一种建立VPN隧道的方法、装置、设备及存储介质与流程

本发明涉及互联网技术领域，特别涉及一种建立vpn隧道的方法、装置、设备及存储介质。

背景技术：

sd-wan(software-definedwan，软件定义广域网)是将sdn(softwaredefinednetwork，软件定义网络)技术应用到广域网场景中所形成的一种服务；sd-wan能够取代传统广域网线路(mpls-vpn，ipsec-vpn等)，连接广阔地理范围内的企业网络、数据中心、互联网应用及云服务，能够帮助用户降低广域网的开支和提高网络连接灵活性；目前可以将sd-wan分成四种技术架构：叠加架构、云端架构、整合架构和原生架构，其中，云端架构是云商和服务商最喜欢的架构方式，也是sd-wan大规模分支部署的推荐架构。在云端架构中，vcpe(virtualcustomerpremiseequipment，虚拟客户终端设备)被部署在sd-wan的云端服务节点中，且vcpe需要通过nat(networkaddresstranslation，网络地址转换)方式接入互联网。由于vcpe位于云端服务节点的nat设备之后，导致sd-wan的分支节点中的cpe(customerpremiseequipment，客户终端设备)无法直接与vcpe通信，cpe发送给vcpe的消息会被nat设备丢弃；因此，如何解决在cpe与vcpe之间直接建立vpn(virtualprivatenetwork，虚拟专用网络)隧道成为本领域技术人员亟需解决的技术问题。

技术实现要素：

本发明的目的在于提供一种建立vpn隧道的方法、装置、设备及存储介质，能够实现在cpe与vcpe之间直接建立vpn隧道。

根据本发明的一个方面，提供了一种建立vpn隧道的方法，应用于sd-wan的控制平台，所述方法包括：

接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息；

进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台；

将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

可选的，在所述接收由客户终端设备cpe发送的建连请求消息的步骤之前，所述方法还包括：

接收由所述第一nat设备转发的配置参数消息；其中，所述配置参数消息是由所述vcpe发送至所述第一nat设备的；

从所述配置参数消息中解析出所述vcpe的身份识别信息和外网ip地址信息；

建立所述身份识别信息和外网ip地址信息的对应关系。

可选的，在所述cpe与所述vcpe之间建立了vpn隧道时，所述方法还包括：

接收由所述第一nat设备转发的探测消息；其中，所述探测消息是由所述vcpe发送至所述第一nat设备的消息；

从所述探测消息中解析出第二外网ip地址信息；

判断所述第一外网ip地址信息与所述第二外网ip地址信息是否一致；

若不一致，则将所述第二外网ip地址信息发送至所述cpe，以供所述cpe利用所述第二外网ip地址信息并通过所述第一nat设备重新建立与所述vcpe之间的vpn隧道。

可选的，所述方法还包括：

从所述建连请求消息中解析出所述cpe的第三外网ip地址信息；

将所述第三外网ip地址信息通过所述第一nat设备发送至所述vcpe，以供所述vcpe利用所述第三外网ip地址信息并通过所述第一nat设备建立与所述cpe之间的vpn隧道。

可选的，所述接收由客户终端设备cpe发送的建连请求消息的步骤，具体包括：

接收由第二nat设备转发的建连请求消息；其中，所述建连请求消息是由所述cpe发送至所述第二nat设备的消息，且所述第二nat设备位于所述分支节点中。

可选的，所述将所述第一外网ip地址信息发送至所述cpe的步骤，具体包括：

将所述第一外网ip地址信息通过所述第二nat设备发送至所述cpe。

为了实现上述目的，本发明还提供一种建立vpn隧道的装置，应用于sd-wan的控制平台，所述装置包括：

接收模块，用于接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息；

配置模块，用于进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台；

发送模块，用于将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

可选的，所述接收模块，还用于：

接收由所述第一nat设备转发的配置参数消息；其中，所述配置参数消息是由所述vcpe发送至所述第一nat设备的消息；

所述配置模块，还用于：

从所述配置参数消息中解析出所述vcpe的身份识别信息和外网ip地址信息；

所述发送模块，还用于建立所述身份识别信息和外网ip地址信息的对应关系。

为了实现上述目的，本发明还提供一种计算机设备，该计算机设备具体包括：存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述介绍的建立vpn隧道的方法的步骤。

为了实现上述目的，本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述介绍的建立vpn隧道的方法的步骤。

本发明提供的建立vpn隧道的方法、装置、设备及存储介质，通过控制平台作为中转服务器，cpe和vcpe均向控制平台发起连接，以便控制平台获取cpe和vcpe的外网ip地址信息，从而在控制平台进行组网配置，并将包含对端的外网ip地址信息的隧道配置文件发送至cpe和vcpe，这样cpe和vcpe就有了对端的外网ip地址信息，就可以发送隧道协商报文，从而在cpe和vcpe之间建立vpn隧道。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1为实施例一提供的sd-wan框架的组成结构示意图；

图2为实施例一提供的建立vpn隧道的方法的一种可选的流程示意图；

图3为实施例二提供的建立vpn隧道的方法的一种可选的流程示意图；

图4为实施例三提供的建立vpn隧道的装置的一种可选的组成结构示意图；

图5为实施例四提供的计算机设备的一种可选的硬件架构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合附图对本发明提供的建立vpn隧道的方法、装置、设备及存储介质。

实施例一

本发明实施例提供了一种建立vpn隧道的方法，所述方法具体的应用于如图1所示的sd-wan框架中的控制平台，其中，在sd-wan框架中包括：控制平台、多个云端服务节点和多个分支节点，在每个云端服务节点中均设置有nat设备和vcpe，在每个分支节点中均设置有cpe；图2为本发明实施例一提供的建立vpn隧道的方法的一种可选的流程示意图，如图2所示，该方法具体包括以下步骤：

步骤s201：接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息。

具体的，若在所述分支节点中未设置第二nat设备，即所述cpe处于外网环境中，则所述cpe直接向所述控制平台发送建连请求消息；

若在所述分支节点中设置有第二nat设备，即所述cpe处于内网环境，所述cpe需要通过第二nat设备连接互联网，则步骤s201，具体包括：

接收由第二nat设备转发的建连请求消息；其中，所述建连请求消息是由所述cpe发送至所述第二nat设备的消息，且所述第二nat设备位于所述分支节点中，所述cpe通过所述第二nat设备连接所述控制平台。

其中，所述建连请求消息用于请求建立与vcpe之间的vpn隧道。

在本实施例中，无论cpe出于内网环境还是外网环境均可以通过管控平台与云端服务节点中的位于nat设备后的vcpe建立vpn隧道。

步骤s202：进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台。

具体的，在步骤s202之前，所述方法还包括：

步骤a1：接收由所述第一nat设备转发的配置参数消息；其中，所述配置参数消息是由所述vcpe发送至所述第一nat设备的消息；

在本实施例中，由于在所述云端服务节点中设置有第一nat设备，所以所述vcpe处于内网环境，当所述vcpe需要连接互联网时，需要通过所述第一nat设备以根据设置在所述第一nat设备中的会话表项将所述vcpe的内网ip地址信息和内网端口信息转换为外网ip地址信息和外网端口信息。

步骤a2：从所述配置参数消息中解析出所述vcpe的身份识别信息和外网ip地址信息；

进一步的，步骤a2，包括：

获取包含在所述述配置参数消息中的所述vcpe的身份识别信息，并通过获取所述配置参数消息的源ip地址信息以得到所述vcpe的外网ip地址信息。

步骤a3：建立所述身份识别信息和外网ip地址信息的对应关系。

在本实施例中，可以通过管控平台事先获取sd-wan框架中的各个云端服务节点中的vcpe的身份识别信息和外网ip地址信息，并分别存储各个vcpe的身份识别信息和外网ip地址信息，以便于后期当cpe需要与任一vcpe建连时，管控平台将对应的vcpe的外网ip地址信息反馈给cpe。还需要说明的是，在实现所述进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息的步骤时，可以通过预先设置的配置表确定出与cpe的身份识别信息对应的建连对象的身份识别信息，或者，在所述建连请求消息中添加建连对象的身份识别信息，又或者通过管理员在所述控制平台手动进行组网配置。

还需要说明的是，本实施例应用于非对称nat(也称conenat)场景中；其中，conenat又细分为3类，分别是fullcone型、restrictedcone型和restrictedportcone。优选的，本实施例中的nat具体为fullconenat(全锥形nat)。

步骤s203：将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

由于在sd-wan框架中存在多个云端服务节点，每个云端服务节点中的vcpe均会向控制平台发送配置参数消息，所以在控制平台中存储有多个vcpe的身份识别信息与对应的外网ip地址信息的对应关系；所以在步骤s203中需要确定出与所述建连对象的身份识别信息对应的第一外网ip地址信息，并将所述第一外网ip地址信息发送至所述cpe。

具体的，若在所述分支节点中未设置第二nat设备，即所述cpe处于外网环境中，则所述控制平台直接向所述cpe发送所述第一外网ip地址信息；

若在所述分支节点中设置有第二nat设备，即所述cpe处于内网环境，所述cpe需要通过第二nat设备连接互联网，则步骤s203，具体包括：

将所述第一外网ip地址信息通过所述第二nat设备发送至所述cpe。

还需要说明的是，所述控制平台在向所述cpe发送所述第一外网ip地址信息的同时还向所述cpe发送用于建立vpn隧道的其他隧道配置信息。

在本实施例中，由于在云端服务节点中设置有nat设备，vcpe需要通过nat设备连接互联网，所以vcpe处于内网环境中，且vcpe的外网ip地址和外网端口信息均是由nat设备动态配置的；因此，处于分支节点中的cpe无法获取到vcpe的实时外网ip地址，即cpe无法直接与vcpe通信。为了解决cpe无法直接与vcpe通信的问题，在本实施例中，通过控制平台作为中转服务器，cpe和vcpe均向控制平台发起连接，以便控制平台获取cpe和vcpe的外网ip地址信息和外网端口信息，从而在控制平台进行组网配置，并将包含vcpe的外网ip地址信息的隧道配置文件发送至cpe，这样cpe就有了vcpe的外网ip地址信息，就可以发送隧道协商报文，从而在cpe和vcpe之间建立vpn隧道

进一步的，在所述cpe与所述vcpe之间建立了vpn隧道时，所述方法还包括：

步骤b1：接收由所述第一nat设备转发的探测消息；其中，所述探测消息是由所述vcpe发送至所述第一nat设备的消息；

在本实施例中，当在所述cpe与所述vcpe之间建立了vpn隧道时，所述vcpe按照设定时间间隔定期向所述控制平台发送探测消息；其中，所述探测消息包括所述vcpe的身份识别信息。

步骤b2：从所述探测消息中解析出第二外网ip地址信息；

具体的，步骤b2，包括：

获取包含在所述探测消息中的身份识别信息，并根据所述探测消息中的身份识别信息，查找对应的第一外网ip地址信息；

根据所述探测消息的源外网ip地址信息确定出所述第二外网ip地址信息；其中，所述第二外网ip地址信息是所述第一nat设备当前为所述vcpe分配的外网ip地址。

由于在实际应用中，因为第一nat设备的地址池会发生变化，所以第一nat设备为vcpe分配的外网地址和外网端口会改变，从而导致vpn隧道中断；因此在本实施例中，vcpe定期通过第一nat设备向控制平台发送探测报文，以向控制平台上报实时的vcpe的外网ip地址信息。

步骤b3：判断所述第一外网ip地址信息与所述第二外网ip地址信息是否一致；

步骤b4：若不一致，则将所述第二外网ip地址信息发送至所述cpe，以供所述cpe利用所述第二外网ip地址信息并通过所述第一nat设备重新建立与所述vcpe之间的vpn隧道。

在本实施例中，在cpe与vcpe建立了vpn隧道之后，还会通过探测消息定期获取vcpe的实时外网ip地址信息，当发现vcpe的外网ip地址信息发生改变时，将改变后的vcpe的外网ip地址信息发送至cpe，以供cpe根据改变后的vcpe的外网ip地址信息重新与vcpe建立vpn隧道。在现有技术中，在cpe与vcpe建立了vpn隧道之后，第一nat设备会重新为vcpe分配外网ip地址信息，从而导致vpn隧道的断开，而在本实施例中，可以借助探测报文实时向管控平台上报vcpe的当前外网ip地址信息，当管控平台发现vcpe的外网ip地址信息发生改变时，将改变后的vcpe的外网ip地址信息发送至cpe，以供cpe重新与vcpe建立隧道连接，防止vpn隧道的断开。

更进一步的，所述方法还包括：

步骤c1：从所述建连请求消息中解析出所述cpe的第三外网ip地址信息；

步骤c2：将所述第三外网ip地址信息通过所述第一nat设备发送至所述vcpe，以供所述vcpe利用所述第三外网ip地址信息并通过所述第一nat设备建立与所述cpe之间的vpn隧道。

在本实施例中，通过控制平台作为中转服务器，cpe和vcpe均向控制平台发起连接，以便控制平台获取cpe和vcpe的外网ip地址信息，从而在控制平台进行组网配置，并将包含对端的外网ip地址信息的隧道配置文件发送至cpe和vcpe，这样cpe和vcpe就有了对端的外网ip地址信息，就可以发送隧道协商报文，从而在cpe和vcpe之间能够建立vpn隧道。

实施例二

本发明实施例提供了一种建立vpn隧道的方法，所述方法具体的应用于如图1所示的sd-wan框架中，其中，在sd-wan框架中包括：控制平台、多个云端服务节点和多个分支节点，在每个云端服务节点中均设置有nat设备和vcpe，在每个分支节点中均设置有cpe；图3为本发明实施例一提供的建立vpn隧道的方法的一种可选的流程示意图，如图3所示，该方法具体包括以下步骤：

步骤s301：vcpe通过nat设备向控制平台发送配置参数消息；其中，所述配置参数消息包括：所述vcpe的身份识别信息，所述vcpe与所述nat设备位于sd-wan的同一个云端服务节点中，所述vcpe通过所述nat设备连接互联网。

具体的，步骤s301，包括：

所述vcpe获取自身的内网ip地址信息和内网端口信息，并通过所述nat设备中的会话表项将所述内网ip地址信息和内网端口信息转换为第一外网ip地址信息和第一外网端口信息，以基于所述第一外网ip地址信息和第一外网端口信息向所述控制平台发送所述配置参数消息。

步骤s302：所述控制平台根据所述配置参数消息解析出所述vcpe的身份识别信息和第一外网ip地址信息，并在本地建立所述vcpe的身份识别信息与所述第一外网ip地址信息的对应关系。

具体的，所述控制平台根据所述配置参数消息解析出所述vcpe的身份识别信息和第一外网ip地址信息，包括：

获取包含在所述配置参数消息中的身份识别信息；

根据所述配置参数消息的源地址信息确定出所述第一外网ip地址信息。

步骤s303：cpe向所述控制平台发送建连请求消息；其中，所述建连请求消息包括：所述cpe的身份识别信息。

步骤s304：所述控制器根据所述建连请求消息解析出所述cpe的第二外网ip地址信息。

具体的，步骤s304，包括：

根据所述建连请求消息的源地址信息，确定出所述第二外网ip地址信息。

步骤s305：所述控制平台，进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息。

其中，所述建连对象是位于sd-wan的云端服务节点中的vcpe。

步骤s306：所述控制器平台根据所述建连对象的身份识别信息从本地查找到对应的第一外网ip地址信息。

步骤s307：所述控制平台将所述第一外网ip地址信息发送至所述cpe，并将所述第二外网ip地址信息通过所述nat设备发送至所述vcpe。

具体的，步骤s307，包括：

所述控制平台在获取到cpe和vcpe的外网ip地址信息之后进行组网配置，以得到隧道配置文件；其中，所述隧道配置文件包括：cpe的外网ip地址信息、vcpe的外网ip地址信息、以及隧道配置信息；

所述控制平台将所述隧道配置文件分别发送至所述cpe和vcpe。

步骤s308：所述cpe根据所述第一外网ip地址信息，通过所述nat设备建立与所述vcpe之间的vpn隧道。

具体的，步骤s308，包括：

所述cpe在获取到所述隧道配置文件之后，获取所述隧道配置文件中的第一外网ip地址信息，并将包含所述第一外网ip地址信息的隧道协商报文发送至所述nat设备；

所述nat设备接收所述隧道协商报文，通过会话表项将所述第一外网ip地址信息转化为对应的内网ip地址信息，并基于所述内网ip地址信息向所述vcpe转发所述隧道协商报文。

进一步的，所述方法还包括：

步骤s309：在所述cpe与所述vcpe建立了vpn隧道之后，所述vcpe按照设定时间间隔定期通过所述nat设备向所述控制平台发送探测报文；其中，所述探测报文包括：所述vcpe的身份识别信息；

步骤s310：所述控制平台根据所述探测报文解析出所述vcpe的第三外网ip地址信息；

其中，所述第三外网ip地址信息为所述nat设备当前为所述vcpe分配的。

步骤s311：所述控制平台根据所述探测报文中的身份识别信息从本地查找到对应的第一外网ip地址，并将所述第一外网ip地址信息与所述第三外网ip地址信息进行比对；

步骤s312：若不一致，则所述控制平台将所述第三外网ip地址信息发送至所述cpe；

具体的，步骤s312，包括：

若不一致，所述管控平台在本地更新与所述vcpe的身份识别信息对应的外网ip地址信息，并更新对应的隧道协商报文，并将更新后的隧道协商报文分别下发至所述cpe和vcpe。

步骤s313：所述cpe根据所述第三外网ip地址信息，通过所述nat设备重新建立与所述vcpe之间的vpn隧道。

实施例三

本发明实施例提供了一种建立vpn隧道的装置，所述装置具体的应用于如图1所示的sd-wan框架中的控制平台；图4为本发明实施例三提供的建立vpn隧道的装置的一种可选的组成结构示意图，如图4所示，该装置具体包括以下组成部分：

接收模块401，用于接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息；

配置模块402，用于进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台；

发送模块403，用于将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

具体的，接收模块401，还用于：

在所述接收由客户终端设备cpe发送的建连请求消息的步骤之前，接收由所述第一nat设备转发的配置参数消息；其中，所述配置参数消息是由所述vcpe发送至所述第一nat设备的消息；

配置模块402，还用于：

从所述配置参数消息中解析出所述vcpe的身份识别信息和外网ip地址信息；

发送模块403，还用于建立所述身份识别信息和外网ip地址信息的对应关。

进一步的，接收模块401，还用于：

在所述cpe与所述vcpe之间建立了vpn隧道时，接收由所述第一nat设备转发的探测消息；其中，所述探测消息是由所述vcpe发送至所述第一nat设备的消息。

配置模块402，还用于：

从所述探测消息中解析出第二外网ip地址信息。

所述装置还包括：

判断模块，用于判判断所述第一外网ip地址信息与所述第二外网ip地址信息是否一致；若不一致，则将所述第二外网ip地址信息发送至所述cpe，以供所述cpe利用所述第二外网ip地址信息并通过所述第一nat设备重新建立与所述vcpe之间的vpn隧道。

进一步的，配置模块402，还用于：

从所述建连请求消息中解析出所述cpe的第三外网ip地址信息。

发送模块403，还用于：

将所述第三外网ip地址信息通过所述第一nat设备发送至所述vcpe，以供所述vcpe利用所述第三外网ip地址信息并通过所述第一nat设备建立与所述cpe之间的vpn隧道。

更进一步的，接收模块401在实现所述接收由客户终端设备cpe发送的建连请求消息的步骤时，具有用于：

接收由第二nat设备转发的建连请求消息；其中，所述建连请求消息是由所述cpe发送至所述第二nat设备的消息，且所述第二nat设备位于所述分支节点中。

发送模块403在实现将所述第一外网ip地址信息和第一外网端口信息发送至所述cpe的步骤时，具体用于：

将所述第一外网ip地址信息通过所述第二nat设备发送至所述cpe。

实施例四

本实施例还提供一种计算机设备，如可以执行程序的智能手机、平板电脑、笔记本电脑、台式计算机、机架式服务器、刀片式服务器、塔式服务器或机柜式服务器(包括独立的服务器，或者多个服务器所组成的服务器集群)等。如图5所示，本实施例的计算机设备50至少包括但不限于：可通过系统总线相互通信连接的存储器501、处理器502。需要指出的是，图5仅示出了具有组件501-502的计算机设备50，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。

本实施例中，存储器501(即可读存储介质)包括闪存、硬盘、多媒体卡、卡型存储器(例如，sd或dx存储器等)、随机访问存储器(ram)、静态随机访问存储器(sram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、可编程只读存储器(prom)、磁性存储器、磁盘、光盘等。在一些实施例中，存储器501可以是计算机设备50的内部存储单元，例如该计算机设备50的硬盘或内存。在另一些实施例中，存储器501也可以是计算机设备50的外部存储设备，例如该计算机设备50上配备的插接式硬盘，智能存储卡(smartmediacard,smc)，安全数字(securedigital,sd)卡，闪存卡(flashcard)等。当然，存储器501还可以既包括计算机设备50的内部存储单元也包括其外部存储设备。在本实施例中，存储器501通常用于存储安装于计算机设备50的操作系统和各类应用软件。此外，存储器501还可以用于暂时地存储已经输出或者将要输出的各类数据。

处理器502在一些实施例中可以是中央处理器(centralprocessingunit，cpu)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器502通常用于控制计算机设备50的总体操作。

具体的，在本实施例中，处理器502用于执行处理器502中存储的建立vpn隧道的方法的程序，所述建立vpn隧道的方法的程序被执行时可以实现如下步骤：

接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息；

进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台；

将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

上述方法步骤的具体实施例过程可参见第一实施例，本实施例在此不再重复赘述。

实施例五

本实施例还提供一种计算机可读存储介质，如闪存、硬盘、多媒体卡、卡型存储器(例如，sd或dx存储器等)、随机访问存储器(ram)、静态随机访问存储器(sram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、可编程只读存储器(prom)、磁性存储器、磁盘、光盘、服务器、app应用商城等等，其上存储有计算机程序，所述计算机程序被处理器执行时可以实现如下方法步骤：

接收由客户终端设备cpe发送的建连请求消息；其中，所述cpe位于sd-wan的分支节点中，所述建连请求消息包括：所述cpe的身份识别信息；

进行组网配置，以确定出与所述cpe的身份识别信息对应的建连对象的身份识别信息；其中，所述建连对象是位于sd-wan的云端服务节点中的虚拟客户端设备vcpe，且在所述云端服务节点中还包括第一网络地址交互nat设备，所述vcpe通过所述第一nat设备连接所述控制平台；

将与所述建连对象的身份识别信息对应的第一外网ip地址信息发送至所述cpe，以供所述cpe利用所述第一外网ip地址信息并通过所述第一nat设备建立与所述vcpe之间的虚拟专用网络vpn隧道。

上述方法步骤的具体实施例过程可参见第一实施例，本实施例在此不再重复赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。