CN101409683B - 基于三层软交换的高性能用户三层准入控制方法 - Google Patents

Abstract

基于三层软交换的互联网高性能用户三层准入控制方法属于计算机网络技术领域，其特征在于：三层软交换服务器向三层准入控制网关发送网络-网络控制信令，三层准入控制网关路由器通过路由协议向本自治域内一台或多台路由器发送高性能地址的路由信息，三层准入控制网关路由器在三层软交换服务器控制下在相应网络接口上配置高性能地址并进行端口带宽(流量)控制，在通信结束时根据三层软交换服务器的网络信令停止通信过程，撤销高性能地址及流量控制。

Description

基于三层软交换的高性能用户三层准入控制方法

技术领域

基于三层软交换的高性能用户三层准入控制方法属于计算机网络技术领域。

背景技术

基于分组交换的互联网目前已经成为全世界最重要的信息基础设施，通信网、广播电视网和计算机网的三网融合以互联网为技术基础已成为人们的共识。互联网具有可扩展性好、可生存性强、灵活性强、无所不在等特点，但是目前互联网的“无连接、端对端和尽力而为”的设计理念也带来了安全性差、无法保证服务质量(QoS)和没有明晰的可持续发展的经济模型等重大问题。视频、实时应用、P2P等应用对于互联网带宽的需求不断增长，但路由器性能提高受到摩尔定律的限制，导致无限带宽的需求与有限带宽的资源的矛盾，同时安全性和可靠性的需求使得这个矛盾更加激化。

虽然在互联网领域、通信领域和广播电视领域人们进行了多年的研究，对于各个独立的问题提出了不少解决方案，但是有些解决方案从本质上违背了互联网的设计理念，带来了可扩展性等问题。同时，针对个别问题的解决方案的代价是导致其他问题变得更加严重。目前国际上也有一些重大项目重新设计互联网，但是鉴于全世界互联网的规模，丢弃目前互联网是不可能的。

根据研究，我们发现必须在目前互联网的体系结构中引入三层准入控制才能解决上述的问题。已有交换技术在准入控制方面的情况为：

电路交换有控制平面和数据平面的准入控制，具有可以保证服务质量(QoS)和安全性好的特点，但带宽调度灵活性差。

虚电路交换(X.25、ATM)，有控制平面和数据平面的准入控制，具有可以保证服务质量(QoS)、带宽调度灵活性好和安全性好的特点，但系统非常复杂，可扩展性差。

数据报分组交换(互联网)，基于端对端原理，无控制平面和数据平面的准入控制，具有带宽调度灵活性好，可扩展性好的特点，但不能保证服务质量(QoS)，安全性较差。

五层(软)交换：根据互联网OSI模型的描述，第五层是会话层，有控制平面的准入控制，无数据平面的准入控制，不能保证数据流的服务质量(QoS)和安全性。

本发明和相关的系列发明引入了互联网地址交换的概念。它的基本原理是利用分组交换中网络地址决定路由、路由决定分组传输的机制，将有服务质量需求和安全性需求的服务定义为高性能服务，用于高性能服务的地址定义为高性能地址。在此基础上，把网络地址分为普通地址和高性能地址，对于高性能地址预留带宽。利用电路交换的带宽资源的调度机制和准入控制机制，动态分配高性能地址，达到保证服务质量(QoS)、保证安全性和具有良好经济模型的目的。

本发明引入面向高性能用户的三层准入控制方法，在基于三层软交换的互联网高性能用户地址分配方法控制下，进行高性能地址的动态分配和路由发布，同时对于网络层的数据流进行准入控制和带宽控制。实施基于三层软交换的互联网高性能用户地址分配方法的设备称三层软交换服务器，实施本发明方法的设备叫三层准入控制网关路由器。

本发明的基本特征包括：1)三层准入控制网关路由器通过网络-网络信令(NNI)受三层软交换服务器控制；2)三层准入控制网关路由器通过路由协议与本自治域内各个管理域的一个或多个路由器建立路由邻居关系，可以发布路由信息；3)三层准入控制网关路由器在三层软交换服务器控制下启动或停止对高性能地址的分配使用以及相应的带宽(流量)控制。

发明内容

本发明的目的在于在不改变现有互联网核心协议的基础上，以本发明所描述的三层准入控制网关路由器为关键，通过设置在配置了高性能地址的高性能用户的子网内，对高性能地址进行准入控制(包括高性能地址的动态分配，路由发布和相应流量控制)。本发明的结构如图1所示。

本发明的方法可以在现有的路由器上加载有关模块实现，三层准入控制网关路由器是一种专门的路由器，由控制模块，接口模块，路由模块和信令传输调度模块组成。控制模块包括：用户非正常退出计时器和网管客户机模块；接口模块包括：网络接口地址配置和流量控制模块；路由模块包括：路由协议和路由分发模块；信令传输控制模块包括：网络-网络信令系统(NNI)及用户-网络信令系统。

基于三层软交换服务器的互联网高性能用户的三层准入控制方法，其特征在于，所述方法在高性能用户子网上配置三层准入控制网关，依次按以下步骤实现：

步骤(1)：初始化

在所述三层准入控制网关路由器上配置以下模块：控制模块，接口模块，路由模块和信令传输控制模块，其中

信令传输控制模块含有：网络-网络信令发送或接收模块和用户-网络信令发送或接收模块，初始化所述模块，等待传输信令的调度控制，

网络-网络信令格式包括：用户标识、流水号、用户本端普通地址、高性能地址段、最大带宽、用户非正常退出等待时长及传输指令；

用户-网络信令格式包含有：用户标识、流水号、用户本端普通地址、通信对端普通地址、用户本端高性能地址段、用户本次应用需求带宽、以及用户非正常退出等待时长和传输指令，

接口模块：根据应用申请带宽，用路由器配置标准中规定的流控方法控制动态地址用户终端流入和流出到互联网的流量；

路由模块：在设定的内部边界路由协议(iBGP)的路由反射方法控制下向所述互联网的自治域分发路由；

控制模块：非正常退出定时模块初始化，网管客户机模块初始化；

步骤(2)：所述三层准入控制网关路由器在三层软交换服务器的三层准入控制网关路由器数据库中注册，信息至少包含网络表示、用户子网及带宽特性；

步骤(3)：所述三层准入控制网关路由器与本自治域内所管理的一台或多台路由器配置路由协议，建立路由邻居关系；

步骤(4)：按以下步骤处理由所述三层软交换服务器发送来的网络-网络信令

步骤(4.1)：当与所述三层准入控制网关路由器直接联网的某一高性能用户提出的一个高性能通信的请求得到所述三层软交换服务器批准后，该三层软交换服务器通过所述网络-网络信令与所述高性能用户所在子网内的三层准入控制网关路由器通信，向所述的信令传输调度模块传送包含所述信令中的各项参数；

步骤(4.2)：信令传输控制模块通知接口模块，根据所述信令内容在对应的网络接口上配置所述高性能用户的本端高性能地址；

步骤(4.3)：将所述高性能地址的路由信息通过路由模块发布到本自治域内的所有路由器上；

步骤(4.4)：按照所述本端高性能地址所允许的最大带宽在网关网络端口进行流量控制；步骤(5)：网管客户机模块将准入控制网关路由器的工作状态“工作”参数传送至设置的总网管系统；

步骤(6)：所述高性能用户使用所述本端高性能地址与对端进行通信；

步骤(7)：当所述本自治域内的申请通信请求的高性能用户完成通信后，用户通知所述三层软交换服务器，该三层软交换服务器用所述网络-网络信令与该用户所在的子网的三层准入控制网关路由器通信，发布结束信息；

步骤(8)：所述三层准入控制网关路由器在相应的网络接口中取消所述高性能地址，并通知所述网关与本自治域内相连的一台或多台路由器，取消该高性能地址的路由信息，并停止相应的流量控制；

步骤(9)：网管客户机模块将“关闭”状态信息传送至总网管系统。

在进行所述高性能通信时，该三层准入控制网关路由器启动非正常退出计时器，如达到设定的门限时，执行步骤(7)中所述停止通信的步骤。

动态地址终端用户的高性能地址由所述三层准入控制网关路由器通过用户-网络信令对终端进行配置。

实验测试结果达到了本发明预期的要求。通过区分普通用户和高性能用户，为高性能地址预留带宽，三层软交换服务器根据授权用户申请，通过三层准入控制网关，对高性能用户进行准入控制，动态分配高性能地址，发布专用路由，提供了所需带宽资源，为高性能用户的应用提供了服务质量保证(QoS)和安全性保证。

附图说明

图1互联网地址交换体系结构中三层准入控制网关路由器结构图。

图2互联网地址交换体系结构中三层准入控制网关路由器工作方法工作流程框图。

图3实验测试环境网络连接拓扑图。

图4用户a使用普通地址试验的实验数据。

图5用户a使用高性能地址试验的实验数据。

图6用户b使用高性能地址试验的实验数据。

具体实施方式

本发明所述方法的关键技术包括：高性能地址配置方法，流量控制方法，路由发布方法，网络信令传输方法等。

(1)高性能地址配置方法

三层准入控制网关路由器的地址配置方法采用标准的路由器技术，但高性能地址的配置通过网络-网络信令(NNI)的驱动动态地配置或取消。

(2)流量控制方法

三层准入控制网关路由器的流量控制方法采用目前路由器标准的流控技术(rate-limiting)，通过网络-网络信令(NNI)的驱动动态地配置或取消。

(3)路由发布方法

三层准入控制网关路由器的路由发布方法采用目前路由器标准的路由协议。建议优选边界路由协议(BGP)的内部边界路由协议的路由反射器(iBGP route refelctor)机制。

(4)网络-网络信令及用户-网络信令

三层软交换服务器通过网络-网络信令(NNI)传输模块对相应的三层准入控制网关路由器进行控制，实施或取消动态地址配置、路由发布和流量控制，其参数为：高性能地址段，最大带宽，非正常退出的等待时长等。其XML语言描述的格式的例子为：

<nni>

   <customer id＝″customerid″>//用户标识

   </customer>

   <order id＝″ordered″>  //流水号

   </order>

   <metric name＝″prefix″unit＝″IPv4″>//用户本端高性能地址段

   z.z.z.z/m

   </metric>

   <metric name＝″max_bandwidth″unit＝″Mbps″>   //最大带宽

   30

   </metric>

   <metric name＝″ttl″units＝″second″>  //用户非正常退出等待时长

   3600

   </metric>

   <metric name＝″command″>    //指令

   active

   </metric>

</nni>

如果动态地址用户终端由三层准入控制网关路由器完成的话，三层准入控制网关路由器通过用户-网络信令通知终端设备。

测试环境搭建在真实的互联网主干网上，本端用户为CERNET在北京的2个不同地点的高性能用户，对端为TEIN2新加坡节点的高性能视频服务器。视频应用使用DVTS系统，1路视频为30Mbps。测试环境如图3所示。

由于网络带宽限制，CERNET普通用户通过TEIN2的最大可使用带宽为10Mbps，因此无法收看从新加坡传来的视频图像。本试验选择地址交换体系结构中的三层软交换服务器所在域为CERNET，并高性能应用并发进程为1。共有2个三层准入控制网关路由器。根据CERNET和TEIN2的BGP路由政策PIR＝24。采用IPv4，PAU＝30所选择的高性能地址段为202.38.112.64/30。注意向TEIN2静态、聚类公布的地址为202.38.112.0/24。北京的2个高性能用户所在的子网网关分别为202.112.35.34和202.38.97.253。

本试验分为三种情况分别由图4，图5和图6所示。1)北京的高性能应用用户a使用普通地址接收新加坡节点DVTS视频；2)北京的高性能用户a申请高性能地址接收新加坡节点DVTS视频；3)北京的另一个高性能用户b申请高性能地址接收新加坡节点DVTS视频。

其中，图4，图5和图6中的(a)表示主干网中与用户a和用户b所在子网A和子网B的两个三层准入控制网关路由器的BGP邻居关系，(b)表示在本自治域中BGP路由的个数，(c)表示该高性能通信时，相邻自治域从本自治域学到的路由的数量，(d)表示高性能地址所对应的下一跳的网络地址。附件中图1、2、3所示的视频截图表示图4、5、6应用情况下相应的视频直观效果。

根据本申请描述的方法，高性能用户通过用户-网络信令UNI向软交换设备发出请求，软交换设备验证用户有效性，请求的服务的有效性和是否超出本项服务的最大并发用户数。在通过的情况下，通过NNI控制相应的准入控制网关设备，使高性能地址生效，对端口进行流量控制，并通过BGP协议把相应的路由分发到本自治域中。

在第一种情况时，如图4所示，高性能地址没有分配给用户，4(a)中，对两个邻居(202.38.97.253和202.112.35.34)的邻居关系状态均为0；4(b)为14155；4(c)为203；4(d)表示的高性能地址没有下一跳，附件中图1显示出视频传输直观效果很差。

在第二种情况时，如图5所示，高性能地址分配给用户a，5(a)对邻居202.38.97.253变为1；5(b)本自治域路由表为14156，比第一种情况增加了1条；5(c)仍为203，对于本自治域外的路由表没有影响；5(d)表示的高性能地址的下一跳为202.38.97.253，附件中图2显示出视频传输质量很好。

在第三种情况时，如图6所示，高性能地址分配给用户b，6(a)对邻居202.112.35.34变为1；6(b)本自治域路由表为14156，比案例1)增加了1条；6(c)仍为203，对于本自治域外的路由表没有影响；6(d)表示的高性能地址的下一跳为202.112.35.34，附件中图3显示出视频传输质量很好。

从图中可以看到普通地址的视频图像质量不能满足要求，而高性能地址的视频图像质量很好。其中高性能地址分配给用户a和用户b相关路由表的变化清楚地表明了地址交换体系结构的工作过程和三层软交换服务器以及三层准入控制网关路由器所起的作用。

Claims (3)

1.基于三层软交换的互联网高性能用户的三层准入控制方法，其特征在于，所述方法是在指定的用户子网上配置的三层准入控制网关路由器上依次按以下步骤实现的：

步骤(1)：初始化

在所述三层准入控制网关路由器上配置以下模块：控制模块，接口模块，路由模块和信令传输控制模块，其中

信令传输控制模块含有：网络-网络信令发送或接收模块和用户-网络信令发送或接收模块，初始化所述模块，等待传输信令的调度控制，

网络-网络信令格式包括：用户标识、流水号、用户本端普通地址、高性能地址段、最大带宽、用户非正常退出等待时长及传输指令；

用户-网络信令格式包含有：用户标识、流水号、用户本端普通地址、通信对端普通地址、用户本端高性能地址段、用户本次应用需求带宽、以及用户非正常退出等待时长和传输指令，

接口模块：根据应用申请带宽，用路由器配置标准中规定的流控方法控制动态地址用户终端流入和流出到互联网的流量；

路由模块：在设定的内部边界路由协议(iBGP)的路由反射方法控制下向所述互联网的自治域分发路由；

控制模块：非正常退出定时模块初始化，网管客户机模块初始化；

步骤(2)：所述三层准入控制网关路由器在三层软交换服务器的三层准入控制网关路由器数据库中注册，信息至少包含网络表示、用户子网及带宽特性；

步骤(3)：所述三层准入控制网关路由器与本自治域内所管理的一台或多台路由器配置路由协议，建立路由邻居关系；

步骤(4)：按以下步骤处理由所述三层软交换服务器发送来的网络-网络信令

步骤(4.1)：当与所述三层准入控制网关路由器直接联网的某一高性能用户提出的一个高性能通信的请求得到所述三层软交换服务器批准后，该三层软交换服务器通过所述网络-网络信令与所述高性能用户所在子网内的三层准入控制网关路由器通信，向所述的信令传输调度模块传送包含所述信令中的各项参数；

步骤(4.2)：信令传输控制模块通知接口模块，根据所述信令内容在对应的网络接口上配置所述高性能用户的本端高性能地址；

步骤(4.3)：将所述高性能地址的路由信息通过路由模块发布到本自治域内的所有路由器上；

步骤(4.4)：按照所述本端高性能地址所允许的最大带宽在网关网络端口进行流量控制；

步骤(5)：网管客户机模块将准入控制网关路由器的工作状态“工作”参数传送至设置的总网管系统；

步骤(6)：所述高性能用户使用所述本端高性能地址与对端进行通信；

步骤(7)：当所述本自治域内的申请通信请求的高性能用户完成通信后，用户通知所述三层软交换服务器，该三层软交换服务器用所述网络-网络信令与该用户所在的子网的三层准入控制网关路由器通信，发布结束信息；

步骤(8)：所述三层准入控制网关路由器在相应的网络接口中取消所述高性能地址，并通知所述网关与本自治域内相连的一台或多台路由器，取消该高性能地址的路由信息，并停止相应的流量控制；

步骤(9)：网管客户机模块将“关闭”状态信息传送至总网管系统。

2.根据权利要求1所述的基于三层软交换服务器的高性能用户的三层准入控制方法，其特征在于，在进行所述高性能通信时，该三层准入控制网关路由器启动非正常退出计时器，如达到设定的门限时，执行步骤(7)中所述停止通信的步骤。

3.根据权利要求1所述的基于三层软交换服务器的高性能用户的三层准入控制方法，其特征在于，动态地址终端用户的高性能地址由所述三层准入控制网关路由器通过用户-网络信令对终端进行配置。

Images