CN107800549B - 基于交换设备的端口实现多租户设备环境mdc的方法和装置 - Google Patents

Abstract

本申请提供了基于交换设备的端口实现多租户设备环境的方法和装置。本申请中，MDC既参与VLAN与VSI的映射，又参与三层表项的匹配，这就意味着MDC的配置中，不管是二层表项还是三层表项，都是与MDC相关的，实现了基于端口划分MDC的方式，突破以芯片为单位划分MDC端口的限制，并避免了同一芯片上不同MDC的MDC配置冲突。

Description

基于交换设备的端口实现多租户设备环境MDC的方法和装置

技术领域

本申请涉及网络通信技术，特别涉及基于交换设备的端口实现多租户设备环境(MDC：Multitenant Devices Context)的方法和装置。

背景技术

通过虚拟化技术将一台物理设备划分成多台逻辑设备，每台逻辑设备目前一般称为MDC。每台MDC都有支撑自身运行的MDC配置，MDC配置包含硬件资源和软件资源。硬件资源如独立的接口、CPU等，软件资源如路由表项、转发表项等。每台MDC具有独立的启动文件和配置文件，其创建、运行、重启、删除，并不会影响其它MDC。

不同MDC之间会存在相互冲突的MDC配置，为避免相互冲突的MDC配置下发至同一芯片，目前，对于交换设备，是按照芯片划分MDC的，规定同一个芯片上所有外部端口只属于一个MDC，一个芯片只下发一个MDC的MDC配置，避免了不同MDC之间相互冲突的MDC配置下发至同一芯片。

但是，按照芯片划分MDC的应用范围受限，无法做到灵活地按照实际业务需求划分MDC。

发明内容

本申请提供了基于交换设备的端口实现多租户设备环境的方法和装置，以突破以芯片为单位划分MDC端口的限制。

本申请提供的技术方案包括：

一种基于交换设备的端口实现多租户设备环境MDC的方法，该方法应用于交换设备，包括：

通过本地端口接收报文；

在报文为二层报文时，依据所述端口所属MDC的标识ID和所述报文所属VLAN的标识ID确定报文所属的虚拟转发实例VSI，在所述端口所处芯片上找到与所述VSI和所述报文的目的MAC地址匹配的二层表项，依据匹配的二层表项在所述VSI内转发报文；

在报文为三层报文时，依据所述端口所属MDC的ID和所述报文所属第一VRF的ID确定第二VRF，在所述端口所处芯片上找到与第二VRF和报文的目的IP地址匹配的三层表项，依据所述第二VRF匹配的三层表项转发报文。

一种基于交换设备的端口实现多租户设备环境MDC的装置，该装置应用于交换设备，包括：

MDC配置存储单元，用于存储二层表项、三层表项；

接收单元，用于通过本地端口接收报文；

二层转发单元，用于在报文为二层报文时，依据所述端口所属MDC的标识ID和所述报文所属VLAN的标识ID确定报文所属的虚拟转发实例VSI，在MDC配置存储单元本地找到与所述VSI和所述报文的目的MAC地址匹配的二层表项，依据匹配的二层表项在所述VSI内转发报文；

三层转发单元，用于在报文为三层报文时，依据所述端口所属MDC的ID和所述报文所属第一VRF的ID确定第二VRF，在MDC配置存储单元本地找到与第二VRF和报文的目的IP地址匹配的三层表项，依据所述第二VRF匹配的三层表项转发报文。

由以上技术方案可以看出，本发明中，由于MDC既参与VLAN与VSI的映射，又参与三层表项的匹配，这就意味着MDC的配置中，不管是二层表项还是三层表项，都是与MDC相关的，实现了基于端口划分MDC的方式，突破以芯片为单位划分MDC端口的限制，且避免了同一芯片上不同MDC的MDC配置冲突。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1为本发明提供的方法流程图；

图2为本发明提供的实施例1实现示意图；

图3为本发明提供的实施例2实现示意图；

图4为本发明提供的装置结构示意图；

图5为本发明提供的图4所示装置结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明提供的方法是基于端口划分MDC，突破了交换设备上以芯片为单位划分MDC的限制，实现了按照实际业务需求将交换设备上的端口划分到对应的MDC。下面通过图1对本发明提供的方法进行描述：

参见图1，图1为本发明提供的方法流程图。该流程应用于交换设备。如图1所示，该流程可包括以下步骤：

步骤101，通过本地端口接收报文，在报文为二层报文时，执行步骤102，在报文为三层报文时，执行步骤103。

步骤102，依据端口所属MDC的标识(ID)和报文所属VLAN的标识(ID)确定报文所属的虚拟转发实例(VSI：Virtual Switch Instant)，在端口所处芯片上找到VSI匹配的二层表项，依据VSI匹配的二层表项在VSI内转发报文。

步骤103，依据端口所属MDC的ID和报文所属第一VRF的ID确定第二VRF，在所述端口所处芯片上找到第二VRF匹配的三层表项，依据第二VRF匹配的三层表项在转发报文。

至此，完成图1所示流程。

通过图1所示流程可以看出，在本发明中，由于MDC既参与VLAN与VSI的映射，又参与三层表项的匹配，这就意味着MDC的配置中，不管是二层表项还是三层表项，都是与MDC相关的，实现了基于端口划分MDC的方式，突破以芯片为单位划分MDC端口的限制，且避免了同一芯片上不同MDC的MDC配置冲突。

下面通过实施例对图1所示流程进行描述：

实施例1：

参见图2，图2为本发明提供的实施例1的实现示意图。在图2中，交换设备的端口Port1_1、Port2_2、Port3_3、Port4_4处于同一芯片Chip1_1。Port1_1、Port4_4属于MDC1_1，Port2_2、Port3_3属于MDC1_2。

在图2中，Port1_1、Port2_2、Port3_3、Port4_4同属于VLAN1_1。

以主机1二层访问主机4为例，则，

如图2所示，交换设备通过Port1_1接收二层(数据链路层)的报文1_1。报文1_1的源MAC地址为主机1的MAC地址MAC1_1，目的MAC地址为主机4的MAC地址MAC4_4。

交换设备将Port1_1所属的MDC1_1和Port1_1所属的VLAN1_1映射为一个VSI。对于本实施例1基于端口划分MDC的方式，该方式下，一个芯片上的至少两个不同端口比如Port1_1与Port2_2属于不同MDC，但是同属同一个VlAN，针对这种情况，如果再依据现有按照芯片划分MDC的方式仅仅设置VlAN ID与VSI一一对应，会导致不同MDC对应相同VSI，最终会引起不同MDC下相同VLAN ID的二层报文跨MDC转发。为避免不同MDC下相同VLAN ID的二层报文跨MDC转发，作为一个实施方式，在本实施例1中，可将MDC ID参与VLAN ID与VSI的对应，即设定MDC ID、VLAN ID与VSI的映射原则，具体为：MDC ID+VLAN ID--->VSI ID。交换设备依据映射原则将Port1_1所属的MDC1_1和Port1_1所属的VLAN1_1映射为一个VSI。通过MDC ID、VLAN ID与VSI的映射原则，最终会将VSI ID与VlAN ID相互分离，使得不同MDC下相同VLAN ID的二层报文在不同的VSI内转发，不会跨MDC转发，实现了MDC间的二层端口隔离功能。

为便于描述，这里将MDC1_1和VLAN1_1映射的VSI记为VSI1_1。

交换设备在Chip1_1本地查找与VSI1_1和报文1_1的目的MAC地址MAC4_4匹配的二层表项。作为一个实施例，这里的二层表项，包括但不限于MAC表项等。为便于描述，这里将与VSI1_1和报文1_1的目的MAC地址MAC4_4匹配的二层表项记为表项1_1。表1举例示出了表项1_1。

VSI1_1

MAC4_4

Port4_4

表1

当在Chip1_1本地找到表项1_1时，通过表项1_1中的Port4_4在VSI1_1内转发报文1_1。最终报文1_1到达主机4，实现了主机1访问主机4。

当Chip1_1本地不存在与报文1_1的源MAC地址MAC1_1和VSI1_1匹配的二层表项时，依据接收报文1_1的端口Port1_1和报文1_1的源MAC地址MAC1_1学习与MAC1_1和VSI1_1匹配的二层表项。为便于描述，这里将与VSI1_1和报文1_1的源MAC地址MAC1_1匹配的二层表项记为表项2_2。表2举例示出了表项2_2：

VSI1_1

MAC1_1

Port1_1

表2

之后，当主机4二层访问主机1时，交换设备通过Port4_4接收二层(数据链路层)的报文2_2。报文2_2的源MAC地址为主机4的MAC地址MAC4_4，目的MAC地址为主机1的MAC地址MAC1_1。

交换设备将Port4_4所属的MDC1_1和Port4_4所属的VLAN1_1映射为一个VSI。映射的VSI为上述的VSI1_1。

交换设备在Chip1_1本地查找与VSI1_1和报文2_2的目的MAC地址MAC1_1匹配的二层表项。该二层表项为上述的表项2_2。

交换设备通过表项2_2的端口Port1_1在VSI1_1内转发报文2_2，最终报文2_2到达主机1。实现了主机4访问主机1。

以上对主机4与主机1之间的二层互访进行了描述。

再以主机3访问主机2为例，

如图2所示，交换设备通过Port3_3接收二层(数据链路层)的报文3_3。报文3_3的源MAC地址为主机3的MAC地址MAC3_3，目的MAC地址为主机2的MAC地址MAC2_2。

交换设备将Port3_3所属的MDC2_2和Port3_3所属的VLAN1_1映射为一个VSI。为便于描述，这里将MDC2_2和VLAN1_1映射的VSI记为VSI3_3。

交换设备在Chip1_1本地查找与VSI3_3和报文3_3的目的MAC地址MAC2_2匹配的二层表项。为便于描述，这里将与VSI3_3和报文3_3的目的MAC地址MAC2_2匹配的二层表项记为表项3_3。

表3举例示出了表项3_3

VSI3_3

MAC2_2

Port2_2

表3

当在Chip1_1本地找到表项3_3时，通过表项3_3中的Port2_2转发报文3_3。最终报文3_3到达主机2，实现了主机3访问主机2。

当Chip1_1本地不存在与报文3_3的源MAC地址MAC3_3和VSI3_3匹配的二层表项时，依据接收报文3_3的端口Port3_3和报文3_3的源MAC地址MAC3_3学习与MAC3_3和VSI3_3匹配的二层表项。为便于描述，这里将与VSI3_3和报文3_3的源MAC地址MAC3_3匹配的二层表项记为表项4_4。

表4举例示出了表项4_4

VSI3_3

MAC3_3

Port3_3

表4

之后，当主机2访问主机3时，交换设备通过Port2_2接收二层(数据链路层)的报文4_4。报文4_4的源MAC地址为主机2的MAC地址MAC2_2，目的MAC地址为主机4的MAC地址MAC4_4。

交换设备将Port2_2所属的MDC2_2和Port2_2所属的VLAN1_1映射为一个VSI。映射的VSI为上述的VSI3_3。

交换设备在Chip1_1本地查找与VSI3_3和报文4_4的目的MAC地址MAC3_3匹配的二层表项。该二层表项为上述的表项4_4。

交换设备通过表项4_4的端口Port3_3在VSI3_3内转发报文4_4，最终报文4_4到达主机3。实现了主机2访问主机3。

在上面描述中，表项1_1、表项2_2都属于MDC1_1的MDC配置。表项3_3、表项4_4都属于MDC2_2的MDC配置。以表项2_2和表项4_4为例，通过比较表项2_2和表项4_4发现，即使Port1_1、Port3_3同属于VLAN1_1，但因为Port1_1、Port3_3分属不同的MDC，最终学习的二层表项也是不同的，这也保证同一芯片上不同MDC的MDC配置不冲突，也不会引起不同MDC下相同VLAN ID的二层报文跨MDC转发。

至此，完成实施例1的描述。

实施例2：

参见图3，图3为本发明提供的实施例2的实现示意图。在图3中，交换设备的端口Port1_1、Port2_2、Port3_3、Port4_4处于同一芯片Chip1_1。Port1_1、Port4_4属于MDC1_1，Port2_2、Port3_3属于MDC1_2。

在图3中，Port1_1、Port2_2、Port3_3、Port4_4同属于VLAN1_1。

以主机1三层访问主机4为例，

如图3所示，交换设备通过Port1_1接收三层(网络层)的报文5_5。报文5_5是由主机1发送给主机4的，源IP地址为IP1_1，目的IP地址为IP4_4。

交换设备将Port1_1所属的MDC1_1和报文5_5所属的VRF1_1映射为一个VRF。对于本实施例2基于端口划分MDC的方式，本方式下，不同MDC下的三层表项可能是相同的，其如果都下发至同一芯片，则会导致匹配不同MDC下的三层表项，影响正常的查表转发。为避免这种情况，作为一个实施方式，本实施例2中，可将MDC参与至三层表项。在MDC参与三层表项的前提下，本实施例2还需要预先设定VRF映射原则，该VRF映射原则用于由MDC ID和一个VRF ID结合重新映射出另一个VRF，具体为：MDC ID+VRF ID--->VRF ID’。基于此，交换设备按照预设的VRF映射原则，将MDC1_1和报文5_5所属的VRF1_1映射出一个对应的VRF。通过VRF映射原则可以很好地区分出不同MDC映射的不同VRF。

为便于描述，这里将MDC1_1和VRF1_1映射出的VRF记为VRF2_2。

交换设备在Chip1_1本地找到与VRF2_2和报文的目的IP地址IP4_4匹配的三层表项。作为一个实施例，这里的三层表项，包括但不限于单播路由表项、组播路由表项、ARP表项、MPLS表项、L2VPN表项等。为便于描述，这里将与VRF2_2和报文的目的IP地址IP4_4匹配的三层表项记为表项5_5。

当在Chip1_1本地找到表项5_5时，直接依据表项5_5转发报文5_5。最终报文5_5会转发至主机4。

当Chip1_1本地不存在报文5_5的源IP地址IP1_1和VRF2_2匹配的三层表项时，依据收到报文5_5的Port1_1和报文5_5的源IP地址IP1_1学习与报文5_5的源IP地址IP1_1和VRF2_2匹配的三层表项。为便于描述，这里将与IP1_1和VRF2_2匹配的三层表项记为表项6_6。表5以三层表项为单播路由表项为例举例示出了表项6_6：

VRF2_2

IP1_1

Port1_1

表5

之后，当主机4三层访问主机1时，交换设备通过Port4_4接收三层报文6_6。报文6_6是由主机4发送给主机1的，源IP地址为IP4_4，目的IP地址为IP1_1。

交换设备将Port4_4所属的MDC1_1和报文6_6所属的VRF1_1映射为一个VRF。映射的VRF为上述的VRF2_2。

交换设备在Chip1_1本地查找与VRF2_2和报文的目的IP地址IP1_1匹配的三层表项。该三层表项为上述的表项6_6。

交换设备通过表项6_6的端口Port1_1转发报文6_6，最终报文6_6到达主机1。实现了主机4三层访问主机1。

以上对主机4与主机1之间的三层互访进行了描述。

再以主机2三层访问主机3为例，

如图3所示，交换设备通过Port2_2接收三层(网络层)的报文7_7。报文7_7是由主机2发送给主机3的，源IP地址为IP2_2，目的IP地址为IP3_3。

交换设备将Port2_2所属的MDC2_2和报文7_7所属的VRF1_1映射为一个VRF。为便于描述，这里将MDC2_2和VRF1_1映射出的VRF记为VRF3_3。

交换设备在Chip1_1本地找到与VRF3_3和报文的目的IP地址IP3_3匹配的三层表项。为便于描述，这里将与VRF3_3和报文的目的IP地址IP3_3匹配的三层表项记为表项7_7。

当在Chip1_1本地找到表项7_7时，直接依据表项7_7转发报文7_7。最终报文7_7会转发至主机3。

当Chip1_1本地不存在报文7_7的源IP地址IP2_2和VRF3_3匹配的三层表项时，依据收到报文7_7的Port2_2和报文7_7的源IP地址IP2_2学习与报文7_7的源IP地址IP2_2和VRF3_3匹配的三层表项。为便于描述，这里将与IP2_2和VRF3_3匹配的三层表项记为表项8_8。表6以三层表项为单播路由表项为例举例示出了表项8_8：

VRF3_3

IP2_2

Port2_2

表6

之后，当主机3三层访问主机2时，交换设备通过Port3_3接收三层报文8_8。报文8_8是由主机3发送给主机2的，源IP地址为IP3_3，目的IP地址为IP2_2。

交换设备将Port3_3所属的MDC2_2和报文8_8所属的VRF1_1映射为一个VRF。映射的VRF为上述的VRF3_3。

交换设备在Chip1_1本地查找与VRF3_3和报文的目的IP地址IP2_2匹配的三层表项。该三层表项为上述的表项8_8。

交换设备通过表项8_8的端口Port2_2转发报文8_8，最终报文8_8到达主机2。实现了主机3三层访问主机2。

以上对主机3与主机2之间的三层互访进行了描述。

在上面描述中，表项5_5、表项6_6都属于MDC1_1的MDC配置。表项7_7、表项8_8都属于MDC2_2的MDC配置。通过比较表项6_6和表项8_8发现，即使Port1_1、Port1_2接收到同属于VRF1_1的报文，但因为Port1_1、Port1_2分属不同的MDC，最终学习的三层表项也是不同的，很好地区分出不同MDC映射的不同VRF。

至此，完成实施例2的描述。

需要说明的是，在本发明中，MDC配置还可包含服务质量访问控制列表(QACL：QosACL)。基于此，对于交换设备，当通过端口收到报文时，还可在端口所处芯片上找到用于对报文进行访问控制的QACL，依据找到的QACL对报文进行访问控制。

在本发明中，QACL细分三种模式：基于端口、基于VlAN、全局模式。当QACL基于端口时，其与本发明提供的基于端口划分MDC的方式相吻合，可直接依据收到报文的端口找到匹配的QACL；而当QACL基于VLAN时，则与上述映射VSI的描述类似，这里可先将收到报文的端口所属的MDC和VLAN映射为一个VSI，找到匹配VSI的QACL；当QACL是全局模式，则可依据收到报文的端口所属的MDC被分配的端口级别标识(Port Class ID)找到匹配的QACL。在本发明中，可预先为不同MDC分配不同的Port Class ID，MDC被分配的Port Class ID与MDC的QACL匹配。通过为MDC分配Port Class ID，能够避免报文匹配出不同MDC的全局QACL。

还需要说明的是，在本发明中，不管是芯片的全局资源，还是上述的VRF，其都是有限制的，当多个MDC都使用时，需要进行资源管理和分配，比如按照谁先使用谁先占用的方式动态分配，或者预先针对各个MDC划分一部分资源，各个MDC仅在其被划分的资源范围内使用资源等，本发明并不具体限定。

以上对本发明提供的方法进行了描述。下面对本发明提供的装置进行描述：

参见图4，图4为本发明提供的装置结构图。该装置应用于交换设备，包括：

MDC配置存储单元，用于存储二层表项、三层表项；

接收单元，用于通过本地端口接收报文；

二层转发单元，用于在报文为二层报文时，依据所述端口所属MDC的标识ID和所述报文所属VLAN的标识ID确定报文所属的虚拟转发实例VSI，在MDC配置存储单元本地找到与所述VSI和所述报文的目的MAC地址匹配的二层表项，依据匹配的二层表项在所述VSI内转发报文；

三层转发单元，用于在报文为三层报文时，依据所述端口所属MDC的ID和所述报文所属第一VRF的ID确定第二VRF，在MDC配置存储单元本地找到与第二VRF和报文的目的IP地址匹配的三层表项，依据所述第二VRF匹配的三层表项转发报文。

优选地，所述二层转发单元依据端口所属的MDC和所述报文所属的VLAN确定报文所属的虚拟转发实例VSI包括：按照预设的MDC ID、VLAN ID与VSI的映射原则，将所述端口所属MDC的ID和所述报文所属VLAN的ID映射出一个对应的VSI；将映射出的VSI确定为所述报文所属的虚拟转发实例VSI；

优选地，所述三层转发单元依据端口所属MDC的ID和报文所属第一VRF的ID确定第二VRF包括：按照预设的VRF映射原则，将所述端口所属MDC的ID和所述报文所属第一VRF的ID映射出一个对应的第二VRF；所述VRF映射原则用于由MDC ID和一个VRF ID结合重新映射出另一个VRF。

优选地，当所述二层转发单元未找到匹配的二层表项时，进一步学习与所述报文的源MAC地址和所述VSI匹配的二层表项并记录至所述MDC配置存储单元；

当所述三层转发单元未找到匹配的三层表项时，进一步学习第二VRF和报文的源IP地址匹配的三层表项并记录至所述MDC配置存储单元。

优选地，所述MDC配置存储单元进一步存储QACL；

如图4所示，该装置进一步包括：

访问控制单元，用于在所述MDC配置存储单元本地找到所述端口匹配的QACL，或者，依据所述端口所属的MDC和VLAN确定VSI，在所述端口所处芯片上找到VSI匹配的基于VLAN的QACL，或者，依据所述端口所属的MDC被分配的端口级别标识Port Class ID在所述端口所处芯片上找到匹配的QACL；依据找到的QACL对所述报文进行访问控制。

至此，完成图4所示装置的结构描述。

对应地，本发明还提供了图4所示装置的硬件结构。参见图5，图5为本申请提供的图4所示装置的硬件结构示意图。该装置包含：

存储器，用于存放MDC配置存储单元运行的程序指令、接收单元运行的程序指令、二层转发单元运行的程序指令、三层转发单元运行的程序指令、访问控制单元运行的程序指令；

处理器，用于执行MDC配置存储单元运行的程序指令、用于执行接收单元运行的程序指令、用于执行二层转发单元运行的程序指令、用于执行三层转发单元运行的程序指令、用于执行访问控制单元运行的程序指令。其中，处理器执行MDC配置存储单元运行的程序指令所执行的操作如上MDC配置存储单元执行的操作，处理器执行接收单元运行的程序指令所执行的操作如上接收单元执行的操作，处理器执行二层转发单元运行的程序指令所执行的操作如上二层转发单元执行的操作，处理器执行三层转发单元运行的程序指令所执行的操作如上三层转发单元执行的操作，处理器执行访问控制单元运行的程序指令所执行的操作如上访问控制单元执行的操作。

如图5所示，该硬件结构还可以包括一个电源组件被配置为执行装置的电源管理，一个有线或无线网络接口被配置为将装置连接到网络，和一个输入输出(I/O)接口。

至此，完成图5所示的硬件结构描述。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种基于交换设备的端口实现多租户设备环境MDC的方法，其特征在于，该方法应用于交换设备，包括：

通过本地端口接收报文；

在报文为二层报文时，依据所述端口所属MDC的标识ID和所述报文所属虚拟局域网VLAN的标识ID确定报文所属的虚拟转发实例VSI，在所述端口所处芯片上找到与所述VSI和所述报文的目的MAC地址匹配的二层表项，依据匹配的二层表项在所述VSI内转发报文；

在报文为三层报文时，依据所述端口所属MDC的ID和所述报文所属第一虚拟路由转发VRF的ID确定第二VRF，在所述端口所处芯片上找到与第二VRF和报文的目的IP地址匹配的三层表项，依据所述第二VRF匹配的三层表项转发报文。

2.根据权利要求1所述的方法，其特征在于，所述依据端口所属的MDC和所述报文所属的VLAN确定报文所属的虚拟转发实例VSI包括：

按照预设的MDC ID、VLAN ID与VSI的映射原则，将所述端口所属MDC的ID和所述报文所属VLAN的ID映射出一个对应的VSI；

将映射出的VSI确定为所述报文所属的虚拟转发实例VSI。

3.根据权利要求1所述的方法，其特征在于，所述依据端口所属MDC的ID和报文所属第一VRF的ID确定第二VRF包括：

按照预设的VRF映射原则，将所述端口所属MDC的ID和所述报文所属第一VRF的ID映射出一个对应的第二VRF；所述VRF映射原则用于由MDCID和一个VRF ID结合重新映射出另一个VRF。

4.根据权利要求1所述的方法，其特征在于，当未找到匹配的二层表项时，该方法进一步包括：

学习与所述报文的源MAC地址和所述VSI匹配的二层表项并记录至所述端口所处芯片。

5.根据权利要求1所述的方法，其特征在于，当未找到匹配的三层表项时，该方法进一步包括：

学习第二VRF和报文的源IP地址匹配的三层表项并记录至所述端口所处芯片。

6.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

在所述端口所处芯片上找到所述端口匹配的服务质量访问控制列表QACL，或者，依据所述端口所属的MDC和VLAN确定VSI，在所述端口所处芯片上找到VSI匹配的基于VLAN的QACL，或者，依据所述端口所属的MDC被分配的端口级别标识Port Class ID在所述端口所处芯片上找到匹配的QACL；

依据找到的QACL对所述报文进行访问控制。

7.一种基于交换设备的端口实现多租户设备环境MDC的装置，其特征在于，该装置应用于交换设备，包括：

MDC配置存储单元，用于存储二层表项、三层表项；

接收单元，用于通过本地端口接收报文；

二层转发单元，用于在报文为二层报文时，依据所述端口所属MDC的标识ID和所述报文所属虚拟局域网VLAN的标识ID确定报文所属的虚拟转发实例VSI，在MDC配置存储单元本地找到与所述VSI和所述报文的目的MAC地址匹配的二层表项，依据匹配的二层表项在所述VSI内转发报文；

三层转发单元，用于在报文为三层报文时，依据所述端口所属MDC的ID和所述报文所属第一虚拟路由转发VRF的ID确定第二VRF，在MDC配置存储单元本地找到与第二VRF和报文的目的IP地址匹配的三层表项，依据所述第二VRF匹配的三层表项转发报文。

8.根据权利要求7所述的装置，其特征在于，所述二层转发单元依据端口所属的MDC和所述报文所属的VLAN确定报文所属的虚拟转发实例VSI包括：按照预设的MDCID、VLAN ID与VSI的映射原则，将所述端口所属MDC的ID和所述报文所属VLAN的ID映射出一个对应的VSI；将映射出的VSI确定为所述报文所属的虚拟转发实例VSI；

所述三层转发单元依据端口所属MDC的ID和报文所属第一VRF的ID确定第二VRF包括：按照预设的VRF映射原则，将所述端口所属MDC的ID和所述报文所属第一VRF的ID映射出一个对应的第二VRF；所述VRF映射原则用于由MDCID和一个VRF ID结合重新映射出另一个VRF。

9.根据权利要求7所述的装置，其特征在于，当所述二层转发单元未找到匹配的二层表项时，进一步学习与所述报文的源MAC地址和所述VSI匹配的二层表项并记录至所述MDC配置存储单元；

当所述三层转发单元未找到匹配的三层表项时，进一步学习第二VRF和报文的源IP地址匹配的三层表项并记录至所述MDC配置存储单元。

10.根据权利要求7所述的装置，其特征在于，所述MDC配置存储单元进一步存储服务质量访问控制列表QACL；

该装置进一步包括：

访问控制单元，用于在所述MDC配置存储单元本地找到所述端口匹配的QACL，或者，依据所述端口所属的MDC和VLAN确定VSI，在所述端口所处芯片上找到VSI匹配的基于VLAN的QACL，或者，依据所述端口所属的MDC被分配的端口级别标识Port Class ID在所述端口所处芯片上找到匹配的QACL；依据找到的QACL对所述报文进行访问控制。

Images