CN108111471B

CN108111471B - 报文的处理方法、系统及vtep

Info

Publication number: CN108111471B
Application number: CN201611054684.9A
Authority: CN
Inventors: 陈华南; 朱永庆; 伍佑明; 邹洁
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2016-11-25
Filing date: 2016-11-25
Publication date: 2021-05-11
Anticipated expiration: 2036-11-25
Also published as: CN108111471A

Abstract

本发明公开了一种报文的处理方法、系统及VTEP，涉及通信网络技术领域，其中，所述方法包括：虚拟可扩展局域网隧道端点VTEP接收另一VTEP发送的报文，所述报文携带所述另一VTEP的标识信息；所述VTEP根据所述另一VTEP的标识信息与本地存储的同一VXLAN网络标识符VNI下不同VTEP的鉴权标识信息判断所述另一VTEP是否合法；若所述另一VTEP合法，则所述VTEP对所述报文进行转发。本发明实施例可以提高不同VTEP之间交互的安全性。

Description

报文的处理方法、系统及VTEP

技术领域

本发明涉及通信网络技术领域，尤其是一种报文的处理方法、系统及VTEP。

背景技术

VXLAN(virtual Extensible LAN，虚拟可扩展局域网)是当前叠加网络的实现代表，VXLAN通过UDP(User Datagram Protocol，用户数据报协议)扩展可以实现报文二层信息的跨三层传递，因此，被广泛应用在云多租户业务及二层专线业务中。

VXLAN可以通过VNI(VXLAN Network Identifier，VXLAN网络标识符)来区分不同的租户，但是，本发明的发明人发现：对于同一租户的不同用户，例如不同VTEP(VXLANTunneling End Point)之间缺乏有效的身份校验，因此，不同VTEP之间的交互可能存在安全问题。

发明内容

本发明所要解决的一个技术问题是：解决同一租户的不同VTEP之间交互的安全问题。

根据本发明的一方面，提供一种报文的处理方法，包括：虚拟可扩展局域网隧道端点VTEP接收另一VTEP发送的报文，所述报文携带所述另一VTEP的标识信息；所述VTEP根据所述另一VTEP的标识信息与本地存储的同一VXLAN网络标识符VNI下不同VTEP的鉴权标识信息判断所述另一VTEP是否合法；若所述另一VTEP合法，则所述VTEP对所述报文进行转发。

在一个实施例中，所述VTEP根据所述另一VTEP的标识信息与本地存储的同一VXLAN网络标识符VNI下不同VTEP的鉴权标识信息判断所述另一VTEP是否合法包括：所述VTEP判断所述另一VTEP的标识信息是否在所述鉴权标识信息中；若在所述鉴权标识信息中，则判定所述另一VTEP合法。

在一个实施例中，所述方法还包括：所述VTEP与虚拟可扩展局域网VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。

在一个实施例中，所述方法还包括：在存储所述鉴权标识信息后，所述VTEP接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息。

在一个实施例中，若所述另一VTEP不合法，则所述VTEP丢弃所述报文。

在一个实施例中，所述报文中的预留Reserved字段携带所述另一VTEP的标识信息。

在一个实施例中，所述方法还包括：所述VTEP向其他VTEP发送报文，该报文携带所述VTEP的标识信息，以便其他VTEP根据所述VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断所述VTEP是否合法。

根据本发明的另一方面，提供一种VTEP，包括：接收单元，用于接收另一VTEP发送的报文，所述报文携带所述另一VTEP的标识信息；判断单元，用于根据所述另一VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断所述另一VTEP是否合法；处理单元，用于若所述另一VTEP合法，则对所述报文进行转发。

在一个实施例中，所述判断单元具体用于：判断所述另一VTEP的标识信息是否在所述鉴权标识信息中；若在所述鉴权标识信息中，则判定所述另一VTEP合法。

在一个实施例中，所述VTEP还包括：获取单元，用于与VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。

在一个实施例中，所述获取单元，还用于在存储所述鉴权标识信息后，接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息。

在一个实施例中，所述处理单元，还用于若所述另一VTEP不合法，则丢弃所述报文。

在一个实施例中，所述VTEP还包括：发送单元，用于向其他VTEP发送报文，该报文携带所述VTEP的标识信息，以便其他VTEP根据所述VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断所述VTEP是否合法。

根据本发明的又一方面，提供一种报文的处理系统，包括：上述任意一个实施例所述的VTEP以及VXLAN鉴权网关；所述VXLAN鉴权网关，用于与所述VTEP交互以将同一VNI下不同VTEP的鉴权标识信息发送给所述VTEP。

在一个实施例中，所述VXLAN鉴权网关，还用于在同一VNI下的VTEP发生变化后，将变化后的鉴权标识信息下发给所述VTEP。

本发明实施例中，VTEP在接收到另一VTEP发送的报文后可以根据本地存储的鉴权标识信息判断另一VTEP的合法性，并且在另一VTEP的合法时才转发报文，提高了不同VTEP之间交互的安全性。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1示出了本发明的网络架构示意图；

图2是根据本发明一个实施例的报文的处理方法的流程示意图；

图3A示出了现有的VXLAN报文的示意图；

图3B示出了本发明VXLAN报文的一个例子的示意图；

图4是根据本发明另一个实施例的报文的处理方法的流程示意图；

图5是根据本发明一个实施例的VTEP的结构示意图；

图6是根据本发明另一个实施例的VTEP的结构示意图；

图7是根据本发明一个实施例的报文的处理系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图1示出了本发明的网络架构示意图。如图1所示，同一VNI(也即同一租户)下不同的VTEP可以向VXLAN鉴权网关注册，VXLAN鉴权网关可以生成VTEP的鉴权标识信息。例如，VXLAN鉴权网关可以基于每个VTEP的IP地址生成(例如随机生成)可以唯一标识各VTEP的鉴权标识信息，例如形成鉴权ID列表。需要指出的是，虽然图1中将VTEP与对应的主机示出为两个部分，但应理解，VTEP和主机也可以一体设置。

不同的VTEP之间按照如下方式进行交互：主机向对应的VTEP发送报文，VTEP将报文封装后发送到其他VTEP，其他VTEP对接收到的报文进行解封装等处理。在某个VTEP发送/接收报文时可以按照本发明提出的如下技术方案进行处理。

图2是根据本发明一个实施例的报文的处理方法的流程示意图。如图2所示，该实施例的报文的处理方法包括如下步骤：

步骤202，VTEP接收另一VTEP发送的报文，该报文携带另一VTEP的标识信息。

在一个实现方式中，可以在报文中的预留(Reserved)字段携带另一VTEP的标识信息。图3A示出了现有的VXLAN报文的示意图。图3B示出了本发明VXLAN报文的一个例子的示意图。如图3B所示，可以在预留(Reserved)字段携带另一VTEP的标识信息。例如，可以定义Authentication ID字段作为标识信息。

这里，另一VTEP的标识信息例如可以是另一VTEP的IP地址，或者是通过预设算法将IP地址生成的可以唯一标识另一VTEP的信息。

步骤204，VTEP根据另一VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断另一VTEP是否合法。若另一VTEP合法，则执行步骤206；若另一VTEP不合法，则执行步骤208。

在一个实现方式中，另一VTEP的标识信息与鉴权标识信息的格式相同，则VTEP可以直接判断另一VTEP的标识信息是否在鉴权标识信息中。若另一VTEP的标识信息在本地存储的鉴权标识信息中，则判定另一VTEP合法；否则，判定另一VTEP不合法。

在另一个实现方式中，另一VTEP的标识信息与鉴权标识信息的格式不同。例如，另一VTEP的标识信息是IP地址，而鉴权标识信息是通过预设算法将不同的VTEP的IP地址生成的可以标识各VTEP的信息。在这种情况下，VTEP可以通过上述预设算法将另一VTEP的标识信息生成与鉴权标识信息格式相同的信息；然后，再判断另一VTEP是否合法。

步骤206，VTEP对报文进行转发。

步骤208，VTEP丢弃报文。

本实施例中，VTEP在接收到另一VTEP发送的报文后可以根据本地存储的鉴权标识信息判断另一VTEP的合法性，并且在另一VTEP的合法时才转发报文，提高了不同VTEP之间交互的安全性，提高了VXLAN业务的安全性。

类似地，在VTEP向其他VTEP发送报文时，也可以在该报文中携带本VTEP的标识信息，例如可以在报文中的预留(Reserved)字段携带VTEP的标识信息。另一VTEP在接收到报文后可以根据VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断VTEP是否合法。这里，判断VTEP是否合法的具体过程可以参照上述步骤204的描述，在此不再赘述。在判断出VTEP是否合法后，可以相应地对报文进行转发或丢弃。

图4是根据本发明另一个实施例的报文的处理方法的流程示意图。如图4所示，该实施例的报文的处理方法与图2相比还包括如下步骤：

步骤402，VTEP与VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。例如，VTEP可以在首次上线时与VXLAN鉴权网关交互以获取鉴权标识信息。

另外，在同一VNI下的VTEP发生变化时，例如，对于企业的网络构建来说，各个部门就是VTEP，在VTEP搬迁或者更换地址后，VTEP需要重新向VXLAN鉴权网关注册，相应地，VXLAN鉴权网关中的鉴权标识信息可能会发生变化。因此，在同一VNI下的VTEP发生变化后，VXLAN鉴权网关会将变化后的鉴权标识信息主动下发给各VTEP，也即，在VTEP存储鉴权标识信息后，VTEP还可以接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息，从而可以确保存储的鉴权标识信息是最新的信息，避免对合法性判断的错误。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似的部分相互参见即可。对于VTEP实施例而言，由于其与方法实施例基本对应，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

图5是根据本发明一个实施例的VTEP的结构示意图。如图5所示，该实施例的VTEP包括接收单元501、判断单元502和处理单元503。其中：

接收单元501用于接收另一VTEP发送的报文，该报文携带另一VTEP的标识信息。例如，该报文中的预留(Reserved)字段携带另一VTEP的标识信息。

判断单元502用于根据另一VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断另一VTEP是否合法。在一个实现方式中，判断单元502具体可以用于：判断另一VTEP的标识信息是否在鉴权标识信息中；若在鉴权标识信息中，则判定另一VTEP合法。若不在鉴权标识信息中，则判定另一VTEP不合法。

处理单元503用于若另一VTEP合法，则对报文进行转发。在一个实施例中，处理单元503还可以用于若另一VTEP不合法，则丢弃报文。

本实施例的VTEP在接收到另一VTEP发送的报文后可以根据本地存储的鉴权标识信息判断另一VTEP的合法性，并且在另一VTEP的合法时才转发报文，提高了不同VTEP之间交互的安全性，提高了VXLAN业务的安全性。

图6是根据本发明另一个实施例的VTEP的结构示意图。如图6所示，该实施例的VTEP包括接收单元501、判断单元502、处理单元503和获取单元601。获取单元601用于与VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。在一个实施例中，获取单元601还可以用于在存储鉴权标识信息后，接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息。

此外，在其他实施例中，VTEP还可以包括发送单元，用于向其他VTEP发送报文，该报文可以携带VTEP的标识信息，以便其他VTEP根据VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断VTEP是否合法。

图7是根据本发明一个实施例的报文的处理系统的结构示意图。如图7所示，报文的处理系统可以包括：一个或多上述任意一个实施例所述的VTEP701以及VXLAN鉴权网关702。VXLAN鉴权网关702用于与VTEP交互以将同一VNI下不同VTEP的鉴权标识信息发送给VTEP。

在一个实施例中，VXLAN鉴权网关702还可以用于在同一VNI下的VTEP发生变化后，将变化后的鉴权标识信息下发给VTEP。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims

1.一种报文的处理方法，其特征在于，包括：

虚拟可扩展局域网隧道端点VTEP接收另一VTEP直接发送的报文，所述报文携带所述另一VTEP的标识信息；

所述VTEP判断所述另一VTEP的标识信息是否在本地存储的同一VXLAN网络标识符VNI下已向虚拟可扩展局域网VXLAN鉴权网关注册的不同VTEP的鉴权标识信息中；

若在所述鉴权标识信息中，则判定所述另一VTEP合法；否则，判定所述另一VTEP不合法；

若所述另一VTEP合法，则所述VTEP对所述报文进行转发；

若所述另一VTEP不合法，则所述VTEP丢弃所述报文；

其中，所述VTEP与所述另一VTEP属于同一VNI。

2.根据权利要求1所述的方法，其特征在于，还包括：

所述VTEP与VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。

3.根据权利要求2所述的方法，其特征在于，还包括：

在存储所述鉴权标识信息后，所述VTEP接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息。

4.根据权利要求1所述的方法，其特征在于，所述报文中的预留Reserved字段携带所述另一VTEP的标识信息。

5.根据权利要求1所述的方法，其特征在于，还包括：

所述VTEP向其他VTEP发送报文，该报文携带所述VTEP的标识信息，以便其他VTEP根据所述VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断所述VTEP是否合法。

6.一种VTEP，其特征在于，包括：

接收单元，用于接收另一VTEP直接发送的报文，所述报文携带所述另一VTEP的标识信息；

判断单元，用于判断所述另一VTEP的标识信息是否在本地存储的同一VNI下已向VXLAN鉴权网关注册的不同VTEP的鉴权标识信息中；若在所述鉴权标识信息中，则判定所述另一VTEP合法；否则，判定所述另一VTEP不合法；

处理单元，用于若所述另一VTEP合法，则对所述报文进行转发；若所述另一VTEP不合法，则丢弃所述报文；

其中，所述VTEP与所述另一VTEP属于同一VNI。

7.根据权利要求6所述的VTEP，其特征在于，还包括：

获取单元，用于与VXLAN鉴权网关交互以获取同一VNI下不同VTEP的鉴权标识信息并存储。

8.根据权利要求7所述的VTEP，其特征在于，

所述获取单元，还用于在存储所述鉴权标识信息后，接收VXLAN鉴权网关下发的同一VNI下的VTEP发生变化后的鉴权标识信息，并以变化后的鉴权标识信息替代所存储的鉴权标识信息。

9.根据权利要求6所述的VTEP，其特征在于，所述报文中的预留Reserved字段携带所述另一VTEP的标识信息。

10.根据权利要求6所述的VTEP，其特征在于，还包括：

发送单元，用于向其他VTEP发送报文，该报文携带所述VTEP的标识信息，以便其他VTEP根据所述VTEP的标识信息与本地存储的同一VNI下不同VTEP的鉴权标识信息判断所述VTEP是否合法。

11.一种报文的处理系统，其特征在于，包括：权利要求6-10任意一项所述的VTEP以及VXLAN鉴权网关；

所述VXLAN鉴权网关，用于与所述VTEP交互以将同一VNI下不同VTEP的鉴权标识信息发送给所述VTEP。

12.根据权利要求11所述的系统，其特征在于，

所述VXLAN鉴权网关，还用于在同一VNI下的VTEP发生变化后，将变化后的鉴权标识信息下发给所述VTEP。