CN105262685A

CN105262685A - 一种报文处理方法和装置

Info

Publication number: CN105262685A
Application number: CN201410332388.5A
Authority: CN
Inventors: 刘新民
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2014-07-14
Filing date: 2014-07-14
Publication date: 2016-01-20
Anticipated expiration: 2034-07-14
Also published as: US20170180274A1; CN105262685B; US10686733B2; WO2016008394A1

Abstract

本申请公开了一种报文处理方法，该方法包括：控制设备接收到接入交换设备上送的报文，且确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，向该接入交换设备发送绑定该VM的地址信息的指令，使该接入交换设备在接收该报文的端口上双向绑定该VM的地址信息。基于同样的发明构思，本申请还提出一种报文处理装置，能够感知到各服务器的每个VM的接入位置，保证了网络的安全策略控制跟随与下发。

Description

一种报文处理方法和装置

技术领域

本申请涉及通信技术领域，特别涉及一种报文处理方法和装置。

背景技术

随着数据中心业务日益增加，用户需求不断提高，数据中心的规模和功能日趋复杂，管理难度也越来越高。在这一背景下，整合数据中心、降低数据中心的管理成本，充分挖掘现有资源能力以适应更高的业务需求，成为企业数据中心的重要任务。对数据中心资源进行虚拟化，成为目前数据中心整合的重要趋势。

虚拟化技术通过对物理资源和提供的服务进行抽象化，让资源使用者和系统管理者不关心对象的物理特征和服务边界的细节，从而降低资源使用和管理的复杂度，提高使用效率。因而，对数据中心的虚拟化，能够提高数据中心的资源利用率(如CPU利用率、存储容量等)，降低系统的能耗，并减少系统的设计、运行、管理、维护成本，从而实现整合的目标。

当前的主流虚拟化技术大多是针对X86服务器的，如虚拟机软件(VMWare)、开放源代码虚拟机(XEN)、基于内核的虚拟机(Kernel-basedVirtualMachine，KVM)等虚拟化软件，均支持Intel和AMD的主流X86CPU服务器。

这种X86服务器虚拟化，非常容易基于开放标准IEEE802.1Qbg、802.1BR等技术开发出虚拟交换机，使得虚拟交换机与外部网络设备配合，在虚拟机迁移过程中，物理网络设备能够感知虚拟机(VM)的迁移，从而网络安全策略也可以自动跟随。

但在非X86架构的服务器环境中，如IBM的p系列小型机，其虚拟化(powerVM)是完全封闭的，虽然这种虚拟化在技术形式上与VMWare、XEN、KVM等非常相似，但目前还没有相应的软件产品来支持类似802.1Qbg的虚拟化网络感知，因此在企业的虚拟化环境中，针对小型机的这种封闭系统缺乏自动化安全控制方案，数据中心安全存在不足。

发明内容

有鉴于此，本申请提供一种报文处理方法和装置，能够感知到每个服务器的虚拟机的接入位置，保证了网络的安全策略控制跟随与下发。

为解决上述技术问题，本申请的技术方案是这样实现的：

一种报文处理方法，所述方法包括：

控制设备接收到接入交换设备上送的报文，且确定该报文携带的虚拟机VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，向该接入交换设备发送绑定该VM的地址信息的指令，使该接入交换设备在接收该报文的端口上双向绑定该VM的地址信息；

其中，VM的地址信息包括：虚拟局域网标识VLANID、因特网协议IP地址和媒体访问控制MAC地址。

一种报文处理装置，所述装置包括：接收单元、确定单元和发送单元；

所述接收单元，用于接收接入交换设备上送的报文；

所述确定单元，用于确定所述接收单元接收的报文携带的虚拟机VM的地址信息是否在该接入交换设备接收该报文的端口上绑定；

所述发送单元，用于当所述确定单元确定该VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，向该接入交换设备发送绑定该VM的地址信息的指令，使该接入交换设备在接收该报文的端口上双向绑定该VM的地址信息；其中，VM的地址信息包括：虚拟局域网标识VLANID、因特网协议IP地址和媒体访问控制MAC地址。

综上所述，本申请通过控制设备在接收到接入交换上送的虚拟机发送的报文时，根据报文携带的VM的地址信息能够感知到每个服务器的虚拟机的接入位置，保证了网络的安全策略控制跟随与下发。

附图说明

图1为本申请具体实施例中的网络系统示意图；

图2为本申请具体实施例中报文处理方法流程示意图；

图3为本申请实施例中VM1请求VM2的MAC地址的流程示意图；

图4为本申请具体实施例中VM1向VM2发送数据报文的流程示意图；

图5为本申请具体实施例中包含报文处理装置的控制设备的硬件结构示意图。

具体实施方式

为使本申请的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本申请所述方案作进一步地详细说明。

本申请实施例中提出一种报文处理方法，控制设备在接收到接入交换上送的虚拟机发送的报文时，根据报文携带的VM的地址信息，能够感知到各服务器的每个虚拟机的接入位置，保证了网络的安全策略控制跟随与下发。

本申请在具体实现时对服务器的架构不进行限制，可以是开放的X86架构服务器，也可以是封闭的小型机环境。

参见图1，图1为本申请具体实施例中的网络系统示意图。图1中以包括两个服务器(服务器1和服务器2)、两个接入交换设备(接入交换设备1和接入交换设备2)、一个控制设备和网关设备。如果仅进行二层报文交互，可以新增网关设备实现；如果既进行二层报文交互，也进行三层报文交互，则可以使用网络中原有的网关设备，也可以新增网关设备，再使用该网关设备与网络中原有的网关设备相连。

下面先描述一下对各个设备的配置：

(1)、对服务器进行如下配置：

各服务器中配置多个VM和一个虚拟交换机，每个VM的虚拟网卡连接到该虚拟交换机上，并为每个VM分配不同的VLANID，即为各VM分配的VLANID全局唯一。

在配置各VM时，配置各VM的MAC地址和IP地址，这样，为该VM分配VLANID后，将为任一VM分配的VLANID、MAC地址和IP地址进行绑定存储。

为各VM分配的VLANID用于标记一个VM，如果一个VM带多个虚拟网卡时，为每个虚拟网卡分配一个VLANID、一个MAC地址和一个IP地址。

本申请中使用VLAN标识不同的VM，是为了使各VM之间二层隔离，使用控制设备来决定VM之间的报文转发，如果使用IP地址，或者MAC地址等信息绑定，VM可能处于同一个VLAN中，同一个VLAN中的VM之间能够直接通信，不受控制设备的控制，本申请的宗旨是希望通过控制设备集中控制处理VM之间的报文交互。

任一服务器中的虚拟交换机上分配两个端口属于为各VM配置的VLAN，其中一个端口连接该VLAN标记的VM的虚拟网卡，一个端口连接到服务器的物理网卡，并通过该物理网卡与接入交换设备相通。

以图1中服务器1的配置为例：服务器1上配置三个VM，分别是VM1、VM3和VM5，以及虚拟交换机1。为各VM分配全局唯一的VLANID。以VM1为例，为VM1分配的MAC地址MAC1、IP地址IP1和VLAN1，VM1的虚拟网卡连接到虚拟交换机1上，虚拟交换机1的端口1和端口2加入VLAN1，这两个端口只允许属于VLAN1的报文通过，虚拟交换机1通过端口2连接到服务器的物理网卡上。

(2)、对接入交换设备进行如下配置：

接入交换设备配置控制协议，如Openflow协议，或配置协议，如Netcinf协议。

接入交换设备可以在本地直接配置报文处理规则，该报文处理规则具体为：在某个端口上接收到报文时，确定该报文携带的VM的地址信息是否在该接收端口上已绑定，如果是，确定接收该报文，根据报文内容进行处理；否则，将该报文上送控制设备，由控制设备确定该接入交换设备是否接收并处理该报文。

接入交换设备上配置的报文处理规则，也可以由控制设备下发给接入交换设备，接入交换设备将该报文处理规则在本地生效。

本申请具体实施时，为实现控制设备的集中控制，还需在接入交换设备上配置，在接收到ARP请求报文时，上送控制设备，由控制设备来响应该ARP请求报文。

接入交换设备在接收到VM发送的报文时，当接收该报文的端口未绑定该VM的地址信息时，上送控制设备处理；当接收该报文的端口绑定了该VM的地址信息时，但是本地不存在处理该报文的流转发表时，也上送控制设备处理，总之，接入交换设备本地不存控制设备下发的处理该接收到的报文的相关信息时，都上送控制设备，由控制设备来控制并处理该报文。

(3)、对控制设备的配置具体如下：

控制设备对各服务器的每个VM绑定存储其MAC地址、IP地址和VLANID，各VM的VLANID全局唯一，一个VLANID标识一个VM；并且绑定存储网关设备的MAC地址和IP地址，以及网关设备实现报文转发的方式：虚拟端口的方式或超VLAN(SuperVLAN)的方式；网关设备与各接入交换设备连接的物理端口；如果以SuperVLAN方式实现，获知其上运行的主VLAN。

(4)、网关设备，用于实现各VM之间的二层互通，以及各VM的三层转发。在实现时，可以使用SuperVLAN方式，也可以使用虚拟端口方式。

参见图2，图2为本申请具体实施例中报文处理方法流程示意图。具体步骤为：

步骤201，控制设备接收到接入交换设备上送的报文。

接入交换设备在上送报文时，如果由于接收该报文的端口未绑定该报文携带的VM的地址信息时，将接收该报文的端口同时上送控制设备，从而使控制设备获知哪个接入交换设备在哪个端口上接收到的该报文。

其中，VM的地址信息包括：虚拟局域网标识VLANID、因特网协议IP地址和媒体访问控制MAC地址。VM的地址信息中的IP地址为该报文的源IP地址，MAC地址为该报文的源MAC地址，VLANID为该报文所属的VLAN的标识。

步骤202，该控制设备确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，向该接入交换设备发送绑定该VM的地址信息的指令，使该接入交换设备在接收该报文的端口上双向绑定该VM的地址信息。

控制设备向该接入交换设备发送绑定该VM的地址信息的指令时，在本地记录存储该VM的地址信息与端口的绑定关系，即记录在该端口上绑定了该VM的地址信息。该端口为交换设备上送的交换设备接收该报文的端口。

控制设备确定该报文携带的VM的地址信息是否已在该接入交换设备接收该报文的端口上绑定，即确定本地是否记录该端口与该VM的地址信息的绑定关系。

当控制设备确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，同时还需确定本地存储的VM的地址信息中是否包括该报文携带的VM的地址信息，如果是，向该接入交换设备发送绑定该VM的地址信息的指令；否则，向该接入交换设备下发不接收该报文的指令，使该接入交换设备丢弃该报文。即进一步确定该VM是否由该控制设备控制，是否为非法报文等。

当控制设备确定该报文携带的VM的地址信息在该接入交换设备接收该报文的端口上绑定时，不再需要下发绑定指令。

当控制设备确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定，且进一步确定该VM的地址信息已在其他端口上绑定(说明该VM发生过迁移)，则通知当前绑定该VM的地址信息的端口所在的接入交换设备删除绑定，使该接入交换设备删除在对应端口上绑定的该VM的地址信息；同时更新本地记录的该VM的地址信息与端口的绑定关系。

接入交换设备接收到控制设备下发的绑定VM的地址信息的指令时，在接收该报文的端口上双向绑定该VM的地址信息。这里的双向绑定即在该端口的入方向和出方向上都绑定该源信息，在该端口的入方向上绑定该VM的地址信息后，允许接收该VM发送的报文；在出方向上绑定该VM的地址信息后，允许发送目的为该VM的报文。

这样控制设备既能感知到VM的位置，也能控制各个VM，并且该控制设备能够过滤掉控制的VM之外的设备发送的报文；并且在VM发生迁移后，也能及时感应到VM迁移前和迁移后的位置。

上述处理为对接收报文的端口是否绑定该VM的地址信息的处理，下面根据该上送的报文的类型和内容对该报文进行相应处理，具体举例如下：

(1)，当该报文为VM之间发送的集群报文时，下发流转发表用于转发该集群报文。

(2)，当该报文为ARP报文时，该控制设备向该接入交换设备发送该ARP请求报文的目标端IP地址对应的MAC地址，使该接入交换设备通过绑定端口响应给发送该ARP请求报文的VM。

本申请具体实现时，当该ARP请求报文的发送端IP地址为某个VM的IP地址，则将该VM的MAC地址响应给发送ARP请求报文的VM；当该ARP请求报文的发送端IP地址为网关设备的IP地址，或者不为网关设备的IP地址也不为任一VM的IP地址时，将网关设备的MAC地址响应给发送该ARP请求报文的VM。

该控制设备向该接入交换设备发送MAC地址时，可以通过ARP应答报文，也可以通过协议报文发送，如果通过协议报文发送时，该协议报文的目的MAC地址为发送ARP请求报文的MAC地址，目的IP地址为发送ARP请求报文的IP地址，并携带分配给发送该ARP请求报文的VM的VLANID。

(3)、当该报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备。

本申请具体实现时，在网关设备上提供两种实现方式，第一种为超VLAN方式，第二种为虚拟端口方式，下面分别说明在这两种方式下，控制设备在下发流表的同时还需要的处理：

第一种方式具体处理如下：

该控制设备通知该网关设备在对应物理端口上创建子VLAN，并在本地记录该子VLAN与该物理端口的对应关系；该子VLAN的VLANID与该数据报文携带的VLANID相同。

该控制设备将主VLANID、子VLANID和数据报文的源MAC地址下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，子VLANID与该数据报文携带的VLANID相同。

如果该VM发生过迁移，之前已在其他位置上进行过数据报文的发送，即确定已创建与该VM的地址信息中的VLANID相同的子VLAN，该控制设备还需要通知所述网关设备删除已创建的与该VM的地址信息中的VLANID相同的子VLAN，使网关设备在对应物理端口上删除创建的该子VLAN。

网关设备接收到控制设备下发的MAC地址、主VLANID和子VLANID时，生成该MAC地址的转发表项(MAC地址、主VLANID和子VLANID)。

网关设备接收到数据报文时，根据该数据报文的目的MAC地址，在本地MAC转发表中查找，根据查找到的MAC地址转发表项进行转发，即从该MAC地址对应的主VLAN下的子VLAN所在的物理端口转发给接入交换设备。

如果该数据报文的目的MAC地址为网关设备的MAC地址，则触发该数据报文的IP转发。

第二种方式具体处理如下：

该控制设备通知网关设备在对应物理端口上创建虚拟端口，同时记录虚拟端口与物理端口以及VLANID的对应关系，并将该虚拟端口和该数据报文携带的VLANID发送该网关设备，使该网关设备在该虚拟端口上剥离该数据报文的VLAN。

该控制设备将虚拟端口、VNI和该数据报文的源MAC地址的对应关系下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，所述虚拟端口为在对应物理端口上创建的虚拟端口，VNI为该虚拟端口所属的VNI。

如果该VM发生过迁移，之前已在其他位置上进行过数据报文的发送，即确定已创建与该VM的地址信息中VLANID对应的虚拟端口时，通知所述网关设备删除已创建的与该数据报文携带的VLANID对应的虚拟端口，使网关设备在对应物理端口上删除已创建的该虚拟端口。

网关设备接收到控制设备下发的虚拟端口和VLANID时，在本地绑定存储虚拟端口和VLANID的对应关系。

网关设备当通过该虚拟端口接收到数据报文时，确定该数据报文携带的VLANID是否为与该虚拟端口绑定的VLANID，如果是，剥离该数据报文的VLANID，进行报文处理；否则，直接丢弃该数据报文。

其中，网关设备的对应物理端口为，该网关设备接收该数据报文的端口。控制设备向接入交换设备下发流转发表时，时该数据报文由接入交换设备转发给网关设备时，网关设备接收该数据报文的端口。

该网关设备接收到控制设备下发的虚拟端口、VNI和该数据报文的源MAC地址时，在本地生成该MAC地址的MAC地址转发表项(源MAC地址、虚拟端口、VNI)。

该网关设备接收到数据报文时，该数据报文在对应虚拟端口上剥离了VLAN，则根据该数据报文的目的MAC地址在本地的MAC地址转发表中查找，并通过查找到的虚拟端口将该数据报文转发给接入交换设备。

当该数据报文的目的MAC地址为网关设备的MAC地址时，直接触发IP转发。

当服务器上的VM发生迁移时，具体处理过程如下：

VM迁移后，已学习到的ARP表项不变。当该VM需要向未学习到AMC地址的对端发送数据报文时，同上文描述若本地配置了对端IP地址，则直接发送数据报文；若本地未配置对端IP地址，通过ARP请求报文获得对应MAC地址之后，进行数据报文转发；当该VM需要向已学习到ARP表项的对端进行数据报文发送时，根据ARP表项中的MAC地址进行数据报文的发送，并通过与该VM相连的虚拟交换机转发给接入交换设备。

接入交换设备接收到该数据报文，发现接收该数据报文的端口未绑定该数据报文携带的VM的地址信息时，将该数据报文上送控制设备。控制设备的具体处理过程同上文，这里不再赘述。

下面仍然以图1为例，结合附图，详细描述VM之间的数据报文转发过程。

参见图3，图3为本申请实施例中VM1请求VM2的MAC地址的流程示意图。具体步骤为：

步骤301，服务器1中的VM1发送ARP请求报文请求VM2的MAC地址。

一般情况下，VM1向VM2发送数据报文时，如果没有记录VM2的MAC地址，会先向对发送ARP请求报文请求VM2的MAC地址，如果已经记录了VM2的MAC地址，则会直接发送数据报文。

该ARP请求报文的L2头中的源MAC地址为VM1的MAC1，目的MAC地址为全F的地址(即广播MAC地址)；ARP请求报文体中的发送端IP地址为IP1，目标端IP地址为VM2的IP地址IP2，发送端MAC地址为MAC1，目标端MAC地址为全0的地址(即无效MAC地址)；并携带为VM1分配的VLAN1。

本实施例为VM1要进行二层转发，如果VM1要进行三层转发时，目标端IP地址为网关设备的IP地址，用以获得网关设备的MAC地址。

步骤302，服务器1将该ARP请求报文通过虚拟交换机1上属于VLAN1的端口转发给接入交换设备1。

步骤303，接入交换设备1通过端口1接收到该ARP请求报文时，确定端口1是否绑定该ARP报文携带的VM1的地址信息，如果是，执行步骤304；否则，执行步骤305。

步骤304，接入交换设备1确定该报文为ARP报文。

步骤305，接入交换设备1将该ARP请求报文上送控制设备。

接入交换设备在接收到报文时，本申请的具体实现时有三种情况下的报文需要上送控制设备：

第一种，接收报文的端口未绑定该报文携带的VM的地址信息。

第二种，接收报文的端口绑定了该报文携带的VM的地址信息，且该报文为ARP报文。

第三中，接收报文的端口绑定了该报文携带的VM的地址信息，该报文为数据报文，且在本地查找不到转发该报文的流转发表。

在本申请实施例中需要查找流转发表的报文均称为数据报文，如集群报文。

接入控制设备1在上送ARP报文时，还需上送接收报文的端口的信息。

步骤306，控制设备接收到该ARP请求报文时，在本地存储的VM的地址信息中，查找是否存在VM1的地址信息，如果是，执行步骤308；否则，执行步骤307。

步骤307，控制设备向接入交换设备1发送不接收该ARP报文，接入交换设备1将该ARP报文丢弃，结束本流程。

步骤308，控制设备确定VM1的地址信息是否已在接入交换设备的端口1上绑定，如果是，执行步骤312；否则，执行步骤309。

步骤309，控制设备确定VM1的地址信息是否已在其他端口上绑定，如果是，执行步骤310；否则，执行步骤311。

步骤310控制设备通知已绑定VM1的端口所在的接入交换设备删除绑定。该接入交换设备删除在对应端口上绑定的VM1的地址信息。

步骤311，控制设备向该接入交换设备1下发在端口1上双向绑定VM1的地址信息的指令。接入交换设备1在端口1上绑定VM1的地址信息。

控制设备记录交换设备1上的端口1与VM1的地址信息的绑定关系。

步骤312，控制设备将VM2的MAC地址2响应给接入交换设备1。接入交换设备1将控制设备响应的VM2的MAC地址2响应给VM1。

在具体实现时，将VM2的MAC地址2响应给接入交换设备时，可以使用ARP应答报文，该ARP应答报文的L2头中的源MAC地址为VM2的MAC2，目的MAC地址为VM1的MAC1；ARP请求报文体中的发送端IP地址为IP2，目标端IP地址为VM1的IP地址IP1，发送端MAC地址为MAC2，目标端MAC地址为MAC1，并携带为VM1分配的VLAN1。

由于端口1上双向绑定了VM1的地址信息(IP1、VLAN1和MAC1)的对应关系，因此，可以将控制设备下发的ARP响应报文通过该端口发送给服务器，进而转发给VM1。

下面结合附图详细描述VM1向VM2发送数据报文的发送流程：

参见图4，图4为本申请具体实施例中VM1向VM2发送数据报文的流程示意图。具体步骤为：

步骤401，VM1向VM2发送数据报文。

VM1接收到接入交换设备1转发来的ARP响应报文，进行ARP学习，并使用学习到的VM2的MAC2向VM2发送数据报文；如果本地配置了VM的MAC地址，也可以直接使用配置的VM2的MAC地址发送数据报文。

步骤402，接入交换设备1接收到该数据报文，确定接收端口1是否绑定了VM1的地址信息，如果是，执行步骤403；否则，执行步骤405。

步骤403，接入交换设备1在本地查找是否存在转发该数据报文的流转发表，如果是，执行步骤404；否则，执行步骤405。

步骤404，接入交换设备1根据查找到的流转发表转发该数据报文，执行步骤410。

步骤405，接入交换设备1将该数据报文上送控制设备。

步骤406，控制设备接收到该数据报文时，确定是否已根据网关设备的实现方式，向网关设备发送过适应实现方式的操作指令，如果是，执行步骤407；否则，执行步骤408。

控制设备在接收到数据报文时，在确定端口是否已绑定VM1的地址信息的流程，同图3中对ARP报文的确定处理过程类似，这里不再对端口绑定进行相关处理。

当确定已根据网关设备的实现方式，向网关设备发送过适应实现方式的操纵指令，当前又接收到上送的数据报文，说明该VM发生过迁移。

步骤407，控制设备根据网关设备的实现方式，向网关设备发送适应实现方式的删除指令。网关设备接收到该删除指令时，进行适应性的删除。

当网关设备以超VLAN方式实现时：若根据本地记录确定已创建与该数据报文的VLANID相同的子VLAN，则控制设备通知网关设备删除已创建的与该数据报文的VLANID相同的子VLAN。

当网关交换机上以虚拟端口方式实现时：若根据本地记录确定已创建与该VLAN绑定的虚拟端口，则控制设备通知网关设备删除已创建的与该数据报文的VLAN绑定的虚拟端口，以及该VLAN与该虚拟端口的绑定关系。

步骤408，控制设备根据预设规则向接入交换设备1下发流转发表；并根据网关设备的实现方式，向网关设备发送适应实现方式的操作指令。

(1)、当网关设备上以超VLAN方式实现时，控制设备在网关设备上的对应物理端口上创建子VLAN，该子VLAN为该数据报文的携带的VLAN1，并在本地记录在网关设备的哪个端口上创建了哪个子VLAN。

对应物理端口为接入交换设备1根据控制设备下发的流转发表将该数据报文上送到网关设备的物理端口。

控制设备向网关设备下发主VLAN、子VLAN和MAC地址的对应关系，即主VLAN10、子VLAN1和MAC1的对应关系。

(2)、当网关设备通过虚拟端口方式实现时，控制设备在网关设备的对应物理端口上创建虚拟端口，并将虚拟端口同VLAN1的对应关系，以及该虚拟端口同VNI的绑定关系通知网关设备，并在本地记录在网关设备的哪个端口上创建了哪个虚拟端口。

控制设备向网关设备下发MAC地址、虚拟端口和VNI的对应关系，即MAC1、虚拟端口1和VNI1的对应关系。

步骤409，接入交换设备1根据控制设备下发的流转发表将该数据报文转发给网关设备。

步骤410，网关设备接收到该数据报文时，根据本地实现方式处理该报文，并根据控制设备下发的MAC转发表项将该数据报文发送给接入交换设备2。

(1)、当网关设备以超VLAN方式实现时：

网关接入交换设备接收控制设备下发的主VLAN、子VLAN和MAC地址的对应关系，生成该MAC1的MAC转发表项。其中，子VLAN为该数据报文携带的VLAN1，MAC地址为该数据报文的源MAC地址MAC1。

网关设备接收到该数据报文时，在该子VLAN对应的主VLAN中查找目的MAC地址对应的MAC转发表项，并根据查找到的MAC转发表项中对应的子VLAN2修改该数据报文携带的VLAN1，通过属于子VLAN2的端口将该数据报文转发给接入交换设备2。

如果VM1发送的数据报文要经过三层转发，则此时，目的MAC地址为网关设备的MAC地址，则触发IP地址的三层转发。

(2)、当网管交换机上以虚拟端口方式实现时：

网关接入交换设备接收到控制设备下发的MAC地址、虚拟端口和VNI的对应关系，生成该MAC地址的MAC地址转发表项。其中，MAC地址为该数据报文的源MAC地址MAC1，虚拟端口为将要接收该数据报文的虚拟端口1。

网关设备通过虚拟端口1接收到数据报文时，当确定该虚拟端口1与VLAN1绑定时，剥离该数据报文携带的VLAN。

网关接入交换设备根据该数据报文的目的MAC地址在MAC地址转发表中查找到对应的虚拟端口，并为该数据报文携带查找到的虚拟端口对应的VLANID，通过对应的虚拟端口转发。

步骤411，接入交换设备2在本地查找流转发表，如果查找到，则根据查找结果转发给服务器2，服务器2接收到该数据报文时，通过属于VLAN2的端口转发给VM2；如果未查找到，将该数据报文上送控制设备，由控制设备下发流转发表。

下面详细描述服务器上VM迁移相关处理过程：

当服务器2上的VM4迁移到服务器1上时，VM4本地存储的ARP表项保持不变。

VM4需要发送数据报文时，如果存在对端的MAC地址，则直接发送数据报文；如果不存在，则发送ARP请求报文获得对端的MAC地址。

迁移后的VM发送报文同图3和图4中的处理，这里不再详细描述。

本申请具体实施例中的控制设备是可以软硬件结合的可编程设备，从硬件层面而言，具体参见图5，图5为本申请具体实施例中包含报文处理装置的控制设备的硬件结构示意图。控制设备包括：非易失性存储器、CPU、转发芯片和内存；

其中，

非易失性存储器，用于存储指令代码；所述指令代码被CPU执行时完成的操作主要为内存中报文处理装置完成的功能。

CPU，用于与转发芯片通信，进行报文的收发；用于与非易失性存储器通信，读取和执行非易失性存储器中存储的所述指令代码，完成上述报文处理装置中的接收单元、确定单元、发送单元和存储单元完成的功能，以及对从转发芯片上送的报文的处理。

转发芯片，用于通过该芯片上的端口连接到接入交换设备和网关设备，负责报文的收发处理，将CPU发来的指令和流转发表发送给接入交换设备，将接入交换设备发来的报文上送给CPU；

内存，用于与CPU协作运行，使指令代码实例化，形成接收单元、确定单元、发送单元和存储单元以完成上述对报文的处理。

从软件层面而言，应用于控制设备中的报文处理装置包括：接收单元501、确定单元502和发送单元503；

接收单元501，用于接收接入交换设备上送的报文；

确定单元502，用于确定接收单元501接收的报文携带的VM的地址信息是否在该接入交换设备接收该报文的端口上绑定；

发送单元503，用于当确定单元502确定该VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，向该接入交换设备发送绑定该VM的地址信息的指令，使该接入交换设备在接收该报文的端口上双向绑定该VM的地址信息；其中，VM的地址信息包括：虚拟局域网标识VLANID、因特网协议IP地址和媒体访问控制MAC地址。

另外，该装置进一步包括：存储单元504；

存储单元504，用于配置存储各VM的地址信息，对各VM的VLANID、IP地址和MAC地址绑定存储，且各VM的VLANID全局唯一；

确定单元502，进一步用于发送单元503向该接入交换设备发送绑定该VM的地址信息的指令之前，确定存储单元504存储的VM的地址信息中是否包括该报文携带的VM的地址信息；

发送单元503，用于当确定单元502确定存储的VM地址信息中包括该报文携带的VM的地址信息，向该接入交换设备发送绑定该VM的地址信息的指令；否则，向该接入交换设备下发不接收该报文的指令，使该接入交换设备丢弃该报文。

另外，

发送单元503，进一步用于当接收单元501接收到的报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备；同时，通知该网关设备在对应物理端口上创建子VLAN，该子VLAN的VLANID与该数据报文携带的VLANID相同；并将主VLANID、子VLANID和数据报文的源MAC地址下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，子VLANID与该数据报文携带的VLANID相同。

另外，

确定单元502，进一步用于确定是否已创建与该数据报文携带的VM的地址信息中的VLANID相同的子VLAN；

发送单元503，用于当确定单元502确定已创建与该数据报文携带的VM的地址信息中的VLANID相同的子VLAN时，通知所述网关设备删除已创建的与该VM的地址信息中的VLANID相同的子VLAN，使网关设备在对应物理端口上删除创建的该子VLAN。

另外，

发送单元503，进一步用于当接收单元501接收到的报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备；同时，通知网关设备在对应物理端口上创建虚拟端口，并将该虚拟端口和该数据报文携带的VLANID发送该网关设备，使该网关设备在该虚拟端口上剥离该数据报文的VLAN；并将虚拟端口、VNI和该数据报文的源MAC地址的对应关系下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，所述虚拟端口为在对应物理端口上创建的虚拟端口，VNI为该虚拟端口所属的VNI。

另外，

确定单元502，进一步用于确定是否已创建与该VM的地址信息中的VLANID对应的虚拟端口；

发送单元503，进一步用于当确定单元502确定已创建与该VM的地址信息中VLANID对应的虚拟端口时，通知所述网关设备删除已创建的与该数据报文携带的VLANID对应的虚拟端口，使网关设备在对应物理端口上删除已创建的该虚拟端口。

另外，

确定单元502，进一步用于在确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，确定该VM的地址信息是否已在其他端口上绑定；

发送单元503，进一步用于当确定单元502确定该VM的地址信息已在其他端口上绑定时，通知当前绑定该VM的地址信息的端口所在的接入交换设备删除绑定，使该接入交换设备删除在对应端口上绑定的该VM的地址信息。

上述的报文处理装置作为一个逻辑意义上的装置，其是通过CPU将非易失性非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。当对应的计算机程序指令被执行时，形成的报文处理装置用于按照上述方法执行相应操作。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

综上所述，本申请通过控制设备在接收到接入交换上送的虚拟机发送的报文时，根据预先配置的MAC地址、IP地址和VLANID的对应关系，能够感知到每个服务器的虚拟机的接入位置，保证了网络的安全策略控制跟随与下发。

以上所述，仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

1.一种报文处理方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述向该接入交换设备发送绑定该VM的地址信息的指令，之前，所述方法进一步包括：

确定本地存储的VM的地址信息中是否包括该报文携带的VM的地址信息，如果是，执行所述向该接入交换设备发送绑定该VM的地址信息的指令及后续步骤；否则，向该接入交换设备下发不接收该报文的指令，使该接入交换设备丢弃该报文，其中，本地存储的VM的地址信息中，各VM的VLANID全局唯一。

3.根据权利要求1或2所述的方法，其特征在于，所述方法进一步包括：

当该控制设备接收到该接入交换设备上送的报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备；

同时，该控制设备通知该网关设备在对应物理端口上创建子VLAN，该子VLAN的VLANID与该数据报文携带的VLANID相同；

4.根据权利要求3所述的方法，其特征在于，所述方法进一步包括：

当确定已创建与该VM的地址信息中的VLANID相同的子VLAN时，通知所述网关设备删除已创建的与该VM的地址信息中的VLANID相同的子VLAN，使网关设备在对应物理端口上删除创建的该子VLAN。

5.根据权利要求1或2所述的方法，其特征在于，所述方法进一步包括：

同时，通知网关设备在对应物理端口上创建虚拟端口，并将该虚拟端口和该数据报文携带的VLANID发送该网关设备，使该网关设备在该虚拟端口上剥离该数据报文的VLAN；

6.根据权利要求5所述的方法，其特征在于，所述方法进一步包括：

当确定已创建与该VM的地址信息中VLANID对应的虚拟端口时，通知所述网关设备删除已创建的与该数据报文携带的VLANID对应的虚拟端口，使网关设备在对应物理端口上删除已创建的该虚拟端口。

7.根据权利要求1或2所述的方法，其特征在于，所述确定该报文携带的虚拟机VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，若进一步确定该VM的地址信息已在其他端口上绑定，所述方法进一步包括：

通知当前绑定该VM的地址信息的端口所在的接入交换设备删除绑定，使该接入交换设备删除在对应端口上绑定的该VM的地址信息。

8.一种报文处理装置，其特征在于，所述装置包括：接收单元、确定单元和发送单元；

所述接收单元，用于接收接入交换设备上送的报文；

所述确定单元，用于确定所述接收单元接收的报文携带的VM的地址信息是否在该接入交换设备接收该报文的端口上绑定；

9.根据权利要求8所述的装置，其特征在于，所述装置进一步包括：存储单元；

所述存储单元，用于配置存储各VM的地址信息，对各VM的VLANID、IP地址和MAC地址绑定存储，且各VM的VLANID全局唯一；

所述确定单元，进一步用于所述发送单元向该接入交换设备发送绑定该VM的地址信息的指令之前，确定所述存储单元存储的VM的地址信息中是否包括该报文携带的VM的地址信息；

所述发送单元，用于当所述确定单元确定存储的VM地址信息中包括该报文携带的VM的地址信息，向该接入交换设备发送绑定该VM的地址信息的指令；否则，向该接入交换设备下发不接收该报文的指令，使该接入交换设备丢弃该报文。

10.根据权利要求8或9所述的装置，其特征在于，

所述发送单元，进一步用于当所述接收单元接收到的报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备；同时，通知该网关设备在对应物理端口上创建子VLAN，该子VLAN的VLANID与该数据报文携带的VLANID相同；并将主VLANID、子VLANID和数据报文的源MAC地址下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，子VLANID与该数据报文携带的VLANID相同。

11.根据权利要求10所述的装置，其特征在于，

所述确定单元，进一步用于确定是否已创建与该数据报文携带的VM的地址信息中的VLANID相同的子VLAN；

所述发送单元，用于当所述确定单元确定已创建与该数据报文携带的VM的地址信息中的VLANID相同的子VLAN时，通知所述网关设备删除已创建的与该VM的地址信息中的VLANID相同的子VLAN，使网关设备在对应物理端口上删除创建的该子VLAN。

12.根据权利要求8或9所述的装置，其特征在于，

所述发送单元，进一步用于当所述接收单元接收到的报文为数据报文时，为该数据报文下发流转发表，使该接入交换设备根据该流转发表将该数据报文转发给网关设备；同时，通知网关设备在对应物理端口上创建虚拟端口，并将该虚拟端口和该数据报文携带的VLANID发送该网关设备，使该网关设备在该虚拟端口上剥离该数据报文的VLAN；并将虚拟端口、VNI和该数据报文的源MAC地址的对应关系下发给所述网关设备，使所述网关设备生成MAC地址转发表项，并在接收到数据报文时，根据本地的MAC地址转发表进行数据报文的转发，其中，所述虚拟端口为在对应物理端口上创建的虚拟端口，VNI为该虚拟端口所属的VNI。

13.根据权利要求12所述的装置，其特征在于，

所述确定单元，进一步用于确定是否已创建与该VM的地址信息中的VLANID对应的虚拟端口；

所述发送单元，进一步用于当所述确定单元确定已创建与该VM的地址信息中VLANID对应的虚拟端口时，通知所述网关设备删除已创建的与该数据报文携带的VLANID对应的虚拟端口，使网关设备在对应物理端口上删除已创建的该虚拟端口。

14.根据权利要求8或9所述的装置，其特征在于，

所述确定单元，进一步用于在确定该报文携带的VM的地址信息未在该接入交换设备接收该报文的端口上绑定时，确定该VM的地址信息是否已在其他端口上绑定；

所述发送单元，进一步用于当所述确定单元确定该VM的地址信息已在其他端口上绑定时，通知当前绑定该VM的地址信息的端口所在的接入交换设备删除绑定，使该接入交换设备删除在对应端口上绑定的该VM的地址信息。