CN102075339B - Vpn管理平台、vpn业务的实现方法及系统 - Google Patents

Abstract

本发明公开了一种VPN业务的实现方法及系统，该方法包括：VPN管理平台接收来自VPN用户的VPN账号信息，根据存储的VPN账号和网关的对应信息获得对应的网关信息；VPN管理平台生成对应的网关的VPN参数配置信息，并将VPN参数配置信息发送给ACS管理平台；ACS管理平台将VPN参数配置信息转发给对应的网关；对应的网关接收并加载VPN参数配置信息。本发明采用VPN管理平台与ACS管理平台协同工作，实现对企业网关VPN业务的统一管理，消除了企业网关端到端模式和远程接入模式VPN配置的差异性；解决了网关VPN配置管理复杂、维护困难的问题。

Description

VPN管理平台、VPN业务的实现方法及系统

技术领域

本发明涉及虚拟专用网(VPN，Virtual Private Network)技术领域，尤其涉及实现VPN管理平台、VPN业务统一管理的方法及系统。

背景技术

随着企业信息化和电子商务的迅猛发展，企业的规模越来越大，地域也越来越广，越来越多的分支机构和移动办公人员，使得企业对网络的需求越来越高，并重新考虑其WAN战略。IP VPN由于其安全性、低成本、可扩展等优势，赢得了越来越多的企业/运营商的青睐。目前，运营商正在企业内部大规模部署企业网关设备，为企业提供接入组网和VPN服务。企业网关通过远程接入模式建立移动人员VPN客户端与企业网关之间的VPN连接，为移动办公人员提供远程办公服务；企业分支机构的企业网关之间建立端到端模式的VPN，满足了企业移动办公和分支机构互联的需求。但是IP VPN配置参数复杂，而且还需要区分使用方式分别对远程接入模式和端到端模式的VPN进行配置，严重阻碍了IP VPN在企业中的应用，尤其是中小企业使用者对计算机、网络知识缺乏了解，维护能力差。

基于TR069协议的终端管理系统ACS(自动配置服务器)正在得到广泛的应用和部署，ACS作为各种终端的管理系统完全掌握终端IP地址的变化，作为终端配置变更的第一感知点。通过ACS获取终端的IP地址、向终端下发VPN配置参数在技术上是完全可行的。

图1示出现有技术中ACS管理平台自动配置及下发网关的系统的结构示意图。发明申请“家庭网关中IPSec安全策略的自动配置系统和方法”(申请号为200610109663.2，申请日为2006.08.15，申请人是中国电信股份有限公司，公开号为CN1905452A，公开日为2007.01.31)中给出了该系统的详细描述。如图1所示，该系统100是由用户提供设备ID，ACS管理平台102生成配置并自动下发到网关104。用户与运营商签订VPN业务后，ACS管理平台根据运营情况和/或客户要求制定相应的安全策略，并通过策略数据库或者策略目录表的方式实现，将安全策略转化为TR069参数通过设备ID下发给指定网关，并由网关来实现安全策略的加载，从而达到自动配置VPN参数的目的。

但是，基于现有技术的教导，本领域技术人员知晓其还存在以下缺陷：

1、现有技术中由ACS管理平台来生成安全策略并自动下发，并由ACS来负责VPN业务的管理，增加了ACS管理平台的复杂度，不利于系统功能的简单实现；

2、现有技术中用户每新增一个端对端VPN节点时，都需要向运营商提供设备ID标识，以便ACS管理平台向相应网关下发VPN配置参数，增加了用户开通VPN业务的难度和复杂性；

3、现有技术中，一旦用户提供的设备标识错误或运营商运维人员误操作时，会导致建立错误的VPN连接建立，引发安全问题；

4、现有技术不支持客户端远程接入模式VPN的参数自动配置。由于客户端的IP地址不固定，又不接受ACS管理平台的统一管理，需要用户采用手动的方式来配置VPN客户端的VPN参数，而且还需要保证远程接入的客户端与要接入的网关之间的VPN参数配置一致，增加了远程接入客户端的配置难度。同时，如果网关不具备固定IP地址，又没有绑定域名，客户端无法与该网关建立VPN连接。

发明内容

本发明要解决的一个技术问题是提供一种实现VPN业务统一接入的方法及系统，无需用户配置网关参数，便于用户使用、维护和管理。

本发明要解决的另一个技术问题是提供一种VPN管理平台，由VPN管理平台负责VPN业务的配置管理，ACS管理平台负责协议的转换和参数配置的转发，降低ACS管理平台的实现难度和复杂度。

本发明要解决的另一个技术问题是将VPN连接状态、VPN用户等的管理交给用户自身，用户可以增加和删除VPN用户，便于用户新建、拆除和重建VPN连接。

本发明要解决的另一个技术问题是解决现有技术不能实现客户端远程接入模式下VPN参数自动配置的问题。本发明提供如下技术方案：

本发明的一个方面提供了一种VPN业务的实现方法，该方法包括：VPN管理平台接收来自VPN用户的VPN账号信息，根据存储的VPN账号和网关的对应信息获得对应的网关信息；VPN管理平台生成对应的网关的VPN参数配置信息，并将VPN参数配置信息发送给ACS管理平台；ACS管理平台将VPN参数配置信息转发给对应的网关；对应的网关接收并加载VPN参数配置信息。

本发明提供的VPN业务的实现方法的一个实施例中，当VPN用户为VPN客户端时，VPN用户的对应网关信息为VPN客户端的接入网关信息；VPN管理平台生成远程接入模式的VPN参数配置信息，该方法还包括：VPN管理平台将VPN客户端的VPN参数配置信息发送给VPN客户端；VPN客户端和接入网关建立远程接入模式的VPN连接。

本发明提供的VPN业务的实现方法的一个实施例中，当VPN用户为网关时，VPN用户的对应的网关信息为与网关建立端到端连接的对端网关信息；该方法还包括：VPN管理平台将网关的参数配置信息通过ACS发送给对端网关；网关和对端网关建立端到端VPN连接。

本发明提供的VPN业务的实现方法的一个实施例中，该方法还包括：建立远程接入模式的VPN连接后，VPN客户端IP地址发生变化后，VPN客户端向VPN管理平台重新发送的VPN账号信息；其中VPN账号信息包括：域名、用户名和密码。

本发明提供的VPN业务的实现方法的一个实施例中，该方法还包括：在网关上线时，将网关的设备ID、所在域名、用户名和密码通过ACS管理平台转发给VPN管理平台；VPN管理平台对网关认证通过后将设备ID、域名和用户名进行绑定，并将网关的状态更新为VPN注册状态。

本发明提供的VPN业务的实现方法的一个实施例中，该方法还包括，当网关的IP地址发生变化时，网关将向ACS管理平台发送IP变化通知；ACS管理平台修改网关的“设备ID”和“IP地址”的绑定关系，同时由ACS管理平台通知VPN管理平台；VPN管理平台检查出同一VPN域中受影响的网关和VPN客户端，直接向VPN客户端下发新的VPN配置参数，并通过ACS管理平台向受影响的网关重新下发新的VPN配置参数。

本发明另一个方面提供了一种VPN业务的实现系统，该系统包括：VPN管理平台，用于接收来自VPN用户的VPN账号信息，根据存储的VPN账号和网关的对应信息获得对应的网关信息；生成对应的网关的VPN参数配置信息，并将VPN参数配置信息发送给ACS管理平台；ACS管理平台，用于接收来自VPN管理平台发送的VPN参数配置信息，并将VPN参数配置信息发送给对应的网关；对应的网关，用于接收ACS管理平台转发的VPN参数配置信息，并加载VPN参数配置信息。

本发明提供的VPN业务的实现系统的一个实施例中，VPN管理平台还用于为VPN用户提供VPN帐户管理界面，向VPN用户提供当前VPN连接状态的查询界面，以及新建、拆除或重建VPN连接的界面，向ACS管理平台发送状态查看请求，以及接收ACS管理平台返回的当前网关的VPN连接状态；向ACS管理平台发送VPN连接维护请求，对网关的VPN连接进行维护；ACS管理平台还用于接收来自VPN管理平台的状态查看请求，并转发给网关；接收网关上报的VPN连接状态，并转发给VPN管理平台；接收来自VPN管理平台的VPN连接维护请求，并转发给网关；接收网关上报的VPN状态信息，并转发给VPN管理平台；网关还用于接收ACS管理平台转发的状态查看请求，并向ACS管理平台返回当前网关的VPN连接状态；接收ACS管理平台转发的VPN连接维护请求以便对网关的VPN连接进行维护，并向ACS管理平台返回维护结果。

本发明另一个方面提供了一种VPN管理平台，该VPN管理平台包括：VPN配置参数收发模块，用于接收来自VPN用户的VPN账号信息，将VPN帐号信息发送给VPN参数配置模块；接收来自VPN参数配置模块的VPN参数配置信息，将VPN参数配置信息发送给ACS管理平台；VPN帐户管理模块，用于存储的VPN账号和网关的对应信息；VPN参数配置模块，用于接收VPN账号信息，根据VPN帐户管理模块存储的VPN账号和网关的对应信息获得对应的网关信息，生成对应的网关的VPN参数配置信息，将VPN参数配置信息发送给VPN配置参数收发模块。

本发明提供的VPN管理平台的一个实施例中，VPN管理平台还包括：VPN状态查看及维护模块，用于向VPN用户提供查询界面，向VPN配置参数收发模块发送VPN状态查询请求，接收ACS管理平台返回的VPN用户的VPN连接状态，获取当前VPN连接状态，以及向VPN配置参数收发模块发送新建、拆除或重建VPN连接的请求，以便VPN用户与对应的网关新建、拆除或重建VPN连接。

本发明提供的VPN管理平台的一个实施例中，VPN帐户管理模块还用于为VPN帐号提供VPN帐户管理界面，VPN用户以企业为单位创建域，并在同一域中创建多个用户名；其中，域和用户名的组合标识VPN帐号。

本发明提供了一种VPN管理平台、VPN业务的实现方法及系统，用户只需要配置域名、用户名、密码，而由VPN管理平台实现对VPN用户的自动配置；企业运营及维护人员不需要提供终端的IP地址或设备标识、复杂的VPN配置参数也能完成企业网关远程接入模式、端到端模式VPN的配置，同时可以远程实时查看VPN连接的状态，促进VPN技术在中小企业中的应用。

附图说明

图1示出现有技术中ACS管理平台自动配置及下发网关的系统的结构示意图；

图2示出根据本发明VPN业务的实现系统的一个实施例的结构示意图；

图3示出本发明VPN业务的实现方法的一个实施例的流程示意图；

图4示出根据本发明VPN管理平台的一个实施例的结构示意图；

图5示出根据本发明VPN业务的实现系统的一个实施例的结构示意图；

图6示出根据本发明VPN业务的实现系统的一个实施例的结构示意图；

图7示出根据本发明VPN业务的实现系统的一个实施例的结构示意图；

图8示根据本发明VPN业务的实现方法中网关向VPN管理平台进行注册的一个实施例的流程示意图；

图9示根据本发明VPN业务的实现方法中VPN管理平台向网关发送VPN参数配置信息的一个实施例的流程示意图；

图10示出根据本发明VPN业务的实现方法中VPN客户端向VPN管理平台远程接入的一个实施例的流程图。

具体实施方式

下面参照附图对本发明进行更全面的描述，来说明本发明示例性的各种实施例。

图2示出根据本发明VPN业务的实现系统的一个实施例的结构示意图。

如图2所示，VPN业务的实现系统200主要包括：VPN管理平台202、ACS管理平台204和VPN用户(如图示网关206或VPN客户端208)，VPN用户可以是企业或家庭使用的VPN客户端或网关。

其中，VPN管理平台202，用于接收来自VPN用户的VPN账号信息，根据其存储的VPN账号和网关的对应信息获得对应的网关信息；生成对应的网关的VPN参数配置信息，并将VPN参数配置信息发送给ACS管理平台204。本发明的实施例中VPN账号信息包括：域名、用户名和密码。

ACS管理平台204，用于接收来自VPN管理平台202发送的VPN参数配置信息，并将VPN参数配置信息发送给对应的网关。本发明中，VPN管理平台可以根据用户要求建立连接的对象，依VPN参数配置模板(如根据网关或客户端域名、设备ID、用户名等信息生成的具有预定格式化的参数配置信息)生成对应网关的VPN参数配置信息。

网关，用于接收ACS管理平台204转发的VPN参数配置信息，并加载VPN参数配置信息，从而实现与VPN用户建立VPN连接。

本发明提供的VPN业务的实现系统的一个实施例中，VPN管理平台202还用于为VPN用户提供VPN帐户管理界面，向VPN用户提供当前VPN连接状态的查询界面，以及新建、拆除或重建VPN连接的界面，向ACS管理平台发送状态查看请求，以及接收ACS管理平台返回的当前网关的VPN连接状态；向ACS管理平台发送VPN连接维护请求，对网关的VPN连接进行维护。具体来说，VPN管理平台202为运营商和/或用户提供VPN帐户管理界面，用户可以通过VPN帐户管理界面以企业为单位创建一个域，在每个域中可以创建多个用户的用户名等信息，并通过“域”和“用户名”的组合来标识一个VPN帐户；该VPN帐户可以对应一个网关或一个远程接入的VPN客户端。在本发明中，VPN管理平台负责建立VPN帐号，网关的设备ID以及IP地址的绑定关系；当要建立远程接入模式的VPN连接，VPN管理平台202需要为远程接入的VPN客户端的用户查找并指定所要接入的网关对应的VPN帐户。VPN管理平台202还用于根据用户要求建立连接的对象，依VPN参数配置模板(如根据网关或客户端域名、设备ID、用户名等信息生成的具有预定格式化的参数配置信息)生成VPN参数配置信息以配置企业网关和VPN客户端；向用户提供当前VPN连接状态的查询界面，以及新建、拆除或重建VPN连接的界面以便查看网关当前的VPN连接状态和对当前的VPN连接做出维护操作。

本发明提供的VPN业务的实现系统的一个实施例中，ACS管理平台204还用于接收来自VPN管理平台的状态查看请求，并转发给网关；接收网关上报的VPN连接状态，并转发给VPN管理平台；接收来自VPN管理平台的VPN连接维护请求，并转发给网关；接收网关上报的VPN状态信息，并转发给VPN管理平台。ACS管理平台204与VPN管理平台202和网关之间实现互访，主要负责对网关的管理，用于接收企业网关发送的注册信息，以及向VPN管理平台转发注册信息；接收来自VPN管理平台202的VPN参数配置信息，将该VPN参数配置信息转换成TR069协议(CPE广域网管理协议，在新一代Web服务中广泛使用的基于SOAP的RPC方法；对于用户设备来说，TR069协议主要实现以下四方面的功能：用户设备自动配置和动态的业务配置；对用户设备的软件和固件的管理；对用户设备的状态和性能进行监测；对通信故障的诊断)，再转发到指定网关以便更新网关的VPN相关参数；同时负责接收网关上报的VPN状态信息，以及向VPN管理平台202转发网关的状态信息。

本发明提供的VPN业务的实现系统的一个实施例中，网关还用于接收ACS管理平台转发的状态查看请求，并向ACS管理平台返回当前网关的VPN连接状态；接收ACS管理平台转发的VPN连接维护请求以便对网关的VPN连接进行维护，并向ACS管理平台返回维护结果。本发明中网关可以是支持TR069协议的家庭网关或企业网关，主要用于通过ACS管理平台204向VPN管理平台发送注册消息(网关的帐号信息)，该注册信息包括：网关设备ID、(企业)域名和用户名，也可以包括用户名对应的注册密码。VPN管理平台202对发送注册消息的网关进行认证，通过认证后，VPN管理平台202将该网关的设备ID、域名和用户名进行绑定操作，其中“域名+用户名”对应一个网关。网关通过ACS管理平台204接收来自VPN管理平台202的VPN参数配置信息，以更新该网关设备的VPN相关参数；接收来自VPN管理平台202的状态查看请求，通过ACS管理平台204向VPN管理平台202反馈网关当前的VPN连接状态；接收来自VPN管理平台202的VPN连接维护请求，对VPN连接进行维护，并向ACS管理平台204反馈维护结果。

本发明提供的VPN业务的实现系统的一个实施例中，VPN用户包括远程接入的VPN客户端；VPN客户端可以在通用的VPN客户端的基础上通过软件或固件等形式增加以下功能：能够接受来自VPN管理平台的VPN配置参数，并根据参数修改客户端的VPN配置；可以通过VPN客户端提供的软件直接向VPN管理平台提交企业域名、用户名以及密码；以及VPN客户端定期从VPN管理平台获取配置参数并加载。在远程接入的VPN客户端接入实现VPN业务统一接入的系统200时，向VPN管理平台202提交注册信息(如通过接口界面向VPN管理平台提交企业域名、用户名以及密码等注册信息)，VPN管理平台202在完成用户认证后，将VPN相关参数下发给VPN客户端。VPN管理平台202接收到VPN客户端的注册信息后，查找到需要远程访问的网关；VPN管理平台202生成网关的VPN参数配置信息，并将VPN参数配置信息发送给ACS管理平台204；ACS管理平台204将VPN参数配置信息转发给网关；网关接收并加载VPN参数配置信息，并与VPN客户端建立远程接入模式的VPN连接。从而实现客户端与指定网关之间的VPN连接。

本发明提供的VPN业务的实现系统的一个实施例中，在网关上线时，将网关的设备ID、所在域名、用户名和密码等帐号信息通过ACS管理平台转发给VPN管理平台进行注册；VPN管理平台对网关认证通过后将设备ID、域名和用户名进行绑定，并将网关的状态更新为VPN注册状态。

本发明提供的VPN业务的实现系统的一个实施例中，网关每次重启或IP地址发生变化时，网关经由ACS管理平台204向VPN管理平台202发送注册信息；当VPN管理平台202发现网关的IP发生变化时，会重新配置VPN连接的域内受影响的网关或客户端的VPN参数。具体来说，对于端到端模式的VPN连接，当网关的IP地址发生变化时，会影响到对端网关的VPN参数配置；对于远程接入模式的VPN连接，当网关的IP地址发生变化时，会影响到远程接入的客户端的VPN参数配置。ACS管理平台维护网关的设备ID和IP地址的绑定关系，当网关IP地址发生变化时，网关会将变化通知ACS管理平台，进而由ACS管理平台修改网关的“设备ID”和“IP地址”的绑定关系，同时由ACS管理平台通知VPN管理平台；VPN管理平台会检查出同一VPN域中受影响的网关和VPN客户端，直接向VPN客户端下发新的配置参数，并通过ACS管理平台向受影响的网关重新下发配置参数。

本发明提供的VPN业务的实现系统的一个实施例中，VPN管理平台202可以采用支持TR069协议的标准的网关管理系统，并在该网关管理系统中增加的帐户管理功能、VPN参数配置功能、VPN状态查看及维护模块等功能。

本发明提供的VPN业务的实现系统的一个实施例中，ACS管理平台204可以采用支持TR069协议的标准的终端管理系统，并在该终端管理系统中需要增加VPN参数转发功能模块功能。

本发明提供的VPN业务的实现系统的一个实施例中，网关可以是支持TR069协议的家庭网关或企业网关，并在该网关中增加向VPN管理平台202发送VPN注册信息的功能，以及通过TR069协议从ACS管理平台204获取VPN参数配置信息并向VPN管理平台202反馈配置结果信息等功能。

本发明提供的VPN业务的实现系统的一个实施例中，VPN客户端可以是支持远程接入模式的VPN客户端，具有定期向VPN管理平台上报注册信息等参数以及加载VPN参数配置的功能。

本发明提供的VPN业务的实现系统，在VPN客户端中装入的客户端软件对应一个软件安装包，可以安装在用户的PC机上或其它终端设备上，用户通过输入企业域名、用户名以及密码就可以远程接入到指定的网关上，实现通过VPN远程访问。与通用的远程接入客户端软件相比较，本发明提供的实现VPN业务统一接入的系统不需要手动地配置复杂的VPN配置参数，由VPN管理平台参数配置模板自动生成VPN配置参数；能够接受VPN管理平台的管理，通过VPN管理平台可以查看VPN连接的状态；当网关的IP地址发生变化时，VPN管理平台会主动通知VPN客户端修改相应的配置参数。

图3示出本发明VPN业务的实现方法的一个实施例的流程示意图。

如图3所示，VPN业务的实现方法的流程300中，步骤302，VPN用户向VPN管理平台发送VPN账号信息。例如，本发明中VPN用户可以是企业或家庭使用的VPN客户端或网关，VPN账号信息包括：域名、用户名和密码。

步骤304，VPN管理平台根据VPN账号获得对应的网关信息。例如，VPN管理平台接收来自VPN用户的VPN账号信息，根据存储的VPN账号和网关的对应信息获得对应的网关信息。在本发明的一个实施例中，当VPN用户为网关时，VPN用户的对应的网关信息为与网关建立端到端连接的对端网关信息；当VPN用户为VPN客户端时，VPN用户的对应网关信息为VPN客户端的接入网关信息。

步骤306，VPN管理平台生成对应的网关的VPN参数配置信息。例如，VPN管理平台根据用户要求建立连接的对象，依VPN参数配置模板(如根据网关或客户端域名、设备ID、用户名等信息生成的具有预定格式化的参数配置信息)生成对应网关的VPN参数配置信息。

步骤308，VPN管理平台将VPN参数配置信息发送给ACS管理平台。

步骤310，ACS管理平台将VPN参数配置信息转发给对应的网关。

步骤312，对应的网关接收ACS管理平台转发的VPN参数配置信息，并加载该VPN参数配置信息，从而实现与VPN用户建立VPN连接。

本发明提供的VPN业务的实现方法及系统，建立VPN管理平台，采用VPN管理平台与ACS管理平台协同工作，实现对网关VPN业务的统一管理，消除了网关端到端模式和远程接入模式VPN配置的差异性。

图4示出根据本发明VPN管理平台的一个实施例的结构示意图。

如图4所示，VPN管理平台400主要包括：VPN帐户管理模块402、VPN参数配置模块404和VPN配置参数收发模块406。

其中，VPN帐户管理模块402，用于存储的VPN账号和网关的对应信息。

VPN参数配置模块404，用于接收VPN账号信息，根据VPN帐户管理模块402存储的VPN账号和网关的对应信息获得对应的网关信息，生成VPN参数配置信息，将VPN参数配置信息发送给VPN配置参数收发模块。

VPN配置参数收发模块406，用于接收来自VPN用户(如网关403或VPN客户端405)的VPN账号信息，将VPN参数配置信息发送给VPN参数配置模块404；接收来自VPN参数配置模块404的VPN参数配置信息，将VPN参数配置信息发送给ACS管理平台401。

本发明提供的VPN管理平台的一个实施例中，VPN帐户管理模块402还用于为VPN帐号提供VPN帐户管理界面，VPN用户以企业为单位创建域，并在同一域中可以创建多个用户名；其中，域和用户名的组合标识VPN帐号。

本发明提供的VPN管理平台的一个实施例中，VPN管理平台400进一步包括：VPN状态查看及维护模块408，用于向VPN用户提供查询界面，向VPN配置参数收发模块发送VPN状态查询请求，接收ACS管理平台401返回的VPN用户的VPN连接状态，获取当前VPN连接状态，以及向VPN配置参数收发模块发送新建、拆除或重建所述VPN连接的请求，以便VPN用户与对应的网关新建、拆除或重建VPN连接。

图5示出本发明VPN业务的实现系统的一个实施例的结构示意图。

如图5所示，VPN业务的实现系统500主要包括VPN管理平台502、ACS管理平台504、网关506和远程接入的VPN客户端508；其中ACS管理平台504、网关506和远程接入的VPN客户端508分别可以是与图2所示ACS管理平台204、网关和远程接入的VPN客户端具有相同或相似的功能模块；为简洁起见，这里不再赘述。

如图5所示，实现VPN业务统一接入的系统500中的VPN管理平台502包括VPN帐户管理模块5022、VPN参数配置模块5024、VPN状态查看及维护模块5026和VPN配置参数收发模块5028。

其中，VPN帐户管理模块5022，用于存储的VPN账号和网关的对应信息，并为运营商和/或用户提供VPN帐户管理界面来管理VPN帐户，用户可以以企业为单位创建域，并在每个域中可以创建多个用户的用户名等信息；并通过“域”和“用户名”的组合可以标识VPN帐户(如一个网关或一个客户端)。

VPN参数配置模块5024，用于接收VPN账号信息，根据VPN帐户管理模块5022存储的VPN账号和网关的对应信息获得对应的网关信息，生成VPN参数配置信息，将VPN参数配置信息发送给VPN配置参数收发模块。

VPN状态查看及维护模块5026，用于向VPN用户提供查询界面，向VPN配置参数收发模块发送VPN状态查询请求，接收ACS管理平台504返回的VPN用户的VPN连接状态，获取当前VPN连接状态，以及向VPN配置参数收发模块发送新建、拆除或重建所述VPN连接的请求，以便VPN用户与对应的网关新建、拆除或重建VPN连接，以便查看网关当前的VPN连接状态和对当前的VPN连接做出维护操作。当VPN连接出现故障时，VPN管理平台可以显示告警信息，电信运营及维护人员或企业管理员可以登陆VPN管理平台查看告警信息。

VPN配置参数收发模块5028，用于接收来自VPN用户(如网关506或VPN客户端508)的VPN账号信息，将VPN参数配置信息发送给VPN参数配置模块5024；接收来自VPN参数配置模块5024的VPN参数配置信息，将VPN参数配置信息发送给ACS管理平台504；接收VPN状态查看及维护模块5026发送的VPN状态查看请求，并向ACS管理平台504发送状态查看请求，以及接收ACS管理平台504返回的VPN用户的VPN连接状态；接收VPN状态查看及维护模块5026发送的VPN连接维护请求，并向ACS管理平台504发送VPN连接维护请求，对VPN用户的VPN连接进行维护。

图6示出本发明VPN业务的实现系统的一个实施例的结构示意图。

如图6所示，VPN业务的实现系统600主要包括VPN管理平台602、ACS管理平台604、网关606和远程接入的VPN客户端608；其中VPN管理平台602、网关606和远程接入的VPN客户端608分别可以是与图5所示VPN管理平台502、网关506和远程接入的VPN客户端508具有相同或相似的功能模块；为简洁起见，这里不再赘述。

如图6所示，VPN业务的实现系统600中的ACS管理平台604包括VPN参数转发模块6042，用于接收网关606发送的VPN账号信息，以及向VPN管理平台602的VPN帐户管理模块6022转发该VPN账号信息；接收来自VPN管理平台602的VPN参数配置模块6024下发的VPN参数配置信息，并向网关606转发该VPN参数配置信息以更新网关606的VPN相关参数；接收来自VPN管理平台的VPN转台查看及维护模块6026下发的状态查看请求，并转发给网关606；接收网关606上报的VPN连接状态，并转发给VPN管理平台606的VPN转台查看及维护模块6026；接收来自VPN管理平台602的VPN转台查看及维护模块6026下发的VPN连接维护请求，对网关606的VPN连接进行维护，并向VPN管理平台的VPN转台查看及维护模块6026返回维护结果；接收网关上报的VPN状态信息，向VPN管理平台回馈网关的状态。现有技术方案中ACS管理平台中没有VPN参数转发模块。

图7示出根据本发明VPN业务的实现系统的一个实施例的结构示意图。

如图7所示，实现VPN业务统一接入的系统700主要包括VPN管理平台702、ACS管理平台704、网关706和远程接入的VPN客户端708；其中VPN管理平台702、ACS管理平台704和远程接入的VPN客户端708分别可以是与图6所示VPN管理平台602、ACS管理平台604和远程接入的VPN客户端608具有相同或相似的功能模块；为简洁起见，这里不再赘述。

如图7所示，实现VPN业务统一接入的系统700中的网关706包括：网关注册模块7062和VPN参数配置模块7064。

其中，网关注册模块7062，用于向VPN管理平台702发送该网关的VPN注册信息。

VPN参数配置模块7064，用于通过TR069协议从ACS管理平台704获取VPN管理平台702下发的VPN参数配置信息，并向VPN管理平台702反馈配置结果信息。

本发明提供的实现VPN业务统一接入的系统，VPN管理平台负责VPN业务的配置管理，在配置VPN的过程中不需要指定是远程接入模式还是端到端模式VPN，实现了远程接入模式和端到端模式VPN的融合，解决了现有技术方案不能实现远程接入模式VPN的配置问题。其次、本发明中VPN管理平台负责VPN业务的配置管理，ACS管理平台只负责协议的转换和配置的转发，降低了ACS管理平台的复杂度；将VPN帐户的管理交给用户，用户可以增加和删除VPN帐户，便于用户维护(如增加、删除或变更等操作)VPN连接；同时也降低由于用户提供错误的设备标识或运营商运维人员误操作而引发安全问题的可能性。

图8示根据本发明实现VPN业务统一接入的方法中网关向VPN管理平台进行注册的一个实施例的流程示意图。

如图8所示，步骤802，网关向ACS管理平台发送注册信息。例如，网关上线时，将该网关对应的设备ID、(企业)域名、用户名和/或密码等信息上报给ACS管理平台。

步骤804，ACS管理平台将接收到的网关注册信息转发给VPN管理平台。ACS管理平台和VPN管理平台都是支持TR09协议的网元设备，能够通过该协议实现信息传递与设备互访。

步骤806，VPN管理平台根据网关的注册信息对网关进行认证。例如，VPN管理平台接收到ACS管理平台转发的网关注册信息后，VPN管理平台根据网关的注册信息对网关进行认证，认证通过后，执行步骤808；否则，执行步骤810。

步骤808，VPN管理平台执行网关注册信息的绑定。VPN管理平台通过对网关注册信息的认证后，VPN管理平台将设备ID、企业域名、用户名等注册信息进行绑定操作，并更新该网关状态为VPN注册状态。

步骤810，如果该网关的注册信息没有通过VPN管理平台的认证，那么VPN管理平台拒绝该网关的注册和接入。

对于端到端模式的VPN连接，当网关的IP地址发生变化时，会影响到对端网关的VPN参数配置；对于远程接入模式的VPN连接，当网关的IP地址发生变化时，会影响到远程接入的客户端的VPN参数配置。本发明提供的实现VPN业务统一接入的方法中网关向VPN管理平台进行注册的一个实施例中，网关每次重启或IP地址发生变化时，网关经由ACS管理平台向VPN管理平台发送注册信息；当VPN管理平台发现网关的IP发生变化时，会重新配置VPN域内受影响的相应网关或客户端的VPN参数。

图9示根据本发明VPN业务的实现方法中VPN管理平台向网关发送VPN参数配置信息的一个实施例的流程示意图。

如图9所示，步骤902，VPN管理平台生成所述网关的VPN参数配置信息。例如，用户选择需要建立VPN连接的帐号，该帐号对应的用户是之前已经注册成功的；VPN管理平台的VPN参数配置模块根据要建立VPN连接的用户帐号生成其网关对应的VPN参数配置信息。

步骤904，VPN管理平台根据域名和用户名查找到要进行VPN连接的网关的设备ID。

步骤906，VPN管理平台将该网关对应的VPN参数配置信息和网关对应的设备ID发送给ACS管理平台。

步骤908，ACS管理平台将VPN参数配置信息转化为TR069协议，并下发给指定的网关。

步骤910，网关在接收到VPN参数配置后执行加载操作，以更新网关的VPN配置信息。

本发明提供的实现VPN业务统一接入的方法中VPN管理平台向网关发送VPN参数配置信息的一个实施例中，该方法流程还包括：运营商和/或用户首先通过VPN管理平台创建域，并在域内新建用户帐户。例如，用户通过VPN管理平台提供的VPN帐户管理模块创建域，并在域内新建用户帐号(包括用户名和密码)。

本发明提供的实现VPN业务统一接入的方法中VPN管理平台向网关发送VPN参数配置信息的一个实施例中，在网关加载VPN配置信息成功后向VPN管理平台反馈配置成功的消息，VPN管理平台接收到ACS管理平台转发的网关配置成功的反馈信息后，将更新该网关的VPN连接状态信息。

图10示出根据本发明VPN业务的实现方法中VPN客户端向VPN管理平台远程接入的一个实施例的流程图。

如图10所示，步骤1002，VPN客户端向VPN管理平台发送注册消息。例如，VPN客户端向VPN管理平台发起远程接入请求，并向VPN管理平台发送含有注册信息的消息，注册信息可以包括该客户端的域名、用户名和密码等。

步骤1004，VPN管理平台查找VPN客户端远程接入要连接的网关。例如，VPN管理平台接收到远程接入的VPN客户端的注册信息后，找到其需要远程访问的VPN网关、对应的用户名、设备ID等信息。

步骤1006，VPN管理平台生成远程接入模式下的VPN参数配置模板，并将含有VPN参数配置模板的消息下发到ACS管理平台。例如，VPN管理平台通过VPN参数配置模块生成远程接入模式VPN参数配置模板，并将含有VPN参数配置模板和设备ID的消息下发至ACS管理平台。

步骤1008，ACS管理平台将含有VPN参数配置模块的消息依照TR09协议进行转化并下发给指定网关。

步骤1010，网关接收将含有VPN参数配置模块的消息并加载该VPN参数配置模板，从而该VPN客户端与指定网关之间建立远程接入模式的VPN连接。

步骤1012，VPN管理平台生成远程接入模式下的VPN参数配置模板并下发到VPN客户端。例如，VPN管理平台通过VPN参数配置模块生成远程接入模式VPN参数配置模板，并将含有VPN参数配置模板的消息直接下发至远程接入的VPN客户端。

本发明提供的VPN业务的实现方法中VPN客户端向VPN管理平台注册的一个实施例中，在客户端的IP地址发生变化后，VPN客户端向VPN管理平台重新上报注册请求，从而重新完成注册和远程接入请求的流程。

本发明提供的VPN业务的实现方法及系统，通过建立VPN管理平台，与ACS管理平台协同工作，实现对企业网关VPN业务的统一管理，并消除企业网关端到端模式和远程接入模式VPN配置的差异性。参考前述本发明示例性的描述，本领域技术人员可以清楚的知晓本发明具有以下优点：

1、针对现有技术中ACS管理平台的复杂度，不利于系统功能的简单实现的问题，本发明采用VPN管理平台来负责VPN业务的配置与管理，ACS管理平台负责将VPN管理平台生成的配置转化为TR069协议下发到指定网关和VPN客户端；从而简化了ACS管理平台实现的复杂度，方便用户使用和维护。

2、针对现有技术不支持客户端远程接入模式VPN的参数自动配置的问题，本发明将VPN进行分域管理，同一域内可以分配多个VPN帐户；在VPN管理平台中，域和VPN帐户可以唯一地标识一个网关或客户端，通过VPN管理平台实现远程接入模式和端和端模式VPN的融合，同一域内网关之间建立端到端VPN连接，PC客户端与网关之间建立远程接入VPN连接。

3、针对现有技术中用户每新增一个端对端VPN节点时，都需要向运营商提供设备ID标识，增加了用户开通VPN业务的难度和复杂性的问题；本发明中通过VPN管理平台将VPN帐户的管理交给用户，用户可以增加和删除VPN帐户，便于用户增加、删除或变更VPN连接。

4、针对现有技术中一旦用户提供的设备标识错误或运营商运维人员误操作时，会导致建立错误的VPN连接建立，引发安全问题；本发明中用户在VPN客户端上只需要配置域名、用户名、密码，便可以通过VPN远程接入网关。此外、用户不需要登录网关便可以实时查看VPN连接的状态。

本发明的实施例是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显而易见的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (11)

1.一种VPN业务的实现方法，其特征在于，所述方法包括：

VPN管理平台接收来自VPN用户的VPN账号信息，根据存储的所述VPN账号和网关的对应信息获得对应的网关信息；

所述VPN管理平台生成对应网关的VPN参数配置信息，并将所述VPN参数配置信息发送给自动配置服务器ACS管理平台；

所述ACS管理平台将所述VPN参数配置信息转发给对应网关；

对应网关接收并加载所述VPN参数配置信息。

2.根据权利要求1所述的方法，其特征在于，当所述VPN用户为VPN客户端时，所述VPN用户的对应网关信息为所述VPN客户端的接入网关信息；所述VPN管理平台生成远程接入模式的VPN参数配置信息，所述方法还包括：

所述VPN管理平台将所述VPN客户端的VPN参数配置信息发送给所述VPN客户端；

所述VPN客户端和接入网关建立远程接入模式的VPN连接。

3.根据权利要求1所述的方法，其特征在于，当所述VPN用户为网关时，所述VPN用户的对应网关信息为与网关建立端到端连接的对端网关信息；所述方法还包括：

所述VPN管理平台将网关的参数配置信息通过所述ACS发送给对端网关；

网关和对端网关建立端到端VPN连接。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：建立远程接入模式的VPN连接后，所述VPN客户端的IP地址发生变化后，所述VPN客户端向所述VPN管理平台重新发送所述VPN账号信息；其中所述VPN账号信息包括：域名、用户名和密码。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：在网关上线时，将网关的设备ID、所在域名、用户名和密码通过所述ACS管理平台转发给所述VPN管理平台；所述VPN管理平台在对网关认证通过后将所述设备ID、所述域名和所述用户名进行绑定，并将网关的状态更新为VPN注册状态。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括，当所述网关的IP地址发生变化时，所述网关将向所述ACS管理平台发送IP变化通知；

所述ACS管理平台修改所述网关的“设备ID”和“IP地址”的绑定关系，同时由所述ACS管理平台通知所述VPN管理平台；

所述VPN管理平台检查出同一VPN域中受影响的所述网关和VPN客户端，直接向所述VPN客户端下发新的VPN配置参数，并通过所述ACS管理平台向受影响的所述网关重新下发所述新的VPN配置参数。

7.一种VPN业务的实现系统，其特征在于，所述系统包括：

VPN管理平台，用于接收来自VPN用户的VPN账号信息，根据存储的所述VPN账号和网关的对应信息获得对应的网关信息；生成对应网关的VPN参数配置信息，并将所述VPN参数配置信息发送给自动配置服务器ACS管理平台；

所述ACS管理平台，用于接收来自所述VPN管理平台发送的所述VPN参数配置信息，并将所述VPN参数配置信息发送给对应网关；

对应网关，用于接收所述ACS管理平台转发的所述VPN参数配置信息，并加载所述VPN参数配置信息。

8.根据权利要求7所述的系统，其特征在于，所述VPN管理平台还用于为所述VPN用户提供VPN帐户管理界面，向所述VPN用户提供当前VPN连接状态的查询界面，以及新建、拆除或重建所述VPN连接的界面，向所述ACS管理平台发送状态查看请求，以及接收所述ACS管理平台返回的当前所述网关的VPN连接状态；向所述ACS管理平台发送VPN连接维护请求，对所述网关的VPN连接进行维护；

所述ACS管理平台还用于接收来自所述VPN管理平台的状态查看请求，并转发给所述网关；接收所述网关上报的所述VPN连接状态，并转发给所述VPN管理平台；接收来自所述VPN管理平台的VPN连接维护请求，并转发给所述网关；接收所述网关上报的VPN状态信息，并转发给所述VPN管理平台；

所述网关还用于接收所述ACS管理平台转发的所述状态查看请求，并向所述ACS管理平台返回当前所述网关的VPN连接状态；接收所述ACS管理平台转发的所述VPN连接维护请求以便对所述网关的VPN连接进行维护，并向所述ACS管理平台返回维护结果。

9.一种VPN管理平台，其特征在于，所述VPN管理平台包括：

VPN配置参数收发模块，用于接收来自VPN用户的VPN账号信息，将所述VPN帐号信息发送给VPN参数配置模块；接收来自所述VPN参数配置模块的VPN参数配置信息，将VPN参数配置信息发送给自动配置服务器ACS管理平台；

VPN帐户管理模块，用于存储的所述VPN账号和网关的对应信息；

所述VPN参数配置模块，用于接收所述VPN账号信息，根据所述VPN帐户管理模块存储的所述VPN账号和网关的对应信息获得对应的网关信息，生成对应网关的VPN参数配置信息，将所述VPN参数配置信息发送给所述VPN配置参数收发模块。

10.根据权利要求9所述的VPN管理平台，其特征在于，所述VPN管理平台还包括：VPN状态查看及维护模块，用于向所述VPN用户提供查询界面，向所述VPN配置参数收发模块发送VPN状态查询请求，接收所述ACS管理平台返回的所述VPN用户的VPN连接状态，获取当前VPN连接状态，以及向所述VPN配置参数收发模块发送新建、拆除或重建所述VPN连接的请求，以便所述VPN用户与所述对应的网关新建、拆除或重建所述VPN连接。

11.根据权利要求9所述的VPN管理平台，其特征在于，所述VPN帐户管理模块还用于为所述VPN帐号提供VPN帐户管理界面，所述VPN用户以企业为单位创建域，并在同一域中创建多个用户名；其中，所述域和所述用户名的组合标识所述VPN帐号。

Images