IPSECVPN系统控制方法.pdf

本发明提供一种IPSec VPN系统控制方法，各分支节点发送Tunnel IP地址给中心节点；中心节点建立各分支节点公网IP地址与Tunnel IP地址对应关系表；各分支节点配置与其他分支节点间的隧道路由表；当第一分支节点内网资源访问第二分支节点内网资源时，第一分支节点查询内部隧道路由表，从第二分支节点隧道转发，若该隧道没有建立，则发送携带第二分支节点Tunnel IP地址的消息给中心节点，请求第二分支节点公网IP地址；中心节点获取该Tunnel IP地址后，查询该Tunnel IP地址对应的公网IP地址，并发送给第一分支节点；第一分支节点与该第二分支节点建立隧道。本发明解决了分支节点间在不知道对端公网IP的情况下，建立安全可靠的互访通道。

1.  一种IPSec VPN系统控制方法，该方法应用于VPN系统，该系统包括中心节点、第一分支节点以及第二分支节点，其特征在于，该方法包括以下步骤：
步骤A，在各分支节点分别与中心节点建立隧道连接过程中，发送各分支节点的Tunnel IP地址给中心节点；
步骤B，中心节点接收到各分支节点的Tunnel IP地址后，在地址映射表中建立各分支节点的公网IP地址与Tunnel IP地址对应关系；
步骤C，在各分支节点上分别配置当前分支节点与其他分支节点间的隧道路由表；
步骤D，当第一分支节点的内网资源访问第二分支节点的内网资源时，第一分支节点查询其内部配置的隧道路由表，从已配置的第一分支节点与第二分支节点间的隧道转发，若所述分支节点间的隧道没有建立，则通过已建立的第一分支节点与中心节点的隧道，发送携带第二分支节点Tunnel IP地址的消息给中心节点，向中心节点请求第二分支节点的公网IP地址；
步骤E，中心节点接收到该请求后，获取第二分支节点Tunnel IP地址，查询所述地址映射表中该Tunnel IP地址对应的公网IP地址，并将该第二分支节点的公网IP地址发送给第一分支节点；
步骤F，第一分支节点接收到第二分支节点的公网IP地址后，与该第二分支节点建立IPSec隧道，进而访问第二分支节点的内网资源。

2.  如权利要求1所述的方法，其特征在于：所述步骤A之前还包括：
步骤G，各分支节点分别向中心节点发送模式确认消息，确认中心节点是否支持P2MP模式。

3.  如权利要求2所述的方法，其特征在于：
所述模式确认消息是在分支节点与中心节点建立IPSec隧道过程中，进行IKE协商的第一阶段发送的。

4.  如权利要求1所述的方法，其特征在于：
所述步骤A中各分支节点的Tunnel IP地址通过IKE协商的第二阶段发送给中心节点。

5.  如权利要求1所述的方法，其特征在于：
若分支节点与中心节点的IPSec隧道连接断开，则在地址映射表中删除该分支节点的公网IP地址与Tunnel IP地址的对应关系记录。

IPSec VPN系统控制方法
技术领域
本发明涉及VPN技术领域，尤其涉及一种IPSec VPN系统控制方法。
背景技术
越来越多的企业在公共网络中组建自己的VPN系统，在地理位置不同的多个分支机构之间建立VPN连接。然而，许多企业分支机构使用动态IP地址接入公共网络，各个分支机构之间在不知道其他分支机构的动态IP地址的情况下，无法实现互相访问。
针对上述问题，一种基于web注册的管理系统产生，该系统通过建立一个公共的web管理中心，所有的分支首先向这个web管理中心注册自己的公网IP地址，当某一分支访问另一分支时，先从该web管理中心获取被访问分支的公网IP地址，从而实现各分支节点的互访。
这种基于web管理中心的方法比较复杂，并且信息在公共网络传输过程中未加密，缺少安全保护。
发明内容
有鉴于此，本发明提供一种IPSec VPN系统控制方法，该方法应用于VPN系统，该系统包括中心节点、第一分支节点以及第二分支节点，该方法包括以下步骤：
步骤A，在各分支节点分别与中心节点建立隧道连接过程中，发送各分支节点的Tunnel IP地址给中心节点；
步骤B，中心节点接收到各分支节点的Tunnel IP地址后，在地址映射表 中建立各分支节点的公网IP地址与Tunnel IP地址对应关系；
步骤C，在各分支节点上分别配置当前分支节点与其他分支节点间的隧道路由表；
步骤D，当第一分支节点的内网资源访问第二分支节点的内网资源时，第一分支节点查询其内部配置的隧道路由表，从已配置的第一分支节点与第二分支节点间的隧道转发，若所述分支节点间的隧道没有建立，则通过已建立的第一分支节点与中心节点的隧道，发送携带第二分支节点Tunnel IP地址的消息给中心节点，向中心节点请求第二分支节点的公网IP地址；
步骤E，中心节点接收到该请求后，获取第二分支节点Tunnel IP地址，查询所述地址映射表中该Tunnel IP地址对应的公网IP地址，并将该第二分支节点的公网IP地址发送给第一分支节点；
步骤F，第一分支节点接收到第二分支节点的公网IP地址后，与该第二分支节点建立IPSec隧道，进而访问第二分支节点的内网资源。
本发明解决了分支节点间在不知道对端公网IP的情况下，建立安全可靠的互访通道。
附图说明
图1是本发明一种实施方式中IPSec VPN系统结构示意图。
图2是本发明一种实施方式中IPSec VPN系统控制方法流程图。
具体实施方式
以下结合附图对本发明进行详细描述。
在一种较佳的实施方式中，本发明通过建立IPSec VPN系统，实现各分支间的安全互访。如图1所示，该IPSec VPN系统包括中心节点、第一分支节点以及第二分支节点。请参考图2，该系统的控制方法包括以下步骤：
步骤101，在各分支节点分别与中心节点建立隧道连接过程中，发送各分支节点的Tunnel IP地址给中心节点；
步骤102，中心节点接收到各分支节点的Tunnel IP地址后，在地址映射表中建立各分支节点的公网IP地址与Tunnel IP地址对应关系；
步骤103，在各分支节点上分别配置当前分支节点与其他分支节点间的隧道路由表；
步骤104，当第一分支节点的内网资源访问第二分支节点的内网资源时，第一分支节点查询其内部配置的隧道路由表，从已配置的第一分支节点与第二分支节点间的隧道转发，若所述分支节点间的隧道没有建立，则通过已建立的第一分支节点与中心节点的隧道，发送携带第二分支节点Tunnel IP地址的消息给中心节点，向中心节点请求第二分支节点的公网IP地址；
步骤105，中心节点接收到该请求后，获取第二分支节点Tunnel IP地址，查询所述地址映射表中该Tunnel IP地址对应的公网IP地址，并将该第二分支节点的公网IP地址发送给第一分支节点；
步骤106，第一分支节点接收到第二分支节点的公网IP地址后，与该第二分支节点建立IPSec隧道，进而访问第二分支节点的内网资源。
在VPN系统中，任意两个分支节点间要实现互访，至少有一端必须知道对端的公网IP地址，然而，在实际的网络环境中，分支节点的公网IP地址是动态分配的，具有不确定性。为了保证各分支节点能够获取到其他分支节点的公网IP地址，本发明通过为所有分支节点增加同一中心节点的方法，使得各个分支节点可以通过该中心节点获取其他分支节点的公网IP地址，其中，该中心节点配置静态公网IP地址，以便各分支节点访问中心节点，获取需要的信息。同时，为了保证VPN系统数据传输的安全性，本发明通过在各节点间建立IPSec隧道进行数据传输。
在一种优选的实施方式中，请参考图1，IPSec VPN系统包括中心节点、第一分支节点以及第二分支节点。第一分支节点发送自己的Tunnel IP地址给中心节点，中心节点接收到携带第一分支节点Tunnel IP地址的报文后，从该报文中获取第一分支节点的Tunnel IP地址和公网IP地址，并将该Tunnel IP地址与公网IP地址的对应关系存入地址映射表中。同理，第二分支节点通过 上述过程，在中心节点的地址映射表中保存第二分支节点的地址对应关系，如下表所示。