[发明专利]一种虚拟私有网VPN系统及实现方法

权利要求书

1.一种虚拟私有网VPN系统，其特征在于，所述VPN系统包括第一网关、第一防火墙、第二网关和第二防火墙，其中，所述第一网关和所述第二网关属于VPN中的网关，所述第一防火墙和所述第二防火墙属于所述VPN中的防火墙，所述第一网关与所述第二网关相连接，所述第一网关还与所述第一防火墙相连接，所述第二网关还与所述第二防火墙相连接；所述第一防火墙和所述第二防火墙均与远端防火墙之间建立了互联网安全协议连接IPSec；所述远端防火墙属于用户数据中心中的防火墙；若所述第一防火墙未出现故障且所述第一防火墙与所述远端防火墙之间的IPSec未出现故障，则存在如下特征：

所述第二网关用于将接收的来自所述VPN的第一业务转发给所述第一网关；

所述第一网关用于将接收的来自所述VPN的第二业务和来自所述第二网关的所述第一业务转发给所述第一防火墙；

所述第一防火墙用于将来自所述第一网关的业务通过所述第一防火墙与所述远端防火墙之间的IPSec发送给所述远端防火墙；

所述第二防火墙与远端防火墙之间的所述IPSec用于在所述第一防火墙出现故障或者所述第一防火墙与所述远端防火墙之间的IPSec出现故障时启用，所述第二防火墙与远端防火墙之间的所述IPSec启用时，所述第一网关接收的流量流向第二网关，所述第二网关接收的流量流向所述第二防火墙，以由所述第二防火墙转发给远端防火墙。

2.根据权利要求1所述的系统，其特征在于，若所述第一防火墙出现故障或所述第一防火墙与所述远端防火墙之间的IPSec出现故障，则存在如下特征：

所述第一网关用于将接收的来自所述VPN的第二业务转发给所述第二网关；

所述第二网关将用于接收的来自所述VPN的第一业务和来自所述第一网关的所述第二业务转发给所述第二防火墙；

所述第二防火墙用于将来自所述第二网关的业务通过所述第二防火墙与所述远端防火墙之间的IPSec发送给所述远端防火墙。

3.根据权利要求2所述的系统，其特征在于，若所述第一防火墙出现故障或所述第一防火墙与所述远端防火墙之间的IPSec出现故障，还存在如下特征：

所述第一网关在将接收的来自所述VPN的第二业务转发给所述第二网关之前，所述第二防火墙用于接收所述远端防火墙发送的第二协商信息；

所述第二防火墙用于根据所述第二协商信息将所述用户数据中心的路由发送给所述第二网关，以使所述第二网关将接收到的需要发往所述用户数据中心的业务发送给所述第二防火墙；

所述第二网关用于将所述用户数据中心的路由发送给所述第一网关，以使所述第一网关将接收到的需要发往所述用户数据中心的业务发送给所述第二网关；

所述一网关用于将从所述第一防火墙学习到的所述用户数据中心的路由删除。

4.根据权利要求1－3任一项所述的系统，其特征在于，若所述第一防火墙未出现故障且所述第一防火墙与所述远端防火墙之间的IPSec未出现故障，还存在如下特征：

所述第一防火墙在所述第二网关将接收的来自所述VPN的第一业务转发给所述第一网关之前，用于接收所述远端防火墙发送的第一协商信息；

所述第一防火墙用于根据所述第一协商信息将所述用户数据中心的路由发送给所述第一网关，以使所述第一网关将接收到的需要发往所述用户数据中心的业务发送给所述第一防火墙；

所述第一网关用于将所述用户数据中心的路由发送给所述第二网关，以使所述第二网关将接收到的需要发往所述用户数据中心的业务发送给所述第一网关。

5.根据权利要求1－3任一项所述的系统，其特征在于，所述第一网关、所述第一防火墙、所述第二网关和所述第二防火墙上均配置了边界网关协议BGP，所述第一防火墙的对端peer为所述第一网关，所述第一网关的peer为所述第一防火墙和所述第二网关，所述第二防火墙的peer为所述第二网关，所述第二网关的peer为所述第二防火墙和所述第一网关，所述BGP用于通告所述用户数据中心的路由。