CN102546434B - 一种DVPN大规模组网的方法和Spoke - Google Patents

Abstract

本发明公开了一种DVPN大规模组网的方法，该方法包括：Spoke与Hub建立DVPN隧道，向Hub发送自身的下挂子网信息，获得Hub发送其自身和其他Spoke的下挂子网信息以及对应的下一跳私网地址。基于同样的发明构思，本发明还提出一种Spoke，提高DVPN组网的灵活性，减少了大规模组网中Hub的系统开销和路由配置。

Description

一种DVPN大规模组网的方法和Spoke

技术领域

本发明涉及通信技术领域，特别涉及一种DVPN大规模组网的方法和Spoke。

背景技术

越来越多的企业对利用公共网络组建虚拟私有网络(VPN)的需求越来越多，但很多情况下，一个企业的分支是采用动态地址接入公共网络的，无法事先知道对端的公网地址，很难建立各分支机构之间的直接互访隧道。动态虚拟私有网络(DVPN)方案解决了企业网各分支机构使用动态地址接入公网的情况下可以在各分支机构间建立直连隧道的需求。

DVPN解决方案由虚拟私有网络地址管理(VAM)协议、动态点到多点隧道两大部分组成。VAM协议是DVPN方案的主要协议，负责收集、维护、分发公网地址等信息，帮助用户快捷、方便的建立起内部的安全隧道。企业内部子网之间转发的数据报文通过路由协议得到其私网下一跳地址，通过VAM协议查询到私网下一跳地址对应的公网地址，并利用该公网地址作为隧道的目的地址进行封装，最后交给已建立起的安全隧道发送到目的端用户。

每一个客户端向服务器注册自己的公网地址和私网地址的对应关系。客户端向服务器注册成功之后，其他客户端可以从服务器查询到该客户端的公网地址，以便在客户端之间建立DVPN隧道。服务器与客户端间通过VAM协议进行消息传递，客户端之间通过DVPN隧道协议进行隧道的建立、维护和删除。

在DVNP的解决方案中，客户端的子网路由和下一跳地址是通过动态路由协议来发布的。Spoke在向VAM服务器注册成功后，和Hub建立永久的DVPN隧道，用于路由的学习和发布。Hub作为路由的中心节点负责收集所有Spoke的子网路由信息，然后发布给每个Spoke。这样，Spoke间在有数据流量转发时，就可以查询本地的路由信息，获取路由的下一跳地址，并向VAM服务器查询对端的公网地址了。

现有方案中Hub需要和每一个Spoke建立路由邻居，在大规模组网中，Hub端需要维护大量的路由邻居和路由信息，系统开销大，路由配置复杂，而且受限于动态路由协议的规格。

发明内容

有鉴于此，本发明提供一种DVPN大规模组网的方法和Spoke，提高DVPN组网的灵活性，减少了大规模组网中Hub的系统开销和路由配置。

为解决上述技术问题，本发明的技术方案是这样实现的：

一种DVPN大规模组网的方法，各Hub和Spoke向VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke，所述方法包括：

Spoke根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将本端的下挂子网信息发送给所述Hub，并使所述Hub生成到该Spoke的子网路由；接收到该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，并生成所述Hub和其他Spoke的子网路由信息。

一种Spoke，应用于DVPN大规模组网中，所述组网中各Hub和Spoke向VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke，所述Spoke包括：收发单元和生成单元；

所述收发单元，用于根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将自身所在Spoke的下挂子网信息发送给所述Hub，并使所述Hub生成到自身所在Spoke的子网路由；接收该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址；

所述生成单元，用于根据所述收发单元接收到的该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，生成所述Hub和其他Spoke的子网路由信息。

综上所述，本发明通过Spoke与Hub建立DVPN隧道，向Hub发送自身的下挂子网信息，获得Hub发送其自身和其他Spoke的下挂子网信息以及对应的下一跳私网地址，解除了DVPN隧道对动态路由协议的依赖，提高DVPN组网的灵活性，减少了大规模组网中Hub的系统开销和路由配置。

附图说明

图1为本发明实施例一中DVPN大规模组网流程示意图；

图2为本发明实施例二中DVPN大规模组网流程示意图；

图3为本发明具体实施例中DVPN大规模组网中Spoke的结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明所述方案作进一步地详细说明。

本发明提出一种DVPN大规模组网的方法，组网中各Hub和Spoke向VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke。

Spoke根据VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将本端的下挂子网信息发送给所述Hub，并使所述Hub生成到该Spoke的子网路由；接收到该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，并生成所述Hub和其他Spoke的子网路由信息。

生成的Hub的子网路由信息包括：Hub的下挂子网信息和私网地址；其他Spoke的子网路由信息包括：其他Spoke的下挂子网信息和发来的对应的下一跳私网地址，当前组网类型为Hub-Spoke时，其他Spoke的下挂子网信息对应的下一跳私网地址为该Hub的私网地址；当前组网类型为Full-Mesh时，其他Spoke的下挂子网信息对应的下一跳私网地址为其自身的私网地址。

组网类型可以在VAM服务器上配置，Hub向VAM服务器注册后，VAM服务器将配置的组网类型下发给Hub；组网类型也可直接在Hub上配置。Hub向各Spoke发送其他Spoke的下挂子网信息以及对应的下一跳私网地址时，根据当前的组网类型决定发送的私网地址是对应Spoke的还是Hub的。

若Spoke的下挂子网信息变更，则通过建立的DVPN隧道通知该Hub变更后的下挂子网信息，并使所述Hub通知其他Spoke变更所述Spoke的下挂子网信息。

若Spoke下线时，删除本端生成的路由信息，通知与其建立DVPN隧道的Hub和Spoke拆除对应的DVPN隧道，使所述Hub删除对应的路由信息并通知其他Spoke删除对应的路由信息，并删除本端建立的DVPN隧道。

Spoke的下挂子网信息变更，则将变更后的下挂子网信息通知Hub，使Hub根据该Spoke的下挂子网信息重新生成对该Spoke的子网路由信息，并通知其他Spoke该Spoke当前的下挂子网信息以及对应的下一跳私网地址。

若Spoke接收到Hub发送的拆除DVPN隧道的通知时，删除本端生成的路由信息和DVPN隧道，并重新尝试和所述Hub建立DVPN隧道，直到所述VAM服务器通知Hub下线。

Spoke接收到Hub发送的拆除DVPN隧道的通知时，先删除已生成的路由信息和DVPN隧道，但是继续主动和该Hub建立DVPN隧道，由于该Spoke并不能确定Hub是出现故障还是下线，直到VAM服务器通知Hub下线，则不再继续与Hub建立DVPN隧道。

若Spoke接收到其他Spoke发送的拆除DVPN隧道的通知时，删除建立的对应DVPN隧道。

该Spoke接收到所述Hub发送的其他Spoke的下挂子网信息以及对应的下一跳私网地址时，确定本端是否已生成该Spoke的子网路由信息，如果是，则根据接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息并更新；否则，根据接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息。若该Spoke接收到所述Hub发送的删除其他Spoke的对应路由信息，在本端生成的路由信息中将所述对应的路由信息删除。

如果本地已生成Hub新发送的Spoke的子网路由信息，说明该Spoke的子网下挂信息变更，并通过Hub通知；如果本地先前未生成过Hub新发送的Spoke的子网路由信息，该Spoke为新上线的Spoke。当所述组网类型为Full-Mesh时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为其自身的私网地址。

下面结合附图，通过具体实施例来详细说明DVPN大规模组网中各VAM客户端如何获得其他VAM客户端的下挂子网信息的。

实施例一

参见图1，图1为本发明实施例一中DVPN大规模组网流程示意图。具体步骤为：

步骤101，Spoke与Hub建立DVPN隧道后，将本端的下挂子网信息通过建立的DVPN隧道发送给所述Hub，并使所述Hub生成到该Spoke的子网路由信息。

本步骤中Spoke与Hub建立DVPN隧道同现有实现。将本端的下挂子网信息通过建立的DVPN隧道发送给该Hub具体实现时，通过能够依赖已建立的DVPN隧道封装并转发的报文携带需要发送的信息，具体报文实现形式和格式可以根据具体应用设置。

Hub生成到该Spoke的子网路由信息包括该Spoke的下挂子网信息和下一跳私网地址。具体实现时Hub可以将生成的各Spoke的子网路由记录在静态路由表项中，以便更新和查找。

步骤102，Spoke通过建立的DVPN隧道接收所述Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，并生成所述Hub和其他Spoke的子网路由信息。

本步骤中Hub和其他Spoke的子网路由信息的具体内容上文已详细描述，同样可以在本地生成静态路由表项记录这些子网路由信息，以便查找和更新。获得下挂子网信息以及对应的下一跳私网地址之后，生成子网路由信息以及如何记录保存均可使用现有实现方式，这里不再详细赘述。

实施例二

参见图2，图2为本发明实施例二中DVPN大规模组网流程示意图。具体步骤为：

步骤201，Spoke与Hub建立DVPN隧道时，在向所述Hub发送的隧道建立请求报文中携带本端的下挂子网信息，并使所述Hub生成到该Spoke的子网路由。

步骤202，Spoke接收所述Hub发送的携带自身及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的回应隧道建立请求报文，并生成所述Hub和其他Spoke的子网路由信息。

该实施例中，通过Spoke与Hub建立DVPN隧道时发送的请求和回应请求的报文中携带需要发送的信息。

通过上述方法组网中的各Hub和Spoke均获得其他VAM客户端的下挂子网地址及对应的下一跳私网地址，在本地分别生成到对端的子网路由信息。当本端VAM客户端接收到需要发给其他VAM客户端的报文时，通过本地生成子网路由的下一跳地址查找建立的DVPN隧道，如果对应DVPN隧道已建立，直接转发，如果未建立，通过该报文的目的地址所在的下挂子网信息中对应的下一跳私网地址作为下一跳地址向VAM服务器进行下一跳地址解析，获得对端的公网地址，建立相应的DVPN隧道。这些过程均同现有实现，这里不再详细赘述。

基于同样的发明构思，本发明还提出一种Spoke，应用于DVPN大规模组网中，所述组网中各Hub和Spoke向VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke，参见图3，图3为本发明具体实施例中DVPN大规模组网中Spoke的结构示意图。该Spoke包括：收发单元301和生成单元302。

收发单元301，用于根据VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将自身所在Spoke的下挂子网信息发送给所述Hub，并使所述Hub生成到自身所在Spoke的子网路由；接收该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址。

生成单元302，用于根据收发单元301接收到的该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，生成所述Hub和其他Spoke的子网路由信息。

较佳地，

收发单元301，用于与对应的Hub建立DVPN隧道后，将自身所在Spoke的下挂子网信息通过所述建立的DVPN隧道发送给所述Hub；通过所述DVPN隧道接收所述Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址。

较佳地，

收发单元301，用于与Hub建立DVPN隧道时，在向所述Hub发送的隧道建立请求报文中携带本端的下挂子网信息；接收所述Hub发送的携带自身及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的回应隧道建立请求报文。

较佳地，

收发单元301，进一步用于若自身所在Spoke的下挂子网信息变更，则通过所述DVPN隧道通知所述Hub变更后的下挂子网信息，并使所述Hub通知其他Spoke变更所述Spoke的下挂子网信息；若自身所在Spoke下线时，通知与其建立DVPN隧道的Hub和Spoke拆除对应的DVPN隧道，使所述Hub删除对应的路由信息并通知其他Spoke删除对应的路由信息。

生成单元302，进一步用于自身所在Spoke下线时，删除本端生成的路由信息，并删除本端建立的DVPN隧道。

较佳地，

收发单元301，进一步用于接收所述Hub发送的拆除DVPN隧道的通知；接收其他Spoke发送的拆除DVPN隧道的通知。

生成单元302，进一步用于若收发单元301接收到所述Hub发送的拆除DVPN隧道的通知，则删除本端生成的路由信息和DVPN隧道，并重新尝试和所述Hub建立DVPN隧道，直到所述VAM服务器通知Hub下线；若所述收发单元接收到其他Spoke发送的拆除DVPN隧道的通知，则删除建立的对应DVPN隧道。

较佳地，该Spoke进一步包括确定单元303。

收发单元301，进一步用于接收所述Hub发送的其他Spoke的下挂子网信息以及对应的下一跳私网地址；接收所述Hub发送的删除其他Spoke的对应路由信息。

确定单元303，用于当收发单元301接收到所述Hub发送的其他Spoke的下挂子网信息以及对应私网地址时，确定生成单元302是否已生成该Spoke的子网路由信息。

生成单元302，进一步用于如果确定单元302确定已生成该Spoke的子网路由信息，则根据收发单元301接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息并更新；否则，根据收发单元301接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息；若所述收发单元接收到所述Hub发送的删除其他Spoke的对应路由信息，在本端生成的路由信息中将所述对应的路由信息删除。

较佳地，

当所述组网类型为Hub-Spoke时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为所述Hub的私网地址；

当所述组网类型为Full-Mesh时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为其自身的私网地址。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

综上所述，本发明通过Spoke与Hub建立DVPN隧道后，向Hub发送自身的下挂子网信息，获得Hub发送其自身和其他Spoke的下挂子网信息以及对应的下一跳私网地址；或通过在建立隧道时通过请求和回应请求报文携带下挂子网信息获得其他VAM客户端的下挂子网信息，解除了DVPN隧道对动态路由协议的依赖，提高DVPN组网的灵活性，减少了大规模组网中Hub的系统开销和路由配置。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种动态虚拟私有网络DVPN大规模组网的方法，各Hub和Spoke向虚拟私有网络地址管理VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke，其特征在于，所述方法包括：

Spoke根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，通过DVPN协议报文将本端的下挂子网信息发送给所述Hub，并使所述Hub生成到该Spoke的子网路由；接收到该Hub通过DVPN协议报文发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，并生成所述Hub和其他Spoke的子网路由信息。

2.根据权利要求1所述的方法，其特征在于，所述Spoke根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将本端的下挂子网信息发送给所述Hub，接收该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的方法为：

所述Spoke与Hub建立DVPN隧道后，将本端的下挂子网信息通过所述建立的DVPN隧道发送给所述Hub；通过所述DVPN隧道接收所述Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址。

3.根据权利要求1所述的方法，其特征在于，所述Spoke根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，将本端的下挂子网信息发送给所述Hub，接收该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的方法为：

所述Spoke与Hub建立DVPN隧道时，在向所述Hub发送的隧道建立请求报文中携带本端的下挂子网信息；接收所述Hub发送的携带自身及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的回应隧道建立请求报文。

4.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

若所述Spoke的下挂子网信息变更，则通过所述DVPN隧道通知所述Hub变更后的下挂子网信息，并使所述Hub通知其他Spoke变更所述Spoke的下挂子网信息；

若所述Spoke下线时，删除本端生成的路由信息，通知与其建立DVPN隧道的Hub和Spoke拆除对应的DVPN隧道，使所述Hub删除对应的路由信息并通知其他Spoke删除对应的路由信息，并删除本端建立的DVPN隧道。

5.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

若所述Spoke接收到Hub发送的拆除DVPN隧道的通知时，删除本端生成的路由信息和DVPN隧道，并重新尝试和所述Hub建立DVPN隧道，直到所述VAM服务器通知Hub下线；

若所述Spoke接收到其他Spoke发送的拆除DVPN隧道的通知时，删除建立的对应DVPN隧道。

6.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

若所述Spoke接收到所述Hub发送的其他Spoke的下挂子网信息以及对应的下一跳私网地址时，确定本端是否已生成该Spoke的子网路由信息，如果是，则根据接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息并更新；否则，根据接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息；

若所述Spoke接收到所述Hub发送的删除其他Spoke的对应路由信息，在本端生成的路由信息中将所述对应的路由信息删除。

7.根据权利要求1-6任意一项所述的方法，其特征在于，

当所述组网类型为Hub-Spoke时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为所述Hub的私网地址；

当所述组网类型为Full-Mesh时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为其自身的私网地址。

8.一种Spoke，应用于动态虚拟私有网络DVPN大规模组网中，所述组网中各Hub和Spoke向VAM服务器注册，VAM服务器将域内的Hub信息下发给各Spoke，其特征在于，所述Spoke包括：收发单元和生成单元；

所述收发单元，用于根据所述VAM服务器下发的Hub信息与对应的Hub建立DVPN隧道，通过DVPN协议报文将自身所在Spoke的下挂子网信息发送给所述Hub，并使所述Hub生成到自身所在Spoke的子网路由；接收该Hub通过DVPN协议报文发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址；

所述生成单元，用于根据所述收发单元接收到的该Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址，生成所述Hub和其他Spoke的子网路由信息。

9.根据权利要求8所述的Spoke，其特征在于，

所述收发单元，用于与对应的Hub建立DVPN隧道后，将自身所在Spoke的下挂子网信息通过所述建立的DVPN隧道发送给所述Hub；通过所述DVPN隧道接收所述Hub发送的自身以及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址。

10.根据权利要求8所述的Spoke，其特征在于，

所述收发单元，用于与Hub建立DVPN隧道时，在向所述Hub发送的隧道建立请求报文中携带本端的下挂子网信息；接收所述Hub发送的携带自身及其获得的其他Spoke的下挂子网信息以及对应的下一跳私网地址的回应隧道建立请求报文。

11.根据权利要求8所述的Spoke，其特征在于，

所述收发单元，进一步用于若自身所在Spoke的下挂子网信息变更，则通过所述DVPN隧道通知所述Hub变更后的下挂子网信息，并使所述Hub通知其他Spoke变更所述Spoke的下挂子网信息；若自身所在Spoke下线时，通知与其建立DVPN隧道的Hub和Spoke拆除对应的DVPN隧道，使所述Hub删除对应的路由信息并通知其他Spoke删除对应的路由信息；

所述生成单元，进一步用于自身所在Spoke下线时，删除本端生成的路由信息，并删除本端建立的DVPN隧道。

12.根据权利要求8所述的Spoke，其特征在于，

所述收发单元，进一步用于接收所述Hub发送的拆除DVPN隧道的通知；接收其他Spoke发送的拆除DVPN隧道的通知；

所述生成单元，进一步用于若所述收发单元接收到所述Hub发送的拆除DVPN隧道的通知，则删除本端生成的路由信息和DVPN隧道，并重新尝试和所述Hub建立DVPN隧道，直到所述VAM服务器通知Hub下线；若所述收发单元接收到其他Spoke发送的拆除DVPN隧道的通知，则删除建立的对应DVPN隧道。

13.根据权利要求8所述的Spoke，其特征在于，所述Spoke进一步包括确定单元；

所述收发单元，进一步用于接收所述Hub发送的其他Spoke的下挂子网信息以及对应的下一跳私网地址；接收所述Hub发送的删除其他Spoke的对应路由信息；

所述确定单元，用于当所述收发单元接收到所述Hub发送的其他Spoke的下挂子网信息以及对应的下一跳私网地址时，确定所述生成单元是否已生成该Spoke的子网路由信息；

所述生成单元，进一步用于如果所述确定单元确定已生成该Spoke的子网路由信息，则根据所述收发单元接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息并更新；否则，根据所述收发单元接收到的Spoke的下挂子网信息以及对应的下一跳私网地址生成子网路由信息；若所述收发单元接收到所述Hub发送的删除其他Spoke的对应路由信息，在本端生成的路由信息中将所述对应的路由信息删除。

14.根据权利要求8-13任意一项所述的Spoke，其特征在于，

当所述组网类型为Hub-Spoke时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为所述Hub的私网地址；

当所述组网类型为Full-Mesh时，所述其他Spoke的下挂子网信息对应的下一跳私网地址为其自身的私网地址。