CN102316035B - 集群路由器系统中前后台通讯及数据安全处理方法 - Google Patents

Abstract

本发明公开了一种集群路由器设备中前后台通讯及数据安全处理方法，涉及网络通讯领域，所述方法包括：在集群路由器系统中，设置一个或两个与其它机框连接的中心框，用于与后台网管服务器进行前后台通信；中心框的主控单板通过其版本下载网口从后台网管服务器下载版本文件，并运行；主控单板运行后，其它机框的单板从与其连接的中心框的主控单板下载各自的版本文件，并运行。本发明解决了前后台通讯物理连接复杂的现状，消除了前后台通讯链路中的环回报文，为前后台通讯链路提供了一种备份机制。

Description

集群路由器系统中前后台通讯及数据安全处理方法

技术领域

本发明涉及到网络通讯领域，具体的说，就是使用多个独立的路由器设备组成一个大的集群路由器系统。

背景技术

在集群路由器系统中，分为前台集群路由器系统和后台网管服务器两大部分。后台网管服务器是后台操作维护功能的核心，负责性能指标数据、配置数据和告警历史数据的同步，存储和查询。前台集群路由器系统，简单地说，实现路由器功能，目前，中兴研发的路由器最大支持16+64机架，主控单板最多有160块，每块主控单板都有一个管理口。

集群路由器系统中，后台网管服务器通过前台的管理口，连接到前台的主控单板，实现与前台集群路由器系统之间的通讯。前台最多有160个管理口，后台网管服务器怎样和如此多的管理口，建立前后台通讯？在主控单板进行主备倒换后，后台网管服务器如何与新的主控单板之间进行前后台通讯？主控上如何设置控制面安全？防止外网通过管理口对任意单板的访问。

目前，在集群路由器系统中，业界还是沿用单框路由器的思路，前台主控单板为了方便从后台版本服务器下载版本，将连接后台网管服务器的管理口从主控单板的控制CPU上引出，后台网管服务器通过管理口与前台主控单板通讯，但是前台在主备倒换过程中，备板变成了新的主板，其他主控单板都有可能变成备板。这就要求，前台的所有主控单板的管理口都要与后台网管服务器在物理上是连接的。图1显示了现有技术提供的目前集群路由器系统中前后台通讯的连接方案示意图，如图1所示，前台集群路由器系统中有多个机框，每个机框中有两个控制单板(一个主控单板和一个备板)，所述控制单板通过各自的管理口与后台网管服务器进行前后台通信。集群环境中控制单板非常多，最少也有4块，最多的有160块，前台控制单板的管理口与后台网管服务器之间的物理连线就显得非常复杂。

发明内容

本发明的目的在于提供集群路由器系统中前后台通讯及数据安全处理方法及装置，解决了前后台通讯物理连线复杂的问题，并消除了前后台通讯链路中环回报文，为前后台通讯链路提供了一种备份机制。

根据本发明的一个方面，本发明提供的集群路由器系统中前后台通讯及数据安全处理方法包括以下步骤：

A)在集群路由器系统中，设置一个或两个与其它机框连接的中心框，用于与后台网管服务器进行前后台通信；

B)中心框的主控单板通过其版本下载网口从后台网管服务器下载版本文件并运行；

C)主控单板运行后，其它机框的单板从与其连接的主控单板下载各自的版本文件并运行。

所述步骤A)具体为：

在集群路由器系统中，设置一个中心框，其两个中心交换单板通过各自的管理口经由交换机与后台网管服务器连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

或者，所述步骤A)具体为：

在集群路由器系统中，设置两个中心框，其每个的一个中心交换单板通过管理口经由交换机与后台管理模块连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

进一步地，所述两个中心交换单板的交换芯片之间建立堆叠，并与同一个交换单板的交换芯片连接，进行端口汇聚。

进一步地，所述主控单板的CPU和交换芯片、所述交换单板的交换芯片、所述中心交换单板的交换芯片，与交换机和后台网管服务器在同一个虚拟局域网(Virtual LocalArea Network，VLAN)中。

进一步地，所述两个中心交换单板与所述交换机连接的两条物理链路中，一条是主用物理链路，一条是备用物理链路。

执行所述步骤C)后，还包括前后台通讯及数据安全处理步骤D)，包括：

中心交换单板经由交换机接收来自后台网管服务器的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至主控单板的交换芯片；

主控单板的交换芯片将管理报文中的所述VLAN标识号剥离后，将所述报文传递至主控单板的CPU。

所述步骤D)还包括：

主控单板的交换芯片接收主控单板的CPU传递的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至所述中心交换单板的交换芯片；

中心交换单板的交换芯片将报文中的所述VLAN标识号剥离后，经由交换机将所述报文发送后台网管服务器。

所述步骤D)还包括：

主控单板接收到后台网管服务器发送的用于访问其它单板的请求后，开启其它单板的默认路由；

后台网管服务器根据所述默认路由，将报文转发至其它单板，实现对其它单板的访问。

所述报文是管理报文或测试报文。

与现有技术相比较，本发明的有益效果在于：

1、前后台通讯物理布线简单，不仅节约了资源，而且有效防止外网通过管理口访问任意单板，使集群路由器系统中的数据安全得到了可靠的保证；

2、中心交换单板上使用了堆叠技术，消除了环回报文，为前后台通讯链路提供了一种备份机制，提高了前后台通讯的可靠性。

附图说明

图1是现有技术提供的目前集群路由器系统中前后台通讯的连接方案示意图；

图2是本发明提供的集群路由器系统中前后台通讯及数据安全处理方法原理图；

图3是本发明第一实施例提供的集群路由器系统中前后台通讯的连接方案示意图；

图4是本发明第二实施例提供的集群路由器系统中前后台通讯的连接方案示意图；

图5是图4所示第二实施例的整体连接方案示意图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

图2显示了本发明提供的集群路由器系统中前后台通讯及数据安全处理方法原理图，如图2所示。

步骤201：在集群路由器系统中，设置一个或两个与其它机框连接的中心框，用于与后台网管服务器进行前后台通信。

所述步骤201具体为：在集群路由器系统中，设置一个中心框，其两个中心交换单板通过各自的管理口经由交换机与后台网管服务器连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

或者，所述步骤201具体为：在集群路由器系统中，设置两个中心框，其每个的一个中心交换单板通过管理口经由交换机与后台管理模块连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

其中，所述两个中心交换单板的交换芯片之间建立堆叠，并与同一个交换单板的交换芯片连接，进行端口汇聚。

其中，所述主控单板的CPU和交换芯片、所述交换单板的交换芯片、所述中心交换单板的交换芯片，与交换机和后台网管服务器在同一个虚拟局域网VLAN中。

其中，所述两个中心交换单板与所述交换机连接的两条物理链路中，一条是主用物理链路，一条是备用物理链路。

进一步说，在集群路由器系统中，选择两块中心交换单板通过管理口连接到后台网管服务器，无论多么复杂的集群环境，前后台通讯的物理连线最多只需要2根，从而大大简化了前后台的物理连线。选择两块中心交换单板，起到备份作用，如果其中的一条物理链路出现故障，会自动切换到另外一条物理链路。另外，为防止两块中心交换单板上出现环回报文，中心交换单板与同一交换芯片相连的链路实现端口汇聚，即TRUNK绑定，两块中心交换单板之间建立堆叠，实现堆叠功能。

步骤202：中心框的主控单板通过其版本下载网口从后台网管服务器下载版本文件并运行。

步骤203：主控单板运行后，其它机框的单板从与其连接的主控单板下载各自的版本文件并运行。

也就是说，主控单板通过版本下载网口从后台网管服务器下载版本文件，版本文件下载完毕后，关闭下载网卡。然后，其他单板到主控单板处下载各自的版本文件，运行版本。

执行所述步骤203后，还包括前后台通讯及数据安全处理步骤204，包括：中心交换单板经由交换机接收来自后台网管服务器的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至主控单板的交换芯片；主控单板的交换芯片将管理报文中的所述VLAN标识号剥离后，将所述报文传递至主控单板的CPU。

所述步骤204还包括：主控单板的交换芯片接收主控单板的CPU传递的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至所述中心交换单板的交换芯片；中心交换单板的交换芯片将报文中的所述VLAN标识号剥离后，经由交换机将所述报文发送后台网管服务器。

所述步骤204还包括：主控单板接收到后台网管服务器发送的用于访问其它单板的请求后，开启其它单板的默认路由；后台网管服务器根据所述默认路由，将报文转发至其它单板，实现对其它单板的访问。

进一步说，为保护前台单板的内核数据，在默认情况下，后台是不能通过管理口访问前台任何单板上的内核数据；如有特殊需求要访问前台单板的内核数据，需要启用主控上的默认路由，通过主控上的默认路由访问任何其他外围单板的内核数据，访问结束后，关闭默认路由，关闭对单板内核数据的访问。

其中，所述报文是管理报文或测试报文。

根据单板的功能可将单板分为主控单板、交换单板、中心交换单板、非主备单板等，每个单板包括一个CPU和一个交换芯片。

图3显示了本发明第一实施例提供的集群路由器系统中前后台通讯的连接方案示意图，如图3所示。在前台集群路由器系统中，包括多个机框，其中设置两个机框为中心框，其它机框与中心框连接。每个中心框中只有一条链路通过管理口与交换机连接，然后与后台网管服务器间实现前后台通讯。

图4显示了本发明第二实施例提供的集群路由器系统中前后台通讯的连接方案示意图，如图4所示。在前台集群路由器系统中，包括多个机框，其中设置一个机框为中心框，其它机框与中心框连接。所述中心框中包括两条链路通过各自的管理口与交换机连接，然后与后台网管服务器间实现前后台通讯。

以图4所示的连接方案为例，图5显示了第二实施例的一个具体连接方案，其中设置一个中心框和一个线卡框。在前后台通讯链路中，交换单板出两条链路2和链路3分别与两块中心交换单板连接，通常情况下，交换芯片之间会产生环回的，因此，在两块中心交换芯片之间使用堆叠技术，链路2和链路3绑定在一个Trunk(即端口汇聚)，有效避免了环回报文产生。

中心框的两块中心交换单板分别通过各自的管理口连接到交换机上，然后与后台网管服务器通讯，其它单板连接到中心交换单板上。为了防止两块中心交换单板与连接的交换机之间产生环回报文，中心交换单板与交换机之间的两条链路，链路4和链路5，只打开其中的一条参与前后台通讯。当参与通讯的链路出现故障或者中心交换单板出现故障时，另外一条链路就打开，并参与前后台通讯。

本发明的工作流程如下：

第一步，主控单板通过版本下载网口下载版本文件。也就是说，前台集群路由器系统的主控单板通过版本下载网口ETH3，通过链路1到达交换机，到后台网管服务器下载版本文件。

第二步，主控单板运行其下载的版本文件，关闭下载网卡ETH3。

第三步，系统中其他各个外围单板到主控下载各自的版本文件，运行版本。两块中心交换单板之间建立堆叠，与同一个交换芯片连接的链路实现TRUNK。

集群路由器系统中所有单板的版本都运行起来后，后台网管服务器就能与前台主控单板进行通讯。如果前台发生了主备倒换，关闭原来主控单板上的管理口网络互连协议(Internet Protocol，IP)地址和媒体接入控制地址(Media Access Control，MAC)，重新设置新主控单板的管理口IP和MAC地址。新主控上新的IP地址和MAC地址与后台网管服务器建立前后台通讯连接。主控主备倒换后，后台网管服务器会自动与新主控单板建立前后台通讯。

第四步，在与后台网管服务器相连的两块中心交换单板管理口，选择其中的一个管理口参与前后台通讯，关闭另外一个管理口。

第五步，默认情况下，后台网管服务器只能与前台的网管服务端建立链接，不能访问其他任何单板。

由于管理口直接与外网连接，集群路由器系统上的数据安全显得非常重要，本发明中，通过下面的几种方法来保障数据安全：

1、中心交换单板上的管理口限速，防止外网上大量报文对集群路由器系统攻击。

2、在中心交换单板的管理口中，只让前后台通讯中的管理报文和部分测试报文通过，其他的报文都视为非法报文，在管理口上都进行了限制。

3、前后台通讯链路中，CPU1的ETH0口和交换芯片1之间的链路、交换芯片1和交换芯片2之间的链路、链路2、链路3、链路4、链路5，以及交换机与后台网管服务器之间的链路在一个独立的虚拟局域网VLAN中，集群路由器系统中其他链路不会属于这个VLAN，所以后台网管服务器不能直接访问到前台任何单板内核数据。那么后台网管服务器与前台主控单板之间的管理报文是如何传输的呢？后台网管服务器发出的管理报文是不带VLAN的，管理报文到达中心交换单板的交换芯片3后，添加默认VLAN，添加默认VLAN的管理报文，通过交换，到达主控上的交换芯片1，交换芯片1将管理报文的VLAN剥离，上送给主控上的CPU1。主控CPU1上发送的管理报文也是不带VLAN的，管理报文到达主控上交换芯片1后，添加默认VLAN，带默认VLAN的管理报文通过交换到达中心交换单板的管理口，管理口将管理报文的VLAN剥离，传输给后台网管服务器。其他所有单板的控制CPU与其交换芯片相连的端口在另外一个VLAN中；所以从中心交换单板的管理口进入到集群系统中的报文不会到达其他单板的控制CPU上，这样就有效保护了外围单板的控制CPU，外围单板的控制面CPU不会受外网杂包的攻击。

4、集群路由器系统中，在通常网管模式下，后台网管服务器只能与前台主控单板的网管服务进程之间进行通讯，不能访问其他外围单板。但是有时为了调试其他外围单板，需要通过中心交换单板的管理口访问其他前台单板，例如想TELNET到前台单板，为实现这个功能，后台网管服务器向主控单板发送用于访问其它单板的请求，主控单板开启其它单板的默认路由；后台网管服务器根据所述默认路由，将报文转发至其它单板，实现对其它单板的访问。访问结束后，可以关闭默认路由，取消后台网管服务器对前台单板的访问。也就是说，后台网管服务器只要在主控单板上输入命令，启用默认路由，后台调试机可以通过默认路由转发报文，从而实现对前台任何单板的调试，当调试结束后，在主控上输入命令，关闭默认路由，后台调试机就不能访问前台任何外围单板了。

综上所述，本发明具有以下技术效果：

1、本发明中前后台通讯物理布线简单，不仅节约了资源，而且有效防止外网通过管理口访问任意单板，使集群路由器系统中的数据安全得到了可靠的保证。

2、本发明将集群路由器系统中的管理口和版本下载网口分离，管理口负责前后台的通讯连接，下载网口只负责下载版本，版本下载完成后，关闭下载网口，避免外网对集群系统的访问。

3、本发明只选择一块中心交换单板参与前后台通讯，另外一块中心交换单板的管理口关闭，不进行数据传输；只有在参与前后台通讯的中心交换单板出现故障后，另外一块中心交换单板的管理口才打开，参与前后台通讯，有效避免两个中心交换单板与交换机之间出现环回报文。

4、本发明在两块中心交换单板之间使用堆叠技术，交换单板与中心交换单板之间的链路绑定到TRUNK中，避免了交换单板和中心交换单板之间的产生环回报文。

5、本发明将前后台通讯链路划分在一个VLAN中，后台网管服务器只能访问主控单板，如果要访问其他的外围单板，只有通过主控单板上的默认路由进行访问，保护了集群路由器系统内部数据的安全。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.集群路由器设备中前后台通讯及数据安全处理方法，其特征在于，包括:

A)在集群路由器系统中，设置中心框以及与所述中心框连接的其它机框，所述中心框用于经由交换机与后台网管服务器进行前后台通信；

B)中心框的主控单板通过其版本下载网口从后台网管服务器下载版本文件并运行；

C)主控单板从后台网管服务器下载版本文件并运行后，其它机框的单板从与其连接的主控单板下载各自的版本文件并运行；

其中，所述中心框为一个或两个；当中心框为一个时，该中心框具有两个中心交换单板；当中心框为两个时，每个中心框具有一个中心交换单板；

其中，每个中心交换单板经由一条物理链路连接所述交换机。

2.根据权利要求1所述的方法，其特征在于，所述步骤A)具体为：

在集群路由器系统中，设置一个中心框，其两个中心交换单板通过各自的管理口经由交换机与后台网管服务器连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

3.根据权利要求1所述的方法，其特征在于，所述步骤A)具体为：

在集群路由器系统中，设置两个中心框，其每个的一个中心交换单板通过管理口经由交换机与后台管理模块连接，其它机框的单板通过与一个中心交换单板连接进行与后台网管服务器的前后台通信。

4.根据权利要求2或3所述的方法，其特征在于，所述两个中心交换单板的交换芯片之间建立堆叠，并与同一个交换单板的交换芯片连接，进行端口汇聚。

5.根据权利要求4所述的方法，其特征在于，所述主控单板的CPU和交换芯片、所述交换单板的交换芯片、所述中心交换单板的交换芯片，与交换机和后台网管服务器在同一个虚拟局域网VLAN中。

6.根据权利要求5所述的方法，其特征在于，所述两个中心交换单板与所述交换机连接的两条物理链路中，一条是主用物理链路，一条是备用物理链路。

7.根据权利要求1所述的方法，其特征在于，执行所述步骤C)后，还包括前后台通讯及数据安全处理步骤D)，包括：

中心交换单板经由交换机接收来自后台网管服务器的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至主控单板的交换芯片；

主控单板的交换芯片将管理报文中的所述VLAN标识号剥离后，将所述报文传递至主控单板的CPU。

8.根据权利要求1所述的方法，其特征在于，所述步骤D)还包括：

主控单板的交换芯片接收主控单板的CPU传递的报文，在所述报文中添加默认的VLAN标识号后，经由交换单板的交换芯片将所述报文发送至所述中心交换单板的交换芯片；

中心交换单板的交换芯片将报文中的所述VLAN标识号剥离后，经由交换机将所述报文发送后台网管服务器。

9.根据权利要求1所述的方法，其特征在于，所述步骤D)还包括：

主控单板接收到后台网管服务器发送的用于访问其它单板的请求后，开启其它单板的默认路由；

后台网管服务器根据所述默认路由，将报文转发至其它单板，实现对其它单板的访问。

10.根据权利要求7-9任意项所述的方法，其特征在于，所述报文是管理报文或测试报文。