CN100583798C - 用于多域虚拟专用网络配置的方法和系统 - Google Patents

Abstract

提供了在多域通信系统(1)的每个域(10A-E)中的关于虚拟专用网络VPN的信息。通过将用于配置VPN的请求(31)同所提供的其它连接域的信息进行比较，发现匹配。随后基于匹配结果执行VPN配置。在一个实施例中借助于由域运营商之间的SLA所施加的限制将所提供的域VPN信息扩展到其它域。定期或者由外部事件触发执行VPN信息的扩展。在另一个实施例中，VPN配置请求被替代地扩展到不同的域。

Description

用于多域虚拟专用网络配置的方法和系统

技术领域

本发明通常涉及通信系统中的虚拟专用网络，并且尤其涉及在多域通信系统中的虚拟专用网络的配置。

背景技术

虚拟专用网络(VPN)利用公共或专用通信网络执行专用通信。传统地，想要建立广域网的公司或其它用户不得不在每个节点之间提供它自己的专用线路以便提供连接。然而，这样的解决方案通常是昂贵的并且不灵活的。近年来，VPN的概念迅速发展。VPN提供了一种解决方案，其中在许多用户之间共享通信网络，但是在其中每个用户的通信虚拟分离。VPN技术通常基于隧道(tunnelling)的观念。网络隧道涉及建立并维护逻辑网络连接。在这个连接上，分组被封装在一些其它基础或载波协议中。随后在VPN客户端和服务器之间发送它们，并且最终在接收侧解封装。验证和加密帮助提供安全。

有一种趋势是形成VPN的网络节点的数量增长迅速，这导致了大的复杂网络结构和拓扑。这种情况部分由于在VPN上的不断增长的业务量以及部分由于要求VPN覆盖越来越大的地理区域。目前提供具有在所有大陆上的节点的VPN的通信网络是存在的。然而，节点越多以及要发送的业务量越多，则VPN的配置就变得越复杂。

通常，根据在网络运营商和用户之间的协议来建立VPN。对节点的位置、服务的质量和其它条件达成协议，并且程序设计师在运营商处手动或通过咨询配置辅助工具来建立该配置。当具有越来越多的复杂通信网络时，这样的配置变得越来越复杂并且消耗时间。此外，当用户想要修改它的VPN时，不得不重复整个过程。

当在一个网络中建立VPN时，也可以使用不同的技术。每一技术都有它自己的优点和缺点以及它自己的配置VPN的方式。不存在一种独立于VPN技术的通用VPN结构。

发明内容

现有解决方案的普遍问题因而在于提供具有大的地理覆盖范围和/或具有大业务量的虚拟专用网络的通信网络变得很复杂。问题进一步在于新的VPN的配置或已经存在的VPN的修改变得复杂和耗费时间。问题还进一步在于覆盖较小地理区域的网络运营商的通信资源通常不能被用于广域的VPN。

因此本发明的一个总目标是改进用于配置VPN的方法以及提供适合于该方法的系统和装置。本发明的进一步目标是提供用于配置利用不止一个网络域的VPN的方法。本发明的另一个目标是提供用于配置基本上独立于所使用的实际VPN技术的VPN的方法。然而，本发明的进一步目标是提供一种用于自动配置VPN的方法。

通过本发明提供的方法和装置来实现上述目标。总之，提供关于域中VPN的信息。通过比较用于配置VPN的请求和其它连接域所提供的信息来发现匹配。随后基于匹配的结果来执行重配置。可以用不同的方式来执行域VPN信息的供给，例如以集中或分布方式来收集数据或者通过检索存储的数据。在特定实施例中分布的VPN控制节点位于域的边界节点。在特定实施例中从该域的边缘节点收集域VPN信息。通过从边缘节点被动地提取广播信息、通过请求来自边缘节点的域VPN信息或者其结合来执行。通过一个诸如VPN配置请求之类的外部事件来触发该收集。在一个实施例中，根据域运营商之间的SLA所施加的限制，所提供的域VPN信息被扩展到其它域。在另一个实施例中，VPN配置请求被替换地扩展到不同的域。因而可以在与原始请求域的不同距离的地方执行这种匹配。

本发明的一个重要优点是它提供了一个简单并稳定的平台，在其上不同域的控制器可以操作。可以获得域VPN信息来支持一个多域系统内基本上所有域中的VPN配置。然而，同时，在一个实施例中，实际的信息被扩展到由运营商之间的不同协议所限制的多域系统上。

附图说明

通过参考根据附图的下面的描述可以最佳地理解本发明以及其进一步的目标和优点，其中：

图1是提供虚拟专用网络的多域通信网络的示意图；

图2A是根据本发明一个实施例的VPN信息收集的示意图；

图2B-D是根据本发明其它实施例的VPN信息收集的示意图；

图3A-D是根据在一个域中本发明VPN控制节点配置的实施例；

图4是根据本发明一个实施例的VPN信息转发和连接请求的示意图；

图5是根据本发明另一个实施例的VPN信息转发和连接请求的示意图；

图6A是根据本发明的一个通用VPN控制节点的实施例的方框图；

图6B是根据本发明的一个VPN控制节点的另一个实施例的方框图；

图7是根据本发明一个实施例的VPN配置的示意图；

图8是说明根据本发明的一个方法实施例的主要步骤的流程图；

具体实施方式

在图1中说明了总的VPN提供者结构的一个实施例。在这个VPN提供者结构中当前存在五个VPN提供者域10A-E，它们通过域间数据连接12A-G相互连接。一个运营商可以控制这些域10A-E中的一个或多个，或者他们都受分离运营商的控制。域10A-E之间的关系，即域间数据连接12A-G的控制通常都根据所涉及的运营商之间的协议来管理，例如VPN服务级协议(SLA)。每一个VPN提供者域10A包括多个VPN边缘节点14和核心节点16，这些节点可以是为VPN所知的节点或者不为VPN所知的节点，用参考标记提供了仅仅几个。VPN边缘节点14一些这样的节点：通过该节点不同用户的用户站点20连接到结构1中不同VPN。VPN不知道的节点16只是一个域中的中间节点并且仅仅用来转发VPN边缘节点14之间的消息和数据。用户不会察觉到用于通信的VPN不知道的节点。重要的仅仅是开始和结束VPN边缘节点14。因而连接在一个域中的VPN可以通过在VPN边缘节点14之间的直线来表示，即使该实际的通信是经由一个或几个VPN不知道的节点16来进行的。在本公开内容的剩余部分中，由于根据本发明的基本程序步骤不直接取决于任何VPN不知道节点16的存在与否，因此VPN不知道节点的存在大都被忽视。然而在特定实施例中，VPN不知道节点16被用于提供实际连接是可能的。

通过VPN边界节点18，VPN提供者域10A-E在数据平面中连接，即，域间数据连接12A-G在VPN边界节点18中开始并结束。VPN边界节点18可以同时也可以充当VPN边缘节点14，或者不充当。用户站点20连接到VPN边缘节点14之一。相同用户的用户站点20随后通过VPN 22A-C连接穿过VPN提供者域10A-E。一个用户可以具有连接到不同VPN 22A-C的多个用户站点20。同样，不止一个用户站点20可以连接到相同VPN边缘节点14，但是其将不会意识到另一个用户站点20以及连接到该另一个用户站点20的VPN的存在。

在本发明中，示出了三个VPN 22A-C。然而，本领域内的技术人员将会意识到在真实系统中的VPN的数量通常更大。由虚折线所示的第一VPN 22A扩展到三个域10A、10C和10D并且连接在所有这些域中的用户站点20。由虚点线所示的第二VPN 22B扩展到本实施例的所有域10A-E中。最后，由点划线所示的第三VPN 22C连接仅在域10B中的用户站点20。每个用户站点20都不会意识到其它用户的用户站点20的存在以及除其所连接的这个VPN之外的任何VPN的存在。以此方式，保留了VPN的私密特性，尽管它们所有的都共享相同的基本通信资源。这就是本发明优选运行的环境。

现在，考虑到新的用户站点20′连接到域10E中的VPN边缘节点14′。如果该用户站点20′想要连接VPN 22B，由于VPN 22B已经存在于域10E中，那么该过程可能相对简单。可以使用根据现有技术的人工或自动VPN重配置过程以及两者的结合。然而，如果该新的用户站点20′想要连接到VPN 22A或22C，那么情况变得比较困难。在现有技术中，没有通用的域间VPN配置过程。

本发明的一个基本思想是基于三个局部动作。一个部分涉及提供域VPN信息，包括其最基本版本的VPN标识，这些标识是在相应域中可用的那些VPN的标识。另一个部分涉及搜索要与之连接的特定VPN。换句话说是在请求的VPN和所提供的域VPN信息之间寻找匹配。在一些实施例中，这个匹配过程包括转发域VPN信息或从其中所提取的信息到其它域。在其它实施例中，替换为在域间传送对某个VPN的请求。最后的部分涉及VPN的实际重配置。本发明基本上新的概念主要涉及前两个阶段。

图2A示出了初始阶段提供域VPN信息的一个实施例。每个VPN边缘节点14都存储了反映它自己当前的VPN配置的信息，该配置至少涉及哪些VPN已经连接了在特定VPN边缘节点14上的用户站点。在特定实施例中，VPN边缘节点14还具有关于哪些用户连接到该VPN边缘节点14的信息以及在当前VPN与用户站点20之间的关联关系的信息。在一些实施例中，提供诸如VPN地址空间以及地址类型(本地或者全球)、VPN服务质量级别之类的信息，该信息由诸如带宽、延迟和抖动和/或VPN建立时间之类的需求所指定，即使用隧道或过滤器。同样还包括诸如加密特性、透明度层特性、隧道特性和拓扑特性之类的信息。此外，VPN边界节点18存储关于其所属的VPN提供者域的标识的信息。

根据本发明的一个实施例，通过在相同域10A-E中的每个边界节点18来收集存储在每一个VPN边缘节点14中的域VPN信息或至少其一部分。正如图2A中箭头所示，其中一些用参考标记24来标识。以此方式，对于自己域的共同域节点信息可用在每个域10A-E的每个VPN边界节点18中。该通信的一个可替换方式是使用类似于BGP(边界网关协议)的通信协议，将该信息扩展到所有域中而不用任何关于何处需要该信息的特定指示。随后该边界节点拾取所有必需的信息。这是用于分发域VPN信息的推进(push)机制的一个实例。

图2B示出了用于提供域VPN信息的另一个实施例，现在集中到一个域10C中。如果该VON边界节点18已经存储了关于哪个边缘节点14存在于相同域10C中的信息，该VPN边界节点18可以简单地请求23任何VPN边缘节点14返回它的域节点信息24。在请求信息的最简单方式中，该请求本身可以是该VPN边缘节点14是否与某一VPN联系的问题，该请求例如被域互联12F接收。在该情况下确认消息将不包括任何如所述的信息，但是将隐含地传送在特定VPN边缘节点上的这个特定VPN的信息。这是用于分发域VPN信息的拉动(pull)机制的一个实例。

还可以用不同的定时来收集域节点信息。一个可替换的方式是连续地或者至少定期地收集诸如到边界节点的信息，以便确保总是更新可用的信息。在该实施例中，优选地信息被存储在边界节点或者任何其它节点中，在这些节点中信息可从边界节点中检索出来的，参见下面进一步所描述的实施例。另一个可替换方式是信息收集由某个事件触发。这个事件可以例如是来自边缘节点的广播消息，或者正如上面所述用于发现特定VPN的请求，该广播消息表示存在某种变化。如果所有的边缘节点具有关于哪个边界节点可用于该域中的知识，当这样的变化发生时该信息也可以被直接发送到所有的边界节点。如果对于信息的搜索是通过一个要求发现某个VPN的请求来触发的，所收集的信息可以被限制到那个VPN并且甚至不需要被存储用于后面的使用。

图2C说明了一个实施例，其中以集中方式收集域VPN信息。提供一个存储器54以便存储由不同的边缘节点14所提供的所有的域VPN信息24。任何使用这个域VPN信息的功能性都可以从中央存储器54中检索这个信息。

图2D示例了基于域VPN数据的集中收集的另一个实施例。这里，请求23或其它外部信号可以发起VPN数据24到存储器54的供应。这个请求23不需要一定来自存储器54本身。

作为在域节点之间收集域VPN信息的一个可替换方式，可以替代地通过从数据存储器中检索数据来提供域VPN信息。这个存储数据可以例如是根据上述过程的先前数据收集的结果，或者从其它地方提供。

在先前所述实施例中，通过边界节点或直接与其关联的节点来执行域内的数据供应。这样的情况同样在图3A中示出。这里，更详细地描述多域系统内的一个域10A。边界节点18负责通过数据连接12A和12B到和来自其它域的数据业务量。在这个特定实施例中边界节点18包括用于收集域VPN信息的装置41，其形式例如是边界节点18的处理器中的软件功能性。域VPN信息可以被存储在存储器54中。因而在这个特定实施例中，用于处理关于该域的域VPN信息的VPN控制节点43整体上被实施为在每一个边界节点18上的本地装置41的分布。

在图3B中，说明了另一个特定实施例。这里，边界节点18仍然包括涉及域VPN信息的功能性实体41。然而，在这个特定实施例中分布式的VPN控制节点43包括位于边界节点18中或与其连接的用于提供域VPN信息的装置41以及中央数据库54。在中央数据库54中，存储有被实际更新VPN信息以及优选地还存储历史VPN信息。

在图3C中，说明了另一个特定实施例。这里，VPN控制节点43被集中并且其包括用于提供域VPN信息的装置41以及基本上在相同位置上提供的中央数据库54。在特定实施例中，边界节点18仅仅用于处理在VPN控制节点和邻近域之间的通信45。在边界节点18中与控制信令(所述控制信令与实际数据量相关)有关的功能性，可以以这样的方式同样被用来发送涉及VPN配置的控制消息。

在图3D中，说明了具有VPN控制节点43的一个实施例，该控制节点实际上与系统中的边界节点分离。在该实施例中该VPN控制节点43通过专用VPN控制信号连接47连接到其它域中的VPN控制节点，建立它自己的高层网络。

在本发明的一个特定实施例中，所提供的域VPN信息可以在系统内转发，即在不同的域之间。这在图4中示出了。第一步是提供在每一域内的VPN信息。这是由在每一个域中的VPN控制节点43来执行的。然而，VPN控制节点43的配置在不同域之间也不同。在图4中示出了域10A具有类似于在图3A中所示的实例的VPN控制节点43，域10C具有类似于在图3B中所示的实例的VPN控制节点43，以及域10B、10D和10E具有类似于在图3C中所示的实例的VPN控制节点43。根据管理在不同域之间的业务量的每一个SLA，在这个实施例中，在每一VPN控制节点43中的可用域VPN信息的至少一部分被传送到邻近域中的反作用(counteracting)VPN控制节点。箭头28说明了信息的域间传送。该SLA可以包括关于有多少可用信息应该为相邻域可用的协议。整个来说，该VPN控制节点将可用的域内VPN信息处理为适合于转发到邻近域的编译的或处理的VPN信息。如果所述域紧密相关，例如属于同一运营商，SLA可以占用在交换域PVN信息时的整个透明度。在其它例子中，在VPN控制节点43之间传送的该处理的信息28可以是编译的VPN信息，其仅仅揭示了关于该独立的域VPN的很基本的事实。在本实施例中不得不在域间连接12A-G上发送的最小信息是VPN的标识，该VPN在发送该信息的边界节点之外的某处可用。

在域间连接12A-G上发送的信息28引起在该接收VPN控制节点上的整个可用VPN信息位置的更新。这个VPN控制节点现在还具有诸如通过域间连接可用的VPN的信息。如果更全的信息可用，那么该VPN控制节点还可以确定诸如可获得这些不同VPN的边缘节点标识、业务的VPN质量等。因此所获得的VPN信息现在是邻近域的特性，并且如果SLA允许的话可以用于那个域中的动作。存储在VPN控制节点43的存储器54中的信息可以与从邻近域接收的信息或者其处理版本一致，增加、删除、或修改所接收的信息。例如，该信息可以被标上其从哪个域发起的指示。

这个信息分布可以以许多连续的步骤进行，在某些情况下在转发到另一个域之前进一步修改该信息，与首次传送时类似。最终，在整个VPN提供者结构1中的所有VPN控制节点具有可用在系统中的所有域VPN信息的至少一个处理版本。在每一个VPN控制节点，根据SLA来处理该信息，其中该SLA对于要使用的相关联的域间连接来说是有效的。

在一个可替换的实施例中，可以以广播推进方式来执行在域之间的信息分配。然后该域VPN信息被直接发送到在整个系统的其它域中的一个、几个或所有其它的VPN控制节点。这意味着不像其它实施例中一样以链的方式转发该域VPN信息，而是仅仅通过该系统广播。可以通过域SLA来管理这种直接请求转发的可用性。

用不同的定时来执行域VPN信息的交换。一个可替换方式是持续或至少定期地交换这样的信息以便确保该可用信息总是得到更新。在这样的实施例中，该信息被优选地存储在VPN控制节点或任何其它节点中，其中通过VPN控制节点可以检索出它。换句话说，这个替换方式是用于数据分配的典型的推进机制。

另一个可替换方式是通过某个事件来触发该信息的交换。这个事件例如是已经在域中发生某种变换或者正如下面所述的发出了用于发现特定VPN的请求。换句话说，这个可替换方式可以描述为用于数据分配的触发的推进机制。

在通过发现某个VPN的请求来触发信息交换的情况中，所交换的信息可以被限制为那个VPN并且甚至不需要被存储用于后面的使用。这是用于数据分配的拉动机制的一个实例。

现在，考虑新的用户站点20′到想要连接到某个VPN的边缘节点14′的连接。在一个特定实施例中，该连接将发起“即插即用”过程，该过程将自动发现合适的VPN并且至少建议如何安排该改变的VPN配置。该控制节点43确认连接了一个新的用户站点20′并调查其打算到哪个VPN。

当VPN控制节点43发起VPN连接请求时，它比较被请求的VPN和所存储的关于在其域间连接中可用的VPN的信息。如果存在匹配，那么关于匹配存在的信息以及同时优选的关于该VPN存在于哪个域中的信息和关于该VPN通过哪个域间连接可达到的信息是可获得的。在一个实施例中，将到达连接到被请求VPN的边缘节点的路径(如果可用)返回到请求的VPN控制节点。在图4中，所述被请求的VPN是图1中的VPN 22A。域10E的VPN控制节点43具有关于根据两个不同路径经由边界节点18:1 VPN 22A是可获得的信息。一个到达VPN22A的可替换方式是通过域间连接12D穿过域10B并且通过域间连接12A。随后该VPN 22A存在于域10A中。到达VPN 22A的另一个可替换方式是通过域间连接12D穿过域10B并且通过域间连接12C。随后该VPN 22A存在于域10C内。然而，域10E的VPN控制节点43也具有关于VPN 22A经由另一个边界节点18的信息。这里，通过域间连接12E所述被请求的VPN 22A是可到达的，因为在域10C内VPN 22A是可用的。最后，由于在域10D中VPN 22A也是可用的，因此通过域间连接12G所述被请求的VPN 22A是可到达的。

该VPN控制节点43具有用于发现所述被请求的VPN的所有必需的信息。在这个实例中，通过域间连接12E的路由使用起来似乎最简单，但是例如可获得的服务质量级别可能改变这些判断。

在这个特定实施例中，所提供的域VPN信息被扩展到整个系统1的所有VPN控制节点43上。如此，用于发现合适VPN的请求被直接移动到“归属”域的VPN控制节点43上。正如之前所指示的那样，持续、定期或者甚至是由该请求本身触发地执行VPN信息的供给和交换。

在图5中示出了本发明的另一个特定实施例。这里，正如之前所述执行初始域内VPN信息供给。然而在这个特定实施例中，该域VPN信息不被提供到任何邻近域，甚至也不以处理的形式提供。这意味着该VPN控制节点43现在仅仅具有关于它自己域VPN的信息。当该VPN控制节点43发起它自己域10E的VPN控制节点43的连接请求时，它仅仅具有在它自己的数据库中可容易地获得的、关于自己域中的VPN的信息。然而，该VPN控制节点43知道它连接到哪个域以及替换地通过域间连接12A-G转发该请求到邻近域。这由箭头32所示。通过域间连接接收这种请求的VPN控制节点43查询它自己的数据库，以便查看是否存在感兴趣的任何数据。如果不存在，那么将发生通过域间连接的新的转发，直到获得关于所述被请求的VPN的信息。随后这个信息将被返回到原始域10E的VPN控制节点。

这个特定实施例具有在每一单个VPN控制节点43中不必更新整个系统1的优点。然而，替换为发现该VPN将会稍微更复杂。

在一个可替换实施例中，该VPN连接请求被直接发送到在整个系统的其它域中的其它VPN控制节点中的一个、几个或所有，不局限于邻近域。这意味着不是象其它实施例那样以链状形式发送该请求，而是仅仅通过该系统进行广播。这种直接请求转发的可用性可以由域SLA来管理。

图6A示出了根据本发明的相对常用的VPN控制节点43的特定实施例的框图。该VPN控制节点43包括用于提供域VPN信息的装置52。这个信息通过连接62由域中的其它节点提供。提供一个主控制通信接口40用来与其它域通信。这个接口40可以被配置与域内连接62结合在一起。提供了一个用来调查被请求的VPN的标识是否与域VPN信息匹配的匹配单元49。可以从另一个域、自身域的另一个节点接收该VPN请求，或者可以在该VPN控制节点内发起VPN连接请求。一个外部VPN处理部分44负责处理域间VPN配置。一个内部VPN处理部分41具有用于配置在自身域内的内部连接的功能。

图6B示出了根据本发明的VPN控制节点43的另一个特定实施例的框图。关于自身域的域VPN信息由内部VPN处理部分41提供。在这个特定实施例中该内部域VPN信息被存储在数据存储器52中。在这个特定实施例中，正如箭头62所示，通过与域内的其它节点通信来提供该信息。在其它实施例中，可以用其它方式来获得这个信息。该内部域VPN信息也可以被转发到在外部VPN处理部分44中的整个VPN信息数据库54。该内部VPN处理部分41也包括内部配置机46，其具有用于配置自身域内的内部连接的功能。该内部VPN处理部分41被提供有内部域VPN信息，以及来自数据库54的信息。因而通过在内部VPN处理部分41和外部VPN处理部分44之间的连接42来执行涉及内部域事务的通信。

该VPN控制节点43具有通过域间连接与其它域的主控制通信接口40。通过该接口40接收来自其它域的域VPN信息，并且输入处理单元56从所接收的数据中提取有用的信息并将这个外部信息存储在输入数据库58中。在这个输入数据库58中，还存储例如从哪个域接收该外部数据的额外信息。该输入数据库58在合适的时候更新整个VPN信息数据库54。该外部VPN处理部分44也包括一个外部配置机60，其具有用于配置与该域相关的部分域间连接的功能。下面将会更详细的描述该功能。

该外部VPN处理部分44也给其它域提供信息。从数据库54中提供域与自身域和/或其它域相关的域VPN信息并且将其提供给输出数据处理单元50。根据与不同邻近域相关的SLA来处理所提取的信息并将其存储在输出数据库48中。因而该SLA确定什么信息允许被扩展到不同的邻近域中。具有紧密关系的域运营商允许更透明的信息交换，而属于不相关运营商的域应用更受限制的信息交换。在合适的时候，在接口40上发送关于VPN的信息。

提供了一个用于调查被请求的VPN的标识是否与域VPN信息匹配的匹配单元49。可以从另一域、自身域的另一节点接收该VPN请求，或者可以在该VPN控制节点自身内发起VPN连接请求。当在被请求的VPN和该VPN控制节点的VPN信息之间达到匹配时，执行域间VPN的重配置。可以用许多不同的方式使用任何现有技术中已知的常用程序来执行该过程。下面将描述一个示例的实施方式，其假定所有的VPN信息被扩展到整个系统，即与图4中所示的类似。

在匹配了用户的VPN连接请求之后，假定在所有域中的所有VPN控制节点都具有一个有关在系统中的何处找到VPN的VPN数据库。在每一个域数据库中，存在域中没有的每一VPN ID的“下一跳”信息，其指出了能够发现这个VPN ID的邻近域ID。在该邻近域中，存在已经配置用于这个VPN ID的VPN或者什么地方能够发现这个VPN ID的新的“下一跳”信息。因而域中不同的数据库可以被解释为“VPN路由表”，其示出了如何发现到已经配置的VPN的路线。对于每一“下一跳”信息来说存在相关的不同策略规则。依靠该策略规则，每一个域中的VPN控制节点可以选择建立到一个或几个“下一跳”域的VPN连接。

例如，在图7中所示，展示了如何自动配置域间VPN。在域10E中的新的用户站点20′将被连接到VPN 22A。假定VPN隧道被用于域内部和域之间的VPN连接。采取下面的步骤。

在域10E中的VPN控制节点以某种方式从连接到VPN 22A的用户获得请求。由于域10E的VPN数据库显示VPN 22A不存在于域10E中，因此在域10E中的该VPN控制节点不能将用户站点20′直接连接到域10E内部的VPN 22A上。然而，在连接请求和源自其它域的VPN信息之间发现匹配。该数据库显示在目前配置的并运行在域10A、10C和10D中的“下一跳”10B、10C和10D上可以发现VPN 22A。

在域10E中的该VPN控制节点选择仅仅通过“下一跳”10B建立VPN。它为VPN 22A建立了从连接用户站点20′的边缘节点14′到边界节点18:1的VPN隧道71，所述边界节点18:1通过链路12D连接到域10B。在域10E中的该VPN控制节点发起与域10B中的VPN控制节点的通信，并为VPN 22A建立通过链路12D到边界节点18:2的VPN隧道。由于VPN 22A不存在于域10B中，因此在域10B中的该VPN控制节点检查它的VPN数据库并看见可以在“下一跳”10A和10C发现VPN 22A。

在域10B中的该VPN控制节点选择仅仅通过“下一跳”10A建立该VPN。它为VPN 22A建立从边界节点18:2到边界节点18:3的VPN过渡隧道73，所述边界节点18:2通过链路12D连接到域10B，所述边界节点18:3通过链路12A连接到域10A。在域10B中的该VPN控制节点发起与域10A中的控制节点的通信并建立通过链路12A到边界节点18:4的VPN隧道74。由于VPN 22A存在于域10A中，因此域10A中的控制节点可以建立从通过链路12A连接到域10B的边界节点起到连接到VPN 22A的边界节点18:5的内部隧道75。

在每一步骤之后，更新的VPN数据库可用于下一轮的VPN信息收集。

在图8中示出了根据本发明的方法实施例的基本步骤。该过程开始于步骤200。在步骤210，发起连接请求。这个请求涉及将第一域中的第一边缘节点连接到在第一域中目前不可用的VPN。在步骤212中，收集域节点信息。在步骤214中，第一VPN的标识与所收集的节点信息的VPN标识进行匹配。在步骤216中，基于匹配步骤的结果，第一VPN被配置来包括第一边缘节点。该过程在步骤299结束。

上面描述的实施例可以被理解为本发明的少数说明性的实例。本领域内的技术人员将会理解可以对这些实施例进行各种修改、组合和改变，而不脱离本发明的范围。尤其是，在不同实施例的不同部分解决方案中可以被结合在其它配置中，只要在技术上是可能的。尤其是，可以应用任何拉动/推进、域间/域内、广播/邻近通信和信息/请求。然而，本发明的范围是由附加的权利要求来定义的。

Claims (51)

1.一种用于配置在通信网络(1)内的多域虚拟专用网络(22A-C)VPN的方法，该通信网络(1)具有至少两个相互连接的域(10A-E)，并且用户连接到在至少两个域(10A-E)的边缘节点(14；14′)上的VPN(22A-C)，该方法包括步骤：

发起连接请求以用于将第一域(10E)中的第一边缘节点(14′)连接到在第一域(10E)中当前不可用的第一VPN(22A)；

提供(24；62)在至少两个相互连接的域之内的域VPN信息，其中所述域VPN信息涉及跨所述至少两个域(10A-E)的VPN；

该域VPN信息至少包括在各自域中可用的VPN的VPN标识；

将第一VPN(22A)的标识与至少两个域中不同于第一域(10E)的第二域的VPN标识进行匹配；和

基于匹配步骤的结果配置第一VPN(22A)，以包括第一边缘节点(14′)。

2.根据权利要求1的方法，其特征在于匹配的步骤依次包括步骤：

从第一域(10E)发送(32)关于存在第一VPN(22A)的信息请求到邻近域(10B-D)；和

将信息请求和在一个不同于第一域(10E)的域中所提供的域VPN信息进行比较。

3.根据权利要求1的方法，其特征在于匹配的步骤依次包括步骤：

从第一域(10E)发送(32)关于第一VPN存在的信息请求到一个、几个或所有的域(10B-D)，其中一个、几个或所有的域(10B-D)不同于所述第一域(10E)；和

比较信息请求和在一个不同于第一域(10E)的域中所提供的域VPN信息。

4.根据权利要求2或3的方法，其特征在于匹配的步骤还包括如下步骤：

如果发现匹配返回一个确认到第一域(10E)。

5.根据权利要求2的方法，其特征在于匹配的步骤进一步包括步骤：

如果没有发现匹配则转发关于存在第一VPN的信息请求到其它的邻近域。

6.根据权利要求4的方法，其特征在于该确认包括表示下面至少之一的数据：

第一VPN(22A)在其中可用的域的域ID；

第一VPN(22A)在其中可用的边缘节点(14)的边缘节点ID；

关于必须经过哪些域以到达第一VPN(22A)在其中可用的域的信息；和

到第一VPN(22A)在其中可用的边缘节点的路由信息。

7.根据权利要求1的方法，其特征在于匹配的步骤依次包括步骤：

将域VPN信息处理为包括至少一个VPN标识的处理的VPN信息；

在邻近域之间传送(28)该处理的VPN信息；

比较第一VPN(22A)的标识与该传送的处理的VPN信息。

8.根据权利要求1的方法，其特征在于匹配的步骤依次包括步骤：

将域VPN信息处理为包括至少一个VPN标识的处理的VPN信息；

传送(28)该处理的VPN信息到一个、几个或所有的域，其中一个、几个或所有的域(10B-D)不同于所述第一域(10E)；

比较第一VPN(22A)的标识与所述被传送的处理的VPN信息。

9.根据权利要求7或8的方法，其特征在于匹配的步骤还包括在比较步骤之前进一步处理所述被传送的处理的VPN信息。

10.根据权利要求7的方法，其特征在于要被传送到其它域的该处理的VPN信息还包括从邻近域接收的被处理的VPN信息。

11.根据权利要求10的方法，其特征在于处理的步骤还包括增加从其它域传送的关于该处理的VPN信息的传送信息或从其它域中获取的信息。

12.根据权利要求7的方法，其特征在于该处理的VPN信息另外包括至少下面之一：

不同的VPN(22A-C)在其中可用的域(10A-E)的域I D；

不同的VPN(22A-C)在其上可用的边缘节点(14，14′)的边缘节点I D；

关于必须通过哪些域以到达不同VPN(22A-C)在其中可用的域(10A-E)的信息；和

不同的VPN(22A-C)在其上可用的边缘节点(14，14′)的路由信息。

13.根据权利要求7的方法，其特征在于定期执行处理的VPN信息的传送步骤。

14.根据权利要求7的方法，其特征在于响应域VPN信息的变化来执行处理的VPN信息的传送步骤。

15.根据权利要求7的方法，其特征在于响应连接请求来执行处理的VPN信息的传送步骤。

16.根据权利要求1的方法，其特征在于域VPN信息进一步包括连接到各个边缘节点(14，14′)和相关VPN(22A-C)的用户的用户标识。

17.根据权利要求1的方法，其特征在于域VPN信息进一步包括VPN(22A-C)的特性。

18.根据权利要求17的方法，其特征在于VPN的特性至少包括下面其中之一：

业务质量特性；

加密特性；

透明层特性；

隧道特性；和

拓扑特性。

19.根据权利要求1的方法，其特征在于提供域VPN信息的步骤还包括从同一域内的边缘节点中收集域VPN数据。

20.根据权利要求19的方法，其特征在于在至少一个域中以集中方式来执行域VPN数据的收集。

21.根据权利要求19的方法，其特征在于在至少一个域中以分布方式来执行域VPN数据的收集。

22.根据权利要求19的方法，其特征在于通过推进机制来执行域VPN数据的收集。

23.根据权利要求19的方法，其特征在于通过拉动机制来执行域VPN数据的收集。

24.一种通信网络(1)，包括：

通过边界节点(18)之间的连接(12A-G)互连的至少两个网络域(10A-E)；

用于在该通信网络(1)内操作虚拟专用网(22A-C)VPN的装置；

通过该VPN(22A-C)连接的边缘节点(14，14′)，由此VPN(22A-C)的用户站点(20)被连接到边缘节点(14，14′)；

用于发起一个连接请求的装置，其中该请求用于将第一域(10E)中的第一边缘节点(14′)连接到在第一域(10E)中当前不可用的第一VPN(22A)；

在至少两个网络域(10A-E)的每一个中的VPN控制节点(43)，其中网络域包括用于提供域VPN信息的装置(41)；

该域VPN信息至少包括在各自域(10A-E)中可用的VPN的VPN标识；

用于将第一VPN的标识和至少两个域(10A-E)中不同于第一域(10E)的第二域(10A-D)的VPN标识进行匹配的装置；和

用于基于匹配装置的输出来配置第一VPN(22A)包括第一边缘节点(14′)的装置。

25.根据权利要求24的通信网络，其特征在于所述VPN控制节点(43)在至少一个域(10A-E)中是一个集中式节点。

26.根据权利要求24或25的通信网络，其特征在于所述VPN控制节点(43)在至少一个域(10A-E)中是一个分布式节点。

27.根据权利要求26的通信网络，其特征在于所述分布式VPN控制节点(43)的至少一部分被逻辑连接到边界节点(18)，由此经由该边界节点(18)来进行在所述分布式VPN控制节点(43)与通过该边界节点(18)连接的域之间的通信。

28.根据权利要求24的通信网络，其特征在于所述VPN控制节点(43)包括用于VPN信息的存储器(54)。

29.根据权利要求24的通信网络，其特征在于用于匹配的装置被分布在所有的域(10A-E)中，所述用于匹配的装置包括：

用于发送关于特定VPN存在的信息请求到邻近域以及用于从邻近域接收所述信息请求的请求处理装置；和

用于将接收的信息请求和所提供的它自己域的域VPN信息进行比较的装置；

而该请求处理装置进一步被配置用来在发现匹配时返回确认。

30.根据权利要求24的通信网络，其特征在于用于匹配的装置被分布在所有的域(10A-E)中，所述用于匹配的装置包括：

用于发送关于特定VPN存在的信息请求到一个、几个或所有域的以及从一个、几个或所有域接收该信息请求的请求处理装置，其中一个、几个或所有的域(10B-D)不同于所述第一域(10E)；和

用于将接收的信息请求与所提供的它自己域的域VPN信息进行比较的装置；

而该请求处理装置进一步被配置用来在发现匹配时返回确认。

31.根据权利要求29的通信网络，其特征在于所述请求处理装置进一步被配置为如果没有发现匹配则转发信息请求到另一个邻近域。

32.根据权利要求24的通信网络，其特征在于所述VPN控制节点包括：

用于将域VPN信息处理为处理的VPN信息的第一处理器(50)，所述第一处理器连接到存储器(54)；和

用于将该处理的VPN信息传送到其它域的装置，所述装置与第一处理器(50)连接。

33.根据权利要求32的通信网络，其特征在于所述VPN控制节点(43)进一步包括：

用于从其它域接收处理的VPN信息的装置；

用于处理所接收的处理的VPN信息的第二处理器(56)，其连接到用于接收的装置和存储器(54)，

而所接收的处理的VPN信息被存储在存储器(54)中。

34.根据权利要求24的通信网络，其特征在于在一个网络域(10A-E)中的所述VPN控制节点(43)包括用于从同一域中的边缘节点收集域VPN信息的装置(41)。

35.一种在通信网络(1)的第一域中的VPN控制节点(43)，其中通信网络具有至少两个域(10A-E)并且支持多域虚拟专用网络(22A-C)VPN，用户被连接到至少两个域(10A-E)的边缘节点(14，14′)上的VPN(22A-C)，该VPN控制节点(43)包括：

用于提供所述至少两个域中的域VPN信息的装置(52，62)；

该域VPN信息至少包括在第一域中可用的VPN的VPN标识；和

用于把被请求的所述第一域中当前不可用的第一VPN的标识与上述VPN标识进行匹配的装置，其中所请求的第一VPN被请求连接到第一域中的第一边缘节点。

36.根据权利要求35的VPN控制节点，其特征在于进一步包括用于在第一域内进行VPN连接的配置机(46)。

37.根据权利要求35或36的VPN控制节点，其特征在于进一步包括用于涉及第一域的域间VPN连接的配置机(60)。

38.根据权利要求35的VPN控制节点，其特征在于该控制节点(43)是集中式的节点。

39.根据权利要求38的VPN控制节点，其特征在于还包括用于通过边界节点与其它域中的VPN控制节点通信的装置。

40.根据权利要求38的VPN控制节点，其特征在于还包括用于通过专用VPN控制信号连接(47)与其它域中的VPN控制节点通信的装置。

41.根据权利要求35的VPN控制节点，其特征在于该控制节点(43)是分布式节点。

42.根据权利要求41的VPN控制节点，其特征在于所述分布式控制节点(43)与边界节点(28)逻辑连接，通过该连接与邻近域发生数据通信。

43.根据权利要求35的控制节点，其特征在于所述控制节点(43)包括用于VPN信息的存储器(54)。

44.根据权利要求43的控制节点，其特征在于用于VPN信息的存储器(54)是集中式的。

45.根据权利要求43的控制节点，其特征在于用于VPN信息的存储器(54)是分布式的。

46.根据权利要求35的VPN控制节点，其特征在于还包括用于传送和接收的装置，所述用于传送和接收的装置将域VPN信息传送到其它域以及从其它域接收该信息。

47.根据权利要求35的VPN控制节点，其特征在于还包括用于接收VPN请求的装置，而用于把被请求的第一VPN的标识与所述VPN标识进行匹配的装置包括用于在发现匹配时发送确认的装置。

48.根据权利要求47的VPN控制节点，其特征在于还包括用于转发VPN请求的装置，其中如果匹配装置没有发现匹配，则用于转发VPN请求的装置转发VPN请求到其它域。

49.根据权利要求35的控制节点，其特征在于还包括收集域VPN信息的装置(41)，其中所述用于收集域VPN信息的装置(41)从同一域中的边缘节点收集域VPN信息。

50.根据权利要求49的控制节点，其特征在于用于收集域VPN信息的装置被配置来根据推进机制操作。

51.根据权利要求49的控制节点，其特征在于用于收集域VPN信息的装置被配置来根据拉动机制操作。

Images