CN101517544A

CN101517544A - 到套接口的网络路由

Info

Publication number: CN101517544A
Application number: CNA2007800351218A
Authority: CN
Inventors: 纳温德拉·亚达夫; 圭纳纳普拉卡萨姆·潘迪安; 詹姆斯·理沃斯; 斯科特·艾莫瑞; 波利娜·舒恩; 缪若里·达科斯瓦瑞
Original assignee: Cisco Technology Inc
Current assignee: Cisco Technology Inc
Priority date: 2006-10-05
Filing date: 2007-08-30
Publication date: 2009-08-26
Anticipated expiration: 2027-08-30
Also published as: WO2008045632A1; US7822027B2; US20080084888A1; CN101517544B

Abstract

在一个实施例中，提供了：在数据转发域从主机装置检测数据流量，插入与所检测到的数据流量相关联的主机路由，以及更新与所述主机路由相关联的转发表。

Description

到套接口的网络路由

优先权

本PCT申请要求2006年10月5日递交的题为“Network Routing ToThe Socket”(“到套接口的网络路由”)的美国专利申请第11/539,023号的优先权，并且通过引用将其结合。

技术领域

本发明一般涉及提供数据网络中的层3转发机制。

背景技术

局域网(LAN)的现有拓扑通常包括作为层2协议的以太网和作为层3协议的网际协议(IP)v4和v6。这种分层方法允许计算装置使用可用的诸如IP、IPX或Appletalk等的各种不同的层3协议进行通信。同样，计算机当经由不同层2网络(例如FDDI、令牌环或以太网)被连接时可以使用诸如IP的单一层3协议进行通信。

被用来在端节点处建立通信路径的IP协议(例如，ARP或ICMP)经受(例如，可能是针对作为层2域的同一子网中的主机而发起的)各种欺骗(spoofing)、中间人(man-in-the-middle)和拒绝服务攻击，但是另一方面，所述IP协议被诸如路由器之类的IP转发装置阻塞。并且，路由器的配置和路由协议的调整是非常错综复杂的过程。

发明内容

特定实施例中的方法可以包括：在数据转发域检测数据流量；插入与所检测到的数据流量相关联的主机路由；以及更新与所述主机路由相关联的转发表。并且，特定实施例中的方法可以包括：接收主机路由；从各自的子网默认路由器接收与子网相对应的子网路由条目；将主机路径与子网路由路径进行比较；以及当所述子网路由路径与所述主机路径不对应时，安装(install)所述主机路由。

特定实施例中的系统可以包括：主机装置；和数据转发装置，所述数据转发装置被配置为在数据转发域从所述主机装置检测数据流量；所述数据转发装置还被配置为插入与所检测到的数据流量相关联的主机路由以及更新与所述主机路由相关联的转发表。

特定实施例中的系统可以包括：主机装置；和数据转发装置，所述数据转发装置被可操作地耦合到所述主机装置，所述数据转发装置被配置为从所述主机装置接收主机路由，所述数据转发装置还被配置为从各自的子网默认路由器接收与子网对应的子网路由条目，将主机路径与子网路由路径进行比较，并且当所述子网路由路径与所述主机路径不对应时安装所述主机路由。

特定实施例中的系统可以包括：用于在数据转发域从主机装置检测数据流量的装置；用于插入与所检测到的数据流量相关联的主机路由的装置；以及用于更新与所述主机路由相关联的转发表的装置。

在考虑以下对本发明和附图的详细说明之后，将理解本发明的这些和其它特征和优点。

附图说明

图1示出用于IP转发域的示例系统；

图2示出用于IP转发优化的示例方法；

图3示出用于检测和通告(一个或多个)主机的示例方法；

图4示出用于检测和通告(一个或多个)主机的示例方法。

具体实施方式

图1是用于实行特定实施例的在配线柜中所见的企业接入数据网络的框图。参考图1，在特定实施例中，整个网络100包括多个层3 IP(网际协议)转发域(也被称为路由到套接口的域)，每个层3 IP转发域包括域边界路由器150A和150B。如图1所示，域边界路由器150A和150B又分别被连接到中间路由器140A和140B，并且中间路由器140A和140B又各自被耦合到一个或多个IP转发装置130A、130B、130C和130D。还参考图1，还示出了多个端主机120A、120B、120C、120D、120E、120F、120G、120H，在整个网络100中，每个端主机被连接到IP转发装置130A、130B、130C和130D之一。

以这种方式，参考图1，在特定实施例中，每个层3 IP转发域(路由到套接口的域)包括域边界路由器，所述域边界路由器例如是将层3 IP转发域连接到企业网络的其余部分的交换机。并且，在特定实施例中的每个域边界路由器150A和150B分别被连接到层3 IP转发域内的中间路由器140A和140B，其中中间路由器140A和140B可以包括分发交换机(distribution switch)。在特定实施例中的每个IP转发装置130A、130B、130C和130D可以包括接入交换机(access switch)，并且，每个IP转发装置130A、130B、130C和130D被配置为用于分别耦合的主机120A、120B、120C、120D、120E、120F、120G、120H的第一跳层3 IP转发装置。

还参考图1，在特定实施例中，域边界路由器150A和150B可以被配置为连接到多于一个的层3 IP转发域。即，域边界路由器150A可以被连接到中间路由器140A和140B两者，并且，域边界路由器150B可以被连接到中间路由器140A和140B两者。在一个方面中，如果域边界路由器150A或150B将多个层3 IP转发域互连，则域边界路由器150A或150B上的接口与这多个层3 IP转发域的所有层3 IP转发域相关联。

如以下将进一步描述的，特定实施例中的层3 IP转发域中的IP转发装置130A、130B、130C和130D、中间路由器140A和140B以及域边界路由器150A和150B被配置为运行路由协议来判定各自的域拓扑以及被连接到各自的层3 IP转发域的各自的主机120A、120B、120C、120D、120E、120F、120G、120H。

IP转发装置的地址分配

在特定实施例中，层3 IP转发域以内的主机120A、120B、120C、120D、120E、120F、120G、120H和IP转发装置130A、130B、130C、130D与一个或多个IP地址相关联以用于发送和接收数据流量。在一个方面中，主机120A、120B、120C、120D、120E、120F、120G、120H和IP转发装置130A、130B、130C和130D可以属于由各自的层3 IP转发域管理的子网中的任何一个子网。

更具体而言，层3 IP转发域中的每个IP转发装置130A、130B、130C和130D需要该IP转发装置在该网络内与之唯一地关联的至少一个IP地址。即，在特定实施例中，在层3 IP转发域中，一个IP地址被用作环回接口(loop back interface)并且各自的IP转发装置中的所有其它接口是未编号的接口。为了将环回IP地址分配给IP转发装置，可以从子网预留一块地址(a block of addresses)。在一个方面中，这块地址可以不是来自层3IP转发域的单一子网。实际上，在特定实施例中，当这块地址从单一子网被指派时，调试过程可以被简化。

在特定实施例中，可以根据用户配置或者通过使用DHCP或者通过来自各个域边界路由器的指派来指派IP转发装置的IP地址。更具体而言，IP转发装置可以在启动时被配置IP地址。或者，IP转发装置可以被配置为使用DHCP从网络中的服务器检索IP地址。

此外，域边界路由器可以被配置为：当IP转发装置加入层3 IP转发域时，将IP地址指派到层3 IP转发域的IP转发装置。更具体而言，网络管理员可以给域边界路由器配置一个或多个子网，所述子网将被用于特定层3 IP转发域中的所有IP转发装置。这样，当域边界路由器将IP地址指派到IP转发装置时，该域边界路由器在特定实施例中被配置为产生IP转发装置的MAC地址与被指派的IP地址之间的映射。然后，所产生的映射可被用来在IP转发装置重启时提供同一IP地址。

在另一方面中，管理员可以配置另一个环回IP地址以用于网络管理目的，将管理IP地址与操作IP地址分离。这种方法可以提供改善的故障诊断和网络安全。更具体而言，管理员可以配置该网络使得只有管理IP地址被允许远程登录(telnet)和其它目的。诸如接入控制列表(ACL)的其它安全机制也可以被应用于管理IP地址。使用分离的用于网络管理的IP地址，管理员可以给一个子网或一组IP地址配置活动路由器。

在特定实施例中，域边界路由器150A、150B被配置来自每个子网的IP地址。在特定实施例中，如以下进一步所描述的，所述IP地址例如被用来将IP地址从DHCP服务器分别指派到一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H。

主机IP地址分配

如上所述，还参考图1，层3 IP转发域中的每个主机120A、120B、120C、120D、120E、120F、120G、120H与各自的层3IP转发域的子网之一相关联。在特定实施例中，主机120A、120B、120C、120D、120E、120F、120G、120H可以被配置为例如通过用户配置或经由DHCP服务器获取IP地址。即，在特定实施例中，网络管理员可以在主机120A、120B、120C、120D、120E、120F、120G、120H中各自的主机上手动配置静态IP地址。

或者，使用DHCP服务器，主机120A、120B、120C、120D、120E、120F、120G、120H可以被配置为使用DHCP协议来获取各自的IP地址。更具体而言，被各自耦合的IP转发装置130A、130B、130C和130D被配置为DHCP中继代理，其中，预定的提示值(hint value)被提供给DHCP服务器。特定实施例中的DHCP服务器可以被配置为使用从IP转发装置接收到的预定义的提示值来判定用于特定主机的合适的子网以及IP地址。假定每个IP转发装置130A、130B、130C、130D只有一个环回地址并且可以是来自单一子网，则使用这样的环回地址可以导致：为层3 IP转发域中的所有主机120A、120B、120C、120D、120E、120F、120G、120H指派来自单一子网的IP地址。

注意，在特定实施例中，层3 IP转发域中的主机的IP地址必须属于层3 IP转发域的子网之一。如果不是这种情况，则主机路由信息不被各自的IP转发装置传播遍及层3 IP转发域。因此，在特定实施例中，IP转发装置可以被配置为验证被连接到IP转发装置的所有主机IP地址是被包含在层3 IP转发域以内的子网的部分。

主机习得(learning)机制

为了将流量转发给主机，特定实施例中的IP转发装置被配置为习得到达给定层3 IP转发域中的主机的路径。即，在特定实施例中的IP转发装置被配置为习得所有它的关联主机，并且之后在整个层3 IP转发域中传播主机关联信息。在一个方面中，IP转发装置可以被配置为使用以下方法中的一种或多种方法来执行主机习得机制：(1)静态配置，静态配置提供主机IP地址到层2重写地址(例如，MAC地址)以及该主机被附接到的端口和IP转发装置的绑定，(2)侦查(snoop)该主机和受信的DHCP服务器之间的DHCP消息交换，(3)无线接入点(WAP)的主机数据库，(4)被请求的ARP答复分组检测，(5)未被请求的/无偿的ARP答复，或(6)从IP分组检测习得源IP地址。

更具体而言，在特定实施例中，IP转发装置可以被配置为基于管理员配置以及主机的IP地址到层3IP转发域中的交换机(例如，转发装置)的端口的关联，来习得关联主机的信息。在这种方法中，管理员可以配置主机的MAC地址，主机的MAC地址为相关联的IP转发装置提供足够的信息以将流量转发到所连接的主机。

使用DHCP侦查，当主机使用DHCP来获取IP地址时，在特定实施例中，分组被侦查并且MAC地址、IP地址和相关联的端口之间的绑定被各自的IP转发装置习得。可以使用无线接入点(WAP)和IP转发装置之间的预定义控制信令，或者使用IP转发装置和负责处理无线装置认证和关联的另一受信的实体(例如，诸如无线控制装置)之间的控制信令来建立WAP的主机数据库。或者，在另一实施例中，在使用WAP主机数据库的情况下，无线接入点被配置为建立所有关联主机的列表，所述关联主机的列表可以被用来习得关联主机。在一个方面中，当无线接入点被配置作为IP转发装置时，无线接入点可以使用指示关联主机的列表的信息。或者，无线接入点可以被配置为将指示关联主机的列表的信息提供给该无线接入点被连接到的IP转发装置。

在ARP答复分组检测被执行来判定主机的情况中，IP转发装置在特定实施例中可以被配置为通过针对层3 IP转发域中的未知主机发布ARP请求来启动主机探测(host probe)。当响应于所发布的ARP请求的答复被接收到时，IP转发装置可以被配置为检测所接收到的分组并且将该主机与分组经其被接收到的端口关联。

在另一实施例中，使用IP分组检测，到达主机的主机路径可以被层3IP转发域中的IP转发装置习得。例如，当分组在给定端口上从未知源被接收到时，单播逆向路径转发(uRPF)可以被配置为触发异常路径(exception path)并且将该分组发送给IP转发装置以用于主机习得(hostlearning)。IP转发装置可以被配置为：如果主机属于该主机管理的子网之一，则IP转发装置习得该主机地址。然后，在该主机被习得后，该分组被允许转发到目的地主机。或者，IP源保卫(IP source guard)或IP端口安全信息可以被用作习得该主机的源地址的激发器。并且，在另一个方面中，可以针对在给定端口上习得的所有主机路由来安装接入控制列表(ACL)。对于新的主机，ACL可以被配置为检测该分组并且将该分组发送到IP转发装置以习得新的主机地址。

层3 IP转发域中的主机移动性

还参考图1，在特定实施例中，所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H可以在层3IP转发域100中被配置为从IP转发装置130A、130B、130C、130D中各自的IP转发装置向IP转发装置130A、130B、130C、130D的另一个IP转发装置移动。在一个方面中，当所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H从IP转发装置130A、130B、130C、130D中各自的IP转发装置向IP转发装置130A、130B、130C、130D的另一个IP转发装置移动时，不要求所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H获取新的IP地址，只要所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H是在层3IP转发域100以内移动。结果，对于所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H，可以实现最小限度的连接性损失并且从而实现改善的移动性。

更具体而言，在特定实施例中，当所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H从IP转发装置130A、130B、130C、130D中各自的IP转发装置向IP转发装置130A、130B、130C、130D的另一个IP转发装置移动时，为所述一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H建立两条不同的路径以发送和接收来自另外的一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H的流量。特定实施例中的这两个不同路径是下游路径和上游路径。

在一个方面中，所述下游路径允许流量被转发给移动主机，在这种情况中，IP转发装置130A、130B、130C和130D被配置为获取该移动主机的信息以将所述流量转发给该移动主机，移动主机的信息例如是该移动主机当前的位置和/或该移动主机到IP转发装置130A、130B、130C、130D中各自的IP转发装置的关联。该移动主机到IP转发装置130A、130B、130C和130D中各自的IP转发装置的关联使用一个或多个预定的路由协议在层3IP转发域100(图1)中被传播。并且，上述上游路径被配置为允许该移动主机将流量发送给该网络中的另外的一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H。

往回参考，在建立将数据流量转发给该移动主机的下游路径时，IP转发装置130A、130B、130C、130D被配置为习得该移动主机到IP转发装置130A、130B、130C和130D中各自的IP转发装置的关联，所述关联之后根据预定义的路由协议在该网络内被传播。

更具体而言，该移动主机的第一跳IP转发装置被配置为在该移动主机移进网络100后习得该移动主机。通过第一跳IP转发装置的主机习得可以是基于上述主机习得机制的。更具体而言，在特定实施例中，管理员或用户可以在各自的IP转发装置处静态配置主机关联信息。当该主机移动时，管理员或用户去除原有的经过配置的主机关联信息并且在该主机已经移动到的那个IP转发装置处重新配置所述关联。

或者，使用DHCP侦查，主机可以被配置为：当它从一个IP转发装置向另一个IP转发装置移动时，发送新的DHCP消息。然而，由于该主机已经与IP地址相关联，并且，层3 IP转发域100不要求移动主机获取新的IP地址，所以该移动主机不需要被配置为从DHCP服务器更新或请求IP地址。

在另一实施例中，IP转发装置可以被配置为：当移动主机移动时，根据无线接入点的主机数据库习得该移动主机关联。更具体而言，由于移动主机在它能够发送或接收数据之前与无线接入点相关联，所以，当无线接入点被配置为向层3 IP转发域100中的相应IP转发装置提供主机数据库时，IP转发装置根据无线接入点的主机数据库可以习得移动主机关联。

在另一个方法中，当ARP请求被产生并且被发送到移动主机时，IP转发装置可以被配置为根据对响应于ARP请求的ARP答复分组进行检测来习得移动主机关联。或者，如果该移动主机不需要在其发送出任何分组之前接收数据流量，则该移动主机可以被配置为在它移到新的位置之后发送分组，并且因此，该移动主机到各自的IP转发装置的关联可以是基于对IP分组的检测的。

在移动主机移动到新的位置并且需要在它发送出任何分组之前接收数据流量的情况中，主机探测或主机跟踪可以被用来习得在新的位置移动主机与IP转发装置的关联。更具体而言，在主机探测的情况中，IP转发装置可以被配置为将ARP请求发送给层3 IP转发域100中已知和未知的主机。响应于ARP请求，主机发送各自的ARP答复，ARP答复可以被第一跳IP转发装置用来习得各自的主机IP地址。

在特定实施例中，IP转发装置可以被配置为：当去往未知目的地(但是属于层3 IP转发域100的子网中的一个子网)的分组在层3 IP转发域100中被检测到时，启动主机探测。在这种情况中，IP转发装置可以被配置为将用于确认该未知目的地的有效性的请求发给层3 IP转发域100中的所有其它IP转发装置。当其它IP转发装置接收到用于确认该未知目的地的有效性的请求时，IP转发装置在特定实施例中被配置为在所有主机端口上发出ARP请求。因此，当ARP请求被接收到时，第一跳IP转发装置被配置为习得该主机并且在层3 IP转发域100中传播主机关联信息。在主机关联信息被所有IP转发装置习得后，数据流量可以被直接发送给移动主机。

在主机探测的泛洪(flood)基于大量具有未知目的地的分组而在层3IP转发域100以内扩散(proliferate)的情况中，ARP探测会被每个IP转发装置130A、130B、130C和130D遏制(throttle)。在特定实施例中，每个IP转发装置130A、130B、130C和130D和/或像140A、140B、150A和150B之一那样的中央装置可以被配置为在产生主机探测之前或者在发送ARP消息时进行遏制。

在另一实施例中，主机探测机制可以被用来检测层3 IP转发域100中的主机的正确位置，并且还可以被用来去除层3 IP转发域100中任何失去时效的主机-IP转发装置关联。即，当主机移动并且形成与另一IP转发装置的关联时，对于该特定的主机，在层3 IP转发域100中可能存在两个关联。在这种情况中，特定实施例中的IP转发装置例如可以被配置为安装最新的主机关联。为了去除失去时效的关联，(之前与移动主机关联和新与移动主机关联的)IP转发装置被配置为在它们各自的端口上发出ARP请求。然后，未接收到ARP答复的IP转发装置被配置为从层3 IP转发域100撤销关联。

往回参考，在主机跟踪被用来通过从层3 IP转发域100去除失去时效的关联条目来实现主机移动性的情况中，IP转发装置被配置为在习得主机的IP地址之后保持对该主机的跟踪以判定该主机是被连接在层3IP转发域100中。在特定实施例中，IP转发装置可以被配置为在其端口上向已知主机发送出周期性更新(例如，ARP请求)。以这种方式，在特定实施例中，可以通过当主机不对ARP消息进行响应时去除主机条目，而节约硬件资源(这是因为没有响应就表示主机已经失效(die)或移动)。并且，可以避免主机条目的ARP老化。

往回参考，当一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H从IP转发装置130A、130B、130C、130D中各自的IP转发装置向IP转发装置130A、130B、130C、130D的另一个IP转发装置移动时，为一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H建立上游路径以用于发送和接收来自另外的一个或多个主机120A、120B、120C、120D、120E、120F、120G、120H的流量。如上所述，下游路径允许流量被转发到移动主机，而上游路径允许该移动主机将数据发送给另一个主机。要进行这些，特定实施例中的移动主机被配置为建立ARP表格，所述ARP表格被配置为在移动主机的移动中原封不动。即，只要移动主机是在层3 IP转发域100中移动，则ARP表格被配置为有效，并且因此，避免移动主机不得不发送出另一个ARP请求以及不得不等待答复并且随着在层3 IP转发域100中的每次移动而建立ARP表格。

例如，在移动主机能够将数据分组发送给层3 IP转发域100中的另一个主机之前，移动主机需要知道如何到达另一个主机。如果另一个主机和该移动主机驻留在同一子网中，则移动主机可以发送出ARP请求，寻找所述另一主机。另一方面，如果所述另一主机驻留在不同子网中，则该移动主机可以被配置为发送出寻找所述另一主机的子网的默认网关的ARP请求。在来自另一主机或者默认网关的ARP答复被接收到之后，该移动主机在特定实施例中被配置为在本地表格中安装ARP条目，所述ARP条目之后被用来转发流量。

在特定实施例中，默认网关的MAC地址被配置为：当(正在接收来自移动主机的流量的)其它主机在层3 IP转发域100中从一个IP转发装置向另一个IP转发装置移动时，默认网关的MAC地址不改变。即，在特定实施例中，另一主机的第一跳IP转发装置被配置为为层3 IP转发域100的所有子网IP地址进行代理(proxy)。这使得主机在移动期间可以彼此进行通信，而不改变它们的第一跳IP转发装置的表示。

更具体而言，在特定实施例中，代理ARP机制允许IP转发装置对IP转发装置正作为其代理的所有ARP请求进行响应。例如，路由器可以被配置一组子网地址并为所有这些子网地址进行代理。当来自子网中的主机之一的ARP请求被接收到时，路由器可以被配置为发送出具有该路由器的MAC地址的答复。

在一个方面中，IP转发装置被配置为对层3 IP转发域100所拥有的子网中的所有主机地址进行代理。当针对属于该IP转发装置的域的任何主机IP地址的ARP分组被接收到时，该IP转发装置被配置为用其MAC地址进行答复。因此，当移动主机正在寻找数据流量要被发往的另一个主机时，不论另一主机的子网如何，该移动主机的第一跳IP转发装置都被配置为用它的MAC地址进行响应。这允许移动主机到达另一主机而不考虑另一主机的位置(流量目的地)。以这种方式，在特定实施例中，在该另一主机在该域内移动期间，移动主机可以继续与该另一主机进行通信而不改变该移动主机的ARP表格。

此外，在特定实施例中的第一跳IP转发装置MAC地址被配置为：当移动主机在层3 IP转发域100中从一个IP转发装置向另一个IP转发装置移动时，第一跳IP转发装置MAC地址不改变。在一个方面中，这可以通过使用用于所述IP转发装置的虚拟MAC地址来实现。

更具体而言，在特定实施例中，IP转发装置130A、130B、130C和130D被配置为共享一个或多个虚拟MAC地址。只要IP转发装置接收用于它的域的主机之一的ARP请求，虚拟MAC地址就被使用。如上所述，由于代理ARP在所有IP转发装置130A、130B、130C和130D上被使用，所以当ARP请求被接收到时，第一跳IP转发装置可以被配置为在其ARP答复中使用虚拟MAC地址。当主机移动时，主机可以被配置为继续使用虚拟MAC地址作为用于主机产生的所有分组的目的地MAC地址。以这种方式，主机可以移动并且继续发送流量而不改变该主机中的ARP表格。

在特定实施例中，第一跳IP转发装置可以被配置为对于所有子网使用单一的虚拟MAC地址。或者，第一跳IP转发装置可以被配置为对于每个子网使用不同的虚拟MAC地址。在一个方面中，所述虚拟MAC地址可以包括一组固定MAC地址或者已知的MAC地址。此外，一个子网可以被映射到具有固定前缀MAC地址的MAC地址。

以所述方式，在特定实施例中，上述代理ARP和虚拟MAC地址机制可以被用来允许主机在与层3 IP转发域100中的其它主机进行通信的同时进行移动。

往回参考图1，由于第一跳IP转发装置被配置为例如通过对所有ARP请求使用代理ARP和虚拟MAC地址对分组进行本地交换来在两个子网间路由数据分组，因此在特定实施例中，第一跳IP转发装置可以被配置为用作默认网关。

路由传播

为了在层3 IP转发域100中转发流量，IP转发装置130A、130B、130C、130D和路由器140A、140B、150A、150B需要知道主机到转发器的关联。主机到转发器的关联向与该特定主机所连接到的这组(一个或多个)转发器相关的网络100中的转发装置(交换机和路由器)的每一个转发装置提供信息。在一个方面中，网络100中的转发装置(交换机或路由器)可以通过指派与其已经计算出的到达与该特定主机相关联的(一个或多个)转发器的路径相同的路径而避免计算到该主机的路径。转发器路由提供关于如何到达特定IP转发装置的信息，并且诸如IP转发装置的环回接口和/或管理接口之类的IP地址被配置为使用所配置的路由协议来传播。此外，如上所述的主机关联被配置为指示层3 IP转发域100中的主机到各自所连接的特定IP转发装置的关联。即，为了将流量发送给特定主机，流量被发送给与该主机相关联的(例如，被直接连接到该主机的)IP转发装置。在到该IP转发装置的路径已知后，到关联主机的路径(或主机路由)可以被确定并且被安装在硬件中。

在特定实施例中，主机被配置为总是具有与特定IP转发装置的一个关联或路径。另一方面，每个IP转发装置可以被配置多条路径。这样，在一个方面中，根据不同的路径信息，可以选择合适的路由协议，或者可以恰当地计算路由。此外，可以在层3 IP转发域100中实现改善的可扩展性和性能。例如，当存在链路状态(通或断，up or down)的改变时，可能只需要关于IP转发装置路由的一个更新。在该更新被接收到之后，主机路由可以改变或者不改变。类似地，当主机关联改变时，只有关于那个主机的一个更新需要被发送。

还是往回参考图1，由于层3 IP转发域100包括主机和转发装置，所以域内的所有内部路由信息包括IP转发装置路由和主机关联。域边界路由器150A和150B可以被配置为通告该域外部的子网路由或者网络地址。

在特定实施例中，开放路径最短优先(OSPF)路由协议可以被用于IP转发装置路由传播。OSPF是提供网络的完整拓扑的链路状态路由协议。在一个方面中，OSPF路由协议可以被配置为逐跳发送更新。即，OSPF路由协议可以被配置为使用路由器链路来通告IP转发装置环回地址。此外，增强内部网关路由协议(EIGRP)可以被用于IP转发装置路由传播。EIGRP是距离矢量协议并且提供处理网络拓扑中的变化的有效方式。此外，诸如中间系统对中间系统(ISIS)、内部边界网关协议(iBGP)等之类的其它协议可以被用于路由传播。

还是参考图1，在特定实施例中，层3 IP转发域100中的每个IP转发装置130A、130B、130C和130D被配置两个模块——主机关联习得应用和主机关联传播协议。在一个方面中，IP转发装置中的主机关联习得应用模块被配置为：例如根据上述主机习得机制来习得IP转发装置与各自的主机之间的关联。此外，主机关联习得应用还可以被配置为使用预定协议在该域中传播关联并且还从该域中的其它IP转发装置习得所有其它主机关联。

在如上所述主机关联被习得之后，主机关联习得应用可以被配置为判定到该主机的实际路径，在特定实施例中，到该主机的实际路径与到产生该主机关联的IP转发装置的路径相同。到该IP转发装置的路径可以从传播IP转发装置路由的其它路由协议获得。并且，主机关联习得应用还可以被配置为将主机路由安装在IP转发装置的路由表中，并且还被配置为根据例如域内的主机移动或者域内的重复IP地址判定在域内是否存在任何重复关联。如果存在重复的关联，则IP转发装置和被通告的重复关联需要如以下所述来解决关联。

当主机的重复关联存在时，只有关联中的一个关联被判定有效。在产生主机关联的IP转发装置从另一个IP转发装置检测到重复的主机关联之后，产生主机关联的IP转发装置需要验证它们与主机的关联是否有效。如果，该关联不再存在，则该关联从该网络被撤销。

即，在特定实施例中，主机探测发送ARP消息给主机，看该主机是否仍然被连接。如果没有响应，则该关联被认为不再有效，并且IP转发装置被配置为撤销之前被通告的主机关联。另一方面，如果响应于该ARP消息，该主机进行响应，则该主机关联被判定有效。并且，如果没有IP转发装置撤销关联并且重复的条目仍然存在超过一预定的时间段(例如，根据该域内的重复IP地址配置)，则错误状态可被记入日志或者被连接到该主机的端口可被禁用。

往回参考，在特定实施例中的主机关联传播协议可以被配置为在IP转发装置间转发主机关联并且将API提供给需要或者发送所述关联的应用。

此外，根据特定实施例，内部边界网关协议(iBGP)可以被用来在层3 IP转发域100中传播主机路由。更具体而言，每个iBGP被配置为只通告被直接连接的主机而不通告另外的其它主机路由。并且，通过建立与该域内的每个其它IP转发装置的连接，iBGP过程可以被配置为更新所有其它IP转发装置。并且，使用iBGP，所有的主机关联可以被提供给能够监控重复主机路由的应用。

转发表优化

如上所述，往回参考图1，在层3 IP转发域100中，数据分组是根据主机路由被转发的。每个IP转发装置被配置为将主机路由条目存储在例如软件或硬件转发表中。并且，在某些情况下，IP转发装置可以被配置为在硬件转发表中保持多个情境(例如，VRF)下的一个主机条目。在这样的情况中，硬件中所需要的条目数可以是层3 IP转发域100中主机数的多倍。此外，如果该域支持大量主机，则交换机的硬件表中的条目数增加。

因此，在特定实施例中，可以只有交换机硬件中需要的条目基于预定的过程被跟踪并且被维护。更具体而言，IP转发装置可以被配置为从该域中的其它IP转发装置接收主机路由(关联)，IP转发装置还可以被配置为从相应的子网默认路由器接收用于每个子网的子网路由条目。在特定实施例中，用于子网的默认路由器可以被配置为通告子网条目。

当安装主机路由时，主机的所有的路径(如果存在等价路径则是多于一条路径)与不那么具体的路由进行比较，所述不那么具体的路由在特定实施例中可以是子网路由路径。如果子网路由路径与主机路径(包括等价路由)完全匹配，则主机路由不需要被安装在转发表中。由于不那么具体的或者子网路由路径和间接的主机路由是经由分发交换机(140A或/和140B)可到达的，所以第一跳IP转发装置可以不必安装任何间接的主机路由。这可以提供硬件转发表中的条目数的大大节省。并且，层3 IP转发域100的性能可以被改善，这是因为主机关联中的改变不会引起硬件表的更新。

在特定实施例中，除了第一跳IP转发装置之外，上述过程还可以被应用于域边界路由器150A、150B。更具体而言，如上所述，域边界路由器150A、150B可以经由分发交换机到达所有主机。对于每个子网，域边界路由器可以被配置为经由分发交换机设置路由(等价路由)。如果主机路由是经由两个分发路由都可达到的，则主机路由不需要被安装。在一个方面中，域边界路由器150A、150B可以需要只设置用于该域的所有子网的子网地址。这提供了对域边界路由器150A、150B处的硬件和软件转发表资源和处理资源的大大优化。

图2是示出根据特定实施例的IP转发优化的流程图。参考图2，在步骤210，一个或多个主机路由(关联)被接收到。例如，在特定实施例中，IP转发装置130A、130B、130C、130D之一被配置为从其它IP转发装置接收主机路由。此后，在步骤220，IP转发装置被配置为从相应的子网默认路由器接收用于各个子网的子网路由条目。例如，在特定实施例中，用于子网的默认路由器可以被配置为通告子网条目。

往回参考图2，在步骤230，将主机路径与子网路由路径进行比较，如果在步骤240判定默认路由路径与相应的主机路径相匹配，则例程终止。换而言之，在特定实施例中，如果如上所述子网路由路径与主机路径(包括等价路由)相匹配，则主机路由不被安装在IP转发装置的硬件或软件转发表中。换而言之，如果在步骤240判定子网路由路径与相应的主机路径不匹配，则在步骤250，主机路由在转发表中被更新。

由于子网路由路径和所有的间接的主机路由都是经由分发交换机(例如，下一级交换机)可到达的，所以特定实施例中的第一跳IP转发装置不必安装任何间接主机路由，导致硬件转发表中的条目数减少，并且改善了IP转发装置的性能，这是因为例如主机关联中的改变可能不引起硬件转发表项的更新。

图3是示出根据特定实施例在IP转发域中检测和通告(一个或多个)主机的流程图。参考图3，在步骤310，主机装置被IP转发装置检测到。之后在步骤320，特定实施例中的IP转发装置被配置为插入与IP转发域中所检测到的主机装置相关联的主机路由。然后，在步骤330，该主机路由更新使用所配置的路由协议在整个该IP转发域中被传播。例如，在特定实施例中，OSPF可以被用作用于在IP转发域中传播路由更新的路由协议。

图4是示出根据另一实施例在IP转发域检测和通告(一个或多个)主机的流程图。参考图4，当被发往IP转发域中的未知主机装置的数据流量在步骤410被例如子网路由器或IP转发装置检测到时，在特定实施例中，在第一输入IP转发装置上，到IP转发域中的其它IP转发装置的速率受限的发现请求功能调用被触发。

参考图4，在步骤430，特定实施例中的IP转发装置被配置为发送相应的ARP探测分组。之后，当对ARP探测分组的响应被IP转发装置之一检测到时，则如步骤450所示，主机路由被插入。之后，数据流量开始。在特定实施例中，为了防止主机路由的老化，可以实现可配置的主机跟踪过程来跟踪沉默的主机(silent host)。

在另一实施例中，为了允许主机装置在IP转发装置间的漫游，并且为了避免需要主机栈上的改变，IP转发装置可以被配置为在面向主机端口(host facing port)上每子网共享单一虚拟MAC地址。这允许主机从一个IP转发装置漫游到另一个IP转发装置，而不需要刷新(flush)其ARP表。此外，代理ARP可在所有的IP转发装置上被调整(tune)，以用用于IP转发域子网的虚拟MAC地址来对与该IP转发域子网相关联的任何IP地址进行代理。

并且，如上所述，在特定实施例中，IP转发装置包括三类装置：域边界路由器、中间路由器和转发装置(可以是至少一个端主机所直接连接到的交换机)。并且，在特定实施例中，交换机可以被配置为包含上述三类装置的多个特征和功能。

以上述方式，根据特定实施例，可以提供用于具有使用原有和子域(sub-domain)路由协议的分布的路由器的层3转发机制的方法和系统。更具体而言，数据流量的转发可以是基于用于子网的IP分组中的IP DA地址的，在所述子网上，层3到套接口机制被使能。这样，在特定实施例中，VLAN不再跨越该网络中的交换机，而是，不存在与子网相关联的特定VLAN。由于属于该子网的主机可以存在于层3到套接口机制被使能的网络域中的任何位置，所以，主机路由只在该网络域内被传播，并且在层3以外不被通告给套接口域。而是，在特定实施例中，只有子网在层3以外被通告给套接口网络域。

此外，在特定实施例中，使用层3机制的流量转发提供最优的路径转发，例如，没有指数数据环路(exponential data loop)(具有TTL.hop计数的分组)或多径转发，并且可以防止发往未知目的地的流量的洪泛。

并且，根据特定实施例，由于VLAN不再跨越交换机，环路不再被形成，并且因此生成树协议不必要了。以这种方式，在特定实施例中，在其所有端口都被配置为执行层3到套接口机制的网络交换机上，交换机的每个端口可以被作为只包括那个端口的它自己的桥域(bridge domain)。即，网络交换机上的每个端口属于对于那个交换机唯一的VLAN，或者网络交换机上的每个端口都是受保护的端口(例如，边缘隔离的私有VLAN)。这又导致这样的数据流量，所述数据流量不是在层3到套接口网络域中的端口之间被层2桥接的数据流量而是被路由的数据流量。

因此，在特定实施例中，提供用于具有使用原有和子域路由协议的分布的路由器的层3转发机制的方法和系统。以这种方式，可以在不需要另外的硬件并且不需要提供数据分组格式改变的情况下，实现主动失败恢复(aggressive fail over)、有效的多径转发、提供对侦查的免疫性，并且还提供对对网络的侦查和/或洪泛攻击的免疫性。此外，在特定实施例中，另外的更高级的层3以及以上的网络服务可以被推到网络边缘，例如多拓扑路由(MTR)、虚拟路由和转发(VRF)等。

以这种方式，在特定实施例中，提供用于具有原有和子域路由协议的分布路由器的层3转发机制的方法。

因此，特定实施例可以包括在数据转发域中检测数据流量，插入与所检测到的数据流量相关联的主机路由，并且更新与该主机路由相关联的转发表。

数据流量可以从主机装置被检测到，并且该主机装置可以是未知装置。

在一个方面中，主机路由可以在数据转发域中根据预定的路由协议被传播，所述预定的路由协议例如是开放路径最短优先(OSPF)、增强内部网关路由协议(EIGRP)、中间系统对中间系统(ISIS)、内部边界网关协议(iBGP)或预定的路由协议。

在特定实施例中，该方法还可以包括：触发速率受限的发现请求功能调用。

在特定实施例中，方法包括接收主机路由、从各自的子网默认路由器接收与子网相对应的子网路由条目，将主机路径与子网路由路径相比较，并且当子网路由路径与主机路径不对应时设置主机路由。

在特定实施例中，当子网路由路径与各个主机路径没有完全匹配时，可以执行对主机路由的安装。

在另一方面中，默认路由器可以被配置为通告子网条目。

在特定实施例中，系统包括主机装置和数据转发装置，数据转发装置被配置为在数据转发域中从主机装置检测数据流量，数据转发装置还被配置为插入与所检测到的数据流量相关联的主机路由并且更新与主机路由相关联的转发表。

在特定实施例中，数据转发装置可以被配置为触发速率受限的发现请求功能调用。

在一个方面中，转发表包括ARP表格。

在另一方面中，数据转发表包括网络交换机或网络路由器中的一个或多个。

在特定实施例中，系统包括主机装置和数据转发装置，数据转发装置被可操作地耦合到主机装置，数据转发装置被配置为从主机装置接收主机路由，并且数据转发装置还被配置为从各自的子网默认路由器接收与子网相对应的子网路由条目，并且将主机路径与子网路由路径进行比较，并且当子网路由路径与主机路径不相对应时安装主机路由。

在另一方面中，数据转发装置可以被配置为当子网路由路径与各个主机路径没有完全匹配时，安装主机路由。

默认路由器可以被配置为通告子网条目。在另一实施例中，用于提供数据网络路由转发的系统可以包括：用于在数据转发域中从主机装置检测数据流量的装置，用于插入与所检测到的数据流量相关联的主机路由的装置，和用于更新与该主机路由相关联的转发表的装置。

上述各种过程包括由主机120A、120B、120C、120D、120E、120F、120G、120H、IP转发装置130A、130B、130C、130D、中间路由器140A、140B和域边界路由器150A、150B在数据网络100中的软件应用执行环境中执行的过程，所述软件应用执行环境包括结合图4和图5所述的过程和例程，上述各种过程可以被实现为使用面向对象的语言开发的计算机程序，面向对象的语言允许用模块对象对复杂系统进行建模以创建表示真实世界、物理对象和他们的关系的抽象概念。执行本发明过程所需要的软件可以由本技术领域的技术人员开发并且包括一个或多个计算机程序产品，执行本发明过程所需要的软件可以被存储在IP转发装置130A、130B、130C、130D、中间路由器140A、140B和域边界路由器150A、150B的存储器(未示出)中。

在不偏离本公开的范围和精神的情况下，对特定实施例的结构和方法的各种其它修改和更改对本领域技术人是显而易见的。尽管结合具体的特定实施例描述了本公开，但是应当理解，所要求保护的公开并不被过度限制于这样的特定实施例。希望所附权利要求限定本公开的范围并且由其覆盖在这些权利要求及其等同物的范围以内的结构和方法。

Claims

1.一种方法，包括：

在数据转发域中检测数据流量；

插入与所检测到的数据流量相关联的主机路由；以及

更新与所述主机路由相关联的转发表。

2.根据权利要求1所述的方法，其中，所述数据流量从主机装置被检测到。

3.根据权利要求1所述的方法，其中，所述主机路由在所述数据转发域内被传播。

4.根据权利要求3所述的方法，其中，所述主机路由根据以下协议被传播：开放路径最短优先(OSPF)、增强内部网关路由协议(EIGRP)、中间系统对中间系统(ISIS)、内部边界网关协议(iBGP)或预定的路由协议。

5.根据权利要求1所述的方法，所述方法还包括触发速率受限的发现请求功能调用的步骤。

6.根据权利要求1所述的方法，其中，所述转发表包括ARP表。

7.一种方法，包括：

接收主机路由；

从各自的子网默认路由器接收与子网相对应的子网路由条目；

将主机路径与子网路由路径进行比较；以及

当所述子网路由路径与所述主机路径不对应时，安装所述主机路由。

8.根据权利要求7所述的方法，其中，当所述子网路由路径与各自的主机路径没有严格匹配时，执行所述安装所述主机路由的步骤。

9.根据权利要求7所述的方法，其中，所述默认路由器被配置为通告子网条目。

10.一种系统，包括：

主机装置；和

数据转发装置，所述数据转发装置被配置为在数据转发域中从所述主机装置检测数据流量；所述数据转发装置还被配置为插入与所检测到的数据流量相关联的主机路由以及更新与所述主机路由相关联的转发表。

11.根据权利要求10所述的系统，其中，所述主机装置是未知装置。

12.根据权利要求10所述的系统，其中，所述主机路由在所述数据转发域内被传播。

13.根据权利要求12所述的系统，其中，所述数据转发装置被配置为根据预定的路由协议传播所述主机路由。

14.根据权利要求12所述的系统，其中，所述预定的路由协议包括：开放路径最短优先(OSPF)、增强内部网关路由协议(EIGRP)、中间系统对中间系统(ISIS)、内部边界网关协议(iBGP)或预定的路由协议。

15.根据权利要求10所述的系统，其中，所述数据转发装置还被配置为触发速率受限的发现请求功能调用。

16.根据权利要求10所述的系统，其中，所述转发表包括ARP表。

17.根据权利要求10所述的系统，其中，所述数据转发装置包括网络交换机或网络路由器中的一个或多个。

18.一种系统，包括：

主机装置；

数据转发装置，所述数据转发装置被可操作地耦合到所述主机装置，所述数据转发装置被配置为从所述主机装置接收主机路由，所述数据转发装置还被配置为从各自的子网默认路由器接收与子网对应的子网路由条目，将主机路径与子网路由路径进行比较，并且当所述子网路由路径与所述主机路径不对应时安装所述主机路由。

19.根据权利要求18所述的系统，其中，所述数据转发装置还被配置为当所述子网路由路径与各自的主机路径没有严格匹配时安装所述主机路由。

20.根据权利要求19所述的系统，其中，所述默认路由器被配置为通告所述子网条目。

21.一种系统，包括：

用于在数据转发域中检测数据流量的装置；

用于插入与所检测到的数据流量相关联的主机路由的装置；以及

用于更新与所述主机路由相关联的转发表的装置。