[發明專利]基于數據鏈路層的SSLVPN通信方法

有效

• 申請號: 201210117171.3
• 申請日: 2012-04-20
• 公開（公告）號: CN103379009B
• 公開（公告）日: 2017-02-15
• 發明（設計）人: 楊正權
• 申請（專利權）人: 南京易安聯網絡技術有限公司
• 主分類號: H04L12/46
• 分類號: H04L12/46;H04L12/28;H04L29/08
• 代理公司: 南京眾聯專利代理有限公司32206
• 代理人: 顧進

技術領域

本發明涉及一種網絡數據通信方法，特別涉及一種基于SSL?VPN技術的通信方法。

背景技術

隨著Internet網絡技術的普及，虛擬專用網VPN（Virtual?Private?Network）技術在網絡發展中的突出地位越發顯現。近年來為了更加靈活安全的給用戶提供VPN服務，越來越多的用戶選擇使用SSL?VPN。SSL?VPN是以HTTPS為基礎的VPN技術，也包括支持SSL的應用程序，例如：電子郵件客戶端程序，?如Microsoft?Outlook或Eudora。它利用SSL協議提供的基于證書的身份認證、數據加密和消息完整性驗證機制，為用戶遠程訪問公司內部網絡提供了安全保證。SSLVPN經常被稱之“無客戶端”，因為目前大多數計算機在出貨時，都已經安裝了支持HTTP和HTTPS的Web瀏覽器。

通常的SSL?VPN都是使用SSL來封裝IP或IP層以上的協議，比如UDP，?TCP，?HTTP等，因此只能傳送IP或IP層以上的數據。由于其只支持IP層以上的協議，?無法支持IP層以下如IPX，?NetBT，?AppleTalk，?Nbf，?NWlink，?PPP，?PPPoE，?MPLS等協議。

發明內容

本發明的目的是為克服已有技術的不足之處，提供一種基于數據鏈路層進行通信的SSL?VPN連接方式，通過發送向指定目的地的所有數據鏈路層的數據全部打包傳送，實現了基于數據鏈路層的數據穿透，從而解決了傳統的SSLVPN和IPSec?VPN不能實現的兩個子網絡之間建立整體網絡的全協議通信的需求，比如，WINS協議，VoIP協議，DHCP協議等等的穿透。

本發明提出以下技術方案：

一種基于數據鏈路層的SSL?VPN通信方法，基于通過廣域網連接的服務端網絡和客戶端實現，所述服務端網絡包括SSL?VPN網關，交換機和終端設備，其特征在于包括以下步驟：

A客戶端向服務端網關發起連接請求；

B服務端網關接收到連接請求后對客戶端進行標準SSL驗證；

C客戶端和服務端網絡之間建立SSL?VPN加密安全通道；

D服務端網絡和客戶端之間發送數據時，發送端的SSL?VPN網關封裝交換機傳來的所有需要傳送到客戶端的數據，并通過SSL?VPN通道傳送至接收端；

E接收端的將接收到的數據解包，并向本端傳送。

作為一種優選，所述步驟B的驗證過程包括：

B1服務端的SSL?VPN網關對所述連接請求進行身份驗證；

B2服務端的SSL?VPN網關對所述連接請求進行密碼驗證或者PKI證書驗證。

作為一種優選，所述客戶端為局域網，所述局域網包括SSL?VPN網關，交換機和PC。

作為一種優選，所述步驟D包括：發送端的SSL?VPN網關的eth1口接收到本方交換機傳來的所有需要傳送到接收端的數據，對這些數據進行封裝后，從eth0口通過SSL隧道發送至接收端SSL?VPN網關的eth0口；所述步驟E包括：接收端SSL?VPN網關對接收到的數據進行解包后，通過eth1口傳送至本端交換機。

作為一種改進，所述局域網數量至少為一組。

作為一種優選，所述客戶端是終端設備。

作為一種優選，所述步驟A之前還包括以下步驟：

a在服務端SSL?VPN網關的入口網頁處嵌入一個客戶端應用程序；

b客戶端PC通過瀏覽器訪問服務端SSL?VPN網關；

c下載客戶端應用程序到客戶端PC中，運行該客戶端應用程序即在客戶端PC中安裝SSL?VPN客戶端代理程序。

作為一種優選，所述步驟D為：

當服務端網絡向客戶端傳送數據時，服務端的SSL?VPN網關的eth1口接收到本方交換機傳來的所有需要傳送到接收端的數據，對這些數據進行封裝后，從eth0口通過SSL隧道發送至客戶端網卡；

當客戶端向服務端網絡傳送數據時，客戶端的SSL?VPN客戶端代理程序將所有要發送至服務端網絡的數據封裝打包，通過網卡經SSL隧道傳送至服務端服務端的SSL?VPN網關的eth0口；

所述步驟E為：當服務端網絡向客戶端傳送數據時，客戶端的SSL?VPN客戶端代理程序對接收到的數據進行解包；當客戶端向服務端網絡傳送數據時，服務端SSL?VPN網關對接收到的數據進行解包后，通過eth1口傳送至本端交換機。

作為一種優選，所述終端設備是PC、手機或PDA。