CN108737277A - 一种报文转发方法及装置 - Google Patents

Abstract

本发明提供一种报文转发方法及装置，使AP收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，流表包括第一匹配项和第二匹配项；当数据报文的目的IP地址命中第一匹配项时，根据第一匹配项对应的动作项，将数据报文进行CAPWAP隧道封装后转发至AC，以使AC在确定数据报文不为预设协议类型的报文时，将数据报文转发至内网；当数据报文的协议类型命中所述第二匹配项时，根据第二匹配项对应的动作项，将数据报文进行CAPWAP隧道封装后转发至AC，以使AC在确定数据报文为预设协议类型的报文时，为终端获取IP地址；当数据报文没有命中任一匹配项时，将数据报文转发至外网。因此实现用户通过同一SSID同时访问外网和内网的需求。

Description

一种报文转发方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种报文转发方法及装置。

背景技术

随着WLAN(Wireless LAN，无线局域网)的普及，行业场景化的需求日益明显，其中总部加分支机构的使用场景应用较为普遍。在该场景中，总部需要进行综合网络管理，而分支机构则需实现用户访问外网和访问公司内部网络的双重需求。

当前分支机构实现方案中，AP(Access Point，接入点)可以通过CAPWAP(Controlling and Provisioning of Wireless Access Point，无线接入点控制与供应)注册到AC(Access Control，接入控制器)上，AC提供两个SSID(Service Set Identifier，服务集标识符)，其中一个SSID支持集中转发，访问内部办公网络(以下简称为“内网”)；一个SSID直接由AP在本地转发，访问外部网络(以下简称为“外网”)。

由于上述方案中用户需要通过切换SSID来满足访问外网和内网的需求，导致用户使用不便利。

发明内容

有鉴于此，本发明提供一种报文转发方法及装置，来避免在访问外网和内网时切换SSID的问题。

具体地，本发明是通过如下技术方案实现的：

本发明提供一种报文转发方法，所述方法应用于AP，所述方法包括：

收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；

当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；

当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

基于相同的构思，本发明还提供一种报文转发装置，所述装置应用于AP，所述装置包括：

流表判断单元，用于收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

第一转发单元，用于当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；

第二转发单元，用于当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；

第三转发单元，用于当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

由此可见，本发明可以通过AP收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；当数据报文的目的IP地址命中所述第一匹配项时，根据第一匹配项对应的动作项将数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；当数据报文的协议类型命中所述第二匹配项时，根据第二匹配项对应的动作项将数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；当数据报文没有命中任一匹配项时，将数据报文转发至外网。由于AC通过openflow通道向AP配置转发策略，从而可以实现在AP端转发外网数据报文，在AC端管理IP地址分配以及转发内网数据报文，因此可以在SDN网络中集成无线网络，实现了用户通过同一SSID同时访问外网和内网的需求。

附图说明

图1是现有技术中的一种分支机构组网示意图；

图2是本发明一种示例性实施方式中的一种报文转发方法的处理流程图；

图3是本发明一种示例性实施方式中的报文转发交互流程图；

图4本发明一种示例性实施方式中的报文转发装置所在AP的硬件结构图；

图5本发明一种示例性实施方式中的一种报文转发装置的逻辑结构图。

具体实施方式

请参考图1为分支机构组网示意图，该分支机构包括AC、modem(调制解调器)、AP和终端，该AP可以同时为一个或多个终端提供服务，本实施例中仅以一个终端为例。AP和AC同时为终端提供内网访问和外网访问服务，AP和AC通过modem相连接。若需要为用户同时提供访问外网和内网的服务，则AC需要提供两个SSID，一个SSID支持集中转发，访问公司内网；一个SSID直接本地转发，访问外网流量，但是这样导致用户需要通过切换SSID来满足访问外网和内网的需求，因此会导致用户操作复杂，带来使用不便利。因此需要实现用户使用同一个SSID，既能够访问内网，也能够同时访问外网的需求。

为了实现上述需求，现有技术中有以下一些处理方法，包括：

第一种方法，将数据报文全部上送到AC处理，由AC负责分配IP地址以及转发，但是这样处理会使AC的业务负担非常大，降低转发效率；

第二种方法，由AP处理全部的数据报文，负责分配IP地址以及转发，但是由于AP本身没有相关配置，需要手动设置AP，因此导致操作较为复杂；

第三种方法，对AP侧网络与AC侧网络进行规划，在AP上配置ACL(Access ControlList，访问控制列表)规则，同时指定对应的转发方式。匹配外网的流量ACL规则的，进行本地转发；对匹配内网流量ACL规则的，通过CAPWAP隧道封装上送AC进行转发。但是，在AP上配置ACL同时指定对应转发方式，需对该ACL匹配的流量指定特殊的转发方式才能满足同时访问AP侧和AC侧两个不同网络；而且在AP上配置ACL规则，需要手动为AP设置，如果网络环境比较复杂，AP数量很多时，为每个AP进行设置会增加相当大的工作量，管理成本也会增加。

上述现有的处理方法均不符合SDN(Software Defined Network，软件定义网络)网络转发平面和控制平面分离的思想，由于目前SDN网络的应用非常广泛，如果上述处理方法无法和SDN网络相结合，则会导致分支机构的适用性较差。

为了解决现有技术存在的问题，本发明可以通过AP收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；当数据报文的目的IP地址命中所述第一匹配项时，根据第一匹配项对应的动作项将数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；当数据报文的协议类型命中所述第二匹配项时，根据第二匹配项对应的动作项将数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；当数据报文没有命中任一匹配项时，将数据报文转发至外网。由于AC通过openflow通道向AP配置转发策略，从而可以实现在AP端转发外网数据报文，在AC端管理IP地址分配以及转发内网数据报文，因此可以在SDN网络中集成无线网络，实现了用户通过同一SSID同时访问外网和内网的需求，降低网络的管理成本，提升网络的适应性。

请参考图2，是本发明一种示例性实施方式中的一种报文转发的方法的处理流程图，所述方法应用于分支机构中的AP，该AP连接外网。所述方法包括：

步骤201、收到终端发送的数据报文时，获取接入控制器AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

作为一个实施例，当终端接入认证完成时，AC可以通过与AP建立的openflow协议通道(以下简称openflow通道)向AP下发适用于所有终端的流表，该流表中可以包含第一匹配项和第二匹配项，该流表用于指导AP将收到的数据报文与该流表中的第一匹配项或者第二匹配项进行匹配，如果命中任一匹配项，则按照命中的匹配项对应的动作项处理该数据报文。

作为一个实施例，为了针对每个终端的特点单独对终端进行控制，AC还可以下发针对每个终端单独配置的流表。具体来讲，在终端接入认证完成时，AC可以针对该终端创建该终端对应的流表，该流表中除了包含第一匹配项和第二匹配项之外，还包括第三匹配项，该第三匹配项可以为数据报文的源MAC地址是所述终端的MAC地址，该第三匹配项的优先级高于第一匹配项和第二匹配项的优先级。当AP收到终端发送的数据报文时，根据优先级先获取该数据报文的源MAC地址，将该源MAC地址与流表的第三匹配项进行匹配，若命中该第三匹配项，则根据第三匹配项对应的动作项将所述数据报文与所述第一匹配项和所述第二匹配项进行匹配。因此，本发明可以为每一个终端设置对应的流表，可以适应更多不同用户的不同转发需要，增强了分支机构的网络拓展性和适用性。

步骤202、当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；

需要说明的是，所述第一匹配项为该数据报文的目的IP地址属于指定的内网网段。若命中该第一匹配项，AP可以根据该第一匹配项对应的动作项将该数据报文进行CAPWAP隧道封装后上送到AC，AC收到封装后的数据报文，可以解封装，在确定该数据报文不为预设协议类型的报文时，则可以将该数据报文转发至内网。在这里，预设协议类型可以为DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)。

步骤203、当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；

需要说明的是，所述第二匹配项为该数据报文的协议类型为DHCP。若命中该第二匹配项，AP可以根据第二匹配项对应的动作项将该数据报文进行CAPWAP隧道封装后上送到AC，AC收到封装后的数据报文，可以进行CAPWAP隧道解封装，在确定解封装后的该数据报文为预设协议类型(例如DHCP)的报文时，为该终端分配一个属于内网网段的IP地址，以使该终端根据该IP地址访问内网。

步骤204、当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

作为一个实施例，在确定该数据报文没有命中任一匹配项时，说明该数据报文是需要发往外网的数据报文，因此AP可以将该数据报文经过变换后转发至外网。具体来讲，由于该数据报文当前的目的MAC地址是AC侧网关的MAC地址(终端上线时是在AC上进行接入认证，因此当前目的MAC地址是AC侧网关的MAC地址(在AC侧没有配置网关时，即为AC的MAC地址；在AC侧配置有网关时，即为网关的MAC地址))，但需要将该数据报文从AP转发至外网，因此先将该数据报文的目的MAC地址修改为本AP的外网接口MAC地址；然后因为该数据报文的源IP地址是AC分配的内网IP地址，为了可以使终端访问外网，因此要将该数据报文的源IP地址经过NAT(Network Address Translation，网络地址转换)转换为可以访问外网的公网地址，之后将转换后的数据报文转发至外网。

相比于现有技术，本发明可以使AC通过openflow通道向AP下发流表，从而可以实现在AP端转发外网数据报文，在AC端管理IP地址分配以及转发内网数据报文，因此可以在SDN网络中集成无线网络，实现了用户通过同一SSID同时访问外网和内网的需求，也使AP侧的流表更加灵活多样，适应更多的用户需求。

为使本发明的目的、技术方案及优点更加清楚明白，请结合图4对本发明的方案作进一步地详细说明。

请参见图3，是本发明实施例中报文转发交互流程图，该方法包括：

步骤301、终端通过Authentication(认证)、Association(关联)报文等与AC进行接入认证交互；

步骤302、终端接入认证完成时，AC为该终端创建流表，并通过openflow通道将该流表下发至AP；

具体来讲，AC创建该终端对应的流表，其中可以包括，第一匹配项、第二匹配项、第三匹配项以及匹配项对应的动作项，其中该第一匹配项为数据报文的目的IP地址属于指定内网网段，当数据报文的目的IP地址命中第一匹配项时，AP根据第一匹配项对应的动作项为将数据报文进行CAPWAP隧道封装后转发至AC，以使所述AC在确定所述数据报文不为DHCP报文时，将所述数据报文转发至内网；该第二匹配项为数据报文的协议类型为DHCP，当数据报文的协议类型命中第二匹配项时，AP根据第二匹配项对应的动作项为将数据报文进行CAPWAP隧道封装后转发至AC，以使所述AC在确定所述数据报文为DHCP报文时，为所述终端获取IP地址；该第三匹配项为数据报文的源MAC地址是该终端的MAC地址，该第三匹配项的优先级高于第一匹配项和第二匹配项，因此AP收到数据报文时，先将数据报文的源MAC地址与第三匹配项进行匹配，如果命中，则AP根据该第三匹配项对应的动作项将数据报文与第一匹配项和第二匹配项进行匹配。

在可选的实施例中，AC可以通过openflow通道下发携带该流表的Control toSwitch(控制器到交换机)消息到AP。

步骤303、当AP收到数据报文的协议类型为DHCP时，根据该流表中的第二匹配项对应的处理动作将该数据报文进行CAPWAP隧道封装后转发至AC；

当AP收到数据报文时，获取数据报文的源MAC地址，查找与该MAC地址对应的流表，然后判断该数据报文是否与该流表中的第二匹配项相匹配，在匹配的情况下，根据第二匹配项对应的动作项将该数据报文进行CAPWAP封装后上送到AC；

步骤304、AC对收到的封装后的数据报文进行CAPWAP隧道解封装定解封装后得到该数据报文，发现该数据报文是DHCP报文，为终端获取IP地址。

步骤305、当AP收到目的IP地址为内网地址的数据报文时，根据流表中的第一匹配项对应的动作项将该数据报文进行CAPWAP隧道封装后转发至AC；

当AP收到数据报文时，判断该数据报文的目的IP地址是否与该流表中的第一匹配项相匹配；由于该数据报文的目的IP地址为内网地址，与第一匹配项相匹配，因此AP可以根据第一匹配项对应的动作项将该数据报文进行CAPWAP隧道封装后上送到AC；

步骤306、AC对收到封装后的数据报文进行CAPWAP隧道解封装得到该数据报文，发现该数据报文不是DHCP报文，将该数据报文发送至内网。

步骤307、当AP收到目的IP地址为外网地址的数据报文时，将该数据报文转发至外网；

当数据报文的目的IP地址与协议类型都与流表中的匹配项均不匹配时，则将数据报文的目的MAC地址修改为AP外网接口的MAC地址，将数据报文的源IP地址转换为公网地址，之后转发至外网，从而达到既可以访问内网又可以访问本地外网的功能。

本发明可以同时为一个或多个终端提供服务，本实施例中仅以一个终端为例，若存在多个终端，每个终端的处理方法雷同，AC可以根据终端的MAC地址为不同终端配置不同的流表，从而可以适应更多用户需求，简化AP的配置过程，提升用户体验。

基于相同的构思，本发明还提供一种报文转发装置，该装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，本发明的报文转发装置作为一个逻辑意义上的装置，是通过其所在装置的CPU将存储器中对应的计算机程序指令读取后运行而成。

请参考图4，是本发明一种示例性实施方式中的一种报文转发装置500，所述装置应用于AP，该装置基本运行环境包括CPU，存储器以及其他硬件，从逻辑层面上来看，该装置500的逻辑结构如图5所示，其中包括：

流表判断单元501，用于收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

第一转发单元502，用于当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道后转发至所述AC，以使所述AC将所述数据报文转发至内网；

第二转发单元503，用于当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道后转发至所述AC，以使所述AC依据所述数据报文为所述终端获取IP地址；

第三转发单元504，用于当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

作为一个实施例，所述流表还包括第三匹配项，所述第三匹配项为数据报文的源MAC地址是所述终端的MAC地址，所述第三匹配项的优先级高于所述第一匹配项和所述第二匹配项的优先级；

所述流表判断单元501，具体用于根据优先级先将所述数据报文的源MAC地址与所述第三匹配项匹配，若命中，则根据所述第三匹配项对应的动作项将所述数据报文与所述第一匹配项和所述第二匹配项进行匹配。

作为一个实施例，所述第三转发单元504，具体用于将所述数据报文的目的MAC地址修改为本AP的外网接口MAC地址，并且将所述数据报文的源IP地址经过NAT转换为公网地址后转发至外网。

作为一个实施例，所述第一匹配项为数据报文的目的IP地址属于指定内网网段；

所述第二匹配项为数据报文的协议类型为DHCP。

综上所述，本发明可以通过AP收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；当数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；当数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；当数据报文没有命中任一匹配项时，将数据报文转发至外网。由于AC通过openflow通道向AP配置转发策略，从而可以实现在AP端转发外网数据报文，在AC端管理IP地址分配以及转发内网数据报文，因此可以在SDN网络中集成无线网络，实现了用户通过同一SSID同时访问外网和内网的需求，降低网络的管理成本，提升网络的适应性。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种报文转发方法，其特征在于，所述方法应用于接入点AP，所述方法包括：

收到终端发送的数据报文时，获取接入控制器AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行无线接入点控制与供应CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；

当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；

当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

2.根据权利要求1所述的方法，其特征在于，

所述流表还包括第三匹配项，所述第三匹配项为数据报文的源MAC地址是所述终端的MAC地址，所述第三匹配项的优先级高于所述第一匹配项和所述第二匹配项的优先级；

获取AC通过openflow通道下发的流表之后，所述方法还包括：

根据优先级先将所述数据报文的源MAC地址与所述第三匹配项进行匹配，若命中，则根据所述第三匹配项对应的动作项将所述数据报文与所述第一匹配项和所述第二匹配项进行匹配。

3.根据权利要求1所述的方法，其特征在于，将所述数据报文转发至外网，包括：

将所述数据报文的目的MAC地址修改为本AP的外网接口MAC地址，并且将所述数据报文的源IP地址经过NAT转换为公网地址后转发至外网。

4.根据权利要求1所述的方法，其特征在于，

所述第一匹配项为数据报文的目的IP地址属于指定内网网段；

所述第二匹配项为数据报文的协议类型为DHCP。

5.一种报文转发装置，其特征在于，所述装置应用于AP，所述装置包括：

流表判断单元，用于收到终端发送的数据报文时，获取AC通过openflow通道下发的流表，所述流表包括第一匹配项和第二匹配项；

第一转发单元，用于当所述数据报文的目的IP地址命中所述第一匹配项时，根据所述第一匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文不为预设协议类型的报文时，将所述数据报文转发至内网；

第二转发单元，用于当所述数据报文的协议类型命中所述第二匹配项时，根据所述第二匹配项对应的动作项，将所述数据报文进行CAPWAP隧道封装后转发至所述AC，以使所述AC在确定所述数据报文为预设协议类型的报文时，为所述终端获取IP地址；

第三转发单元，用于当所述数据报文没有命中任一匹配项时，将所述数据报文转发至外网。

6.根据权利要求5所述的装置，其特征在于，

所述流表还包括第三匹配项，所述第三匹配项为数据报文的源MAC地址是所述终端的MAC地址，所述第三匹配项的优先级高于所述第一匹配项和所述第二匹配项的优先级；

所述流表判断单元，具体用于根据优先级先将所述数据报文的源MAC地址与所述第三匹配项匹配，若命中，则根据所述第三匹配项对应的动作项将所述数据报文与所述第一匹配项和所述第二匹配项进行匹配。

7.根据权利要求5所述的装置，其特征在于，

所述第三转发单元，具体用于将所述数据报文的目的MAC地址修改为本AP的外网接口MAC地址，并且将所述数据报文的源IP地址经过NAT转换为公网地址后转发至外网。

8.根据权利要求5所述的装置，其特征在于，

所述第一匹配项为数据报文的目的IP地址属于指定内网网段；

所述第二匹配项为数据报文的协议类型为DHCP。