[发明专利]一种实现VPN配置服务的方法和系统

说明书

技术领域

本发明涉及VPN(Virtual Private Network，虚拟专用网)领域，具体是一种实现VPN配置服务的方法和系统。

背景技术

VPN网络通常由CE设备(Customer Edge，客户边缘设备)、PE设备(Provider Edge，网络边缘设备)和P设备(Provider，网络内部设备)构成。其中CE设备是客户边缘节点，是在同一个站点的VPN客户端点的出/入口；PE设备是传送网络的边缘节点，作为传送网络负责向客户提供VPN服务的边缘设备，一个PE设备至少与一个CE设备相连，并且至少和另外一个传送网络设备，即PE或者P相连。P设备是传送网络内部的传送设备，P设备和传送网络内部其它的传送设备相连，但不直接和CE设备相连。

现有技术一提供的VPN服务通常由网络管理系统，即NMS(NetworkManagement System，网络管理系统)来实现，如图1所示，通过NMS完成VPN网络的配置和客户VPN连接业务的建立，具体步骤如下：

1、在NMS中手动配置VPN信息，包括VPN成员信息、VPN策略信息等；

2、客户需要建立VPN连接时，客户向NMS发送VPN连接请求消息；

3、NMS根据预先配置的VPN信息验证客户请求，验证通过后，建立网络连接。

现有技术二是IETF草案draft-ietf-vpn-bgp-auto-discovery-00，其中描述了通过BGP协议(Border Gateway Protocol，边界网关协议)实现VPN成员的自动发现并提供VPN服务的方法。结合其中所描述的成员自动发现方法，网络提供VPN连接服务的具体步骤如下：

1、在PE设备上配置所接入的CE成员信息，并通过<CPI PPI>来标识该VPN成员，其中CPI为CE设备上接入网络设备的端口标识，PPI为PE设备上连接该CE设备的端口标识；

2、PE设备通过配置VPN成员信息后，通过BGP协议与该VPN中的其它PE设备进行交互，通过这种BGP的自动发现机制最终会在VPN中所有的PE设备中形成VPN成员信息表PIT；

3、当某个CE设备需要和VPN中的其它成员之间通讯时，PE设备根据VPN成员信息表PIT来验证客户VPN通讯请求，验证通过后，建立VPN网络连接。

在上述现有技术方案中，VPN成员信息以及VPN策略信息都需要通过管理员在NMS或者PE设备上进行手动配置；当VPN成员发生动态变化时，对VPN网络配置信息的增加、删除和修改等操作的时延大，管理方式不灵活。

发明内容

本发明提供一种实现VPN配置服务的方法和系统，能够灵活配置VPN成员信息，并设置VPN策略信息，实现VPN成员的动态加入和退出处理。

本发明方法，包括如下步骤：

(1)网络收到VPN配置请求消息，利用目录服务表对所述VPN配置请求消息进行验证；

(2)验证通过后，更新所述目录服务表，完成所述VPN配置。

上述对VPN配置请求消息的验证由目录服务器完成，所述目录服务表保存在所述目录服务器上。

上述对VPN配置请求消息的验证也可由网络边缘设备完成，所述目录服务表保存在所述网络边缘设备上。

其中，所述VPN配置请求消息是添加VPN成员的请求消息，所述VPN配置请求消息包括VPN标识和VPN成员标识，所述步骤(2)具体包括步骤：

验证所述VPN标识是否存在于目录服务表中，若存在，则进一步验证所述VPN成员标识是否存在于所述VPN标识对应的表项中，若不存在，则验证通过，将所述VPN成员标识添加到目录服务表中；

或者，

验证所述VPN标识是否存在于目录服务表中，若存在，则进一步验证所述VPN成员标识是否存在于所述VPN标识对应的表项中，若不存在，则进一步验证是否符合目录服务表中基于所述VPN的策略信息，若符合，则验证通过，将所述VPN成员标识添加到目录服务表中。

其中，所述VPN配置请求消息是删除VPN成员的请求消息，所述VPN配置请求消息包括VPN标识和VPN成员标识，，所述步骤(2)具体包括步骤：

验证所述VPN标识与所述VPN成员标识是否存在于目录服务表的一个表项中，若是，则进一步验证所述表项中的策略信息是否允许VPN成员动态退出，若是，则验证通过，删除目录服务表中的所述表项。