CN101494612B - 一种mpls vpn网络下的vrf路由限制管理方法 - Google Patents

Abstract

本发明公开了一种MPLS VPN网络下的VRF路由限制管理方法，包括：设置VRF最大路由条目数；当用户欲配置新的路由时，路由管理支撑模块通知动态路由协议模块，该模块根据待配置的路由条目数及VRF最大路由条目数判断协议路由表是否能容纳待配置的路由，若是，则通知用户继续正常配置，否则禁止用户配置；当动态路由协议模块学习到新的动态路由并欲将其添加至协议路由表中时，根据待添加的路由条目数及VRF最大路由条目数判断协议路由表是否能容纳待添加的路由，若是，则将动态路由添加至协议路由表中并下发给路由管理支撑模块，否则丢弃。采用本发明可以提高PE的性能，增强网络的安全性，防止通过大量灌入路由进行网络攻击的行为。

Description

一种MPLS VPN网络下的VRF路由限制管理方法

技术领域

本发明涉及数据通讯领域的路由表管理技术，尤其涉及一种在MPLS(Multi-Protocol Label Switching，多协议标记交换协议)VPN(Virtual Private Network，虚拟私有网)网路下对VRF的路由条目进行超限管理的方法。

背景技术

虚拟私有网(Virtual Private Network)简称VPN，是利用公用网络构建的私人专用网络。它以其独具特色的优势赢得了越来越广泛的应用，对于用户使用VPN可以缩减费用，方便管理。对于运营商可以利用现有的基础设施提供增值服务，可以扩大运营业务量同时也创造了新的商业机会。

多协议标记交换协议(Multi-Protocol Label Switching，MPLS)是一种将具有相同转发处理方式的分组归为一类(即转发等价类，ForwardingEquivalent Class)的分类转发技术。MPLS最初是用来提高路由器的转发速度而提出的一个协议，但是由于MPLS在流量工程和VPN这两个在目前IP网络中非常关键的技术中的优越表现使得MPLS已日益成为扩大IP网络规模的重要标准。MPLS协议的关键是引入了标签(Label)交换概念，在MPLS网络中，IP包在进入第一个MPLS设备时MPLS边缘路由器分析IP包的内容并为这些IP包选择合适的标签。以后就是依据这个标签作为转发依据在MPLS网络中传输，当IP包离开MPLS网络时标签被边缘路由器分离。在MPLS网络中将网络设备分为边缘网络设备和核心网络设备，边缘网络设备提供流量分类和标签映射，标签移除的功能。核心网络设备提供标签交换和标签分发功能。

MPLS VPN网络，MPLS作为一种高效的IP骨干网技术平台，为实现VPN提供了一种灵活的并且具有可扩展性的技术基础。MPLS VPN 网络由三种网络设备组成：

(1)CE(Custom Edge)：用户网络中直接与服务提供商相连的边缘设备；

(2)PE(Provider Edge)：骨干网中的边缘设备，它直接与用户的CE相连；

(3)P路由器(Provider Router)：骨干网中不与CE直接相连的设备。

在MPLS VPN网络连接模型中(见图1)，网络由运营商的骨干网与用户的各个Site组成，VPN就是对site集合的划分，一个VPN就对应一个由若干site组成的集合。MPLS VPN网络构造由服务提供商来完成，在这种网络构造中，由服务提供商向用户提供VPN服务，用户感觉不到公网的存在，就好像拥有独立的网络资源一样。所有的VPN的构建，连接和管理工作都是在PE上进行的。从PE的角度来看，用户的一个连通的IP系统被视为一个site，每一个site通过CE与PE相连，site就构成了VPN的基本单元。一个VPN由多个site组成，一个site也可以同时属于不同的VPN。对于任何两个没有共同的site的VPN都可以使用重叠的地址空间，即在用户的私有网络中使用自己独立的地址空间，而不用考虑是否与其他VPN或公网的地址空间冲突，这就需要依赖于VPN路由转发实例(VPN Routing & Forwarding Instance，VRF)。VRF只存在于PE上(见图2)，在PE上针对每一个site都创建一个与之对应的VRF，每个VRF都包括一张路由表，一张转发表，一组使用这个VRF的接口集合以及一组与之相关的策略。VRF可以被看作是一个虚拟的路由器。

由于路由器的内存空间是有限的，在一个PE路由器上通常需要连接多个VPN，为多个不同用户服务，如果某个用户CE向PE路由器中灌入过多的路由就会导致该PE路由器的内存资源耗尽，使得该路由器无法为其它私网配置路由，甚至连公网路由也无法再配置了，最终会导致路由器的崩溃。所以有必要对每个VRF进行路由表容量的控制管理，不能让私网路由无限制地添加，从而可以提高PE路由器的可控性和稳定性。

发明内容

本发明所要解决的技术问题是提供一种在PE路由器上对每个VRF的路由数目进行控制管理的方法，避免由于接收过多VPN路由而导致内存资源耗尽的现象，提高PE路由器运行的可靠性以及维护的便利性，提高PE的整体性能。

为解决上述技术问题，本发明采用了以下解决方案：

一种MPLS VPN网络下的VRF路由限制管理方法，包括：

设置VRF最大路由条目数；

当用户欲配置新的路由时，路由管理支撑模块通知动态路由协议模块，动态路由协议模块根据所述用户待配置的路由条目数及VRF最大路由条目数判断其协议路由表是否能容纳待配置的路由，若是，则路由管理支撑模块通知用户继续正常配置；若否，则路由管理支撑模块禁止用户配置；

当动态路由协议模块学习到新的动态路由并欲将其添加至协议路由表中时，动态路由协议模块根据待添加的路由条目数及VRF最大路由条目数判断协议路由表中是否能容纳待添加的路由，若是，则将所述动态路由添加至协议路由表中并下发给路由管理支撑模块；若否，则丢弃所述动态路由。

上述方法还包括：当所述路由管理支撑模块欲对当前无效的路由进行生效处理时，动态路由协议模块根据当前无效的路由条目数和VRF最大路由条目数判断协议路由表中是否能容纳所述当前无效的路由，若是，则路由管理支撑模块对此无效的路由进行生效处理，同时动态路由协议模块将此路由添加入协议路由表中；若否，则路由管理支撑模块不对该路由进行生效处理。

上述方法还包括：待所述动态路由协议模块的协议路由表中路由条目数不再超限时，刷新路由管理支撑模块的支撑路由表，对于其中的因之前协议路由表的路由条目数超限而未进行生效处理的无效路由，重新进行生效处理，并将其添加至动态路由协议模决的协议路由表中。

上述方法中，所述路由管理支撑模块的支撑路由表的刷新方式为：人工触发刷新，或者由动态路由协议模块自动触发刷新。

上述方法中，所述支撑路由表刷新时采用定时器分时刷新方式。

上述方法中，在路由管理支撑模块的支撑路由表中，采用双向链的方式组织所述因之前协议路由表的路由条目数超限而未进行生效处理的无效路由。

本发明具有以下有益效果：

本发明通过在MPLS网络中的边缘路由器PE上对VRF的路由数目进行控制管理，从而可以有效地防止私有网络无限制地灌入路由致使PE瘫痪。通过这样一种对VPN路由限制管理的技术可以提高PE路由的性能，同时可以增强网络的安全性，防止通过大量灌入路由进行网络攻击的行为。

附图说明

图1是典型的MPLS VPN网络的结构示意图；

图2是在骨干网边缘路由器中VRF与各个VPN之间的关系示意图；

图3是本发明的路由限制管理方法流程图；

图4是本发明实施例中支撑路由表对于那些由于路由限制而使得该生效而未能生效的路由采用双向链的形式进行组织的架构图。

具体实施方式

本发明的核心思想为：对每个VRF设置该VRF所能容纳的路由条目最大数，并对注入的路由条目进行计数，每次都将这个计数与设置的最大数进行比较，如果达到该VRF最大数的限制时就开始丢弃路由。

实现本发明，需要解决以下几个问题：

1)如何为每个VRF配置最大路由条目数，并进行路由超限的判断。

2)在PE中，通常各个动态路由协议模块各自维护一张协议路由表，然后将学习到的动态路由下发到PE的路由管理支撑模块。对于用户配置的地址路由，直连路由，及静态路由，都是用户配置后直接存放到路由管理支撑模块的支撑路由表中，由路由管理支撑模块向动态路由协议模块通告，这样对于注入VRF的路由条目需要根据是协议生成的还是用户配置的分别进行相应的处理。

3)当属于某个VRF的一个接口down后，对应的地址路由、直连路由、以及以该接口为下一跳的其他路由(静态路由，nat路由，vrrp路由，ppp路由等)都会进行无效处理，动态路由协议模块的协议路由表中也会相应地删除这些路由。当该VRF的路由数已经达到最大限时，该VRF的之前已经down了的接口此时又up了，那么对应的地址路由、直连路由以及相应的静态路由都会重新生效，但此时由于路由限制动态路由协议模块不会接受这些生效的路由，那么路由管理支撑模块为了和动态路由协议模块保持一致需要进行相应的处理，使得这些应该生效的路由条目由于路由限制而不能生效。

4)在第三个问题中对于那些应该生效而由于路由限制没能生效的路由条目需要有一个处理机制，使得在路由限制变化，或者路由条目不再超限时将这些路由进行生效处理。

对于第一个问题，可以通过增加一个配置VRF最大路由条目数的命令解决，根据该条命令可以将用户配置的VRF最大路由条目数写到相应的VRF路由表管理模块的相应字段，每次有路由条目添加到该VRF路由表中时，先进行计数，然后将计数与用户配置的最大数进行比较，如果没有超限则可以正常加入该路由表，如果已经超限则丢弃该路由。

对于第二个问题，由于用户配置的地址路由，直连路由，静态路由都处于用户可控制范围内，而动态路由的注入是不在用户的可控范围内，所以VRF路由限制功能主要是在动态协议路由表中进行控制，也就是说每个VRF路由条目最大数是体现在动态协议路由表中的，这样对于动态协议学习到的路由每次加入协议路由表中时进行计数并通过与设定的最大路由条目数进行比较来决定该路由条目是否可以接受(该 处理流程如图3a所示)。而对于用户配置的地址路由，直连路由，及静态路由需要多一层的处理。这是为了保持协议路由表和支撑路由的一致。每次用户配置属于某个VRF的接口地址时需要将对应的地址路由及直连路由通告给协议路由表，此时需要判断协议路由表是否能够容纳这两条路由，如果能容纳则可以正常配置，如果不能容纳则给出告警信息，同时禁止配置，对于配置静态路由的处理也一样(该处理流程如图3b所示)。这样就可以使支撑与协议路由表保持一致。

对于第三个问题，当属于某个VRF的接口物理down或协议down后对应的地址路由，直连路由以及以该接口为下一跳的其他路由(静态路由，nat路由，vrrp路由，ppp路由等)在支撑路由表中会进行无效处理，这些条目仍然存在于支撑路由表中，而在协议路由表中对应的路由条目会被删除。这样当该接口又被up后，在支撑路由表中那些与该接口相关的无效路由条目会进行生效处理，同时会通告给协议路由表，此时如果协议路由表中对应的VRF路由条目已到达最大数，那么这些条目是不能被添加到协议路由表中的，这样就会造成支撑路由表和协议路由表产生了不一致。另外对于接口地址改变会使得原先使用该网段地址为下一跳的其他路由(静态路由，nat路由，vrrp路由，ppp路由等)无效并会从协议路由表中删除，当有接口地址又改变成这些路由原来使用的下一跳的网段时，这些路由又会重新生效，同样会遇到路由超限无法加入到协议路由表而使得支撑路由表和协议路由表产生不一致的情况。要解决这个不一致的问题可以在这些地址路由，直连路由及其他路由(静态路由，nat路由，vrrp路由，ppp路由等)生效时判断当前VRF协议路由表是否能够容纳这些路由条目，如果能容纳则进行正常的生效流程，如果不能容纳则在支撑层面也不能将这些路由生效(该处理流程如图3c所示)。

对于第四个问题，这是本发明中处理最为复杂的一个问题。对于那些应当生效而因为路由限制不能生效的路由条目应当提供一个处理机制，使得这些路由条目可以在时机成熟时再次刷新生效，要实现这样一个处理机制首先要做的就是将这些需要刷新生效的路由条目组织起来， 便于下面进行刷新处理。对于这些路由条目刷新，可以通过两种途径进行，一是可以提供一条路由刷新命令，让用户手工触发刷新，二是在VRF路由表中路由条目数不再超限时自动触发刷新。最后还要考虑在进行路由刷新时待刷新的路由条目数过多而使得CPU瞬间占用达到峰值使得系统出现异常的情况，这就需要采用分时刷新的方案来解决这一问题，就是采用定时器分时刷新，每次当刷新条目达到每次刷新条目最大数时停止刷新启动定时器，在该定时器设定的时间到达时再次触发刷新从上次刷新停止的位置继续进行刷新，直到刷新完成。另外当在刷新过程中出现当前刷新的VRF路由表又一次超限时则停止对该VRF的路由条目的刷新处理，转而进行下一个VRF的路由条目的刷新，直到所有VRF路由表都刷新一遍。当然还要支持对某一特定的VRF进行刷新的处理。

下面将结合附图和具体实施例对本发明作进一步详细的描述：

本实施例中，硬件部分由三台路由器组成，其中2台作为私有网络客户端CE，一台作为边缘路由器PE，组网关系如图2所示。(注：在该实施例中仅仅配置了地址路由，直连路由，静态路由，以及ospf动态路由，其他类型路由并没有配置，这里仅仅给出一个实例，其他类型路由的处理与技术方案所说明的处理流程一致)。本实施例的路由限制管理流程如下：

第1步：在PE路由器上，分别为两台CE创建VRF，并设定能够接受的路由条目最大数。同时配置接口绑定到相应的VRF上。

a)为两台CE分别创建VRF，VRF名称分别为vpn1和vpn2，并设置两个vrf的最大路由数及告警限，这里设为最大路由数为4；

b)分别将为vpn1和vpn2的一个接口配置地址。同时分别在vpn1和vpn2内配置一条静态路由。(此时PE上vpn1和vpn2中分别都形成了3条路由，再有一条路由就要达到告警限了)

第2步：在CE路由器上配置接口，同时开启动态路由。分别在属于vpn1和vpn2的CE上为与PE相连的接口配置与PE上相同网段的ip 地址。另外再配置另外2个与PE不相连的接口的地址。同时开启动态路由协议与PE建立邻居。

第3步：在PE上开启动态路由协议，分别为vpn1和vpn2与相应的CE建立邻居。

第4步：邻居建立好后vpn1和vpn2上的CE都要向PE通告2条到该CE其他网段的路由，而此时PE上vpn1和vpn2上已经存在3条路由(最大容纳4条路由)，这样就会产生路由超限，根据本功能就会进行丢弃CE通告过来的路由条目，从而达到保护的目的。所以此时在PE上查看vpn1和vpn2的路由表，只能看到CE通告过来的一条路由，而另一条路由就丢弃了。

第5步：在PE上将属于vpn1和vpn2的接口关闭，然后将路由最大数改成1，然后再将关闭的接口开启，这时PE上由于要生效3条路由(接口的地址路由，网段路由和一条以该接口为下一跳的静态路由)，会产生路由超限的情况，按照本发明会给出告警提示，然后将该条没有生效的路由挂入待刷新无效链。

第6步：将PE上vpn1和vpn2的路由最大数设成6，此时CE上原先由于路由超限而没能加入的路由条目会被加入进来，而第5步中由于路由超限而没能生效的静态路由并没有生效，协议路由表中不存在该路由条目，此时可以通过命令手工刷新支撑路由表进行生效处理，当然也可以在路由不超限时协议模块动态调用刷新接口函数，或定时调用无效路由刷新函数进行刷新，对于应该生效而因为路由超限而没能生效的vpn路由，支撑路由表中待刷新无效路由链采用图4所示的双向链进行组织，通过这种方式组织可以解决3个问题：

a、对于刷新用户指定的vrf内的失效路由，要能迅速的定位刷新。采用图4中实线的双向链解决，因为每个VRF都有一张路由表，实线的双向链将vrf内的无效路由条目链在一起，可以在用户刷新指定的vrf内的失效路由时迅速定位并刷新。

b、对于刷新全部失效的路由，要能准确定位所有失效路由并进行 刷新。采用图4中虚线的双向链解决，通过虚线的双向链可以将所有存在待刷新的失效路由的vrf链在一起，在进行全部刷新时可以从链头遍历到链尾，完成对每个vrf中失效路由的刷新。

c、为了防止CPU瞬间达到峰值，影响系统运行，需要定义每次刷新失效路由的条目最大数，需进行分时刷新。这个问题可以采用一个全局变量来记录刷新路由的数目，确定一个峰值，只要计数达到这个峰值就停止刷新，启动定时器，在定时器超时后再次从上次刷新的位置继续刷新，当然还需要一个全局变量来记录上次刷新的位置。

通过刷新命令或者协议调用或定时器触发调用路由刷新处理接口函数进行无效路由重新刷新生效，可以看到刚才在vpn1和vpn2中没有生效的路由都已生效。并都已加入到对应vrf的协议路由表中。

以上实施例仅用以说明本发明的技术方案而非限制，仅仅参照较佳实施例对本发明进行了详细说明。本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种MPLS VPN网络下的VRF路由限制管理方法，其特征在于，该方法包括：

设置VRF最大路由条目数；

当用户欲配置新的路由时，路由管理支撑模块通知动态路由协议模块，动态路由协议模块根据所述用户待配置的路由条目数及VRF最大路由条目数判断其协议路由表是否能容纳待配置的路由，若是，则路由管理支撑模块通知用户继续正常配置；若否，则路由管理支撑模块禁止用户配置；

当动态路由协议模块学习到新的动态路由并欲将其添加至协议路由表中时，动态路由协议模块根据待添加的路由条目数及VRF最大路由条目数判断协议路由表中是否能容纳待添加的路由，若是，则将所述动态路由添加至协议路由表中并下发给路由管理支撑模块；若否，则丢弃所述动态路由。

2.如权利要求1所述的MPLS VPN网络下的VRF路由限制管理方法，其特征在于，所述方法还包括：当所述路由管理支撑模块欲对当前无效的路由进行生效处理时，动态路由协议模块根据当前无效的路由条目数和VRF最大路由条目数判断协议路由表中是否能容纳所述当前无效的路由，若是，则路由管理支撑模块对此无效的路由进行生效处理，同时动态路由协议模块将此路由添加入协议路由表中；若否，则路由管理支撑模块不对该路由进行生效处理。

3.如权利要求2所述的MPLS VPN网络下的VRF路由限制管理方法，其特征在于，所述方法还包括：待所述动态路由协议模块的协议路由表中路由条目数不再超限时，刷新路由管理支撑模块的支撑路由表，对于其中的因之前协议路由表的路由条目数超限而未进行生效处理的无效路由，重新进行生效处理，并将其添加至动态路由协议模块的协议路由表中。

4.如权利要求3所述的MPLS VPN网络下的VRF路由限制管理方法，其特征在于，所述路由管理支撑模块的支撑路由表的刷新方式为：人工触发刷新，或者由动态路由协议模块自动触发刷新。

5.如权利要求4所述的MPLS VPN网络下的VRF路由限制管理方法，其特征在于，所述支撑路由表刷新时采用定时器分时刷新方式。

6.如权利要求3所述的MPLS VPN网络下的VRF路由限制管理方法，其特征在于，在路由管理支撑模块的支撑路由表中，采用双向链的方式组织所述因之前协议路由表的路由条目数超限而未进行生效处理的无效路由。 

Images