CN101001264B - L1vpn地址分配的方法、装置、网络边沿设备和编址服务器 - Google Patents

Abstract

本发明涉及一种L1VPN地址分配的方法、装置和编址服务器，该方法包括：获取网络边沿设备上请求加入VPN系统的端口编号和网络地址，并根获取的端口编号和网络地址生成相应的网络边沿设备端口标识。利用该方法可实现L1VPN地址的自动分配，提高效率。

Description

L1VPN地址分配的方法、装置、网络边沿设备和编址服务器

技术领域

本发明涉及网络通信技术领域，尤其涉及一种L1 VPN地址分配的方法、装置、网络边沿设备和编址服务器。 

背景技术

虚拟专用网(Virtual Private Network，VPN)是在公众网络上所建立的虚拟的专用网络，它具有与专用网络同样卓越的安全性、可靠性和易管理性。VPN替代了传统的拨号访问，利用因特网(Internet)公众网或者运营商网络资源作为企业专用网络的延续，节省昂贵的专线租用费用，同时VPN可以使用隧道协议、身份验证和数据加密等技术保证通信的安全性，受到企业用户的欢迎。 

根据客户网络边沿设备感知VPN业务所处的网络层次，VPN可分为三层：L1 VPN、L2 VPN和L3 VPN。L1VPN(Layer1 VPN)，也称为光虚拟专用网(OVPN)是光网络向ASON转型过程中出现的新业务应用，其在传输层给用户提供VPN业务。相对于L2 VPN和L3 VPN来说，L1 VPN是以电路交换为基础的，具有严格的安全和QoS保证。 

L1 VPN网络通常由客户网络边沿(Customer Edge，CE)设备、运营商网络边沿(Provider Edge，PE)设备和运营商网络(Provider，P)设备构成。其中，CE设备是客户边缘节点，是在同一个站点的VPN客户端点的出/入口；PE设备是一个传送网络的边缘节点，作为传送网络负责向客户提供L1 VPN服务的边缘设备，一个PE设备至少与一个CE设备相连，并且至少和另外一个传送网络设备(PE或者P设备)相连。P设备是一个传送网 络内部的传送设备，P设备和传送网络内部其它的传送设备相连，但不直接和CE设备相连。 

为了对VPN进行成员管理，自动发现，业务创建，配置及维护管理，需要对L1 VPN进行编址以标识每一个设备的端口。同时，为了使GMPLS能在运营商网络(包括一个或多个运营商)内进行路径的建立，维护和删除，需要保证：在运营商网络内PE设备及其端口的编址必须唯一，即在运营商网络内的地址域只有一个；对CE来说，每个VPN在自己独立的地址域中的地址可以重叠，也可和运营商地址域内的地址重叠，CE侧独立可重叠的编址给VPN地址空间的维护和可扩展性带来了便利。 

现有的一种解决方案是，对于静态的VPN成员，在用户指定某几个CE的端口组成一个VPN的成员时，通过人工指定VPN中的各地址。采用这种方法主要的缺点是人工指定效率较低，且配置容易出错。 

现有另一种解决方案是，静态的VPN成员向VPN服务器请求地址分配，VPN服务器利用DHCP或静态配置生成的IP地址池，为请求方分配地址。由于CE、PE侧的端口可能很多，采用这种方法在无法预知用户量和用户运行状况的情况下需要预先生成一定数量的IP地址池，占用了大量的IP资源；同时由于所有设备的所有端口的地址分配都要通过服务器分配，该方式分配效率较低下，不能满足这种情况下快速创建连接的需要，特别是对于CE动态加入的情况，例如VideoConference场景。 

发明内容

鉴于上述现有技术所存在的问题，本发明实施例提供一种L1 VPN地址分配的方法、装置、网络边沿设备和编址服务器。 

本发明实施给出了如下技术方案的： 

本发明实施例提供了一种L1VPN地址分配的方法，应用于包括客户端网络边沿设备、运营商网络边沿设备的VPN系统，包括： 

所述编址服务器获取网络边沿设备上请求加入VPN系统的端口编号和所述网络边沿设备的网络地址；所述编址服务器根据获取的端口编号和网络地址为所述网络边沿设备分配并返回相应的网络边沿设备端口标识；所述编址服务器给CE和PE进行集中编址，所述编址服务器包含自动编址装置，所述自动编址装置采用一元组形式的编址方式；其中： 

所述编址服务器获取网络边沿设备的网络地址后，所述方法还包括：根据获得的网络地址为同属一个VPN网络的网络边沿设备生成自动分配地址的动态区间，所述地址动态区间包括：客户网络端口标识CPI，运营商网络端口标识PPI和VPN网络内运营商网络端口标识VPN-PPI； 

所述编址服务器为所述网络边沿设备分配网络边沿设备端口标识包括：所述编址服务器获取网络边沿设备的端口编号，根据所述端口编号，从所述地址动态区间中选择不重合的网络边沿设备端口标识给所述网络边沿设备。 

由上述本发明提供的技术方案可以看出：在网络边沿设备本端进行编址，不需要人为干预，实现地址自动分配，能够满足大量端口地址分配，效率高而且可以有效节约网络资源；在编址服务器上对编址集中分配管理，不需要人为干预，实现地址自动分配，能够满足大量端口地址分配，通过动态调整有利于资源统一分配。 

附图说明

图1为本发明实施例提供的L1VPN端口地址分配的方法流程图； 

图2为本发明实施例的L1VPN网络示意图； 

图3为本发明实施例的CE或PE的编址信令流程图； 

图4为本发明实施例的VPN-PPI地址分配流程图； 

图5为本发明实施例的编址服务器的信令流程图。 

具体实施方式

本发明实施例提供了一种L1 VPN地址分配的方法、装置、网络边沿设备和编址服务器，本发明实施例的实质是，基于网络边沿设备的端口和网络边沿设备的网络地址分配对应的端口标识。 

下面结合附图，列举实例说明本发明方案的具体实施方式。 

参阅图1是本发明实施例实现L1 VPN端口地址分配的方法流程图。 

S101、获取网络边沿设备的端口的端口编号； 

S102、获得网络边沿设备的网络地址； 

S103、根据获得的端口编号和网络地址分配对应的端口标识。 

图2所示为L1 VPN网络示意图。该L1 VPN系统包括：客户网络边沿设备CE1～CE6，和运营商网络边沿设备PE1～PE3，编址服务器，可能还包括一个和多个传送网络内部的传送设备P。 

其中，CE可以是SDH设备，或者以太网交换机，路由器等网络设备。VPN编址服务器可以为专门的服务器，也可和运营支撑系统(OperationSupport System，OSS)、网络管理系统(Network Management System、NMS)、目录服务器等集成在一起，或者是网络中的一台设备。 

L1 VPN是基于端口的VPN，故VPN的地址分配即是为CE、PE在VPN中的端口分配地址。因此，根据图2所示的系统示意图，端口201～214都会分配到相应的端口标识作为地址。其中，CE上的端口将分配到客户网络端口标识(Customer Port Identifier，CPI)，PE上的端口将分配到运营商网络端口标识(Provider Port Identifier，PPI)和VPN中运营商网络端口标识(VPN-PPI)的分配。其中，运营商网络端口标识PPI可以在运营商网络地址域内公开，但为了安全不能让用户知道运营商网络的真实地址；VPN中运营商网络 端口标识VPN-PPI不会把运营商内部的地址暴露给用户，客户看不到运营商网络的真实地址，但网络侧可以通过VPN-PPI知道PPI，从而获得CE～PE链路的属性。对于这三种类型的地址，总的原则是要求PPI在整个运营商网络中唯一，以便GMPLS能在一个或多个运营商网络内进行路径的建立、维护和删除；CPI、VPN-PPI只要在某个VPN中唯一，而在不同的VPN中可以重叠，这可为VPN地址空间的维护和可扩展性带来便利。 

本发明的实施例中，CPI、PPI和VPN-PPI的编址形式包括一元组地址和二元组地址：其中一元组地址可以是IPv4，IPv6或其它编址方式；二元组地址由IP地址和端口索引或端口编号(表示该端口在设备所有端口中的编号)构成，其中IP地址可以为IPv4，IPv6或其它编址方式。 

参见图3，图3所示CE/PE的编址信令流程图。 

首先，用户或网管指定CE上的某些端口组成VPN后，将分配给该VPN一个VPN-ID，VPN-ID可采用手动分配或自动分配的方法。该VPN-ID信息将保存在VPN编址服务器上，同时，CE、PE设备上也保存了VPN-ID和端口的对应关系信息。这个步骤主要是用于VPN组网或网路配置初始化。 

当用户通过CE的某端口请求加入VPN时的流程包括： 

S301、CE和PE发现端口加入VPN； 

这里的发现机制可以采用控制层的自动发现机制。 

S302、CE向编址服务器上报IP地址； 

S303、通过发现机制，与CE相连的PE也向编址服务器上报IP地址； 

S304、编址服务器根据已有的VPN网络或新生成VPN网络，为CE返回VPN ID； 

S305、编址服务器根据为PE返回与CE相应的VPN ID； 

S306、编址服务器保存PE的IP地址和CE的IP地址的对应关系； 

VPN编址服务器接收并保存CE和/或PE上报的IP地址，最终VPN编址服务器上保存了<CE的IP地址，与CE相连的PE的IP地址>的二元组信息。 

S307、CE向编址服务器请求分配地址；进入步骤S309； 

S308、PE向编址服务器请求分配地址； 

S309、执行编址流程。 

其中，CE上报IP地址和PE上包IP地址没有严格先后顺序；同样编址服务器返回VPN ID也没有严格先后顺序。同样，CE请求分配地址和PE请求分配地址也没有严格先后顺序。 

其中，请求分配地址中携带VPN ID和请求分配地址的端口编号。 

步骤309提供的编址流程包括多种情况，下面举例说明。 

第一种情况是CE和PE都是支持自动编址的网络边沿设备，其中CE和PE上的地址分配代理包含有能够自动编址的编址模块。例如，在CE和PE上采用二元组编址方式进行编址，则CE上的编址流程包括如下步骤： 

CE上的地址分配代理确定是否需要对该端口进行CPI编址，如果需要则获取该端口的端口编号，且读取获得的本CE的IP地址； 

CE上的地址分配代理根据该端口编号和IP地址进行CPI编址； 

CE上的地址分配代理和PE上的地址分配代理分别将各自所编的地址发送给VPN编址服务器进行保存。 

其中，上述步骤中，CE上的地址分配代理获得该端口编号的过程包括：地址分配代理获得该端口所属单板板位号及该端口在单板内唯一编号，地址分配代理将单板板位号和端口在单板内唯一编号组合起来形成端口编号。例如，如下表所示的端口编号形式，地址分配代理将板位号左移8位，后面加上“端口在单板内唯一编号”计算出端口编号。其中，端口编号采用2个字节标识，第一个字节表示该端口所属单板的板位号，第二个字节表示端口在所属单板中的唯一编号。如下表所示： 

其中，CE上的地址分配代理根据该端口编号和IP地址进行CPI编址可以采用如下方式：CE的IP地址与CE端口编号生成<CE的IP地址，端口编号>的二元组，从而完成CPI的自动配置；也可以根据CE的IP地址与CE端口编号采用一定的算法计算得到CE端口标识CPI。 

PE上的地址分配代理进行PPI自动配置的过程CE上的地址分配代理进行CPI自动配置的过程相同，而图4所示的本发明实施例的VPN-PPI地址分配流程图，对VPN-PPI进行编址的过程包括如下步骤： 

S401、某端口请求分配VPN-PPI； 

S402、地址分配代理获得唯一的端口编号； 

S403、地址分配代理判断VPN-PPI中的PE地址(可以公开给用户的第二IP地址)是否分配了，如果分配了则执行步骤406；否则执行步骤404； 

S404、地址分配代理向VPN编址服务器请求VPN-PPI的PE地址； 

S405、VPN编址服务器分配VPN-PPI的PE地址并反馈给PE上的地址分配代理； 

S406、地址分配代理根据获得的唯一端口编号和VPN-PPI中的PE地址生成VPN-PPI。 

这里获得唯一端口编号和编址采用的方法与CE上进行CPI编址和PE上进行PPI编址相同，在此不再赘述。 

其中，可以公开给用户的第二IP地址与PE实际IP地址(不能公开给用户的第一IP地址)不同，这样CE就看不到PE的实际IP地址)，实现了安全保障。例如，如果PE上的地址分配代理确定没有分配PE的第二IP地址，则地址分配代理向VPN编址服务器发送地址分配请求，VPN编址服务器收到请求后，找到VPN-ID对应的地址映射表，查出与CE相连的PE实际IP地址，通过 <CE的IP地址，与CE相连的PE的IP地址>查找出与PE相连的CE所属的网段地址，并分配一个与CE所属相同或相近的网段中的不重叠的地址，并反馈给PE上的地址分配代理。地址分配代理收到该地址后，与计算出的端口编号形成二元组的VPN-PPI地址，从而完成VPN-PPI的自动分配。 

第二种情况是编址服务器给CE和PE进行集中编址，这里的编址服务器包含自动编址装置，其中，自动编址装置可采用二元组形式的编址方式。 

CE向编址服务器上报IP地址和端口编号； 

PE向编址服务器上报IP地址和端口编号； 

编址服务器根据CE上报的IP地址和端口编号生成CE端口标识CPI； 

编址服务器根据PE上报的IP地址和端口编号生成PE端口标识PPI； 

编址服务器根据PE判断是否分配了可以公开给用户的第二IP地址，如果没有分配则查出与CE相连的PE实际IP地址，通过<CE的IP地址，与CE相连的PE的IP地址>查找出与PE相连的CE所属的网段地址，并分配一个与CE所属相同或相近的网段中的不重叠的地址； 

编址服务器根据第二IP地址和PE上报的端口编号生成二元组的VPN-PPI地址； 

编址服务器保存生成的CPI、PPI和VPN-PPI，并将CPI返回给CE，将PPI和VPN-PPI返回给PE。 

其中端口编号的获得方式与第一种情况的相同，在此不再赘述。 

第三种情况是编址服务器给CE和PE进行集中编址，这里的编址服务器包含自动编址装置，其中，自动编址装置可采用一元组形式的编址方式。 

如图5所示为编址服务器集中编址的实例信令流程图。 

S501、CE(PE)向编址服务器上报IP地址； 

S502、编制服务器根据上报的IP地址返回VPN ID； 

S503、编址服务器保存CE和与CE相连的PE的IP地址对应关系； 

S504、编址服务器根据VPN ID为CPI，PPI，VPN-PPI生成自动分配地址的动态区间； 

由于地址区间是自动生成的，所以能动态的满足大量端口情况下的地址空间需求，同时又保证地址使用的有效性。例如，刚开始的时候，只在CE的地址段内分配一个较小的区间，当VPN中成员数目增加时，可动态增加该地址段区间的大小，动态增加时只需在CE的相邻地址段内增加即可。从而满足大量端口的地址分配需求，及地址有效性。 

S505、CE(PE)向编址服务器请求分配地址； 

S506、编址服务器向CE(PE)返回CPI(PPI或VPN-PPI)。 

例如，CE请求分配的地址类型为CPI，请求加入的VPN的代号为VPNID，请求加入的端口在该CE上的唯一端口编号；则编址服务器接收到CE的请求后，根据该端口编号从VPN ID对应的地址动态区间中选择不重合的CPI反馈给CE。PE请求分配PPI和VPN-PPI地址的过程与CE类似，在此不再赘述。 

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。 

Claims (3)

1.一种L1 VPN地址分配的方法，应用于包括客户端网络边沿设备、运营商网络边沿设备和编址服务器的VPN系统，其特征在于，

所述编址服务器获取网络边沿设备上请求加入VPN系统的端口编号和所述网络边沿设备的网络地址；所述编址服务器根据获取的端口编号和网络地址为所述网络边沿设备分配并返回相应的网络边沿设备端口标识；所述编址服务器给CE和PE进行集中编址，所述编址服务器包含自动编址装置，所述自动编址装置采用一元组形式的编址方式；其中：

所述编址服务器获取网络边沿设备的网络地址后，所述方法还包括：根据获得的网络地址为同属一个VPN网络的网络边沿设备生成自动分配地址的动态区间，所述地址动态区间包括：客户网络端口标识CPI，运营商网络端口标识PPI和VPN网络内运营商网络端口标识VPN-PPI；

所述编址服务器为所述网络边沿设备分配网络边沿设备端口标识包括：

所述编址服务器获取网络边沿设备的端口编号，根据所述端口编号，从所述地址动态区间中选择不重合的网络边沿设备端口标识给所述网络边沿设备。

2.根据权利要求1所述的方法，其特征在于，获得所述端口编号的步骤包括：

获取所述端口所属单板的板位号和所述端口在所述单板中的唯一编号，根据所述板位号和所述唯一编号得到所述端口编号。

3.根据权利要求1或2所述的方法，其特征在于，所述编址服务器根据获取的端口编号和网络地址为所述网络边沿设备分配相应的网络边沿设备端口标识，具体包括：

根据客户端网络边沿设备上请求加入VPN系统的端口编号和该客户端网络边沿设备的网络地址生成客户网络端口标识；或

根据运营商网络边沿设备上请求加入VPN系统的端口编号和不能公开给用户的第一运营商商网络边沿设备网络地址生成运营商网络端口标识；或

根据运营商网络边沿设备上请求加入VPN系统的端口编号和可以公开给用户的第二运营商网络边沿设备网络地址生成该VPN中的运营商网络端口标识。

Images