CN103078794B - 一种报文处理控制方法及装置 - Google Patents

Abstract

本发明提供一种报文处理控制方法，应用于网络设备上，其中该方法包括以下步骤：步骤A、在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的绑定关系；步骤B、向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；步骤C、向VPN转发单元下发转发表项以指导保留VPN转发单元的报文转发。本发明利用了VPN转发单元之间的隔离特性以及三层转发的最长匹配原则与对等价路由的天然支持，解决策略路由目前存在的下发次序需要计算引发管理员困扰的问题以及无法支持基于等价路由进行负载分担的问题。

Description

一种报文处理控制方法及装置

技术领域

本发明涉及数据通信领域，尤其一种报文处理控制方法及装置。

背景技术

三层网络设备，比如三层交换机或者路由器对报文的转发是依据报文的目的IP地址查询转发表来实现的。转发表可以是静态配置或者通过动态路由协议学习生成的。然而很多时候单纯的查表转发并不能满足用户对报文转发的全部需求。策略路由（policy-based-route，PBR）可以有效解决上述问题。PBR一种依据用户制定的策略进行路由选择的机制，与单纯依照IP报文的目的IP地址查找转发表进行转发有很大的不同。策略路由基于到达报文的源地址、长度等信息灵活地进行路由选择。对于满足一定条件（报文长度或ACL规则）的报文，将执行一定的操作（比如设置报文的出接口和下一跳等），以指导报文的转发。

发明内容

有鉴于此，本发明提供一种报文处理控制装置，应用于网络设备上，该装置包括策略管理单元、资源管理单元以及路由生成单元，其中：

资源管理单元，用于在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的绑定关系；

策略管理单元，用于向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；

路由生成单元，用于向VPN转发单元下发转发表项以指导保留VPN转发单元的报文转发。

本发明还提供一种报文处理控制方法，应用于网络设备上，其中该方法包括以下步骤：

步骤A、在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的绑定关系；

步骤B、向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；

步骤C、向VPN转发单元下发转发表项以指导保留VPN转发单元的报文转发。

本发明利用了VPN转发单元之间的隔离特性以及三层转发的最长匹配原则与对等价路由的天然支持，解决策略路由目前存在的下发次序需要计算引发管理员困扰的问题以及无法支持基于等价路由进行负载分担的问题。

附图说明

图1是一种需要下发策略路由的典型组网示意图。

图2是一种下发了策略路由的组网示意图。

图3是另一种下发了策略路由的组网示意图。

图4是本发明一种实施方式中网络设备的逻辑结构图。

图5是本发明一种实施方式中硬件环境简化示意图。

图6是本发明实现基于等价路由负载分担的组网示意图。

具体实施方式

请参考图1，假设主机Host A和Host B都发送报文到远端的路由器Router-D下的Host C。由于Host A与Host B发送的报文的目的IP地址相同，Host A和Host B发送的报文在Router上查找转发表会获得相同的路径转发。假设此时Router-A到Router-D优先走Router-B转发，那么Host A和Host B发送的报文都将转发到Router-B然后最终到达目的主机Host C。

假设用户需要在Router-A实现根据源IP地址来控制报文的转发。此时Router-A需要先识别出报文是Host A发送的还是Host B发送的；然后将Host A发送的报文转发到Router-B上去，将Host B发送的报文转发到Router-C上去。这样即便Host A与Host B发送的报文有相同的目的IP地址，由于Router-A的处理，报文被分开到不同的转发路径上。Router-A可以通过策略路由机制实现上述功能。策略路由可以通过创建ACL规则来实现，比如说ACL规则可以是：匹配到Host B的源IP的报文，下一跳都重定向到Router-C上去。以上是基于源地址来实现控制报文的转发，但事实上还可以根据报文的其他属性或者属性的组合来控制报文的转发，比如根据源IP地址与目的IP地址的组合等等来实现报文转发的控制。

根据作用对象的不同，策略路由可分为本地策略路由和接口策略路由。所谓本地策略路由是指：对本地产生的报文（比如Router本地发出的ping报文）进行策略路由，它只对Router本地产生的报文（通常是协议报文）起作用，对Router需要转发的报文不起作用。所述接口策略路由是指：对到达该接口的报文进行策略路由，它只对转发的报文起作用，对Router本地产生的报文不起作用。显然对于用户的网络业务来说，接口策略路由的使用更加广泛。

目前的策略路由的实现路由支持基于ACL规则灵活地指定路由。而ACL规则可以根据报文的源IP、目的IP、协议、端口号、优先级、TOS、时间段、VPN等各种丰富的信息将报文分类，然后控制将这些报文按照不同的路由转发出去。如前所述，策略路由通常应用于接口上，可以配置一条策略，一条策略可以包括多个策略节点，策略节点（Node）的动作可以指定允许（permit）或者拒绝（deny），动作通常默认是permit。一个Node通常包括一条匹配项和一条动作项，匹配项与操作项通常需要同时配置，当报文与匹配项匹配后，然后按照设置的动作项去执行相应的动作。

Node是策略路由技术的基本实现单元，If-match包含于策略Node之中，是基于ACL的匹配规则的集合；Apply也包含于策略Node之中，为策略的动作。匹配规则后按照该动作进行转发，通常动作里面指定单播下一跳地址，按照指定下一跳进行转发。

策略在下发到底层硬件（也可以是软件模块）才能执行策略路由，但下发之前需要先对策略进行解析，策略解析的流程通常包括如下步骤：

I、如果策略Node中的If-match为空或者Apply为空，不对该策略Node进行处理，继续处理下一个Node；

II、解析If-match中的ACL规则，如有规则内容不支持，不对该策略Node进行处理，继续处理下一个Node；

III、如果此策略Node的匹配模式为Deny，则不再解析Apply中下一跳地址，直接将动作置为Forward，即不按照策略路由转发，而是按照原流程转发；如果匹配模式为Permit，则继续解析下一跳地址，并且通常还能允许主备用两个地址IP1和IP2，比如IP1主用，IP2备用；当然也可以只有一个主用IP地址。假设主用下一跳为IP1，根据IP1和IP2的存在或者可用，各种动作设置可以参考表1所示。

表1

请参考图2，在Router-A和Host连接的接口上部署了策略路由，对Host B发送的报文做策略路由，将Host B发送的报文转发到Router-C上去。假设图2的场景中主用下一跳为2.2.2.1、备用下一跳为1.1.1.1，则此时策略Node中的If-match配置规则为：

permit source IP 192.168.20.20（用于匹配主机Host B的报文）

此时策略Node中Apply动作为：

Next-hop 2.2.2.1，1.1.1.1

这里指定了两个下一跳，主用下一跳为2.2.2.1、备用下一跳为1.1.1.1；如果主用下一跳不可达或者不可用，那么就用备用下一跳，备用下一跳不可达或者不可用，就按照原流程转发，动作就如表1所示的那样。

然而如果需要在策略路由的基础上做流量的负载分担，则会遇到问题。以最简单的等价路由为例，按照现在的方案来实现需要配置两条策略：

permit source IP 192.168.20.10/24；Next-hop 2.2.2.1

permit source IP 192.168.20.20/24；Next-hop 1.1.1.1

现有技术中基于ACL的规则的匹配的是按照先后顺序来进行，如果匹配了前面下发的ACL规则之后，ACL芯片不会对后面的ACL规则进行匹配，通常只有配置在前的规则才会被匹配，而后面那条ACL规则不会被匹配。

请进一步参考图3，不仅仅是同一个源IP地址发送的报文无法分担，即便是两个不同网段的报文也难以进行负载分担。假设策略路由部署如下：

Node1:

If-match:

permit source ip 192.168.0.0/16

Apply:

Next-hop 1.1.1.1

Node2:

If-match:

permit source ip 192.168.20.0/24

Apply:

Next-hop 2.2.2.1

策略Node1是将源IP地址为192.168.0.0/16的流量转发到下一跳1.1.1.1，而策略Node2是将源IP地址为192.168.20.0/24的流量转发到下一跳2.2.2.1，即将流量分开分别转发到Router-B和Router-C这两台设备上去；Node1是16位掩码，Node2是24位掩码，如果Node1先下发，那么满足192.168.0.0/16和192.168.20.0/24的流量显然都将只会匹配Node1，而Node2不会被匹配到。同样的道理，如前所述由于策略路由是基于ACL实现，按照ACL下发的先后顺序，只进行一次匹配，匹配后不会再进行匹配查找，因此无法做到负载分担。

请参考图3，在现有技术中，策略路由的实现是依靠向芯片下发ACL规则，报文在ACL芯片匹配到对应ACL规则实现转发。请参考图4，本发明则采用全新的方式来实现，以计算机软件实现为例，本发明提供一种报文处理控制装置，应用于网络设备上，该装置包括策略管理单元、资源管理单元以及路由生成单元，该装置运行的通用硬件环境请参考图5，其执行的报文处理控制方法包括如下步骤：

步骤101，资源管理单元在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的对应关系；

步骤102，策略管理单元向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；

步骤103，路由生成单元向VPN转发单元下发转发表项；

在很多应用场景中，很多用户可以访问的网段是比较固定的，这通常取决于管理员对网络资源访问权限的控制。在一个企业网络中，很多员工乃至一个部门所有员工仅仅可以访问与自身工作内容相关的网络资源。在这样的应用背景下，本发明使用保留VPN转发单元来代替部分策略路由对报文的转发，将用户的报文引入到保留VPN转发单元中处理，借用保留VPN转发单元三层转发上的特定优势（比如最长匹配查找）实现策略路由配置不关心下发次序的特点，甚至可以进一步实现策略路由基础上做基于等价路由的负载分担。

保留VPN转发单元是基于业务平面的资源创建的，这个资源可能是硬件资源也可能是软件资源，由于VPN转发单元已经被广泛用来做私网业务处理或者隧道业务处理，其创建过程不再描述。保留VPN转发单元之所以成为保留VPN转发单元，这是因为该转发单元是本发明软件上电后自动创建，其与保留的接口标识绑定，通常不支持用户随意配置绑定关系。在优选的实施方式中，保留接口标识是保留VLAN标识，这一保留VLAN不可以作为业务VLAN使用，对用户来说仅仅是可见但不可管理与分配。

对于已经存在的策略Node来说，对应ACL规则的下发有手工和自动辅助下发两种方式。对于手工的方式来说，用户需要参考策略Node内容修改生成新的ACL规则通过策略管理单元下发到ACL执行模块（通常位于底层芯片中）。这样ACL执行模块就可以将指定的报文（通常通过报文属性来制定）流向所述保留VPN接口。手工方式需要用户具有不错的网络设备配置经验，通常Node中的Apply动作为转发到指定的下一跳，而本发明则要求用户手工模式下，将Apply动作变为“将报文VLAN标识修改为保留VLAN标识”，即表示ACL规则会将报文对应送到前述保留VPN接口，比如说将来自192.168.20.0/24的报文全部送到保留VLAN1对应的保留VPN接口1上去。对于自动辅助处理来说，用户仅仅需要向策略管理单元制定一个策略Node与预留接口标识之间的对应关系即可，策略管理单元可以根据该对应关系自动进行ACL规则修改，然后下发到ACL执行模块去。

当策略路由中本来要控制转发的报文经过上述处理后，不会按照原来的流程转发，而是送到的保留VPN转发单元，保留VPN转发单元与网络设备的其他转发单元（比如全局转发单元）一样，其有自身的路由表项。这个路由表项需要管理员根据自己的需要指定。如前所述，在企业网络中，网络管理员比较清楚很多用户可以访问的目的网段，因此管理员可以根据情况来下发路由转发表项。请参考表2，比如说192.168.20.0/24可以访问的网段是10.10.10.0/24，路由生成单元则可以根据管理员的配置向保留VPN转发单元下发对应的转发表项。

目的IP网段	下一跳
		10.10.10.0/24	2.2.2.1
10.10.0.0/16	1.1.1.1

表2

假设原来策略路由包括Node1以及Node2。其中

Node1为：

If-match:

permit source ip 192.168.0.0/16

Apply:

Next-hop 1.1.1.1

Node2为:

If-match:

permit source ip 192.168.20.0/24

Apply:

Next-hop 2.2.2.1

通过本发明在控制层面的处理，允许用户将两个Node对应的Apply动作修改后下发对应的ACL规则，这样报文将来到保留VPN转发单元，通过三层转发进行处理。由于三层转发是基于最长匹配的方式进行转发的，因此转发表项先后关系不会对匹配转发结果产生任何影响，用户不需要去考虑转发表项的下发次序问题。而现有技术中，用户必须考虑Node1和Node2的下发顺序，否则可能导致Node2永远无法匹配到。

假设用户希望对Node1和Node2中指定的报文做基于等价路由进行负载分担，这在现有技术中是无法实现的。在本发明中，资源管理单元可以预先创建多个保留VPN转发单元，将去往不同目的网段的报文按照前述方式送入到不同的保留VPN转发单元中去。在实现上，修改VLAN标识时，每个Node需要对应修改的VLAN标识分别为不同保留VLAN标识，然后下发ACL执行模块。这样不同Node需要控制的报文就可以被ACL执行模块送入到不同的保留VPN转发单元进行处理了，比如修改Node1对应的ACL规则使得对应的报文进入到保留VPN转发单元1中，修改Node2对应的ACL规则使得对应的报文进入到保留VPN转发单元2中。用户可以利保留VPN转发单元对等价路由的天然支持，下发对应的转发表项实现基于等价路由的负载分担。请参考表3、表4以及图6的示例，对于每个表项可以下发对应的等价下一跳，VPN转发单元在执行转发时就可以依据等价路由将报文均匀分担到不同的下一跳链路上去了。

表3

表4

由此可见，在上述实施方式的基础上，资源管理单元可以创建多个不同的保留VPN转发单元，每个保留VPN转发单元绑定不同的保留VPN接口标识，这样可以支持在不同的VPN转发单元中在目的IP网段有重叠时，依然可以实现基于等价路由的负载分担。

需要说明的是，由于各个Node原本可能基于报文的各种属性来控制转发，因此用户可能需要知道这些Node所控制的流量的大致的目的IP网段。在少数情况下，有可能会出现报文进入VPN转发单元无法找不到对应转发表项的问题，此时可以转入全局转发单元去处理。本发明利用了VPN转发单元之间的隔离特性以及三层转发的最长匹配原则与对等价路由的天然支持，解决策略路由目前存在的下发次序需要计算引发管理员困扰的问题以及无法支持基于等价路由进行负载分担的问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种报文处理控制装置，应用于网络设备上，该装置包括策略管理单元、资源管理单元以及路由生成单元，其特征在于：

资源管理单元，用于在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的绑定关系；

策略管理单元，用于向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；

路由生成单元，用于向保留VPN转发单元下发转发表项以指导保留VPN转发单元的报文转发。

2.如权利要求1所述的装置，其特征在于，所述策略管理单元，进一步用于根据用户配置的策略Node与保留VPN接口标识之间的对应关系，将策略Node的Apply动作进行修改，其中修改后的Apply动作为：将报文的接口标识修改为保留VPN接口标识。

3.如权利要求1所述的装置，其特征在于，所述保留VPN接口标识为保留VLAN标识。

4.如权利要求3所述的装置，其特征在于，所述资源管理单元，进一步用于创建多个保留VPN单元，并建立多个保留VPN转发单元与多个保留VPN接口标识的对应关系，其中每个保留VPN转发单元对应的保留VPN接口标识均不相同。

5.一种报文处理控制方法，应用于网络设备上，其特征在于，该方法包括以下步骤：

步骤A、在转发平面创建至少一个保留VPN转发单元，并建立该保留VPN转发单元与保留VPN接口标识之间的绑定关系；

步骤B、向ACL执行模块下发ACL规则，其中该ACL规则用于将指定的用户报文上送到所述保留VPN接口；

步骤C、向保留VPN转发单元下发转发表项以指导保留VPN转发单元的报文转发。

6.如权利要求5所述的方法，其特征在于，所述步骤B还包括：

根据用户配置的策略Node与保留VPN接口标识之间的对应关系，将策略Node的Apply动作进行修改，其中修改后的Apply动作为：将报文的接口标识修改为保留VPN接口标识。

7.如权利要求5所述的方法，其特征在于，所述保留VPN接口标识为保留VLAN标识。

8.如权利要求7所述的方法，其特征在于，所述步骤A进一步包括：

创建多个保留VPN单元，并建立多个保留VPN转发单元与多个保留VPN接口标识的对应关系，其中每个保留VPN转发单元对应的保留VPN接口标识均不相同。