CN102055647A - 一种三层vpn的接入方法和系统 - Google Patents

Abstract

本发明公开了一种三层虚拟专用网(VPN)的接入方法，其接入网络通过IP伪线接入三层VPN，该方法包括：在衔接三层VPN和接入网络的运营商边缘(PE)设备上，建立IP伪线与虚拟路由转发表(VRF)的映射关系；PE设备从IP伪线上接收到IP报文时，在映射关系中查找与IP伪线对应的VRF，并根据IP报文的目的IP地址，将IP报文在三层VPN中按照查找的VRF进行转发；PE设备从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将IP报文转发到目的IP地址对应的IP伪线上。本发明还公开了一种三层VPN的接入系统。本发明接入三层VPN的方法和系统，能够提高接入网络的可扩展性，降低PE设备的复杂度。

Description

一种三层VPN的接入方法和系统

技术领域

本发明涉及网络通信中的虚拟专用网(VPN)接入技术，尤其涉及一种三层VPN的接入方法和系统。

背景技术

虚拟专用网(VPN，Virtual Private Network)技术已经在数据通信领域广泛使用，运营商通过VPN技术为大型企业、中小型企业、政府、教育行业等提供专网业务。

当前普遍采用的VPN技术主要有两种，分别是二层VPN技术和三层VPN技术，二层VPN技术为用户提供二层的连接，三层VPN技术则提供三层的连接。二层VPN技术的安全性较高，且对运营商来说管理复杂度较低，但对于用户对自身虚拟网络的维护能力的要求也较高，其适用于有足够能力自己维护VPN内网络路由的专用客户，如金融和公安等。三层VPN技术适用于没有能力管理自己VPN内网络的中小型企业，运营商为客户维护虚拟主干网络，将客户的工作量减到最小，将客户的设备降低到最简单，同时出于安全考虑，还可以为客户提供Internet协议安全性(IP Sec)外包服务。因此，三层VPN技术的应用已经越来越普遍，不仅广泛应用于教育、交通、卫生、能源等行业，金融、政府、电信的行业的非核心业务也逐渐采用三层VPN技术部署网络。

目前的三层VPN技术主要应用在汇聚层或核心层，而随着网络规模的快速增长和网络安全威胁的日益严重，接入网络的可扩展性和安全性显得越发重要，传统的二层网络已经不能满足需求；如何解决接入网络的可扩展生、安全性及与汇聚网络的互通性，已经成为接入网络规划时要重点考虑的问题。另外，接入网络在各个历史时期所采用的接入线路的介质类型也多种多样，如何采用不同介质类型的接入线路组成VPN也是一个需要重点考虑的问题。

现有的解决方案是在接入网络中部署二层VPN业务，将二层VPN业务和三层VPN业务通过一台或两台运营商边缘(PE，Provider Edge)设备衔接。

如图1所示，为通过两台PE设备衔接的方式，即一台PE设备终结二层VPN，另一台PE设备发起三层VPN。这种方式需要的PE设备数量多，且两台PE设备之间线路的介质类型仍然需要与二层VPN的接入侧线路相同，这就要求三层VPN边缘的PE设备支持多种链路类型的接口，整体方案所需成本较大。

通过一台PE设备衔接的方式，即同一台PE设备终结二层VPN并发起三层VPN。这种方式又可以细分为两种，第一种是PE设备物理环回方式，如图2所示，该PE设备需要四个物理端口，第一个端口接收并终结二层VPN的报文，第二个端口将还原出来的二层报文发送出来，第三个端口接收该报文并去除该报文的二层信息，将三层信息封装进该报文并送入三层VPN，第四个端口将该重新封装后的报文向三层VPN内部传送。这种方式类似两台PE设备的情况，虽然节省了一台PE设备，但并没有节约物理端口数量，而且仍然需要支持各种介质类型的物理端口。

第二种是PE设备内部环回方式，如图3所示，该PE设备需要支持两个物理端口和两个逻辑端口，一个物理端口接收并终结二层VPN的报文，并通过一个二层逻辑端口(类似第一种方式的第二个端口)将还原出的二层报文发送给一个三层逻辑端口(类似第一种方式的第三个端口)，该三层逻辑端口接收该二层报文并去除该报文的二层信息，将三层信息封装进该报文并送入三层VPN，另一个物理端口(类似第一种方式的第四个端口)将该重新封装后的报文向三层VPN内部传送。第二种方式既节约了PE设备的数量，也节省了物理端口的数量，但存在的问题是：对两个逻辑端口的要求很高，二层逻辑端口需要支持二层报文的还原；三层逻辑端口需要支持对该报文二层信息的解封装，即设备内部仍然需要支持对各种介质物理网络对应的二层报文的解封装，对PE设备的处理能力要求仍然较高。

因此，现有技术在实现接入网络连接到汇聚/核心网络的三层VPN时，仍然存在接入网络的可扩展性较低，PE设备的复杂度较高等问题。

发明内容

有鉴于此，本发明的主要目的在于提供一种三层VPN的接入方法和系统，以提高接入网络的可扩展性，降低PE设备的复杂度。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供了一种三层VPN的接入方法，接入网络通过IP伪线接入三层VPN，该方法包括：

在衔接所述三层VPN和接入网络的运营商边缘(PE)设备上，建立IP伪线与虚拟路由转发表(VRF)的映射关系，并根据所述映射关系进行报文转发。

所述根据映射关系进行IP伪线与三层VPN之间的报文转发，具体为：

所述PE设备从IP伪线上接收到IP报文时，在所述映射关系中查找与所述IP伪线对应的VRF，并根据所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照查找的VRF进行转发；

所述PE设备从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将所述IP报文转发到目的IP地址对应的IP伪线上。

该方法进一步包括：

在从IP伪线上接收到IP报文时，对所述IP报文进行解封装并去除伪线信息；在将解封装的IP报文转发到三层VPN之前，对所述IP报文进行三层信息的封装；

在从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息；在将解封装的IP报文转发到IP伪线之前，对所述IP报文进行伪线信息的封装。

该方法进一步包括：在IP报文从三层VPN转发到IP伪线时所用到的目的IP地址与IP伪线的对应关系，通过动态学习或静态配置的方式建立。

所述衔接三层VPN和接入网络的PE设备，为一台PE设备、或两台PE设备；当为两台PE设备时，所述两台PE设备之间通过逻辑二层通道互连，且所述建立IP伪线与VRF的映射关系，具体为：

在与接入网络直连的PE设备一上建立IP伪线与逻辑二层通道的映射关系，在与三层VPN直连的PE设备二上建立逻辑二层通道与VRF的映射关系。

当衔接三层VPN和接入网络的PE设备为两台PE设备时，IP报文从IP伪线转发到三层VPN具体为：

所述PE设备一从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将所述IP报文通过逻辑二层通道转发到所述PE设备二；

所述PE设备二根据逻辑二层通道与VRF的映射关系、以及所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照与所述逻辑二层通道对应的VRF进行转发。

当衔接三层VPN和接入网络的PE设备为两台PE设备时，IP报文从三层VPN转发到IP伪线具体为：

所述PE设备二从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息，再封装逻辑二层信息，将封装逻辑二层信息后的IP报文通过逻辑二层通道发送给所述PE设备一；

所述PE设备一对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据所述IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。

本发明还提供了一种三层VPN的接入系统，该系统包括：接入网络、三层VPN网络、以及衔接所述三层VPN和接入网络的PE设备，其中，

所述接入网络通过IP伪线与所述PE设备相连，用于通过所述IP伪线，以及PE设备与所述三层VPN进行IP报文交互；

所述三层VPN，用于通过所述PE设备，以及IP伪线与所述接入网络进行IP报文交互；

所述PE设备，用于建立IP伪线与VRF的映射关系，并根据所述映射关系进行报文转发。

所述PE设备进一步用于，从IP伪线上接收到IP报文时，在所述映射关系中查找与所述IP伪线对应的VRF，并根据所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照查找的VRF进行转发；从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将所述IP报文转发到目的IP地址对应的IP伪线上。

所述PE设备进一步用于，在从IP伪线上接收到IP报文时，对所述IP报文进行解封装并去除伪线信息；在将解封装的IP报文转发到三层VPN之前，对所述IP报文进行三层信息的封装；

在从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息；在将解封装的IP报文转发到IP伪线之前，对所述IP报文进行伪线信息的封装。

所述PE设备进一步用于，通过动态学习或静态配置的方式，建立在IP报文从三层VPN转发到IP伪线时所用到的目的IP地址与IP伪线的对应关系。

所述衔接三层VPN和接入网络的PE设备，由与接入网络直连的PE设备一，以及与三层VPN直连的PE设备二组成，所述PE设备一与PE设备二通过逻辑二层通道互连；所述PE设备一上建立IP伪线与逻辑二层通道的映射关系，所述PE设备二上建立逻辑二层通道与VRF的映射关系。

所述PE设备一进一步用于，从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将所述IP报文通过逻辑二层通道转发到所述PE设备二；

相应的，所述PE设备二进一步用于，根据逻辑二层通道与VRF的映射关系、以及所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照与所述逻辑二层通道对应的VRF进行转发。

所述PE设备二进一步用于，从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息，再封装逻辑二层信息，将封装逻辑二层信息后的IP报文通过逻辑二层通道发送给所述PE设备一；

相应的，所述PE设备一进一步用于，对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据所述IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。

本发明所提供的一种三层VPN的接入方法和系统，通过IP伪线方式接入三层VPN，并在衔接三层VPN和接入网络的PE设备上实现IP伪线与虚拟路由转发表(VRF)的映射，使得各种类型的接入链路通过统一的接入网络接入到三层VPN，在提高接入网络可扩展性和安全性的同时，还能降低建网成本和三层VPN中用于衔接接入网络和三层VPN的PE设备的复杂度，简化了PE设备的报文处理流程，提高了处理效率。

附图说明

图1为现有技术中通过两台PE设备衔接二层VPN与三层VPN的拓扑示意图；

图2为现有技术中通过一台PE设备物理环回方式衔接二层VPN与三层VPN的拓扑示意图；

图3为现有技术中通过一台PE设备内部环回方式衔接二层VPN与三层VPN的拓扑示意图；

图4为本发明中实现三层VPN接入的网络拓扑示意图；

图5为本发明中通过两台PE设备衔接IP伪线和三层VPN的网络拓扑示意图；

图6为本发明实施例一的网络拓扑示意图；

图7为本发明实施例二的网络拓扑示意图；

图8为本发明实施例三的网络拓扑示意图；

图9为本发明实施例四的网络拓扑示意图。

具体实施方式

下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。

为实现通过接入网络连接到汇聚/核心网络的三层VPN，本发明基于二层VPN接入三层VPN的机制，针对节约成本和降低设备复杂性的需求，提出一种通过IP伪线接入三层VPN的方法。该方法通过IP伪线方式接入三层VPN，并在衔接三层VPN和接入网络的PE设备上实现IP伪线与虚拟路由转发表(VRF，Virtual Routing and Forwarding)的映射，由该PE设备根据IP伪线与VRF的映射进行报文的转发，从而使得各种类型的接入链路通过统一的接入网络接入到三层VPN，在提高接入网络可扩展性和安全性的同时，还能降低建网成本和三层VPN网络的复杂度，简化了PE设备的报文处理流程，提高了处理效率。其中，IP伪线的类型为0x000B，互联网工程任务组(IETF，Internet Engineering Task Force)请求评议(RFC，Request For Comments)4446。

如图4所示，为本发明中实现三层VPN接入的网络拓扑示意图。可以看出，接入网络通过IP伪线接入三层VPN，各种类型的接入链路通过统一的接入网络接入到三层VPN。接入链路可以为任意类型，包括但不限于异步传输模式(ATM，Asynchronous Transfer Mode)、或时分复用(TDM，Time Division Multiplexing)、或以太网。

下面结合图4所示的网络拓扑示意图，对本发明三层VPN的接入方法进行详细阐述，该方法主要包括以下步骤：

步骤1，在衔接三层VPN和接入网络的PE设备上，建立IP伪线与VRF的映射关系。

所谓衔接三层VPN和接入网络的PE设备，是指位于三层VPN边缘的，用于执行IP报文在接入网络和三层VPN之间转发的PE设备。例如，在图4所示的网络拓扑中，衔接三层VPN和接入网络的PE设备即为PE2。

在衔接三层VPN和接入网络的PE设备上建立IP伪线与VRF的映射关系，其目的是使该PE设备能够根据建立的映射关系进行IP伪线与三层VPN之间的报文转发。

步骤2，PE设备从IP伪线上接收到IP报文时，在映射关系中查找与IP伪线对应的VRF，并根据IP报文的目的IP地址，将IP报文在三层VPN中按照查找的VRF进行转发。

在IP报文从IP伪线转发到三层VPN时，衔接三层VPN和接入网络的PE设备接收到IP报文后，需要对该IP报文进行解封装，去除其中的伪线信息，然后在IP报文中封装三层信息；该PE设备根据IP伪线查找映射关系，获取与IP伪线对应的VRF，并根据IP报文的目的IP地址，将IP报文在三层VPN中按照查找的VRF进行转发。

步骤2的操作应用于图4所示的网络拓扑中，即PE1从接入链路上接收IP报文(其报文格式如图中帧格式1)，对该IP报文进行解封装并执行伪线信息封装后(报文格式如图中帧格式2)通过接入网络的IP伪线发送给PE2；PE2对接收的IP报文执行伪线信息的解封装后(报文格式如图中帧格式3)，再执行三层信息的封装(报文格式如图中帧格式4)；然后，根据IP伪线在建立的映射关系中查找对应的VRF，并根据IP报文的目的IP地址，将三层信息封装后的IP报文在三层VPN中按照查找的VRF进行转发。

步骤3，PE设备从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将IP报文转发到目的IP地址对应的IP伪线上。

在IP报文从三层VPN转发到IP伪线时，衔接三层VPN和接入网络的PE设备接收到IP报文后，需要对该IP报文进行解封装，去除其中的三层信息，然后在IP报文中封装伪线信息；该PE设备根据IP报文的目的IP地址，将IP报文转发到目的IP地址对应的IP伪线上。由此，在IP报文从三层VPN转发到IP伪线时，需要用到目的IP地址与IP伪线的对应关系，该对应关系可以通过静态配置的方式在PE设备上建立，当然也可以通过动态学习的方式在PE设备上建立。所谓动态学习，是在IP报文从IP伪线转发到三层VPN时学习，即当IP报文从IP伪线转发到三层VPN时，该PE设备记录下IP报文的源IP地址与IP伪线的对应关系；该源IP地址与IP伪线的对应关系应用在IP报文从三层VPN转发到IP伪线时，即为上述所指目的IP地址与IP伪线的对应关系。

步骤3的操作应用于图4所示的网络拓扑中，即PE3对IP报文进行三层信息封装(报文格式如图中帧格式4)后通过对应的VRF转发到PE2；PE2对接收的IP报文进行解封装去除三层信息(报文格式如图中帧格式3)，并进行伪线信息的封装(报文格式如图中帧格式2)；PE2根据IP报文的目的IP地址，将IP报文转发到目的IP地址对应的IP伪线并由对端的PE1接收，PE1对接收的IP报文进行解封装去除伪线信息并执行接入链路封装后(报文格式如图中帧格式1)，通过接入链路转发。

需要指出的是，本发明中用于衔接三层VPN和接入网络的PE设备，可以为一台PE设备(如图4中的PE2)，也可以为两台PE设备。为两台PE设备时的网络拓扑如图5所示，PE2为与接入网络直连的PE设备一，PE3为与三层VPN直连的PE设备二，PE2和PE3之间通过逻辑二层通道(如图中的衔接链路所示)互连。该衔接链路可以采用任意类型的链路，而无需与接入链路的类型一致。

相应的，对应图5所示的网络拓扑，在建立IP伪线与VRF的映射关系时，具体为：在与接入网络直连的PE设备一(PE2)上建立IP伪线与逻辑二层通道的映射关系，在与三层VPN直连的PE设备二(PE3)上建立逻辑二层通道与VRF的映射关系。

对应图5所示的网络拓扑，当IP报文从IP伪线转发到三层VPN时，具体操作为：PE设备一(PE2)从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将IP报文通过逻辑二层通道转发到PE设备二(PE3)；PE设备二(PE3)根据逻辑二层通道与VRF的映射关系、以及IP报文的目的IP地址，将IP报文在三层VPN中按照与逻辑二层通道对应的VRF进行转发。报文格式的变化如图5中的帧格式所示。

对应图5所示的网络拓扑，当IP报文从三层VPN转发到IP伪线时，具体操作为：PE设备二(PE3)从三层VPN接收到IP报文时，对IP报文进行解封装并去除三层信息，再封装逻辑二层信息，根据IP报文在三层VPN转发的VRF查找对应的逻辑二层通道，并将封装逻辑二层信息后的IP报文通过查找的逻辑二层通道发送给PE设备一(PE2)；PE设备一(PE2)对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。报文格式的变化如图5中的帧格式所示。

下面再结合具体实施例对上述三层VPN的接入方法进一步详细阐述。

本发明的实施例一为移动基站的回程场景，如图6所示，移动基站通过基站侧网关(PE1)、汇聚层设备(PE2)和控制器侧网关(PE3)与基站控制器相连。在图6所示的网络拓扑中，支持不同移动运营商移动回程流量在同一网络中的传送，支持不同运营商共享基站。

在PE1与PE2之间建立IP伪线，且该实施例中可以为运营商的不同类型的业务建立不同优先级的伪线，在多运营商共享基站的场景下，还可以为不同运营商的业务建立不同的伪线。PE2与PE3同处于一个三层VPN中。在PE2上建立IP伪线与VRF的映射关系，例如，将同一运营商的IP伪线映射到同一个VRF。基站侧的IP报文以IP伪线的方式通过PE1传送到PE2；PE2根据IP伪线从前述映射关系中查找对应的VRF，并将IP报文按照查找的VRF发送到三层VPN中的PE3；PE3再通过上行链路将接收的IP报文发送给基站控制器。控制器侧的IP报文在PE3接入三层VPN，并通过对应的VRF转发到PE2；PE2终结三层VPN并封装对应的伪线信息，然后根据IP报文的目的IP地址，将封装伪线信息后的IP报文通过IP伪线转发到PE1；PE1再通过接入链路将接收的IP报文发送给移动基站。

本发明的实施例二为企业网承载的场景，如图7所示，同一企业的各地网关通过接入侧PE设备(PE1)、汇聚层PE设备(PE2)接入三层VPN网络，通过三层VPN来形成各地网关的互联。其中，PE2可以是业务路由器(SR，Service Router)、或宽带远端接入服务器(BRAS，Broadband Remote Access Server)等设备。

在PE1与PE2之间建立IP伪线，PE2与PE3处于同一个三层VPN中。在PE2上建立IP伪线与VRF的映射关系，例如，将同一企业的IP伪线映射到同一个VRF。企业网关发出的IP报文以IP伪线的方式通过PE1传送到PE2，PE2根据IP伪线从前述映射关系中查找对应的VRF，并将IP报文按照查找的VRF发送到三层VPN中的PE3。

本发明的实施例三为移动基站的回程场景，与实施例一不同的是，实施例三中用于衔接接入网络和三层VPN的PE设备有两台，即PE2和PE3。如图8所示，移动基站通过不同运营商网络或同一运营商的不同管理域与基站控制器连接。在图8所示的网络拓扑中，支持不同移动运营商移动回程流量在同一网络中的传送，支持不同运营商共享基站。

在PE1与PE2之间建立IP伪线，且该实施例中可以为运营商的不同类型的业务建立不同优先级的伪线，在多运营商共享基站的场景下，还可以为不同运营商的业务建立不同的伪线。在PE2与PE3之间建立逻辑二层通道，如虚拟局域网(VLAN，Virtual Local Area Network)；在PE2上将该逻辑二层通道与IP伪线映射，如：同一移动运营商的IP伪线对应到同一个VLAN，或采用两层VLAN的方式，同一运营商伪线外层VLAN相同，内层VLAN与不同的伪线一一对应；并在PE3上将该逻辑二层通道与VRF映射，如：VLAN与VRF一一对应，或上述两层VLAN方式下外层VLAN与VRF一一对应。

基站侧的IP报文以IP伪线的方式通过PE1传送到PE2，PE2根据IP伪线与逻辑二层通道的映射关系，将该IP报文通过逻辑二层通道转发到PE3，PE3根据上述逻辑二层通道与VRF的映射关系接入三层VPN，在与逻辑二层通道对应的VRF中转发IP报文。

基站控制器侧的IP报文在PE4接入三层VPN，并通过对应的VRF转发到PE3，PE3终结三层VPN并将IP报文封装对应的逻辑二层通道信息后发往PE2，PE2根据该逻辑二层通道或目的IP地址找到对应的IP伪线，根据该伪线信息封装IP报文并发往PE1。

本发明的实施例四为移动基站的回程场景中的传统基站时钟同步方法，如图9所示，移动基站通过接入设备(AN，Access Node)的基站侧网关(PE1)、汇聚层设备(PE2)和控制器侧网关(PE3)与基站控制器相连，其中AN与PE1可以是同一台设备，同时时钟源与基站控制器和/或控制器侧网关相连。在图9所示的网络拓扑中，支持通过IP报文封装格式在网络中传递时钟信号。

在PE1与PE2之间建立IP伪线，该伪线可以是专为传递信号配置的伪线，或与数据报文共享的伪线并对时钟报文标记高优先级。PE2与PE3同处于一个三层VPN中。在PE2上建立IP伪线与VRF的映射关系，例如，将共享同一时钟源的所有基站所对应的IP伪线映射到同一个VRF。时钟源发出的时钟信号经过基站控制器或控制器侧网关转换为IP报文，该报文在PE3接入三层VPN，并通过对应的VRF转发到PE2；PE2终结三层VPN并封装对应的伪线信息，然后根据IP报文的目的IP地址，将封装伪线信息后的IP报文通过IP伪线转发到PE1；PE1再通过接入链路将接收的IP报文发送给AN，AN将该IP报文转换为时钟信号发送给基站(在PE1与AN合一的场景下，PE1直接将该IP报文转换为时钟信号发给基站)。

为实现本发明三层VPN的接入方法，本发明所提供的一种三层VPN的接入系统，由接入网络、三层VPN网络、以及衔接三层VPN和接入网络的PE设备组成。接入网络通过IP伪线与该PE设备相连，用于通过IP伪线，以及PE设备与三层VPN进行IP报文交互。三层VPN用于通过该PE设备，以及IP伪线与接入网络进行IP报文交互。PE设备，用于建立IP伪线与VRF的映射关系，并根据该映射关系进行报文转发，具体的：从IP伪线上接收到IP报文时，在映射关系中查找与IP伪线对应的VRF，并根据IP报文的目的IP地址，将IP报文在三层VPN中按照查找的VRF进行转发；从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将IP报文转发到目的IP地址对应的IP伪线上。

该PE设备进一步用于，在从IP伪线上接收到IP报文时，对IP报文进行解封装并去除伪线信息；在将解封装的IP报文转发到三层VPN之前，对IP报文进行三层信息的封装；

在从三层VPN接收到IP报文时，对IP报文进行解封装并去除三层信息；在将解封装的IP报文转发到IP伪线之前，对IP报文进行伪线信息的封装。

其中，衔接三层VPN和接入网络的PE设备，由与接入网络直连的PE设备一，以及与三层VPN直连的PE设备二组成，PE设备一与PE设备二通过逻辑二层通道互连；PE设备一上建立IP伪线与逻辑二层通道的映射关系，PE设备二上建立逻辑二层通道与VRF的映射关系。

PE设备一从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将IP报文通过逻辑二层通道转发到PE设备二；相应的，PE设备二根据逻辑二层通道与VRF的映射关系、以及IP报文的目的IP地址，将IP报文在三层VPN中按照与逻辑二层通道对应的VRF进行转发。

PE设备二从三层VPN接收到IP报文时，对IP报文进行解封装并去除三层信息，再封装逻辑二层信息，将封装逻辑二层信息后的IP报文通过逻辑二层通道发送给PE设备一；相应的，PE设备一对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (14)

1.一种三层虚拟专用网(VPN)的接入方法，其特征在于，接入网络通过IP伪线接入三层VPN，该方法包括：

在衔接所述三层VPN和接入网络的运营商边缘(PE)设备上，建立IP伪线与虚拟路由转发表(VRF)的映射关系，并根据所述映射关系进行报文转发。

2.根据权利要求1所述三层VPN的接入方法，其特征在于，所述根据映射关系进行报文转发，具体为：

所述PE设备从IP伪线上接收到IP报文时，在所述映射关系中查找与所述IP伪线对应的VRF，并根据所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照查找的VRF进行转发；

所述PE设备从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将所述IP报文转发到目的IP地址对应的IP伪线上。

3.根据权利要求1所述三层VPN的接入方法，其特征在于，该方法进一步包括：

在从IP伪线上接收到IP报文时，对所述IP报文进行解封装并去除伪线信息；在将解封装的IP报文转发到三层VPN之前，对所述IP报文进行三层信息的封装；

在从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息；在将解封装的IP报文转发到IP伪线之前，对所述IP报文进行伪线信息的封装。

4.根据权利要求1、或2、或3所述三层VPN的接入方法，其特征在于，该方法进一步包括：在IP报文从三层VPN转发到IP伪线时所用到的目的IP地址与IP伪线的对应关系，通过动态学习或静态配置的方式建立。

5.根据权利要求1、或2、或3所述三层VPN的接入方法，其特征在于，所述衔接三层VPN和接入网络的PE设备，为一台PE设备、或两台PE设备；当为两台PE设备时，所述两台PE设备之间通过逻辑二层通道互连，且所述建立IP伪线与VRF的映射关系，具体为：

在与接入网络直连的PE设备一上建立IP伪线与逻辑二层通道的映射关系，在与三层VPN直连的PE设备二上建立逻辑二层通道与VRF的映射关系。

6.根据权利要求5所述三层VPN的接入方法，其特征在于，当衔接三层VPN和接入网络的PE设备为两台PE设备时，IP报文从IP伪线转发到三层VPN具体为：

所述PE设备一从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将所述IP报文通过逻辑二层通道转发到所述PE设备二；

所述PE设备二根据逻辑二层通道与VRF的映射关系、以及所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照与所述逻辑二层通道对应的VRF进行转发。

7.根据权利要求5所述三层VPN的接入方法，其特征在于，当衔接三层VPN和接入网络的PE设备为两台PE设备时，IP报文从三层VPN转发到IP伪线具体为：

所述PE设备二从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息，再封装逻辑二层信息，将封装逻辑二层信息后的IP报文通过逻辑二层通道发送给所述PE设备一；

所述PE设备一对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据所述IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。

8.一种三层VPN的接入系统，其特征在于，该系统包括：接入网络、三层VPN网络、以及衔接所述三层VPN和接入网络的PE设备，其中，

所述接入网络通过IP伪线与所述PE设备相连，用于通过所述IP伪线，以及PE设备与所述三层VPN进行IP报文交互；

所述三层VPN，用于通过所述PE设备，以及IP伪线与所述接入网络进行IP报文交互；

所述PE设备，用于建立IP伪线与VRF的映射关系，并根据所述映射关系进行报文转发。

9.根据权利要求8所述三层VPN的接入系统，其特征在于，所述PE设备进一步用于，从IP伪线上接收到IP报文时，在所述映射关系中查找与所述IP伪线对应的VRF，并根据所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照查找的VRF进行转发；从三层VPN接收到IP报文时，根据IP报文的目的IP地址，将所述IP报文转发到目的IP地址对应的IP伪线上。

10.根据权利要求8所述三层VPN的接入系统，其特征在于，所述PE设备进一步用于，在从IP伪线上接收到IP报文时，对所述IP报文进行解封装并去除伪线信息；在将解封装的IP报文转发到三层VPN之前，对所述IP报文进行三层信息的封装；

在从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息；在将解封装的IP报文转发到IP伪线之前，对所述IP报文进行伪线信息的封装。

11.根据权利要求8、或9、或10所述三层VPN的接入系统，其特征在于，所述PE设备进一步用于，通过动态学习或静态配置的方式，建立在IP报文从三层VPN转发到IP伪线时所用到的目的IP地址与IP伪线的对应关系。

12.根据权利要求8、或9、或10所述三层VPN的接入系统，其特征在于，所述衔接三层VPN和接入网络的PE设备，由与接入网络直连的PE设备一，以及与三层VPN直连的PE设备二组成，所述PE设备一与PE设备二通过逻辑二层通道互连；所述PE设备一上建立IP伪线与逻辑二层通道的映射关系，所述PE设备二上建立逻辑二层通道与VRF的映射关系。

13.根据权利要求12所述三层VPN的接入系统，其特征在于，所述PE设备一进一步用于，从IP伪线上接收到IP报文时，根据IP伪线与逻辑二层通道的映射关系，将所述IP报文通过逻辑二层通道转发到所述PE设备二；

相应的，所述PE设备二进一步用于，根据逻辑二层通道与VRF的映射关系、以及所述IP报文的目的IP地址，将所述IP报文在三层VPN中按照与所述逻辑二层通道对应的VRF进行转发。

14.根据权利要求12所述三层VPN的接入系统，其特征在于，所述PE设备二进一步用于，从三层VPN接收到IP报文时，对所述IP报文进行解封装并去除三层信息，再封装逻辑二层信息，将封装逻辑二层信息后的IP报文通过逻辑二层通道发送给所述PE设备一；

相应的，所述PE设备一进一步用于，对接收的IP报文进行解封装并去除逻辑二层信息，再封装伪线信息，并根据所述IP报文的目的IP地址，将封装伪线信息后的IP报文转发到目的IP地址对应的IP伪线上。

Images