虚拟ip地址的分配方法及装置的制造方法

虚拟ip地址的分配方法及装置的制造方法
【专利摘要】本发明是关于虚拟IP地址的分配方法及装置，所述方法包括：向所述VPN服务端发送隧道建立请求报文；其中，所述隧道建立请求报文包括用户名和用户密码；接收所述VPN服务端在针对所述用户名和用户密码验证通过后发送的用于指示同意建立VPN隧道的通知报文；接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配用于建立VPN隧道的虚拟IP地址。由于本发明使用VPN客户端为与其相连的若干个VPN服务端分配对应的虚拟IP地址，因此，可以解决相关技术中因若干个VPN服务端为自身分配了相同的虚拟IP地址导致的监控系统出现无法互连的问题。
【专利说明】
虚拟IP地址的分配方法及装置
技术领域
[0001] 本发明设及通信技术领域，尤其设及一种虚拟IP地址的分配方法及装置。
【背景技术】
[0002] 随着标准化且易扩展的网络技术和IP技术的不断发展，基于IP和网络的智能监控 技术得到了快速发展，IP监控已经成为目前监控的主流。在公安国标协议的多级多域监控 组网中，各个市局平台和省厅平台之间互连，但是由于省厅平台与若干个市局平台通过NAT (Network Ad化ess Translation,网络地址转换）隔离，且省厅平台一般处于NAT内部，因 此，当市局平台与省厅平台进行数据交互时，需要使用VPN(Vbtual Private化twork，虚 拟专用网络)技术。
[0003] 相关技术中，省厅平台和若干个市局平台之间可W建立VPN隧道，从而使得该若干 个市局平台可W通过VPN隧道与省厅平台进行数据交互，例如市局平台可W通过VPN隧道向 省厅平台发送注册请求等。在省厅平台与若干个市局平台建立VPN隧道的过程中，由该若干 个市局平台为自身W及省厅平台分配对应的虚拟IP地址。但由于不同的市局平台可能会为 自身分配相同的虚拟IP地址，因此，相关技术会造成市局平台虚拟IP地址的冲突，从而使得 公安国标协议的多级多域监控系统出现无法互联的问题。

【发明内容】

[0004] 为克服相关技术中存在的问题，本发明提供了一种虚拟IP地址的分配方法及装 置。
[0005] 本发明提供一种虚拟IP地址的分配方法，所述方法应用于虚拟专用网络VPN客户 端，其中，所述VPN客户端与若干个下级域VPN服务端通过NAT隔离，所述VPN客户端处于NAT 内部，所述方法包括：
[0006] 向所述VPN服务端发送隧道建立请求报文;其中，所述隧道建立请求报文包括用户 名和用户密码；
[0007] 接收所述VPN服务端在针对所述用户名和用户密码验证通过后发送的用于指示同 意建立VPN隧道的通知报文；
[000引接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配用于建立VPN隧 道的虚拟IP地址。
[0009] 作为改进，所述方法还包括：
[0010] 当所述VPN服务端检测到新接入设备时，接收所述VPN服务端发送的为所述新接入 设备请求虚拟IP地址的地址请求报文；
[0011] 基于接收到的所述地址请求报文从预设的地址池中为所述新接入的设备分配用 于建立VPN隧道的虚拟IP地址。
[0012] 作为改进，所述方法还包括：
[0013] 从所述预设的地址池中为所述VPN服务端分配虚拟IP地址后，向所述VPN服务端W 及所述VPN服务端所在域内的其他VPN服务端下发与分配的所述虚拟IP地址所在网段对应 的路由表项；
[0014] 从所述预设的地址池中为所述VPN服务端的新接入设备分配虚拟IP地址后，向所 述接入设备下发与分配的所述虚拟IP地址所在网段对应的路由表项。
[0015] 作为改进，当所述预设的地址池中已分配的虚拟IP地址占地址池中虚拟IP地址总 数的比例超过阔值时，基于预设的虚拟IP地址迁移策略将所述地址池中已分配的虚拟IP地 址迁移至预设的其它地址池;其中，所述迁移策略包括优先将接入设备最少的VPN服务端及 其接入设备的虚拟IP地址进行修改。
[0016] 作为改进，所述方法还包括：
[0017] 如果所述VPN服务端或者所述VPN服务端的接入设备下线后，未在已分配的所述虚 拟IP地址的老化时间内再次上线，则针对已经分配的所述虚拟IP地址执行回收操作。
[0018] 本发明同时还提供一种虚拟IP地址的分配装置，所述装置应用于虚拟专用网络 VPN客户端，其中，所述VPN客户端与若干个下级域VPN服务端通过NAT隔离，所述VPN客户端 处于NAT内部，其特征在于，所述装置包括：
[0019] 发送模块，用于向所述VPN服务端发送隧道建立请求报文;其中，所述隧道建立请 求报文包括用户名和用户密码；
[0020] 接收模块，用于接收所述VPN服务端在针对所述用户名和用户密码验证通过后发 送的用于指示同意建立VPN隧道的通知报文；
[0021] 分配模块，用于接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配 用于建立VPN隧道的虚拟IP地址。
[0022] 作为改进，所述接收模块进一步用于：
[0023] 当所述VPN服务端检测到新接入设备时，接收所述VPN服务端发送的为所述新接入 设备请求虚拟IP地址的地址请求报文；
[0024] 所述分配模块进一步用于：
[0025] 基于接收到的所述地址请求报文从预设的地址池中为所述新接入的设备分配用 于建立VPN隧道的虚拟IP地址。
[00%]作为改进，所述装置还包括：
[0027] 下发模块，用于从所述预设的地址池中为所述VPN服务端分配虚拟IP地址后，向所 述VPN服务端W及所述VPN服务端所在域内的其他VPN服务端下发与分配的所述虚拟IP地址 所在网段对应的路由表项，W及从所述预设的地址池中为所述VPN服务端的新接入设备分 配虚拟IP地址后，向所述接入设备下发与分配的所述虚拟IP地址所在网段对应的路由表 项。
[0028] 作为改进，所述装置还包括：
[0029] 迁移模块，用于当所述预设的地址池中已分配的虚拟IP地址占地址池中虚拟IP地 址总数的比例超过阔值时，基于预设的虚拟IP地址迁移策略将所述地址池中已分配的虚拟 IP地址迁移至预设的其它地址池;其中，所述迁移策略包括优先将接入设备最少的VPN服务 端及其接入设备的虚拟IP地址进行修改。
[0030] 作为改进，所述装置还包括：
[0031] 回收模块，用于如果所述VPN服务端或者所述VPN服务端的接入设备下线后，未在 已分配的所述虚拟IP地址的老化时间内再次上线，则针对已经分配的所述虚拟IP地址执行 回收操作。
[0032] 在本发明中，VPN客户端可W向VPN服务端发送隧道建立请求报文，其中，该隧道建 立请求报文可W包括用户名和用户密码，然后，VPN客户端可W接收与其相连的VPN服务端 在针对上述用户名和用户密码验证通过后发送的用于指示同意建立隧道的通知报文，接收 到该通知报文后，VPN客户端可W从预设的地址池中为上述VPN服务端分配用于建立VPN隧 道的虚拟IP地址。由于本发明使用VPN客户端为与其相连的若干个VPN服务端分配对应的虚 拟IP地址，因此，可W解决相关技术中因若干个VPN服务端为自身分配了相同的虚拟IP地址 导致的监控系统出现无法互连的问题。
[0033] 应当理解的是，W上的一般描述和后文的细节描述仅是示例性和解释性的，并不 能限制本发明。
【附图说明】
[0034] 此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施 例，并与说明书一起用于解释本发明的原理。
[0035] 图1是示出的一种公安国标协议的多级多域监控系统的组网图。
[0036] 图2是本发明一实施例示出的一种虚拟IP地址的分配方法的流程图。
[0037] 图3是应用本发明实现虚拟IP地址分配的一个应用场景图。
[0038] 图4是应用本发明实现虚拟IP地址分配的另一个应用场景图。
[0039] 图5是本发明实施例中虚拟IP地址的分配装置的硬件结构框图。
[0040] 图6是本发明根据一示例性实施例示出的一种虚拟IP地址的分配装置的框图。
【具体实施方式】
[0041] 运里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述设及 附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。W下示例性实施例 中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附 权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。
[0042] 参见图1，图1为示出的一种公安国标协议的多级多域监控系统的组网图。
[0043] 在如图1所示的监控系统中，省厅平台的服务器位于上级域，市局平台的服务器位 于下级域。省厅平台的服务器与若干个市局平台的服务器通过NAT隔离，且省厅平台的服务 器处于NAT内部。当市局平台的服务器需要与省厅平台的服务器进行数据交互时，由于存在 NAT隔离，因此市局平台的服务器无法访问省厅平台的服务器。为了解决上述问题，相关技 术使用了 VPN技术。
[0044] 在相关技术中，省厅平台的服务器可W通过与市局平台的服务器建立VPN隧道，来 解决市局平台服务器无法访问处于NAT内部的省厅平台服务器的问题。在省厅平台服务器 和市局平台服务器建立VPN隧道的过程中，处于NAT内部的省厅平台服务器可W作为VPN客 户端，与作为VPN服务端的市局平台服务器建立VPN隧道。
[0045] VPN客户端与对应的VPN服务端建立VPN隧道时，VPN客户端可W向VPN服务端发送 隧道建立请求报文，其中该报文可W包括用户名和用户密码。VPN服务端接收到该隧道建立 请求报文后，可w对该报文中的用户名和用户密码进行验证，并在验证成功后，为自身w及 VPN客户端分别分配一个虚拟IP地址。VPN客户端与VPN服务端成功建立VPN隧道后，可W基 于各自的虚拟IP地址通过VPN隧道与对方进行数据交互。
[0046] 然而与VPN客户端建立若干条VPN隧道的若干个VPN服务端在为自身设置虚拟IP地 址时，存在不同的VPN服务端为自身设置了相同的虚拟IP地址的情况。此时，当VPN客户端接 收到目的IP为该相同的虚拟IP地址的数据时，有可能将该数据转发至错误的VPN服务端，从 而造成该监控系统出现无法互连的问题。
[0047] 图1中，当VPN服务端1、VPN服务端2和VPN服务端3与同一VPN客户端建立3条VPN隧 道时，可W分别为自身设置一个虚拟IP地址。其中，VPN服务端1和VPN服务端2为自身设置的 虚拟IP地址皆为1.1.1.1。当VPN客户端接收到目的地址为1.1.1.1的数据时，将无法确定该 数据为发往VPN服务端1的数据还是VPN服务端2的数据。在运种情况下，VPN客户端有可能将 数据发送至错误的VPN服务端。当与同一 VPN客户端相连的多个VPN服务端为自身设置的虚 拟IP地址皆为同一虚拟IP地址时，VPN客户端将数据发送至正确VPN服务端的概率会很低， 由于正确的VPN服务端没有收到数据，因此无法对该数据进行处理，严重时会造成该监控系 统出现无法互连的问题。
[0048] 有鉴于此，本发明提供一种虚拟IP地址的分配方法及装置，来解决相关技术中因 不同的VPN服务端为自身分配相同的虚拟IP地址导致的监控系统出现无法互连的问题。在 本发明中，VPN客户端可W向VPN服务端发送隧道建立请求报文，其中，该隧道建立请求报文 可W包括用户名和用户密码，然后，VPN客户端可W接收与其相连的VPN服务端在针对上述 用户名和用户密码验证通过后发送的用于指示同意建立隧道的通知报文，接收到该通知报 文后，VPN客户端可W从预设的地址池中为上述VPN服务端分配用于建立VPN隧道的虚拟IP 地址。由于本发明使用VPN客户端为与其相连的若干个VPN服务端分配对应的虚拟IP地址， 因此，可W解决相关技术中因若干个VPN服务端为自身分配了相同的虚拟IP地址导致的监 控系统出现无法互连的问题。
[0049] 请参见图2,为本发明一实施例示出的一种虚拟IP地址的分配方法的流程图，该实 施例应用于VPN客户端上，包括W下步骤：
[0050] 步骤201:向所述VPN服务端发送隧道建立请求报文;其中，所述隧道建立请求报文 包括用户名和用户密码。
[0051 ] 在本发明中，上述VPN客户端与若干个VPN服务端通过NAT隔离，且处于NAT内部。其 中，上述VPN客户端可W为视频监控系统中的上级域服务器，上述VPN服务端可W为视频监 控系统中的下级域服务器。上述VPN客户端可W通过与对应的VPN服务端建立VPN隧道来进 行NAT穿越，从而实现与对应的VPN服务端的数据交互。
[0化2] 在本发明中，VPN客户端可W预设若干个地址池，其中，每个地址池可W包括位于 同一网段的若干个虚拟IP地址。每个地址池的IP地址数量可W不同。VPN客户端可W从该若 干个地址池中根据实际需要或者用户自定义设置来选择一个地址池作为当前VPN隧道使用 的虚拟IP地址的地址范围。
[0化3] 在一个实施例中，VPN客户端可W预设一个地址池表，其中，该地址池表可W包括 该VPN客户端预设的若干个地址池的地址网段、掩码地址W及对应的虚拟网关地址。当VPN 客户端需要建立的VPN隧道的数量少于某个虚拟地址池中的虚拟IP地址的数量时，可W从 该虚拟地址池中为与该VPN客户端建立VPN隧道的若干个VPN服务端及其接入设备，如NVR (Network Video Recorder,网络硬盘录像机)或IPC( IP Camera,网络摄像机)等分配虚拟 IP地址。
[0054] 在本发明中，当VPN客户端与VPN服务端建立VPN隧道时，VPN客户端可W向VPN服务 端发送隧道建立请求报文。其中，该隧道建立请求报文可W包括针对该VPN隧道的用户名和 用户密码。
[0055] 步骤202:接收所述VPN服务端在针对所述用户名和用户密码验证通过后发送的用 于指示同意建立VPN隧道的通知报文。
[0056] 步骤203:接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配用于 建立VPN隧道的虚拟IP地址。
[0057] VPN客户端向VPN服务端发送隧道建立请求报文后，VPN服务端可W接收该报文，并 对该报文中的用户名和用户密码进行验证。验证通过后，VPN服务端可W向VPN客户端发送 用于指示同意建立VPN隧道的通知报文。
[0058] 需要说明的是，当VPN客户端与不同的VPN服务端建立VPN隧道时，VPN客户端发送 的隧道建立请求报文中的用户名和用户密码可W不相同。
[0059] VPN客户端接收到该通知报文后，可W从预设的地址池中为VPN服务端分配用于建 立VPN隧道的虚拟IP地址。其中，该预设的地址池可W为上述从若干个预设的地址池中选择 的一个地址池。VPN客户端在为VPN服务端分配对应的虚拟IP地址后，可W设定与该VPN服务 端建立VPN隧道的虚拟端口，例如，虚拟端口PPP0。
[0060] 在本发明中，当VPN客户端接收到VPN服务端发送用于指示同意建立VPN隧道的通 知报文时，VPN客户端可W从该通知报文中获取该VPN服务端的MAC(Media Access Control，媒体访问控制)地址。VPN客户端为该VPN服务端分配虚拟IP地址后，VPN客户端可 W在预设的已分配地址表中保存该VPN服务端的虚拟IP地址、MAC地址W及所属域的对应关 系。
[0061 ] 在一个实施例中，VPN客户端从上述预设的IP地址池中为对应的VPN服务端分配虚 拟IP地址后，可W向该VPN服务端W及该VPN服务端所在域内的其他VPN服务端下发与分配 的虚拟IP地址所在网段对应的路由表项。其中，该路由表项可W包括该虚拟IP地址所在的 地址池、虚拟网关地址、掩码地址W及虚拟接口的对应关系。
[0062] 在本发明中，当VPN服务端检测到新接入设备时，VPN服务端可W接收到该接入设 备发送的隧道建立请求报文，其中，该隧道建立请求报文可W包括针对该VPN隧道的用户名 和用户密码，VPN服务端可W对该用户名和用户密码进行验证。验证通过后，VPN服务端可W 为该新接入设备向对应的VPN客户端发送地址请求报文。其中，该地址请求报文中可W包括 VPN服务端从新接入设备发送的隧道建立请求报文中获取到的该新接入设备的MAC地址。
[0063] VPN客户端接收到VPN服务端发送的为该新接入设备请求虚拟IP地址的地址请求 报文后，可W基于该地址请求报文从上述预设的地址池中为该新接入设备分配用于建立 VPN隧道的虚拟IP地址。
[0064] 从预设的地址池中为该新接入设备分配虚拟IP地址后，VPN客户端可W向该新接 入设备下发与分配的该虚拟IP地址所在网段对应的路由表项。
[00化]当然，VPN客户端还可W将该新接入设备的虚拟IP地址、MAC地址W及所述域的对 应关系保存到预设的已分配地址表中。
[0066] 在本发明中，当VPN客户端预设的地址池中已分配的虚拟IP地址占该地址池中虚 拟IP地址总数的比例超过阔值，如80 %时，VPN客户端可W基于预设的虚拟IP地址迁移策略 将该地址池中已分配的虚拟IP地址迁移至预设的其它地址池，其中，该迁移策略可W包括 优先将接入设备最少的VPN服务端及其接入设备的虚拟IP地址进行修改。
[0067] 当VPN服务端及其接入设备的数量大于某一预设地址池的虚拟IP地址总数时，VPN 客户端可W为该VPN服务端及其接入设备设置对应的虚拟端口，然后，VPN客户端可W将该 VPN服务端的部分接入设备的虚拟IP地址修改为其他地址池中的虚拟IP地址，从而可W确 保上述预设地址池中的已分配虚拟IP地址的数量小于该地址池中虚拟IP地址的总数。
[0068] 在一个实施例中，可W假设VPN客户端上预设的地址池中虚拟IP地址的总数为 254,与该VPN客户端建立VPN隧道的VPN服务端及其接入设备的数量为270,此时，VPN客户端 可W为该VPN服务端及其接入设备设置对应的虚拟端口，如虚拟端口 PPP0，然后，VPN客户端 可W将该VPN服务端接入的设备中的至少16个接入设备迁移至其他地址池，并从其他地址 池中为该迁移的设备分配虚拟IP地址。
[0069] 在本发明中，如果与该VPN客户端相连的VPN服务端或VPN服务端的接入设备下线 后未在已分配的虚拟IP地址的老化时间，如24小时内再次上线，则VPN客户端可W针对已经 分配的虚拟IP地址执行回收操作。其中，该已分配虚拟IP地址的老化时间可W为默认设置 或者由用户自定义设置，本发明对此不做限制。
[0070] 当然，如果与该VPN客户端相连的VPN服务端或VPN服务端的接入设备下线后在已 分配的虚拟IP地址的老化时间内再次上线，则VPN客户端可W为该VPN服务端或该VPN服务 端的接入设备优先分配前一次上线时使用的虚拟IP地址。具体地，VPN客户端可W基于上述 已分配地址表中VPN服务端及其接入设备的MAC地址和虚拟IP地址的对应关系为该VPN服务 端及其接入设备优先分配前一次上线时使用的虚拟IP地址。
[0071] 由上述实施例可知，在本发明中，VPN客户端可W向VPN服务端发送隧道建立请求 报文，其中，该隧道建立请求报文可W包括用户名和用户密码，然后，VPN客户端可W接收与 其相连的VPN服务端在针对上述用户名和用户密码验证通过后发送的用于指示同意建立隧 道的通知报文，接收到该通知报文后，VPN客户端可W从预设的地址池中为上述VPN服务端 分配用于建立VPN隧道的虚拟IP地址。由于本发明使用VPN客户端为与其相连的若干个VPN 服务端分配对应的虚拟IP地址，因此，可W解决相关技术中因若干个VPN服务端为自身分配 了相同的虚拟IP地址导致的监控系统出现无法互连的问题。
[0072] 下面结合应用场景图对上述实施例进行详细描述：
[0073] 请参见图3,为应用本发明实现虚拟IP地址分配的一个应用场景图，同时，图3也为 一种公安国标协议的多级多域监控系统的组网图。在图3所示的监控系统中，省厅平台的服 务器位于上级域，市局平台的服务器位于下级域。省厅平台的服务器与若干个市局平台的 服务器通过NAT隔离，且省厅平台的服务器处于NAT内部。由于存在NAT隔离，市局平台的服 务器无法访问省厅平台的服务器。为了解决上述问题，市局平台服务器和省厅平台服务器 之间建立了 VPN隧道。
[0074] 在省厅平台服务器与市局平台服务器建立VPN隧道的过程中，省厅平台服务器可 W作为VPN隧道的VPN客户端;市局平台服务器可W作为VPN隧道的VPN服务端。
[00巧]在本发明中，VPN客户端上可w预设若干个虚拟IP地址数量不同的地址池，每个地 址池可W包括位于同一网段的若干个虚拟IP地址。在一个实施例中，VPN客户端可W预设一 个地址池表，其中，该地址池表可W包括该VPN客户端预设的若干个地址池的地址网段、掩 码地址W及对应的虚拟网关地址。
[0076] 在示出的一个实施例中，VPN客户端预设的地址池表可W如表1所示：
[0077]
[007引 表1
[0079] 当然，表1可W仅示出上述预设地址池表的部分表项，除表1示出的表项外，上述预 设地址池表可W包括其他表项。
[0080] 当VPN客户端需要建立的VPN隧道数量少于某个预设的地址池中的虚拟IP地址的 数量时，可W从该虚拟地址池中为与该VPN客户端建立VPN隧道的若干个VPN服务端及其接 入设备分配虚拟IP地址W及对应虚拟接口，其中，上述VPN服务端的接入设备可W包括IPC、 NVR 等。
[0081] 在示出的一个实施例中，可W假设VPN客户端上预设了如表1所示的3个地址池，贝U 当VPN服务端及其接入设备的数量为300，且该VPN服务端及其接入设备均需与VPN客户端建 立VPN隧道时，VPN客户端可W从虚拟IP地址数量为65534的地址池1.1.0.0中为该VPN服务 端及其接入设备分配虚拟IP地址。
[0082] 在本发明中，当VPN客户端与VPN服务端建立VPN隧道时，VPN客户端可W向VPN服务 端发送隧道建立请求报文。其中，该隧道建立请求报文可W包括针对该VPN隧道的用户名和 用户密码。
[0083] VPN客户端向VPN服务端发送隧道建立请求报文后，VPN服务端可W接收该报文，并 对该报文中的用户名和用户密码进行验证。验证通过后，VPN服务端可W向VPN客户端发送 用于指示同意建立VPN隧道的通知报文。
[0084] 需要说明的是，当VPN客户端与不同的VPN服务端建立VPN隧道时，VPN客户端发送 的隧道建立请求报文中的用户名和用户密码可W不相同。
[0085] VPN客户端接收到该通知报文后，可W从预设的地址池中为VPN服务端分配用于建 立VPN隧道的虚拟IP地址。VPN客户端在为VPN服务端分配对应的虚拟IP地址后，可W设定与 该VPN服务端建立VPN隧道的虚拟端口，例如，虚拟端口PPP0。
[0086] 在本发明中，当VPN客户端接收到VPN服务端发送用于指示同意建立VPN隧道的通 知报文时，VPN客户端可W从该通知报文中获取该VPN服务端的MAC(Media Access Control，媒体访问控制)地址。VPN客户端为该VPN服务端分配虚拟IP地址后，VPN客户端可 W在预设的已分配地址表中保存该VPN服务端的虚拟IP地址、MAC地址W及所属域的对应关 系。
[0087] 请参见图3，在示出的一个实施例中，VPN客户端可W和VPN服务端1建立VPN隧道， 然后，可W假设VPN客户端的MAC地址为44-45-53-54-00-00，VPN客户端从VPN服务端1发送 的上述通知报文中获取到的MAC地址为00-25-64-76-80-40。则由VPN客户端为自身分配的 虚拟IP地址为1.1.1.1W及为VPN服务端1分配的虚拟IP地址为1.1.1.2可知，VPN客户端上 预设的已分配地址表的部分表项可W如表2所示：
[008引
[0089] 表2
[0090] VPN客户端从预设的IP地址池中为对应的VPN服务端分配虚拟IP地址后，可W向该 VPN服务端W及该VPN服务端所在域内的其他VPN服务端下发与分配的虚拟IP地址所在网段 对应的路由表项。其中，该路由表项可W包括该虚拟IP地址所在的地址池、虚拟网关地址、 掩码地址W及虚拟接口的对应关系。
[0091] 请继续参见图3,在示出的一个实施例中，可W假设VPN客户端与VPN服务端2W及 VPN服务端3分别建立了 VPN隧道，则当VPN客户端接收到VPN服务端1发送的用于指示同意建 立VPN隧道的通知报文，并为VPN服务端1分配虚拟IP地址1.1.1.2时，VPN客户端可WVPN月良 务端1、VPN服务端2 W及VPN服务端3下发与该虚拟IP地址1.1.1.2所在网段对应的路由表 项。其中，该路由表项可W如表3所示：
[0092]
[0094]表 3
[00M]在本发明中，当VPN服务端检测到新接入设备时，VPN服务端可W接收到该接入设 备发送的隧道建立请求报文，其中，该隧道建立请求报文可W包括针对该VPN隧道的用户名 和用户密码，VPN服务端可W对该用户名和用户密码进行验证。验证通过后，VPN服务端可W 为该新接入设备向对应的VPN客户端发送地址请求报文。其中，该地址请求报文中可W包括 VPN服务端从新接入设备发送的隧道建立请求报文中获取到的该新接入设备的MAC地址。
[0096] VPN客户端接收到VPN服务端发送的为该新接入设备请求虚拟IP地址的地址请求 报文后，可W基于该地址请求报文从上述预设的地址池中为该新接入设备分配用于建立 VPN隧道的虚拟IP地址。此时，VPN客户端可W将该新接入设备的虚拟IP地址、MAC地址W及 所述域的对应关系保存到预设的已分配地址表中。
[0097] 从预设的地址池中为该新接入设备分配虚拟IP地址后，VPN客户端还可W向该新 接入设备下发与分配的该虚拟IP地址所在网段对应的路由表项。
[009引在示出的一个实施例中，请继续参见图3,与VPN客户端建立VPN隧道的VPN服务端1 可W检测到新接入设备NVR，VPN服务端1可W接收到来自NVR的隧道建立请求报文，并对该 报文中的用户名和用户密码进行验证。验证通过后，VPN服务端1可W与NVR建立VPN隧道，并 通过与VPN客户端之间的VPN隧道为NVR向VPN客户端发送地址请求报文，其中，该地址请求 报文可W包括NVR的MAC地址03-42-12-34-22-31 eVPN客户端接收到该请求报文后，可W从 预设的IP地址池中为NVR分配虚拟IP地址1.1.1.5,此时，VPN客户端上的预设的已分配地址 表的部分表项可W如表4所示：
[0099]
[0101] 表 4
[0102] VPN客户端为NVR分配了对应的虚拟IP地址后，可W向NVR下发与虚拟地址1.1.1.5 所在网段对应的路由表项。其中，该路由表项可W如表3所示，故本发明在此不再寶述。
[0103] 在本发明中，当VPN客户端预设的地址池中已分配的虚拟IP地址占该地址池中虚 拟IP地址总数的比例超过阔值，如80 %时，VPN客户端可W基于预设的虚拟IP地址迁移策略 将该地址池中已分配的虚拟IP地址迁移至预设的其它地址池，其中，该迁移策略可W包括 优先将接入设备最少的VPN服务端及其接入设备的虚拟IP地址进行修改。
[0104] 在示出的一个实施例中，可W假设VPN客户端上某一个预设的地址池中虚拟IP地 址的总数为254，且当预设的虚拟IP地址中已分配的虚拟IP地址占该地址池中虚拟IP地址 总数的比例超过80%时，可W触发VPN基于预设的迁移策略对已分配的虚拟IP地址进行迁 移。则当某一 VPN服务端，例如图3中的VPN服务端1，及其接入设备需要与VPN客户端建立VPN 隧道的数量为207,即超过254的80%时，VPN客户端可W基于预设的迁移策略对该地址池中 已分配的虚拟IP地址进行迁移。其中，该迁移策略可W包括优先将接入设备最少的VPN服务 端及其接入设备的虚拟IP地址进行修改。假设VPN客户端此时与另一 VPN服务端，例如图3中 的VPN服务端3，及其接入设备建立VPN隧道的数量为10，则VPN客户端可W优先将VPN服务端 3及其接入设备的虚拟IP地址修改为其他地址池中的虚拟IP地址。例如，可W将该VPN服务 端3的虚拟IP地址修改为地址池2.1.1.0中的虚拟IP地址2.1.1.6。
[0105] 当VPN服务端及其接入设备的数量大于某一预设地址池的虚拟IP地址总数时，VPN 客户端可W为该VPN服务端及其接入设备设置对应的虚拟接口，然后，VPN客户端可W将该 VPN服务端的部分接入设备的虚拟IP地址修改为其他地址池中的虚拟IP地址，从而可W确 保上述预设地址池中的已分配虚拟IP地址的数量小于该地址池中虚拟IP地址的总数。
[0106] 请参见图4,为应用本发明实现虚拟IP地址分配的另一个应用场景图。图4中，VPN 服务端1及其接入设备可W与VPN客户端建立VPN隧道，且与VPN客户端建立VPN隧道的数量 超过了 VPN预设的地址池中的虚拟IP地址的数量。此时，VPN客户端可W从多个预设的地址 池中为VPN服务端1及其接入设备分配虚拟IP地址，同时，为VPN服务端1及其接入设备分配 相同的虚拟接口 PPP0;类似地，当VPN服务端2及其接入设备与VPN客户端建立VPN隧道的数 量超过了 VPN预设的虚拟IP地址中虚拟IP地址的数量时，VPN客户端可W从多个预设的地址 池中为VPN服务端2及其接入设备分配虚拟IP地址，W及为VPN服务端2及其接入设备分配相 同的虚拟接口 PPP1;类似地，当VPN服务端3及其接入设备与VPN客户端建立VPN隧道的数量 超过了 VPN预设的虚拟IP地址中虚拟IP地址的数量时，VPN客户端可W从多个预设的地址池 中为VPN服务端3及其接入设备分配虚拟IP地址，W及为VPN服务端3及其接入设备分配相同 的虚拟接口 PPP2。此时，VPN客户端向VPN服务端1及其接入设备下发的路由表项可W如表5 所示：
[0107]
[010引 表5
[0109] VPN客户端向VPN服务端2及其接入设备下发的路由表项可W如表6所示：
[0110]
[0111] 表6
[0112] VPN客户端向VPN服务端3及其接入设备下发的路由表项可W如表7所示：
[0113]
[0115] 表7
[0116] 在本发明中，如果与该VPN客户端相连的VPN服务端或VPN服务端的接入设备下线 后未在已分配的虚拟IP地址的老化时间，如24小时内再次上线，则VPN客户端可W针对已经 分配的虚拟IP地址执行回收操作。其中，该已分配虚拟IP地址的老化时间可W为默认设置 或者由用户自定义设置，本发明对此不做限制。
[0117] 当然，如果与该VPN客户端相连的VPN服务端或VPN服务端的接入设备下线后在已 分配的虚拟IP地址的老化时间内再次上线，则VPN客户端可W为该VPN服务端或该VPN服务 端的接入设备优先分配前一次上线时使用的虚拟IP地址。具体地，VPN客户端可W基于上述 已分配地址表中VPN服务端及其接入设备的MAC地址和虚拟IP地址的对应关系为该VPN服务 端及其接入设备优先分配前一次上线时使用的虚拟IP地址。
[011引由上述实施例可知，在本发明中，VPN客户端可W向VPN服务端发送隧道建立请求 报文，其中，该隧道建立请求报文可W包括用户名和用户密码，然后，VPN客户端可W接收与 其相连的VPN服务端在针对上述用户名和用户密码验证通过后发送的用于指示同意建立隧 道的通知报文，接收到该通知报文后，VPN客户端可W从预设的地址池中为上述VPN服务端 分配用于建立VPN隧道的虚拟IP地址。由于本发明使用VPN客户端为与其相连的若干个VPN 服务端分配对应的虚拟IP地址，因此，可W解决相关技术中因若干个VPN服务端为自身分配 了相同的虚拟IP地址导致的监控系统出现无法互连的问题。
[0119] 基于与上述方法同一的发明构思，本发明实施例还提供了虚拟IP地址的分配装置 的实施例。
[0120] 本发明虚拟IP地址的分配装置可W应用于VPN客户端。其中，该虚拟IP地址的分配 装置可W通过软件实现，也可W通过硬件或者软硬件结合的方式实现。W软件实现为例，作 为一个逻辑意义上的装置，是通过其所在的处理器，将非易失性存储器中对应的计算机程 序指令读取到内存中运行形成的。从应用层面而言，如图5所示，是本发明实施例中虚拟IP 地址的分配装置的硬件结构框图，除了图5所示的处理器、网络接口、内存W及非易失性存 储器外，还可W包括其他硬件，如摄像装置、负责处理报文的转发忍片等。
[0121] 如图6所示，为本发明根据一示例性实施例示出的一种虚拟IP地址的分配装置的 框图。所述装置应用于VPN客户端，其中，所述VPN客户端与若干个下级域VPN服务端通过NAT 隔离，所述VPN客户端处于NAT内部，所述装置包括:发送模块610、接收模块620W及分配模 块630。
[0122] 其中，发送模块610，用于向所述VPN服务端发送隧道建立请求报文;其中，所述隧 道建立请求报文包括用户名和用户密码；
[0123] 接收模块620,用于接收所述VPN服务端在针对所述用户名和用户密码验证通过后 发送的用于指示同意建立VPN隧道的通知报文；
[0124] 分配模块630,用于接收到所述通知报文后，从预设的地址池中为所述VPN服务端 分配用于建立VPN隧道的虚拟IP地址。
[0125] 在一个可选的实现方式中，所述接收模块620可W进一步用于：
[0126] 当所述VPN服务端检测到新接入设备时，接收所述VPN服务端发送的为所述新接入 设备请求虚拟IP地址的地址请求报文；
[0127] 所述分配模块630可W进一步用于：
[0128] 基于接收到的所述地址请求报文从预设的地址池中为所述新接入的设备分配用 于建立VPN隧道的虚拟IP地址。
[0129] 在一个可选的实现方式中，所述装置还可W包括(如图6所示）：
[0130] 下发模块640,用于从所述预设的地址池中为所述VPN服务端分配虚拟IP地址后， 向所述VPN服务端W及所述VPN服务端所在域内的其他VPN服务端下发与分配的所述虚拟IP 地址所在网段对应的路由表项，W及从所述预设的地址池中为所述VPN服务端的新接入设 备分配虚拟IP地址后，向所述接入设备下发与分配的所述虚拟IP地址所在网段对应的路由 表项。
[0131 ]在一个可选的实现方式中，所述装置还可W包括(如图6所示）：
[0132] 迁移模块650，用于当所述预设的地址池中已分配的虚拟IP地址占地址池中虚拟 IP地址总数的比例超过阔值时，基于预设的虚拟IP地址迁移策略将所述地址池中已分配的 虚拟IP地址迁移至预设的其它地址池;其中，所述迁移策略包括优先将接入设备最少的VPN 服务端及其接入设备的虚拟IP地址进行修改。
[0133] 在一个可选的实现方式中，所述装置还可W包括(如图6所示）：
[0134] 回收模块660,用于如果所述VPN服务端或者所述VPN服务端的接入设备下线后，未 在已分配的所述虚拟IP地址的老化时间内再次上线，则针对已经分配的所述虚拟IP地址执 行回收操作。
[0135] 在本发明中，VPN客户端可W向VPN服务端发送隧道建立请求报文，其中，该隧道建 立请求报文可W包括用户名和用户密码，然后，VPN客户端可W接收与其相连的VPN服务端 在针对上述用户名和用户密码验证通过后发送的用于指示同意建立隧道的通知报文，接收 到该通知报文后，VPN客户端可W从预设的地址池中为上述VPN服务端分配用于建立VPN隧 道的虚拟IP地址。由于本发明使用VPN客户端为与其相连的若干个VPN服务端分配对应的虚 拟IP地址，因此，可W解决相关技术中因若干个VPN服务端为自身分配了相同的虚拟IP地址 导致的监控系统出现无法互连的问题。
[0136] 本领域技术人员在考虑说明书及实践运里发明的发明后，将容易想到本发明的其 它实施方案。本发明旨在涵盖本发明的任何变型、用途或者适应性变化，运些变型、用途或 者适应性变化遵循本发明的一般性原理并包括本发明未发明的本技术领域中的公知常识 或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的 权利要求指出。
[0137] 应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并 且可W在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。
[0138] W上所述仅为本发明的较佳实施例而已，并不用W限制本发明，凡在本发明的精 神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。
【主权项】
1. 一种虚拟IP地址的分配方法，所述方法应用于虚拟专用网络VPN客户端，其中，所述 VPN客户端与若干个下级域VPN服务端通过NAT隔离，所述VPN客户端处于NAT内部，其特征在 于，所述方法包括： 向所述VPN服务端发送隧道建立请求报文;其中，所述隧道建立请求报文包括用户名和 用户密码； 接收所述VPN服务端在针对所述用户名和用户密码验证通过后发送的用于指示同意建 立VPN隧道的通知报文； 接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配用于建立VPN隧道的 虚拟IP地址。2. 根据权利要求1所述的方法，其特征在于，所述方法还包括： 当所述VPN服务端检测到新接入设备时，接收所述VPN服务端发送的为所述新接入设备 请求虚拟IP地址的地址请求报文； 基于接收到的所述地址请求报文从预设的地址池中为所述新接入的设备分配用于建 立VPN隧道的虚拟IP地址。3. 根据权利要求2所述的方法，其特征在于，所述方法还包括： 从所述预设的地址池中为所述VPN服务端分配虚拟IP地址后，向所述VPN服务端以及所 述VPN服务端所在域内的其他VPN服务端下发与分配的所述虚拟IP地址所在网段对应的路 由表项； 从所述预设的地址池中为所述VPN服务端的新接入设备分配虚拟IP地址后，向所述接 入设备下发与分配的所述虚拟IP地址所在网段对应的路由表项。4. 根据权利要求1所述的方法，其特征在于，当所述预设的地址池中已分配的虚拟IP地 址占地址池中虚拟IP地址总数的比例超过阈值时，基于预设的虚拟IP地址迀移策略将所述 地址池中已分配的虚拟IP地址迀移至预设的其它地址池;其中，所述迀移策略包括优先将 接入设备最少的VPN服务端及其接入设备的虚拟IP地址进行修改。5. 根据权利要求1所述的方法，其特征在于，所述方法还包括： 如果所述VPN服务端或者所述VPN服务端的接入设备下线后，未在已分配的所述虚拟IP 地址的老化时间内再次上线，则针对已经分配的所述虚拟IP地址执行回收操作。6. -种虚拟IP地址的分配装置，所述装置应用于虚拟专用网络VPN客户端，其中，所述 VPN客户端与若干个下级域VPN服务端通过NAT隔离，所述VPN客户端处于NAT内部，其特征在 于，所述装置包括： 发送模块，用于向所述VPN服务端发送隧道建立请求报文;其中，所述隧道建立请求报 文包括用户名和用户密码； 接收模块，用于接收所述VPN服务端在针对所述用户名和用户密码验证通过后发送的 用于指示同意建立VPN隧道的通知报文； 分配模块，用于接收到所述通知报文后，从预设的地址池中为所述VPN服务端分配用于 建立VPN隧道的虚拟IP地址。7. 根据权利要求6所述的装置，其特征在于，所述接收模块进一步用于： 当所述VPN服务端检测到新接入设备时，接收所述VPN服务端发送的为所述新接入设备 请求虚拟IP地址的地址请求报文； 所述分配模块进一步用于： 基于接收到的所述地址请求报文从预设的地址池中为所述新接入的设备分配用于建 立VPN隧道的虚拟IP地址。8. 根据权利要求7所述的装置，其特征在于，所述装置还包括： 下发模块，用于从所述预设的地址池中为所述VPN服务端分配虚拟IP地址后，向所述 VPN服务端以及所述VPN服务端所在域内的其他VPN服务端下发与分配的所述虚拟IP地址所 在网段对应的路由表项，以及从所述预设的地址池中为所述VPN服务端的新接入设备分配 虚拟IP地址后，向所述接入设备下发与分配的所述虚拟IP地址所在网段对应的路由表项。9. 根据权利要求6所述的装置，其特征在于，所述装置还包括： 迀移模块，用于当所述预设的地址池中已分配的虚拟IP地址占地址池中虚拟IP地址总 数的比例超过阈值时，基于预设的虚拟IP地址迀移策略将所述地址池中已分配的虚拟IP地 址迀移至预设的其它地址池;其中，所述迀移策略包括优先将接入设备最少的VPN服务端及 其接入设备的虚拟IP地址进行修改。10. 根据权利要求6所述的装置，其特征在于，所述装置还包括： 回收模块，用于如果所述VPN服务端或者所述VPN服务端的接入设备下线后，未在已分 配的所述虚拟IP地址的老化时间内再次上线，则针对已经分配的所述虚拟IP地址执行回收 操作。
【文档编号】H04L12/46GK105872128SQ201610380431
【公开日】2016年8月17日
【申请日】2016年5月31日
【发明人】周迪, 关春天
【申请人】浙江宇视科技有限公司