CN100454882C - 多isp局域网的出口选择方法及装置 - Google Patents

Abstract

本发明公开了一种多ISP局域网的出口选择方法，包括：当有来自局域网内部的出口请求时，查询路由表，确定下一跳的所述策略路由和普通路由；所述策略路由和普通路由为局域网路由，且所述普通路由为所述策略路由的备份；使用普通路由作为目的地址路由；当存在策略路由时，判断所述的策略路由是否可用，如果可用，用所述的策略路由结果覆盖目的地址路由；如果不可用，仍使用原来的目的地址路由；判断是否需要进行NAT转换，如果需要，选择已经建立的NAT地址池和出接口用户板；转分布式NAT处理设备，实现NAT转换；按上述的路由结果转发报文到出接口用户板；如果不需要，根据路由信息转发报文到出接口用户板。本发明实现了复杂的转发策略，且线速无阻塞。

Description

多ISP局域网的出口选择方法及装置

技术领域

本发明涉及网络路由技术，具体涉及一种多ISP局域网的出口选择方法。更具体涉及一种连接多个Internet服务提供商(ISP)的局域网的访问出口的选择方法及装置。

背景技术

为了便于描绘本发明和背景技术，首先给出说明书和权利要求中使用的短语的定义：

NAT(Network Address Translation)：网络地址转换

ISP(Internet Service Provider)：Internet网络接入服务提供商

主机路由：与网络设备直联主机在路由表中对应的32位掩码表项，此类表项都有ARP与其一一对应。

一般情况下，园区网通常配置多个网络出口，联接ISP(InternetService Provider)接入服务商，多个网络出口之间互为备份、负荷分担，提高园区网与外网间通信的带宽和鲁棒性。在校园网的建设中，这种情况更为常见，通常校园网会接入到一个公共运营商和教育网。同时，由于目前IP地址非常短缺，园区网中需要使用私网Ip地址，通过NAT(网络地址转换)接入到Internet中。由于不同的接入服务商提供的接入计费、流控策略不同，因此需要对园区网出口流量进行NAT多出口策略控制。通过NAT多出口策略控制，可以根据用户报文的源信息和目的信息，来选择出口ISP，达到节约接入费用，用户分级管理的目的。例如在校园网中，接入公共运营商(如电信)时到境外的流量收费比接入教育网便宜，而教育网对国内流量不收费用。因此需要进行NAT多出口策略控制，对到国内的流量选择教育网出口，国外的流量选择公共运营商出口。同时两个出口还应该互相备份，当一个出口故障时，所有流量切换另一个出口。

对于NAT多出口策略控制，业界主流核心路由交换机对这样的组网没有很好的解决方案，或者束手无策。一般业界采用如下方案来解决NAT多出口策略问题。使用多台路由器来组网实现，前面一台路由器进行报文分流，对报文根据源信息和目的信息进行分流，转到后面的多台路由器上，由后面的多台路由器进行NAT操作，达到实现NAT多出口策略控制的目的；

考虑到园区网联接多个出口ISP，内部公私网混合组网，多个地址空间并存，园区核心路由交换机要求NAT和策略路由并存等多种组网要求，需要根据源IP地址和出接口共同决定报文转发是否需要NAT转换及其地址池绑定关系，为了方便可以以NAT策略树概念来描述地址池绑定关系；同时将策略路由模块与NAT模块分离，以适应分布式转发的需求，使核心交换机能单独提供NAT多出口策略功能，实现硬件分布式转发，达到线速无阻塞的转发的要求。

图1为现有技术的多ISP园区网组网的原理图。它使用多台路由器交换机，或者一台核心交换机多台专用NAT设备，来实现NAT多出口策略功能。这种组网虽然可以实现NAT多户口策略功能，同时由硬件进行NAT操作，能保证带宽。但是需要添加设备来实现，组网成本增加的同时也导致故障点增加。另外由于是多个设备混和组网实现，因此当一个ISP出口的NAT发生故障时，核心路由交换机不能感知该设备故障，将导致出口流量中断，需要手工干预修改复杂流分类策略，来实现多个ISP出口的备份。

发明内容

本发明的目的是克服现有技术的上述缺点，提供一种多ISP局域网的出口选择方法及装置。利用本发明，NAT的多ISP的控制一台核心路由交换机完成处理，从而克服了多台设备带来的成本和故障点增加的问题，并能适应分布式转发的需求，在实现复杂的转发策略的同时，实现线速无阻塞转发，同时能实现出口链路的备份功能。

本发明提供了一种多ISP局域网的出口选择方法，包括如下步骤：

当有来自局域网内部的出口请求时，查询路由表，确定下一跳的所述策略路由和普通路由；

所述策略路由和普通路由为局域网路由，且所述的普通路由作为所述策略路由的备份；

使用普通路由作为目的地址路由；

当存在策略路由时，判断所述的策略路由是否可用，

如果可用，

用所述的策略路由结果覆盖目的地址路由；

如果不可用，

仍使用原来的目的地址路由；

判断是否需要进行NAT转换，

如果需要，

选择已经建立的NAT地址池和出接口用户板；

转分布式NAT处理设备，实现NAT转换；

根据确定的目的地址路由信息转发报文到出接口用户板；

如果不需要，

根据确定的目的地址路由信息转发报文到出接口用户板。

可选地，所述NAT地址池建立的步骤包括将所述的NAT地址池与各个ISP的出接口绑定，和以所述的出接口和访问请求的源IP地址的组合为关键字，创建NAT策略树的步骤，其中，所创建的策略树用于存储用户流量是否需要NAT转换，所述组合与所述地址池的绑定关系以及分布式专用NAT转换板槽号消息。

优选地，所创建的NAT策略树是二叉树。

可选地，所述的判断是否需要进行NAT转换的步骤包括判断用户流量命中的路由表项中是否有公网标记的步骤，和如果所述的用户流量命中的路由表项中有公网标记，根据所述的出接口和源IP地址的组合为关键字，查询是否命中所述策略树叶子节点。

优选地，所述的选择NAT的地址池的步骤包括以所述的出接口和源IP地址的组合为关键字，在所述策略树叶子节点中匹配，在匹配到的NAT策略树的叶子节点得到地址池和分布式专用NAT转换板槽号的步骤。

优选地，所述的判断策略路由是否可用的步骤是：

用所述的策略路由的下一跳查找所述的路由表；

判断查询到的路由是否为32位掩码的直连主机路由，

如果是，

所述的策略路由可用；

如果不是，

所述的策略路由不可用，以所述的普通路由转发。

优选地，所述查询路由表，确定下一跳的策略路由和普通路由的过程还包括判断：是否存在多个下一跳的步骤，并且当存在多个所述的下一跳时，包括步骤：多个ISP分别分担部分流量。

本发明还提供了一种多ISP局域网的出口选择装置，所述装置包括路由模块、NAT模块以及报文转发模块，其中：

路由模块，用于当有来自局域网内部的出口请求时，查询路由表，确定下一跳的策略路由和普通路由，且所述策略路由和普通路由为局域网路由，所述普通路由为所述策略路由的备份，所述普通路由为目的地址路由；当存在策略路由时，路由模块还用于判断所述的策略路由是否可用，如果可用，则所述路由模块用所述的策略路由覆盖目的地址路由，并触发所述NAT模块，如果不可用，路由模块仍使用原来的目的地址路由，并触发所述NAT模块；

NAT模块，用于在路由模块的触发下，判断是否需要进行NAT转换；若需要NAT转换，则NAT模块选择已经建立的NAT地址池和出接口用户板，转分布式NAT处理设备，实现NAT转换，并在转换后，将所述路由模块确定的目的地址路由信息以及报文发送至所述报文转发模块，若不需要进行NAT转换，则NAT模块将所述路由模块确定的目的地址路由信息以及报文发送至所述报文转发模块；

报文转发模块，用于根据路由模块和NAT模块确定的结果，转发报文至出接口用户板。

优选的，所述路由模块与NAT模块相互独立设置于装置内。

本发明通过根据源IP地址、出接口、普通路由、策略路由来共同决定报文转发是否需要NAT转换及其地址池绑定关系，增加NAT策略树，描述地址池绑定关系；同时路由模块与NAT模块分离，以适应分布式转发的需求，在实现复杂的转发策略的同时，达到线速无阻塞的转发要求。

附图说明

图1为现有技术的多ISP园区网组网的原理图；

图2示出了本发明的实施例的NAT多ISP策略转发流程图；

图3描绘了本发明的另一实施例的结合具体设备描绘的策略NAT转发流程图。

具体实施方式

本发明的关键过程是通过在转发平面增加一个NAT策略表，数据流转发时在转发平面直接进行NAT策略控制，使核心路由交换机既可以完成复杂的NAT策略控制，同时又利用了分布式转发平面的高性能。使处于园区网核心位置的核心路由交换机能独立完成NAT策略功能，简化了网络的复杂性。

通过增加NAT策略表，完成NAT策略功能，可以解决两个主要技术问题：

1、实现了根据用户源信息和出接口信息来选择ISP出口，可以灵活的配合多个ISP的计费流控策略，节省用户的出口流量费用。

2、实现了多个出口ISP之间的热备份，发现某个ISP出口故障时，可以自动快速切换到另外的ISP出口，无需人工干预。

图2示出了本发明的NAT多ISP策略转发流程图。其中，在转发平面增加一个NAT策略表，策略表的存储方式是树结构。该表的索引是源IP+出接口，表项中内容是绑定的ISP出口信息，包括地址池和链接数限制等。在转发流程中查询完路由表和策略路由后，再查询NAT策略表，获得出口ISP的信息，然后根据这些信息进行NAT操作。当出口ISP故障时，自动选择可用ISP，实现多个ISP之间的热备份。

具体的转发步骤如下所述：

1、根据报文的目的IP查询路由表，得到报文的转发出接口A；

2、根据系统配置信息，确定是否需要进行策略路由，如果不需要则使用源IP+出接口A查询NAT策略树，然后跳转到第5步；

3、根据复杂流分类的结果进行策略路由，得到报文的出接口B；

4、判断出接口B是否有效，如果有效则使用源IP+出接口B查询策略树，如果无效则使用源IP+出接口A查询NAT策略树，

5、根据NAT策略树查询结果选择出口的ISP，并对报文进行NAT操作，然后从选中的出口ISP链路中把报文发送出去；

多ISP出口备份通过两个手段实现：

1、对于策略路由，如果策略路由的出接口无效，则自动使用路由表的出接口。

2、对于路由表中的出接口，如果出接口无效，核心路由交换机的路由处理系统会自动进行路由重新计算，选择新的路由并下发到路由表中，从而实现多个ISP出口的备份。

为实现在多地址空间混合组网下，对多ISP出口的园区网设备的可控性要求，本发明“策略NAT”要实现以下三个关键功能点：

A用户流量的出口不能仅由普通路由确定，必须完成完善的策略路由，同时实现普通路由对策略路由的备份。

B必须支持同一个私网内的用户可以通过不同ISP提供的出口访问公网。并且同一私网用户从不同的出口访问公网时，该用户的私网地址应该转换成不同地址池中的公网地址，即用户地址空间与其出口空间不符时，就必须以其出口绑定的地址池进行NAT转换。

C路由模块与NAT模块完全分离，路由模块(包括目的地址路由和策略路由)确定用户流量的出口，是否要做NAT以及选择哪个地址池，由NAT模块确定。

为了实现用户流量的出口不能仅由普通路由确定，必须完成完善的策略路由，同时实现普通路由对策略路由的备份的目的，利用普通路由对策略路由的备份，即在策略路由不可用时，用户流量自动依照普通路由转发。本发明的实施例中以策略路由的下一跳查找路由表，因为可用路由的下一跳通常是一个直联主机，能否命中32位掩码的直联主机路由，在本发明中做为策略路由是否可用的判断依据。如果命中32位掩码的直联主机路由，则说明此策略路由可用；否则，策略路由不生效，仍然以普通路由转发。

为了支持同一个私网内的用户可以通过不同ISP提供的出口访问公网，并且同一私网用户从不同的出口访问公网时，该用户的私网地址应该转换成不同地址池中的公网地址，即用户地址空间与其出口空间不符时，就必须以其出口绑定的地址池进行NAT转换。本发明的实施例实现了不同的用户流量由不同的ISP出口，以不同的地址池进行NAT转换。本发明的实施例中不再将地址池注册在全局模式下，而是与出接口绑定。同时为识别是否需要进行NAT转换和选择哪个NAT地址池，以出接口和源IP的组合做为关键字创建NAT策略树，记录地址池的绑定关系和分布式专用NAT转换板槽号。用户流量命中的路由表项中是否有公网标记做为搜索NAT策略树的使能开关。该标记由用户在与ISP对接的出接口上配置，路由凡落在这个出接口的，都会带上公网标记。根据出接口和源IP组成的联合为关键字，若能命中NAT策略树叶子，说明报文出口前需进行NAT转换，在NAT策略树叶子中得到地址池和NAT板号，报文转NAT板处理；否则若不能命中，说明此用户是公网地址，与此处接口的ISP属于同一编址空间，不需进行NAT转换，直接根据路由信息转下行用户板处理。

为了实现路由模块与NAT模块完全分离，路由模块(包括目的地址路由和策略路由)确定用户流量的出口，是否要做NAT以及选择哪个地址池，由NAT模块确定。本发明的实施例采用路由模块与NAT模块完全分离保证两者在逻辑上划分清晰，功能上不再互相影响牵制。为实现不同用户各种复杂转发逻辑的组合，留下了充分的空间。

图3描绘了本发明的另一实施例的结合具体设备描绘的策略NAT转发流程图。

在步骤210，利用目的IP查找路由表，根据路由表确定可能的下一跳。

在步骤220，根据查找的路由表，判断是否存在多个下一跳，

如果在步骤220判断有多个下一跳，在步骤230，这些多个下一跳进行流量分担；然后进入步骤240，判断策略路由是否匹配成功；

如果在步骤220判断没有多个下一跳而仅有一个下一跳，直接进入步骤240，判断策略路由是否匹配成功。

如果在步骤240判断策略路由匹配成功，进入步骤250，利用策略路由的下一跳查路由表判断能否命中主机路由，如果在步骤250判断能命中主机路由，进入步骤260，利用策略路由结果覆盖目的地址路由。然后，进入步骤270，判断路由表项是否有公网标志。

如果在步骤240判断策略路由匹配不成功，及如果在步骤250判断不能命中主机路由，进入步骤270。

如果在步骤270判断有公网标志，进入步骤280，利用源IP和出接口查NAT策略树，判断是否命中。

如果在步骤280判断命中，进入步骤290，根据搜索结果，得到地址池号。然后，在步骤310经交换网，转分布式NAT处理设备，实现NAT转换。然后，在步骤300，进入交换网。

如果在步骤270判断没有公网标志，及如果在步骤280判断未命中，在步骤300，进入交换网。

最后，在步骤320，按路由结果转发报文到出接口用户板。

以上所述，仅为本发明的实施例而已，其中所描述的方法都只是用做举例，非因此即局限本发明的权利范围，凡运用本发明说明书及附图内容的等效变化，均包含于本发明的权利要求范围内。

Claims (9)

1、一种多ISP局域网的出口选择方法，包括如下步骤：

当有来自局域网内部的出口请求时，查询路由表，确定下一跳的策略路由和普通路由；

所述策略路由和普通路由为局域网路由，且所述普通路由为所述策略路由的备份；

使用普通路由作为目的地址路由；

当存在策略路由时，判断所述的策略路由是否可用，

如果可用，

用所述的策略路由结果覆盖目的地址路由；

如果不可用，

仍使用原来的目的地址路由；

判断是否需要进行NAT转换，

如果需要，

选择已经建立的NAT地址池和出接口用户板；

转分布式NAT处理设备，实现NAT转换；

根据确定的目的地址路由信息转发报文到出接口用户板；

如果不需要，

根据确定的目的地址路由信息转发报文到出接口用户板。

2、如权利要求1所述的多ISP局域网的出口选择方法，其特征在于所述NAT地址池建立的步骤包括将所述的NAT地址池与各个ISP的出接口绑定，和以所述的出接口和访问请求的源IP地址的组合为关键字，创建NAT策略树的步骤，其中，所创建的策略树用于存储用户流量是否需要NAT转换，所述组合与所述地址池的绑定关系以及分布式专用NAT转换板槽号消息。

3、如权利要求2所述的多ISP局域网的出口选择方法，其特征在于所创建的NAT策略树是二叉树。

4、如权利要求2所述的多ISP局域网的出口选择方法，其特征在于所述的判断是否需要进行NAT转换的步骤包括判断用户流量命中的路由表项中是否有公网标记的步骤，和如果所述的用户流量命中的路由表项中有公网标记，根据所述的出接口和源IP地址的组合为关键字，查询是否命中所述策略树叶子节点。

5、如权利要求2所述的多ISP局域网的出口选择方法，其特征在于所述的选择NAT的地址池的步骤包括以所述的出接口和源IP地址的组合为关键字，在所述策略树叶子节点中匹配，在匹配到的NAT策略树的叶子节点得到地址池和分布式专用NAT转换板槽号的步骤。

6、如权利要求1所述的多ISP局域网的出口选择方法，其特征在于所述的判断策略路由是否可用的步骤是：

用所述的策略路由的下一跳查找所述的路由表；

判断查询到的路由是否为32位掩码的直连主机路由，

如果是，所述的策略路由可用；

如果不是，所述的策略路由不可用，以所述的普通路由转发。

7、如权利要求1所述的多ISP局域网的出口选择方法，其特征在于所述查询路由表，确定下一跳的策略路由和普通路由的过程还包括：判断是否存在多个下一跳的步骤，并且当存在多个所述的下一跳时，包括步骤：多个ISP分别分担部分流量。

8、一种多ISP局域网的出口选择装置，其特征在于，所述装置包括路由模块、NAT模块以及报文转发模块，其中：

路由模块，用于当有来自局域网内部的出口请求时，查询路由表，确定下一跳的策略路由和普通路由，且所述策略路由和普通路由为局域网路由，所述普通路由为所述策略路由的备份，所述普通路由为目的地址路由；当存在策略路由时，路由模块还用于判断所述的策略路由是否可用，如果可用，则所述路由模块用所述的策略路由覆盖目的地址路由，并触发所述NAT模块，如果不可用，路由模块仍使用原来的目的地址路由，并触发所述NAT模块；

NAT模块，用于在路由模块的触发下，判断是否需要进行NAT转换；若需要NAT转换，则NAT模块选择已经建立的NAT地址池和出接口用户板，转分布式NAT处理设备，实现NAT转换，并在转换后，将所述路由模块确定的目的地址路由信息以及报文发送至所述报文转发模块，若不需要进行NAT转换，则NAT模块将所述路由模块确定的目的地址路由信息以及报文发送至所述报文转发模块；

报文转发模块，用于根据路由模块和NAT模块确定的结果，转发报文至出接口用户板。

9、如权利要求8所述的装置，其特征在于，所述路由模块与NAT模块相互独立设置于装置内。

Images