將核心網接入多協議標記交換虛擬專用網的方法
2023-07-08 05:24:11
專利名稱：將核心網接入多協議標記交換虛擬專用網的方法
技術領域：
本發明涉及一種MPLS VPN網絡接入方法，尤其涉及一種將核心網接入MPLS VPN網絡的方法。
背景技術：
當前企業網VPN(Virtual Private Network，虛擬專用網)技術方興未艾，日益成為業界關注的焦點。其中MPLS(Multiprotocol Label Switching，多協議標記交換)VPN廣泛應用於企業網絡資源邏輯劃分和安全隔離，將一個物理的企業網絡劃分為多個獨立的″邏輯網絡″，是目前比較理想的實現網絡資源分配的技術。
MPLS VPN是一種基於MPLS技術的IP VPN，是利用結合傳統路由技術的標記交換實現的IP虛擬專用網絡，它可以提供每個IP數據包一個標記，將之與IP數據包封裝於新的MPLS數據包，由此決定IP數據包的傳輸路徑以及優先順序，而與MPLS兼容的路由器會在將IP數據包按相應路徑轉發之前僅讀取該MPLS數據包的包頭標記，無須再去讀取每個IP數據包中的IP位址位等信息，因此數據包的交換轉發速度大大加快。
MPLS VPN框架包括的組件P設備(運營商核心路由器)、PE(ProviderEdge，運營商邊緣)設備、CE(Custom Edge，客戶邊緣)設備、VPN業務管理系統，其中最關鍵的是PE設備。
以圖1為例，為MPLS VPN技術拓撲示意圖，以VPN1數據為例，其具體轉發過程如下當地市某一CE設備將VPN1數據發給入口PE路由器後，PE路由器查找該子接口對應的VRF表(虛擬路由表)，從VRF表中得到VPN1標籤、初始外層標籤以及到出口PE路由器的輸出接口。當VPN1分組數據被打上兩層標籤之後，就通過輸出接口轉發給出口PE路由器。出口PE路由器根據VPN1標籤，查找MPLS路由表得到對應的輸出接口，在彈出VPN1標籤後通過該接口將VPN1分組數據發送給正確的CE設備，從而實現了整個數據轉發過程。當出口PE路由器和入口PE路由器是同一個路由器時，PE路由器對收到的VPN1分組數據將不經過任何處理直接轉發給目的CE路由器。
MPLS技術是一種新出現的技術，旨在解決當前分組轉發技術中存在的許多問題。而MPLS VPN技術更是今後VPN發展的一個方向，因此將3G技術和MPLS VPN進行融合顯得尤為重要。
GGSN(GPRS網關支持節點)是3G核心網的網關節點，負責將移動用戶接入到外部分組數據網、Internet或者是企業的VPN網絡。GGSN根據用戶籤約的APN(接入點名稱)選擇自己所要訪問的網絡，如果某個APN連接的是一個VPN網絡，則籤約了該APN的移動用戶將通過GGSN訪問相應的VPN，當然也包括MPLS VPN。
移動終端和GGSN接入點(AP)之間建立的連接是一個PDP(分組數據協議)上下文，通過此過程使移動臺到GGSN之間建立一條邏輯通路。
移動用戶要訪問外部數據網絡，必須發起PDP上下文激活過程，移動臺在激活的PDP上下文中接收它的IP位址。
在3G網絡中，GGSN的每一個APN都可以單獨指定地址配置方式，其地址配置的協議過程，一般首先由移動終端向SGSN(GPRS服務支持節點)發起「激活PDP上下文請求」的消息，並在消息中將相關參數傳給SGSN，然後SGSN接收到請求後，向GGSN發送帶有上述參數的「創建PDP上下文請求」消息，GGSN收到請求後，為移動終端分配接口標識並創建一個鏈路本地地址，然後將相關信息封裝在「創建PDP上下文請求」的應答消息中，發回給SGSN，SGSN收到應答消息後，將相關信息封裝在「激活PDP上下文請求」接收消息中，發回給移動終端，移動終端得到地址信息後進行相應的配置，並將接口標識解析出來，然後按照配置發送一個「路由請求」消息給GGSN，GGSN執行完「激活PDP上下文請求」操作後，向移動終端發送一個「路由通告」。經過以上過程，由移動終端發出的IP數據包被3G網絡中的節點直接轉發到GGSN，再由GGSN路由到目標網絡。
目前GGSN接入到外部網絡一般是通過傳統的IP路由方式來接入，GGSN網關設備的上下行轉發都是通過路由來實現的，所有的APN處於相同的地址空間，如果要實現VPN，基本只能採用通用的隧道封裝方式，而要接入到複雜的MPLS VPN網絡，實現上比較有難度。MPLS VPN網絡內部採用了MPLS特有的標籤交換技術，和傳統的IP技術存在較大的差異，因此在GGSN上很難直接將APN和MPLS標籤建立起映射關係。
因此，能否提出一種簡單易行的方法，將3G核心網中的GGSN接入MPLS VPN網絡，已經成為業內亟待解決的問題。
發明內容
本發明所要解決的技術問題在於提供一種將核心網接入多協議標記交換虛擬專用網的方法，將3G核心網中的GGSN接入MPLS VPN網絡。
本發明提供一種將核心網接入多協議標記交換虛擬專用網的方法，包括如下步驟在GGSN對外接口上配置VLAN邏輯子接口，在對端的PE設備上也配置VLAN邏輯子接口，使雙方的IP與ARP互通；在GGSN上建立APN與VLAN的映射關係，同時在PE設備上建立VLAN與VPN之間的映射關係；在控制層面上，根據APN、VLAN與VPN的映射關係，建立起PDP上下文；在用戶層面上，根據創建的PDP上下文和相應的VLAN信息，與MPLSVPN網絡交互，將核心網接入MPLS VPN網絡。
本發明通過VLAN技術，在GGSN裡建立起APN、VLAN VPN中，解決了GGSN設備上移動技術和MPLS VPN技術融合的問題。和MPLS VPN的映射關係，通過這種映射關係將用戶接入到相應的MPLS VPN網絡。
圖1為MPLS VPN技術拓撲示意圖；圖2為虛擬區域網拓撲示意圖；
圖3為利用本發明的GGSN通過VLAN邏輯子接口和MPLS VPN網絡進行互通示意圖；圖4為利用本發明將核心網接入多協議標記交換虛擬專用網的一種組網示意圖；圖5為本發明的實施例流程圖。
具體實施例方式
由於GGSN和外部網絡的物理鏈路上承載了多個MPLS VPN的用戶，因此必須引入一種技術在相同的物理鏈路上將不同VPN的用戶區分開來，因此引入VLAN技術來實現這種接入方式是非常可行的，通過虛擬區域網標識(VLAN ID)來區分不同的MPLS VPN，同時在GGSN上建立起APN和VLAN的一種映射，這樣就可以實現將歸屬於APN的用戶靈活接入到MPLS VPN網絡中。
VLAN(Virtual Local Area Network)即虛擬區域網，是一種通過將區域網內的設備邏輯的而不是物理的劃分成一個個網段從而實現虛擬工作組的新興技術。雖然VLAN所連接的設備來自不同的網段，但是相互之間可以進行直接通信，好像處於同一網段中一樣，相比較傳統的區域網布局，VLAN技術更加靈活。如圖2所示，為虛擬區域網拓撲示意圖。
在中繼線上傳輸不同的VLAN的數據時，目前一般使用的是幀標記法。數據幀在中繼線上傳輸的時候，交換機在幀頭的信息中加標記來指定相應的VLAN ID。當幀通過中繼以後，去掉標記同時把幀交換到相應的VLAN埠。
因此，如果能在GGSN上使用VLAN技術，對需要接入到VPN的用戶數據，在出口時打上VLAN幀頭髮出，同時在接收的時候需要剝離VLAN幀頭，並根據VLAN ID找到正確的PDP(Packet Data Protocol，分組數據協議)上下文，就可以完整的實現接入流程。
如圖3所示，為利用本發明的GGSN通過VLAN邏輯子接口和MPLSVPN網絡進行互通示意圖。MPLS VPN網絡由邊緣的PE(運營商邊緣)設備以及核心交換的P(運營商核心路由器)設備組成，GGSN要接入到MPLSVPN網絡，首先必須和PE設備進行互通，在PE設備上會根據VRF(虛擬路由表)區分出不同的VPN，進而在某一個VPN空間裡面進行標籤的快速轉發。在具體實施的時候，GGSN必須將VPN信息帶給對端的PE設備，這是通過VLAN邏輯鏈路來進行傳遞的。這樣當3G用戶接入到GGSN後，GGSN就根據映射關係查找到VLAN，通過查找到的VLAN將用戶報文轉發給PE設備，最終通過PE生成VRF，進行標籤轉發，以訪問到企業的VPN網絡。
如圖4所示，為利用本發明將核心網接入多協議標記交換虛擬專用網的一種組網示意圖，MPLS VPN網絡由邊緣的PE(運營商邊緣)設備以及核心交換的P(運營商核心路由器)設備組成，GGSN要接入到MPLS VPN網絡，首先必須和PE設備進行互通，在PE設備上會根據VRF(虛擬路由表)區分出不同的VPN，進而在某一個VPN空間裡面進行標籤的快速轉發。在具體實施的時候，GGSN必須將VPN信息帶給對端的PE設備，這是通過VLAN邏輯鏈路來進行傳遞的。這樣當3G用戶接入到GGSN後，GGSN就根據映射關係查找到VLAN，通過查找到的VLAN將用戶報文轉發給PE設備，最終通過PE生成VRF，進行標籤轉發，以訪問到企業的VPN網絡。
如圖5所示，為本發明的實施例流程圖，首先在GGSN對外接口上配置VLAN邏輯子接口，在對端的PE設備上也配置VLAN邏輯子接口，使雙方的IP與ARP互通(步驟501)；然後在GGSN上建立APN與VLAN的映射關係，同時在PE設備上建立VLAN與VPN之間的映射關係，以生成虛擬路由表(步驟502)；用建立的映射關係創建PDP上下文，關聯用戶的地址空間(步驟503)；判斷用戶數據的流程是上行數據還是下行數據(步驟504)；如果是上行數據，則根據建立的映射關係封裝VLAN報文發送給外部的多協議標記虛擬專用網絡(步驟505)，外部網絡根據VLAN映射關係與虛擬路由表，經過多協議標籤交換協議找到對應的VPN標籤轉發(步驟506)；如果是下行數據，則根據VLAN標籤的對應關係找到對應用戶的專用地址空間(步驟507)，並根據用戶信息封裝正確的隧道(步驟508)。
在GGSN對外接口上創建的VLAN邏輯子接口，每個邏輯子接口都具有一個VLAN ID，每個子接口和外部的MPLS網絡接口形成對應關係，保證和外部網絡能夠正常進行的IP路由和ARP(地址解析協議)解析。
在建立起APN、VLAN和MPLS VPN網絡的對應關係後，可以根據用戶籤約的APN，配置相應的VLAN邏輯子接口，二者之間可以通過APN ID和VLAN ID形成映射關係，通過VLAN ID進而對應上外部的MPLS VPN。
在控制層面上，可以根據用戶籤約的信息和VLAN、VPN的映射關係，建立起PDP上下文。在用戶層面上，則根據創建的PDP上下文、相應的VLAN信息和MPLS VPN網絡交互，最終將核心網正確接入到MPLS VPN網絡。
對於上行移動用戶數據，GGSN根據用戶籤約的APN信息查找到該APN對應的外部網絡連接方式，GGSN通過這種連接方式來確定該APN用戶所要訪問的外部網絡。
對於連接方式是普通的直連方式的，GGSN根據用戶上行數據報文查找路由表進行轉發，將用戶接入到外部網絡中。對於下行用戶數據，GGSN根據用戶報文查找到相應的PDP上下文，通過PDP上下文裡保存的用戶信息對用戶數據進行進一步的處理，最終發送給SGSN(GPRS服務支持節點)。
而對於連接方式是接入MPLS VPN網絡的，則利用本發明，需要對GGSN的出接口劃分邏輯子接口，每個邏輯子接口就對應一條VLAN邏輯鏈路，每條VLAN邏輯鏈路上承載了某一個MPLS VPN的用戶數據。
如果某個APN要接入MPLS VPN網絡，則GGSN建立起VPN和VLAN的映射關係。
在用戶激活過程中，GGSN必須根據映射關係創建PDP上下文，在創建上下文需要關聯用戶地址空間。具體過程可以包括如下步驟(1)手機需要訪問分組域網絡業務，首先發起S激活流程，並把手機籤約的接入點帶上來；(2)激活請求到達GGSN，GGSN判斷該手機用戶的接入點名稱配置的接入方式；(3)判斷接入方式是否是接入到多協議標籤交換網絡？如果是這種方式，則將手機地址和對應該接入點的虛擬專用網標籤一起進行64位的hash(哈希)運算，創建PDP上下文；(4)手機激活成功後，發起訪問分組域業務的上行數據業務；(5)GGSN向手機發起激活成功響應，控制面流程結束。
對於用戶的上行數據報文，GGSN根據APN ID和VLAN ID的映射，查找到對應的VLAN邏輯子接口，並將VLAN信息封裝到用戶報文前面，通過VLAN邏輯子接口發送到MPLS網絡。具體來說，可以包括如下步驟(1)手機發起分組域的上行業務數據包，數據包到達GGSN；(2)如果該手機的接入點配置了接入多協議標籤交換網絡，則取出配置的虛擬區域網標籤；(3)在上行數據包前面封裝虛擬區域網標籤，並根據該接入點配置的接口信息和下一跳信息發給與GGSN相連的運營商邊緣路由器；(4)運營商邊緣路由器收到上行報文後，根據接收到的報文的虛擬區域網標籤，運行多協議標籤交換協議得到轉發的標籤；(5)邊緣路由器根據轉發標籤將上行報文發給核心P路由器，P路由器直接根據標籤轉發到手機需要訪問的虛擬專用網；(6)上行用戶面流程結束。
對於從MPLS VPN網絡來的下行報文，GGSN不能僅僅根據報文的信息來找到用戶的PDP上下文，因為對於VPN用戶來說，地址空間可以是重疊的，單純通過報文信息可能無法定位哪個PDP上下文，因此這裡必須加上VLAN ID同時進行索引，才能查找到正確的用戶PDP上下文，進而再對報文進行後續處理，最終發給SGSN。具體來說，可以包括如下步驟(1)網絡側發起下行數據業務到手機時，通過多協議標籤協議的標籤，下行報文到達GGSN；(2)GGSN下行收到報文，首先判斷報文的目的地址是否是手機地址？如果是手機地址，並且是帶有虛擬區域網標籤的報文，則去掉虛擬區域網的標籤，並將報文和虛擬區域網標籤帶給用戶面處理板；(3)在用戶面處理板上，將手機地址和虛擬區域網標籤一起進行64位的hash運算，根據hash索引查找是否存在PDP上下文？(4)如果存在PDP上下文，則根據找到的PDP上下文裡記錄的信息封裝GPRS隧道協議頭部，並發給SGSN，通過SGSN再發給手機；如果找不到PDP上下文，則丟棄報文；(5)下行用戶面流程結束。
上述幾個部分描述了移動用戶接入MPLS VPN網絡的一個基本流程，這幾個基本部分是前後關聯的。用戶要接入MPLS VPN網絡，總體步驟和普通接入是類似的，對於普通接入外部網絡的移動用戶來說，主要的流程就是首先創建PDP上下文，然後根據路由關係轉發用戶面報文，而對於要接入到MPLS VPN網絡的用戶，由於存在VPN，因此在激活流程和用戶面流程上存在一定的差異，首先，GGSN要接入MPLS VPN網絡，是通過VLAN的方式來進行的，因此必須對出去的GGSN接口劃分不同的VLAN邏輯子接口，每個邏輯子接口對應一個VPN，當然，也可以是多個邏輯子接口共享同一個VPN的用戶數據；其次，用戶激活並創建PDP上下文的時候必須關聯VLAN信息，對於VPN用戶來說，最大的一個特點就是地址可以重疊，因此必須在某一個VLAN裡面進行創建，這樣能夠保證用戶的PDP上下文的唯一性。最後，就是在用戶面的轉發層面，通過建立起APN、VLAN和MPLS VPN之間的映射關係，根據這種映射關係，就可以在上下行數據轉發時找到正確的PDP上下文，實現用戶數據順利接入MPLS VPN網絡。
本發明所述的3G核心網通過VLAN技術接入MPLS VPN網絡的方法的核心思想就是建立起用戶的VPN和VLAN之間的映射關係，並將這種映射關係和用戶的控制面流程和用戶面流程結合起來，同時將VLAN的信息帶給MPLS網絡，由MPLS網絡的邊緣設備根據VLAN信息找到對應的VPN，以生成各自的標籤轉發表，通過GGSN和MPLS邊緣設備共同協作，完成用戶的接入。
GGSN創建上下文的時候，不僅要根據用戶地址信息、TFT(中文名)，而且還要根據VLAN信息來創建，並保證在同一個VPN空間裡面，PDP上下文的唯一性，使得各個VPN用戶的數據能夠正確地找到各自的上下文信息進行處理。
GGSN管理很多APN，而某個APN或者多個APN又歸屬於某一個VPN，需要通過映射將VPN和VLAN關聯起來，通過VLAN信息就可以唯一標識一個VPN。
GGSN上創建VLAN邏輯子接口後，對IP和ARP的協議處理必須做到GGSN和MPLS網絡的正常通信。
採用本發明，能夠比較方便地在現有技術的基礎上，實現GGSN接入MPLS VPN的功能，為核心網的VPN組網提供了更加完備的商用解決方案。
權利要求
1.一種將核心網接入多協議標記交換虛擬專用網的方法，其特徵在於包括如下步驟在GPRS網關支持節點對外接口上配置虛擬區域網邏輯子接口，在對端的運營商邊緣設備上也配置虛擬區域網邏輯子接口，使雙方的IP與地址解析協議互通；在GPRS網關支持節點上建立接入點名稱與虛擬區域網的映射關係，同時在運營商邊緣設備上建立虛擬區域網與虛擬專用網之間的映射關係；在控制層面上，根據接入點名稱、虛擬區域網與虛擬專用網的映射關係，建立起分組數據協議上下文；在用戶層面上，根據創建的分組數據協議上下文和相應的虛擬區域網信息，與多協議標記交換虛擬專用網網絡交互，將核心網接入多協議標記交換虛擬專用網網絡。
2.如權利要求1所述的方法，其特徵在於所述邏輯子接口具有虛擬區域網標識，每個子接口與外部的虛擬專用網網絡接口形成對應關係，與外部網絡能夠正常進行IP路由與地址解析協議解析。
3.如權利要求1所述的方法，其特徵在於所述的配置虛擬區域網邏輯子接口是根據用戶籤約的APN來配置相應的虛擬區域網邏輯子接口，通過接入點名稱標識與虛擬區域網標識形成映射關係，通過虛擬區域網標識進而對應外部網絡的虛擬專用網。
4.如權利要求1所述的方法，其特徵在於所述的創建分組數據協議上下文，是在某一個虛擬區域網空間內進行創建，以保證用戶的分組數據協議上下文的唯一性。
5.如權利要求1所述的方法，其特徵在於所述的在控制層面上，根據接入點名稱、虛擬區域網與虛擬專用網的映射關係，建立起分組數據協議上下文，包括如下步驟(1)手機需要訪問分組域網絡業務，首先發起S激活流程，並把手機籤約的接入點帶上來；(2)激活請求到達GPRS網關支持節點，GPRS網關支持節點判斷該手機用戶的接入點名稱配置的接入方式；(3)判斷接入方式是否是接入到多協議標籤交換網絡？如果是這種方式，則將手機地址和對應該接入點的虛擬專用網標籤一起進行64位的哈希運算，創建分組數據協議上下文；(4)手機激活成功後，發起訪問分組域業務的上行數據業務；(5)GPRS網關支持節點向手機發起激活成功響應，控制面流程結束。
6.如權利要求1所述的方法，其特徵在於所述的在用戶層面上，根據創建的分組數據協議上下文和相應的虛擬區域網信息，與多協議標記交換虛擬專用網網絡交互，將核心網接入多協議標記交換虛擬專用網網絡，對於上行數據業務，包括如下步驟(1)手機發起分組域的上行業務數據包，數據包到達GPRS網關支持節點；(2)如果該手機的接入點配置了接入多協議標籤交換網絡，則取出配置的虛擬區域網標籤；(3)在上行數據包前面封裝虛擬區域網標籤，並根據該接入點配置的接口信息和下一跳信息發給與GPRS網關支持節點相連的運營商邊緣路由器；(4)運營商邊緣路由器收到上行報文後，根據接收到的報文的虛擬區域網標籤，運行多協議標籤交換協議得到轉發的標籤；(5)邊緣路由器根據轉發標籤將上行報文發給核心P路由器，P路由器直接根據標籤轉發到手機需要訪問的虛擬專用網；(6)上行用戶面流程結束。
7.如權利要求1所述的方法，其特徵在於所述的在用戶層面上，根據創建的分組數據協議上下文和相應的虛擬區域網信息，與多協議標記交換虛擬專用網網絡交互，將核心網接入多協議標記交換虛擬專用網網絡，對於下行數據業務，包括如下步驟(1)網絡側發起下行數據業務到手機時，通過多協議標籤協議的標籤，下行報文到達GPRS網關支持節點；(2)GPRS網關支持節點下行收到報文，首先判斷報文的目的地址是否是手機地址？如果是手機地址，並且是帶有虛擬區域網標籤的報文，則去掉虛擬區域網的標籤，並將報文和虛擬區域網標籤帶給用戶面處理板；(3)在用戶面處理板上，將手機地址和虛擬區域網標籤一起進行64位的哈希運算，根據哈希索引查找是否存在分組數據協議上下文？(4)如果存在分組數據協議上下文，則根據找到的分組數據協議上下文裡記錄的信息封裝GPRS隧道協議頭部，並發給SGSN，通過SGSN再發給手機；如果找不到分組數據協議上下文，則丟棄報文；(5)下行用戶面流程結束。
全文摘要
本發明公開了一種將核心網接入多協議標記交換虛擬專用網的方法，首先在GGSN對外接口上配置VLAN邏輯子接口，在對端的PE設備上也配置VLAN邏輯子接口，使雙方的IP與ARP互通，然後在GGSN上建立APN與VLAN的映射關係，同時在PE設備上建立VLAN與VPN之間的映射關係，在控制層面上，根據APN、VLAN與VPN的映射關係，建立起PDP上下文，在用戶層面上，根據創建的PDP上下文和相應的VLAN信息，與MPLS VPN網絡交互，將核心網接入MPLS VPN網絡。本發明通過VLAN技術，在GGSN裡建立起APN、VLAN和MPLS VPN的映射關係，通過這種映射關係將用戶接入到相應的MPLS VPN中。
文檔編號H04L29/06GK1863127SQ20051006952
公開日2006年11月15日 申請日期2005年5月12日 優先權日2005年5月12日
發明者張帆 申請人:中興通訊股份有限公司