[發明專利]虛擬專用網絡VPN客戶端的專用子網絡

在審

• 申請號: 201980101417.8
• 申請日: 2019-11-08
• 公開（公告）號: CN114556868A
• 公開（公告）日: 2022-05-27
• 發明（設計）人: 奧馬爾·安森;薩吉·米茲拉希
• 申請（專利權）人: 華為云計算技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L12/46;H04L61/5046
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種虛擬專用網絡(Virtual Private Network，VPN)網關，其特征在于，包括：

電路，用于：

為多個客戶端設備創建彼此隔離的多個子網絡，其中，所述多個客戶端設備請求與包括多個網絡節點的服務網絡建立多條VPN鏈路中的相應一條，所述多個隔離子網絡中的每一個是通過以下方式為所述多個客戶端設備中的相應一個創建的：

根據所述相應客戶端設備的訪問憑證識別子組，所述子組包括所述多個網絡節點中的至少一個；

向所述子組的每個成員分配服務器虛擬地址，并向所述相應客戶端設備分配客戶端虛擬地址；

與所述多個客戶端設備建立所述請求的多條VPN鏈路，所述VPN鏈路中的每一條將所述相應客戶端設備連接到其相應的隔離子網絡。

2.根據權利要求1所述的裝置，其特征在于，所述電路用于：通過對每個入消息執行以下操作，控制所述相應客戶端設備通過所述相應VPN鏈路向所述成員網絡節點傳輸的入網絡流量：

-將包括所述客戶端虛擬地址的所述入消息的源地址調整為所述服務網絡的本地地址范圍內的客戶端本地地址；

-將包括所述服務器虛擬地址的所述入消息的目的地址調整為包括所述本地地址范圍內的服務器本地地址；

將所述入消息轉發至所述至少一個網絡節點。

3.根據權利要求1和2中任一項所述的裝置，其特征在于，所述電路用于：通過對每個出消息執行以下操作，控制所述成員網絡節點向所述相應客戶端設備傳輸的出網絡流量：

-將包括服務器本地地址的所述出消息的源地址調整為包括所述服務器虛擬地址；

-將包括客戶端本地地址的所述出消息的目的地址調整為包括所述客戶端虛擬地址；

-通過所述相應VPN鏈路將所述出消息傳輸到所述相應客戶端設備。

4.根據權利要求1所述的裝置，其特征在于，所述客戶端虛擬地址和所述服務器虛擬地址不在分配給所述服務網絡的本地地址的范圍內，也不在分配給源網絡的本地地址的范圍內，其中，所述相應客戶端設備連接到所述源網絡以建立所述相應VPN鏈路。

5.根據權利要求4所述的裝置，其特征在于，所述客戶端虛擬地址和所述服務器虛擬地址是從唯一分配給所述服務網絡使用的預定義地址范圍中選擇的。

6.根據權利要求4所述的裝置，其特征在于，所述客戶端虛擬地址和所述服務器虛擬地址是從任意選擇的地址范圍中選擇的。

7.根據權利要求4所述的裝置，其特征在于，所述客戶端虛擬地址和所述服務器虛擬地址是根據與所述客戶端設備協商的地址范圍選擇的。

8.根據上述權利要求中任一項所述的裝置，其特征在于，所述客戶端虛擬地址、所述服務器虛擬地址、所述客戶端本地地址和所述服務器本地地址為互聯網協議(InternetProtocol，IP)地址。

9.根據權利要求8所述的裝置，其特征在于，所述電路還用于：通過以下方式在IPv6地址范圍和IPv4地址范圍之間進行轉換：所述本地地址范圍是IPv4地址時，在IPv6地址范圍內分配所述客戶端虛擬地址和所述服務器虛擬地址，然后將所述客戶端虛擬IPv6地址和所述服務器虛擬IPv6地址轉換為相應的客戶端本地IPv4地址和服務器本地IPv4地址；所述本地地址范圍是IPv6地址范圍時反之亦然。

10.根據權利要求8所述的裝置，其特征在于，所述電路用于：根據所述客戶端本地地址，關聯所述成員網絡節點響應于所述相應客戶端設備傳輸的相應入消息而傳輸的至少一個出消息。

11.根據上述權利要求中任一項所述的裝置，其特征在于，所述電路用于：通過跟蹤所述相應客戶端設備到所述服務網絡的連接，關聯所述成員網絡節點響應于所述相應客戶端設備傳輸的相應入消息而傳輸的至少一個出消息。