WO2013056585A1 - 一种虚拟私云接入认证方法及相关装置 - Google Patents

一种虚拟私云接入认证方法及相关装置 Download PDF

Info

Publication number
WO2013056585A1
WO2013056585A1 PCT/CN2012/079308 CN2012079308W WO2013056585A1 WO 2013056585 A1 WO2013056585 A1 WO 2013056585A1 CN 2012079308 W CN2012079308 W CN 2012079308W WO 2013056585 A1 WO2013056585 A1 WO 2013056585A1
Authority
WO
WIPO (PCT)
Prior art keywords
vpn
vpc
identifier
network
request
Prior art date
Application number
PCT/CN2012/079308
Other languages
English (en)
French (fr)
Inventor
刘颖
胡士辉
于德雷
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP12841260.8A priority Critical patent/EP2760174A4/en
Publication of WO2013056585A1 publication Critical patent/WO2013056585A1/zh
Priority to US14/255,635 priority patent/US20140230044A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks

Definitions

  • Virtual private cloud access authentication method and related device The application is submitted to the Chinese Patent Office on October 18, 2011, the application number is 201110316944.6, and the invention name is "a virtual private cloud access authentication method and related device" The priority of the Chinese Patent Application, the entire contents of which is incorporated herein by reference.
  • the present invention relates to the field of communications, and in particular, to a virtual private cloud access authentication method and related apparatus.
  • BACKGROUND With the popularity of data centers, enterprises do not need to purchase equipment and deploy their own information technology (IT, Information Technology) centers. Enterprises can apply for a set of IT resources in the data center to provide cloud computing services for the enterprise, and IT resources are managed by the data center. The hardware resources in the data center provide cloud services to enterprises in the form of virtualized devices.
  • IT Information Technology
  • VPC virtual private cloud
  • Enterprise users want VPCs created in the data center to join their own virtual private network (VPN, Virtual Private Network), secure access to resources within the VPC.
  • VPN Virtual Private Network
  • the bearer network operator needs to accept the VPC access VPN to prevent the VPC from joining the VPN.
  • the VPC of company A is bound to the VPN of company B, which causes the information of company A to leak, which poses a security risk.
  • VPN routing information should not be disseminated to unknown sites without authorization. Therefore, before a VPC joins a VPN, it needs to verify its legitimacy and strictly control the range of route dissemination.
  • the Institute of Electrical and Electronics Engineers IEEE 802.1x combined with the Remote Authentication Dial In User Service (RADIUS) technology can implement authentication, ear and parameter settings.
  • the function since the provider edge device (PE, Provider Edge) gateway and the data center (Data Center) gateway are connected through the Internet (IP, Internet Protocol) routing protocol (ie, Layer 3 protocol), the 802.1x technology can only Applicable to the Ethernet protocol (that is, Layer 2 protocol), the request for VPC access authentication cannot be transmitted to the DC gateway side.
  • IP Internet Protocol
  • the embodiments of the present invention provide a virtual private cloud access authentication method and related device, which are used for performing VPC access authentication between networks that use IP routing protocol communication.
  • a virtual private cloud VPC access authentication method includes: The virtual private network VPN routing device receives the virtual private cloud VPC sent by the cloud manager to access the virtual private network VPN request, where the VPC access VPN request carries the identifier of the bearer network of the target VPN and the VPN identifier;
  • the VPN routing device sends a VPC access request to the network edge device corresponding to the identifier of the bearer network, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC according to the VPN identifier. Access authentication.
  • the method includes:
  • the VPN identifier includes:
  • VPN user name and password are Or, VPN user name and password;
  • VPN name and password are examples.
  • the identifier of the bearer network is: one or more of a network edge device address, a bearer network number, a bearer network name, and a target autonomous system AS number; If the identifier of the bearer network is a network edge device address, the network edge device corresponding to the identifier of the bearer network sends a VPC access request, including: sending a VPC access request to the network edge device corresponding to the network edge device address;
  • the network edge device corresponding to the identifier of the bearer network sends a VPC access request, including: according to the bearer network routing table, the bearer The network edge device, the bearer network name, or the network edge device corresponding to the target AS number sends a VPC access request.
  • the sending by the bearer network routing table, a VPC access request to the network edge device corresponding to the target AS number, including:
  • the first network edge device determines the second network edge device of the next hop according to the bearer network routing table, and continues to The second network edge device forwards the VPC access authentication request until the VPC access authentication request is forwarded to the network edge device corresponding to the target AS number.
  • a virtual private cloud VPC access authentication method includes: a cloud manager receiving a VPC creation request, where the VPC creation request includes: an identifier of a bearer network of a target virtual private network VPN, and a VPN identifier ; The cloud manager searches for a VPN routing device connected to the bearer network according to the identifier of the bearer network;
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device, where the VPC access VPN request carries the identifier of the bearer network and a VPN identifier, so that the VPN routing device uses the VPN identifier to The network edge device corresponding to the identifier of the bearer network initiates VPC access authentication.
  • the method includes: receiving an authentication result returned by the VPN routing device;
  • the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • the VPN identifier includes:
  • VPN user name and password are Or, VPN user name and password;
  • VPN name and password are examples.
  • it includes:
  • the virtual private network VPN routing device receives the VPC access VPN request sent by the cloud manager, where the VPC access VPN request carries the VPN identifier of the target VPN, and the target VPN corresponds to a unique network edge device;
  • the VPN routing device sends a VPC access request to the network edge device, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC access authentication according to the VPN identifier.
  • the method includes: receiving an authentication response returned by the network edge device;
  • the VPN identifier includes:
  • VPN user name and password are Or, VPN user name and password;
  • VPN name and password are examples.
  • a virtual private cloud access authentication method includes: a cloud manager receiving a VPC creation request, where the VPC creation request includes: a VPN identifier of a target VPN, where the target VPN corresponds to a unique Bearer network
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device connected to the bearer network, where the VPC access VPN request carries the VPN identifier, so that the VPN routing device uses the VPN identifier to
  • the network edge device initiates VPC access authentication.
  • the method includes: receiving an authentication result returned by the VPN routing device;
  • the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • the VPN identifier includes:
  • VPN user name and password are Or, VPN user name and password;
  • VPN name and password are examples.
  • a virtual private cloud VPC access authentication method includes: a network edge device receiving a VPC access request sent by a virtual private network VPN routing device, where the VPC access request carries a target VPN VPN identifier;
  • the network edge device sends an authentication request to the authentication system corresponding to the bearer network of the target VPN, where the authentication request carries the VPN identifier, so that the authentication system authenticates the VPN identifier;
  • the network edge device receives the VPN configuration parameter sent by the authentication system, and returns an authentication response to the VPN routing device, where the authentication response carries the VPN configuration parameter.
  • the method includes: Extracting VPN access parameters in the VPN configuration parameter;
  • the method after receiving the VPN configuration parameter sent by the authentication system, the method includes: extracting an access bandwidth parameter in the VPN configuration parameter;
  • the configuration of access bandwidth limitation is performed according to the access bandwidth parameter.
  • a virtual private cloud VPC deletion method includes: receiving, by a virtual private network, a VPN routing device, a VPC deletion request sent by a cloud manager, and the VPC deletion request carrying a network edge of a destination VPN a device address and a VPC identifier; the VPN routing device deletes a VPN instance corresponding to the VPC identifier;
  • the VPC deletes the notification, and the VPC delete notification carries the VPC identifier, so that the network edge device notifies the authentication system to delete the related authentication information corresponding to the VPC identifier.
  • a virtual private cloud VPC deletion method includes: a cloud manager receiving a first VPC deletion request, where the first VPC deletion request carries a VPC identifier;
  • the cloud manager searches for a bearer network of the target virtual private network VPN according to the VPC identifier, and determines a VPN routing device and a network edge device address that are connected to the bearer network;
  • the cloud manager sends a second VPC deletion request to the VPN routing device, where the second VPC deletion request carries the network edge device address and the VPC identifier.
  • a virtual private network VPN routing device includes: a first receiving unit, configured to receive a virtual private cloud VPC accessing a virtual private network VPN request sent by a cloud manager, where the VPC accesses a VPN The request carries the identifier of the bearer network of the target VPN and the VPN identifier;
  • a sending unit configured to send a VPC access request to the network edge device corresponding to the identifier of the bearer network, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC according to the VPN identifier. Access authentication.
  • the VPN routing device further includes:
  • a second receiving unit configured to receive an authentication response returned by the network edge device, where the instance configuration unit is configured to: if the authentication response indication is successful, extract a VPN configuration parameter carried in the authentication response, and according to the Configure VPN instances for VPN configuration parameters.
  • a cloud manager includes:
  • the request receiving unit is configured to receive a virtual private cloud VPC creation request, where the VPC creation request includes: an identifier of the bearer network of the target virtual private network VPN and a VPN identifier;
  • a searching unit configured to search, according to the identifier of the bearer network, a VPN routing device connected to the bearer network;
  • a request sending unit configured to send a request for the VPC to join the VPN to the VPN routing device, where the VPC access VPN request carries the identifier of the bearer network and a VPN identifier, so that the VPN routing device uses the VPN identifier Initiating VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the cloud manager further includes:
  • a response receiving unit configured to receive an authentication result returned by the VPN routing device
  • the creating unit is configured to: if the authentication result is successful, the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • a virtual private network VPN routing device includes: a VPN request receiving unit, configured to receive a virtual private cloud VPC access sent by a cloud manager
  • the VPC access VPN request carries the VPN ID of the target VPN, and the target is
  • the VPN corresponds to a unique network edge device
  • An access request sending unit configured to send a VPC access request to the network edge device, where the VPC access request carries the VPN identifier, so that the network edge device is configured according to the
  • the VPN ID is used for VPC access authentication.
  • the VPN routing device further includes:
  • a receiving unit configured to receive an authentication response returned by the network edge device
  • An instance configuration unit configured to: if the authentication response indication is successful, extract a VPN configuration parameter carried in the authentication response, and configure a VPN instance according to the VPN configuration parameter; And a result response unit, configured to send an authentication result to the cloud manager according to the authentication response.
  • a cloud manager includes:
  • the virtual private cloud VPC request receiving unit is configured to receive a VPC creation request, where the VPC creation request includes: a VPN identity of the target virtual private network VPN, where the target VPN corresponds to a unique bearer network;
  • a VPN request sending unit configured to send a request for a VPC to join a VPN to a VPN routing device connected to the bearer network, where the VPC access VPN request carries the VPN identifier, so that the VPN routing device uses the VPN
  • the identifier initiates VPC access authentication to the network edge device.
  • the cloud manager further includes:
  • a response receiving unit configured to receive an authentication result returned by the VPN routing device
  • the creating unit is configured to: if the authentication result is successful, the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • a network edge device includes:
  • the access request receiving unit is configured to receive a virtual private cloud VPC access request sent by the virtual private network VPN routing device, where the VPC access request carries the VPN identifier of the target VPN; and the authentication request sending unit is configured to target the VPN
  • the authentication system corresponding to the bearer network sends an authentication request, where the authentication request carries the VPN identifier, so that the authentication system performs the
  • An authentication response unit configured to: if the authentication succeeds, the network edge device receives the VPN configuration parameter sent by the authentication system, and returns an authentication response to the VPN routing device, where the authentication response carries the VPN configuration parameter .
  • the network edge device further includes:
  • a first configuration unit configured to extract a VPN access parameter in the VPN configuration parameter, and add the VPN access parameter to an egress routing filtering list ORF, indicating that the VPN routing device may be forwarded to the VPN routing device.
  • VPN routing table ;
  • a second configuration unit configured to extract an access bandwidth parameter in the VPN configuration parameter, and perform an access bandwidth limitation configuration according to the access bandwidth parameter.
  • a virtual private network VPN routing device includes: a deletion request receiving unit, configured to receive a virtual private cloud VPC deletion request sent by a cloud manager, where the VPC deletion request carries a target VPN The network edge device address and VPC identifier of the bearer network;
  • An instance deletion unit configured to delete a VPN instance corresponding to the VPC identifier
  • a notification sending unit configured to send a VPC deletion notification to the network edge device corresponding to the network edge device address, where the VPC deletion notification carries the VPC identifier, so that the network edge device notifies the authentication system to delete the VPC identifier Corresponding related authentication information.
  • a cloud manager includes: Deleting a receiving unit, configured to receive a first virtual private cloud VPC deletion request, where the first VPC deletion request carries a VPC identifier;
  • a target search unit configured to search for a bearer network of the target virtual private network VPN according to the VPC identifier, and determine a VPN routing device and a network edge device address that are connected to the bearer network; and a deletion request sending unit, configured to send the VPN The routing device sends a second VPC deletion request, where the second VPC deletion request carries the network edge device address and the VPC identifier.
  • the embodiments of the present invention have the following advantages:
  • the VPC access VPN request received by the VPN routing device in the embodiment of the present invention carries the identifier of the bearer network of the target VPN, so that the VPN routing device can find the corresponding network edge device according to the identifier of the bearer network (using the IP routing protocol)
  • the address of the network device thereby enabling VPC access authentication to communicate across the Layer 3 network, thereby enabling the network edge device to perform VPC access authentication.
  • FIG. 4 is another schematic flowchart of a virtual private cloud access authentication method according to an embodiment of the present invention
  • FIG. 5 is another flow of a virtual private cloud access authentication method according to an embodiment of the present invention
  • schematic diagram is another schematic flowchart of a virtual private cloud access authentication method according to an embodiment of the present invention
  • FIG. 7 is a schematic flowchart of a virtual private cloud deletion method according to an embodiment of the present invention
  • FIG. 8 is another schematic flowchart of a method for deleting a virtual private cloud according to an embodiment of the present invention
  • FIG. 9 is a schematic structural diagram of a VPN routing device according to an embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of a cloud manager according to an embodiment of the present invention.
  • FIG. 11 is another schematic structural diagram of a VPN routing device according to an embodiment of the present invention.
  • FIG. 12 is another schematic structural diagram of a cloud manager according to an embodiment of the present invention.
  • FIG. 13 is a schematic structural diagram of a network edge device according to an embodiment of the present invention.
  • FIG. 14 is another schematic structural diagram of a VPN routing device according to an embodiment of the present invention.
  • 15 is another schematic structural diagram of a cloud manager according to an embodiment of the present invention.
  • FIG. 16 is a structural diagram of a cloud network to which an embodiment of the present invention belongs.
  • the embodiments of the present invention provide a virtual private cloud access authentication method and related device, which are used for performing VPC access authentication between networks that use the IP routing protocol to communicate.
  • the cloud network system may include: a cloud service platform, a cloud manager, a VPN routing device, a network edge device, and an authentication system corresponding to the network edge device.
  • the cloud service platform is configured to provide a service interface for the user, and receive the service request of the user; the cloud service platform sends the received service request to the cloud manager for processing;
  • the cloud manager is responsible for managing the data center cloud resources and network resources, and the routing device of the VPN routing device data center. Therefore, the cloud manager can also control and manage the VPN routing device, and the two ends of the VPN routing device are respectively associated with the cloud manager and the network.
  • the edge devices are connected.
  • FIG. 1 an embodiment of a virtual private cloud VPC access authentication method in an embodiment of the present invention is shown.
  • the method includes:
  • the VPN routing device receives a VPC access VPN request sent by the cloud manager.
  • the VPN routing device receives the VPC access VPN request sent by the cloud manager. If the data center is connected to multiple bearer networks, or the data center and the destination VPN bearer network are not directly connected, the VPC access VPN request is carried. The identifier of the bearer network of the target VPN and the VPN identifier, where the target VPN is a VPN that the VPC needs to access.
  • the VPN routing device can configure a VPN instance and can perform a routing function in the VPN.
  • the VPN routing device can be a DC gateway, a DC core core router, a DC inner core switch, or a server in a DC;
  • the physical device may be determined according to the situation, and is not limited herein.
  • the user sends a VPC creation request to the cloud manager through the cloud service platform, and the cloud manager provides the identifier of the bearer network of the VPN (ie, the target VPN) that the VPC needs to access. And the VPN identifier; the cloud manager finds the VPN routing device connected to the bearer network according to the identifier of the bearer network, and sends a VPC access VPN request to the VPN routing device, so that the VPN routing device initiates to the corresponding network edge device. VPC access authentication. 102. The VPN routing device sends a VPC access request to the network edge device corresponding to the identifier of the bearer network.
  • the VPN routing device sends a VPC access request to the network edge device corresponding to the identifier of the bearer network, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC access authentication according to the VPN identifier.
  • the VPC access request is a data packet encapsulated using a network protocol IP routing protocol.
  • the VPN identifier is provided by the user and is user information for accessing the authentication by the VPC; specifically:
  • the VPN routing device can encrypt the VPN identifier by using a challenge mechanism when encapsulating the VPC access request.
  • the VPC access VPN request received by the VPN routing device in the embodiment of the present invention carries the identifier of the bearer network of the target VPN, so that the VPN routing device can find the corresponding network edge device according to the identifier of the bearer network (using the IP routing protocol)
  • the address of the network edge device thereby enabling VPC access authentication to communicate across the Layer 3 network, thereby enabling the network edge device to perform VPC access authentication.
  • FIG. 2 is a detailed description of how to find the network edge device corresponding to the bearer network identifier of the target VPN.
  • another embodiment of the virtual private cloud access authentication method in the embodiment of the present invention includes:
  • the VPN routing device receives the VPC access VPN request sent by the cloud manager.
  • the content of the step 201 in this embodiment is the same as the content of the step 101 in the embodiment shown in FIG. 1 , and details are not described herein again.
  • the VPN routing device confirms the network edge device corresponding to the identifier of the bearer network.
  • the VPN routing device After receiving the VPC access VPN request, the VPN routing device extracts the identifier of the bearer network in the VPC access VPN request, and uses the identifier of the bearer network to confirm the network edge device that needs to send the VPC access request.
  • the identifier of the bearer network may be a network edge device address, the bearer network identifier corresponding to the bearer network name, the bearer network identifier corresponding to the bearer network number, or the target autonomous system corresponding to the bearer network identifier ( One or more of the AS, Autonomous System (number of AS numbers represent an autonomous domain).
  • the network edge device corresponding to the network edge device address is a network edge device that needs to send a VPC access request; the network edge device address may be an IP address of the network edge device;
  • the corresponding network edge device may be searched by the bearer network routing table stored by the VPN routing device. Specifically, the VPN routing device may be based on the bearer network name or the bearer network. Finding a corresponding network edge device on the bearer network routing table;
  • the corresponding network edge device may also be searched by the bearer network routing table stored by the VPN routing device. Specifically, the VPN routing device may be in the bearer network route according to the target AS number. Find the corresponding network edge device on the table. Specifically, the target AS number can be manually configured or learned by the network device.
  • the routing table of the bearer network is a routing table of network devices reachable between the networks. It can be a manually configured routing table, for example: ⁇ destination network identifier, network edge device>.
  • the destination network identifier may be an identifier that uniquely identifies a bearer network, such as one or more of a bearer network name, a bearer network number, an AS number, and the like.
  • the bearer network routing table can also be a self-learning AS routing table.
  • the AS routing table is an AS-oriented route constructed on each Autonomous System Border Router (ASBR).
  • ASBR Autonomous System Border Router
  • the method of constructing the AS routing entry may be: extending the function of the ASBR, extracting the AS-PATH of the autonomous system route issued by the border gateway protocol (BGP), extracting the AS number of the reachable network, and generating the AS that reaches the target AS. Routing entry: ⁇ destination AS, next hop address, outgoing interface>.
  • BGP border gateway protocol
  • Routing entry ⁇ destination AS, next hop address, outgoing interface>.
  • different network edge devices belong to different bearer networks, and different network edge devices belong to different autonomous domains in different autonomous systems. Therefore, one or more of the bearer network name and the target AS number can uniquely determine a network edge device according to the bearer network number.
  • the VPN routing device sends a VPC access request to the determined network edge device.
  • the VPN routing device sends a VPC access request to the determined network edge device, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC access authentication according to the VPN identifier.
  • the VPC access request is directly sent to the network edge device corresponding to the network edge device address;
  • the identifier of the bearer network is a bearer network name
  • the VPN routing device searches for the first network edge device of the next hop, and sends a VPC access request to the first network edge device, where the first network edge device A network edge device connected to the VPN routing device on the path to the network edge device corresponding to the destination AS number.
  • the VPC access authentication request may further carry the target AS number; if the first network edge device is not a network edge device corresponding to the target AS number, the first network edge device is configured according to the bearer network routing table. Determining the second network edge device of the next hop, and continuing to forward the VPC access authentication request to the second network edge device until the VPC access authentication request is forwarded to the network edge device corresponding to the target AS number.
  • the scenario in which the identifier of the bearer network is the target AS number is applicable to the VPC access authentication request being transmitted across multiple autonomous domains, so that the access authentication of the VPC can be performed across multiple networks.
  • the bearer network routing table may be pre-configured for the first network edge device, or may be self-learned by the first network edge device.
  • the VPN routing device receives an authentication response returned by the network edge device.
  • the VPN routing device receives the authentication response returned by the network edge device, where the authentication response carries the VPN configuration parameter.
  • the VPN configuration parameter includes a parameter for configuring a VPN instance, and the parameter of the configured VPN instance may be a route target parameter.
  • the VPN configuration parameter may further include an auxiliary parameter, where the auxiliary parameter may be one or more of an access policy, an access bandwidth parameter, and a service priority parameter.
  • the VPN routing device configures the VPN instance according to the VPN configuration parameter.
  • the VPN routing device After receiving the authentication response returned by the network edge device, if the authentication response indicates that the authentication is successful, the VPN routing device extracts the VPN configuration parameter carried in the authentication response, and configures the VPN instance according to the VPN configuration parameter.
  • the configuration of the Layer 3 VPN may be: the VPN routing device extracts the route target (RT, Route Target) parameter in the VPN configuration parameter, and configures the virtual routing forwarding (VRF): vpn-instance vpna; Vpn-target 111:1 both.
  • the configuration of the Layer 2 VPN can be: extracting the RT parameters, site id, site range, offset, and configuring the virtual switch instance (VSI, Virtual Switch Instance).
  • the VPN configuration parameter includes a QoS (Quality of Service) parameter
  • the QoS parameter is an access bandwidth parameter
  • the VPN routing device may use the access bandwidth parameter to configure the VPC to access the data center gateway.
  • Bandwidth limit if the QoS parameter is a service priority parameter, the VPN routing device can use the service priority parameter to configure the weight of the priority queue and/or the inbound queue policy.
  • the VPN routing device sends the authentication result to the cloud manager according to the authentication response.
  • the VPN routing device After receiving the authentication response returned by the network edge device, the VPN routing device sends the authentication result to the cloud manager according to the authentication response.
  • the cloud manager can create a VPC and bind the VPC to the VPN configured on the VPN routing device.
  • FIG. 3 is a description of a virtual private cloud access authentication method in the embodiment of the present invention from the perspective of a VPN routing device. The following describes the virtual private cloud access authentication method in the embodiment of the present invention from the perspective of a cloud manager. Referring to FIG. 3, it is another embodiment of a virtual private cloud access authentication method in an embodiment of the present invention. The method includes:
  • the cloud manager receives a VPC creation request.
  • the cloud manager receives the VPC creation request, and the VPC creation request includes: one or more of the identifier of the target network and the VPN identifier, where the target VPN is a VPN to be accessed by the VPC.
  • the user can send a VPC creation request to the cloud manager through the cloud service platform, where the VPC creation request carries the identifier of the target network and the VPN used for VPC access authentication. logo.
  • the VPN identifier may be:
  • the VPC is encapsulated.
  • the VPN routing device can encrypt the VPN identity using the challenge mechanism.
  • the identifier of the bearer network may be one or more of a network edge device address, a bearer network number, a bearer network name, and a target AS number.
  • the cloud manager searches for the VPN routing device connected to the bearer network according to the identifier of the bearer network. After the cloud manager receives the VPC creation request, the cloud manager extracts the identifier of the bearer network carried in the VPC creation request, according to the bearer. The identifier of the network finds a VPN routing device connected to the bearer network corresponding to the identifier of the bearer network.
  • the cloud manager can find the VPN routing device connected to the bearer network corresponding to the identifier of the bearer network on the bearer network routing table stored locally by the cloud manager according to the identifier of the bearer network. Specifically, the cloud manager can pass one of the network edge device address, the bearer network number, the bearer network name, and the target AS number, because the path is connected to a network edge device and only passes through a VPN routing device. Or multiple uniquely identify a VPN routing device.
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device.
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device that is found by the cloud, and the request for accessing the VPN of the VPC carries the bearer network of the target VPN.
  • the identifier and the VPN identifier, the VPN routing device can use the VPN identifier to initiate VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the cloud manager may pass the bearer network number, one of the bearer network name and the target AS number.
  • the network edge device that needs to perform the access authentication on the locally stored bearer network routing table, when the VPC joins the VPN request to the VPN routing device, the VPC can directly join the VPN sending request to carry the network edge. The address of the device.
  • the cloud manager receives the authentication result returned by the VPN routing device.
  • the cloud manager receives the authentication result returned by the VPN routing device. If the authentication result is successful, the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • FIG. 4 another embodiment of the virtual private cloud access authentication method in the embodiment of the present invention is provided. Includes:
  • the VPN routing device receives a VPC access VPN request sent by the cloud manager.
  • the VPN routing device receives the VPC access VPN request sent by the cloud manager in the data center.
  • the VPN routing device can configure a VPN instance and can perform a routing function in the VPN.
  • the VPN routing device can be a DC gateway, a DC core core router, a DC inner core switch, or a server in a DC;
  • the physical device may be determined according to the situation, and is not limited herein.
  • a VPC needs to be created
  • the user when the user sends a VPC creation request to the cloud manager through the cloud service platform, the user provides a VPC for the cloud manager in a scenario where the data center is directly connected to a bearer network of the target VPN.
  • the cloud manager After receiving the VPC creation request, the cloud manager directly sends a VPC access VPN request to the VPN routing device connected to the bearer network, so that the VPN routing device initiates VPC access authentication to the corresponding network edge device.
  • the VPN routing device sends a VPC access request to the network edge device.
  • the VPN routing device sends a VPC access request to the network edge device that is uniquely corresponding to the target VPN, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC access authentication according to the VPN identifier.
  • the VPC access request is a data packet encapsulated using an IP routing protocol.
  • the VPN identifier is provided by the user and is user information for VPC access authentication.
  • the VPN identifier can be:
  • the VPN routing device can use the challenge mechanism to encrypt the VPN identifier when encapsulating the VPC access request.
  • the VPN routing device receives an authentication response returned by the network edge device.
  • the VPN routing device receives the authentication response returned by the network edge device, where the authentication response carries the VPN configuration parameter.
  • the VPN configuration parameter includes a parameter for configuring a VPN instance, and the parameter of the configured VPN instance may be a route target parameter.
  • the VPN configuration parameter may further include an auxiliary parameter, which may be one of an access policy, an access bandwidth parameter, and a service priority parameter. Multiple.
  • the VPN routing device configures the VPN instance according to the VPN configuration parameter.
  • the VPN routing device After receiving the authentication response returned by the network edge device, if the authentication response indicates that the authentication response is serious, the VPN routing device extracts the VPN configuration parameter carried in the authentication response, and configures the VPN instance according to the VPN configuration parameter.
  • the VPN configuration parameter includes a QoS (Quality of Service) parameter
  • the QoS parameter is an access bandwidth parameter
  • the VPN routing device may use the access bandwidth parameter to configure the VPC to access the data center gateway.
  • Bandwidth limit if the QoS parameter is a service priority parameter, the VPN routing device can use the service priority parameter to configure the weight of the priority queue and/or the inbound queue policy.
  • the VPN routing device sends an authentication result to the cloud manager according to the authentication response.
  • the VPN routing device After receiving the authentication response returned by the network edge device, the VPN routing device sends the authentication result to the cloud manager according to the authentication response.
  • the cloud manager can create a VPC and bind the VPC to the VPN configured on the VPN routing device.
  • FIG. 5 describes the virtual private cloud access authentication method in the scenario where the data center is directly connected to the bearer network of the target VPN from the perspective of the cloud manager.
  • FIG. 5 another embodiment of the virtual private cloud access authentication method in the embodiment of the present invention includes:
  • the cloud manager receives a VPC creation request.
  • the cloud manager receives the VPC creation request, and the VPC creation request includes: a VPN ID of the target VPN, where the target VPN is a VPN that the VPC needs to access, and the target VPN corresponds to a unique bearer network.
  • the user can send a VPC creation request to the cloud manager through the cloud service platform, where the VPC creation request carries the VPN identifier of the target VPN that is used for VPC access authentication.
  • the VPN identifier may be:
  • the VPN routing device can encrypt the VPN identifier by using the challenge mechanism when encapsulating the VPC access request. 502.
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device.
  • the cloud manager sends a request for the VPC to join the VPN to the VPN routing device connected to the bearer network, where the VPC access VPN request carries the VPN of the target VPN.
  • the VPN routing device can use the VPN identifier to initiate VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the VPN routing device is a DC gateway, a DC inner core router, or a DC inner core switch
  • the target VPN and the DC gateway, or the target VPN and the DC inner core router, or the target VPN and the DC inner core switch are connected to the unique VPN routing device
  • the cloud manager can uniquely find the VPN routing device connected to the bearer network corresponding to the target VPN.
  • the cloud manager can select one or more servers to be sent as a VPN routing device according to the pre-configured policy, and the pre-configured policy can be
  • you can also use the load limiting policy that is, use each iHil in turn within the load range of the server) b
  • the cloud manager receives the authentication result returned by the VPN routing device.
  • the cloud manager receives the authentication result returned by the VPN routing device. If the authentication result is successful, the cloud manager creates a VPC in the VPN routing device, and binds the VPC to the VPN configured on the VPN routing device.
  • FIG. 6 is a description of a virtual private cloud access authentication method in the embodiment of the present invention from the perspective of a network edge device.
  • another embodiment of the virtual private cloud access authentication method in the embodiment of the present invention includes:
  • the network edge device receives the VPC access request sent by the VPN routing device.
  • the network edge device receives the VPC access request sent by the VPN routing device, where the VPC access request carries the VPN identifier of the target VPN.
  • the VPN identifier may be:
  • the VPN routing device can encrypt the VPN identifier by using the challenge mechanism when encapsulating the VPC access request.
  • the network edge device can be an ASBR or a PE.
  • the network edge device sends an authentication request to an authentication system corresponding to the bearer network.
  • the network edge device sends an authentication request to the authentication system corresponding to the bearer network of the target VPN, where the authentication request carries the VPN identifier, so that the authentication system authenticates the VPN identifier; the target VPN is required for the VPC to access. VPN.
  • the VPC access request is sent to the authentication system corresponding to the bearer network of the target VPN.
  • the network edge device can determine whether the local device is the target network edge device of the VPC access request by using the identifier of the bearer network (for example, the target AS number). If not, the next hop can be determined according to the bearer network routing table.
  • the network edge device forwards the VPC access authentication request to the second network edge device that continues to the next hop until the VPC access authentication request is forwarded to the target network edge device.
  • the identifier of the bearer network can be carried by the VPC access request, and the routing table of the bearer network can be obtained by the network edge device through self-learning.
  • the network edge device receives the VPN configuration parameter sent by the authentication system.
  • the network edge device After sending the authentication request to the authentication system corresponding to the bearer network of the target VPN, the network edge device receives the VPN configuration parameter sent by the authentication system.
  • the network edge device after receiving the VPN configuration parameter sent by the authentication system, extracts the VPN access parameter in the VPN configuration parameter, and if the VPN access parameter is an RT parameter, adding the RT parameter to the egress route filtering.
  • the list ORF Outbound Route Filtering, it indicates that the VPN routing table in the bearer network can be forwarded to the VPN routing device.
  • the network edge device may further extract an access bandwidth parameter in the VPN configuration parameter, and perform configuration of access bandwidth limitation according to the access bandwidth parameter.
  • the network edge device returns an authentication response to the VPN routing device.
  • the network edge device returns an authentication response to the VPN routing device, where the authentication response carries the VPN configuration parameter, so that the VPN routing device can configure the VPN instance according to the VPN configuration parameter.
  • the process of the VPC access authentication in the embodiment of the present invention is described above.
  • the following describes the process of deleting the VPC in the embodiment of the present invention.
  • FIG. 7 an implementation of the virtual private cloud deletion method in the embodiment of the present invention is shown. Examples include: 701.
  • the VPN routing device receives a VPC deletion request sent by the cloud manager.
  • the VPN routing device receives the VPC deletion request sent by the cloud manager, where the VPC deletion request carries the network edge device address and the VPC identifier of the bearer network of the target VPN.
  • the VPN routing device is a device that can configure a VPN instance and can perform a routing function in a VPN; the VPN routing device can be a DC gateway, a DC core core router, a DC inner core switch, or a server in a DC;
  • the physical device that functions as a routing device may be determined according to the situation and is not limited herein.
  • the VPC is identified as the identifier of the VPC to be deleted, and the target VPN is the VPN accessed by the VPC to be deleted.
  • the VPN routing device deletes the VPN instance corresponding to the VPC identifier.
  • the VPN routing device deletes the VPN instance corresponding to the VPC ID.
  • the VPC ID can be a VPC number assigned to the cloud manager or an instance name of the VPN.
  • the VPN routing device can find the VPN instance corresponding to the VPC ID in the local device.
  • the VPN routing device sends a VPC deletion notification to the corresponding network edge device.
  • the VPN routing device sends a VPC deletion notification to the network edge device corresponding to the network edge device address, where the VPC deletion notification carries the VPC identifier, so that the network edge device notifies the authentication system to delete the relevant authentication information corresponding to the VPC identifier.
  • the authentication system corresponds to the bearer network.
  • the network edge device receives the authentication request, initiates RADIUS authentication, and a VPC identifier corresponds to a port number of a network access system (NAS Network Access System), and the network edge device establishes a VPC.
  • the mapping between the identifier and the RADIUS authentication that is, the mapping between the VPC identifier and the NAS port number.
  • the network edge device can notify the corresponding authentication system to delete the access authentication record corresponding to the VPC according to the VPC identifier.
  • FIG. 8 is a description of the virtual private cloud deletion method in the embodiment of the present invention from the perspective of the VPN routing device.
  • the virtual private cloud deletion method in the embodiment of the present invention is described from the perspective of the cloud manager.
  • Another embodiment of the method for deleting a virtual private cloud in the embodiment of the present invention includes:
  • the cloud manager receives the VPC deletion request.
  • the cloud manager receives the first VPC deletion request, and the first VPC deletion request carries the VPC identifier.
  • the first VPC deletion request may be that the user manages to the cloud through the cloud service platform.
  • the VPC is sent as the identifier of the VPC to be deleted.
  • the cloud manager searches for a bearer network of the target VPN according to the VPC identifier.
  • the cloud manager searches for the bearer network of the target VPN according to the VPC identifier, and determines the VPN routing device and the network edge device address that are connected to the bearer network, where the target VPN is the VPN accessed by the VPC to be deleted.
  • the cloud manager can find the destination VPN bearer network based on the VPC identity and find the VPN routing device and network edge device connected to the bearer network. address.
  • the cloud manager sends a second VPC deletion request to the VPN routing device.
  • the cloud manager sends a second VPC deletion request to the VPN routing device, where the second VPC deletion request carries the network edge device address and the VPC identifier, so that the VPN routing device sends the VPC to the network edge device corresponding to the network edge device address.
  • the request is deleted, so that the configuration information of the VPC is deleted on the authentication system of the corresponding bearer network.
  • an embodiment of the VPN routing device of the present invention for performing the virtual private cloud access authentication method is described below.
  • an embodiment of the VPN routing device in the embodiment of the present invention includes a first receiving. Unit 901 and transmitting unit 902, wherein:
  • the first receiving unit 901 is configured to receive a virtual private cloud VPC sent by the cloud manager to access the virtual private network VPN request, where the VPC access VPN request carries the identifier of the target network and the VPN identifier;
  • the sending unit 902 is configured to send a VPC access request to the network edge device corresponding to the identifier of the bearer network, where the VPC access request carries the VPN identifier, so that the network edge device according to the VPN Identifies the access authentication of the VPC.
  • the VPN routing device in the embodiment of the present invention may further include a second receiving unit 903, an instance configuration unit 904, and a result response unit 905, where:
  • the second receiving unit 903 is configured to receive an authentication response returned by the network edge device, where the instance configuration unit 904 is configured to: if the authentication response indication is successful, extract a VPN configuration carried in the authentication response. Parameters, and configuring a VPN instance according to the VPN configuration parameters;
  • the result response unit 905 is configured to send an authentication node to the cloud manager according to the authentication response.
  • the specific operation process of each unit in the VPN routing device in the embodiment of the present invention is as follows:
  • the first receiving unit 901 receives the VPC access VPN request sent by the cloud manager. If the data center is connected to multiple bearer networks, or the data center and the target VPN bearer network are not directly connected, the VPC accesses.
  • the VPN request carries the identifier of the bearer network of the target VPN and the VPN identifier, where the target VPN is a VPN that the VPC needs to access.
  • the user sends a VPC creation request to the cloud manager through the cloud service platform, and provides the cloud manager with the identifier of the bearer network of the VPN (ie, the target VPN) that the VPC needs to access. And the VPN identifier; the cloud manager finds the VPN routing device connected to the bearer network according to the identifier of the bearer network, and sends a VPC access VPN request to the VPN routing device, so that the VPN routing device initiates to the corresponding network edge device. VPC access authentication.
  • the sending unit 902 After receiving the VPC access VPN request, the sending unit 902 sends a VPC access request to the network edge device corresponding to the identifier of the bearer network, where the VPC access request carries the VPN identifier, so that the network edge device is configured according to the network edge device.
  • the VPN identifier performs VPC access authentication, and the VPC access request is a data packet encapsulated by using an IP routing protocol.
  • the identifier of the bearer network may be one or more of a network edge device address, a bearer network number, a bearer network name, and a target AS number, where one target AS number represents an autonomous domain.
  • the identifier of the bearer network is the network edge device address
  • An access request; the network edge device address may be an IP address of the network edge device;
  • the corresponding network edge device may be searched by the bearer network routing table stored by the VPN routing device, and the sending unit 902 searches for the bearer network routing table.
  • the network edge device to the network sends a VPC access request;
  • the corresponding network edge device may also be searched by the bearer network routing table stored by the VPN routing device. Specifically, the VPN routing device may be in the bearer network route according to the target AS number. Searching for a corresponding network edge device on the table, and the sending unit 902 searches for the first network edge device of the next hop, and sends a VPC access request to the first network edge device, where the first network edge device is the target AS.
  • the VPC access authentication request On the path of the network edge device, the network edge device connected to the VPN routing device, the VPC access authentication request further carries the target AS number; if the first network edge device is not the target AS The network edge device corresponding to the number, the first network edge device determines the second network edge device of the next hop according to the bearer network routing table, and continues to forward the VPC access authentication request to the second network edge device until the VPC is connected.
  • the incoming authentication request is forwarded to the network edge device corresponding to the target AS number; the bearer network routing table may be pre-configured for the first network edge device, or may be self-learned by the first network edge device.
  • the routing table of the bearer network is a routing table of network devices reachable by each network, and may be a manually configured routing table, such as: ⁇ destination network identifier, network edge device>, and the destination network identifier may be a unique identifier of a bearer network.
  • the bearer network name, the bearer network number, and the AS number may also be a self-learning AS routing table
  • the AS routing table is a route configured for AS on each ASBR.
  • the configuration of the AS routing entry can be as follows: The function of the ASBR is extended, the AS_PATH of the BGP route is extracted, and the AS number of the reachable network is removed.
  • the AS routing entry to the destination AS is generated: ⁇ destination AS, next hop address , outgoing interface>.
  • different network edge devices belong to different bearer networks, and different network edge devices belong to different autonomous domains in different autonomous systems. Therefore, one or more of the bearer network name and the target AS number can uniquely identify a network edge device according to the bearer network number.
  • the VPN identifier is provided by the user and is user information for VPC access authentication.
  • the VPN identifier can be:
  • the VPN mechanism can be encrypted by using the challenge mechanism when encapsulating the VPC access request.
  • the second receiving unit 903 receives the authentication response returned by the network edge device, where the authentication response carries the VPN configuration parameter.
  • the VPN configuration parameter includes a parameter for configuring a VPN instance, and the parameter of the configured VPN instance may be a route target parameter.
  • the VPN configuration parameters may also include ancillary parameters, which may be one or more of an access policy, an access bandwidth parameter, and a traffic priority parameter.
  • the instance configuration unit 904 After receiving the authentication response returned by the network edge device, if the authentication response indication is successful, the instance configuration unit 904 extracts the VPN configuration parameter carried in the authentication response, Configure a VPN instance based on the VPN configuration parameters.
  • the configuration of the Layer 3 VPN may be: the VPN routing device extracts the route target (RT, Route Target) parameter in the VPN configuration parameter, and configures the virtual routing forwarding (VRF): vpn-instance vpna; Vpn-target 111:1 both.
  • the configuration of the Layer 2 VPN can be: extracting the RT parameters, site id, site range, offset, and configuring the virtual switch instance (VSI, Virtual Switch Instance).
  • the VPN configuration parameter includes a QoS (Quality of Service) parameter
  • the QoS parameter is an access bandwidth parameter
  • the VPN routing device may use the access bandwidth parameter to configure the VPC to access the data center gateway.
  • Bandwidth limit if the QoS parameter is a service priority parameter, the VPN routing device can use the service priority parameter to configure one or more of the weight of the priority queue and the queued policy.
  • the result response unit 905 may also send an authentication result to the cloud manager according to the authentication response.
  • the cloud manager can create a VPC and bind the VPC to the VPN configured on the VPN routing device.
  • an embodiment of the cloud manager of the present invention for performing the virtual private cloud access authentication method is described below.
  • an embodiment of the cloud manager in the embodiment of the present invention includes a request receiving unit.
  • the searching unit 1002 is configured to search, according to the identifier of the bearer network, a VPN routing device connected to the bearer network;
  • the request sending unit 1003 is configured to send a request for the VPC to join the VPN to the VPN routing device, where the VPC access VPN request carries the identifier of the bearer network and a VPN identifier, so that the VPN routing device uses the The VPN identifier initiates VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the cloud manager in the embodiment of the present invention may further include a response receiving unit 1004 and a creating unit 1005, where:
  • the response receiving unit 1004 is configured to receive an authentication result returned by the VPN routing device, where the creating unit 1005 is configured to: when the authentication result is successful, the cloud manager creates a VPC in the VPN routing device, and VPN configured on the VPC and VPN routing device Bind.
  • the request receiving unit 1001 receives a VPC creation request, and the VPC creation request includes: an identifier of a bearer network of the target VPN and a VPN identifier, where the target VPN is a VPN that the VPC needs to access.
  • VPC creation request carries the identifier of the bearer network of the target VPN and the VPN ID used for VPC access authentication.
  • the VPN identifier may be:
  • the VPN routing device can use the challenge mechanism to encrypt the VPN identifier when encapsulating the VPC access request.
  • the identifier of the bearer network may be one or more of a network edge device address, a bearer network number, a bearer network name, and a target AS number.
  • the searching unit 1002 After receiving the VPC creation request, the searching unit 1002 extracts the identifier of the bearer network carried in the VPC creation request, and searches for the VPN routing device connected to the bearer network according to the identifier of the bearer network. Specifically, because the path that is connected to a network edge device is uniquely passed through a VPN routing device, the searching unit 1002 can be based on the network edge device address, the bearer network number, the bearer network name, and the target AS number. One or more uniquely identifies a VPN routing device.
  • the request sending unit 1003 sends a request for the VPC to join the VPN to the searched VPN routing device, where the VPC access VPN request carries the identifier of the bearer network of the target VPN and the VPN identifier.
  • the VPN routing device uses the VPN identifier to initiate VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the cloud manager may pass one of the bearer network number, the bearer network name, or the target AS number.
  • the network edge device that needs to perform access authentication is searched on the bearer network routing table stored locally by the cloud manager, and when the VPC joins the VPN request to the VPN routing device, The request to directly join the VPC to the VPN carries the address of the device at the edge of the network.
  • the address of the network edge device may be the IP address of the network edge device.
  • the response receiving unit 1004 receives the authentication result returned by the VPN routing device. If the authentication result is successful, the creating unit 1005 creates a VPC in the VPN routing device, and Bind the VPC to the VPN configured on the VPN routing device.
  • FIG. 11 An embodiment of the VPN routing device of the present invention in a scenario in which the data center is directly connected to a bearer network of the target VPN is described in FIG. 11.
  • FIG. 11 another embodiment of the VPN routing device in the embodiment of the present invention is shown in FIG.
  • a VPN request receiving unit 1101 and an access request sending unit 1102 are included, where:
  • the VPN request receiving unit 1101 is configured to receive a VPC access VPN request sent by the cloud manager, where the VPC access VPN request carries a VPN identifier of a target VPN, where the target VPN corresponds to a unique network edge device;
  • the access request sending unit 1102 is configured to send a VPC access request to the network edge device, where the VPC access request carries the VPN identifier, so that the network edge device performs VPC according to the VPN identifier. Access authentication.
  • the VPN routing device in the embodiment of the present invention may further include a receiving unit 1103, an instance configuration unit 1104, and a result response unit 1105, where:
  • the receiving unit 1103 is configured to receive an authentication response returned by the network edge device, where the instance configuration unit 1104 is configured to: if the authentication response indication is successful, extract a VPN configuration parameter carried in the authentication response, And configuring a VPN instance according to the VPN configuration parameter;
  • the result response unit 1105 is configured to send an authentication result to the cloud manager according to the authentication response.
  • the specific operation process of each unit in the VPN routing device is as follows:
  • the VPN request receiving unit 1101 receives a VPC access VPN request sent by the cloud manager, and the data center is directly connected to a bearer network of the target VPN.
  • the VPC access VPN request carries the VPN identifier of the target VPN, where the target VPN is a VPN that the VPC needs to access, and the target VPN corresponds to a unique network edge device.
  • the access request sending unit 1102 After receiving the VPC access VPN request, the access request sending unit 1102 sends a VPC access request to the network edge device corresponding to the target VPN, and the VPC access request
  • the request carries the VPN identifier, so that the network edge device performs VPC access authentication according to the VPN identifier, and the VPC access request is a data packet encapsulated by using an IP routing protocol.
  • the receiving unit 1103 After receiving the VPC access request, the receiving unit 1103 receives an authentication response returned by the network edge device, where the authentication response carries a VPN configuration parameter; if the authentication response indicates that the authentication is successful, the instance configuration unit 1104: Extract a VPN configuration parameter carried in the authentication response, and configure a VPN instance according to the VPN configuration parameter. And, the result response unit 1105 may further send an authentication result to the cloud manager according to the authentication response.
  • the cloud manager can create a VPC and bind the VPC to the VPN configured on the VPN routing device.
  • FIG. 12 illustrates an embodiment of the cloud manager of the present invention in which the data center is directly connected to a bearer network of the target VPN.
  • FIG. 12 Another embodiment of the cloud manager in the embodiment of the present invention includes The VPC request receiving unit 1201 and the VPN request transmitting unit 1202, wherein:
  • the VPC request receiving unit 1201 is configured to receive a VPC creation request, where the VPC creation request includes: a VPN identifier of a target VPN, where the target VPN corresponds to a unique bearer network;
  • the VPN request sending unit 1202 is configured to send a request for the VPC to join the VPN to the VPN routing device connected to the bearer network, where the VPC access VPN request carries the VPN identifier, so that the VPN routing device uses the The VPN ID initiates VPC access authentication to the network edge device.
  • the cloud manager in the embodiment of the present invention may further include a response receiving unit.
  • the response receiving unit 1203 is configured to receive an authentication result returned by the VPN routing device, where the creating unit 1204 is configured to: if the authentication result is successful, the cloud manager is
  • a VPC is created in the VPN routing device, and the VPC is bound to the VPN configured on the VPN routing device.
  • the VPC request receiving unit 1201 receives a VPC creation request, and the VPC creation request includes: a VPN ID of the target VPN, the target VPN is a VPN to be accessed by the VPC, and the target VPN corresponds to a unique bearer network.
  • VPC creation request is sent, and the VPC creation request carries a VPN identifier of a target VPN that is required for performing VPC access authentication.
  • the VPN identifier may be:
  • the VPN routing device can use the challenge mechanism to encrypt the VPN identifier when encapsulating the VPC access request.
  • the VPN request sending unit 1202 After receiving the VPC creation request, the VPN request sending unit 1202 sends a request for the VPC to join the VPN to the VPN routing device connected to the bearer network, where the VPC access VPN request carries the VPN identifier of the target VPN, so that the VPN The routing device uses the VPN identifier to initiate VPC access authentication to the network edge device corresponding to the identifier of the bearer network.
  • the response receiving unit 1203 receives the authentication result returned by the VPN routing device. If the authentication result is successful, the creating unit 1204 creates a VPC in the VPN routing device, and creates the VPC and the VPC. VPN binding configured on the VPN routing device.
  • FIG. 13 illustrates an embodiment of the network edge device of the present invention for performing the virtual private cloud access authentication method.
  • an embodiment of the network edge device includes an access request.
  • the access request receiving unit 1301 is configured to receive a VPC access request sent by the VPN routing device, where the VPC access request carries a VPN identifier of the target VPN;
  • the authentication request sending unit 1302 is configured to send an authentication request to the authentication system corresponding to the bearer network of the target VPN, where the authentication request carries the VPN identifier, so that the authentication system authenticates the VPN identifier.
  • the authentication response unit 1303 is configured to: if the authentication succeeds, the network edge device receives the VPN configuration parameter sent by the authentication system, and returns an authentication response to the VPN routing device, where the authentication response carries the VPN configuration parameters.
  • the network edge device in the embodiment of the present invention may further include a first configuration unit 1304 and a second configuration unit 1305, where:
  • the first configuration unit 1304 is configured to extract the VPN access parameter in the VPN configuration parameter, and add the VPN access parameter to the egress route filtering list ORF, indicating that the VPN routing device may forward the a VPN routing table in the bearer network;
  • the second configuration unit 1305 is configured to extract an access bandwidth parameter in the VPN configuration parameter, and perform an access bandwidth limitation configuration according to the access bandwidth parameter.
  • the specific operation process of each unit in the network edge device is as follows:
  • the access request receiving unit 1301 receives a VPC access request sent by the VPN routing device, where the VPC access request carries the VPN identifier of the target VPN.
  • the VPN identifier may be:
  • the VPN routing device can use the challenge mechanism to encrypt the VPN identifier when encapsulating the VPC access request.
  • the authentication request sending unit 1302 sends an authentication request to the authentication system corresponding to the bearer network of the target VPN, where the authentication request carries the VPN identifier, so that the authentication system authenticates the VPN identifier; the target VPN is a VPC. VPN that needs to be accessed.
  • the VPC access request is sent to the authentication system corresponding to the bearer network of the target VPN.
  • the network edge device needs to determine whether the local device is the target network edge device of the VPC access request by using the identifier of the bearer network (for example, the target AS number). If not, the next hop is determined according to the bearer network routing table.
  • the network edge device forwards the VPC access authentication request to the second network edge device that continues to the next hop until the VPC access authentication request is forwarded to the target network edge device.
  • the identifier of the bearer network can be carried by the VPC access request, and the routing table of the bearer network is obtained by the network edge device through self-learning.
  • the authentication response unit 1303 receives the VPN configuration parameter sent by the authentication system.
  • the first configuration unit 1304 may extract a VPN access parameter, such as an RT parameter, in the VPN configuration parameter, and The RT parameter is added to the egress route filtering list ORF (Outbound Route Filtering), indicating that the VPN routing table in the bearer network can be forwarded to the VPN routing device.
  • a VPN access parameter such as an RT parameter
  • ORF Outbound Route Filtering
  • the second configuration unit 1305 may further extract an access bandwidth parameter in the VPN configuration parameter, and perform an access bandwidth limitation configuration according to the access bandwidth parameter.
  • FIG. 14 is a diagram illustrating an embodiment of a VPN routing device of the present invention for performing the virtual private cloud deletion method.
  • Another embodiment of the VPN routing device in the embodiment of the present invention includes a deletion request receiving unit. 1401, an instance deleting unit 1402 and a notification transmitting unit 1403, wherein:
  • the deletion request receiving unit 1401 is configured to receive a VPC deletion request sent by the cloud manager, where the VPC deletion request carries a network edge device address and a VPC identifier of the bearer network of the target VPN;
  • the instance deleting unit 1402 is configured to delete a VPN instance corresponding to the VPC identifier
  • the notification sending unit 1403 is configured to send a VPC deletion notification to the network edge device corresponding to the network edge device address, where the VPC delete notification is sent. And carrying the VPC identifier, the network edge device notifying the authentication system to delete the related authentication information corresponding to the VPC identifier.
  • the specific operation process of each unit in the VPN routing device in the embodiment of the present invention is as follows: the deletion request receiving unit 1401 Receiving a VPC deletion request sent by the cloud manager,
  • the instance deletion unit 1402 deletes the VPN instance corresponding to the VPC identification.
  • the VPC identifier can be a VPC number assigned by the cloud manager, or can be an instance name of the VPN; the VPN routing device can find the VPN instance corresponding to the VPC identifier locally according to the VPC identifier.
  • the notification sending unit 1403 After receiving the VPC deletion request, the notification sending unit 1403 sends a VPC deletion notification to the network edge device corresponding to the network edge device address, and the VPC deletion notification carries the VPC identifier, so that the network edge device notifies the authentication system.
  • the related authentication information corresponding to the VPC identifier is deleted; the authentication system is corresponding to the bearer network.
  • the network edge device receives the authentication request and initiates RADIUS authentication, and one VPC authentication corresponds to one network access system NAS Network Access.
  • the port number of the system the network edge device establishes the correspondence between the VPC identity and the RADIUS authentication, that is, the correspondence between the VPC identifier and the NAS port number.
  • the network edge device can notify the corresponding authentication system.
  • the access authentication record corresponding to the VPC is deleted according to the VPC identifier.
  • FIG. 15 Another embodiment of the cloud manager in the embodiment of the present invention includes a deletion receiving unit 1501. , a target lookup unit 1502 and a delete request sending unit 1503, wherein:
  • the deletion receiving unit 1501 is configured to receive a first VPC deletion request, where the first VPC deletion request carries a VPC identifier;
  • the target search unit 1502 is configured to search for a bearer network of the target VPN according to the VPC identifier, and determine a VPN routing device and a network edge device address that are connected to the bearer network; and the deletion request sending unit 1503 is used to The VPN routing device sends a second VPC deletion request, where the second VPC deletion request carries the network edge device address and the VPC identifier.
  • the deletion receiving unit 1501 receives the first VPC deletion request, and the first VPC deletion request carries the VPC identifier. Specifically, the first VPC deletion request may be sent by the user to the cloud manager through the cloud service platform, and the VPC identifier is sent. The ID of the VPC to be deleted.
  • the target search unit 1502 searches for the bearer network of the target VPN according to the VPC identifier, and determines the VPN routing device and the network edge device address connected to the bearer network, where the target VPN is the VPN accessed by the VPC to be deleted.
  • the cloud manager can find the destination VPN bearer network based on the VPC identity and find the VPN routing device and network edge device connected to the bearer network. address.
  • the deletion request sending unit 1503 After determining the VPN routing device and the network edge device address that are connected to the bearer network, the deletion request sending unit 1503 sends a second VPC deletion request to the VPN routing device, where the second VPC deletion request carries the network edge device.
  • the address and the VPC identifier are sent by the VPN routing device to the network edge device corresponding to the network edge device address, so that the configuration information of the VPC is deleted on the authentication system of the corresponding bearer network.
  • the disclosed apparatus and method can be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, i.e., may be located in one place, or may be distributed over multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the integrated unit can be implemented either in the form of hardware or in the form of a software functional unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium. Based on such understanding, the technical solution of the present invention may contribute to the prior art or all or part of the technical solution may be embodied in the form of a software product stored in a storage medium. A number of instructions are included to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • a computer device which may be a personal computer, server, or network device, etc.
  • the foregoing storage medium includes: a USB flash drive, a mobile hard disk, a read-only memory ROM, a Read-Only Memory, and a memory (RAM, Random Access Memory disk or optical disk, etc., which can store program codes. It is only a specific embodiment of the present invention, but the scope of the present invention is not limited thereto, and any person skilled in the art can easily think of changes or substitutions within the scope of the technical scope of the present invention, and should cover It is intended that the scope of the invention be defined by the scope of the appended claims.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例公开了一种虚拟私云接入认证方法及相关装置，用于在使用IP路由协议通信的网络间进行VPC的接入认证。本发明实施例方法包括：VPN路由设备接收云管理器发送的虚拟私云VPC接入虚拟私有网VPN请求，所述VPC接入VPN请求中携带有目标VPN的承载网的标识以及VPN标识；所述VPN路由设备向所述承载网的标识对应的网络边缘设备发送VPC接入请求，所述VPC接入请求中携带有所述VPN标识，使得所述网络边缘设备根据所述VPN标识进行VPC的接入认证。

Description

一种虚拟私云接入认证方法及相关装置 本申请要求于 2011年 10月 18日提交中国专利局、 申请号为 201110316944.6、发明名称为"一种虚拟私云接入认证方法及相关装置"的中 国专利申请的优先权，其全部内容通过引用结合在本申请中。 技术领域 本发明涉及通信领域，尤其涉及一种虚拟私云接入认证方法及相关装 置。 背景技术 随着数据中心的流行，企业不需要再去购买设备，布置自己的信息技 术（ IT , Information Technology )中心。 企业可以在数据中心里申请一组 IT 资源，为本企业提供云计算的服务， IT资源由数据中心管理。 数据中心里 的硬件资源以虚拟化设备的形式为企业提供云服务，比如企业申请 N台服务 器，数据中心不会物理上划分 N台服务器给企业使用 ，而是根据用户对服务 器的要求，比如中央处理器（ CPU , Central Processing Unit ) ,内存，硬盘 大小等要求，在硬件资源中虚拟出 Ν台服务器给企业使用。这些虚拟的服务 器，即用户申请的资源，构成一个虚拟私云（ VPC , Virtual Private Cloud )。 企业用户希望在数据中心内创建的 VPC能加入自己的虚拟私有网（ VPN , Virtual Private Network )，安全访问 VPC内的资源。承载网运营商需要对 VPC 接入 VPN进行接纳控制，避免 VPC误加入 VPN。 比如公司 A的 VPC绑定到公 司 B的 VPN中 ，导致公司 A的信息泄露，存在安全隐患。 另一方面， VPN路 由信息在未授权的情况下不应该散播到未知站点中。 所以 VPC加入 VPN前 需要验证其合法性，严格控制路由散播范围。
在现有技术中 ，美国电气和电子工程师协会（ Institute of Electrical and Electronics Engineers ) IEEE802.1x结合远程用户拨号认证***（ RADIUS , Remote Authentication Dial In User Service )技术可以实现认证、获耳又酉置参 数的功能。 但是， 由于运营商边缘设备（ PE , Provider Edge )网关与数据 中心（ Data Center )网关之间是通过因特网（ IP , Internet Protocol )路由协 议（即 3层协议）连接的，而 802.1x技术只能应用于以太网协议（即 2层协议）， 需要进行 VPC接入认证的请求到达 DC网关侧就无法继续传输。 发明内容 本发明实施例提供了一种虚拟私云接入认证方法及相关装置，用于在 使用 IP路由协议通信的网络间进行 VPC的接入认证。
根据本发明的一个方面， 一种虚拟私云 VPC接入认证方法，包括： 虚拟私有网 VPN路由设备接收云管理器发送的虚拟私云 VPC接入虚拟 私有网 VPN请求，所述 VPC接入 VPN请求中携带有目标 VPN的承载网的标 识以及 VPN标识；
所述 VPN路由设备向所述承载网的标识对应的网络边缘设备发送 VPC 接入请求，所述 VPC接入请求中携带有所述 VPN标识，使得所述网络边缘 设备根据所述 VPN标识进行 VPC的接入认证。
可选地，所述向承载网的标识对应的网络边缘设备发送 VPC接入请求 之后，包括：
接收所述网络边缘设备返回的认证响应；
若所述认证响应指示为成功，则提取所述认证响应中携带的 VPN配置 参数，并根据所述 VPN配置参数配置 VPN实例；
根据所述认证响应向所述云管理器发送认证结果。
可选地，所述 VPN标识包括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
可选地，所述承载网的标识为 ： 网络边缘设备地址，承载网号，承载 网名称和目标自治*** AS号中的一个或多个； 若所述承载网的标识为网络边缘设备地址，则所述向承载网的标识对 应的网络边缘设备发送 VPC接入请求，包括： 向网络边缘设备地址对应的 网络边缘设备发送 VPC接入请求；
若所述承载网的标识为承载网号，承载网名称或目标 AS号，则所述向 承载网的标识对应的网络边缘设备发送 VPC接入请求，包括：根据承载网 路由表向所述承载网号、 所述承载网名称或所述目标 AS号对应的网络边缘 设备发送 VPC接入请求。
可选地，所述根据承载网路由表向所述目标 AS号对应的网络边缘设备 发送 VPC接入请求，包括：
根据承载网路由列表的路径确定下一跳的第一网络边缘设备； 向所述第一网络边缘设备发送 VPC接入认证请求，所述 VPC接入认证请 求还携带有所述目标 AS号；
若所述第一网络边缘设备不是所述目标 AS号对应的网络边缘设备，则 所述第一网络边缘设备根据所述承载网路由表确定下一跳的第二网络边缘 设备，并继续向所述第二网络边缘设备转发所述 VPC接入认证请求，直至 将所述 VPC接入认证请求转发到所述目标 AS号对应的网络边缘设备为止。
根据本发明的另一方面， 一种虚拟私云 VPC接入认证方法，包括： 云管理器接收 VPC创建请求，所述 VPC创建请求中包括：目标虚拟私有 网 VPN的承载网的标识以及 VPN标识； 所述云管理器根据所述承载网的标识查找与所述承载网连接的 VPN路 由设备；
所述云管理器向所述 VPN路由设备发送 VPC加入 VPN的请求所述 VPC 接入 VPN请求中携带有所述承载网的标识以及 VPN标识，使得所述 VPN路 由设备使用所述 VPN标识向所述承载网的标识对应的网络边缘设备发起 VPC接入认证。
可选地，所述向 VPN路由设备发送 VPC加入 VPN的请求之后，包括： 接收 VPN路由设备返回的认证结果；
若所述认证结果为成功，则所述云管理器在 VPN路由设备内创建 VPC , 并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
可选地，所述 VPN标识包括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
可选地，包括：
虚拟私有网 VPN路由设备接收云管理器发送的 VPC接入 VPN请求，所 述 VPC接入 VPN请求中携带有目标 VPN的 VPN标识，所述目标 VPN对应有 唯一的网络边缘设备； 所述 VPN路由设备向所述网络边缘设备发送 VPC接入请求，所述 VPC 接入请求中携带有所述 VPN标识，使得所述网络边缘设备根据所述 VPN标 识进行 VPC的接入认证。
可选地，所述向网络边缘设备发送 VPC接入请求之后，包括： 接收所述网络边缘设备返回的认证响应；
若所述认证响应指示为成功，则提取所述认证响应中携带的 VPN配置 参数，并根据所述 VPN配置参数配置 VPN实例；
根据所述认证响应向所述云管理器发送认证结果。
可选地，所述 VPN标识包括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
根据本发明的又一方面， 一种虚拟私云接入认证方法，包括： 云管理器接收 VPC创建请求，所述 VPC创建请求中包括： 目标 VPN的 VPN标识，所述目标 VPN对应有唯一的承载网 ；
所述云管理器向与所述承载网连接的 VPN路由设备发送 VPC加入 VPN 的请求，所述 VPC接入 VPN请求中携带有所述 VPN标识，使得所述 VPN路 由设备使用所述 VPN标识向网络边缘设备发起 VPC接入认证。 可选地，所述向 VPN路由设备发送 VPC加入 VPN的请求之后，包括： 接收 VPN路由设备返回的认证结果；
若所述认证结果为成功，则云管理器在 VPN路由设备内创建 VPC ,并 将所述 VPC和 VPN路由设备上配置的 VPN绑定。
可选地，所述 VPN标识包括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
根据本发明的又一方面， 一种虚拟私云 VPC接入认证方法，包括： 网络边缘设备接收虚拟私有网 VPN路由设备发送的 VPC接入请求，所 述 VPC接入请求中携带有目标 VPN的 VPN标识；
所述网络边缘设备向目标 VPN的承载网对应的认证***发送认证请 求，所述认证请求中携带有所述 VPN标识，使得所述认证***对所述 VPN 标识进行认证；
若认证成功，则所述网络边缘设备接收所述认证***发送的 VPN配置 参数，并向所述 VPN路由设备返回认证响应，所述认证响应中携带有所述 VPN配置参数。
可选地，所述接收认证***发送的 VPN配置参数之后，包括： 提取所述 VPN配置参数中的 VPN接入参数；
将所述 VPN接入参数添加到出口路由过滤列表 ORF中 ，表示可以向所 述 VPN路由设备转发所述承载网内的 VPN路由表。
可选地，所述接收认证***发送的 VPN配置参数之后，包括： 提取所述 VPN配置参数中的接入带宽参数；
根据所述接入带宽参数进行接入带宽限制的配置。
根据本发明的又一方面， 一种虚拟私云 VPC删除方法，包括： 虚拟私有网 VPN路由设备接收云管理器发送的 VPC删除请求所述 VPC 删除请求中携带有目标 VPN的承载网的网络边缘设备地址和 VPC标识； 所述 VPN路由设备删除所述 VPC标识对应的 VPN实例；
所述 VPN路由设备向所述网络边缘设备地址对应的网络边缘设备发送
VPC删除通知，所述 VPC删除通知中携带有所述 VPC标识，使得所述网络边 缘设备通知认证***删除所述 VPC标识对应的相关认证信息。
根据本发明的又一方面， 一种虚拟私云 VPC删除方法，包括： 云管理器接收第一 VPC删除请求，所述第一 VPC删除请求中携带有 VPC 标识；
所述云管理器根据所述 VPC标识查找目标虚拟私有网 VPN的承载网 ， 并确定与所述承载网连接的 VPN路由设备和网络边缘设备地址； 所述云管理器向所述 VPN路由设备发送第二 VPC删除请求，所述第二 VPC删除请求中携带有所述网络边缘设备地址以及所述 VPC标识。
根据本发明的又一方面， 一种虚拟私有网 VPN路由设备，包括： 第一接收单元，用于接收云管理器发送的虚拟私云 VPC接入虚拟私有 网 VPN请求，所述 VPC接入 VPN请求中携带有目标 VPN的承载网的标识以 及 VPN标识；
发送单元，用于向所述承载网的标识对应的网络边缘设备发送 VPC接 入请求，所述 VPC接入请求中携带有所述 VPN标识，使得所述网络边缘设 备根据所述 VPN标识进行 VPC的接入认证。
可选地，所述 VPN路由设备还包括：
第二接收单元，用于接收所述网络边缘设备返回的认证响应； 实例配置单元，用于若所述认证响应指示为成功 ，则提取所述认证响 应中携带的 VPN配置参数，并根据所述 VPN配置参数配置 VPN实例；
结果响应单元，用于根据所述认证响应向所述云管理器发送认证结果。 根据本发明的又一方面， 一种云管理器，包括：
请求接收单元，用于接收虚拟私有云 VPC创建请求，所述 VPC创建请求 中包括有： 目标虚拟私有网 VPN的承载网的标识以及 VPN标识；
查找单元，用于根据所述承载网的标识查找与所述承载网连接的 VPN 路由设备； 请求发送单元，用于向所述 VPN路由设备发送 VPC加入 VPN的请求， 所述 VPC接入 VPN请求中携带有所述承载网的标识以及 VPN标识，使得所 述 VPN路由设备使用所述 VPN标识向所述承载网的标识对应的网络边缘设 备发起 VPC接入认证。
可选地，所述云管理器还包括：
响应接收单元，用于接收 VPN路由设备返回的认证结果；
创建单元，用于若所述认证结果为成功，则所述云管理器在 VPN路由 设备内创建 VPC ,并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
根据本发明的又一方面， 一种虚拟私有网 VPN路由设备，包括： VPN请求接收单元，用于接收云管理器发送的虚拟私有云 VPC接入
VPN请求所述 VPC接入 VPN请求中携带有目标 VPN的 VPN标识，所述目标
VPN对应有唯一的网络边缘设备；
接入请求发送单元，用于向所述网络边缘设备发送 VPC接入请求，所 述 VPC接入请求中携带有所述 VPN标识，使得所述网络边缘设备根据所述
VPN标识进行 VPC的接入认证。
可选地，所述 VPN路由设备还包括：
接收单元，用于接收所述网络边缘设备返回的认证响应；
实例配置单元，用于若所述认证响应指示为成功 ，则提取所述认证响 应中携带的 VPN配置参数，并根据所述 VPN配置参数配置 VPN实例； 结果响应单元，用于根据所述认证响应向所述云管理器发送认证结果。 根据本发明的又一方面， 一种云管理器，包括：
虚拟私有云 VPC请求接收单元，用于接收 VPC创建请求，所述 VPC创建 请求中包括有： 目标虚拟私有网 VPN的 VPN标识，所述目标 VPN对应有唯 一的承载网；
VPN请求发送单元，用于向与所述承载网连接的 VPN路由设备发送 VPC加入 VPN的请求，所述 VPC接入 VPN请求中携带有所述 VPN标识，使得 所述 VPN路由设备使用所述 VPN标识向网络边缘设备发起 VPC接入认证。
可选地，所述云管理器还包括：
响应接收单元，用于接收 VPN路由设备返回的认证结果；
创建单元，用于若所述认证结果为成功，则所述云管理器在 VPN路由 设备内创建 VPC ,并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
根据本发明的又一方面，一种网络边缘设备，包括：
接入请求接收单元，用于接收虚拟私有网 VPN路由设备发送的虚拟私 有云 VPC接入请求，所述 VPC接入请求中携带有目标 VPN的 VPN标识； 认证请求发送单元，用于向目标 VPN的承载网对应的认证***发送认 证请求，所述认证请求中携带有所述 VPN标识，使得所述认证***对所述
VPN标识进行认证； 认证响应单元，用于若认证成功，则所述网络边缘设备接收所述认证 ***发送的 VPN配置参数，并向所述 VPN路由设备返回认证响应，所述认 证响应中携带有所述 VPN配置参数。
可选地，所述网络边缘设备还包括：
第一配置单元，用于提取所述 VPN配置参数中的 VPN接入参数，将所 述 VPN接入参数添加到出口路由过滤列表 ORF中 ，表示可以向所述 VPN路 由设备转发所述承载网内的 VPN路由表；
第二配置单元，用于提取所述 VPN配置参数中的接入带宽参数，根据 所述接入带宽参数进行接入带宽限制的配置。
根据本发明的又一方面， 一种虚拟私有网 VPN路由设备，包括： 删除请求接收单元，用于接收云管理器发送的虚拟私有云 VPC删除请 求，所述 VPC删除请求中携带有目标 VPN的承载网的网络边缘设备地址和 VPC标识；
实例删除单元，用于删除所述 VPC标识对应的 VPN实例；
通知发送单元，用于向所述网络边缘设备地址对应的网络边缘设备发 送 VPC删除通知，所述 VPC删除通知中携带有所述 VPC标识，使得所述网络 边缘设备通知认证***删除所述 VPC标识对应的相关认证信息。
根据本发明的又一方面， 一种云管理器，包括： 删除接收单元，用于接收第一虚拟私有云 VPC删除请求，所述第一VPC 删除请求中携带有 VPC标识；
目标查找单元，用于根据所述 VPC标识查找目标虚拟私有网 VPN的承 载网，并确定与所述承载网连接的 VPN路由设备和网络边缘设备地址； 删除请求发送单元，用于向所述 VPN路由设备发送第二 VPC删除请求， 所述第二 VPC删除请求中携带有所述网络边缘设备地址以及所述 VPC标识。
从以上技术方案可以看出 ，本发明实施例具有以下优点：
本发明实施例中的 VPN路由设备接收的 VPC接入 VPN请求中携带有目 标 VPN的承载网的标识，使得 VPN路由设备可以根据该承载网的标识查找 到相应的网络边缘设备（采用 IP路由协议的网络设备）的地址，由此，即可 实现 VPC的接入认证跨越 3层网络的通信，从而可以使得该网络边缘设备进 行 VPC的接入认证。 附图说明 图 1是本发明实施例虚拟私云接入认证方法的一个流程示意图 ； 图 2是本发明实施例虚拟私云接入认证方法的另一个流程示意图 ； 图 3是本发明实施例虚拟私云接入认证方法的另一个流程示意图 ； 图 4是本发明实施例虚拟私云接入认证方法的另一个流程示意图 ； 图 5是本发明实施例虚拟私云接入认证方法的另一个流程示意图 ； 图 6是本发明实施例虚拟私云接入认证方法的另一个流程示意图 ； 图 7是本发明实施例虚拟私云删除方法的一个流程示意图 ；
图 8是本发明实施例虚拟私云删除方法的另一个流程示意图 ； 图 9是本发明实施例 VPN路由设备的一个结构示意图 ；
图 10是本发明实施例云管理器的一个结构示意图 ；
图 11是本发明实施例 VPN路由设备的另一个结构示意图 ；
图 12是本发明实施例云管理器的另一个结构示意图 ；
图 13是本发明实施例网络边缘设备的一个结构示意图 ；
图 14是本发明实施例 VPN路由设备的另一个结构示意图 ；
图 15是本发明实施例云管理器的另一个结构示意图 ；
图 16是本发明实施例所属的云网络结构图。 具体实施方式 本发明实施例提供了一种虚拟私云接入认证方法及相关装置，用于在 使用 IP路由协议通信的网络间进行 VPC的接入认证。
本发明的实施例应用于云网络***，请参阅图 16 ,云网络***可以包 括：云业务平台、 云管理器、 VPN路由设备、 网络边缘设备以及网络边缘 设备对应的认证***。 云业务平台用于为用户提供服务界面，接收用户的 业务请求；云业务平台将接收到的业务请求发送给云管理器进行处理；而 云管理器是负责管理数据中心云资源和网络资源， VPN路由设备数据中心 的路由设备， 因此云管理器也可以对 VPN路由设备进行控制管理， VPN路 由设备的两端分别与云管理器和网络边缘设备相连接。
请参阅图 1 ,是本发明实施例中虚拟私云 VPC接入认证方法的一个实施 例。 该方法包括：
101、 VPN路由设备接收云管理器发送的 VPC接入 VPN请求；
VPN路由设备接收云管理器发送的 VPC接入 VPN请求，若在数据中心 和多个承载网相连，或数据中心和目标 VPN的承载网不是直接相连的场景 中 ，该 VPC接入 VPN请求中携带目标 VPN的承载网的标识以及 VPN标识， 所述目标 VPN为 VPC所需要接入的 VPN。
所述 VPN路由设备可以配置 VPN实例，并可在 VPN内执行路由功能； 该 VPN路由设备可以为 DC网关、 DC内核心路由器、 DC内核心交换机、 或 DC内的服务器；具体实现 VPN路由设备功能的物理设备可以根据情况而定， 此处不作限定。
具体的 ，若需要创建 VPC ,则用户在通过云业务平台向云管理器发送 VPC创建请求时，会为云管理器提供该 VPC所需要接入的 VPN(即目标 VPN ) 的承载网的标识，以及 VPN标识；而云管理器会根据该承载网的标识查找 到与该承载网连接的 VPN路由设备，并向 VPN路由设备发送 VPC接入 VPN 请求，使得 VPN路由设备向相应的网络边缘设备发起 VPC的接入认证。 102、 VPN路由设备向承载网的标识对应的网络边缘设备发送 VPC接入 请求。
VPN路由设备向所述承载网的标识对应的网络边缘设备发送 VPC接入 请求，该 VPC接入请求中携带有所述 VPN标识，使得该网络边缘设备根据 VPN标识进行 VPC的接入认证，所述 VPC接入请求是使用网络协议 IP路由协 议封装的数据报文。 所述 VPN标识是由用户提供的 ，为 VPC接入认证的用户信息；具体可 以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用挑战（ challenge )机制对 VPN标识进 行加密。
本发明实施例中的 VPN路由设备接收的 VPC接入 VPN请求中携带有 目标 VPN的承载网的标识，使得 VPN路由设备可以根据该承载网的标识 查找到相应的网络边缘设备（使用 IP路由协议的网络边缘设备）的地址， 由此，即可实现 VPC的接入认证跨越 3层网络的通信，从而可以使得该网 络边缘设备进行 VPC的接入认证。
图 2对如何查找到目标 VPN的承载网标识对应的网络边缘设备进行详 细地描述，请参阅图 2，本发明实施例中虚拟私云接入认证方法的另一个实 施例包括：
201、 VPN路由设备接收云管理器发送的 VPC接入 VPN请求； 本实施例中的步骤 201的内容与前述图 1所示的实施例中步骤 101的 内容相同 ，此处不再赘述。 202、 VPN路由设备确认承载网的标识对应的网络边缘设备；
在接收到 VPC接入 VPN请求之后，VPN路由设备提取 VPC接入 VPN 请求中的承载网的标识，并使用该承载网的标识确认需要发送该 VPC接入 请求的网络边缘设备。
可选的 ，所述承载网的标识可以为网络边缘设备地址，所述承载网标 识对应的承载网名称，所述承载网标识对应的承载网号或所述承载网标识 对应的目标自治***（ AS , Autonomous System )号（一个目标 AS号表示 一个自治域）中的一个或多个。
若该承载网的标识为网络边缘设备地址，则该网络边缘设备地址对应 的网络边缘设备为需要发送 VPC接入请求的网络边缘设备；所述网络边缘 设备地址可以为网络边缘设备的 IP地址；
若该承载网的标识为承载网名称或承载网号，则可以通过 VPN路由设 备存储的承载网路由表查找相应的网络边缘设备；具体的， VPN路由设备 可以根据所述承载网名称或承载网号在所述承载网路由表上查找到相应的 网络边缘设备；
若该承载网的标识为目标 AS号，则也可以通过 VPN路由设备存储的 承载网路由表查找相应的网络边缘设备；具体的 ， VPN路由设备可以根据 所述目标 AS号在所述承载网路由表上查找相应的网络边缘设备，具体的 ， 目标 AS号可以是手工配置的，也可以由网络设备自学习得到的。
承载网路由表为各个网络间可到达的网络设备的路由表，可以为手工 配置的路由表，比如： <目的网络标识， 网络边缘设备 >。 该目的网络标识 可以为唯一确定一个承载网的标识，比如承载网名称、 承载网号、 AS号等 中的一个或多个。 承载网路由表也可以为自学习的 AS路由表。 AS路由表 是在每个自治***边界路由器（ ASBR , Autonomous System Border Router ) 上构造的以 AS为目的的路由。 AS路由表项构造方法可以为 ：扩展 ASBR 的功能，提取边界网关协议（ BGP , Border Gateway Protocol )路由器发布 的自治***路径 AS— PATH ,取出可达网络所属的 AS号，生成到达目标 AS 的 AS路由表项： <目的 AS ,下一跳地址， 出接口 >。 在承载网路由表上， 不同的网络边缘设备分属于不同的承载网 ，且不同的网络边缘设备分属于 不同的自治***中的自治域。 因此，根据承载网号，承载网名称和目标 AS 号中的一个或多个可以唯一的确定一个网络边缘设备。 203、 VPN路由设备向所述确定的网络边缘设备发送 VPC接入请求。 VPN路由设备向所述确定的网络边缘设备发送 VPC接入请求，该 VPC 接入请求中携带有所述 VPN标识，使得该网络边缘设备根据所述 VPN标 识进行 VPC的接入认证。
可选的 ，若所述承载网的标识为网络边缘设备地址，则直接向网络边 缘设备地址对应的网络边缘设备发送 VPC接入请求；
可选的 ，若所述承载网的标识为承载网名称，则向根据该承载网名称 在所述承载网路由表上查找到的网络边缘设备送 VPC接入请求；
可选地，若该承载网的标识为目标 AS号，则 VPN路由设备查找下一 跳的第一网络边缘设备，并向该第一网络边缘设备发送 VPC接入请求，该 第一网络边缘设备为到达目标 AS号对应网络边缘设备的路径上，与该 VPN 路由设备连接的网络边缘设备。 可选地，该 VPC接入认证请求还可以携带 有所述目标 AS号；若所述第一网络边缘设备不是该目标 AS号对应的网络 边缘设备，则第一网络边缘设备根据承载网路由表确定下一跳的第二网络 边缘设备，并继续向第二网络边缘设备转发该 VPC接入认证请求，直至将 该 VPC接入认证请求转发到目标 AS号对应的网络边缘设备为止。 该承载 网的标识为目标 AS号的场景适用于 VPC接入认证请求跨越多个自治域传 输，使得 VPC的接入认证可以跨越多个网络进行。 该承载网路由表可以为 第一网络边缘设备预配置好的 ，也可以由第一网络边缘设备自学习承载网 路由表。
204、 VPN路由设备接收网络边缘设备返回的认证响应；
VPN路由设备接收所述网络边缘设备返回的认证响应，该认证响应中 携带有 VPN配置参数。
可选的， VPN配置参数包括有配置 VPN实例的参数，该配置 VPN实 例的参数可以是路由目标参数。 可选地，所述 VPN配置参数还可以包括附 属参数，所述附属参数可以是访问策略、 接入带宽参数和业务优先级参数 中的一个或多个。
205、 VPN路由设备根据 VPN配置参数配置 VPN实例；
在接收到网络边缘设备返回的认证响应之后，若所述认证响应指示为 认证成功，VPN路由设备提取所述认证响应中携带的 VPN配置参数，并根 据该 VPN配置参数配置 VPN实例。 具体的，三层 VPN ( L3VPN )的配置可以是： VPN路由设备提取 VPN 配置参数中的路由目标（ RT , Route Target )参数，配置虚拟路由转发（ VRF, Virtual Routing Forwarding )： vpn-instance vpna； vpn-target 111:1 both。 二层 VPN ( L2VPN )的配置可以是：提取 RT参数， site id , site range , offset , 配置虚拟交换实例（ VSI , Virtual Switch Instance )b
可选的，若 VPN配置参数中包含有服务质量（ QoS , Quality of Service ) 参数，如果该 QoS参数是接入带宽参数，则 VPN路由设备可以使用该接入 带宽参数配置 VPC接入数据中心网关的带宽限制；如果该 QoS参数是业务 优先级参数，则 VPN路由设备可以使用该业务优先级参数配置优先级队列 的权重和 /或入队列策略。
206、 VPN路由设备根据认证响应向云管理器发送认证结果。
在接收到网络边缘设备返回的认证响应之后， VPN路由设备根据所述 认证响应向云管理器发送认证结果。 当 VPC的接入认证成功时，可以使得 云管理器创建 VPC ,并将该 VPC和 VPN路由设备上配置的 VPN绑定。
图 3是从 VPN路由设备的角度对本发明实施例中的虚拟私云接入认证 方法进行了描述，下面从云管理器的角度进行对本发明实施例中的虚拟私 云接入认证方法进行描述，请参阅图 3，是本发明实施例中的虚拟私云接入 认证方法另一实施例。 该方法包括：
301、 云管理器接收 VPC创建请求；
云管理器接收 VPC创建请求，该 VPC创建请求中包括： 目标 VPN的 承载网的标识和 VPN标识中的一个或多个，所述目标 VPN为所述 VPC所 需要接入的 VPN。
具体的，若需要创建 VPC ,则用户可以通过云业务平台向云管理器发 送 VPC创建请求，该 VPC创建请求中携带有目标 VPN的承载网的标识以 及进行 VPC接入认证时需要用到的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。 可选的 ，所述承载网的标识可以为网络边缘设备地址、 承载网号、 承 载网名称和目标 AS号中的一个或多个。
302、 云管理器根据承载网的标识查找与承载网连接的 VPN路由设备； 在云管理器接收到 VPC创建请求之后，云管理器提取该 VPC创建请求 中携带的承载网的标识，根据该承载网的标识查找到与该承载网的标识对 应的承载网连接的 VPN路由设备。
云管理器根据承载网的标识可以在云管理器本地存储的承载网路由表 上查找到与该承载网的标识对应的承载网连接的 VPN路由设备。 具体的 ， 由于在与某一个网络边缘设备连接的路径上，唯一的经过一个 VPN路由设 备， 因此，云管理器可以根据网络边缘设备地址、 承载网号、 承载网名称 和目标 AS号中的一个或多个唯一的确定一个 VPN路由设备。
303、 云管理器向 VPN路由设备发送 VPC加入 VPN的请求； 云管理器向上述查找到的 VPN路由设备发送 VPC加入 VPN的请求， 该 VPC接入 VPN的请求中携带有目标 VPN的承载网的标识以及 VPN标 识， VPN路由设备可以使用该 VPN标识向该承载网的标识对应的网络边 缘设备发起 VPC接入认证。
可选的，若该承载网的标识为承载网号，承载网名称和目标 AS号中的 一个或多个，则云管理器可以通过该承载网号，承载网名称和目标 AS号中 的一个或多个在本地存储的承载网路由表上查找到需要进行接入认证的网 络边缘设备，在向 VPN路由设备发送 VPC加入 VPN的请求时，可以直接 让 VPC加入 VPN发请求中携带该网络边缘设备的地址。
304、 云管理器接收 VPN路由设备返回的认证结果；
云管理器接收 VPN路由设备返回的认证结果，若该认证结果为成功， 则云管理器在 VPN路由设备内创建 VPC ,并将该 VPC和 VPN路由设备上 配置的 VPN绑定。
在数据中心只直接和目标 VPN的一个承载网相连的场景中 ，本发明实 施例提供了相应的解决方案，请参阅图 4 ,本发明实施例中虚拟私云接入认 证方法的另一个实施例包括：
401、 VPN路由设备接收云管理器发送的 VPC接入 VPN请求；
VPN路由设备接收云管理器发送的 VPC接入 VPN请求，在数据中心 只直接和目标 VPN的一个承载网相连的场景中 ，该 VPC接入 VPN请求中 携带有目标 VPN的 VPN标识，所述目标 VPN为 VPC所需要接入的 VPN , 该目标 VPN对应有唯一的网络边缘设备。
所述 VPN路由设备可以配置 VPN实例，并可在 VPN内执行路由功能； 该 VPN路由设备可以为 DC网关、 DC内核心路由器、 DC内核心交换机、 或 DC内的服务器；具体实现 VPN路由设备功能的物理设备可以根据情况 而定，此处不作限定。
具体的，若需要创建 VPC ,则用户在通过云业务平台向云管理器发送 VPC创建请求时，在数据中心只直接和目标 VPN的一个承载网相连的场景 中 ，用户会为云管理器提供 VPC标识；而云管理器在接收到 VPC创建请求 后，直接向与该承载网连接的 VPN路由设备发送 VPC接入 VPN请求，使 得 VPN路由设备向相应的网络边缘设备发起 VPC的接入认证。
402、 VPN路由设备向网络边缘设备发送 VPC接入请求；
VPN路由设备向所述目标 VPN唯一对应的网络边缘设备发送 VPC接 入请求，该 VPC接入请求中携带有所述 VPN标识，使得该网络边缘设备 根据所述 VPN标识进行 VPC的接入认证，所述 VPC接入请求是使用 IP路 由协议封装的数据报文。
所述 VPN标识是由用户提供的，为 VPC接入认证的用户信息。 所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。
403、 VPN路由设备接收网络边缘设备返回的认证响应；
VPN路由设备接收网络边缘设备返回的认证响应，该认证响应中携带 有 VPN配置参数。
可选的， VPN配置参数包括有配置 VPN实例的参数，所述配置 VPN 实例的参数可以是路由目标参数。 VPN配置参数还可以包括附属参数，所 述附属参数可以是访问策略、 接入带宽参数和业务优先级参数中的一个或 多个。
404、 VPN路由设备根据 VPN配置参数配置 VPN实例；
在接收到网络边缘设备返回的认证响应之后，若所述认证响应指示为 认真成功，VPN路由设备提取所述认证响应中携带的 VPN配置参数，并根 据该 VPN配置参数配置 VPN实例，
可选的，若 VPN配置参数中包含有服务质量（ QoS , Quality of Service ) 参数，如果该 QoS参数为接入带宽参数，则 VPN路由设备可以使用该接入 带宽参数配置 VPC接入数据中心网关的带宽限制；如果该 QoS参数为业务 优先级参数，则 VPN路由设备可以使用该业务优先级参数配置优先级队列 的权重和 /或入队列策略。
405、 VPN路由设备根据认证响应向云管理器发送认证结果。
在接收到网络边缘设备返回的认证响应之后， VPN路由设备根据所述 认证响应向云管理器发送认证结果。 当 VPC的接入认证成功时，可以使得 云管理器创建 VPC ,并将该 VPC和 VPN路由设备上配置的 VPN绑定。
图 5从云管理器的角度进行对数据中心只直接和目标 VPN的一个承载 网相连的场景中的虚拟私云接入认证方法进行描述。请参阅图 5，本发明实 施例中的虚拟私云接入认证方法另一实施例包括：
501、 云管理器接收 VPC创建请求；
云管理器接收 VPC创建请求，该 VPC创建请求中包括有： 目标 VPN 的 VPN标识，所述目标 VPN为 VPC所需要接入的 VPN ,该目标 VPN对 应有唯一的承载网。
具体的，若需要创建 VPC ,则用户可以通过云业务平台向云管理器发 送 VPC创建请求，该 VPC创建请求中携带有进行 VPC接入认证时需要用 到的目标 VPN的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。 502、 云管理器向 VPN路由设备发送 VPC加入 VPN的请求； 云管理器向与所述承载网连接的 VPN路由设备发送 VPC加入 VPN的 请求，该 VPC接入 VPN请求中携带有目标 VPN的 VPN标识， VPN路由 设备可以使用该 VPN标识向该承载网的标识对应的网络边缘设备发起 VPC 接入认证。
可选的，若所述 VPN路由设备为 DC网关、 DC内核心路由器或 DC 内核心交换机，则目标 VPN与该 DC网关、或目标 VPN与 DC内核心路由 器，或或目标 VPN与 DC内核心交换机的关系是一一对应的（即目标 VPN 与唯一的 VPN路由设备相连接），云管理器可以唯一的查找到与目标 VPN 对应的承载网连接的 VPN路由设备。若所述 VPN路由设备为 DC内的服务 器，而该服务器又可以有多台，则云管理器可以根据预配置的策略选择一 台或多台服务器作为 VPN路由设备进行发送，预配置的策略可以为负荷均 分策略，也可以为负荷限定策略（即在服务器的负荷范围内依次使用各台 iHil )b
503、 云管理器接收 VPN路由设备返回的认证结果。
云管理器接收 VPN路由设备返回的认证结果，若该认证结果为认证成 功，则云管理器在 VPN路由设备内创建 VPC ,并将该 VPC和 VPN路由设 备上配置的 VPN绑定。
图 6从网络边缘设备的角度进行对本发明实施例中的虚拟私云接入认 证方法进行描述，请参阅图 6 ,本发明实施例中的虚拟私云接入认证方法另 一实施例包括：
601、 网络边缘设备接收 VPN路由设备发送的 VPC接入请求； 网络边缘设备接收 VPN路由设备发送的 VPC接入请求，该 VPC接入 请求中携带有目标 VPN的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。 网络边缘设备可以为 ASBR或 PE。
602、 网络边缘设备向承载网对应的认证***发送认证请求；
网络边缘设备向目标 VPN的承载网对应的认证***发送认证请求，该 认证请求中携带有所述 VPN标识，使得该认证***对该 VPN标识进行认 证；所述目标 VPN为 VPC所需要接入的 VPN。
可选的，若本发明实施例中的 VPC接入认证过程需要跨越多个网络进 行传输，则在接收 VPN路由设备发送的 VPC接入请求之后，在向目标 VPN 的承载网对应的认证***发送认证请求之前， 网络边缘设备可以通过承载 网的标识（如： 目标 AS号）判断本地是否为所述 VPC接入请求的目标网 络边缘设备，若不是，则可以根据承载网路由表确定下一跳的网络边缘设 备，并继续向下一跳的第二网络边缘设备转发所述 VPC接入认证请求，直 至将所述 VPC接入认证请求转发到目标网络边缘设备为止。 具体的，承载 网的标识可以通过 VPC接入请求携带，而承载网路由表则可以由网络边缘 设备通过自学习得到。
603、 网络边缘设备接收认证***发送的 VPN配置参数；
在向目标 VPN的承载网对应的认证***发送认证请求之后，网络边缘 设备接收认证***发送的 VPN配置参数。
可选的，在接收认证***发送的 VPN配置参数之后，网络边缘设备提 取该 VPN配置参数中的 VPN接入参数，如果该 VPN接入参数是 RT参数， 则将该 RT参数添加到出口路由过滤列表ORF , Outbound Route Filtering) 中 ，表示可以向 VPN路由设备转发所述承载网内的 VPN路由表。
可选的，在接收认证***发送的 VPN配置参数之后，网络边缘设备还 可以提取 VPN配置参数中的接入带宽参数，并根据该接入带宽参数进行接 入带宽限制的配置。
604、 网络边缘设备向 VPN路由设备返回认证响应。
网络边缘设备向 VPN路由设备返回认证响应，该认证响应中携带有所 述 VPN配置参数，使得 VPN路由设备可以根据该 VPN配置参数配置 VPN 实例。
图 Ί上面描述了本发明实施例中 VPC接入认证的过程，下面要对本发 明实施例中 VPC的删除过程进行描述，请参阅图 7 ,本发明实施例中的虚 拟私云删除方法的一实施例包括： 701、 VPN路由设备接收云管理器发送的 VPC删除请求；
VPN路由设备接收云管理器发送的 VPC删除请求，该 VPC删除请求 中携带有目标 VPN的承载网的网络边缘设备地址和 VPC标识。
所述 VPN路由设备为可以配置 VPN实例，并可在 VPN内执行路由功 能的设备；该 VPN路由设备可以为 DC网关、 DC内核心路由器、 DC内核 心交换机、 或 DC内的服务器；具体实现 VPN路由设备功能的物理设备可 以根据情况而定，此处不作限定。
在本发明实施例中 ，所述 VPC标识为待删除的 VPC的标识，所述目标 VPN为待删除的 VPC所接入的 VPN。
702、 VPN路由设备删除 VPC标识对应的 VPN实例；
VPN路由设备删除 VPC标识对应的 VPN实例。 可选的 ， VPC标识可 以为云管理器分配的一个 VPC号，也可以为 VPN的实例名称。 VPN路由 设备根据 VPC标识就可以在本地唯一的查找到 VPC标识对应的 VPN实例。
703、 VPN路由设备向相应的网络边缘设备发送 VPC删除通知。
VPN路由设备向所述网络边缘设备地址对应的网络边缘设备发送 VPC 删除通知，所述 VPC删除通知中携带有所述 VPC标识，使得网络边缘设备 通知认证***删除所述 VPC标识对应的相关认证信息；该认证***对应所 述承载网。
具体的 ，在接入认证的过程中 ， 网络边缘设备收到认证请求，发起 RADIUS认证，一个 VPC标识对应一个网络接入系 NAS Network Access System )的端口（ port )号，网络边缘设备会建立 VPC标识和 RADIUS认 证的对应关系，即 VPC标识和 NAS port号的对应关系；在删除 VPC的过 程中 ，网络边缘设备可以通知相应的认证***根据 VPC标识删除 VPC对应 的接入认证记录。
图 8上面是从 VPN路由设备的角度对本发明实施例中的虚拟私云删除 方法进行了描述，下面从云管理器的角度对本发明实施例中的虚拟私云删 除方法进行描述，请参阅图 8，本发明实施例中的虚拟私云删除方法的另一 实施例包括：
801、 云管理器接收 VPC删除请求；
云管理器接收第一 VPC删除请求，该第一 VPC删除请求中携带有 VPC 标识；具体的，该第一 VPC删除请求可以是用户通过云业务平台向云管理 器发送的 ，所述 VPC标识为待删除的 VPC的标识。
802、 云管理器根据 VPC标识查找目标 VPN的承载网 ；
云管理器根据所述 VPC标识查找目标 VPN的承载网 ，并确定与承载 网连接的 VPN路由设备和网络边缘设备地址，该目标 VPN为待删除的 VPC 所接入的 VPN。
由于在认证过程中 ， VPC和 VPN的相关配置做了绑定，因此，云管理 器可以根据 VPC标识查找到目标 VPN的承载网，并查找到与该承载网连 接的 VPN路由设备和网络边缘设备地址。
803、 云管理器向 VPN路由设备发送第二 VPC删除请求。
云管理器向 VPN路由设备发送第二 VPC删除请求，该第二 VPC删除 请求中携带有所述网络边缘设备地址以及 VPC标识，使得 VPN路由设备 向该网络边缘设备地址对应的网络边缘设备发送 VPC删除请求，从而在相 应承载网的认证***上删除该 VPC的相关配置信息。
下面对用于执行所述虚拟私云接入认证方法的本发明 VPN路由设备的 实施例进行说明 ，其结构请参考图 9 ,本发明实施例中 VPN路由设备的一 个实施例包括第一接收单元 901和发送单元 902 ,其中 ：
所述第一接收单元 901 ,用于接收云管理器发送的虚拟私云 VPC接入 虚拟私有网 VPN请求，所述 VPC接入 VPN请求中携带有目标 VPN的承 载网的标识以及 VPN标识；
所述发送单元 902，用于向所述承载网的标识对应的网络边缘设备发送 VPC接入请求，所述 VPC接入请求中携带有所述 VPN标识，使得所述网 络边缘设备根据所述 VPN标识进行 VPC的接入认证。
可选地，本发明实施例中的 VPN路由设备还可以进一步包括第二接收 单元 903、 实例配置单元 904和结果响应单元 905 ,其中 ：
所述第二接收单元 903 ,用于接收所述网络边缘设备返回的认证响应； 所述实例配置单元 904，用于若所述认证响应指示为成功，则提取所述 认证响应中携带的 VPN配置参数，并根据所述 VPN配置参数配置 VPN实 例；
所述结果响应单元 905，用于根据所述认证响应向云管理器发送认证结 本发明实施例 VPN路由设备中各个单元具体的操作过程如下： 所述第一接收单元 901接收云管理器发送的 VPC接入 VPN请求，若 在数据中心和多个承载网相连，或数据中心和目标 VPN的承载网不是直接 相连的场景中 ，该 VPC接入 VPN请求中携带目标 VPN的承载网的标识以 及 VPN标识，所述目标 VPN为 VPC所需要接入的 VPN。
具体的，若需要创建 VPC ,则用户在通过云业务平台向云管理器发送 VPC创建请求时，会为云管理器提供该 VPC所需要接入的 VPN (即目标 VPN )的承载网的标识，以及 VPN标识；而云管理器会根据该承载网的标 识查找到与该承载网连接的 VPN路由设备，并向 VPN路由设备发送 VPC 接入 VPN请求，使得 VPN路由设备向相应的网络边缘设备发起 VPC的接 入认证。
在接收到 VPC接入 VPN请求之后，发送单元 902向所述承载网的标 识对应的网络边缘设备发送 VPC接入请求，该 VPC接入请求中携带有所述 VPN标识，使得该网络边缘设备根据 VPN标识进行 VPC的接入认证，所 述 VPC接入请求是使用 IP路由协议封装的数据报文。
可选的 ，所述承载网的标识可以为网络边缘设备地址、 承载网号、 承 载网名称和目标 AS号中的一个或多个，其中一个目标 AS号表示一个自治 域。
若该承载网的标识为网络边缘设备地址，则确认该网络边缘设备地址 对应的网络边缘设备为需要发送 VPC接入请求的网络边缘设备，并直接向 网络边缘设备地址对应的网络边缘设备发送 VPC接入请求；该网络边缘设 备地址可以是该网络边缘设备的 IP地址；
若该承载网的标识为承载网名称或承载网号，则可以通过 VPN路由设 备存储的承载网路由表查找相应的网络边缘设备， 由所述发送单元 902 向 在所述承载网路由表上查找到的网络边缘设备送 VPC接入请求；
若该承载网的标识为目标 AS号，则也可以通过 VPN路由设备存储的 承载网路由表查找相应的网络边缘设备；具体的 ， VPN路由设备可以根据 所述目标 AS号在所述承载网路由表上查找相应的网络边缘设备，并由所述 发送单元 902查找下一跳的第一网络边缘设备， 向该第一网络边缘设备发 送 VPC接入请求，该第一网络边缘设备为到达目标 AS号对应网络边缘设 备的路径上，与所述 VPN路由设备连接的网络边缘设备，该 VPC接入认 证请求还携带有所述目标 AS号；若所述第一网络边缘设备不是该目标 AS 号对应的网络边缘设备，则第一网络边缘设备根据承载网路由表确定下一 跳的第二网络边缘设备，并继续向第二网络边缘设备转发该 VPC接入认证 请求，直至将该 VPC接入认证请求转发到目标 AS号对应的网络边缘设备 为止；该承载网路由表可以为第一网络边缘设备预配置好的 ，也可以由第 一网络边缘设备自学习承载网路由表。
承载网路由表为各个网络间可到达的网络设备的路由表，可以为手工 配置的路由表，如： <目的网络标识， 网络边缘设备 > ,该目的网络标识可 以为唯一确定一个承载网的标识，比如承载网名称、 承载网号、 AS号等中 的一个或多个；承载网路由表也可以为自学习的 AS路由表； AS路由表是 以每个 ASBR上构造以 AS为目的的路由。 AS路由表项构造方法可以为 ： 扩展 ASBR的功能，提取 BGP路由发布的 AS— PATH ,取出可达网络所属 的 AS号，生成到目标 AS的 AS路由表项： <目的 AS ,下一跳地址， 出接 口>。 在承载网路由表上，不同的网络边缘设备分属于不同的承载网 ，且不 同的网络边缘设备分属于不同的自治***中的自治域。 因此，根据承载网 号，承载网名称和目标 AS号中的一个或多个可以唯一的确定一个网络边缘 设备。
所述 VPN标识是由用户提供的，为 VPC接入认证的用户信息。 所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时，可以使用 challenge机制对 VPN标识进行加密。
在向网络边缘设备发送 VPC接入请求之后，所述第二接收单元 903接 收网络边缘设备返回的认证响应，该认证响应中携带有 VPN配置参数。
可选的， VPN配置参数包括有配置 VPN实例的参数，该配置 VPN实 例的参数可以是路由目标参数。 VPN配置参数还可以包括附属参数，该附 属参数可以是访问策略、 接入带宽参数和业务优先级参数中的一个或多个。
在接收到网络边缘设备返回的认证响应之后，若所述认证响应指示为 成功，所述实例配置单元 904提取所述认证响应中携带的 VPN配置参数， 并根据该 VPN配置参数配置 VPN实例，
具体的，三层 VPN ( L3VPN )的配置可以是： VPN路由设备提取 VPN 配置参数中的路由目标（ RT , Route Target )参数，配置虚拟路由转发（ VRF, Virtual Routing Forwarding )： vpn-instance vpna； vpn-target 111:1 both。 二层 VPN ( L2VPN )的配置可以是：提取 RT参数， site id , site range , offset , 配置虚拟交换实例（ VSI , Virtual Switch Instance )b
可选的，若 VPN配置参数中包含有服务质量（ QoS , Quality of Service ) 参数，如果该 QoS参数是接入带宽参数，则 VPN路由设备可以使用该接入 带宽参数配置 VPC接入数据中心网关的带宽限制；如果该 QoS参数是业务 优先级参数，则 VPN路由设备可以使用该业务优先级参数配置优先级队列 的权重和入队列策略中的一个或多个。
在接收到网络边缘设备返回的认证响应之后，还可以由所述结果响应 单元 905根据所述认证响应向云管理器发送认证结果。 当 VPC的接入认证 成功时，可以使得云管理器创建 VPC ,并将该 VPC和 VPN路由设备上配 置的 VPN绑定。
下面对用于执行所述虚拟私云接入认证方法的本发明云管理器的实施 例进行说明，其结构请参考图 10 ,本发明实施例中云管理器的一个实施例 包括请求接收单元 1001、 查找单元 1002和请求发送单元 1003 ,其中 ： 所述请求接收单元 1001 ,用于接收 VPC创建请求，所述 VPC创建请 求中包括有： 目标 VPN的承载网的标识以及 VPN标识；
所述查找单元 1002 ,用于根据所述承载网的标识查找与所述承载网连 接的 VPN路由设备；
所述请求发送单元 1003用于向所述 VPN路由设备发送 VPC加入 VPN 的请求，所述 VPC接入 VPN请求中携带有所述承载网的标识以及 VPN标 识，使得所述 VPN路由设备使用所述 VPN标识向所述承载网的标识对应 的网络边缘设备发起 VPC接入认证。
可选地，本发明实施例中的云管理器还可以进一步包括响应接收单元 1004和创建单元 1005 ,其中 ：
所述响应接收单元 1004 ,用于接收 VPN路由设备返回的认证结果； 所述创建单元 1005 ,用于若所述认证结果为成功，则所述云管理器在 VPN路由设备内创建 VPC ,并将所述 VPC和 VPN路由设备上配置的 VPN 绑定。
本发明实施例云管理器中各个单元具体的操作过程如下：
所述请求接收单元 1001接收 VPC创建请求，该 VPC创建请求中包括 有： 目标 VPN的承载网的标识以及 VPN标识，所述目标 VPN为 VPC所 需要接入的 VPN。
若需要创建 VPC，则用户可以通过云业务平台向云管理器发送 VPC创 建请求，该 VPC创建请求中携带有目标 VPN的承载网的标识以及进行 VPC 接入认证时需要用到的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。
可选的 ，所述承载网的标识可以为网络边缘设备地址，承载网号，承 载网名称和目标 AS号中的一个或多个。
在接收到 VPC创建请求之后，所述查找单元 1002提取该 VPC创建请 求中携带的承载网的标识，根据该承载网的标识查找到与该承载网连接的 VPN路由设备。 具体的 ， 由于在与某一个网络边缘设备连接的路径上，唯 一的经过一个 VPN路由设备， 因此，所述查找单元 1002可以根据网络边 缘设备地址、承载网号、承载网名称和目标 AS号中的一个或多个唯一的确 定一个 VPN路由设备。
在确定了 VPN路由设备之后，所述请求发送单元 1003向所述查找到 的 VPN路由设备发送 VPC加入 VPN的请求，该 VPC接入 VPN请求中携 带有目标 VPN的承载网的标识以及 VPN标识，使得 VPN路由设备使用该 VPN标识向该承载网的标识对应的网络边缘设备发起 VPC接入认证。
可选的，若该承载网的标识为承载网号，承载网名称或目标 AS号中的 一个或多个，则云管理器可以通过该承载网号，承载网名称或目标 AS号中 的一个或多个在该云管理器本地存储的承载网路由表上查找到需要进行接 入认证的网络边缘设备，在向 VPN路由设备发送 VPC加入 VPN的请求时， 可以直接让 VPC加入 VPN的请求携带该网络边缘设备的地址。 该网络边 缘设备的地址可以是该网络边缘设备的 IP地址。
在向 VPN路由设备发送 VPC加入 VPN的请求之后，所述响应接收单 元 1004接收 VPN路由设备返回的认证结果，若该认证结果为成功，则所 述创建单元 1005在 VPN路由设备内创建 VPC ,并将该 VPC和 VPN路由 设备上配置的 VPN绑定。
图 11 中对数据中心只直接和目标 VPN的一个承载网相连的场景的本 发明 VPN路由设备的实施例进行说明 ，其结构请参考图 11 ，本发明实施例 中 VPN路由设备的另一个实施例包括 VPN请求接收单元 1101和接入请求 发送单元 1102 ,其中 ：
所述 VPN请求接收单元 1101 用于接收云管理器发送的 VPC接入 VPN 请求所述 VPC接入 VPN请求中携带有目标 VPN的 VPN标识，所述目标 VPN对应有唯一的网络边缘设备；
所述接入请求发送单元 1102，用于向所述网络边缘设备发送 VPC接入 请求，所述 VPC接入请求中携带有所述 VPN标识，使得所述网络边缘设 备根据所述 VPN标识进行 VPC的接入认证。
可选地，本发明实施例中的 VPN路由设备还可以进一步包括接收单元 1103、 实例配置单元 1104和结果响应单元 1105 ,其中 ：
所述接收单元 1103 ,用于接收所述网络边缘设备返回的认证响应； 所述实例配置单元 1104 ,用于若所述认证响应指示为成功，则提取所 述认证响应中携带的 VPN配置参数，并根据所述 VPN配置参数配置 VPN 实例；
所述结果响应单元 1105 ,用于根据所述认证响应向云管理器发送认证 结果。
本发明实施例 VPN路由设备中各个单元具体的操作过程如下： 所述 VPN请求接收单元 1101接收云管理器发送的 VPC接入 VPN请 求，在数据中心只直接和目标 VPN 的一个承载网相连的场景中 ，该 VPC 接入 VPN请求中携带有目标 VPN的 VPN标识，所述目标 VPN为 VPC所 需要接入的 VPN ,该目标 VPN对应有唯一的网络边缘设备。
在接收到 VPC接入 VPN请求之后，所述接入请求发送单元 1102向所 述目标 VPN唯一对应的网络边缘设备发送 VPC接入请求，该 VPC接入请 求中携带有所述 VPN标识，使得该网络边缘设备根据 VPN标识进行 VPC 的接入认证，所述 VPC接入请求是使用 IP路由协议封装的数据报文。
在发送了 VPC接入请求之后，所述接收单元 1103接收网络边缘设备 返回的认证响应，该认证响应中携带有 VPN配置参数；若所述认证响应指 示为认证成功 ，则由所述实例配置单元 1104 提取所述认证响应中携带的 VPN配置参数，并根据该 VPN配置参数配置 VPN实例。 并且，还可以由 所述结果响应单元 1105 根据所述认证响应向云管理器发送认证结果。 当 VPC的接入认证成功时，可以使得云管理器创建 VPC，并将该 VPC和 VPN 路由设备上配置的 VPN绑定。
图 12对数据中心只直接和目标 VPN的一个承载网相连的场景的本发 明云管理器的实施例进行说明，其结构请参考图 12 ,本发明实施例中云管 理器的另一个实施例包括 VPC请求接收单元 1201 和 VPN请求发送单元 1202 ,其中 ：
所述 VPC请求接收单元 1201 ,用于接收 VPC创建请求，所述 VPC创 建请求中包括有： 目标 VPN的 VPN标识，所述目标 VPN对应有唯一的承 载网；
所述 VPN请求发送单元 1202 ,用于向与所述承载网连接的 VPN路由 设备发送 VPC加入 VPN的请求， VPC接入 VPN请求中携带有所述 VPN 标识，使得所述 VPN路由设备使用所述 VPN标识向网络边缘设备发起 VPC 接入认证。
可选地，本发明实施例中的云管理器还可以进一步包括响应接收单元
1203和创建单元 1204，其中 ：
所述响应接收单元 1203 ,用于接收 VPN路由设备返回的认证结果； 所述创建单元 1204 ,用于若所述认证结果为成功，则所述云管理器在
VPN路由设备内创建 VPC ,并将所述 VPC和 VPN路由设备上配置的 VPN 绑定。
本发明实施例云管理器中各个单元具体的操作过程如下：
所述 VPC请求接收单元 1201接收 VPC创建请求，该 VPC创建请求中 包括有：目标 VPN的 VPN标识所述目标 VPN为 VPC所需要接入的 VPN , 该目标 VPN对应有唯一的承载网。
具体的，若需要创建 VPC ,则用户可以通过云业务平台向云管理器发 送 VPC创建请求，该 VPC创建请求中携带有进行 VPC接入认证时需要用 到的目标 VPN的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。
在接收到 VPC创建请求之后，所述 VPN请求发送单元 1202向与所述 承载网连接的 VPN路由设备发送 VPC加入 VPN的请求，该 VPC接入 VPN 请求中携带有目标 VPN的 VPN标识，使得 VPN路由设备使用该 VPN标 识向该承载网的标识对应的网络边缘设备发起 VPC接入认证。
在发送 VPC加入 VPN的请求之后，所述响应接收单元 1203接收 VPN 路由设备返回的认证结果，若该认证结果为成功，则所述创建单元 1204在 VPN路由设备内创建 VPC ,并将该 VPC和 VPN路由设备上配置的 VPN 绑定。
图 13对用于执行所述虚拟私云接入认证方法的本发明网络边缘设备的 实施例进行说明 ，其结构请参考图 13 ,本发明实施例中网络边缘设备的一 个实施例包括接入请求接收单元 1301、认证请求发送单元 1302和认证响应 单元 1303 ,其中 ：
所述接入请求接收单元 1301 ,用于接收 VPN路由设备发送的 VPC接 入请求，所述 VPC接入请求中携带有目标 VPN的 VPN标识；
所述认证请求发送单元 1302，用于向目标 VPN的承载网对应的认证系 统发送认证请求，所述认证请求中携带有所述 VPN标识，使得所述认证系 统对所述 VPN标识进行认证；
所述认证响应单元 1303 ,用于若认证成功，则所述网络边缘设备接收 所述认证***发送的 VPN配置参数，并向所述 VPN路由设备返回认证响 应，所述认证响应中携带有所述 VPN配置参数。
可选地，本发明实施例中的网络边缘设备还可以进一步包括第一配置 单元 1304和第二配置单元 1305 ,其中 ： 所述第一配置单元 1304 ,用于提取所述 VPN配置参数中的 VPN接入 参数，将所述 VPN接入参数添加到出口路由过滤列表 ORF中 ，表示可以 向所述 VPN路由设备转发所述承载网内的 VPN路由表；
所述第二配置单元 1305，用于提取所述 VPN配置参数中的接入带宽参 数，根据所述接入带宽参数进行接入带宽限制的配置。
本发明实施例网络边缘设备中各个单元具体的操作过程如下： 所述接入请求接收单元 1301接收 VPN路由设备发送的 VPC接入请求， 该 VPC接入请求中携带有目标 VPN的 VPN标识。
可选的，所述 VPN标识可以为 ：
( 1 ) VPN用户名称，或
( 2 ) VPN用户名称和密码，或
( 3 ) VPN名称，或
( 4 ) VPN名称和密码。
由于 VPN标识涉及用户信息，为了保证用户信息的安全，在封装 VPC 接入请求时， VPN路由设备可以使用 challenge机制对 VPN标识进行加密。
所述认证请求发送单元 1302向目标 VPN的承载网对应的认证***发 送认证请求，该认证请求中携带有所述 VPN标识，使得该认证***对该 VPN标识进行认证；所述目标 VPN为 VPC所需要接入的 VPN。
可选的，若本发明实施例中的 VPC接入认证过程需要跨越多个网络进 行传输，则在接收 VPN路由设备发送的 VPC接入请求之后，在向目标 VPN 的承载网对应的认证***发送认证请求之前， 网络边缘设备需要通过承载 网的标识（如： 目标 AS号）判断本地是否为所述 VPC接入请求的目标网 络边缘设备，若不是，则根据承载网路由表确定下一跳的网络边缘设备， 并继续向下一跳的第二网络边缘设备转发所述 VPC接入认证请求，直至将 所述 VPC接入认证请求转发到目标网络边缘设备为止。 具体的，承载网的 标识可以通过 VPC接入请求携带，而承载网路由表则由网络边缘设备通过 自学习得到。
在向目标 VPN的承载网对应的认证***发送认证请求之后，若认证成 功，则所述认证响应单元 1303接收认证***发送的 VPN配置参数。
可选的，在接收认证***发送的 VPN配置参数之后，所述第一配置单 元 1304可以提取该 VPN配置参数中的 VPN接入参数，例如 RT参数，并 将该 RT参数添加到出口路由过滤列表ORF , Outbound Route Filtering)中 ， 表示可以向 VPN路由设备转发所述承载网内的 VPN路由表。
可选的，在接收认证***发送的 VPN配置参数之后，所述第二配置单 元 1305还可以提取 VPN配置参数中的接入带宽参数，并根据该接入带宽 参数进行接入带宽限制的配置。
图 14对用于执行所述虚拟私云删除方法的本发明 VPN路由设备的实 施例进行说明，其结构请参考图 14 ,本发明实施例中 VPN路由设备的另一 个实施例包括删除请求接收单元 1401、实例删除单元 1402和通知发送单元 1403 ,其中 ：
所述删除请求接收单元 1401用于接收云管理器发送的 VPC删除请求， 所述 VPC 删除请求中携带有目标 VPN 的承载网的网络边缘设备地址和 VPC标识；
所述实例删除单元 1402 ,用于删除所述 VPC标识对应的 VPN实例； 所述通知发送单元 1403 ,用于向所述网络边缘设备地址对应的网络边 缘设备发送 VPC删除通知，所述 VPC删除通知中携带有所述 VPC标识， 使得所述网络边缘设备通知认证***删除所述 VPC标识对应的相关认证信 本发明实施例 VPN路由设备中各个单元具体的操作过程如下： 所述删除请求接收单元 1401接收云管理器发送的 VPC删除请求，该
VPC删除请求中携带有目标 VPN的承载网的网络边缘设备地址和 VPC标 in
在接收到了 VPC删除请求之后，所述实例删除单元 1402删除 VPC标 识对应的 VPN实例。 可选的， VPC标识可以为云管理器分配的一个 VPC 号，也可以为 VPN的实例名称； VPN路由设备根据 VPC标识就可以在本 地唯一的查找到 VPC标识对应的 VPN实例。
在接收到了 VPC删除请求之后，所述通知发送单元 1403 向所述网络 边缘设备地址对应的网络边缘设备发送 VPC删除通知所述 VPC删除通知 中携带有所述 VPC标识，使得网络边缘设备通知认证***删除 VPC标识对 应的相关认证信息；该认证***为所述承载网所对应。
具体的 ，在接入认证的过程中 ， 网络边缘设备收到认证请求，发起 RADIUS认证，一个 VPC认证对应一个网络接入系 NAS Network Access System )的端口（ port )号，网络边缘设备会建立 VPC标识和 RADIUS认 证的对应关系，即 VPC标识和 NAS port号的对应关系；在删除 VPC的过 程中 ，网络边缘设备可以通知相应的认证***根据 VPC标识删除 VPC对应 的接入认证记录。
下面对用于执行所述虚拟私云删除方法的本发明云管理器的实施例进 行说明，其结构请参考图 15 ,本发明实施例中云管理器的另一个实施例包 括删除接收单元 1501、 目标查找单元 1502和删除请求发送单元 1503 ,其 中 ：
所述删除接收单元 1501，用于接收第一 VPC删除请求，所述第一 VPC 删除请求中携带有 VPC标识；
所述目标查找单元 1502 ,用于根据所述 VPC标识查找目标 VPN的承 载网，并确定与所述承载网连接的 VPN路由设备和网络边缘设备地址； 所述删除请求发送单元 1503用于向所述 VPN路由设备发送第二 VPC 删除请求，所述第二 VPC删除请求中携带有所述网络边缘设备地址以及所 述 VPC标识。
本发明实施例云管理器中各个单元具体的操作过程如下：
所述删除接收单元 1501接收第一 VPC删除请求，该第一 VPC删除请 求中携带有 VPC标识；具体的，该第一 VPC删除请求可以是用户通过云业 务平台向云管理器发送的 ，VPC标识为待删除的 VPC的标识。所述目标查 找单元 1502根据所述 VPC标识查找目标 VPN的承载网，并确定与承载网 连接的 VPN路由设备和网络边缘设备地址，该目标 VPN为待删除的 VPC 所接入的 VPN。
由于在认证过程中 ， VPC和 VPN的相关配置做了绑定，因此，云管理 器可以根据 VPC标识查找到目标 VPN的承载网，并查找到与该承载网连 接的 VPN路由设备和网络边缘设备地址。
在确定了与承载网连接的 VPN路由设备和网络边缘设备地址之后，所 述删除请求发送单元 1503向 VPN路由设备发送第二 VPC删除请求，该第 二 VPC删除请求中携带有所述网络边缘设备地址以及 VPC标识，使得 VPN 路由设备向该网络边缘设备地址对应的网络边缘设备发送 VPC删除请求， 从而在相应承载网的认证***上删除该 VPC的相关配置信息。
在本申请所提供的几个实施例中 ，应该理解到，所掲露的装置和方法 可以通过其它的方式实现。 例如，以上所描述的装置实施例仅仅是示意性 的 ，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以 有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个 ***，或一些特征可以忽略，或不执行。 另一点，所显示或讨论的相互之 间的耦合或直接耦合或通信连接可以是通过一些接口 ，装置或单元的间接 耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的 ， 作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地 方，或者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的 部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元 中 ，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在 一个单元中。 所述集成的单元既可以采用硬件的形式实现，也可以采用软 件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销 售或使用时，可以存储在一个计算机可读取存储介质中。 基于这样的理解， 本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方 案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储 在一个存储介质中 ，包括若干指令用以使得一台计算机设备（可以是个人 计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的全 部或部分步骤。而前述的存储介质包括： U盘、移动硬盘、只读存储 ROM , Read-Only Memory 随机存耳又存储器 ( RAM , Random Access Memory 磁碟或者光盘等各种可以存储程序代码的介质。 以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局 限于此，任何熟悉本技术领域的技术人员在本发明掲露的技术范围内 ，可 轻易想到变化或替换，都应涵盖在本发明的保护范围之内。 因此，本发明 的保护范围应所述以权利要求的保护范围为准。

Claims

权利要求
1、 一种虚拟私云 VPC接入认证方法， 其特征在于， 包括：
虚拟私有网 VPN路由设备接收云管理器发送的虚拟私云 VPC接入虚 拟私有网 VPN请求， 所述 VPC接入 VPN请求中携带有目标 VPN的承载 网的标识以及 VPN标识；
所述 VPN路由设备向所述承载网的标识对应的网络边缘设备发送 VPC 接入请求， 所述 VPC接入请求中携带有所述 VPN标识， 使得所述网络边 缘设备根据所述 VPN标识进行 VPC的接入认证。
2、 根据权利要求 1所述的方法， 其特征在于， 所述向承载网的标识对 应的网络边缘设备发送 VPC接入请求之后， 包括：
接收所述网络边缘设备返回的认证响应；
若所述认证响应指示为成功， 则提取所述认证响应中携带的 VPN配置 参数， 并根据所述 VPN配置参数配置 VPN实例；
根据所述认证响应向所述云管理器发送认证结果。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述 VPN标识包 括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
4、 根据权利要求 1-3中任一所述的方法， 其特征在于，
所述承载网的标识为： 网络边缘设备地址， 承载网号， 承载网名称和 目标自治*** AS号中的一个或多个；
若所述承载网的标识为网络边缘设备地址， 则所述向承载网的标识对 应的网络边缘设备发送 VPC接入请求， 包括： 向网络边缘设备地址对应的 网络边缘设备发送 VPC接入请求；
若所述承载网的标识为承载网号，承载网名称或目标 AS号， 则所述向 承载网的标识对应的网络边缘设备发送 VPC接入请求， 包括： 根据承载网 路由表向所述承载网号、所述承载网名称或所述目标 AS号对应的网络边缘 设备发送 VPC接入请求。
5、 根据权利要求 4所述的方法， 其特征在于， 所述根据承载网路由表 向所述目标 AS号对应的网络边缘设备发送 VPC接入请求， 包括：
根据承载网路由列表的路径确定下一跳的第一网络边缘设备； 向所述第一网络边缘设备发送 VPC接入认证请求 ,所述 VPC接入认证 请求还携带有所述目标 AS号；
若所述第一网络边缘设备不是所述目标 AS号对应的网络边缘设备，则 所述第一网络边缘设备根据所述承载网路由表确定下一跳的第二网络边缘 设备， 并继续向所述第二网络边缘设备转发所述 VPC接入认证请求， 直至 将所述 VPC接入认证请求转发到所述目标 AS号对应的网络边缘设备为止。
6、 一种虚拟私云 VPC接入认证方法， 其特征在于， 包括：
云管理器接收 VPC创建请求，所述 VPC创建请求中包括： 目标虚拟私 有网 VPN的承载网的标识以及 VPN标识；
所述云管理器根据所述承载网的标识查找与所述承载网连接的 VPN路 由设备；
所述云管理器向所述 VPN路由设备发送 VPC加入 VPN的请求， 所述 VPC接入 VPN请求中携带有所述承载网的标识以及 VPN标识， 使得所述 VPN路由设备使用所述 VPN标识向所述承载网的标识对应的网络边缘设备 发起 VPC接入认证。
7、 根据权利要求 6所述的方法， 其特征在于， 所述向 VPN路由设备 发送 VPC加入 VPN的请求之后， 包括：
接收 VPN路由设备返回的认证结果；
若所述认证结果为成功，则所述云管理器在 VPN路由设备内创建 VPC， 并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
8、 根据权利要求 6或 7所述的方法， 其特征在于， 所述 VPN标识包 括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
9、 一种虚拟私云 VPC接入认证方法， 其特征在于， 包括： 虚拟私有网 VPN路由设备接收云管理器发送的 VPC接入 VPN请求， 所述 VPC接入 VPN请求中携带有目标 VPN的 VPN标识， 所述目标 VPN 对应有唯一的网络边缘设备；
所述 VPN路由设备向所述网络边缘设备发送 VPC接入请求，所述 VPC 接入请求中携带有所述 VPN标识， 使得所述网络边缘设备根据所述 VPN 标识进行 VPC的接入认证。
10、 根据权利要求 9所述的方法， 其特征在于， 所述向网络边缘设备 发送 VPC接入请求之后， 包括：
接收所述网络边缘设备返回的认证响应；
若所述认证响应指示为成功， 则提取所述认证响应中携带的 VPN配置 参数， 并根据所述 VPN配置参数配置 VPN实例；
根据所述认证响应向所述云管理器发送认证结果。
11、 根据权利要求 9或 10所述的方法， 其特征在于， 所述 VPN标识 包括：
VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
12、 一种虚拟私云接入认证方法， 其特征在于， 包括：
云管理器接收 VPC创建请求， 所述 VPC创建请求中包括： 目标 VPN 的 VPN标识 , 所述目标 VPN对应有唯一的承载网；
所述云管理器向与所述承载网连接的 VPN路由设备发送 VPC加入 VPN的请求， 所述 VPC接入 VPN请求中携带有所述 VPN标识， 使得所述 VPN路由设备使用所述 VPN标识向网络边缘设备发起 VPC接入认证。
13、 根据权利要求 12所述的方法， 其特征在于， 所述向 VPN路由设 备发送 VPC加入 VPN的请求之后， 包括：
接收 VPN路由设备返回的认证结果；
若所述认证结果为成功， 则云管理器在 VPN路由设备内创建 VPC, 并 将所述 VPC和 VPN路由设备上配置的 VPN绑定。
14、 根据权利要求 12或 13所述的方法， 其特征在于， 所述 VPN标识 包括： VPN用户名称；
或， VPN用户名称和密码；
或， VPN名称；
或， VPN名称和密码。
15、 一种虚拟私云 VPC接入认证方法， 其特征在于， 包括：
网络边缘设备接收虚拟私有网 VPN路由设备发送的 VPC接入请求， 所述 VPC接入请求中携带有目标 VPN的 VPN标识；
所述网络边缘设备向目标 VPN 的承载网对应的认证***发送认证请 求， 所述认证请求中携带有所述 VPN标识，使得所述认证***对所述 VPN 标识进行认证；
若认证成功， 则所述网络边缘设备接收所述认证***发送的 VPN配置 参数， 并向所述 VPN路由设备返回认证响应， 所述认证响应中携带有所述 VPN配置参数。
16、 根据权利要求 15所述的方法， 其特征在于， 所述接收认证***发 送的 VPN配置参数之后， 包括：
提取所述 VPN配置参数中的 VPN接入参数；
将所述 VPN接入参数添加到出口路由过滤列表 ORF中， 表示可以向 所述 VPN路由设备转发所述承载网内的 VPN路由表。
17、 根据权利要求 15或 16所述的方法， 其特征在于， 所述接收认证 ***发送的 VPN配置参数之后， 包括：
提取所述 VPN配置参数中的接入带宽参数；
根据所述接入带宽参数进行接入带宽限制的配置。
18、 一种虚拟私云 VPC删除方法， 其特征在于， 包括：
虚拟私有网 VPN路由设备接收云管理器发送的 VPC删除请求， 所述 VPC删除请求中携带有目标 VPN的承载网的网络边缘设备地址和 VPC标 识；
所述 VPN路由设备删除所述 VPC标识对应的 VPN实例；
所述 VPN路由设备向所述网络边缘设备地址对应的网络边缘设备发送 VPC删除通知， 所述 VPC删除通知中携带有所述 VPC标识， 使得所述网 络边缘设备通知认证***删除所述 VPC标识对应的相关认证信息。
19、 一种虚拟私云 VPC删除方法， 其特征在于， 包括： 云管理器接收第一 VPC删除请求， 所述第一 VPC删除请求中携带有 VPC标识；
所述云管理器根据所述 VPC标识查找目标虚拟私有网 VPN的承载网， 并确定与所述承载网连接的 VPN路由设备和网络边缘设备地址；
所述云管理器向所述 VPN路由设备发送第二 VPC删除请求， 所述第 二 VPC删除请求中携带有所述网络边缘设备地址以及所述 VPC标识。
20、 一种虚拟私有网 VPN路由设备， 其特征在于， 包括：
第一接收单元， 用于接收云管理器发送的虚拟私云 VPC接入虚拟私有 网 VPN请求， 所述 VPC接入 VPN请求中携带有目标 VPN的承载网的标 识以及 VPN标识；
发送单元， 用于向所述承载网的标识对应的网络边缘设备发送 VPC接 入请求， 所述 VPC接入请求中携带有所述 VPN标识， 使得所述网络边缘 设备根据所述 VPN标识进行 VPC的接入认证。
21、 根据权利要求 20所述的 VPN路由设备， 其特征在于， 所述 VPN 路由设备还包括：
第二接收单元， 用于接收所述网络边缘设备返回的认证响应； 实例配置单元， 用于若所述认证响应指示为成功， 则提取所述认证响 应中携带的 VPN配置参数， 并根据所述 VPN配置参数配置 VPN实例； 结果响应单元， 用于根据所述认证响应向所述云管理器发送认证结果。
22、 一种云管理器， 其特征在于， 包括：
请求接收单元，用于接收虚拟私有云 VPC创建请求，所述 VPC创建请 求中包括有： 目标虚拟私有网 VPN的承载网的标识以及 VPN标识；
查找单元， 用于根据所述承载网的标识查找与所述承载网连接的 VPN 路由设备；
请求发送单元，用于向所述 VPN路由设备发送 VPC加入 VPN的请求， 所述 VPC接入 VPN请求中携带有所述承载网的标识以及 VPN标识， 使得 所述 VPN路由设备使用所述 VPN标识向所述承载网的标识对应的网络边 缘设备发起 VPC接入认证。
23、 根据权利要求 22所述的云管理器， 其特征在于， 所述云管理器还 包括：
响应接收单元， 用于接收 VPN路由设备返回的认证结果； 创建单元， 用于若所述认证结果为成功， 则所述云管理器在 VPN路由 设备内创建 VPC, 并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
24、 一种虚拟私有网 VPN路由设备， 其特征在于， 包括：
VPN请求接收单元， 用于接收云管理器发送的虚拟私有云 VPC接入 VPN请求所述 VPC接入 VPN请求中携带有目标 VPN的 VPN标识， 所述 目标 VPN对应有唯一的网络边缘设备；
接入请求发送单元， 用于向所述网络边缘设备发送 VPC接入请求， 所 述 VPC接入请求中携带有所述 VPN标识， 使得所述网络边缘设备根据所 述 VPN标识进行 VPC的接入认证。
25、 根据权利要求 24所述的 VPN路由设备， 其特征在于， 所述 VPN 路由设备还包括：
接收单元， 用于接收所述网络边缘设备返回的认证响应；
实例配置单元， 用于若所述认证响应指示为成功， 则提取所述认证响 应中携带的 VPN配置参数， 并根据所述 VPN配置参数配置 VPN实例； 结果响应单元， 用于根据所述认证响应向所述云管理器发送认证结果。
26、 一种云管理器， 其特征在于， 包括：
虚拟私有云 VPC请求接收单元， 用于接收 VPC创建请求， 所述 VPC 创建请求中包括有： 目标虚拟私有网 VPN的 VPN标识， 所述目标 VPN对 应有唯一的承载网；
VPN请求发送单元， 用于向与所述承载网连接的 VPN路由设备发送 VPC加入 VPN的请求 ,所述 VPC接入 VPN请求中携带有所述 VPN标识 , 使得所述 VPN路由设备使用所述 VPN标识向网络边缘设备发起 VPC接入 认证。
27、 根据权利要求 26所述的云管理器， 其特征在于， 所述云管理器还 包括：
响应接收单元， 用于接收 VPN路由设备返回的认证结果；
创建单元， 用于若所述认证结果为成功， 则所述云管理器在 VPN路由 设备内创建 VPC, 并将所述 VPC和 VPN路由设备上配置的 VPN绑定。
28、 一种网络边缘设备， 其特征在于， 包括：
接入请求接收单元， 用于接收虚拟私有网 VPN路由设备发送的虚拟私 有云 VPC接入请求， 所述 VPC接入请求中携带有目标 VPN的 VPN标识； 认证请求发送单元， 用于向目标 VPN的承载网对应的认证***发送认 证请求， 所述认证请求中携带有所述 VPN标识， 使得所述认证***对所述 VPN标识进行认证；
认证响应单元， 用于若认证成功， 则所述网络边缘设备接收所述认证 ***发送的 VPN配置参数， 并向所述 VPN路由设备返回认证响应， 所述 认证响应中携带有所述 VPN配置参数。
29、 根据权利要求 28所述的网络边缘设备， 其特征在于， 所述网络边 缘设备还包括：
第一配置单元， 用于提取所述 VPN配置参数中的 VPN接入参数， 将 所述 VPN接入参数添加到出口路由过滤列表 ORF中 ,表示可以向所述 VPN 路由设备转发所述承载网内的 VPN路由表；
第二配置单元， 用于提取所述 VPN配置参数中的接入带宽参数， 根据 所述接入带宽参数进行接入带宽限制的配置。
30、 一种虚拟私有网 VPN路由设备， 其特征在于， 包括：
删除请求接收单元， 用于接收云管理器发送的虚拟私有云 VPC删除请 求， 所述 VPC删除请求中携带有目标 VPN的承载网的网络边缘设备地址 和 VPC标识；
实例删除单元， 用于删除所述 VPC标识对应的 VPN实例；
通知发送单元， 用于向所述网络边缘设备地址对应的网络边缘设备发 送 VPC删除通知， 所述 VPC删除通知中携带有所述 VPC标识， 使得所述 网络边缘设备通知认证***删除所述 VPC标识对应的相关认证信息。
31、 一种云管理器， 其特征在于， 包括：
删除接收单元， 用于接收第一虚拟私有云 VPC 删除请求， 所述第一
VPC删除请求中携带有 VPC标识；
目标查找单元， 用于根据所述 VPC标识查找目标虚拟私有网 VPN的 承载网， 并确定与所述承载网连接的 VPN路由设备和网络边缘设备地址； 删除请求发送单元， 用于向所述 VPN路由设备发送第二 VPC删除请求， 所述第二 VPC删除请求中携带有所述网络边缘设备地址以及所述 VPC标识。
PCT/CN2012/079308 2011-10-18 2012-07-28 一种虚拟私云接入认证方法及相关装置 WO2013056585A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP12841260.8A EP2760174A4 (en) 2011-10-18 2012-07-28 VIRTUAL PRIVATE CLOUD ACCESS AUTHENTICATION METHOD AND ASSOCIATED DEVICE
US14/255,635 US20140230044A1 (en) 2011-10-18 2014-04-17 Method and Related Apparatus for Authenticating Access of Virtual Private Cloud

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110316944.6 2011-10-18
CN2011103169446A CN103067416A (zh) 2011-10-18 2011-10-18 一种虚拟私云接入认证方法及相关装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/255,635 Continuation US20140230044A1 (en) 2011-10-18 2014-04-17 Method and Related Apparatus for Authenticating Access of Virtual Private Cloud

Publications (1)

Publication Number Publication Date
WO2013056585A1 true WO2013056585A1 (zh) 2013-04-25

Family

ID=48109875

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/079308 WO2013056585A1 (zh) 2011-10-18 2012-07-28 一种虚拟私云接入认证方法及相关装置

Country Status (4)

Country Link
US (1) US20140230044A1 (zh)
EP (1) EP2760174A4 (zh)
CN (1) CN103067416A (zh)
WO (1) WO2013056585A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2532831A (en) * 2014-08-01 2016-06-01 Kingston Digital Inc Private cloud routing server connection mechanism for use in a private communication architecture
EP3047602A1 (en) * 2013-09-17 2016-07-27 Amazon Technologies, Inc. Network connection automation
CN109995759A (zh) * 2019-03-04 2019-07-09 平安科技（深圳）有限公司 一种物理机接入vpc的方法及相关装置

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
PL3032448T3 (pl) 2014-12-08 2020-07-13 Ipcom Gmbh & Co. Kg Sposób autoryzacji dostępu do informacji w systemie telekomunikacyjnym
US10225259B2 (en) 2016-03-30 2019-03-05 Oracle International Corporation Establishing a cleanroom data processing environment
US10440058B2 (en) 2016-06-09 2019-10-08 LGS Innovations LLC Methods and systems for controlling traffic to VPN servers
US10637890B2 (en) 2016-06-09 2020-04-28 LGS Innovations LLC Methods and systems for establishment of VPN security policy by SDN application
WO2019164907A1 (en) * 2018-02-20 2019-08-29 Huawei Technologies Co. Ltd. Stitching enterprise virtual private networks (vpns) with cloud virtual private clouds (vpcs)
US10764266B2 (en) 2018-06-19 2020-09-01 Cisco Technology, Inc. Distributed authentication and authorization for rapid scaling of containerized services
US11044090B2 (en) * 2018-07-24 2021-06-22 ZenDesk, Inc. Facilitating request authentication at a network edge device
US11102214B2 (en) * 2018-08-27 2021-08-24 Amazon Technologies, Inc. Directory access sharing across web services accounts
CN110875889B (zh) * 2018-09-03 2022-09-27 阿里巴巴集团控股有限公司 一种用于获取路径的方法及其装置
CN109951332B (zh) * 2019-03-19 2022-04-05 江河瑞通（北京）技术有限公司 基于非对等网络的边缘计算设备组网方法、装置及***
CN110611607B (zh) * 2019-10-08 2021-10-19 深信服科技股份有限公司 隧道连接方法、控制设备、存储介质及装置
CN114363346B (zh) * 2020-02-14 2024-06-04 北京百度网讯科技有限公司 Ip挂载、数据处理方法和装置
US10855660B1 (en) 2020-04-30 2020-12-01 Snowflake Inc. Private virtual network replication of cloud databases
BR102021016648A2 (pt) * 2020-08-26 2022-03-08 Nokia Technologies Oy Realocação de contexto de equipamento de usuário na borda de área de notificação de rede de acesso de rádio
US11245670B1 (en) 2020-12-17 2022-02-08 360 It, Uab Dynamic system and method for identifying optimal servers in a virtual private network
US11758001B2 (en) 2020-12-17 2023-09-12 360 It, Uab Dynamic system and method for identifying optimal servers in a virtual private network
CN112995273B (zh) * 2021-01-28 2022-03-04 腾讯科技（深圳）有限公司 网络打通方案生成方法、装置、计算机设备和存储介质
CN114499935B (zh) * 2021-12-17 2023-08-29 阿里巴巴（中国）有限公司 云平台的访问方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101159750A (zh) * 2007-11-20 2008-04-09 杭州华三通信技术有限公司 一种身份认证方法和装置
CN101958805A (zh) * 2010-09-26 2011-01-26 中兴通讯股份有限公司 一种云计算中终端接入和管理的方法及***
CN102143136A (zh) * 2010-08-20 2011-08-03 华为技术有限公司 接入业务批发网络的方法、设备、服务器和***
WO2011103840A2 (zh) * 2011-04-19 2011-09-01 华为技术有限公司 虚拟私云的连接方法及隧道代理服务器

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8705513B2 (en) * 2009-12-15 2014-04-22 At&T Intellectual Property I, L.P. Methods and apparatus to communicatively couple virtual private networks to virtual machines within distributive computing networks

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101159750A (zh) * 2007-11-20 2008-04-09 杭州华三通信技术有限公司 一种身份认证方法和装置
CN102143136A (zh) * 2010-08-20 2011-08-03 华为技术有限公司 接入业务批发网络的方法、设备、服务器和***
CN101958805A (zh) * 2010-09-26 2011-01-26 中兴通讯股份有限公司 一种云计算中终端接入和管理的方法及***
WO2011103840A2 (zh) * 2011-04-19 2011-09-01 华为技术有限公司 虚拟私云的连接方法及隧道代理服务器

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9692732B2 (en) 2011-11-29 2017-06-27 Amazon Technologies, Inc. Network connection automation
EP3047602A1 (en) * 2013-09-17 2016-07-27 Amazon Technologies, Inc. Network connection automation
EP3047602A4 (en) * 2013-09-17 2017-05-03 Amazon Technologies, Inc. Network connection automation
EP3654612A1 (en) * 2013-09-17 2020-05-20 Amazon Technologies, Inc. Network connection automation
US11122022B2 (en) 2013-09-17 2021-09-14 Amazon Technologies, Inc. Network connection automation
US11843589B2 (en) 2013-09-17 2023-12-12 Amazon Technologies, Inc. Network connection automation
GB2532831A (en) * 2014-08-01 2016-06-01 Kingston Digital Inc Private cloud routing server connection mechanism for use in a private communication architecture
GB2532831B (en) * 2014-08-01 2017-03-22 Kingston Digital Inc Private cloud routing server connection mechanism for use in a private communication architecture
CN109995759A (zh) * 2019-03-04 2019-07-09 平安科技（深圳）有限公司 一种物理机接入vpc的方法及相关装置
CN109995759B (zh) * 2019-03-04 2022-10-28 平安科技（深圳）有限公司 一种物理机接入vpc的方法及相关装置

Also Published As

Publication number Publication date
US20140230044A1 (en) 2014-08-14
EP2760174A4 (en) 2014-11-19
EP2760174A1 (en) 2014-07-30
CN103067416A (zh) 2013-04-24

Similar Documents

Publication Publication Date Title
WO2013056585A1 (zh) 一种虚拟私云接入认证方法及相关装置
US10015046B2 (en) Methods and apparatus for a self-organized layer-2 enterprise network architecture
US9596211B2 (en) Cloud based customer premises equipment
JP6619894B2 (ja) アクセス制御
WO2017186181A1 (zh) 网络访问控制
CN103580980B (zh) 虚拟网络自动发现和自动配置的方法及其装置
US9112909B2 (en) User and device authentication in broadband networks
US9838261B2 (en) Method, apparatus, and system for providing network traversing service
TWI549452B (zh) 用於對虛擬私人網路之特定應用程式存取之系統及方法
WO2013155943A1 (zh) 一种虚拟网络实现方法及***
EP2922246B1 (en) Method and data center network for cross-service zone communication
US20160073327A1 (en) Collaborative software-defined networking (sdn) based virtual private network (vpn)
WO2013067904A1 (zh) 用于域间虚拟专用网络对接的方法和设备
WO2009074080A1 (fr) Méthode, appareil et système de configuration d&#39;un réseau virtuel et commutateur de partitions
WO2012088982A1 (zh) 路由信息发布方法、设备及虚拟专用网***
WO2013107136A1 (zh) 终端接入认证的方法及用户端设备
WO2014166247A1 (zh) 一种虚拟网络管理的实现方法和***
US20150288651A1 (en) Ip packet processing method and apparatus, and network system
WO2010003354A1 (zh) 认证服务器及虚拟专用网的移动通信终端接入控制方法
WO2011140919A1 (zh) 接入业务批发网络的方法、设备、服务器和***
US20130227673A1 (en) Apparatus and method for cloud networking
WO2016192608A2 (zh) 身份认证方法、身份认证***和相关设备
WO2015003565A1 (zh) 控制用户终端接入的方法、装置及***
WO2014029367A1 (zh) 一种动态配置方法及装置、***
WO2009143729A1 (zh) 实现dhcp用户业务批发的方法、***和设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12841260

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012841260

Country of ref document: EP