CN103780630A - 虚拟局域网端口隔离方法及系统 - Google Patents

虚拟局域网端口隔离方法及系统 Download PDF

Info

Publication number
CN103780630A
CN103780630A CN201410056954.4A CN201410056954A CN103780630A CN 103780630 A CN103780630 A CN 103780630A CN 201410056954 A CN201410056954 A CN 201410056954A CN 103780630 A CN103780630 A CN 103780630A
Authority
CN
China
Prior art keywords
keyword
port
local area
area network
vlan
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410056954.4A
Other languages
English (en)
Other versions
CN103780630B (zh
Inventor
严林
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Maipu Communication Technology Co Ltd
Original Assignee
Maipu Communication Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Maipu Communication Technology Co Ltd filed Critical Maipu Communication Technology Co Ltd
Priority to CN201410056954.4A priority Critical patent/CN103780630B/zh
Publication of CN103780630A publication Critical patent/CN103780630A/zh
Application granted granted Critical
Publication of CN103780630B publication Critical patent/CN103780630B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Abstract

本发明涉及数据通信领域的端口隔离技术。本发明公开了一种虚拟局域网端口隔离方法，包括步骤：a、在每个交换芯片的入口处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址和是否经过路由字段；b、为每个交换芯片的所述关键字赋值，设置是否经过路由字段的值为未经过路由；c、报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。本发明同时公开了虚拟局域网端口隔离系统，包括关键字设置模块、关键字赋值模块、关键字匹配模块。本发明可以灵活配置隔离端口和被隔离端口在哪个虚拟局域网被隔离，解决了在一个虚拟局域网中被隔离的用户在其他虚拟局域网也被隔离的问题。

Description

虚拟局域网端口隔离方法及系统
技术领域
本发明涉及数据通信领域的端口隔离技术，尤其涉及采用IFP（Ingress ContentAwareProcessor，入口内容处理器）实现的基于VLAN（Virtual Local Area Network，虚拟局域网）的端口隔离技术。
背景技术
随着内部网络用户数量的增加和对业务多样性要求的提高，交换机接入安全的问题日益突出。出于安全的考虑，必须保证只有合法的用户才能接入数据中心的网络系统。
早期虚拟局域网的出现就是把一个局域网（LAN）划分成多个逻辑的局域网——虚拟局域网。每个虚拟局域网是一个广播域，虚拟局域网内的主机间通信就和在一个局域网内一样，而虚拟局域网间则不能直接互通，这样就可以把一个公司内部的不同部门划分不同虚拟局域网，相互隔离各个部门，提高安全性。
网络安全的问题日益突出，网络安全的要求越来越高，在各种虚拟局域网内部又要求更为严格的安全措施——对整个虚拟局域网内部的用户进行严格的隔离。
出于安全的考虑，在多种应用场景中都需要隔离指定虚拟局域网中的每个用户。现有交换芯片提供了基于端口的出口表项，设置该表项中的位图用于指定从该端口进来的报文不能从位图中指定的端口出去。该功能只是简单的实现了从隔离端口进来的报文不能从被隔离端口出去。在很多应用场景中，这种简单的隔离存在天然的缺陷——不管隔离端口和被隔离端口属于哪个虚拟局域网，在这些虚拟局域网中，隔离端口和被隔离端口都是被隔离的。这种粗犷的隔离方式不能满足用户的灵活需求，还会导致本来不需要被隔离的用户实际上被隔离起来了。egress表项不能实现基于虚拟局域网的端口隔离。
发明内容
针对上述现有技术的问题，本发明的目的是提供一种虚拟局域网端口隔离方法，这种基于虚拟局域网的端口隔离，保证了在一个虚拟局域网被隔离的用户在其他虚拟局域网不会被隔离，用户可以灵活配置隔离端口和被隔离端口在哪个虚拟局域网被隔离。
本发明解决所述技术问题，采用的技术方案是，虚拟局域网端口隔离方法，包括步骤：
a、在每个交换芯片的入口处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址和是否经过路由字段；
b、为每个交换芯片的所述关键字赋值，设置是否经过路由字段的值为未经过路由；
c、报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。
具体的，步骤a中，所述关键字存储在入口内容处理器的三态内容寻址存储器中。
进一步的，所述端口地址通过出口掩码中的位图进行标识。
进一步的，步骤b中，每个交换芯片的所述关键字赋值相同或不相同。
具体的，步骤c中所述相应动作，是指入口内容处理器策略引擎中的数据流重定向动作。
本发明的另一个目的是，提供一种虚拟局域网端口隔离系统包括关键字设置模块、关键字赋值模块、关键字匹配模块；
所述键字设置模块，用于在每个交换芯片的入口内容处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址和是否经过路由字段；
所述关键字赋值模块，用于为每个交换芯片的所述关键字赋值；
所述关键字匹配模块，用于报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。
具体的，所述关键字存储在入口内容处理器的三态内容寻址存储器中。
具体的，所述端口地址通过出口掩码中的位图进行标识。
进一步的，所述关键字赋值模块为每个交换芯片的所述关键字赋值相同或不相同。
具体的，所述相应动作是指IFP策略引擎中的数据流重定向动作。
本发明的有益效果是，用户可以灵活配置隔离端口和被隔离端口在哪个虚拟局域网被隔离，解决了在一个虚拟局域网中被隔离的用户在其他虚拟局域网也被隔离的问题。本发明采用入口内容处理器来实现该方案，该部件在现有的任何交换芯片都支持，通用性好、应用广泛。
附图说明
图1为实施例的方法流程图；
图2为实施例的系统结构示意图。
具体实施方式
下面结合附图及及具体实施方式，详细描述本发明的技术方案。
在交换芯片中都有IFP、EFP（Egress ContentAware Processor，出口内容处理器）、VFP（Vlan ContentAware Processor，虚拟局域网内容处理器）三个CAP（ContentAware Processor，内容处理器）部件，其中IFP部件对入方向的报文做匹配和过滤处理，EFP部件对出方向的报文做匹配和过滤处理，VFP部件对QINQ报文（一种VLAN报文）做添、删、改处理。VFP部件不能达到本发明的需求，不能选择。在IFP和EFP部件的选择上，结合该功能的特性——隔离端口和被隔离端口可能会处于不同的芯片中，这样如果选择EFP部件，由于EFP部件中不能支持隔离和被隔离端口不在同一芯片的情况，这样导致隔离端口和被隔离端口是跨芯片端口时不能达到隔离的目的，存在缺陷。而恰好在IFP中对隔离端口可以识别标识该端口属于哪个芯片的modId（芯片ID），这样在IFP中设置匹配隔离端口的srcPortId（源端口ID）加上该端口的modId就可以解决隔离端口和被隔离端口跨芯片的问题。
实施例
如图1所示，本发明实施例虚拟局域网端口隔离方法，主要步骤如下：
S101，在每个交换芯片的入口内容处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址。并将上述关键字存储在入口内容处理器的三态内容寻址存储器中。
选择了CAP中的IFP部件后，然后要决定匹配的字段，匹配的字段就是根据用户需求设定的能够满足场景需求的关键字。在本发明实施例中，由于要隔离虚拟局域网中的用户，匹配的字段首先必须要包括虚拟局域网的编号（VLAN ID），其次要包括隔离端口的端口地址（srcPort ID）和芯片编号（mod ID），通常还要将三层路由（L3route）字段设置为0，表示没有经过路由。
S102，为每个交换芯片的所述关键字赋值，设置是否经过路由字段的值为未经过路由。
为了达到隔离报文源端口和目的端口的目的，同时解决源端口和目的端口在不同芯片的问题，除了在交换机中每个交换芯片的IFP中的TCAM（ternary content addressable memory）设置如上所述的匹配字段外，还需要根据用户的需求差异为关键字设置相同或不同的值。如果需要在每个芯片中隔离相同的端口，即执行相同的动作，就可以为上述关键字设置相同的值，如果在不同芯片上匹配相同的字段，而需要执行不同的动作，即在不同芯片隔离不同的端口，就需要为上述关键字设置不同的值。
S103，进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。
本发明实施例执行的动作采用了入口内容处理器策略引擎（IFP policy engine）中的redirect（数据流重定向）的动作，该动作本来用于对匹配的流做重定向动作，改变该条流的出端口。但是该动作中有一个egressMask（出口掩码）行为，通过该动作中的egressMask行为可以指定被隔离端口的位图，这样从一个端口进入的报文可以与多个端口隔离。如果从芯片0端口进来的报文需要与芯片1端口的报文进行隔离而不需要隔离芯片0上的端口，这时芯片0和芯片1上的关键字设置一样，芯片0上的egressMask动作是不隔离入端口的报文，而芯片1上的egressMask动作是隔离本芯片指定端口或者所有端口的报文，通过分别设置egressMask为0或者设置egressMask为指定端口来实现这个功能。
因为IFP中的匹配规则包括了VLAN ID，所以当一个报文从入口进入交换机，走到IFP处理流程时，只有完成匹配了如上规则包括VLAN ID才执行redirect动作来实现隔离，所以在不同的VLAN中由于VLAN ID不能匹配，不能实现隔离，这样本发明就真正实现了的基于虚拟局域网的隔离。
本发明实施例系统结构如图2所示，包括关键字设置模块201、关键字赋值模块202、关键字匹配模块203。
所述键字设置模块，用于在每个交换芯片的入口处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址，并将所述关键字存储在入口内容处理器的三态内容寻址存储器中。所述端口地址通过出口掩码中的位图标识。
所述关键字赋值模块，用于为每个交换芯片的所述关键字赋值，根据用户的不同需要，关键字赋值模块为每个交换芯片的所述关键字赋值可以相同或不相同。
所述关键字匹配模块，用于报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作，该相应动作是指入口内容处理器策略引擎中的数据流重定向动作。

Claims (10)

1.虚拟局域网端口隔离方法，包括步骤：
a、在每个交换芯片的入口内容处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址和是否经过路由字段；
b、为每个交换芯片的所述关键字赋值，设置是否经过路由字段的值为未经过路由；
c、报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。
2.根据权利要求1所述的虚拟局域网端口隔离方法，其特征在于，步骤a中，所述关键字存储在入口内容处理器的三态内容寻址存储器中。
3.根据权利要求2所述的虚拟局域网端口隔离方法，其特征在于，所述端口地址通过出口掩码中的位图进行标识。
4.根据权利要求1所述的虚拟局域网端口隔离方法，其特征在于，步骤b中，每个交换芯片的所述关键字赋值相同或不相同。
5.根据权利要求1所述的虚拟局域网端口隔离方法，其特征在于，步骤c中，所述相应动作是指入口内容处理器策略引擎中的数据流重定向动作。
6.虚拟局域网端口隔离系统，包括关键字设置模块、关键字赋值模块、关键字匹配模块；
所述键字设置模块，用于在每个交换芯片的入口处理器中设置关键字，所述关键字包括虚拟局域网编号、芯片编号、端口地址和是否经过路由字段；
所述关键字赋值模块，用于为每个交换芯片的所述关键字赋值；
所述关键字匹配模块，用于报文进入交换机后，进行关键字匹配，根据所述关键字赋值执行相应动作。
7.根据权利要求6所述的虚拟局域网端口隔离系统，其特征在于，所述关键字存储在入口内容处理器的三态内容寻址存储器中。
8.根据权利要求6所述的虚拟局域网端口隔离系统，其特征在于，所述端口地址通过出口掩膜中的位图标识。
9.根据权利要求6所述的虚拟局域网端口隔离系统，其特征在于，所述关键字赋值模块为每个交换芯片的所述关键字赋值相同或不相同。
10.根据权利要求6所述的虚拟局域网端口隔离系统，其特征在于，所述相应动作是指入口内容处理器策略引擎中的数据流重定向动作。
CN201410056954.4A 2014-02-18 2014-02-18 虚拟局域网端口隔离方法及系统 Active CN103780630B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410056954.4A CN103780630B (zh) 2014-02-18 2014-02-18 虚拟局域网端口隔离方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410056954.4A CN103780630B (zh) 2014-02-18 2014-02-18 虚拟局域网端口隔离方法及系统

Publications (2)

Publication Number Publication Date
CN103780630A true CN103780630A (zh) 2014-05-07
CN103780630B CN103780630B (zh) 2018-07-10

Family

ID=50572460

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410056954.4A Active CN103780630B (zh) 2014-02-18 2014-02-18 虚拟局域网端口隔离方法及系统

Country Status (1)

Country Link
CN (1) CN103780630B (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105743761A (zh) * 2014-12-12 2016-07-06 中兴通讯股份有限公司 实现路由接口二层隔离和三层互通的方法及网络设备
CN105991558A (zh) * 2015-02-04 2016-10-05 中国移动通信集团公司 一种移动网云化场景下安全模式协商方法、装置和设备
WO2016188202A1 (zh) * 2015-05-22 2016-12-01 中兴通讯股份有限公司 一种路由口与非路由口二层隔离的方法、装置及交换机
CN108696431A (zh) * 2018-06-27 2018-10-23 深圳市普威技术有限公司 局域网端口配置方法及装置、交换芯片和路由交换设备
CN111147399A (zh) * 2018-11-06 2020-05-12 中国移动通信有限公司研究院 一种交换机配置方法、交换机及控制器

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1538675A (zh) * 2003-04-15 2004-10-20 华为技术有限公司 对以太网交换机的用户端口之间进行隔离的方法
US20060262798A1 (en) * 2000-12-20 2006-11-23 Cisco Technology, Inc. Port isolation for restricting traffic flow on layer 2 switches
CN101119276A (zh) * 2007-08-22 2008-02-06 杭州华三通信技术有限公司 一种实现vlan内下行用户隔离的方法及设备
CN101123510A (zh) * 2007-07-11 2008-02-13 中兴通讯股份有限公司 实现交换机端口隔离的方法、交换机及交换芯片
CN101166137A (zh) * 2006-10-20 2008-04-23 华为技术有限公司 对不同虚拟局域网业务进行隔离的方法
CN101335685A (zh) * 2007-06-27 2008-12-31 上海博达数据通信有限公司 一种利用重定向技术实现特定报文优先处理的方法
CN101409677A (zh) * 2008-11-27 2009-04-15 福建星网锐捷网络有限公司 一种接入控制方法及装置
CN102480485A (zh) * 2010-11-30 2012-05-30 杭州华三通信技术有限公司 实现同一vlan内端口跨设备隔离的系统、方法和交换设备
CN102523164A (zh) * 2011-12-19 2012-06-27 曙光信息产业(北京)有限公司 一种在网卡中实现复杂同源同宿分流的系统和方法
US20120331142A1 (en) * 2011-06-24 2012-12-27 Cisco Technology, Inc. Private virtual local area network isolation

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060262798A1 (en) * 2000-12-20 2006-11-23 Cisco Technology, Inc. Port isolation for restricting traffic flow on layer 2 switches
CN1538675A (zh) * 2003-04-15 2004-10-20 华为技术有限公司 对以太网交换机的用户端口之间进行隔离的方法
CN101166137A (zh) * 2006-10-20 2008-04-23 华为技术有限公司 对不同虚拟局域网业务进行隔离的方法
CN101335685A (zh) * 2007-06-27 2008-12-31 上海博达数据通信有限公司 一种利用重定向技术实现特定报文优先处理的方法
CN101123510A (zh) * 2007-07-11 2008-02-13 中兴通讯股份有限公司 实现交换机端口隔离的方法、交换机及交换芯片
CN101119276A (zh) * 2007-08-22 2008-02-06 杭州华三通信技术有限公司 一种实现vlan内下行用户隔离的方法及设备
CN101409677A (zh) * 2008-11-27 2009-04-15 福建星网锐捷网络有限公司 一种接入控制方法及装置
CN102480485A (zh) * 2010-11-30 2012-05-30 杭州华三通信技术有限公司 实现同一vlan内端口跨设备隔离的系统、方法和交换设备
US20120331142A1 (en) * 2011-06-24 2012-12-27 Cisco Technology, Inc. Private virtual local area network isolation
CN102523164A (zh) * 2011-12-19 2012-06-27 曙光信息产业(北京)有限公司 一种在网卡中实现复杂同源同宿分流的系统和方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
FEIXUN: "FP（Contentaware Processor）", 《百度文库》 *
FEIXUN: "FP（Contentaware Processor）", 《豆丁》 *
FEIXUN: "FP(ContentAware Procssor)", 《百度文库》 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105743761A (zh) * 2014-12-12 2016-07-06 中兴通讯股份有限公司 实现路由接口二层隔离和三层互通的方法及网络设备
CN105991558A (zh) * 2015-02-04 2016-10-05 中国移动通信集团公司 一种移动网云化场景下安全模式协商方法、装置和设备
CN105991558B (zh) * 2015-02-04 2019-09-17 中国移动通信集团公司 一种移动网云化场景下安全模式协商方法、装置和设备
WO2016188202A1 (zh) * 2015-05-22 2016-12-01 中兴通讯股份有限公司 一种路由口与非路由口二层隔离的方法、装置及交换机
CN106302263A (zh) * 2015-05-22 2017-01-04 中兴通讯股份有限公司 一种路由口与非路由口二层隔离的方法、装置及交换机
CN108696431A (zh) * 2018-06-27 2018-10-23 深圳市普威技术有限公司 局域网端口配置方法及装置、交换芯片和路由交换设备
CN108696431B (zh) * 2018-06-27 2021-09-17 深圳市普威技术有限公司 局域网端口配置方法及装置、交换芯片和路由交换设备
CN111147399A (zh) * 2018-11-06 2020-05-12 中国移动通信有限公司研究院 一种交换机配置方法、交换机及控制器

Also Published As

Publication number Publication date
CN103780630B (zh) 2018-07-10

Similar Documents

Publication Publication Date Title
US8989188B2 (en) Preventing leaks among private virtual local area network ports due to configuration changes in a headless mode
CN103023792B (zh) 用于在最短路径桥接网络中进行分组交换的方法和系统
CN103780630A (zh) 虚拟局域网端口隔离方法及系统
CN103475559B (zh) 一种根据报文内容对报文进行处理并转发的方法和系统
CN105706391A (zh) 通过索引的本地化来增加组播规模
US8891533B2 (en) Methods systems and apparatuses for dynamically tagging VLANs
US7710959B2 (en) Private VLAN edge across multiple switch modules
US8699492B2 (en) Method and apparatus for simulating IP multinetting
CN103053138A (zh) 利用网格标签进行外出分组转发的装置和方法
WO2017181757A1 (zh) 报文转发方法及装置
CN101352003A (zh) 提供虚拟路由器功能的方法
CN111800326A (zh) 报文传输方法及装置、处理节点及存储介质
CN106789759A (zh) 一种报文上送方法及交换芯片
CN101635702A (zh) 应用安全策略的数据包转发方法
US10880109B2 (en) Forwarding multicast data packet
CN105794157A (zh) 堆叠系统
US8369344B1 (en) Customer isolation using a common forwarding database with hardware learning support
CN105991391A (zh) 一种协议报文上送cpu的方法和装置
CN103346950B (zh) 一种机架式无线控制器用户业务板间负载均摊方法及装置
CN104954255B (zh) 一种vpn报文处理方法及装置
CN103200126A (zh) Xg-pon系统流量管理装置及方法
CN108683615A (zh) 报文分流方法、装置及分流交换机
CN109889533B (zh) 云环境下的安全防御方法及系统、计算机可读存储介质
CN103731347B (zh) 一种基于嵌套vpn网络的vpnv4路由处理方法和设备
CN110933106B (zh) Pvlan隔离方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant