CN100562025C - 基于全局地址池的dhcp池策略的创建方法及管理方法 - Google Patents

Abstract

本发明公开了一种基于全局地址池的DHCP池策略的创建方法，包括如下步骤：创建IP POOL地址池；创建与所述IP POOL地址池对应的DHCP POOL地址池，并将所述IP POOL地址池绑定到所述DHCP POOL地址池；根据DHCP接入接口创建地址池管理策略，将所述DHCP POOL地址池绑定到所述地址池管理策略；将所述地址池管理策略绑定到相应的DHCP接入接口。提高了IP地址池资源的全局规划、全局共享、统一接入，实现了对DHCP CLIENT接入的可控策略管理，提高了接入的安全性和网络的可扩展性。本发明还公开了一种基于全局地址池的DHCP池策略的管理方法。

Description

基于全局地址池的DHCP池策略的创建方法及管理方法

技术领域

本发明涉及一种以太网技术，具体说，涉及一种基于全局地址池的DHCP池策略的创建方法及管理方法。

背景技术

随着宽带网络技术的发展，无线接入控制器(AC，Access Controller)、宽带接入服务器(AS)、宽带接入路由器等宽带接入网络设备大量涌现，这些宽带网络接入设备通常提供了通过内置的DHCP SERVER实现DHCP

CLIENT动态互联网络协议(IP，Internet Protocol)地址接入功能，同时也提供了通过PPP/PPPOE动态分配IP地址等的接入功能。

但目前业界的宽带接入网络设备，均是将基于动态主机配置协议(DHCP，Dynamic Host Control Protocol)伺服端(SERVER)的IP地址池管理和基于PPP/PPPOE等功能的IP地址池管理分开，各自进行独立的规划和管理，而不是实现全局统一管理。

这就带来了如下的问题：

(1)DHCP SERVER使用的DHCP池(POOL)的IP池空间和PPP/PPPOE使用的IP POOL的IP地址池空间需要仔细规划，不能有重叠，否则，将导致用户IP地址冲突和网络混乱。

(2)DHCP SERVER使用的DHCP POOL的IP池空间和PPP/PPPOE使用的IP POOL的IP地址池空间不能有重叠，各自的地址池独立使用，不能共享，降低了IP地址池的有效利用率。

(3)DHCP SERVER使用的DHCP POOL的IP池空间和PPP/PPPOE使用的IP POOL的IP地址池空间的独立规划，增加了网络管理负担，并带来了某些宽带接入设备的软件实现复杂性。

此外，业界宽带接入网络设备对内置DHCP SERVER的DHCP POOL的管理通常是基于全局层面的，不能基于接口进行可规划、可预测、安全的可控管理。

使得内置DHCP SERVER的DHCP POOL管理存在如下缺点：

(1)不能基于接口进行可控DHCP POOL管理，控制接口的可分配策略，只要在全局层面存在相关的DHCP POOL配置，DHCP用户就能从任意接口进行IP地址申请。

(2)不能可控规划DHCP POOL的策略管理，对配置的DHCP POOL只能按特定的软件实现方式进行地址申请，不能进行灵活定制，如优先分配特定地址范围的地址。

(3)不能阻止不可信任接口的DHCP用户申请IP地址，使得DHCPPOOL的管理容易受到地址耗尽攻击，从而影响合法用户的IP地址请求

(4)在网络扩展的情况下，不支持基于接口的可控超级地址池管理，不利于大规模网络的可扩展性支持。

发明内容

本发明所解决的技术问题是提供一种基于全局地址池的DHCP池策略的创建方法，提高了IP地址池资源的全局规划、全局共享、统一接入，实现了对DHCP CLIENT接入的可控策略管理，提高了接入的安全性和网络的可扩展性。

技术方案如下：

基于全局地址池的DHCP池策略的创建方法，包括如下步骤：

(1)为宽带接入网络设备创建IP POOL地址池，所述IP POOL地址池为所述全局地址池；

(2)创建与所述IP POOL地址池对应的DHCP池，并将所述IPPOOL地址池绑定到所述DHCP池；

(3)根据DHCP接入接口创建地址池管理策略，将所述DHCP池绑定到所述地址池管理策略；

(4)将所述地址池管理策略绑定到相应的DHCP接入接口。

进一步，步骤(1)具体为：创建允许通过内置DHCP SERVER实现动态DHCP CLIENT接入的IP POOL地址池。

进一步，步骤(2)中，在所述DHCP池中配置DHCP协议选项参数。

进一步，步骤(3)中，所述地址池管理策略由按优先级顺序排列的策略项组成，每个策略项绑定不同的DHCP池。

进一步，步骤(3)中，所述地址池管理策略包括VPN属性或者RELAYAGENT属性。

本发明所解决的另一个技术问题是提供一种基于全局地址池的DHCP池策略的管理方法，通过绑定到接口的DHCP POLICY实现内置DHCP

SERVER对DHCP用户的动态可控策略接入，最终达到IP地址池资源的全局规划、全局共享、统一接入，极大提高DHCP用户接入的安全性、可控性、网络的可扩展能力，减小了网络管理负担。

技术方案如下：

基于全局地址池的DHCP池策略的管理方法，步骤如下：

(1)从绑定了地址池管理策略的网络接口上收到IP地址请求后，根据该网络接口所绑定的地址池管理策略进行IP地址申请；

(2)按地址池管理策略的策略项的优先级进行策略项匹配；

(3)从匹配的策略项中所绑定的DHCP池所绑定的IP POOL地址池中请求相应的IP地址；

(4)将申请的IP地址发送给DHCP网络用户。

进一步，步骤(1)中，当接收DHCP用户的IP地址请求的接口没有绑定地址池管理策略时，丢弃该IP地址请求。

进一步，步骤(2)中，按地址池管理策略的策略项的优先级高低顺序依次根据VPN属性或者RELAY AGENT属性进行策略项匹配。

进一步，步骤(2)中，当DHCP请求不匹配地址池管理策略中的所有策略项，丢弃该DHCP请求。

进一步，步骤(3)中，当从匹配的策略项中申请IP地址成功，则向DHCP用户返回相应的参数，否则失败，丢弃该DHCP请求。

通过IP POOL地址池绑定到DHCP POOL地址池、DHCP POOL地址池绑定到地址池管理策略的灵活管理方式，提高DHCP POOL的网络管理灵活性和可扩展性，特别是在网络不断增大的情况下，通过简单地在地址池管理策略中添加相应的策略项即可扩展DHCP对新增网络的支持。同时，采用独立配置DHCP POOL并绑定到不同DHCP POLICY的管理方式，能极大简化DHCP POLICY对DHCP RELAY的管理，将不同接口绑定相同DHCPPOOL时进行的重复配置减小到最少，使得网络设备对支持路由冗余的DHCP RELAY提供了可控管理。

采用本发明技术能充分通过绑定到接口的DHCP POLICY实现内置DHCP SERVER对DHCP用户的动态可控策略接入，最终达到IP地址池资源的全局规划、全局共享，统一接入，极大地提高DHCP用户接入的安全性、可控性、以及网络的可扩展能力，减小了网络管理负担。

通过在使用DHCP中继的无线接入控制器(AC)、宽带接入服务器(BAS)、宽带接入路由器等宽带接入网络设备中实施本发明方法后，提高IP地址池资源的全局规划、全局共享、统一接入，实现对接入DHCPCLIENT进行基于VPN、接口的带优先级的可控策略管理，提高了接入的安全性和网络的可扩展性。

附图说明

图1是基于全局地址池的DHCP池策略的创建方法的流程图；

图2是基于全局地址池的DHCP池策略的管理方法的流程图；

图3是本发明优选实施例的应用网络图。

具体实施方式

本发明技术方案主要通过创建动态IP接入业务共享使用的IP地址池，并绑定到相应的DHCP POOL地址池中，然后，根据不同的DHCP用户接入接口制定带优先级的地址池管理策略(DHCP POLICY)，并将允许通过相应接口接入的DHCP POOL绑定到与此接口相关的DHCP POLICY的策略项中；最后，将特定于接口的地址池管理策略DHCP POLICY绑定到相应的接口。从而，通过绑定到接口的DHCP POLICY实现内置DHCP SERVER对DHCP用户的动态可控策略接入，最终达到IP地址池资源的全局规划、全局共享，统一接入，极大提高DHCP用户接入的安全性、可控性、以及网络的可扩展能力，减小了网络管理负担。

下面参照附图，对本发明的优选实施例作详细描述。

如图1所示，基于全局地址池的DHCP池策略的创建方法，步骤如下：

步骤S101：创建允许通过内置DHCP SERVER实现动态DHCP用户端(CLIENT)接入的IP POOL地址池。

创建DHCP CLIENT相关IP POOL地址池的目的是使得网络管理员能根据业务管理的需要，实现对DHCP POOL的可控接入。此外，此IP

POOL地址池作为全局共享地址池，同时也可以为其他业务功能提供动态IP地址分配服务。

如果网络规划和管理上没有对实现DHCP CLIENT接入所需的IPPOOL特殊需求，则不必针对DHCP CLIENT接入创建特定范围的IPPOOL地址池。

步骤S102：创建与IP POOL地址池对应的DHCP POOL地址池，并将IP POOL地址池绑定到DHCP POOL地址池。

DHCP POOL地址池包含多个DHCP POOL，具体来说，是将IPPOOL地址池绑定到DHCP POOL。在DHCP POOL中可配置DHCP协议选项参数，如例，ROUTER、STATIC ROUTE、LEASE TIME等。

步骤S103：根据DHCP接入接口创建地址池管理策略(DHCPPOLICY)，将DHCP POOL地址池绑定到地址池管理策略。

DHCP POLICY由按优先级高低顺序排列的策略项组成，每个策略项绑定不同的DHCP POOL。根据网络规模的大小和网络管理需求的不同，可以根据需要调整DHCP POLICY的策略项的数目和优先级顺序，从而为DHCP接入提供灵活、可控的管理优势。

为了增强对DHCP CLIENT的IP地址申请的可控性，可以在DHCPPOLICY的策略项中添加VPN属性、RELAY AGENT属性等信息，在DHCP CLIENT申请IP地址的DHCP POLICY策略项匹配过程中，也需要进行VPN属性、RELAY AGENT属性等的匹配处理。使得策略匹配时只有同时匹配了相应VPN属性、RELAY AGENT属性等的DHCP请求，才被认为是合法的DHCP请求，否则，此DHCP请求将被丢弃。

步骤S104：将地址池管理策略绑定到相应的DHCP接入接口。

没有绑定DHCP POLICY的网络接口，将不允许DHCP用户接入而不会进行IP地址分配，当从这样的网络接口收到DHCP请求后将被丢弃。

如图2所示，基于全局地址池的DHCP池策略的管理方法，步骤如下：

步骤S201：从绑定了地址池管理策略的网络接口上收到DHCP用户的IP地址请求后，根据所绑定的地址池管理策略进行IP地址申请。

步骤S202：判断DHCP用户的IP地址请求中是否包含DHCPPOLICY。

如果该DHCP用户的IP地址请求中包含DHCP POLICY，执行步骤S203；否则执行步骤S204，丢弃该DHCP用户的IP地址请求数据包。

步骤S203：按地址池管理策略的策略项的优先级进行策略项匹配。

当从绑定了DHCP POLICY的网络接口上收到DHCP CLIENT的IP地址请求后，根据所绑定的DHCP POLICY的策略项进行IP地址申请，申请策略是按DHCP POLICY的策略项的优先级高低顺序依次进行策略项匹配，可选择的匹配参数包括VPN属性、RELAY AGENT属性等。

步骤S204：当该DHCP用户的IP地址请求为非法DHCP请求时，丢弃该DHCP请求数据包。

步骤S205：判断IP地址请求是否有相匹配的策略项。

如果该IP地址请求有相匹配的策略项，执行步骤S206。

如果此策略项的IP地址申请失败，执行步骤S209，对DHCP POLICY的所有策略项进行判断，继续按DHCP POLICY的优先级高低顺序依次匹配后续的策略项，并从后续匹配的策略项中申请IP地址等网络参数。

步骤S206：从匹配的策略项中绑定的DHCP POOL和IP POOL中请求相应的IP地址。

通过策略项所绑定的IP POOL，从该全局共享地址池中申请IP地址，并获取DHCP相关的网络参数。

步骤S207：判断IP申请是否成功。

如果IP申请成功，执行步骤S208；否则，执行步骤S209。

步骤S208：将IP申请的IP地址和网络参数发送给DHCP用户。

步骤S209：判断是否检查完DHCP POLICY中所有策略项。

如果检查完，执行步骤S203；否则执行步骤S210。

步骤S210：当从匹配的策略项中申请IP地址失败，对本次IP地址申请进行异常处理，丢弃该DHCP请求。

如图3所示，描述了在ZXR10系列路由器中的具体实施方式。

在网络中的第一路由器内置有DHCP SERVER和PPPOE SERVER等，他们共同实现DHCP用户和PPPOE用户的动态接入。为了实现DHCP用户和PPPOE用户的统一接入管理，并实现对DHCP用户的可控接入。

本实施例中，使用了三台ZXR10路由器设备，分别为第一路由器、第二路由器和出口路由器，其中，第一路由器在完成路由器功能的同时兼作DHCP SERVER和PPPOE SERVER使用，完成第一子网的PPPOE用户接入和所有内部子网的DHCP用户接入。第一路由器通过上行接口GEI_2/1接入INTERNET，通过下行接口FEI_1/1连接第一交换机，接入第一子网的DHCP用户和PPPOE用户，通过下行接口FEI_1/2连接第二路由器，接入第二子网和第三子网的DHCP用户。第二路由器在完成路由器功能的同时兼作DHCP RELAY使用，完成第二子网和第三子网的DHCP接入。第二路由器通过上行接口FEI_2/1连接第一路由器，通过下行接口FEI_2/2连接第二交换机，接入第二子网和第三子网的DHCP用户。

为了简化描述，本实施例以图3中第一网络中第一路由器、第二路由器、第二子网和第三子网的DHCP CLIENT间的策略管理作为例子，对本发明的工作过程作描述。

假设在网络建设的初期，在第二路由器下面只有第二网络的DHCP用户，随着企业的发展、用户的增多、网络扩大，考虑在第二路由器下新增第三网络以实现新用户接入，则第一路由器的处理步骤如下：

1、创建全局共享IP POOL地址池。

全局共享IP POOL地址池的管理需要根据网络拓扑和管理需求进行规划，为了提高对DHCP接入用户的可控管理，建议采用基于用户子网为单位进行IP POOL的创建。此外，根据管理需要，可选择将此用户子网划分为不同的IP POOL，提供给不同的业务用户单独或共享使用，但相同子网的不同IP POOL的地址范围不能重叠。

创建第二子网的DHCP接入相关的全局IP POOL，假设第二子网的DHCP用户的可用IP地址范围均为192.168.1.1～192.168.1.254范围内，则对第二子网只需要创建一个全局IP POOL，将此全局共享的IP POOL取名为“GLOBAL-IPPOOL-NET2”。此IP POOL地址池也可用于其他业务使用。

2、创建与相应IP POOL地址池对应的DHCP POOL地址池，并将相应IP POOL地址池绑定到此DHCP POOL中。

同时，在DHCP POOL中可配置其他的DHCP协议选项参数，如：ROUTER、STATIC ROUTE、LEASE TIME等。创建第二子网的DHCPPOOL，并将“GLOBAL-IPPOOL-NET2”地址池绑定到此DHCP POOL中，配置其他DHCP选项相关的网络参数，将此DHCP POOL取名为“GLOBAL-DHCPPOOL-NET2”。

3、根据需要接入DHCP用户的不同网络接口制定相应地址池管理策略(DHCP POLICY)，DHCP POLICY的策略项按优先级高低的顺序进行排序管理，然后根据网络规划和网络管理需求，将相应DHCP POOL绑定到此DHCP POLICY的相应策略项中。

创建第二子网的DHCP POLICY—“GLOBAL-DHCPPOLICY-NET2”，配置优先级为10的策略项，配置支持VPN和RELAY AGENT等匹配参数，并将“GLOBAL-DHCPPOOL-NET2”绑定到此策略项中。

4、将特定于接口的地址池管理策略DHCP POLICY绑定到相应的DHCP用户接入网络接口上。

将第二子网的DHCP POLICY—“GLOBAL-DHCP POLICY-NET2”，绑定到第一路由器连接第二子网的接口FEI_1/2上。没有绑定DHCP POLICY的上行网络接口GEI_2/1，将不允许DHCP用户接入，从GEI_2/1收到的DHCP请求将被丢弃。

5、当从绑定了DHCP POLICY的FEI_1/2网络接口上收到DHCP CLIENT的IP地址请求后，根据所绑定的“GLOBAL-DHCPPOLICY-NET1”进行IP地址申请，申请策略是按DHCP POLICY的策略项的优先级高低顺序依次根据VPN、RELAYAGENT等进行策略项匹配，并从匹配的策略项中绑定的DHCP POOL和IP POOL中请求相应的IP地址等网络参数。

如果此策略项的IP地址申请失败，则继续按DHCP POLICY的优先级高低顺序依次匹配后续的策略项，并从后续匹配的策略项中申请IP地址等网络参数。

第一路由器的接口FEI_1/2上绑定的“GLOBAL-DHCPPOLICY-NET1”只有一个策略项，所以，当接收到DHCP用户的请求时，如果DHCP请求匹配此策略项，则从此策略项中申请IP地址，如果不匹配此策略项，DHCP请求将被丢弃。当从匹配的策略项中申请IP地址等参数成功，则向DHCP用户返回相应的参数，否则失败。

6、当网络扩大后，假设第二子网上的IP地址池中的地址已经不够使用，希望规划192.168.3.0/24对应的第三子网作为备份，实现对新增DHCP用户的接入。在这种情况下，DHCP POLICY本身固有的管理灵活性，很容易满足和实现新增DHCP用户的接入管理，只需在第一路由器上，重复步骤1和和2，创建对应第三子网的全局IPPOOL—“GLOBAL-IPPOOL-NET3”和DHCP POOL“GLOBAL-DHCPPOOL-NET3”。然后，在步骤3所创建的“GLOBAL-DHCPPOLICY-NET2”策略中，配置优先级为20的策略项，配置支持VPN和RELAY AGENT等匹配参数，并将“GLOBAL-DHCPPOOL-NET3”绑定到此策略项中即可。

7、当从绑定了DHCP POLICY的FEI_1/2网络接口上收到DHCP CLIENT的IP地址请求后，根据所绑定的“GLOBAL-DHCPPOLICY-NET1”进行IP地址申请。

第一路由器的FEI_1/2接口上绑定的“GLOBAL-DHCPPOLICY-NET1”有两个策略项，所以，在DHCP请求匹配策略项的情况下，则将首先从优先级为10的策略项(即第二子网的策略项)中申请IP地址。如果不匹配此策略项，继续匹配优先级为20的策略项。当从匹配的优先级为10策略项(第二子网的策略项)中申请IP地址等参数成功，则向DHCP用户返回相应的参数。否则，继续匹配优先级为20的策略项(即第三子网的策略项)，并申请IP地址，如果不匹配此策略项，DHCP请求将被丢弃。当从匹配的优先级为20策略项(子网3的策略项)中申请IP地址等参数成功，则向DHCP用户返回相应的参数。否则，失败并丢弃相应的DHCP请求。

Claims (10)

1、一种基于全局地址池的DHCP池策略的创建方法，包括如下步骤：

(1)为宽带接入网络设备创建IP POOL地址池，所述IP POOL地址池为所述全局地址池；

(2)创建与所述IP POOL地址池对应的DHCP池，并将所述IP POOL地址池绑定到所述DHCP池；

(3)根据DHCP接入接口创建地址池管理策略，将所述DHCP池绑定到所述地址池管理策略；

(4)将所述地址池管理策略绑定到相应的DHCP接入接口。

2、根据权利要求1所述的基于全局地址池的DHCP池策略的创建方法，其特征在于，步骤(1)具体为：创建允许通过内置DHCP SERVER实现动态DHCP CLIENT接入的IP POOL地址池。

3、根据权利要求1所述的基于全局地址池的DHCP池策略的创建方法，其特征在于，步骤(2)中，在所述DHCP池中配置DHCP协议选项参数。

4、根据权利要求1所述的基于全局地址池的DHCP池策略的创建方法，其特征在于，步骤(3)中，所述地址池管理策略由按优先级顺序排列的策略项组成，每个策略项绑定不同的DHCP池。

5、根据权利要求1所述的基于全局地址池的DHCP池策略的创建方法，其特征在于，步骤(3)中，所述地址池管理策略包括VPN属性或者RELAY AGENT属性。

6、一种基于全局地址池的DHCP池策略的管理方法，步骤如下：

(1)从绑定了地址池管理策略的网络接口上收到IP地址请求后，根据该网络接口所绑定的地址池管理策略进行IP地址申请；

(2)按地址池管理策略的策略项的优先级进行策略项匹配；

(3)从匹配的策略项中所绑定的DHCP池所绑定的IP POOL地址池中请求相应的IP地址，所述IP POOL地址池为所述全局地址池；

(4)将申请的IP地址发送给DHCP网络用户。

7、根据权利要求6所示的基于全局地址池的DHCP池策略的管理方法，其特征在于，步骤(1)中，当接收DHCP用户的IP地址请求的接口没有绑定地址池管理策略时，丢弃该IP地址请求。

8、根据权利要求6所示的基于全局地址池的DHCP池策略的管理方法，其特征在于，步骤(2)中，按地址池管理策略的策略项的优先级高低顺序依次根据VPN属性或者RELAY AGENT属性进行策略项匹配。

9、根据权利要求6所示的基于全局地址池的DHCP池策略的管理方法，其特征在于，步骤(2)中，当DHCP请求不匹配地址池管理策略中的所有策略项，丢弃该DHCP请求。

10、根据权利要求6所示的基于全局地址池的DHCP池策略的管理方法，其特征在于，步骤(3)中，当从匹配的策略项中申请IP地址成功，则向DHCP用户返回相应的参数，否则失败，丢弃该DHCP请求。

Images