CN106209653A

CN106209653A - 路由架构

Info

Publication number: CN106209653A
Application number: CN201510289721.3A
Authority: CN
Inventors: 冯熙涛
Original assignee: To Kesha Technology Co Ltd
Current assignee: To Kesha Technology Co Ltd
Priority date: 2014-09-22
Filing date: 2015-05-29
Publication date: 2016-12-07
Also published as: US20160087887A1

Abstract

本发明公开了一种使用通用以太网交换机的交换机架构来生成可扩展路由器的系统和方法。特殊格式的介质访问控制(MAC)地址被分配给每个交换机。交换机的所分配的MAC地址包含一些位，这些位可以标识交换机的拓扑位置。交换机架构利用交换机的所分配的MAC地址对来自主机的地址解析请求进行拦截和作出反应。从主机获取的数据包根据数据包的目标MAC地址中的这些位被转发。本发明进一步使用MAC地址中的一些位来实现网路虚拟化。

Description

路由架构

技术领域

本申请涉及一种计算机网络，更具体地涉及创建一种起路由器作用的交换机架构。

背景技术

当今的大多数高容量路由器是机箱式系统。典型的机箱式路由器具有能够插入路由器模块的多个狭缝，并且路由器模块经由机箱的背面板或者中间面板架构相互连接。该系统的可扩展性因而受限于所设有的狭缝数量以及背面板或者中间面板架构的容量。

软件限定网络(SDN)是构建一种将网络系统的构成部分分离和抽象化的计算机网络的方法。该方法随着计算机虚拟化的出现已变得越来越重要，其中，虚拟机(VMs)可以动态地生成或者移动，对此，网络需要迅速作出反应。此外，受计算机虚拟化普及的推动，网络虚拟化满足了将多用户数据中心网络中的用户的IP地址空间分离的需要。

SDN将判定关于从哪里(即控制平面)发出流量的系统与转发流量到所选择目的地(即数据平面)的系统分离开。OpenFlow是一种通信协议，其使控制器(即控制平面)能访问和配置交换机(即数据平面)。

最近，市场上已经出现了通用的OpenFlow以太网交换机。这些交换机是相对低成本的，但它们也在类别条目的数量和类别密钥的种类方面受到严格的限制。据推测，OpenFlow设备具有通过流控制流量的能力。这些交换机所受的严格限制大大降低了该能力，因为能被配置在这些交换机上的流数是相对小的，例如为数千个。这些限制是在所设计的硬件中固有的并且与OpenFlow无关，并且对于使控制平面能配置数据平面，OpenFlow依然是较佳的。然而，以下假设可能无法成立，即控制平面经由OpenFlow或者甚至任意其他与OpenFlow功能类似的通信协议能够配置很多(例如数百万)个流到数据平面。在本发明中，公开了一种使用通用交换机来生成可扩展路由器的且将通用交换机的限制考虑进去的系统和方法。

发明内容

本发明的目的之一在于，使用通用以太网交换机的交换机架构来制造可扩展的路由器。该路由器能够支持网络虚拟化。

系统包括多个交换机。所述多个交换机能够以任意拓扑形式连接。主机能够在任意交换机上在任意端口处连接到交换机架构。主机可以为物理机以及虚拟机且甚至可以为网络设备。在本文中的主机仅为网络协议(IP)数据包的目标接收者。也即，主机具有与IP数据包的目标IP地址匹配的IP地址。

系统还包括控制器。控制器传送转发规则到交换机上。交换机通过转发规则处理数据包。

在本发明中，数据包根据数据包的目标介质访问控制(MAC)地址进行路由，并且这些MAC地址被制作和分配给交换机。

在传统的学习型交换机网络中，MAC地址唯一地标识主机的网络接口。MAC地址由三字节组织唯一标识符(OUI)和由拥有特定OUI编号并且制造网络接口卡(NIC)的硬件生产商所分配的三字节编号构成。主机的MAC地址在交换机端口被获知，并且数据包通过该数据包的目标MAC地址被转发，而不用翻译MAC地址的含义。

在本发明中，每个交换机被分配了具有含义的MAC地址。该MAC地址包括标识该交换机在交换机架构中的位置的成组的位。当转发数据包时，所述成组的位被用于沿着导向交换机的交换机架构中的路径寻找导出端口。此外，MAC地址还可以进一步包括标识属于主机的虚拟化IP地址空间的成组的位。

在本发明中，连接到系统的主机无需对其联网软件堆栈作出改变。具体地，主机发送针对目标主机(包括计算机和路由器)的地址解析协议(ARP)请求，并且等待提供目标主机的MAC地址的ARP应答。在本发明的交换机架构中的控制器或者交换机拦截ARP请求并且通过ARP应答作出反应，该ARP应答提供交换机的能够到达目标主机的MAC地址。类似地，对于IPv6主机，主机发送针对目标主机(包括计算机和路由器)的邻机请求报文，并且等待提供目标主机的MAC地址的邻机通告报文。在本发明的交换机架构中的控制器或交换机拦截所述邻机请求报文并且对邻机通告报文作出反应，该邻机通告报文提供能够到达目标主机的交换机的MAC地址。

在传统的IP路由器网络中，IP数据包通过IP数据包的目标IP地址朝向最终路由器从一个路由器转发到下一路由器，该最终路由器具有与该最终路由器连接的主机。从一个路由器到下一路由器，IP数据包的目标MAC地址由下一路由器的MAC地址取代，而IP数据包的源MAC地址由当前路由器的MAC地址取代。在最终路由器，IP数据包的目标MAC地址由目标主机的MAC地址取代，而IP数据包的源MAC地址由最终路由器的MAC地址取代。

在本发明中，当IP数据包是针对位于相同IP子网上的主机时，IP数据包的目标MAC地址和源MAC地址不会从一个交换机到下一交换机地改变。在最终交换机，IP数据包的目标MAC地址由目标主机的MAC地址取代。IP数据包的源MAC地址由最终交换机的MAC地址取代，或者由分配给交换机架构的传统的OUI类型的MAC地址取代。

在本发明中，当IP数据包是针对位于不同IP子网上的主机时，该IP数据包的目标MAC地址和源MAC地址在一些情况下可以在导向主机的路径中从一个交换机到下一交换机地改变。例如，IP数据包的目标MAC地址由交换机的MAC地址取代，该交换机的MAC地址包含更多针对IP数据包的转发规则。

在支持IP地址空间虚拟化的传统IP路由器网络中，IP数据包通过IP数据包的目标IP地址和虚拟路由转发(VRF)标识符进行转发，该VRF标识符是从IP数据包的导入端口(ingress port)或者虚拟局域网(VLAN)标识符获取的。

在本发明中，在支持IP地址空间虚拟化时，IP数据包通过IP数据包的目标IP地址和虚拟路由转发(VRF)标识符进行转发，该VRF标识符是在IP数据包的目标MAC地址与分配给交换机的MAC地址匹配时，从IP数据包的目标MAC地址获取的。可选地，VRF标识符还能从IP数据包的VLAN标识符获取。

本发明已将通用交换机上支持的转发规则的限制数量考虑进去。分配到交换机架构中的交换机的MAC地址内含交换机的拓扑位置这一事实使得在连接到交换机架构的主机之间转发数据包所需的转发规则的数量能够大大减少。尤其是在下述情况下：首先当在MAC地址中与位置关联的成组的位的可聚合值被分配给多个拓扑相邻的交换机时，其次当使用三态内容可寻址存储器(TCAM)来实现转发规则时。

本发明还将IP地址空间虚拟化的安全顾虑考虑进去。在MAC地址中内含标识属于主机的虚拟IP地址空间的数值有助于过滤出被伪造出来影响主机在另一虚拟IP地址空间中操作的来自主机的数据包，上述过滤操作能够基于MAC地址中的数值进行。

1)具体而言，本发明提供了一种用于交换机架构的方法，该方法包括：在除了所述交换机之外的任意交换机处，根据包含所述成组的位的第一匹配密钥将送往所述交换机的所述MAC地址的网络协议(IP)数据包转发；以及在所述交换机处，根据包含所述IP数据包的目标IP地址的第二匹配密钥将送往所述交换机的所述MAC地址的所述IP数据包转发，并且通过由所述第二匹配密钥获取的MAC地址取代所述IP数据包的目标MAC地址。

2)根据1)所述的方法，还进一步包括：当地址解析请求的目标主机是指所述交换机时，使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

3)根据1)所述的方法，还进一步包括：当地址解析请求的目标主机连接至所述交换机时，使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

4)根据1)所述的方法，所述MAC地址的本地管理位被设置为一。

5)根据1)所述的方法，当所述IP数据包在所述交换机架构的任意交换机处被转发时，所述IP数据包中的存活时间(TTL)值执行减一操作。

6)根据1)所述的方法，所述MAC地址包括标识虚拟IP地址空间的第二个成组的位，其中，所述第二匹配密钥进一步包括所述虚拟IP地址空间的标识符。

7)根据1)所述的方法，所述IP数据包的虚拟局域网(VLAN)标识符标识虚拟IP地址空间，其中，所述第二匹配密钥进一步包括所述虚拟IP地址空间的标识符。

8)根据1)所述的方法，除了所述交换机之外的所述任意交换机使用三态内容可寻址存储器(TCAM)，以匹配所述第一匹配密钥。

9)根据1)所述的方法，所述第一匹配密钥进一步包括掩码，其中，所述成组的位中的没有被所述掩码所掩蔽的一个或者多个位分别与分配给所述交换机架构的一个或者多个交换机的一个或者多个MAC地址对应，其中，所述一个或者多个MAC地址分别包含一个或多个成组的位，所述一个或多个成组的位分别标识所述一个或者多个交换机在所述交换机架构内的一个或者多个位置。

10)根据9)所述的方法，所述一个或者多个交换机在所述交换机架构内的所述一个或者多个位置是拓扑相邻的。

11)此外，本发明还提供了一种交换机架构，其包括多个交换机以及至少一个控制器，其中，所述至少一个控制器分配介质访问控制(MAC)地址给所述交换机架构的交换机，其中，所述交换机的所述MAC地址包括标识所述交换机在所述交换机架构内的位置的成组的位；其中，除了所述交换机之外的任意交换机根据包含所述成组的位的第一匹配密钥将送往所述交换机的所述MAC地址的网络协议(IP)数据包转发；以及其中，所述交换机根据包含所述IP数据包的目标IP地址的第二匹配密钥将送往所述交换机的所述MAC地址的所述IP数据包转发，并且通过由所述第二匹配密钥获取的MAC地址取代所述IP数据包的目标MAC地址。

12)根据11)所述的交换机架构，其中，当地址解析请求的目标主机是指所述交换机时，所述至少一个控制器使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

13)根据11)所述的交换机架构，其中，当地址解析请求的目标主机是指所述交换机时，所述多个交换机中的一个交换机使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

14)根据11)所述的交换机架构，其中，当地址解析请求的目标主机连接至所述交换机时，所述至少一个控制器使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

15)根据11)所述的交换机架构，其中，当地址解析请求的目标主机连接至所述交换机时，所述多个交换机中的一个交换机使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

16)根据11)所述的交换机架构，其中，所述MAC地址的本地管理位被设置为一。

17)根据11)所述的交换机架构，其中，当所述IP数据包在所述交换机架构的任意交换机处被转发时，所述IP数据包中的存活时间(TTL)值执行减一操作。

18)根据11)所述的交换机架构，其中，所述MAC地址包括标识虚拟IP地址空间的第二个成组的位，其中，所述第二匹配密钥进一步包括所述虚拟IP地址空间的标识符。

19)根据11)所述的交换机架构，其中，所述IP数据包的虚拟局域网(VLAN)标识符标识虚拟IP地址空间，其中，所述第二匹配密钥进一步包括所述虚拟IP地址空间的标识符。

20)根据11)所述的交换机架构，其中，除了所述交换机之外的所述任意交换机使用三态内容可寻址存储器(TCAM)，以用于匹配所述第一匹配密钥。

21)根据11)所述的交换机架构，其中，所述第一匹配密钥进一步包括掩码，其中，所述成组的位的没有被所述掩码所掩蔽的一个或者多个位分别与分配给所述交换机架构的一个或者多个交换机的一个或者多个MAC地址对应，其中，所述一个或者多个MAC地址分别包含一个或多个成组的位，所述一个或多个成组的位分别标识所述一个或者多个交换机在所述交换机架构内的一个或者多个位置。

22)根据21)所述的交换机架构，其中，所述一个或者多个交换机在所述交换机架构内的所述一个或者多个位置是拓扑相邻的。

附图说明

本公开将会从下文的详细描述以及附图更充分地得以理解，然而，该详细描述以及附图不应当用于将所公开的主题限于所示具体实施方式，而仅用作解释和理解。其中：

图1图解了交换机架构的一个实施例；

图2a图解了传统MAC地址的格式；

图2b图解了特殊格式的MAC地址的一个实施方式；

图2c是特殊格式的MAC地址的一个实施例；

图3图解了在控制器上的事件处理的一个实施方式；

图4图解了在交换机上的事件处理的一个实施方式；

图5图解了在交换机上的数据包处理规则的一个实施方式；

图6图解了在送往位于相同子网的主机的数据包上的影响；

图7图解了在送往位于不同子网的主机的数据包上的影响。

具体实施方式

图1图解了本发明中的交换机架构(switch fabric)的一实施例。该系统包括多个交换机和控制器。类似典型的SDN控制器，控制器针对交换机架构中的每一个交换机建立控制会话。将具有针对控制器的控制会话的交换机视为交换机架构的一部分。在图1中，所有的交换机都是交换机架构的一部分。(本发明还适用于一些非交换机架构的交换机可连接到交换机架构的情形。)控制会话能够在通常称作带内链接的交换机架构上建立，并且还能够在通常称作带外链接的独立的管理网络上建立。控制器10能够通过其控制会话选择性地拦截在交换机上接收的数据包。控制器10还能够通过其控制会话输入一些数据包到交换机内。

本发明的一优选实施方式具有集中式控制器。然而，本发明并不排除具有多个控制器示例。它们能够以主动-主动模式或者主动-待机模式运作。此外，本发明并不排除根本不具有集中式控制器但具有分布到每个交换机的控制面板功能，例如在传统的学习型交换机网络或传统的路由器网络中。本发明的方法可以使用集中式控制器或者分布式控制器来实现。

在图1中，六个交换机形成网状拓扑结构且为物理交换机。然而，本发明适用于任意网络拓扑结构，甚至适用于在被视为所述交换机架构的一部分的主机上运行的虚拟交换机。

在图1的实施例中，存在五个主机。主机12、14和15属于一个虚拟IP地址空间(VIPAS)，即VIPAS 0。主机11和13属于另一VIPAS，即VIPAS 1。虽然主机11和主机12具有相同的IP地址10.0.0.2，但并不存在冲突。主机12和主机14位于相同的子网10.0.0.0/16。主机15位于不同的子网(名为10.1.0.0/16)。

为了便于说明，图1中假定IPv4主机。本发明还适用于IPv6主机。在IPv4中的地址解析请求和应答涉及ARP请求和ARP应答，而在IPv6中的地址解析请求和应答涉及邻机请求报文和邻机通告报文。此外，IPv4涉及TTL，而IPv6涉及等同于TTL的跳数限制。

本发明的关键点在于给每个交换机分配MAC地址，该MAC地址包含交换机在交换机架构内的位置标识符。图2a示出了传统MAC地址的格式。第一段的三字节表示OUI。硬件厂商被分配了唯一的OUI。第二段的三字节唯一地标识由硬件厂商制造的NIC。所述六字节的MAC地址应该全局唯一地标识NIC。能够理解的是，传统的MAC地址不包含任何位置信息。

图2b示出了本发明中的MAC地址格式的一个实施方式。首先，本地管理位被设为1。这标示着特制的MAC地址格式。这样特殊格式的MAC地址是逻辑上的MAC地址。该MAC地址被分配给交换机架构中的交换机。该MAC地址并不被分配给NIC。它并不被分配给主机(除非主机中的虚拟交换机也被视为交换机架构的一部分)。交换机可能具有自己的传统的MAC地址。本发明中的转发决策是基于特殊格式的MAC地址，而不是基于传统的MAC地址。

所述特殊格式的MAC地址包括标识交换机位置的成组的位。所述成组的位中的位无需是连续的也无需是构造性的。在图2b中，所述成组的位具有十六位。在本发明的优选实施方式中，所述成组的位中的位是连续的并且构成一数值。对于交换机而言，分配数值给所述成组的位的优选方式是基于它们的拓扑邻接关系。这有助于在交换机上对转发规则编程时在掩蔽的匹配密钥中进行位聚合。例如，在图1中，交换机1和交换机2是拓扑相邻的。交换机1被分配以二进制值‘000’，交换2被分配以二进制值‘001’，从而使‘00X’可以指代这两个交换机，其中，‘X’指被掩蔽的位。出于相同原因，交换机3和交换机4被分别分配以‘010’和‘011’。交换机1、2、3和4是拓扑相邻的，并且‘0XX’可以指代所有这些交换机。类似地，‘10X’可以表示交换机5和交换机6。

对交换机分配特殊格式的MAC地址可以通过编程来完成。也即，通过拓扑发现(例如使用链路层发现协议(LLDP))，控制器可以随后分配MAC地址并且通知交换机。(在分布式控制功能的情况下，每个交换机分配给自身与邻机一致并且无冲突的MAC地址)可选地，MAC地址分配可以是管理者辅助式的，并且控制器接收作为配置的分配并作用于它。

在图2b，特殊格式的MAC地址进一步包括标识交换机可服务的虚拟IP地址空间(VIPAS)的成组的位。为了支持网络虚拟化，一个用户的IP地址空间应当与另一用户的IP地址空间分开。在图1中，交换机架构服务着两个用户。成组的VIPAS标识符对于交换机架构是全局的，但交换机架构中的交换机可以服务VIPAS标识符的子集。在本发明的优选实施方式中，VIPAS标识符的子集被映射到交换机上的VRF标识符。通用交换机典型地具有数量比VIPAS标识符的总数少的VRF标识符。然而，多个交换机一起可以服务整组的VIPAS标识符。例如，存在由交换机架构服务的VIPAS标识符1至20。在一个交换机上的VRF标识符1至16映射于VIPAS标识符1至16，而在另一交换机上的VRF标识符映射于VIPAS标识符5至20。在一个实施方式中，特殊格式的MAC地址可以包括由位置标识符指定的交换机的VRF标识符。也即，VRF标识符和位置标识符的组合唯一地映射于VIPAS标识符。然而，在另一实施方式中，特殊格式的MAC地址不包含与VIPAS有关的位。相反，由位置标识符指定的交换机的VRF标识符被放入数据包的802.1Q标签的VLAN标识符字段。但是，本发明的优选实施方式具有包括VIPAS标识符的特殊格式的MAC地址。(在所有的上述三种实施方式中，由地址标识符标识的交换机能够要么从目标MAC地址要么从数据包的802.1Q标签获取其本地显著的VRF标识符。)优选的实施方式可以使得编程到交换机上的安全规则为最少数量。

一些通用交换机可能不支持多个VRF。这些交换机能够被视为仅支持一个VRF。依然可以将交换机的隐含VRF映射到VIPAS标识符之一。

在特殊格式的MAC地址中的第一字节的六个最显位可以作为用于语义延伸的标示(flag)使用。此时它们可以被设置成零。

图2c是分配给图1的交换机2的MAC地址的示例。实际上，交换机2具有另一MAC地址(02:00:00:01:00:01)，因为其服务VIPAS标识符0和1。

图3图解了控制器可以如何处理事件。控制器的一实施方式(该控制器作为在主机上运行的网络应用软件)具有事件循环30以根据事件生成处理程序。在事件被处理之后，控制器再次在事件循环30等待。控制器上的事件组包括：检测交换机、改变拓扑、获知主机、拦截ARP请求以及改变IP路由。

当检测到交换机时，控制器根据其拓扑位置分配特殊格式的MAC地址给交换机。如果交换机处理多个VIPAS标识符(例如图1中的交换机2)，则分配多个MAC地址。VIPAS中的IP子网之间的路由能够由作为路由器的主机支持。可选地和优选地，交换机架构处理VIPAS中的IP子网之间的路由。并非交换机架构中的所有交换机都需要处理IP子网之间的路由。在本发明的优选实施方式中，一个或者多个(但并非全部)交换机被选择来服务用于特定的VIPAS的IP子网路由。为了服务整组的VIPAS，IP子网路由负载可以散布在所有的或者绝大部分的交换机之间。例如，在图1中，交换机3被选择来完成用于VIPAS标识符0的IP子网10.0.0.0/16和10.1.0.0/16之间的路由。

在VIPAS中的主机通过例如路由器发现协议或者管理员配置来知晓其VIPAS路由器的IP地址。当交换机架构作为VIPAS路由器运行时，控制器需要知道VIPAS路由器的IP地址，从而能够在步骤34和36中适当地生成ARP应答。在步骤31中，控制器管理交换机数据库，每个数据库条目包括交换机标识符、交换机的MAC地址、交换机服务的VIPAS标识符、以及VIPAS路由器IP地址。如果ARP应答将由拦截ARP请求的交换机生成，那么控制器需要将数据库通知该交换机。

交换机的出现可以导致拓扑改变，因此步骤31还导致步骤32。当存在拓扑改变时，控制器有时可以重新分配一些MAC地址到一些交换机。控制器有时可以通知交换机来更新它们的基于MAC的转发规则，从而维持主机和可选网络设施之间的链接。

当主机被获知时，执行步骤33。主机可以通过从主机接收数据包的交换机获知。主机还可以通过咨询管理员配置获知。控制器维持主机数据库，每个数据库条目包括主机IP地址、主机MAC地址、主机所属的VIPAS的VIPAS标识符、主机所连接的交换机的交换机标识符、主机所连接的端口的端口标识符。为了填充数据库条目，VIPAS标识符可以使用一些缺省配置或者管理员配置、主机所属的VLAN的VLAN标识符、以及交换机标识符和端口标识符进行获取。主机连接到多个交换机或者端口是可能的。控制器将这些主机数据通知主机所连接的交换机，从而使交换机能够更新其基于IP的转发规则和安全规则。如果ARP应答将要由拦截ARP请求的交换机生成，那么该控制器需要将主机数据库通知交换机。

本发明的一目的在于兼容现有的主机联网软件堆栈。主机发送ARP请求以找出目标主机(或者是机器或者是VIPAS路由器)的MAC地址。本发明中的交换机有助于控制器拦截来自主机的ARP请求。控制器对应于所拦截的ARP请求生成ARP应答。(在另一实施方式中，拦截ARP请求的交换机生成ARP应答。)步骤35和36使主机能够将交换机的特殊格式MAC地址与目标主机关联。在步骤35中，控制器从数据包的VLAN标识符和导入交换机端口获取VIPAS标识符。控制器使用目标主机IP地址和VIPAS标识符从主机数据库查找交换机标识符。然后，控制器使用从主机数据库和VIPAS标识符所查找的交换机标识符从交换机数据库查找交换机MAC地址。交换机MAC地址应当是目标主机所连接的交换机的MAC地址。然后，控制器使用交换机MAC地址生成ARP应答。

在一可选的实施方式中，控制器常常使用交换机的交换机MAC进行应答，所述交换机被选择来完成用于VIPAS标识符的IP子网路由功能。因此，无论目标主机是位于相同的子网还是位于不同的子网，在VIPAS中从(源)主机到任意目标主机的所有IP数据包首先被转发至被选择来进行IP子网路由的交换机。这样的实施方式具有最好的安全性能，而以网络利用率为代价。

步骤36处理交换机架构作为VIPAS路由器运作的事例。在步骤36中，控制器从VLAN标识符和数据库的导入交换机端口获取VIPAS标识符。控制器使用目标IP地址从交换机数据库获得交换机MAC地址(作为VIPAS路由器IP地址)以及VIPAS标识符。交换机MAC地址应当是被选择来实现用于VIPAS标识符的IP子网功能的交换机的MAC地址。然后，控制器使用交换机MAC地址生成ARP应答。

管理员或者路由协议可以改变VIPAS中的IP子网路由。在步骤37中，控制器从交换机数据库找到被选择来实现用于VIPAS的IP子网路由功能的交换机，并且通知该交换机来更新其基于IP的转发规则。

虽然假设主机联网软件堆栈未被修改，但在主机联网软件堆栈以使得来自交换机架构的地址解析应答变得不再必需的方式被修改的情况下，本发明也适用。例如，在一个实施方式中，主机的联网软件堆栈配置有IP地址到特殊格式MAC地址映射。在另一实施方式中，来自主机的数据包的目标MAC地址通过主机的联网软件堆栈由预定的特殊格式MAC地址覆盖。在另一实施方式中，数据包的目标MAC地址根据在主机的联网软件堆栈的预定的映射功能从目标主机IP地址推断出。

图4示出了在交换机架构中交换机如何处理事件的一示例。在为物理交换机的情况下，交换机具有处理一些事件的驱动器并且具有处理数据包转发的交换芯片。(在为虚拟交换机即软件交换机的情况下，交换机处理包括软件中的数据包转发在内的所有事件。)

当如在步骤41中从控制器接收到控制报文时，如果需要的话，交换机可以更新其主机数据库的本地副本、其交换机数据库的本地副本、其本地的基于IP的转发规则、其本地的安全规则以及基于其本地的MAC的转发规则。

当交换机检测到端口向上或向下、或者邻机(例如LLDP邻机)出现或消失时，在步骤42中，交换机将拓扑变化通知控制器。交换机还对该事件作出反应，例如迅速地转移从无效端口到转发规则允许的有效端口的流量。

当交换机检测到主机时，如在步骤43中，交换机通知控制器。然后该交换机可以通过步骤41对来自控制器的运算结果(resulting)控制报文作出反应。可替代地，如果需要，该交换机可以更新基于其本地的IP的转发规则、本地的安全规则以及主机数据库的本地副本。交换机可以通过拦截来自主机的数据包检测主机。

如另一实施方式，对于交换机来讲，无需检测任何主机。当交换机拦截到来自主机的ARP请求并将它们转发到控制器时，控制器能够检测到主机。

如在步骤45中，当交换机拦截到来自主机的ARP请求时，交换机应当将其转发至控制器。为了卸除控制器针对交换机架构中的交换机生成许多的ARP应答的负担，如在另一替代实施方式中，理想的是使交换机本地生成ARP应答。步骤47和48与步骤35和36类似地生成ARP应答。

当交换机接收到来自主机的IP数据包时，如果IP数据包的目标MAC地址(DMAC)与其被分配的MAC地址匹配，则执行步骤50，否则执行步骤51。

在步骤50中，交换机将数据包通过基于其本地IP的转发规则进行转发。数据包可以被丢弃、被转发到目标主机、或者被转发到另一交换机。当数据包被转到目标主机或者另一交换机时，交换机由通过基于IP的转发规则获取的MAC地址来取代数据包的DMAC。理想的是，减少IP数据包的存活时间(TTL)值，并且当TTL值变为零时丢弃IP数据包。当数据包被转发到主机时，IP数据包的源MAC地址(SMAC)也由代表交换机架构的MAC地址所取代。MAC地址应该为惯用的MAC地址，即本地管理位设置为0。一例为00:00:5e:00:01:01，其是标准的虚拟路由器冗余协议(VRRP)MAC地址。另一例是选择交换机架构中的交换机的一个OUI类型的MAC地址。

在步骤51中，交换机将IP数据包通过基于其本地MAC的转发规则进行转发。无需修改数据包的DMAC和SMAC。此外，理想的是，使TTL值减量以及进行TTL检查。

如一替代实施方式，步骤50和51可以在IP数据包中插入、修改或者移除802.1Q标签。该802.1Q标签包含用于服务质量(QoS)操作的服务等级(CoS)值。更重要地，VLAN标识符字段可以携带被映射到由DMAC标识的交换机处的VIPAS标识符的数值。如果交换机接收到来自未标示的相连主机的数据包，则该交换机插入802.1Q标签，其VLAN标识符可以映射到VIPAS标识符。如果交换机接收到来自已标示的相连主机的数据包，那么如果原来的VLAN标识符也服务于标识VIPAS，则该交换机修改802.1Q标签。802.1Q标签的VLAN标识符被修改成能够映射到由DMAC指代的交换机处的VIPAS标识符。如果交换机接收到来自已标示的相连主机的数据包，那么如果由于原来的VLAN标识符需要被保存，(现在的)内部的802.1Q标签的原来的VLAN标识符实际上标识所连主机的VLAN，则交换机插入外部的802.1Q标签。如果交换机接收到即将被转发到所连目标主机的双标示的数据包，那么该交换机移除数据包中的外部802.1Q标签。如果交换机接收到即将被转发到所连目标主机的单标示的数据包，那么如果所连目标主机期望已标示的数据包，则该交换机利用表示所连目标主机的VLAN标识符修改数据包中802.1Q标签。如果交换机接收即将被转发到所连目标主机的单标示的数据包，那么如果目标主机期望未标示的数据包，则该交换机移除移动数据包中的802.1Q标签。

图5图解了在交换机上的数据包处理规则的一实施方式的示例。该数据包处理规则包括安全规则、基于MAC的转发规则以及基于IP的转发规则。该示例与图1中的步骤一致。表55、56和57示出了图1中的交换机2的一些数据包处理规则。

典型的交换机能够通过数据包分类以及在数据包上执行指令将流量转发，所述在数据包上执行指令包括在特定端口上发送数据包、以及插入、修改或者移除数据包中的报头。数据包分类通常通过TCAM执行。TCAM由多个条目构成，这些条目的位置表示条目的优先级。在所有的TCAM条目上进行查找。虽然在相同查找中可能存在一个或者多个匹配密钥命中，但具有较高优先级的条目将会被选择，并且与条目相关联的运算结果指令将在数据包上执行。匹配密钥可以被掩蔽。在匹配密钥中的一些位可以被掩蔽到，即所掩蔽的位的值在匹配中被忽视。TCAM通过掩蔽的匹配密钥被最佳利用。准确的匹配密钥(未掩蔽的匹配密钥)能够有效地利用基于非TCAM的哈希查找。例如，表55能够在TCAM或者哈希查找中实施。表56和57能够在TCAM中实施。在表55、56和57中，较小的规则标号设为较高的优先级。

在表55中的安全规则用于防止在一个VIPAS中的恶意主机影响另一VIPAS中的主机。规则11使得主机12仅发送到VIPAS 0。规则12使得主机11仅发送到VIPAS 1。规则13丢弃妨碍VIPAS分离的数据包。

在一可替代的实施方式中，其中，VLAN标识符被用于映射到VIPAS标识符，规则11将变成两个，例如，(((DMAC&fe:00:00:00:ff:ff)＝02:00:00:00:00:00:05)&&(VLAN＝1)&&(SMAC＝00:00:2d:12:34:56)&&(IngressPort＝1))与(((DMAC&fe:00:00:00:ff:ff)＝02:00:00:00:00:00:02)&&(VLAN＝7)&&(SMAC＝00:00:2d:12:34:56)&&(IngressPort＝1))，假设VLAN标识符1在交换机6被映射到VIPAS 0，而VLAN标识符7在交换机3被映射到VIPAS 0。可理解的是，该实施方式将需要更多安全规则以保护VIPAS。

表56中的基于MAC的转发规则使用掩蔽的匹配密钥，其包括数据包的目标MAC地址(DMAC)和交换机MAC地址。‘&’表示逐位加运算。‘&&’表示逻辑加运算。在规则20中，匹配密钥包括交换机MAC地址02:00:00:00:00:01和数据包的DMAC。掩码02:00:00:00:00:01被应用到交换机MAC地址和DMAC。如果所掩蔽的交换机MAC地址等于所掩蔽的DMAC，并且数据包为IP数据包，那么所述运算结果指令将VRF设置成0并且进一步使用数据包上的基于IP的转发规则表。在交换机2除了服务VIPAS0以外还服务VIPAS1的情况下，交换机2还被分配了MAC地址02:00:00:01:00:01，因此规则21中的匹配使VRF被设成1。因此，规则20和21使得送往当前交换机即交换机2的数据包使用基于IP的转发规则。规则22将送往交换机1的数据包在端口2上朝向交换机1转发。规则33将送往交换机3和4的数据包在端口3上转发。掩码fe:00:00:00:ff:fe有助于将可能的两个规则整合成一个规则，因此减少了表中所编程的规则数量。规则24将送往交换机5和6以及位置标识符‘110’和‘111’的交换机(如果存在)的数据包在端口3转发。掩码fe:00:00:00:ff:fc有助于将可能的两个至四个规则整合成一个规则。表56示出了，分配相邻位置标识符给拓扑相邻的交换机以最大化将基于MAC的转发规则整合成更少规则的可能性是有利的。

规则23到24的导出端口能够使用最短路径算法判定。例如可以使用其他路径选择算法来实现最优的网络利用率。当路径中存在某种形式的循环时，暂时地或者无意地，TTL减量和TTL检查将有助于丢弃任意已循环的数据包。通常，在通用交换机中，TTL减量和TTL检查功能只在使用TCAM实现转发规则的情况下可用。

图6示出了在从主机12转发到主机14的数据包上的影响。主机12针对目标主机14IP地址10.0.0.3已送出ARP请求数据包。由于主机14已经在交换机6的端口3上被获知，因此控制器已使用交换机6MAC地址02:00:00:00:00:05发出了ARP请求数据包。因此，数据包61具有DMAC02:00:00:00:00:05。数据包62和63的DMAC和SMAC保持相同。数据包62和63的TTL值递减。交换机6使用其基于IP的转发规则并且将数据包64DAMC设定成主机14MAC地址00:00:2d:42:34:ac。

表57中的基于IP的转发规则使用包括数据包的目标IP地址(DIP)、VIPAS标识符、主机IP地址以及VIPAS IP子网在内的掩蔽的匹配密钥。在规则30，匹配密钥包括数据包的DIP和从表56获取的VRF值。如果VRF值等于1(其标识VIPAS 1)并且DIP等于主机11IP地址10.0.0.2，那么交换机将数据包在端口4朝向主机11转发出去，以主机11MAC地址00:00:3b:12:6a:3b取代DMAC，以交换机架构MAC地址00:00:5e:00:01:01取代SMAC，减量TTL，并且进行TTL检查。类似地，在规则31，如果VRF值等于0(其标识VIPAS 0)并且DIP等于主机12IP地址10.0.0.2，那么交换机将数据包在端口4朝向主机12转发出去，以主机12MAC地址00:00:2d:12:34:56取代DMAC，以交换机架构MAC地址00:00:5e:00:01:01取代SMAC，减量TTL，并且进行TTL检查。

在此实例中，交换机3被选择以成为VIPAS 0IP子网路由器。在交换机2的规则32中，送往非直接相连的主机的任意数据包被朝向交换机3转发，以交换机3MAC地址02:00:00:00:00:02取代数据包的DMAC。图7图解了数据包如何从主机12被修改并转发到主机15。假设主机12已经针对目标主机(路由器)送出了ARP请求，例如10.0.0.1，并且由于交换机3已经被选择作为VIPAS 0子网IP路由器，因此控制器已经以交换机3MAC地址02:00:00:00:00:02进行应答。因此，数据包71、72和73均具有DMAC02:00:00:00:00:02，它们的TTL值沿着路径递减。在交换机3，通过基于其本地IP的转发规则，交换机3将送往10.1.0.2的数据包转发到交换机5。因此，数据包74具有DMAC 02:00:00:00:00:04。在交换机5，基于其本地IP的转发规则将数据包75的DMAC设置成主机15MAC地址00:00:2d:c3:77:11。

在图5的实施例中，交换机2被选择以成为VIPAS 1 IP子网路由器。在表57的规则33中，送往10.2.0.2的任意数据包被转发到交换机4，其中，主机13被直接地连接到该交换机4。

交换机2无需是唯一的VIPAS 1 IP子网路由器。现在假设在交换机架构中还存在IP子网10.3.0.0/16，并且交换机1被选择以成为第二VIPAS1 IP子网路由器，其包含关于在10.3.0.0/16处的主机的基于IP的转发规则。然后，交换机2可以具有规则匹配((VRF＝1)&&((DIP&255.255.0.0)＝10.3.0.0)并且将所匹配的数据包引导到交换机1，以02:00:00:01:00:00取代DMAC。类似地，并非所有的在10.3.0.0/16处的主机需要直接地连接至交换机1。交换机1只包含IP转发规则以转发数据包到具有直接相连的主机的交换机。事实上，甚至可以使子网的路由器分散在多个VIPAS IP子网路由交换机之间，只要VIPAS IP子网路由交换机能够将不包含特定信息的数据包转发到一系列VIPAS IP子网路由交换机中的下一VIPAS IP子网路由交换机。

上述实施方式是示例性的例子，其不应该被理解成，本发明仅限于这些具体实施方式。因此，各种变化和修改可以由本领域技术人员在不脱离如所附权利要求所限定的本发明的主旨或范围进行。

Claims

1.一种用于交换机架构的方法，该方法包括：

分配介质访问控制(MAC)地址给所述交换机架构的交换机，其中，所述交换机的所述MAC地址包括标识所述交换机在所述交换机架构内的位置的成组的位；

在除了所述交换机之外的任意交换机处，根据包含所述成组的位的第一匹配密钥将送往所述交换机的所述MAC地址的网络协议(IP)数据包转发；以及

在所述交换机处，根据包含所述IP数据包的目标IP地址的第二匹配密钥将送往所述交换机的所述MAC地址的所述IP数据包转发，并且通过由所述第二匹配密钥获取的MAC地址取代所述IP数据包的目标MAC地址。

2.根据权利要求1所述的方法，该方法进一步包括：当地址解析请求的目标主机是指所述交换机时，使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

3.根据权利要求1所述的方法，该方法进一步包括：当地址解析请求的目标主机连接至所述交换机时，使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

4.根据权利要求1所述的方法，其中，所述MAC地址包括标识虚拟IP地址空间的第二个成组的位，其中，所述第二匹配密钥进一步包括所述虚拟IP地址空间的标识符。

5.根据权利要求1所述的方法，其中，所述第一匹配密钥进一步包括掩码，其中，所述成组的位中的没有被所述掩码所掩蔽的一个或者多个位分别与分配给所述交换机架构的一个或者多个交换机的一个或者多个MAC地址对应，其中，所述一个或者多个MAC地址分别包含一个或多个成组的位，所述一个或多个成组的位分别标识所述一个或者多个交换机在所述交换机架构内的一个或者多个位置。

6.一种交换机架构，包括：

多个交换机；以及

至少一个控制器，

其中，所述至少一个控制器分配介质访问控制(MAC)地址给所述交换机架构的交换机，其中，所述交换机的所述MAC地址包括标识所述交换机在所述交换机架构内的位置的成组的位；

其中，除了所述交换机之外的任意交换机根据包含所述成组的位的第一匹配密钥将送往所述交换机的所述MAC地址的网络协议(IP)数据包转发；以及

其中，所述交换机根据包含所述IP数据包的目标IP地址的第二匹配密钥将送往所述交换机的所述MAC地址的所述IP数据包转发，并且通过由所述第二匹配密钥获取的MAC地址取代所述IP数据包的目标MAC地址。

7.根据权利要求6所述的交换机架构，其中，当地址解析请求的目标主机是指所述交换机时，所述至少一个控制器使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

8.根据权利要求6所述的交换机架构，其中，当地址解析请求的目标主机是指所述交换机时，所述多个交换机中的一个交换机使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

9.根据权利要求6所述的交换机架构，其中，当地址解析请求的目标主机连接至所述交换机时，所述至少一个控制器使用所述交换机的所述MAC地址对于针对所述目标主机的所述地址解析请求作出反应。

10.根据权利要求6所述的交换机架构，其中，所述第一匹配密钥进一步包括掩码，其中，所述成组的位的没有被所述掩码所掩蔽的一个或者多个位分别与分配给所述交换机架构的一个或者多个交换机的一个或者多个MAC地址对应，其中，所述一个或者多个MAC地址分别包含一个或多个成组的位，所述一个或多个成组的位分别标识所述一个或者多个交换机在所述交换机架构内的一个或者多个位置。