[发明专利]一种基于WireGuard和OpenVPN的多网络单入口VPN系统

说明书

本发明公开了一种基于WireGuard和OpenVPN的多网络单入口VPN系统，所述系统为：用户通过OpenVPN进行单入口接入，通过Wireguard在网络的第三层创建隧道打通不同网络，用户流量由OpenVPN的tun0网络接口通过SSL安全隧道传递到VPN网关，通过nftables进行数据包过滤并转发到Wireguard的网络接口，通过隧道发送数据给目的网络，并通过轻型目录访问协议LDAP协议对企业量级的用户进行认证和访问权限控制。本发明解决了现有用户远程接入内网无法对访问权限进行控制、无法适配混合云网络环境、难以保证企业内网数据安全的问题。

技术领域

本发明涉及网络通信技术领域，具体涉及一种基于WireGuard和OpenVPN的多网络单入口VPN系统。

背景技术

为了实现用户远程办公、混合云网络的可拓展性互通、用户访问权限的控制、流量监测等功能，很多企业采用了不同的方案。大多数公司会使用现有的SSL VPN——EasyConnect客户端，该VPN客户端的作用是使得用户可以远程接入内网进行工作。通过在处于企业安全域内的核心应用服务器前端部署EasyConnect设备，将核心业务系统发布到用户终端，对数据进行保护。网络配置完成之后，直接由EasyConnect设备自动下发远程应用插件至终端，用户通过远程应用方式访问企业核心业务系统。由于远程应用是将企业应用程序虚拟为一个一个的图像实例，然后将不同的图像实例通过VPN隧道传输到终端，因此Easyconnect可以做到业务数据不在用户终端落地，实现敏感数据与物理终端的隔离。现有的EasyConnect需要购买，并且这种方案仅做到了使用户接入内网、无法做到对企业量级的用户的访问权限的控制、无法适配当前各企业的可伸缩的混合云网络环境。

另外还有一些商业化的产品，推出的方案是管理员在前端管理界面点击需要互通的网络，Web Client向控制器发送创建连接请求，控制器向指定VPN容器下发IPSec配置，同时在VPC路由表添加到达对端网络的路由条目。配置完成后拉起隧道，两端网络完成互通。上述商业化产品专注于混合云的组网，因而其缺点有没有考虑企业量级的用户的访问控制方案，并且仅封装了最老一代的IPSec VPN，无法抵御现代的网络攻击、没有对conntrack事件流进行监测管理，无法保证企业内网数据的安全。

发明内容

为此，本发明提供一种基于WireGuard和OpenVPN的多网络单入口VPN系统，以解决现有用户远程接入内网无法对访问权限进行控制、无法适配混合云网络环境、难以保证企业内网数据安全的问题。

为了实现上述目的，本发明提供如下技术方案：

本发明公开了一种基于WireGuard和OpenVPN的多网络单入口VPN系统，所述系统为：

用户通过OpenVPN进行单入口接入，通过Wireguard在网络的第三层创建隧道打通不同网络，用户流量由OpenVPN的tun0网络接口通过SSL安全隧道传递到VPN网关，通过nftables进行数据包过滤并转发到Wireguard的网络接口，通过隧道发送数据给目的网络，并通过轻型目录访问协议LDAP协议对企业量级的用户进行认证和访问权限控制。

进一步地，所述系统具体工作过程为：

对WireGuard服务端进行节点配置，配置完成后新增WireGuard客户端或中继服务器节点配置，对OpenVPN服务端以及OpenVPN客户端进行配置，VPN网关通过Nftables进行管理和监控访问事件流。

进一步地，所述WireGuard服务端进行节点配置的过程为：

关闭FirewallD，尝试对FirewallD进行关闭，如果无法关闭则进行强制杀掉关闭；

服务端开启IP转发，安全组开放端口，入规则的51820/UDP协议的端口打开，用作WireGuard客户端与之通信，入规则的1194/UDP协议的端口打开，用作OpenVPN客户端与之通信；