本發(fā)明涉及一種VPN技術(shù)，更特別地說，是指一種基于IPsec VPN代理的Intranet接入系統(tǒng)。

背景技術(shù)：

Intranet稱為企業(yè)內(nèi)部網(wǎng)，或稱內(nèi)部網(wǎng)、內(nèi)聯(lián)網(wǎng)、內(nèi)網(wǎng)，是一個使用與因特網(wǎng)(Internet)同樣技術(shù)的計算機(jī)網(wǎng)絡(luò)，它通常建立在一個企業(yè)或組織的內(nèi)部并為其成員提供信息的共享和交流等服務(wù)，例如萬維網(wǎng)，文件傳輸，電子郵件等。

在《IPsec VPN技術(shù)規(guī)范》GM/T0022-2014，第2頁中“IPsec協(xié)議(Internet Protocol Security)”由IETF制定的端到端的確?；贗P通信數(shù)據(jù)安全性的一種網(wǎng)絡(luò)層協(xié)議，可以提供數(shù)據(jù)完整性保護(hù)、數(shù)據(jù)源鑒別、載荷機(jī)密性和抗重放攻擊等安全服務(wù)。第3頁中“VPN(Virtual Private Network)”為虛擬專用網(wǎng)絡(luò)。

IPsec最初的設(shè)計是提供點到點的，在遠(yuǎn)程站點和中央辦公室資源之間進(jìn)行不間斷的連接。在這種情況下，客戶端可以是分公司或者供應(yīng)商。這個協(xié)議被設(shè)計為工作在網(wǎng)絡(luò)堆棧的更底層(第3層，網(wǎng)絡(luò)層)，并可以用來傳輸任何基于IP的協(xié)議報文，而不用理會應(yīng)用程序所產(chǎn)生的流量。隨著移動辦公時代的到來，IPsec已經(jīng)得到擴(kuò)展，用戶通過使用一個安裝在移動設(shè)備上的專用VPN應(yīng)用程序(客戶端)就可以進(jìn)行遠(yuǎn)程訪問。

然而，IPsec中與應(yīng)用程序無關(guān)的設(shè)計也是它的弱點。雖然它提供了認(rèn)證、授權(quán)和加密，同時還基本上把公司網(wǎng)絡(luò)拓展到任何遠(yuǎn)程用戶，但是它沒有能在一定粒度級別上限制對資源的訪問。一旦隧道建立，遠(yuǎn)程用戶通?？梢栽L問公司的任何資源，就像他們是直接連接到公司網(wǎng)絡(luò)一樣。因為移動辦公需要允許諸如智能手機(jī)和家用電腦等非托管的IT設(shè)備訪問公司資源，所以這些安全問題顯得更加嚴(yán)重。

此外，IPsec VPN要求每一臺客戶機(jī)都需要安裝客戶端軟件，在帶來安全風(fēng)險的同時，增加了使用難度。IPsec也需要更多的維護(hù)，除了VPN服務(wù)器，用戶客戶機(jī)的軟件也需要進(jìn)行管理維護(hù)。

技術(shù)實現(xiàn)要素：

針對以上不足，本發(fā)明設(shè)計了一種基于IPsec VPN代理的Intranet接入系統(tǒng)。本發(fā)明接入系統(tǒng)解決了IPsec VPN使用困難以及維護(hù)困難的缺點，并兼顧了應(yīng)用程序無關(guān)性與細(xì)粒度訪問控制。本發(fā)明接入系統(tǒng)是在IPsec基礎(chǔ)功能上加以拓展，與傳統(tǒng)IPsec VPN相比，本發(fā)明接入系統(tǒng)具有配置管理簡單、后臺維護(hù)方便、無需客戶端軟件即可接入的優(yōu)點，同時還提供細(xì)粒度的訪問控制能。

本發(fā)明是一種基于IPsec VPN代理的Intranet接入系統(tǒng)，該ntranet接入系統(tǒng)包括有配置服務(wù)器(2)、VPN網(wǎng)關(guān)(3)、認(rèn)證服務(wù)器(4)、認(rèn)證客戶端(5)以及多個移動VPN代理設(shè)備；移動VPN代理設(shè)備通過因特網(wǎng)與配置服務(wù)器(2)和VPN網(wǎng)關(guān)(3)實現(xiàn)通訊；用戶的訪問請求經(jīng)由移動VPN代理設(shè)備和VPN網(wǎng)關(guān)(3)的轉(zhuǎn)發(fā)，使所述訪問請求到達(dá)認(rèn)證客戶端(5)；然后認(rèn)證客戶端(5)與認(rèn)證服務(wù)器(4)通過企業(yè)內(nèi)部網(wǎng)實現(xiàn)所述訪問請求的授權(quán)；

一個用戶配置有一個移動VPN代理設(shè)備；在用戶經(jīng)Intranet訪問私有資源時，移動VPN代理設(shè)備第一方面完成自動初始化，第二方面完成接收配置的處理，第三方面完成狀態(tài)信息的發(fā)送；在完成第一方面和第二方面后則建立了連接到Intranet網(wǎng)絡(luò)的IPsec隧道；

配置服務(wù)器(2)第一方面進(jìn)行對移動VPN代理設(shè)備的認(rèn)證，第二方面用于配置移動VPN代理設(shè)備和VPN網(wǎng)關(guān)(3)，第三方面接收來自移動VPN代理設(shè)備和VPN網(wǎng)關(guān)(3)的狀態(tài)信息；

VPN網(wǎng)關(guān)(3)第一方面完成接收配置的處理，第二方面完成狀態(tài)信息的發(fā)送；第三方面響應(yīng)移動VPN代理設(shè)備的IPsec隧道建立請求；

認(rèn)證服務(wù)器(4)用于完成對用戶的身份認(rèn)證和授權(quán)信息下發(fā)的處理；

認(rèn)證客戶端(5)用于過濾用戶請求和授權(quán)信息接收的處理。

配置服務(wù)器(2)中一方面存儲有全部移動VPN代理設(shè)備的用于設(shè)備認(rèn)證的設(shè)備信息集IN_AUTH＝{IN_{AUTH_A},IN_{AUTH_B},…IN_{AUTH_a},…,IN_{AUTH_N}}；另一方面存儲有全部移動VPN代理設(shè)備的設(shè)備—狀態(tài)信息集IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}；再一方面存儲有VPN網(wǎng)關(guān)(3)的網(wǎng)關(guān)—配置信息集IM_STAT＝{IP,CPU,MEM,NET,TNL}；

認(rèn)證服務(wù)器(4)中一方面存儲有屬于企業(yè)全部工作人員的注冊身份信息集U_AUTH＝{u_{AUTH_A},u_{AUTH_B},…,u_{AUTH_a}…u_{AUTH_Z}}，另一方面存儲有針對每一個工作人員的授權(quán)信息集ACL_AUTH＝{ac_{AUTH_A},ac_{AUTH_B},…,ac_{AUTH_a},…,ac_{AUTH_N}}；

任意一個認(rèn)證客戶端設(shè)有唯一標(biāo)識符rd_j，J為Intranet中認(rèn)證客戶端的總數(shù)目，j∈J；任意認(rèn)證客戶端維護(hù)用戶的IP地址集記為IPL_j＝{ip_{j_1},ip_{j_2},…,ip_{j_k},…,ip_{j_K}}，其中ip_{j_1}表示rd_j允許訪問的第一個用戶，ip_{j_2}表示rd_j允許訪問的第二個用戶，ip_{j_k}表示rd_j允許訪問的任意一個用戶，ip_{j_K}表示rd_j允許訪問的最后一個用戶，K為rd_j允許訪問的用戶的總數(shù)目，k∈K；

一個用戶配置有一個移動VPN代理設(shè)備；

用戶使用IPsec VPN代理接入Intranet系統(tǒng)的認(rèn)證過程如下：

步驟1，任意一移動VPN代理設(shè)備pd_a接入Internet后，并對所述移動VPN代理設(shè)備pd_a執(zhí)行設(shè)置代理初始化；

步驟2，配置服務(wù)器(2)接收到來自所述移動VPN代理設(shè)備pd_a的初始化設(shè)備請求，然后完成對所述移動VPN代理設(shè)備pd_a的配置－設(shè)備認(rèn)證，并向移動VPN代理設(shè)備pd_a發(fā)送配置－設(shè)備信息

步驟3，移動VPN代理設(shè)備pd_a接收到所述配置－設(shè)備信息后，建立與VPN網(wǎng)關(guān)(3)的IPsec隧道；

步驟4，用戶通過所述IPsec隧道向Intranet的私有資源發(fā)起訪問請求；

步驟5，認(rèn)證客戶端(5)對用戶的訪問請求進(jìn)行過濾，并將用戶重定向到認(rèn)證服務(wù)器(4)；

步驟6，認(rèn)證服務(wù)器(4)對用戶進(jìn)行身份認(rèn)證后，并向認(rèn)證客戶端(5)下發(fā)授權(quán)－用戶信息；

步驟7，認(rèn)證客戶端(5)對接收到的所述授權(quán)－用戶信息進(jìn)行處理；

步驟8，用戶再次通過所述IPsec隧道向Intranet的私有資源發(fā)起訪問請求；

步驟9，認(rèn)證客戶端(5)對用戶的訪問請求進(jìn)行過濾，并轉(zhuǎn)發(fā)依據(jù)訪問請求請求到的屬于Intranet的私有資源。

本發(fā)明一種基于IPsec VPN代理的Intranet接入系統(tǒng)的優(yōu)點在于：

①本發(fā)明Intranet接入系統(tǒng)是在IPsec基礎(chǔ)功能上加以拓展，與傳統(tǒng)IPsec VPN相比，本發(fā)明接入系統(tǒng)具有配置管理簡單、后臺維護(hù)方便、無需客戶端軟件即可接入的優(yōu)點，同時還提供細(xì)粒度的訪問控制能。

②一方面應(yīng)用移動VPN代理設(shè)備的設(shè)備認(rèn)證信息來實現(xiàn)代理設(shè)備的自動初始化，另一方面應(yīng)用移動VPN代理設(shè)備的設(shè)備狀態(tài)信息來實現(xiàn)代理設(shè)備的狀態(tài)監(jiān)控，有利于對代理設(shè)備的集中管理。

③本發(fā)明接入系統(tǒng)通過移動VPN代理設(shè)備實現(xiàn)用戶對Intranet的接入，進(jìn)而通過認(rèn)證服務(wù)器和認(rèn)證客戶端實現(xiàn)對用戶訪問請求的授權(quán)。

④在本發(fā)明中建立的IPsec隧道是由VPN網(wǎng)關(guān)和移動VPN代理設(shè)備建立的，無需用戶參與，降低了IPsec VPN的使用門檻。

附圖說明

圖1是本發(fā)明基于IPsec VPN代理的Intranet接入系統(tǒng)的結(jié)構(gòu)框圖。

圖2是本發(fā)明基于IPsec VPN代理的Intranet接入系統(tǒng)的時序圖。

具體實施方式

下面將結(jié)合附圖對本發(fā)明做進(jìn)一步的詳細(xì)說明。

參見圖1所示，本發(fā)明的一種基于IPsec VPN代理的Intranet接入系統(tǒng)，其包括有配置服務(wù)器2、VPN網(wǎng)關(guān)3、認(rèn)證服務(wù)器4、認(rèn)證客戶端5、以及多個移動VPN代理設(shè)備(即移動VPN代理A設(shè)備1A、移動VPN代理B設(shè)備1B、……、移動VPN代理N設(shè)備1N)。多個移動VPN代理設(shè)備通過因特網(wǎng)(Internet)與配置服務(wù)器2和VPN網(wǎng)關(guān)3實現(xiàn)通訊；用戶user的訪問請求access request經(jīng)由移動VPN代理設(shè)備和VPN網(wǎng)關(guān)3的轉(zhuǎn)發(fā)，使所述訪問請求access request到達(dá)認(rèn)證客戶端5；然后認(rèn)證客戶端5與認(rèn)證服務(wù)器4通過企業(yè)內(nèi)部網(wǎng)(Intranet)實現(xiàn)所述用戶user的訪問請求access request的授權(quán)。在基于IPsec VPN代理的Intranet接入系統(tǒng)中私有資源Private resources的請求用戶既是企業(yè)內(nèi)部網(wǎng)(Intranet)中私有資源Private resources的擁有者，也企業(yè)內(nèi)部網(wǎng)(Intranet)中的用戶。

在本發(fā)明中，pd_a表示任意一個移動VPN代理設(shè)備，而角標(biāo)a表示設(shè)備標(biāo)志號。即移動VPN代理A設(shè)備1A、移動VPN代理B設(shè)備1B、……、移動VPN代理N設(shè)備1N的編號A、B、N可以用a代替。

參見圖2所示，用戶user使用IPsec VPN代理接入Intranet系統(tǒng)的認(rèn)證過程如下：

步驟1，任意一移動VPN代理設(shè)備pd_a接入Internet后，并對所述移動VPN代理設(shè)備pd_a執(zhí)行設(shè)置代理初始化；

步驟2，配置服務(wù)器(2)接收到來自所述移動VPN代理設(shè)備pd_a的初始化設(shè)備請求，然后完成對所述移動VPN代理設(shè)備pd_a的配置－設(shè)備認(rèn)證，并向移動VPN代理設(shè)備pd_a發(fā)送配置－設(shè)備信息

步驟3，移動VPN代理設(shè)備pd_a接收到所述配置－設(shè)備信息后，建立與VPN網(wǎng)關(guān)(3)的IPsec隧道；

步驟4，用戶user通過所述IPsec隧道向Intranet的私有資源Private resources發(fā)起訪問請求access request；

步驟5，認(rèn)證客戶端(5)對用戶user的訪問請求access request進(jìn)行過濾，并將用戶user重定向到認(rèn)證服務(wù)器(4)；

步驟6，認(rèn)證服務(wù)器(4)對用戶user進(jìn)行身份認(rèn)證后，并向認(rèn)證客戶端(5)下發(fā)授權(quán)－用戶信息；

步驟7，認(rèn)證客戶端(5)對接收到的所述授權(quán)－用戶信息進(jìn)行處理；

步驟8，用戶user再次通過所述IPsec隧道向Intranet的私有資源Private resources發(fā)起訪問請求access request；

步驟9，認(rèn)證客戶端(5)對用戶user的訪問請求access request進(jìn)行過濾，并轉(zhuǎn)發(fā)依據(jù)訪問請求access request請求到的屬于Intranet的私有資源Private resources。

移動VPN代理設(shè)備1

在本發(fā)明中，移動VPN代理設(shè)備可以選用網(wǎng)件公司生產(chǎn)的WNDR4300無線路由器，并使用OpenWrt嵌入式操作系統(tǒng)作為移動VPN代理設(shè)備的操作系統(tǒng)，通過安裝strongSwan提供IPsec VPN基本功能，在此之上使用C語言編寫本發(fā)明用到的處理程序。一般地，在使用時，一個用戶配置有一個移動VPN代理設(shè)備。如圖1所示，A用戶配置的記為移動VPN代理A設(shè)備1A、B用戶配置的記為移動VPN代理B設(shè)備1B、……、N用戶配置的記為移動VPN代理N設(shè)備1N。在用戶訪問Intranet網(wǎng)絡(luò)資源時，移動VPN代理設(shè)備完成自動初始化以及接收配置的處理，從而建立連接到Intranet網(wǎng)絡(luò)的IPsec隧道。

本發(fā)明采用C語言編寫了對任意一移動VPN代理設(shè)備進(jìn)行自動初始化、接收配置和發(fā)送狀態(tài)的過程處理。

在本發(fā)明中，多個移動VPN代理設(shè)備采用集合形式表示為PPD＝{pd_A,pd_B,…,pd_a,…,pd_N}，pd_A表示移動VPN代理A設(shè)備，pd_B表示移動VPN代理B設(shè)備，pd_N表示移動VPN代理N設(shè)備，pd_a表示任意一個移動VPN代理設(shè)備，而角標(biāo)a表示設(shè)備標(biāo)志號。

移動VPN代理設(shè)備的設(shè)備代理初始化的處理過程為：

步驟1-A1，任意一移動VPN代理設(shè)備pd_a向配置服務(wù)器2發(fā)送自身的設(shè)備標(biāo)志號a；

步驟1-A2，所述任意一移動VPN代理設(shè)備pd_a接收配置服務(wù)器2發(fā)送的配置校驗隨機(jī)數(shù)

在本發(fā)明中，該配置校驗隨機(jī)數(shù)是由數(shù)字和/或字母組成的8位隨機(jī)數(shù)。

步驟1-A3，所述任意一移動VPN代理設(shè)備pd_a采用MD5算法對PSK^a和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為設(shè)備哈希值

pd_a表示任意一個移動VPN代理設(shè)備，而角標(biāo)a表示設(shè)備標(biāo)志號。

PSK^a表示預(yù)設(shè)的任意一移動VPN代理設(shè)備pd_a的預(yù)共享密鑰。

在本發(fā)明中，MD5算法請參考《現(xiàn)代密碼學(xué)原理與應(yīng)用》，第116-121頁，宋秀麗主編，2012年4月第1版，機(jī)械工業(yè)出版社。

步驟1-A4，任意一移動VPN代理設(shè)備pd_a向配置服務(wù)器2發(fā)送所述設(shè)備哈希值

在本發(fā)明中，針對移動VPN代理A設(shè)備1A的自動初始化的過程為：

步驟1-A1，移動VPN代理A設(shè)備pd_A向配置服務(wù)器2發(fā)送自身的設(shè)備標(biāo)志號A；

步驟1-A2，所述pd_A接收配置服務(wù)器2發(fā)送的對應(yīng)pd_A的配置校驗隨機(jī)數(shù)

步驟1-A3，所述pd_A采用MD5算法對PSK^A和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為對應(yīng)pd_A的設(shè)備哈希值PSK^A表示預(yù)設(shè)的pd_A的預(yù)共享密鑰。

步驟1-A4，所述pd_A向配置服務(wù)器2發(fā)送所述

在本發(fā)明中，針對移動VPN代理B設(shè)備1B的自動初始化的過程為：

步驟1-A1，移動VPN代理B設(shè)備pd_B向配置服務(wù)器2發(fā)送自身的設(shè)備標(biāo)志號B；

步驟1-A2，所述pd_B接收配置服務(wù)器2發(fā)送的對應(yīng)pd_B的配置校驗隨機(jī)數(shù)

步驟1-A3，所述pd_B采用MD5算法對PSK^B和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為對應(yīng)pd_B的設(shè)備哈希值PSK^B表示預(yù)設(shè)的pd_B的預(yù)共享密鑰。

步驟1-A4，所述pd_B向配置服務(wù)器2發(fā)送所述

在本發(fā)明中，針對移動VPN代理N設(shè)備1N的自動初始化的過程為：

步驟1-A1，移動VPN代理N設(shè)備pd_N向配置服務(wù)器2發(fā)送自身的設(shè)備標(biāo)志號N；

步驟1-A2，所述pd_N接收配置服務(wù)器2發(fā)送的對應(yīng)pd_N的配置校驗隨機(jī)數(shù)

步驟1-A3，所述pd_N采用MD5算法對PSK^N和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為對應(yīng)pd_N的設(shè)備哈希值PSK^N表示預(yù)設(shè)的pd_N的預(yù)共享密鑰。

步驟1-A4，所述pd_N向配置服務(wù)器2發(fā)送所述

移動VPN代理設(shè)備的接收配置處理過程為：

在本發(fā)明中，接收配置處理發(fā)生在任意一個移動VPN代理設(shè)備pd_a接收到配置服務(wù)器2發(fā)送的配置—設(shè)備信息之后。

步驟1-B1，任意一移動VPN代理設(shè)備pd_a接收配置服務(wù)器2發(fā)送的配置—設(shè)備信息其中，除以外的其他參數(shù)為本發(fā)明使用的IPsec VPN實現(xiàn)strongSwan的配置參數(shù)，所述參數(shù)為strongSwan的常用參數(shù)，可以參考strongSwan的官方網(wǎng)站對該參數(shù)設(shè)置的說明。

是在IPsec連接生成時由配置服務(wù)器2產(chǎn)生并向移動VPN代理設(shè)備發(fā)送的IPsec連接標(biāo)識號，簡稱為設(shè)備—IPsec連接標(biāo)記。

在本發(fā)明中，配置—設(shè)備信息是為了建議與IPsec連接用的。

步驟1-B2，根據(jù)設(shè)備—IPsec連接標(biāo)記來判斷所述移動VPN代理設(shè)備pd_a是否存在IPsec連接標(biāo)記相同的IPsec連接；

若不存在，則依據(jù)配置—設(shè)備信息在移動VPN代理設(shè)備pd_a中添加IPsec連接；

若存在，則用配置—設(shè)備信息更新移動VPN代理設(shè)備pd_a中設(shè)備—IPsec連接標(biāo)記相同的IPsec連接；

步驟1-B3，移動VPN代理設(shè)備pd_a依據(jù)配置—設(shè)備信息通過密鑰交換協(xié)議構(gòu)建得到VPN網(wǎng)關(guān)3的IPsec隧道。

在本發(fā)明中，對于IPsec隧道的建立請參考中華人民共和國密碼行業(yè)標(biāo)準(zhǔn)，GM/T0022-2014，《IPSec VPN技術(shù)規(guī)范》，第4-28頁，5.1密鑰交換協(xié)議。

在本發(fā)明中，針對移動VPN代理A設(shè)備1A的接收配置處理過程為：

步驟1-B1，移動VPN代理A設(shè)備pd_A接收配置服務(wù)器2發(fā)送的配置—設(shè)備信息

步驟1-B2，根據(jù)設(shè)備—IPsec連接標(biāo)記來判斷移動VPN代理A設(shè)備pd_A是否存在IPsec連接標(biāo)記相同的IPsec連接；

若不存在，則依據(jù)在移動VPN代理A設(shè)備pd_A中添加IPsec連接；

若存在，則用更新移動VPN代理A設(shè)備pd_A中設(shè)備—IPsec連接標(biāo)記相同的IPsec連接；

步驟1-B3，移動VPN代理A設(shè)備pd_A依據(jù)通過密鑰交換協(xié)議構(gòu)建得到VPN網(wǎng)關(guān)3的IPsec隧道。

在本發(fā)明中，針對移動VPN代理B設(shè)備1B的接收配置處理過程為：

步驟1-B1，移動VPN代理B設(shè)備pd_B接收配置服務(wù)器2發(fā)送的配置—設(shè)備信息

步驟1-B2，根據(jù)設(shè)備—IPsec連接標(biāo)記來判斷所述移動VPN代理設(shè)備pd_B是否存在IPsec連接標(biāo)記相同的IPsec連接；

若不存在，則依據(jù)在移動VPN代理B設(shè)備pd_B中添加IPsec連接；

若存在，則用更新移動VPN代理B設(shè)備pd_B中設(shè)備—IPsec連接標(biāo)記相同的IPsec連接；

步驟1-B3，移動VPN代理B設(shè)備pd_B依據(jù)通過密鑰交換協(xié)議構(gòu)建得到VPN網(wǎng)關(guān)3的IPsec隧道。

在本發(fā)明中，針對移動VPN代理N設(shè)備1N的接收配置處理過程為：

步驟1-B1，移動VPN代理N設(shè)備pd_N接收配置服務(wù)器2發(fā)送的配置—設(shè)備信息

步驟1-B2，根據(jù)設(shè)備—IPsec連接標(biāo)記來判斷所述移動VPN代理設(shè)備pd_N是否存在IPsec連接標(biāo)記相同的IPsec連接；

若不存在，則依據(jù)在所述移動VPN代理N設(shè)備pd_N中添加IPsec連接；

若存在，則用更新移動VPN代理N設(shè)備pd_N中設(shè)備—IPsec連接標(biāo)記相同的IPsec連接；

步驟1-B3，移動VPN代理N設(shè)備pd_N依據(jù)通過密鑰交換協(xié)議構(gòu)建得到VPN網(wǎng)關(guān)3的IPsec隧道。

移動VPN代理設(shè)備1的發(fā)送狀態(tài)處理過程為：

在本發(fā)明中，任意一個移動VPN代理設(shè)備pd_a收集自身的設(shè)備—狀態(tài)信息IN_{STAT_a}＝{pd_a,IP_a,CPU_a,MEM_a,NET_a,TNL_a}，并在完成初始化后，每2分鐘執(zhí)行一次設(shè)備—狀態(tài)信息IN_{STAT_a}＝{pd_a,IP_a,CPU_a,MEM_a,NET_a,TNL_a}發(fā)送給配置服務(wù)器2。

在本發(fā)明中，IN_{STAT_a}＝{pd_a,IP_a,CPU_a,MEM_a,NET_a,TNL_a}中的各元素定義為：pd_a表示任意一個移動VPN代理設(shè)備，而角標(biāo)a表示設(shè)備標(biāo)志號；IP_a表示任意一個移動VPN代理設(shè)備pd_a的IP地址；CPU_a表示任意一個移動VPN代理設(shè)備pd_a的CPU使用率；MEM_a表示任意一個移動VPN代理設(shè)備pd_a的內(nèi)存使用率；NET_a表示任意一個移動VPN代理設(shè)備pd_a的網(wǎng)絡(luò)使用率；TNL_a表示屬于任意一個移動VPN代理設(shè)備pd_a的所有IPsec隧道集(簡稱為設(shè)備—IPsec隧道集)，設(shè)備—IPsec隧道集采用集合形式表示為TNL_a＝{tnl_{a_1},tnl_{a_2},…,tnl_{a_s},…,tnl_{a_S}}，tnl_{a_1}表示屬于任意一個移動VPN代理設(shè)備pd_a的第一個IPsec隧道，tnl_{a_2}表示屬于任意一個移動VPN代理設(shè)備pd_a的第二個IPsec隧道，tnl_{a_s}表示屬于任意一個移動VPN代理設(shè)備pd_a的任意一個IPsec隧道，tnl_{a_S}表示屬于任意一個移動VPN代理設(shè)備pd_a的最后一個IPsec隧道，S表示屬于任意一個移動VPN代理設(shè)備pd_a的IPsec隧道總個數(shù)，s∈S，s表示IPsec隧道編號。tnl_{a_s}＝{td_{a_s},DT_{a_s}}，其中td_{a_s}為任意一個移動VPN代理設(shè)備pd_a中建立第s個IPsec隧道所使用的IPsec連接的標(biāo)識號(簡稱為設(shè)備—IPsec連接標(biāo)記)，DT_{a_s}為tnl_{a_s}對應(yīng)IPsec隧道的持續(xù)時間(簡稱為設(shè)備—IPsec隧道持續(xù)時間)。

在本發(fā)明中，移動VPN代理A設(shè)備1A的發(fā)送狀態(tài)處理過程為：移動VPN代理A設(shè)備pd_A收集自身的設(shè)備—狀態(tài)信息，記為IN_{STAT_A}＝{pd_A,IP_A,CPU_A,MEM_A,NET_A,TNL_A}，并在完成初始化后，每2分鐘執(zhí)行一次設(shè)備—狀態(tài)信息IN_{STAT_A}＝{pd_A,IP_A,CPU_A,MEM_A,NET_A,TNL_A}發(fā)送給配置服務(wù)器2。

pd_A表示移動VPN代理A設(shè)備的標(biāo)識號；

IP_A表示移動VPN代理A設(shè)備pd_A的IP地址；

CPU_A表示移動VPN代理A設(shè)備pd_A的CPU使用率；

MEM_A表示移動VPN代理A設(shè)備pd_A的內(nèi)存使用率；

NET_A表示移動VPN代理A設(shè)備pd_A的網(wǎng)絡(luò)使用率；

TNL_A表示屬于移動VPN代理A設(shè)備pd_A的所有IPsec隧道。

在本發(fā)明中，移動VPN代理B設(shè)備1B的發(fā)送狀態(tài)處理過程為：移動VPN代理B設(shè)備pd_B收集自身的設(shè)備—狀態(tài)信息，記為IN_{STAT_B}＝{pd_B,IP_B,CPU_B,MEM_B,NET_B,TNL_B}，并在完成初始化后，每2分鐘執(zhí)行一次設(shè)備—狀態(tài)信息IN_{STAT_B}＝{pd_B,IP_B,CPU_B,MEM_B,NET_B,TNL_B}發(fā)送給配置服務(wù)器2。

pd_B表示移動VPN代理B設(shè)備1B的標(biāo)識號；

IP_B表示移動VPN代理B設(shè)備pd_B的IP地址；

CPU_B表示移動VPN代理B設(shè)備pd_B的CPU使用率；

MEM_B表示移動VPN代理B設(shè)備pd_B的內(nèi)存使用率；

NET_B表示移動VPN代理B設(shè)備pd_B的網(wǎng)絡(luò)使用率；

TNL_B表示屬于移動VPN代理B設(shè)備pd_B的所有IPsec隧道。

在本發(fā)明中，移動VPN代理N設(shè)備1N的發(fā)送狀態(tài)處理過程為：移動VPN代理N設(shè)備pd_N收集自身的設(shè)備—狀態(tài)信息，記為IN_{STAT_N}＝{pd_N,IP_N,CPU_N,MEM_N,NET_N,TNL_N}，并在完成初始化后，每2分鐘執(zhí)行一次設(shè)備—狀態(tài)信息IN_{STAT_N}＝{pd_N,IP_N,CPU_N,MEM_N,NET_N,TNL_N}發(fā)送給配置服務(wù)器2。

pd_N表示移動VPN代理N設(shè)備1N的標(biāo)識號；

IP_N表示移動VPN代理N設(shè)備pd_N的IP地址；

CPU_N表示移動VPN代理N設(shè)備pd_N的CPU使用率；

MEM_N表示移動VPN代理N設(shè)備pd_N的內(nèi)存使用率；

NET_N表示移動VPN代理N設(shè)備pd_N的網(wǎng)絡(luò)使用率；

TNL_N表示屬于移動VPN代理N設(shè)備pd_N的所有IPsec隧道。

配置服務(wù)器2

在本發(fā)明中，配置服務(wù)器2可以選用戴爾公司生產(chǎn)的PowerEdge R620服務(wù)器，使用Linux操作系統(tǒng)作為配置服務(wù)器2的操作系統(tǒng)，并使用Java語言編寫本發(fā)明用到的處理程序。在使用時，配置服務(wù)器2部署在DMZ(Demilitarized Zone，譯文為：非軍事化區(qū))中。

配置服務(wù)器2中一方面存儲有全部移動VPN代理設(shè)備(即A、B、……N)的用于設(shè)備認(rèn)證的設(shè)備信息集IN_AUTH＝{IN_{AUTH_A},IN_{AUTH_B},…IN_{AUTH_a},…,IN_{AUTH_N}}；另一方面存儲有全部移動VPN代理設(shè)備的設(shè)備—狀態(tài)信息集IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}；再一方面存儲有VPN網(wǎng)關(guān)3的網(wǎng)關(guān)—配置信息集IM_STAT＝{IP,CPU,MEM,NET,TNL}。

IN_AUTH＝{IN_{AUTH_A},IN_{AUTH_B},…IN_{AUTH_a},…,IN_{AUTH_N}}中IN_{AUTH_A}表示移動VPN代理A設(shè)備的設(shè)備信息，IN_{AUTH_B}表示移動VPN代理B設(shè)備的設(shè)備信息，IN_{AUTH_N}表示移動VPN代理N設(shè)備的設(shè)備信息，IN_{AUTH_a}表示任意一個移動VPN代理設(shè)備pd_a的設(shè)備信息。

IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}中IN_{STAT_A}表示移動VPN代理A設(shè)備的設(shè)備—狀態(tài)信息，IN_{STAT_B}表示移動VPN代理B設(shè)備的設(shè)備—狀態(tài)信息，IN_{STAT_N}表示移動VPN代理N設(shè)備的設(shè)備—狀態(tài)信息，IN_{STAT_a}表示任意一個移動VPN代理設(shè)備pd_a的設(shè)備—狀態(tài)信息。任意一設(shè)備—狀態(tài)信息記為IN_{STAT_a}＝{pd_a,IP_a,CPU_a,MEM_a,NET_a,TNL_a}

IM_STAT＝{IP,CPU,MEM,NET,TNL}中IP表示VPN網(wǎng)關(guān)3的IP地址；CPU表示VPN網(wǎng)關(guān)3的CPU使用率；MEM表示VPN網(wǎng)關(guān)3的內(nèi)存使用率；NET表示VPN網(wǎng)關(guān)3的網(wǎng)絡(luò)使用率；TNL表示VPN網(wǎng)關(guān)3中存在的所有IPsec隧道集(簡稱為網(wǎng)關(guān)—IPsec隧道集)，網(wǎng)關(guān)—IPsec隧道集采用集合形式表示為TNL＝{tnl₁,tnl₂,…,tnl_t,…,tnl_T}，tnl₁表示屬于VPN網(wǎng)關(guān)3的第一個IPsec隧道，tnl₂表示屬于VPN網(wǎng)關(guān)3的第二個IPsec隧道，tnl_t表示屬于VPN網(wǎng)關(guān)3的任意一個IPsec隧道，tnl_T表示屬于VPN網(wǎng)關(guān)3的最后一個IPsec隧道，T表示屬于VPN網(wǎng)關(guān)3的IPsec隧道總個數(shù)，t∈T，t表示IPsec隧道編號。所述tnl_t＝{td_t,DT_t}中td_t表示屬于VPN網(wǎng)關(guān)3的第t個IPsec隧道所使用的IPsec連接的標(biāo)識號(簡稱為網(wǎng)關(guān)—IPsec連接標(biāo)記)，DT_t表示tnl_t對應(yīng)IPsec隧道的持續(xù)時間(簡稱為網(wǎng)關(guān)—IPsec隧道持續(xù)時間)。

本發(fā)明采用JAVA語言編寫了配置服務(wù)器2對任意一個移動VPN代理設(shè)備pd_a進(jìn)行自動初始化的處理，以及接收來自任意一個移動VPN代理設(shè)備pd_a和VPN網(wǎng)關(guān)3狀態(tài)信息的處理過程。而初始化的處理一方面包括有配置服務(wù)器2對任意一個移動VPN代理設(shè)備pd_a進(jìn)行設(shè)備認(rèn)證，另一方面配置服務(wù)器2配置任意一個移動VPN代理設(shè)備pd_a和VPN網(wǎng)關(guān)3的處理過程。

配置服務(wù)器2進(jìn)行的設(shè)備認(rèn)證處理過程為：

步驟2-A1，配置服務(wù)器2接收任意一個移動VPN代理設(shè)備pd_a發(fā)送的自身設(shè)備標(biāo)志號a，然后采用線性同余算法生成配置校驗隨機(jī)數(shù)，記為最后將所述返回給任意一個移動VPN代理設(shè)備pd_a；

步驟2-A2，配置服務(wù)器2根據(jù)所述a查找所述pd_a對應(yīng)的設(shè)備信息IN_{AUTH_a}＝{pd_a,PSK^a}；然后采用MD5算法對PSK^a和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為服務(wù)器哈希值

pd_a表示任意一個移動VPN代理設(shè)備，而角標(biāo)a表示設(shè)備標(biāo)志號。

PSK^a表示預(yù)設(shè)的任意一移動VPN代理設(shè)備pd_a的預(yù)共享密鑰。

步驟2-A3，配置服務(wù)器2接收并對比與若相同，則任意一移動VPN代理設(shè)備pd_a通過配置服務(wù)器2的設(shè)備認(rèn)證，配置服務(wù)器2啟動后續(xù)配置處理，轉(zhuǎn)入步驟2-B1；

若不相同，則配置服務(wù)器2不啟動后續(xù)配置處理，返回步驟2-A1。

在本發(fā)明中，針對移動VPN代理A設(shè)備1A的設(shè)備認(rèn)證處理過程為：

步驟2-A1，配置服務(wù)器2接收移動VPN代理A設(shè)備pd_A發(fā)送的自身設(shè)備標(biāo)志號A，然后采用線性同余算法生成配置檢驗隨機(jī)數(shù)，記為最后將所述返回給移動VPN代理A設(shè)備pd_A；

步驟2-A2，配置服務(wù)器2根據(jù)所述A查找所述pd_A對應(yīng)的設(shè)備信息IN_{AUTH_A}＝{pd_A,PSK^A}；然后采用MD5算法對PSK^A和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為pd_A對應(yīng)的服務(wù)器哈希值

步驟2-A3，配置服務(wù)器2接收并對比與若相同，則移動VPN代理A設(shè)備1A通過配置服務(wù)器2的設(shè)備認(rèn)證，配置服務(wù)器2啟動后續(xù)配置處理，轉(zhuǎn)入步驟2-B1；

若不相同，則配置服務(wù)器2不啟動后續(xù)配置處理，返回步驟2-A1。

在本發(fā)明中，針對移動VPN代理B設(shè)備1B的設(shè)備認(rèn)證處理過程為：

步驟2-A1，配置服務(wù)器2接收移動VPN代理B設(shè)備pd_B發(fā)送的自身設(shè)備標(biāo)志號B，然后采用線性同余算法生成配置校驗隨機(jī)數(shù)，記為最后將所述返回給移動VPN代理B設(shè)備pd_B；

步驟2-A2，配置服務(wù)器2根據(jù)所述B查找所述pd_B對應(yīng)的設(shè)備信息IN_{AUTH_B}＝{pd_B,PSK^B}；然后采用MD5算法對PSK^B和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為pd_B對應(yīng)的服務(wù)器哈希值

步驟2-A3，配置服務(wù)器2接收并對比與若相同，則移動VPN代理B設(shè)備1B通過配置服務(wù)器2的設(shè)備認(rèn)證，配置服務(wù)器2啟動后續(xù)配置處理，轉(zhuǎn)入步驟2-B1；

若不相同，則配置服務(wù)器2不啟動后續(xù)配置處理，返回步驟2-A1。

在本發(fā)明中，針對移動VPN代理N設(shè)備1N的設(shè)備認(rèn)證處理過程為：

步驟2-A1，配置服務(wù)器2接收移動VPN代理N設(shè)備pd_N發(fā)送的自身設(shè)備標(biāo)志號N，然后采用線性同余算法生成配置檢驗隨機(jī)數(shù)，記為最后將所述返回給移動VPN代理N設(shè)備pd_N；

步驟2-A2，配置服務(wù)器2根據(jù)所述N查找所述pd_N對應(yīng)的設(shè)備信息IN_{AUTH_N}＝{pd_N,PSK^N}；然后采用MD5算法對PSK^N和進(jìn)行處理，獲得Hash值(譯文為：哈希值)，記為pd_N對應(yīng)的服務(wù)器哈希值

步驟2-A3，配置服務(wù)器2接收并對比與若相同，則移動VPN代理N設(shè)備1N通過配置服務(wù)器2的認(rèn)證，配置服務(wù)器2啟動后續(xù)配置處理，轉(zhuǎn)入步驟2-B1；

若不相同，則配置服務(wù)器2不啟動后續(xù)配置處理，返回步驟2-A1。

配置服務(wù)器2的配置過程為：

在本發(fā)明中，配置服務(wù)器2對任意一個移動VPN代理設(shè)備pd_a和VPN網(wǎng)關(guān)3進(jìn)行配置的處理發(fā)生在完成設(shè)備認(rèn)證之后。

步驟2-B1，任意一個移動VPN代理設(shè)備pd_a經(jīng)配置服務(wù)器2認(rèn)證成功后，配置服務(wù)器2第一方面將提取到屬于所述任意一個移動VPN代理設(shè)備pd_a的IP_a，第二方面構(gòu)建屬于所述任意一個移動VPN代理設(shè)備pd_a的IPsec連接模板，簡稱為配置—設(shè)備信息第三方面構(gòu)建屬于所述任意一個移動VPN代理設(shè)備pd_a的網(wǎng)關(guān)連接模板，簡稱為網(wǎng)關(guān)—設(shè)備信息

步驟2-B2，配置服務(wù)器2向VPN網(wǎng)關(guān)3下發(fā)所述

步驟2-B3，配置服務(wù)器2向VPN代理1下發(fā)所述

是在IPsec連接生成時由配置服務(wù)器2產(chǎn)生并向移動VPN代理設(shè)備發(fā)送的IPsec連接標(biāo)識號，簡稱為設(shè)備—IPsec連接標(biāo)記。

cd_2-3是在IPsec連接生成時由配置服務(wù)器2產(chǎn)生并向VPN網(wǎng)關(guān)3發(fā)送的IPsec連接標(biāo)識號，簡稱為網(wǎng)關(guān)—IPsec連接標(biāo)記。所述將在VPN網(wǎng)關(guān)3的所述cd_2-3中進(jìn)行查找，若存在相同的IPsec隧道，則IPsec連接建立。

在本發(fā)明中，配置服務(wù)器2對移動VPN代理A設(shè)備1A和VPN網(wǎng)關(guān)3進(jìn)行配置的處理過程為：

步驟2-B1，移動VPN代理A設(shè)備pd_A經(jīng)配置服務(wù)器2認(rèn)證成功后，配置服務(wù)器2第一方面將提取到屬于移動VPN代理A設(shè)備pd_A的地址IP_A，第二方面構(gòu)建屬于移動VPN代理A設(shè)備pd_A的配置—設(shè)備信息第三方面構(gòu)建屬于移動VPN代理A設(shè)備pd_A的網(wǎng)關(guān)—設(shè)備信息

步驟2-B2，配置服務(wù)器2向VPN網(wǎng)關(guān)3下發(fā)所述

步驟2-B3，配置服務(wù)器2向移動VPN代理A設(shè)備1A下發(fā)所述

在本發(fā)明中，配置服務(wù)器2對移動VPN代理B設(shè)備1B和VPN網(wǎng)關(guān)3進(jìn)行配置的處理過程為：

步驟2-B1，移動VPN代理B設(shè)備pd_B經(jīng)配置服務(wù)器2認(rèn)證成功后，配置服務(wù)器2第一方面將提取到屬于移動VPN代理B設(shè)備pd_B的地址IP_B，第二方面構(gòu)建屬于移動VPN代理B設(shè)備pd_B的配置—設(shè)備信息第三方面構(gòu)建屬于移動VPN代理B設(shè)備pd_B的網(wǎng)關(guān)—設(shè)備信息

步驟2-B2，配置服務(wù)器2向VPN網(wǎng)關(guān)3下發(fā)所述

步驟2-B3，配置服務(wù)器2向移動VPN代理B設(shè)備1B下發(fā)所述

在本發(fā)明中，配置服務(wù)器2對移動VPN代理N設(shè)備1N和VPN網(wǎng)關(guān)3進(jìn)行配置的處理過程為：

步驟2-B1，移動VPN代理N設(shè)備pd_N經(jīng)配置服務(wù)器2認(rèn)證成功后，配置服務(wù)器2第一方面將提取到屬于移動VPN代理N設(shè)備pd_N的地址IP_N，第二方面構(gòu)建屬于移動VPN代理N設(shè)備pd_N的配置—設(shè)備信息第三方面構(gòu)建屬于移動VPN代理N設(shè)備pd_N的網(wǎng)關(guān)—設(shè)備信息

步驟2-B2，配置服務(wù)器2向VPN網(wǎng)關(guān)3下發(fā)所述

步驟2-B3，配置服務(wù)器2向移動VPN代理N設(shè)備1N下發(fā)所述

配置服務(wù)器2對接收到的狀態(tài)信息的處理過程為：

在本發(fā)明中，配置服務(wù)器2存儲有所有移動VPN代理設(shè)備的設(shè)備—狀態(tài)信息集IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}。

步驟2-C1，配置服務(wù)器2接收任意一個移動VPN代理設(shè)備pd_a的設(shè)備—狀態(tài)信息IN_{STAT_a}＝{pd_a,IP_a,CPU_a,MEM_a,NET_a,TNL_a}；

步驟2-C2，配置服務(wù)器2使用所述IN_{STAT_a}更新IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}中對應(yīng)移動VPN代理設(shè)備pd_a的狀態(tài)信息；

配置服務(wù)器2接收來自移動VPN代理A設(shè)備1A的狀態(tài)信息的處理過程為：

步驟2-C1，配置服務(wù)器2接收移動VPN代理A設(shè)備1A的設(shè)備—狀態(tài)信息IN_{STAT_A}＝{pd_A,IP_A,CPU_A,MEM_A,NET_A,TNL_A}；

步驟2-C2，配置服務(wù)器2使用所述IN_{STAT_A}更新IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}中對應(yīng)移動VPN代理A設(shè)備1A的狀態(tài)信息；

配置服務(wù)器2接收來自移動VPN代理B設(shè)備1B的狀態(tài)信息的處理過程為：

步驟2-C1，配置服務(wù)器2接收移動VPN代理B設(shè)備1B的設(shè)備—狀態(tài)信息IN_{STAT_B}＝{pd_B,IP_B,CPU_B,MEM_B,NET_B,TNL_B}；

步驟2-C2，配置服務(wù)器2使用所述IN_{STAT_B}更新IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}中對應(yīng)移動VPN代理B設(shè)備1B的狀態(tài)信息；

配置服務(wù)器2接收來自移動VPN代理N設(shè)備1N的狀態(tài)信息的處理過程為：

步驟2-C1，配置服務(wù)器2接收移動VPN代理N設(shè)備1N的設(shè)備—狀態(tài)信息IN_{STAT_N}＝{pd_N,IP_N,CPU_N,MEM_N,NET_N,TNL_N}；

步驟2-C2，配置服務(wù)器2使用所述IN_{STAT_N}更新IN_STAT＝{IN_{STAT_A},IN_{STAT_B},…IN_{STAT_a},…,IN_{STAT_N}}中對應(yīng)移動VPN代理N設(shè)備1N的狀態(tài)信息；

在本發(fā)明中，配置服務(wù)器2接收來自VPN網(wǎng)關(guān)3的狀態(tài)信息。

配置服務(wù)器2依據(jù)接收到的VPN網(wǎng)關(guān)3發(fā)送的網(wǎng)關(guān)狀態(tài)信息IM_{STAT_3}＝{IP,CPU,MEM,NET,TNL}來更新存儲的網(wǎng)關(guān)—配置信息集IM_STAT＝{IP,CPU,MEM,NET,TNL}。

VPN網(wǎng)關(guān)3

在本發(fā)明中，VPN網(wǎng)關(guān)3可以選用戴爾公司生產(chǎn)的PowerEdge R620服務(wù)器，使用Linux操作系統(tǒng)作為VPN網(wǎng)關(guān)3的操作系統(tǒng)，并使用C語言編寫本發(fā)明用到的處理程序。在使用時，VPN網(wǎng)關(guān)3部署在DMZ(Demilitarized Zone，譯文為：非軍事化區(qū))中。

本發(fā)明采用C語言編寫了對所述VPN網(wǎng)關(guān)3進(jìn)行接收配置和發(fā)送狀態(tài)的處理。

VPN網(wǎng)關(guān)3進(jìn)行接收配置的處理過程為：

在本發(fā)明中，接收配置發(fā)生在VPN網(wǎng)關(guān)3接收到配置服務(wù)器2發(fā)送的網(wǎng)關(guān)—配置信息集IM_STAT＝{IP,CPU,MEM,NET,TNL}之后。

步驟3-A1，VPN網(wǎng)關(guān)3接收配置服務(wù)器2發(fā)送的網(wǎng)關(guān)—設(shè)備信息其中，除cd_2-3以外的其他參數(shù)為本發(fā)明使用的IPsec VPN實現(xiàn)strongSwan的配置參數(shù)，所述參數(shù)為strongSwan的常用參數(shù)，可以參考strongSwan的官方網(wǎng)站對該參數(shù)設(shè)置的說明。

cd_2-3是在IPsec連接生成時由配置服務(wù)器2產(chǎn)生并向VPN網(wǎng)關(guān)3發(fā)送的IPsec連接標(biāo)識號，簡稱為網(wǎng)關(guān)—IPsec連接標(biāo)記。

在本發(fā)明中，網(wǎng)關(guān)—設(shè)備信息是為了建議與IPsec連接用的。

步驟3-A2，根據(jù)網(wǎng)關(guān)—IPsec連接標(biāo)記cd_2-3來判斷任意一移動VPN代理設(shè)備pd_a是否存在IPsec連接標(biāo)識號相同的IPsec連接；

若不存在，則依據(jù)網(wǎng)關(guān)—設(shè)備信息在VPN網(wǎng)關(guān)3中添加IPsec連接；

若存在，則用網(wǎng)關(guān)—設(shè)備信息更新VPN網(wǎng)關(guān)3中網(wǎng)關(guān)—IPsec連接標(biāo)記cd_2-3相同的IPsec連接。

VPN網(wǎng)關(guān)3進(jìn)行發(fā)送狀態(tài)的處理過程為：

在本發(fā)明中，VPN網(wǎng)關(guān)3啟動后每2分鐘執(zhí)行網(wǎng)關(guān)狀態(tài)信息IM_{STAT_3}＝{IP,CPU,MEM,NET,TNL}發(fā)送，或者有新的移動VPN代理設(shè)備接入到VPN網(wǎng)關(guān)3時執(zhí)行網(wǎng)關(guān)狀態(tài)信息IM_{STAT_3}＝{IP,CPU,MEM,NET,TNL}發(fā)送。

步驟3-B1，VPN網(wǎng)關(guān)3收集自身的網(wǎng)關(guān)狀態(tài)信息，記為IM_{STAT_3}＝{IP,CPU,MEM,NET,TNL}；

IP表示VPN網(wǎng)關(guān)3的IP地址；

CPU表示VPN網(wǎng)關(guān)3的CPU使用率；

MEM表示VPN網(wǎng)關(guān)3的內(nèi)存使用率；

NET表示VPN網(wǎng)關(guān)3的網(wǎng)絡(luò)使用率；

TNL表示VPN網(wǎng)關(guān)3中存在的所有IPsec隧道集(簡稱為網(wǎng)關(guān)—IPsec隧道集)，網(wǎng)關(guān)—IPsec隧道集采用集合形式表示為TNL＝{tnl₁,tnl₂,…,tnl_t,…,tnl_T}，tnl₁表示屬于VPN網(wǎng)關(guān)3的第一個IPsec隧道，tnl₂表示屬于VPN網(wǎng)關(guān)3的第二個IPsec隧道，tnl_t表示屬于VPN網(wǎng)關(guān)3的任意一個IPsec隧道，tnl_T表示屬于VPN網(wǎng)關(guān)3的最后一個IPsec隧道，T表示屬于VPN網(wǎng)關(guān)3的IPsec隧道總個數(shù)，t∈T，t表示IPsec隧道編號。tnl_t＝{td_t,DT_t}其中td_t為屬于VPN網(wǎng)關(guān)3的第t個IPsec隧道所使用的IPsec連接的標(biāo)識號(簡稱為網(wǎng)關(guān)—IPsec連接標(biāo)記)，DT_t為tnl_t對應(yīng)IPsec隧道的持續(xù)時間(簡稱為網(wǎng)關(guān)—IPsec隧道持續(xù)時間)。

步驟3-B2，VPN網(wǎng)關(guān)3將所述網(wǎng)關(guān)狀態(tài)信息IM_{STAT_3}發(fā)送給配置服務(wù)器2。

認(rèn)證服務(wù)器4

在本發(fā)明中，認(rèn)證服務(wù)器4可以選用戴爾公司生產(chǎn)的PowerEdge R620服務(wù)器，使用Linux操作系統(tǒng)作為認(rèn)證服務(wù)器4的操作系統(tǒng)，并使用Java語言編寫本發(fā)明用到的處理程序。在使用時，認(rèn)證服務(wù)器4部署在Intranet內(nèi)部。

在本發(fā)明中，認(rèn)證服務(wù)器4中一方面存儲有屬于企業(yè)全部工作人員的注冊身份信息集U_AUTH＝{u_{AUTH_A},u_{AUTH_B},…,u_{AUTH_a}…u_{AUTH_Z}}，另一方面存儲有針對每一個工作人員的授權(quán)信息集ACL_AUTH＝{ac_{AUTH_A},ac_{AUTH_B},…,ac_{AUTH_a},…,ac_{AUTH_N}}。認(rèn)證服務(wù)器4用于完成對用戶的身份認(rèn)證和授權(quán)信息下發(fā)的處理。

u_{AUTH_A}表示連接在移動VPN代理A設(shè)備上的用戶(或工作人員)在認(rèn)證服務(wù)器4中注冊時的注冊身份信息；

u_{AUTH_B}表示連接在移動VPN代理B設(shè)備上的用戶(或工作人員)在認(rèn)證服務(wù)器4中注冊時的注冊身份信息；

u_{AUTH_Z}表示連接在移動VPN代理Z設(shè)備上的用戶(或工作人員)在認(rèn)證服務(wù)器4中注冊時的注冊身份信息；

u_{AUTH_a}表示連接在任意一移動VPN代理設(shè)備pd_a上的用戶(或工作人員)在認(rèn)證服務(wù)器4中注冊時的注冊身份信息，簡稱為注冊身份信息；

ac_{AUTH_A}表示認(rèn)證服務(wù)器4針對連接在移動VPN代理A設(shè)備上的用戶(或工作人員)設(shè)置的授權(quán)信息；

ac_{AUTH_B}表示認(rèn)證服務(wù)器4針對連接在移動VPN代理B設(shè)備上的用戶(或工作人員)設(shè)置的授權(quán)信息；

ac_{AUTH_N}表示認(rèn)證服務(wù)器4針對連接在移動VPN代理N設(shè)備上的用戶(或工作人員)設(shè)置的授權(quán)信息；

ac_{AUTH_a}表示認(rèn)證服務(wù)器4針對連接在任意一移動VPN代理設(shè)備pd_a上的用戶(或工作人員)設(shè)置的授權(quán)信息，簡稱為授權(quán)信息。

所述注冊身份信息u_{AUTH_a}＝{ud^a,pwd^a}中ud^a表示連接在任意一移動VPN代理設(shè)備pd_a上的用戶(或工作人員)注冊時用的用戶名，pwd^a表示所述ud^a登錄用的密碼。

所述授權(quán)信息中ud^a表示連接在任意一移動VPN代理設(shè)備pd_a上的用戶(或工作人員)注冊時用的用戶名，pwd^a表示所述ud^a登錄用的密碼，PL^a表示屬于所述ud^a的訪問資源集。訪問資源集中表示允許ud^a訪問的第一個認(rèn)證客戶端，表示允許ud^a訪問的第二個認(rèn)證客戶端，表示允許ud^a訪問的最后認(rèn)證客戶端，I表示允許ud^a訪問的認(rèn)證客戶端的總個數(shù)。

認(rèn)證服務(wù)器4的身份認(rèn)證處理與授權(quán)信息下發(fā)處理過程為：

步驟4-A1，認(rèn)證服務(wù)器4接收來自任意一個用戶user發(fā)送的訪問請求access request；

步驟4-A2，認(rèn)證服務(wù)器4依據(jù)注冊身份信息集U_AUTH＝{u_{AUTH_A},u_{AUTH_B},…,u_{AUTH_a}…u_{AUTH_Z}}來核對所述用戶user是否屬于企業(yè)內(nèi)部網(wǎng)Intrnet的注冊用戶；若屬于企業(yè)內(nèi)部網(wǎng)Intrnet中的任意一注冊用戶u_{AUTH_a}＝{ud^a,pwd^a}，執(zhí)行步驟4-A3，若不屬于企業(yè)內(nèi)部網(wǎng)Intrnet的注冊用戶，注冊用戶認(rèn)證失??；

步驟4-A3，認(rèn)證服務(wù)器4通過在授權(quán)信息集ACL_AUTH＝{ac_{AUTH_A},ac_{AUTH_B},…,ac_{AUTH_a},…,ac_{AUTH_N}}中查找出u_{AUTH_a}＝{ud^a,pwd^a}對應(yīng)的用戶授權(quán)信息ac_{AUTH_a}；并記錄下u_{AUTH_a}＝{ud^a,pwd^a}的IP地址，并根據(jù)所找到的ac_{AUTH_a}進(jìn)行授權(quán)信息下發(fā)至允許ud^a訪問的認(rèn)證客戶端5的訪問資源集

認(rèn)證客戶端5

在本發(fā)明中，認(rèn)證客戶端5可以選用戴爾公司生產(chǎn)的PowerEdge R620服務(wù)器，使用Linux操作系統(tǒng)作為認(rèn)證客戶端5的操作系統(tǒng)，并使用C語言編寫本發(fā)明用到的處理程序。在使用時，認(rèn)證客戶端5部署在Intranet內(nèi)部受保護(hù)的私有資源Private resources之前，可同時使用多個認(rèn)證客戶端5保護(hù)不同的私有資源Private resources，一個認(rèn)證客戶端5也可部署在若干個私有資源Private resources之前以同時保護(hù)多個訪問資源通過使用認(rèn)證客戶端5能夠?qū)崿F(xiàn)對Intranet私有資源Private resources的細(xì)粒度訪問控制。

任意一個認(rèn)證客戶端設(shè)有唯一標(biāo)識符rd_j，J為Intranet中認(rèn)證客戶端的總數(shù)目，j∈J。任意認(rèn)證客戶端維護(hù)用戶的IP地址集記為IPL_j＝{ip_{j_1},ip_{j_2},…,ip_{j_k},…,ip_{j_K}}，其中ip_{j_1}表示rd_j允許訪問的第一個用戶，ip_{j_2}表示rd_j允許訪問的第二個用戶，ip_{j_k}表示rd_j允許訪問的任意一個用戶，ip_{j_K}表示rd_j允許訪問的最后一個用戶，K為rd_j允許訪問的用戶的總數(shù)目，k∈K。

在本發(fā)明中，認(rèn)證客戶端5用于過濾用戶請求和授權(quán)信息接收的處理。

認(rèn)證客戶端5對用戶請求的過濾處理過程為：

步驟5-A1，任意一認(rèn)證客戶端rd_j接收監(jiān)聽來自任意一用戶user的訪問請求access request，并提取用戶的IP地址，記為IP_a；

在本發(fā)明中，因為一個移動VPN代理設(shè)備連接一個用戶user，所以任意一用戶user的IP地址與任意一個移動VPN代理設(shè)備pd_a的IP地址是相同的。

步驟5-A2，所述認(rèn)證客戶端rd_j通過IPL_j＝{ip_{j_1},ip_{j_2},…,ip_{j_k},…,ip_{j_K}}來判斷所述IP_a對應(yīng)的允許訪問的用戶；

若iIP_a∈IPL_j，轉(zhuǎn)發(fā)用戶的訪問請求access request到私有資源Private resources；

若則拒絕用戶的訪問請求access request，若用戶的請求為Web請求，則需重定向用戶到認(rèn)證服務(wù)器4。

認(rèn)證客戶端5的授權(quán)信息接收的處理過程為：

步驟5-B1，認(rèn)證客戶端5接收來自認(rèn)證服務(wù)器4的IP_a；

步驟5-B2，認(rèn)證客戶端5使用所述IP_a查詢IPL_j；

若IP_a∈IPL_j，則不對IPL_j進(jìn)行更新；

若則更新IPL_j。編程語言中記為IPL_j＝IPL_j∪iIP_a。

本發(fā)明設(shè)計了一種基于IPsec VPN代理的Intranet接入系統(tǒng)，所要解決的是IPsec VPN在使用上的困難以及維護(hù)上的困難的技術(shù)問題，本發(fā)明接入系統(tǒng)通過移動VPN代理設(shè)備實現(xiàn)用戶對Intranet的接入，進(jìn)而通過認(rèn)證服務(wù)器和認(rèn)證客戶端實現(xiàn)對用戶訪問請求的授權(quán)；IPsec隧道是由VPN網(wǎng)關(guān)和移動VPN代理設(shè)備建立的，無需用戶參與，降低了IPsec VPN的使用門檻；在IPsec基礎(chǔ)功能上加以拓展，與傳統(tǒng)IPsec VPN相比，本發(fā)明接入系統(tǒng)具有配置管理簡單、后臺維護(hù)方便、無需客戶端軟件即可接入的優(yōu)點，同時還提供細(xì)粒度的訪問控制能的技術(shù)效果。