CN104243270A - 一种建立隧道的方法和装置 - Google Patents

Abstract

本发明提出一种建立隧道的方法和装置。该方法包括在软件定义网络(SDN)架构中的SDN控制器执行的如下步骤：接收各个OpenFlow交换机上报的自身IP地址；向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；向作为边缘交换设备的OpenFlow交换机下发用于在边缘交换设备之间建立通用路由协议封装(GRE)隧道的隧道信息，从而由边缘交换设备基于隧道信息建立隧道转发表。本发明加强了SDN控制器对SDN网络的控制功能，而且降低了对OpenFlow交换机的配置需求，节省了网络资源。

Description

一种建立隧道的方法和装置

技术领域

本发明属于软件定义网络(Software Defined Network，SDN)架构中的开放流(OpenFlow)技术领域，特别是一种建立隧道的方法和装置。

背景技术

SDN架构利用OpenFlow技术将网络设备的控制面与数据面分离，从而实现网络流量的灵活控制。相应地，SDN架构中包括SDN控制器和OpenFlow交换设备，其中：SDN控制器和OpenFlow交换设备之间通过OpenFlow通道进行通信，SDN控制器根据用户的配置或者动态运行的协议生成流表下发到OpenFlow交换设备，OpenFlow交换设备依据SDN控制器下发的流表进行报文处理。在实际组网时，处于SDN网络边缘的OpenFlow交换设备可称为边缘交换设备。

目前，SDN网络目前支持用户的多种业务，包括二层业务、IP业务以及叠加(Overlay)业务。SDN网络内支持多点虚连接采用Overlay方式，OpenFlow交换机之间通过叠加隧道(Overlay Tunnel)作为可达链路。交换机之间的数据传输携带隧道头部信息，中间的设备根据隧道头部的目的IP地址进行三层转发，到达目的交换机后弹掉Overlay隧道对用户报文进行寻址。

然而，在这种方式下，OpenFlow交换设备之间必须部署叠加隧道所依靠的网络协议，如二层的MSTP、三层IGP等，而且在存在多个区域的情况下还需要部署BGP之类的协议。可见，SDN控制器并未真正对网络进行完全控制，OpenFlow交换设备仍然需要自行部署传统的网络协议，没有从根本上节省网络资源。

发明内容

有鉴于此，本发明提出一种建立隧道的方法和装置。

本发明实施方式的技术方案如下：

本发明实施方式的一方面提供了一种建立隧道的方法，该方法包括在SDN架构中的SDN控制器执行的如下步骤：

接收各个OpenFlow交换机上报的自身IP地址；

向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

向作为边缘交换设备的OpenFlow交换机下发用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，从而由所述边缘交换设备基于所述隧道信息建立隧道转发表。

优选地，进一步包括：

通过网络拓扑发现生成物理拓扑图；

根据所述物理拓扑图为每个OpenFlow交换机分别建立到达目的OpenFlow交换机的拓扑路由表；

基于每个OpenFlow交换机的拓扑路由表为每个OpenFlow交换机生成所述第一流表，并基于每个边缘交换设备的拓扑路由表为每个边缘交换设备生成所述隧道信息。

优选地，该方法进一步包括：

向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。

优选地，进一步接收各个OpenFlow交换机上报的自身Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

优选地，中进一步接收各个OpenFlow交换机上报的自身Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

本发明实施方式的一方面提供了一种建立隧道的方法，该方法包括在软件定义网络SDN架构中的OpenFlow交换机执行的如下步骤：

向SDN控制器上报自身的IP地址；

从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

作为边缘交换设备的OpenFlow交换机从SDN控制器接收用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，并基于所述隧道信息建立隧道转发表。

优选地，进一步包括：

从SDN控制器接收用于过滤非法源IP地址的第二流表。

优选地，中进一步向SDN控制器上报自身的Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项；以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

优选地，进一步向SDN控制器上报自身的Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

优选地，所述隧道转发表包括入隧道表项和出隧道表项；其中：

位于隧道本端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；

位于隧道本端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

优选地，所述隧道转发表包括入隧道表项和出隧道表项；其中：位于隧道对端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为所述隧道对端IP地址、隧道目的IP地址为所述隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；

位于隧道对端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

本发明实施方式的一方面提供了一种建立隧道的装置，该装置包括在SDN架构中的SDN控制器运行的如下模块：

地址接收模块，用于接收各个OpenFlow交换机上报的自身IP地址；

第一流表下发模块，用于向各个OpenFlow交换机下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

隧道信息下发模块，用于向作为边缘交换设备的OpenFlow交换机下发用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，从而由所述边缘交换设备基于所述隧道信息建立隧道转发表。

优选地，进一步包括：

第二流表下发模块，用于向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。

优选地，地址接收模块，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

优选地，地址接收模块，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

本发明实施方式的一方面提供了一种建立隧道的装置，该装置包括在SDN架构中的OpenFlow交换机运行的如下模块：

地址上报模块，用于向SDN控制器上报自身的IP地址；

第一流表接收单元，用于从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

其中作为边缘交换设备的OpenFlow交换机进一步包括隧道建立模块，用于从SDN控制器接收用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，并基于所述隧道信息建立隧道转发表。

优选地，进一步包括：

第二流表接收模块，用于从SDN控制器接收用于过滤非法源IP地址的第二流表。

优选地，地址上报模块，进一步用于向SDN控制器上报自身的Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

优选地，地址上报模块，进一步用于向SDN控制器上报自身的Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

优选地，所述隧道转发表包括入隧道表项和出隧道表项；

所述隧道建立模块位于隧道本端的边缘交换设备，用于基于所述隧道信息生成入隧道表项和出隧道表项，其中：

所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；

所述出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

优选地，所述隧道转发表包括入隧道表项和出隧道表项；

所述隧道建立模块位于隧道对端的边缘交换设备，用于基于所述隧道信息生成所述入隧道表项和出隧道表项，其中：

所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为所述隧道对端IP地址、隧道目的IP地址为所述隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；

所述出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

在本发明中，该方法包括在SDN控制器执行的如下步骤：接收各个OpenFlow交换机上报的自身IP地址；向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；向作为边缘交换设备的OpenFlow交换机下发用于在边缘交换设备之间建立GRE隧道的隧道信息，从而由边缘交换设备基于所述隧道信息建立隧道转发表。由此可见，SDN控制器主动下发隧道信息以在SDN网络内建立隧道，数据转发不再依赖于在OpenFlow交换机上部署传统的IGP/MPLS/VPN业务，从而加强了SDN控制器对SDN网络的控制功能，而且降低了对OpenFlow交换机的配置需求，节省了网络资源。

附图说明

图1为本发明实施例中SDN控制器侧建立隧道的方法流程图；

图2为本发明实施例中OpenFlow交换机侧建立隧道的方法流程图；

图3为SDN架构的示范性示意图；

图4为根据本发明实施例在图3架构中建立隧道的流程图；

图5为本发明实施例SDN控制器侧建立隧道的装置结构图；

图6为本发明实施例OpenFlow交换机侧建立隧道的装置结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

在本实施例中，SDN控制器主动下发隧道信息以在SDN网络内建立隧道，数据转发不再依赖于在OpenFlow交换机上部署传统的IGP/MPLS/VPN业务，从而加强SDN控制器对SDN网络的控制功能。

图1为本发明实施例中SDN控制器侧建立隧道的方法流程图。

如图1所示，该方法包括在SDN架构中的SDN控制器执行的如下步骤：

步骤101：接收各个OpenFlow交换机上报的自身IP地址。

在这里，可以为SDN网络中的每个OpenFlow交换机分配一个IP地址(如1.1.1.1)，该IP地址唯一地标识OpenFlow交换机。不允许不同OpenFlow交换机使用同一个IP地址。该IP地址并不一定是与SDN控制器建立Openflow连接的IP地址，可以是在SDN网络内的唯一可达IP地址。

可以在各个OpenFlow交换机上手工配置该IP地址。当配置好IP地址之后，由OpenFlow交换机将各自的IP地址上报到SDN控制器。比如，Openflow交换机可以通过交换机描述消息(OFPMP_DESC)将交换机IP地址通告给SDN控制器。

步骤102：向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表。

SDN控制器通过网络拓扑发现建立SDN网络的物理拓扑图。在网络拓扑稳定后，任意两个OpenFlow交换机之间都有一个唯一的拓扑路径(或者是等价路径)。SDN控制器基于物理拓扑图建立整个SDN网络的逻辑拓扑路由表。而且，SDN控制器还为每个OpenFlow交换机建立到达其他OpenFlow交换机的拓扑路由表。在为每个OpenFlow交换机建立的拓扑路由表中，分别保存有SDN域内关于所有其他OpenFlow交换机的转发内容。具体地，该转发内容可以包括OpenFlow交换机的IP地址和出端口，其中出端口为本设备与目的设备之间的拓扑出端口。

优选地，步骤101中SDN控制器可以进一步接收各个OpenFlow交换机上报的自身Mac地址。

比如，当SDN控制器和OpenFlow交换机之间建立了OpenFlow连接后，OpenFlow交换机可以使用Description消息通告自身的桥MAC地址，并使用PortStatus消息通告设备端口的MAC地址。通过这种方式，SDN控制器能够学习到OpenFlow交换机的MAC地址。

OpenFlow交换机的MAC地址和IP地址都可以在SDN网络中作为设备的转发目的地址使用，当数据报文到达某个IP地址或者MAC地址时，就是到达该地址的OpenFlow交换机。

OpenFlow交换机的拓扑路由表中保存的转发内容还可以包括出VLAN、出源MAC和出目的MAC。其中：出VLAN为出端口的VLAN值；出源MAC为本设备的端口MAC地址；出目的MAC为拓扑路径中下一个设备的端口MAC地址。出源MAC和出目的MAC可以由SDN控制器通过PortsStatus消息获取。

SDN控制器基于每个OpenFlow交换机的拓扑路由表，分别为每个OpenFlow交换机生成第一流表，并分别向每个OpenFlow交换机下发相应的第一流表。这些第一流表的匹配项分别为拓扑路由表中作为目的OpenFlow交换机的各个OpenFlow交换机的IP地址，动作为指定出端口。当步骤101中进一步接收各个OpenFlow交换机上报的自身Mac地址时，在第一流表中可以进一步指定出源MAC和出目的MAC。

OpenFlow交换机接收到各自的第一流表之后，可以实现针对目的OpenFlow交换机的IP地址的报文转发。

步骤103：向作为边缘交换设备的OpenFlow交换机下发用于在边缘交换设备之间建立通用路由协议封装(GRE)隧道的隧道信息，从而由边缘交换设备基于隧道信息建立隧道转发表。

处于SDN网络边缘的OpenFlow交换机可称为边缘交换设备。为了在边缘交换设备上支持虚连接透传用户报文，需要在任意两个边缘交换设备上创建隧道，从而用户报文可以封装在隧道中以在SDN网络内传输。

SDN控制器可以基于每个边缘交换设备的拓扑路由表为每个边缘交换设备生成隧道信息，边缘交换设备可以基于隧道信息建立隧道。可见，边缘交换设备之间的隧道由SDN控制器发起创建，而且隧道转发路径由SDN控制器根据拓扑生成，并随着拓扑的变化而变化。

具体地，隧道信息可以包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。边缘交换设备基于隧道信息建立隧道转发表，并基于隧道转发表在隧道中传输用户报文。

优选地，SDN控制器进一步向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项，其中第一表项的优先级高于第二表项的优先级。只有当第一表项的匹配项不匹配且第二表项的匹配项匹配时，才执行第二表项的动作。

具体地，作为中间设备的OpenFlow交换机转发从源设备发出的访问目的设备的报文时，首先执行源地址的过滤。当收到的报文源MAC地址与第二流表中指定源IP地址的MAC地址一致时，允许进行目的地址的转发，当查找到对应于目的地址的第一流表后按照第一流表将报文转发到出端口，如果无法查找到对应于目的地址的第一流表，则丢弃该报文或者将报文上送到SDN控制器。当源IP地址与源MAC地址不一致，即收到的报文的源MAC地址与第二流表中指定源IP地址的MAC地址不一致时直接丢弃报文，不再执行目的地址的查找。源地址过滤操作用于防止网络中的环路，使得SDN网络中的流量严格照SDN控制器当前的拓扑路径进行转发。

图2为本发明实施例中OpenFlow交换机侧建立隧道的方法流程图。

如图2所示，该方法该包括在SDN架构中的OpenFlow交换机执行的如下步骤：

步骤201：向SDN控制器上报自身的IP地址；

步骤202：从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

步骤203：作为边缘交换设备的OpenFlow交换机从SDN控制器接收用于在边缘交换设备之间建立GRE隧道的隧道信息，并基于隧道信息建立隧道转发表。

在一个实施例中，该方法进一步包括：从SDN控制器接收用于过滤非法源IP地址的第二流表。

在一个实施例中，步骤201中进一步向SDN控制器上报自身的Mac地址，而且第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项，其中第一表项的优先级高于第二表项的优先级。

在一个实施例中，步骤201中进一步向SDN控制器上报自身的Mac地址，而且所接收的隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

隧道转发表通常包括入隧道表项和出隧道表项。

在一个实施方式中，在步骤203中：

位于隧道本端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；

位于隧道本端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

在一个实施方式中，隧道转发表包括入隧道表项和出隧道表项。

在步骤203中：

位于隧道对端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给报文增加隧道头，而且指定隧道源IP地址为隧道对端IP地址、隧道目的IP地址为隧道本端IP地址、隧道源Mac地址为隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；

位于隧道对端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

经过上述处理之后，在边缘交换设备上存在有到其他边缘交换设备的隧道转发表及到目的OpenFlow交换机的IP地址的第一流表，在作为中间设备的OpenFlow交换机上存在有到目的OpenFlow交换机的IP地址的第一流表。

在SDN网络的各个边缘交换设备之间建立隧道之后，用户侧的数据报文在SDN网络中转发时，可以通过隧道封装的形式进行。其中，用户侧的接入方式可以是VLAN接入，也可以是VSI/VPN方式接入。若是VLAN接入则学习用户主机时以VLAN为单位保存用户的ARP信息，若是VSI/VPN接入则以VSI/VPN为单位学习用户的ARP信息。

在SDN网络的各个边缘交换设备之间建立隧道之后，用户侧报文的转发按照匹配的关键字可以分为两种：

(1)以目的MAC地址为匹配项，这种方式为二层MAC转发，OpenFlow交换机根据目的MAC在VLAN/VSI内转发，若目的MAC在其他交换机设备上则封装一个IP GRE隧道，报文格式为Ethernet over IP GRE，二层报文直接封装在隧道之后，用户原始二层报文不作修改。

(2)以目的IP地址为匹配项，这种方式为三层IP转发，原始用户报文的目的MAC为网关MAC地址，若目的IP地址在其他交换机上则封装IP GRE隧道，报文格式为IP over IP GRE，原始二层报文的MAC头部被去掉，IP GRE后面负载为IP层开始的报文。

当用户接入为VSI/VPN时，IP GRE隧道需要能够携带VSI/VPN信息，此时GRE头部中的校验总和(Checksum)置位，GRE头长度为8字节，后面的4个字节携带VSI/VPN信息。当两个OpenFlow交换机之间需要创建IP GRE隧道时，SDN控制器要在这两个交换机上分别下发隧道信息，隧道信息包括隧道目的IP地址、源IP地址、目的MAC地址、源MAC地址和VSI/VPN索引。可以使用OpenFlow协议中的Experimenter字段携带隧道信息。OpenFlow交换机收到隧道信息后，生成出隧道表项和入隧道表项，其中出隧道表项的匹配项为隧道源IP地址(对端交换机的IP地址)、隧道目的IP地址(本交换机的IP地址)和VSI/VPN索引，动作为允许通过(Permit)，并指定VSI/VPN；入隧道表项为一个硬件隧道表，隧道目的IP地址为对端交换机的IP地址，源IP地址为本交换机的IP地址，目的MAC地址为对端交换机的MAC地址，源MAC地址为本交换机的MAC地址，当存在到达对端交换机上主机的第一流表时，该第一流表的出接口就是对端交换机的入隧道表项。

下面结合实例对本发明进行具体说明。

图3为SDN架构的示范性示意图；图4为根据本发明实施例在图3架构中建立隧道的流程图。

在图3中，OpenFlow交换机(SW)1、SW2、SW3和SW4分别与SDN控制器具有OpenFlow连接，而且SW1和SW3作为边缘交换设备。

首先描述在SW1和SW3之间建立隧道的过程。

如图4所示，该方法包括：

步骤401：各个OpenFlow交换机向SDN控制器上报自己的IP地址和Mac地址。

在这里，SW1、SW2、SW3和SW4分别向SDN控制器上报自己的IP地址和Mac地址。

步骤402：SDN控制器按照网络拓扑，为每个OpenFlow交换机组织转发目的流表(即第一流表)。

步骤403：SDN控制器向各个OpenFlow交换机下发到达其他OpenFlow交换机的第一流表。比如：针对SW1，分别下发到SW2/SW3/SW4的第一流表以用于转发报文，在这些第一流表中，匹配项为目的OpenFlow交换机IP地址(即SW 2/SW 3/SW 4的IP地址)，动作为指定出端口、源Mac地址和目的Mac地址。

步骤404：SDN控制器向各个OpenFlow交换机下发源过滤表(即第二流表)。在源过滤表中包括高优先级的第一表项以及低优先级的第二表现，其中第一表项的匹配项为源IP地址和源Mac地址(此Mac地址为自身到目的设备的下一跳Mac地址)，动作为允许通过；第二表项的匹配项为源IP地址，动作为不允许通过。

步骤405：SDN控制器为每个边缘交换设备组织到其他边缘交换设备的GRE隧道信息。

比如，针对作为边缘设备的SW 1和SW 3，SDN控制器分别为SW 1和SW3生成隧道信息。对于SW 1而言，隧道信息包括：作为隧道源IP地址的SW 1的IP地址、作为隧道目的IP地址的SW 3的IP地址、作为源Mac地址的SW 1的Mac地址、作为目的Mac地址的SW 1到SW 3的下一跳设备的Mac地址(即SW 2的Mac地址)以及隧道标识。对于SW 3而言，隧道信息包括：作为隧道源IP地址的SW 1的IP地址、作为隧道目的IP地址的SW 3的IP地址以及隧道标识。

步骤406：控制器通过OpenFlow协议将隧道信息下发到边缘交换设备，边缘交换设备基于隧道信息生成隧道转发表。隧道转发表包括是入隧道时的封装表项和出隧道时的解封装表项。

对于位于隧道本端的边缘交换设备所建立的入隧道表项，其匹配项为报文的目的Mac地址或目的IP地址，动作为给报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址。

对于位于隧道本端的边缘交换设备所建立的出隧道表项，其匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

对于位于隧道对端的边缘交换设备所建立的入隧道表项，其匹配项为报文的目的Mac地址或目的IP地址，动作为给报文增加隧道头，而且指定隧道源IP地址为隧道对端IP地址、隧道目的IP地址为隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址。

位于隧道对端的边缘交换设备所建立的出隧道表项，其匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

比如，SW 1作为隧道本端，入隧道表项的动作为增加隧道头，而且指定隧道源IP地址为SW 1的IP地址，隧道目的IP地址为SW 3的IP地址，源Mac地址为SW 1的Mac地址，目的Mac地址为SW 1到SW 3的下一跳设备的Mac地址(即SW 2的Mac地址)。而且，SW 1作为隧道本端的出隧道表项的动作是弹掉隧道头，且被弹掉的隧道头的源IP地址为SW 3的IP地址，而且目的IP地址为SW 1的IP地址。

SW 3作为隧道对端，入隧道表项的动作为增加隧道头，而且指定隧道源IP地址为SW 3的IP地址，隧道目的IP地址为SW 1的IP地址，源Mac地址为SW 3的Mac地址，目的Mac地址为SW 3到SW 1的下一跳设备的Mac地址(即SW 2的Mac地址)。而且，SW 3作为隧道对端的出隧道表项的动作是弹掉隧道头，且被弹掉的隧道头的源IP地址为SW 1的IP地址，而且目的IP地址为SW 3的IP地址。

至此完成边缘交换设备之间的隧道通道建立，可以基于隧道建立虚连接。而且，各个交换机还可以各自创建VSI，并将各自的VSI信息通告到控制器；控制器保存每个交换机上的VSI信息，而且控制器为每个交换机创建基于VSI的隧道，隧道的IP地址和Mac地址没有变化，仅仅多了一个VSI索引，新创建的隧道有新的隧道Id。控制器通过OpenFlow协议将VSI的隧道信息下发到拥有这些VSI的交换机上，其中没有VSI的交换机不用下发。

基于上述步骤建立的隧道，用户报文可以封装在隧道中以在SDN网络内传输。

下面描述图3中的数据传输过程。

以OpenFlow交换机1下挂的主机PC10访问OpenFlow交换机3下挂的主机PC30为例进行说明，假定用户侧接入方式为VSI，用户报文转发以VSI+MAC方式执行

主机PC10发送arp请求报文，请求主机PC30的Mac地址；OpenFlow交换机1收到arp请求报文并上送SDN控制器，SDN控制器学习主机PC10的arp，并将报文在网络内广播，其中OpenFlow交换机3将该请求报文转发到主机PC30。主机PC30收到arp请求报文，学习到主机PC10的arp，产生arp应答报文。OpenFlow交换机3接收到应答报文，送到SDN控制器，SDN控制器学习主机PC30的arp，并将该应答报文送到OpenFlow交换机1，OpenFlow交换机1将报文转发到主机PC10。PC10学习到主机PC30的arp，产生IP数据报文，IP数据报文送到OpenFlow交换机1。

OpenFlow交换机1收到IP数据报文后，识别该报文是VSI1域内报文，在VSI1域内查找流表，由于VSI是二层服务，以目的MAC为关键字进行查找，匹配后封装IP GRE隧道，隧道源IP为本交换机，目的IP为OpenFlow交换机3的IP地址，源MAC为本机桥MAC地址，目的MAC为拓扑路径上下一跳交换机的MAC，即为OpenFlow交换机2的桥MAC地址。

OpenFlow交换机2接收到携带有IP GRE隧道的报文，首先执行源地址过滤，发现报文的源IP与MAC对应，源地址检查通过，则执行目的IP地址查找，匹配后修改报文的源MAC后转发到OpenFlow交换机3。

OpenFlow交换机3接收到携带IP GRE隧道的报文，隧道目的IP为本设备，源IP为交换机1的地址，目的MAC为本设备的MAC地址，源MAC为OpenFlow交换机2的MAC地址。OpenFlow交换机3根据隧道头部中的扩展字段获取VSI信息，弹掉隧道头后在本地执行VSI内的流表查找以确定用户报文目的MAC地址，假定确定为PC30的MAC地址，则将IP数据报文转发到主机PC30；主机PC30收到IP数据报文。

至此，完成了SDN网络内的VSI数据转发，其他两种方式VLAN/VPN也类似，仅仅是查找用户报文的地址不同。主机PC30发送IP数据报文到达PC10的流程和PC10发送IP数据报文的相同，在此不再赘述。

基于上述详细分析，本发明还提供了一种在SDN控制器侧建立隧道的装置。

图5为本发明实施例SDN控制器侧建立隧道的装置结构图。

如图5所示，

该装置500包括在SDN架构中的SDN控制器运行的如下模块：

地址接收模块501，用于接收各个OpenFlow交换机上报的自身IP地址；

第一流表下发模块502，用于向各个OpenFlow交换机下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

隧道信息下发模块503，用于向作为边缘交换设备的OpenFlow交换机下发用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，从而由所述边缘交换设备基于所述隧道信息建立隧道转发表。

在一个实施方式中，该装置500进一步包括：

第二流表下发模块504，用于向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。

在一个实施方式中，地址接收模块501，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；其中第一表项的优先级高于第二表项的优先级。

在一个实施方式中，地址接收模块501，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

基于上述详细分析，本发明还提供了一种在OpenFlow交换机侧建立隧道的装置。

图6为本发明实施例OpenFlow交换机侧建立隧道的装置结构图。

如图6所示，该装置600包括在SDN架构中的OpenFlow交换机运行的如下模块：

地址上报模块601，用于向SDN控制器上报自身的IP地址；

第一流表接收单元602，用于从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

其中作为边缘交换设备的OpenFlow交换机进一步包括隧道建立模块603，用于从SDN控制器接收用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，并基于所述隧道信息建立隧道转发表。

在一个实施方式中，该装置600进一步包括：

第二流表接收模块604，用于从SDN控制器接收用于过滤非法源IP地址的第二流表。

在一个实施方式中，地址上报模块601，进一步用于向SDN控制器上报自身的Mac地址；第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；其中第一表项的优先级高于第二表项的优先级。

在一个实施方式中，地址上报模块601，进一步用于向SDN控制器上报自身的Mac地址；隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

在一个实施方式中，隧道转发表包括入隧道表项和出隧道表项；

位于隧道本端的边缘交换设备的隧道建立模块603，用于基于所述隧道信息生成入隧道表项和出隧道表项，其中所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；所述出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

在一个实施方式中，隧道转发表包括入隧道表项和出隧道表项；

位于隧道对端的边缘交换设备的隧道建立模块603，用于基于隧道信息生成所述入隧道表项和出隧道表项，其中所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给报文增加隧道头，而且指定隧道源IP地址为所述隧道对端IP地址、隧道目的IP地址为所述隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；所述出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

综上所述，本发明包括在SDN控制器执行的如下步骤：接收各个OpenFlow交换机上报的自身IP地址；向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；向作为边缘交换设备的OpenFlow交换机下发用于在边缘交换设备之间建立GRE隧道的隧道信息，从而由边缘交换设备基于所述隧道信息建立隧道转发表。由此可见，SDN控制器主动下发隧道信息在SDN网络内建立隧道，数据转发不再依赖于在OpenFlow交换机上部署传统的IGP/MPLS/VPN业务，从而加强了SDN控制器对SDN网络的控制功能，而且降低了对OpenFlow交换机的配置需求，节省了网络资源。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (21)

1.一种建立隧道的方法，其特征在于，该方法包括在软件定义网络SDN架构中的SDN控制器执行的如下步骤：

接收各个OpenFlow交换机上报的自身IP地址；

向各个OpenFlow交换机分别下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

向作为边缘交换设备的OpenFlow交换机下发用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，从而由所述边缘交换设备基于所述隧道信息建立隧道转发表。

2.根据权利要求1所述的方法，其特征在于，所述向各个OpenFlow交换机分别下发第一流表包括：通过网络拓扑发现生成物理拓扑图；根据所述物理拓扑图为每个OpenFlow交换机分别建立到达目的OpenFlow交换机的拓扑路由表；基于每个OpenFlow交换机的拓扑路由表为每个OpenFlow交换机生成所述第一流表；

所述向作为边缘交换设备的OpenFlow交换机下发隧道信息包括：基于每个边缘交换设备的拓扑路由表为每个边缘交换设备生成所述隧道信息。

3.根据权利要求1所述的方法，其特征在于，进一步包括：

向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。

4.根据权利要求3所述的方法，其特征在于，进一步包括：接收各个OpenFlow交换机上报的自身Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

5.根据权利要求1所述的方法，其特征在于，进一步包括：接收各个OpenFlow交换机上报的自身Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

6.一种建立隧道的方法，其特征在于，该方法包括在软件定义网络SDN架构中的OpenFlow交换机执行的如下步骤：

向SDN控制器上报自身的IP地址；

从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

作为边缘交换设备的OpenFlow交换机从SDN控制器接收用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，并基于所述隧道信息建立隧道转发表。

7.根据权利要求6所述的建立隧道的方法，其特征在于，进一步包括：

从SDN控制器接收用于过滤非法源IP地址的第二流表。

8.根据权利要求7所述的建立隧道的方法，其特征在于，进一步包括：向SDN控制器上报自身的Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

9.根据权利要求6所述的方法，其特征在于，进一步包括：向SDN控制器上报自身的Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

10.根据权利要求9所述的方法，所述隧道转发表包括入隧道表项和出隧道表项；其中：

位于隧道本端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；

位于隧道本端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

11.根据权利要求9所述的方法，所述隧道转发表包括入隧道表项和出隧道表项；其中：

位于隧道对端的边缘交换设备所建立的入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为所述隧道对端IP地址、隧道目的IP地址为所述隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；

位于隧道对端的边缘交换设备所建立的出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。

12.一种建立隧道的装置，其特征在于，该装置包括在SDN架构中的SDN控制器运行的如下模块：

地址接收模块，用于接收各个OpenFlow交换机上报的自身IP地址；

第一流表下发模块，用于向各个OpenFlow交换机下发指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

隧道信息下发模块，用于向作为边缘交换设备的OpenFlow交换机下发用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，从而由所述边缘交换设备基于所述隧道信息建立隧道转发表。

13.根据权利要求12所述的装置，其特征在于，进一步包括：

第二流表下发模块，用于向各个OpenFlow交换机下发用于过滤非法源IP地址的第二流表。

14.根据权利要求13所述的装置，其特征在于，地址接收模块，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

15.根据权利要求12所述的装置，其特征在于，地址接收模块，进一步用于接收各个OpenFlow交换机上报的自身Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

16.一种建立隧道的装置，其特征在于，该装置包括在SDN架构中的OpenFlow交换机运行的如下模块：

地址上报模块，用于向SDN控制器上报自身的IP地址；

第一流表接收单元，用于从SDN控制器接收指定匹配项为目的OpenFlow交换机的IP地址的出端口的第一流表；

其中作为边缘交换设备的OpenFlow交换机进一步包括隧道建立模块，用于从SDN控制器接收用于在所述边缘交换设备之间建立通用路由协议封装GRE隧道的隧道信息，并基于所述隧道信息建立隧道转发表。

17.根据权利要求16所述的建立隧道的装置，其特征在于，进一步包括：

第二流表接收模块，用于从SDN控制器接收用于过滤非法源IP地址的第二流表。

18.根据权利要求17所述的建立隧道的装置，其特征在于，地址上报模块，进一步用于向SDN控制器上报自身的Mac地址；

所述第二流表包括匹配项为源IP地址和源Mac地址、动作为允许通过的第一表项以及匹配项为源IP地址、动作为不允许通过的第二表项；

其中第一表项的优先级高于第二表项的优先级。

19.根据权利要求16所述的建立隧道的装置，其特征在于，地址上报模块，进一步用于向SDN控制器上报自身的Mac地址；

所述隧道信息包括隧道本端IP地址、隧道对端IP地址、隧道本端Mac地址、隧道对端Mac地址、隧道本端到隧道对端的下一跳的Mac地址、隧道对端到隧道本端的下一跳的Mac地址和隧道标识。

20.根据权利要求16所述的建立隧道的装置，其特征在于，

所述隧道转发表包括入隧道表项和出隧道表项；

所述隧道建立模块位于隧道本端的边缘交换设备，用于基于所述隧道信息生成入隧道表项和出隧道表项；其中：

所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为隧道本端IP地址、隧道目的IP地址为隧道对端IP地址、隧道源Mac地址为隧道本端Mac地址、隧道目的Mac为隧道本端到隧道对端的下一跳的Mac地址；

所述出隧道表项的匹配项为作为隧道源IP地址的隧道对端IP地址和作为隧道目的IP地址的隧道本端IP地址，动作为弹掉隧道头。

21.根据权利要求16所述的建立隧道的装置，其特征在于，

所述隧道转发表包括入隧道表项和出隧道表项；

所述隧道建立模块位于隧道对端的边缘交换设备，用于基于所述隧道信息生成所述入隧道表项和出隧道表项；其中：

所述入隧道表项的匹配项为报文的目的Mac地址或目的IP地址，动作为给所述报文增加隧道头，而且指定隧道源IP地址为所述隧道对端IP地址、隧道目的IP地址为所述隧道本端IP地址、隧道源Mac地址为所述隧道对端Mac地址、隧道目的Mac为隧道对端到隧道本端的下一跳的Mac地址；

所述出隧道表项的匹配项为作为隧道源IP地址的隧道本端IP地址和作为隧道目的IP地址的隧道对端IP地址，动作为弹掉隧道头。