CN1710877A - 实现混合站点混合骨干网虚拟专用网的系统和方法 - Google Patents

Abstract

本发明涉及虚拟专用网技术，公开了一种实现混合站点混合骨干网虚拟专用网的系统和方法，使得基于不同IP版本的站点可以通过基于不同IP版本的骨干网络进行相互访问并开展VPN业务。这种实现混合站点混合骨干网虚拟专用网的系统和方法在CE路由器和PE路由器上运行IPv4/IPv6双路由表，根据CE路由器和PE路由器的网络连接情况配置IPv4和IPv6的协议栈，对VPN的用户站点进行VPN编址和必要的IPv4地址和IPv6地址转换后进行路由发布和分配，并通过使用多层标签实现数据的转发，从而在混合站点混合骨干网的情况下实现VPN。

Description

实现混合站点混合骨干网虚拟专用网的系统和方法

技术领域

本发明涉及虚拟专用网技术，特别涉及用户站点和骨干网络由网间互联协议第4版(Internet Protocol version 4，简称“IPv4”)向网间互联协议第6版(Internet Protocol version 6，简称“IPv6”)演进时的虚拟专用网(VirtualPrivate Networking，简称“VPN”  )技术。

背景技术

VPN是在公众网络上所建立的虚拟的专用网络，它具有与专用网络同样卓越的安全性、可靠性和易管理性。VPN替代了传统的拨号访问，利用因特网(Internet)公众网或者运营商网络资源作为企业专用网络的延续，可节省昂贵的专线租用费用，同时VPN可以使用隧道协议、身份验证和数据加密等技术保证通信的安全性，受到企业用户的欢迎。

企业通过VPN的建设，可以带来很多好处，例如，通过使用VPN，企业可以节省大量企业日常通讯的费用；可以进行远程教学和远程监控以达到企业管理统一；还可以提高企业内部业务信息流通的安全性。可以预见，VPN是企业内部网络设计，信息管理、流通的必然趋势。

现有的VPN是基于IPv4网络的，即组成VPN的骨干网络和站点都处于IPv4网络中。作为其中的典型代表，请求评注(Request for Comments，简称“RFC”)标准2547bis定义的VPN实现方案对如何实现VPN作了具体描述，详细说明可以参照RFC 2547bis。下面对实现该方案的基本原理作简要介绍。

RFC2547bis所定义多协议标记交换(MultiProtocol Label Switching，简称“MPLS”)三层(Layer3，简称“L3”)VPN的模型的示意图如图1所示，该模型包括三个组成部份：用户网边缘(Custom Edge Router，简称“CE”)路由器、骨干网边缘(Provider Edge Router，简称“PE”)路由器和骨干网(Provider Router，简称“P”)路由器。其中，CE路由器是用户驻地网络的一个组成部分，有接口直接与运营商的网络相连，CE路由器感知不到VPN的存在，也不需要维护VPN的整个路由信息；PE路由器是运营商网络的边缘设备，与用户的CE路由器直接相连，在MPLS网络中，对VPN的所有处理都在PE路由器上完成；P路由器处于运营商网络中，不和CE路由器直接相连，P路由器需要有MPLS基本信令能力和转发能力。熟悉本领域的技术人员可以理解，CE和PE的划分主要是从运营商与用户的管理范围来划分的，CE和PE是两者管理范围的边界。

CE与PE之间可以使用外部边界网关协议(External BGP，简称“EBGP”)或是内部网关协议(Interior Gateway Protocol，简称“IGP”)等路由协议交换路由信息，也可以使用静态路由。CE不必支持MPLS，不需要感知VPN的整网路由，VPN的整网路外包给运营商来完成。PE之间通过多协议边界网关协议(Multi-Protocol Border Gateway Protocol，简称“MP-BGP”  )交换VPN的整网路由信息。

如图1所示，VPN是由多个用户站点(Site)组成的，在PE上，每个站点对应一个VPN路由/转发实例(VPN Routing/Forwarding instance，简称“VRF”)，它主要包括：网间互联协议(Internet Protocol，简称“IP”)路由表、标签转发表、使用标签转发表的一系列接口以及管理信息。其中，接口和管理信息包含路由区分符(Route Distinguisher，简称“RD”)、路由过滤策略、成员接口列表等。需要说明的是，用户站点和VPN不存在一对一的关系，一个站点可以同时属于多个VPN。在具体实现时，每一个站点关联一个单独的VRF。VPN中Site的VRF实际上综合了该站点的VPN成员关系和路由规则。报文转发信息存储在每个VRF的IP路由表和标签转发表中。系统为每个VRF维护一套独立的路由表和标签转发表，从而防止了数据泄漏出VPN之外，同时防止了VPN之外的数据进入。

路由器之间使用边界网关协议(Border Gateway Protocol，简称“BGP”)来发布VPN路由，BGP通信在两个层次上进行，自治系统(AutonomousSystem，简称“AS”)内部采用内部边界网关协议(Internal BGP，简称“IBGP”)，AS之间采用EBGP。例如，PE-PE会话是IBGP会话，而PE-CE会话是EBGP会话。BGP在PE路由器之间的VPN组成信息和路由传播，通过多协议扩展BGP(Multiprotocol extensions BGP，简称“MBGP”)来实现。MBGP向下兼容，既可以支持传统的IPv4地址族，又可以支持其它地址族，例如VPN-IPv4地址族。通过MBGP携带的路由目标(Route Target)确保了特定VPN的路由只能被这个VPN的其它成员知道，使BGP/MPLS VPN成员间的通信成为可能。其中，关于MBGP的详细说明请参见RFC2283。

在RFC2547bis标准中，CE与PE之间通过内部网关协议(Interior GatewayProtocol，简称“IGP”)或EBGP来传播路由信息，PE得到该VPN的路由表，存储在单独的VRF中。PE之间通过IGP来保证通常IP的连通性，通过IBGP来传播VPN组成信息和路由，并完成各自VRF的更新。PE再通过与直接相连CE之间的路由交换来更新CE的路由表，由此完成各个CE之间的路由交换。

其中，使用BGP来发布VPN路由时，使用了新的地址族-VPN-IPv4地址。一个VPN-IPv4地址有12个字节，开始是8字节的RD，后面是4字节的IPv4地址。PE使用RD对来自不同VPN的路由信息进行标识。运营商可以独立地分配RD，但是需要把他们专用的AS号作为RD的一部分来保证每个RD的全局唯一性。RD为零的VPN-IPv4地址同全局唯一的IPv4地址是同义的。这样处理以后，即使VPN-IPv4地址中包含的4字节IPv4地址重叠，VPN-IPv4地址仍可以保持全局唯一。其中，PE从CE接收的路由是IPv4路由，需要引入VRF路由表中，此时需要附加一个RD。在通常的实现中，为来自于同一个用户站点的所有路由设置相同的RD。

在RFC2547bis标准中，采用Route Target属性标识了可以使用某路由的站点的集合，即该路由可以被哪些站点所接收，PE路由器可以接收哪些站点传送来的路由。与Route Target中指明的站点相连的PE路由器，都会接收到具有这种属性的路由。PE路由器接收到包含此属性的路由后，将其加入到相应的路由表中。PE路由器存在两个Route Target属性的集合：一个集合用于附加到从某个站点接收的路由上，称为Export Route Targets；另一个集合用于决定哪些路由可以引入此Site的路由表中，称为Import Route Targets。通过匹配路由所携带的Route Target属性，可以获得VPN的成员关系。匹配Route Target属性可以用来过滤PE路由器接收的路由信息。

图2所示为通过匹配Route Target属性过滤接收路由的示意图。MPLSVPN路由信息进入PE路由器时，如果Export Route Targets集合与ImportRoute Targets集合存在相同项，则该路由被接收；如果Export Route Targets集合与Import Route Targets集合没有相同项，则该路由被拒绝。

在RFC2547bis标准中，VPN报文转发使用两层标签方式。第一层，即外层标签在骨干网内部进行交换，代表了从PE到对端(PEER)PE的一条标签交换路径(Label Switched Path，简称“LSP”)，VPN报文利用这层标签，就可以沿着LSP到达对端PE。从对端PE到达CE时使用第二层，即内层标签，内层标签指示了报文到达哪个站点，或者更具体一些，到达哪一个CE。这样，根据内层标签，就可以找到转发报文的接口。特殊情况下，属于同一个VPN的两个站点连接到同一个PE，则如何到达对方PE的问题不存在，只需要解决如何到达对端CE。

而随着通信网络技术的发展，传统的IPv4网络暴露出了一系列缺点，体现在地址空间不足、移动性差、安全性差和配置复杂等方面，因此互联网工程任务组(Internet Engineer Task Force，简称“IETF”)提出了IPv6以解决这些问题。经过几年的发展，IPv6技术已经日渐成熟，较为成功的解决了IPv4所存在的问题，成为下一代互联网的标准。目前，IPv6的推广已经进入实质阶段，许多研究机构和公司正在进行IPv6网络产品的研究工作。

为了在从IPv4向IPv6演进的过程中继续提供IPv4环境下的各种业务，必须同步研究IPv6网络上的VPN解决方案。由于IPv6本身也还处于试验阶段，还没有正式大规模商用，更没有存在IPv6网络下的正式VPN业务应用。现在世界上对于IPv6下VPN业务的研究还处于初级阶段，IPv6 VPN还要适应IPv6的新特性，如IPv6下VPN业务的安全性、服务质量(Quality of Service，简称“QoS”)、移动性以及可管理性等，有很多的研究工作需要进行。

对于如何在骨干网络为IPv4网络，VPN站点全部为IPv6网络的情况下实现VPN，可以采用思科(CISCO)公司提出的6PE技术方案，该技术方案的网络组成示意图如图3所示。6PE方案实现的基本思想是：每个IPv6站点连接到IPv4骨干网络的至少一个双栈并且支持MP-BGP的PE路由器，即图3所示的6PE路由器。其中，6PE路由器称为双栈BGP(Double Stack BGP，简称“DS-BGP”)路由器，即DS-BGP路由器。DS-BGP路由器在IPv4侧至少有一个IPv4地址，在IPv6侧至少有一个IPv6地址，并且该IPv4地址必须在IPv4网络中可路由。IPv6站点中的路由遵循标准的IPv6路由协议，例如开放最短路径优先协议第3版(Open Shortest Path First Version3，简称“OSPFv3”)，标准化发起信息学会第6版(Information Society Initiatives inStandardization version 6，简称“ISISv6”)或者下一代路由信息协议(RoutingInformation Protocol next generation，简称“RIPng”)，不用向IPv4骨干网络发布，只需要在DS-BGP路由器通过BGP4+终结，但需要在DS-BGP路由器之间通过MP-BGP4交换IPv6的网络层可达信息(Network LayerReachability Information，简称“NLRI”)，出口DS-BGP路由器在向入口DS-BGP路由器通告路由时将自己的地址作为这些路由的下一跳；在数据包转发时，从入口DS-BGP路由器将IPv6数据包通过MPLS隧道，即LSP，透传到出口DS-BGP路由器。而DS-BGP路由器通告自己的地址作为BGP路由下一跳时可以使用IPv4地址，并使用MPLS隧道或者其它基于IPv4地址的隧道，如通用路由封装(Generic Route Encapsulation，简称“GRE”)协议隧道，IP安全协议(IP Security Protocol，简称“IPsec)隧道；也可以使用IPv6地址，并使用相应的隧道，如6to4隧道，站点内自动隧道接入协议(Intra-Site Automatic Tunnel Access Protocol，简称”ISATAP“)隧道，并使用这些隧道要求的地址形式。

但是，IPv4向IPv6过渡是一个渐进的过程，过渡时期将同时存在IPv4网络和IPv6网络，用户网络和骨干网络都既可能是IPv4网络或IPv6网络，又可能是IPv4/IPv6混合网络。这就要求新一代网络下的VPN业务能够适应复杂的网络环境，可以正常应用于IPv4网络、IPv6网络或者是IPv4/IPv6混合网络。

在实际应用中，上述方案存在以下问题：现有的技术方案无法在用户站点同时包含IPv4站点和IPv6站点，以及骨干网络同时包含IPv4域和IPv6域时，提供VPN业务解决方案。

造成这种情况的主要原因在于，现有的技术方案是针对骨干网为IPv4网络，全部VPN站点为IPv6站点的情况，该方案中使用的DS-BGP无法支持IPv4的站点，如果简单地改用普通BGP路由器则无法实现NLRI的交换等功能，并且现有的技术方案中VPN的路由学习和发布是在IPv4网络中进行，无法支持混合骨干网中的路由器学习和发布，因此不支持基于混合骨干网的VPN的路由学习发布以及数据转发。

发明内容

有鉴于此，本发明的主要目的在于提供一种实现混合站点混合骨干网虚拟专用网的系统和方法，使得基于不同IP版本的站点可以通过基于不同IP版本的骨干网络进行相互访问并开展VPN业务。

为实现上述目的，本发明提供了一种实现混合站点混合骨干网虚拟专用网的系统，包含基于网间互联协议第4版或第6版的虚拟专用网用户站点、用户网边缘路由器、骨干网边缘路由器和骨干网，所述用户站点通过所述用户网边缘路由器和所述骨干网边缘路由器接入所述骨干网，所述骨干网还包含至少一个基于网间互联协议第4版的自治系统和至少一个基于网间互联协议第6版的自治系统，所述自治系统之间通过自治系统边缘路由器连接；

所述用户网边缘路由器和所述骨干网边缘路由器共同完成网间互联协议第4版路由和网间互联协议第6版路由的转换。

其中，属于网间互联协议版本不同的自治系统并相互连接的所述自治系统边缘路由器之间采用基于网间互联协议第6版的多协议外部边界网关协议发布路由。

所述用户站点和所述自治系统的网间互联协议版本不同时，连接所述用户站点和所述自治系统的所述用户网边缘路由器和所述骨干网边缘路由器支持网间互联协议第4/6版的双协议栈。

基于网间互联协议第4版的所述用户站点和基于网间互联协议第6版的所述用户站点互通时，网间互联协议第4版路由A.B.C.D/n映射成0∷A:B:C:D/(96+n)形式的网间互联协议第6版路由。

本发明还提供了一种实现混合站点混合骨干网虚拟专用网的方法，包含以下步骤：

A在所述虚拟专用网内对基于网间互联协议第4版或第6版的用户站点进行编址；

B所述用户站点和基于网间互联协议第4版或第6版的骨干网进行路由的学习和发布；

C所述骨干网进行内层标签和外层标签的分发；

D所述用户站点的数据包依据所述步骤B中建立的路由，封装所述内层标签和所述外层标签通过所述骨干网进行转发。

其中，所述步骤A中，基于网间互联协议第4版的所述用户站点之间采用“路由区分符+网间互联协议第4版地址”的形式组成地址族标识符为1的虚拟专用网-网间互联协议第4版地址；基于网间互联协议第4版的所述用户站点与基于网间互联协议第6版的所述用户站点之间，基于网间互联协议第6版的所述用户站点之间采用“路由区分符+网间互联协议第6版地址”的形式组成地址族标识符为2的虚拟专用网-网间互联协议第6版地址。

和基于网间互联协议第6版的所述用户站点通信的，基于网间互联协议第4版的所述用户站点将网间互联协议第4版地址A.B.C.D映射成0∷A:B:C:D形式的网间互联协议第6版地址后，与路由区分符进行组合组成虚拟专用网-网间互联协议第6版地址。

所述步骤B还包含以下子步骤：

B1对所述用户站点的地址进行聚合，形成相应的路由项；

B2所述骨干网的自治系统内部通过内部边界网关协议，在该所述自治系统的骨干网边缘路由器和自治系统边缘路由器之间，发布和该所述自治系统的所述骨干网边缘路由器连接的所述用户站点的路由；

B3基于不同版本网间互联协议的所述自治系统之间通过相连接的所述自治系统边缘路由器，采用基于网间互联协议第6版的多协议外部边界网关协议发布路由；

B4所述自治系统边缘路由器将学习到的路由向该所述自治系统内部的对端路由器发布；

B5所述骨干网的骨干网边缘路由器与所述用户站点的用户网边缘路由器之间运行路由协议，向所述用户网边缘路由器发布路由。

对于需要访问基于网间互联协议第6版的所述用户站点的基于网间互联协议第4版的所述用户站点，所述步骤B5还包含以下子步骤：

B51该基于网间互联协议第4版的所述用户站点的所述用户网边缘路由器和与之连接的所述骨干网边缘路由器，运行基于网间互联协议第6版的路由协议学习路由；

B52将所述骨干网边缘路由器的保存的网间互联协议第4版的所述用户站点的路由A.B.C.D/n转换成0∷A:B:C:D/(96+n)的网间互联协议第6版路由，通过网间互联协议第6版路由协议将路由发布给所述用户网边缘路由器；

B53所述用户网边缘路由器中将0∷A:B:C:D/(96+n)还原成A.B.C.D/n形式的网间互联协议第4版路由，将基于网间互联协议第6版的所述用户站点的路由保存为网间互联协议第6版路由。

对于需要访问基于网间互联协议第4版的所述用户站点的基于网间互联协议第6版的所述用户站点，所述步骤B5还包含以下子步骤：

B54该基于网间互联协议第6版的所述用户站点的所述用户网边缘路由器和与之连接的所述骨干网边缘路由器，运行基于网间互联协议第6版的路由协议学习路由；

B55所述用户网边缘路由器将基于网间互联协议第4版的所述用户站点的路由直接存储为0∷A:B:C:D/(96+n)形式的网间互联协议第6版路由，将基于网间互联协议第6版的所述用户站点的路由保存为原来的形式。

对于不需要访问基于网间互联协议第6版的所述用户站点的基于网间互联协议第4版的所述用户站点，在所述步骤B中，该基于网间互联协议第4版的所述用户站点的所述用户网边缘路由器和与其连接的所述骨干网边缘路由器之间只运行基于网间互联协议第4版的路由协议，并仅学习和保存其它网间互联协议第4版用户站点的网间互联协议第4版路由，丢弃网间互联协议第6版路由。

所述骨干网边缘路由器在接收到所述虚拟专用网的路由后，根据多协议边界网关协议的路由目标扩展团体属性决定是否学习并向所述用户站点发布。

所述步骤C中，所述内层标签用于区分同一个入口骨干网边缘路由器连接的不同所述用户站点，由所述入口骨干网边缘路由器分配，在发布路由时随路由发布给相应的所述骨干网边缘路由器；所述外层标签用于在所述骨干网中转发数据包，在一个所述自治系统内通过运行标签分配协议、资源预留协议-流量工程或约束路由的标记分配协议分配，在不同所述自治系统的自治系统边界路由器之间通过多协议外部边界网关协议为所述自治系统边界路由器的双向连接分配用于所述自治系统边界路由器之间的转发。

所述步骤D还包含以下子步骤：

D1遵循普通的网间互联协议转发过程进行源用户站点到入口骨干网边缘路由器之间的网间互联协议数据转发；

D2进行所述入口骨干网边缘路由器到出口骨干网边缘路由器之间的标签数据转发；

D3所述出口骨干网边缘路由器依据所述内层标签和其存储的路由表进行所述出口骨干网到目的用户站点之间的网间互联协议数据转发。

所述步骤D2还包含以下步骤：

D21在所述入口骨干网边缘路由器上为数据包增加所述目的站点的所述内层标签后，再增加该所述入口骨干网边缘路由器所在的所述自治系统中分配的外层标签；

D22将所述数据包根据外层标签转发到于当前所述自治系统相邻的所述自治系统的自治系统边缘路由器；

D23根据所述自治系统边缘路由器之间分配的外层标签将所述数据包转发到下一个相邻的所述自治系统；

D24将数据包转发到所述出口骨干网边缘路由器。

所述用户站点之间的拓扑关系通过采用路由目标实现。

通过比较可以发现，本发明的技术方案与现有技术的区别在于，本发明方案在CE路由器和PE路由器上运行IPv4/IPv6双路由表，根据CE路由器和PE路由器的网络连接情况配置IPv4和IPv6的协议栈，对VPN的用户站点进行VPN编址和必要的IPv4地址和IPv6地址转换后进行路由发布和分配，并通过使用多层标签实现数据的转发，从而在混合站点混合骨干网的情况下实现VPN。

这种技术方案上的区别，带来了较为明显的有益效果，即通过采用本发明实现混合站点混合骨干网VPN的方案，可以在用户网络和骨干网络从IPv4向IPv6过渡的情况下组成VPN，使网络过渡时期的VPN的解决方案具有更大灵活性，减小网络设备升级的复杂性，使IPv4向IPv6的过渡升级更加平滑，大大提高了网络升级的经济性和可行性。

附图说明

图1为RFC2547bis所定义MPLS L3 VPN的系统组成示意图；

图2为通过匹配Route Target属性过滤接收路由的示意图；

图3为6PE方案实现BGP/MPLS VPN的系统组成示意图；

图4为根据本发明的一个较佳实施例的实现混合站点混合骨干网VPN的系统组成示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

下面结合本发明的一个具体实施例来说明本发明方案。

根据本发明的一个较佳实施例的实现混合站点混合骨干网VPN的系统组成示意图如图4所示。

需要说明的是，VPN A和VPN B仅用于表示一个PE路由器可以同时接入多个VPN。

实现混合站点混合骨干网VPN的系统由以下几个部分组成：骨干网，处于骨干网边缘的PE路由器和通过CE路由器与PE路由器连接的用户站点。

骨干网络用于发布VPN路由，建立交换路径，完成数据的交换。骨干网络包含采用不同地址族的自治系统，自治系统之间通过处于自治系统边缘的自治系统边界路由器(Autonomous System Border Router，简称“ASBR”)连接。如图4，在本发明的一个较佳实施例中，骨干网为双域，一个IPv4自治系统(IPv4单域)和一个IPv6自治系统(IPv6单域)组成。需要说明的是，骨干网络发布的路由包含VPN-IPv4路由和VPN-IPv6路由。在骨干网络进行路由学习以建立VPN交换路径时，首先在自治系统内的PE和ASBR之间发布和该自治系统的PE路由器连接的用户站点的路由，接着ASBR之间通过EBGP互相发布学习到的路由，然后由ASBR通过IBGP向其所属自治系统内部的对端即PE路由器发布学习到的路由，最后由PE路由器向CE路由器发布路由。关于路由发布的方法，将在下文详细叙述。

用户站点既有IPv4站点也有IPv6站点，每个用户站点包含多个具有不同地址的主机。其中，用户网络中和骨干网络连接的CE路由器根据该用户网络的IP版本以及和其连接的自治系统的IP版本支持相应的协议栈。PE路由器根据其所属的自治系统的IP版本以及其连接的用户站点的IP版本支持相应的协议栈。例如，连接到IPv4骨干网的IPv4站点的CE路由器和对应的PE路由器只需要支持IPv4协议栈，连接到IPv6骨干网的IPv6站点的CE和对应的PE只需要支持IPv6协议栈，连接到IPv4骨干网络的IPv6站点的CE和连接到IPv6骨干网络的IPv4站点的CE以及接入这些CE的PE设备则都需要支持IPv4/IPv6双协议栈。需要说明的是，由于同一个VPN中的IPv4站点和IPv6站点可能存在互访关系，因此对于需要访问IPv6站点的IPv4站点中的路由器需要保存IPv6路由，即这些IPv4站点需要支持IPv4-IPv6混合地址方案。

为了实现本发明方案，需要进行包含以下几个方面的处理：VPN的用户站点编址的处理；VPN站点的路由学习和发布的处理；标签分发的处理；VPN数据转发的处理。下文将对这些处理做详细说明。

下面首先说明在本发明的一个较佳实施例中，如何完成用户站点编址的处理。需要说明的是，在本发明中，只考虑VPN用户进行单播通信的情况，要求VPN各站点内的主机使用单播地址，即只采用一个IPv4地址或者一个IPv6地址。

由于在VPN中仍然存在IPv4站点，考虑到公有IPv4地址的紧缺，在本发明的一个较佳实施例中，允许VPN中的IPv4站点继续使用私有IPv4地址，并且允许不同VPN的站点使用相同的私有IPv4地址。

在VPN中，IPv4站点和IPv4站点之间的通信仍然采用IPv4地址，在MP-BGP中的地址族标识符(Address Family Identifier，简称“AFI”)域使用RFC1700为IPv4地址族分配的值1；IPv4站点与IPv6站点之间的相互通信以及两个IPv6站点之间的相互通信均采用IPv6地址，在MP-BGP中的AFI域可以使用RFC 1700为IPv6地址族分配的值2。需要说明的是，当IPv4站点和IPv6站点相互通信时，IPv4站点中的IPv4地址A.B.C.D映射成相应的0∷A:B:C:D形式的IPv6地址。在MP-BGP路由发布过程中，后继的地址族标识符(Subsequence Address Family Identifier，简称“SAFI”)域使用128，表示VPN-IPv4/IPv6地址。

在本发明的一个较佳实施例中，由于使用了私有IPv4地址，为了保证在骨干网络中VPN路由和地址的唯一性，沿用RFC 2547bis中的RD的概念，即在IPv4站点和IPv4站点之间通过采用RD+(IPv4地址)的形式组成AFI为1的VPN-IPV4地址，在IPv4站点与IPv6站点之间或者两个IPv6站点之间通过采用RD+(IPv6地址)的形式组成AFI为2的VPN-IPv6地址。需要说明的是，和IPv6站点之间通信的IPv4站点中的IPv4地址A.B.C.D需要在映射成0∷A:B:C:D形式的IPv6地址后，再与RD进行组合组成VPN-IPv6地址。

在本发明的一个较佳实施例中，路由学习和发布的处理可以按照下文所述的方法进行。

首先，在对VPN的各用户站点进行编址后，将各用户站点的地址进行聚合形成相应的路由项。熟悉本领域的技术人员可以理解，为了实现VPN中各用户站点之间的访问关系，需要将这些路由项发布给相应的站点。

接着，骨干网的自治系统内部通过IBGP在该自治系统的PE路由器和ASBR之间发布和该自治系统的PE路由器连接的VPN用户站点的路由。其中，发布的路由包括IPv4路由和IPv6路由。需要说明的是，由于骨干网络存在IPv4自治系统和IPv6自治系统，该步骤在执行时有两种情况：当自治系统为IPv4网络时，在IPv4网络的PE路由器和ASBR之间通过基于IPv4的全连接的多协议内部边界网关协议(Multi-Protocol Internal BGP，简称“MP-IBGP”)或者使用路由反射器发布和该IPv4网络的PE连接的VPN用户站点的路由；当自治系统为IPv6网络时，在IPv6网络中的PE路由器和其ASBR之间通过基于IPv6的全连接的MP-IBGP或者适用路由反射器发布和该IPv6网络的PE路由器连接的VPN站点的路由。

接着，IPv4/IPv6网络之间的ASBR之间通过基于IPv6的多协议外部边界网关协议(Multi-Protocol External BGP，简称“MP-IBGP”)向对端发布相应的路由。

接着，根据BGP协议，从EBGP对端学习到的路由需要向IBGP对端发布。熟悉本领域的技术人员可以，至此，所有的PE路由器都能够接收到属于全部VPN用户站点的路由。

最后，PE路由器与CE路由器之间运行路由协议向CE路由器发布相应的路由。在本发明的一个较佳实施例中，需要访问IPv6 VPN用户站点的IPv4用户站点与PE路由器运行基于IPv6的路由协议同时学习IPv6路由和IPv4路由，通过将PE路由器的VRF中的IPv4路由A.B.C.D/n转换成0∷A:B:C:D/(96+n)的IPv6路由，通过IPv6路由协议发布给CE路由器，在CE路由器中将它还原成A.B.C.D/n的IPv4路由，对于其它IPv6用户站点的IPv6路由，则在CE路由器中仍然保存为IPv6路由；在该IPv4用户站点访问IPv4站点时进行IPv4路由的匹配，访问IPv6站点时进行IPv6路由的匹配。在本发明的一个较佳实施例中，需要访问IPv4 VPN用户站点的IPv6用户站点，其CE路由器和PE路由器之间也运行基于IPv6的路由协议，学习其它站点的路由，对于其它IPv4用户站点的路由，直接存储为0∷A:B:C:D/(96+n)形式的IPv6路由，对于其它IPv6用户站点的路由，则保存为原来的形式。需要说明的，是上文所述A.B.C.D/n中，A.B.C.D为网段地址，n为掩码。

在本发明的一个较佳实施例中，如果某些IPv4用户站点根据RouteTarget属性确定的拓扑关系中不需要访问其它IPv6用户站点，则其CE路由器和PE路由器之间只需要运行基于IPv4的路由协议，并仅学习和保存其它IPv4用户站点的IPv4路由，对于IPv6路由则进行丢弃。

需要说明的时，在路由的学习和发布的处理中，PE路由器在接收到VPN路由后，根据使用MP-BGP的Route Target扩展团体属性决定是否学习并向相应的用户站点发布。在本发明的一个较佳实施例中，出口(Egress)PE路由器在向其BGP对端发布VPN路由时，携带相应的Export Route Target和Egress PE为该VPN站点分配的内层标签。如果BGP对端不是ASBR，则将接收的VPN路由与在该BGP对端上配置的Import Route Target进行匹配，如果能够匹配成功，则接收该路由并向相应的VRF对应的用户站点发布；如果BGP对端是两个自治系统之间的ASBR，则通过EBGP发给对端ASBR，对端ASBR将该路由发布给本域内的IBGP对端，在IBGP对端进行RouteTarget的匹配，以确定是否接受并向相应用户站点发布该路由。

在本发明的一个较佳实施例中，仍然使用VRF来保存不同VPN的路由。在VRF中针对每个VPN的不同的AFI来分别保存IPv4路由和IPv6路由，同时在VPN的IPv4站点中的CE路由器中也保存相应的IPv4路由和IPv6路由，并将CE路由器作为该VPN站点访问其它站点时的代理(Proxy)，在进行路由匹配时，根据访问的目的用户站点是IPv4用户站点还是IPv6用户站点分别匹配IPv4路由或IPv6路由。需要说明的是，由于VPN中的IPv6用户站点只需要保存IPv6路由，接入该IPv6站点的PE路由器在将其它IPv4站点的路由发布给该站点之前，需要先将IPv4路由A.B.C.D/n转换成0∷A:B:C:D/(96+n)的IPv6路由。

在本发明的一个较佳实施例中，标签分发的处理可以依照下文所述的规则进行。

同一个Egress PE连接的不同VPN站点通过Egress PE分配不同的内层标签来区分，该内层标签在通过MP-BGP发布路由时随路由发布给相应的PE。对于外层标签，在IPv4骨干网络和IPv6骨干网络内均通过运行标签分配协议(Label Distribution Protocol，简称“LDP”)或者资源预留协议(Reservation Protocol，简称“RSVP”)-流量工程(Traffic Engineering，简称“TE”)/约束路由的标记分配协议(Constraint-Routing Label DistributionProtocol，简称“CR-LDP”)进行标签分配，但在两个自治域的ASBR之间运行MP-EBGP，并通过MP-EBGP为ASBR的双向连接分配这段LSP的外层标签，该外层标签仅仅用于这两个ASBR之间的转发。其中，具体如何通过MP-EBGP为ASBR的双向连接分配LSP的外层标签可以参照RFC3107。

在本发明的一个较佳实施例中，数据转发的处理包含以下几种转发：源用户站点到入口(Ingress)PE路由器之间的IP数据转发；Ingress PE路由器到Egress PE路由器之间的标签数据转发；Egress PE到目的用户站点之间的IP数据转发。下面分别叙述。

源用户站点到入口(Ingress)PE路由器之间的IP数据包转发遵循普通的IP转发过程。如上文所述，用户站点中保存了IPv4/IPv6两种类型的路由表，对于需要访问IPv4/IPv6目的用户站点的源用户站点在进行IP数据转发时，可以根据目的用户站点是IPv4站点还是IPv6站点查询相应的路由表，遵循相应的路由表将数据包转发到Ingress PE。

Ingress PE路由器到Egress PE路由器之间的标签数据转发需要在IngressPE上为数据包增加Egress PE为目的地所在站点的内层标签后，再增加该Ingress PE所在的自治域中的标签分配协议(LDP/RSVP-TE/CR-LDP)分配的外层标签，然后将数据包沿着LSP的LSR根据外层标签转发到本自治系统到达下一个相邻自治系统的ASBR，然后根据下一个相邻自治系统的ASBR与本ASBR之间的MP-EBGP分配的外层标签转发到下一个相邻自治系统的ASBR，然后继续沿着下一个相邻自治系统中LSP将数据包转发到Egress PE。

Egress PE到目的用户站点之间的IP数据转发需要Egress PE在接收到包含内层标签的数据包后，通过区分内层标签确定目的用户站点，并根据源用户站点和目的用户站点类型遵循相应的路由表转发到目的主机。其中，在该步骤中，仅当源用户站点和目的用户站点均为IPv4站点时才查询IPv4路由表，其他情况均查询IPv6路由表。

另外，需要说明的是，如果为了实现VPN的各站点之间的拓扑关系，如全网状组网、部分网状等拓扑形状的控制，仍然可以沿用RFC 2547bis中的方法，即通过Route Target来实现，这与2.2.3节中讲述的PE之间路由发布和学习的机制完全相同，即根据VPN的拓扑关系来确定是否学习路由表，根据路由表来实现VPN的拓扑关系。

熟悉本领域的技术人员可以理解，对于VPN骨干网络包含多个IPv4/IPv6自治系统的情况，可以利用在上文中讲述的原理进行地址分配、路由学习、数据包转发以及VPN拓扑关系实现，即通过在新增加的自治系统和现有网络之间的ASBR之间通过MP-BGP在新增加的自治系统和现有网络之间发布VPN路由，并分配外层标签来接续VPN骨干网络中的标签转发。

虽然通过参照本发明的某些优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (16)

1.一种实现混合站点混合骨干网虚拟专用网的系统，包含基于网间互联协议第4版或第6版的虚拟专用网用户站点、用户网边缘路由器、骨干网边缘路由器和骨干网，所述用户站点通过所述用户网边缘路由器和所述骨干网边缘路由器接入所述骨干网，其特征在于，所述骨干网还包含至少一个基于网间互联协议第4版的自治系统和至少一个基于网间互联协议第6版的自治系统，所述自治系统之间通过自治系统边缘路由器连接；

所述用户网边缘路由器和所述骨干网边缘路由器共同完成网间互联协议第4版路由和网间互联协议第6版路由的转换。

2.根据权利要求1所述的实现混合站点混合骨干网虚拟专用网的系统，其特征在于，属于网间互联协议版本不同的自治系统并相互连接的所述自治系统边缘路由器之间采用基于网间互联协议第6版的多协议外部边界网关协议发布路由。

3.根据权利要求1所述的实现混合站点混合骨干网虚拟专用网的系统，其特征在于，所述用户站点和所述自治系统的网间互联协议版本不同时，连接所述用户站点和所述自治系统的所述用户网边缘路由器和所述骨干网边缘路由器支持网间互联协议第4/6版的双协议栈。

4.根据权利要求1所述的实现混合站点混合骨干网虚拟专用网的系统，其特征在于，基于网间互联协议第4版的所述用户站点和基于网间互联协议第6版的所述用户站点互通时，网间互联协议第4版路由A.B.C.D/n映射成0∷A:B:C:D/(96+n)形式的网间互联协议第6版路由。

5.一种实现混合站点混合骨干网虚拟专用网的方法，其特征在于，包含以下步骤：

A在所述虚拟专用网内对基于网间互联协议第4版或第6版的用户站点进行编址；

B所述用户站点和基于网间互联协议第4版或第6版的骨干网进行路由的学习和发布；

C所述骨干网进行内层标签和外层标签的分发；

D所述用户站点的数据包依据所述步骤B中建立的路由，封装所述内层标签和所述外层标签通过所述骨干网进行转发。

6.根据权利要求5所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述步骤A中，基于网间互联协议第4版的所述用户站点之间采用“路由区分符+网间互联协议第4版地址”的形式组成地址族标识符为1的虚拟专用网-网间互联协议第4版地址；基于网间互联协议第4版的所述用户站点与基于网间互联协议第6版的所述用户站点之间，基于网间互联协议第6版的所述用户站点之间采用“路由区分符+网间互联协议第6版地址”的形式组成地址族标识符为2的虚拟专用网-网间互联协议第6版地址。

7.根据权利要求6所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，和基于网间互联协议第6版的所述用户站点通信的，基于网间互联协议第4版的所述用户站点将网间互联协议第4版地址A.B.C.D映射成0∷A:B:C:D形式的网间互联协议第6版地址后，与路由区分符进行组合组成虚拟专用网-网间互联协议第6版地址。

8.根据权利要求5所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述步骤B还包含以下子步骤：

B1对所述用户站点的地址进行聚合，形成相应的路由项；

B2所述骨干网的自治系统内部通过内部边界网关协议，在该所述自治系统的骨干网边缘路由器和自治系统边缘路由器之间，发布和该所述自治系统的所述骨干网边缘路由器连接的所述用户站点的路由；

B3基于不同版本网间互联协议的所述自治系统之间通过相连接的所述自治系统边缘路由器，采用基于网间互联协议第6版的多协议外部边界网关协议发布路由；

B4所述自治系统边缘路由器将学习到的路由向该所述自治系统内部的对端路由器发布；

B5所述骨干网的骨干网边缘路由器与所述用户站点的用户网边缘路由器之间运行路由协议，向所述用户网边缘路由器发布路由。

9.根据权利要求8所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，对于需要访问基于网间互联协议第6版的所述用户站点的基于网间互联协议第4版的所述用户站点，所述步骤B5还包含以下子步骤：

B51该基于网间互联协议第4版的所述用户站点的所述用户网边缘路由器和与之连接的所述骨干网边缘路由器，运行基于网间互联协议第6版的路由协议学习路由；

B52将所述骨干网边缘路由器的保存的网间互联协议第4版的所述用户站点的路由A.B.C.D/n转换成0∷A:B:C:D/(96+n)的网间互联协议第6版路由，通过网间互联协议第6版路由协议将路由发布给所述用户网边缘路由器；

B53所述用户网边缘路由器中将0∷A:B:C:D/(96+n)还原成A.B.C.D/n形式的网间互联协议第4版路由，将基于网间互联协议第6版的所述用户站点的路由保存为网间互联协议第6版路由。

10.根据权利要求8所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，对于需要访问基于网间互联协议第4版的所述用户站点的基于网间互联协议第6版的所述用户站点，所述步骤B5还包含以下子步骤：

B54该基于网间互联协议第6版的所述用户站点的所述用户网边缘路由器和与之连接的所述骨干网边缘路由器，运行基于网间互联协议第6版的路由协议学习路由；

B55所述用户网边缘路由器将基于网间互联协议第4版的所述用户站点的路由直接存储为0∷A:B:C:D/(96+n)形式的网间互联协议第6版路由，将基于网间互联协议第6版的所述用户站点的路由保存为原来的形式。

11.根据权利要求8所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，对于不需要访问基于网间互联协议第6版的所述用户站点的基于网间互联协议第4版的所述用户站点，在所述步骤B中，该基于网间互联协议第4版的所述用户站点的所述用户网边缘路由器和与其连接的所述骨干网边缘路由器之间只运行基于网间互联协议第4版的路由协议，并仅学习和保存其它网间互联协议第4版用户站点的网间互联协议第4版路由，丢弃网间互联协议第6版路由。

12.根据权利要求8所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述骨干网边缘路由器在接收到所述虚拟专用网的路由后，根据多协议边界网关协议的路由目标扩展团体属性决定是否学习并向所述用户站点发布。

13.根据权利要求5所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述步骤C中，所述内层标签用于区分同一个入口骨干网边缘路由器连接的不同所述用户站点，由所述入口骨干网边缘路由器分配，在发布路由时随路由发布给相应的所述骨干网边缘路由器；所述外层标签用于在所述骨干网中转发数据包，在一个所述自治系统内通过运行标签分配协议、资源预留协议-流量工程或约束路由的标记分配协议分配，在不同所述自治系统的自治系统边界路由器之间通过多协议外部边界网关协议为所述自治系统边界路由器的双向连接分配用于所述自治系统边界路由器之间的转发。

14.根据权利要求5所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述步骤D还包含以下子步骤：

D1遵循普通的网间互联协议转发过程进行源用户站点到入口骨干网边缘路由器之间的网间互联协议数据转发；

D2进行所述入口骨干网边缘路由器到出口骨干网边缘路由器之间的标签数据转发；

D3所述出口骨干网边缘路由器依据所述内层标签和其存储的路由表进行所述出口骨干网到目的用户站点之间的网间互联协议数据转发。

15.根据权利要求14所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述步骤D2还包含以下步骤：

D21在所述入口骨干网边缘路由器上为数据包增加所述目的站点的所述内层标签后，再增加该所述入口骨干网边缘路由器所在的所述自治系统中分配的外层标签；

D22将所述数据包根据外层标签转发到于当前所述自治系统相邻的所述自治系统的自治系统边缘路由器；

D23根据所述自治系统边缘路由器之间分配的外层标签将所述数据包转发到下一个相邻的所述自治系统；

D24将数据包转发到所述出口骨干网边缘路由器。

16.根据权利要求5所述的实现混合站点混合骨干网虚拟专用网的方法，其特征在于，所述用户站点之间的拓扑关系通过采用路由目标实现。

Images