CN102136987B

CN102136987B - 一种mpls vpn中的报文转发方法和pe设备

Info

Publication number: CN102136987B
Application number: CN201010103845.5A
Authority: CN
Inventors: 林涛
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2010-01-22
Filing date: 2010-01-22
Publication date: 2015-01-14
Anticipated expiration: 2030-01-22
Also published as: CN102136987A

Abstract

本发明提供了一种多协议标签交换虚拟专用网(MPLS VPN)中的报文转发方法和服务提供商边缘(PE)设备，MPLS VPN中的PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，使得数据报文能够在MPLS解封装后直接使用对应的IPsec策略加密，并通过实际的用户网络边缘(CE)设备侧物理接口转发；或者从CE设备侧物理接口接收到数据报文后，在进行IPsec策略解密后直接进行对应的MPLS封装后，通过P路由器侧接口转发。本发明无需进行复杂的隧道接口配置，也无需占用额外的IP地址，实现更加简单方便。

Description

一种MPLS VPN中的报文转发方法和PE设备

技术领域

本发明涉及网络通信技术，特别涉及一种多协议标签交换虚拟专用网(MPLS VPN)中的报文转发方法和服务提供商边缘(PE)设备。

背景技术

基于多协议标签交换(MPLS)的虚拟专用网(VPN)是一种基于提供商边缘(PE)设备的三层VPN技术，它使用边界网关协议(BGP)在服务提供商骨干网上发布VPN路由，使用MPLS在服务提供商骨干网上转发VPN报文。鉴于MPLS VPN组网方式灵活、可扩展性好，并能够方便地支持MPLSQoS和MPLS流量工程(TE)而得到广泛的应用。

如图1所示，MPLS VPN组网中主要存在三种设备：用户网络边缘(CE)设备、PE设备和骨干(P)路由器。其中，CE设备可以是路由器、交换机或者主机，其感知不到VPN的存在，通常也不支持MPLS。在MPLS网络中，对VPN所有的处理都由PE设备完成。P路由器不与CE设备直接相连，仅需要具备基本MPLS转发能力。

如果在MPLS VPN组网中，CE设备之间的所有连接都由VPN服务提供商提供，则可以很好地保证VPN的安全性。但是，在实际组网中，分为骨干网运营商和驻地网运营商，MPLS骨干网由骨干网运营商提供，MPLS骨干网和CE设置之间的连接则由驻地网运营商提供，通常将这种情况下PE设备和CE设备之间的连接称为公网连接。由于在公网上传递报文时，很容易被人监听，如果采用明文隧道则安全性得不到保证。针对此问题，现有技术中主要存在以下两种方式：

第一种方式，在所有CE设备之间建立IPsec隧道。CE设备之间在进行报文传输时，对报文进行加密后在IPsec隧道上进行传输。这种方式显然不适合含有大量CE设备的MPLS VPN组网，会造成IPsec隧道数量过多，CE设备的性能压力过大。

第二种方式，在PE设备和CE设备之间基于虚拟隧道接口建立IPsec隧道，在PE设备上针对连接的每一个CE设备建立隧道接口，并针对各隧道接口分别配置VPN路由，显然这种方式需要进行复杂的隧道接口配置，且配置的隧道接口需要占用较多的IP地址。

发明内容

有鉴于此，本发明提供了一种MPLS VPN中的报文转发方法和PE设备，以便于在PE设备和CE设备之间采用公网连接时，更加简单方便地保证MPLS VPN的安全。

一种多协议标签交换虚拟专用网MPLS VPN中的报文转发方法，MPLSVPN中的服务提供商边缘PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该方法包括：

所述PE设备从P路由器侧接口接收到数据报文后，确定该数据报文的MPLS标签对应的VPN实例；对数据报文进行解MPLS封装后，根据所述对应关系，将该数据报文采用该VPN实例对应的IPsec策略进行加密；通过VPN路由转发表中该VPN实例对应的出接口转发加密后的数据报文。

一种MPLS VPN中的报文转发方法，MPLS VPN中的PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该方法包括：

所述PE设备从用户网络边缘CE设备侧接口接收到数据报文后，按照该数据报文所采用的IPsec策略对数据报文进行解密；根据所述对应关系，确定该数据报文所采用的IPsec策略对应的VPN实例；在该数据报文中封装该VPN实例对应的MPLS标签后，通过VPN路由转发表中该VPN实例对应的出接口转发数据报文。

一种PE设备，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该PE设备包括：VPN确定模块、MPLS处理模块、IPsec处理模块和路由处理模块；

所述VPN确定模块，用于在该PE设备从P路由器侧接收到数据报文后，确定该数据报文的MPLS标签对应的VPN实例；

所述MPLS处理模块，用于对所述数据报文进行解MPLS封装后提供给所述IPsec处理模块；

所述IPsec处理模块，用于按照所述对应关系，将接收到的数据报文采用所述VPN确定模块确定的VPN实例对应的IPsec策略进行加密后，提供给所述路由处理模块；

所述路由处理模块，用于通过VPN路由转发表中所述VPN确定模块确定的VPN实例所对应的出接口转发加密后的数据报文。

一种PE设备，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该PE设备包括：IPsec处理模块、VPN确定模块、MPLS处理模块和路由处理模块；

所述IPsec处理模块，用于在该PE设备从CE设备侧接口接收到数据报文后，按照该数据报文所采用的IPsec策略对该数据报文进行解密；

所述VPN确定模块，用于根据所述对应关系，确定所述数据报文所采用的IPsec策略对应的VPN实例；

所述MPLS处理模块，用于在解密后的数据报文中封装所述VPN确定模块确定的VPN实例所对应的MPLS标签后，提供给所述路由处理模块；

所述路由处理模块，用于通过VPN路由表中所述VPN确定模块确定的VPN实例对应的出接口转发所述MPLS处理模块提供的数据报文。

由以上技术方案可以看出，在本发明中通过在PE设备中建立IPsec策略与VPN实例之间的对应关系，实际上完成了MPLS VPN和IPsec VPN之间的映射，使得数据报文能够在MPLS解封装后直接使用对应的IPsec策略加密，并通过实际的CE设备侧物理接口转发，或者从CE设备侧物理接口接收到数据报文后，在进行IPsec策略解密后直接进行对应的MPLS封装后，通过P路由器侧接口转发。本发明无需在PE设备上针对连接的每一个CE设备建立隧道接口，也无需针对隧道接口进行诸如VPN路由等复杂的配置，另外，本发明仅仅基于已有的CE设备侧物理接口，无需占用额外的IP地址，显然实现更加简单方便。

附图说明

图1为MPLS VPN组网示意图；

图2为本发明实施例提供的方法流程图；

图3为针对P路由器侧报文的PE设备结构示意图；

图4为针对CE设备侧报文的PE设备结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明提供的方法主要包括：预先在PE设备中建立IPsec策略与VPN实例之间的对应关系；从P路由器侧接口接收到数据报文后，确定该数据报文的MPLS标签对应的VPN实例；对数据报文进行解MPLS封装后，根据IPsec策略与VPN实例之间的对应关系，将该数据报文采用该VPN实例对应的IPsec策略进行加密，通过VPN路由转发表中该VPN实例对应的出接口转发加密后的数据报文。从CE设备侧接口接收到数据报文后，按照该数据报文采用的IPsec策略对数据报文进行解密，根据IPsec策略与VPN实例之间的对应关系，确定IPsec策略对应的VPN实例，在该数据报文中封装该VPN实例对应的MPLS标签后，通过VPN路由转发表中该VPN实例对应的出接口转发数据报文。

下面通过具体的实施例对上述方法进行详细的描述，仍以图1所示架构为例，假设VPN1中的CE设备1要发送报文至CE设备4，按照上述方法执行如图2所示的流程，可以包括以下步骤：

步骤201：在进行IPsec策略配置时，在各PE设备中建立IPsec策略与VPN实例之间的对应关系。

通常为了保证VPN的安全性，在进行IPsec策略配置时，会针对不同的VPN采用不同的IPsec策略，而在同一个VPN中，各设备都配置相同的IPsec策略，同一个VPN中的各CE设备直接按照配置的IPsec策略进行数据报文的加密和解密，而在PE设备上，由于可能为多个VPN提供服务，因此，需要在配置IPsec策略时，增加对VPN实例的引用，即增加IPsec策略与VPN实例之间的对应关系。

下面是手工配置IPsec策略时的一个配置实例，本发明仅增加了对VPN实例的引用(下面配置语言中下划线标注的部分)，对IPsec策略的其它配置都没有变更：

#

acl number 3000

rule 0permit ip source 1.1.1.00.0.0.255 destination 2.2.2.0 0.0.0.255

rule 1deny ip

#

ip vpn-instance vpn1

route-distinguisher 100：1

vpn-target 111：1

#

IPsec proposal prop

security acl 3000

encapsulation-mode transport

transform ah

ah authentication-algorithm sha1

#

IPsec policy vpnpolicy 1 manual

proposal prop

sa spi inbound ah 123456

sa spi outbound ah 123456

sa string-key inbound ah ahkey

sa string-key outbound ah ahkey

ip binding vpn-instance vpn1

#

interface serial 2/1

ip address 2.2.2.1 255.255.255.0

IPsec policy vpnpolicy 1

#

IPsec策略规定了数据流类型对应的IPsec安全提议，即规定了什么样的数据流采用什么样的IPsec安全提议。IPsec安全提议中包含具体的安全协议类型、加密/认证算法以及封装格式，为安全联盟(SA)的协商提供各种安全参数。IPsec安全提议的具体内容可以如表1所示：

表1

IPsec策略在PE设备上是基于CE设备侧接口配置的，一个CE设备侧接口可以关联多个IPsec策略，对应关联多个VPN实例，例如表2所示，CE设备侧接口IF1可以关联三个IPsec策略。

表2

接口	IPsec策略对应VPN
		IF1	IPsec Policy1 VPN1
IF1	IPsec Policy2 VPN2
		IF1	IPsec Policy3 VPN3

在本实施例中，假设在PE设备1上与CE设备1侧的接口上配置IPsecPolicy1，该IPsec Policy1与VPN1存在对应关系，在PE设备3上CE设备4侧接口上同样配置IPsec Policy 1，该IPsec Policy1与VPN存在对应关系。在PE设备1上CE设备2侧接口则可以配置其它IPsec策略，例如配置IPsecPolicy2与VPN2存在对应关系。

步骤202：PE设备1从CE设备1侧接口接收到数据报文后，根据该数据报文的IP报文头确定IPsec策略，并按照该IPsec策略对数据报文进行解密。

CE设备1发送的数据报文会按照配置的IPsec策略对数据报文进行安全处理后发送给PE设备1。

IPsec策略中的安全协议类型可以包括网络认证(AH协议)、封装安全载荷(ESP)协议等。其中，AH通过IP报文头中的身份验证报文头标识，ESP协议通过IP报文头中的ESP报文头标识。PE设备可以根据IP报文头确定出该数据报文采用的安全协议类型，然后进行对应的AH和/或ESP处理。

另外，从数据报文的IP报文头的安全参数索引(SPI)可以确定出IPsec策略采用的SA，按照该SA进行解密处理。

步骤203：PE设备1按照预先配置的IPsec策略与VPN实例之间的对应关系，确定对应的VPN实例，对解密后的数据报文进行MPLS封装，即在解密后的数据报文中打上该VPN实例对应的MPLS标签后，通过该VPN实例对应的P路由器侧出接口进行转发。

在按照预设的对应关系确定出VPN实例后，可以确定该VPN实例对应的MPLS标签。另外，PE设备根据VPN路由转发表可以确定出该数据报文对应的P路由器侧出接口，按照该P路由器侧出接口转发打上MPLS标签后的数据报文。

步骤204：PE设备3从P路由器侧接口接收到数据报文后，对数据报文进行解MPLS封装，确定MPLS标签对应的VPN实例，查找VPN路由转发表，确定对应的CE设备侧出接口。

该部分与现有技术同，不再赘述。

步骤205：PE设备3根据IPsec策略与VPN实例之间的对应关系，利用对应的IPsec策略对数据报文进行加密后，通过步骤204中确定的CE设备侧出接口进行转发。

至此CE设备1到CE设备4之间的数据报文发送结束。

上述过程中，VPN路由转发表可以采用预先配置的静态VPN路由转发表，也可以采用通过传递的路由报文生成的动态VPN路由转发表。

当采用动态VPN路由转发表时，在PE设备上，如果从CE设备侧接口接收到路由报文后，从路由报文的IP报文头中确定IPsec策略，按照该IPsec策略对路由报文进行解密后，利用接收该路由报文的CE设备侧接口，更新该IPsec策略所对应VPN实例的VPN路由转发表项，即将接收该路由报文的CE设备侧接口添加到该VPN实例对应的出接口列表中。

对于从P路由器侧接口接收到的路由报文，按照现有技术中的方式处理，即确定该路由报文的MPLS标签对应的VPN实例，进行MPLS解封装后，按照接收该路由报文的P路由器侧接口更新该VPN实例的VPN路由转发表项，将接收该路由报文的P路由器侧接口添加到该VPN实例对应的出接口列表中。

需要说明的是，本发明所提供的上述方法对IPv 4VPN和IPv6 VPN均适用。

以上是对本发明所提供的方法进行的详细描述，下面对本发明所提供的PE设备进行详细描述。图3为针对P路由器侧报文的PE设备结构示意图，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，如图3所示，该PE设备可以包括：VPN确定模块301、MPLS处理模块302、IPsec处理模块303和路由处理模块304。

VPN确定模块301，用于在该PE设备从P路由器侧接收到数据报文后，确定该数据报文的MPLS标签对应的VPN实例。

MPLS处理模块302，用于对数据报文进行解MPLS封装后提供给IPsec处理模块303。

IPsec处理模块303，用于按照对应关系，将接收到的数据报文采用VPN确定模块301确定的VPN实例对应的IPsec策略进行加密后，提供给路由处理模块304。

路由处理模块304，用于通过VPN路由转发表中，VPN确定模块301确定的VPN实例所对应的出接口转发加密后的数据报文。

在该PE设备中，采用手工配置IPsec策略或自动协商IPsec策略的方式，当对PE设备的CE设备侧接口进行IPsec策略配置时，增加IPsec策略对VPN实例的引用。

当采用动态的VPN路由转发表时，VPN确定模块301，还可以用于在该PE设备从P路由器侧接收到路由报文后，确定该路由报文的MPLS标签对应的VPN实例。

MPLS处理模块302，用于对路由报文进行解MPLS封装后提供给路由处理模块304。

路由处理模块304，用于接收到路由报文后，利用接收该路由报文的P路由器侧接口，更新VPN路由转发表中该VPN实例对应的表项。

图4为针对CE设备侧报文的PE设备结构示意图，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，如图4所示，该PE设备可以包括：IPsec处理模块401、VPN确定模块402、MPLS处理模块403和路由处理模块404。

IPsec处理模块401，用于在该PE设备从CE设备侧接口接收到数据报文后，按照该数据报文所采用的IPsec策略对该数据报文进行解密。

VPN确定模块402，用于根据对应关系，确定数据报文所采用的IPsec策略对应的VPN实例。

MPLS处理模块403，用于在解密后的数据报文中封装VPN确定模块402确定的VPN实例所对应的MPLS标签后，提供给路由处理模块404。

路由处理模块404，用于通过VPN路由表中VPN确定模块402确定的VPN实例对应的出接口转发MPLS处理模块403提供的数据报文。

当采用动态的VPN路由转发表时，IPsec处理模块401，还可以用于在该PE设备从CE设备侧接口接收到路由报文后，按照该路由报文所采用的IPsec策略对该路由报文进行解密，将解密后的路由报文提供给路由处理模块404。

VPN确定模块402，用于根据对应关系，确定路由报文所采用的IPsec策略对应的VPN实例。

路由处理模块404，用于接收到路由报文后，利用接收路由报文的CE设备侧接口，更新VPN路由转发表中VPN确定模块402确定的VPN实例对应的表项。

由于PE设备中通常会既处理来自P路由器侧的报文，也处理来自CE设备侧的报文，因此，PE设备可以同时包含图3和图4中所示的结构。

由以上描述可以看出，在本发明中通过在PE设备中建立IPsec策略与VPN实例之间的对应关系，实际上完成了MPLS VPN和IPsec VPN之间的映射，使得数据报文能够在MPLS解封装后直接使用对应的IPsec策略加密，并通过实际的CE设备侧物理接口转发，或者从CE设备侧物理接口接收到数据报文后，在进行IPsec策略解密后直接进行对应的MPLS封装后，通过P路由器侧接口转发。本发明无需在PE设备上针对连接的每一个CE设备建立隧道接口，也无需针对隧道接口进行诸如VPN路由等复杂的配置，另外，本发明仅仅基于已有的CE设备侧物理接口，无需占用额外的IP地址，显然实现更加简单方便。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种多协议标签交换虚拟专用网MPLS VPN中的报文转发方法，其特征在于，在MPLS VPN中的服务提供商边缘PE设备上配置的IPsec策略中增加相应的VPN实例，使PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该方法包括：

2.根据权利要求1所述的方法，其特征在于，该方法还包括：

如果从P路由器侧接口接收到路由报文，确定该路由报文的MPLS标签对应的VPN实例；对该路由报文进行MPLS解封装后，利用接收该路由报文的P路由器侧接口，更新VPN路由转发表中该VPN实例对应的表项。

3.一种MPLS VPN中的报文转发方法，其特征在于，MPLS VPN中的PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该方法包括：

4.根据权利要求3所述的方法，其特征在于，该方法还包括：如果从CE设备侧接口接收到路由报文，按照该路由报文所采用的IPsec策略对路由报文进行解密；确定该IPsec策略对应的VPN实例，利用接收该路由报文的CE设备侧接口，更新VPN路由转发表中该VPN实例对应的表项。

5.一种PE设备，其特征在于，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该PE设备包括：VPN确定模块、MPLS处理模块、IPsec处理模块和路由处理模块；

6.根据权利要求5所述的PE设备，其特征在于，所述VPN确定模块，还用于在该PE设备从P路由器侧接收到路由报文后，确定该路由报文的MPLS标签对应的VPN实例；

所述MPLS处理模块，用于对所述路由报文进行解MPLS封装后提供给所述路由处理模块；

所述路由处理模块，用于接收到所述路由报文后，利用接收该路由报文的P路由器侧接口，更新VPN路由转发表中该VPN实例对应的表项。

7.一种PE设备，其特征在于，该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系，该PE设备包括：IPsec处理模块、VPN确定模块、MPLS处理模块和路由处理模块；

8.根据权利要求7所述的PE设备，其特征在于，所述IPsec处理模块，还用于在该PE设备从CE设备侧接口接收到路由报文后，按照该路由报文所采用的IPsec策略对该路由报文进行解密，将解密后的路由报文提供给所述路由处理模块；

所述VPN确定模块，用于根据所述对应关系，确定所述路由报文所采用的IPsec策略对应的VPN实例；

所述路由处理模块，用于接收到所述路由报文后，利用接收所述路由报文的CE设备侧接口，更新VPN路由转发表中所述VPN确定模块确定的VPN实例对应的表项。