CN103152238A

CN103152238A - 运营商的运营商vpn环境中的分层光纤vpn

Info

Publication number: CN103152238A
Application number: CN201210223827XA
Authority: CN
Inventors: 哈米德·乌尔德·卜拉欣
Original assignee: Nortel Networks Corp
Current assignee: Nortel Networks Ltd; Nortel Networks Corp
Priority date: 2002-07-17
Filing date: 2003-07-17
Publication date: 2013-06-12
Also published as: WO2004008697A1; US20040057439A1; CN1675895A; EP1525719A1; CA2492539A1; AU2003249808A1

Abstract

本发明公开了一种布置方法和一种在运营商的运营商虚拟专用网络(VPN)中分层布置的光纤虚拟专用网络的系统。该系统具有分层虚拟专用网络，该网络被配置为分层网络中的每个VPN作为父或子附属于另一个VPN。每个子VPN有且只有一个父VPN，每个父VPN负责附属于它的子VPN的服务与连接。公开的分层光纤VPN系统在允许一个运营商的运营商向运营商的客户提供管理功能时特别有效。

Description

运营商的运营商VPN环境中的分层光纤VPN

本申请是申请日为2003年7月17日、申请号为03819544.5(PCT/CA2003/001075)、发明名称为“运营商的运营商VPN环境中的分层光纤VPN”的专利申请的分案申请。

相关美国申请数据

提交于2002年7月17日编号为60/396,899的临时申请。

技术领域

本发明涉及一种在运营商的运营商虚拟专用网络(VPN)环境中的分层光纤虚拟专用网络，尤其涉及允许光纤VPN服务的用户向他们的客户提供光纤VPN服务。

背景技术

一个虚拟专用网络(VPN)可以被当作一个在公共网络基础结构中构造的专用网络。VPN可以有多种定义形式：

定义1：一个VPN是一组分享共同的成员信息并打算建立节点间连通性(在该组内)的用户(即附加到网络中的设备)。一个用户可以是多个组(VPN)的成员。

定义2：一个VPN是一个客户专用网络，该网络订购受限的连通性服务。

定义3：一个VPN是一种服务，其中一个客户请求通过一个共享的网络基础结构提供的多点连通性服务。

定义4：一个VPN是一种服务，其中内部提供商网络资源的一部分被分配给一个客户。

一个光纤VPN(OVPN)可以被认为是包含SONET/SDH技术的一个VPN，该VPN的基本服务单元是存在于两个端点或站点间的光纤/TDM物理连接。

在网络中，运营商为用户提供服务，反过来它也可能是其它运营商的用户。一个运营商的运营商OVPN服务是一个通过第一运营商自己向另一个第二运营商订购OVPN服务来提供的光纤VPN服务。运营商的运营商OVPN用户可以决定使用它自己的服务来提供OVPN服务或另外决定直接从提供商购买OVPN服务以供它的客户使用的。

在用户没有或不能管理OVPN的实施并决定将其外包给提供商的情况下，提供商将只得限制用于客户的客户OVPN的连通性以便实施OVPN。可以在加强控制台OVPN层级结构的同时，通过直接干涉或间接通过向客户提供工具以管理其用户来实现所述目的。

因此，一个可扩展的方法或系统是必需的，该方法或系统允许提供商支持客户的多OVPN且考虑到以下问题，例如简化的供应、重叠地址、约束的/限制的连通性、按需带宽请求、保密/自主地址分配和路由以及通常在实现光纤网络高效率和可扩展性的同时提供VPN服务等。

发明内容

本发明的目的之一是在运营商的运营商网络中提供改进的VPN。

根据本发明第一个方面，公开了一种具有一组通过服务互相连接的元件的网络；其中该元件的至少一个第一子组定义了一个专用网络且该元件的至少一个与第一子组不同的第二子组定义提供商网络，其中该元件的第一子组的至少两个子群可以通过提供商网络连接。该网络还具有一个服务层级其中虚拟专用网络被定义在元件的第二子组上。服务层级包括一个“父”虚拟专用网络(VPN)和至少一个附属的“子”VPN。每个子VPN具有至多一个附属的父VPN。每个父VPN负责为至少一个附属的子VPN联系服务和连接，同时提供商网络具有一个用于关联元件形成父VPN的装置。

根据本发明的另一个方面，公开了一种组织具有一组通过服务互相连接的元件的网络的方法，其中元件的至少一个第一子组定义一个专用网络，该元件的与第一子组不同的至少一个第二子组定义一个提供商网络，其中该元件的第一子组的至少两个子群可以通过提供商网络连接。该方法包括建立一个服务层级，其中虚拟网络被定义在元件的第二子组上。进而，在服务层级中建立一个父虚拟专用网络(VPN)和至少一个附属的子VPN，其中每个子VPN至多有一个附属的父VPN。然而，每个父虚拟专用网络负责为至少一个附属的子VPN联系服务和连接；并为提供商网络提供一个功能以联系包含父虚拟专用网络的元件。

方便的是，用于提供商网络的关联功能包括用于每个父VPN和子VPN的一个VPN描述符。

有利的是，用于提供商网络的关联功能使用一个自动发现过程来创建VPN描述符。

参照附图中所示最佳实施例来详细描述本发明。当在下文参照最佳实施例对本发明进行描述时，应该发现本发明并不仅局限于此。本领域普通技术人员使用本发明时，应该发现在此处公开和要求权利的本发明范围内另外的实现方式、修改和实例。

附图说明

通过下面对本发明的具体实施例和附图的详细描述可以更好地理解本发明，附图中：

图1是网络参考模型图。

图2是实例的运营商的运营商网络图。

图3是运营商的运营商的模型服务树图。

图4是根据本发明实施例的实例的分层光纤VPN服务树图。

图5是另一个根据本发明实施例的实例分层光纤VPN服务树图。

图6是根据本发明实施例的实例分层光纤VPN图。

图7是根据本发明实施例的基于分区的分层光纤VPN实例图。

图8是根据本发明实施例的实例分层光纤VPN图，其中提供商管理一个客户的多个OVPN。

图9是根据本发明实施例的带有一个未激活层的HOVPN服务树图。

图10是根据本发明实施例的示出了可能操作的服务树图。

图11是根据本发明实施例的在一个HPIT(端口信息表层级树)中的PIT(端口信息表)的分层关系图。

图12是根据本发明实施例的实例HPIT树图。

图13是根据本发明实施例的HOVPN规则树图。

图14是根据本发明实施例的一个GIT(全局唯一标识符表)图。

图15是根据本发明实施例的一个用于为一个HOVPN建立连通性的信令的说明。

图16是根据本发明实施例的一个信号穿越一个服务树的图。

图17是根据本发明实施例的一个信号穿越一个服务树并离开一个定义区域的图。

图18是根据本发明实施例的带有自动发现的服务情节的图。

图19是根据本发明实施例的显示一个连接的服务情节的图。

具体实施方式

参照图1，这里示出了带有服务提供商的一部分100并与客户网络110连接的一个网络。服务提供商网络具有网络元件115和提供商网络的一部分，该部分与一个特定的客户网络相接并被称为提供商边界(PE)设备120。与PE设备120相接的客户网络的一部分是一个客户边界(CE)设备125。在本文中，设备代表至少信令或连通性设备。

参照图2，可以看到一个范例运营商的运营商范例服务情节的说明。在本范例中，客户1 131和客户2 132各自订购提供商A 140的一个基于端口的光纤VPN。

客户1 131在由客户1 131购买的同一光纤VPN(OVPN)上为客户3133和客户4 134提供光纤VPN。客户1 131可以决定是否由提供商A140为客户1 131 OVPN用户提供全部OVPN功能。

在地址分配方面，客户1 131可以使用它自己的专用地址分配或使用提供商的公共地址。客户3 133和客户4 134可以使用客户1 131地址或由提供商A 140提供的地址。

图3是以服务树的形式对图2的服务安排的一部分的另一种描述。可以看到提供商A 140向客户1 131提供服务，该客户反过来为客户3133客户4 134提供服务。

运营商的运营商OVPN服务是由运营商自己提供的一个光纤VPN服务，该运营商本身也向别的运营商订购OVPN服务。一个例子可以是客户1 131，该客户向客户3 133提供服务，同时反过来向提供商A 140订购服务。

分层光纤虚拟专用网络(HOVPN)

一个分层光纤VPN(HOVPN)是一个与一个分层服务树相关的OVPN服务。一个分层服务树是包含在一个分层关系中的光纤VPN服务树。

一个分层的基于端口的OVPN是一个基于端口OVPN的层级，其中一个父VPN可以有一个或多个子VPN。一个给定的端口可以属于至多一个父OVPN。

连接可以由在父VPN内的任何子VPN等等触发。多个OVPN子成员关系可以被定义在一个给定的父端口。父端口至多只能属于一个OVPN(包括外网情况)。父VPN的角色是在一个给定的时间为子VPN联系通道和连接。

图4示出了用于前面描述过的实例网络的一个分层服务树。从服务树提供商140向父VPN 131提供服务，该父VPN服务于子VPN 133。反过来，子VPN 133是子VPN 134的父VPN。对于这个服务树来说，HOVPN父亲是父VPN 131。

一个基于端口/分区的分层OVPN是一个基于端口或分区的OVPN的混合体的层级。在本文中，一个分区是从一个服务提供商获得的服务的子群，该服务提供商将允许通过子群实现跨服务提供商网络的连通性。图5示出了一个实例服务树，该服务树同时包含基于端口的OVPN 144和基于分区的OVPN 145。这个特殊的树说明了一个实例情况，其中订购基于分区的VPSTN(虚拟专用交换传输网络，一种基于分区的服务)的客户决定使用这个服务来为它的客户同时提供GVPN(普通VPN，基于端口的VPN服务)和VPSTN服务。

一个基于端口的分层OVPN可能被当作一个基于端口的OVPN层级，其中一个父VPN可以有一个或多个子VPN。一个给定端口可能属于至多一个父OVPN。一个基于端口/分区的分层OVPN是一个基于分区和基于端口的OVPN的混合体的层级。连接可以被父VPN内的任何子VPN所触发。多个OVPN子成员关系或隶属关系可以被定义在一个给定的父端口上。父端口至多可以属于一个OVPN(包括外网情况)。父VPN的角色是在一个给定的时间为子OVPN联系通道/连接。图6示出了一个服务提供商140、父OVPN 147和子OVPN 148这种布局的HOVPN网络的例子。需要注意的是一些VPN通过网络150连接，该网络可以例如是城域网。也可以看到作为HOVPN网络一部分的其他VPN 141，142，143。

参照图7，这里示出了一个基于分区的HOVPN，其中可以看到客户OVPN-1 152拥有的部分，开放部分153，即不是分区152的一部分的提供商网络，和为OVPN-用户1通过分区OVPN-1 152所使用的连接154。

参照图8，可以看到HOVPN实例，其中提供商管理客户的OVPN。在PE 160，要求提供服务的服务树。可以看到相对应的CE 162和父OVPN1控制通道164。所有子VPN信令信息将穿过该父控制通道。

对于基于端口的VPN，一个给定的CE-USER可以与父OVPN使用同样的端口(包括用于父OVPN端口的所有通道都被子OVPN占用的情况)。对于基于分区的OVPN，基于分区的端口可以被多个基于端口的OVPN使用。在一个给定的OVPN父端口，可以定义多个OVPN子成员关系。

一个给定的客户或提供商端口可以被专有的分配给该层级中位于任何一层的一个OVPN。可以将一个指定的端口分配给任何一层显然带来位于层级中的各层中的VPN的休止。图9示出了这种情况下的服务树，其中使用中的VPN 164被分层地与休止VPN 165连接。

参照图10，一些操作显然可以在一个HOVPN的服务树上进行，该操作在改变网络的同时保留了层级结构。服务树中的节点根据VPN所有权和管理的示意，可以被增加，移动，提升到分层-n或下降到分层-n。

HOVPN建构模块

OVPN描述符：包含关于每个光纤VPN的信息(HOVPN的一部分)。

端口信息表(PIT)：包含一个OVPN的所有端口的一个客户端口标识符(CPI)和提供商端口标识符(PPI)元组的列表。

PIT层级树(HPIT)：包含由位于一个层级的不同层次的OVPN描述符组成的HOVPN树。

全局唯一标识符(GID)：一个或多个(VPN-ID，路由目标等)且可以按每个OVPN基础分配。

GID表(GIT)：为每个GID保留与它关联的层次相对应的OVPN描述符信息。

在操作中，每个运营商的运营商OVPN在接受配置时(例如，如果它是一个基于端口的OVPN则一个PIT被添加同时一个端口被分配)将被赋以一个在所有OVPN中唯一的GID值。

在提供商边界的OVPN描述符的细节

一个OVPN描述符(“OVPN Desc”)与配置在PE上的每个光纤VPN服务相关联。OVPN DESC包括(注：参见使用在下面实例中的术语表)：

■OVPN服务的种类可以为下面值之一：GVPN_c＝1，VPOXC_c＝2，VPSTN_c＝3，基于UNI的OVPN＝4，其它类型可以在将来定义，例如另一种基于端口OVPN。

■OVPN_Category＝port_based，partition-based。

■至少一个GID与OVPN相关联。同一个GID可以被配置在多个PE的同一个OVPN使用。

■管理状态值可以设置为“上”“下”或“测试”。

■操作状态值可以设置为“可用”和“不可用”。

■端口信息表(PIT)：一个PIT可以被类似VPOXC和GVPN的服务使用(当专用路由未被使用时只有VPSTN)。一个PIT将包含下述内容：

○一个客户口标识符(CPI)；

○一个提供商标识符(PPI)；

○通道特性；和

○本地/AD常量：“AD”是通过自动发现得到CPI，“本地”意味着从附属CE得到。

OVPN描述符例子

■GID＝1234567

■OVPN_Type＝GVPN

■OVPN_Category＝Port_based

■AdminStatus＝Up

■OperStatus＝enable

■PIT＝{<10.1.1.1，16.1.1.1，info1.local>，<10.1.1.2，16.1.1.2，info2，“AD”>，...}

将OVPN描述符关联到一个PIT层级树中(HPIT)

每个HOVPN都与一个分层端口信息表树(HPIT树)相联系。一个实例HPIT树在图11中给出。一个HPIT是OVPN描述符的分层顺序。

参照图11，位于分层“0”(HPIT树的根部)的一个客户订购一个直接OVPN服务。因此，位于HPIT根部的一个PIT被当作RPIT(根端口信息表)。位于分层2的一个客户向位于分层-1的一个OVPN客户订购一个OVPN服务。一个位于分层-n的客户订购位于分层(n-m其中m＝n-1)的一个OVPN服务。图12示出了根据具体实施例的一个被填充的HPIT树。

参照图13，由于连通性是通过层级实现的，显然分层的本质允许在每个子层级中定义拓扑策略。

HPIT规则

一个位于分层-n的带有参数type＝VPSTN的OVPN服务可以在分层(n+m，其中m＝1，..k)提供OVPN服务，服务类型有VPSTN、VPOXC、GVPN和基于端口基于UNI的OVPN。

一个位于分层-n的带有带有参数type＝port-based(GVPN)的OVPN服务仅可以在分层(n+1，n+2，...n+m)提供OVPN服务，服务类型有GVPN和基于UNI的OVPN。

一个HPIT与一个输入/输出路由目标列表相关，该列表是从配置给每个单独的PIT的路由目标表中提取出的。

一个给定的CPI可以被该CPI所属的OVPN的多个OVPN客户使用。这个CPI可以用一个输出路由目标列表所标记，该列表是通过汇总其中出现过CPI的每个PIT的路由目标列表得到的。

鉴于地址分配与提供商边界的端口相关，网络允许位于分层(n+m，其中0＜m)的一个VPN使用与VPN在分层-n定义的相同的地址。一个位于分层-n的专用地址被当作位于分层(“n+1”...“n+m”)的公共地址。

根据另一个预期的实施例，另一个方法将允许在每一分层的每个OVPN定义并使用它自己的地址分配。

请注意，该解决方案可以应用于在根VPN使用公共地址的网络环境(该根VPN的一个实例协议，是作为光纤互连网络论坛UNI 1.0协议的TNA协议(传输网络分配地址))。

全局唯一标识符(GID)

全局唯一标识符将与HOVPN一起使用来实现自动发现机制。GID可能包括定义在B.Fox，B.Gleeson 1999年9月发表的RFC2685“虚拟专用网标识符”中的基于标准的VPN-ID格式。

一个HOVPN可能拥有多个GID同时多个GID可能代表同一个HOVPN。GID用于控制板中以控制连通性服务的VPN成员关系。

范例GID格式

每个GID被编码为一个8字节量

类型字段：1或2字节

取值字段：其余字节

类型字段：该高序字节的值将确定它是一个常规类型或拓展类型：

常规类型的类型字段是1字节。

扩展类型的类型字段是2字节。

类型字段高序字节是：

第一字节(MSB)：IANA授权字节值为0

IANA可分配类型值为1

第二字节：厂家-指定类型

其余的保留6字节：说明GID的结构

取值字段：取值字段的编码依赖于由类型字段规定的GID的“类型”。

定义了4种类型。

类型0x00：这是一个扩展类型。

管理员子字段：2字节，包括AS编号

分配的编号子字段：4字节，包括一个编号，该编号从一个编号空间得来，该空间由企业管理，一个相应的授权组织为该企业分配ASN。

类型0x01：这是一个扩展类型。

管理员子字段：4字节，IP地址

分配的编号子字段：2字节，包括一个编号，该编号从一个编号空间得来，该空间由企业管理，IP地址被分配给该企业。

类型0x02：这是一个扩展类型。

管理员子字段：4字节，包括AS编号

类型0x04：这是一个常规类型，带有1字节的类型字段和7字节的取值字段。取值字段包括两个子字段：

管理员子字段：3字节，包括根据ANSI/IEEE定义的一个3字节组织唯一标识符。OUI的分配是由IEEE OUI登记处完成的。

分配的编号子字段：4字节，分配的编号子字段包括从一个编号空间得来的编号，该空间由企业管理，OUI被分配给该企业。

GIT表

GIT表是一个记载了全局唯一标识符(GID)的值和它们各自的PIT(RPIT/HPIT)的表。一个GID表根据HPIT分层进行索引。图14示出了一个未填满的GIT表。

每个HOVPN将与下列组件相连：

-一个HPIT树；

-一个GIT表；及

-一个与HOVPN相关的OVPN描述符。

信令

位于分层(n+m)的一个VPN的客户可以发出由位于分层-n的VPN提供的光纤连接请求信号。例如，甚至当没有如上面讨论的每个休止节点的位于分层(“n+1”，...“n+m-1”)的OVPN使用的连接时，位于分层-n的一个VPN服务仍可以是一个VPSTN，该VPSTN可以提供位于分层(n+m)基于端口的光纤VPN，。

有使用在分层-n提供的VPN服务为位于分层(n+m)的VPN发出连接信号的能力。

对于位于分层(“n+m”，m＝1...k)的每个VPN，连接请求将携带下列项目：

source_address(I)，I＝n，...n+m可以为任何地址(在分层被OVPN专用)。

destination_address(I)

优选地，GID(n)>，其中I＝0，....n.

当未在连接请求中定义一个GID时，使用根PIT。

尽管描述的解决方案通常可以用于任何信令协议，可以使用基于GMPLS的信令(例如IETF-GMPLS，OIF-UNI1.0)。

连通算法

下面是用于建立连通的算法。参见图15：

1.在PE1，出现一个带有GID作为参数的连接请求192。

2.使用GID作为参考，从GIT得到OVPN描述符和OVPN的分层(例如，分层-n)。

3.使用从GIT得到的分层确定客户的内容是分层-n的，并通过咨询PIT(n)和检查目的地CPI得到相关PPI。使用相关PPI配置PE间的连接请求194。

4.在PE2配置一个连接请求196从而完成整个连接。

如果没有GID出现在原始连接请求192中，连接可能是用于根VPN的或者连接已经在一个给定的层级中分配给一个给定的基于端口的VPN(例如，端口3与位于分层3的客户相关)。

如果没有GIT表，呼叫被清除。

信令穿过服务树

参照图16，连通信令可以穿过服务树中的多个OVPN。例如，GVPN-3180可能发出连通信号，该信号穿过GVPN-2 182、VPSTN1-1 184和根VPSTN-0-1 186。

参照图17，当同一个端口被一个HOVPN和其它OVPN(包括HOVPN)使用时，客户可以通过使用GID指明该连接在多种情况中应该使用哪条路径：分层树路径188或者开放区域路径189。当在分区上出现连接故障时，后一种情况将被选择，例如允许服务被在开放网络中维持直到分区可以被恢复。

自动发现机制

我们可以定义一个基于BGP的自动发现机制，该机制允许作为同一个VPN的成员的客户设备(CD)互相发现并请求一个跨越服务提供商光纤基础结构的CD到CD光纤连接。请注意，VPN自动发现机制并不限于一个基于BGP的机制，任何合适的VPN自动发现机制都可以被使用。

一个光纤VPN(OVPN)被定义为将属于同一个组织的客户设备连接到服务提供商网络的所有端口的集合。

一个给定的服务提供商网络可能支持多个OVPN。

一个端口可以被当作一个通道的集合，例如，一个光通道，或者一个SDH/SONET电路。位于给定提供商边界光纤网络元件(PE-ONE)上的所有端口必须属于同一个OVPN。

一个重要的方面是支持单端供应。可以在不需要在任何提供商的ONE中改变配置的情况下从新配置一个OVPN(例如，当一个客户设备请求建立一个延续到同一个VPN内的另一个客户设备的新的光纤信道)。

在一个给定的OVPN内，每个端口仅在OVPN内有被称为客户口标识符(CPI)的一个标识符。在一个服务提供商网络内，位于PE-ONE的每个端口拥有一个标识符，该标识符在该服务提供商网络内是唯一的。我们参考这个标识符作为提供商端口标识符(PPI)。每个PE-ONE为每个OVPN保留一个端口信息表(PIT)，该OVPN具有至少一个位于提供商边界ONE的端口。一个PIT包含其OVPN内的所有端口的一个<CPI，PPI>元组列表。

可以通过两种来源填充一个位于给定的PE-ONE的PIT：从附在PE-ONE端口上的CD收到的信息，从其它PE-ONE接收到的信息(例如，通过BGP接收)。

由于使用远程信息填充PIT的协议是BGP，及由于GMPL信令未被限定给一个单一路由区域，可以预期这个机制可以支持包含多个路由区域的环境。

参照图18，通过VPN自动发现205为每个HOVPN建立一个HPIT 200。用于PE1的一个实例PIT 210说明了CPI 212和PPI 214以及附加信息216的联合。

参照图19，可以看到跨越网络的连接的描述。这个过程开始于一个带有下列标准的连接请求220：

连接请求：

源地址＝10.1.1.1，

目的地址＝10.1.1.3，

GID＝45678

追索被发送给GIT 222用于确定OVPN描述符(实例GIT在223被更详细地重新制造)。OVPN描述符允许追索位于分层-16的PE 1的VPN-A PIT224以便读取包含相关目的地地址的元组，该地址位于提供商网络中并与客户目的地地址相联系(范例VPN-A PIT在225被更详细地从新制造)。相应地，使用PPI地址穿过提供商网络的一个连接请求在226中产生，如：

连接请求：

源地址＝16.1.1.1，

目的地址＝16.1.1.3

接收连接请求的PE3元件将产生它自己到CE3元件的连接请求228，如：

连接请求：

源地址＝10.1.1.1

目的地址＝10.1.1.3

GID＝45678

如在初始连接请求中希望的，连接随后被终止于CE3 229。

使用到的缩写术语表

AD-虚拟专用网络自动发现

BGP-边界网关协议(一个内部自治系统路由协议)

BGP-MP-BGP多协议扩展

CPI-客户口标识符

GID-全局唯一标识符

GIT-全局唯一标识符表

GVPN-通用VPN(一种基于端口的光纤VPN服务)

HOVPN-分层光纤VPN

HPIT-PIT分层树

PIT-端口信息表

PPI-提供商端口标识符

RPIT-根PIT

TNA-传送网络分配地址

VPOXC-虚拟专用光纤交叉连接网络(一种基于端口的VPN服务)

VPSTN-虚拟专用交换传输网络(一种基于分区的VPN服务)

当本发明与具体实施例一起描述时，很明显本专业技术人员可以根据所述描述进行多种选择、修改和变化。相应地，所有这样的选择、修改和变化都将包含在附加权利要求的主旨和广泛范围内。

Claims

1.一个网络，包括：

通过服务互相连接的一组元件；

所述元件的至少一个第一子组，该子组定义了一客户网络；

所述元件的至少一个不同于所述第一子组的第二子组，该子组定义了服务提供商网络的一部分，其中所述第一子组的元件的至少两个子群可以通过所述服务提供商网络的一部分连接；

一个服务层级，其中虚拟专用网络被定义在所述第二子组的元件上；

所述服务层级包括一父虚拟专用网络和至少一个附属的子虚拟专用网络；

每个子虚拟专用网络具有至多一个所附属的父虚拟专用网络；

每个父虚拟专用网络负责联系服务并且负责为所述至少一个附属的子虚拟专用网络联系连接；以及

所述服务提供商网络的一部分具有用于联系所述父虚拟专用网络的元件的装置，所述用于联系元件的装置包括：

父虚拟专用光网络描述符，包含关于所述父虚拟专用网络的信息；

多个子虚拟专用光网络描述符，包含关于每个所述子虚拟专用网络的信息；

端口信息表，包含所述父虚拟专用网络和所述每个子虚拟专用网络中的所有端口的端口标识符元组的列表；

端口信息表层级树，包含所述父虚拟专用光网络描述符以及位于所述服务层级的不同层次上的所述多个子虚拟专用光网络描述符；

用于所述父虚拟专用网络的父全局唯一标识符；

多个子全局唯一标识符，所述每个子虚拟专用网络对应一个子全局唯一标识符；以及

全局唯一标识符表，包含所述父全局唯一标识符和所述多个子全局唯一标识符。

2.按照权利要求1所述的网络，其中每个所述至少一个附属的子虚拟专用网络可以递归地充当作为各自的子网络附属的更深一层虚拟专用网络的父虚拟专用网络。

3.按照权利要求1所述的网络，其中对于所述网络具有直接端口连接的每种情况，所述每个虚拟专用光网络描述符包括所述父虚拟专用网络的每个元件的地址和所述服务提供商网络的一部分的元件的地址之间的关联。

4.一种组织网络的方法，所述网络具有一组通过服务互相连接的元件，其中所述元件的至少一个第一子组定义一个客户网络，并且所述元件的至少一个不同于所述第一子组的第二子组定义了服务提供商网络的一部分，其中所述第一子组的元件的至少两个子群可以通过所述服务提供商网络的一部分连接，所述方法包括：

建立一个服务层级，其中虚拟专用网络被定义在所述第二子组的元件上；

在所述服务层级中建立一父虚拟专用网络和至少一个附属的子虚拟专用网络，其中每个子虚拟专用网络具有至多一个附属的父虚拟专用网络；

建立每个父虚拟专用网络，该网络负责联系服务并且负责为所述至少一个附属的子虚拟专用网络联系连接；以及

为所述服务提供商网络的一部分提供一种关联元件功能，所述元件构成所述父虚拟专用网络，所述功能涉及：

至少一个子虚拟专用光网络描述符，包含关于所述至少一个附属的子虚拟专用网络的信息；

端口信息表，包含所述父虚拟专用网络和所述至少一个附属的子虚拟专用网络中的所有端口的端口标识符元组的列表；

端口信息表层级树，包含所述父虚拟专用光网络描述符以及位于所述服务层级的不同层次上的所述至少一个子虚拟专用光网络描述符；

用于所述父虚拟专用网络的父全局唯一标识符；

用于所述至少一个子虚拟专用网络的至少一个子全局唯一标识符；以及

全局唯一标识符表，包含所述父全局唯一标识符和所述至少一个子全局唯一标识符。

5.按照权利要求4所述的方法，其中每个所述至少一个附属的子虚拟专用网络具有一个递归地将自己设置为作为各自的子网络附属的更深一层虚拟专用网络的父虚拟专用网络的选项。

6.按照权利要求4所述的方法，其中对于所述网络具有直接端口连接的每种情况，所述父虚拟专用网络描述符包括所述父虚拟专用网络的每个元件的地址和所述服务提供商网络的一部分的元件的地址之间的关联。

7.按照权利要求6所述的方法，其中所述父虚拟专用网络描述符和所述每个子虚拟专用网络描述符被分组为安排在一个层级中的一组虚拟专用网络描述符，所述层级与由所述父虚拟专用网络和所述子虚拟专用网络的附属关系所定义的层级相对应。

8.按照权利要求7所述的方法，其中所述组通过自动发现过程建立。

9.按照权利要求8所述的方法，其中所述自动发现过程使用边界网关协议。