CN112688871B

CN112688871B - 使用客户专用隧道的外部自治系统中的路由控制

Info

Publication number: CN112688871B
Application number: CN201910985979.5A
Authority: CN
Inventors: 李明
Original assignee: Algoblu Holdings Ltd
Current assignee: Algoblu Holdings Ltd
Priority date: 2019-10-18
Filing date: 2019-10-18
Publication date: 2023-07-25
Anticipated expiration: 2039-10-18
Also published as: EP4046342A1; CN112688871A; EP4046342A4; US20210119913A1; WO2021073622A1

Abstract

本公开的实施例涉及使用客户专用隧道的外部自治系统中的路由控制。在不引起数据分组的源IP地址发生改变的情况下控制跨自治系统的数据路由的系统和方法。在第一自治系统中，在覆盖网络上的并且具有预定义的路由的隧道被预先指派给第二自治系统。当第一自治系统接收到具有与第二自治系统相关联的IP地址的数据分组时，该数据分组被标记以指示关联。一旦在分组中定位出标签，第一自治系统中的网络交换机就执行层2端口转发以将数据转发到预先指派的隧道的端点端口，并且从而数据可以穿越该隧道以到达另一隧道端点端口，该端口可以是第一自治系统的边缘节点。以这种方式，数据分组可以在保留原始源IP地址的同时穿越第一自治系统。

Description

使用客户专用隧道的外部自治系统中的路由控制

技术领域

本公开总体上涉及网络业务路由领域，并且更具体地，涉及跨多个自治系统的路由领域。

背景技术

自治系统(AS)指代由实体或组织(可以是因特网服务提供商(ISP)或从ISP订阅服务的客户实体)管理的网络或网络集合。通常，AS具有其自己的AS标识，并且AS是具有很多子网的异构网络，这些子网具有组合的路由逻辑和公共的路由策略。AS通常使用多个入口和出口边缘节点来与其他自治系统接口。自治系统的出站数据业务可以经过指定的出口边缘节点以到达另一自治系统中的目的地节点。

边界网关协议(BGP)是一种标准化的外部网关协议，其旨在在因特网上的自治系统之间交换路由和可达性信息。BGP用于基于由网络管理员配置的路径、网络策略或规则集合来做出路由决策。BGP可以用于在自治系统内或在多个自治系统之间进行路由。

传统上，行进通过AS的数据分组被路由器指派与AS相关联的IP地址。例如，当数据分组源自客户AS时，路由器指派属于客户实体的私有源IP地址。例如通过静态NAT或动态NAT，当数据分组到达ISP AS时，ISP AS中的路由器执行网络地址转换(NAT)，并且将私有IP地址映射到属于ISP的公共IP地址。当数据分组被路由返回到客户AS中的源设备时，ISP路由器反转转换并且将公共IP地址改为私有IP地址。ISP AS中的数据路由通常由ISP中的路由器通过使用路由表根据各种路由机制来确定，并且路由可以动态调节。

此外，当分组到达可以位于第三AS中的目的地节点时，认为该数据分组具有与ISPAS相关联的IP地址，而不考虑与该客户AS相关联的原始私有IP地址。这可能会在一些应用中引发某些问题。例如，目标节点可以位于安全的公司网络中，并且依赖于数据分组的IP地址来确定其是否具有足够的安全级别。此外，某些公司AS可能具有防火墙并且需要认证，更改源IP地址会隐藏其来源并且可能阻碍认证过程。

通常，AS的所有者实体很难控制外部AS中的路由。如果第一ISP(例如，Verizon)尝试为数据穿越第二ISP AS(例如，AT&T)保留其IP地址，或者尝试使数据在指定的路由中穿越第二ISP，则无论该数据的目的地是第二ISP还是经由第二ISP的第三ISP，第二ISP必须单独配置其路由器以定义由第一ISP指定的路由。

发明内容

因此，提供一种允许数据分组跨自治系统传播而不更改在原始自治系统(AS)或源AS中指派的IP地址的机制将是有利的。也将有利的是，为源AS提供对另一AS中的数据路由的某种级别的控制。

本公开的实施例涉及在即时AS(例如，ISP AS)的边界处，通过在层2处的基于策略的端口转发的方式将从特定外部AS接收的数据转发到预先指派的隧道。隧道可以特定于任何预定义的种类的外部AS(例如，客户AS)、应用或数据组。隧道在即时AS中的覆盖网络上被配置。特别地，对于从外部AS路由的数据分组，即时AS的BGP路由器、核心路由器或其他类型的路由器对分组进行分析以确定是否应当将分组路由通过隧道并且相应地将数据转发到隧道末端处的端口。

在一些实施例中，即时AS的BGP路由器可以向分组添加标签以指示其与外部AS、应用或数据组的关联。是否应当将数据转发到隧道的确定可以基于各种因素，诸如MAC地址和五元组(5元组)，例如源IP地址/端口号、目的地IP地址/端口号以及使用中的协议。换言之，标签用于指示与隧道的关联。

BGP路由器还配置有端口转发策略并且将数据分组发送到交换机。基于分组分析结果或者基于标签，交换设备执行层2端口转发以将数据从接收的层2端口转发到与预先指派的隧道的端点端口相对应的层2端口。结果，分组通过隧道跨即时AS的被路由。交换设备可以是广域网中的软件定义网络(SD-WAN)中的可编程网络交换机。

隧道包括即时AS内的预定义的链路，这些链路可以由外部AS的实体(例如，客户AS)预先选择。有关隧道的信息可以通过BGP在两个AS的边界处交换。隧道可以在即时AS的非边缘节点或出口边缘节点处具有另一端点。因此，基于各种业务需求有利地为外部AS提供关于即时AS内的数据路由的控制能力。由于可以通过隧道重新配置来执行任何路由更改，因此它不需要由即时AS针对特定外部实体更改路由表，这在实践中很困难。在即时AS由因特网服务提供商(ISP)管理并且外部AS由ISP的客户控制的情况下，则将覆盖网络与层2端口转发相结合使用允许客户实体控制ISP AS中的路由，而不会显著增加双方的运营成本。此外，由于数据路由是由层2处的端口转发操作(例如，通过使用层2交换机)来控制的，而不是像第3层路由操作那样使用路由表来控制的，因此退出隧道的数据可以有利地保留其源IP地址。

数据分组还可以进一步被路由到第三AS，该第三AS也可以具有为外部AS(上述示例中的客户AS)配置的隧道。类似地，在端口转发之后，数据分组也可以通过隧道穿越第三AS。

前述内容是概述，并且因此必然包含细节的简化、概括和省略；因此，本领域技术人员将理解，该概述仅是说明性的，而绝非旨在进行限制。仅由权利要求书限定的本发明的其他方面、发明特征和优点将在以下阐述的非限制性详细描述中变得很清楚。

附图说明

通过结合附图阅读下面的详细描述，将能够更好地理解本发明的实施例，附图中的相同的附图标记表示相同的元素，并且在附图中：

图1示出了根据本公开的实施例的示例性通信系统，其中当前自治系统中的数据路由可以由与外部自治系统相关联的外部实体通过使用隧道和层2端口转发来控制；

图2是描绘根据本公开的实施例的通过使用建立在覆盖网络上的预先指派的隧道来路由从外部AS接收的数据的示例性的计算机实现的过程的流程图；

图3是示出根据本公开的实施例的被配置为通过使用层2端口转发将外部AS的数据路由到预先指派的隧道的SDN的示例性架构的框图；以及

图4是示出根据本公开的实施例的能够控制网络设备以通过使用层2端口转发来将外部AS数据路由到预先指派的隧道的示例性SDN中央控制器设备的配置的框图。

具体实施方式

现在将详细参考本发明的优选实施例，其示例在附图中示出。尽管将结合优选实施例描述本发明，但是应当理解，它们并不旨在将本发明限制于这些实施例。相反，本发明旨在覆盖可以被包括在由所附权利要求限定的本发明的精神和范围内的备选、修改和等同物。此外，在对本发明的实施例的以下详细描述中，阐述了很多具体细节以便提供对本发明的透彻理解。然而，本领域普通技术人员将认识到，可以在没有这些具体细节的情况下实践本发明。在其他情况下，没有详细描述公知的方法、过程、组件和电路，以免不必要地模糊本发明的实施例的各方面。尽管为清楚起见，可以将一种方法描述为一系列被编号的步骤，但是编号不一定指示步骤的顺序。应当理解，一些步骤可以被跳过，被并行地执行，或者在不要求维护严格的顺序的情况下被执行。示出本发明的实施例的附图是半示意性的并且没有按比例绘制，并且特别地，一些尺寸是为了清楚显示并且在附图中被夸大地示出。类似地，尽管为了便于描述，附图中的视图通常示出相似的取向，但是附图中的这种描绘在大多数情况下是任意的。通常，本发明可以在任何取向上进行操作。

符号和术语：

然而，应当记住，所有这些和类似术语均应当与适当的物理量相关联，并且仅仅是应用于这些量的方便标签。除非从以下讨论中另外特别地指出，否则应当理解，在整个本发明中，利用诸如“处理”或“访问”或“执行”或“存储”或“渲染”等术语的讨论，指代计算机系统或类似的电子计算设备的行为和过程，这些行为和过程将被表示为计算机系统的寄存器和存储器以及其他计算机可读介质中的物理(电子)量的数据操作并转换为类似地表示为计算机系统的存储器或寄存器或其他这样的信息存储、传输或显示设备中的物理量的其他数据。当组件在若干实施例中出现时，使用相同的附图标记表示该组件是与在原始实施例示出的相同的组件。

通过使用客户特定隧道的外部自治系统中的路由控制

本公开的实施例提供了一种用于实体通过使用预先指派给与该实体相关联的自治系统(第二AS)的隧道来控制外部自治系统(第一AS)中的数据路由的机制。隧道在第一AS中的覆盖网络上被配置。在第一AS的边界处，可以分析从第二AS接收的数据并且可选地对其进行标记，然后通过层2端口转发操作将其相应地转发到隧道，而不受制于更改IP地址。对于从第二AS接收的数据，可以通过重新配置隧道而不是更改路由表来调节第一AS中的路由。

图1示出了根据本公开的实施例的示例性通信系统100，其中当前自治系统中的数据路由可以由与外部自治系统相关联的外部实体通过使用隧道和层2端口转发来控制。如图所示，自治系统(AS)110、130和140分别对应于运营商X、Y和Z的网络，每个运营商被耦合到核心网络(未明确示出)。核心网络可以是公共接入网络，诸如因特网、物理上独立的内联网或其他互连。核心网络可以包括其他AS。每个AS 110、120、130或140是路由域，是单个网络或者是一组网络，这些网络可以由公共网络管理员(或一组管理员)代表单个管理实体(诸如大学、商业企业或业务部门)来控制。可以为每个自治系统指派全球唯一编号，有时也称为自治系统编号(ASN)。

例如，源自客户AS 120的数据分组在到达目的地节点之前需要行进跨越运营商XAS 110。边界网关协议(BGP)可以用于在因特网上在自治系统120和110之间交换路由和可达性信息。BGP可以用于基于由网络管理员配置的路径、网络策略或规则集合做出路由决策。BGP可以用于自治系统内以及多个自治系统之间的路由。

运营商X AS 110可以是广域网中的软件定义网络SDN(SD-WAN)。运营商X AS 110配置有覆盖网络或SDN覆盖(未明确示出)。覆盖网络包括可以用于在物理网络之上运行多个单独的、离散的虚拟化网络层的一层或多层网络抽象。可以在覆盖网络上配置一个或多个隧道。每个隧道在其两个端点之间包括一组特定链路。隧道端点可以是实际的物理位置，诸如网络端口，也可以是由网络云中的软件地址指定的逻辑位置。在一些实施例中，客户AS120还包括SDN，例如SDN-WAN。然而，应当理解，本公开可以应用于任何类型的网络，而不脱离本公开的范围。在SDN或SDN-WAN中，通过应用级别层2隧道的配置和重新配置可以被实现。

根据本公开的实施例，覆盖网络上的隧道可以被预先指派给数据，该数据与一个或多个外部自治系统、一个或多个特定应用或一个或多个特定数据组相关联。在所示示例中，隧道115可以具有固定的一组链路，该固定的一组链路由客户实体选择和/或由与运营商X的协商产生。隧道115用于特定的一个或多个数据组，例如，来自特定外部自治系统的数据。本公开不限于定义隧道的任何特定部件，也不限于隧道的任何特定配置或实现。因此，从客户AS 120接收的数据可以沿着隧道中的客户选择的一组链路穿越运营商X AS 120。类似地，也可以将以客户AS 120为目的地的数据路由通过隧道115。

更具体地，对于源自位于客户AS 120中的用户设备的数据分组，AS 120的路由器(未示出)向该用户设备指派私有IP地址。在到达运营商X AS之前，分组被传输通过客户ASBGP路由器121和运营商X BGP路由器150。在一些实施例中，运营商X BGP路由器(或核心路由器或任何其他合适类型的路由器)被配置有标记逻辑151和端口转发策略模块152。端口转发策略可以指定隧道(和/或运营商X AS中的相关联层2端口和边缘路由器)与AS之间的对应关系，并且可以指定用于端口转发的优先级策略。

标记逻辑151向需要被路由通过运营商X AS中的特定隧道的一类数据分组添加标签。因此，在该示例中，标签指示分组与客户AS 121的关联。标记逻辑151可以被配置为基于分组中包含的一组信息来分析分组，以决定是否应当通过使用预先指派的隧道(例如，隧道115)来路由分组以及因此是否应当添加标签。例如，标记逻辑151可以通过使用分组的5元组来对分组进行分类，该5元组包括源IP地址/端口号、目的地IP地址/端口号以及使用中的协议。然而，该讨论仅是示例性的。标记逻辑可以使用任何其他合适类型的信息来标记分组。一旦确定分组应当被转发到隧道115，就将相应的标签添加到分组。标签可以是交换设备可识别的任何合适的形式。

BGP路由器150然后将标记的分组发送到在运营商X AS 110的边界处配置的网络交换机160。特别地，分组在网络交换机160的层2端口处被接收。网络交换机150还包括端口转发逻辑160和解除标记逻辑161。端口转发逻辑161然后可以检测分组中的标签，并且相应地执行端口转发以将数据从接收的层2端口转发到耦合到隧道的另一层2端口(这里称为隧道端点端口)，从而使分组传播通过隧道。隧道端点可以在边缘路由器或非边缘路由器中被实现。在该示例中，隧道115的端点在运营商X AS 110的边缘路由器112中被实现。路由器112不改变分组的IP地址。一旦不再需要端口转发，解除标记逻辑162就可以从分组中移除标记。应当理解，标记逻辑和端口转发逻辑可以驻留在一个或多个其他合适的网络设备上。

在一些其他实施例中，例如当数据业务较少时，在路由器处对数据进行分析以确定是否应当将其转发到特定隧道，但是不对数据进行标记或解除标记。

在一些实施例中，如果目的地节点位于运营商X AS 110内，则隧道可以使另一端点驻留在运营商X AS 110中的非边缘路由器上。非边缘路由器随后可以以本领域中公知的任何方式将分组引导到目的地节点。如果目的地节点位于第三AS(例如，运营商Y 130或运营商Z 140)中，则隧道115可以具有驻留在运营商X AS 110的边缘路由器114上的另一端点。然而，本公开不限于此；在不脱离本公开的范围的前提下，可以以任何方式以任何合适的比例配置隧道。

如果分组需要在没有预先指派给客户AS 120的隧道的运营商ZAS 140处穿越或传递，则该分组在到达运营商Z AS 140的边界之前传播通过运营商X BGP路由器116和运营商Z BGP路由器141。分组的IP地址可以由运营商Z AS 140的边缘路由器来更改，如在传统系统中一样。

另一方面，运营商Y AS 130类似地具有预先指派给客户AS 120的隧道131，并且该隧道131被建立在边缘路由器132与非边缘路由器133之间。例如，在隧道的出口处，路由器133可以将分组引导到运营商Y AS 130内的目的地节点。运营商Y BGP路由器170被耦合到运营商X BGP路由器116。BGP路由器170包括标记逻辑171和端口转发策略模块172，并且网络交换机180包括端口转发逻辑181和解除标记逻辑，类似于参考BGP路由器150和交换机160描述的。隧道131可以包括由AS 120的客户实体预先选择的一组固定的链路。

因为建立在AS(在该示例中为运营商X AS)的覆盖网络上的预先指派的隧道用于去往或来自外部AS(在该示例中为客户AS)的数据的传输，所以外部AS有利地基于其各种业务需求被提供对即时AS中的数据路由的灵活控制。由于任何路由更改可以通过重新配置隧道来执行，因此它不需要运营商X更改路由表，本。此外，由于数据路由是由层2切换操作(例如，端口转发)控制的，而不是使用涉及第3层操作的路由表来控制的，因此退出隧道的数据可以有利地保留其由客户AS 120指派的原始源IP地址。

图2是描绘根据本公开的实施例的通过使用建立在覆盖网络上的预先指派的隧道来路由从外部AS接收的数据的示例性的计算机实现的过程200的流程图。例如，数据分组在跨第一自治系统和第二自治系统被路由。第二AS具有覆盖网络，在覆盖网络之上构建有层2隧道。根据预定义的路由策略，来自第一AS的所有数据都将被路由通过隧道。但是，这仅是示例性的，隧道也可以负责传输与预定义的应用或预定义的数据组相关联的转发数据。过程200可以由第二AS的边界处的一个或多个网络设备执行。过程200可以通过使用软件、硬件、固件或其组合以本领域公知的任何合适方式来实现。

在201处，第二AS在其边界处接收数据分组，例如在BGP路由器(例如，图1中的BGP路由器150)处。数据分组携带由第一AS处的路由器指派的源IP地址。在202处，确定分组是否与第一AS相关联并且因此需要被引导到预先指派给第一AS的隧道。该决定可以基于分组的5元组(包括源IP地址/端口号、目的地IP地址/端口号以及使用中的协议)或任何其他合适的信息来做出。在标记逻辑可用的一些实施例中，如果分组来自第一AS，则对该分组进行标记以指示其与第一AS的关联。在203处，基于分组的分析结果或者当在分组中定位出标签时，执行端口转发以将分组从接收的层2端口切换到被耦合到隧道端点的层2端口。

在204处，使分组沿着为第一AS实体或由第一AS实体选择的固定的链路传播通过覆盖网络中的隧道。由于数据路由是由层2切换操作(例如，端口转发)结合隧道来控制的，这与传统技术中使用涉及第3层操作的路由表相反，因此离开隧道的数据可以有利地保留其在第3层报头中的原始私有IP地址，私有IP与第一AS关联。

图3是示出根据本公开的实施例的被配置为通过所有层2端口转发将外部AS的数据路由到预先指派的隧道的SDN 300的示例性架构的框图。例如，SDN可以在图1所示的运营商X AS 110中被实现。SDN 400包括三个逻辑层：应用层310、控制层320和基础设施层330。控制层320用作应用层310与基础设施层330之间的接口，并且控制去往和来自外部AS(例如，图1中的客户AS 120)的数据。

基础设施层330包括被耦合在网络中的网络硬件设备331-334，例如，BGP路由器、边缘路由器、非边缘路由器和交换机。这些设备执行网络的转发和数据处理功能。这包括转发和处理数据路径。

控制层430或SDN控制器可以为网络设备和管理功能提供专有的编程接口。在控制层320的控制下，一些设备被配置为执行对来自特定AS的数据的分析和可选的执行标记、执行到预先指派的隧道的层2端口转发以及可选的执行解除标记。

控制层320通过控制数据平面接口(例如，通过使用OpenFlow协议)与网络设备通信。控制层320包括实现分布式或集中式控制系统的一个或多个SDN控制软件程序。特别地，控制层320包括用于外部AS的路由控制的程序322，其包括用于通过AS的实体、层2端口转发控制模块324和标记/解除标记控制模块325利用预先选择的链路来实现具有AS特定的隧道323的指令。

通常，应用可以通过从控制器收集用于进行决策制定的信息来构建网络的抽象视图。这些应用可以包括网络管理、分析、网络安全、用于运行大型数据中心的是事务应用。应用层310包括创建覆盖网络312的事务应用程序。应用层310通过相应的应用程序编程接口(API)与控制层通信。

图4是示出根据本公开的实施例的能够控制网络设备以通过使用层2端口转发和预先指派的隧道来路由外部AS数据的示例性SDN中央控制器设备400的配置的框图。设备400可以是通用服务器计算机，并且在当前AS的SDN网络中的控制层中操作。SDN控制器400是从SDN应用层接收指令或要求并且将其中继到网络基础设施的逻辑实体。控制器还从硬件设备中提取有关网络的信息，并且将其与网络的抽象视图(例如，有关网络的统计信息和事件)一起传送返回SDN应用。

SDN控制器400包括主处理器401、系统存储器402、图形处理单元(GPU)403、I/O接口404和网络电路405、操作系统406和应用软件410。应用软件410包括存储在存储器402中的SDN控制程序411。在由主处理器401执行时，控制程序411可以与SDN路由器和交换机通信以控制来自和去往外部AS的数据流。

更具体地，中央控制程序411包括用于外部AS的路由控制的模块412。模块412具有在覆盖网络上配置的并且被指定为传输外部AS的数据的隧道413。模块412还包括层2端口转发模块414，层2端口转发模块414指定端口转发策略并且可以控制层2交换设备执行关于外部AS和隧道的端口转发。还包括可以控制路由器和/或交换机标记或解除标记来自和去往外部AS的数据的标记/解除标记模块415。

应当理解，中央控制器程序411可以包括本领域公知的各种其他模块和功能。用于实现这些编程模块的技术在本领域中是公知的。如本领域普通技术人员将理解的，中央控制器程序411可以以本领域技术人员已知的任何一种或多种合适的编程语言(诸如C、C++、Java、Python、Perl、C#、SQL等)来实现。

尽管本文中已经公开了某些优选实施例和方法，但是对于本领域技术人员而言很清楚的是，可以在不脱离本发明的精神和范围的情况下根据前述公开内容对这些实施例和方法进行变型和修改。意图在于，将本发明仅限制于所附权利要求以及适用法律的规则和原理所要求的范围。

Claims

1.一种跨不同自治系统的数据路由的计算机实现的方法，所述方法包括：

在第一自治系统中，接收来自第二自治系统的客户实体的数据分组；

通过所述第一自治系统分析所述数据分组以确定所述数据分组是否与数据组相关联，其中所述数据分组包括源因特网协议(IP)地址，所述源IP地址由所述第二自治系统指派，其中所述数据组被预先指派给隧道，所述隧道被配置在所述第一自治系统内的覆盖网络上；

通过所述第一自治系统执行层2端口转发，以在所述数据分组被确定与被预先指派给所述隧道的所述数据组相关联时将所述数据分组从层2网络端口转发到所述隧道的隧道端点端口；以及

在所述数据分组被确定与预先指派给所述隧道的所述数据组相关联时通过所述第一自治系统从所述隧道端点端口发送包括由所述第二自治系统指派的所述源因特网协议(IP)地址的所述数据分组以穿越所述隧道，其中所述隧道包括预定义的路由，所述预定义的路由与通过所述第二自治系统的所述客户实体预先选择的所述第一自治系统相关联，

其中，在所述第一自治系统中的数据路由通过重新配置用于从所述第二自治系统接收到的所述数据分组的所述隧道来调整。

2.根据权利要求1所述的计算机实现的方法，其中所述数据分组穿越通过所述第一自主系统中的所述隧道，而不受制于由所述第一自主系统中的任何路由器进行的IP地址改变。

3.根据权利要求1所述的计算机实现的方法，其中所述隧道端点端口是层2端点端口。

4.根据权利要求1所述的计算机实现的方法，还包括：在所述层2端口转发之前，向所述数据分组添加标签以指示数据分组与所述第二自治系统的关联。

5.根据权利要求4所述的计算机实现的方法，其中所述执行层2端口转发是基于在所述数据分组中检测到所述标签的。

6.根据权利要求4所述的计算机实现的方法，还包括：在所述层2端口转发之后，从所述数据分组中移除所述标签。

7.根据权利要求1所述的计算机实现的方法，其中所述第一自治系统包括软件定义网络(SDN)，所述SDN包括所述覆盖网络。

8.根据权利要求1所述的计算机实现的方法，其中分析所述数据分组包括分析以下中的一项或多项：所述源IP地址；媒体访问控制(MAC)地址；使用中的协议；以及所述数据分组中的标签，并且其中所述数据组包括从所述第二自治系统路由的数据。

9.根据权利要求1所述的计算机实现的方法，其中所述数据分组通过使用边界网关协议(BGP)被传送到所述第一自治系统。

10.根据权利要求1所述的计算机实现的方法，其中在与所述第一自治系统相关联的所述层2网络端口处被接收之前，所述数据分组从所述第二自治系统被路由通过第三自治系统。

11.一种第一自治系统的SDN中的SDN控制系统，所述系统包括：

处理器；

存储器，被耦合到所述处理器并且存储指令，所述指令在由所述处理器执行时，使得所述SDN执行跨多个自治系统的控制数据路由的方法，所述方法包括：

接收来自第二自治系统的数据分组；

通过所述第一自治系统从所述隧道端点端口发送所述数据分组以穿越所述隧道，其中所述隧道包括预定义的路由，所述预定义的路由与所述第一自治系统相关联，

12.根据权利要求11所述的SDN控制系统，其中所述数据分组在穿越通过所述第一自治系统中的所述隧道的同时，保留由所述第二自治系统指派的所述源IP地址。

13.根据权利要求11所述的SDN控制系统，其中所述隧道端点端口是层2端点端口。

14.根据权利要求11所述的SDN控制系统，其中所述方法还包括：在所述端口转发之前，向所述数据分组添加标签以指示数据分组与所述第二自治系统的关联。

15.根据权利要求14所述的SDN控制系统，其中所述执行层2端口转发是基于在所述数据分组中定位出所述标签的。

16.根据权利要求14所述的SDN控制系统，其中所述方法还包括：在所述端口转发之后，从所述数据分组中移除所述标签。

17.根据权利要求11所述的SDN控制系统，其中所述第一自治系统包括软件定义网络(SDN)，所述SDN包括所述覆盖网络。

18.根据权利要求11所述的SDN控制系统，其中分析所述数据分组包括分析以下中的一项或多项：所述源IP地址；媒体访问控制(MAC)地址；以及所述数据分组中的标签，并且其中所述数据组包括从所述第二自治系统路由的数据。

19.根据权利要求11所述的SDN控制系统，其中所述数据分组通过使用边界网关协议(BGP)被传送到所述第一自治系统。

20.根据权利要求11所述的SDN控制系统，其中在与所述第一自治系统相关联的所述层2网络端口处被接收之前，所述数据分组从所述第二自治系统被路由通过第三自治系统。