CN1474564A

CN1474564A - 一种虚拟局域网之间的通信方法

Info

Publication number: CN1474564A
Application number: CNA021258155A
Authority: CN
Inventors: 樊莹
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2002-08-05
Filing date: 2002-08-05
Publication date: 2004-02-11
Anticipated expiration: 2022-08-05
Also published as: CN100337450C

Abstract

本发明公开了一种虚拟局域网之间的通信方法，该方法在路由器中建立虚拟局域网(VLAN)信息表，用于记录虚拟局域网报文信息，所述信息包括报文的源IP地址、虚拟局域网标识号(ID)和虚拟局域网输入端口；建立共享信息表，用于存储虚拟局域网之间的共享信息，这样当路由器的VLAN模块收到以太网模块发来的报文时，更新虚拟局域网信息表，当所述报文的源VLAN和目的VLAN具有共享关系时，用与目的IP地址对应的VLAN ID封装该报文，并将该报文发送到目的端口；上述方案方便管理员配置VLAN间的共享关系，以动态学习的方式通过VLAN信息表来有效指导VLAN报文的转发，从而为用户的VLAN组网带来了更大的灵活性和VLAN组网的安全性。

Description

一种虚拟局域网之间的通信方法

技术领域

本发明涉及虚拟局域网之间的通信方法。

背景技术

虚拟局域网(VLAN：Virtual Local Area Network)允许处于不同物理位置的计算机在逻辑上构成一个局域网(LAN)，这样可以加强网络的安全性能、控制广播和分布通信量。一个VLAN即是一个广播域，网络交换机不会从一个VLAN向另外一个VLAN发送数据帧。要想实现VLAN间的通信，可以使用外部路由器配置子接口，或是在网络交换机中实现三层交换模块，但这两种方式都不能限制可以互相通信的VLAN，也就是说，所有配置在外部路由器上或是三层交换机上的VLAN都是可以互相通信的。如图3所示，三个楼层的用户通过交换机的配置构成了三个VLAN，VLAN1到VLAN3，这三个VLAN又通过一个路由器(这里也可以是一个三层交换机)实现了VLAN之间的互相通信。如果实际中出于某种安全的考虑，要求VLAN1只允许和VLAN2通信，而不能和其他VLAN通信时，上述图2所述的方式就不能满足要求了，尽管可以在VLAN1和VLAN2之间专门使用一台路由器，但这样就会增加设备的投资。为解决上述问题，可以采用“单臂路由”方法。即，VLAN间的通信必须通过外部路由器或是三层交换机。为了节省路由器端口，将路由器与交换机之间的连接配置为中继线，以通过一个接口为多个VLAN进行路由。每个需要路由的VLAN必须配置子接口，并在子接口上配置命令指定到子接口的VLAN及使用的封装协议(例如ISL(Inter-Switch Link交换机链路协议)或是802.1Q)。当VLAN1中的主机需要与VLAN2中的主机通信时，VLAN标签为10的数据报文会经过交换机发送到路由器上，路由器通过报文的目的地址可以找到对应的子接口，从而得知子接口上的VLAN(20)，将报文打上VLAN 20的标签，再次转发到交换机上，由交换机转发给目的主机。上述方法的缺点在于，首先，由于查找路由的工作与为报文打VLAN标签的工作是分离的，无法同时记录源和目的各自所属的VLAN，也就无法对VLAN间通信进行限制。

发明内容

本发明的目的在于提供一种虚拟局域网之间的通信方法，使用该方法能够实现VLAN间的通信限制。

为达到上述目的，本发明提供的虚拟局域网之间的通信方法，包括：

步骤1：在路由器中建立虚拟局域网(VLAN)信息表，用于记录虚拟局域网报文信息，所述信息包括报文的源IP地址、虚拟局域网标识号(ID)和虚拟局域网输入端口；

建立共享信息表，用于存储虚拟局域网之间的共享信息；

步骤2：当路由器的虚拟局域网(VLAN)模块收到以太网模块上传的报文时，更新虚拟局域网信息表，当所述报文的源虚拟局域网和目的虚拟局域网具有共享关系时，用与目的IP地址对应的虚拟局域网标识(VLANID)封装该报文，并将该报文发送到目的端口，然后结束；否则丢弃该报文后结束；

步骤3：当路由器的虚拟局域网(VLAN)模块收到以太网模块下发的报文时，如果虚拟局域网信息表中没有目的IP地址对应记录，则在该报文不是由路由器本身发出时，将报文按照与源虚拟局域网共享的目的虚拟局域网的数量进行复制，再将每一份报文按照不同的共享的目的虚拟局域网的虚拟局域网标识(VLAN ID)分别封装后在本端口发出，然后结束；如果该报文是由路由器本身发出时，将报文按照本端口配置的虚拟局域网的数量进行复制，再将每一份报文按照不同的虚拟局域网的虚拟局域网标识(VLAN ID)分别封装后在本端口发出，然后结束；

如果虚拟局域网信息表中有目的IP地址对应记录，则在该报文不是由路由器本身发出时，当报文的源虚拟局域网与目的虚拟局域网具有共享关系时，用与目的IP地址对应的虚拟局域网标识(VLAN ID)封装后在目的IP对应的端口发出，否则丢弃该报文；如果该报文是由路由器本身发出时，用与目的IP地址对应的虚拟局域网标识(VLAN ID)封装后在其对应的端口发出，然后结束。

所述方法还包括：

步骤4：对虚拟局域网信息表中的每一条记录采用定时老化的机制进行处理。

所述采用老化机制处理局域网信息表中的记录按照下述方式进行：

步骤11：为虚拟局域网信息表中的每一条记录指定一个生存时间；

步骤12：由一个定时器定时刷新每条记录的生存时间，使每条记录的生存时间作相应地减少，同时删除生存时间为0的记录。

所述步骤2还包括：判断报文是否为多播报文，如果是，去掉报文的虚拟局域网标识(ID)，然后将报文分别发到路由器的IP模块和报文的源端口。

所述步骤2还包括：在虚拟局域网信息表中，查找与报文目的IP地址对应的记录，如果没找到，去掉报文的虚拟局域网标识，将该报文发送给IP模块。

由于本发明在路由器中建立了虚拟局域网(VLAN)信息表和共享信息表，通过共享信息表，管理员可以配置VLAN间的共享关系，即哪些VLAN可以互相通信；通过VLAN信息表，可以实现以动态学习的方式通过VLAN信息表来有效指导VLAN报文的转发，从而为用户的VLAN组网带来了更大的灵活性，增强了VLAN组网的安全性能。

附图说明

图1是本发明的VLAN模块接到以太网模块上传报文时的报文转发流程图；

图2是本发明的VLAN模块接到以太网模块下发报文时的报文转发流程图；

图3是VLAN的示例图；

图4是应用本发明的一个组网实例图。

具体实施方式

对于路由器来说，通常包括IP模块、VLAN模块和以太网模块。对于以太网模块来说，如果它从底层接收的报文源自配置了中继的以太网接口，那么它将收到的报文送给VLAN模块；另外，当IP模块下发报文给以太网发送时，如果报文的目的接口是配置了中继的接口时，它会将此报文送给VLAN模块打上VLAN标签。

对于VLAN模块来说，它的报文来源只有以太网模块，要么该报文是以太网模块从底层收上来的，要么该报文是IP模块下发给以太网的。

对于IP模块来说，VLAN模块对它来说是“透明”的，即IP模块是“看不见“VLAN模块的。当VLAN模块处理报文的过程中，如果需要将报文交给IP模块时，必须将该报文去掉VLAN标签之后送给IP模块；而IP模块为一个报文寻找路由，在找到出接口之后，直接将报文下发给出接口对应的以太网模块。

由于VLAN模块在将报文交给IP模块进行路由之前，必须去掉报文的VLAN标签，否则IP对这个报文就不能识别。如果在IP层以下就能够对报文进行路由，就可以在得知报文的目的VLAN的同时，保留报文的源VLAN标签，从而实现VLAN间的通信进行限制。

按照本发明所述的方法，首先在路由器中建立虚拟局域网(VLAN)信息表，用于记录虚拟局域网报文信息，所述信息包括报文的源IP地址、虚拟局域网标识号(ID)和虚拟局域网输入端口；建立共享信息表，用于存储虚拟局域网之间的共享信息。在分布式路由器上，VLAN信息表在每个板上自行维护一份；在集中式路由器上，VLAN信息表只有一份。通过VLAN信息表以及用户配置的共享信息表的内容来指导VLAN报文的转发。

基于上述VLAN信息表和共享信息表，在路由器每次收到一个VLAN报文(即带有ISL或802.1Q标签的报文)时，就会将报文的源IP地址、源VLAN ID和VLAN输入端口的映射关系记录在VLAN表中。本发明对VLAN信息表中的每一条记录采用定时老化的机制进行处理，以保持这些映射信息的有效性，即为虚拟局域网信息表中的每一条记录指定一个生存时间(例如5分钟)，由一个定时器定时刷新每条记录的生存时间，使每条记录的生存时间作相应地减少，同时删除生存时间为0的记录。当然也可以为每一条记录分别设置计时器的方法来老化VLAN信息表中的记录。

对于一个带有VLAN标签的报文来说，它进入VLAN模块以后可能的“走向”有如下三种(这里只考虑单播报文)：

1、VLAN模块根据报文的目的IP查找VLAN信息表，得到对应的表项(记录)，再通过共享信息表得知报文的目的VLAN与源VLAN是否具有共享的关系(如果目的VLAN与源VLAN不共享，那么该报文会被丢弃)，那么这个报文会被打上目的VLAN的标签，交给以太网模块发送出去。

2、VLAN模块根据报文目的IP地址查找VLAN信息表，如果没有得到对应的表项，那么将该报文去掉VLAN ID标签以后送给IP模块，由IP模块进行报文的路由，如果IP模块得到报文的出接口在本板上(分布式情况下)，直接将报文下发给以太网模块，如果以太网模块判断报文的输出接口是配置了中继的接口，则将报文再次交给VLAN模块打上标签发送。

3、VLAN模块根据报文的目的IP地址查找VLAN信息表，如果没有得到对应的表项，那么将该报文去掉VLAN ID标签以后送给IP模块，由IP模块进行报文的路由，如果IP模块得到报文的输出接口不在本板上(分布式情况下)，那么需要将报文透传到目的板上，由目的板的IP模块负责将此报文下发给以太网模块。

为详细说明上述过程，下面结合附图对本发明作进一步详细的描述。

图1是本发明的VLAN模块接到以太网模块上传报文时的报文转发流程图。按照图1，当路由器的虚拟局域网(VLAN)模块在步骤11收到以太网模块上传的报文时，在步骤12根据报文的源IP地址、虚拟局域网标识号(ID)和虚拟局域网输入端口更新VLAN信息表；所述以太网模块上传的报文指以太网模块从网卡驱动收到报文。接着在步骤13判断报文是否为广播或多播报文，如果是，在步骤14复制该报文，去掉报文的VLAN ID后，一份发给IP模块，由IP模块做广播或多播报文的相应处理，另一份从报文的源端口发出。如果在步骤13得知该报文为单播报文，则在步骤15查找VIAN信息，从中查找与报文目的IP地址对应的记录，即查找与目的IP对应的VLAN和端口，如果没找到，在步骤16去掉报文的VIAN ID，将该报文发送给IP模块，由IP模块指导该报文的转发；如果找到，在步骤17判断报文的源虚拟局域网和目的虚拟局域网是否具有共享关系，如果有，用与目的IP地址对应的VLAN ID封装该报文，并将该报文发送到目的端口；否则在步骤16丢弃该报文；

上述广播报文指的是链路层的广播报文，即目的MAC(媒体访问控制)地址为广播地址，所以将报文上交IP模块，由IP模块来进行目的IP地址的寻径(目的IP有可能在其他端口所连的局域网内)，同时，由于这是一个链路层的广播报文，还要将此报文下发给以太网模块，以便使本接口所连的局域网内那些与报文源VLAN共享的VLAN内的设备能够能收到这个广播报文。

上述多播报文则指的是目的IP地址是一个多播地址，为了使整个网络内加入了这个多播组的设备都能够收到这个多播报文，也要将此报文上交给上层IP模块，由IP模块将报文发送给其他端口上加入了这个多播组的设备，同时，也要将此报文下发给以太网模块，那么本接口所连的局域网内的那些设备，如果它们所在的VLAN与报文源VLAN共享，也将会收到这个多播报文。

图2是本发明的VIAN模块接到以太网模块下发报文时的报文转发流程图。按照图2，当路由器的VLAN模块收到以太网模块下发的报文时，在步骤21查找VLAN信息表，找与报文目的IP地址对应的VLAN和端口，如果VLAN信息表中没有目的IP地址对应的记录，则在步骤22判断报文的源VLAN是否为0，报文的源VIAN为0表示该报文是路由器本身发出的，所以，当在步骤22得知该报文不是由路由器本身发出的时，在步骤23查找共享信息表，找与源VLAN共享的VLAN，然后经步骤24在共享的VLAN中找出在本端口配置的VLAN，然后在步骤25将报文按照与源VLAN共享的目的VLAN的数量进行复制，再将复制后的每一份报文按照不同的共享的目的VLAN的VLAN ID分别封装后在本端口发出；如果在步骤22得知该报文是由路由器本身发出的时，则在步骤26查找在本端口配置的VLAN，然后在步骤26将报文按照本端口配置的VLAN的数量进行复制，再将每一份报文按照不同的VLAN的VLAN ID分别封装后在本端口发出；

如果经步骤21得知VLAN信息表中有目的IP地址对应的记录，则在步骤27判断报文的源VLAN是否为0，如果不为0，即该报文不是由路由器本身发出的，则在步骤28判断报文的源VLAN与目的VLAN是否具有共享关系，如果有，在步骤30将报文用与目的IP地址对应的VLAN ID封装后在目的IP对应的端口发出，否则在步骤29丢弃该报文；如果在步骤27得知该报文是由路由器本身发出的时，直接在步骤30将报文用与目的IP地址对应的VLANID封装后在其对应的端口发出。

在图4所示组网环境下，以A与其他主机通信为例来具体说明应用本发明的报文的转发流程。假设用户在端口3配置VLAN 10、20，在端口4配置VLAN 30、40，配置VLAN 10与30是共享(share)关系，其余都不共享(non-share)。

假设路由器已经学习到终端主机A、B、C的IP地址，参考下述VLAN信息表的具体内容：

ip地址	VID	端口	可生存时间(second)
ip地址	VID	端口	可生存时间(second)	1.1.1.1	10	3	300000
1.1.1.2	20	3	295000	1.1.1.1	10	3	300000
1.1.1.2	20	3	295000	3.1.1.3	30	4	200000

如果A与B通信，当端口3收到报文，以源IP地址1.1.1.1为索引查找VLAN信息表，由于表中已存在该IP地址所以不更新该表，假设经判断该报文为单播报文，则在VLAN信息表中找目的IP地址1.1.1.2对应的记录中的目的VLAN ID“20”和端口“3”，由于VLAN10与VLAN20事先没被管理员设置为共享，故丢弃该报文。

如果A与C通信，当端口3收到报文，以源IP地址1.1.1.1为索引查找VLAN信息表，由于表中已存在该IP地址所以不更新该表，假设经判断该报文为单播报文，则在VLAN信息表中找目的IP地址3.1.1.3对应的记录中的目的VLAN ID“30”和端口“4”，由于VLAN10与VLAN30事先已被管理员设置为共享，故用VLAN30封装该报文并发送到目的端口4。

如果A与D通信，当端口3收到报文，以源IP地址1.1.1.1为索引查找VLAN信息表，由于表中已存在该IP地址所以不更新该表，假设经判断该报文为单播报文，则在VLAN信息表中找目的IP地址3.1.1.4对应的记录中的目的VLAN ID“40”和端口“4”，由于没有找到上述期望的记录，则去掉报文的VLAN ID后将该报文发送到IP模块，IP模块根据目的IP地址找到出接口“4”，并将报文发送到端口4；报文到达端口4后，VLAN模块根据报文的目的IP地址查找VLAN信息表，没有找对应的记录，这样，VLAN模块再根据报文的源VLAN 10查找与其共享的VLAN，即VLAN30，同时查看端口4上是否配置了VLAN30，已经配置，故用VLAN30封装该报文由端口4发出。在这种情况下，由于用户没有设置VLAN10与VLAN40，真正的目的地址3.1.1.4是不会收到这个报文的。

Claims

1、一种虚拟局域网之间的通信方法，包括：

建立共享信息表，用于存储虚拟局域网之间的共享信息；

2、根据权利要求1所述的虚拟局域网之间的通信方法，其特征在于所述方法还包括：

3、根据权利要求2所述的虚拟局域网之间的通信方法，其特征在于所述采用老化机制处理局域网信息表中的记录按照下述方式进行：

4、根据权利要求1、2或3所述的虚拟局域网之间的通信方法，其特征在于所述步骤2还包括：判断报文是否为广播或多播报文，如果是，去掉报文的虚拟局域网标识(ID)，然后将报文分别发到路由器的IP模块和报文的源端口。

5、根据权利要求4所述的虚拟局域网之间的通信方法，其特征在于所述步骤2还包括：在虚拟局域网信息表中，查找与报文目的IP地址对应的记录，如果没找到，去掉报文的虚拟局域网标识，将该报文发送给IP模块。