CN110086720B - 基于二维路由协议实现l3vpn的方法及系统 - Google Patents

Abstract

本发明公开了一种基于二维路由协议实现L3VPN的方法及系统，其中，该方法包括以下步骤：启动L3VPN网络获得去往每个用户站点的路由；源用户站点内的用户向目标用户站点内的用户发送报文，并将报文送至第一边缘路由设备的入口；第一边缘路由设备按照报文的公共网络IP地址进行封装；将封装后的报文通过二维路由的匹配转发至第一边缘路由设备的出口进行解封装，并通过第二边缘路由设备的入口转发至目标用户站点。该方法继承了二维路由的灵活控制、基于现有协议扩展、渐进式部署等优点，不仅满足VPN本身的功能需求，还可以实现同一VPN网络内部的策略路由。

Description

基于二维路由协议实现L3VPN的方法及系统

技术领域

本发明涉及互联网路由技术领域，特别涉及一种基于二维路由协议实现L3VPN的方法及系统。

背景技术

公共网络是运营商搭建的为公共用户使用的网络。虚拟专用网络(VirtualPrivate Network，VPN)是通过公用网络实现虚拟专用网络的远程访问技术。虚拟专用网络不需要拥有实际的长途物理数据线路，它虽与其它的互联网业务共享物理通道，但却能够实现拥有单独物理线路的专用网络功能。具体来说，用户可以通过VPN，在不同的地理位置访问VPN所属单位(如公司)的内部网络，用户如同正处于公司内部一样可以随意访问公司的内部网络资源。想要使用VPN，需要先搭建VPN服务器，用户通过账户、密码等信息连接服务器，然后就可以享受VPN的功能。

VPN有很多种实现方式，也有很多类别，L3VPN(Framework for Layer 3VirtualPrivate Networks)是其中一个类别。L3VPN工作在互联网分层架构(物理层、链路层、网络层、传输层、应用层)的网络层，网络层的主要功能是通过IP地址进行路由，将用户产生的数据报文转发至目的地。L3VPN本质上仍然是路由转发，并需要运营商管理用户的路由。L3VPN的实例中一般涉及四个概念，分别是服务提供商路由设备(Provider，P)、服务提供商边缘设备(Provider Edge，PE)、用户网边缘设备(Customer Edge，CE)和用户站点(Site)。P是公共网络中的核心路由设备，PE是公共网络的边缘路由设备，Site是用户端网络，CE是Site的边缘路由设备，CE通过一条或多条链路连接PE接入公共网络。运营商通过管理PE与CE、PE与PE之间的路由，将地域上分布在不同地点的Site互联起来，实现VPN服务。

从路由层面上讲，L3VPN可以通过多种路由技术实现，同时也一般会涉及隧道技术。本专利采用的路由技术是二维路由，隧道技术是IPIP隧道，下面依次进行展开。

二维路由是一种基于传统互联网路由协议的新型路由协议。传统的互联网路由协议有很多，如最短路径优先(Open Shortest Path First，OSPF)、边界网关协议(BorderGateway Protocol，BGP)等。这些传统路由协议只通过用户数据报文的目的地址决定报文的转发路径，具有相同目的地址的报文具有相同的转发路径。这种方式降低了网络路由转发的灵活性，使得网络提供的功能和服务有限。二维路由则想增加路由决策的参考维度，增加路由转发的灵活性。具体来说，二维路由在路由计算的时候，不仅仅考虑目的地址，而且考虑了源地址，具有相同目的地址、不同源地址的报文可能具有不同的转发路径。二维路由的思想弥补了传统路由协议中源地址语义缺失的问题，实现了更加灵活了路由转发，为满足用户和服务提供商的多样化需求提供了新的解决方案。由于二维路由以传统路由为基础进行扩展，并能兼容传统路由，因而在部署上具有更多优势。

除了路由技术外，实现L3VPN还需要实现隧道技术，IPIP隧道技术是一种简单的报文封装技术。简单来说，就是在原始报文的基础上添加一个新的IP头，新IP头的各字段可以根据需求设置；封装之后的报文通过正常的路由策略转发，只不过匹配的地址来自于新IP头；在报文到达目的地之前，会将封装的新IP头去掉，将报文还原为原始的报文。IPIP隧道技术对两端的用户来说是透明的，即用户并不知道报文是否被封装或者如何被封装和转发的。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的一个目的在于提出一种基于二维路由协议实现L3VPN的方法，该方法具有二维路由灵活控制报文的优点，从而为客户提供更好、更灵活多样的服务。

本发明的另一个目的在于提出一种基于二维路由协议实现L3VPN的系统。

为达到上述目的，本发明一方面提出了基于二维路由协议实现L3VPN的方法，包括以下步骤：S1，启动L3VPN网络获得去往每个用户站点的路由；S2，源用户站点内的用户向目标用户站点内的用户发送报文，并将所述报文送至第一边缘路由设备的入口；S3，所述第一边缘路由设备按照所述报文的公共网络IP地址进行封装；S4，将封装后的报文通过二维路由的匹配转发至所述第一边缘路由设备的出口进行解封装，并通过所述第二边缘路由设备的入口转发至所述目标用户站点。

本发明实施例的基于二维路由协议实现L3VPN的方法，通过使用二维路由协议实现L3VPN的路由转发部分，使得L3VPN能够具有二维路由灵活控制报文、可渐进式部署的优点，还通过内网IP到外网IP的映射实现内网的策略路由，从而为客户提供更好、更灵活多样的服务。

另外，根据本发明上述实施例的基于二维路由协议实现L3VPN的方法还可以具有以下附加的技术特征：

进一步地，在本发明的一个实施例中，所述启动L3VPN网络包括：管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略，其中，不同的内网<源，目标>对由不同需求生成的不同转发策略，以二维映射不同的公网<源，目标>对；对所述第一边缘路由设备与所述第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

进一步地，在本发明的一个实施例中，所述第一边缘路由设备为所述公共网络的边缘路由设备，所述第二边缘路由设备为所述用户端内部网络的边缘路由设备。

进一步地，在本发明的一个实施例中，所述步骤S2进一步包括：所述源用户站点内的用户向所述目标用户站点内的用户发送所述报文时，先将所述报文发送至所述第二边缘路由设备的出口，再由所述第二边缘路由设备发给所述第一边缘路由设备的入口。

进一步地，在本发明的一个实施例中，在所述步骤S3中，所述报文根据所述用户端内部网络和公共网络地址映射进行封装。

为达到上述目的，本发明另一方面提出了一种基于二维路由协议实现L3VPN的系统，包括：获取模块用于启动L3VPN网络获得去往每个用户站点的路由；发送模块用于源用户站点内的用户向目标用户站点内的用户发送报文，并将所述报文送至第一边缘路由设备的入口；封装模块用于所述第一边缘路由设备按照所述报文的公共网络IP地址进行封装；转发模块用于将封装后的报文通过二维路由的匹配转发至所述第一边缘路由设备的出口进行解封装，并通过所述第二边缘路由设备的入口转发至所述目标用户站点。

本发明实施例的基于二维路由协议实现L3VPN的系统，通过使用二维路由协议实现L3VPN的路由转发部分，使得L3VPN能够具有二维路由灵活控制报文、可渐进式部署的优点，还通过内网IP到外网IP的映射实现内网的策略路由，从而为客户提供更好、更灵活多样的服务。

另外，根据本发明上述实施例的基于二维路由协议实现L3VPN的系统还可以具有以下附加的技术特征：

进一步地，在本发明的一个实施例中，所述启动L3VPN网络包括：配置单元用于管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略，其中，不同的内网<源，目标>对由不同需求生成的不同转发策略，以二维映射不同的公网<源，目标>对；同步单元用于对所述第一边缘路由设备与所述第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

进一步地，在本发明的一个实施例中，所述第一边缘路由设备为所述公共网络的边缘路由设备，所述第二边缘路由设备为所述用户端内部网络的边缘路由设备。

进一步地，在本发明的一个实施例中，所述发送模块进一步包括：所述源用户站点内的用户向所述目标用户站点内的用户发送所述报文时，先将所述报文发送至所述第二边缘路由设备的出口，再由所述第二边缘路由设备发给所述第一边缘路由设备的入口。

进一步地，在本发明的一个实施例中，在所述封装模块中，所述报文根据所述用户端内部网络和公共网络地址映射进行封装。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明实施例的基于二维路由协议实现L3VPN的方法流程图；

图2为传统路由与二维路由方式对比，其中，(a)为传统路由方式，(b)为二维路由方式；

图3为根据本发明实施例的示例一为二维路由L3VPN基本应用场景；

图4为根据本发明实施例的IPIP封装示意图；

图5为根据本发明实施例的示例二为二维路由L3VPN负载均衡场景；

图6为根据本发明实施例的示例三为二维路由L3VPN内网策略路由场景；

图7为根据本发明实施例的基于二维路由协议实现L3VPN的系统结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

下面参照附图描述根据本发明实施例提出的基于二维路由协议实现L3VPN的方法及系统，首先将参照附图描述根据本发明实施例提出的基于二维路由协议实现L3VPN的方法。

需要说明的是，同一VPN网络的CE与PE之间，内网IP和公网IP之间的映射规则可以多样化，对于某site的内网IP，即使目的site相同，其映射的公网IP也可以不同；同一VPN网络的PE与PE之间使用二维路由协议进行路由，可以通过公网IP对报文的转发路径进行灵活控制；内网IP通过公网IP实现二维路由策略，间接实现了内网的策略路由。

图1是本发明一个实施例的基于二维路由协议实现L3VPN的方法流程图。

如图1所示，该基于二维路由协议实现L3VPN的方法包括以下步骤：

在步骤S1中，启动L3VPN网络获得去往每个用户站点的路由。

进一步地，在本发明的一个实施例中，启动L3VPN网络包括：管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略；对第一边缘路由设备与第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

具体地，管理员进行L3VPN配置，包括内网和公网地址映射、封装报文的二维路由转发策略等。内网和公网地址映射是关于内网<源，目的>对儿和公网<源，目的>对儿之间的映射，映射关系的配置是根据内网<源，目的>对儿的路由策略决定的，路由策略指的是携带该<源，目的>对儿的报文的转发路径。

不同的内网<源，目的>对儿由于需求(如隐私保护等)的不同会具有不同的路由策略，从而会映射到不同的公网<源，目的>对儿。报文会根据该映射被封装之后再被转发，因而最终路由策略的体现是由封装之后报文的公网IP地址决定的。管理员根据公网<源，目的>对儿对应的实际路由策略来配置二维路由协议，进而满足内网的策略需求。

其中，第一边缘路由设备为公共网络的边缘路由设备，第二边缘路由设备为用户端内部网络的边缘路由设备。

也就是说，PE、CE进行路由同步，获得去往各site的路由。

在步骤S2中，源用户站点内的用户向目标用户站点内的用户发送报文，并将报文送至第一边缘路由设备的入口。

进一步地，在本发明的一个实施例中，源用户站点内的用户向目标用户站点内的用户发送报文时，先将报文发送至第二边缘路由设备的出口，再由第二边缘路由设备发给第一边缘路由设备的入口。

换句话说，某site内的用户向另一个site内的用户发送报文，报文会被送往出口CE，然后通过CE到达公网入口PE。

在步骤S3中，第一边缘路由设备按照报文的公网IP地址进行封装。

进一步地，在本发明的一个实施例中，报文根据用户端内部网络和公共网络地址映射进行封装。

可以理解为，PE匹配报文的内网IP地址后，将报文按照匹配到公共网络IP地址进行封装，再把报文转发出去。

在步骤S4中，将封装后的报文通过二维路由的匹配转发至第一边缘路由设备的出口进行解封装，并通过第二边缘路由设备的入口转发至目标用户站点。

也就是说，封装后的报文通过二维路由的匹配转发到达出口PE，最终通过入口CE到达目的site。

为了解本发明实施例的工作原理，首先先解释一下二维路由的工作原理。

如图2所示，(a)中site0、site1和site2连接到一个共同的运营商网络，三个site都被分配一段IP地址，分别是122.1.0.0/16、122.2.0.0/16和54.1.0.0/16，所有运营商路由器运行传统路由。当运行传统路由的PE1收到site0和site1去往site2的报文时，只会匹配报文的目的地址，因而去往地址54.1.0.0/16的报文都会从同一个接口发出，即发往R1。(b)是一个类似的网络场景，只不过所有运营商路由器运行二维路由。运行二维路由的路由器收到报文时，不仅仅匹配报文的目的IP地址，还会匹配报文的源地址，具有相同目的地址但是源地址不同的报文可能会从不同的出口发出。在本例中，当运行二维路由的PE1收到site0和site1去往site2的报文时，尽管报文的目的IP地址都属于54.1.0.0/16网段，但是其源地址分别属于122.1.0.0/16和122.2.0.0/16，因而来自site0的报文被发往了R1，而来自site1的报文被发往了R2。

下面将结合三个示例对本发明实施例的基于二维路由协议实现L3VPN的方法进行详细说明。

示例一，如图3所示，site1和site2分别连接到一个运营商网络，并且属于同一个VPN服务，site1内网IP段是192.1.0.0/16，site2内网IP段是192.2.0.0/16。运营商网络中的路由器运行了二维路由。假设此时有一个源地址为192.1.0.1、目的地址为192.2.0.1的报文从site1发往site2，该报文会由CE1发给PE1，PE1根据映射关系找出该报文携带的<源，目的>对儿对应的公网<源，目的>对儿，然后将该报文按照图4所示的IPIP方式进行封装，即在原始中插入一个携带公网地址对儿的IP头。需要指出，该映射关系对应的公网地址一方面能保证报文被转发至目的出口路由PE，另一方便保证路由策略，比如本例中需要保证该报文必须通过路由器R2到达出口路由PE2。当报文通过二维路由转发到达PE2之后，PE2会对报文进行解封装，即去掉封装的IP头还原为原始报文，然后发给CE2最终到达目的主机。

示例二，如图5所示，本发明实施例是从site1发往site2的报文携带有<192.1.0.0/16,192.2.0.0/16>的地址对儿，并在PE1处进行封装进而转发至出口路由PE2。为了实现网络流量负载均衡的效果，PE1可以按照一定比例的公网地址对儿封装原始报文，比如本例中，对于携带有<192.1.0.0/16,192.2.0.0/16>的报文，PE1将50％的报文封装为<122.1.0.1,54.1.0.1>报文，这些报文会通过路由器R1到达PE2，另外50％的报文封装为<122.1.0.2,54.1.0.1>报文，这些报文会通过路由器R2到达PE2，从而实现了负载均衡的效果。

示例三，如图6所示是一种区分内网服务的场景，比如，在site1中，具有地址为192.1.1.0/24的报文是普通客户信息，可以常规路径(经过R1的路径)转发至目的site2，而具有地址为192.1.2.0/24的报文是保密信息，需要选择安全度高的路径(经过R2的路径，如部署了安全检测设备)进行单独的转发，进而到达目的site2。因此，本发明实施例的客户需求是携带<192.1.1.0/24,192.2.0.0/16>的报文通过R1转发发达PE2，携带<192.1.2.0/24,192.2.0.0/16>的报文通过R2转发发达PE2。因而当PE1收到报文的时候，需要匹配报文的内网地址对儿，然后封装为不同的公网地址对儿，从而通过不同的中间路由器到达出口路由PE2。

根据本发明实施例提出的基于二维路由协议实现L3VPN的方法，通过使用二维路由协议实现L3VPN的路由转发部分，使得L3VPN能够具有二维路由灵活控制报文、可渐进式部署的优点，还通过内网IP到外网IP的映射实现内网的策略路由，从而为客户提供更好、更灵活多样的服务。

其次参照附图描述根据本发明实施例提出的基于二维路由协议实现L3VPN的系统。

图7是本发明一个实施例的基于二维路由协议实现L3VPN的系统结构示意图。

如图7所示，该基于二维路由协议实现L3VPN的系统10包括：获取模块100，发送模块200，封装模块300和转发模块400。

其中，获取模块100用于启动L3VPN网络获得去往每个用户站点的路由。

发送模块200用于源用户站点内的用户向目标用户站点内的用户发送报文，并将报文送至第一边缘路由设备的入口。封装模块300用于第一边缘路由设备按照报文的公共网络IP地址进行封装。转发模块400用于将封装后的报文通过二维路由的匹配转发至第一边缘路由设备的出口进行解封装，并通过第二边缘路由设备的入口转发至目标用户站点。本发明实施例的基于二维路由协议实现L3VPN的系统10继承了二维路由的灵活控制、基于现有协议扩展、渐进式部署等优点，不仅满足VPN本身的功能需求，还可以实现同一VPN网络内部的策略路由。

进一步地，在本发明的一个实施例中，启动L3VPN网络包括：配置单元，用于管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略；同步单元，用于对第一边缘路由设备与第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

进一步地，在本发明的一个实施例中，第一边缘路由设备为公共网络的边缘路由设备，第二边缘路由设备为用户端内部网络的边缘路由设备。

进一步地，在本发明的一个实施例中，发送模块进一步包括：源用户站点内的用户向目标用户站点内的用户发送报文时，先将报文发送至第二边缘路由设备的出口，再由第二边缘路由设备发给第一边缘路由设备的入口。

可选地，在本发明的一个实施例中，在封装模块中，报文根据用户端内部网络和公共网络地址映射进行封装。

需要说明的是，前述对基于二维路由协议实现L3VPN的方法实施例的解释说明也适用于该系统，此处不再赘述。

根据本发明实施例提出的基于二维路由协议实现L3VPN的系统，通过使用二维路由协议实现L3VPN的路由转发部分，使得L3VPN能够具有二维路由灵活控制报文、可渐进式部署的优点，还通过内网IP到外网IP的映射实现内网的策略路由，从而为客户提供更好、更灵活多样的服务。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

在本发明中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或成一体；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通或两个元件的相互作用关系，除非另有明确的限定。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

在本发明中，除非另有明确的规定和限定，第一特征在第二特征“上”或“下”可以是第一和第二特征直接接触，或第一和第二特征通过中间媒介间接接触。而且，第一特征在第二特征“之上”、“上方”和“上面”可是第一特征在第二特征正上方或斜上方，或仅仅表示第一特征水平高度高于第二特征。第一特征在第二特征“之下”、“下方”和“下面”可以是第一特征在第二特征正下方或斜下方，或仅仅表示第一特征水平高度小于第二特征。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种基于二维路由协议实现L3VPN的方法，其特征在于，包括以下步骤：

S1，启动L3VPN网络获得去往每个用户站点的路由；

S2，源用户站点内的用户向目标用户站点内的用户发送报文，并将所述报文送至第一边缘路由设备的入口；

S3，所述第一边缘路由设备按照所述报文的公共网络IP地址进行封装；以及

S4，将封装后的报文通过二维路由的匹配转发至所述第一边缘路由设备的出口进行解封装，并通过第二边缘路由设备的入口转发至所述目标用户站点。

2.根据权利要求1所述的基于二维路由协议实现L3VPN的方法，其特征在于，所述启动L3VPN网络包括：

管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略，其中，不同的内网<源，目标>对由不同需求生成的不同转发策略，以二维映射不同的公网<源，目标>对；

对所述第一边缘路由设备与所述第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

3.根据权利要求1或2所述的基于二维路由协议实现L3VPN的方法，其特征在于，所述第一边缘路由设备为所述公共网络的边缘路由设备，所述第二边缘路由设备为所述用户端内部网络的边缘路由设备。

4.根据权利要求1所述的基于二维路由协议实现L3VPN的方法，其特征在于，所述步骤S2进一步包括：

所述源用户站点内的用户向所述目标用户站点内的用户发送所述报文时，先将所述报文发送至所述第二边缘路由设备的出口，再由所述第二边缘路由设备发给所述第一边缘路由设备的入口。

5.根据权利要求1所述的基于二维路由协议实现L3VPN的方法，其特征在于，在所述步骤S3中，所述报文根据所述用户端内部网络和公共网络地址映射进行封装。

6.一种基于二维路由协议实现L3VPN的系统，其特征在于，包括：

获取模块，用于启动L3VPN网络获得去往每个用户站点的路由；

发送模块，用于用户站点内的用户向目标用户站点内的用户发送报文，并将所述报文送至第一边缘路由设备的入口；

封装模块，用于所述第一边缘路由设备按照所述报文的公共网络IP地址进行封装；以及

转发模块，用于将封装后的报文通过二维路由的匹配转发至所述第一边缘路由设备的出口进行解封装，并通过第二边缘路由设备的入口转发至所述目标用户站点。

7.根据权利要求6所述的基于二维路由协议实现L3VPN的系统，其特征在于，所述启动L3VPN网络包括：

配置单元，用于管理员进行L3VPN配置，包括用户端内部网络和公共网络地址映射、封装报文的二维路由转发策略，其中，不同的内网<源，目标>对由不同需求生成的不同转发策略，以二维映射不同的公网<源，目标>对；

同步单元，用于对所述第一边缘路由设备与所述第二边缘路由设备进行二维路由同步，以获得去往每个用户站点的路由。

8.根据权利要求6或7所述的基于二维路由协议实现L3VPN的系统，其特征在于，所述第一边缘路由设备为所述公共网络的边缘路由设备，所述第二边缘路由设备为所述用户端内部网络的边缘路由设备。

9.根据权利要求6所述的基于二维路由协议实现L3VPN的系统，其特征在于，所述发送模块进一步包括：

所述源用户站点内的用户向所述目标用户站点内的用户发送所述报文时，先将所述报文发送至所述第二边缘路由设备的出口，再由所述第二边缘路由设备发给所述第一边缘路由设备的入口。

10.根据权利要求6所述的基于二维路由协议实现L3VPN的系统，其特征在于，在所述封装模块中，所述报文根据所述用户端内部网络和公共网络地址映射进行封装。

Images