[发明专利]VPN保护网段冲突的处理方法、装置、电子设备

权利要求书

1.一种VPN保护网段冲突的处理方法，所述方法应用于VPN系统的成员设备上，所述VPN系统运行时，所述成员设备可被配置为中心端或者分支端，其中，所述中心端是指所述VPN系统中一个IPSec隧道连接的一侧网络设备，所述分支端是指与所述中心端相对应的所述IPSec隧道连接的另一侧网络设备，所述中心端可以对应多个所述分支端，其特征在于，当所述成员设备为中心端时，所述方法包括：

获取所述分支端发送的连接协商报文，所述连接协商报文为基于ISAKMP协议构造的连接协商报文；其中，所述连接协商报文至少包括分支端保护网段、分支端标识，所述分支端标识用于唯一标识所述分支端，所述分支端保护网段用于指示所述分支端与所述中心端的IPSec隧道待加密网络数据所对应的私网网段；

若所述分支端保护网段与所述中心端已保存的保护网段冲突并且所述分支端标识与所述中心端已保存的分支端标识不相同，则拒绝所述分支端的连接；

向所述分支端发送终止协商报文。

2.根据权利要求1所述的方法，其特征在于，还包括：

若所述分支端保护网段与所述中心端已保存的保护网段冲突并且所述分支端标识与所述中心端已保存的分支端标识相同，则允许所述分支端的连接；

向所述分支端发送所述连接协商报文的成功响应报文。

3.根据权利要求1所述的方法，其特征在于，还包括：

若所述分支端保护网段与所述中心端已保存的保护网段不冲突，则允许所述分支端的连接；

将所述分支端保护网段及所述分支端标识保存至所述中心端；

向所述分支端发送所述连接协商报文的成功响应报文。

4.根据权利要求1所述的方法，其特征在于，所述分支端标识基于所述分支端对应出口的公网地址生成。

5.根据权利要求4所述的方法，其特征在于，还包括：

若所述分支端对应出口存在多个公网地址，则为所述多个公网地址配置共同的识别码，其中，所述识别码用于标识同一分支端下多个公网地址共享一个分支端标识；

基于所述识别码为所述分支端生成所述分支端标识。

6.根据权利要求4或5所述的方法，其特征在于，当所述成员设备为分支端时，包括：

基于所述分支端标识向所述中心端发送的所述连接协商报文。

7.一种VPN保护网段冲突的处理装置，所述装置应用于VPN系统的成员设备上，所述VPN系统运行时，所述成员设备可被配置为中心端或者分支端，其中，所述中心端是指所述VPN系统中一个IPSec隧道连接的一侧网络设备，所述分支端是指与所述中心端相对应的所述IPSec隧道连接的另一侧网络设备，所述中心端可以对应多个所述分支端，其特征在于，当所述成员设备为中心端时，所述装置包括：

收发模块，用于获取所述分支端发送的连接协商报文，所述连接协商报文为基于ISAKMP协议构造的连接协商报文；其中，所述连接协商报文至少包括分支端保护网段、分支端标识，所述分支端标识用于唯一标识所述分支端，所述分支端保护网段用于指示所述分支端与所述中心端的IPSec隧道待加密网络数据所对应的私网网段；

处理模块，用于若所述分支端保护网段与所述中心端已保存的保护网段冲突并且所述分支端标识与所述中心端已保存的分支端标识不相同，则拒绝所述分支端的连接；

所述收发模块进一步，向所述分支端发送终止协商报文。

8.根据权利要求7所述的装置，其特征在于，所述处理模块进一步，还包括：

若所述分支端保护网段与所述中心端已保存的保护网段冲突并且所述分支端标识与所述中心端已保存的分支端标识相同，则允许所述分支端的连接；

向所述分支端发送所述连接协商报文的成功响应报文。