CN106254253A - 私网路由生成方法以及装置 - Google Patents

Abstract

本发明提供一种私网路由生成方法以及装置，其中该方法包括：获取对端设备发送的对端私网的私网地址信息；在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。本发明可极大减少网络管理员的工作量，降低了人力成本。

Description

私网路由生成方法以及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种私网路由生成方法以及装置。

背景技术

L2TP(Layer 2Tunneling Protocol，二层隧道协议)是目前使用最为广泛的VPDN(Virtual Private Dial-up Network，虚拟专用拨号网络)隧道协议。

在使用L2TP构建的VPDN组网中，包含LAC(L2TP Access Concentrator，L2TP访问集中器)和LNS(L2TP Network Server，L2TP网络服务器)，LAC与LNS互为对端设备。在LAC自动触发与LNS建立L2TP隧道的组网模式下，当接入LAC的用户或者接入LNS的用户需要访问对端设备的私网资源时，通常由网络管理员通过手动配置路由的方式，控制接入LAC和LNS的各个用户通过L2TP隧道进行私网资源的互访。然而，这样的配置方式无疑增加了网络管理员的手工配置工作量，增加人工成本。

发明内容

针对现有技术的缺陷，本发明提供了一种私网路由生成方法以及装置。

本发明提供一种私网路由生成方法，应用于网络设备，其中该方法包括：

获取对端设备发送的对端私网的私网地址信息；

在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；

根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。

本发明还提供一种私网路由生成装置，应用于网络设备，该装置包括：

第一获取单元，用于获取对端设备发送的对端私网的私网地址信息；

第一确定单元，用于在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；

第一生成单元，用于根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。

本发明提供的私网路由生成方法以及装置，无需网络管理员之间相互交换、手工生成到达对端设备的私网路由，而是根据接收到的对端设备通告的对端私网的私网地址信息以及确定出的对端设备的隧道接口的私网地址信息生成到达对端私网的路由，极大地减少了网络管理员的工作量，降低了人力成本。

附图说明

图1是本发明实施例中一种私网路由生成方法所应用的网络环境示意图；

图2是本发明实施例中一种私网路由生成方法流程示意图；

图3是本发明实施例中一种私网路由生成方法中AVP条目格式示意图；

图4是本发明实施例中一种私网路由生成装置的逻辑结构示意图；

图5是本发明实施例中私网路由生成装置所在网络设备的硬件架构示意图。

具体实施方式

为使本申请的目的，技术方案及优点更加清楚明白，以下参照附图对本申请方案做进一步的详细说明。

为了解决现有技术中存在的问题，本发明提供了一种私网路由生成方法以及装置。

图1示出了本发明一种私网路由生成方法所应用的VPDN(Virtual PrivateDialup Networks，虚拟专用拨号网)组网环境示意图，包括LAC101、102以及LNS103，分别接入LAC101的LAC私网区域1、2，接入LAC102的LAC私网区域3、4，以及接入LNS103的LNS私网区域5、6。本发明提供的私网路由生成方法可应用于网络设备，该网络设备可以是LAC，也可以是LNS，LAC与LNS可以互为对端设备。

请参考图2，为本发明提供的私网路由生成方法的处理流程示意图，该方法包括以下步骤：

步骤201，获取对端设备发送的对端私网的私网地址信息；

L2TP协商过程可包括L2TP隧道建立阶段以及L2TP会话建立阶段。本实施方式中，即可以在L2TP隧道建立阶段获取对端设备发送的对端私网的私网地址信息，也可以在L2TP会话建立阶段获取对端设备发送的对端的私网地址信息。

在L2TP隧道建立阶段，可以通过SCCRQ(Start Control Connection Request，控制链接发起请求)报文、SCCRP(Strat Control Connection Reply，控制链接响应)报文以及SCCCN(Start-Control-Connection-Connected，控制链接保持)报文这三个协议报文携带不同的多个AVP条目来通告和协商彼此的各种参数。例如，LAC可以在发送SCCRQ报文或SCCCN报文的过程中，将自身的私网地址信息携带在AVP中发送给对端的LNS；LNS可以在SCCRP报文的AVP中携带自身的私网地址信息。从而，在L2TP隧道建立阶段，使LAC和LNS分别获取到对端私网的私网地址信息。

在L2TP会话建立阶段，可以通过ICRQ报文(Incoming-Call-Request，会话建立请求)、ICRP报文(Incoming-Call-Reply，会话建立响应)以及ICCN报文(Incoming-Call-Connected，会话建立保持)三个协议报文携带不同的多个AVP条目来通告和协商彼此的各种参数。例如，LAC可以在发送ICRQ报文或ICCN报文的过程中，将自身的私网地址信息携带在AVP中发送给对端的LNS；LNS可以在ICRP报文的AVP中携带自身的私网地址信息。从而，在L2TP隧道建立阶段，使LAC和LNS分别获取到对端的私网地址信息。

其中，私网地址信息包括私网地址网段以及掩码值，例如：10.1.1.0/24。所获取的对端私网的私网地址信息可以是对端允许本端访问的对端的私网地址信息，即：可访问的对端私网的私网地址信息。

本实施方式中，网络设备上事先配置有对端可访问的本端私网的私网地址信息，该本端私网的私网地址信息与对端设备的设备标识建立有对应关系，对端设备的设备标识可以是对端设备的IP地址、MAC地址或者用户名信息等。当对端设备获取本端私网的私网地址信息时，网络设备可以根据该对端设备的设备标识查找该对应关系中与设备标识对应的本端私网的私网地址信息，并将该本端私网的私网地址信息发送给对端设备。

本发明实施例中，将查找到的本端私网的私网地址信息发送给对端设备时，可以根据本端私网的私网地址信息生成一项新的AVP条目携带在发往对端设备的报文中，例如，可以将该新的AVP条目命名为“Export-route”。该“Export-route”条目的格式可以参考图3所示，包括Mandatory(M)、Hidden(H)、Rsvd、Length、Vendor ID、Attribute Type以及Attribute Value等。其中，Mandatory(M)位置可以添加表征设备是否支持自动通告路由功能，例如，若M位置置1，说明设备支持自动通告路由功能，若M位置置0，说明设备不支持自动通告路由功能；Hidden(H)位置用于表示该AVP条目“Export-route”是否需要隐藏，若需要隐藏可以置0，不需要隐藏置1，通常该AVP条目“Export-route”不需要隐藏；Rsvd为4bit，为保留字段；Length为10bit，根据新增的AVP条目“Export-route”自动计算需要填入的长度值；Vendor ID为2byte，填入设备的Vendor ID；Attribute Type为2byte，为私有属性类型，例如可申请取值88，代表这条AVP条目“Export-route”是新增的；Attribute Value填入需要通告出去的私网地址网段+掩码值。

除此之外，报文中还可以携带Message Type、Assigned Session ID等AVP条目。

对端设备在接收到具有新的AVP条目的报文后，则可以根据上述流程查找网络设备可访问的对端的私网地址信息，并将该对端的私网地址信息发送给网络设备。

当网络设备接收到对端设备发送的具有对端的私网地址信息的报文后，若该报文携带有新增的AVP条目“Export-route”，可以查看该新增的AVP条目“Export-route”中的M字段的标识，根据该M字段的标识确对端设备是否支持自动通告路由功能，若该M字段的标识为1，可以确定对端设备支持自动通告路由功能，则可以继续执行与对端设备建立L2TP会话的流程；若该M字段的标识为0，或者该报文中未携带该M字段的标识，可以确定对端设备不支持自动通告路由功能，出于安全性考虑，可以拒绝与对端设备建立L2TP会话。

步骤202，在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息。

L2TP隧道包括隧道入接口以及隧道出接口，分别是网络设备与对端设备上建立L2TP隧道连接的接口，因此，隧道接口的私网地址信息分别包括网络设备的隧道接口的私网地址信息，以及对端设备的隧道接口的私网地址信息。具体地，确定对端设备的隧道接口的私网地址信息，包括：

当网络设备为LNS时，LNS可以根据对端设备的设备标识确定对端设备的隧道接口的私网地址信息，例如，该对端设备的设备标识为对端设备的IP地址、MAC地址或者用户名信息等，之后，将对端设备的隧道接口的私网地址信息以及LNS的隧道接口的私网地址信息作为L2TP隧道接口的私网地址信息，并将该L2TP隧道接口的私网地址信息发送给对端设备。在一实施例中，当所述网络设备为LAC时，则可以在接收到对端设备(例如为LNS)发送的L2TP隧道接口的私网地址信息后，得到对端设备的隧道接口的私网地址信息。

其中，获取的对端设备的隧道接口的私网地址信息即是网络设备的下一跳地址信息。

步骤203，根据所述对端私网的私网地址信息以及所述隧道接口的私网地址信息生成到达对端私网的路由。

在网络设备获取到对端的私网地址信息以及下一跳地址后，即可通知自身的路由管理模块根据该对端的私网地址信息以及下一跳地址自动生成到达对端私网的路由信息。

至此，完成网络设备与对端设备之间私网路由的配置。由此可见，本发明提供的私网路由生成方法，无需网络管理员之间相互交换和手工生成到达对端设备的私网路由，即可根据接收的对端设备通告的对端私网的私网地址信息以及确定出的对端设备的隧道接口的私网地址信息自动生成到达对端设备的私网路由，极大地减少了网络管理员的工作量，降低了人力成本。

现有技术中，可以在对端设备手动配置到达本端任意私网的路由，并通过L2TP隧道访问本端私网，由于网络设备无法自动限制对端设备通过L2TP隧道对不开放的私网资源的访问，因此，组网的安全性就无法保证。为此，本实施方式还可以根据可访问的本端私网的私网地址信息以及设备标识生成访问控制策略，并下发至网络设备，以控制对端设备对本端私网的访问，例如：仅允许与对端设备标识对应的对端设备访问本端私网，从而限制非法用户的访问，保证网络的安全性。

例如，该访问控制策略可以是ACL。

以下结合图1，以在LAC101与LNS103自动建立L2TP隧道的L2TP会话建立阶段生成私网路由为例，对本发明进行进一步地示例性说明。

在LAC101与LNS103自动建立L2TP隧道的L2TP会话建立阶段，由LAC101向LNS103发送ICRQ报文以请求建立L2TP会话，LNS103接收到该ICRQ报文后，获取该ICRQ报文中携带的设备标识(例如是LAC101的IP地址10.1.1.1)，并在预存的各LAC与LNS私网的私网地址信息对应关系中查找与该LAC101对应的LNS私网的私网地址信息。例如，LNS103预先配置的各LAC与LNS私网的私网地址信息对应关系可以如表1所示：

LAC标识	LNS私网的私网地址信息
		LAC101的IP地址：10.1.1.1	10.0.1.0/24(LNS私网区域5)
LAC102的IP地址：10.1.1.2	10.0.2.0/24(LNS私网区域6)

表1

表1示出了LNS预先配置的各LAC与LNS私网的私网地址信息对应关系表项，仅是为了进一步解释的示例，并不用于限制本发明该对应关系表项的具体内容。

LNS103在预先配置的对应关系(表1)中查找到与该LAC101的LAC标识对应的LNS私网的私网地址信息为LNS私网区域5的私网地址信息10.0.1.0/24后，生成ICRP报文，并将该私网地址信息10.0.1.0/24、LNS支持自动配置路由功能的标识“1”等信息生成新的AVP条目“Export-route”携带在ICRP报文中，发送至LAC101。

LAC101接收到该ICRP报文后，可以根据该ICRP报文中携带的支持自动配置路由功能的标识“1”确定LNS103支持自动配置路由功能，并获取该ICRP报文携带的LNS私网的私网地址信息10.0.1.0/24。之后，获取该LNS103的设备标识(例如是LNS103的IP地址10.2.2.1)，并在预存的各LNS与LAC私网的私网地址信息对应关系中查找与该LNS103对应的LAC私网的私网地址信息。例如，LAC101预先配置的各LNS与LAC私网的私网地址信息对应关系可以如表2所示：

LNS标识	LAC私网的私网地址信息
		LNS103的IP地址：10.2.2.1	10.1.1.0/24(LAC私网区域1)

表2

表2示出了LAC预先配置的各LNS与LAC私网的私网地址信息对应关系表项，仅是为了进一步解释的示例，并不用于限制本发明中该对应关系表项的具体内容。

LAC101在预先配置的各LNS与LAC私网的私网地址信息对应关系(表2)中查找到与该LNS103的LNS标识对应的可访问的LAC私网的私网地址信息为LAC私网区域1的私网地址信息10.1.1.0/24后，生成ICCN报文，并将该私网地址信息10.1.1.0/24、LAC支持自动配置路由功能的标识“1”等信息生成新的AVP条目“Export-route”携带在ICCN报文中，发送至LNS103，以告知LNS103其可访问的LAC私网的私网地址信息，并确定该L2TP会话建立成功。

在L2TP隧道建立成功后，LNS103可以根据LAC101的设备标识确定出LAC101的私网地址信息，例如为192.168.1.2，并将LAC101的私网地址信息以及LNS103的私网地址信息(例如为192.168.1.1)作为该L2TP隧道接口的私网地址信息，并将L2TP隧道接口的私网地址信息发送至LAC101。这样一来，LNS103则获取到的对端设备(LAC101)的隧道接口的私网地址信息，也即下一跳地址：LAC101私网的私网地址信息192.168.1.2；LAC101则获取到的对端设备(LNS103)的隧道接口的私网地址信息，也即下一跳地址：LNS103私网的私网地址信息192.168.1.1。

此时，LAC101与LNS103均可以根据获取的对端设备的私网地址信息以及下一跳地址自动生成到达对端设备的私网路由。例如，LAC101与LNS103自动生成并配置的私网路由表可以参考表3以及表4所示：

私网数据报文传输方向	对端私网的路由信息	下一跳地址
			LAC101->LNS103	10.0.1.0/24	192.168.1.1

表3

私网数据报文传输方向	对端私网的路由信息	下一跳地址
			LNS103->LAC101	10.1.1.0/24	192.168.1.2

表4

表3示出了LAC101生成并配置的LAC101到达LNS103的私网路由表，表4示出了LNS103生成并配置的LNS103到达LAC101的私网路由表，均是为了进一步解释的示例，并不用于限制本发明中配置的私网路由表的具体内容。

之后，LAC101与LNS103可以分别根据对端设备可访问的本端私网的私网地址信息以及设备标识生成ACL，以控制对端设备访问允许其访问的本端私网的私网地址信息，例如，LAC101与LNS103分别配置的ACL可以参考表5以及表6所示：

表5

表6

表5示出了LAC101上配置的LNS103访问LAC101的ACL，表6示出了LNS103上配置的LAC101访问LNS103的ACL，均是为了进一步解释的示例，并不用于限制本发明中配置的具有ACL的私网路由表的具体内容。

在配置了ACL之后，LAC101与LNS103后续接收到对端设备发送的数据报文时，即可根据该ACL控制对数据报文的转发，进而提高网络的安全性。

本发明还提供一种私网路由生成装置，图4为该私网路由生成装置的结构示意图，该装置可以应用于网络设备，该私网路由生成装置可以包括：

第一获取单元401，用于获取对端设备发送的对端私网的私网地址信息；

第一确定单元402，用于在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；

第一生成单元403，用于根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。

进一步地，所述第一获取单元401，还可以用于：

在L2TP隧道建立时，获取所述对端设备发送的对端私网的私网地址信息；或者，

在L2TP隧道会话建立时，获取所述对端设备发送的对端私网的私网地址信息。

进一步地，所述装置还可以包括：

第二获取单元404，用于获取所述对端设备的设备标识；

第二确定单元405，用于根据所述设备标识确定所述对端设备可访问的本端私网的私网地址信息；

发送单元406，用于将所述本端私网的私网地址信息发送至所述对端设备，以使所述对端设备生成到达本端私网的路由。

进一步地，所述装置还可以包括：

第二生成单元407，用于根据所述本端私网的私网地址信息以及所述设备标识生成访问控制策略，以允许与所述设备标识对应的对端设备访问本端私网。

进一步地，所述第一确定单元402，还可以用于：

当所述网络设备为L2TP网络服务器LNS时，根据所述对端设备的设备标识确定所述对端设备的隧道接口的私网地址信息；或者，

当所述网络设备为L2TP访问集中器LAC时，接收所述对端设备发送的所述对端设备的隧道接口的私网地址信息。

本发明应用于网络设备的私网路由生成装置在具体的处理流程中可以与上述私网路由生成方法的处理流程一致，在此不再赘述。

上述装置可以通过软件实现，也可以通过硬件实现，本发明私网路由生成装置所在网络设备的硬件架构示意图均可参考图5所示，其基本硬件环境包括中央处理器CPU501、转发芯片502、存储器503以及其他硬件504，其中存储器503中包括机器可读指令，CPU501读取并执行机器可读指令执行图4中各单元的功能。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种私网路由生成方法，应用于网络设备，其特征在于，所述方法包括：

获取对端设备发送的对端私网的私网地址信息；

在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；

根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在L2TP隧道建立时，获取所述对端设备发送的对端私网的私网地址信息；或者，

在L2TP隧道会话建立时，获取所述对端设备发送的对端私网的私网地址信息。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在与对端设备建立L2TP隧道时，获取所述对端设备的设备标识；

根据所述设备标识确定所述对端设备可访问的本端私网的私网地址信息；

将所述本端私网的私网地址信息发送至所述对端设备，以使所述对端设备生成到达本端私网的路由。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

根据所述本端私网的私网地址信息以及所述设备标识生成访问控制策略，以允许与所述设备标识对应的对端设备访问本端私网。

5.根据权利要求1所述的方法，其特征在于，所述确定出所述对端设备的隧道接口的私网地址信息，包括：

当所述网络设备为L2TP网络服务器LNS时，根据所述对端设备的设备标识确定所述对端设备的隧道接口的私网地址信息；或者，

当所述网络设备为L2TP访问集中器LAC时，接收所述对端设备发送的所述对端设备的隧道接口的私网地址信息。

6.一种私网路由生成装置，应用于网络设备，其特征在于，所述装置包括：

第一获取单元，用于获取对端设备发送的对端私网的私网地址信息；

第一确定单元，用于在L2TP隧道建立成功后，确定出所述对端设备的隧道接口的私网地址信息；

第一生成单元，用于根据所述对端私网的私网地址信息以及所述对端设备的隧道接口的私网地址信息生成到达所述对端私网的路由。

7.根据权利要求6所述的装置，其特征在于，所述获取单元，用于：

在L2TP隧道建立时，获取所述对端设备发送的对端私网的私网地址信息；或者，

在L2TP隧道会话建立时，获取所述对端设备发送的对端私网的私网地址信息。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二获取单元，用于获取所述对端设备的设备标识；

第二确定单元，用于根据所述设备标识确定所述对端设备可访问的本端私网的私网地址信息；

发送单元，用于将所述本端私网的私网地址信息发送至所述对端设备，以使所述对端设备生成到达本端私网的路由。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第二生成单元，用于根据所述本端私网的私网地址信息以及所述设备标识生成访问控制策略，以允许与所述设备标识对应的对端设备访问本端私网。

10.根据权利要求6所述的装置，其特征在于，所述第一确定单元，用于：

当所述网络设备为L2TP网络服务器LNS时，根据所述对端设备的设备标识确定所述对端设备的隧道接口的私网地址信息；或者，

当所述网络设备为L2TP访问集中器LAC时，接收所述对端设备发送的所述对端设备的隧道接口的私网地址信息。