CN1455560A

CN1455560A - 多协议标签交换虚拟专用网相互通信的方法

Info

Publication number: CN1455560A
Application number: CN 03136643
Authority: CN
Inventors: 吕鸿
Original assignee: BEIJIANG GANGWAN NETWORK Co Ltd
Current assignee: Huawei Digital Technologies Chengdu Co Ltd
Priority date: 2003-05-22
Filing date: 2003-05-22
Publication date: 2003-11-12
Anticipated expiration: 2023-05-22
Also published as: CN100502343C

Abstract

本发明涉及一种多协议标签交换虚拟专用网相互通信的方法，在服务商边缘设备HUB(PE)上连接各用户的VPN₁，…，VPNn，n≥1，VPNn对应的VRF为VRFn，其RTT为RTTn；在HUB(PE)上创建新的VRF_PE，其RTT为RTT₁，…，RTTn，VRF_PE支持原VRFn的所有路由策略功能；只有符合用户配置策略的路由才会加入到VRF_PE；在各VRFn中分别引入VRF_PE，将VRF_PE的新路由引入，通过MBGP协议发布到其他各与用户端边缘设备相连的SPOKE(PE)，同时生成MPLS转发需要的ILM和NHLFE。减少了设备的投资和管理；同时也减少了控制流和数据流的消耗，充分发挥了MPLS的优势，提高转发效率，也有利于VPN的私密性。可广泛应用于网络通信领域。

Description

多协议标签交换虚拟专用网相互通信的方法

技术领域：本发明涉及网络通信领域，尤其涉及一种网络通信领域中不同虚拟专用网用户间相互通信的方法。

背景技术：在传统的MPLS(Multi Protocol Label Switching，多协议标签交换)VPN(Virtual Private Network，虚拟专用网)中通过HUB-SPOKE(轮状集线器)实现在不同网络用户间的通信时一般采用如图1所示的方式：如VPN用户A(其使用的VPN称VPNA)欲与另一VPN用户B(其使用的VPN称VPNB)相互通信，对于控制流：

1、服务提供商的边缘设备HUB(PE)(PE：Provider Edge(Device)，提供商边缘设备，如三层交换机、路由器等)分别连接两用户的VPN，分别为VPNA和VPNB，VPNA对应的VRF(Virtual Route Forwarding，虚拟路由转发)名称为VRFA，VPNB对应VRF名称为VRFB，假设VPNA的RTT(RTT：Route Target，路由目标识)为RTTA，VPNB的RTT为RTTB；

2、用户A的设备CE-A(CE：Customer Edge(Device)，用户端边缘设备)上学到的路由，通过IGP(内部网关协议)协议发布到设备SPOKE-A(PE)；

3、设备SPOKE-A(PE)通过IBGP(内部边界网关协议)协议将该路由发布到设备HUB(PE)，引入到设备HUB(PE)的VRFA中；

4、设备HUB(PE)通过VPNA的端口(该端口绑定VRFA)和IGP协议将该路由发布到设备CE-C(该CE为服务提供商提供的设备，如三层交换机或路由器)；

5、设备CE-C通过IGP协议将该路由发送到设备HUB(PE)中VPNB所在的端口(该端口绑定VRFB)，引入到设备HUB(PE)的VRFB中；

6、设备HUB(PE)通过IBGP协议将VRFB中新学到的路由发布到设备SPOKE-B(PE)；

7、设备SPOKE-B(PE)通过IGP协议将新学到的路由发布到设备CE-B。

即控制流的流程为：从设备CE-A到设备CE-B：CE-A----→SPOKE-A(PE)---→HUB(PE)---→CE-C----→HUB(PE)---→SPOKE-B(PE)---→CE-B

对于数据流：

1、VPNB中用户B需要通过设备CE-B访问VPNA中用户A，用户A与设备CE-A相连；

2、CE-B收到访问用户A的IP(Internet Protocol，互联网协议)报文后，查找路由表后将IP报文发给设备SPOKE-B(PE)；

3、设备SPOKE-B(PE)收到该IP报文后，查找LSP，转化成MPLS报文后转发给设备HUB(PE)；

4、设备HUB(PE)收到该MPLS报文后，转化成IP报文，通过与VPNB绑定的端口发给设备CE-C；

5、设备CE-C通过查找路由，通过设备HUB(PE)中绑定VRFA的端口将IP报文发给设备HUB(PE)；

6、设备HUB(PE)收到该IP报文后，查找LSP(Label Switch Path，标签交换路径)，转化成MPLS报文发给设备SPOKE-A(PE)；

7、设备SPOKE-A(PE)将MPLS报文转化成IP报文，发给CE-A，CE-A将报文转发给用户A。

即数据流的流程为从设备CE-B到设备CE-A：

CE-B-(ip报文)-→SPOKE-B(PE)-(mpls报文)-→HUB(PE)-(ip报文)

-→CE-C-(ip报文)-→HUB(PE)-(mpls报文)-→SPOKE-A(PE)-(ip报文)-

→CE-A

上述方法存在以下一些缺陷：

1、需要在HUB(PE)上连接一个CE设备，需要HUB(PE)与该CE间运行IGP协议，浪费了PE的端口和CE设备，增加了设备的投资和管理，同时增加了HUB(PE)的负担；

2、CE-A(VPNA)与CE-B(VPNB)之间进行数据流转发时需要通过CE-C，CE-C成了转发瓶颈，降低了效率；

3、在转发过程中，HUB(PE)与CE-C之间采用IP包进行转发，在骨干网其它地方采用MPLS转发，降低了MPLS在转发中的优势，对于VPN的私密性也有一定影响。

4、存在着多条VPN时，上述缺陷将更明显。

发明内容：

本发明的目的在于针对现有技术中的上述缺陷，提供一种降低成本，减少设备投入，提高转发效率的方法。

本发明的多协议标签交换虚拟专用网相互通信的方法，在服务商边缘设备HUB(PE)上连接相互需要通信的用户VPN_A，VPN_B，VPN_A对应的VRF为VRF_A，其RTT为RTT_A；VPN_B对应的VRF为VRF_B，其RTT为RTT_B；在VRF_A中引入VPN_B，将RTT_B引入VRF_A，通过MBGP(Multiprotocol Extensions forBGP，多协议扩展边界网关协议)协议发布到与用户端边缘设备CE-B相连的SPOKE-B(PE)，同时生成MPLS转发需要的ILM(Incoming Label Map，入标签映射)和NHLFE(Next Hop Label Forwarding Entry，下一跳标签转发项)；在VPN_B中引入VRF_A，将RTT_A引入VPN_B，通过MBGP协议发布到与用户端边缘设备CE-A相连的SPOKE-A(PE)，同时生成MPLS转发需要的ILM和NHLFE。

各用户端边缘设备CE通过路由器与各SPOKE(PE)相连。

所述PE设备选自三层交换机、路由器。

本发明的另一种多协议标签交换虚拟专用网相互通信的方法，在服务商边缘设备HUB(PE)上连接各用户的VPN₁，…，VPNn，n≥2，VPNn对应的VRF为VRFn，其RTT为RTTn；在HUB(PE)上创建新的VRF_PE，其RTT为RTT₁，...，RTTn；在各VRFn中分别引入VRF_PE，将VRF_PE的新路由引入，生成MPLS转发需要的ILM和NHLFE，同时通过MBGP协议发布到其他各与用户端边缘设备相连的SPOKE(PE)。

各用户端边缘设备CE通过路由器与各SPOKE(PE)相连。

所述PE设备选自三层交换机、路由器。

所述VRF_PE支持route-map(路由图)、prefix-list(前辍链表)、ACL(访问控制链表)等路由策略功能，用户可以在VRF_PE上配置符合VPN相互访问的路由策略，这样只有符合用户要求的路由才会加入到VRF_PE，同时还可以查看VRF_PE中的路由进行确认。

本发明对传统的VRF功能进行了扩充：

1、一个VRF中可以引入(import)另一个VRF；

2、对引入另一个VRF的路由生成新的ILM和NHLFE；

3、VRF中支持丰富的路由策略(包括route-map(路由图)、prefix-list(前辍链表)、ACL(访问控制链表)等)；

4、扩充后的VRF支持原有VRF的所有功能。按照本发明方法，各网络用户间可实现相互通信：控制流：

1、控制流发出端用户边缘设备CE上学到的路由，通过IGP协议发布到与该CE相连的设备SPOKE(PE)上；

2、该设备SPOKE(PE)通过IBGP协议将该路由发布到设备HUB(PE)上，引入到设备HUB(PE)的对应的VRF和VRF_PE，VRF_PE通过路由策略将不需要的路由过滤掉；

3、在控制流接收端的VRF中因引入VRF_PE，VRF_PE的路由将加入到该VRF中，同时生成ILM和NHLFE；

4、设备HUB(PE)通过IBGP协议将VRF中新加入的路由发布到控制流接收端设备SPOKE(PE)中；

5、控制流接收端设备SPOKE(PE)通过IGP协议新学到的路由发布到接收端设备CE，完成控制流的交换；数据流：

1、数据流发送端设备CE收到需要访问另一个VPN的IP报文后，通过查找路由按IP报文发给发送端设备SPOKE(PE)；

2、发送端设备SPOKE(PE)收到该IP报文后，查找LSP，转化成MPLS报文后发给设备HUB(PE)；

3、设备HUB(PE)收到该MPLS报文后，查找ILM，找到NHLFE，继续MPLS报文转发，到达数据流接收端设备SPOKE(PE)；

4、数据流接收端设备SPOKE(PE)将MPLS报文转化成IP报文，发给数据流接收端设备CE，由该CE转发给相关用户，完成数据流的通信。本发明有以下优点：

1、不需要在HUB(PE)上连接一个CE设备，减少了设备的投资和管理；

2、CE-A(VPNA)与CE-B(VPNB)之间进行控制流和数据流在HUB(PE)行切换，PE设备是骨干网或者高端设备，不会有瓶颈问题，同时也减少了控制流和数据流的消耗(原先控制流和数据流都需要转往CE，再从CE再转回来)；

3、在SPOKE-A(PE)与SPOKE-B(PE)之间的转发全部用MPLS转发，真正实现PE与PE设备间全程MPLS转发，充分发挥MPLS的优势，提高转发效率，也有利于VPN的私密性。

4、存在多条VPN时，以上改善将会得到更充分发挥。

附图说明：

图1传统的解决方案逻辑示意图

图2本发明的解决方案逻辑示意图

图3本发明的实施方案示意图

实施方案：

如图3所示，假设路由器A与用户A(某公司)相连，属于VPNA，其网段路由为10.1.0.0/16，路由器B与用户B(另一公司)相连，属于VPNB，其网段路由为10.2.0.0/16，现在用户A与用户B需要实现互相访问。

1、在路由器A、路由器B上的配置：

常规配置，可通过RIP、OSPF、BGP将10.1.0.0/16、10.2.0.0/16分别发给路由器SPOKE-A和SPOKE-B。

2、在路由器SPOKE-A上的配置：

a、配置VRF：

创建VRF

ip vrfVPNA

配置RD(路由区分符)和RTT(路由目标符)

rd 100∶1

route-target 1∶1

在接口0上绑定VRF

ip vrf forwarding VPNA

b、配置IBGP

router bg 200

neighbor A.B.C.D(路由器HUB上的IP地址)remote 200

address-family vpn neighbor A.B.C.D acitive

3、在路由器SPOKE-HUB上的配置

a、配置VRF

VPNA配置：

ip vrf VPNA

rd 100∶1

router-target 1∶1

import-vrf VPNC(也可以直接import-vrf VPNB)

VPNB配置：

ip vrfVPNB

rd 200∶1

router-target 2∶2

import-vrf VPNC(也可以直接import-vrf VPNA)

VPNC配置：

ip vrfVPNC

rd 100∶1

router-target 1∶1 2∶2

路由策略(该策略只引入10.1.0.0/16和10.2.0.0/16网段路由)

b、配置IBGP

router bg 200

neighbor A1.B1.C1.D1(路由器SPOKE-A上的IP地址)remote 200

neighbor A2.B2.C2.D2(路由器SPOKE-B上的IP地址)remote 200

address-family vpn

neighbor A1.B1.C1.D1 acitive neighbor A2.B2.C2.D2 acitive

4、在路由器SPOKE-B上的配置

同SPOKE-A配置类似。

结果：路由器A和路由器B上都有10.1.0.0/16和10.2.0.0/16网段的路由，用户A和用户B之间可以相互访问。

Claims

1、一种多协议标签交换虚拟专用网相互通信的方法，在服务商边缘设备HUB(PE)上连接相互需要通信的用户VPN_A，VPN_B，VPN_A对应的VRF为VRF_A，其RTT为RTT_A；VPN_B对应的VRF为VRF_B，其RTT为RTT_B；在VRF_A中引入VPN_B，将RTT_R引入VRF_A，通过MBGP协议发布到与用户端边缘设备CE-B相连的SPOKE-B(PE)，同时生成MPLS转发需要的ILM和NHLFE；在VPN_B中引入VRF_A，将RTT_A引入VPN_B，生成MPLS转发需要的ILM和NHLFE，同时通过MBGP协议发布到与用户端边缘设备CE-A相连的SPOKE-A(PE)。

2、如权利要求1所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于各用户端边缘设备CE通过路由器与各SPOKE(PE)相连。

3、如权利要求1或2所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于所述PE设备选自三层交换机、路由器。

4、一种多协议标签交换虚拟专用网相互通信的方法，在服务商边缘设备HUB(PE)上连接各用户的VPN₁，…，VPNn，n≥2，VPNn对应的VRF为VRFn，其RTT为RTTn；在HUB(PE)上创建新的VRF_PE，其RTT为RTT₁，…，RTTn；在各VRFn中分别引入VRF_PE，将VRF_PE的新路由引入，生成MPLS转发需要的ILM和NHLFE，同时通过MBGP协议发布到其他各与用户端边缘设备相连的SPOKE(PE)。

5、如权利要求4所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于各用户端边缘设备CE通过路由器与各SPOKE(PE)相连。

6、如权利要求4或5所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于所述PE设备选自三层交换机、路由器。

7、如权利要求4所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于所述VRF_PE支持路由图、前辍链表、访问控制链表等VRFn的所有路由策略功能。

8、如权利要求7所述的多协议标签交换虚拟专用网相互通信的方法，其特征在于只有符合用户配置策略的路由才会加入到VRF_PE。