CN1770766A - 二层报文传输方法 - Google Patents

Abstract

本发明涉及通信领域，公开了一种二层报文传输方法，本方法通过对GRE协议进行扩展，对二层协议进行封装，从而提供二层报文业务。本发明的特点在于，扩展GRE协议，使得网络设备可对二层报文进行GRE封装，生成GRE分组，再对GRE分组进行IP封装，并设定转发优先级，生成可以在IP层上传输的IP报文，后由隧道传输，并在IP报文经隧道到达目的路由器后，先剥去报文的IP报文头，再进行GRE解封装操作，得到初始二层报文，再由路由器的相应端口发送出去。

Description

二层报文传输方法

技术领域

本发明涉及通信领域，特别涉及与虚拟专用网(Virtual PrivateNetworking，简称“VPN”)技术相关的二层报文传输技术。

背景技术

随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要。同时随着企业和公司的不断发展壮大，员工出差日趋频繁，驻外机构及客户群分布日益分散，各个企业之间的合作关系也越来越多，信息交换日益频繁，越来越多的现代企业迫切需要利用公共因特网(Internet)资源来进行促销、销售、售后服务、培训、合作及其它咨询活动。而如何利用Internet进行有效的信息管理，是企业发展中不可避免的一个关键问题。

VPN便是近年来随着Internet的广泛应用而迅速发展起来的一种新技术，它通过在公用网络上构建私有专用网络，在远端用户、驻外机构、合作伙伴、供应商与公司总部之间建立可靠的安全连接，灵活满足企业的各种信息管理要求。但是VPN在应用时，会遇到由于企业的分支机构相互间的网络基础设施互不兼容的问题，通用路由封装(Generic Routing Encapsulation，简称“GRE”)协议的应用优势由此产生。

GRE协议是对类似于网间互联协议(Internet Protocol，简称“IP”)或者因特网络分组交换(Internetwork Packet Exchange，简称“IPX”)的网络层协议的数据报进行封装，使得这些被封装数据报能够在另一个网络层协议中传输，这里的另一个网络层协议通常指Internet广域网中经常采用的IP协议。GRE是VPN的第三层隧道协议，在协议层之间采用了一种被称之为隧道(Tunnel)的技术。Tunnel是一个虚拟的点对点的连接，可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。下面结合图1说明IPX网络如何通过GRE隧道互连。

图1是中虚线框就表示已经建立好的一个虚拟私有网1，它的两端是内部网10和内部网14，这两个内部网的网络层协议采用的是IPX，内部网10通过路由器11与因特网12相连，类似地，内部网14通过路由器13与因特网12相连。由于因特网12网络层协议采用的是IP协议，所以虚拟私有网1要能够建立成功，必须在路由器11和路由器13之间采用GRE协议建立一个隧道15，内部网10和内部网14的IPX数据包通过它才可以交互。一个IPX报文要想在隧道15中传输，必须要经过加封装与解封装两个过程，二者一般由路由器来完成。

下面以IPX报文从内部网10传送到内部网14为例说明加封装和解封装的过程。在路由器11连接内部网10的接口收到IPX数据报后首先交由IPX协议处理，IPX协议检查IPX报头中的目的地址域来确定如何路由此包。若报文的目的地址被发现要路由经过网号为1f的网络，这里1f即为Tunnel的虚拟网号，则将此报文发给网号为1f的Tunnel端口。Tunnel口收到此包后进行GRE封装，封装完成后交给IP模块处理，封装IP报文头，封装的IP报头的目的地址为路由器13的网络地址，然后根据路由表经路由器11另一侧接口转发此封装后的报文。封装好的Tunnel报文如图2所示。

Tunnel报文中，路由器收到一个需要封装和路由的数据报，称之为净荷(Payload)22，这个净荷22首先被加上GRE封装协议报头21，构成为GRE报文；再被加上传输协议报头20，三者就构成了可以在新网络协议层上传送的Tunnel报文。完全可由传输协议报头20代表的新网络协议层负责此报文的向前传输(Forwarded)，通常此负责向前传输的新网络层协议被称为传输协议(Delivery Protocol/Transport Protocol)。

结合图1，具体的说，如果是IPX报文需要通过GRE封装成IP报文，则格式如图3所示。对应于图2中传输协议报头20部分的是传输协议80，其中装载的是IP报头；运载协议或封装协议81中装载的是GRE标志，对应图2中GRE封装协议头21部分；最后的乘客协议82部分运载的是IPX数据包，相当于图2中的净荷22。

当封装好的Tunnel报文经过因特网12到达目的路由器13时，需要进行解封装的过程，此过程和加封装的过程相反。路由器13从Tunnel接口收到的IP报文，通过检查目的地址，当发现目的地就是此路由器时，系统剥掉此报文的IP报头，交给GRE协议模块处理，具体的说要进行检验密钥、检查校验和及报文的序列号等处理；GRE协议模块完成相应的处理后，剥掉GRE报头，再交由IPX协议模块处理，IPX协议模块象对待一般数据报一样对此数据报进行处理。最后经路由器13与内部网14相连的接口转发进去。

由以上的描述可以看出，从内部网10发出的IPX数据报传到内部网14时，丝毫没有受到中间转换网络层协议的影响，通过隧道15连接起来的两个内部网就象一个私有专用内部网络，这就是GRE实现VPN业务的一种形式。需要说明的是，GRE的隧道不但可以携带第三层的IPX协议，还可以携带IP协议，使采用私有IP地址的内部网络之间也可以通过公网相连形成一个大的私有专用网络。

目前，一种实现方式是直接采用GRE的技术方案，封装第三层即网络协议层的IP或者IPX报文，格式如图3所示，VPN在第三层上实现。

另一种实现方式是，如果必须在第二层即数据链路层上实现VPN，那么必须采用层2管道协议(Layer 2 Tunneling Protocol，简称“L2TP”)或者多协议标签交换(Multiprotocol Label Switching，简称“MPLS”)技术。

具体的说，L2TP是一个国际标准隧道协议，它提供了对点到点协议(POINT TO POINT PROTOCOL，简称“PPP”)链路层数据包的通道(Tunnel)传输支持，将控制包和数据包合二为一并运行在用户数据报协议(UserDatagram Protocol，简称“UDP”)上，速度很快，允许二层链路端点和PPP会话点驻留在不同设备上并且采用包交换网络技术进行信息交互，从而扩展了PPP模型，可支持其通过公网透传。

基于MPLS提供二层VPN服务主要组成部分包括边缘标记交换路由器、标签分发协议(Label Distribution Protocol，简称“LDP”)和MPLS标记交换隧道(LSPTunnel)。边缘标记交换路由器拥有并维护与其直接相连的二层透传的链路信息，负责将VPN客户的普通数据包打上标记和去除标记，通过LDP建立的LSPTunnel连接VPN两端的边缘标记交换路由器，透传客户的数据包。

在实际应用中，上述两个方案存在以下问题：现有技术方案一中，客户网络设计复杂，成本高，维护难度大。具体的说，此方案只能提供第三层的VPN，而不能提供第二层的VPN。对于提供VPN业务的因特网服务提供商(Internet Service Provider，简称“ISP”)来说参与客户的三层运做会增加了VPN的维护复杂程度、延长了故障恢复的时间；而对于客户来说，建立三层VPN也增加了组网的复杂性和成本。

现有技术方案二中，VPN服务的实现对ISP的网络要求高。具体的说，L2TP只能对PPP协议进行VPN服务。而MPLS VPN要求ISP网络设备必须支持MPLS、开通MPLS、而且要覆盖提供VPN的地区，同时满足这三点比较困难。

造成这种情况的主要原因在于，对于现有技术方案一，由背景介绍可知，直接采用GRE协议只能封装第三层的报文，传输第三层的报文，不能传输第二层的报文，这是由GRE的封装结构最初制定协议的目的所决定的。

对于现有技术方案一，L2TP也因为只是在PPP模型上进行的扩展，所以只支持PPP协议建立的VPN，对于目前大量采用IPX协议或者IP协议以及其他内部网协议建立VPN将无能为力。而MPLS VPN虽然比较灵活，既可以建立二层VPN，也可以是三层VPN，并同时支持较多的内部网协议，但是受制于MPLS网络的硬件条件，必须在MPLS网络设备完善的情况下才能运行。

发明内容

有鉴于此，本发明的主要目的在于提供一种二层报文传输方法，使得客户网络设计更加简单、成本和维护难度降低，并且对网络设备的要求也相对降低。

为实现上述目的，本发明提供了一种二层报文传输方法，包含以下步骤：

A第一网络设备对需要传输到第二网络设备的二层报文进行GRE封装；

B对所述GRE封装后的报文进行IP封装，并转发给所述第二网络设备；

C所述第二网络设备对收到的所述报文进行IP解封装；

D对所述IP解封装后的报文进行GRE解封装，获取所述二层报文。

其中，所述第一和第二网络设备是VPN中的路由器，并且，

所述方法还包含以下步骤：

E所述第一网络设备根据所述二层报文的目的地址，判断该二层报文是否需要传输到VPN的其他站点，如果是，则执行所述步骤A。

所述二层报文是以太网报文。

所述步骤B还包含以下子步骤：

B1在进行所述IP封装时，指定报文转发优先级。

所述步骤A中的GRE封装在所述第一网络设备的GRE协议模块实现；

所述步骤D中的GRE解封装在所述第二网络设备的GRE协议模块实现。

所述步骤D中的GRE解封装还包含以下子步骤：

D1校验密钥、检查校验和以及报文的序列号。

通过比较可以发现，本发明的技术方案与现有技术的区别在于，通过扩展GRE协议，使得网络设备可对二层报文进行GRE封装，生成GRE分组，再对GRE分组进行IP封装，并设定转发优先级，生成可以在IP层上传输的IP报文，后由隧道传输，并在IP报文经隧道到达目的路由器后，先剥去报文的IP报文头，再进行GRE解封装操作，得到初始二层报文，再由路由器的相应端口发送出去。

这种技术方案上的区别，带来了较为明显的有益效果，即网络设计简单了，维护更加方便，成本得到有效控制。另外，也不在需要同时满足ISP网络设备支持MPLS、开通MPLS、而且要覆盖提供VPN的地区这些对网络设备的复杂的要求。

附图说明

图1是现有技术中IPX网络通过GRE隧道互连示意图；

图2是现有技术中封装好的Tunnel报文一般格式示意图；

图3是现有技术中Tunnel中传输IPX报文时的封装格式示意图；

图4是扩展到二层的GRE协议对二层报文的封装过程；

图5是扩展到二层的GRE协议对二层报文的解封装过程；

图6是一个虚拟私有网使用扩展到二层GRE协议传输以太网二层报文的示意图；

图7是一个以太网的二层报文经过GRE封装和IP封装后的形成的IP报文。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

总的来说，本发明的原理在于，对GRE协议进行扩展，使其支持对二层报文的封装。也就是说，网络设备，即路由器，可以用扩展后的GRE协议，对需要经隧道传输到其他站点的二层报文进行GRE封装，生成GRE分组，再对GRE分组进行IP封装，并设定转发优先级，生成可以在IP层上传输的IP报文，后由隧道传输；IP报文经隧道后到达目的路由器，先剥去报文的IP报文头，再进行GRE解封装操作，得到初始二层报文，再由路由器的相应端口发送出去。由此，可以进行多种网络协议的二层报文传输，实现诸如二层VPN的技术，并可以简化网络结构，降低组网成本和维护成本。

根据本发明的原理，需要对原来只用于第三层网络的GRE协议进行扩展，以实现对二层报文的传输处理。熟悉本领域的人都应该知道，二层报文包括以太网报文，虚拟局域网报文，即美国电气电子工程师学会(Institute ofElectrical and Electronics Engineers，简称″IEEE″)802.1Q协议报文，苹果公司开发的AppleTalk协议二层报文以及其他网络协议的二层报文等。具体来说，GRE对二层报文的传输处理包括封装和解封装两部分，流程分别如图4和图5所示。

参照图4，GRE封装过程包括如下步骤：

首先在步骤100中，网络设备从其相应的端口中接收二层报文。需要说明的是，在本实施例中，这里的网络设备是指源路由器。

接着在步骤101中，源路由器根据接收到的二层报文的目的地址判断该报文是否需要进行隧道转发，如果在源路由器的路由表中目的地址所在的网段对应的下一跳地址是需要经过隧道传输才能到达，则判定为″是″，并执行步骤102，否则执行步骤105；

在步骤105，源路由器只需按照二层报文的目的地址向本网段或者路由表中下一跳不需要经过隧道的路由器发送，此后返回步骤100。

在步骤102，由源路由器的隧道端口对此报文进行GRE封装，在二层报文上加上GRE报文头，形成一个GRE分组。熟悉本领域的技术人员知道，GRE报文头主要包括协议类型，即乘客协议类型，校验和字段，密钥字段，序列号字段，偏移量字段和路由字段。

在步骤102的GRE封装后，进入步骤103，由IP处理模块对GRE分组进行IP封装，即在GRE分组上加上IP报文头，指定报文的转发优先级。可见，此步骤生成IP报文。

最后，在步骤104中，由源路由器将封装完的IP报文从相应的端口发送到隧道中传输。

上面对本发明中的GRE封装过程进行了描述，接下来进一步说明GRE解封装过程。

如图5所示，首先在步骤200中，IP报文通过隧道到达一个路由器，值得注意的是，这个路由器可能是一个中间路由器，不一定是最终的目的路由器，路由器根据IP报文头中的协议类型字段值确定此IP报文的数据部分为一个GRE分组，需要说明的是，以IP协议作为传输协议对GRE协议分组进行IP封装时，IP报文头的协议类型字段值为47。

接着在步骤201中，路由器检查IP报文中的目的IP地址是否与路由器本身的IP地址一致，如果是，则说明此路由器即为目的路由器，执行步骤202，否则，说明此路由器不是目的路由器，转向步骤205。

在步骤205，路由器根据IP报文目的地址和路由表选择路由，将报文发送到下一跳路由器中。

在步骤202中，由目的路由器的IP处理模块对此IP报文进行IP解封装，去掉IP报文头。

接着，在步骤203中，目的路由器对IP解封装的报文进行GRE解封装，GRE解封装过程在路由器的隧道端口进行，包括密钥字段，校验和字段及序列号字段的相应检查和处理，移去GRE报文头，封装到GRE分组中的二层报文被还原。

最后进入步骤204，根据二层报文的目的地址由路由器转发给客户网络。

上面对根据本发明的二层报文传输方法的过程进行了说明。为了更详细地说明扩展到二层GRE协议的应用，下面以一个通过因特网连接的两个以太网而形成的虚拟私有网(Virtual Private Network，简称″VPN″)为例，介绍扩展的GRE协议对以太网二层报文的封装和解封装处理。

如图6所示，VPN3由分布在两处的以太网30，34、路由器31，32，以及分别通过路由器31和32，与以太网30，34连接的因特网组成。路由器31，32间的虚线表示VPN的隧道35连接。为说明方便，假设以太网30，34使用网络地址为：192.168.1.0和192.168.2.0，熟悉本领域的人都知道，这两个地址是指私有网络IP地址，使用VPN技术可以使这两个以太网成为同一个网络，如同专用网一样。而路由器31，33需要连接因特网，所以其连接因特网的端口必须使用全球有效的IP地址，不妨设路由器31，33的有效IP地址分别为128.10.1.1和128.10.2.1。

在本实施例中，GRE协议对二层报文的处理实际上就是用扩展的GRE协议对以太网报文进行封装，使其可以在另一个网络协议层——IP层中传输，传输到目的地后再对其解封装。下面结合图6介绍GRE封装和解封装的过程。

1.封装过程

首先路由器31从连接以太网30的端口接收来自以太网30的二层报文300，并检查报文的目的地址以决定是否需要进行隧道转发，假设二层报文300的目的地址是192.168.1.X，需要指出的是，X表示目的地址的最后一个8位字段值，根据IP地址的规定，宿主机的IP地址各个位不能都为0或者都为1，所以X的范围是1到254间的整数值，说明报文目的地址在以太网30内，通过查找路由表可知只需直达发送；如果二层报文300的目的地址是192.168.2.Y，与X一样，Y的取值范围是1到254的整数值，说明报文目的地址在以太网34内，通过查找路由表，报文需要通过隧道转发。

对于需要隧道发送的报文，路由器31将报文发给路由器的隧道端口，由扩展GRE协议模块对二层报文300进行GRE封装，即在原来报文基础上加上GRE报文头，形成GRE分组。

接着，GRE分组由路由器的IP模块进行IP封装，生成IP报文301，IP报文头的IP地址应为128.10.2.1，并需要指定IP报文转发的优先级，后通过隧道发送IP报文301，生成的IP报文301的帧格形式如图7所示，可见，IP报文由IP报文头40，GRE报文头41和以太网净荷42组成。

2.解封装过程

路由器33从连接以太网32的隧道端口中接收IP报文301，通过IP报文头的协议类型字段值判断此并检查报文的数据部分为GRE分组，并检查IP报文头的目的IP地址，如果报文的目的IP地址不是128.10.2.1，则此路由器33不是此报文的目的地，故将其转发给下一跳路由器，如果IP报文的目的IP地址是128.10.2.1，则此路由器是此报文的目的地，需要对其进行解封装处理。

对于需要解封装处理的IP报文，则由路由器33系统的IP处理模块剥去其IP报文头，得到GRE分组，后将GRE分组交由GRE协议模块处理。

GRE协议模块对GRE分组进行检验密钥、检查校验和以及报文的序列号等，去掉GRE报文头，得到以太网的二层报文302，再由路由器33根据二层报文302的目的地址，通过连接以太网34的端口发送出去。

虽然通过参照本发明的某些优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (6)

1.一种二层报文传输方法，其特征在于，包含以下步骤：

A第一网络设备对需要传输到第二网络设备的二层报文进行通用路由封装；

B对所述通用路由封装后的报文进行IP封装，并转发给所述第二网络设备；

C所述第二网络设备对收到的所述报文进行IP解封装；

D对所述IP解封装后的报文进行通用路由封装解封装，获取所述二层报文。

2.根据权利要求1所述的二层报文传输方法，其特征在于，所述第一和第二网络设备是虚拟专用网中的路由器，并且，

所述方法还包含以下步骤：

E所述第一网络设备根据所述二层报文的目的地址，判断该二层报文是否需要传输到虚拟专用网的其他站点，如果是，则执行所述步骤A。

3.根据权利要求2所述的二层报文传输方法，其特征在于，所述二层报文是以太网报文。

4.根据权利要求1至3中任一项所述的二层报文传输方法，其特征在于，所述步骤B还包含以下子步骤：

B1在进行所述IP封装时，指定报文转发优先级。

5.根据权利要求4所述的二层报文传输方法，其特征在于，所述步骤A中的通用路由封装在所述第一网络设备的通用路由封装协议模块实现；

所述步骤D中的通用路由封装解封装在所述第二网络设备的通用路由封装协议模块实现。

6.根据权利要求5所述的二层报文传输方法，其特征在于，所述步骤D中的通用路由封装解封装还包含以下子步骤：

D1校验密钥、检查校验和以及报文的序列号。

Images