CN103795630B - 一种标签交换网络的报文传输方法和装置 - Google Patents

Abstract

本发明提供一种标签交换网络的报文传输方法，应用在骨干网边缘设备上，所述边缘设备与用户网络的站点连接，所述方法包括：建立私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。本发明的技术方案提高了报文的转发效率，提升了网络的安全性。

Description

一种标签交换网络的报文传输方法和装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种标签交换网络的报文传输方法和装置。

背景技术

随着社会发展，经济全球化的趋势越来越明显，越来越多的企业分布范围日益扩大，公司员工的移动性也不断增加。这就需要电信运营商提供链路连接，以便企业将各分支机构囊括进来，组成自己的企业网，以方便公司员工在企业以外的地方很方便地访问企业内部网络。

因此，一种在IP网上提供VPN（Virtual Private Network，虚拟专用网）服务、配置简单的技术应运而生，这种技术即MPLS（Multiprotocol Label Switching，多协议标签交换）VPN技术。基于MPLS的VPN技术有两种，分别是MPLS L3VPN和MPLS L2VPN。MPLS L3VPN需要介入用户的内部路由管理，运营商的管理比较复杂。传统VLL方式的MPLS L2VPN，在公网中提供一种点到点的L2VPN业务，可以让两个站点之间的连接效果像直接用链路连接一样，但它不能直接在服务提供者处进行多点间的交换。

VPLS（Virtual Private LAN Service，虚拟专用局域网服务）在传统MPLS L2VPN方案的基础上发展而成，它可以实现多点到多点的VPN组网。VPLS为运营商提供了一种更加完备的解决方案。VPLS结合了以太网技术和MPLS技术的优势，是对传统LAN全部功能的仿真，其主要目的是通过运营商提供的IP/MPLS网络连接地域上隔离的多个以太网站点，使得对用户而言，这些站点间的连接效果像在一个LAN一样。而如何提高站点间的报文转发速度，如何达到更好的安全性，就成为进一步提升用户体验的重要方面。

发明内容

有鉴于此，本发明提供一种标签交换网络的报文传输方法，应用在骨干网边缘设备上，所述边缘设备与用户网络的站点连接，所述方法包括：

建立私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；

向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；

收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

本发明提供的另一种标签交换网络的报文传输方法，应用在骨干网边缘设备上，包括：

接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系；

为以所述已知网络节点地址为目的地址的数据报文添加所述私网标签后发送。

本发明还提供了一种标签交换网络的报文传输装置，应用在骨干网边缘设备上，所述边缘设备与用户网络的站点连接，所述装置包括：

标签映射单元，用于建立私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；

标签通告单元，用于向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；

报文转发单元，用于收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

本发明提供的另一种标签交换网络的报文传输装置，应用在骨干网边缘设备上，包括：

通告接收单元，用于接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系；

标签添加单元，用于为以所述已知私网标签的网络节点地址为目的地址的报文添加所述私网标签后发送。

由以上技术方案可见，本发明通过将私网标签映射到连接站点的接口，边缘设备可以直接按照私网标签来转发报文，不再需要根据目的地址查询接口，提高了报文的转发效率；另外，通过私网标签转发报文可以防御通过地址欺骗修改边缘设备接口表项的攻击行为，提升了网络的安全性。

附图说明

图1是一种VPLS的组网结构图；

图2是VPLS网络的示例图；

图3是图2所示的VPLS网络遭受攻击的示例图；

图4是本发明中骨干网边缘设备A的报文传输方法流程图；

图5是本发明中骨干网边缘设备B的报文传输方法流程图；

图6是本发明中一种LDP Mapping报文的示例；

图7是边缘设备的一种硬件结构图；

图8是本发明中一种标签交换网络的报文传输装置的逻辑结构图；

图9是本发明中另一种标签交换网络的报文传输装置的逻辑结构图。

具体实施方式

VPLS的一种组网结构如图1所示。用户网络的多个站点（Site）分别由各自的CE（Custom Edge，用户边缘设备）连接至骨干网的PE（Provider Edge，骨干网边缘设备）。CE和PE之间的链路为AC（Attachment Circuit，接入电路），AC对应的接口可以是实际的物理接口，也可以是虚拟接口。利用VPLS技术，服务提供商在MPLS骨干网络上为用户网络模拟了一个以太网桥，基于MAC地址或者MAC地址加VLAN标识来做出转发决策。在最简单的情况下，一个VPLS实例包括连接到多个PE的多个站点，允许CE直接跟所有与该VPLS实例关联的其它CE通信。在CE看来，服务提供商网络是一个以太网桥。

VPLS实例在PE上会有一个以太网桥功能实体VSI（Virtual Switch Instance，虚拟交换实例），完成根据MAC地址、或MAC地址和VLAN TAG进行二层报文转发的功能。配置同一个VPLS实例的邻居PE上的VSI之间通过PW（Pseudo Wire，虚链路）两两互连，PW是由一对方向相反的单向VC（Virtual Circuit，虚电路）LSP（Label Switching Path，标记交换路径）组成的一条双向虚拟连接，是VPLS在公网上的通信隧道，承载在MPLS或GRE（GenericRouting Encapsulation，通用路由封装）等隧道之上。

对于同一个VSI内的PE，可以通过手工配置来指定PW对端PE的地址，也可以通过信令协议自动发现对端PE。然后为对端PE分配私网标签，并将分配的标签通告给对端PE，建立单向的VC，从而创建PW。在PW上传输的报文会打上私网标签，用来判断报文所属的VSI。

在现有技术中，对采用扩展LDP（Label Distribution Protocol，标记分发协议）作为PW信令协议的VPLS，私网标签由LDP协议根据VSI标识自动生成。这样，来自同一VSI的所有报文都使用同一个的私网标签。

在PE上，为每个VSI维护一张MAC地址与接口的对应关系表。在收到带有私网标签的报文后，PE需要先从报文中提取私网标签，找到私网标签对应的VSI标识；然后从报文中提目的MAC地址，查找该VSI的MAC地址与接口对应关系表，找到报文目的MAC地址对应的接口，从该接口将报文转发至用户的站点。对每个报文，都需要经过两次提取和两次查找的过程，影响了转发速率。

现有技术的上述转发流程还容易遭受MAC欺骗，导致网络安全问题。以图2所示的网络为例，IP1.1.1.2设备给IP1.1.1.3设备发送报文，PE1设备提取该报文中的源MAC地址（MAC A），在IP1.1.1.2设备所在的VSI（VPN1）的MAC地址与接口对应关系表中，记录MAC A对应的接口为报文的入接口G0/0。如果有黑客对该VPLS组网进行攻击，如图3所示，利用IP1.1.1.2设备的MAC地址通过PE1设备的G0/0发送报文，则会重新触发PE1设备的VPLS本端MAC地址学习。PE1设备的VSI：VPN1的表项将会改变，MAC A对应的接口将从G0/0迁移到G0/1。此时当PE1收到VPLS邻居PE2发来的报文，根据私网标签索引到VSI：VPN1，并提取报文的目的MAC地址，查找VSI：VPN1的MAC地址表项，索引到出接口G0/1进行转发。报文会转发到MAC A HACKER设备上，而IP1.1.1.2设备无法收到该报文。

为了解决上述几个问题，本申请一实施例提出一种新的标签交换网络的报文传输方法，应用在连接至用户网络的站点的骨干网边缘设备上。以下以具有邻居关系的边缘设备A上、与边缘设备B上的处理流程来进行描述，本领域技术人员了解，这些流程可以应用在具有邻居关系的任意个边缘设备上；并且，边缘设备A和边缘设备B上的流程往往在运行在同一个边缘设备上，以实现双向的报文收发。边缘设备A上的处理流程请参见图4，边缘设备B上的处理流程请参见图5。

在步骤SA410，在边缘设备A上，建立私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签。

本申请实施例中用私网标签来标识边缘设备上连接用户专用网络的接口。换言之，本实施例中，不同专用网络具有不同的私网标签，同一个专用网络内连接在边缘设备不同接口上的部分具有不同的私网标签，当然，同一个专用网络内连接在边缘设备同一接口上的部分也可以有不同的私网标签。

本实施例中的接口可以是物理接口，也可以是逻辑接口，不作限制。

在步骤SA420，在边缘设备A上，向邻居边缘设备发送私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址。

用户报文在通过骨干网时，会入口处的边缘设备上打上私网标签，以便出口处的边缘设备知道这是哪个用户网络的报文。本实施例中，发送给同一用户网络站点的报文可以具有不同的私网标签，需要按照站点内网络节点的地址来确定所对应的私网标签。因此，生成私网标签的边缘设备要将私网标签、其数据报文将在骨干网边缘设备上使用这个私网标签进行转发的用户网络节点（以下称之为已知网络节点）的地址告知邻居边缘设备，以便邻居边缘在转发以这些网络节点为目的地址的报文时能打上正确的私网标签。

按照现有技术，在进行报文转发时，边缘设备会学习其连接站点内的各个网络节点的地址，需要说明的是，已知网络节点可以是站点网络内学习到的全部网络节点，也可以是其中的一部分。

在步骤SB510，在边缘设备B上，接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系。

在步骤S520，在边缘设备B上，将以已知网络节点地址为目的地址的数据报文打上所述私网标签后发送。

收到需要转发的用户数据报文后，如果其目的地址与从边缘设备A收到某个已知网络节点的地址相同，则边缘设备B在数据报文中打上该私网标签，然后从骨干网向边缘设备A转发。

在步骤SA430，在边缘设备A上，收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

边缘设备A收到边缘设备B发送的报文，提取出私网标签，从与该私网标签有映射关系的接口进行转发，发送至用户站点。

从上述流程可以看出，本实施例中将私网标签对应到边缘设备的接口，这样在将报文转发出骨干网时，按照私网标签直接转发即可，不需再提取报文的目的地址，提高了报文的传输速率。另外，由于边缘设备不再按照目的地址转发报文，还可以避免采用地址欺骗方式修改边缘设备上目的地址与出接口对应关系表的网络攻击，提高了安全性。

仍以图3所示的场景为例，应用本实施例方法后，假设VPN1的私网标签2000对应接口G0/0，则在PE1上，会建立标签2000与接口G0/0的映射关系，收到远端PE发送来的带有私网标签2000的报文，直接走出接口G0/0进行转发，而不再查找MAC地址表项，从而不会将发送给IP1.1.1.2设备的报文通过G0/1发送给攻击者。

为了进一步提高安全性，在边缘设备A上，步骤S420之前，还可以包括如下步骤：对用户站点内网络节点进行认证，如果通过认证，则将该网络节点作为站点内的已知网络节点。这样，通过认证的网络节点的地址会和私网标签发送给邻居边缘设备，从而可以利用私网标签在骨干网边缘设备上转发以通过认证的网络节点的地址为目的地址的数据报文。未通过认证的网络节点则不会应用本发明的技术方案。认证可以采用现有技术中的各种安全认证方式，如MAC地址认证等，也可以自由设定其他的认证方式，对此不作限制。

当本实施例应用在VPLS网络中时，边缘设备A与边缘设备B是同一VSI内通过PW连接的对端PE。在不同的应用场景中，可以采用不同的方式来建立私网标签与连接站点接口之间的映射关系。以以下两种应用场景为例：

1）边缘设备A上至少2个接口连接同一个站点，使用同一个VPN。此时，边缘设备A可以根据VSI标识、接口来建立私网标签与连接站点接口之间的映射关系，从而使映射到不同接口的私网标签不相同。

2）边缘设备A上一个接口连接的站点内，，边缘设备A可以根据VSI标识、接口、使用私网标签的网络节点的MAC地址来建立私网标签与连接站点接口之间的映射关系，这样，对应于VPN中的每一个网络节点，将会有不同的私网标签。

以上私网标签与连接站点接口之间的映射关系的方式，以及现有技术中的标签生成方式，可以相互结合使用，以满足更为复杂的应用场景。

例如，如果边缘设备A的一个接口连接的站点内，只需要为部分用户提供更快的转发速率，则可以根据VSI标识、接口来生成私网标签1，并在步骤S420中，将私网标签1、这部分用户的地址（其报文使用私网标签1在骨干网边缘设备上进行转发的用户地址）通知对端PE；同时采用现有技术中的方式，根据VSI标识来生成私网标签2，并在步骤S420中，将私网标签2、其他用户的地址（其报文使用私网标签2在骨干网边缘设备上进行转发的用户地址）通知对端PE。由于私网标签1与接口具有映射关系可以用来直接转发报文，而私网标签2与接口没有映射关系，报文转发时仍需要查询地址表，这样就可以实现对两部分用户的不同等级服务。

再如，如果边缘设备A的一个接口连接的站点内，只需要为部分用户提供防止地址欺骗的服务，则可以根据VSI标识、接口、这些用户的MAC地址来生成多个私网标签，每个需要防止地址欺骗服务的用户都拥有自己的私网标签，将这些私网标签、对应于每个私网标签的用户的地址通知对端PE，这样可以实现针对于单个用户的差别服务。

对采用扩展LDP作为PW信令协议的VPLS，本实施例中边缘设备A可以在发送给对端PE的LDP Mapping报文中携带私网标签、以及与其有映射关系的接口连接的站点内已知网络节点网络节点的地址。对应的，边缘设备B从来自对端PE的LDP Mapping报文中得到私网标签、以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址。

现有技术中的LDP Mapping报文中带有私网标签和VSI标识，本实施例中可以在该报文中增加已知网络节点的MAC地址。例如，边缘设备A可以向边缘设备B发送如图6的LDPMapping报文，在这个示例中，规定新的FEC（Forwarding Equivalence Class，转发等价类）Element Type名称为Virtual Circuit Mac FEC，字段为132，并在其中写入使用私网标签2000的MAC地址是AA:AA:AA:AA:AA:AA。边缘设备B收到上述LDP Mapping报文后，在转发本地用户网络上传的报文时，如果其目的MAC地址为AA:AA:AA:AA:AA:AA，则压入2000私网标签进行VPLS转发。

与上述流程实现对应，本发明的实施例还提供了标签交换网络的报文传输装置，运行在骨干网边缘设备上，该装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，本发明是通过边缘设备的CPU将非易失性存储其中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，除了图7所示的CPU、内存以及非易失性存储器之外，边缘设备通常还包括其他硬件，如负责处理报文处理的转发芯片等等；从硬件结构上来讲该设备还可能是分布式的设备，可能包括多个接口卡以在硬件层面进行报文处理的扩展。

图8所示为本实施例提供的一种标签交换网络的报文传输装置，应用在与用户网络的站点连接的骨干网边缘设备上，包括标签映射单元、标签通告单元和报文转发单元，其中：标签映射单元用于建立私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；标签通告单元用于向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；报文转发单元用于收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

在一种可选的实施方式中，所述标签交换网络为VPLS，所述邻居边缘设备为PW的对端边缘设备；所述标签映射单元具体用于：根据所述站点的VSI标识和接口建立私网标签与连接站点接口之间的映射关系。

在另一种可选的实施方式中，所述标签交换网络为VPLS，所述邻居边缘设备为PW的对端边缘设备；所述标签映射单元具体用于：根据所述站点的VSI标识、接口、以及所述站点内已知网络节点的MAC地址建立私网标签与连接站点接口之间的映射关系。

在上述两种可选的实施方式中，所述私网标签、以及与其有映射关系的接口连接的站点内已知网络节点的地址，可以携带在发送给对端边缘设备的LDP Mapping报文中。

所述已知网络节点，为所述站点内通过认证的网络节点。

图9所示为本实施例提供的一种标签交换网络的报文传输装置，应用在骨干网边缘设备上，包括通告接收单元和标签添加单元，其中：通告接收单元用于接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系；标签添加单元用于为以所述已知网络节点地址为目的地址的数据报文添加所述私网标签后发送。

在一种可选的实施方式中，所述标签交换网络为VPLS，所述邻居边缘设备为PW的对端边缘设备所述网络节点的地址为网络节点的MAC地址；所述私网标签、以及所述已知网络节点的地址，由来自对端边缘设备的LDP Mapping报文携带。

综上，在现有技术中，VPLS私网标签分配方式根据VSI标识确定，同一个VSI、分配给某个远端PE一个私网标签，私网标签与VSI一一对应。转发时，根据私网标签索引到VSI，再提取报文的目的MAC地址，查询VSI所在的MAC地址表项，处理流程复杂，转发效率较低，安全性较差；且VSI内所有客户均用相同的私网标签，在MPLS层面无法区分VIP客户和普通客户，MPLS层面无法实现对不同客户MAC地址的差分服务。

应用本发明中的实施例后，对需要提供更好等级服务的客户，可以在本端MAC地址学习时进行VPLS私网标签分配，根据VIP客户的MAC地址来分配私网标签。对VIP客户，其使用的私网标签和出接口直接进行绑定，转发报文通过私网标签直接找到出接口进行转发，无需提取报文的目的MAC地址，无需查询MAC地址转发表项，提高了转发性能。这样，可以为不同等级的客户分配不同的私网标签，利用VPLS私网标签识别相同VSI内不同用户MAC地址的优先级，在MPLS层面实现对不同客户MAC地址的差分服务。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (14)

1.一种标签交换网络的报文传输方法，应用在骨干网边缘设备上，所述边缘设备与用户网络的站点连接，其特征在于，所述方法包括：

依据站点内网络节点的地址确定私网标签，建立所述私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；

向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；

收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

2.根据权利要求1所述的方法，其特征在于：所述标签交换网络为虚拟专用局域网服务VPLS，所述邻居边缘设备为虚连接PW的对端边缘设备；

所述建立私网标签与连接站点的接口之间的映射关系具体包括：根据所述站点的虚拟交换实例VSI标识和接口建立私网标签与连接站点接口之间的映射关系。

3.根据权利要求1所述的方法，其特征在于：所述标签交换网络为VPLS，所述邻居边缘设备为PW的对端边缘设备，所述已知网络节点的地址为已知网络节点的MAC地址；

所述建立私网标签与连接站点的接口之间的映射关系具体包括：根据所述站点的VSI标识、接口、以及所述站点内已知网络节点的MAC地址建立私网标签与连接站点接口之间的映射关系。

4.根据权利要求2或3所述的方法，其特征在于，所述私网标签、以及与其有映射关系的接口连接的站点内已知网络节点的地址，由发送给对端边缘设备的标记分发协议LDPMapping报文携带。

5.根据权利要求1至3任意一项所述的方法，其特征在于，所述方法还包括：对所述站点内的网络节点进行认证，通过认证后将其作为站点内的已知网络节点。

6.一种标签交换网络的报文传输方法，应用在骨干网边缘设备上，其特征在于，包括：

接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系；

为以所述已知网络节点地址为目的地址的数据报文添加所述私网标签后发送。

7.根据权利要求6所述的方法，其特征在于：所述标签交换网络为虚拟专用局域网服务VPLS，所述邻居边缘设备为虚连接PW的对端边缘设备,所述网络节点的地址为网络节点的MAC地址；

所述私网标签、以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址，由来自对端边缘设备的标记分发协议LDP Mapping报文携带。

8.一种标签交换网络的报文传输装置，应用在骨干网边缘设备上，所述边缘设备与用户网络的站点连接，其特征在于，所述装置包括：

标签映射单元，用于依据站点内网络节点的地址确定私网标签，建立所述私网标签与连接站点的接口之间的映射关系，不同的接口使用不同的私网标签；

标签通告单元，用于向邻居边缘设备发送所述私网标签，以及与其有映射关系的接口连接的站点内已知网络节点的地址；

报文转发单元，用于收到来自邻居边缘设备、携带所述私网标签的数据报文后，从与所述私网标签有映射关系的接口进行转发。

9.根据权利要求8所述的装置，其特征在于：所述标签交换网络为虚拟专用局域网服务VPLS，所述邻居边缘设备为虚连接PW的对端边缘设备；

所述标签映射单元具体用于：根据所述站点的虚拟交换实例VSI标识和接口建立私网标签与连接站点接口之间的映射关系。

10.根据权利要求8所述的装置，其特征在于：所述标签交换网络为VPLS，所述邻居边缘设备为PW的对端边缘设备，所述已知网络节点的地址为已知网络节点的MAC地址；

所述标签映射单元具体用于：根据所述站点的VSI标识、接口、以及所述站点内已知网络节点的MAC地址建立私网标签与连接站点接口之间的映射关系。

11.根据权利要求9或10所述的装置，其特征在于，所述私网标签、以及与其有映射关系的接口连接的站点内已知网络节点的地址，由发送给对端边缘设备的标记分发协议LDPMapping报文携带。

12.根据权利要求8至10任意一项所述的装置，其特征在于，所述已知网络节点，为所述站点内通过认证的网络节点。

13.一种标签交换网络的报文传输装置，应用在骨干网边缘设备上，其特征在于，包括：

通告接收单元，用于接收邻居边缘设备发送的私网标签，以及该邻居边缘设备与所述私网标签有映射关系的接口连接的站点内已知网络节点的地址并建立对应关系；

标签添加单元，用于为以所述已知网络节点地址为目的地址的数据报文添加所述私网标签后发送。

14.根据权利要求13所述的装置，其特征在于：所述标签交换网络为虚拟专用局域网服务VPLS，所述邻居边缘设备为虚连接PW的对端边缘设备，所述网络节点的地址为网络节点的MAC地址；

所述私网标签、以及所述已知网络节点的地址，由来自对端边缘设备的标记分发协议LDP Mapping报文携带。