CN100559756C

CN100559756C - 保护定义在vlan上的以太网连通性故障管理域的系统和方法

Info

Publication number: CN100559756C
Application number: CNB2005101033380A
Authority: CN
Inventors: 戴维·伊利·迪特·科萨奎; 卡马克希·斯里德哈; 马阿坦恩·彼得勒斯·约瑟夫·维瑟斯; 杰西·鲁耶
Original assignee: Alcatel NV
Current assignee: Alcatel CIT SA; Alcatel Lucent NV
Priority date: 2004-09-16
Filing date: 2005-09-16
Publication date: 2009-11-11
Anticipated expiration: 2025-09-16
Also published as: CN1848762A

Abstract

一种用于保护定义在虚拟局域网(VLAN)上的以太网连通性故障管理(CFM)域的系统和方法。在一个实施例中，该方案包括响应于外部端口注册到VLAN，从而使该VLAN扩展为包括该外部端口，由以太网CFM域的边界维护端点(MEP)节点进行监视，以确定在此是否观察到了双向控制帧流(例如连续性校验(CC)帧流)；以及响应于由边界MEP节点确定没有双向控制帧流通过，生成表明以太网CFM域被外部端口潜在地破坏的警报。

Description

保护定义在VLAN上的以太网连通性故障管理域的系统和方法

相关申请的交叉引用

该非临时的申请要求基于以下在先美国临时专利申请的优先权：(i)以David Elie-Dit-Cosaque、Kamakshi Sridhar、Maarten Petrus JosephVissers和Jessy V.Rouyer的名义于2004年9月16日提交的申请号为60/610,438的申请“GVRP SECURED WITH OAM”(以OAM保护的GVRP)，在此通过参考将其内容引入本申请。

本申请公开的主题涉及以下共同所有共同未决的专利申请中公开的主题：(i)以David Elie-Dit-Cosaque、Kamakshi Sridhar、MaartenVissers和Tony Van Kerckhove(律师存档号1285-0151US)的名义于2004年12月22日提交的申请号为11/021,642的申请“SYSTEM ANDMETHOD FOR REDUCING OAM FRAME LEAKAGE IN ANETHERNET OAM DOMAIN”(用于在以太网OAM域中减少OAM帧泄漏的系统和方法)；以及(ii)以David Elie-Dit-Cosaque、KamakshiSridhar、Maarten Vissers和Tony Van Kerckhove(律师存档号1285-0158US)的名义于2004年12月28日提交的申请号为11/023,716的申请“DOMAIN CONFIGURATION IN AN ETHERNET OAMNETWORK HAVING MULTIPLE LEVELS”(具有多个级的以太网OAM网络中的域配置)。在此通过参考将这些专利申请的内容引入本申请。

技术领域

本发明一般地涉及以太网VLAN(虚拟局域网)网络。更具体地，并且不以任何限制的方式，本发明针对一种采用以太网连通性故障管理(CFM)功能性来保护VLAN的系统和方法。

背景技术

从用户的观点来看，目前的第一英里/最后一英里(first/last mile)接入网解决方案具有显著的缺点，从性能瓶颈、固定带宽设置、有限的可扩展性、缺少灵活性和设置复杂性，延伸到端到端服务质量(QoS)问题和成本高昂的结构。在第一英里中应用健壮而简单的以太网技术，有希望从根本上改变接入网，正如在企业网领域中运用的那样，其中以用于在计算机和网络之间进行通信的局域网(LAN)传输技术作为开始。作为接入技术，相对于传统的第一英里技术，以太网提供三个显著的优点：(i)用于数据、视频和语音应用的能适应未来的传输；(ii)用于数据服务的成本有效的基础设施；以及(iii)能确保互操作性的简单的、全球认可的标准。

为了使以太网技术适用于载波级服务环境中，开发了各种标准，其目标是在整个网络上从一端到另一端提供先进的操作、管理与维护(OAM)能力(也称为以太网连通性和故障管理或以太网CFM)。由于端到端服务网络环境典型地包括有可能属于不同的组织、网络运营商和服务提供商的形形色色组成网络(component network)(例如采用多种技术的城域接入网和核心网)的集合体(patchwork)，因此将以太网CFM平面视为分级分层的域空间，其中对应于构成网络(constituent network)基础设施和设置来定义特定的CFM域(或同义地说是OAM域)。特别地，在此通过参考引入的专门着重于端到端以太网CFM的两个标准IEEE 802.1ag和ITU-T(问题3，研究组13)在分级结构的最高级定义了用户级的域，其包括一个或多个提供商域(占用了一个中间级)，每个提供商域又依次包括部署在较低的分级结构的级的一个或多个运营商域。通过标准化的方式，可以将CFM域空间划分为多个级，例如8个级，每个域对应于一个特定的级，其中根据流量点(flow point)来定义域。在IEEE 802规范系列的上下文中，流量点是包含于在相关标准文献中所定义的媒体接入控制(MAC)“接口”和“端口”中的新实体。一个端口可以实现不同类型的多个流量点。CFM域边缘的流量点称为“维护端点”或MEP。在域内且对于MEP可见的流量点称为“维护中间点”或MIP。在系统管理员将MEP节点用来发起和监视CFM活动(通过发布适当的CFM帧)的同时，MIP节点被动地接收并响应于由MEP节点发起的CFM流。

具有一个或多个MIP节点的CFM域可以由多个MEP节点绑定。为了适当地过滤CFM帧流，以便使这些帧流只由预期的域节点处理，需要适当地配置以太网CFM网络的MEP/MIP族。例如，根据当前的标准，可以提供整数值来表示以太网CFM分级结构的特定域级。

此外，还规定了多个标准以增强服务传送技术，这使得数据链路层(即第2层或L2)以太网络顶端上的虚拟LAN(VLAN)的设置可以用于为CFM网络增加灵活性、可扩展性和安全性。可以在例如用户级、提供商级等不同的级上定义VLAN，并且VLAN可以包括任意数目的不相交的CFM域。在服务帧字段之前加上“C-”，例如C-VLAN ID，称为用户创建字段。同样，在服务帧字段之前加上“P-”，例如P-VLANID，称为提供商添加字段。通过实现VLAN，可以将端到端以太网CFM网络划分为多个服务实例，同时保留多个用户C-VLAN，其中在给定的VLAN中的业务对于属于不同VLAN的端主机是不可见的，从而减小了广播域。

在采用VLAN时，需要正确配置适当的硬件(即交换机和相关联的端口)，以便体现VLAN覆盖的边界。众所周知，VLAN是逻辑分段的网络，因此在末端站点移动时不需要重新配置交换机。为每个连接到以太网的末端站点指定一个配置在诸如端口或网络接口单元之类的物理接口硬件中的唯一MAC地址，其中将单独的VLAN映射为包括其域的一组MAC地址。

诸如自动配置VLAN和共享VLAN配置信息之类的公知技术提供了很多好处，例如即插即用功能性、VLAN标识符或VID的一致性等。然而，由于部署在VLAN域之外的外部端口能够简单地注册其想要攻击和加入的VLAN的VID以便获得未授权的访问，因此这些能力有可能使以太网CFM域出现潜在的安全漏洞。

发明内容

在一个方面中，本发明针对一种用于保护定义在VLAN上的以太网CFM/OAM域的方法，包括：响应于外部端口注册到VLAN，从而使VLAN扩展为包括该外部端口，由以太网CFM域的边界MEP节点进行监视，以确定在此是否观察到了双向控制帧流，例如连续性校验(CC)帧流；并且响应于由边界MEP节点确定没有双向控制帧流通过，生成表明以太网CFM域被外部端口潜在地破坏的警报。

在另一个方面中，本发明针对一种用于保护定义在VLAN上的以太网CFM域的系统，包括：与以太网CFM域的边界MEP节点相关联的装置，该装置响应于外部端口注册到VLAN而操作，从而使VLAN扩展为包括该外部端口，该装置可操作为监视通过边界MEP节点的帧流，以便确定在此是否观察到了双向控制帧流；以及响应于确定没有双向控制帧流通过边界MEP节点，用于生成表明以太网CFM域被外部端口潜在地破坏的警报的装置。

在又一个方面中，本发明针对一种可操作于定义在VLAN上的以太网CFM域中的网络节点，包括：可响应于外部端口注册到VLAN而操作的结构，从而使VLAN扩展为包括该外部端口，该结构用于确定在网络节点处是否观察到了双向的控制帧流；以及可响应于确定没有双向控制帧流通过边界MEP节点而操作的结构，用于生成表明以太网CFM域被外部端口潜在地破坏的警报。

附图说明

在本说明书中引入附图并将其形成为本说明书的一部分，以说明本发明的一个或多个目前优选的示例性实施例。根据以下与所附权利要求有关并参照附图所进行的详细描述，可以理解本发明的各种优点和特征，其中：

图1描述了作为VLAN布置的示例性以太网CFM域，其中可以实现本专利公开文件的实施例；

图2描述了图1中示出的根据本发明的描述可操作于以太网CFM域中的示例性MEP节点；以及

图3描述了根据本发明的一个实施例用于保护基于VLAN的以太网CFM域的方案。

具体实施方式

现在将参照如何最好地实现和使用本发明的各种示例来描述本发明的实施例。在整个说明书和附图的几个视图中使用相同的参考标号来表示相同的或相应的部分，其中各种元件不一定是按比例绘出的。现在，参照附图，并更具体地参照图1，图中所示的是包括基于VLAN的以太网CFM域的示例性网络布置100。将多个边缘端口配置为MEP节点，例如MEP-1104-1至MEP-6104-6，这些MEP节点绑定了以太网CFM域102，可以将以太网CFM域102部署在CFM分级布置的任意级上，例如将其部署为运营商级域、用户级域或服务提供商级域。关于诸如CFM域102之类的以太网CFM域的实现、操作和布置以及其构成MIP节点和构成MEP节点的其他细节可见于以下共同所有共同未决的专利中请：2004年12月22日提交的申请号为11/021,642的申请“SYSTEM AND METHOD FOR REDUCING OAM FRAMELEAKAGE IN AN ETHERNET OAM DOMAIN”(用于在以太网OAM域中减少OAM帧泄漏的系统和方法)，通过参考将其内容引入本专利公开文件。

根据以太网CFM域102的一个实现，可以将MEP节点104-1至104-6配置为多个VLAN实体，其中将分级结构的级信息提供为根据通用属性注册协议(GARP)生成和发送的帧中的属性值。因此，实现以太网CFM域102的MEP端口的多个网元(即末端站点和网桥(或同义地说是交换机))可以包括GARP状态机引擎的功能性，以便于进行域配置。关于采用GARP来配置以太网域的其他细节可见于以下共同所有共同未决的专利申请：2004年12月28日提交的申请号为11/023,716的申请“DOMAIN CONFIGURATION IN AN ETHERNETOAM NETWORK HAVING MULTIPLE LEVELS”(具有多个级的以太网OAM网络中的域配置)，如上所述，通过参考将其内容引入本申请。

众所周知，可以通过手动配置来静态地配置VLAN成员(即被视为一个单一的VLAN的一部分的网桥端口)或通过GVRP或GARP VLAN注册协议动态地配置和分配VLAN成员。形成IEEE 802.1p扩展到其802.1d(生成树)规范的一部分的GARP定义了用于注册和解注册属性值的体系结构、操作规则、状态机以及变量。一般来说，网桥中的GARP参与者包括与该网桥的每个端口相关联的一个GARP应用组件和一个GARP信息声明(GID)组件。用于网桥中同一应用的GARP参与者之间的信息传播由GARP信息传播(GIP)组件来执行。采用为所涉及的GARP应用所定义的组MAC地址和协议数据单元(PDU)格式，通过逻辑链路控制(LLC)类型1服务，GARP参与者之间发生协议交换。

GVRP是一种定义在IEEE 802.1p标准中的GARP应用，允许对802.1q VLAN进行控制，GVRP提供802.1q兼容的裁剪功能(pruning)和在802.1q干线端口上创建动态VLAN。同样，利用GVRP，交换机可以与其他GVRP交换机交换VLAN配置信息，裁剪不必要的广播业务和未知的单播业务，以及在通过802.1q端口连接的交换机上动态地创建和管理VLAN。尽管通过自动地向注册到该网络的所有GVRP感知(GVRP-aware)交换机提供VLAN ID(VID)(从而在整个网络上确保了VID的一致性)，这些能力能够有助于减小在配置VLAN时出错的可能性，但由于无意地扩展了现有的VLAN配置，因此外部端口有可能能够破坏定义在VLAN上的以太网CFM域的安全。

本领域的普通技术人员应当认识到，对现有的VLAN配置的这种扩展还有可能发生在当采用诸如多注册协议(MRP)和多VLAN注册协议(MVRP)之类的其他相关注册协议时。因此，此处所提出的描述和实施例适用于已作必要修正的基于GVRP以及MRP/MVRP配置的VLAN。

继续参考图1，参考标号106是指外部“欺骗”网桥端口(“rogue”bridge port)，该端口原本不是以太网CFM VLAN 102的覆盖范围的一部分，但可操作为通过使用例如合成的或伪造的VID注册到VLAN来加入该VLAN。一旦外部端口106加入现有的VLAN 102，VLAN域就会扩展，以便包括新加入的端口，从而由有可能包括其他外部端口(未示出)的扩展的VLAN部分108将该域的覆盖范围扩大。由于外部端口106现在已经变成扩展的VLAN的一部分，因此外部端口106可操作为接收从合法VLAN端口发布的GVRP/MVRP公告，该合法VLAN端口包括以太网CFM域102的MEP端口。因此，正如在本专利公开文件的“背景技术”部分所提到的那样，外部端口106获得了对与CFM域相关联的广播业务和多播业务(例如数据帧和控制帧)的未授权的访问。

图2描述了根据本发明的描述可操作于图1的以太网CFM域102中的示例性MEP节点202。特别地，MEP节点202具有适当的逻辑，该逻辑用于在检测到新的端口时，通过连接CFM功能性和GVRP/MVRP来保护以太网CFM域102。如图1所示，当新的外部端口106加入现有的VLAN从而扩展其覆盖范围时，通过诸如MEP-4 104-4之类的边界MEP端口，数据可以在CFM域102和未授权的VLAN扩展108之间流动。因此，在可操作为MEP-4的MEP节点202中提供逻辑结构206，当外部端口106注册到该VLAN时，逻辑结构206对检测到存在外部端口106做出响应。由于配置在特定CFM域中的合法MEP节点希望接收来自该域的其他合法MEP节点的控制帧(除生成可应用的控制帧本身之外)，因此逻辑206还可操作为监视流过该MEP的控制帧(例如连续性校验(CC)帧)，以便确定是否有双向控制帧流。因此，逻辑结构206可操作为确定是否存在从CFM域102向扩展的VLAN部分108(包括外部端口106)的CC帧202A以及从扩展的VLAN部分108向CFM域节点的CC帧202B。在一个示例性实现中，可以将帧流监视逻辑配置为在检测到新的端口之后的一个时间段内检查双向的CC帧流，其中该时间段可以是可变的、固定的、预定的或配置的。

继续参考图2，监视逻辑206与MEP节点202的数据过滤/转发逻辑和数据库208通过接口相连，以便基于由监视逻辑206所做出的判定，适当地调制数据帧流。特别地，仅当在MEP节点处观察到双向CC流时，该MEP节点才可以根据过滤逻辑和数据库208将数据帧转发到其他目的地。否则，该MEP节点就将该数据帧丢弃。此外，作为又一个变型，MEP节点可操作为生成并发送警报210到与部署该节点的CFM域相关联的网络管理节点212，以便通知存在可能的入侵者。因此，虽然加入现有VLAN的非法外部端口有可能仍保留为VLAN覆盖范围的一部分，但该端口已被拒绝给予机会静静地收听该VLAN中的数据业务广播。此外，还要防止外部端口将潜在的危害性的业务引入该VLAN/CFM域。

图3描述了根据本发明的一个实施例用于保护基于VLAN的以太网CFM域的方案300。如上所述，外部端口/网桥可以注册到定义了以太网CFM域的现有VLAN，从而扩展该VLAN的覆盖范围(方框302)。响应于该手动的或自动的注册，以太网CFM域的边界MEP检测新的网桥端口的存在(方框304)。之后，边界MEP监视控制帧流并确定双向控制帧(例如CC帧)是否正在通过(即从CFM域向新的端口的CC帧以及从CFM域之外向域MEP生成的CC帧)(方框306)。如果没有观察到双向流，则边界MEP生成表明以太网CFM域被新加入的外部端口潜在地破坏的警报并将该警报发送到网络管理节点。此外，要防止任何双向的数据业务(即到外部端口的数据帧或来自外部端口的数据帧)流过MEP节点。这些操作在方框308中示出。

基于前面的详细描述，应当意识到，本发明有利地提供了一种简单而有效的方案用于检测对VLAN的未授权的访问。本领域的普通技术人员应当认识到，此处所阐明的方法可以实现于包括与适当的网桥设备相关联的软件、硬件或固件的实现，或其任意组合。另外，应当意识到，本发明的描述不一定需要对目前所使用的可应用标准和协议进行修改。

虽然已经参照某些示例性实施例描述了本发明，但应当理解，所示出和描述的本发明的形式仅作为示例性实施例。因此，在不脱离由所附权利要求所限定的本发明的实质和范围的情况下，可以进行各种改变、替代和修改。

Claims

1.一种用于保护定义在虚拟局域网上的以太网连通性故障管理域的方法，其特征在于，包括：

响应于外部端口注册到所述虚拟局域网，从而使所述虚拟局域网扩展为包括所述外部端口，由所述以太网连通性故障管理域的边界维护端点节点进行监视，以确定是否观察到了在所述以太网连通性故障管理域与包括所述外部端口的所述扩展的虚拟局域网部分之间的双向控制帧流；以及

响应于由所述边界维护端点节点确定没有双向控制帧流，生成表明所述以太网连通性故障管理域被所述外部端口潜在地破坏的警报。

2.根据权利要求1所述的方法，其中所述外部端口经由多VLAN注册协议(MVRP)和通用属性注册协议(GARP)VLAN注册协议(GVRP)中的至少一个自动地注册到所述虚拟局域网。

3.根据权利要求1所述的方法，其中所述外部端口手动地注册到所述虚拟局域网。

4.根据权利要求1所述的方法，其中所述双向控制帧流包括传输从所述以太网连通性故障管理域向所述外部端口发射的连续性校验(CC)帧和传输从所述虚拟局域网之外向部署在所述以太网连通性故障管理域中的边界维护端点节点生成的连续性校验帧。

5.一种用于保护定义在虚拟局域网上的以太网连通性故障管理域的系统，其特征在于，包括：

与所述以太网连通性故障管理域的边界维护端点节点相关联的装置，所述装置响应于外部端口注册到所述虚拟局域网而操作，从而使所述虚拟局域网扩展为包括所述外部端口，所述装置用于监视通过所述边界维护端点节点的帧流，以便确定是否观察到了在所述以太网连通性故障管理域与包括所述外部端口的所述扩展的虚拟局域网部分之间的双向控制帧流；以及

响应于确定没有双向控制帧流通过所述边界维护端点节点，用于生成表明所述以太网连通性故障管理域被所述外部端口潜在地破坏的警报的装置。

6.根据权利要求5所述的系统，其中所述外部端口经由多VLAN注册协议(MVRP)和通用属性注册协议(GARP)VLAN注册协议(GVRP)中的至少一个自动地注册到所述虚拟局域网。

7.根据权利要求5所述的系统，其中所述外部端口手动地注册到所述虚拟局域网。

8.根据权利要求5所述的系统，其中所述双向控制帧流包括传输从所述以太网连通性故障管理域向所述外部端口发射的连续性校验(CC)帧和传输从所述虚拟局域网之外向部署在所述以太网连通性故障管理域中的边界维护端点节点生成的连续性校验帧。

9.一种可操作于定义在虚拟局域网上的以太网连通性故障管理域中的网络节点，其特征在于，包括：

可响应于外部端口注册到所述虚拟局域网而操作的结构，从而使所述虚拟局域网扩展为包括所述外部端口，该结构用于确定在所述网络节点处是否观察到了在所述以太网连通性故障管理域与包括所述外部端口的所述扩展的虚拟局域网部分之间的双向控制帧流；以及

可响应于确定没有双向控制帧流通过所述网络节点而操作的结构，用于生成表明所述以太网连通性故障管理域被所述外部端口潜在地破坏的警报。

10.根据权利要求9所述的网络节点，还包括用于确定是否在预定的时间段内在所述网络节点处观察到了所述双向控制帧流的结构。