CN113542134A - 安全多播数据业务通过计算机网络的传输 - Google Patents

Abstract

本文中公开了用于多播数据通过公共通信网络的可缩放且安全的传输的系统和方法。在本公开的示例性实施例中，虚拟覆盖网络可以被呈现为到计算设备的单个虚拟接口，以用于跨公共不安全通信网络以安全且可缩放的方式接收和传输多播数据。

Description

安全多播数据业务通过计算机网络的传输

相关申请的交叉引用

无

技术领域

本公开总体上涉及经由虚拟覆盖网络通过计算网络进行的多播数据的安全且可缩放的传输。

背景技术

可以进行本部分中描述的方法，但是该方法不必是先前已经设想或采用的方法。因此，除非另有说明，否则本部分中描述的任何方法不应当仅由于被包括在本部分中而被假定为现有技术。

某些计算装置可以用于支持企业的SD-WAN(软件定义的广域网)部署，从而实现零接触供应、增强的服务质量、安全性和任何类型的网络(包括基本(公共)互联网)上的冗余。在企业中，客户历史上从网络提供商租用线路(MPLS是一种类型的租用线路的示例)。这意味着提供商必须端到端地供应和配置网络，并且用户要付出高昂的代价才能拥有实质上是私有网络的网络。这也使他们在中断期间会受到提供商的摆布，并且在所提供的服务行为不当或需要改变配置时几乎没有任何追索权。

提供使企业摆脱MPLS的这些限制的系统和方法，并且明确地使得企业计算机能够使用基本的互联网或在他们的办公室之间进行通信的其他方法，从而为企业提供MPLS的低成本替代方案，或者与MPLS共存的冗余。此外，通过为跨任何网络的所有协议和应用提供相同的支持，计算装置还可以在某些部署中代替典型的边缘路由器。以这种方式，最终用户客户就不必进行特殊的调适，也不必知道或关心基础业务是否在MPLS或互联网或其他类型的网络上运行。

发明内容

提供本“发明内容”以便以简化形式介绍一些概念，这些概念将在下面的“具体实施方式”中进一步描述。本“发明内容”不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

在本公开的各种实施例中，公开了一种用于由第一网络装置通过公共通信网络传输多播数据的方法。该方法可以包括：在被指定为多播数据传输的集合点的第一网络装置处从第二网络装置接收接收多播数据传输的请求；从传输计算设备向第一网络装置的虚拟接口传输多播数据传输；由第一网络装置将多播数据传输封装为虚拟网络覆盖传输；通过公共通信网络从第一网络装置向第二网络装置传输虚拟网络覆盖传输；以及由第二网络装置向接收计算设备传输多播数据传输。

下面描述其他特征、示例和实施例。

附图说明

通过示例而非限制附图的方式来图示实施例，其中相似的附图标记指示相似的元素。

图1示出了可以在其中实现本公开的示例性系统；

图2示出了示例性装置的框图；

图3示出了用于网络装置的示例性环境；

图4示出了可以在其中实现本公开的示例性环境；以及

图5示出了可以在其中实现本公开的另一示例性环境。

具体实施方式

以下详细描述包括对附图的引用，这些附图形成详细描述的一部分。附图示出了根据示例性实施例的图示。这些示例性实施例(本文中也称为“示例”)被足够详细地描述以使得本领域技术人员能够实践本主题。在不脱离所要求保护的内容的范围的情况下，可以组合实施例，可以利用其他实施例，或者可以进行结构、逻辑和电气改变。因此，以下详细描述不应当被视为具有限制意义，并且范围由所附权利要求及其等同物限定。在本文档中，使用术语“一个(a)”和“一种(an)”(如在专利文档中常见的那样)以包括一个或多个。在本文档中，术语“或”用于表示非排他性的“或”，以便“A或B”包括“A而非B”，“B而非A”以及“A和B”，除非另有说明。

本文中公开的实施例可以使用多种技术来实现。例如，本文中描述的方法可以在包含一个或多个计算机的计算机系统上执行的软件中实现，或者利用微处理器的组合或其他专门设计的专用集成电路(ASIC)、可编程逻辑器件或其各种组合以硬件来实现。特别地，本文中描述的方法可以通过驻留在诸如磁盘驱动器或计算机可读介质等存储介质上的一系列计算机可执行指令来实现。

本文中描述的实施例涉及用于以安全方式通过公共WAN扩展多播网络数据业务的机制。

如计算机网络领域的普通技术人员所知，多播是一种组通信方法，其中将数据传输同时寻址到一组目的地计算机。组通信可以是应用层多播，也可以是网络辅助的多播，其中网络辅助的多播使源可以在单次传输中有效地向该组发送。副本是在网络元件(诸如路由器、交换机和蜂窝网络基站)中自动创建的，但是仅复制到当前包含该组中的成员的网络分段。

可以使用诸如以太网多播寻址、异步传输模式(ATM)、点对多点虚拟电路(P2MP)或无线带宽多播等一对多寻址和交换在数据链路层实现网络辅助多播。网络辅助多播也可以使用IP多播在互联网层实现。在IP多播中，多播概念的实现发生在IP路由级别，其中路由器为发送给多播目的地地址的数据报创建最佳分发路径。此外，在诸如IPTV和多点视频会议等流媒体的互联网协议(IP)应用中经常采用多播。

本公开的实施例可以经由由RFC5110、RFC5771、RFC1112等定义的多播IPv4协议来实现。多播是一种路由架构，其实现了从源广播给多个目的地的业务的高效分配。多播IP的使用很广泛，但由于其实现而受到限制。它的显著局限性在于，控制它的路由协议(最著名的是PIM)必须在端点之间在网络内的所有中间路由器上配置和运行。因此，今天它仅在可以供应和维护这些路由器的私有网络中有用，因此不能在互联网本身上使用。换言之，使得所有员工都可以加入的在公司内使用的视频会议应用将是使用多播的应用的一个很好的示例，而从网站流式播放电影则不会。在前一种情况下，客户必须请求在其网络上启用多播，并且MPLS提供商的IT员工必须在网络上的所有路由器上手动配置PIM-SM。如果添加新的分支办公室路由器，则也必须对其进行手动配置。

关于多播操作的细节可以在RFC和其他相关文档中找到。简而言之，它由源组成，该源不是“广播”而是将其分组“多播”给网络。希望接收这些分组的客户端通过查询源的单播地址来请求这样做。“广播”表示源将发送网络上所有主机都将接收的分组。一种可能对每个源客户端对都具有“会话”(就像您使用SSH或HTTP连接一样)的效率较低的方法使之成为可能从而使得源将向每个接收器发送每个数据分组(例如，诸如每个视频帧)的副本。在这种情况下，如果很多人想观看该特定视频来源，则源和最靠近源的网络将不堪业务重负，导致拥塞，掉线并且降低每个接收器的服务质量。也就是说，视频流质量将不是最佳的。

相反，多播使之成为可能从而使得沿着链的每个路由器都知道它们从哪些接口接收(IIF，传入接口)并且需要发送(OIF，传出接口)分组。以这种方式，所有参与多播路由协议的路由器都将使之成为可能从而使得源仅发送一个分组并且分组永远不会被重复，直到它到达路由器，在该路由器上有两个下游OIF并且最终接收器客户端位于这两个接口下游。多播组(目的地)地址由特殊IP范围224.0.0.0-239.255.255.255标识。

独立于协议的多播(PIM)稀疏模式(SM)是一种多播路由协议，该协议允许路由器传送有关哪些源和客户端希望看到源相对于路由器接口存在于网络上的信息。

在本公开的实施例中，通常通过配置来将单个路由器指定为RP(集合点)。该路由器充当网络中的中心。当源具有要广播的媒体(例如，视频来源)时，它通过向其下一跳路由器发送消息来进行注册。如果配置有PIM，则该路由器将注意它具有来自其接口之一(上游IIF)的源，并且通过其OIF将控制分组发送给RP。以这种方式，它将继续遍及网络中的所有路由器，直到到达RP并且构建指回源业务的根的树的“主干”。由于客户端希望从源附加到该视频来源，因此每个客户端都发送目的地为源的单播分组请求。参与PIM的路由器将获取这些“加入”消息，并且在从客户端到RP的另一方向上构建树的分支。以这种方式，构建一个路径树，该路径树示出了单个分组可以在何处经过以从源到客户端。单个分组可以沿着该路径行进，直到到达构建多个OIF的路由器，使得分组必须被复制并且从其多条路径发送出去(在较小的分支上)。以这种方式，多播非常有效，仅在绝对必要时才复制分组并且限制了网络中的拥塞。

通常，该PIM-SM协议“树”只能在由服务提供商管理的私有网络上工作，而不能在更广泛的互联网上工作。这是因为，互联网拥有很多不受任何一家企业和企业网络提供商控制的路由器。因此，这些路由器均未被明确配置为支持PIM，因此无法承载多播业务。

本公开的实施例描述了专用计算装置，该专用计算装置可以操作PIM-SM的定制版本以使整个专有SD-WAN结构看起来像是单个相邻路由器。它包括由第三方元交换机提供的用于提供基本PIM-SM协议遵从性的通用协议部分以及本文中讨论的专有部分。利用本文中讨论的专有系统和方法，可以维护多播邻接表，可以处理多播分组，并且计算装置可以保留其自己的路由基础设施，以使多播具有当前可用于单播业务的所有好处，包括利用定制覆盖、IPSec安全性、冗余功能、服务质量、FEC/POC、网络存储器等。

另一组件(PIM-lite)“欺骗”相邻PIM路由器和PIM-SM协议，以认为当前公开的装置的实施例是相邻PIM路由器并且其他远程装置是相邻PIM路由器，而实际上这些装置之间可能有很多路由器和跳。

I.系统设置

图1示出了可以在其中实现本公开的示例性系统100。示例性系统100包括第一位置110、第二位置120和通信网络130A-130D。虽然在示例性系统100中示出了四个通信网络，但是可以有任何数目的通信网络，包括仅一个。另外，系统100可以包括很多位置，尽管为了简单起见而在示例性图中仅示出了两个。

在图1所示的示例性实施例中，第一位置110包括计算机140和第一装置150。在第一位置110中，计算机140链接到第一装置150。虽然在第一位置110中仅示出了一个装置，但是在第一位置110处可以有多个装置(物理的和/或虚拟的)。在一些实施例中，第一位置是企业的分支位置。尽管这里未示出，但是第一位置110也可以包括附加元件，诸如路由器、交换机或任何其他物理或虚拟计算设备。

计算机140可以是能够访问通信网络的任何类型的计算设备，诸如台式计算机、膝上型计算机、服务器、移动电话、平板电脑或可配置用于连接到通信网络的任何其他“智能”设备。

第一装置150包括被配置为接收数据并且在跨一个或多个通信网络传输数据之前可选地执行任何类型的处理的硬件和/或软件元件。

如图所示，第一装置150串联(或串行)配置在计算机140与路由器160之间。第一装置150在任一方向上拦截计算机140与服务器170之间的网络业务。

在其他实施例中，第一装置150可以被配置为附加路由器、网关、桥接器，或者在一些或所有接口上是透明的。作为路由器，例如，第一装置150对计算机140而言是在路由器160之前的额外跳。在一些实施例中，第一装置150提供与路由器160的冗余路由或对等路由。另外，第一装置150可以提供故障机制，诸如无法打开(例如，没有数据访问)或无法布线(例如，到路由器160的直接连接)。如果装置具有多个接口，则它在某些接口上可以是透明的，或者可以充当路由器，或者在其他接口上可以充当桥接器。替代地，装置在所有接口上都可以是透明的，或者在所有接口上都可以看作是路由器或桥接器。

在图1中，第一装置150链接到路由器160，路由器160耦合到通信网络130A和130B。尽管在示例性系统100中仅示出了一个路由器160，但是在系统100中可以存在多个路由器、交换机或其他设备(物理的或虚拟的)，或者位于第一位置110之内或者位于第一位置110之外。通常，路由器160将位于第一位置110之内。在各个实施例中，第一装置150可以直接(在单独的接口上)与通信网络130C和130D通信，而不是通过路由器160与之通信。尽管路由器160被示出为连接到两个通信网络并且第一装置150也被示出为连接到两个通信网络，但是本领域普通技术人员将理解，任何数目的通信网络(包括仅一个通信网络)可以经由路由器160、经由第一装置150或经由另一计算设备连接到第一位置110。为了说明每个接入链路是可能的但在每个实施例中不是必需的，接入链路125在图1中示出为虚线。

示例性系统100中的第二位置120包括服务器170。虽然在本文中使用术语“服务器”，但是本领域普通技术人员可以理解，可以在第二位置120使用任何类型的计算设备。服务器也可以是虚拟机。虽然未在图1中示出，但是除了或代替服务器170，第二位置120可以可选地包括至少一个第二装置。第二位置120还可以包括图1中未示出的其他组件，诸如路由器、交换机、负载平衡器或任何其他物理或虚拟计算设备。在一些实施例中，第二位置120是企业的中心位置或数据中心。在其他实施例中，第二位置120是托管公共网络服务或应用的数据中心。

服务器170在图1中被示出为经由目的地接入链路145链接到通信网络130A-130D。在一些实施例中，服务器170实际上可以通过路由器、交换机、第二装置或其他物理或虚拟设备与一个或多个通信网络通信。此外，尽管图1中针对四个通信网络(130A-130D)示出了四个目的地接入链路145，但是，实际上可以有更少的(诸如仅一个)或更多的通信网络连接到第二位置120。为了说明每个目的地接入链路145是可能的但在每个实施例中不是必需的，目的地接入链路145在图1中示出为虚线。

通信网络130A-130D包括使得能够在第一位置110与第二位置120之间交换信息(例如，语音、视频和数据)的硬件和/或软件元件。通信网络130A-130D的一些示例是私有广域网(WAN)、公共互联网、多协议标签交换(MPLS)网络和无线LTE网络。通常，从第一位置110到通信网络130A-130D(例如，从路由器160和第一装置150)的连接是T1线(1.544Mbps)，或者是宽带连接，诸如数字订户线(DSL)和电缆调制解调器。其他示例是MPLS线、T3线(43.232Mbps)、OC3(155Mbps)、OC48(2.5Gbps)、光纤电缆或LTE无线接入连接。在各种实施例中，通信网络130A-130D中的每个可以经由至少一个ISP间链路155连接到至少一个其他通信网络。例如，通信网络130A可以经由一个或多个ISP间链路连接到通信网络130B、130C和/或130D。数据可以沿着从第一位置110到第二位置120的路径穿越一个以上的通信网络。例如，业务可以从第一位置110流到通信网络130A，通过ISP间链路155流到通信网络130B，然后流到第二位置120。

路由器160和第一装置150可选地经由接入链路125(本文中有时也称为网络接入链路)连接到通信网络130A-130D。通信网络130A-130D包括路由器、交换机和构成提供商链路135的其他内部组件。提供商链路135由诸如互联网服务提供商(ISP)等网络服务提供商管理。第二位置120可以经由目的地接入链路145连接到通信网络130A-130D。接入链路125、提供商链路135和目的地接入链路145可以组合以形成各种网络路径，数据沿着该网络路径在第一位置110与第二位置120之间行进。图1的示例性实施例示出了通过每个通信网络沿着各种提供商链路135的两个路径。然而，如本领域普通技术人员理解的，跨一个或多个通信网络可以有任何数目的网络路径。

另外，通信网络可以经由(多个)ISP间链路155彼此通信。例如，行进通过通信网络130A的数据还可以在到达第二位置120之前行进通过通信网络130C。在各种实施例中，数据可以从第一位置110到第二位置120行进通过通信网络130A-130D中的任何一个或多个，反之亦然。通常，ISP间链路连接不同互联网服务提供商的通信网络，诸如将Verizon LTE无线网络与Comcast宽带网络连接的链路。在一些实施例中，ISP间链路可以连接来自同一互联网服务提供商的通信网络，诸如将Verizon LTE无线网络与Verizon Fire网络连接的链路。

第一装置150以及系统100中的任何其他装置可以是物理的或虚拟的。在虚拟装置的示例性实施例中，它可以位于由云服务提供商(诸如Amazon Web Services等)管理的虚拟私有云(VPC)中。客户数据中心中的装置可以是物理的或虚拟的。类似地，第二位置120可以是云服务，诸如Amazon Web Services、Salesforce等。

如本文中讨论的，通信网络130A-130D可以包括由路由器和交换机组成的连接不同位置的联网设备的多个提供商链路。共同构成各种路径的这些提供商链路是一个或多个核心网络(有时称为底层网络)的一部分。除了这些路径，还可以存在连接两个联网设备的隧道。不论哪个服务提供商管理路由或提供商链路，虚拟网络(有时称为覆盖网络)都可以用于跨底层网络传输数据。来自连接设备的数据可以行进通过该覆盖网络，该覆盖网络可以包括每个位置之间的任何数目的隧道或路径。

在示例性实施例中，来自第一位置110处的计算机140的数据可以包括语音、视频和数据。该信息可以由第一装置150通过一个或多个通信网络130A-130D传输给第二位置120。在一些实施例中，语音、视频和数据可以在单独的LAN或vLAN接口上接收和传输，并且第一装置150可以基于接收数据的LAN/vLAN接口来区分业务。

在一些实施例中，系统100包括在第一装置150与服务器170或可选地第二位置处的第二装置之间的一个或多个安全隧道。安全隧道可以与加密(例如，IPsec)、访问控制列表(ACL)、压缩(诸如报头和有效载荷压缩)、分段/合并优化和/或由装置提供的错误检测和纠正一起使用。

在各个实施例中，第一位置110和/或第二位置120可以是分支位置、中心位置、私有云网络、数据中心或任何其他类型的位置。另外，多个位置可以彼此通信。如本领域普通技术人员理解的，可以使用任何类型的网络拓扑。

本文中讨论的原理同样适用于多个第一位置(未示出)和多个第二位置(未示出)。例如，系统100可以包括耦合到一个或多个通信网络的多个分支位置和/或多个中心位置。系统100还可以包括与很多不同公共网络服务(第二位置)通信的很多站点(第一位置)。分支位置/分支位置通信、中心位置/中心位置通信、中心位置/云装置通信、以及多装置和/或多节点通信和双向通信也在本公开的范围内。然而，为简单起见，图1示出了具有单个第一位置110和单个第二位置120的系统100。

图2示出了在本发明的示例性实现中的装置250(本文中也称为网络装置)的框图。装置250可以类似于图1的第一装置150，如本文中讨论的。装置250包括处理器210、存储器220、WAN通信接口230、LAN通信接口240和(多个)数据库290。系统总线280链接处理器210、存储器220、WAN通信接口230、LAN通信接口240和(多个)数据库290。当部署在分支位置中时，线260将WAN通信接口230链接到路由器160(在图1中)，并且线270将LAN通信接口240链接到图1中的计算机140。

(多个)数据库290包括被配置为以有组织的格式存储数据以允许处理器210创建、修改和检索数据的硬件和/或软件元件。(多个)数据库290的硬件和/或软件元件可以包括存储设备，诸如RAM、硬盘驱动器、光盘驱动器、闪存和磁带。

在一些实施例中，一些装置包括相同的硬件和/或软件元件。替代地，在其他实施例中，诸如第二装置等某些设备可以包括提供附加或专用处理、通信和存储能力的硬件和/或软件元件。

本发明的实施例还允许在整个组织的整个网络中实现集中分配的策略，以保护和控制组织的所有WAN业务。软件定义的WAN(SD-WAN)覆盖网络可以独立于物理网络，独立于彼此以及在多层中创建。可以独立地为每个覆盖指定拓扑、安全性和转发规则。这种设计允许大规模和安全的应用分段。当将端点添加到SD-WAN结构时，每个覆盖都会自动缩放，并且当每个站点将本地简档映射到全局覆盖时，配置完整性被保持。

所有覆盖网络、标签、以及对应的端口、子网和vLAN都可以被维护在与编排器设备通信的一个或多个数据库中，如图3所示。编排器310可以是硬件和/或软件，并且与诸如网络装置等每个联网设备通信，以及与(多个)数据库320通信。

在示例性实施例中，编排器310可以维护关于每个位置的每个装置(物理的或虚拟的)的配置的信息。以这种方式，编排器310可以创建、管理和实现用于在所连接的装置的整个网络中的网络业务的策略。例如，如果为语音业务指定较高优先级，则编排器310可以相应地在所有相关位置自动配置对应网络装置。

通过了解网络中的每个设备的配置，编排器310还可以创建和管理企业网络中的隧道，包括用于在每个源目的地装置对之间承载特定类型的网络业务的隧道。编排器310可以通过确定需要建立哪些隧道来自动配置企业网络，并且基于网络节点和覆盖自动创建它们。编排器310还可以基于应用分类技术来配置策略，以优先将某些类型的应用引导到一个路径上而不是另一路径上。

在示例性实施例中，可以在WAN侧和LAN侧将网络装置250的网络接口指定为处理特定类型的业务或来自特定应用的业务。例如，第一WAN接口可以连接到公共互联网，而第二WAN接口连接到MPLS服务。两个WAN接口都可以支持加密，并且互联网上行链路可以被配置用于网络地址转换(NAT)。

如本文中讨论的，存在多种类型的多播数据业务，诸如基于应用和基于IP的。在基于应用的多播中，应用进行繁重的成员资格和组管理。使用基于IP的解决方案，成员资格和组管理由启用多播的路由器处理。PIM-SM、PIM-DM等是基于IP的多播的一些可用选项。但是，仅PIM不能与终端主机一起使用，因此IGMP也可以组合使用来管理终端主机层的多播转发。在本发明的实施例中，网络装置借助于元交换机软件来支持PIM-SM和IGMP。两种协议代码都在称为mrtrd(多播路由器守护程序)的装置中作为单独进程而运行。

MRTRD是PIM管理的进程。它与TMS库完全集成在一起以用于读取/写入配置绑定。在示例性实施例中，MRTRD具有两个组件(线程)：TMS库和元交换机库。TMS库在单独的线程中运行，该线程负责从数据库读取初始配置读数。它从CLI/GUI接收配置命令，并且将其转换为元交换机库已知的格式，并且将其在CMDQ中排队。如果命令可用于提交给元交换机线程，则TMS库线程将周期性地监测CMDQ。在提交命令之后，它将元交换机线程标记为“繁忙”。通常，只有元交换机线程才能取消设置“繁忙”标志。

元交换机库是具有元交换机软件的主线程。它进行初始设置以运行PIM和IGMP协议代码。主线程/元交换机线程负责运行PIM/IGMP协议。它还从内核读取有关接口/vLAN和初始路由器集的配置。

TMS库线程和元交换机库线程都可以共享两个队列以完成网络装置中所需要的功能。在示例性实施例中，共享的两个队列是CMDQ和NHOPQ。可以周期性地检查这两个队列中的每个队列，以查看是否需要处理任何命令。TMD库线程可以将来自CMDQ的命令提交给元交换机库。来自NHOPQ的命令可以转换为请求绑定，并且TUNLD可以响应于它们。NHOPQ用于从TUNLD获取PIM协议运行所必需的单播路由。例如，需要到源的路由以进行SPT切换(到源的最短路径切换)，其可以被配置为本发明的网络装置上的默认项。

在示例性实施例中，在装置中操作的mrdrd是负责发送、接收和处理PIM/IGMP控制分组的进程。mrtrd通过由元交换机软件创建的启用多播的套接字来接收控制分组。此外，mrtrd可以将内核配置为基于PIM控制分组创建多播路由。一旦由mrtrd在内核中对所需要的状态进行编程，就可以仅由内核转发数据。在各种实施例中，可以由mrtrd发起SPT切换，并且mrtrd将对内核进行编程以创建每组具有<IIF，OIL>(<传入接口，传出接口列表>)的多播路由。一旦mrtrd停止接收PIM控制分组，则可以由mrtrd稍后合理地删除内核的多播路由。以这种方式，可以以可缩放且安全的方式添加和删除多播路由。

在各个实施例中，单播RTM也存储在元交换机中。可以从TUNLD中取出所需要的mrtrd路由。此外，在示例性实施例中，多播数据可以在不因服务质量约束而整形的情况下被转发。

本公开的实施例可以经由在不同子网上具有至少两个标准接口(vLAN或Native)的物理或虚拟网络装置来实现。这些接口可以是LAN或WAN接口。网络装置可以通过多种不同方式来配置，诸如用于多播业务的集合点(RP)、与外部RP通信的装置、直接连接到流传输源的FHR(第一跳路由器)、由于直接连接到终端主机的IGMP支持而产生的LHR(最后一跳路由器)、RP与LHR之间的MHR(中间一跳路由器)。在示例性实施例中，多播业务的RP或源可以在标准接口上而不是仅经由网络覆盖来到达。对于所有多播组，企业网络中可能只有一个RP地址，或者企业网络中可能有多个RP地址。在示例性实施例中，RP可以由网络管理员配置，或自动配置。

I.多播数据的传输

示例性用例

在示例性用例中，一个客户数据站点具有要传输给不同位置的数百甚至数千个终端计算设备的数据。例如，企业可能希望向其很多分支位置广播视频消息，企业可能希望向全国的多个银行站点发送股票行情价格，或者企业可能希望向全世界的等待音乐的客户播放音乐。以前，这种类型的多播网络业务只能通过昂贵的私有MPLS网络来传输。一个或多个互联网服务提供商(ISP)逐跳将网络拼接在一起，并且就网络使用向企业收取费用。

在本公开的实施例中，SD-WAN可以被用于将私有和公共通信网络无缝地融合在一起，使得SD-WAN提供商可以在不使用任何ISP的情况下通过互联网来承载多播业务。当今的公共通信网络通常会创建点对点链路，以通过IPSec将网络手动缝合在一起，以使其在最终用户看来像是私有网络。使用SD-WAN结构，不需要手动配置每个个体路由器和网络来承载网络业务。而是，最终用户只需将其传输给SD-WAN结构的边缘路由器，而无需担心到目的地计算机的中间跳。以这种方式，源可以以可缩放、安全、无缝且无部署的方式通过公共互联网传输多播业务(而不必依赖于昂贵的ISP连接)。可以将目的地站点添加到SD-WAN结构中或从其中删除，而无需从多播网络业务的源侧或目的地侧进行任何改变。

在图4的示例性环境400中，多播源410具有要传输的多播数据。多播源410可以向已知的多播组IP地址224.8.8.8发送ping。网络的指定RP的IP地址可以为10.16.236.20。可以由RP 415将多播数据业务直接发送给装置430或多播路由器A 420，然后再发送给装置430。装置430可以具有与本文中讨论的装置250相同的配置。

装置430还可以配置有3个部署的接口，分别称为wan0、wan1和lan0。装置430可以首先被配置为在3个接口中的每个上启用PIM。每次在接口上启用PIM时，PIM都会为其分配随机的64位值。在每个子网上，PIM标识指定路由器，该路由器负责PIM控制数据。还可以确定3个接口中的每个接口的相邻计算设备。可选地，可以在装置430上启用IGMP。如果装置430在LAN侧或WAN侧具有终端主机，则可以启用IGMP。

在启用之后，在mrtrd中创建其之后，由装置430确定通过环境400到RP 415的路径。此外，装置430可以检查接口上的下一跳是否可达，否则多播路由器可能不会检测到PIM邻居。如果接口上的下一跳不可达，则可以改变RP 415的IP地址。

在示例性图4中，多播源410可以传输多播数据以传输给RP 415。RP 415又将数据传输给装置430，装置430又将数据传输给多播路由器B 425。多播路由器B 425又将数据复制三份并且传输给3个接收装置435中的每个。如本领域普通技术人员将理解的，可以有任何数目的接收设备，并且在图中仅用于说明目的而示出了三个。

示例性部署方案

图5示出了具有在不同物理位置中的经由公共WAN连接的三个装置515、525、535的示例性部署场景。这三个装置中的每个可以位于全世界的不同城市。由于它们通过公共WAN连接，因此它们之间的网络连接本质上是不安全的。它们可以以任何网络配置连接，该网络配置可以是全网状配置，也可以不是全网状配置。此外，这些装置可以是集中式数据中心或分支中心的一部分。每个装置可以具有也可以没有私有网络连接。此外，即使在图5的示例性环境500中未示出，每个装置也可以连接到编排器(诸如图3的编排器310)。如本文中讨论的，编排器有跨整个地理区域的整个网络的全局视图，并且所有配置和部署都可以在编排器本身处进行。

为了传输多播数据，首先在不同站点之间创建安全接口信道(本文中也称为覆盖网络)。虚拟接口覆盖在覆盖网络上。以这种方式，可以通过本质上不安全的公共WAN网络以安全方式传输数据。在示例性实施例中，多播源510不知道连接装置515、525、535的覆盖网络的创建或设置。连接到多播源510的装置A 515在多播源510看来仅像是常规路由器。类似地，多播接收器530不知道连接装置的覆盖网络的创建或设置，因为连接到多播接收器530的装置B 525在其看来仅像是常规路由器。

虽然在示例性图5中仅示出了三个装置，但是在给定企业网络中可以有成千上万个站点和覆盖。但是，这些都是隐藏的，并且整个结构封装在单个虚拟接口中，该接口暴露给控制PIM模块。以这种方式，多播源和多播接收器可以与装置交换消息并且创建装置状态，而无需了解或理解连接装置的复杂覆盖网络。连接装置的编排器可以通过单击按钮来创建数千个覆盖。

通过这种设置，多播源510可以将多播数据作为单个分组流进行传输，该单个分组流然后在所有相关站点上被无缝地划分，而无需用户执行任何操作。编排器可以设置哪些装置是多播网络的参与者，并且使用PIM-SM协议来创建转发状态，转发状态是关于哪些覆盖发送数据。该信息由在连接到多播源510的装置A 515中运行的PIM-SM协议来计算。

在示例性实施例中，多播源510传输数据并且决定哪些多播接收器可以接收该数据。编排器决定各种设备如何通过网络连接。使用该设置，无需将数据一直发送给没有多播接收器被连接的站点(装置)。因此，装置515不需要将数据复制到所有连接的装置。接收设备信息可以动态地调节。

在示例性方法中，接收器530处的用户可以打开应用以侦听企业范围的视频广播。接收器530通过发送PIM-SM信息向网络通告其存在以接收业务。这通过网络被传输到多播源510，多播源510随后将接收器530添加到网络以接收多播数据。如本文中讨论的，创建了从多播源510到环境500中可能存在的任何和所有接收器530的网络路径树。树分支是动态的，因为可以随时添加其他接收器，并且可以随时删除接收器。尽管先前的系统由服务提供商在私有网络上构建该树，但是本公开允许在公共网络上使用专有覆盖网络来构建多播树路径。覆盖网络可以将自身转换为多播树，以提供与ISP可以通过私有网络提供的功能类似的功能。

虽然图5仅示出了一个多播源和一个多播接收器，但是环境500中可以有任何数目的多播源和多播接收器。例如，可以有视频流应用、音乐流应用、股票报价器等。不同应用同时广播给不同组的客户端计算设备，每个组由不同组标识号分隔。这些多个多播信道可以在网络中以隔离和并行方式广播。

如本文中讨论的，接收器530可以通过经由多播应用向装置B 525传输IGMP加入消息来向装置B 525通知其希望加入多播传输。网络中的一个装置由连接所有装置的编排器指定为该多播业务的集合点。每个装置被配置为经由覆盖网络520将任何这样的IGMP加入消息传输给相应集合点。

作为编排器中的配置步骤，装置B 525被配置为知道IGMP加入消息将被传输给被指定为所请求的多播信道的RP的装置，并且经由覆盖网络将该消息传输给RP的IP地址。

由于协议是为了理解IP地址和接口(链路)而不是传统的底层网络/覆盖网络结构而建立的，因此表示SD-WAN结构(由所有覆盖组成)的单个虚拟链路被表示为装置B 525。否则，环境中可以存在数千个接口(每个覆盖一个接口)。因此，整个网络复杂性被隐藏，并且接收器530仅可见一个邻居/对等体。PIM-SM知道，经由虚拟链路可到达RP。因此，装置525从接收器530接收IGMP加入消息，将PIM加入消息传输给指定RP，使得它也接收用于指定多播IP信道的任何分组。当装置B 525从RP接收到多播业务时，由于公共网络不支持多播分组，因此装置B 525将数据封装在虚拟覆盖分组中并且传输给接收器530。

尽管为了简化而未明确示出，但是在环境500中可以有除图5所示的以外的任何数目的其他路由器或其他计算机。利用本发明，以可缩放且安全的方式在SD-WAN结构上提供复制。复制可以在装置的WAN侧、装置的LAN侧或两者上。当接收器530不再希望接收多播业务时，它将传输IGMP消息以结束传输的接收并且保留网络带宽。

因此，公开了用于通过计算网络传输安全多播数据业务的方法和系统。尽管已经参考具体示例描述了实施例，但是将很清楚的是，可以在不脱离本申请的更广泛的精神和范围的情况下对这些示例实施例进行各种修改和改变。因此，示例性实施例的这些和其他变型旨在被本公开涵盖。因此，说明书和附图应当被认为是说明性的而不是限制性的。

Claims (8)

1.一种用于由第一网络装置通过公共通信网络传输多播数据的方法，所述方法包括：

在被指定为多播数据传输的集合点的所述第一网络装置处，接收来自第二网络装置的接收所述多播数据传输的请求；

从传输计算设备向所述第一网络装置的虚拟接口传输所述多播数据传输；

由所述第一网络装置将所述多播数据传输封装到虚拟网络覆盖传输中；

通过所述公共通信网络从所述第一网络装置向所述第二网络装置传输所述虚拟网络覆盖传输；以及

由所述第二网络装置向接收计算设备传输所述多播数据传输。

2.根据权利要求1所述的方法，其中所述第二网络装置还复制所述多播数据传输并且向多个接收计算设备传输。

3.根据权利要求1所述的方法，其中所述接收计算设备经由IGMP加入消息来请求接收所述多播数据传输。

4.根据权利要求1所述的方法，其中所述第二网络装置经由PIM-SM消息来请求从所述第一网络装置接收所述多播数据传输。

5.根据权利要求1所述的方法，其中所述第一网络装置和所述第二网络装置经由覆盖所述公共通信网络的虚拟覆盖网络连接。

6.根据权利要求1所述的方法，其中所述第一网络装置和所述第二网络装置通过覆盖所述公共通信网络的虚拟覆盖网络与编排器设备通信。

7.根据权利要求6所述的方法，其中所述编排器设备还被配置为在所述虚拟覆盖网络中自动创建一个或多个虚拟路径。

8.根据权利要求1所述的方法，其中所述第一网络装置和所述第二网络装置位于不同的地理位置。

Images