CN102377645A - 交换芯片及其实现方法 - Google Patents

Abstract

本发明公开了一种交换芯片及其实现方法，所述交换芯片包括用户标识模块、ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块，所述用户标识模块设有将进入其中的报文进行解析以得到标识用户的唯一服务标识符，并且后续的处理模块均通过服务标识符对报文进行处理。如此设置，在后续的报文处理模块中无需再次引入复杂的用户特征属性字段来处理该报文，大大降低了在区分服务的访问控制和QoS管理时的复杂度，增强了管理的灵活性及提升了网络性能。

Description

交换芯片及其实现方法

【技术领域】

本发明涉及一种网络通信技术，尤其涉及一种区分服务网络中基于用户级别的访问控制和带宽管理的芯片及其实现方法。

【背景技术】

以太网技术由于其结构简单、组网灵活、价格低廉以及在局域网的广泛应用被大多数人所熟悉和接受。近年来，随着以太网带宽的和传输性能的不断飞升，突破了传统局域网的应用局限，正在极大地推动以太网技术和业务向城域网和广域网的延伸和部署。而全球宽带服务业者整合推出的IP电话、远程视频以及数据传输组成的三合一(triple-play)业务又推动了城域网的发展。以太网在局域网表现出来的种种优势，使其也欲在城域网的发展中脱颖而出，逐步取得主导地位。

请参图1所示，一种城域以太网服务模型，其中，数据包通过客户端(CE)的用户侧-用户网络接口(UNI-C)及供应商端(PE)的网络侧-用户网络接口(UNI-N)进入服务商的城域以太网络进行处理，并最终通过另一端的UNI-C及UNI-N传出。

城域网提供的区分服务体系架构，极大地扩展了在以太网中实施安全可靠的用户管理和灵活可配置的用户带宽分配机制的能力。各设备厂商和组织正在积极筹划并展开对城域以太网标准和相关技术的讨论和制定，并且已经有了很多成果。目前，城域以太网论坛(MEF)、国际电信联盟-电信标准化部门(ITU-T)、Internet工程任务组(IETF)都对城域以太网业务进行了定义，虽然各个标准组织的具体定义不同，但是从业务的提供方式上来说都是基本相似的。

城域以太网作为城域数据承载网所能提供的业务主要有三类：点到点业务、点到多点业务和多点到多点业务。目前，许多运营商都已经采用了多协议标签交换(MPLS)技术提供虚拟专用网络(VPN)业务，在MPLS网络上可以为用户提供二层VPN业务，透明传送用户的二层业务流。运营商通过MPLS二层VPN技术可以提供两类业务：虚拟租用专线业务(VPWS)和虚拟专用局域网业务(VPLS)。MEF中明确提出城域以太网必须具有良好的服务质量(QoS)机制，应能提供分类服务和确保最小带宽服务。分类服务可针对某种服务类型，提供不同级别的服务。将分类服务和确保最小带宽结合起来，可以限定某个用户的确保带宽，从而将用户不同的业务进行分类，提供差异化服务。在MEF-10.1规范中规定了三种级别的带宽定制方案，即基于用户网络接口(UNI)的带宽配置(端口级别)、基于以太网虚连接(EVC)的带宽配置(用户级别)和基于EVC及CoS的带宽配置(用户业务级别)。这些带宽定制方案既可以单独使用，也可以联合在一起使用，以向用户提供更为高级的流量管理功能。显而易见，城域以太网的建设和发展，将对用户带宽的管理进一步细化到了对用户业务的带宽分配上，这就要求以太网交换设备能够在宽带接入网上承载丰富的业务并提供强大的QoS处理能力。

在用户访问控制上，虽然没有相关的规范和标准，但随着网络应用的爆炸式发展和业务类型的不断丰富，用户也提出存在越来越多的特定需求。例如，某些企业用户不希望其员工在工作时间内使用P2P应用而影响企业关键业务(如企业管理、视频会议)的正常运行。针对这些用户，基于用户级别的访问控制可以通过在服务商的接入设备上配置相应的访问控制策略，对P2P流量进行分时限制和封杀，确保企业关键业务的正常使用，并降低网络运营成本。

综上所述，城域以太网的QoS机制的最明确的要求就是服务区分并提供用户业务级别、用户级别以及端口级别的层次化QoS管理。网络管理要求交换设备能够区分出各个用户并提供基于用户级别的访问控制和带宽的精细化管理。

现有技术在实现用户级别的访问控制时，均是采用在访问控制列表(ACL)规则中加入各种复杂的特征属性以区分不同的用户，例如，在QinQ网络中基于C-VLAN(用户虚拟局域网)、S-VLAN(服务虚拟局域网)和端口号来唯一标识一个用户；在VPLS和VPWS网络中基于MPLS标签和端口号来标识一个用户。除此以外，当某个用户从多个端口接入时，还需要在该用户接入的所有端口上应用相同的ACL规则。类似地，现有技术在实现用户级别的流分类规则中也需要同时引入各种区分用户的特征属性。现有技术方案在实现区分服务的访问控制和服务质量管理时，存在以下不足：

(1)需要在每条规则中显式地配置区分用户的特征属性。在不同类型的网络中，标识用户的特征属性截然不同，这就增大了管理的复杂度。

(2)在某些网络中，区分用户的特征属性往往由交换路由设备动态分配，这些特征属性对于管理员是透明的。例如在VPLS/VPWS中，动态的MPLS标签分发机制将使得管理员无法确切获知分配给各个用户的标签，也就无法配置出基于用户的访问控制和流量分类规则。

(3)当用户从多个端口接入到网络时，管理员需要为该用户在其各个接入端口上应用相同的管理策略。

(4)现有技术在规则中配置了大量的属性，进行规则匹配时需要更多的时间，整体上提高了规则查找的复杂度。

【发明内容】

本发明所要解决的技术问题在于提供一种效率较高的交换芯片及其实现方法。

为解决上述技术问题，本发明采用如下技术方案：一种交换芯片，包括：报文解析模块、用户标识模块、ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块，所述报文解析模块对进入其中的报文进行解析，然后再通过用户标识模块进行进一步解析以得到标识用户的唯一服务标识符，并且后续的ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块均通过服务标识符对报文进行处理。

作为本发明的进一步改进，所述报文解析模块首先完成报文解析功能得到标识用户的报文特征属性字段及入端口号，然后用户标识模块根据报文特征属性字段及入端口号对报文执行用户识别，以得到标识用户的唯一服务标识符。

作为本发明的进一步改进，所述交换芯片包括存储设备，所述ACL处理模块根据服务标识符在交换芯片的存储设备中查找与该报文其它各字段相匹配的访问控制项，并得到与该访问控制项相应的访问控制执行动作。

作为本发明的进一步改进，所述流分类处理模块根据服务标识符在交换芯片的存储设备中查找与该报文其它各字段相匹配的流分类项，并得到与该流分类项相应的带宽管理执行策略项索引。

作为本发明的进一步改进，所述流量监管处理模块根据带宽管理执行策略项索引在存储设备中查找相应的流量监管策略，并根据得到的流量监管策略对该报文进行流量监管。

作为本发明的进一步改进，所述用户队列管理模块根据服务标识符和报文的优先级，选择缓存队列，每个服务标识符都分配一组缓存队列，所述用户队列管理模块根据报文的优先级在这一组缓存队列中选取一个缓存报文。

为解决上述技术问题，本发明还可以采用如下技术方案：一种交换芯片的实现方法，所述交换芯片包括报文解析模块、用户标识模块、ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块，所述交换芯片的实现方法包括如下步骤：

(1).报文解析模块对进入其中的报文进行解析，得到标识用户的报文特征属性字段及入端口号；

(2).用户标识模块根据报文特征属性字段及入端口号对报文执行用户识别，得到标识用户的唯一服务标识符；

(3).ACL处理模块根据服务标识符在交换芯片中查找与该报文其它各字段相匹配的访问控制项，并得到与该访问控制项相应的访问控制执行动作；如果访问控制执行动作定义丢弃该报文，则执行步骤(10)，否则继续执行下一步操作；

(4).流分类处理模块根据服务标识符在交换芯片中查找与该报文其它各字段相匹配的流分类项，并得到与该流分类项相应的带宽管理执行策略项索引；

(5).流量监管处理模块根据带宽管理执行策略项索引在交换芯片中查找相应的流量监管策略，并根据得到的流量监管策略对该报文进行流量监管；如果流量监管的结果是丢弃该报文，则执行步骤(10)，否则对该报文进行标记并继续执行下一步操作；

(6).用户队列管理模块根据该报文在用户标识模块得到的服务标识符和报文的优先级，选择缓存队列；

(7).执行队列管理，当队列长度达到设定的门限值时，执行步骤(10)，否则继续执行下一步操作；

(8).报文入用户队列并执行用户队列流量整形；

(9).报文出用户队列并执行后续的交换处理，最后从本交换芯片发送出去；

(10).丢弃报文。

作为本发明的进一步改进，所述交换芯片包括存储设备，所述访问控制项、流量监管策略及流分类项均是在存储设备中查找而得到的。

作为本发明的进一步改进，所述报文特征属性字段包括虚拟局域网(VLAN)标签。

作为本发明的进一步改进，所述报文特征属性字段包括多协议标签交换(MPLS)标签。

相较于现有技术，本发明通过在交换芯片内部为每个用户分配一个唯一的服务标识符，交换芯片只需要做一次用户识别后就可以得到其服务标识符，并根据服务标识符完成后续的交换处理，大大降低了在区分服务的访问控制和QoS管理时的复杂度，提高了交换芯片的效率、增强了管理的灵活性及提升了网络性能。

【附图说明】

图1是城域以太网服务模型原理图。

图2是本发明交换机系统的交换芯片的处理原理图。

图3是报文解析模块和用户标识模块的工作流程图。

图4是ACL处理模块、流分类处理模块及流量监管处理模块的工作流程图。

图5是用户队列管理模块的工作流程图。

【具体实施方式】

图2揭示了本发明区分服务网络中基于用户级别的访问控制和QoS管理的交换芯片100及其实现方法，所述交换芯片100包括报文解析模块6、用户标识模块1、ACL处理模块2、流分类处理模块3、流量监管处理模块4、用户队列管理模块5及存储设备(未图示)。本发明交换芯片100实现方法的操作流程如下：

(1).请参图3所示，报文解析模块6对从用户网络接口(UNI)或者网间接口(NNI)进入PE设备的报文进行解析，得到标识用户的报文特征属性字段(如VLAN标签及MPLS标签等)及入端口号；

(2).用户标识模块1根据报文特征属性字段及入端口号对报文执行用户识别，得到标识用户的唯一服务标识符；

(3).请参图4所示，ACL处理模块2根据服务标识符在交换芯片100的存储设备中查找与该报文其它各字段相匹配的访问控制项，并得到与该访问控制项相应的访问控制执行动作；如果访问控制执行动作定义丢弃该报文，则执行步骤(10)，否则继续下一步操作；

(4).流分类处理模块3根据服务标识符在交换芯片100的存储设备中查找与该报文其它各字段相匹配的流分类项，并得到与该流分类项相应的带宽管理执行策略项索引；

(5).流量监管处理模块4根据带宽管理执行策略项索引在存储设备中查找相应的流量监管策略，并根据得到的流量监管策略对该报文进行流量监管；如果流量监管的结果是丢弃该报文，则执行步骤(10)，否则对该报文进行标记并送到下一个处理模块继续操作；

(6).请参图5所示，用户队列管理模块5根据该报文在用户标识模块1得到的服务标识符和报文优先级，选择缓存队列，其中，每个用户都可以拥有专用的一组队列，报文进入的具体队列号可以根据报文优先级进行选择；

(7).执行队列管理，当队列长度达到设定的门限值时，执行步骤(10)，否则继续执行下一步操作；

(8).报文入用户队列并执行用户队列流量整形；

(9).报文出用户队列并执行后续的交换处理，最后从本交换芯片100发送出去；

(10).丢弃报文；

本发明交换芯片100支持所有常用的VPN服务模型，如QinQ、VPLS、VPWS等。软件配置的操作流程如下：

(1).网络管理员在设有交换芯片100的交换设备上创建一个用户，软件操作需要为该用户分配一个唯一的用户标识符，并下发一条用户标识条目到交换芯片100的用户标识模块1；

(2).网络管理员为该用户创建访问控制规则来过滤来自该用户的所有满足访问控制规则的报文；软件操作需要将这些控制规则下发到交换芯片100的存储设备上，并在这些控制规则中使用该用户标识符作为一个属性字段；

(3).网络管理员为该用户创建带宽管理策略来监管来自该用户的所有流量；软件操作需要将监管策略下发到交换芯片100的存储设备上，并创建相应的流分类项下发存储设备上；在流分类项中应使用该用户标识符作为一个属性字段，并将该分类项与管理员定义的带宽管理策略关联起来；

(4).为该用户分配一组专用的缓存队列，软件操作需要为该用户的服务标识符和分配的队列建立联系，以便根据服务标识符便能直接计算出该用户所使用的队列号。

本发明交换芯片100及其实现方法较现有技术存在如下优点：

(1).在交换芯片100内部为每个用户分配一个唯一的服务标识符，交换芯片100只需要做一次用户识别后就可以得到其服务标识符，并根据服务标识符完成后续的交换处理。

(2).在ACL规则中不再需要引入各种复杂的用户特征属性字段，所有这些特征属性字段可以使用服务标识符来代替，减小了ACL规则在存储设备上的存储空间，提高了规则查询效率。

(3).由于各种VPN服务所采用的标识用户的特征属性千差万别，为各种服务提供相同的编程接口功能时，往往需要为各种VPN服务定义不同的接口。而本发明能够基于服务标识符统一各种VPN服务模型的编程接口，相同功能的应用只需要定义一份接口就可以被各种VPN服务模块调用，大大简化了编程接口。

(4).当用户从多个端口接入到服务网络情况下，本发明只需要下发一条ACL规则或流分类规则到存储设备上。而现有技术需要为每个端口分别下发相同的规则。与现有技术相比，本发明大大节省了规则的存储空间。

综上所述，以上仅为本发明的较佳实施例而已，不应以此限制本发明的范围，即凡是依本发明权利要求书及发明说明书内容所作的简单的等效变化与修饰，皆应仍属本发明专利涵盖的范围内。

Claims (10)

1.一种交换芯片，包括：报文解析模块、用户标识模块、ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块，其特征在于：所述报文解析模块对进入其中的报文进行解析，然后再通过用户标识模块对报文进行进一步解析以得到标识用户的唯一服务标识符，并且后续的ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块均通过服务标识符对报文进行处理。

2.如权利要求1所述的交换芯片，其特征在于：所述报文解析模块首先完成报文解析功能得到标识用户的报文特征属性字段及入端口号，然后用户标识模块根据报文特征属性字段及入端口号对报文执行用户识别，以得到标识用户的唯一服务标识符。

3.如权利要求2所述的交换芯片，其特征在于：所述交换芯片包括存储设备，所述ACL处理模块根据服务标识符在交换芯片的存储设备中查找与该报文其它各字段相匹配的访问控制项，并得到与该访问控制项相应的访问控制执行动作。

4.如权利要求3所述的交换芯片，其特征在于：所述流分类处理模块根据服务标识符在交换芯片的存储设备中查找与该报文其它各字段相匹配的流分类项，并得到与该流分类项相应的带宽管理执行策略项索引。

5.如权利要求4所述的交换芯片，其特征在于：所述流量监管处理模块根据带宽管理执行策略项索引在存储设备中查找相应的流量监管策略，并根据得到的流量监管策略对该报文进行流量监管。

6.如权利要求5所述的交换芯片，其特征在于：所述用户队列管理模块根据服务标识符和报文的优先级，选择缓存队列，每个服务标识符都分配一组缓存队列，所述用户队列管理模块根据报文的优先级在这一组缓存队列中选取一个缓存报文。

7.一种交换芯片的实现方法，所述交换芯片包括报文解析模块、用户标识模块、ACL处理模块、流分类处理模块、流量监管处理模块及用户队列管理模块，所述交换芯片的实现方法包括如下步骤：

(1).报文解析模块对进入其中的报文进行解析，得到标识用户的报文特征属性字段及入端口号；

(2).用户标识模块根据报文特征属性字段及入端口号对报文执行用户识别，得到标识用户的唯一服务标识符；

(3).ACL处理模块根据服务标识符在交换芯片中查找与该报文其它各字段相匹配的访问控制项，并得到与该访问控制项相应的访问控制执行动作；如果访问控制执行动作定义丢弃该报文，则执行步骤(10)，否则继续执行下一步操作；

(4).流分类处理模块根据服务标识符在交换芯片中查找与该报文其它各字段相匹配的流分类项，并得到与该流分类项相应的带宽管理执行策略项索引；

(5).流量监管处理模块根据带宽管理执行策略项索引在交换芯片中查找相应的流量监管策略，并根据得到的流量监管策略对该报文进行流量监管；如果流量监管的结果是丢弃该报文，则执行步骤(10)，否则对该报文进行标记并继续执行下一步操作；

(6).用户队列管理模块根据该报文在用户标识模块得到的服务标识符和报文的优先级，选择缓存队列；

(7).执行队列管理，当队列长度达到设定的门限值时，执行步骤(10)，否则继续执行下一步操作；

(8).报文入用户队列并执行用户队列流量整形；

(9).报文出用户队列并执行后续的交换处理，最后从本交换芯片发送出去；

(10).丢弃报文。

8.如权利要求7所述的交换芯片的实现方法，其特征在于：所述交换芯片包括存储设备，所述访问控制项、流量监管策略及流分类项均是在存储设备中查找而得到的。

9.如权利要求7所述的交换芯片的实现方法，其特征在于：所述报文特征属性字段包括虚拟局域网(VLAN)标签。

10.如权利要求7所述的交换芯片的实现方法，其特征在于：所述报文特征属性字段包括多协议标签交换(MPLS)标签。

Images