CN100407684C - 用户接入虚拟专用局域网服务的方法和系统 - Google Patents

Abstract

本发明提供了一种用户接入虚拟专用局域网服务的方法和系统，属于通讯技术领域。为了使VLAN tag值不相等的两端用户按需要实现互通或不互通的问题，本发明提供了一种用户接入虚拟专用局域网服务的方法，包括配置PW的工作模式为对称模式或非对称模式的步骤，以及根据PW的工作模式和封装方式进行封装和解封装的步骤；本发明还提供了一种用户接入虚拟专用局域网服务的系统；采用本发明所述的技术方案，不仅实现了VLAN tag值不相等的两端用户按需要互通或不互通，还细化了用户接入VPLS的粒度，而且能实现同一个VSI内部分用户间VLAN的隔离，达到灵活控制的效果。

Description

用户接入虚拟专用局域网服务的方法和系统

技术领域

本发明涉及通讯技术领域，特别涉及一种用户接入虚拟专用局域网服务的方法和系统。

背景技术

QinQ协议(802.1q in 802.1q，802.1q隧道协议)是基于802.1q的隧道协议，协议携带两层802.1q tag(标签)的报文，其目的在于为了屏蔽用户内部使用的VLAN(Virtual LocalArea Network，虚拟局域网)，减少服务提供商网络上的VLAN数目、突破802.1q协议4K个VLAN的限制，扩大VLAN的范围。

VPLS(Virtual Private Local Area Network Services，虚拟专用局域网服务)是一种在基于MPLS(Multiprotocol Label Switch，多协议标签交换)和以太网技术的二层VPN(Virtual Private Network，虚拟专用网络)技术，它可以使用户从多个地理位置分散的点同时接入网络并相互访问，就像这些点直接接入到局域网上一样，其特性之一为需要进行MAC(Media Access Control，介质访问控制)地址学习。

VPLS的MAC地址学习有两种模式：

qualified(受限模式)：PE(Provider Edge，运营商网络边缘设备)根据用户以太报文的MAC地址和VLAN tag进行学习，即基于每个VSI(Virtual Leased Line，虚拟专线业务)的每个用户VLAN进行学习。这种模式下，每个用户VLAN形成自己的广播域，有各自独立的MAC地址空间。

Unqualified(非受限模式)：PE仅根据用户以太报文的MAC地址进行学习，即基于每个VSI进行学习。这种模式下，所有用户VLAN共享一个广播域和一个MAC地址空间，用户VLAN的MAC地址必须唯一，不能发生地址重叠。

为了控制不同地理位置的用户之间的互通或隔离，现有技术中普遍采用QinQ协议接入骨干网MPLS。参见图1，其中骨干网提供VPLS业务，且VPLS采用unqualified方式学习MAC地址；PE1和PE2为骨干网的两个边缘设备，A是PE1提供的一个接口，B是PE2提供的一个接口，在PE1的接口A上设置VLAN tag为1000，在PE2的接口B上设置VLAN tag为2000，CE1(Customer Edge，用户网络边缘设备)为PE1连接的一个用户网络边缘设备，CE1下面连接一个用户User1，并且User1的VLAN tag为500，CE2为PE2连接的一个用户网络边缘设备，CE2下面连接一个用户User2，并且User2的VLAN tag为600。

当User1需要访问User2时，首先在PE1和PE2之间建立一条PW(Pseudo Wire，伪线路)，接口A和接口B通过建立的PW接入同一个VSI；PE1学习User1的MAC地址及接口A的VLAN tag，同时学习User2的MAC地址及PW，并把学习到的内容存储在PE1上的MAC转发表中；PE2学习User2的MAC地址及接口B的VLAN tag，同时学习User1的MAC地址及PW，并把学习到的内容存储在PE2上的MAC转发表中；然后CE1转发包含用户VLAN tag为500的二层报文给PE1，PE1接收到该报文后，在Unqualified模式下根据该报文中的目的MAC地址查找PE1上的MAC转发表，找到PE1到PE2的PW后，将该报文作为净荷并根据PW的封装方式进行封装，如果PW的封装方式是VLAN方式，则将PE1上接口A的VLAN tag 1000封装进报文中；如果PW的封装方式是以太方式，则不封装PE1上接口A的VLAN tag 1000在报文中，然后将该报文转发给PE2；PE2接收到该报文后解封装得到净荷，即CE1的二层报文，再转发给CE2，CE2接收到报文后判断报文中的用户VLAN tag是否与User2的VLAN tag相等，如果相等则能够实现两端用户User1和User2二层互通，由于报文中的VLAN tag即User1的VLANtag为500而User2的VLAN tag为600，二者不等则CE2就丢弃该报文，两端用户User1和User2则不能互通，即实现了两端用户VLAN的隔离。

这种现有技术的缺点是：

1、两端用户的VLAN tag值不相等的时候不能互通，只有相等的时候才互通；

2、PE只能基于PE接口上设置的VLAN tag接入VSI，不能基于用户的VLAN tag接入VSI，即用户的VLAN tag任意值都能接入VSI，从而导致用户的VLAN tag无法控制。

发明内容

为了使VLAN tag值不相等的两端用户按需要实现互通或不互通，本发明实施例提供了一种用户接入虚拟专用局域网服务的方法和系统。所述方法包括：

本端PE和对端PE均配置它们之间的一条PW为对称或非对称的工作模式，并建立各自的MAC转发表，然后执行以下步骤：

步骤A：本端CE向所述本端PE转发包含本端用户的VLAN tag和所述本端CE的外层VLANtag的用户报文；

步骤B：所述本端PE接收到所述用户报文后，查找所述本端PE的MAC转发表，找到所述PW后，根据所述PW的工作模式和封装方式封装所述用户报文，然后将封装后的用户报文发送给所述对端PE；

步骤C：所述对端PE接收到所述用户报文后，先解封装所述用户报文得到所述PW后，再查找所述对端PE的MAC转发表，如果所述PW为对称模式，则找到对端CE的外层VLAN tag，如果所述PW为非对称模式，则找到对端用户的VLAN tag和所述对端CE的外层VLAN tag，并根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，然后将封装后的用户报文转发给对端CE；

步骤D：所述对端CE接收到所述用户报文后，解封装所述用户报文，并根据所述PW的工作模式做相应的处理。

所述本端PE和对端PE均配置所述PW的工作模式为对称模式，并分别根据各自CE的外层VLAN tag建立各自的MAC转发表；

所述步骤B中根据所述PW的工作模式和封装方式封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则保留所述用户报文中的所有VLAN tag不做处理；如果所述PW的封装方式是以太方式，则删除所述用户报文中的所述本端CE的外层VLAN tag，保留所述用户报文中的所述本端用户的VLAN tag；

相应地，所述步骤C中根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则将所述用户报文中的所述本端CE的外层VLAN tag替换成对端CE的外层VLAN tag；如果所述PW的封装方式是以太方式，则将对端CE的外层VLAN tag封装进所述用户报文中；

所述步骤D中根据所述PW的工作模式做相应的处理，具体包括：

所述对端CE判断所述用户报文中的所述本端用户的VLAN tag是否与对端用户的VLAN tag相等，如果不相等则丢弃所述用户报文。

所述本端PE和对端PE分别根据各自CE的外层VLAN tag建立各自的MAC转发表的步骤具体为：所述本端PE学习本端用户的MAC地址及本端CE的外层VLAN tag，还学习对端用户的MAC地址及所述PW，并将学习到的内容存储在所述本端PE上的MAC转发表中；所述对端PE学习所述对端用户的MAC地址及对端CE的外层VLAN tag，还学习所述本端用户的MAC地址及所述PW，并将学习到的内容存储在所述对端PE上的MAC转发表中。

所述本端PE和对端PE均配置所述PW的工作模式为非对称模式，所述本端PE和对端PE分别根据各自用户的VLAN tag和各自CE的外层VLAN tag建立各自的MAC转发表；

所述步骤B中根据所述PW的工作模式和封装方式封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则删除所述用户报文中的所述本端CE的外层VLANtag，保留所述用户报文中的所述本端用户的VLAN tag；如果所述PW的封装方式是以太方式，则删除所述用户报文中的所述本端CE的外层VLAN tag和所述本端用户的VLAN tag；

相应地，所述步骤C中根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则将所述用户报文中的所述本端用户的VLAN tag替换成对端用户的VLAN tag，并将所述对端CE的外层VLAN tag封装进所述用户报文中；如果所述PW的封装方式是以太方式，则将所述对端用户的VLAN tag和对端CE的外层VLAN tag封装进所述用户报文中；

所述步骤D中根据所述PW的工作模式做相应的处理，具体为：

所述对端CE将解封装后的用户报文转发给对端用户。

所述本端PE和对端PE分别根据各自用户的VLAN tag和各自CE的外层VLAN tag建立各自的MAC转发表，具体包括：所述本端PE学习本端用户的MAC地址及本端用户的VLAN tag和本端CE的外层VLAN tag，还学习对端用户的MAC地址及所述PW，并将学习到的内容存储在所述本端PE上的MAC转发表中；

所述对端PE学习所述对端用户的MAC地址及对端用户的VLAN tag和对端CE的外层VLANtag，还学习所述本端用户的MAC地址及所述PW，并将学习到的内容存储在所述对端PE上的MAC转发表中。

所述本端PE和对端PE通过信令协议协商的方式配置它们之间的一条PW为对称或非对称的工作模式。

所述本端PE查找MAC转发表之前还包括以下步骤：

所述本端PE判断接收到的用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则执行查找MAC转发表的操作；否则所述本端PE丢弃所述用户报文并结束。

所述本端PE查找MAC转发表之前还包括以下步骤：

所述本端PE判断接收到的用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则执行查找MAC转发表的操作；否则所述本端PE丢弃所述用户报文并结束。

本发明还提供一种用户接入虚拟专用局域网服务的系统，包括本端CE、本端PE、对端PE和对端CE；

所述本端CE包括：

(1)本端CE报文转发模块，用于向所述本端PE转发包含两层VLAN tag的用户报文，所述两层VLAN tag为本端用户的VLAN tag和所述本端CE的外层VLAN tag；

所述本端PE包括：

(1)本端PE初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW为对称或非对称的工作模式，还用于建立所述本端PE的MAC转发表；

(2)本端PE报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文，还用于查找所述本端PE初始化模块建立的MAC转发表，找到所述PW后，根据所述PW的工作模式和封装方式封装所述用户报文，还用于转发封装后的用户报文给所述对端PE；

所述对端PE包括：

(1)对端PE初始化模块，用于在所述对端PE上配置所述PW的工作模式，且该工作模式与所述本端PE初始化模块配置的PW工作模式相同，还用于建立所述对端PE的MAC转发表；

(2)对端PE报文转发模块，用于接收所述本端PE报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE初始化模块建立的MAC转发表，如果所述PW为对称模式，则找到对端CE的外层VLAN tag，如果所述PW为非对称模式，则找到对端用户的VLAN tag和所述对端CE的外层VLAN tag，还用于根据所述PW的工作模式和封装方式以及所述对端CE的外层VLAN tag重新封装所述用户报文然后转发给所述对端CE；

所述对端CE包括：

(1)对端CE报文转发模块，用于接收所述对端PE报文转发模块发来的用户报文，还用于解封装所述用户报文，并根据所述PW的工作模式做相应的处理。

所述本端PE初始化模块具体为本端PE对称初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW的工作模式为对称模式，还用于根据本端CE的外层VLAN tag建立所述本端PE的MAC转发表；

所述本端PE报文转发模块具体为本端PE对称报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文，并查找所述本端PE对称初始化模块建立的MAC转发表，找到所述PW，还用于在所述PW的封装方式为VLAN方式时，保留所述用户报文中的两层VLAN tag，在所述PW的封装方式为以太方式时，删除所述用户报文中的所述本端CE的外层VLAN tag，还用于转发封装后的用户报文给所述对端PE；

所述对端PE初始化模块具体为对端PE对称初始化模块，用于在所述对端PE上配置所述PW的工作模式为对称模式，还用于根据对端CE的外层VLAN tag建立所述对端PE的MAC转发表；

所述对端PE报文转发模块具体为对端PE对称报文转发模块，用于接收所述本端PE对称报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE对称初始化模块建立的MAC转发表中的对端CE的外层VLAN tag，还用于在所述PW的封装方式为VLAN方式时，将所述用户报文中的所述本端CE的外层VLAN tag替换成所述对端CE的外层VLAN tag，在所述PW的封装方式为以太方式时，将所述对端CE的外层VLAN tag封装进所述用户报文中，还用于转发封装后的用户报文给所述对端CE；

所述对端CE报文转发模块具体为对端CE对称报文转发模块，用于接收所述对端PE对称报文转发模块发来的用户报文并解封装所述用户报文，还用于判断所述用户报文中的所述本端用户的VLAN tag是否与对端用户的VLAN tag相等，如果不相等则丢弃所述用户报文。

所述本端PE初始化模块具体为本端PE非对称初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW的工作模式为非对称模式，还用于根据本端用户的VLAN tag和本端CE的外层VLAN tag建立所述本端PE的MAC转发表；

所述本端PE报文转发模块具体为本端PE非对称报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文并查找所述本端PE非对称初始化模块建立的MAC转发表，找到所述PW，还用于在所述PW的封装方式为VLAN方式时，删除所述用户报文中的所述本端CE的外层VLAN tag，在所述PW的封装方式为以太方式时，删除所述用户报文中的所述两层VLANtag，还用于转发封装后的用户报文给所述对端PE；

所述对端PE初始化模块具体为对端PE非对称初始化模块，用于在所述对端PE上配置所述PW的工作模式为非对称模式，还用于根据对端用户的VLAN tag和对端CE的外层VLAN tag建立所述对端PE的MAC转发表；

所述对端PE报文转发模块具体为对端PE非对称报文转发模块，用于接收所述本端PE非对称报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE非对称初始化模块建立的MAC转发表中的对端用户的VLAN tag和对端CE的外层VLAN tag，还用于在所述PW的封装方式为VLAN方式时，将所述用户报文中的所述本端用户的VLAN tag替换成对端用户的VLAN tag，在所述PW的封装方式为以太方式时，将对端用户的VLAN tag和对端CE的外层VLAN tag封装进所述用户报文中，还用于转发封装后的用户报文给所述对端CE；

所述对端CE报文转发模块具体为对端CE非对称报文转发模块，用于接收所述对端PE非对称报文转发模块发来的用户报文并解封装所述用户报文，还用于将解封装后的用户报文转发给对端用户。

所述本端PE还包括：

判断模块，用于接收所述本端CE报文转发模块发来的用户报文，还用于判断所述用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则将所述用户报文转发给所述本端PE报文转发模块，否则丢弃所述用户报文。

本发明实施例中的技术方案的有益效果是：

1、通过配置PW工作模式为非对称模式使VLAN tag值不相等的用户也能互通；通过配置PW工作模式为对称模式使VLAN tag值相等的用户能互通，VLAN tag值不相等的用户隔离；

2、PE基于两层VLAN tag接入VSI，从而细化了用户接入VPLS的粒度；

3、在同一个VSI内可以实现部分用户VLAN的隔离，达到灵活控制的效果。

附图说明

图1是现有技术中采用QinQ协议接入骨干网MPLS的网络拓扑结构示意图；

图2是本发明用户接入虚拟专用局域网服务的网络拓扑结构示意图；

图3是本发明实施例一PW对称模式下用户接入虚拟专用局域网服务的方法流程图；

图4是本发明实施例二PW非对称模式下用户接入虚拟专用局域网服务的方法流程图；

图5是本发明实施例三实现同一个VSI中部分用户VLAN隔离的网络拓扑结构示意图；

图6是本发明实施例四用户接入虚拟专用局域网服务的系统结构示意图；

图7是本发明实施例四用户接入虚拟专用局域网服务的系统另一种结构示意图；

图8是本发明实施例五PW对称模式下用户接入虚拟专用局域网服务的系统结构示意图；

图9是本发明实施例六PW非对称模式下用户接入虚拟专用局域网服务的系统结构示意图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，但不作为对本发明的限定。

本发明定义了PW的两种工作模式：对称模式和非对称模式；用户接入VPLS时按照不同的需求可以配置PW为不同的工作模式，当PW为对称模式时，可以根据用户的内层VLAN tag实现用户VLAN的隔离；当PW为非对称模式时，可以实现同一个VSI范围内的互通，用户VLAN之间无法进行隔离。

实施例一

参见图2为本发明提供的一种用户接入虚拟专用局域网服务的网络拓扑结构示意图，PE1和PE2为骨干网的两个边缘设备，A是PE1提供的一个接口，B是PE2提供的一个接口，在PE1的接口A上设置两层VLAN tag为1000/500-800，在PE2的接口B上设置两层VLAN tag为2000/500-800(在实际应用中可以在PE上设置一层或多层VLAN tag，也能实现本发明，本实施例中仅以两层VLAN tag进行说明)，CE1为PE1连接的一个用户网络边缘设备，在CE1上设置VLAN tag为1000/500-600，CE1下面连接一个用户User1，User1的VLAN tag为500；CE2为PE2连接的一个用户网络边缘设备，在CE2上设置VLAN tag为2000/500-700，CE2下面连接一个用户User2；其中CE和PE的内层VLAN tag均可以设置在一定的范围内，而且CE内层VLAN tag的范围和PE内层VLAN tag的范围可以一致也可以不一致，具体情况由双方协商决定；参见图3，本发明提供了一种用户接入虚拟专用局域网服务的方法，首先执行初始化步骤：

步骤101：分别在PE1和PE2上配置它们之间的一条PW的工作模式为对称模式，PE1的接口A和PE2的接口B通过所述PW接入同一个VSI；PE1和PE2之间的PW一般有多条，可以根据实际需要选择其中的一条进行配置；

步骤102：PE1学习User1的MAC地址及CE1的外层VLAN tag 1000，还学习User2的MAC地址及所述PW，并将学习到的内容存储在PE1上的MAC转发表中；PE2学习User2的MAC地址及CE2的外层VLAN tag 2000，还学习User1的MAC地址和所述PW，并将学习到的内容存储在PE2上的MAC转发表中；

然后执行以下步骤：

步骤103：当User1希望访问User2时，CE1将User1的用户报文转发给PE1，所述用户报文中包含两层VLAN tag1000/500，即CE1的外层VLAN tag1000和User1的VLAN tag500；

步骤104：PE1根据CE1发来的用户报文中的目的MAC地址(即User2的MAC地址)查找PE1上的MAC转发表，找到所述PW后，得到PW的工作模式和封装方式，根据PW的工作模式和封装方式进行用户报文的封装，然后将封装后的用户报文发送给PE2；

对于PW对称模式在进行封装时如果PW的封装方式是VLAN方式，则保留报文中的两层VLAN tag 1000/500不做处理；如果PW的封装方式是以太方式，则删除报文中的外层VLAN tag1000，保留内层VLAN tag 500；

步骤105：PE2接收到所述用户报文后，解封装后得到PW的工作模式和封装方式，在PW对称模式下解封装时不处理内层VLAN tag 500，即把内层VLAN tag作为数据进行处理，然后查找PE2上的MAC转发表得到CE2的外层VLAN tag，然后根据PW的工作模式和封装方式以及该外层VLAN tag进行重新封装，然后转发给CE2；

在PW对称模式下如果PW的封装方式为VLAN方式，则把用户报文中的外层VLAN tag 1000替换成CE2的外层VLAN tag 2000，如果PW的封装方式为以太方式，则封装CE2的外层VLANtag 2000进用户报文中；

步骤106：CE2接收到用户报文后，先解封装用户报文，然后判断用户报文中的内层VLANtag 500是否与User2的VLAN tag相等，如果User2的VLAN tag为500即相等则CE2将解封装后的用户报文转发给User2，从而实现了User1和User2的二层互通，如果User2的VLANtag为501即不等则CE2就丢弃该报文，User1和User2则不能互通，即实现了在PW对称模式下根据用户VLAN tag值是否相等来决定两端用户VLAN的隔离或互通。

实施例二

仍以图2所示的网络拓扑结构为例，其中User2的VLAN tag为501，本发明还提供了另一种用户接入虚拟专用局域网服务的方法，参见图4，首先执行初始化步骤：

步骤201：分别在PE1和PE2上配置它们之间的一条PW的工作模式为非对称模式，PE1的接口A和PE2的接口B通过所述PW接入同一个VSI；

步骤202：PE1学习User1的MAC地址及CE1的两层VLAN tag 1000/500-600，还学习User2的MAC地址及所述PW，并将学习到的内容存储在PE1上的MAC转发表中；PE2学习User2的MAC地址及CE2的两层VLAN tag 2000/500-700，还学习User1的MAC地址和所述PW，并将学习到的内容存储在PE2上的MAC转发表中；

然后执行以下步骤：

步骤203：当User1希望访问User2时，CE1将User1的用户报文转发给PE1，所述用户报文中包含两层VLAN tag1000/500，即CE1的外层VLAN tag1000和User1的VLAN tag500；

步骤204：PE1根据CE1发来的用户报文中的目的MAC地址(即User2的MAC地址)查找PE1上的MAC转发表，找到所述PW后，得到PW的工作模式和封装方式，根据PW的工作模式和封装方式进行用户报文的封装，然后将封装后的用户报文发送给PE2；

对于PW非对称模式在进行封装时如果PW的封装方式是VLAN方式，则删除报文中的外层VLAN tag 1000，保留内层VLAN tag 500在用户报文中；如果PW的封装方式是以太方式，则删除报文中的两层VLAN tag 1000/500；

步骤205：PE2接收到用户报文后，解封装得到PW的工作模式和封装方式，然后查找PE2上的MAC转发表，找到User2的VLAN tag和CE2的外层VLAN tag后，根据PW的工作模式和封装方式以及所述VLAN tag信息重新封装用户报文，然后转发给CE2；

在PW非对称模式下，如果PW的封装方式为VLAN方式，则将用户报文中的VLAN tag 500替换成User2的VLAN tag 501，并将CE2的外层VLAN tag 2000封装进用户报文中，如果PW的封装方式为以太方式，则重新封装User2的VLAN tag 501和CE2的外层VLAN tag 2000进用户报文中；

步骤206：CE2接收到用户报文后，解封装用户报文，并将解封装后的用户报文转发给User2，从而实现了User1和User2的互通，在PW为非对称的情况下能够实现同一个VSI范围内所有用户的互通。

在实施例一的步骤101和实施例二的步骤201中对PW的工作模式的配置可以通过信令协议协商的方式实现，例如，PE之间采用LDP(Label Distribution Protocol，标签分发协议)分发PW label(标签)时，在FEC(Forward Equivalent Class，转发等价类)的接口参数sub-TLV(Type Length Vlaue)中带上一个标识PW工作模式(对称或非对称)的TLV，如下表所示：

表1

其中Value值即代表了PW的工作模式，如用0x01代表对称模式，用0x02代表非对称模式；在实际应用中两个PE必须配置相同的PW工作模式，才能保证PE两端的用户能够互通。

为了避免发送无效报文，在实施例一的步骤104和实施例二的步骤204中，PE1查找PE1上的MAC转发表之前还可以包括判断的步骤：

PE1接收到用户报文后，判断报文中的外层VLAN tag是否与PE1的接口A的外层VLAN tag一致，并且判断报文中的内层VLAN tag是否在接口A的内层VLAN tag范围之内，如果有一个条件不满足则PE1丢弃接收到的报文并结束；如果两个条件都满足就转发该报文，然后执行查找PE1上的MAC转发表的操作。

实施例三

参见图5，假设与PE1连接的CE1是某公司总部，且CE1上设置的用户VLAN tag为1000/500-600，与PE2连接的CE2是该公司的分部研发部，且CE2上设置的用户VLAN tag为1000/200-300，与PE3连接的CE3是该公司的分部财务部，且CE3上设置的用户VLAN tag为1000/200-300，公司要求两分部之间做到用户VLAN隔离，即研发部门和财务部门不能互通，但总部和各分部之间不需要进行用户VLAN隔离，则可以在PE1和PE2之间建立非对称模式的PW以实现CE1和CE2之间的互通，在PE1和PE3之间建立非对称模式的PW以实现CE1和CE3之间的互通，在PE2和PE3之间建立对称模式的PW以实现CE2和CE3之间的VLAN隔离。

实施例四

参见图6，本发明还提供了一种用户接入虚拟专用局域网服务的系统，具体包括本端CE、本端PE、对端PE和对端CE；

本端CE包括：

(1)本端CE报文转发模块，用于向本端PE转发包含两层VLAN tag的用户报文，两层VLANtag为本端用户的VLAN tag和本端CE的外层VLAN tag；

本端PE包括：

(1)本端PE初始化模块，用于在本端PE上配置本端PE和对端PE之间的一条PW为对称或非对称的工作模式，还用于建立本端PE的MAC转发表；

(2)本端PE报文转发模块，用于接收本端CE报文转发模块发来的用户报文，还用于查找本端PE初始化模块建立的MAC转发表，找到PW后，根据PW的工作模式和封装方式封装用户报文，还用于转发封装后的用户报文给对端PE；

对端PE包括：

(1)对端PE初始化模块，用于在对端PE上配置PW的工作模式，且该工作模式与本端PE初始化模块配置的PW工作模式相同，还用于建立对端PE的MAC转发表；

(2)对端PE报文转发模块，用于接收本端PE报文转发模块发来的用户报文并解封装用户报文得到PW，还用于查找对端PE初始化模块建立的MAC转发表中的对端CE的外层VLAN tag，还用于根据PW的工作模式和封装方式以及对端CE的外层VLAN tag重新封装用户报文然后转发给对端CE；

对端CE包括：

(1)对端CE报文转发模块，用于接收对端PE报文转发模块发来的用户报文，还用于解封装用户报文，并根据PW的工作模式做相应的处理。

本端CE报文转发模块输出用户报文给本端PE报文转发模块，本端PE报文转发模块将根据从本端PE初始化模块建立的MAC转发表中查找到的PW信息进行封装后的用户报文输出给对端PE报文转发模块，对端PE报文转发模块将解封装后根据从对端PE初始化模块建立的MAC转发表中查找到的VLAN tag信息进行重新封装得到的用户报文输出给对端CE报文转发模块。

参见图7，为了避免转发无效报文，上述系统中还可以在本端PE上增加一个判断模块，用于接收本端CE报文转发模块发来的用户报文，还用于判断用户报文中的本端CE的外层VLAN

tag是否与本端PE的外层VLAN tag一致，并且判断用户报文中的本端用户的VLAN tag是否在本端PE的内层VLAN tag的范围之内，如果两个条件都满足则将用户报文转发给本端PE报文转发模块，否则丢弃用户报文。

实施例五

参见图8，实施例四中的用户接入虚拟专用局域网服务的系统还可以具体为PW对称模式下的系统，与实施例四不同的是：

本端PE初始化模块具体为本端PE对称初始化模块，用于在本端PE上配置本端PE和对端PE之间的一条PW的工作模式为对称模式，还用于根据本端CE的外层VLAN tag建立本端PE的MAC转发表；

本端PE报文转发模块具体为本端PE对称报文转发模块，用于接收本端CE报文转发模块发来的用户报文，并查找本端PE对称初始化模块建立的MAC转发表，找到PW，还用于在PW的封装方式为VLAN方式时，保留用户报文中的两层VLAN tag，在PW的封装方式为以太方式时，删除用户报文中的本端CE的外层VLAN tag，还用于转发封装后的用户报文给对端PE；

对端PE初始化模块具体为对端PE对称初始化模块，用于在对端PE上配置PW的工作模式为对称模式，还用于根据对端CE的外层VLAN tag建立对端PE的MAC转发表；

对端PE报文转发模块具体为对端PE对称报文转发模块，用于接收本端PE对称报文转发模块发来的用户报文并解封装用户报文得到PW，还用于查找对端PE对称初始化模块建立的MAC转发表中的对端CE的外层VLAN tag，还用于在PW的封装方式为VLAN方式时，将用户报文中的本端CE的外层VLAN tag替换成对端CE的外层VLAN tag，在PW的封装方式为以太方式时，将对端CE的外层VLAN tag封装进用户报文中，还用于转发封装后的用户报文给对端CE；

对端CE报文转发模块具体为对端CE对称报文转发模块，用于接收对端PE对称报文转发模块发来的用户报文并解封装用户报文，还用于判断用户报文中的本端用户的VLAN tag是否与对端用户的VLAN tag相等，如果不相等则丢弃用户报文。

其余的模块与实施例四的相同，在此不再赘述。

实施例六

参见图9，实施例四的用户接入虚拟专用局域网服务的系统还可以具体为PW非对称模式下的系统，与实施例四不同的是：

本端PE初始化模块具体为本端PE非对称初始化模块，用于在本端PE上配置本端PE和对端PE之间的一条PW的工作模式为非对称模式，还用于根据本端用户的VLAN tag和本端CE的外层VLAN tag建立本端PE的MAC转发表；

本端PE报文转发模块具体为本端PE非对称报文转发模块，用于接收本端CE报文转发模块发来的用户报文并查找本端PE非对称初始化模块建立的MAC转发表，找到PW，还用于在PW的封装方式为VLAN方式时，删除用户报文中的本端CE的外层VLAN tag，在PW的封装方式为以太方式时，删除用户报文中的两层VLAN tag，还用于转发封装后的用户报文给对端PE；

对端PE初始化模块具体为对端PE非对称初始化模块，用于在对端PE上配置PW的工作模式为非对称模式，还用于根据对端用户的VLAN tag和对端CE的外层VLAN tag建立对端PE的MAC转发表；

对端PE报文转发模块具体为对端PE非对称报文转发模块，用于接收本端PE非对称报文转发模块发来的用户报文并解封装用户报文得到PW，还用于查找对端PE非对称初始化模块建立的MAC转发表中的对端用户的VLAN tag和对端CE的外层VLAN tag，还用于在PW的封装方式为VLAN方式时，将用户报文中的本端用户的VLAN tag替换成对端用户的VLAN tag，在PW的封装方式为以太方式时，将对端用户的VLAN tag和对端CE的外层VLAN tag封装进用户报文中，还用于转发封装后的用户报文给对端CE；

对端CE报文转发模块具体为对端CE非对称报文转发模块，用于接收对端PE非对称报文转发模块发来的用户报文并解封装用户报文，还用于将解封装后的用户报文转发给对端用户。

其余的模块与实施例四的相同，在此不再赘述。

以上所述的实施例，只是本发明较优选的具体实施方式的一种，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims (12)

1.一种用户接入虚拟专用局域网服务的方法，其特征在于，本端PE和对端PE均配置它们之间的一条PW为对称或非对称的工作模式，并建立各自的MAC转发表，然后执行以下步骤：

步骤A：本端CE向所述本端PE转发包含本端用户的VLAN tag和所述本端CE的外层VLANtag的用户报文；

步骤B：所述本端PE接收到所述用户报文后，查找所述本端PE的MAC转发表，找到所述PW后，根据所述PW的工作模式和封装方式封装所述用户报文，然后将封装后的用户报文发送给所述对端PE；

步骤C：所述对端PE接收到所述用户报文后，先解封装所述用户报文得到所述PW后，再查找所述对端PE的MAC转发表，如果所述PW为对称模式，则找到对端CE的外层VLAN tag，如果所述PW为非对称模式，则找到对端用户的VLAN tag和所述对端CE的外层VLAN tag，并根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，然后将封装后的用户报文转发给对端CE；

步骤D：所述对端CE接收到所述用户报文后，解封装所述用户报文，并根据所述PW的工作模式做相应的处理。

2.根据权利要求1所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE和对端PE均配置所述PW的工作模式为对称模式，并分别根据各自CE的外层VLAN tag建立各自的MAC转发表；

所述步骤B中根据所述PW的工作模式和封装方式封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则保留所述用户报文中的所有VLAN tag不做处理；如果所述PW的封装方式是以太方式，则删除所述用户报文中的所述本端CE的外层VLAN tag，保留所述用户报文中的所述本端用户的VLAN tag；

相应地，所述步骤C中根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则将所述用户报文中的所述本端CE的外层VLAN tag替换成对端CE的外层VLAN tag；如果所述PW的封装方式是以太方式，则将对端CE的外层VLAN tag封装进所述用户报文中；

所述步骤D中根据所述PW的工作模式做相应的处理，具体包括：

所述对端CE判断所述用户报文中的所述本端用户的VLAN tag是否与对端用户的VLAN tag相等，如果不相等则丢弃所述用户报文。

3.根据权利要求2所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE和对端PE分别根据各自CE的外层VLAN tag建立各自的MAC转发表的步骤具体为：

所述本端PE学习本端用户的MAC地址及本端CE的外层VLAN tag，还学习对端用户的MAC地址及所述PW，并将学习到的内容存储在所述本端PE上的MAC转发表中；所述对端PE学习所述对端用户的MAC地址及对端CE的外层VLAN tag，还学习所述本端用户的MAC地址及所述PW，并将学习到的内容存储在所述对端PE上的MAC转发表中。

4.根据权利要求1所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE和对端PE均配置所述PW的工作模式为非对称模式，所述本端PE和对端PE分别根据各自用户的VLAN tag和各自CE的外层VLAN tag建立各自的MAC转发表；

所述步骤B中根据所述PW的工作模式和封装方式封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则删除所述用户报文中的所述本端CE的外层VLANtag，保留所述用户报文中的所述本端用户的VLAN tag；如果所述PW的封装方式是以太方式，则删除所述用户报文中的所述本端CE的外层VLAN tag和所述本端用户的VLAN tag；

相应地，所述步骤C中根据所述PW的工作模式和封装方式以及找到的VLAN tag重新封装所述用户报文，具体包括：

如果所述PW的封装方式是VLAN方式，则将所述用户报文中的所述本端用户的VLAN tag替换成对端用户的VLAN tag，并将所述对端CE的外层VLAN tag封装进所述用户报文中；如果所述PW的封装方式是以太方式，则将所述对端用户的VLAN tag和对端CE的外层VLAN tag封装进所述用户报文中；

所述步骤D中根据所述PW的工作模式做相应的处理，具体为：

所述对端CE将解封装后的用户报文转发给对端用户。

5.根据权利要求4所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE和对端PE分别根据各自用户的VLAN tag和各自CE的外层VLAN tag建立各自的MAC转发表，具体包括：

所述本端PE学习本端用户的MAC地址及本端用户的VLAN tag和本端CE的外层VLAN tag，还学习对端用户的MAC地址及所述PW，并将学习到的内容存储在所述本端PE上的MAC转发表中；

所述对端PE学习所述对端用户的MAC地址及对端用户的VLAN tag和对端CE的外层VLANtag，还学习所述本端用户的MAC地址及所述PW，并将学习到的内容存储在所述对端PE上的MAC转发表中。

6.根据权利要求1至5中任一权利要求所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE和对端PE通过信令协议协商的方式配置它们之间的一条PW为对称或非对称的工作模式。

7.根据权利要求1至5中任一权利要求所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE查找MAC转发表之前还包括以下步骤：

所述本端PE判断接收到的用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则执行查找MAC转发表的操作；否则所述本端PE丢弃所述用户报文并结束。

8.根据权利要求6所述的用户接入虚拟专用局域网服务的方法，其特征在于，所述本端PE查找MAC转发表之前还包括以下步骤：

所述本端PE判断接收到的用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则执行查找MAC转发表的操作；否则所述本端PE丢弃所述用户报文并结束。

9.一种用户接入虚拟专用局域网服务的系统，其特征在于，所述系统包括本端CE、本端PE、对端PE和对端CE；

所述本端CE包括：

(1)本端CE报文转发模块，用于向所述本端PE转发包含两层VLAN tag的用户报文，所述两层VLAN tag为本端用户的VLAN tag和所述本端CE的外层VLAN tag；

所述本端PE包括：

(1)本端PE初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW为对称或非对称的工作模式，还用于建立所述本端PE的MAC转发表；

(2)本端PE报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文，还用于查找所述本端PE初始化模块建立的MAC转发表，找到所述PW后，根据所述PW的工作模式和封装方式封装所述用户报文，还用于转发封装后的用户报文给所述对端PE；

所述对端PE包括：

(1)对端PE初始化模块，用于在所述对端PE上配置所述PW的工作模式，且该工作模式与所述本端PE初始化模块配置的PW工作模式相同，还用于建立所述对端PE的MAC转发表；

(2)对端PE报文转发模块，用于接收所述本端PE报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE初始化模块建立的MAC转发表，如果所述PW为对称模式，则找到对端CE的外层VLAN tag，如果所述PW为非对称模式，则找到对端用户的VLAN tag和所述对端CE的外层VLAN tag，还用于根据所述PW的工作模式和封装方式以及所述对端CE的外层VLAN tag重新封装所述用户报文然后转发给所述对端CE；

所述对端CE包括：

(1)对端CE报文转发模块，用于接收所述对端PE报文转发模块发来的用户报文，还用于解封装所述用户报文，并根据所述PW的工作模式做相应的处理。

10.根据权利要求9所述的用户接入虚拟专用局域网服务的系统，其特征在于，

所述本端PE初始化模块具体为本端PE对称初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW的工作模式为对称模式，还用于根据本端CE的外层VLAN tag建立所述本端PE的MAC转发表；

所述本端PE报文转发模块具体为本端PE对称报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文，并查找所述本端PE对称初始化模块建立的MAC转发表，找到所述PW，还用于在所述PW的封装方式为VLAN方式时，保留所述用户报文中的两层VLAN tag，在所述PW的封装方式为以太方式时，删除所述用户报文中的所述本端CE的外层VLAN tag，还用于转发封装后的用户报文给所述对端PE；

所述对端PE初始化模块具体为对端PE对称初始化模块，用于在所述对端PE上配置所述PW的工作模式为对称模式，还用于根据对端CE的外层VLAN tag建立所述对端PE的MAC转发表；

所述对端PE报文转发模块具体为对端PE对称报文转发模块，用于接收所述本端PE对称报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE对称初始化模块建立的MAC转发表中的对端CE的外层VLAN tag，还用于在所述PW的封装方式为VLAN方式时，将所述用户报文中的所述本端CE的外层VLAN tag替换成所述对端CE的外层VLAN tag，在所述PW的封装方式为以太方式时，将所述对端CE的外层VLAN tag封装进所述用户报文中，还用于转发封装后的用户报文给所述对端CE；

所述对端CE报文转发模块具体为对端CE对称报文转发模块，用于接收所述对端PE对称报文转发模块发来的用户报文并解封装所述用户报文，还用于判断所述用户报文中的所述本端用户的VLAN tag是否与对端用户的VLAN tag相等，如果不相等则丢弃所述用户报文。

11.根据权利要求9所述的用户接入虚拟专用局域网服务的系统，其特征在于，

所述本端PE初始化模块具体为本端PE非对称初始化模块，用于在所述本端PE上配置所述本端PE和对端PE之间的一条PW的工作模式为非对称模式，还用于根据本端用户的VLAN tag和本端CE的外层VLAN tag建立所述本端PE的MAC转发表；

所述本端PE报文转发模块具体为本端PE非对称报文转发模块，用于接收所述本端CE报文转发模块发来的用户报文并查找所述本端PE非对称初始化模块建立的MAC转发表，找到所述PW，还用于在所述PW的封装方式为VLAN方式时，删除所述用户报文中的所述本端CE的外层VLAN tag，在所述PW的封装方式为以太方式时，删除所述用户报文中的所述两层VLANtag，还用于转发封装后的用户报文给所述对端PE ；

所述对端PE初始化模块具体为对端PE非对称初始化模块，用于在所述对端PE上配置所述PW的工作模式为非对称模式，还用于根据对端用户的VLAN tag和对端CE的外层VLAN tag建立所述对端PE的MAC转发表；

所述对端PE报文转发模块具体为对端PE非对称报文转发模块，用于接收所述本端PE非对称报文转发模块发来的用户报文并解封装所述用户报文得到所述PW，还用于查找所述对端PE非对称初始化模块建立的MAC转发表中的对端用户的VLAN tag和对端CE的外层VLAN tag，还用于在所述PW的封装方式为VLAN方式时，将所述用户报文中的所述本端用户的VLAN tag替换成对端用户的VLAN tag，在所述PW的封装方式为以太方式时，将对端用户的VLAN tag和对端CE的外层VLAN tag封装进所述用户报文中，还用于转发封装后的用户报文给所述对端CE；

所述对端CE报文转发模块具体为对端CE非对称报文转发模块，用于接收所述对端PE非对称报文转发模块发来的用户报文并解封装所述用户报文，还用于将解封装后的用户报文转发给对端用户。

12.根据权利要求9、10或11所述的用户接入虚拟专用局域网服务的系统，其特征在于，所述本端PE还包括：

判断模块，用于接收所述本端CE报文转发模块发来的用户报文，还用于判断所述用户报文中的所述本端CE的外层VLAN tag是否与所述本端PE的外层VLAN tag一致，并且判断所述用户报文中的所述本端用户的VLAN tag是否在所述本端PE的内层VLAN tag的范围之内，如果两个条件都满足则将所述用户报文转发给所述本端PE报文转发模块，否则丢弃所述用户报文。

Images