一種不佔用ip地址的隧道實現方法、系統及設備的製作方法
2023-05-14 10:24:01 3
專利名稱：一種不佔用ip地址的隧道實現方法、系統及設備的製作方法
技術領域：
本發明屬於數據通信領域，尤其涉及一種不佔用IP位址的隧道實現方法、系統及設備。
背景技術：
目前，基於IPv4協議建立的數據網絡面臨越來越嚴重的IP位址不足的問題。市場上的設備通常都要為本設備單獨設置一個IP位址，在進行設備安裝和部署時，為了能夠讓該IP位址順利的進行網絡數據的路由與交換，還必須對原有的用戶網絡進行一定程度的調整，如果用戶網絡沒有為設備預留IP位址，那麼該設備的部署將給用戶的網絡拓撲和 正常業務帶來巨大的影響。
發明內容
本發明的目的在於提供一種不佔用IP位址的隧道實現方法、系統及設備，旨在解決現有技術中的設備通常都要為本設備單獨設置一個IP位址，從而加劇了 IPv4地址緊缺，同時為了能夠讓該IP位址順利的進行網絡數據的路由與交換，還必須對原有的用戶網絡進行一定程度的調整，給用戶的網絡拓撲和正常業務帶來巨大影響的問題。本發明的目的是這樣實現的一種不佔用IP位址的隧道實現方法，所述隧道為IPSEC VPN，所述方法包括下述步驟
A、在底層協議棧構建數據報文攔截器、數據報文過濾器和數據報文分流器；
B、數據報文攔截器截獲所有通過IPSECVPN設備轉發的數據報文；
C、數據報文過濾器將截獲的所有數據報文進行甄別和分類；
D、數據報文分流器將經過甄別和分類後的數據報文進行分流處理。
更進一步，IPSEC VPN隧道所用IP位址或與該IP位址相關的不同類型的數據報文採用不同的處理路徑鏈路層協議報文直接轉發；IPSEC數據報文重定向到協議棧進行處理；傳輸層報文直接轉發。更進一步，協議棧建立虛擬網卡對IPSEC數據報文進行封裝與解封裝、加密與解密處理。更進一步，IPSEC VPN隧道所採用的IP位址與內部網絡的在線設備共用。更進一步，在採用雙機設備形式部署的環境下，IPSEC VPN隧道所採用的IP位址與備用機共用。更進一步，所述內部網絡的在線設備為三層交換機或伺服器。本發明的另一目的在於提供一種不佔用IP位址實現IPSEC VPN隧道系統，本發明的目的是這樣實現的所述系統包括數據報文攔截器，用於截獲所有通過IPSEC VPN設備轉發的數據報文；
數據報文過濾器，用於將截獲的所有數據報文進行甄別和分類；
數據報文分流器，用於將經過甄別和分類後的數據報文進行分流處理。作為優選，還包括基於虛擬網卡技術建立的協議處理器，用於對IPSEC數據報文進行封裝與解封裝、加密與解密處理。本發明的另一目的在於提供一種包含不佔用IP位址實現IPSEC VPN隧道系統的IPSEC VPN設備。本發明的突出優點是本發明通過將IPSEC VPN隧道所採用的IP位址與內部網絡的三層交換機或伺服器等在線設備共用，可以節省日益緊張的IP位址，在部署IPSEC VPN隧道時不需要改動網絡配置，大大提高了 IPSEC VPN設備的易用性和網絡適應性。
圖I是本發明實施例提供的不佔用IP位址的隧道實現方法流程 圖2是本發明實施例提供的IPSEC VPN設備結構圖。
具體實施例方式為了使本發明的目的、技術方案及優點更加清楚明白，以下結合附圖及實施例，對本發明進行進一步詳細說明。應當理解，此處所描述的具體實施例僅僅用以解釋本發明，並不用於限定本發明。本發明實施例提供的在網絡環境下不佔用IP位址的隧道實現方法、系統及設備，通過將IPSEC VPN隧道所採用的IP位址與內部網絡的三層交換機或伺服器等在線設備共用，可以節省日益緊張的IP位址，在部署IPSEC VPN隧道時不需要改動網絡配置，大大提高了 IPSEC VPN設備的易用性和網絡適應性。圖I為本發明實施例提供的在網絡環境下不佔用IP位址實現IPSEC VPN隧道方法的實現流程，詳述如下
在步驟SlOl中，在底層協議棧構建數據報文攔截器、數據報文過濾器和數據報文分流器。數據報文攔截器可以捕獲在本系統物理網卡接收到的所有類型的數據幀；數據報文過濾器根據鏈路層的源和目的MAC地址、源和目的IP位址、協議號、目的傳輸層埠以及IPSEC的SPI索引等信息對數據文本進行分類處理，不同類型的報文打上不同標記；數據報文分流器可以根據不同的報文類型，將數據報文放入不同的處理路徑。在步驟S102中，數據報文攔截器截獲所有通過IPSEC VPN設備轉發的數據報文並獲取包括鏈路層、網絡層、傳輸層和應用層的全部信息。在步驟S103中，數據報文過濾器將所有的數據報文進行甄別和分類。本步驟中需要區分ARP等鏈路層協議、ESP和AH等IPSEC數據報文以及IPSEC VPN設備保留埠號的IP報文。在步驟S104中，數據報文分流器將經過甄別和分類後的數據報文進行分流處理，對目的地址具有IPSEC VPN隧道所用IP位址或與該IP位址相關的不同類型的數據報文採用不同的處理路徑=ARP等鏈路層協議報文直接轉發；ESP和AH等IPSEC數據報文重定向到IPSEC VPN設備協議棧的協議處理器進行處理；IPSEC VPN設備保留埠號以外的所有IP ；傳輸層報文直接轉發。在步驟S105中，IPSEC VPN設備協議棧基於虛擬網卡技術建立協議處理器對IPSEC數據報文進行封裝與解封裝、加密與解密處理。IPSEC VPN隧道所採用的IP位址與內部網絡的三層交換機或伺服器等在線設備共用，在採用雙機備用形式部署的環境下也可與備用機共用。圖2則示出了本發明實施例提供的IPSEC VPN設備的結構，其中，處理系統22即示出了本發明實施例提供的在網絡環境下不佔用IP位址實現IPSEC VPN隧道系統的結構，為了便於說明，僅示出了與本發明實施例相關的部分，這些部分可以是軟體、硬體或軟硬體結合的模塊
數據報文攔截器221、數據報文過濾器222、數據報文分流器224以及協議處理器223、路由器和網橋225。
其中，數據報文攔截器221在接受網卡的中斷信號觸發下截獲所有通過該設備轉發的數據報文並獲取包括鏈路層、網絡層和傳輸層、應用層的全包信息，進一步遞交數據報文過濾器222處理。數據報文過濾器222對經過數據報文攔截器221捕獲的數據報文根據鏈路層、網絡層和傳輸層的特徵信息(MAC地址、IP位址、協議、埠、SPI索引等)對數據報文進行分類處理，不同類型的報文打上不同標記，進一步交由數據報文分流器224進行處理。數據報文分流器224根據不同的報文類型，將數據報文放入不同的處理路徑。ARP等鏈路層協議報文直接經由路由器和網橋225通過網卡轉發；ESP和AH等IPSEC數據報文重定向到協議處理器223進行處理；IPSEC VPN設備保留埠號以外的所有IP和傳輸層報文直接經由路由器和網橋225通過網卡轉發。協議處理器223基於虛擬網卡技術，按照IPSEC VPN相關協議規範對IPSEC數據報文進行封裝與解封裝、加密與解密處理。IPSEC VPN隧道封裝所採用的IP位址與內部網絡的三層交換機或伺服器等在線設備共用，在採用雙機備用形式部署的環境下也可與備用機共用。虛擬網卡不對ARP等鏈路層消息進行響應，這樣就保障了所共用IP位址對應MAC地址映射的一致性。其中，圖中網卡包括設備的所有工作網卡，需發送數據由路由器和網橋225進行選路，確定具體由其中某一個網卡發送。本發明實施例通過將IPSEC VPN隧道所採用的IP位址與內部網絡的三層交換機或伺服器等在線設備共用，可以節省日益緊張的IP位址，在部署IPSEC隧道時不需要改動網絡配置，大大提高了 IPSEC VPN設備的易用性和網絡適應性。以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精神和原則之內所作的任何修改、等同替換和改進等，均應包含在本發明的保護範圍之內。
權利要求
1.一種不佔用IP位址的隧道實現方法，所述隧道為IPSEC VPN，其特徵在於，所述方法包括下述步驟 A、在底層協議棧構建數據報文攔截器、數據報文過濾器和數據報文分流器； B、數據報文攔截器截獲所有通過IPSECVPN設備轉發的數據報文； C、數據報文過濾器將截獲的所有數據報文進行甄別和分類； D、數據報文分流器將經過甄別和分類後的數據報文進行分流處理。
2.如權利要求I所述的一種不佔用IP位址的隧道實現方法，其特徵在於，步驟D具體包括以下步驟=IPSEC VPN隧道所用IP位址或與該IP位址相關的不同類型的數據報文採用不同的處理路徑鏈路層協議報文直接轉發；IPSEC數據報文重定向到協議棧進行處理；傳輸層報文直接轉發。
3.如權利要求I或2所述的一種不佔用IP位址的隧道實現方法，其特徵在於，所述方法進一步包括 協議棧建立虛擬網卡對IPSEC數據報文進行封裝與解封裝、加密與解密處理。
4.如權利要求I或2所述的一種不佔用IP位址的隧道實現方法，其特徵在於，IPSECVPN隧道所採用的IP位址與內部網絡的在線設備共用。
5.如權利要求I或2所述的一種不佔用IP位址的隧道實現方法，其特徵在於，在採用雙機設備形式部署的環境下，IPSEC VPN隧道所採用的IP位址與備用機共用。
6.如權利要求4所述的一種不佔用IP位址的隧道實現方法，其特徵在於，所述內部網絡的在線設備為三層交換機或伺服器。
7.一種不佔用IP位址實現IPSEC VPN隧道系統，其特徵在於，所述系統包括 數據報文攔截器，用於截獲所有通過IPSEC VPN設備轉發的數據報文； 數據報文過濾器，用於將截獲的所有數據報文進行甄別和分類； 數據報文分流器，用於將經過甄別和分類後的數據報文進行分流處理。
8.如權利要求7所述的不佔用IP位址實現IPSECVPN隧道系統，其特徵在於，還包括基於虛擬網卡技術建立的協議處理器，用於對IPSEC數據報文進行封裝與解封裝、加密與解密處理。
9.一種包含如權利要求7或8所述的不佔用IP位址實現IPSEC VPN隧道系統的IPSECVPN設備。
全文摘要
本發明適用於數據通信領域，提供了一種不佔用IP位址的隧道實現方法、系統及設備，所述方法包括A、在底層協議棧構建數據報文攔截器、數據報文過濾器和數據報文分流器;B、數據報文攔截器截獲所有通過IPSECVPN設備轉發的數據報文;C、數據報文過濾器將截獲的所有數據報文進行甄別和分類;D、數據報文分流器將經過甄別和分類後的數據報文進行分流處理。本發明相比於現有技術，可以節省日益緊張的IP位址，在部署IPSECVPN隧道時不需要改動網絡配置，大大提高了IPSECVPN設備的易用性和網絡適應性。
文檔編號H04L12/46GK102761483SQ201210219710
公開日2012年10月31日 申請日期2012年6月29日 優先權日2012年6月29日
發明者傅勇, 羅俊 申請人:成都衛士通信息產業股份有限公司