[发明专利]虚拟专用网络的实现方法及客户端设备

说明书

本发明实施例提供一种虚拟专用网络的实现方法及客户端设备。本发明虚拟专用网络的实现方法，包括：NDIS中间层驱动捕获应用程序向内网服务器发送的报文，根据报文对应的进程标识号PID，判断是否允许报文对应的进程使用SSL VPN；若允许使用，则NDIS中间层驱动建立新报文，将新报文的目的地址设置为客户端设备的本机地址，将新报文的目的端口号设置为客户端接收报文的端口号，将原报文的源IP地址修改为虚拟IP地址，并将原报文作为新报文的载荷，将新报文提交给NDIS网卡驱动；NDIS网卡驱动将新报文发送到客户端，由客户端向内网服务器发送新报文。本发明实施例实现了基于进程控制的虚拟专用网络，客户端的启动速度快。

技术领域

本发明实施例涉及计算机技术，尤其涉及一种虚拟专用网络的实现方法及客户端设备。

背景技术

虚拟专用网络(Virtual Private Network，简称VPN)是一条穿过公用网络的安全、稳定的隧道。通过对网络数据的封包和加密传输，在一个公用网络建立一个临时的、安全的连接，从而实现在公网上传输私有数据、达到私有网络的安全级别。常用的两种VPN技术分别是基于传统网络安全协议的VPN技术和基于安全套接层(Security Socket Layer，简称SSL)VPN技术，前者主要作用于网络层，而后者主要作用于应用层。SSL VPN是以SSL为基础的VPN技术，它利用SSL协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，为用户远程访问公司内部网络(以下简称内网)提供了安全保证。SSL VPN有多种使用方式，其中3层SSL VPN使用的最为广泛。网络驱动包括传输层驱动接口(Transport DriverInterface，简称TDI)驱动和网络驱动接口规范(Network Driver InterfaceSpecification，简称NDIS)驱动，其中，NDIS又可分为协议驱动、中间层驱动和网卡驱动。3层SSL VPN需要安装客户端软件。在启动SSL VPN客户端(以下简称客户端)登录SSL VPN网关(以下简称网关)之后，客户端与网关建立一条SSL隧道，并从网关申请一个虚拟IP地址，客户端对用户的操作系统进行配置，使得系统上的应用程序可以使用该虚拟IP地址访问内网服务器。客户端截获使用虚拟IP地址的报文，将截获的报文通过之前建立的SSL隧道转发到网关，由网关将这些报文转发给内网服务器。

现有技术中，在安装客户端的时候在用户操作系统中新建一张虚拟网卡，平时该虚拟网卡处于禁用状态。在启动客户端并登录网关时，客户端从网关申请到一个虚拟IP地址，客户端启动该虚拟网卡并将申请到的虚拟IP地址设置为该虚拟网卡的地址。当有进程通过该虚拟网卡访问内网服务器时，应用程序发送的数据经过驱动栈向下发送数据，最终发送到NDIS虚拟网卡驱动时，虚拟网卡接收上层驱动下发的报文，将报文提交给客户端，客户端通过登录时建立的SSL隧道将报文发送到网关，网关再将报文转发到内网服务器上。

现有技术的问题是，系统中的所有的进程都可以使用虚拟网卡，都可以访问内网服务器，如果需要限制某些进程的访问则没有办法实现，且启动客户端时由于需要同时启动虚拟网卡，客户端启动速度慢。

发明内容

本发明实施例提供一种虚拟专用网络的实现方法及客户端设备，以解决现有技术中不能实现对进程访问的控制，且启动客户端时由于需要同时启动虚拟网卡，客户端启动速度慢的问题。

第一方面，本发明实施例提供一种虚拟专用网络的实现方法，所述方法应用于基于安全套接层协议的虚拟专用网络SSL VPN中，所述SSL VPN包括：客户端设备、网关和所述SSL VPN的内网服务器，所述客户端设备通过网关与所述内网服务器通信，所述客户端设备包括传输层驱动接口TDI驱动、网络驱动接口规范NDIS协议驱动、网络驱动接口规范NDIS中间层驱动、网络驱动接口规范NDIS网卡驱动和客户端，所述方法包括：

所述NDIS中间层驱动捕获应用程序向所述内网服务器发送的报文，根据所述报文对应的进程标识号PID，判断是否允许所述报文对应的进程使用所述SSL VPN；