基於mplsvpn的數據轉發方法和邊緣設備的製作方法
2023-06-18 22:31:46 2
專利名稱：基於mpls vpn的數據轉發方法和邊緣設備的製作方法
技術領域：
本發明涉及MPLS VPN網絡，尤其涉及一種基於MPLS VPN的數據轉發方法和邊緣設備。
背景技術：
虛擬私有網(Virtual Private Network，VPN)，是利用公用網絡構建的私人專用網絡，它以其獨具特色的優勢贏得了越來越廣泛的應用。對於用戶，使用VPN可以縮減費用，方便管理；對於運營商，使用VPN可以利用現有的基礎設施提供增值服務，擴大運營業務量同時也創造了新的商業機會。多協議標記交換協議(Multi-Protocol Label Switching，MPLS)是一種將具有相同轉發處理方式的分組歸為一類(即轉發等價類，Forwarding EquivalentClass)的分類轉發技術。MPLS最初是用來提高路由器的轉發速度而提出的一個協議，但是由於MPLS在流量工程和VPN這兩個在目前IP網絡中非常關鍵的技術中的優越表現使得MPLS已日益成為擴大IP網絡規模的重要標準。MPLS協議的關鍵是引入了標籤(Label)交換概念，在MPLS 網絡中，IP包在進入第一個MPLS設備時MPLS邊緣路由器分析IP包的內容並為這些IP包選擇合適的標籤，以後就依據這個標籤作為轉發依據將IP包在MPLS網絡中傳輸；當IP包離開MPLS網絡時標籤被邊緣路由器分離。在MPLS網絡中將網絡設備分為邊緣網絡設備和核心網絡設備。邊緣網絡設備提供流量分類和標籤映射，標籤移除的功能。核心網絡設備提供標籤交換和標籤分發功能。MPLS VPN網絡，MPLS作為一種高效的IP骨幹網技術平臺，為實現VPN提供了一種靈活的並且具有可擴展性的技術基礎。MPLS VPN網絡由三種網絡設備組成(1)邊緣用戶CE (Custom Edge)，用戶網絡中直接與服務提供商相連的邊緣設備；(2)邊緣設備PE (Provider Edge)，骨幹網中的邊緣設備，它直接與CE相連；(3)P路由器(Provider Router)，骨幹網中不與CE直接相連的設備。圖1為MPLS VPN網絡架構模型。MPLS VPN網絡由運營商的骨幹網與用戶的各個站點(Site)組成，每一個site通過CE與PE相連，site構成VPN的基本單元。VPN就是對site集合的劃分，一個VPN對應一個由若干site組成的集合，一個site也可以同時屬於不同的VPN。對於任何兩個沒有共同的site的VPN可以使用重疊的地址空間，即在用戶的私有網絡中使用自己獨立的地址空間，而不用考慮是否與其他VPN或公網的地址空間衝突，這就需要依賴於 VPN 路由轉發實例(VPN Routing & Forwarding Instance, VRF) VRF 只存在於PE上，如圖2所示，在PE上針對每一個VPN都創建一個與之對應的VRF，每個VRF 都包括一張路由表，一張轉發表，一組使用這個VRF的接口集合以及一組與之相關的策略。 VRF可以被看作是一個虛擬的路由器。有關MPLS VPN的詳細描述見RFC 2547.在MPLS VPN網絡中，對VPN的所有處理都發生在PE路由器上，為此，PE路由器上起用了 VPNv4地址族，引入了路由標籤RD (Route Distinguisher)等屬性。RD具有全局唯一性，通過將8byte的RD作為IPv4地址前綴的擴展，使不唯一的IPv4地址轉化為唯一的VPNv4地址。PE對等體之間需要發布基於VPNv4地址族的路由，這通常是通過BGP實現的。PE上形成BGP的VPNv4路由過程大致如下PE從CE接收到IPv4路由後，將IPv4路由所在VRF的RD作為IPv4地址前綴的擴展，將IPv4路由轉化為VPNv4路由；PE為VPNv4路由分配入標籤Ll ；PE根據IPv4路由所在VRF的路由目標(Route-target)配置組織VPNv4 路由的Route-target屬性；PE設置VPNv4路由的下一跳為自己，並組織VPNv4路由的其他屬性，至此，VPNv4路由形成。PE將形成的VPNv4路由發送至對端PE，對端PE從接收到的 VPNv4路由中解析出相應的IPv4路由和標籤Li，並根據VPNv4路由的Route-target屬性確定IPv4路由的目的VRF ；對端PE將標籤Ll作為自身接收報文的內層出標籤值；根據接收到的VPNv4路由的下一跳信息，在與發送該VPNv4路由的PE建立的MPLS標籤交換通道 LSP中查詢需要使用的身接收報文的外層出標籤值；將以上得到的信息(如，路由前綴、掩碼)內層出標籤和外層出標籤)下發到轉發表。圖3給出了上述PE按照RFC2M7的方式使用BGP協議進行VPN路由發布和學習的示意圖。當PE對等體之間完成VPN路由發布和學習後，與該對等體建立鄰接關係的CE之間可以互相發包。如圖4所示的現有技術中VPN報文在MPLS VPN轉發示意圖。圖中，PEl 和PE2之間建立MPLS標籤交換通道LSP。CEl向CE2發送數據報文，該數據報文經過PEl-P 路由器-PE2，到達CE2。PEl處理數據報文的過程為PE1根據數據報文入接口的VRF屬性獲得VPm的ID號；PEI使用VPm ID和數據報文目的IP位址查找VRF，得到出接口、內層出標籤值17 (PEl通過學習得到的PE2上分配的入標籤)和外層出標籤值23 (下一跳標籤)； PEl將內層出標籤值17和外層出標籤值23封裝到報文中；PEl將封裝好的報文從出接口轉發出去。P路由器處理數據報文的過程為判斷來自PEl的數據報文是否為標籤包，在確定是標籤包的的情況下，取出該數據報文的第一層MPLS轉發標籤(外層出標籤)；根據第一層MPLS轉發標籤的標籤值23查找標籤轉發表，得到出接口、下一跳及出標籤值；判斷出標籤值是否為3，如果出標籤值不是3，說明下一跳不是LSP的末節點，去除該數據報文的第一層MPLS轉發標籤，封裝新的外層標籤；如果出標籤值是3，說明下一跳是LSP的末節點，根據次末跳彈出規則將該數據報文的第一層MPLS轉發標籤去除後通過出接口直接轉發。PE2 處理數據報文的過程為判斷來自P路由的數據報文是否為標籤包，在確定是標籤包的情況下，取出該數據報文的第一層MPLS轉發標籤(內層出標籤)；判斷轉發條目上是否有二次查找標記，如果有二次查找標記，根據第一層MPLS轉發標籤值17確定獲取目的VPN，根據數據報文的目的地址在與所述目的VPN對應的VRF中進行路由匹配，獲取用於轉發接收報文的出接口 ；如果沒有二次查找標記，根據第一層MPLS轉發標籤值17直接查找與所述目的VPN對應的VRF包含的路由表得到轉發接收報文的出接口 ；PE2將接收報文剝離第一層 MPLS轉發標籤後從查找到的出接口轉發出去。從上述過程可見，在現有的MPLS VPN網絡中轉發數據報文所需的標籤需要PE按照BGP協議學習獲得，獲取過程複雜。
發明內容
本發明提供了一種基於MPLS VPN的數據轉發方法和邊緣設備，以避免現有技術存在的轉發數據報文需要通過繁瑣的路由發布過程學習轉發標籤的技術問題。為解決該技術問題，本發明提供了一種基於多協議標記交換(MPLQ虛擬私有網(VPN)的數據轉發方法，所述方法包括在互通的邊緣設備(PE)間建立MPLS標籤交換通道(LSP)；在所述互通的PE上配置與其連接的VPN的入標籤值以及去往與對端PE連接的 VPN的出標籤值，所述出標籤值與在對端PE上配置的入標籤值相同；將所述出標籤值作為PE發往對端PE的數據報文的內層出標籤值；通過所述LSP轉發配置好標籤的數據報文；通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。進一步地，當存在多個與所述互通的PE連接的VPN時，在所述互通的PE上為與其連接的所述多個VPN —一配置入標籤值；在所述互通的PE上配置的去往與對端PE連接的 VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同。進一步地，所述方法還包括確定接收數據報文的目的VPN後，根據該接收數據報文的目的地址在與所述目的VPN對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。為解決上述技術問題，本發明提供了一種基於多協議標記交換(MPLQ虛擬私有網(VPN)轉發數據的邊緣設備(PE)，所述PE包括MPLS標籤交換通道(LSP)建立模塊、配置模塊、標籤設置模塊、數據報文轉發模塊以及目的VPN識別模塊，其中LSP建立模塊，用於建立PE與其互通PE間的LSP ；配置模塊，用於在PE上配置與其連接的VPN的入標籤值以及去往與其對端PE連接的VPN的出標籤值，所述出標籤值與其對端PE上配置的入標籤值相同；標籤設置模塊，用於將所述出標籤值作為PE發往對端PE的數據報文的內層出標籤值；數據報文轉發模塊，用於通過所述LSP發送配置好標籤的數據報文；目的VPN識別模塊，用於通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。進一步地，所述配置模塊，用於當存在多個與PE連接的VPN時，在PE上為與其連接的所述多個VPN —一配置入標籤值；在PE上配置的去往與其對端PE連接的VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同。進一步地，所述邊緣設備還包括二次查找模塊，用於確定接收數據報文的目的VPN 後，根據該接收數據報文的目的地址在與所述目的VPN對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。上述技術方案通過靜態配置相互通信的PE之間的入標籤值和出標籤值，極大地簡化了 PE和對端PE之間轉發數據報文所需標籤的流程。
圖1為MPLS VPN網絡架構模型；圖2為PE中存在的VRF與各個VPN之間的關係圖；圖3為PE按照RFC2547的方式使用BGP協議進行VPN路由發布和學習的示意圖；圖4為現有技術中VPN報文在MPLS VPN轉發示意圖5為本實施例的基於MPLS VPN的數據報文轉發方法流程圖；圖6為本應用示例靜態配置MPLS VPN的示意圖；圖7為本應用示例的VPN報文在MPLS VPN轉發示意圖；圖8為本實施例的基於MPLS VPN的轉發數據的邊緣設備組成模塊圖。
具體實施例方式為使本發明的目的、技術方案和優點更加清楚明白，下文中將結合附圖對本發明的實施例進行詳細說明。需要說明的是，在不衝突的情況下，本申請中的實施例及實施例中的特徵可以相互任意組合。圖5為基於MPLS實現VPN數據通信方法流程圖。S501在互通的邊緣設備(PE)間建立MPLS標籤交換通道(LSP)； S502在所述互通的PE上配置與其連接的VPN的入標籤值以及去往與對端PE連接的VPN的出標籤值，所述出標籤值與在對端PE上配置的入標籤值相同；在所述互通的PE上配置的入標籤值為1個或多個；當存在多個與所述互通的PE 連接的VPN時，在所述互通的PE上為與其連接的所述多個VPN —一配置入標籤值；在所述互通的PE上配置的去往與對端PE連接的VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同；S503將所述出標籤值作為PE發往對端PE的數據報文的內層出標籤值；S504通過所述LSP發送配置好標籤的數據報文；S505通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN;確定接收數據報文的目的VPN後，根據該接收數據報文的目的地址在與所述目的 VPN對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。下面通過具體的應用示例對上述實施例作進一步的闡述。圖6為本應用示例靜態配置MPLS VPN的示意圖。本應用示例包括五臺路由器，其中2臺作為私有虛擬網絡邊緣用戶CE，二臺作為邊緣設備PE，一臺作為P路由器，組網如圖6所示。這裡僅僅給出一個示例，組建一個最基本的MPLS VPN網絡。具體配置過程包括如下步驟第1步在PEl和PE2之間開啟MPLS，建立PEl和PE2之間的MPLS標籤交換通道 LSP,以保證MPLS VPN的外層隧道正常；第2步在PEl和PE2上，分別為CEl和CE2創建VRF1，創建的VRFl均與VPNl對應；第3步在CE1，CE2上配置到達對端的路由，路由的下一跳指向與各自相連的PE 設備；即圖6 中 CEl 上的 Ip route XXX2 XXXX2 PEl-address部分配置，及CE2上的 Ip route XXXl XXXXl PE2-address 部分配置；第4步在PEl和PE2上分別配置VRFl的入標籤值，即圖6所示的PEl上的VRFl 中In-label: Ll部分配置，和PE2上的VRFl中In-label :L2部分配置；第5步在PEl和PE2上分別配置去往對端PE使用的出標籤值，該出標籤值需要和在對端PE上配置的入標籤值相同，配圖6所示的PEl上的VRFl中next-hop:PE2 out-label :L2 部分配置，和 PE2 上的 VRFl 中 next-hop: PEl out-label: Ll 部分配置；第6步在PEl和PE2上的VRFl中分配配置去往對端VPN的靜態路由，即圖6所示 PEl 上的 VRFl 中 Ip route vrf VRFl XXX2 XXXX2 PE2_addressglobal 部分的配置，及 PE2 上的 VRFl 中 Ip route Vrf VRFl XXXl XXXXlPEl-address global 部分的配置；第7步配置完成。按照本應用示例靜態配置MPLS VPN後，兩端CE互發VPN數據報文，流量能夠互
ο圖7為本應用示例的VPN報文在MPLS VPN轉發示意圖。圖中，PEl和PE2之間建立MPLS標籤交換通道LSP。CEl向CE2發送數據報文， 該數據報文經過PEl-P路由器-PE2，到達CE2。PEl處理數據報文的過程為PE1根據數據報文入接口的VRF屬性獲得VPm的ID 號；PEl使用VPm ID和數據報文目的IP位址查找VRF，得到出接口、內層出標籤值17 (也是在PE2設置的入標籤值)和外層出標籤值23 (下一跳標籤值)；PEl將內層出標籤值17 和外層出標籤值23封裝到報文中；PEl將封裝好的報文從出接口轉發出去。P路由器處理數據報文的過程為判斷來自PEl的數據報文是否為標籤包，在確定是標籤包的的情況下，取出該數據報文的第一層MPLS轉發標籤(外層出標籤)；根據第一層MPLS轉發標籤的標籤值23查找標籤轉發表，得到出接口、下一跳及出標籤值；判斷出標籤值是否為3，如果出標籤值不是3，說明下一跳不是LSP的末節點，去除該數據報文的第一層MPLS轉發標籤，封裝新的外層出標籤；如果出標籤值是3，說明下一跳是LSP的末節點， 根據次末跳彈出規則將該數據報文的第一層MPLS轉發標籤去除後通過出接口直接轉發。 本應用示例中，出標籤值是3，P路由器去除數據報文的外層出標籤值23後，從出接口將數據報文轉發出去。PE2處理數據報文的過程為判斷來自P路由的數據報文是否為標籤包，在確定是標籤包的情況下，取出該數據報文的第一層MPLS轉發標籤(內層出標籤)，根據該第一層MPLS轉發標籤進行二次查找，即根據該第一層MPLS轉發標籤確定接收數據報文的目的 VPN,根據數據報文的目的地址在與所述目的VPN對應的VRF中進行路由匹配，獲取用於轉發接收報文的出接口 ；PE2將接收報文剝離第一層MPLS轉發標籤後從查找到的出接口轉發出去。圖8為本實施例的基於MPLS VPN的轉發數據的邊緣設備組成模塊圖。所述邊緣設備PE包括MPLS標籤交換通道(LSP)建立模塊、配置模塊、標籤設置模塊、數據報文轉發模塊以及目的VPN識別模塊，其中LSP建立模塊，用於建立PE與其互通PE間的LSP ；配置模塊，用於在PE上配置與其連接的VPN的入標籤值以及去往與其對端PE連接的VPN的出標籤值，所述出標籤值與其對端PE上配置的入標籤值相同；配置模塊，用於在PE上配置1個或多個入標籤值；當存在多個與PE連接的VPN時， 在PE上為與其連接的所述多個VPN —一配置入標籤值；在PE上配置的去往與其對端PE連接的VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同；標籤設置模塊，用於將所述出標籤值作為PE發往對端PE的數據報文的內層出標
7籤值；數據報文轉發模塊，用於通過所述LSP發送配置好標籤的數據報文；目的VPN識別模塊，用於通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。所述邊緣設備還包括二次查找模塊，用於確定接收數據報文的目的VPN後，根據該接收數據報文的目的地址在與所述目的VPN對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。本領域普通技術人員可以理解上述方法中的全部或部分步驟可通過程序來指令相關硬體完成，所述程序可以存儲於計算機可讀存儲介質中，如只讀存儲器、磁碟或光碟等。可選地，上述實施例的全部或部分步驟也可以使用一個或多個集成電路來實現，相應地，上述實施例中的各模塊/單元可以採用硬體的形式實現，也可以採用軟體功能模塊的形式實現。本發明不限制於任何特定形式的硬體和軟體的結合。需要說明的是，本發明還可有其他多種實施例，在不背離本發明精神及其實質的情況下，熟悉本領域的技術人員可根據本發明作出各種相應的改變和變形，但這些相應的改變和變形都應屬於本發明所附的權利要求的保護範圍。
權利要求
1.一種基於多協議標記交換(MPLQ虛擬私有網(VPN)的數據轉發方法，其特徵在於， 所述方法包括在互通的邊緣設備(PE)間建立MPLS標籤交換通道(LSP)；在所述互通的PE上配置與其連接的VPN的入標籤值以及去往與對端PE連接的VPN的出標籤值，所述出標籤值與在對端PE上配置的入標籤值相同；將所述出標籤值作為PE發往對端PE的數據報文的內層出標籤值； 通過所述LSP轉發配置好標籤的數據報文；通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。
2.如權利要求1所述的方法，其特徵在於當存在多個與所述互通的PE連接的VPN時，在所述互通的PE上為與其連接的所述多個VPN —一配置入標籤值；在所述互通的PE上配置的去往與對端PE連接的VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同。
3.如權利要求1或2所述的方法，其特徵在於，所述方法還包括確定接收數據報文的目的VPN後，根據該接收數據報文的目的地址在與所述目的VPN 對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。
4.一種基於多協議標記交換(MPLQ虛擬私有網(VPN)轉發數據的邊緣設備(PE)，其特徵在於，所述PE包括MPLS標籤交換通道(LSP)建立模塊、配置模塊、標籤設置模塊、數據報文轉發模塊以及目的VPN識別模塊，其中LSP建立模塊，用於建立PE與其互通PE間的LSP ；配置模塊，用於在PE上配置與其連接的VPN的入標籤值以及去往與其對端PE連接的 VPN的出標籤值，所述出標籤值與其對端PE上配置的入標籤值相同；標籤設置模塊，用於將所述出標籤值作為PE發往對端PE的數據報文的內層出標籤值；數據報文轉發模塊，用於通過所述LSP發送配置好標籤的數據報文； 目的VPN識別模塊，用於通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。
5.如權利要求4所述的邊緣設備，其特徵在於，配置模塊，用於當存在多個與PE連接的VPN時，在PE上為與其連接的所述多個VPN 一一配置入標籤值；在PE上配置的去往與其對端PE連接的VPN的出標籤值與在對端PE上配置的至少一個入標籤值相同。
6.如權利要求4或5所述的邊緣設備，其特徵在於，所述邊緣設備還包括二次查找模塊，所述二次查找模塊，用於確定接收數據報文的目的VPN後，根據該接收數據報文的目的地址在與所述目的VPN對應的VPN路由轉發實例(VRF)中進行路由匹配，獲取用於轉發接收報文的出接口。
全文摘要
本發明提供了一種基於MPLS VPN的數據轉發方法和邊緣設備，其中方法包括在互通的PE間建立MPLS LSP；在互通的PE上配置與其連接的VPN的入標籤值以及去往與對端PE連接的VPN的出標籤值，出標籤值與在對端PE上配置的入標籤值相同；將出標籤值作為PE發往對端PE的數據報文的內層出標籤值；通過所述LSP轉發配置好標籤的數據報文；通過識別PE接收數據報文的內層出標籤值和PE上配置的入標籤值，確定該接收數據報文的目的VPN。本發明簡化了PE和對端PE之間轉發數據報文所需標籤的流程。
文檔編號H04L12/56GK102546433SQ20121003016
公開日2012年7月4日 申請日期2012年2月10日 優先權日2012年2月10日
發明者張亞旭, 李國勝, 陳東方 申請人:中興通訊股份有限公司