[發(fā)明專利]一種虛擬私有網(wǎng)VPN系統(tǒng)及實現(xiàn)方法

有效

• 申請?zhí)枺?/td>: 201810094297.0
• 申請日: 2018-01-30
• 公開（公告）號: CN108322379B
• 公開（公告）日: 2021-04-20
• 發(fā)明（設(shè)計）人: 陳光輝;于成波;王萇;吳紅寧
• 申請（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號: H04L12/46
• 分類號: H04L12/46;H04L29/06;H04L12/24
• 代理公司: 廣州三環(huán)專利商標(biāo)代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種虛擬私有網(wǎng)VPN系統(tǒng)，其特征在于，所述VPN系統(tǒng)包括第一網(wǎng)關(guān)、第一防火墻、第二網(wǎng)關(guān)和第二防火墻，其中，所述第一網(wǎng)關(guān)和所述第二網(wǎng)關(guān)屬于VPN中的網(wǎng)關(guān)，所述第一防火墻和所述第二防火墻屬于所述VPN中的防火墻，所述第一網(wǎng)關(guān)與所述第二網(wǎng)關(guān)相連接，所述第一網(wǎng)關(guān)還與所述第一防火墻相連接，所述第二網(wǎng)關(guān)還與所述第二防火墻相連接；所述第一防火墻和所述第二防火墻均與遠端防火墻之間建立了互聯(lián)網(wǎng)安全協(xié)議連接IPSec；所述遠端防火墻屬于用戶數(shù)據(jù)中心中的防火墻；若所述第一防火墻未出現(xiàn)故障且所述第一防火墻與所述遠端防火墻之間的IPSec未出現(xiàn)故障，則存在如下特征：

所述第二網(wǎng)關(guān)用于將接收的來自所述VPN的第一業(yè)務(wù)轉(zhuǎn)發(fā)給所述第一網(wǎng)關(guān)；

所述第一網(wǎng)關(guān)用于將接收的來自所述VPN的第二業(yè)務(wù)和來自所述第二網(wǎng)關(guān)的所述第一業(yè)務(wù)轉(zhuǎn)發(fā)給所述第一防火墻；

所述第一防火墻用于將來自所述第一網(wǎng)關(guān)的業(yè)務(wù)通過所述第一防火墻與所述遠端防火墻之間的IPSec發(fā)送給所述遠端防火墻；

所述第二防火墻與遠端防火墻之間的所述IPSec用于在所述第一防火墻出現(xiàn)故障或者所述第一防火墻與所述遠端防火墻之間的IPSec出現(xiàn)故障時啟用，所述第二防火墻與遠端防火墻之間的所述IPSec啟用時，所述第一網(wǎng)關(guān)接收的流量流向第二網(wǎng)關(guān)，所述第二網(wǎng)關(guān)接收的流量流向所述第二防火墻，以由所述第二防火墻轉(zhuǎn)發(fā)給遠端防火墻。

2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，若所述第一防火墻出現(xiàn)故障或所述第一防火墻與所述遠端防火墻之間的IPSec出現(xiàn)故障，則存在如下特征：

所述第一網(wǎng)關(guān)用于將接收的來自所述VPN的第二業(yè)務(wù)轉(zhuǎn)發(fā)給所述第二網(wǎng)關(guān)；

所述第二網(wǎng)關(guān)將用于接收的來自所述VPN的第一業(yè)務(wù)和來自所述第一網(wǎng)關(guān)的所述第二業(yè)務(wù)轉(zhuǎn)發(fā)給所述第二防火墻；

所述第二防火墻用于將來自所述第二網(wǎng)關(guān)的業(yè)務(wù)通過所述第二防火墻與所述遠端防火墻之間的IPSec發(fā)送給所述遠端防火墻。

3.根據(jù)權(quán)利要求2所述的系統(tǒng)，其特征在于，若所述第一防火墻出現(xiàn)故障或所述第一防火墻與所述遠端防火墻之間的IPSec出現(xiàn)故障，還存在如下特征：

所述第一網(wǎng)關(guān)在將接收的來自所述VPN的第二業(yè)務(wù)轉(zhuǎn)發(fā)給所述第二網(wǎng)關(guān)之前，所述第二防火墻用于接收所述遠端防火墻發(fā)送的第二協(xié)商信息；

所述第二防火墻用于根據(jù)所述第二協(xié)商信息將所述用戶數(shù)據(jù)中心的路由發(fā)送給所述第二網(wǎng)關(guān)，以使所述第二網(wǎng)關(guān)將接收到的需要發(fā)往所述用戶數(shù)據(jù)中心的業(yè)務(wù)發(fā)送給所述第二防火墻；

所述第二網(wǎng)關(guān)用于將所述用戶數(shù)據(jù)中心的路由發(fā)送給所述第一網(wǎng)關(guān)，以使所述第一網(wǎng)關(guān)將接收到的需要發(fā)往所述用戶數(shù)據(jù)中心的業(yè)務(wù)發(fā)送給所述第二網(wǎng)關(guān)；

所述一網(wǎng)關(guān)用于將從所述第一防火墻學(xué)習(xí)到的所述用戶數(shù)據(jù)中心的路由刪除。

4.根據(jù)權(quán)利要求1－3任一項所述的系統(tǒng)，其特征在于，若所述第一防火墻未出現(xiàn)故障且所述第一防火墻與所述遠端防火墻之間的IPSec未出現(xiàn)故障，還存在如下特征：

所述第一防火墻在所述第二網(wǎng)關(guān)將接收的來自所述VPN的第一業(yè)務(wù)轉(zhuǎn)發(fā)給所述第一網(wǎng)關(guān)之前，用于接收所述遠端防火墻發(fā)送的第一協(xié)商信息；

所述第一防火墻用于根據(jù)所述第一協(xié)商信息將所述用戶數(shù)據(jù)中心的路由發(fā)送給所述第一網(wǎng)關(guān)，以使所述第一網(wǎng)關(guān)將接收到的需要發(fā)往所述用戶數(shù)據(jù)中心的業(yè)務(wù)發(fā)送給所述第一防火墻；

所述第一網(wǎng)關(guān)用于將所述用戶數(shù)據(jù)中心的路由發(fā)送給所述第二網(wǎng)關(guān)，以使所述第二網(wǎng)關(guān)將接收到的需要發(fā)往所述用戶數(shù)據(jù)中心的業(yè)務(wù)發(fā)送給所述第一網(wǎng)關(guān)。

5.根據(jù)權(quán)利要求1－3任一項所述的系統(tǒng)，其特征在于，所述第一網(wǎng)關(guān)、所述第一防火墻、所述第二網(wǎng)關(guān)和所述第二防火墻上均配置了邊界網(wǎng)關(guān)協(xié)議BGP，所述第一防火墻的對端peer為所述第一網(wǎng)關(guān)，所述第一網(wǎng)關(guān)的peer為所述第一防火墻和所述第二網(wǎng)關(guān)，所述第二防火墻的peer為所述第二網(wǎng)關(guān)，所述第二網(wǎng)關(guān)的peer為所述第二防火墻和所述第一網(wǎng)關(guān)，所述BGP用于通告所述用戶數(shù)據(jù)中心的路由。