一種在多層標籤交換網絡中實現虛擬專網業務的方法
2023-09-24 12:31:55 5
專利名稱：一種在多層標籤交換網絡中實現虛擬專網業務的方法
技術領域：
本發明通信技術領域，特別是指一種在多層標籤交換(MPLS)網絡中實現虛擬專網(VPN)業務的方法。
背景技術：
VPN是在公眾網絡上建立的虛擬專用網，它具有與專用網同樣卓越的安全性、可靠性和易管理性。VPN替代了傳統的撥號訪問，利用互聯(INTERNET)公網或者運營商提供的網絡資源作為虛擬專用網的延續，節省昂貴的專線租用費用；同時VPN還可以使用隧道協議、身份驗證和數據加密等技術保證VPN通信的安全性，受到企業用戶的歡迎。
圖1所示為RFC2547bis定義的VPN網絡的典型應用，如圖1所示，VPN服務是由骨幹網路由器(P，Provider)通過骨幹網邊緣路由器(PE)向用戶邊緣設備(CE，Customer Edge)提供的，CE感覺不到骨幹網的存在，就好像擁有了獨立的網絡資源一樣。同樣，對於骨幹網內部的P而言，也不知道VPN的存在，僅僅負責骨幹網內部的報文傳輸。所有VPN的構建、連接和管理都是在PE上進行的。從PE的角度看，一個站點(Site)為所管轄的CE連通VPN系統，Site是構成VPN的基本單元，VPN即為Site的集合。同一個VPN中的每個Site通過CE與骨幹網中的PE連接，且每個VPN中的報文都是通過CE和PE在骨幹網上傳播。Site和VPN不存在一對一的對應關係，一個Site可以同時屬於多個VPN，但是，報文只能在同一VPN中的不同Site上傳輸。
基於IPv4的VPN管理路由的過程包括路由的發布、路由的接收和路由的存儲。
其中，路由的發布過程為根據RFC 2547標準，CE和PE之間通過內部網管協議(IGP)或私有網管協議(EBGP)來傳播路由信息，各個PE之間通過IGP來保證IP的連續性，通過IBGP來傳播VPN組成信息和路由。當PE之間發布路由時，所發布的路由攜帶VPN-IPv4地址和路由目標屬性(Route Targets)中的輸出路由目標屬性(Export Route Targets)，該VPN-IPv4地址有12個字節，前8個字節為路由標識(RD，Route Distinguisher)，後4個字節為IPv4地址，IPv4地址為私有地址，不同的VPN下可能使用相同的IPv4地址；CE與PE之間發布路由的時候，所發布的路由攜帶IPv4地址和Export Route Targets。
所述的Route Targets是用來區分同一VPN下不同路由的拓撲結構的，它包括用於附加到所發布路由上的Export Route Targets和用於決定哪些路由可以引入該Site路由表中的輸入路由目標屬性(Import Route Targets)。
路由的接收過程為PE中預先存儲有與其連接Site的VPN-IPv4地址和Route Targets，當PE接收到所發布的路由時，判斷該路由攜帶的VPN-IPv4地址和Export Route Targets是否與自身所存儲的VPN-IPv4地址和RouteTargets中的Import Route Targets相匹配，如果是，則接收該路由；否則，不接收該路由。如果該路由攜帶的為IPv4地址，則在判斷VPN-IPv4地址是否匹配時，判斷該IPv4地址是否與PE所存儲的VPN-IPv4地址中的後四個字節相匹配。
當CE接收到與其連接的PE發布的路由時，判斷路由攜帶的IPv4地址是否與自身的IPv4地址相同，如果是，則接收該路由，否則，不接收該路由。
路由的存儲過程為PE為每一個與其相連的Site設置存儲了該Site的VPN成員關係和路由規則的VPN路由/轉發實例(VRF)，VRF包括IP路由表、標籤轉發表以及管理信息，管理信息包括路由標識(RD)、路由過濾策略和VPN成員接口列表等。目前方案中PE將接收到的路由存儲在相應Site的VRF的路由表中，並以RD區分不同VPN的路由。CE直接將接收的路由進行存儲。
為了防止由於各個VPN中的IPv4地址有可能重複而導致在PE中無法根據IPv4地址區分路由，基於IPv4的VPN管理路由的方案在存儲路由時，在PE中給與其相連的每個Site分別設置了VRF，用於存儲相應Site的路由信息，並且在存儲路由信息時為了區分不同VPN的路由，給路由附加上了RD。
事實上，IETF開發的RFC2547bis實際上採用的是一種帶內信令的方案。也就是說，VPN路由的發布、VPN路由標籤的發布等這些控制信令傳播是通過PE和PE之間運行另外的MP-BGP實例實現的。這種基於RFC2547bis的VPN方案完全依賴於目前路由器的軟體，而目前路由器的軟體根本達不到電信要求的99.999％的可靠性水平。
而且，由於業務提供模式的不同，比如三層VPN業務是一種提供模式，二層VPN業務又是一種提供方式，NGN業務、3G業務在IP網絡上的提供方式和VPN業務的提供方式也不一樣，採用這種帶內通訊方案，使得在IP網絡上沒法採用統一的業務提供模式來提供新業務，因此，網絡每提供一個新業務，都需要升級PE路由器的軟體，這對設備製造商來說，它的路由器設備軟體開發永遠沒有盡頭，對運營商來說，頻繁的設備軟體升級可能帶來的網絡不穩定性、對現有業務可能帶來的衝擊不可估量。
而在RFC2547bis方案中，PE設備不僅要完成普通Internet業務的路由處理任務，還需要完成VPN業務的路由處理任務，這樣就增加了PE設備軟體的複雜度，增加了不穩定的因素。而一旦P設備的控制單板出現故障，不僅VPN業務無法實現、Internet業務也不能正常運行。
發明內容
有鑑於此，本發明的目的在於提供一種在多層標籤交換網絡中實現虛擬專網業務的方法，使其不需要利用帶內信令方式進行路由發布，從而避免帶內信令方式帶來的諸多不便。
為了達到上述目的，本發明提供了一種在多層標籤交換網絡中實現虛擬專網業務的方法，該方法是這樣實現的a.源端PE1收到源端CE-1發送來的路由後，確定需要發布的對端PE2，並為該路由分配源端PE1與源端CE-1之間的隧道，然後通過入口CM逐跳將路由信息發送出口CM；b.出口CM確定當前PE1到對端PE2之間是否存在隧道，如果存在，則將執行步驟c，否則，建立源端PE1到對端PE2之間的隧道，再執行步驟c；c.出口CM將至所述路由信息發送至對端PE2，對端PE2更新該VPN業務的VRF中的路由信息，並將所述路由信息發布給對端CE-2；d.當PE2收到CE-2發送的含有路由標識的IP數據包時，根據該路由標識獲取到對端PE1的隧道信息，並按照該隧道信息以及步驟a中所分配的隧道將IP數據包轉發至對端VPN用戶。
步驟a包括a1、源端PE1收到源端CE-1發送來的路由後，根據VPN業務用戶數據和網絡的局方數據確定對端PE2；a2、源端PE1為該路由分配源端PE1到源端CE-1的標籤信息，並將該路由發送給入口CM，其中攜帶所述標籤信息和路由；a3、入口CM通過根據對端PE2對應的loopback地址或RD，確定下一跳CM，並將包括攜帶標籤信息和路由信息逐級轉發至下一跳，經過逐跳轉發，最後到達出口CM。
3、根據權利要求2所述的方法，其特徵在於，所述路由信息至少包括對端PE2給該VPN分配的路由標識、源端PE1對應的loopback地址以及對端PE2對應的loopback地址。
步驟a3中所述入口CM是通過對端PE2對應的loopback地址或RD來確定下一跳CM的。
所述VPN業務用戶數據包括RD/RT、拓撲數據、成員關係數據。
所述局方數據包括VPN標籤的分配策略、PE的LoopBack地址。
所述VPN業務用戶數據和/或局方數據預先設置在PE中或外部資料庫中。
當所述VPN業務用戶數據和/或局方數據預先設置在外部資料庫中時，所述PE可以採用Radius、SIP、LDAP或COPS協議與外部資料庫進行通訊。
步驟b中所述源端PE1到對端PE2之間的隧道是根據業務需求、業務優先級建立的。
步驟a中所述源端PE1與源端CE1之間的隧道是基於VRF、接口或每個VPN中的每條路由分配的。
本發明採用了帶外方式的VPN路由定向/指定發布機制，在路由發布時，不需要PE通過MP-IBGP協議、運行MP-IBGP軟體。本發明的方法對於不同的業務提供模式都是一樣的，因此當網絡提供新業務時，不需要升級PE路由器的軟體，因此，減少了軟體開發過程以及軟體升級過程，從而避免了由軟體升級過程帶來的不穩定性。
並且，在網絡中PE路由器不提供Internet業務時，PE就不需要運行Internet的那套路由軟體，由於VPN業務數據也不需要存儲在PE設備上，這樣PE的軟體大大減少，可靠性大為提高。當然，在網絡中的PE設備不承載Internet業務時，那麼在手工配置好參數後，可以不需要控制PE路由器對應的單板，此時網絡的可靠性可以和傳輸設備相當。而如果PE設備承載Internet業務，即使控制單板出現故障，也只影響Internet業務，不會影響VPN業務。因此，應用本發明的方法，由於PE設備複雜度大大降低，可靠性高、成本低。
圖1為VPN網絡的典型應用示意圖；圖2為在MPLS網絡上提供三層VPN業務的總體框架示意圖；圖3為實現本發明的方法的流程示意圖；
圖4為本發明的實施例中VPN路由發布過程和數據轉發過程示意圖；圖5為圖4實現路由發布和數據轉發的流程示意圖。
具體實施例方式
為使本發明的目的、技術方案和優點更加清楚，下面結合附圖對本發明作進一步的詳細描述。
參見圖2所示，本發明的組網結構包括業務控制層、承載控制層、邏輯承載網、基礎物理網四個層次。其中，基礎物理網是由目前運營商的基礎IP網絡構成；邏輯承載層是由通過MPLS流量工程技術在運營商的物理IP網絡上預先規劃和配置好的多個邏輯承載網絡組成，每個邏輯承載網絡分別對應於DiffServ標準規定的業務類別EF、AF1、AF2；承載控制層是由分層構建的多個資源管理器(CM)組成，負責管理和維護邏輯承載層的網絡資源和拓撲結構信息，並為來自業務控制層的服務質量(QoS)請求建立符合嚴格QoS要求的端到端承載通路，在IP骨幹網上這個承載通路是通過MPLS標籤棧來表示；業務控制層是由處理用戶業務申請的各種業務控制平臺組成，它根據用戶的業務請求，確定本次業務所需的參數QoS參數、IP五元組，即源IP位址、目的IP位址、協議號、源埠號、目的埠號，生成QoS請求命令，命令的格式為(QoS參數、IP五元組)，然後向承載控制層申請業務流的承載通路。業務控制平臺可以是SoftSwitch、VPN Manager、VOD控制伺服器、視頻會議MCU控制平臺、協同工作的控制平臺，業務控制平臺可以是運營商的，也可以是運營商的籤約ICP、ISP客戶的。不同的業務有不同的業務控制平臺，但是不同業務控制平臺和承載控制層的接口是統一的。
為了使解決方案具有良好的擴展能力，借鑑動態路由協議OSPF、IS-IS分區分域的機制，這裡將IP物理網絡分成若干管理區，每個管理區由一個資源管理器CM統一管理網絡資源，負責為經過本管理區的會話選擇通路和分配資源，跨區的選路需要兩個區的資源管理器CM相互交互才能完成。在實際應用中，一個管理區可以是一個城域網，可以是一個省骨幹網，也可以是國家骨幹網；管理區的劃分也可以與路由區域的劃分一致。
以下為方便起見，將路由發布方稱為源端CE-1，簡稱CE-1，其對應的局端設備為源端PE1，簡稱PE1，將路由接受方稱為對端CE-2，簡稱CE-2，其對應的局端設備為對端PE2，簡稱PE2。
參見圖3所示，實現本發明的方法包括以下步驟步驟301PE1收到CE-1發送來的路由後，確定需要發布的PE2，並為該路由分配PE1與CE1之間的隧道，然後通過入口CM逐跳將路由信息發送至出口CM；步驟302出口CM確定當前PE1到PE2之間是否存在隧道，如果存在，則執行步驟303，否則，建立源端PE1到對端PE2之間的隧道；步驟303出口CM將至所述路由信息發送至PE2，PE2更新該VPN業務的VRF中的路由信息，並將所述路由信息發布給CE-2；步驟304當PE2收到CE-2發送的含有路由標識的IP數據包時，根據該路由標識獲取到對端PE的隧道信息，並按照該隧道信息以及步驟301中所分配的隧道將IP數據包轉發至對端CE-1。
下面結合圖4舉具體實施例對本發明作進一步詳細說明。
參見圖5所示，本實施例實現VPN路由發布以及數據轉發的過程如下步驟501當PE1收到CE-1發布的路由時，根據預先配置的VPN業務用戶數據和局方數據確定需要發布的PE2。
這裡，路由是RD來表示的。並且，RD可以採用人們熟知的幾種編號方案，例如E.164(如企業的800地址)、帶有地理信息的Internet域名(huawei.bi.cn、huawei.shanghai.cn)、帶有地理信息的Email地址([email protected]、[email protected])等。而且，RD的編號粒度和運營商希望達到的尋址對象大小有關，可以有以下幾種方案(1)基於VRF分配RDRD和VRF之間建立了一種一一映射關係，此時RD可尋址到PE上的VPN；(2)基於接口分配RDRD和VPN的接口建立了一種一一映射關係，此時RD可尋址到PE上所連接的VPN站點。
並且，VPN業務用戶數據可以包括RD/RT、拓撲數據、成員關係數據等。在實際應用過程中，可以按照RFC2547bis將VPN業務用戶數據以及局方數據，如VPN標籤的分配策略、PE的LoopBack地址等，直接存儲在PE上。當然，為了集中管理、減少運營成本，也可以將VPN業務用戶數據統一設置在外部伺服器的資料庫上，當PE需要使用這些數據時，可以從該資料庫上查詢獲取。而且，該資料庫可以考慮和運營商的Radius Server合併或單獨設置。PE和這些資料庫之間的通訊協議可以採用Radius、SIP、LDAP、COPS等。
步驟502PE1為該路由分配一個標籤Lv1，表示從PE1到CE-1之間的隧道，並且將路由信息發給入口CM，其中包括路由、標籤信息Lv1、對端PE2給該VPN分配的RD、PE1的LoopBack地址、PE2的LoopBack地址等。
步驟503入口CM收到該路由信息後，根據其中的PE2的LoopBack地址或RD查詢路由表，確定下一跳CM，並將收到的路由信息轉發給下一跳CM，經過這樣的逐跳轉發，最後這些信息到達出口CM。
步驟504出口CM判斷當前是否存在PE2到PE1的LSP，如果存在，則執行步驟505，否則，建立PE2到PE1的LSP，然後執行步驟505。
步驟505出口CM將該路由信息發送至對端PE2。
步驟506PE2根據其中PE1的LoopBack地址，獲得PE2到PE1標籤棧信息L4/L3/L2/L1，PE2再根據RD+Dest/Mask、標籤信息Lv1和標籤棧信息更新該VPN對應的VRF實例的路由表和轉發表，最後PE2將這條路由發布給CE-2。
步驟501～步驟506是完成路由發布過程。從上述過程可以看出，本發明改進了RFC2547bisVPN路由的發布機制，將廣播發布方式改為定向/指定發布方式。而正是由於本發明中採用的是路由定向發布機制，所以目的PE不需要對路由進行過濾，因此不需要RT這個參數。
步驟507當PE2收到VPN用戶的IP數據包時，根據RD查詢VRF表，得到標籤棧L4/L3/L2/L1/Lv1信息，並將標籤棧L4/L3/L2/L1/Lv1信息封裝在IP頭上，然後根據標籤棧信息將IP數據包轉發至PE1，PE1根據VPN標籤Lv1將IP報文轉發給VPN用戶。
在圖4所示的實施例中，步驟402中是以基於路由分配VPN標籤的方法為例來說明的，其實VPN標籤的分配方法主要取決於VPN標籤的分配粒度，對於PE來說，VPN標籤的分配是局部方法，完全可以由每個PE自己決定。例如，VPN標籤的分配方法可以包括以下幾種分配粒度(1)基於VRF分配VPN標籤在PE上僅為每個VRF分配一個VPN標籤，這樣每個VRF就有一個FIB表，在出口PE上，必須根據這個FIB表進行二次查找，得到出接口和相應的封裝信息。
(2)基於接口分配VPN標籤在PE上為VPN的每個接口電路分配一個標籤，可避免在出口PE上的二次查找。
(3)基於路由分配VPN標籤在PE上為VPN的每條路由分配一個標籤。
本發明採用帶外方式的體系架構來提供MPLS L3VPN，這個體系架構不僅可以MPLS L3VPN，也可以提供NGN、3G、視頻等傳統電信的電信業務。這樣採用統一的體系架構來提供各種電信業務，運營商提供新的電信業務時不需要更新、升級路由器軟體。
本發明採用了帶外方式的VPN路由定向/指定發布機制，在路由發布時，不需要PE通過MP-IBGP協議、運行MP-IBGP軟體。本發明的方法對於不同的業務提供模式都是統一的，因此，當網絡提供一個新業務時，不需要升級PE路由器的軟體，因此，減少了軟體開發過程以及軟體升級過程，從而避免了由軟體升級過程帶來的不穩定性，確保了業務控制平面的安全。
並且，如果PE路由器不提供Internet業務，PE就不需要運行Internet的那套路由軟體，由於VPN業務數據也不需要存儲在PE設備上，這樣PE的軟體大大減少，可靠性大為提高。當然，如果網絡中的PE設備不承載Internet業務，那麼在手工配置好參數後，可以不需要控制單板，此時網絡的可靠性可以和傳輸設備相當。而如果PE設備承載Internet業務，即使控制單板出現故障，也只影響Internet業務，不會影響VPN業務。
而且，本發明對RD的編碼尋址方式做了重大改進，取消了RT參數。RD採用人們熟知的編碼方式，學習、培訓、調試、故障定位、運營維護成本大大降低。
總之，以上所述僅為本發明的較佳實施例而已，並非用於限定本發明的保護範圍。
權利要求
1.一種在多層標籤交換網絡中實現虛擬專網業務的方法，其特徵在於，該方法包括以下步驟a.源端PE1收到源端CE-1發送來的路由後，確定需要發布的對端PE2，並為該路由分配源端PE1與源端CE-1之間的隧道，然後通過入口CM逐跳將路由信息發送出口CM；b.出口CM確定當前PE1到對端PE2之間是否存在隧道，如果存在，則將執行步驟c，否則，建立源端PE1到對端PE2之間的隧道，再執行步驟c；c.出口CM將至所述路由信息發送至對端PE2，對端PE2更新該VPN業務的VRF中的路由信息，並將所述路由信息發布給對端CE-2；d.當PE2收到CE-2發送的含有路由標識的IP數據包時，根據該路由標識獲取到對端PE1的隧道信息，並按照該隧道信息以及步驟a中所分配的隧道將IP數據包轉發至對端VPN用戶。
2.根據權利要求1所述的方法，其特徵在於，步驟a包括a1、源端PE1收到源端CE-1發送來的路由後，根據VPN業務用戶數據和網絡的局方數據確定對端PE2；a2、源端PE1為該路由分配源端PE1到源端CE-1的標籤信息，並將該路由發送給入口CM，其中攜帶所述標籤信息和路由；a3、入口CM通過根據對端PE2對應的loopback地址或RD，確定下一跳CM，並將包括攜帶標籤信息和路由信息逐級轉發至下一跳，經過逐跳轉發，最後到達出口CM。
3.根據權利要求2所述的方法，其特徵在於，所述路由信息至少包括對端PE2給該VPN分配的路由標識、源端PE1對應的loopback地址以及對端PE2對應的loopback地址。
4.根據權利要求3所述的方法，其特徵在於，步驟a3中所述入口CM是通過對端PE2對應的loopback地址或RD來確定下一跳CM的。
5.根據權利要求2所述的方法，其特徵在於，所述VPN業務用戶數據包括RD/RT、拓撲數據、成員關係數據。
6.根據權利要求2所述的方法，其特徵在於，所述局方數據包括VPN標籤的分配策略、PE的LoopBack地址。
7.根據權利要求2所述的方法，其特徵在於，所述VPN業務用戶數據和/或局方數據預先設置在PE中或外部資料庫中。
8.根據權利要求7所述的方法，其特徵在於，當所述VPN業務用戶數據和/或局方數據預先設置在外部資料庫中時，所述PE可以採用Radius、SIP、LDAP或COPS協議與外部資料庫進行通訊。
9.根據權利要求2所述的方法，其特徵在於，步驟b中所述源端PE1到對端PE2之間的隧道是根據業務需求、業務優先級建立的。
10.根據權利要求1所述的方法，其特徵在於，步驟a中所述源端PE1與源端CE1之間的隧道是基於VRF、接口或每個VPN中的每條路由分配的。
全文摘要
本發明公開了在多層標籤交換網絡中實現虛擬專網業務的方法，該方法包括PE1收到源CE－1發送來的路由後，確定需要發布的PE2，並為該路由分配PE1與CE－1之間的隧道，通過入口CM逐跳將路由信息發送出口CM；出口CM確定當前PE1到對端PE2之間是否存在隧道，如果不存在，建立PE1到PE2之間的隧道，否則，直接將至所述路由信息發送至PE2，PE2更新該VPN業務的VRF中的路由信息，並將所述路由信息發布給CE－2；當PE2收到CE－2發送的含有路由標識的IP數據包時，根據該路由標識獲取到PE1的隧道信息，將IP數據包轉發至對端VPN用戶。本發明採用帶外信令方法發布VPN路由，PE不需要運行MP－IBGP軟體，PE設備複雜度大為降低，可靠性提高、成本下降。
文檔編號H04L29/06GK1744541SQ20041007412
公開日2006年3月8日 申請日期2004年8月31日 優先權日2004年8月31日
發明者李國平 申請人:華為技術有限公司