CN103414637B - 一种流量转发的方法及相关装置 - Google Patents

Abstract

本发明实施例公开了一种流量转发的方法及相关装置，包括：检测CE设备的当前VRRP状态；当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；当VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号，可以看出，当CE设备的VRRP状态为备时，将从网络侧接收的报文在进行加密前直接转发到VRRP状态为主的其他CE设备，再由VRRP状态为主的CE设备对接收的报文进行加密并统一赋予序列号，使得发送到用户侧的加密报文的序列号由一个CE设备依次提供，从而解决了大量的原本有效的报文被用户判定为不是有效报文而被丢弃的问题。

Description

一种流量转发的方法及相关装置

技术领域

本发明涉及网络通信领域，特别是涉及一种流量转发的方法及相关装置。

背景技术

当通过网络进行流量转发时，用户侧和网络侧之间流量转发链路主要由交换机、用户边缘（CustomerEdge，CE）设备和运营商边缘（ProviderEdge，PE）设备组成，在实际应用中，为了确保流量的顺利转发，一般会使用到多机备份技术，所谓的多机备份技术是指在用户侧和网络侧之间，接入两组或两组以上的流量转发链路，正常流量转发时，只使用其中一组流量转发链路作为主链路完成流量转发功能，另一组流量转发链路作为备链路。通过虚拟路由器冗余协议（VirtualRouterRedundancyProtocol，VRRP）设置调整CE设备的状态从而确定主链路和备链路，当CE设备的VRRP状态为主时，其所处的流量转发链路为主链路，当CE设备的VRRP状态为备时，其所处的流量转发链路为备链路。其中，当由网络侧向用户侧转发流量时，流量既可以从主链路的PE设备到CE设备再到交换机再到用户，也可以从备链路的PE设备到CE设备再到交换机再到用户进行转发。同时，为了更加安全的流量转发，会通过一些加密措施比如说通过Internet协议安全性（InternetProtocolSecurity，IPSec）框架结构使用加密的安全服务以确保在网络上进行保密而安全的流量转发。

在使用这种拥有加密措施的多机备份技术从网络侧到用户侧进行流量转发时，CE设备将对接收的报文进行封装加密后再发送出去，在封装加密的过程中赋予每个加密报文一个唯一对应的序列号，所赋予的序列号号码以预设的规则依次变化，比如说随着加密的过程序列号的号码依次增大或依次减少。当用户接收一个封装加密的报文时，会比对该报文的序列号号码与上一个接收的有效报文的序列号号码之间是否符合预设的规则变化，比如说预设的规则是随着加密所赋予的序列号号码依次增大的，如果当前接收的报文序列号号码小于上一个接收的有效报文的序列号号码，则用户侧判定当前接收的报文不是有效报文并丢弃。这样做的问题是，由于网络侧向用户侧转发流量时会不仅仅使用主链路，也会同时使用备链路，而主、备链路均含有一个CE设备，通过主链路CE设备发送的加密报文和备链路CE设备发送的加密报文的序列号都是不相关的，无法达到两个或多个CE设备的加密序列号的实时同步，那么，当用户接收加密报文时，由于序列号不同步的问题，会导致大量的原本有效的报文被用户判定为不是有效报文而被丢弃，造成了不必要的损失。

发明内容

为了解决上述拥有加密措施的多机备份技术下由于两个或多个CE设备分别赋予加密报文的序列号之间的不相关而导致的大量原本有效的报文被用户判定为不是有效报文而被丢弃的技术问题，本发明提供了一种流量转发的方法及相关装置，监控两个或多个CE设备的VRRP状态，并使用FRR建立VRRP状态为备的CE设备到VRRP状态为主的CE设备的流量转发路径，使得只使用VRRP为主的CE设备对所有网络侧流向用户侧的报文进行加密处理并统一赋予加密报文序列号。

本发明实施例公开了如下技术方案：

第一方面，本发明提供了一种流量转发的方法，包括：

检测用户边缘CE设备的当前虚拟路由器冗余协议VRRP状态；

当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

当VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

在第一方面的第一种可能的实现方式中，所述对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号，具体包括：

随着加密过程依次增加加密报文序列号的号码。

在第一方面的第二种可能的实现方式中，所述当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备还包括：

使用快速重路由FRR建立所述CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

在第一方面的第三种可能的实现方式中，所述当VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号还包括：

在基于互联网协议安全性IPSec框架结构下进行加密。

结合第一方面或者第一方面的第一种或第二种或第三种可能的实现方式，在第四种可能的实现方式中，当对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号时，还包括：

向用户侧发送加密后的报文。

第二方面，本发明提供一种流量转发的装置，包括：

检测单元，用于检测CE设备当前VRRP状态；

转发单元，用于当所述检测单元检测到当前VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

加密单元，用于当所述检测单元检测到当前VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

在第二方面的第一种可能的实现方式中，所述加密单元还用于：

随着加密过程依次增加加密报文序列号的号码。

在第二方面的第二种可能的实现方式中，所述转发单元还用于：

使用快速重路由FRR建立当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

在第二方面的第三种可能的实现方式中，所述加密单元还用于：

在基于IPSec框架结构下进行加密。

结合第二方面或者第二方面的第一种或第二种或第三种可能的实现方式，在第四种可能的实现方式中，还包括：

发送单元，用于在所述加密单元完成加密后向用户侧发送加密后的报文。

第三方面，本发明提供一种CE设备，包括存储器、发送器和接收器以及分别与存储器、发送器和接收器连接的处理器：

所示存储器，用于存储程序，所述程序具体为：检测CE设备的当前VRRP状态，当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；当VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号；

所述处理器，用于读取并执行所述存储器存储的程序，具体为：检测CE设备的当前VRRP状态；当VRRP状态为备时，控制发送器将从网络侧接收的报文转发到VRRP状态为主的CE设备；当VRRP状态为主时，控制接收器对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号；

所述发送器，用于当处理器检测到VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

所述接收器，用于当处理器检测到VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

由上述技术方案可以看出，当CE设备的VRRP状态为备时，将从网络侧接收的报文在进行加密前直接转发到VRRP状态为主的其他CE设备，再由VRRP状态为主的CE设备对接收的报文进行加密并统一赋予序列号，使得发送到用户侧的加密报文的序列号由一个CE设备依次提供，从而解决了大量的原本有效的报文被用户判定为不是有效报文而被丢弃的问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种流量转发方法的方法流程示意图；

图2为本发明基于IPSec多机备份技术的系统结构示意图；

图3为本发明一种流量转发装置的装置结构示意图；

图4为本发明一种流量转发装置的另一个装置结构示意图；

图5为本发明一种CE设备的装置结构示意图。

具体实施方式

本发明实施例提供了一种流量转发的方法及相关装置。为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例进行详细描述。

实施例一

请参阅图1，其为本发明一种流量转发方法的方法流程示意图，该方法包括以下步骤：

S101：检测CE设备当前VRRP状态；

这里需要注意的是，由于所述CE设备在工作过程中其VRRP状态不是一直不变的，而是可以根据工作环境的不同或工作要求的不同进行变换的，有时是主状态，有时是备状态，所以需要进行检测，由此可以根据所述CE设备的VRRP状态的变化随时进行针对性的操作。

S102：当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

这里需要注意的是，当所述CE设备的VRRP状态为备时，该CE设备直接将从网络侧接收的报文转发到VRRP状态为主的CE设备上，而且在转发报文之前并不对报文进行加密或者赋予序列号等处理。

优选的，使用FRR建立当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

通过快速重路由（FastReRoute，FRR）技术是一种优选的技术方案，可以快速的建立直接连接在两个CE设备之间的流量转发路径，使得当前VRRP状态为备的CE设备可以直接将从网络侧接收的报文转发到当前VRRP状态为主的CE设备。而且，当CE设备的VRRP状态突然发生改变时，即当CE设备的VRRP状态突然由主变成备或者由备变成主时，通过FRR技术也可以立即调整转发路径的数据流向，快速的重新建立CE设备之间的正确数据流向的流量转发路径，当然，本发明并不对建立从当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径的方法进行限定，可以是能够达成上述目标的任何可行方法。

S103：当VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

优选的，随着加密过程依次增加加密报文序列号的号码。

这里说明一下，VRRP状态为主的CE设备对从网络侧和VRRP状态为备的CE设备处接收的报文进行加密，并依次赋予每一个加密报文一个唯一对应的序列号，至于序列号号码是以什么样的变化顺序本发明并不进行限定，随着加密过程依次增加赋予加密报文的序列号号码只是一个优选的实施方案，只要序列号号码的变化顺序与用户侧接收加密报文的规则即预设规则相适应即可，举例说明，如果预设规则是CE设备赋予加密报文的序列号号码是依次增加的，则用户侧接收报文的规则是当接收的报文的序列号比上一个接收的有效报文的序列号小的话即判定不是有效报文并丢弃，反之，即如果预设规则是CE设备赋予加密报文的序列号号码是依次减少的，那么用户侧判断接收的报文是否为有效报文的判定条件便是当接收的报文的序列号比上一个接收的有效报文的序列号小的话就判定为有效报文并接收。

当然，CE设备在VRRP状态为主时，在对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号时，通过与之连接的数据通道向用户侧发送加密后的报文。

优选的，在基于IPSec框架结构下进行加密。

这种优选的加密方式应用到多机备份技术中，主要服务于只有一条主流量转发链路和一条备流量转发链路的多机备份应用场景中，下面将通过对应IPSec多机备份技术的具体实施场景对本发明的技术方案进行详细的描述。

请参阅图2，其为本发明基于IPSec多机备份技术的系统结构示意图。设定CE1为当前VRRP状态为主的CE设备，CE2为当前VRRP状态为备的CE设备。

在介绍本实施例的技术方案之前，先介绍现有技术在基于IPsec多机备份技术下的流量转发机制，在现有技术中，从网络向用户转发的流量通过两条链路，一条是从主链路进行转发，流量转发的流程是：网络→PE1→CE1→交换机Switch1→用户，另一条是从备链路进行转发，流量转发的流程是：网络→PE2→CE2→交换机Switch2→用户，由于两条流量转发链路的CE设备都对接收的报文进行加密并赋予序列号后发送出去，而这两个CE设备所赋予的序列号之间又不相关，由此导致了大量原本有效的报文被用户判定为不是有效报文而被丢弃的技术问题。

而本实施例通过使用FRR技术建立了当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径，反映在图2中，便是CE2指向CE1的流量转发路径，从网络向用户通过两条流量链路进行流量转发，一条链路是：网络→PE1→CE1→交换机Switch1→用户，另一条链路是：网络→PE2→CE2→CE1→交换机Switch1→用户。CE2将从PE2接收的报文在不进行加密的情况下就直接通过CE1和CE2之间的转发路径转发到CE1中，由CE1对所有接收的报文进行统一加密并依次赋予序列号并通过Switch1发送到用户侧。

当然，如果不是在基于IPSec多机备份的运行环境下进行网络传输的情况，在其他加密环境下，有可能出现大于两条流量转发链路的多条链路的流量转发系统，在这种情况下，本发明的技术方案依然是适用的，只需要检测每一条链路上的CE设备的VRRP状态，并建立所有当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径，并由当前VRRP状态为主的CE设备对网络侧向用户侧转发的流量进行统一加密并赋予对应的序列号。当检测到CE设备的VRRP状态发生改变时，重新建立CE设备间的流量转发路径。

由上述实施例可以看出，当CE设备的VRRP状态为备时，将从网络侧接收的报文在进行加密前直接转发到VRRP状态为主的其他CE设备，再由VRRP状态为主的CE设备对接收的报文进行加密并统一赋予序列号，使得发送到用户侧的加密报文的序列号由一个CE设备依次提供，从而解决了大量的原本有效的报文被用户判定为不是有效报文而被丢弃的问题。

实施例二

与上述一种流量转发的方法相对应，本发明实施例还提供了一种流量转发的装置。请参阅图3，其为本发明一种流量转发装置的装置结构示意图，该装置包括检测单元301、转发单元302和加密单元303。

所述检测单元301，用于检测CE设备当前VRRP状态；

所述转发单元302，用于当所述检测单元301检测到当前VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

优选的，所述转发单元302还用于：

使用FRR建立所述CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

所述加密单元303，用于当所述检测单元301检测到当前VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

优选的，所述加密单元303还用于：

随着加密过程依次增加加密报文序列号的号码。

优选的，还包括：

在基于IPSec框架结构下进行加密。

优选的，前述图3的装置还包括发送单元401，如图4所示：

发送单元401，用于在所述加密单元完成加密后向用户侧发送加密后的报文。

由上述实施例可以看出，当CE设备的VRRP状态为备时，将从网络侧接收的报文在进行加密前直接转发到VRRP状态为主的其他CE设备，再由VRRP状态为主的CE设备对接收的报文进行加密并统一赋予序列号，使得发送到用户侧的加密报文的序列号由一个CE设备依次提供，从而解决了大量的原本有效的报文被用户判定为不是有效报文而被丢弃的问题。

实施例三

请参阅图5，其为本发明一种CE设备的装置结构示意图，本发明实施例提供了一种CE设备500，所述CE设备500为前述方法实施例部分的所述CE设备，所述CE设备500包括存储器501、发送器502和接收器503，以及分别与存储器501、发送器502和接收器503连接的处理器504，存储器501用于存储一组程序代码，在一些实施方式中，处理器504用于调用存储器501存储的程序执行如下操作：

检测CE设备500的当前VRRP状态；

当处理器501检测到VRRP状态为备时，控制发送器502将从网络侧接收的报文转发到VRRP状态为主的CE设备；

当处理器501检测到VRRP状态为主时，控制接收器503对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

由上述实施例可以看出，当CE设备的VRRP状态为备时，将从网络侧接收的报文在进行加密前直接转发到VRRP状态为主的其他CE设备，再由VRRP状态为主的CE设备对接收的报文进行加密并统一赋予序列号，使得发送到用户侧的加密报文的序列号由一个CE设备依次提供，从而解决了大量的原本有效的报文被用户判定为不是有效报文而被丢弃的问题。

需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-OnlyMemory，ROM）或随机存储记忆体（RandomAccessMemory，RAM）等。

以上对本发明所提供的一种流量转发的方法及相关装置进行了详细介绍，本文中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (11)

1.一种流量转发的方法，其特征在于，包括：

检测用户边缘CE设备的当前虚拟路由器冗余协议VRRP状态；

当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

当VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

2.根据权利要求1所述的方法，其特征在于，所述对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号，具体包括：

随着加密过程依次增加加密报文序列号的号码。

3.根据权利要求1所述的方法，其特征在于，所述当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备还包括：

使用快速重路由FRR建立当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

4.根据权利要求1所述的方法，其特征在于，所述当VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号还包括：

在基于互联网协议安全性IPSec框架结构下进行加密。

5.根据权利要求1至4任一项所述的方法，其特征在于，当对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号时，还包括：

向用户侧发送加密后的报文。

6.一种流量转发的装置，其特征在于，包括：

检测单元，用于检测用户边缘CE设备当前虚拟路由器冗余协议VRRP状态；

转发单元，用于当所述检测单元检测到当前VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

加密单元，用于当所述检测单元检测到当前VRRP状态为主时，对从网络侧接收的报文和从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。

7.根据权利要求6所述的装置，其特征在于，所述加密单元还用于：

随着加密过程依次增加加密报文序列号的号码。

8.根据权利要求6所述的装置，其特征在于，所述转发单元还用于：

使用快速重路由FRR建立当前VRRP状态为备的CE设备到当前VRRP状态为主的CE设备的流量转发路径用于转发报文。

9.根据权利要求6所述的装置，其特征在于，所述加密单元还用于：

在基于互联网协议安全性IPSec框架结构下进行加密。

10.根据权利要求6至9任一项所述的装置，其特征在于，还包括：

发送单元，用于在所述加密单元完成加密后向用户侧发送加密后的报文。

11.一种用户边缘CE设备，其特征在于，包括存储器、发送器和接收器以及分别与存储器、发送器和接收器连接的处理器：

所述存储器，用于存储程序，所述程序具体为：检测CE设备的当前虚拟路由器冗余协议VRRP状态，当VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；当VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号；

所述处理器，用于读取并执行所述存储器存储的程序，具体为：检测CE设备的当前VRRP状态；当VRRP状态为备时，控制发送器将从网络侧接收的报文转发到VRRP状态为主的CE设备；当VRRP状态为主时，控制接收器对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号；

所述发送器，用于当处理器检测到VRRP状态为备时，将从网络侧接收的报文转发到VRRP状态为主的CE设备；

所述接收器，用于当处理器检测到VRRP状态为主时，对从网络侧接收的报文以及从其他CE设备接收的报文进行加密并以预设规则分配唯一对应的序列号。