CN100401678C - 虚拟专用网网络管理方法 - Google Patents

Abstract

本发明涉及通信系统中的网管技术，公开了一种虚拟专用网网络管理方法，使得网络管理人员可以快速了解、监控现网运行的全部VPN状态。这种虚拟专用网网络管理方法中，网管系统搜集所有VPN的信息后，根据每一个VPN的状态使用不同颜色的图标显示在网管终端上，其中每一个图标对应一个VPN或对应一组至少有一个共性的VPN，同时把故障原因等信息以文字形式显示在相应的图标上；当网管人员向一个图标发送命令时，网管系统对该图标对应的一个或一组VPN进行操作。

Description

虚拟专用网网络管理方法

技术领域

本发明涉及通信系统中的网管技术，特别涉及用虚拟专用网的网管技术。

背景技术

虚拟专用网(Virtual Private Networking，简称“VPN”)指的是依靠电信运营商、因特网服务提供商(Internet Service Provider，简称“ISP”)、网络服务提供商(NetWork Service Procider，简称“NSP”)等(以下统称供应商)，在公用网络中建立专用的数据通信网络的技术。在VPN中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。所谓虚拟(Virtual)，是指客户不再需要拥有/租用实际的长途数据线路，而是使用供应商网络的各种数据线路。所谓专用(Private)，是指仅该客户占用该网络，而其他客户无法访问/占用该网络。VPN的实现技术有很多，例如，二层隧道协议(Layer 2 Tunnel Protocol，简称“L2TP”)、网际协议安全(InternetProtocol Security，简称“IPSec”)、通用路由封装(Generic Route Encapsulation，简称“GRE”)、边界网关协议(Border Gateway Protocol，简称“BGP”)/多协议标签交换(MultiProtocolLabel Switching，简称“MPLS”)VPN等。

由于VPN是在供应商的一个网络上，模拟地实现出租给客户的多个网络，因此供应商在网络管理、业务监控时，就存在一定的复杂性：

同一设备或链路可能会同时租用给多个客户，则该物理设备或链路出现故障，就会同时影响多个客户租用的虚拟专用网。

同一客户租用的虚拟专用网可能有有2个或2个以上的站点，任何单一设备或链路的状态都无法决定整个虚拟专用网的运行状态。

同一供应商会同时管理多个客户的多个虚拟专用网，就必须要很方便地监控所有的虚拟专用网。

图1示出了采用BGP/MPLS VPN技术实现的VPN结构，其中包括两个VPN：

集团1包含站点31、33、35；

集团2包含站点32、34。

假定PE 21宕机，则集团1、集团2两个VPN都会发生问题；再假设PE22与CE 43相连的链路虽然是正常的，但PE 23与CE 45相连的链路却是故障的，则集团1也会出现问题。由此可见，网络中任何单点故障或正常都不能反映实际某个VPN的运行状况。

现有VPN网管系统/VPN业务管理系统，就是定位于管理网络中各客户的VPN，包括FCAPS五大功能(Fault告警、Configuration配置，Accounting计费、Performance性能、Security安全)。与通常的网管系统和业务管理系统类似，拓扑功能也是VPN网管系统/VPN业务管理系统必不可少的特性。所谓拓扑功能，是指以图形方式显示网络各节点之间相互连接的形式，这是供应商管理在进行网络的一个最基本、最常用功能之一。

现有VPN网管系统/VPN业务管理系统中，已有的拓扑显示方法通常就是供应商视图(Provider′s view)和客户视图(Customer′s view)两种。

供应商视图：提供CE设备与PE设备之间的连接关系的拓扑视图。从供应商的角度来看，客户的站点/CE是连接到供应商网络中的PE设备上的，而且全网提供的VPN也是很多个(每个客户可能仅租用一个VPN，也可能是一个客户同时租用多个VPN)。通常网络视图既可以提供全网的视图，也可以提供按客户来过滤的客户视图。图2示出了两个集团各租用了一个VPN的供应商视图。

客户视图：提供CE设备与CE设备之间的虚拟连接关系的拓扑视图。从客户的角度来看，他们认为自己的网络就是从一个站点/一个CE直接连接到另外一个站点/另外一个CE的，即好像CE设备之间是直接相连的。虽然物理网络的实际流量是需要穿越供应商提供的中间网络的。通常客户视图都是按客户来查看的，图3示出了集团1租用的VPN的客户视图，它表达了集团1在三个办公地点之间的连接关系。客户视图也可以按照多个客户一起查看，不过这仅仅在多个客户之间存在Extranet的情形下才有意义。

比较供应商视图和客户视图，可以看到：

供应商视图的侧重点在于提供全网CE挂接方式的图形化显示方式，即哪个CE是挂接到哪个PE上的，其优点是能够提供VPN挂接点的整网视图。

客户视图的侧重点在于提供客户CE之间的拓扑连接关系，其优点在于对于客户而言简化了中间网络，便于了解客户的虚拟组网情况。

然而，在实际应用中，无论是供应商视图还是客户视图都有一个共同的缺点--无法对当前全网所有VPN的状况(告警、流量、性能)有一个一目了然的图形显示。

在普通网络管理(不包括VPN特性时)的实际应用过程中，网络管理人员可能会长期打开整网的拓扑视图，通过这个界面来了解当前网络的运行状况。但是由于VPN网络场景下VPN的特殊性和复杂性，导致无论是供应商视图，还是客户视图，都无法给网络管理人员一个当前全网所有VPN的状况一目了然的答案。

所谓VPN状况，不仅仅包括设备上报的告警信息，还包括网管系统主动轮询得到的流量、性能数据，这些都是影响客户使用该VPN的情况。

例如，在BGP/MPLS VPN情况下，某台PE设备的VRF路由表越限并发送告警给VPN网管系统/VPN业务管理系统，这说明在一段时间后如果路由表项数量继续增加，则可能导致使用该VRF的VPN客户在访问后续增加的目的网段时将无法到达。这种情况无法在客户视图中表达(因为其中根本没有PE)，也不好在供应商视图中表达，虽然供应商视图中，可以把对应的PE设备变成故障状态，但因为同一PE可能会接入多台CE，某个VRF路由表越限只影响使用该VRF的VPN客户，而并不影响使用该PE的VPN客户，把PE设备变成故障状态会误导成该PE下挂接的所有CE都会受到影响。

又如，在BGP/MPLS VPN情况下，某两台PE之间的BGP对等体连接出现问题，则会导致路由丢失，即这两台PE下挂接的需要互联的CE之间无法互通。这种情况无法在客户视图中表达(因为其中根本没有PE)，也不好在供应商视图中表达，因为其中不表达BGP对等体的状态。但这种问题却会直接影响VPN的连通性状态。

又如，在MPLS VPN情况下，某台P设备(骨干网路由器)故障可能导致PE-PE之间的LSP出现问题，这也会导致VPN连通出现问题。这种情况无法在客户视图和供应商视图中表达(因为其中根本不包括P设备)。

再如，VPN内部从一个站点到另外一个站点之间流量越限，可能会导致供应商网络流量增加、带宽资源减少。这种情况无法在供应商视图中表达，因为其中不包括CE-CE之间的连接状况；的确在客户视图中表达很合适，但是一个供应商网络可能会同时提供多个VPN(例如，上百的规模)，同一界面内把所有VPN的客户视图都显示出来是无法做到的。

总之，产生以上问题的原因可以归结如下：

第一，因为供应商视图、客户视图能够表达的状态信息仅仅局限在PE设备、CE设备、PE与CE之间的链路这三个对象，而实际影响VPN状态的远不只这三者。

第二，客户视图很难提供全网所有VPN一览图，因为网络中VPN的数量和规模(可能会到数百甚至更大)很大，以每个VPN平均包括四个站点、每个CE图标使用32*32像素来计算，则显示一个VPN客户视图就需要9*32*32的屏幕空间(因为每个图标之间要留出画连线的空间)，那么以常用的显示器分辨率1024*768来计算(忽略系统通常有的菜单、状态、窗口边框等空间)，则整屏最多可同时容纳85个VPN。而实际有些规模较大的VPN(例如，一些跨国集团公司)，其中可能包括的站点可能就达几百。

第三，供应商视图虽然可显示整网的PE-CE连接情况，但是VPN的概念含量比较少，很难在此拓扑视图中确定哪些因素、设备、链路是归属于哪些VPN的。

另外的一种现有技术就是，完全不考虑VPN环境的特殊性，直接显示原有网管系统中的拓扑视图--传统的拓扑视图，例如IP拓扑视图。

这种现有技术的问题在于传统的拓扑视图不体现VPN的任何信息，没有客户的概念，所以也不能满足VPN场景下的，网络管理、监控的需求。

发明内容

有鉴于此，本发明的主要目的在于提供一种虚拟专用网网络管理方法，使得网络管理人员可以快速了解、监控现网运行的全部VPN状态。

为实现上述目的，本发明提供了一种虚拟专用网网络管理方法，所述方法包含以下步骤：

A网管系统搜集网络中所有虚拟专用网的状态信息；

B根据搜集到的每一个虚拟专用网的状态信息，以及预先设定的图标颜色和虚拟专用网状态的对应关系，在所述网管系统的监控终端上用图标表示该虚拟专用网；其中，每一个所述图标对应一组虚拟专用网。

当所述监控终端收到向一个所述图标发送的命令时，所述网管系统以该图标对应的一个或一组虚拟专用网为对象进行操作。

所述方法还包含以下步骤：

把状态信息用文字形式显示在代表相应虚拟专用网的图标上。

当一个所述图标对应一组所述虚拟专用网，而该组中的虚拟专用网处于至少两个不同严重程度的状态，则所述图标的颜色反映最严重的状态。

通过比较可以发现，本发明的技术方案与现有技术的区别在于，网管系统搜集所有VPN的信息后，根据每一个VPN的状态使用不同颜色的图标显示在网管终端上，其中每一个图标对应一个VPN或对应一组至少有一个共性的VPN，同时把故障原因等信息以文字形式显示在相应的图标上；当网管人员向一个图标发送命令时，网管系统对该图标对应的一个或一组VPN进行操作。

这种技术方案上的区别，带来了较为明显的有益效果，即网络管理人员可以快速、全面地了解现网运行的全部VPN状态，并能够及时、方便地对发生故障的VPN进行处理。以下举例说明：

在BGP/MPLS VPN情况下，某台PE设备的VRF路由表越限并发送告警给VPN网管系统/VPN业务管理系统，这说明在一段时间后如果路由表项数量继续增加，则可能导致使用该VRF的VPN客户在访问后续增加的目的网段时将无法到达。这种情况就将该VRF对应的VPN的节点变红(若有必要可上传到其父节点)即可。

在BGP/MPLS VPN情况下，某两台PE之间的BGP对等体连接出现问题，则会导致路由丢失，即这两台PE下挂接的需要互联的CE之间无法互通。这种情况，可以把与依赖于这个对等体连接的所有VPN的节点颜色变红(若有必要可上传到其父节点)即可。

在MPLS VPN情况下，某台P设备故障可能导致PE-PE之间的LSP出现问题，这也会导致VPN连通出现问题。这种情况可以把使用到该LSP的所有VPN的节点颜色变红。

VPN内部从一个站点到另外一个站点之间流量越限，可能会导致供应商网络流量增加、带宽资源减少。这种情况可以把该VPN的节点颜色变红。

附图说明

图1是采用BGP/MPLS VPN技术实现的VPN的结构示意图；

图2是现有技术中VPN的供应商视图；

图3是现有技术中VPN的客户视图；

图4是根据本发明的一个实施例的VPN网络管理方法流程图；

图5是根据本发明的一个实施例的VPN网络显示结果示意图；

图6是根据本发明的一个实施例的VPN网络分类分层显示结果示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

如图4所示，VPN网络管理方法包含以下步骤：

在步骤110中，网管系统搜集所有VPN的信息。搜集方式可以是网管主动查询或被动地接受上报消息。例如网管系统可以定时对所管辖的所有VPN站点发送查询命令，VPN站点收到查询命令以后发送本站点的状态信息给网管系统。又如，当一个VPN站点发生了VPN连通信故障，该站点主动向网管系统发送告警信息。

此后进入步骤120，网管系统根据每一个VPN的状态使用不同的颜色显示在网管操作终端上。本发明采用以VPN为对象的拓扑显示方法，即以VPN作为拓扑显示对象、显示元素。在VPN网管系统中，这是一种创新的拓扑显示方法。

其显示效果大致如图5所示，拓扑视图以VPN作为拓扑显示的基础，每个VPN站点使用一个图标来显示，利用图标的颜色来表示当前该VPN的状态(不同的颜色代表不同的故障级别，例如，黄色表示一般故障、红色表示重要故障。在图5中，因为附图无法表示颜色，因此采用不同的填充模式来替代不同的颜色)。至于具体什么样的状态需要对应是么样的颜色，则可以由系统开发人员或网络管理人员在系统中预先设定。

如果网络规模较大一个界面显示不完，或者希望把现网中的VPN进行分类显示，则还可以采用分层、分类的显示形式。这种分层分类实质上是用一个图标对应一组至少有一个共性的VPN。具体如何分层分类，可以按照网络管理人员的意愿进行划分。例如，

按照地域来分，例如，可分为华东、华中、华北等片区；这样可以轻松的划分不同管理权限的网管人员的不同管理权限。

按照客户等级来分，例如，可分为金牌VPN、银牌VPN、铜牌VPN；这样对于不同等级客户VPN的故障处理速度也可以区别对待。

这种分层、分类的显示方法是可以嵌套的。例如，可以先按照地域来划分、再按照客户等级来划分；也可以按照大的地域来划分、在按照小的地域来划分、层层迭代(理论上是可以无穷层的，但从易用性上来讲2～3层是比较合适的)。例如在图6中，把全网划分为4个VPN组，每个VPN组的图标颜色是根据其下所包括的VPN的颜色计算得来的。这种方式可以让VPN管理人员，轻松的打开这钟顶层拓扑视图，即可了解全网所有VPN的状态。

在分层分类的情况下，如果某一个VPN发生故障，该VPN以上的所有层次都应该显示该故障。例如，整个网络被划分为4个VPN组，第一个VPN组中又包含3个VPN小组。则当第一个VPN小组中的一个VPN发生故障时，第一个VPN小组和第一个VPN组的图标都应该转变为代表故障的红色。此时如果网管终端上只显示第一层的4个VPN组，则代表第一个VPN组的图标应该显示为红色，其对应的文字信息显示发生故障的VPN的故障原因。如果网管人员进入下一层，则代表第一个VPN小组的图标显示为红色。

在分层分类的情况下，如果一个图标对应多个VPN，而这多个VPN出现了不同等级的告警和故障，例如其中一个VPN应该显示黄色的告警，另一个VPN应该显示更严重的红色故障，此时图标颜色应该显示该图标所对应的VPN中最严重的状态，也就是说，在上述例子中，该图标应该显示红色。

此后进入步骤130，网管系统把VPN故障或告警信息采用文字形式显示在该VPN对应的图标上。这样做的好处是网管人员可以在通过颜色知道某一个VPN发生故障的同时还可以通过文字信息快速了解故障原因。例如，当图5中的VPN-h发生VPN连通性故障的时候，VPN-h把故障信息发送到网管系统，网管系统把该VPN对应的图标设置为红色(表示发生故障)，然后把收到的故障信息的内容显示在VPN-h的图标上，可以参见图5的样式。熟悉本发明领域的技术人员会理解，可以采用其他的故障信息显示方式，例如当鼠标移动到该图标时才显示故障信息等等，而不会超出本发明的实质和范围。

除了故障信息，需要引起网管人员重视的其他信息也可以显示，例如图5中，VPN-c带宽利用率超过了预先设定的阈值，因此也可以显示在VPN-c对应的图标上。

在分层分类的情况下，如果一个图标对应多个VPN，则该图标对应的所有VPN的告警和故障信息都会显示在该图标上。如果需要显示的内容过多，可以优先选择最重要的信息显示。

此后进入步骤140，当网管人员在网管操作终端上向一个图标发送命令时，网管系统对该图标对应的一个或一组VPN进行操作。

在本发明的一个较佳实施例中，在每个VPN图标上可提供相关操作的右键菜单，例如，查看相关告警、查看客户视图、查看供应商视图、查看性能报表。当网管人员选择了相应的菜单，则网管系统向该图标对应的一个或一组VPN发送该菜单所对应的操作，如果该操作有反馈信息，则可以将反馈信息显示在网管终端上。

还需要说明的是，由于大部分客户可能只会申请一个VPN，所以在VPN场景下，也可以采用以客户为对象的拓扑显示方法。对于一个客户申请了多个VPN的情况，就只好把一个客户虚拟地看成多个子客户来处理，最终实现一个客户对应一个VPN的目的。

虽然通过参照本发明的某些优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (4)

1.一种虚拟专用网网络管理方法，其特征在于，所述方法包含以下步骤：

A网管系统搜集网络中所有虚拟专用网的状态信息；

B根据搜集到的每一个虚拟专用网的状态信息，以及预先设定的图标颜色和虚拟专用网状态的对应关系，在所述网管系统的监控终端上用图标表示该虚拟专用网；其中，每一个所述图标对应一组虚拟专用网。

2.根据权利要求1所述的虚拟专用网网络管理方法，其特征在于，当所述监控终端收到向一个所述图标发送的命令时，所述网管系统以该图标对应的一组虚拟专用网为对象进行操作。

3.根据权利要求1所述的虚拟专用网网络管理方法，其特征在于，所述方法还包含以下步骤：

C把状态信息用文字形式显示在代表相应虚拟专用网的图标上。

4.根据权利要求1所述的虚拟专用网网络管理方法，其特征在于，当一个所述图标对应一组所述虚拟专用网，而该组中的虚拟专用网处于至少两个不同严重程度的状态，则所述图标的颜色反映最严重的状态。

Images