CN104348693A - 一种实现用户设备二层隔离的方法、装置及路由设备 - Google Patents

Abstract

本发明实施例提供一种实现用户设备二层隔离的方法、装置及路由设备。所述方法包括：在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。本发明实施例提供支持用户设备二层隔离的另一种实现方式。

Description

一种实现用户设备二层隔离的方法、装置及路由设备

技术领域

本发明涉及传输与IP领域，尤其涉及一种实现用户设备二层隔离的方法、装置及路由设备。

背景技术

IEEE802.1Q标准对Ethernet帧格式进行了修改，在源MAC地址字段和协议类型字段之间加入4字节的802.1Q Tag（以下简称Tag）。QinQ（802.1Q-in-802.1Q）技术是一项扩展VLAN空间的技术，通过在802.1Q标签数据帧的基础上再增加一层802.1Q的标签头来达到扩展VLAN空间的功能。

子接口（subinterface）是通过协议和技术将一个物理接口（interface）虚拟出来的多个逻辑接口。

终结子接口是指设备的子接口对数据帧的单层或者双层Tag进行识别，然后根据后续的转发行为对单层或者双层Tag进行剥离或继续传送。如果路由子接口是对数据帧的单层Tag终结，那么该子接口称为Dot1q终结子接口。如果路由子接口是对数据帧的双层Tag终结，那么该子接口称为QinQ终结子接口。终结子接口具体的实现方法、功能和具体的应用场景有一定关系。

随着以太网技术在运营商网络中的大量部署，利用终结子接口和VLAN技术（特别是QINQ技术）对用户设备进行隔离和标识得到很大应用。

一般来说，无论是Dot1q终结子接口，还是为QinQ终结子接口，也即无论是采用单层Tag或者双层Tag来隔离用户设备，都需要为每个用户设备分配独立的VLAN或QINQ资源，因此十分消耗VLAN/QINQ资源，也增加了业务规划和管理复杂度。

虽然也有采用VLAN端口隔离等技术来实现二层隔离，但此技术只对物理接口有效，经过上层二层设备的汇聚后就实现不了二层隔离。

相关背景知识还可参见IEEE802.1Q（IEEE局域和城域网标准：虚拟桥接局域网；IEEE standard for local and metropolitan area networks:Virtual BridgedLocal Area Networks）和IEEE802.1ad（虚拟桥接局域网：提供者桥；VirtualBridged Local Area Networks:Provider Bridges）标准规范文本。

发明内容

有鉴于此，本发明实施例的目的是提供一种实现用户设备二层隔离的方法、装置及路由设备，以提供支持用户设备二层隔离的另一种实现方式。

为解决上述技术问题，本发明实施例提供方案如下：

本发明实施例提供一种实现用户设备二层隔离的方法，用于路由设备，包括：

在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

优选地，所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

优选地，所述第一数据帧由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

优选地，所述三层数据由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

优选地，所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

优选地，所述对所述第一数据帧添加第一标签，得到第一VLAN帧具体包括：

判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

本发明实施例还提供一种实现用户设备二层隔离的装置，用于路由设备，包括：

添加模块，用于在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

发送模块，用于向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

优选地，所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

优选地，所述第一数据帧由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

优选地，所述三层数据由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

优选地，所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

优选地，所述添加模块具体包括：

判断单元，用于判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

第一添加单元，用于当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

第二添加单元，用于当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

本发明实施例还提供一种包括以上所述的实现用户设备二层隔离的装置的路由设备。

从以上所述可以看出，本发明实施例至少具有如下有益效果：

通过在获取到需要发送给第一用户设备的第一数据帧时，对其添加第一标签得到第一VLAN帧，向接入交换机发送第一VLAN帧，使得接入交换机能够将第一VLAN帧剥离所述第一标签后发送给所述第一用户设备，又所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签，从而使第一用户设备对其它用户设备的数据帧不可见，从而实现了用户设备的二层隔离。

附图说明

图1表示本发明实施例提供的一种实现用户设备二层隔离的方法的步骤流程图；

图2表示本发明实施例的较佳实施方式提供的基于混合（hybrid）终结子接口实现用户二层隔离的系统的结构图；

图3表示本发明实施例提供的一种实现用户设备二层隔离的装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明实施例进行详细描述。

图1表示本发明实施例提供的一种实现用户设备二层隔离的方法的步骤流程图，参照图1，本发明实施例提供一种实现用户设备二层隔离的方法，用于路由设备，包括如下步骤：

步骤101，在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

步骤102，向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

可见，通过在获取到需要发送给第一用户设备的第一数据帧时，对其添加第一标签得到第一VLAN帧，向接入交换机发送第一VLAN帧，使得接入交换机能够将第一VLAN帧剥离所述第一标签后发送给所述第一用户设备，又所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签，从而使第一用户设备对其它用户设备的数据帧不可见，从而实现了用户设备的二层隔离。

其中，标签例如：802.1Q Tag或QinQ Tag等。

这里，所述接入交换机对于待剥离其带有的标签后发送给某用户设备的某VLAN帧，会先判断该VLAN帧带有的标签是否为所述接入交换机对来自该用户设备之外的任一其它用户设备的数据帧所打的标签，如果是，则丢弃该VLAN帧，否则，将该VLAN帧剥离其带有的标签后发送给该用户设备。

在本发明实施例中，所述接入交换机对来自不同用户设备的数据帧所打的标签可以不同。或者，为了节省标签资源，提高VLAN/QINQ资源的利用率，可以有：

所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

在本发明实施例中，所述第一数据帧可以由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

进一步地，所述三层数据可以由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

在本发明实施例中，考虑到在现有路由器基础上的平滑过渡，减少路由器设计和实现上的复杂度，可以有：

所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

进一步地，所述对所述第一数据帧添加第一标签，得到第一VLAN帧具体可以包括：

判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

为将本发明实施例阐述得更加清楚明白，下面提供本发明实施例的较佳实施方式。

本较佳实施方式提供了一种基于hybrid终结子接口实现用户设备二层隔离的方法，实现了穿越多个二层设备的隔离，把VLAN/QINQ资源的利用率从以用户为单位提高到以一组用户为单位，实现了同一组用户，无论用户多少，只需要2个公用VLAN/QINQ资源即可隔离，提高了VLAN/QINQ资源的利用率，减轻了业务规划和管理复杂度。

根据本较佳实施方式的方法，首先要在路由器上实现hybrid终结子接口功能。方法是在普通终结子接口下增加一个新属性：下行VLAN，并且和终结VLAN呈配对关系。此时对于下行数据流，Tag需要封装其终结VLAN对应的配对下行VLAN，然后发送给用户设备。

hybrid终结子接口下行VLAN配置规则如下：

1）一个终结VLAN，最多只能配置一个配对下行VLAN。

2）不同终结VLAN，可以配置相同的配对下行VLAN。

3）内层终结VLAN配对内层下行VLAN，外层终结VLAN配对外层下行VLAN。

hybrid终结子接口发送数据流给用户设备前，Tag需要封装其终结VLAN对应的配对下行VLAN，封装规则如下：

1）如果终结VLAN配置了配对下行VLAN，封装其配对下行VLAN。

2）如果终结VLAN没有配置配对下行VLAN，封装该终结VLAN。

3）此处的VLAN既可以是单层Tag也可以是双层Tag。

和Dot1q终结子接口、QinQ终结子接口一样，hybrid终结子接口支持IP转发、支持ARP代理等功能。

本较佳实施方式还提供了基于hybrid终结子接口实现用户设备二层隔离的系统，该系统包括：路由设备、交换机和用户设备（和用户设备直连的交换机称为接入交换机）。其中，交换机通过自身的上行端口与路由设备的下行端口相连；接入交换机通过自身不同的下行端口与多个用户设备相连、通过自身的上行端口与交换机或者路由设备的下行端口相连。如图2所示（以单层Tag为例）。注意图中的交换机包括接入交换机和非接入交换机，实际中可以没有非接入交换机，也可以是一台或者多台非接入交换机。

具体实现方法是，在路由设备配置hybrid终结子接口，VLAN1是终结VLAN，VLAN2是VLAN1的配对VLAN，且VLAN1、VLAN2数值不同。在接入交换机下行端口配置VLAN1为其PVID。各个设备详细的端口配置见表1。

表1

根据上表，用户设备1的上行数据帧进入接入交换机后，被打上PVID，也就是VLAN1，然后通过接入交换机上行端口到达交换机的下行端口，再通过交换机的上行端口到达路由设备的hybrid终结子接口，hybrid终结子接口剥掉MAC地址和Tag信息VLAN1，根据数据的目的IP地址查找路由表进行三层转发。对于下行的数据流，路由设备根据ARP表项信息和VLAN配对信息，对IP数据帧进行MAC地址及VLAN封装（封装配对的VLAN2），然后通过下行接口发给交换机，交换机再通过下行接口发给接入交换机，接入交换机在其自身的下行端口剥离VLAN2后发送给用户设备1。用户设备2的上下行数据流同样如此。

按照上述配置完成后，可以实现用户设备1和用户设备2以hybrid终结子接口为网关，通过hybrid终结子接口穿越多个二层设备进行网络接入的应用，同时用户设备1和用户设备2在二层是隔离的。因为用户设备1的数据帧进入接入交换机后，被打上VLAN1，又因为交换机下行端口只允许Tag为VLAN2的帧通过，所以VLAN1被接入交换机或者交换机上的下行端口丢弃了，故不能传送给用户设备2。用户设备2同样如此。

本较佳实施方式提供了一种通过给用户数据数据帧封装不同上下行VLAN的方法来实现穿越多个二层设备的二层隔离、三层互通技术。该方法主要包括：用户设备的上行数据帧进入接入交换机后封装第一VLAN，在中间交换机上采用hybrid接口允许第一VLAN只能上行通过，一直到达网关路由设备的hybrid终结子接口，然后三层转发；对于发送给用户设备的下行数据帧，到达网关路由设备后，由其hybrid终结子接口封装第二VLAN，中间交换机采用hybrid接口允许第二VLAN只能下行通过，一直到达最接近用户设备的接入交换机，由其剥离第二VLAN后发给用户设备。本较佳实施方式实现了只需要2个公用VLAN资源即可二层隔离海量用户设备的方法，大大提高了VLAN资源的利用率。

图3表示本发明实施例提供的一种实现用户设备二层隔离的装置的结构示意图，参照图3，本发明实施例还提供一种实现用户设备二层隔离的装置，用于路由设备，包括：

添加模块301，用于在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

发送模块302，用于向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

可见，通过在获取到需要发送给第一用户设备的第一数据帧时，对其添加第一标签得到第一VLAN帧，向接入交换机发送第一VLAN帧，使得接入交换机能够将第一VLAN帧剥离所述第一标签后发送给所述第一用户设备，又所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签，从而使第一用户设备对其它用户设备的数据帧不可见，从而实现了用户设备的二层隔离。

在本发明实施例中，可以有：所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

在本发明实施例中，可以有：所述第一数据帧由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

进一步地，可以有：所述三层数据由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

在本发明实施例中，可以有：所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

进一步地，所述添加模块具体可以包括：

判断单元，用于判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

第一添加单元，用于当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

第二添加单元，用于当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

本发明实施例还提供一种路由设备，所述路由设备包括以上所述的实现用户设备二层隔离的装置。

以上所述仅是本发明实施例的实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明实施例原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明实施例的保护范围。

Claims (13)

1.一种实现用户设备二层隔离的方法，用于路由设备，其特征在于，包括：

在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

2.如权利要求1所述的方法，其特征在于，所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

3.如权利要求1所述的方法，其特征在于，所述第一数据帧由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

4.如权利要求3所述的方法，其特征在于，所述三层数据由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

5.如权利要求1所述的方法，其特征在于，所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

6.如权利要求5所述的方法，其特征在于，所述对所述第一数据帧添加第一标签，得到第一VLAN帧具体包括：

判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

7.一种实现用户设备二层隔离的装置，用于路由设备，其特征在于，包括：

添加模块，用于在获取到需要发送给第一用户设备的第一数据帧时，对所述第一数据帧添加第一标签，得到第一VLAN帧；

发送模块，用于向接入交换机发送所述第一VLAN帧，使得所述接入交换机能够将所述第一VLAN帧剥离所述第一标签后发送给所述第一用户设备；

其中，所述路由设备对需要发送至任一用户设备的数据帧所打的标签均为所述第一标签，所述第一标签不同于所述接入交换机对来自任一用户设备的数据帧所打的标签。

8.如权利要求7所述的装置，其特征在于，所述接入交换机对来自任一用户设备的数据帧所打的标签均相同。

9.如权利要求7所述的装置，其特征在于，所述第一数据帧由所述路由设备对第二用户设备发送给所述第一用户设备的三层数据进行封装后获得。

10.如权利要求9所述的装置，其特征在于，所述三层数据由所述路由设备从来自所述接入交换机的第二VLAN帧中解封装得到，所述第二VLAN帧为所述接入交换机对接收到的来自所述第二用户设备的数据帧添加第二标签后得到。

11.如权利要求7所述的装置，其特征在于，所述接入交换机对来自所述第一用户设备的数据帧所打的标签为：所述路由设备的终结子接口下，所述第一用户设备对应的终结VLAN属性的取值；

所述第一标签为：所述路由设备的终结子接口下，所述第一用户设备对应的下行VLAN属性的取值；

其中，所述终结VLAN属性与所述下行VLAN属性配对。

12.如权利要求11所述的装置，其特征在于，所述添加模块具体包括：

判断单元，用于判断所述终结VLAN属性是否配置为与所述下行VLAN属性配对，获取一判断结果；

第一添加单元，用于当所述判断结果为是时，将所述下行VLAN属性的取值作为所述第一标签添加到所述第一数据帧，得到所述第一VLAN帧；

第二添加单元，用于当所述判断结果为否时，将所述终结VLAN属性的取值作为第三标签添加到所述第一数据帧，得到第三VLAN帧，并向所述接入交换机发送所述第三VLAN帧，使得所述接入交换机能够从所述第三VLAN帧中解析出所述第三标签，并根据解析出的所述第三标签，丢弃所述第三VLAN帧。

13.一种路由设备，其特征在于，包括如权利要求7至12中任一项所述的实现用户设备二层隔离的装置。