CN101572671A - 报文转发方法及转发设备和网络终端设备 - Google Patents

Abstract

本发明实施例公开了一种报文转发方法及相应的转发设备和网络终端设备。本发明实施例采用基于网络报文转发来实现虚拟专用网的方式，虚拟专用网内的节点需要通过特定的转发设备进行报文转发来实现彼此之间的互通，保证了虚拟专用网的网络安全。

Description

报文转发方法及转发设备和网络终端设备

技术领域

本发明涉及通信技术领域，具体涉及一种报文转发方法及转发设备和网络终端设备。

背景技术

随着通信技术的发展，网际协议(IP，Internet Protocol)网络被广泛应用。接入IP网络的节点分配有相应的IP地址，这些节点通过IP网络中的各种网络设备(例如路由器，交换机等)被连接在一起。节点之间可以通过发送IP报文互通，例如，若作为源的节点需要发送IP报文给作为目的的节点，则将目的节点的IP地址作为目的地址写入所发送的IP报文的报文头中，IP网络中的各种设备根据IP报文的目的地址将其转发和路由到相应的目的节点。由于节点之间可以便利的直接互通，使得网络的安全性受到严重挑战。

为提高网络安全，也有采用虚拟专用网(VPN，Virtual Private Network)来提供特定节点之间的网络连接，使得VPN以外的其他节点不能随意访问VPN内的节点。目前，VPN一般是通过对公共IP网络中的数据链路进行控制和分配来实现的，即通过将VPN内节点与外部节点进行物理隔离以保证信息安全。

发明内容

本发明实施例提供能够实现VPN的报文转发方法以及转发设备和网络终端设备。

一种报文转发方法，包括：转发设备接收源节点发送的双层报文，所称双层报文包括作为数据封装的内层报文和外层报文头，此时外层报文头携带的目的地址为转发设备自身的全局地址，内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；转发设备根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址；转发设备重新封装外层报文头，此时外层报文头携带的目的地址为目的节点的全局地址；转发设备将重新封装的双层报文发送给目的节点。

一种转发设备，包括：接收模块，用于接收源节点发送的双层报文；转发策略模块，用于解析接收模块接收的双层报文，所称双层报文包括作为数据封装的内层报文和外层报文头，此时外层报文头携带的目的地址为转发设备自身的全局地址，内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址；封装模块，用于重新封装外层报文头，重新封装的外层报文头携带的目的地址为转发策略模块查找到的目的节点的全局地址；发送模块，用于将封装模块重新封装的双层报文发送给目的节点。

一种网络终端设备，包括：封装模块，用于先封装生成内层报文，内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；再将内层报文作为数据封装上外层报文头生成双层报文，外层报文头携带的目的地址为虚拟专用网的转发设备的全局地址；发送模块，用于发送封装模块生成的双层报文。

本发明实施例采用基于网络报文转发来实现VPN的方法，VPN内的节点需要通过特定的转发设备进行彼此之间的互通，保证了VPN的网络安全。

附图说明

图1是本发明报文转发方法的实施例的基本流程示意图；

图2是本发明实施例一的流程示意图；

图3是本发明实施例一中双层IP报文的格式示意图；

图4是本发明实施例二中双层IP报文的格式示意图；

图5是本发明实施例三的流程示意图；

图6是本发明转发设备的实施例的逻辑结构示意图；

图7是本发明网络终端设备的实施例的逻辑结构示意图；

图8是本发明实施例的应用场景的组网示意图。

具体实施方式

本发明实施例提供一种能够实现VPN的报文转发方法，由具有特定处理能力的转发设备对VPN内节点间的IP报文进行中转。本发明实施例还提供相应的转发设备和网络终端设备。以下分别进行详细说明。

本发明报文转发方法的实施例的基本流程可参考图1，主要包括步骤：

101、转发设备接收源节点发送的双层报文。

本文中，将节点在公共网络中的地址称为全局地址，将节点在所归属的VPN内的地址称为私有地址。

本发明实施例中，VPN内的节点之间通过双层报文进行通信。所称双层报文即经过两次封装的报文，包括外层报文头和作为数据封装的内层报文。所称内层报文包括内层报文头，当然还可以包括实际需要传递的数据信息等。清楚起见，以下将转发设备收到的(也就是源节点发送的)双层报文的外层报文头称为第一外层报文头。第一外层报文头携带的目的地址为转发设备的全局地址，网络可以将源节点发送的双层报文看作需要发送给转发设备的普通报文进行传送。内层报文头携带的目的地址为目的节点在VPN内的私有地址。

102、转发设备根据目的节点在VPN内的私有地址查找目的节点的全局地址。

转发设备可以根据预置或生成的VPN节点信息来执行上述查找。简明起见，以下将记载VPN节点信息的数据结构称为“转发策略表”。转发策略表记录的节点信息至少包含相互对应的两个地址，即节点的全局地址与在VPN内的私有地址。

若VPN内节点的全局地址与私有地址均较为固定，可以预先在转发设备上配置转发策略表，当然，转发设备也可以自行生成转发策略表或对转发策略表进行动态维护。例如，在节点注册加入VPN时，由转发设备将新注册节点的信息记录到转发策略表，或者在VPN内节点的交互过程中，转发设备根据报文携带的信息自行更新转发策略表(例如根据双层报文的第一外层报文头携带的源节点的全局地址与内层报文头携带的源节点的私有地址，更新转发策略表中源节点的信息)等。

容易理解，转发设备可以是某个VPN专有的，也可以为多个VPN所共用。在后一种情况下，转发设备在收到双层报文时可先确定双层报文归属的VPN，再在该VPN内查找与目的节点的私有地址对应的全局地址。转发设备具体可依据双层报文的第一外层报文头携带的源节点的全局地址，或双层报文中携带的VPN标识信息来确定双层报文归属的VPN。一个记录了两个VPN的节点信息的转发策略表如表1所示：

表1

表1中VPN1和VPN2各包含三个节点，当然后续还可以有其他节点加入，在转发策略表中增加相应的行即可。转发策略表记录的节点信息除了全局和私有地址外也可以进一步包含端口信息等(这些信息同样可在报文转发时使用)，在转发策略表中增加相应的列即可。

103、转发设备为内层报文重新封装外层报文头，此时外层报文头携带的目的地址为查找到的目的节点的全局地址。

清楚起见，以下将转发设备重新封装的双层报文的外层报文头称为第二外层报文头。

104、转发设备将重新封装的双层报文发送给目的节点。

由于第二外层报文头携带的目的地址为目的节点的全局地址，因此网络可以将转发设备发送的双层报文看作需要发送给目的节点的普通报文进行传送。

通过上述报文转发过程，转发设备实现了VPN的构建，VPN内的节点需要通过转发设备才能进行互通，通过报文转发实现了对VPN的网络安全的控制。下面以IP网络为例，给出本发明的方法的具体实施例。

实施例一、一种IP网络中的报文转发方法，流程可参考图2，包括步骤：

201、转发设备接收源节点发送的双层IP报文。

本实施例中双层IP报文的格式可参考图3，其中外层报文头和内层报文头分别包括一个独立的IP报文头IPo和IPi。容易理解，各层报文头除了包括IP报文头以外通常还可进一步包括传输层协议头，例如图3中示出的传输控制协议(TCP，Transmission Control Protocol)/用户数据报协议(UDP，User DatagramProtocol)头等。此外，内层报文中还包括实际需要传递的数据Data。数据Data先封装上内层报文头成为内层报文，然后整个内层报文再被作为数据封装上外层报文头，成为双层IP报文。

IPo中携带的源地址为源节点的全局地址，目的地址为转发设备的全局地址。IPi中携带的源地址为源节点在VPN内的私有地址，目的地址为目的节点在VPN内的私有地址。

202、转发设备根据源节点的全局地址确定所接收的双层IP报文归属的VPN。

本实施例中的转发设备可以提供两个以上的VPN，即，转发策略表中记录着两个以上VPN的节点信息。在收到双层IP报文后，转发设备可使用IPo中携带的源节点的全局地址在整个转发策略表中进行查找，确定报文归属的VPN。

203、转发设备在上述确定的VPN的节点信息中查找与目的节点的私有地址对应的全局地址。

204、转发设备为内层报文重新封装外层报文头，此时外层报文头中的IPo携带的目的地址为查找到的目的节点的全局地址。

205、转发设备将重新封装的双层IP报文发送给目的节点。

为进一步提高安全性，双层IP报文的IP层或者TCP/UDP层可采用IP安全(IPsec，IP Security)协议或者传输层安全(TLS，Transport Layer Security)协议进行安全封装。

本实施例中，转发设备通过源节点的全局地址来确定查找目标节点全局地址的VPN，使得一个转发设备可以实现多个VPN。

实施例二、一种IP网络中的报文转发方法，本实施例与实施例一的主要区别在于，在收到源节点发送的双层IP报文以后，转发设备根据双层IP报文携带的VPN标识来确定所接收的双层IP报文归属的VPN，其余步骤与实施例一类似，不再赘述。

源节点可以将VPN标识以各种能够为转发设备识别的方式放置在双层IP报文中。本实施例采用创建一个新的报文头，即附加报文头的形式携带VPN标识。本实施例中双层IP报文的格式可参考图4，其中NH头为封装外层报文头时创建的新的报文头，用来携带VPN标识等信息。

本实施例中，转发设备通过双层IP报文携带的VPN标识来确定查找目标节点全局地址的VPN，使得一个转发设备可以实现多个VPN。

实施例三、一种IP网络中的报文转发方法，本实施例与实施例一和二的主要区别在于，在转发报文之前对源节点的全局地址与私有地址进行匹配性验证。流程可参考图5，包括步骤：

301、转发设备接收源节点发送的双层IP报文。

302、转发设备确定所接收的双层IP报文归属的VPN。

上述两个步骤的具体情况可参考实施例一或二，不再赘述。

303、转发设备验证接收的双层IP报文中源节点的全局地址与私有地址是否匹配，若匹配则继续执行后续操作，若不匹配则结束处理。

在确定VPN以后，转发设备可以在转发策略表记录的该VPN的节点信息中进行查找，验证双层IP报文中源节点的全局地址与私有地址与转发策略表中记录的是否一致，若一致则认为匹配，若不一致则认为不匹配。

此后的步骤304～306与步骤203～205类似，不再赘述。

容易理解的是，步骤303只要在步骤306之前执行即可，与步骤304和305没有必然的先后关系，甚至可以与步骤304和305并行执行。此外，若转发策略表中还记录有节点的端口信息等其他信息，这些信息也可被用于匹配性验证以增强安全性。

本实施例中，转发设备先对收到的双层IP报文中，源节点的全局地址与私有地址是否匹配进行验证，进一步保证了VPN的网络安全。

下面对用于执行上述报文转发方法的本发明转发设备的实施例进行说明，其逻辑结构参考图6，主要包括：

接收模块401，用于接收源节点发送的双层报文；

转发策略模块402，用于解析接收模块401接收的双层报文，所称双层报文包括外层报文头和作为数据封装的内层报文，内层报文包括内层报文头，接收模块402接收的双层报文的外层报文头携带的目的地址为本转发设备的全局地址，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址；

封装模块403，用于为转发策略模块402解析出的内层报文重新封装外层报文头，重新封装的外层报文头携带的目的地址为转发策略模块402查找到的目的节点的全局地址；

发送模块404，用于将封装模块403重新封装的双层报文发送给目的节点。

在一种实现方式中，相应于图3所示的双层报文格式，接收模块401接收的双层报文的外层报文头携带的源地址为源节点的全局地址；转发策略模块402则具体用于，根据源节点的全局地址确定所接收的双层报文归属的虚拟专用网，再在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

在另一种实现方式中，相应于图4所示的双层报文格式，接收模块401接收的双层报文还包括附加报文头，该附加报文头携带有虚拟专用网标识；转发策略模块402则具体用于，根据附加报文头携带的虚拟专用网标识确定所接收的双层报文归属的虚拟专用网，再在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

此外，为增强安全性，转发设备中还可进一步包括验证模块405(在图6中以虚线框示出)，用于根据转发策略模块402对接收模块401接收的双层报文的解析，验证接收模块401接收的双层报文中源节点的全局地址与私有地址是否匹配，在匹配的情况下才允许执行接收模块401接收的双层报文的后续转发操作。验证模块405的控制可以插入双层报文转发操作的任意阶段，例如，可以是允许转发策略模块402继续执行目的节点的全局地址的查询，或者是允许封装模块403执行内层报文的重新封装，或者是允许发送模块404执行重新封装后的报文的发送等。

上述实施例中的转发设备，通过转发策略模块对接收到的双层报文进行解析，查找出与内层作为目的地址的私有地址对应的全局地址，再由封装模块按照查找到的全局地址重新封装双层报文的外层报头，以报文转发方式实现了VPN的构建，VPN内的节点需要通过转发设备才能进行互通。

下面对适用于上述报文转发方法的本发明网络终端设备的实施例进行说明，其逻辑结构参考图7，主要包括：

封装模块501，用于先封装生成内层报文，该内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；再将内层报文作为数据封装上外层报文头生成双层报文，外层报文头携带的目的地址为所述虚拟专用网的转发设备的全局地址；

发送模块502，用于发送封装模块501生成的双层报文。

为更好的理解上述实施例，下面以具体的应用场景为例进行说明。组网示意图如图8所示，IP网络上的两个节点A和B组成一个VPN，假定为VPN3，转发设备C是VPN3的转发设备。转发设备C上配置的转发策略表与VPN3相关的部分如表2所示：

表2

转发设备C的全局地址为202.102.10.233。

当节点A和B需要在VPN3内进行通信时，需要通过转发设备C进行。

假设节点A需要发送一个IP报文给节点B，执行步骤如下：

1、节点A首先构建到节点B的一个IP报文(内层报文)，IPi携带的源地址和目的地址分别为节点A和节点B的私有地址，即：10.0.0.1→10.0.0.2。

2、节点A将该内层报文作为数据再次封装外层报文头IPo，IPo携带的源地址和目的地址分别为节点A和转发设备C的全局地址，即：202.132.10.32→202.102.10.233。

3、节点A将封装好的双层报文发送出去。

4、转发设备C收到双层报文：202.132.10.32→202.102.10.233，在转发策略表中识别出该报文是VPN3内的报文。(可以是根据节点A的地址“202.132.10.32”查出的，也可以是根据双层报文中携带的VPN3的标识查出的)

5、转发设备C验证IPo的源地址“202.132.10.32”和IPi的源地址“10.0.0.1”与转发策略表中记录的节点A的全局地址和私有地址的对应关系一致。

6、转发设备C拆掉外层报文头，获取内层报文：10.0.0.1→10.0.0.2，然后根据目的节点的私有地址“10.0.0.2”，在VPN3的节点信息中查找到该报文是要发送给节点B的，其全局地址为“202.155.101.2”。

7、转发设备C给内层报文重新封装一个外层IP头：202.102.10.233→202.155.101.2。

8、转发设备C将重新封装的双层报文发送出去，至此完成报文的转发过程。在这个过程中，转发设备C充当虚拟交换机实现了VPN内节点间的安全通信。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁盘或光盘等。

以上对本发明实施例所提供的报文转发方法，以及相应的转发设备和网络终端设备进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1、一种报文转发方法，其特征在于，包括：

转发设备接收源节点发送的双层报文，所述双层报文包括作为数据封装的内层报文和外层报文头，此时外层报文头携带的目的地址为所述转发设备的全局地址，所述内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；

转发设备根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址；

转发设备重新封装外层报文头，此时外层报文头携带的目的地址为所述目的节点的全局地址；

转发设备将重新封装的双层报文发送给所述目的节点。

2、根据权利要求1所述的方法，其特征在于，转发设备接收的双层报文的外层报文头携带的源地址为源节点的全局地址，

所述转发设备根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址的步骤包括：

转发设备根据源节点的全局地址确定所接收的双层报文归属的虚拟专用网，在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

3、根据权利要求1所述的方法，其特征在于，转发设备接收的双层报文中携带有虚拟专用网标识，

所述转发设备根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址的步骤包括：

转发设备根据所述虚拟专用网标识确定所接收的双层报文归属的虚拟专用网，在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

4、根据权利要求3所述的方法，其特征在于：转发设备接收的双层报文包括附加报文头，通过所述附加报文头携带所述虚拟专用网标识。

5、根据权利要求1所述的方法，其特征在于，转发设备接收的双层报文的外层报文头携带的源地址为源节点的全局地址，内层报文头携带的源地址为源节点在虚拟专用网内的私有地址；

转发设备在将重新封装的双层报文发送给目的节点之前，先验证接收的双层报文中源节点的全局地址与私有地址是否匹配，在匹配的情况下才执行重新封装的双层报文的发送操作。

6、一种转发设备，其特征在于，包括：

接收模块，用于接收源节点发送的双层报文；

转发策略模块，用于解析所述接收模块接收的双层报文，所述双层报文包括作为数据封装的内层报文和外层报文头，此时外层报文头携带的目的地址为所述转发设备的全局地址，所述内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址；

封装模块，用于重新封装外层报文头，重新封装的外层报文头携带的目的地址为所述转发策略模块查找到的目的节点的全局地址；

发送模块，用于将所述封装模块重新封装的双层报文发送给所述目的节点。

7、根据权利要求6所述的设备，其特征在于：

所述接收模块接收的双层报文的外层报文头携带的源地址为源节点的全局地址，

所述转发策略模块用于根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址，具体是用于，根据源节点的全局地址确定所接收的双层报文归属的虚拟专用网，在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

8、根据权利要求6所述的设备，其特征在于：

所述接收模块接收的双层报文还包括附加报文头，所述附加报文头携带有虚拟专用网标识，

所述转发策略模块用于根据目的节点在虚拟专用网内的私有地址查找目的节点的全局地址，具体是用于，根据附加报文头携带的虚拟专用网标识确定所接收的双层报文归属的虚拟专用网，在该虚拟专用网的节点信息中查找与目的节点的私有地址对应的全局地址。

9、根据权利要求6所述的设备，其特征在于，还包括验证模块，所述接收模块接收的双层报文的外层报文头携带的源地址为源节点的全局地址，内层报文头携带的源地址为源节点在虚拟专用网内的私有地址；

所述验证模块用于根据所述转发策略模块对所述接收模块接收的双层报文的解析，验证所述接收模块接收的双层报文中源节点的全局地址与私有地址是否匹配，在匹配的情况下才允许执行所述接收模块接收的双层报文的后续转发操作。

10、一种网络终端设备，其特征在于，包括：

封装模块，用于先封装生成内层报文，所述内层报文包括内层报文头，内层报文头携带的目的地址为目的节点在虚拟专用网内的私有地址；再将内层报文作为数据封装上外层报文头生成双层报文，外层报文头携带的目的地址为所述虚拟专用网的转发设备的全局地址；

发送模块，用于发送所述封装模块生成的双层报文。

Images