CN100359872C - 虚拟专用网中实现地址解析协议的网络设备及其方法 - Google Patents

Abstract

本发明涉及实现地址解析协议的网络设备及其方法，公开了一种虚拟专用网中实现地址解析协议的网络设备及其方法，使得ARP表占用的内存空间大大减少，在ARP表中进行查询的效率更高。这种虚拟专用网中实现地址解析协议的网络设备包含至少一个ARP表和至少一个主接口，每一个主接口包含至少一个连接着一个VPN的子接口，每一个ARP表对应一个网络设备的主接口，ARP表的每一个表项包含一个用于指示该表项属于哪一个子接口的VPN索引；在ARP表中使用IP地址作为散列算法的关键字，不同VPN中具有相同IP地址的ARP表项会被散列到同一个ARP表下标。

Description

虚拟专用网中实现地址解析协议的网络设备及其方法

技术领域

本发明涉及实现地址解析协议的网络设备及其方法，特别涉及虚拟专用网中实现地址解析协议的网络设备及其方法。

背景技术

随着企业网应用的不断发展，企业网的范围也不断扩大，从一个本地网络发展到跨地区跨城市甚至是跨国家的网络。与此同时随着互联网络的迅猛发展，因特网(Internet)已经遍布世界各地，从物理上讲Internet把世界各地的资源相互连通。正因为Internet是对全世界开放的，如果企业的信息要通过Internet进行传输，在安全性上可能存在着很多问题。但如果采用专用线路构建企业专网，往往需要租用昂贵的跨地区数据专线。如何能够利用现有的Internet来建立企业的安全的专有网络呢？虚拟专用网(Virtual PrivateNetworking，简称“VPN”)技术就成为一个很好的解决方案。VPN是指在公共网络中建立专用网络，数据通过安全的“加密通道”在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的Internet，各地的机构就可以互相传递信息；同时，企业还可以利用Internet的拨号接入设备，让自己的用户拨号到Internet上，就可以连接进入企业网中。使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等优点，将会成为今后企业网络发展的趋势。

在基于多协议标记交换(MultiProtocol Label Switching，简称“MPLS”)和边界网关协议(Border Gateway Protocol，简称“BGP”)的VPN服务模型里，允许不同VPN的地址空间相互重叠，在骨干网边缘路由器(ProviderEdge Router，简称“PE”)上，通过路由识别号(Route Distinguisher，简称“RD”)来区分不同VPN的路由。当有两个或两个以上的用户网边缘路由器(Custom Edge Router，简称“CE”)接入到同一个PE的以太网物理接口上时，PE与CE之间的接口应该是封装了虚拟局域网(Virtual Local AreaNetwork，简称“VLAN”)的以太网子接口(逻辑接口)。通常在这种情况下，每个逻辑接口要有自己地址解析协议(Address Resolution Protocol，简称“ARP”)表，才能在VPN地址重叠的情况下，各个VPN的ARP解析不致混淆。这样，每个VPN的ARP表的空间相互独立，并且原有的ARP的查找，插入等算法都不需要修改。

在实际应用中，上述方案存在以下问题：存储ARP表的内存空间浪费严重。

造成这种情况的一个主要原因在于，通常ARP表以散列(HASH)算法作为查找算法，一个ARP表项中至少要包含网间互联协议(Internet Protocol，简称“IP”)地址，媒体访问控制(Medium Access Control，简称“MAC”)地址，接口索引，两个横向指针，两个纵向指针，以及其他一些标志信息等等，这样，一个ARP表项至少要占用40个字节。每个子接口负责一个局域网的接入，一个局域网可能包含几十到几百个设备。如果ARP表的数组长度定义的太小，使用HASH算法时散列效果就不会太好，会影响到查找的效率，所以ARP表数组的长度一般至少要达到512，那么，一个子接口上ARP表需要的内存空间就是20K。当接入的局域网越多，配置的子接口越多，总体上所需要的内存也就越多，通常，一个以太网接口上可以配置1000个以上的子接口(逻辑接口)，这对于内存资源是一笔不小的开销。另外，各个子接口所接入的局域网中设备多少情况不一，有的局域网中可能有几百个设备，而有的局域网中可能只有十几个设备，却同样要占用可容纳512台设备的内存空间，这时对于子接口ARP表空间也是一种严重浪费。

发明内容

本发明要解决的技术问题是提供一种虚拟专用网中实现地址解析协议的网络设备及其方法，使得ARP表占用的内存空间大大减少，在ARP表中进行查询的效率更高。

为了解决上述技术问题，本发明提供了一种虚拟专用网中实现地址解析协议的网络设备，所述网络设备包含至少一个地址解析协议表，所述网络设备还包含至少一个主接口，每一个所述主接口包含至少一个连接着一个虚拟专用网的子接口，每一个所述地址解析协议表对应一个所述网络设备的主接口，所述地址解析协议表的每一个表项都有一个用于指示所述表项属于哪一个子接口的虚拟专用网索引；

其中，在所述地址解析协议表中，使用网间互联协议地址作为散列算法的关键字，不同虚拟专用网中具有相同网间互联协议地址的地址解析协议表项会被散列到同一个地址解析协议表下标。

所述网络设备的主接口是以太网物理接口。

所述网络设备是骨干网边缘路由器。

所述虚拟专用网索引与标识虚拟专用网成员的路由识别号一一对应。

本发明还提供了一种虚拟专用网中实现地址解析协议的方法，网络设备收到要发送的报文，包含以下步骤：

A所述网络设备根据所述报文的接口指针得到所述报文所属子接口的虚拟专用网索引；

B所述网络设备根据所述报文的目的网间互联协议地址，通过散列计算得到所述网间互联协议地址所对应的地址解析协议表下标；

C所述网络设备在下标与找到的所述下标相同的地址解析协议表表项集合中查找是否有符合所述报文的目的网间互联协议地址和虚拟专用网索引的表项，如果有则进入步骤D，如果没有则进入步骤E；

D所述网络设备将所述报文封装成以太网帧，将查找到的地址解析协议表项中的媒体访问控制地址作为以太网帧的目的地址，发送所述以太网帧，结束流程；

E所述网络设备在地址解析协议表中生成一个表项，将所述报文的目的网间互联协议地址、虚拟专用网索引填入所述表项，并将所述表项标识为待解析状态；

F所述网络设备向网络中与其连接的其他网络设备发送地址解析协议请求报文，结束流程。

另外，本发明还提供了一种虚拟专用网中实现地址解析协议的方法，网络设备收到地址解析协议报文，包含以下步骤：

J所述网络设备根据所述报文的虚拟局域网号查找到接收所述报文的子接口，从而查找到所述子接口的虚拟专用网索引；

K所述网络设备根据所述报文的源网间互联协议地址，经过散列计算，得到所述网间互联协议地址所对应的地址解析协议表下标；

L所述网络设备在下标与找到的所述下标相同的地址解析协议表表项集合中查找是否有符合所述报文的目的网间互联协议地址和虚拟专用网索引的表项，如果有则进入步骤M，如果没有则进入步骤N；

M所述网络设备更新查找到的地址解析协议表项的媒体访问控制地址，将所述报文的源媒体访问控制地址作为所述查找到的地址解析协议表项的媒体访问控制地址，结束流程；

N所述网络设备在地址解析协议表中生成一个表项，将所述报文的源网间互联协议地址、源媒体访问控制地址、虚拟专用网索引填入所述表项，并将所述表项标识为已解析状态，结束流程。

其中，上述方法还包含以下步骤：

当执行完步骤M或N后，所述网络设备判断所述报文是否地址解析协议请求报文，如果是则结束流程，如果不是则继续所述报文的常规处理。

通过比较可以发现，本发明的技术方案与现有技术的区别在于，将同一个主接口(例如以太网物理接口)中各个子接口的ARP表合并成一个统一的ARP表，在ARP表中为每一个表项增加一个VPN索引，用以指示此ARP表项属于哪个VPN，所述VPN索引和表示VPN成员的RD一一对应。所述统一的ARP表使用IP地址作为HASH算法的关键字，不同VPN中具有相同IP地址的ARP表项会被散列到所述统一的ARP表的同一个下标。需要查找表项时，网络设备先根据IP地址通过HASH方法计算出相应的ARP表下标，然后根据IP地址和VPN索引，在下标与计算得到的下标相同的ARP表项集合中查找匹配的表项。

这种技术方案上的区别，带来了较为明显的有益效果，即统一的ARP表的长度远大于原先分立的ARP表的长度，可以达到4096或更大，这样，一方面取得了比较好的散列效果，提高了ARP表的查询效率，另一方面那些设备比较少的局域网也不再单独占用一块很大的内存，内存资源得到了比较合理的利用。

附图说明

图1是根据本发明的一个实施例的报文发送流程图；

图2是根据本发明的一个实施例的ARP报文收取流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

本发明提出了一种用于VPN路由的网络设备，这种网络设备的典型代表是PE(骨干网边缘路由器)，所述网络设备包含至少一个ARP表，并且所述网络设备包含至少一个主接口，每一个所述主接口包含至少一个连接着一个VPN的子接口。需要说明的是，所述的主接口一般是指物理接口，例如以太网接口，但也可以是逻辑接口，该逻辑接口中包含有若干个连接着VPN的子接口。

所述网络设备中，每一个ARP表对应一个所述网络设备的主接口，所述ARP表的每一个表项都有一个用于指示所述表项属于哪一个子接口的VPN索引。在所述ARP表中使用IP地址作为散列算法的关键字，不同VPN中具有相同IP地址的ARP表项会被散列到同一个ARP表下标。在本发明的一个较佳实施例中，具有相同下标的ARP表项被链接在一个链表上，每一个链表有一个表头指针，通过该指针可以用遍历的方法访问该链表上每一个表项。熟悉本发明领域的技术人员会理解，使用链表的方式只是提供对具有相同下标的表项集合进行管理的一种形式，也可以使用数组等其他形式来管理具有相同下标的表项集合而不超出本发明的范围。

需要指出的是，在本发明中，VPN索引和RD(路由识别号)是一一对应的，RD用于标识VPN成员。每一个VPN成员是通过一个子接口与所述网络设备连接，因此VPN索引、RD和子接口均是一一对应的。VPN索引的值可以直接使用RD的值也可以使用将RD变换以后的值，在本发明的一个较佳实施例中，将两个字节的RD值变换成一个字节的VPN索引，起到了节约内存空间的作用。

上面描述了本发明提出的VPN中实现ARP的网络设备的特点，以下将说明两个重要的流程。

第一个流程是对来自VPN的需要发送的报文的处理方法。

如图1所示，当网络设备收到要发送的报文时，在步骤110中，网络设备根据报文的接口指针得到报文所属子接口的VPN索引。在本发明的一个较佳实施例中，网络设备先得到发送报文的子接口指针，然后通过该子接口指针得到与该子接口对应的VPN索引。

在步骤120中，网络设备根据报文的目的IP地址，经过散列计算，得到该IP地址所对应的ARP下标。在本发明的一个较佳实施例中，因为下标相同的ARP表项已经被组织成链表，因此得到下标就可以获得相应链表的表头指针。通过该表头指针可以对相应的链表进行遍历，逐一查找每一个表项。

在步骤130中，网络设备在下标和计算得到的下标相同的ARP表项集合中查找是否有符合所述报文的目的IP地址和VPN索引的表项，如果有则进入步骤140，如果没有则进入步骤150。在本发明的一个较佳实施例中，通过遍历相应的链表，在下标相同的表项集合中逐一比较IP地址和VPN索引，寻找是否存在两者都匹配的表项。

在步骤140中，网络设备将所述报文封装成以太网帧，将查找到的ARP表项中的MAC地址作为以太网帧的目的地址，然后发送所述以太网帧，结束流程。

在步骤150中，网络设备在ARP表中生成一个新表项，将所述报文的目的IP地址、VPN索引填入该表项，并将该表项标识为待解析状态。之所以标识为待解析状态是因为目前不知道该表项的MAC地址，需要等待日后学习到了相应MAC地址后再作解析，该学习过程将在第二个流程中详细说明。

在步骤160中，网络设备向网络中与其连接的其他网络设备发送ARP请求报文，结束流程。在一般情况下，当一个网络设备无法通过其内部的ARP表将需要发送的报文的目的IP地址解析为MAC地址，网络设备会向相邻的其他网络设备发送ARP请求报文，寻求其他网络设备的帮助。其他网络设备收到ARP请求报文后，如果知道如何解析，会将解析方法告知发ARP请求报文的网络设备，如果也不知道如何解析，则再向另外的网络设备发送ARP请求报文。

第二个流程是对收到的ARP报文进行处理的流程。

如图2所示，当网络设备收到ARP报文时，在步骤210中，网络设备根据所述报文的VLAN号查找到接收所述报文的子接口，从而查找到该子接口的VPN索引。在本发明的一个较佳实施例中，网络设备先从所述报文携带的VLAN号找到接收该报文的子接口索引，再根据子接口找到相应的VPN索引。

在步骤220中，网络设备根据报文的源IP地址，经过散列计算，得到该IP地址所对应的ARP表下标；

在步骤230中，网络设备在下标和计算得到的下标相同的ARP表项集合中查找是否有符合所述报文的目的IP地址和VPN索引的表项，如果有则进入步骤240，如果没有则进入步骤250。步骤220、230与第一个流程中的步骤120、130的原理相似，这里不做重复说明。

在步骤240中，网络设备更新查找到的ARP表项的MAC地址，将所述报文的源MAC地址作为查找到的ARP表项的MAC地址，结束流程。这一步完成了ARP表项的更新，如果原先的ARP表项虽然存在，但是还是待解析状态，则在填入MAC地址以后将该ARP表项修改成已解析状态。

在步骤250中，网络设备在ARP表中生成一个新表项，将所述报文的源IP地址、源MAC地址、VPN索引填入所述表项，并将所述表项标识为已解析状态，结束流程。

需要说明的是，以上说明的第二个流程只说明了与本发明相关的对ARP报文处理的关键步骤。在网络设备的实际运行中，该流程之前和之后都可能有其他报文处理流程，例如，在第二个流程执行完以后，网络设备还会判断该ARP报文是否ARP请求报文，如果不是ARP请求报文，则还需要对该报文作其他常规处理。

虽然通过参照本发明的某些优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (8)

1.一种虚拟专用网中实现地址解析协议的网络设备，所述网络设备包含至少一个地址解析协议表，所述网络设备还包含至少一个主接口，每一个所述主接口包含至少一个连接着一个虚拟专用网的子接口，其特征在于，每一个所述地址解析协议表对应一个所述网络设备的主接口，所述地址解析协议表的每一个表项包含一个用于指示所述表项属于哪一个子接口的虚拟专用网索引、网间互联协议地址和媒体访问控制地址；在该网络设备收到地址解析报文后，使用源网间互联协议地址作为散列算法的关键字得到地址解析协议表的下标，查找所述下标的地址解析协议表表项集合，如果找到，更新所述地址解析协议表项，否则，新增地址解析协议表项；收到要发送的报文之后，使用目的网间互联协议地址作为散列算法的关键字得到地址解析协议表的下标，查找所述下标的地址解析协议表表项集合，如果找到，获得相应的媒体访问控制地址，否则，新增地址解析协议表项。

2.根据权利要求1所述的虚拟专用网中实现地址解析协议的网络设备，其特征在于，在所述地址解析协议表中，使用网间互联协议地址作为散列算法的关键字，不同虚拟专用网中具有相同网间互联协议地址的地址解析协议表项被散列到同一个地址解析协议表下标。

3.根据权利要求1所述的虚拟专用网中实现地址解析协议的网络设备，其特征在于，所述网络设备的主接口是以太网物理接口。

4.根据权利要求1所述的虚拟专用网中实现地址解析协议的网络设备，其特征在于，所述网络设备是骨干网边缘路由器。

5.根据权利要求1所述的虚拟专用网中实现地址解析协议的网络设备，其特征在于，所述虚拟专用网索引与标识虚拟专用网成员的路由识别号一一对应。

6.一种虚拟专用网中实现地址解析协议的方法，其中，网络设备收到要发送的报文，其特征在于所述方法包含以下步骤：

A所述网络设备根据所述报文的接口指针得到所述报文所属子接口的虚拟专用网索引；

B所述网络设备根据所述报文的目的网间互联协议地址，通过散列计算得到所述网间互联协议地址所对应的地址解析协议表下标；

C所述网络设备在下标与所述步骤B中计算得到的所述下标相同的地址解析协议表表项集合中，查找是否有符合所述报文的目的网间互联协议地址和虚拟专用网索引的表项，如果有则进入步骤D，如果没有则进入步骤E；

D所述网络设备将所述报文封装成以太网帧，将查找到的地址解析协议表项中的媒体访问控制地址作为以太网帧的目的地址，发送所述以太网帧，结束流程；

E所述网络设备在地址解析协议表中生成一个表项，将所述报文的目的网间互联协议地址、虚拟专用网索引填入所述表项，并将所述表项标识为待解析状态；

F所述网络设备向网络中与其连接的其他网络设备发送地址解析协议请求报文，结束流程。

7.一种虚拟专用网中实现地址解析协议的方法，网络设备收到地址解析协议报文，其特征在于，包含以下步骤：

J所述网络设备根据所述报文的虚拟局域网号查找到接收所述报文的子接口，从而查找到所述子接口的虚拟专用网索引；

K所述网络设备根据所述报文的源网间互联协议地址，通过散列计算得到所述网间互联协议地址对应的地址解析协议表下标；

L所述网络设备在下标与找到的所述下标相同的地址解析协议表表项集合中查找是否有符合所述报文的目的网间互联协议地址和虚拟专用网索引的表项，如果有则进入步骤M，如果没有则进入步骤N；

M所述网络设备更新查找到的地址解析协议表项的媒体访问控制地址，将所述报文的源媒体访问控制地址作为所述查找到的地址解析协议表项的媒体访问控制地址，结束流程；

N所述网络设备在地址解析协议表中生成一个表项，将所述报文的源网间互联协议地址、源媒体访问控制地址、虚拟专用网索引填入所述表项，并将所述表项标识为已解析状态，结束流程。

8.根据权利要求7所述的虚拟专用网中实现地址解析协议的方法，其特征在于，还包含以下步骤：

当执行完步骤M或N后，所述网络设备判断所述报文是否地址解析协议请求报文，如果是则结束流程，如果不是则继续所述报文的常规处理。

Images