CN108270688B - 互联网出口流量均衡控制的实现方法及系统 - Google Patents

Abstract

本发明公开了一种互联网出口流量均衡控制的实现方法和系统。该方法包括：规划骨干网地址作为城域网的虚拟下一跳地址；配置虚拟下一跳地址的静态路由，进而将虚拟下一跳地址指定到城域网和骨干网互联的线路接口上；将虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；强制城域网发出的BGP路由的下一跳属性NEXT‑HOP为不同的虚拟下一跳地址。本发明实施例能够实现流量负载均衡，适合运营商的城域网出口部署，同时通过虚拟下一跳可以实现BGP环境下丢弃攻击或者异常流量，减少骨干路由器压力。

Description

互联网出口流量均衡控制的实现方法及系统

技术领域

本发明属于数据业务技术领域，尤其涉及一种互联网出口流量均衡控制的实现方法及系统。

背景技术

BGP(边界网关协议，Border Gateway Protocol)是运行于TCP上的一种自治系统(AS，autonomous system)间的路由协议。BGP通过交换网络可达性信息，从而提供了足够的信息来检测路由回路并根据性能优先和策略约束对路由进行决策。特别地，BGP交换包含全部AS路径(AS path)的网络可达性信息，并按照配置信息来执行路由策略。

在默认情况下，BGP会选择单条最优路径来到达同一目的地，而并不希望在多条路径之间执行负载均衡。而当BGP路由表中有多条路径可以到达同一目的地时，需要靠比较路由条目中的路径属性，只有在比较多条路由的属性之后，才能决定选择哪条为最优路径。BGP的每条路由都带有路径属性，对于通过比较路径属性来选择最优路径，BGP需要在多条路径之间按照一定的顺序比较属性，当多条路由的同一属性完全相同时，需要继续比较顺序中的下一条属性。

在一个实施例中，BGP在选择最优路径时，通常按照以下顺序来做比较：

1.最高权重(Weight)值(或者针对华为路由器是协议首选值prefval)；具体而言，BGP选择具有最高权重值的路由(权重值为思科(Cisco)路由器所特有，并且只在本地路由器有效)。默认情况下，权重值为0，本地发起路由为32768。

2.最高LOCAL_PREF值；如果权重值相同，则BGP选择具有最高LOCAL_PREF值的路由，默认为100。

3.本地发起路由；

4.最短AS路径；

5.最低Origin(发起)类型；

6.最小MED值；

7.eBGP优于iBGP；

8.最小IGP metric到达下一跳的路由；

9.负载均衡(如果开启的话)。

从以上所列的顺序可以看出，BGP并不是不能进行负载均衡；而是只能在之前的属性比较都无法选出最优路径的情况下才执行负载均衡。也就是说，必须是属性9之前的所有属性均完全相同(缺一不可)而且必须负载均衡功能开启了，BGP才会执行负载均衡。

负载均衡是这样一个概念，其允许路由器在多个路径上分配入局和出局业务。这些路径以多种方式获得，例如采用IGP的动态协议，如RIP、EIGRP、OSPF等等。目前，常用的BGP路由负载均衡技术包括以下三种：

第一种是使用链路捆绑等二层技术实现邻居间链路的负载均衡，这里不做过多描述；

第二种是基于路由迭代的BGP负载均衡，这种技术依赖于IGP路由做路由迭代，且必须要使用环回路口做BGP邻居；

第三种是BGP的负载分担，这种技术需要手工开启基于IBGP或EBGP的负载均衡，并且只对AS路径属性完全相同的路由进行负载均衡。

然而，BGP负载均衡目前存在以下的问题：由于等成本链路的均衡数量可达8条，这些链路在单宿主BGP环境中(点对点环境)均衡的效果比较好，但是这样的条件并不满足运营商的需求，因为运营商城域网到骨干网的互联条目往往大于8条，而且是多宿主环境(骨干出口可能是两个或者四个以上)；而且实现BGP非等成本多路径负载均衡需要复杂的配置，且这样的部署条件下出口线路保护可能有问题。

此外，BGP在IP地址快速封堵方面也存在问题：现有技术对IP地址进行封堵，一般确认异常地址段以后可以在运营商骨干或者出口处采用手工的方式进行封堵，假设和IPS/IDC/防火墙等设备配合进行自动联动时，手工方式无法满足整套系统设备联动的需求。

发明内容

本发明实施例提供了一种互联网出口流量均衡控制的实现方法及系统，能够解决现有技术中运营商城域网的BGP负载均衡的问题。

第一方面，本发明实施例提供了一种互联网出口流量均衡控制的实现方法，包括：规划骨干网地址作为城域网的虚拟下一跳地址；配置虚拟下一跳地址的静态路由，进而将虚拟下一跳地址指定到城域网和骨干网互联的线路接口上；将虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；强制城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的虚拟下一跳地址。

在一个示例实施例中，该方法还包括：当出现异常流量时，将虚拟下一跳地址通过静态路由指向NULL0地址。

在一个示例实施例中，该方法还包括：通过静态路由将流量分配到线路接口上。

在一个示例实施例中，该方法还包括：发布的静态路由返回至相应出口路由与骨干网互联的接口上。

在一个示例实施例中，将虚拟下一跳地址通过静态路由指向NULL0地址，具体包括：配合智能流量监控和清洗设备，将虚拟下一跳地址通过静态路由指向NULL0地址。

在一个示例实施例中，NULL0地址为静态路由的逻辑接口地址，且NULL0地址指至黑洞。

第二方面，本发明实施例提供了一种互联网出口流量均衡控制的实现系统，包括：设置单元，用于规划骨干网地址作为城域网的虚拟下一跳地址；配置单元，用于配置虚拟下一跳地址的静态路由，进而将虚拟下一跳地址指定到城域网和骨干网互联的线路接口上；发布单元，用于将虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；地址修改单元，用于强制城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的虚拟下一跳地址。

在一个示例实施例中，该系统还包括：异常处理单元，用于当出现异常流量时，将虚拟下一跳地址通过静态路由指向NULL0地址。

在一个示例实施例中，该系统还包括：流量分配单元，用于通过静态路由将流量分配到线路接口上。

在一个示例实施例中，该系统还包括：返回单元，用于发布的静态路由返回至相应出口路由与骨干网互联的接口上。

在一个示例实施例中，异常处理单元具体用于：配合智能流量监控和清洗设备，将虚拟下一跳地址通过静态路由指向NULL0地址。

在一个示例实施例中，NULL0地址为静态路由的逻辑接口地址，且NULL0地址指至黑洞。

本发明通过VNH(虚拟下一跳)的简单配置实现跨多厂商设备互联，从而达到保护运营商投资的效果。通过虚拟下一跳技术的应用，实现了和BGP方式互联的流量清洗或者异常流量侦测设备(多厂商)的联动，通过简单的设计实现了异常IP地址的快速封堵，而不影响出口设备的性能。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了根据本发明一实施例的互联网出口流量均衡控制的实现方法的流程示意图；

图2示出了根据本发明一实施例的互联网出口流量均衡控制的实现系统的示意框图；

图3示出了根据本发明一实施例的城域网示意图；

图4示出了根据本发明一实施例的城域出口网示意图；

图5示出了根据本发明一实施例的运营商出口示意图；

图6示出了根据本发明一实施例的IBGP(Internal BGP)方式示意图；

图7示出了根据本发明一实施例的EBGP(External BGP)方式示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1示出了根据本发明一实施例的互联网出口流量均衡控制的实现方法100的流程示意图。

该方法100包括以下步骤：

S110，规划骨干网地址作为城域网的虚拟下一跳地址；

S120，配置虚拟下一跳地址的静态路由，进而将虚拟下一跳地址指定到城域网和骨干网互联的线路接口上；

S130，将虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；

S140，强制城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的虚拟下一跳地址；

S150，当出现异常流量时，将虚拟下一跳地址通过静态路由指向NULL0地址。

图2示出了根据本发明一实施例的互联网出口流量均衡控制的实现系统200的示意框图。系统200包括：设置单元210，用于规划骨干网地址作为城域网的虚拟下一跳地址；配置单元220，用于配置虚拟下一跳地址的静态路由，进而将虚拟下一跳地址指定到城域网和骨干网互联的线路接口上；发布单元230，用于将虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；地址修改单元240，用于强制城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的虚拟下一跳地址；异常处理单元250，用于当出现异常流量时，将虚拟下一跳地址通过静态路由指向NULL0地址。

NULL0属于静态路由的逻辑接口，NULL0接口总是处于Up状态，不转发任何报文，当接收到报文时会把报文丢弃，实现通过静态路由的下一跳的NULL0地址将攻击或者异常流量发送至不存在的地址，不存在的地址指向黑洞，即丢弃攻击或者异常流量。

本发明的一个具体实施例中，针对BGP出口流量负载均衡的工作流程：创建(虚拟下一跳)VNH地址；改变BGP RIB表中的下一跳；实现出口的BGP流量均衡。

本发明的另一个具体实施例中，针对异常流量IP地址快速封堵的工作流程：设置(虚拟下一跳)VNH地址；将这个地址通过静态路由指向NULL0地址；配合防火墙等智能流量监控和清洗设备，将异常流量发到不存在的虚拟下一跳地址。

作为示例性的城域网BGP协议负载均衡解决方案一，图3示出了典型城域网示意图，接入路由器R5发布业务地址：接入R5发送业务路由至RR；RR将该路由发送给两台CR设备；由于下一跳相同，CR通过IGP迭代，将下行接入R5流量通过不同的汇聚R3/R4送达；上行流量由ISIS实现负载均衡。

作为示例性的城域网BGP协议负载均衡解决方案二，图4示出了典型城域出口网示意图，汇聚R3/R4发布业务地址：汇聚R3/R4发送业务路由至CR；CR开启IBGP multi-path功能；CR将相同前缀不同下一跳的BGP路由安装到全局路由表；上行流量通过ISIS实现负载均衡。

图5为典型的运营商出口示意图，已经使用IBGP承载公众业务，用户AS区域R8访问骨干AS区域的R8，要求能实现R1到R3/R4，R2到R3/R4的流量均衡。现有的用户部分的IGP使用OSPF，骨干的IGP规划为ISIS。BGP可以考虑2种情况，图6为IBGP方式示意图，图7为EBGP方式示意图，用户和骨干的AS号相同或者AS号不同。

(1)用户和骨干的AS号相同，全网采用1个AS号。

(2)用户和骨干的AS号不同，其中R1/R2是用户网络的出口路由器，同时也是用户IBGP的RR，R6/7/8都是IBGP的邻居。

对应IBGP和EBGP环境VNH技术都没有问题，利用IGP的静态负载均衡，把骨干R3/R5分别看作的一个虚拟地址，实现出口BGP的负载均衡。可以同时利用BGP的下一跳属性，将攻击或者异常包的流量发送到不存在的地址，不存在地址通过NULL0静态指到黑洞。

本发明修改BGP路由属性中的NEXE HOP实现流量负载均衡的方式具有通用性，适合运营商的城域网出口部署，实现方式对应不同品牌设备类似；新增配置简单，可实现快速部署；同时通过虚拟下一跳可以实现BGP环境下丢弃攻击或者异常流量，减少骨干路由器压力。

综上，本发明实施例提供了对互联网出口流量进行均衡控制的技术方案，可以针对城域网2个出口EBGP、城域网4个出口EBGP以及城域网2个出口IBGP采用进行VNH部署。以城域网4个出口EBGP的部署为例，实现方式可以包括：1)规划2个骨干网地址作为城域网的VNH地址；2)按照组1(R1/R2对应VNH1)和组2(R3/R4对应VNH2)的规划配置静态路由的方式将2个VNH地址指定到逻辑分组的城域网和骨干网互联的线路接口上(VNH1对应R1/R2，VHN2对应R3/R4)；3)城域网2台出口设备R1/R2的BGP发布策略完全一致，R3/R4的BGP发布策略完全一致，这样每个组可以发布不同的路由段地址；4)将这2个VNH的静态路由发布到ISIS或者OSPF中(根据骨干网的IGP协议)；5)强制城域网发出的BGP路由的NEXT-HOP为2个不同的VNH地址。部署完成以后，运营商其他节点访问城域网的流量(城域网的IN方向流量)被比较平均的分配到和骨干互联的端口上。R1/R2发布的路由返回R1/R2和骨干节点互联的接口，R3/R4发布的路由返回R3/R4和骨干节点互联的接口，城域网内部的访问流量通过口子型互联的R1/R2/R3/R4互联线路。

简言之，本发明的实施例提供的技术方案通过BGP的下一跳属性使用虚拟下一跳VNH技术，实现运营商出口的流量均衡，是针对互联网流量均衡及IP地址冲突这个技术问题的新颖的解决方案。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的装置、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种互联网出口流量均衡控制的实现方法，其特征在于，包括：

规划骨干网地址作为城域网的虚拟下一跳地址；

配置所述虚拟下一跳地址的静态路由，进而将所述虚拟下一跳地址指定到所述城域网和所述骨干网互联的线路接口上；

将所述虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；

强制所述城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的所述虚拟下一跳地址。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当出现异常流量时，将所述虚拟下一跳地址通过所述静态路由指向NULL0地址。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过所述静态路由将流量分配到所述线路接口上。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

发布的所述静态路由返回至相应出口路由与所述骨干网互联的接口上。

5.根据权利要求2所述的方法，其特征在于，将所述虚拟下一跳地址通过所述静态路由指向所述NULL0地址，具体包括：

配合智能流量监控和清洗设备，将所述虚拟下一跳地址通过所述静态路由指向所述NULL0地址。

6.根据权利要求2至5中任一项所述的方法，其特征在于，所述NULL0地址为所述静态路由的逻辑接口地址，且所述NULL0地址指至黑洞。

7.一种互联网出口流量均衡控制的实现系统，其特征在于，包括：

设置单元，用于规划骨干网地址作为城域网的虚拟下一跳地址；

配置单元，用于配置所述虚拟下一跳地址的静态路由，进而将所述虚拟下一跳地址指定到所述城域网和所述骨干网互联的线路接口上；

发布单元，用于将所述虚拟下一跳地址的静态路由发布至中间系统到中间系统协议ISIS或开放式最短路径优先协议OSPF中；

地址修改单元，用于强制所述城域网发出的BGP路由的下一跳属性NEXT-HOP为不同的所述虚拟下一跳地址。

8.根据权利要求7所述的系统，所述系统还包括：

异常处理单元，用于当出现异常流量时，将所述虚拟下一跳地址通过所述静态路由指向NULL0地址。

9.根据权利要求7所述的系统，其特征在于，所述系统还包括：

流量分配单元，用于通过所述静态路由将流量分配到所述线路接口上。

10.根据权利要求7所述的系统，其特征在于，所述系统还包括：

返回单元，用于发布的所述静态路由返回至相应出口路由与所述骨干网互联的接口上。

11.根据权利要求8所述的系统，其特征在于，所述异常处理单元，具体用于：

配合智能流量监控和清洗设备，将所述虚拟下一跳地址通过所述静态路由指向所述NULL0地址。

12.根据权利要求8至11中任一项所述的系统，其特征在于，所述NULL0地址为所述静态路由的逻辑接口地址，且所述NULL0地址指至黑洞。

Images