CN111162976B - 一种园区网PPPoE代理拨号方法及设备 - Google Patents

Abstract

本发明公开了一种园区网PPPoE代理拨号方法及设备，该方法基于控制与数据平面分离的思路，控制设备与园区网现有的认证服务器对接，转发设备透明的串接在园区网核心中，并与运营商接入网对接。通过控制设备下发流表，转发设备进行数据转发的方式，代替用户完成PPPoE拨号，并进行VLAN转换，PPPoE报文封装和内外网IP地址映射，使得园区网用户可以在正常访问内网资源的同时，通过运营商的接入网访问互联网。

Description

一种园区网PPPoE代理拨号方法及设备

技术领域

本发明涉及通信技术领域，特别是涉及一种园区网PPPoE代理拨号方法及设备。

背景技术

园区网通是指大学的校园网及企业的内部网。主要特征是路由结构完全由一个机构来管理。园区网主要由计算机、路由器、三层交换机组成。目前，园区网为解决用户访问互联网的需求，常常使用互联网专线加NAT的方式，由此产生了溯源困难、成本高、用户平均带宽低的问题。随着信息化的不断发展，运营商对个人用户的宽带接入的价格越来越低，网速越来越快。因此，运营商与园区合作，在园区网内让用户个人通过运营商接入互联网是一种经济高效的方式。

运营商的宽带接入常常采用的是PPPoE(Point-to-Point Protocol OverEthernet，以太网上的点对点协议)，PPPoE是将点对点协议(PPP)封装在以太网(Ethernet)框架中的一种网络隧道协议。PPPoE协议的提出沿袭传统的拨号上网方式，解决了用户上网收费等实际应用问题，得到了宽带接入运营商的认可并广为采用。

PPPoE工作在二层网络上，园区网常使用VLAN对二层网络隔离，PPPoE无法工作在这种网络下。目前，园区网用户通过PPPoE上网的方式包括：

1、内外网分离：运营商为每个用户单独安装光猫，由光猫完成PPPoE拨号，用户需要访问互联网时，通过光猫接入。

2、二次认证方式：在园区网现有的认证系统之上，部署一套第二认证系统，完成内外网账号转换和PPPoE拨号，认证通过后为用户分配外网IP地址。

但是，内外网分离的方法操作复杂，用户体验差，同时需要在园区内进行光改。园区内网与运营商光网络并存，经济性差。二次认证方式对认证系统性能要求高，部署复杂，需要改动园区网的网络结构。

发明内容

有鉴于此，本发明提出了一种园区网PPPoE代理拨号方法及设备，使得园区网用户在正常访问内网资源的同时，通过运营商的接入网访问互联网时，更加简单易实现。

本发明提出的技术方案是：

本发明公开了一种园区网以太网上的点对点协议PPPoE代理拨号方法，应用于转发设备，该方法包括：

接收控制设备下发的第一流表，所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

接收控制设备下发的第二流表，所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

接收控制设备下发的第三流表，所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

接收控制设备下发的第四流表，所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE数据报文，则根据控制设备下发的第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧。

本发明还公开了一种转发设备，包括：

接收模块，接收控制设备下发的第一流表，所述第一流表匹配域包括以太网上的点对点协议PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

接收控制设备下发的第二流表，所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

接收控制设备下发的第三流表，所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

接收控制设备下发的第四流表，所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

第一处理模块，接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE数据报文，则根据控制设备下发的第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧。

本发明还公开了一种园区网以太网上的点对点协议PPPoE代理拨号方法，应用于控制设备，该方法包括：

向转发设备下发所构造的第一至第四流表，用于转发设备接收到PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址。

本发明还公开了一种控制设备，包括：

构造模块，构造第一至第四流表；

下发模块，向转发设备下发所构造的第一至第四流表，用于转发设备接收到以太网上的点对点协议PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址。

综上，本发明提出了一种园区网PPPoE代理拨号方法及设备，该方法基于控制与数据平面分离的思路，控制设备与园区网现有的认证服务器对接，转发设备透明的串接在园区网核心中，并与运营商接入网对接。通过控制设备下发流表，转发设备进行数据转发的方式，代替用户完成PPPoE拨号，并进行VLAN转换，PPPoE报文封装和内外网IP地址映射，使得园区网用户可以在正常访问内网资源的同时，通过运营商的接入网访问互联网。与现有技术内外网分离的方案相比，由于现有安装光猫的方案需要为每个用户单独安装光猫，一个光猫只服务一个用户，而且用户体验差，而本发明的控制设备和转发设备相结合，只需集中在机房中，在用户无感的情况下为园区网内所有用户服务。

附图说明

图1为本发明园区网PPPoE代理拨号的网络架构示意图；

图2为本发明设备间通信过程的示意图；

图3为本发明实施例转发设备结构示意图；

图4为本发明实施例控制设备结构示意图。

具体实施方式

本发明的核心思想是，提出了一种控制与数据平面分离的园区网PPPoE代理拨号方法，将控制平面与数据平面分离，为实现openflow协议对PPPoE的支持，本发明将复杂的PPPoE拨号和用户映射交由控制平面处理，将简单但是要求高转发速度的数据包修改和封装交由数据平面处理，数据平面逻辑简单适合由专用硬件或SMP(Symmetrical Multi-Processing，对称多处理)处理。

图1为本发明园区网PPPoE代理拨号的网络架构示意图。控制设备与园区网现有的认证服务器对接，转发设备透明的串接在园区网核心中，并与运营商接入网对接。转发设备的行为类似透明网桥，可以在不改动园区网结构的情况下，透明的串接在园区网络中。转发设备是无状态的，适合双机或分布式部署。认证服务器通过控制设备提供的北向接口即可完成任意用户PPPoE上下线的控制，与园区网现有软件系统可以无缝整合。园区网用户可以在运营商开户并绑定宽带账号(用户外网账号)至园区网账号(用户内网帐号)中，使用运营商独立高速的互联网出口，提升了用户体验。

PPPoE通信过程分为2个阶段：发现阶段和会话阶段。发现阶段以太网类型字段数值为0x8863，会话阶段以太网类型字段数值为0x8864。

发现阶段包括PPPoE初始化(PPPoE Active Discovery Initiation，PADI)广播报文、PPPoE回应(PPPoE Active Discovery offer，PADO)报文、PPPoE请求(PPPoE ActiveDiscovery Request，PADR)报文，以及PPPoE会话确认(PPPoE Active Discovery Session-confirmation，PADS)报文的交互。

会话阶段包括LCP协商阶段、认证阶段、IPCP协商阶段和数据传输阶段。

LCP协商阶段：控制设备通过转发设备向PPPoE服务器发送配置请求报文、配置确认/否定/拒绝报文，完成和PPPoE服务器间链路连接的建立、配置和检测。认证阶段：控制设备通过转发设备向PPPoE服务器发送身份认证请求报文，PPPoE服务器去认证服务器认证身份，认证完成后，控制设备通过转发设备接收PPPoE服务器发送的身份确认报文。IPCP协商阶段：控制设备通过转发设备向PPPoE服务器发送配置请求报文、配置确认/否定/拒绝报文，完成网络配置，控制设备接收PPPoE服务器为PPPoE客户端(用户)分配的IP地址。在数据传输阶段，用户可以向PPPoE服务器侧发送或者从PPPoE服务器侧接收数据报文。

图2为本发明设备间通信过程的示意图。该宽带PPPoE业务中包含一个认证服务器、控制设备、转发设备、PPPoE服务器。

在进行PPPoE拨号时，用户携带内网账号向认证服务器发送认证请求。

步骤201、认证服务器预先存储与用户园区网账号相关联的外网账号。认证服务器接收到认证请求后，根据预先存储的关联确定对应的外网账号，向控制设备发送携带用户外网账号、PPPoE服务器侧PPPoE拨号接口、出VLAN、用户源IP的PPPoE代拨请求。

其中，PPPoE服务器侧PPPoE拨号接口和出VLAN指的是转发设备与PPPoE服务器连接侧的接口和VLAN。不同的运营商对应不同的PPPoE拨号接口，如图1中转发设备与运营商1中PPPoE服务器连接侧的接口为PPPoE服务器侧PPPoE拨号接口1，转发设备与运营商2中PPPoE服务器连接侧的接口为PPPoE服务器侧PPPoE拨号接口2，…

步骤202、控制设备通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将PADI广播报文发送至PPPoE服务器；

步骤203、控制设备通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PADO报文，根据所述PADO报文获取PPPoE服务器的MAC地址。

步骤204、控制设备根据所获取的PPPoE服务器MAC地址构造PADR报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADR报文发送至PPPoE服务器。

步骤205、控制设备通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PADS报文，根据所述PADS报文获取PPPoE服务器产生的唯一PPPoE会话标识。

本步骤中，PPPoE服务器会产生PPPoE会话标识，唯一标识PPPoE服务器和用户的这段PPPoE会话。

步骤206、控制设备通过转发设备与PPPoE服务器交互，根据LCP协议完成PPPoE会话标识对应的协商阶段。

步骤207、控制设备通过转发设备与PPPoE服务器交互，完成PPPoE会话标识对应的认证阶段。

步骤208、控制设备通过转发设备与PPPoE服务器交互，根据IPCP协议完成PPPoE会话标识对应的网络配置，取得PPPoE服务器为用户分配的IP地址。

在PPPoE拨号终止时，

步骤209、控制设备在从北面接口接收到认证服务器发送的携带有需要下线的用户IP地址的停止请求后，查询所述用户IP地址对应的PPPoE会话标识、PPPoE服务器的MAC地址、PPPoE服务器侧PPPoE拨号接口、出VLAN；根据所述PPPoE服务器的MAC地址和PPPoE会话标识构造PPPoE终止(PADT)报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADT报文发送至PPPoE服务器。

以上步骤发生异常，控制设备将错误信息通过北向接口返回至认证服务器，否则返回成功并执行流表构造和下发阶段。

控制设备构造第一流表、第二流表、第三流表、第四流表。第一至第四流表，用于报文从PPPoE服务器侧到用户侧的转发。

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址。

控制设备向转发设备下发所构造的第一至第四流表，用于转发设备接收到PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧。

控制设备构造第五流表、第六流表、第七流表、第八流表。第五至第八流表，用于报文从用户侧到PPPoE服务器侧的转发。

所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN。

控制设备向转发设备下发所构造的第五至第八流表，用于转发设备接收到用户侧发送的数据报文时，则根据所述第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧。

转发设备接收的报文，有上述PPPoE服务器侧发送到用户侧的PPPoE数据报文，也有上述用户侧发送到外网的数据报文，都通过匹配流表进行转发。

同时，如果转发设备在接收到用户侧发送的数据报文，判断报文类型为IP报文，以太网类型0x0800，且目的地址为内网地址时，则将IP报文根据目的IP地址直接转发至内网侧。如此，可以防止内网报文发送到外网。

同时，如果转发设备在接收到PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备。PPPoE控制报文可以是以太网类型0x8863；也可以是以太网类型0x8864，且PPP协议字段不为0x0021。这一转发过程对应于图2中以下几种情况：

步骤203，转发设备接收到PPPoE服务器发送的PADO控制报文，则将PADO控制报文发送到控制设备。

步骤205、转发设备接收到PPPoE服务器发送的PADS控制报文，则将PADS控制报文发送到控制设备。

同理，在步骤206、207、208中转发设备接收到协商认证的PPPoE控制报文时，也将PPPoE控制报文发送到控制设备。

本发明对于转发设备接收的其他报文，采取丢弃处理。

根据上述方法，以用户报文中的源地址和目的地址为依据，对需要出外网报文进行转换并发送至运营商线路，使得园区网用户可以在正常访问内网资源的同时，通过运营商的接入网访问互联网。

针对上述方法，本发明还公开一种转发设备，结构示意图如图3所示。所述转发设备包括：

接收模块301，接收控制设备下发的第一流表，所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

接收控制设备下发的第二流表，所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

接收控制设备下发的第三流表，所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

接收控制设备下发的第四流表，所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

第一处理模块302，接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE数据报文，则根据控制设备下发的第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧。

所述第一处理模块302还用于：接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备代替用户与PPPoE服务器进行认证和协商，还用于控制设备解析所接收的PADO控制报文和PADS控制报文。

所述第一处理模块302还用于：接收用户侧发送的数据报文，判断报文类型为IP报文，且目的地址为内网地址，则将IP报文转发至内网侧。

所述接收模块301还用于：

接收控制设备下发的第五流表，所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

接收控制设备下发的第六流表，所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

接收控制设备下发的第七流表，所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

接收控制设备下发的第八流表，所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN；

所述第一处理模块302还用于：接收用户侧发送的数据报文，则根据控制设备下发的第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧。

所述第一处理模块302还用于：

在进行PPPoE拨号时，

从控制设备南向接口接收控制设备发送的PADI广播报文，由PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址构造的PADR报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

在PPPoE拨号终止时，

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址和PPPoE会话标识构造的PADT报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器。

针对上述方法，本发明还公开一种控制设备，结构示意图如图4所示。所述控制设备包括：

构造模块401，构造第一至第四流表；

下发模块402，向转发设备下发所构造的第一至第四流表，用于转发设备接收到PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址。

所述下发模块402还用于：

向转发设备下发所构造的第五至第八流表，用于转发设备接收到用户侧发送的数据报文时，则根据所述第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧；

所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN。

所述控制设备还包括第二处理模块403：

在进行PPPoE拨号时，

在从北面接口接收到认证服务器携带用户外网账号、PPPoE服务器侧PPPoE拨号接口、出VLAN、用户源IP的PPPoE代拨请求后，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将PADI广播报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PADO报文，根据所述PADO报文获取PPPoE服务器的MAC地址；

根据所获取的PPPoE服务器MAC地址构造PADR报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADR报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PADS报文，根据所述PADS报文获取PPPoE服务器产生的唯一PPPoE会话标识；

在PPPoE拨号终止时，

在从北面接口接收到认证服务器发送的携带有需要下线的用户IP地址的停止请求后，查询所述用户IP地址对应的PPPoE会话标识、PPPoE服务器的MAC地址、PPPoE服务器侧PPPoE拨号接口、出VLAN；根据所述PPPoE服务器的MAC地址和PPPoE会话标识构造PADT报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADT报文发送至PPPoE服务器。

本发明实施例具有以下有益技术效果：控制设备与园区网现有的认证服务器对接，转发设备可以在不改动园区网结构的情况下，透明的串接在园区网核心中，并与运营商接入网对接。在用户无感的情况下为园区网内所有用户服务。控制设备和转发设备代替用户完成PPPoE拨号，并进行VLAN转换，PPPoE报文封装和内外网IP地址映射，使得园区网用户可以在正常访问内网资源的同时，通过运营商的接入网访问互联网。不但提高了用户体验，而且经济性更高。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (16)

1.一种园区网以太网上的点对点协议PPPoE代理拨号方法，应用于转发设备，其特征在于，该方法包括：

接收控制设备下发的第一流表，所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

接收控制设备下发的第二流表，所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

接收控制设备下发的第三流表，所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

接收控制设备下发的第四流表，所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE数据报文，则根据控制设备下发的第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

该方法还包括：接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备代替用户与PPPoE服务器进行认证和协商以完成PPPoE代理拨号。

2.根据权利要求1所述的方法，其特征在于，所述接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备，还用于控制设备解析所接收的PPPoE回应PADO控制报文和PPPoE会话确认PADS控制报文。

3.根据权利要求1所述的方法，其特征在于，该方法还包括：接收用户侧发送的数据报文，判断报文类型为IP报文，且目的地址为内网地址，则将IP报文转发至内网侧。

4.根据权利要求1所述的方法，其特征在于，该方法还包括：

接收控制设备下发的第五流表，所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

接收控制设备下发的第六流表，所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

接收控制设备下发的第七流表，所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

接收控制设备下发的第八流表，所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN；

接收用户侧发送的数据报文，则根据控制设备下发的第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧。

5.根据权利要求1所述的方法，其特征在于，该方法还包括：

在进行PPPoE拨号时，

从控制设备南向接口接收控制设备发送的PPPoE初始化PADI广播报文，由PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址构造的PPPoE请求PADR报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

在PPPoE拨号终止时，

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址和PPPoE会话标识构造的PPPoE终止PADT报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器。

6.一种转发设备，其特征在于，包括：

接收模块，接收控制设备下发的第一流表，所述第一流表匹配域包括以太网上的点对点协议PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

接收控制设备下发的第二流表，所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

接收控制设备下发的第三流表，所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

接收控制设备下发的第四流表，所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

第一处理模块，接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE数据报文，则根据控制设备下发的第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

还用于接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备代替用户与PPPoE服务器进行认证和协商以完成PPPoE代理拨号。

7.根据权利要求6所述的设备，其特征在于，所述第一处理模块还用于：接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备解析所接收的PPPoE回应PADO控制报文和PPPoE会话确认PADS控制报文。

8.根据权利要求6所述的设备，其特征在于，所述第一处理模块还用于：接收用户侧发送的数据报文，判断报文类型为IP报文，且目的地址为内网地址，则将IP报文转发至内网侧。

9.根据权利要求6所述的设备，其特征在于，所述接收模块还用于：

接收控制设备下发的第五流表，所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

接收控制设备下发的第六流表，所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

接收控制设备下发的第七流表，所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

接收控制设备下发的第八流表，所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN；

所述第一处理模块还用于：接收用户侧发送的数据报文，则根据控制设备下发的第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧。

10.根据权利要求6所述的设备，其特征在于，所述第一处理模块还用于：

在进行PPPoE拨号时，

从控制设备南向接口接收控制设备发送的PPPoE初始化PADI广播报文，由PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址构造的PPPoE请求PADR报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器；

在PPPoE拨号终止时，

从控制设备南向接口接收控制设备根据所获取的PPPoE服务器的MAC地址和PPPoE会话标识构造的PPPoE终止PADT报文，由所述PPPoE服务器侧PPPoE拨号接口、出VLAN发送至PPPoE服务器。

11.一种园区网以太网上的点对点协议PPPoE代理拨号方法，应用于控制设备，其特征在于，该方法包括：

向转发设备下发所构造的第一至第四流表，用于转发设备接收到PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

其中，所述转发设备用于接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备代替用户与PPPoE服务器进行认证和协商以完成PPPoE代理拨号。

12.根据权利要求11所述的方法，其特征在于，该方法还包括：

向转发设备下发所构造的第五至第八流表，用于转发设备接收到用户侧发送的数据报文时，则根据所述第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧；

所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN。

13.根据权利要求11所述的方法，其特征在于，该方法还包括：

在进行PPPoE拨号时，

在从北面接口接收到认证服务器携带用户外网账号、PPPoE服务器侧PPPoE拨号接口、出VLAN、用户源IP的PPPoE代拨请求后，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将PPPoE初始化PADI广播报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PPPoE回应PADO报文，根据所述PADO报文获取PPPoE服务器的MAC地址；

根据所获取的PPPoE服务器MAC地址构造PPPoE请求PADR报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADR报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PPPoE会话确认PADS报文，根据所述PADS报文获取PPPoE服务器产生的唯一PPPoE会话标识；

在PPPoE拨号终止时，

在从北面接口接收到认证服务器发送的携带有需要下线的用户IP地址的停止请求后，查询所述用户IP地址对应的PPPoE会话标识、PPPoE服务器的MAC地址、PPPoE服务器侧PPPoE拨号接口、出VLAN；根据所述PPPoE服务器的MAC地址和PPPoE会话标识构造PPPoE终止PADT报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADT报文发送至PPPoE服务器。

14.一种控制设备，其特征在于，包括：

构造模块，构造第一至第四流表；

下发模块，向转发设备下发所构造的第一至第四流表，用于转发设备接收到以太网上的点对点协议PPPoE服务器侧发送的报文时，判断报文类型为PPPoE数据报文，则根据所述第一至第四流表进行匹配并执行对应的动作，将PPPoE数据报文发送到用户侧；

所述第一流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN、报文类型为PPPoE、PPPoE会话标识，动作域包括将与所述第一流表匹配域匹配的数据报文进行PPPoE解封装发送到用户侧；

所述第二流表匹配域包括PPPoE服务器侧PPPoE拨号接口、出VLAN，动作域包括将与所述第二流表匹配域匹配的数据报文出VLAN修改为用户侧入VLAN；

所述第三流表匹配域源MAC地址为PPPoE服务器的MAC地址，动作域包括将与所述第三流表匹配域匹配的数据报文目地MAC地址修改为用户MAC地址；

所述第四流表匹配域目地IP地址为PPPoE服务器为用户分配的IP地址，动作域包括将与所述第四流表匹配域匹配的数据报文目地IP地址修改为用户IP地址；

其中，所述转发设备用于接收PPPoE服务器侧发送的报文，判断报文类型为PPPoE控制报文，则将PPPoE控制报文发送到控制设备用于控制设备代替用户与PPPoE服务器进行认证和协商以完成PPPoE代理拨号。

15.根据权利要求14所述的设备，其特征在于，所述下发模块还用于：

向转发设备下发所构造的第五至第八流表，用于转发设备接收到用户侧发送的数据报文时，则根据所述第五至第八流表进行匹配并执行对应的动作，将报文发送到PPPoE服务器侧；

所述第五流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第五流表匹配域匹配的数据报文用户源IP修改为PPPoE服务器为用户分配的IP地址；

所述第六流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第六流表匹配域匹配的数据报文进行PPPoE封装，所述PPPoE封装包含PPPoE会话标识；

所述第七流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第七流表匹配域匹配的数据报文目地MAC地址修改为PPPoE服务器的MAC地址；

所述第八流表匹配域包括用户源IP、用户侧入接口、用户侧入VLAN，动作域包括将与所述第八流表匹配域匹配的数据报文用户侧入VLAN修改为出VLAN。

16.根据权利要求14所述的设备，其特征在于，还包括第二处理模块：

在进行PPPoE拨号时，

在从北面接口接收到认证服务器携带用户外网账号、PPPoE服务器侧PPPoE拨号接口、出VLAN、用户源IP的PPPoE代拨请求后，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将PPPoE初始化PADI广播报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PPPoE回应PADO报文，根据所述PADO报文获取PPPoE服务器的MAC地址；

根据所获取的PPPoE服务器MAC地址构造PPPoE请求PADR报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADR报文发送至PPPoE服务器；

通过南向接口接收转发设备从所述PPPoE服务器侧PPPoE拨号接口、出VLAN接收的PPPoE会话确认PADS报文，根据所述PADS报文获取PPPoE服务器产生的唯一PPPoE会话标识；

在PPPoE拨号终止时，

在从北面接口接收到认证服务器发送的携带有需要下线的用户IP地址的停止请求后，查询所述用户IP地址对应的PPPoE会话标识、PPPoE服务器的MAC地址、PPPoE服务器侧PPPoE拨号接口、出VLAN；根据所述PPPoE服务器的MAC地址和PPPoE会话标识构造PPPoE终止PADT报文，通过南向接口通知转发设备由PPPoE服务器侧PPPoE拨号接口、出VLAN将所述PADT报文发送至PPPoE服务器。

Images