法、通讯***及相关设备
CN101557336A (zh) * 2009-05-04 2009-10-14 成都市华为赛门铁克科技有限公司 一种建立网络隧道的方法,数据处理方法及相关设备
CN101572729A (zh) * 2009-05-04 2009-11-04 成都市华为赛门铁克科技有限公司 一种虚拟专用网节点信息的处理方法及相关设备、***

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7624431B2 (en) * 2003-12-04 2009-11-24 Cisco Technology, Inc. 802.1X authentication technique for shared media
US8296437B2 (en) * 2005-12-29 2012-10-23 Logmein, Inc. Server-mediated setup and maintenance of peer-to-peer client computer communications
US20080298592A1 (en) * 2007-05-29 2008-12-04 Mohamed Khalid Technique for changing group member reachability information

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1476204A (zh) * 2002-08-16 2004-02-18 华为技术有限公司 基于动态ip地址的虚拟专用网实现方法及***
CN101076796A (zh) * 2004-01-15 2007-11-21 思科技术公司 为漫游用户建立虚拟专用网络
CN101309272A (zh) * 2008-07-09 2008-11-19 中兴通讯股份有限公司 认证服务器及虚拟专用网的移动通信终端接入控制方法
CN101557337A (zh) * 2009-05-04 2009-10-14 成都市华为赛门铁克科技有限公司 网络隧道建立方法、数据传输方法、通讯***及相关设备
CN101557336A (zh) * 2009-05-04 2009-10-14 成都市华为赛门铁克科技有限公司 一种建立网络隧道的方法,数据处理方法及相关设备
CN101572729A (zh) * 2009-05-04 2009-11-04 成都市华为赛门铁克科技有限公司 一种虚拟专用网节点信息的处理方法及相关设备、***

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013029455A1 (en) * 2011-09-01 2013-03-07 Hangzhou H3C Technologies Co., Ltd. Constructing a network enabling layer-2 interconnection of data centers
US9264305B2 (en) 2011-09-01 2016-02-16 Hangzhou H3C Technologies Co., Ltd. Constructing a network enabling layer-2 interconnection of data centers
US9716620B2 (en) 2011-09-01 2017-07-25 Hewlett Packard Enterprise Development Lp Constructing a network enabling layer-2 interconnection of data centers
CN102999345A (zh) * 2012-12-06 2013-03-27 华为技术有限公司 一种操作***加载的方法、设备和***
CN102999345B (zh) * 2012-12-06 2016-03-30 华为技术有限公司 一种操作***加载的方法、设备和***
US9921715B2 (en) 2015-02-26 2018-03-20 Red Hat, Inc. Visual representation of network-discovered components
US10761681B2 (en) 2015-02-26 2020-09-01 Red Hat, Inc. Visual representation of network-discovered components
WO2019206254A1 (zh) * 2018-04-24 2019-10-31 深圳市网心科技有限公司 处于不同nat节点下的设备的穿透方法、设备、服务器及介质

Also Published As

Publication number Publication date
US20120124660A1 (en) 2012-05-17
US8769661B2 (en) 2014-07-01

Similar Documents

Publication Publication Date Title
WO2010127610A1 (zh) 一种虚拟专用网节点信息的处理方法、设备及***
US7917948B2 (en) Method and apparatus for dynamically securing voice and other delay-sensitive network traffic
US7237260B2 (en) Method for dynamic selection for secure and firewall friendly communication protocols between multiple distributed modules
JP4579934B2 (ja) レガシーノードとｈｉｐノード間のホストアイデンティティプロトコル（ｈｉｐ）接続を確立するためのアドレス指定方法及び装置
JP4727126B2 (ja) 近距離無線コンピューティング装置用のセキュア・ネットワーク・アクセスの提供
US20080005290A1 (en) Terminal reachability
US8295285B2 (en) Method and apparatus for communication of data packets between local networks
CA3021367C (en) Using wlan connectivity of a wireless device
US20150358281A1 (en) Method, apparatus, and network system for terminal to traverse private network to communicate with server in ims core network
WO2013170790A1 (zh) 一种虚拟网络的接入方法和***
JP6345816B2 (ja) ネットワーク通信システムおよび方法
WO2010054471A1 (en) Method and apparatus for network port and network address translation
WO2007109963A1 (fr) Passerelle de réseau privé virtuel et système de réseau ipv6 et système de réalisation de réseau privé virtuel mobile dans un réseau hybride et procédé correspondant
WO2003085997A1 (en) Methods and apparatus for using a paging and location server to support session signaling
JP4766976B2 (ja) ノード間接続方法及び装置
WO2007036160A1 (fr) Appareil, systeme et procede assurant la communication entre un client et un serveur
JP2008072203A (ja) 中継サーバ
WO2010020151A1 (zh) 报文处理方法、装置和***
WO2009129707A1 (zh) 局域网之间发送、接收信息的方法和装置以及通信的***
WO2011035528A1 (zh) 用于通过中继方式进行nat穿越的方法、***和中继服务器
WO2011032462A1 (zh) 一种数据传输、接收的方法及***及路由器
JP4253569B2 (ja) 接続制御システム、接続制御装置、及び接続管理装置
WO2007019809A1 (fr) Procede et systeme d'etablissement d'un canal direct point par point
US20170207921A1 (en) Access to a node
WO2011044807A1 (zh) 一种匿名通信的注册、通信方法及数据报文的收发***

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10772013

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10772013

Country of ref document: EP

Kind code of ref document: A1