具体实施方式

下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述。

图1示出本公开一些实施例的VPN接入方法的流程示意图。

如图1所示，该实施例的方法包括：

在步骤110，VPN网关和VPN客户端分别向VPN控制器发送注册信息，VPN控制器接收VPN网关和VPN客户端发送的注册信息。VPN控制器在接收VPN网关和VPN客户端发送的注册信息之后，对VPN网关和VPN客户端不回应任何信息。通过“我暗敌明”的攻防策略，使得攻击者难以探测到VPN控制器，从而防止探测攻击行为。

在一些实施例中，VPN控制器对VPN网关的身份和注册信息的完整性进行验证，如果验证通过，判定VPN网关注册成功，对VPN客户端的身份和注册信息的完整性进行验证，如果验证通过，判定VPN客户端注册成功，以便对注册成功的VPN客户端发送的接入注册成功的VPN网关的请求进行响应。其中，身份认证可以防止认证方被伪冒；信息的完整性验证可以防止信息被篡改。

其中，VPN控制器对VPN网关的身份和注册信息的完整性进行验证的一种示例性方法包括：VPN网关对准备发送的注册信息进行哈希运算生成注册信息的摘要信息，通过对称加密方法(即，同一个密钥可以同时用作信息的加密密钥和解密密钥)利用对称密钥将注册信息和其摘要信息进行加密得到密文，将密文利用VPN网关的私钥进行加密得到签名，将密文及其签名一起发送给VPN控制器；VPN控制器接收VPN网关发送的密文及其签名，利用VPN网关的公钥对签名进行解密，如果解密得到的信息与接收的密文一致，可以确认发送密文及其签名就是VPN网关，即确认VPN网关的身份，然后，利用对称密钥对接收的密文进行解密得到注册信息和其摘要信息，对解密得到的注册信息进行相同的哈希运算生成相应的摘要信息，如果生成的摘要信息与解密得到的摘要信息一致，说明注册信息未被篡改，即确认注册信息是完整的。

其中，VPN控制器对VPN客户端的身份和注册信息的完整性进行验证的方法与VPN控制器对VPN网关身份和注册信息的完整性进行验证的方法相似，仅需要一些适应性的调整，例如，签名时使用VPN客户端的私钥，签名验证时使用VPN客户端的公钥，因此，这里不再赘述VPN客户端的验证方法。

其中，VPN网关的注册信息例如包括VPN网关的标识、IP地址、端口号、时间戳等信息。VPN客户端的注册信息例如包括VPN客户端的标识、IP地址、端口号、时间戳等信息。

在另一些实施例中，如果对VPN网关的身份和注册信息的完整性的验证通过，且VPN网关的注册信息携带的时间戳在有效期内，VPN控制器判定VPN网关注册成功；如果对VPN客户端的身份和注册信息的完整性的验证通过，且VPN客户端的注册信息携带的时间戳在有效期内，VPN控制器判定VPN客户端注册成功。其中，信息时效性的验证可以防止信息重放攻击。

其中，注册信息例如通过用户数据报协议(UDP，User Datagram Protocol)报文发送。

在步骤120，VPN网关或VPN客户端向VPN控制器发送心跳信息，VPN控制器接收VPN网关或VPN客户端发送的心跳信息。

其中，心跳信息例如通过UDP报文发送。

在一些实施例中，VPN控制器对VPN网关的身份和心跳信息的完整性进行验证，如果验证通过，判定VPN网关在线，对VPN客户端的身份和心跳信息的完整性进行验证，如果验证通过，判定VPN客户端在线。

其中，VPN控制器对VPN网关的身份和心跳信息的完整性进行验证的方法与VPN控制器对VPN网关身份和注册信息的完整性进行验证的方法相同，这里不再赘述。

在另一些实施例中，如果对VPN网关的身份和心跳信息的完整性的验证通过，且VPN网关的心跳信息携带的时间戳在有效期内，VPN控制器判定VPN网关在线；如果对VPN客户端的身份和心跳信息的完整性的验证通过，且VPN客户端的心跳信息携带的时间戳在有效期内，VPN控制器判定VPN客户端在线。

其中，VPN网关的心跳信息例如包括VPN网关的标识、IP地址、端口号、时间戳等信息。VPN客户端的心跳信息例如包括VPN客户端的标识、IP地址、端口号、时间戳等信息。

在移动办公场景下，随着VPN客户端的移动，VPN客户端的IP地址会发生变化，通过心跳信息可以发现VPN客户端的IP地址的改变，并触发重新认证，实现用户无感知的网络切换。

在步骤130，VPN客户端向VPN控制器发送接入VPN网关的请求。

在步骤140，VPN控制器响应VPN客户端发送的接入VPN网关的请求，对客户端的身份和接入请求的内容的完整性进行验证，具体的验证方法与VPN控制器对VPN客户端身份和注册信息的完整性进行验证的方法相同，这里不再赘述。

在一些实施例中，如果对客户端的身份和接入请求的内容的完整性的验证通过，VPN控制器将VPN网关的信息发送给VPN客户端，将VPN客户端的信息发送给VPN网关。

在另一些实施例中，如果对客户端的身份和接入请求的内容的完整性的验证通过，且接入请求携带的时间戳在有效期内，VPN控制器再执行将VPN网关的信息发送给VPN客户端和将VPN客户端的信息发送给VPN网关的步骤。

在另一些实施例中，在验证操作和时间戳校验之后，VPN控制器还可以判断请求接入的VPN客户端是否有权限接入请求接入的VPN网关，如果是，再执行将VPN网关的信息发送给VPN客户端和将VPN客户端的信息发送给VPN网关的步骤。

其中，接入请求中例如包括发起请求的VPN客户端的标识、IP地址、端口号、时间戳等信息，还包括请求接入的VPN网关的标识、IP地址、端口号、时间戳等信息。VPN控制器发送的VPN网关的信息例如包括VPN网关的标识、IP地址、端口号、时间戳等信息。VPN控制器发送的VPN客户端的信息例如包括VPN客户端的标识、IP地址、端口号、时间戳等信息。

其中，接入请求、VPN网关的信息、VPN客户端的信息例如通过UDP报文发送。

在步骤150，VPN网关接收VPN控制器发送的VPN客户端的信息，对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证，如果验证通过，向VPN网关的网络边界安全设备发送打开针对VPN客户端的连接通道的指示(如激活包)，以使得VPN客户端基于打开的连接通道与VPN网关建立连接。

其中，VPN网关对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证的一种示例性方法包括：VPN控制器对准备发送的VPN客户端的信息进行哈希运算生成相应的摘要信息，利用对称密钥将VPN客户端的信息和其摘要信息进行加密得到密文，将密文利用VPN控制器的私钥进行加密得到签名，将密文及其签名一起发送给VPN网关；VPN网关接收VPN控制器发送的密文及其签名，利用VPN控制器的公钥对签名进行解密，如果解密得到的信息与接收的密文一致，可以确认发送密文及其签名就是VPN控制器，即确认VPN控制器的身份，然后，利用对称密钥对接收的密文进行解密得到VPN客户端的信息和其摘要信息，对解密得到的VPN客户端的信息进行相同的哈希运算生成相应的摘要信息，如果生成的摘要信息与解密得到的摘要信息一致，说明VPN客户端的信息未被篡改，即确认VPN客户端的信息是完整的。

其中，网络边界安全设备例如为防火墙。VPN网关和VPN客户端均可以设置自己的防火墙。

在步骤160，VPN客户端接收到VPN控制器发送的VPN网关的信息，对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证，如果验证通过，基于打开的连接通道与VPN网关建立连接。

VPN客户端对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证的方法与VPN网关对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证的方法相似，这里不再赘述。

在步骤170，VPN客户端与VPN网关进一步协商加密传输方式，然后开始安全传输数据。

其中，VPN客户端与VPN网关例如可以采用IPsec(Internet Protocol Security，互联网协议安全)、SSL(Secure Sockets Layer，安全套接字协议)VPN等协商加密传输方式和传输数据。

本公开实施例，VPN控制器对通过验证的接入请求才进行回应，VPN控制器没有带来安全风险的暴露面；VPN网关接收到VPN控制器发送的请求接入且通过验证的VPN客户端的信息后，指示网络边界安全设备针对该VPN客户端打开连接通道，使得有接入需要且通过验证的该VPN客户端基于打开的连接通道与VPN网关建立连接，其他VPN客户端无法基于打开的连接通道与VPN网关建立连接，VPN网关没有带来安全风险的暴露面；可见，VPN控制器和VPN网关均没有带来安全风险的暴露面，因此，降低了VPN接入过程中存在的安全风险。

无暴露面建立VPN接入方法，主要基于先认证、建立IP连接、再建立安全通道的模式实现。所有设备在建立连接之前，都需要通过控制器的认证，才能获得其他网元的信息，并在需要连接的时候，才激活针对特定设备的连接通道，最小化安全风险。在建立IP通道后，双方协商建立安全通道，实现数据安全传输。不需要对现网结构做任何变更，方便部署。由于采用了心跳机制，自动更新网络变化，适合移动办公场景。在移动办公场景中，网络切换自身IP地址发生变化时，会自动重新认证，建立IP通道，加密传输，对用户透明，实现无感切换。通过先认证后连接的模式，有效感知网络威胁，而攻击者却无法获得任何信息，杜绝暴露面，改变攻防双方的明暗角色，有效防护和预防网络攻击。

图2示出本公开一些实施例的VPN接入系统的示意图。

如图2所示，该实施例的系统包括：VPN控制器210和VPN网关220，还可以包括VPN客户端230。

VPN控制器210，被配置为响应VPN客户端发送的接入VPN网关的请求，对客户端的身份和接入请求的内容的完整性进行验证，如果验证通过，将VPN网关的信息发送给VPN客户端，将VPN客户端的信息发送给VPN网关。

VPN网关220，被配置为对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证，如果验证通过，向VPN网关的网络边界安全设备发送打开针对VPN客户端的连接通道的指示，以使得VPN客户端基于打开的连接通道与VPN网关建立连接。

在一些实施例中，VPN控制器210，被配置为接收VPN网关和VPN客户端发送的注册信息，对VPN网关和VPN客户端不回应任何信息，对VPN网关的身份和注册信息的完整性进行验证，如果验证通过，判定VPN网关注册成功，对VPN客户端的身份和注册信息的完整性进行验证，如果验证通过，判定VPN客户端注册成功，以便对注册成功的VPN客户端发送的接入注册成功的VPN网关的请求进行响应。

在一些实施例中，VPN控制器210，被配置为：

如果对VPN网关的身份和注册信息的完整性的验证通过，且VPN网关的注册信息携带的时间戳在有效期内，判定VPN网关注册成功；

或者，如果对VPN客户端的身份和注册信息的完整性的验证通过，且VPN客户端的注册信息携带的时间戳在有效期内，判定VPN客户端注册成功；

或者，如果对客户端的身份和接入请求的内容的完整性的验证通过，且接入请求携带的时间戳在有效期内，再执行将VPN网关的信息发送给VPN客户端和将VPN客户端的信息发送给VPN网关的步骤；

或者，判断请求接入的VPN客户端是否有权限接入请求接入的VPN网关，如果是，再执行将VPN网关的信息发送给VPN客户端和将VPN客户端的信息发送给VPN网关的步骤。

在一些实施例中，VPN控制器210，还被配置为接收VPN网关或VPN客户端发送的心跳信息，对VPN网关的身份和心跳信息的完整性进行验证，如果验证通过，判定VPN网关在线，对VPN客户端的身份和心跳信息的完整性进行验证，如果验证通过，判定VPN客户端在线。

在一些实施例中，VPN客户端230，被配置为在接收到VPN控制器发送的信息后，对VPN控制器的身份和VPN控制器发送的信息的完整性进行验证，如果验证通过，基于打开的连接通道与VPN网关建立连接。

本公开的一些实施例提出一种非瞬时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现任一个实施例所述的VPN接入方法的步骤。

本领域内的技术人员应当明白，本公开的实施例可提供为方法、系统、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机程序代码的非瞬时性计算机可读存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本公开是参照根据本公开实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解为可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本公开的较佳实施例，并不用以限制本公开，凡在本公开的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本公开的保护范围之内。