CN112737915B - 基于智能网卡的内网隧道跨域网关转发方法、系统、设备和介质 - Google Patents

Abstract

本发明涉及网络安全领域，特别涉及一种基于智能网卡的内网隧道跨域网关转发方法、系统、设备和介质。本发明的基于智能网卡的内网隧道跨域网关转发方法包括：设置VF‑in和VF‑out两个VF网口；接收隧道报文，并将隧道报文卸载到两个VF网口；在两个VF网口间转发隧道报文；发送隧道报文。本发明利用智能网卡的物理网口和VF之间卸载，VF之间DPDK高速转发，并通过SRCMAC最后四个字节获取发送租户的隧道信息，增强了多租户的内网跨域隧道网关转发设备的性能。

Description

基于智能网卡的内网隧道跨域网关转发方法、系统、设备和 介质

技术领域

本发明涉及网络通信技术领域，尤其涉及一种基于智能网卡的内网隧道跨域网关转发方法、系统、设备和介质。

背景技术

在云计算的环境下，基于多租户的外网隧道网关转发设备用于租户云主机与外部网络之间的转发。

现有技术中多租户的隧道网关转发设备通过一个物理网口进行外层隧道封装转发，具体来说，由物理网口接收到隧道报文，在协议栈中解掉外层隧道，保存隧道信息，通过虚拟隧道端口传递给虚拟交换机OpenVswitch。OpenVswitch根据租户隧道信息和路由转发逻辑修改报文设置转发隧道信息给虚拟隧道端口，虚拟隧道端口根据发送隧道信息加上隧道头，并通过协议栈路由找到物理网口进行发送。

如上所述，现有的多租户的隧道网关转发设备，是通过纯软件的方式实现，受CPU处理能力的限制，导致性能较差。尤其是在租户流量增加的情况，设备的处理能力受到了极大的挑战。而智能网卡的出现能够将流量卸载到硬件上，避免CPU处理能力的限制。但是智能网卡解决的是云主机侧的性能问题，可卸载物理网卡的隧道报文和云主机VF之间的流量。而多租户的隧道跨域网关转发设备的隧道流量的转发只在物理网卡上，并且接收和发送的隧道信息并不一样，所以难以直接利用智能网卡进行卸载。因而，亟需找到一种转发方法，使得硬件可卸载多租户的内网隧道流量信息。

发明内容

为解决上述问题，本发明的目的在于提供一种基于智能网卡的内网隧道跨域网关转发方法、系统、设备和介质，利用智能网卡的物理网卡和VF之间卸载，VF之间DPDK高速转发，并通过SRC MAC最后四个字节获取发送租户的隧道信息。增强了多租户的内网跨域隧道网关转发设备的性能。

第一方面，本发明公开了一种基于智能网卡的内网隧道跨域网关转发方法，所述方法包括：

设置两个VF网口，分别为VF-in和VF-out；

接收隧道报文，并将所述隧道报文卸载到所述两个VF网口；

在所述两个VF网口之间转发所述隧道报文；

发送所述隧道报文。

在上述第一方面的一种可能的实现中，在在接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，当接收的是来自本地域的第一隧道报文时，将所述第一隧道报文的第一src mac后四位改为第一用户id，生成第一报文，发送给所述VF-in。

在上述第一方面的一种可能的实现中，在物理网卡接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，接收的是来自外部地域的第二隧道报文时，将所述第二隧道报文的第二src mac后四位改为第二用户id，生成第二报文，发送给所述VF-out。

在上述第一方面的一种可能的实现中，在发送所述隧道报文的处理中，根据所述第一报文的第一目的ip和所述第一用户id，将所述第一src mac改为第一用户网关mac，加第一隧道头并发送。

在上述第一方面的一种可能的实现中，在发送所述隧道报文的处理中，根据所述第二报文的第二目的ip和所述第二用户id，将所述第二src mac改为第二用户网关mac，加第二隧道头并发送。

在上述第一方面的一种可能的实现中，所述两个VF网口之间进行所述隧道报文的转发是通过DPDK程序进行的。

第二方面，本发明公开了一种基于智能网卡的内网隧道跨域网关转发系统，所述系统包括：

初始化模块，在隧道网关转发设备上开启一台虚拟机，所述虚拟机具备两个VF网口，分别为VF-in和VF-out；

接收模块，设置两个VF网口，分别为VF-in和VF-out；

接收模块，接收隧道报文，并将所述隧道报文卸载到所述两个VF网口；

转发模块，在所述两个VF网口之间转发所述隧道报文；

发送模块，发送所述隧道报文。

在上述第二方面的一种可能的实现中，在在接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，当接收的是来自本地域的第一隧道报文时，将所述第一隧道报文的第一src mac后四位改为第一用户id，生成第一报文，发送给所述VF-in。

在上述第二方面的一种可能的实现中，在物理网卡接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，接收的是来自外部地域的第二隧道报文时，将所述第二隧道报文的第二src mac后四位改为第二用户id，生成第二报文，发送给所述VF-out。

在上述第二方面的一种可能的实现中，在发送所述隧道报文的处理中，根据所述第一报文的第一目的ip和所述第一用户id，将所述第一src mac改为第一用户网关mac，加第一隧道头并发送。

在上述第二方面的一种可能的实现中，在发送所述隧道报文的处理中，根据所述第二报文的第二目的ip和所述第二用户id，将所述第二src mac改为第二用户网关mac，加第二隧道头并发送。

在上述第二方面的一种可能的实现中，所述两个VF网口之间进行所述隧道报文的转发是通过DPDK程序进行的。

第三方面，本发明公开了一种基于智能网卡的内网隧道跨域网关转发设备，其特征在于，包括：

存储器，用于存储由系统的一个或多个处理器执行的指令，以及

处理器，是系统的处理器之一，用于执行所述指令以实施执行第一方面中的任意一种的基于智能网卡的内网隧道跨域网关转发方法。

第四方面，本发明公开了一种使用计算机程序编码的计算机存储介质，其特征在于，所述计算机可读介质上存储有指令，所述指令在计算机上执行时使计算机执行第一方面中的任意一种基于智能网卡的内网隧道跨域网关转发方法。

本发明与现有技术相比，主要区别及其效果在于：

利用智能网卡的物理网卡和VF之间卸载，VF之间DPDK高速转发，并通过SRC MAC最后四个字节获取发送租户的隧道信息。增强了多租户的内网跨域隧道网关转发设备的性能。

附图说明

图1是根据本发明的基于智能网卡的内网隧道跨域网关转发方法的服务器的硬件结构框图；

图2是根据本发明第一实施方式的基于智能网卡的内网隧道跨域网关转发方法的整体流程图；

图3是根据本发明第一实施方式的基于智能网卡的内网隧道跨域网关转发方法的网络结构图；

图4是根据本发明第二实施方式的基于智能网卡的内网隧道跨域网关转发系统的结构图。

具体实施方式

为使本发明实施例的目的和技术方案更加清楚，下面将结合本发明实施例的附图，对本发明实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于所描述的本发明的实施例，本领域普通技术人员在无需创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

首先，在对本申请实施例进行描述的过程中出现的部分名词或者术语适用于如下解释：

公有云(Public Cloud)：通常指第三方提供商为用户提供的能够使用的云，公有云一般可通过Internet使用，可能是免费或成本低廉的，公有云的核心属性是共享资源服务。这种云有许多实例，可在当今整个开放的公有网络中提供服务。

Overlay:虚拟化网络层，用于对物理网络进行隧道叠加，逻辑划分为虚拟网络分片，满足基于用户的个性化需求。

VXLAN(Virtual extensible local area network)：虚拟可扩展局域网，是一种overlay的网络技术，使用MAC in UDP的方法进行封装，共50字节的封装报文头。

vSwitch(Virtual Switch)：指虚拟交换机或虚拟网络交换机，工作在二层数据网络，通过软件方式实现物理交换机的二层(和部分三层)网络功能。

Open vSwitch：在开源的Apache2.0许可下的产品级质量的多层虚拟交换标准。通过编程扩展，使庞大的网络自动化(配置、管理、维护)，同时还支持标准的管理接口和协议(如NetFlow，sFlow，SPAN，RSPAN，802.1ag)。

智能网卡(Smart Network Interface Controller，SmartNIC)：通过FPGA(现场可编程门阵列)协助CPU处理网络负载，编程网络接口功能，能够提升应用程序和虚拟化性能，实现软件定义网络(SDN)和网络功能虚拟化(NFV)的诸多优势，将网络虚拟化、负载均衡和其他低级功能从服务器CPU中移除，确保为应用提供最大的处理能力。

VF(Virtual Function)：虚拟功能，一种轻量级PCIe功能，可以与物理功能以及与同一物理功能关联的其他VF共享一个或多个物理资源。

Src mac(Source MediaAccess ControlAddress)：源mac，通常有8个字节，属于报文发送者，交换机在收到一个报文时，会把报文的源MAC地址记录在MAC地址表项中。

DPDK(DataPlane Development Kit)：数据平面开发套件，用于快速数据包处理的函数库与驱动集合，可以极大提高数据处理性能和吞吐量，提高数据平面应用程序的工作效率。

下面结合实施例对本发明进行说明：

根据本发明实施方式，提供了一种基于智能网卡的内网隧道跨域网关转发方法的实施方式，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请方式所提供的方法实施方式可以在服务器中执行，图1是根据本发明的基于智能网卡的内网隧道跨域网关转发方法的服务器的硬件结构框图。如图1所示，服务器100可以包括一个或多个(图中仅示出一个)处理器101(处理器101可以包括但不限于中央处理器CPU、图像处理器GPU、数字信号处理器DSP、微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于与用户交互的输入输出接口102、用于存储数据的存储器103、以及用于通信功能的传输装置104。本领域技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器100还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

输入输出接口102可以连接一个或多个显示器、触控屏等，用于显示从服务器100传送的数据，还可以连接键盘、触控笔、触控板和/或鼠标等，用于输入诸如，选择、创建、编辑等的用户指令。

存储器103可用于存储数据库、队列、应用软件的软件程序以及模块，如本发明实施方式中的基于智能网卡的内网隧道跨域网关转发方法对应的程序指令/模块，处理器101通过运行存储在存储器103内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的基于智能网卡的内网隧道跨域网关转发方法。存储器103可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器103可进一步包括相对于处理器101远程设置的存储器，这些远程存储器可以通过网络连接至服务器100。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置104用于经由网络接收或者发送数据，网络可以包括各种连接类型，例如有线、无线通信链路、云或者光纤电缆等等。上述的网络具体实例可包括服务器100的通信供应商提供的互联网。

图2是根据本发明第一实施方式的基于智能网卡的内网隧道跨域网关转发方法的整体流程图。如图2所示，方法200可以包括：

步骤202，设置两个VF网口，分别为VF-in和VF-out；

步骤204，接收隧道报文，并将隧道报文卸载到两个VF网口；

步骤206，在两个VF网口之间转发隧道报文；

步骤208，发送隧道报文。

可选的，在在接收隧道报文，并将隧道报文卸载到所述两个VF网口的处理中，当接收的是来自本地域的第一隧道报文时，将第一隧道报文的第一src mac后四位改为第一用户id，生成第一报文，发送给所述VF-in。

可选的，在物理网卡接收隧道报文，并将隧道报文卸载到两个VF网口的处理中，接收的是来自外部地域的第二隧道报文时，将第二隧道报文的第二src mac后四位改为第二用户id，生成第二报文，发送给所述VF-out。

可选的，在发送隧道报文的处理中，根据第一报文的第一目的ip和第一用户id，将第一src mac改为第一用户网关mac，加第一隧道头并发送。

可选的，在发送隧道报文的处理中，根据第二报文的第二目的ip和第二用户id，将第二src mac改为第二用户网关mac，加第二隧道头并发送。

可选的，两个VF网口之间进行隧道报文的转发是通过DPDK程序进行的。

具体的，图3是根据本发明第一实施方式的基于MPLS的虚拟网络跨域传输方法的网络结构图，如图3所示，可根据需要首先在多租户的内网隧道跨域网关转发设备上开启一台虚拟机，，该虚拟机具备两个VF网口，分别为VF-in和VF-out。

对于接收：当物理网卡收到来自本地域的隧道报文decap后，将用户报文的srcmac后四位改为用户id，然后发送给VF-in，这个过程是可以被卸载。同样反方向，当物理网卡收到来自其他地域的隧道报文decap后，将用户报文的src mac后四位改为用户id，发送给VF-out，这个过程也是可以被卸载的。

对于转发：在虚拟机内部启动DPDK程序将两个VF之间的流量进行转发，在VF里面做互转，逻辑简单并且能保持高性能，DPDK仅使用一个CPU内核实现硬件的极速。

对于发送：从VF-in收到的报文，根据报文目的ip和src mac后四位的用户id，设置发送隧道信息，将src mac改为用户网关mac，加隧道头通过物理网口发送，这个过程是可以被卸载的。同样从VF-out收到的报文，根据报文目的ip和src mac后四位的用户id，设置发送隧道信息，将src mac改为用户网关mac，这一过程也是可以卸载的。

现有技术中，是通过软件控制CPU进行抓包处理，因而使得CPU性能很低，而本发明中，直接利用物理网卡等相关硬件去抓包，完成解封装，将解封装之后的信息传输给VF网口，进行VF网口之间的转发，而后再加封装，进行传输；同时，隧道里的用户报文有可能是重复的，因而需要设置用户ID，通过将src mac的后四位设置成用户ID，从而能够根据用户ID去做转发，提高了转发效率。该技术方案带来了如下的技术效果：使得CPU的压力骤减，基于智能网卡依靠硬件实现了网关卸载，使得CPU的性能得到了提高。

图4是根据本发明第二实施方式的基于智能网卡的内网隧道跨域网关转发系统的结构图。如图4所示，系统300可以包括：

初始化模块，设置两个VF网口，分别为VF-in和VF-out；

接收模块，接收隧道报文，并将隧道报文卸载到两个VF网口；

转发模块，在两个VF网口之间转发所述隧道报文；

发送模块，发送隧道报文。

第一实施方式是与本实施方式相对应的方法实施方式，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

需要说明的是，本发明的各方法实施方式均可以以软件、硬件、固件等方式实现。不管本发明是以软件、硬件、还是固件方式实现，指令代码都可以存储在任何类型的计算机可访问的存储器中(例如永久的或者可修改的，易失性的或者非易失性的，固态的或者非固态的，固定的或者可更换的介质等等)。同样，存储器可以例如是可编程阵列逻辑(Programmable Array Logic，简称“PAL”)、随机存取存储器(RandomAccess Memory，简称“RAM”)、可编程只读存储器(Programmable Read Only Memory，简称“PROM”)、只读存储器(Read-Only Memory，简称“ROM”)、电可擦除可编程只读存储器(Electrically ErasableProgrammable ROM，简称“EEPROM”)、磁盘、光盘、数字通用光盘(Digital Versatile Disc，简称“DVD”)等等。

需要说明的是，本发明各设备实施方式中提到的各单元/模块都是逻辑单元/模块，在物理上，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现，这些逻辑单元本身的物理实现方式并不是最重要的，这些逻辑单元所实现的功能的组合才是解决本发明所提出的技术问题的关键。此外，为了突出本发明的创新部分，本发明上述各设备实施方式并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，这并不表明上述设备实施方式并不存在其它的单元。

需要说明的是，在本专利的权利要求和说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (7)

1.一种基于智能网卡的内网隧道跨域网关转发方法，其特征在于，所述方法包括：

设置两个VF网口，分别为VF-in和VF-out；

接收隧道报文，并将所述隧道报文卸载到所述两个VF网口；

在所述两个VF网口之间转发所述隧道报文；

发送所述隧道报文；

在接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，当接收的是来自本地域的第一隧道报文时，将所述第一隧道报文的第一src mac后四位改为第一用户id，生成第一报文，发送给所述VF-in；

在物理网卡接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，接收的是来自外部地域的第二隧道报文时，将所述第二隧道报文的第二src mac后四位改为第二用户id，生成第二报文，发送给所述VF-out。

2.根据权利要求1所述的方法，其特征在于，在发送所述隧道报文的处理中，根据所述第一报文的第一目的ip和所述第一用户id，将所述第一src mac改为第一用户网关mac，加第一隧道头并发送。

3.根据权利要求2所述的方法，其特征在于，在通过所述物理网卡发送所述隧道报文的处理中，根据所述第二报文的第二目的ip和所述第二用户id，将所述第二src mac改为第二用户网关mac，加第二隧道头并发送。

4.根据权利要求2-3任一项所述的方法，其特征在于，所述两个VF网口之间进行所述隧道报文的转发是通过DPDK程序进行的。

5.一种基于智能网卡的内网隧道跨域网关转发系统，其特征在于，所述系统包括：

初始化模块，设置两个VF网口，分别为VF-in和VF-out；

接收模块，接收隧道报文，并将所述隧道报文卸载到所述两个VF网口；

转发模块，在所述两个VF网口之间转发所述隧道报文；

发送模块，发送所述隧道报文；其中

在所述接收模块接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，当接收的是来自本地域的第一隧道报文时，将所述第一隧道报文的第一src mac后四位改为第一用户id，生成第一报文，发送给所述VF-in；在物理网卡接收隧道报文，并将所述隧道报文卸载到所述两个VF网口的处理中，接收的是来自外部地域的第二隧道报文时，将所述第二隧道报文的第二src mac后四位改为第二用户id，生成第二报文，发送给所述VF-out。

6.一种基于智能网卡的内网隧道跨域网关转发设备，其特征在于，包括：

存储器，用于存储由系统的一个或多个处理器执行的指令，以及

处理器，是系统的处理器之一，用于执行所述指令以实施权利要求1-4中任一项所述的基于智能网卡的内网隧道跨域网关转发方法。

7.一种使用计算机程序编码的计算机存储介质，其特征在于，所述计算机可读介质上存储有指令，所述指令在计算机上执行时使计算机执行权利要求1-4中任一项所述的基于智能网卡的内网隧道跨域网关转发方法。

Images