CN101572648B - 一种QinQ内广播的实现方法和装置 - Google Patents

Abstract

本发明实施例公开了一种QinQ内广播的实现方法和装置，所述方法包括以下步骤：检测路由设备下直接连接的交换设备的数量；当所述路由设备下直接相连的只有一个交换设备时，生成含有一层外层标签的报文，所述外层标签与所述交换设备的外层标签相同；或，当所述路由设备下直接相连的交换设备有多个时，生成不带外层标签的报文；将所述报文对所述交换设备进行广播。通过应用本发明，解决了路由器上复制大量的无用广播报文的问题，达到了节约网络资源，提高网络传输效率的效果，并进一步通过报文标签的识别，增强了网络安全性。

Description

一种QinQ内广播的实现方法和装置

技术领域

本发明涉及数据传输领域，特别是涉及一种QinQ内广播的实现方法和装置。 

背景技术

在基于传统的802.1Q协议的网络模型中，当两个用户的网络需要通过ISP(Internet Service Provider，互联网服务提供商)互相访问时，ISP必须为每个接入用户的不同VLAN(Virtual Local Area Network，虚拟局域网)分配不同的VLAN ID(Virtual Local Area Network IDentity，虚拟局域网身份标识)。假设用户的网络1和网络2位于两个不同地点，并分别通过ISP的节点PE1和PE2(Provider Edge，服务商边缘节点)接入骨干网。当接入的用户数目很多时，可能使ISP网络的VLAN ID不够用(只允许有4094个VLAN ID)。 

QinQ(802.1Q-in-802.1Q)技术是一项扩展VLAN空间的技术，通过在802.1Q标签报文的基础上再增加一层802.1Q的标签头来达到扩展VLAN空间的功能，可以使私网VLAN透传公网，有效的解决了VLAN ID不够用的问题。在QinQ网络中，CE发送到PE的报文带有不同的Tag(标识)值。配置QinQ，可以节约公网VLAN，使同一用户网络的报文在ISP网络中传输时都使用相同的公网VLAN。 

QinQ协议是基于IEEE 802.1Q技术的一种二层隧道协议。由于在骨干网中传递的报文有两层802.1Q Tag头(一层公网Tag，一层私网Tag)，即802.1Q-in-802.1Q所以称之为QinQ协议。这样，ISP网络只需为来自同一用户网络的不同VLAN提供一个VLAN ID，节约了ISP的VLAN ID，以解决日益紧张的ISP网络VLAN ID资源紧张的问题。 

与802.1Q的报文相比，QinQ的报文在SA(Source Address，源地址)后面又增加了一层标签。外层的标签通常被称作公网Tag，用来携带公网的 VLAN ID。内层标签通常被称作私网Tag，用来携带私网的VLAN ID。 

在QinQ网络中，源路由器下的源终端向目的路由器下的目的终端发送报文的过程具体为： 

源终端向上级的交换机发送仅包含原始以太帧的报文，交换机将该报文向源路由器上传，再上传过程中，由各级交换机添加802.1Q帧和QinQ帧，生成包含QinQ帧的报文，由源路由器发送给目的路由器。 

目的路由器将该报文向其下的交换机下发，下发过程中，各级交换机依次剥除该报文的QinQ帧和802.1Q帧，最终，该报文被恢复为原始报文，即仅包含原始以太帧的报文，发送至目的终端。 

从上述转发流程可以看出，QinQ协议无需专门的信令来维持隧道的建立，通过静态配置就可以实现。 

在上述过程中，当目的路由器要将报文发给目的终端时，需要知道该目的终端的ARP(Address Resolution Protocol，地址解析协议)，这时目的路由器会发送一个ARP请求报文(广播报文)。由于不知道该目的终端所对应的两层Tag，所以目的路由器会复制ARP请求报文。一个外层标签对应的内层标签可以配置4094个，目的路由器就会复制4094份ARP请求报文。 

一个外层标签对应的内层标签可以配置4094个，目的路由器就会复制4094份ARP请求报文。如果同一接口下配置了多个外层标签，每个外层标签又对应很多内层标签，就需要复制大量的ARP请求报文。如果同时有几个ARP Miss产生，会出现大量的报文复制，导致通道堵塞或者模块处理不过来，从而引起正常的ARP请求或者响应被丢弃，导致业务不通，并且很容易受到攻击。 

除了上述的方法外，在QinQ网络中，为了达到向目的终端发送报文的要求，还可以采取另外一种方案，即要求路由器下的设备可以主动发起ARP请求，而路由器则不再主动发送ARP请求，这样的方案可以减少路由器复制大量报文的情况。但是，在本方案中，如果路由器下的设备中有服务器，或者其它无法主动发起ARP请求的设备(比如某些媒体设备)，便会出现网络不通的情况，这种情况下，只能将该设备连接到一个单独的QinQ设备下，这个 QinQ设备只能进行内部和外部标签唯一绑定。这样的组网结构不仅增加了网络管理的难度，同时，也不利于网络安全的监管，降低了网络的安全性。因此，上述方案并不是解决报文大量复制导致网络不畅的最佳方案。 

发明内容

本发明实施例要解决的问题是提供一种QinQ内广播的实现方法和装置，减少大量无用报文的复制。 

为达到上述目的，本发明实施例一方面提出一种QinQ内广播的实现方法，包括以下步骤： 

检测路由设备下直接连接的交换设备的数量； 

当所述路由设备下直接相连的只有一个交换设备时，生成含有一层外层标签的报文，所述外层标签与所述交换设备的外层标签相同；或，当所述路由设备下直接相连的交换设备有多个时，生成不带外层标签的报文； 

将所述报文对所述交换设备进行广播。 

另一方面，本发明实施例还提出一种路由设备，包括： 

检测模块，用于检测路由设备下直接连接的交换设备的数量； 

生成模块，用于根据所述检测模块检测的所述交换设备的数量，生成含有一层外层标签或不含有外层标签的报文； 

内广播模块，用于将所述生成模块生成的报文对所述交换设备进行广播。 

另一方面，本发明实施例还提出一种QinQ内广播的实现方法，包括以下步骤： 

路由设备生成含有一层预设外层标签的报文； 

所述路由设备将所述报文对所述路由设备下直接连接的各交换设备进行广播。 

另一方面，本发明实施例还提出一种路由器，包括： 

生成模块，用于生成含有一层预设外层标签的报文； 

内广播模块，用于将所述生成模块生成的报文对所述路由设备下直接连接的各交换设备进行广播。 

本发明实施例的技术方案具有以下优点，因为采用了QinQ内的可控广播功能，对报文标签进行特殊处理，从而，解决了在路由器上复制大量的无用广播报文的问题，达到了节约网络资源，提高网络传输效率的效果，并进一步通过报文标签的识别，增强了网络安全性。 

附图说明

图1为本发明实施例中QinQ的典型组网示意图； 

图2为本发明实施例一，一种QinQ内广播的实现方法的流程示意图； 

图3为本发明实施例二，一种路由器的结构示意图； 

图4为本发明实施例三，一种QinQ内广播的实现方法的流程示意图； 

图5为本发明实施例四，一种QinQ内广播的保护方法的流程示意图； 

图6为本发明实施例四，一种QinQ内广播的保护网络组网结构示意图； 

图7为本发明实施例五，一种路由器的结构示意图。 

具体实施方式

本发明实施例提供一种QinQ内广播的实现方法和装置，减少大量无用报文的复制。 

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述： 

首先，如图1所示，为本发明技术方案的实施场景，包括源路由器R1、目的路由器R2，以及两个路由器下的交换机S1-x、S2-x和终端。 

需要指出的是，上述的实施场景仅为本发明的一种优选实施例，设备数量和网络层级均可以根据实际应用情况进行调整，这样的调整并不影响本发明的保护范围。 

如图2所示，为本发明实施例一，一种QinQ内广播的实现方法的流程示意图。 

所谓内广播，是指向网内同一个系统号下的所有用户发送广播信息，即路由设备向其下直接连接的通信设备发送广播消息，为了实现上述发送，现 有技术需要在广播消息即ARP请求消息中加入与目标设备相一致的外层标签，这样，使路由设备需要复制大量的报文，影响网络传输质量。为了避免这种情况出现，本发明实施例提出如下技术方案： 

首先，在路由器R2上设置两种新的广播报文规则，路由器R2可以根据该广播报文规则生成ARP请求报文，并向路由器下的设备进行广播，查询目的终端所对应的ARP，具体的，这两种报文规则为： 

一种是在仅包含一个外层标签的网络中进行广播的报文规则，即路由设备下仅直接连接一个交换设备的网络中进行广播的报文规则，在按照这种报文格式生成的报文中，目的MAC为全F的广播MAC地址，带一层外层标签，该外层标签和上述交换设备的外层标签相一致，这种报文用于在该网络中由路由设备对直接连接的交换设备进行内广播； 

另外一种报文是不带标签的以太网广播报文规则，即路由设备下直接连接多个交换设备的网络中进行广播的报文规则，该网络中包含多个外层标签，如果对应生成多种报文，则会产生复制量过大、网络负担过重的弊端，所以，本发明实施例提出不带标签的报文规则，针对此种网络进行广播，这种报文用于在上述网络中由路由设备向所有与其直接相连的交换设备进行内广播。 

需要进一步指出的是，为了便于说明，上述的与路由设备直接连接的交换设备在本发明实施例中指具有消息转发功能的路由器，这仅为本发明的优选实施例，在实际应用中，还可以包括，服务器，终端或其他网络组成节点或设备，这样的变化并不影响本发明的保护范围。 

通过上述技术方案可以避免现有技术中两种QinQ报文广播方案带来的问题，报文转发过程可以用下面的过程描述。 

S201、路由器R2从网络侧接收报文。 

S202、R2检测直接连接的交换机的数量，并根据检测结果对报文进行处理后，向下挂的交换机S1-x进行转发。 

上述检测结果包括，与R2直接连接的交换机数量是一个还是多个，当检测结果为与R2直接连接的交换机数量是一个时，生成仅带有一个外层标签的ARP请求报文，向上述的一个交换机进行内广播，该外层标签与该交换机的 标签相一致；当检测结果为与R2直接连接的交换机数量是多个时，生成不带有外层标签的ARP请求报文，向上述所有交换机进行内广播。 

具体的处理过程如下： 

路由器R2识别接收到报文为QinQ报文，需要转发给QinQ接口； 

在QinQ接口处查找ARP表，如果发现在ARP表中没有与该报文相对应的表项，因此，找不到目的终端的MAC地址，为保证转发的顺利进行，在ARP表中生成假表项，同时向路由器R2上报ARP Miss，请求查找目的终端对应的ARP； 

ARP模块查看该QinQ接口有几个外层Tag： 

如果该QinQ接口中只有一个外层Tag，即路由器R2下直接连接的交换机数量为一个，则产生一个ARP请求报文，报文中的Tag为上述的外层Tag，从与上述交换机对应端口进行发送，例如，当R2下直接相连的交换机仅有S1-3时，生成以S1-3的外层Tag为Tag的ARP请求报文，从S1-3对应的端口发送给S1-3；； 

如果有两个或者两个以上的外层Tag，即路由器R2下直接连接的交换机数量为两个或两个以上，则产生不带Tag的ARP请求报文，从对应端口发送给S1-x，例如，当R2下直接相连的交换机包括S1-3和S1-4时，生成不带Tag的ARP请求报文，从对应的端口发送给S1-3和S1-4。 

S203、S1-x处理收到的报文，并向下转发给S2-x。 

具体的，需要预先在S1-x交换机的上联接口进行相应配置，允许带一层标签或不带标签的ARP请求报文复制到相应的下行接口。 

如果接收到带一层标签或不带标签的广播报文，将该报文在对应端口复制，根据下挂S2-x的数量，复制一份或多份，类似于二层组播的复制机制，从每个端口发送出去，以S1-4为例，S1-4接收报文后，在对应端口复制两份，发送给S2-7、S2-8。 

S204、S2-x处理收到的报文，并向下转发给终端。 

具体的，需要预先在S2-x交换机的上联接口进行相应配置，允许带一层标签或不带标签的广播报文复制到相应的下行接口。 

如果接收到带一层标签或不带标签的广播报文，将该报文在对应端口复制，根据下挂终端的数量，复制一份或多份，类似于二层组播的复制机制，在每个端口对报文进行转发，将报文发送给所有的终端，以S2-7为例，S2-7接收报文后，在对应端口复制两份，发送给下挂的两个终端。 

需要进一步指出的是，上述的包含S1-x、S2-x和终端的网络结构是为了便于说明而选择的优选网络结构，上述处理过程也仅为本发明的优选实施例，在实际技术实施过程中，网络中可以包含多层结构，如S3-x、S4-x等，本发明技术方案同样可以在上述多层网络结构中实现，具体为，路由器与S1-x之间的转发过程与本实施例的处理流程一致，而后续的与S2-x、S3-x、S4-x等交换机的处理过程则与本实施例中的与S2-x的处理流程相一致，这样的变化同样属于本发明的保护范围。 

本发明实施例采用了QinQ内的可控广播功能，根据下挂设备数量对报文标签进行特殊处理，从而，解决了在路由器上复制大量的无用广播报文的问题，达到了节约网络资源，提高网络传输效率的效果。 

为了实现上述实施例所提供的QinQ内广播的实现方法，本发明还提供了对应的装置，如图3所示，为本发明实施例二，一种路由器的结构示意图，包括： 

检测模块31，用于检测路由器直接连接的交换机的数量。 

生成模块32，用于在检测模块31检测交换机的数量为一个时，生成含有一层外层标签的ARP请求报文，或在检测模块31检测交换机的数量为多个时，生成不含有外层标签的ARP请求报文，具体包括： 

第一生成子模块321，用于当检测模块31检测的交换机数量为一个时，生成含有一层外层标签的报文，报文的外层标签与交换机的外层标签相同； 

第二生成子模块322，用于当检测模块31检测的交换机数量为多个时，生成不带外层标签的报文。 

需要指出的是，上述第一生成子模块321和第二生成子模块322可以同时存在于生成模块32中，也可以根据路由设备下直接连接的交换设备数量进 行调整，如：路由设备下仅直接连接一个交换设备时，生成模块32仅包含第一生成子模块321；路由设备下直接连接多个交换设备时，生成模块32仅包含第二生成子模块322，这样的变化同样属于本发明的保护范围。 

内广播模块33，用于将生成模块生成32的ARP请求报文向与路由器直接连接的交换机进行广播，请求查询目的终端的ARP。 

如图4所示，为本发明实施例三，一种QinQ内广播的实现方法的流程示意图。 

首先，修改现有机制，在QiniQ中使用一个特殊的Tag，做为该QinQ中的广播报文的标签，这样在路由器R2上仅仅对每个端口发送一个报文，类似于将以太网的广播报文在QinQ中重新实现，这样就避免现有技术中两种方案带来的问题。例如可以使用4095这个VLAN标签做为广播报文标签。则报文转发过程可以用下面的过程描述。 

S401、路由器R2从网络侧接收报文。 

S402、R2对报文进行处理后，向下挂的交换机S1-x进行转发。 

具体的处理过程包括：R2上IP转发发现应该转发给Tag所属的接口； 

在接口查找ARP表，发现ARP表中没有表项，找不到MAC地址，为保证转发顺利进行，在ARP表中生成假表项，同时上报ARP Miss； 

ARP模块产生特殊Tag的报文，例如，Tag为4095的报文； 

将生成的报文下发到对应端口，从对应端口发出给S1-x，例如，复制为两份，发送给S1-3和S1-4。 

S403、S1-x处理收到的报文，并向下转发给S2-x。 

在S1-x交换机的上联接口，进行相应配置，允许接收含有上述预置的特殊Tag的报文，例如，允许Tag为4095的广播报文复制到相应的下行接口。 

接收到一个含有特殊Tag(即4095)的报文，将该报文在对应端口复制，根据下挂S2-x的数量，复制一份或多份，类似于二层组播的复制机制，从每个端口发送出去，例如，对于S1-4，将Tag为4095的报文复制为两 份，发给S2-7和S2-8。 

S404、S2-x处理收到的报文，并向下转发给终端。 

在S2-x交换机的上联接口，进行相应配置，允许接收含有上述预置的特殊Tag的报文，例如，允许Tag为4095的广播报文复制到相应的下行接口。 

如果接收到一个带有特殊Tag的报文，将该报文在对应端口复制，根据下挂终端的数量，复制一份或多份带有特殊Tag的广播报文，类似于二层组播的复制机制，在每个端口对报文进行转发，将带有特殊Tag报文发送给相连的终端，以S2-7为例，S2-7接收报文后，在对应端口复制为两份，发送给下挂的两个终端。 

本发明实施例采用了QinQ内的可控广播功能，对报文标签根据预设标签进行特殊处理，从而，解决了路由器上复制大量的无用广播报文的问题，达到了节约网络资源，提高网络传输效率的效果。 

如图5所示，为本发明实施例四，一种QinQ内广播的保护方法的流程示意图。 

通过本发明前述的实施例，使命令行配置方式具有了速度快、流行广等许多优点，同时，为了进一步简化本发明前述实施例中技术方案的操作流程，本发明实施例还提出了通过网管系统进行路由设备配置的方法，具体的配置步骤与上述实施例的流程相同，但各配置步骤由网管系统进行引导操作，网管系统可以用简单、直观的方式引导用户完成对路由器的配置工作。 

另一方面，加入了网管系统的QinQ网络可以提高网络的安全性，识别网络中的危险报文并告警，避免广播报文对路由器的攻击。 

在本发明实施例三中，从安全角度来看，在接口上配置相应命令，允许Tag为4095的报文进入路由器，是一种特殊操作，如果没有配置这样的命令，网络上不应该存在这种报文。 

本发明实施例的技术方案中，路由器实时检测网络中报文的标签，如 果存在包含未经配置的标签的报文，路由器可以认为是受到网络攻击，通过管理信息库MIB向网管系统报警。具体为： 

S501、路由器识别网络中报文的标签； 

S502、将所述报文的标签与所述预设外层标签进行匹配； 

S503、根据所述匹配的结果，判断所述报文是否为安全报文。 

当所述报文的标签与所述预设外层标签匹配时，判断所述报文安全，完成本次流程，重新转入S501，进入新一轮的保护流程； 

当所述报文的标签与所述预设外层标签不匹配时，判断所述报文为攻击，转入S504。 

S504、路由器通过MIB向网管系统报警。 

基于上述方法的组网结构实施例如图6所示，包含路由器1、路由器2和网管系统，其中路由器1、路由器2用于检测报文标签，当检测到含有与网络中预设的外层标签不相匹配的外层标签的报文时，判断为网络攻击，向网管中心告警。 

本发明实施例的技术方案进一步通过报文标签的识别，实现了对网络中报文的监控，并在检测到危险报文时进行告警，增强了网络的安全性。 

为了实现上述实施例所提供的QinQ内广播的实现和保护方法，本发明还提供了对应的装置，如图7所示，为本发明实施例五，一种路由器的结构示意图，包括： 

生成模块71，用于生成含有一层预设外层标签的报文，包括： 

标签设定子模块71，用于设定与所述路由器下直接连接的各交换机的外层标签不同的特殊外层标签。 

内广播模块72，用于将所述生成模块71生成的报文对所述路由设备下直接连接的各交换设备进行广播。。 

其中，本路由器还包括安全模块73，用于检测网络中的报文是否安全，具体包括： 

识别子模块731，用于识别网络中报文的标签； 

匹配子模块732，用于将所述识别子模块731识别的报文的标签与所述生成模块71预设的外层标签进行匹配； 

判断子模块733，用于根据所述匹配子模块的匹配结果，判断所述报文是否安全； 

报警子模块734，用于当所述判断子模块733判断所述报文不安全时，通过MIB向网管中心报警。 

本发明实施例的技术方案具有以下优点，因为采用QinQ内的可控广播功能，对报文标签的特殊处理，从而，解决了路由器上复制大量的广播报文的问题，达到了节约网络资源，提高网络传输效率的效果，并进一步通过报文标签的识别，增强了网络安全性。 

需要进一步指出的是，目前本发明上述实施例提供的广播报文用于解决ARP Miss带来的ARP请求的问题，但不排除将本发明的广播报文用于其它类型的业务，基于本发明技术思想所作出的相应变化同样属于本发明的保护范围。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以可借助软件加必要的通用硬件平台的方式来实现基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。 

Claims (3)

1.一种QinQ内广播的实现方法，其特征在于，包括以下步骤：

检测路由设备下直接连接的交换设备的数量；

当所述路由设备下直接相连的交换设备只有一个时，生成含有一层外层标签的报文，所述外层标签与所述交换设备的外层标签相同；或，当所述路由设备下直接相连的交换设备有多个时，生成不带外层标签的报文；

所述路由设备根据下级交换设备的数量，复制所述报文；逐级复制并下发所述报文，直至下发至所述报文的目的终端，将所述报文对所述交换设备进行广播。

2.如权利要求1所述QinQ内广播的实现方法，其特征在于，所述检测路由设备下直接连接的交换设备的数量，具体为：

检测所述路由器的接口中的外层标签数量。

3.一种实现QinQ内广播的路由设备，其特征在于，包括：

第一模块，用于检测路由设备下直接连接的交换设备的数量；

第二模块，用于根据所述第一模块检测的所述交换设备的数量，生成含有一层外层标签或不含有外层标签的报文，具体包括：

第一生成子模块，用于当所述第一模块检测的路由设备下直接连接的交换设备只有一个时，生成含有一层外层标签的报文，所述外层标签与所述交换设备的外层标签相同；

第二生成子模块，用于当所述第一模块检测的交换设备数量为多个时，生成不带外层标签的报文；

第三模块，用于使所述路由设备根据下级交换设备的数量，复制所述报文；逐级复制并下发所述报文，直至下发至所述报文的目的终端，将所述第二模块生成的报文对所述交换设备进行广播。

Images