CN103188266A - 一种基于ezvpn的地址分配回收动态控制方法和系统 - Google Patents

Abstract

本发明公开了一种基于ezvpn的地址分配回收动态控制方法和系统，第一客户端主机通过ezvpn软件与防火墙建立ipsec隧道连接，防火墙为其分配第一私网地址；如果第一客户端主机与防火墙之间建立的ipsec隧道断开，当其它客户端主机与防火墙之间再次建立ipsec隧道连接时，查询第一私网地址是否被回收，如果是则对第一私网地址重新分配给其它客户端主机，否则保留第一私网地址，为其它客户端主机分配其它私网地址。本发明对用户访问进行记录，并根据访问的服务器类型判断对私网地址是否要在ipsec隧道断开时进行回收或延时回收，只有回收的私网地址才会重新分配给其它用户进行访问，对私网地址进行动态的分配和回收。

Description

一种基于ezvpn的地址分配回收动态控制方法和系统

技术领域

本发明涉及虚拟网络管理领域，尤其涉及一种基于ezvpn的地址分配回收动态控制方法和系统。

背景技术

ezvpn（Easy VPN缩写，是Cisco专用VPN技术）是使用带ipsec接入功能的PC作为客户端，使用带ipsec功能的网络设备做ipsec服务器接入端（网络设备服务器可以为带ezvpn接入功能的防火墙），其中网络设备与PC进行ipsec隧道建立的过程中，可选择的分配私网地址，该私网地址被PC获得之后，可以使用该私网地址对与网络设备相连接的私网设备进行通信，达到数据报文通过公网ipsec隧道实现加密传输，解密后再通过私网IP地址对私网设备进行访问的目的，此时私网IP地址的分配和回收完全由ipsec网络设备服务器负责。在正常情况下，当PC主动断开或者ipsec网络设备服务器发现ipsec隧道异常（通过ipsec隧道自身携带的dpd数字预失真功能可发现网络不通等异常情况）主动断开ipsec隧道连接时，ipsec网络设备分配给PC的私网IP地址被回收，当有另外的PC进行ipsec隧道建立时再分配给另外的PC设备。但是上述分配在回收的控制过程中有以下缺陷：

某公司的财务人员a使用外网IP地址为202.1.1.1的PC的ezvpn功能向ipsec网络设备服务器（外网地址为202.1.1.2）发起ipsec隧道连接，此时网络设备服务器按照私网地址池的顺序给财务人员a分配私网IP地址1.1.1.1，财务人员a使用私网地址1.1.1.1对私网中的财务服务器进行访问，此时财务人员a通过财务服务器的AAA功能（认证、授权、计费三种安全功能）进行用户认证，财务服务器记录下该私网IP地址1.1.1.1为用户已授权。当财务人员a没有按照正常流程退出财务服务器登陆窗口或者由于网络愿原因导致隧道断开时，ipsec网络设备服务器将私网IP地址1.1.1.1进行回收。既然私网IP地址1.1.1.1已经被回收，接下来如果有普通员工b也通过ezvpn接入ipsec网络设备服务器，那么很大几率就会也分配到私网IP地址1.1.1.1，那么这个普通员工b就可以访问到本来没有访问权限的财务服务器，造成很严重的后果。

综上所述，由于私网地址的分配和回收中存在上述漏洞，就会造成服务器中重要数据尤其是保密数据被本没有访问权限的用户端访问到，对信息安全造成不可估量的危害。

发明内容

（一）要解决的技术问题

针对上述缺陷，本发明要解决的技术问题是如何解决私网地址回收中的问题，对访问权限进行控制，保证信息安全。

（二）技术方案

为解决上述问题，本发明提供了一种基于ezvpn的地址分配回收动态控制方法，所述方法具体包括：

S1：在防火墙设置所述第一私网地址为访问延时回收地址；

S2：第一客户端主机通过ezvpn软件与所述防火墙建立ipsec隧道连接，所述防火墙为所述第一客户端主机分配第一私网地址；

S3：所述第一客户端主机通过所述防火墙根据所述第一私网地址访问第一服务器；

S4：如果所述第一客户端主机与所述防火墙之间建立的ipsec隧道断开，当其它客户端主机与所述防火墙之间再次建立ipsec隧道连接时，查询所述第一私网地址是否被回收，如果是则将所述第一私网地址重新分配给所述其它客户端主机，否则保留所述第一私网地址，为所述其它客户端主机分配其它私网地址。

进一步地，所述第一私网地址存在于私网地址池的起始位置，所述其它私网地址按顺序排列在所述私网地址池中。

进一步地，所述步骤S3具体包括：所述防火墙接收到ESP报文并进行解密，对所述ESP报文进行去头处理，得到所述第一客户端主机访问的地址，其中所述ESP报文中包含所述第一私网地址。

进一步地，所述步骤S3还包括：所述第一客户端主机访问其它服务器则不更新私网地址回收当前时间；如果所述第一客户端主机再次访问所述第一服务器则更新所述私网地址回收当前时间。

进一步地，所述步骤S4中ipsec隧道断开包括：由所述第一客户端主机主动断开，或所述防火墙根据保活机制发现链路异常而自动断开。

为解决上述问题，本发明还提供了一种基于ezvpn的地址分配回收动态控制系统，所述系统包括：

客户端单元、防火墙和服务器单元；

所述服务器单元包括第一服务器，所述第一客户端主机根据所述第一私网地址访问所述第一服务器；

所述客户端单元中的第一客户端主机通过ezvpn软件与所述防火墙建立ipsec隧道连接，所述第一客户端主机通过所述防火墙根据所述第一私网地址访问第一服务器；

所述防火墙用于设置所述第一私网地址为访问延时回收地址，为所述第一客户端主机分配第一私网地址，经过所述延时时间后，与所述第一客户端主机之间建立的ipsec隧道断开；如果所述第一客户端主机与所述防火墙之间建立的ipsec隧道断开，当客户端单元中的其它客户端主机与所述防火墙之间再次建立ipsec隧道连接时，查询所述第一私网地址是否被回收，如果是则将所述第一私网地址重新分配给所述其它客户端主机，否则保留所述第一私网地址，为所述其它客户端主机分配其它私网地址。

进一步地，所述第一私网地址存在于私网地址池的起始位置，所述其它私网地址按顺序排列在所述私网地址池中。

进一步地，所述防火墙接收到ESP报文并进行解密，对所述ESP报文进行去头处理，得到所述第一客户端主机访问的地址，其中所述ESP报文中包含所述第一私网地址。

进一步地，所述第一客户端主机访问其它服务器则不更新私网地址回收当前时间；如果所述第一客户端主机再次访问所述第一服务器则更新所述私网地址回收当前时间。

（三）有益效果

本发明提供了一种基于ezvpn的地址分配回收动态控制方法和系统，通过对ezvpn接入用户的访问进行记录，并根据访问的服务器类型来判断私网地址是否要在PC用户隧道断开时进行延时回收，只有回收的私网地址才会重新分配给其它用户进行访问，而对于没有回收的私网地址仍然保留，进行延时回收，即达到延时时间才进行回收，实现对私网地址进行合理的分配和延时回收，对私网地址进行动态的分配和回收。

附图说明

图1为本发明实施例一中的一种基于ezvpn的地址分配回收动态控制方法的步骤流程图；

图2为本发明实施例一中的防火墙与客户端、服务器的接口连接示意图；

图3为本发明实施例二中的一种基于ezvpn的地址分配回收动态控制系统组成示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

实施例一

本发明实施例一中提供了一种基于ezvpn的地址分配回收动态控制方法，步骤流程如图1所示，具体包括以下步骤：

步骤S1：在防火墙上设置第一私网地址为访问延时回收地址。

其中，第一私网地址存在于私网地址池的起始位置，其它私网地址按顺序排列在私网地址池中。

本实施例中的防火墙与客户端、服务器的接口连接示意图如图2所示，其中第一客户端主机PC1的本地IP地址为202.1.1.1，第二客户端主机PC2的本地IP地址为202.1.1.2，防火墙fw_server的外网接口的IP地址为202.1.1.3，内网接口的IP地址为172.0.0.1，私网地址池：172.0.0.2---172.0.0.100，第一服务器的IP地址为172.0.0.101，第二服务器的IP地址为172.0.0.102。

如果172.0.0.2为第一私网地址，在私网地址池的起始位置，其它私网地址172.0.0.3---172.0.0.100往后依次排列，本实施例中配置访问延时回收地址就是172.0.0.2，同时配置延时时间为1小时。

步骤S2：第一客户端主机通过ezvpn软件与防火墙建立ipsec隧道连接，防火墙为第一客户端主机分配第一私网地址。

本实施例中防火墙fw_server为第一客户端主机PC1分配了私网地址为172.0.0.2。防火墙接收到ESP报文并进行解密，对所述ESP报文进行去头处理，得到第一客户端主机PC1访问的地址，其中ESP报文中包含第一私网地址。同时分配给第一客户端主机PC1的私网地址回收定时的初始时间为9点45分。第一客户端主机PC1根据第一私网地址172.0.0.2访问第一服务器（IP地址为172.0.0.101）。

从初始时间9点45分开始到延时时间（延时时间为1小时，即在10点45分定时结束）结束之前，第一客户端主机PC1访问其它服务器（如第二服务器Httpserver2）则不更新私网地址回收时间当前时间；如果第一客户端主机PC1再次访问第一服务器Httpserver1则更新私网地址回收时间当前时间10点15分（举例时间）。

步骤S3：第一客户端主机通过防火墙根据第一私网地址访问第一服务器。

第一客户端主机PC1根据第一私网地址172.0.0.2访问第一服务器（IP地址为172.0.0.101），并记录私网地址回收当前时间为9点45分。

步骤S4：如果第一客户端主机与防火墙之间建立的ipsec隧道断开，当其它客户端主机与防火墙之间再次建立ipsec隧道连接时，查询第一私网地址是否被回收，如果是则对第一私网地址重新分配给其它客户端主机，否则保留第一私网地址，为其它客户端主机分配其它私网地址。

如果第二客户端主机PC2与防火墙fw_server之间建立ipsec隧道连接，则首先查询第一私网地址172.0.0.2的使用情况（即是否已经回收），如果第一私网地址172.0.0.2已经回收，则它还在私网地址池的首位置，则对第一私网地址172.0.0.2重新分配，可以分配给第二客户端主机PC2，第二客户端主机PC2通过防火墙fw_server访问相应的服务器；相反如果第一私网地址172.0.0.2没有回收，则仍标记为被使用的状态，因此要对其进行保留，不可以分配给其它客户端主机。这样就可以防止原本不能够访问财务服务器的第二客户端主机访问财务服务器，对财务服务器中的数据信息造成威胁。

通过上述方法，通过对ezvpn接入用户的访问进行记录，并根据访问的服务器类型来判断私网地址是否要在PC用户隧道断开时进行延时回收，只有回收的私网地址才会重新分配给其它用户进行访问，而对于没有回收的私网地址仍然保留，直到达到延时时间才进行回收，实现对私网地址进行合理的分配和延时回收，对私网地址进行动态的分配和回收。

实施例二

本发明的实施例二提供了一种基于ezvpn的地址分配回收动态控制系统，组成示意图如图3所示，所述系统包括：

客户端单元31、防火墙32和服务器单元33。

服务器单元33包括第一服务器331，客户端单元31中的第一客户端主机311通过ezvpn软件与防火墙32建立ipsec隧道连接，第一客户端主机311通过防火墙32根据第一私网地址172.0.0.2访问第一服务器331。其中第一私网地址172.0.0.2存在于私网地址池（172.0.0.2---172.0.0.100）的起始位置，其它私网地址（172.0.0.3---172.0.0.100）按顺序排列在私网地址池中。

防火墙32用于设置第一私网地址为访问延时回收地址，并配置延时时间1小时，还为第一客户端主机311分配第一私网地址172.0.0.2，同时设置初始时间9点45分。

防火墙32与第一客户端主机311之间建立的ipsec隧道断开。其中ipsec隧道断开包括：第一客户端主机311主动断开，或防火墙32根据保活机制发现链路异常而自动断开，即具体原因是用户操作设备进行断开，或者是ipsec隧道的保活机制发现链路异常而自动断开。

防火墙32接收到ESP报文并进行解密，对ESP报文进行去头处理，得到第一客户端主机311访问的地址，其中ESP报文中包含第一私网地址172.0.0.2。

当客户端单元31中的其它客户端主机（如第二客户端主机312）与防火墙32之间再次建立ipsec隧道连接时，查询第一私网地址172.0.0.2是否被回收，如果是则对第一私网地址172.0.0.2进行重新分配，否则保留第一私网地址172.0.0.2，为其它客户端主机分配其它私网地址。第一客户端主机311访问其它服务器则不更新私网地址回收当前时间；如果第一客户端主机311再次访问第一服务器331则更新私网地址回收当前时间。

服务器单元33包括第一服务器331，第一客户端主机311根据第一私网地址172.0.0.2访问第一服务器(Httpserver1)331。

防火墙32查询第一客户端主机311是否访问过第一服务器(Httpserver1)331，如果没有访问过则直接回收第一私网地址172.0.0.2，否则查看最后一次访问时间，如果初始时间到当前时间的时间差没有达到延时时间，则在剩余时间内将第一私网地址172.0.0.2回收，假设最后一次访问时间到最终延时回收时间还差30分钟，则在剩余30分钟内将第一私网地址172.0.0.2回收；否则直接将第一私网地址172.0.0.2回收。

如果第二客户端主机332与防火墙(fw_server)32之间建立ipsec隧道连接，则首先查询第一私网地址172.0.0.2的使用情况（即是否已经回收），如果第一私网地址172.0.0.2已经回收，则它还在私网地址池的首位置，则对第一私网地址172.0.0.2重新分配，可以分配给第二客户端主机332，第二客户端主机332通过防火墙(fw_server)32访问相应的服务器；相反如果第一私网地址172.0.0.2没有回收，则仍标记为被使用的状态，因此要对其进行保留，不可以分配给其它客户端主机。

通过使用上述系统，通过对ezvpn接入用户的访问进行记录，并根据访问的服务器类型来判断私网地址是否要在PC用户隧道断开时进行延时回收，只有回收的私网地址才会重新分配给其它用户进行访问，而对于没有回收的私网地址仍然保留，直到达到延时时间才进行回收，实现对私网地址进行合理的分配和延时回收，对私网地址进行动态的分配和回收。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (9)

1.一种基于ezvpn的地址分配回收动态控制方法，其特征在于，所述方法具体包括：

S1：在防火墙设置所述第一私网地址为访问延时回收地址；

S2：第一客户端主机通过ezvpn软件与所述防火墙建立ipsec隧道连接，所述防火墙为所述第一客户端主机分配第一私网地址；

S3：所述第一客户端主机通过所述防火墙根据所述第一私网地址访问第一服务器；

S4：如果所述第一客户端主机与所述防火墙之间建立的ipsec隧道断开，当其它客户端主机与所述防火墙之间再次建立ipsec隧道连接时，查询所述第一私网地址是否被回收，如果是则将所述第一私网地址重新分配给所述其它客户端主机，否则保留所述第一私网地址，为所述其它客户端主机分配其它私网地址。

2.如权利要求1所述的方法，其特征在于，所述第一私网地址存在于私网地址池的起始位置，所述其它私网地址按顺序排列在所述私网地址池中。

3.如权利要求1所述的方法，其特征在于，所述步骤S3具体包括：所述防火墙接收到ESP报文并进行解密，对所述ESP报文进行去头处理，得到所述第一客户端主机访问的地址，其中所述ESP报文中包含所述第一私网地址。

4.如权利要求1所述的方法，其特征在于，所述步骤S3还包括：所述第一客户端主机访问其它服务器则不更新私网地址回收当前时间；如果所述第一客户端主机再次访问所述第一服务器则更新所述私网地址回收当前时间。

5.如权利要求1所述的方法，其特征在于，所述步骤S4中ipsec隧道断开包括：由所述第一客户端主机主动断开，或所述防火墙根据保活机制发现链路异常而自动断开。

6.一种基于ezvpn的地址分配回收动态控制系统，其特征在于，所述系统包括：

客户端单元、防火墙和服务器单元；

所述服务器单元包括第一服务器；

所述客户端单元中的第一客户端主机通过ezvpn软件与所述防火墙建立ipsec隧道连接，所述第一客户端主机通过所述防火墙根据所述第一私网地址访问第一服务器；

所述防火墙用于设置所述第一私网地址为访问延时回收地址，为所述第一客户端主机分配第一私网地址，经过所述延时时间后，与所述第一客户端主机之间建立的ipsec隧道断开；如果所述第一客户端主机与所述防火墙之间建立的ipsec隧道断开，当客户端单元中的其它客户端主机与所述防火墙之间再次建立ipsec隧道连接时，查询所述第一私网地址是否被回收，如果是则将所述第一私网地址重新分配给所述其它客户端主机，否则保留所述第一私网地址，为所述其它客户端主机分配其它私网地址。

7.如权利要求6所述的系统，其特征在于，所述第一私网地址存在于私网地址池的起始位置，所述其它私网地址按顺序排列在所述私网地址池中。

8.如权利要求6所述的系统，其特征在于，所述防火墙接收到ESP报文并进行解密，对所述ESP报文进行去头处理，得到所述第一客户端主机访问的地址，其中所述ESP报文中包含所述第一私网地址。

9.如权利要求6所述的系统，其特征在于，所述第一客户端主机访问其它服务器则不更新私网地址回收当前时间；如果所述第一客户端主机再次访问所述第一服务器则更新所述私网地址回收当前时间。

Images