CN106878138A - 一种报文传输方法和装置 - Google Patents

Abstract

本申请提供一种报文传输方法和装置，该方法包括：在接收到第一报文后，确定第一报文对应的VPN信息，并通过第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；若所述出接口为GRE隧道，则为第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息；获取所述GRE隧道对应的IPsec隧道，为第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；通过所述IPsec隧道发送第一IPsec隧道报文，以使接收到第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。通过本申请的技术方案，可以节省IPsec隧道的资源，并节省公网地址资源。

Description

一种报文传输方法和装置

技术领域

本申请涉及通信技术领域，尤其涉及一种报文传输方法和装置。

背景技术

IPsec(IP Security，IP安全)是一种三层隧道加密协议，IPsec为互联网上传输的数据提供了高质量、基于密码学的安全保证，是一种传统的实现三层VPN(Virtual PrivateNetwork，虚拟专用网络)的安全技术。IPsec通过在特定通信方之间建立“通道”，来保护需要传输的用户数据，该通道称为IPsec隧道。

在分布式数据中心网络，不同数据中心之间使用IPsec+VPN技术，来传输用户数据。具体的，在不同数据中心的网关设备之间建立IPsec隧道，且针对每个VPN单独建立IPsec隧道。例如，在数据中心1的网关设备1与数据中心2的网关设备2之间，针对VPN1建立IPsec隧道1，针对VPN2建立IPsec隧道2。

当分布式数据中心网络存在大量VPN时，由于需要针对每个VPN单独建立IPsec隧道，因此，需要建立大量IPsec隧道，浪费了IPsec隧道的资源。而且，建立IPsec隧道时需要使用公网地址，因此会占用大量的公网地址资源。

发明内容

本申请提供一种报文传输方法，应用于本端设备，在所述本端设备与对端设备之间建立有通用路由封装GRE隧道、以及与所述GRE隧道对应的网际互联协议安全IPsec隧道，所述方法包括以下步骤：

在接收到第一报文后，确定所述第一报文对应的虚拟专用网络VPN信息，并通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；

若所述出接口为GRE隧道，则为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息；

获取所述GRE隧道对应的IPsec隧道，为所述第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；

通过所述IPsec隧道发送所述第一IPsec隧道报文，以使接收到所述第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。

本申请提供一种报文传输装置，应用于本端设备，在所述本端设备与对端设备之间建立有通用路由封装GRE隧道、以及与所述GRE隧道对应的网际互联协议安全IPsec隧道，所述装置具体包括：

获得模块，用于在接收到第一报文后，确定所述第一报文对应的虚拟专用网络VPN信息，并通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；

处理模块，用于当所述出接口为GRE隧道时，为第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，第一GRE隧道头包括所述VPN信息；获取所述GRE隧道对应的IPsec隧道，为所述第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；

发送模块，用于通过所述IPsec隧道发送所述第一IPsec隧道报文，以使接收到所述第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。

基于上述技术方案，本申请实施例中，在使用IPsec+VPN的分布式数据中心网络中，可以通过GRE(Generic Routing Encapsulation，通用路由封装)隧道头来承载VPN信息，使得不同VPN的报文可以使用相同的IPsec隧道进行传输，从而避免针对每个VPN单独建立IPsec隧道，即可以针对所有VPN建立同一个IPsec隧道，从而可以节省IPsec隧道的资源，并节省公网地址资源。

附图说明

为了更加清楚地说明本申请实施例或者现有技术中的技术方案，下面将对本申请实施例或者现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据本申请实施例的这些附图获得其他的附图。

图1是本申请一种实施方式中的报文传输方法的流程图；

图2是本申请一种实施方式中的应用场景示意图；

图3是本申请一种实施方式中的本端设备的硬件结构图；

图4是本申请一种实施方式中的报文传输装置的结构图。

具体实施方式

在本申请使用的术语仅仅是出于描述特定实施例的目的，而非限制本申请。本申请和权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请实施例中提出一种报文传输方法，该方法可以应用于使用IPsec+VPN的分布式数据中心网络，该分布式数据中心网络至少可以包括本端设备和对端设备，且在该本端设备与该对端设备之间建立有IPsec隧道和GRE隧道。

为了方便描述，以该报文传输方法应用于本端设备为例进行说明。但是，本端设备和对端设备是相对的，例如，当在网络设备1与网络设备2之间建立IPsec隧道和GRE隧道时，则本端设备可以为网络设备1，对端设备可以为网络设备2，或者，本端设备可以为网络设备2，对端设备可以为网络设备1。

在一个例子中，针对“在本端设备与对端设备之间建立IPsec隧道”的过程，不是针对每个VPN单独建立IPsec隧道，而是在本端设备与对端设备之间为至少一个VPN(即一个或多个VPN，如所有VPN)建立一个IPsec隧道，不同VPN的报文均可以使用该IPsec隧道进行传输，因此，可以减少IPsec隧道的数量。

在一个例子中，针对“在本端设备与对端设备之间建立GRE隧道”的过程，可以利用该IPsec隧道在本端设备与对端设备之间建立GRE隧道，即GRE隧道与IPsec隧道之间具有对应关系。而且，若在本端设备与对端设备之间建立一个IPsec隧道，则可以只在本端设备与对端设备之间建立一个GRE隧道。

为了实现GRE隧道与IPsec隧道的对应关系，在一个例子中，在建立GRE隧道时，可以将该GRE隧道的出接口设置为该IPsec隧道，这样，通过该出接口可以将GRE隧道与IPsec隧道进行关联。在另一个例子中，在建立IPsec隧道时，可以为该IPsec隧道配置一个策略，该策略用于指示“通过IPsec隧道对经过所述GRE隧道发送的报文进行处理”，这样，通过该策略可以将GRE隧道与IPsec隧道进行关联。当然，在实际应用中，并不局限于上述两种方式，只要能够将GRE隧道与IPsec隧道进行关联即可，后续以第一种关联方式为例。

其中，针对建立IPsec隧道和GRE隧道的过程，IPsec隧道可以对应有本端地址和对端地址，GRE隧道可以对应有本端地址和对端地址，本端地址是指本端设备的接口地址，对端地址是指对端设备的接口地址，而且，IPsec隧道对应的本端地址与GRE隧道对应的本端地址不同，IPsec隧道对应的对端地址与GRE隧道对应的对端地址不同。例如，在网络设备1的接口A与网络设备2的接口B之间建立IPsec隧道和GRE隧道时，可以为接口A配置IP地址A和IP地址B，为接口B配置IP地址C和IP地址D，基于此，IPsec隧道对应的本端地址可以为IP地址A，IPsec隧道对应的对端地址可以为IP地址C，GRE隧道对应的本端地址可以为IP地址B，GRE隧道对应的对端地址可以为IP地址D。

在一个例子中，本端设备在生成转发表(如路由表)时，可以利用GRE隧道生成转发表，而不是利用IPsec隧道生成转发表，即转发表的出接口为GRE隧道，而不是IPsec隧道。具体的，对端设备在通过IPsec隧道向本端设备发送路由时，该路由可以包括目的主机的IP地址、下一跳地址和VPN信息，该下一跳地址为对端设备的接口地址，如GRE隧道对应的IP地址D。本端设备在接收到对端设备通过IPsec隧道发送的路由时，若确定下一跳地址为GRE隧道的对端地址，则在该路由包括的该VPN信息对应的转发表中添加转发表项，所述转发表项中包括的地址为所述目的主机的IP地址，出接口为GRE隧道。

参见图1所示，为该报文传输方法的流程图，该方法可以包括：

步骤101，在接收到第一报文后，确定该第一报文对应的VPN信息，并通过该第一报文的目的IP地址查询该VPN信息对应的转发表，得到与该目的IP地址对应的出接口。

其中，本端设备可以根据第一报文的接收接口(即接收到第一报文的接口)确定该第一报文对应的VPN信息，对此确定过程不再详加赘述。

步骤102，若该出接口为GRE隧道，则为第一报文封装该GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，第一GRE隧道头包括VPN信息。

在一个例子中，针对“为第一报文封装该GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，第一GRE隧道头包括VPN信息”的过程，具体可以包括：获取该第一报文对应的服务链标识，并为该第一报文封装该GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，其中，该第一GRE隧道头可以包括该VPN信息以及该服务链标识。

步骤103，获取该GRE隧道对应的IPsec隧道，为该第一GRE隧道报文封装IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文。

在一个例子中，针对“获取该GRE隧道对应的IPsec隧道”的过程，若GRE隧道的出接口为IPsec隧道，根据GRE隧道的出接口获取GRE隧道对应的IPsec隧道。或者，若为IPsec隧道配置用于指示“通过IPsec隧道对经过GRE隧道发送的报文进行处理”的策略，根据该策略获取GRE隧道对应的IPsec隧道。

步骤104，通过该IPsec隧道发送该第一IPsec隧道报文，以使接收到该第一IPsec隧道报文的对端设备根据该VPN信息发送第一报文。

在一个例子中，本端设备还可以接收对端设备通过IPsec隧道发送的第二IPsec隧道报文(对端设备发送第二IPsec隧道报文的过程，与本端设备发送第一IPsec隧道报文的过程类似，参见步骤101-步骤104)，第二IPsec隧道报文可以包括第二IPsec隧道头、包括VPN信息的第二GRE隧道头、第二报文。本端设备对第二IPsec隧道报文进行解封装，得到第二GRE隧道报文，并从该第二GRE隧道头中解析出VPN信息。本端设备对第二GRE隧道报文进行解封装，得到第二报文，并根据解析出的VPN信息发送第二报文，即通过第二报文的目的IP地址查询解析出的VPN信息对应的转发表，并根据查询结果发送第二报文。

在一个例子中，若该第二GRE隧道头还包括服务链标识，针对“从该第二GRE隧道头中解析出VPN信息”的过程，可以包括：从该第二GRE隧道头中解析出VPN信息以及服务链标识。进一步的，针对“根据解析出的VPN信息发送第二报文”的过程，可以包括：通过第二报文的目的IP地址查询解析出的VPN信息对应的转发表；根据查询结果将携带服务链标识的第二报文发送给业务处理设备，以使业务处理设备利用服务链标识对第二报文进行业务处理。

基于上述技术方案，本申请实施例中，在使用IPsec+VPN的分布式数据中心网络中，可以通过GRE隧道头来承载VPN信息，使得不同VPN的报文可以使用相同的IPsec隧道传输，从而避免针对每个VPN单独建立IPsec隧道，即可以针对所有VPN建立同一个IPsec隧道，从而可以节省IPsec隧道的资源，并节省公网地址资源。而且，在不同的数据中心之间，可以使用同一数据链服务，从而使得同类报文可以在不同数据中心的服务链中被执行，实现了跨数据中心的串行服务链，扩展了数据中心的业务使用方式，并可以提高业务体验。

以下结合图2所示的应用场景，对本申请实施例的上述技术方案进行说明。

参见图2所示，在使用IPsec+VPN的分布式数据中心网络中，网络设备R1是数据中心1的网关设备，网络设备R2是数据中心2的网关设备。而且，VTEP(VXLAN Tunnel EndPoint，VXLAN隧道端点)设备1与网络设备R1之间可以通过VXLAN(Virtual eXtensibleLocal Area Network，可扩展虚拟局域网络)隧道传输报文，VTEP设备2与网络设备R2之间可以通过VXLAN隧道传输报文。主机A和主机C属于VPN1，主机B和主机D属于VPN2。

在网络设备R1与网络设备R2之间建立IPsec隧道1，IPsec隧道1包括网络设备R1的IP地址A、网络设备R2的IP地址B、加密信息、出接口(网络设备R1上与网络设备R2连接的接口)等内容，对此内容与IPsec隧道的建立方式不做限制。与传统方式不同的是，这里不是针对VPN1和VPN2单独建立IPsec隧道，而是针对VPN1和VPN2只建立一个IPsec隧道1。

在网络设备R1与网络设备R2之间建立该IPsec隧道1对应的GRE隧道1，该GRE隧道1的出接口为该IPsec隧道1。其中，该GRE隧道1包括网络设备R1的IP地址C、网络设备R2的IP地址D、出接口(即IPsec隧道1)等内容，对此内容与GRE隧道的建立方式不做限制。与传统方式不同的是，这里的出接口不是网络设备R1上与网络设备R2连接的接口，而是IPsec隧道1。

以转发表是路由表为例进行说明，网络设备R2通过IPsec隧道1将主机C对应的路由发布给网络设备R1，该路由包括主机C的IP地址Y、主机C所属的VPN1、网络设备R2的IP地址D。网络设备R1在获得该路由后，由于下一跳地址为网络设备R2的IP地址D，也就是GRE隧道1的对端地址，因此，在VPN1对应的路由表中添加路由表项，并在该路由表项中记录主机C的IP地址Y，记录出接口为GRE隧道1，如表1所示。同理，网络设备R2通过IPsec隧道1将主机D对应的路由发布给网络设备R1，网络设备R1在VPN2对应的路由表中添加路由表项，并在该路由表项中记录主机D的IP地址Z，并记录出接口为GRE隧道1。当然，路由表项中还可以包括其它内容，对此不做限制。而且，还可以采用静态配置方式维护表1所示的路由表，对此不做限制。与传统方式不同的是，路由表项中的出接口不是IPsec隧道1，而是GRE隧道1。

表1

在上述应用场景下，以主机A向主机C发送报文(如报文1)为例，则本申请实施例中提出的报文传输方法，可以包括但不限于如下步骤：

步骤1、主机A向VTEP设备1发送报文1。其中，该报文1的源IP地址可以为主机A的IP地址X，目的IP地址可以为主机C的IP地址Y。

步骤2、VTEP设备1在接收到报文1后，为报文1封装VXLAN头，得到报文2，对此封装VXLAN头的方式不做限制，可以参考传统VXLAN封装方式。

在一个例子中，VTEP设备1在接收到报文1后，若报文1需要进行服务链处理，则VTEP设备1确定报文1对应的服务链标识，而且，VTEP设备1在为报文1封装VXLAN头时，还需要将服务链标识添加到VXLAN头中。

步骤3、VTEP设备1通过VXLAN隧道将报文2发送给网络设备R1。

在一个例子中，VTEP设备1在得到报文2后，假设VXLAN头未携带服务链标识，则VTEP设备1通过VXLAN隧道直接将报文2发送给网络设备R1。若VXLAN头携带服务链标识，则VTEP设备1可以将报文2发送给服务链标识对应的业务处理设备，由业务处理设备利用该服务链标识对接收到的报文进行业务处理(如流量统计处理、流量安全处理等，对此业务处理方式不做限制)，在业务处理完成后，由业务处理设备将处理后的报文发送给网络设备R1。对于处理后的报文，可能与上述报文2相同，也可能与上述报文2不同，与业务处理方式有关，为了方便描述，以将报文2发送至网络设备R1为例进行说明。

步骤4、网络设备R1在接收到报文2后，剥掉VXLAN头，得到报文1。

步骤5、网络设备R1通过报文1的接收接口确定报文1对应VPN1，并通过报文1的目的IP地址(即主机C的IP地址Y)查询该VPN1对应的路由表，得到与该目的IP地址对应的出接口，该出接口为GRE隧道1。

步骤6、网络设备R1为报文1封装GRE隧道1对应的GRE隧道头，得到报文3，且在该报文3的GRE隧道头中，包括该VPN1。

在一个例子中，网络设备R1在接收到报文2后，若发现VXLAN头中包括服务链标识，则还可以从VXLAN头中解析出服务链标识。而且，网络设备R1在为报文1封装GRE隧道1对应的GRE隧道头时，还可以在GRE隧道头中添加该服务链标识，即报文3的GRE隧道头中，包括VPN1和服务链标识。

在一个例子中，网络设备R1在为报文1封装GRE隧道1对应的GRE隧道头时，网络设备R1可以将GRE隧道头的源IP地址设置为网络设备R1的IP地址C，并将GRE隧道头的目的IP地址设置为网络设备R2的IP地址D。

而且，GRE隧道头还可以包括校验和C(即Checksum)、秘钥K(即Key)、序列号S(即Sequence Number)、预留R(即Reserved)等字段，因此，网络设备R1可以将VPN1(或者VPN1和服务链标识)添加到GRE隧道头的预留R字段中，而GRE隧道头的校验和C、秘钥K、序列号S等字段，可以根据实际需要进行配置，对此不做限制。其中，预留R字段可以为2个字节，VPN信息占用第1个字节，服务链标识占用第2个字节。由于一个字节共8比特，可以用8比特表示256种类型，因此，针对第1个字节，可以使用00000000表示VPN1，使用00000001表示VPN2，以此类推。而针对第2个字节，可以使用00000000表示服务链标识1，使用00000001表示服务链标识2，以此类推。

当然，在实际应用中，并不局限于使用预留R字段来承载VPN1(或者VPN1和服务链标识)，还可以使用GRE隧道头的校验和C、秘钥K、序列号S等字段，来承载VPN1(或者VPN1和服务链标识)，只要网络设备R1和网络设备R2预先协商好每个字段的含义即可，其实现方式与预留R字段的实现方式相同，在此不再赘述。而且，由于网络设备R1与网络设备R2之间的网络设备，不会对GRE隧道头的内容进行解析，因此，GRE隧道头可以携带私有属性信息。

步骤7、网络设备R1确定GRE隧道1对应的IPsec隧道，即IPsec隧道1。

在一个例子中，由于GRE隧道1的出接口为IPsec隧道1，因此，网络设备R1可以直接确定出GRE隧道1对应的IPsec隧道为IPsec隧道1。

步骤8、网络设备R1为报文3封装IPsec隧道1对应的IPsec隧道头，得到报文4，在报文4中，从外到内依次为IPsec隧道头、GRE隧道头、报文1。

在一个例子中，由于IPsec隧道1包括网络设备R1的IP地址A、网络设备R2的IP地址B、加密信息、出接口等内容，因此，针对“网络设备R1为报文3封装IPsec隧道1对应的IPsec隧道头”的过程，网络设备R1可以利用该加密信息对报文3进行加密处理，然后为加密处理后的报文封装IPsec隧道头。其中，该IPsec隧道头的源IP地址为网络设备R1的IP地址A，目的IP地址为网络设备R2的IP地址B。对于IPsec隧道头的封装过程，在此不再详加赘述。

步骤9、网络设备R1通过IPsec隧道1发送报文4，即网络设备R1通过IPsec隧道1的出接口(即网络设备R1上与网络设备R2连接的接口)发送报文4。

步骤10、网络设备R2接收网络设备R1通过IPsec隧道1发送的报文4。

步骤11、网络设备R2在接收到报文4后，剥掉该报文4的IPsec隧道头，得到上述报文3，而且，该报文3可以包括GRE隧道头和报文1。

步骤12、网络设备R2可以从该GRE隧道头中解析出VPN1；或者，网络设备R2可以从该GRE隧道头中解析出VPN1以及服务链标识。

步骤13、网络设备R2剥掉该报文3的GRE隧道头，得到上述报文1。

步骤14、网络设备R2通过上述报文1的目的IP地址(即主机C的IP地址Y)查询VPN1对应的路由表，得到与该目的IP地址对应的出接口。

其中，该出接口可以为网络设备R2与VTEP设备2之间的VXLAN隧道。

步骤15、网络设备R2为报文1封装该VXLAN隧道对应的VXLAN头，得到报文5，对此封装VXLAN头的方式不做限制，可参考传统VXLAN封装方式。

在一个例子中，若从GRE隧道头中解析出服务链标识，则在为报文1封装VXLAN头时，还可以在VXLAN头中添加该服务链标识，以得到上述报文5。

步骤16、网络设备R2通过该VXLAN隧道将报文5发送给VTEP设备2。

在一个例子中，网络设备R2在得到报文5后，假设VXLAN头未携带服务链标识，则网络设备R2通过VXLAN隧道直接将报文5发送给VTEP设备2。若VXLAN头携带服务链标识，则网络设备R2可以将报文5发送给服务链标识对应的业务处理设备，由业务处理设备利用该服务链标识对接收到的报文进行业务处理(如流量统计处理、流量安全处理等，对此业务处理方式不做限制)，在业务处理完成后，由业务处理设备将处理后的报文发送给VTEP设备2。对于处理后的报文，可能与上述报文5相同，也可能与上述报文5不同，与业务处理方式有关，为了方便描述，以将报文5发送至VTEP设备2为例进行说明。

步骤17、VTEP设备2在接收到报文5后，剥掉VXLAN头，得到报文1。

步骤18、VTEP设备2通过报文1的目的IP地址(即主机C的IP地址Y)，将报文1发送给主机C，至此，成功将报文1传输给主机C，完成报文传输。

基于上述技术方案，本申请实施例中，在使用IPsec+VPN的分布式数据中心网络中，可以通过GRE隧道头来承载VPN信息，使得不同VPN的报文可以使用相同的IPsec隧道传输，从而避免针对每个VPN单独建立IPsec隧道，即可以针对所有VPN建立同一个IPsec隧道，从而可以节省IPsec隧道的资源，并节省公网地址资源。而且，在不同的数据中心之间，可以使用同一数据链服务，从而使得同类报文可以在不同数据中心的服务链中被执行，实现了跨数据中心的串行服务链，扩展了数据中心的业务使用方式，并可以提高业务体验。而且，两个数据中心的服务链可以对同一个报文进行处理，并且前一个数据中心的服务链处理结果可以作为后一个数据中心的服务链的处理依据。

基于与上述方法同样的申请构思，本申请实施例中还提供了一种报文传输装置，该报文传输装置应用在本端设备上。其中，该报文传输装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的本端设备的处理器，读取非易失性存储器中对应的计算机程序指令形成的。从硬件层面而言，如图3所示，为本申请提出的报文传输装置所在的本端设备的一种硬件结构图，除了图3所示的处理器、非易失性存储器外，本端设备还可以包括其他硬件，如负责处理报文的转发芯片、网络接口、内存等；从硬件结构上来讲，该本端设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图4所示，为本申请提出的报文传输装置的结构图，应用于本端设备，在所述本端设备与对端设备之间建立有通用路由封装GRE隧道、以及与所述GRE隧道对应的网际互联协议安全IPsec隧道，所述装置包括：

获得模块11，用于在接收到第一报文后，确定所述第一报文对应的虚拟专用网络VPN信息，并通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；

处理模块12，用于当所述出接口为GRE隧道时，为第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，第一GRE隧道头包括所述VPN信息；获取所述GRE隧道对应的IPsec隧道，为所述第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；

发送模块13，用于通过所述IPsec隧道发送所述第一IPsec隧道报文，以使接收到第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。

在一个例子中，所述处理模块12，还用于接收所述对端设备通过所述IPsec隧道发送的路由，所述路由包括目的主机的IP地址、下一跳地址、VPN信息；若确定所述下一跳地址为所述GRE隧道的对端地址，则在所述路由包括的VPN信息对应的转发表中添加转发表项，所述转发表项中包括的地址为所述目的主机的IP地址，出接口为所述GRE隧道。

在一个例子中，所述GRE隧道的出接口为所述IPsec隧道；

所述处理模块12，具体用于在获取所述GRE隧道对应的IPsec隧道的过程中，根据所述GRE隧道的出接口获取所述GRE隧道对应的IPsec隧道。

所述处理模块12，具体用于在为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息的过程中，获取所述第一报文对应的服务链标识；为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息和所述服务链标识。

所述处理模块12，还用于接收所述对端设备通过所述IPsec隧道发送的第二IPsec隧道报文，其中，所述第二IPsec隧道报文包括第二IPsec隧道头、包括VPN信息的第二GRE隧道头、第二报文；对所述第二IPsec隧道报文进行解封装，得到第二GRE隧道报文，并从所述第二GRE隧道头中解析出VPN信息；对所述第二GRE隧道报文进行解封装，得到所述第二报文；

所述发送模块13，还用于根据解析出的VPN信息发送所述第二报文。

若所述第二GRE隧道头还包括服务链标识，所述处理模块12，具体用于在从所述第二GRE隧道头中解析出VPN信息的过程中，从所述第二GRE隧道头中解析出VPN信息和服务链标识；

所述发送模块13，具体用于在根据解析出的VPN信息发送所述第二报文的过程中，通过所述第二报文的目的IP地址查询解析出的VPN信息对应的转发表；

根据查询结果将携带所述服务链标识的第二报文发送给业务处理设备，以使所述业务处理设备利用所述服务链标识对所述第二报文进行业务处理。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可以采用完全硬件实施例、完全软件实施例、或者结合软件和硬件方面的实施例的形式。而且，本申请可以采用在一个或者多个其中包含有计算机可用程序代码的计算机可用存储介质(可以包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (12)

1.一种报文传输方法，应用于本端设备，其特征在于，在所述本端设备与对端设备之间建立有通用路由封装GRE隧道、以及与所述GRE隧道对应的网际互联协议安全IPsec隧道，所述方法包括以下步骤：

在接收到第一报文后，确定所述第一报文对应的虚拟专用网络VPN信息，并通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；

若所述出接口为GRE隧道，则为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息；

获取所述GRE隧道对应的IPsec隧道，为所述第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；

通过所述IPsec隧道发送所述第一IPsec隧道报文，以使接收到所述第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。

2.根据权利要求1所述的方法，其特征在于，所述通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表之前，所述方法还包括：

接收所述对端设备通过所述IPsec隧道发送的路由，所述路由包括目的主机的IP地址、下一跳地址、VPN信息；

若确定所述下一跳地址为所述GRE隧道的对端地址，则在所述路由包括的VPN信息对应的转发表中添加转发表项，所述转发表项中包括的地址为所述目的主机的IP地址，出接口为所述GRE隧道。

3.根据权利要求1所述的方法，其特征在于，所述GRE隧道的出接口为所述IPsec隧道，所述获取所述GRE隧道对应的IPsec隧道的过程，具体包括：

根据所述GRE隧道的出接口获取所述GRE隧道对应的IPsec隧道。

4.根据权利要求1所述的方法，其特征在于，

所述为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息，具体包括：

获取所述第一报文对应的服务链标识；

为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息和所述服务链标识。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收所述对端设备通过所述IPsec隧道发送的第二IPsec隧道报文，其中，所述第二IPsec隧道报文包括第二IPsec隧道头、包括VPN信息的第二GRE隧道头、第二报文；

对所述第二IPsec隧道报文进行解封装，得到第二GRE隧道报文，并从所述第二GRE隧道头中解析出VPN信息；

对所述第二GRE隧道报文进行解封装，得到所述第二报文，并根据解析出的VPN信息发送所述第二报文。

6.根据权利要求5所述的方法，其特征在于，

若所述第二GRE隧道头还包括服务链标识，所述从所述第二GRE隧道头中解析出VPN信息的过程，具体包括：

从所述第二GRE隧道头中解析出VPN信息以及服务链标识；

所述根据解析出的VPN信息发送所述第二报文的过程，具体包括：

通过所述第二报文的目的IP地址查询解析出的VPN信息对应的转发表；

根据查询结果将携带所述服务链标识的第二报文发送给业务处理设备，以使所述业务处理设备利用所述服务链标识对所述第二报文进行业务处理。

7.一种报文传输装置，应用于本端设备，其特征在于，在所述本端设备与对端设备之间建立有通用路由封装GRE隧道、以及与所述GRE隧道对应的网际互联协议安全IPsec隧道，所述装置具体包括：

获得模块，用于在接收到第一报文后，确定所述第一报文对应的虚拟专用网络VPN信息，并通过所述第一报文的目的IP地址查询所述VPN信息对应的转发表，得到与所述目的IP地址对应的出接口；

处理模块，用于当所述出接口为GRE隧道时，为第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，第一GRE隧道头包括所述VPN信息；获取所述GRE隧道对应的IPsec隧道，为所述第一GRE隧道报文封装所述IPsec隧道对应的第一IPsec隧道头，得到第一IPsec隧道报文；

发送模块，用于通过所述IPsec隧道发送所述第一IPsec隧道报文，以使接收到所述第一IPsec隧道报文的对端设备根据所述VPN信息发送所述第一报文。

8.根据权利要求7所述的装置，其特征在于，所述处理模块，还用于接收所述对端设备通过所述IPsec隧道发送的路由，所述路由包括目的主机的IP地址、下一跳地址、VPN信息；若确定所述下一跳地址为所述GRE隧道的对端地址，则在所述路由包括的VPN信息对应的转发表中添加转发表项，所述转发表项中包括的地址为所述目的主机的IP地址，出接口为所述GRE隧道。

9.根据权利要求7所述的装置，其特征在于，

所述GRE隧道的出接口为所述IPsec隧道；

所述处理模块，具体用于在获取所述GRE隧道对应的IPsec隧道的过程中，根据所述GRE隧道的出接口获取所述GRE隧道对应的IPsec隧道。

10.根据权利要求9所述的装置，其特征在于，

所述处理模块，具体用于在为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息的过程中，获取所述第一报文对应的服务链标识；

为所述第一报文封装所述GRE隧道对应的第一GRE隧道头，得到第一GRE隧道报文，所述第一GRE隧道头包括所述VPN信息和所述服务链标识。

11.根据权利要求7所述的装置，其特征在于，

所述处理模块，还用于接收所述对端设备通过所述IPsec隧道发送的第二IPsec隧道报文，其中，所述第二IPsec隧道报文包括第二IPsec隧道头、包括VPN信息的第二GRE隧道头、第二报文；对所述第二IPsec隧道报文进行解封装，得到第二GRE隧道报文，并从所述第二GRE隧道头中解析出VPN信息；对所述第二GRE隧道报文进行解封装，得到所述第二报文；

所述发送模块，还用于根据解析出的VPN信息发送所述第二报文。

12.根据权利要求11所述的装置，其特征在于，

若所述第二GRE隧道头还包括服务链标识，所述处理模块，具体用于在从所述第二GRE隧道头中解析出VPN信息的过程中，从所述第二GRE隧道头中解析出VPN信息和服务链标识；

所述发送模块，具体用于在根据解析出的VPN信息发送所述第二报文的过程中，通过所述第二报文的目的IP地址查询解析出的VPN信息对应的转发表；

根据查询结果将携带所述服务链标识的第二报文发送给业务处理设备，以使所述业务处理设备利用所述服务链标识对所述第二报文进行业务处理。