CN1829195B - 分组转发装置 - Google Patents

Abstract

一种BAS/负载均衡器，结合了以下功能：BAS(宽带接入服务器)，用于提供与用户网络的动态网络连接的；和负载均衡，用于将用户网络的通信业务中继到多个负载均衡目标装置之一，并且该负载均衡可以应用任意的负载均衡算法。当本发明的BAS/负载均衡器在用户网络之间建立动态连接时，该均衡器使用任意的负载均衡算法为用户网络中的发送和接收通信业务确定作为中继目的地的负载均衡目标装置。

Description

分组转发装置

优先权要求

本申请要求2005年3月2日提交的日本申请JP 2005-056777的优先权，因此将其内容引入本申请中作为参考。

技术领域

本发明涉及一种路由器，尤其是一种安装在接入网络中的路由器，涉及一种为路由器提供通信业务(communication traffic)负载均衡中继功能的方法，以及涉及一种具有负载均衡中继功能的路由器。

背景技术

在网络中，如果在一台主机和另一台主机之间进行通信，各种处理都将在诸如服务器、客户终端这样的这些终端主机和位于它们中间的诸如路由器或防火墙这样的通信中继装置上执行。每个处理负载随着待处理总业务量以及该处理本身的复杂性而各不相同。因此，一些处理将对系统造成很大的负载，并可能产生影响终端主机间通信性能的瓶颈。

在一种负载均衡中继技术中，通过提供执行相同处理的多个装置、并将通信业务分布到那些装置上，避免或减轻了对系统性能的影响。

根据应用，负载均衡中继技术可以是诸如服务器这样的终端主机负载均衡或者诸如防火墙这样的通信中继装置负载均衡。第一种终端主机负载均衡技术是使用负载均衡器(负载均衡中继装置)的方法，或使用DNS(域名系统)服务器的方法。第二种通信中继装置负载均衡技术是使用诸如终端主机所使用的负载均衡器的方法，或者使用执行负载均衡处理的装置的自主负载均衡功能的方法。

当业务从某个接口到达时，负载均衡器具有选择使用预定算法并执行负载均衡处理的多个装置之一的功能，并将业务中继到该装置。该预定算法(负载均衡算法)可以基于诸如发送者IP(网际协议)地址或目的地IP地址这样的头部信息来计算哈希值以确定中继装置，该算法可以通过循环算法确定该中继装置，或者该算法可以选取负载最小(或主机数量或数据流数量最小)的中继装置作为负载均衡目标装置。

在使用负载均衡器的终端主机的负载均衡中，负载均衡目标装置(在本例中，是诸如服务器这样的终端主机)位于通信业务终端。因此，该负载均衡器仅位于负载均衡目标装置和与其通信的终端主机之间的路线上。只有从终端主机到负载均衡目标装置的通信业务才进行负载均衡中继处理。另一方面，从负载均衡目标装置到终端主机的通信业务只被中继到该终端主机的接口。因此，负载均衡器所使用的负载均衡算法可以哈希算法、循环算法、负载均衡目标装置的负载或分配数据流的数量。

通常，在面向终端主机负载均衡的负载均衡目标装置中，运行特定应用的服务器软件。如果这一应用带有用户认证，则负载均衡目标装置将获取通信业务和客户端用户数据之间的对应(correspondence)。此外，负载均衡目标装置和负载均衡器通常由同一管理员管理和操作。由于这一原因，也可以使用特殊负载均衡器为每个用户提供不同的服务(例如，这里作为专利文档1引用的JA-ANO.152783/2003)。专利文档1描述了一种负载均衡器，可以通过确定SSL(安全套接层)会话标识符所对应的优先权，并将其传输到负载均衡器，来为每个用户提供不同的服务。

在使用负载均衡器的通信中继装置的负载均衡的情况下，负载均衡目标装置(在本例中，诸如防火墙这样的通信中继装置)位于通信业务的中间，而不是在通信业务的两端。因此，负载均衡器位于负载均衡目标装置的两端，到达网络端的负载均衡器的通信业务被负载均衡器从一个诸如公司中的网络这样的网络，中继到多个负载均衡目标装置之一。然后该业务通过负载均衡目标装置和另一个负载均衡器被中继到诸如互联网这样的另一个网络。反方向的业务也是这样。

许多负载均衡目标装置，为了在装置中正确执行处理，需要相同的终端主机之间的通信在输出和输入两个方向通过相同的负载均衡目标装置。因此，负载均衡目标装置两端的负载均衡器使用下面两种技术之一，通过相同的负载均衡目标装置中继输入和输出两个方向的通信业务。

(1)如果目的地IP地址和发送者IP地址的组合相同，通常使用诸如哈希算法这样的负载均衡算法，可以唯一地确定同一中继目的地装置。

(2)一个负载均衡器观察由另一个负载均衡器通过负载均衡中继发送的分组，存储发送者和目的地IP地址的组合及其传输所经过的负载均衡目标装置，并且如果分组来自相反的方向，基于该信息确定中继目的地装置。

在使用负载均衡目标装置的自主负载均衡功能的通信中继装置的负载均衡的情况下，负载均衡目标装置接收通信业务，并且该装置确定是否要处理该业务。只有确定要处理该业务的装置，才处理并中继该业务，而其它装置则丢弃该业务。每个装置确定它是否要处理该业务，因此，如(1)中使用负载均衡器时，即使负载均衡算法独立地执行计算，也仅限于总能给出有意义的结果的算法(哈希算法等)。

在通信中继装置的负载均衡中，负载均衡器和负载均衡目标装置位于通信业务的正中央。通常，在该通信的正中央，获得通信业务和终端主机用户之间的对应的信息只包括IP地址。因此，除了为用户主机分配了固定IP地址，并且负载均衡器的管理员知道该分配的情况外，负载均衡器不可能执行为每个用户提供不同服务的处理。

另一方面，ISP(互联网服务提供商)从用户主机接收互联网接入请求，并且执行用户认证。为了提供连接，使用一种叫做BAS(宽带接入服务器)的装置。BAS通常位于在ISP(或者提供用户和ISP之间的电路的接入线路合同商)的第3层分组中继装置(路由器)中最接近于用户的位置上。BAS在每个用户的第2层会话或IP地址和包括用户标识符的用户相关信息之间有一个对应关系，其中所述第2层会话是通过PPP(点对点协议)或VLAN(虚拟局域网)进行的，所述IP地址是通过PPP或DHCP(动态主机配置协议)为用户动态分配的。因此，尽管BAS是位于用户主机和互联网上的服务器之间正中央的装置，它也是一个可以对通信业务和用户数据之间做出对应的装置。因此，可以认为通过使用BAS，ISP可以为每个用户提供不同等级的服务，例如通过防火墙提供安全服务。

在本说明书中，“第2层”是指OSI(开放系统互联)参考模型的数据链路层。“第3层”是指OSI参考模型的网络层。在本发明中，假设IP(IPv4或IPv6)用于第3层协议。

如果试图使用诸如BAS和防火墙这样的安全装置来为用户提供安全服务，BAS和安全装置之间不同的分组中继性能将是一个问题。例如，现在的BAS中继性能，即使是低性能模型也是1吉比特/秒，但是对于可以检测分组的TCP(传输控制协议)/UDP(用户数据报协议)有效负载的高效防火墙，即使是高性能模型也具有每秒大约500兆比特的上限。可以进一步预测由于诸如网络转发性能的改进、终端主机处理性能的改进和攻击技术的改进这样的因素，同时随着诸如BAS或路由器这样的不提供高级安全功能的通信中继装置的中继性能的改进，诸如防火墙这样的高级安全装置将变得更加复杂。因此将来BAS、路由器和安全装置之间的中继性能差距将更大。

在这样的条件下，为了在BAS下获得能够为大多数用户提供安全服务的安全处理性能，安全装置的负载均衡是十分有效的。

但是，在使用现有技术的负载均衡中，必需提供一个独立于BAS或负载均衡目标装置(安全装置)的负载均衡器，或者负载均衡目标装置需要具有自主负载均衡功能。在前一种方法中，财务成本可能增长并且由于引入了负载均衡器可能影响分组转发性能。此外，在上述(1)的情况下，负载均衡算法仅限于哈希算法等，所以可能不能达到管理员所需要的负载均衡性能。在上述(2)的情况下，另一端的负载均衡器需要监控通过一个负载均衡器传递的分组，所以分组转发性能可能进一步降低。对于后一种自主负载均衡功能，具有该功能的负载均衡目标装置将十分昂贵而且负载均衡算法的限制也和(1)中一样。

通常，在BAS下为用户主机动态分配IP地址，而通常的负载均衡器和具有自主负载均衡功能的负载均衡目标装置都不能从其他服务器动态获得用户数据。因此，这些装置不能基于用户数据确定分布的目的地，而且不能为每个用户提供不同的服务。

因此需要位于BAS的位置的诸如防火墙这样的通信中继装置执行负载均衡，以提供一种成本低廉、提供高转发性能并且使用任意负载均衡算法的负载均衡中继方法，以及提供一种与其兼容的BAS/负载均衡器。进一步需要在BAS动态分配用户主机第2层会话和IP地址的情况下，提供一种可以为每个用户应用不同的负载均衡中继处理的负载均衡中继方法，以及一种与其兼容的BAS/负载均衡器。

发明内容

在本发明中，位于负载均衡目标装置两端的负载均衡功能在与BAS相同的装置中。当用户主机的第2层会话被激活或者为用户主机分配IP地址时，在从用户主机到ISP或者从ISP或互联网到用户主机的业务方向上，使用任意的负载均衡算法同时确定业务将要被中继到的负载均衡目标装置。对于来自用户主机的通信业务，该中继目的地信息是用户主机的第2层会话标识符或IP地址(或IP地址前缀)与中继目的地的接口标识符或IP地址(或第2层地址)之间的对应。对于来自ISP的通信业务，该中继目的地信息是用户主机的IP地址(或IP地址前缀)与中继目的地的接口标识符或IP地址(或第2层地址)之间的对应。

当本发明的BAS/负载均衡器从用户主机向ISP或互联网中继分组时，使用到达的分组的第2层会话标识符或分组的发送者IP地址以及上述中继目的地信息，确定业务将要被中继到的负载均衡目标装置。然后将分组中继到该负载均衡目标装置。当从ISP向用户主机中继分组时，使用所传送分组的目的地IP地址以及上述中继目的地信息，确定中继目的地的负载均衡目标装置。然后将分组中继到该负载均衡目标装置。通过上述处理，本发明的BAS/负载均衡器将来自于用户主机或ISP的分组中继到负载均衡目标装置。本发明的BAS/负载均衡器象普通的BAS一样中继来自于负载均衡目标装置的分组。

在本发明中，为了允许为每个用户应用不同的负载均衡处理，为用户和负载均衡器匹配了服务等级标识符。当本发明的BAS/负载均衡器执行用户认证时，该BAS/负载均衡器从外部认证服务器或内部设置获得该用户所对应的服务等级标识符。将该服务等级标识符与预先为每个负载均衡目标装置分配的服务等级标识符进行比较，只有那些匹配的负载均衡目标装置才能作为中继目的地候选。从这些中继目的地候选中，使用任意的负载均衡算法确定中继目的地的负载均衡目标装置。由于上述处理，用户主机的通信业务只通过其等级与该用户的服务等级相匹配的负载均衡目标装置传递。如果有多个负载均衡目标装置具有与用户相同的服务等级，可以使用任意的负载均衡算法从它们中选择一个中继目的地装置。

因此，根据本发明，当用户主机的第2层会话被激活或IP地址被分配时，同时确定了在输出和输入两个方向的业务上用户和负载均衡目标装置之间的对应。因此，负载均衡算法可以使用任意的算法，而且很容易获得管理员所要求的负载均衡性能。此外，根据本发明，BAS和负载均衡器合二为一，当从用户主机向负载均衡目标装置中继通信业务时，使用用户主机的第2层会话标识符来确定中继目的地。这不仅对于装置本身的成本或装置管理成本有优势，而且与分别提供BAS和负载均衡器的情况相比，可以预期获得更好的分组转发性能。此外，负载均衡目标装置不需要具有诸如自主负载均衡功能这样的特殊功能。

在本发明中，负载均衡中继目的地的选择仅限于为用户数据和负载均衡目标装置都分配服务等级标识符的负载均衡目标装置，其中用户数据和服务等级标识符相匹配。由于该原因，即使分配给用户主机的第2层会话标识符和IP地址动态改变，也可以为每个用户提供不同的服务等级，且仍然可以执行负载均衡中继处理。

附图简述

通过结合附图阅读下面对本发明的优选实施例的详细描述，将有助于理解本发明，附图中相同的数字表示相同或相应的部分：

图1是示出根据本发明的一个方面的网络配置以及本发明的通信装置的虚拟内部配置的图；

图2是示出根据本发明的一个方面的本发明的通信装置的内部处理体系结构的图；

图3是示出根据本发明的一个方面的IP分组转发表的图；

图4是示出根据本发明的一个方面的会话管理表的图；

图5是示出根据本发明的一个方面的接口表的图；

图6是示出根据本发明的一个方面的负载均衡目标候选表的图；

图7是示出根据本发明的一个方面的负载均衡转发表的图；

图8是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图；

图9是示出根据本发明的一个方面的负载均衡转发表的条目删除处理流程的图；

图10是示出根据本发明的一个方面的通信装置的分组转发处理流程的图；

图11是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置接收收件方为ISP网络或外网中的主机的IP分组、并将其中继到ISP网络时；

图12是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从ISP网络接收收件方为用户网络中的主机的IP分组、并将其中继到用户网络时；

图13是示出根据本发明的一个方面的网络配置和通信装置的虚拟内部配置的图；

图14是示出根据本发明的一个方面的IP分组转发表的图；

图15是示出根据本发明的一个方面的接口表的图；

图16是示出根据本发明的一个方面的负载均衡目标候选表的图；

图17是示出根据本发明的一个方面的负载均衡转发表的图；

图18是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图；

图19是示出根据本发明的一个方面的通信装置的分组转发处理流程的图；

图20是示出根据本发明的一个方面的通信装置的分组转发处理中由虚拟第2层负载均衡器执行的部分处理流程的图；

图21是示出根据本发明的一个方面的网络配置和在该方面上本发明的通信装置的虚拟内部配置的图；

图22是示出根据本发明的一个方面的会话管理表的图；

图23是示出根据本发明的一个方面的负载均衡目标候选表的图；

图24是示出根据本发明的一个方面的负载均衡转发表的图；

图25是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图；

图26是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从用户网络接收ISP网络内部或收件方为互联网中的主机的IP分组、并将其中继到ISP网络时；

图27是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从ISP网络接收收件方为用户网络中主机的IP分组、并将其中继到用户网络时；

图28是示出根据本发明的一个方面的网络配置和本发明的通信装置的虚拟内部配置的图。

具体实施方式

应当理解的是，本发明的附图和描述已经被简化，以说明与清楚理解本发明相关的部件，同时，为了达到描述清楚的目的，删去了分组转发装置和方法以及与分组相关的硬件中许多其它部件。本领域技术人员明白在本发明的实现中也期望和/或需要有一些其它部件和/或步骤。但是，由于这些部件和步骤是本领域中公知的，而且由于它们并不有助于更好地理解本发明，所以这里没有讨论这样的部件和步骤。这里所公开的，专注于对本领域技术人员所公知的这样的部件和方法的所有这样的变化和修改。

图1是示出根据本发明的一个方面的网络配置和通信装置的虚拟内部配置的图。在该方面，本发明的BAS/负载均衡器100位于用户网络130和ISP网络120之间。在该方面中假设提供将用户连到互联网的服务，所以ISP网络120连到了互联网140。但是，本发明中为用户提供的网络连接服务并不必须是到互联网的连接服务。例如，它可以是VPN(虚拟专用网)服务，该VPN服务提供一种虚拟封闭网络，即通常所说的专用网络，并将多个用户网络互连。

本发明的BAS/负载均衡器100通过逻辑的或物理的连接连到ISP网络边缘路由器(edge router)121。在该方面中，假设本发明的BAS/负载均衡器100位于与ISP网络120不同的接入线路合同商所拥有的网络中，而ISP网络边缘路由器121位于ISP网络内部。但是，不管接入线路合同商和ISP之间的系统边界在哪里，都可以应用本发明。换句话说，ISP网络边缘路由器121可以位于ISP网络120外部，或者本发明的BAS/负载均衡器100和ISP网络边缘路由器121可以都位于ISP网络120内部。

本发明的BAS/负载均衡器100响应来自每个用户网络130中的内部路由器(home router)132或用户主机133的网络连接请求，在这些内部路由器132或用户主机133之间建立网络连接。当该网络连接建立处理完成时，用户主机133和内部路由器132所位于的用户网络中的用户主机131就可以接收网络连接服务，例如ISP提供的互联网接入服务。

该网络连接建立处理包括以下一个或两个步骤：BAS/负载均衡器100和内部路由器132或用户主机133(第2层逻辑电路)之间第2层会话的动态建立，以及对内部路由器132或用户主机133的IP地址的动态分配。例如，当连接BAS/负载均衡器100和内部路由器132或用户主机133的第2层会话使用PPP时，第2层会话动态建立和IP地址动态分配两者一般都执行。

通常，BAS/负载均衡器100执行用户认证处理，以确定是否应当为用户提供网络连接。特别地，在从内部路由器132或用户主机133接收到网络连接请求时执行用户认证处理。作为认证处理的结果，当明确了应当允许用户连接时，执行网络连接建立处理。根据本发明的一个方面，执行该用户认证处理并不是绝对必需的。根据后面描述的本发明的一个方面，必需执行该认证处理。

当执行用户认证处理时，认证服务器122通常持有用于执行用户认证处理的用户数据。当本发明的BAS/负载均衡器100执行用户认证处理时，它将从内部路由器132或用户主机133接收的用户认证信息，例如用户名和密码，发送到该认证服务器122。然后认证服务器返回关于是否可以为该用户提供网络连接的许可信息，如有必要，还有附加信息。当返回了应当为该用户提供网络连接的许可信息时，本发明的BAS/负载均衡器100执行网络连接建立处理。

为了在本发明的BAS/负载均衡器100和认证服务器122之间发送和接收认证/许可信息或附加信息，可以应用普遍使用的认证协议RADIUS(远程认证拨号用户服务)。但是，本发明不仅限于这种认证协议。根据本发明的一个方面，假设认证服务器122位于ISP网络120内部。但是，在本发明的实施中，只要认证服务器122位于可以与本发明的BAS/负载均衡器100通信的位置，该认证服务器122可以位于任何位置，而且还可以在本发明的BAS/负载均衡器100中集成与认证服务器122等价的功能。

在根据本发明的一个方面的BAS/负载均衡器100中，有两个虚拟路由器，例如虚拟BAS/负载均衡器101和虚拟负载均衡器102。对于从本发明的BAS/负载均衡器100外部可见的操作(管理员建立的网络配置、分组I/O)，每个虚拟路由器象独立的路由器一样运行。但是，对于下文讨论的装置的内部处理体系结构，不必每个虚拟路由器都是独立的。此后，虚拟路由器将被称为VR，虚拟BAS/负载均衡器V-BAS将被称为虚拟BAS，而虚拟负载均衡器将被称为V-LB。

在网络体系结构中，V-BAS 101位于BAS/负载均衡器100中靠近用户网络130的一端。另一方面，V-LB 102位于BAS/负载均衡器100中靠近ISP网络120的一端。V-BAS 101和V-LB 102通过BAS/负载均衡器100内部提供的虚拟线路互连。如下面讨论的，在该装置的内部体系结构中不是实际必需提供该虚拟线路。

V-BAS 101从用户接收网络连接请求，如有需要，将执行用户认证处理以建立网络连接。如果网络连接已建立，为用户的内部路由器132或用户主机133分配IP地址，并且这些装置和V-BAS 101将处于通过物理或逻辑电路连接的状态。V-BAS 101通过一条或更多物理或逻辑电路与多个负载均衡目标装置111连接。

在该方面中，V-BAS 101将从用户网络130到达的收件方为ISP网络120或互联网140的分组，中继到多个负载均衡目标装置111之一。在本发明的实施中，从用户网络130到达的分组可以被中继到多个负载均衡目标装置111之一、或者连到V-LB 102的虚拟线路之一。V-BAS 101将从多个负载均衡目标装置111之一或者连到V-LB 102的虚拟线路之一接收到的收件方为用户网络130的分组，中继到作为目的地的用户网络130。

V-LB 102通过一个或多个物理或逻辑电路与多个负载均衡目标装置111相连。在该方面中，V-LB 102将从ISP网络边缘路由器121到达的收件方为目的地用户网络130的分组，中继到多个负载均衡目标装置111之一。在本发明的实施中，从用户网络130到达的分组可以被中继到多个负载均衡目标装置111之一、或者连到V-BAS 101的虚拟线路之一。V-LB 102将从多个负载均衡目标装置111之一或者连到V-BAS 101的虚拟线路之一接收的收件方为ISP网络120或互联网140的分组，中继到ISP网络边缘路由器121。由于V-BAS 101和V-LB 102各自作为特殊的路由器运行，所以与普通路由器或BAS一样，为其各自的电路接口分配了IP地址。不仅对于ISP网络边缘路由器121所连接的电路接口是这样，而且对于用户网络130和负载均衡目标装置111所连接的电路接口，以及与V-BAS 101和V-LB102互连的虚拟线路的接口也都是这样。

对于提供了与用户网络130的第2层会话的电路接口，通常为V-BAS端分配一个IP地址用于多个第2层会话，但是本发明不仅可以应用于这种情况，而且可以应用于其它情况，例如为V-BAS端分配一个IP地址用于一个第2层会话的情况。在该方面的V-BAS 101中，为用户网络端所连接的多个第2层会话分配一个IP地址。

同样，与普通的路由器一样，即使执行分组转发，本发明的V-BAS 101和V-LB 102也可以包含不分配IP地址的电路接口(未编号的接口)。在这种情况下，如果用第2层地址或电路接口标识符代替下一跳IP地址来显示分组转发目的地，可以应用本发明。在该方面中，假设V-BAS 101和V-LB 102都没有未编号的接口。

在该方面中，为负载均衡目标装置111的V-BAS 101端电路接口和V-LB 102端电路接口分配各自不同的IP地址。当分组传递到这些电路接口之一时，负载均衡目标装置111执行适当的处理，比如诸如防火墙这样的装置通常进行的处理，然后该分组通过第3层(IP层)被中继到另一个电路接口。V-BAS 101和V-LB 102通过为负载均衡目标装置111分配的IP地址识别多个负载均衡目标装置111。当分组从V-BAS 101转发到负载均衡目标装置111时，假设分配给该负载均衡目标装置111的V-BAS 101端电路接口的IP地址是负载均衡中继目的地的下一跳IP地址。V-LB 102与此相同。在该方面中，IP地址被用于唯一地显示负载均衡中继目的地，所以多个负载均衡目标装置111可以连到V-BAS 101或V-LB 102的一个电路接口上。

即使在其中负载均衡目标装置111通过第2层中继分组的装置的情况下，比如在传输类防火墙的情况下，也可以使用该方面的BAS/负载均衡器100执行负载均衡中继。但是，在这种情况下，为了唯一地显示负载均衡中继目的地，V-BAS 101使用分配给V-LB 102的电路接口的IP地址，而V-LB 102使用分配给V-BAS 101的电路接口的IP地址。作为选择，可以用电路接口标识符代替下一跳IP地址。当负载均衡目标装置111执行第2层中继时，无论使用哪种方法来唯一地确定中继目的地的负载均衡目标装置111，一个负载均衡目标装置可以连到V-BAS 101或V-LB 102的一个电路接口上。

在上述网络体系结构中，V-BAS/负载均衡器100执行作为本发明特征的以下操作。BAS/负载均衡器100具有负载均衡转发表234。该负载均衡转发表234中的条目由V-BAS 101在执行处理以建立与用户网络130的内部路由器132或用户主机133的网络连接时创建。当执行处理以建立网络连接时，V-BAS 101使用任意的负载均衡算法，来确定作为在该用户网络130和ISP网络120之间移动的分组的负载均衡中继目的地的负载均衡目标装置111。该装置的V-BAS 101端电路接口的IP地址被作为V-BAS 101所使用的负载均衡中继目的地的下一跳IP地址。同样，该装置的V-LB 102端电路接口的IP地址被作为V-LB 102所使用的负载均衡中继目的地的下一跳IP地址。通过在本发明的BAS/负载均衡器100中提供负载均衡转发表234，可以创建分配给用户主机的IP地址或第2层会话标识符与中继目的地的负载均衡目标装置之间的链接。

因此，用户网络130和V-BAS 101之间的连接所使用的第2层会话标识符、V-BAS 101端的下一跳IP地址、分配给用户网络130的IP地址和V-LB 102端的下一跳IP地址被添加到负载均衡转发表234。在这四个项目中，也可以用分配给用户网络130的IP地址来代替用户网络130和V-BAS 101之间的连接所使用的第2层会话标识符。此外，还可以用分配给用户网络130的显示IP地址空间的IP地址前缀代替分配给用户网络130的IP地址。通过用IP地址(或IP地址前缀)代替第2层会话，本发明可以应用于这样一种网络体系结构，其中执行IP地址(或IP地址前缀)动态分配，而不是与内部路由器132或用户主机133建立单独的第2层会话。

当从用户网络130端接收到分组时，V-BAS 101查找负载均衡转发表234中与所接收的第2层会话或分组发送者的IP地址相匹配的条目。然后该分组被中继到匹配的条目的V-BAS 101端下一跳IP地址。当从ISP网络120接收到分组时，V-LB 102查找负载均衡转发表234中与分组的目的地IP地址相匹配的条目。然后该分组被中继到匹配的条目的V-LB 102端下一跳IP地址。由于V-BAS 101和V-LB 102使用相同的负载均衡转发表234转发分组，所以即使使用任意的负载均衡算法，输出和输入通信业务也可以被中继到相同的负载均衡目标装置111。

当与用户网络130的内部路由器132或用户主机133的网络连接断掉时，V-BAS 101从负载均衡转发表234中删除条目。当执行网络断开处理或检测到网络断开时，V-BAS 101删除负载均衡转发表234中与用户网络130和V-BAS 101之间的连接所使用的第2层会话标识符或分配给用户网络130的IP地址或IP地址前缀相匹配的条目。通过从负载均衡转发表234中删除与从网络中断开的用户相对应的条目，条目的数量保持最小，并且可以防止内存使用增大和分组转发速度降低。

图2是示出根据本发明的一个方面的本发明的通信装置的内部处理体系结构的图。

对于实施本发明，图2的内部处理体系结构不是必需的。如果对于用户发出的业务和收件方为用户的业务，用户通信业务的负载均衡中继目的地都被确定，则本发明是足够的。

根据本发明的一个方面，BAS/负载均衡器100的内部硬件包括：控制处理单元201、底板202和接口单元203。

在BAS/负载均衡器100中有一个或多个接口单元203。接口单元203有逻辑的或物理的电路接口，用于连到外部通信装置，例如内部路由器132、用户主机133、负载均衡目标装置111和ISP网络边缘路由器121。根据BAS/负载均衡器100的管理员所执行的设置，这些电路接口属于BAS/负载均衡器100中的VR之一。

当接口单元203的电路接口从外部通信装置收IP分组时，由该接口单元203运行的分组转发处理281来确定该分组的收件方是否是该电路接口的VR。如果该分组的收件方为该VR，分组转发处理281通过底板202将该分组转发到控制处理单元201。

如果该分组的收件方不是该VR，分组转发处理281确定该分组的输出电路接口。如果输出电路接口不属于该接口单元203，则分组转发处理281通过底板202将该分组转发到该输出电路接口的接口单元203。在该输出电路接口的接口单元203中运行的分组转发处理281将该分组输出到输出电路接口。

当分组转发处理器209执行存储在分组转发处理存储器208中的程序代码时，分组转发处理281执行上述处理。分组转发处理281所使用的信息包括存储在分组转发处理存储器208中的IP分组转发表232、负载均衡转发表234以及接口表235。

在接口表235中，记录了诸如对应的VR或分配给电路接口的IP地址等信息。分组转发处理281使用接口表235，以确定电路接口的VR并确定所接收的分组的收件方是否是该VR本身。

在IP分组转发表232中，记录了分组转发目的地条目，包括：VR、目的地IP地址前缀以及下一跳IP地址。分组转发处理281从IP分组转发表232中查找与从电路接口所接收的分组的目的地IP地址具有最大匹配、且匹配对应VR的分组转发目的地条目。然后处理281将分组输出到该条目中存储的下一跳IP地址以及输出电路接口。

负载均衡转发表234有四个条目，包括：用于用户网络130和V-BAS 101之间的连接的第2层会话标识符、V-BAS 101的下一跳地址、分配给用户网络130的IP地址(或IP地址前缀)以及V-LB 102的下一跳地址(或除了第2层会话标识符以外的三个条目)。当V-BAS101从用户网络130接收到分组时，分组转发处理281从负载均衡转发表234中查找所接收分组匹配的第2层会话标识符或匹配的发送者IP地址的条目。当V-LB 102从ISP网络120接收到分组时，从负载均衡转发表234中查找与分组的目的地IP地址相匹配的条目。分组转发处理281将分组输出到该条目中记录的下一跳IP地址以及输出电路接口。尽管V-BAS 101和V-LB 102使用相同的负载均衡转发表234传输分组时使用任意的负载均衡算法，但是输出和输入通信业务可以被中继到相同的负载均衡目标装置。

控制处理单元201具有正确创建接口单元203中的IP分组转发表232、负载均衡转发表234以及接口表235的功能。为了达到该目的，在控制处理单元201中执行IP路由处理264、会话控制处理263、接口管理处理268以及负载均衡配置处理265。

控制处理单元201中执行的IP路由处理264基于接口管理处理268执行的接口设置的结果、装置管理员执行的静态路由的结果以及使用路由协议的动态路由处理的结果，在控制处理单元201中创建IP分组转发表212。该IP分组转发表212中的所有项目和条目、或所需项目和条目都被映射到接口单元203中的IP分组转发表232中。

控制处理单元201中执行的会话控制处理263从内部路由器132或用户主机133接收网络连接请求，并且如有需要，执行用户身份认证处理。如果认证通过，为该用户执行网络连接建立处理。然后基于该网络连接建立处理的结果，在控制处理单元201中创建会话管理表211。

控制处理单元201中执行的接口管理处理268基于诸如对应的VR、由装置管理员为每个电路接口分配的IP地址和网络掩码、以及关于该电路接口是否活跃的硬件信息等设置，在控制处理单元201中创建接口表215。该接口表215中的所有项目和条目，或所需项目和条目都被映射到接口单元203中的接口表235中。

控制处理单元201中执行的负载均衡配置处理265基于装置管理员执行的负载均衡转发目标候选设置，创建负载均衡转发目标候选表213。该负载均衡转发目标候选设置包括分配给每个负载均衡目标装置的V-BAS 101端电路接口的IP地址和分配给V-LB 102端电路接口的IP地址的配对。负载均衡配置处理265使用其中两个IP地址正确匹配的负载均衡目标候选表213，在控制处理单元201的负载均衡转发表214中创建条目。使用负载均衡转发表，可以执行分组中继，输出和输入通信业务被传递到相同的负载均衡目标装置。

当会话控制处理263为一个用户执行网络连接建立处理时，负载均衡配置处理265使用任意的负载均衡算法从负载均衡目标候选表213选择一个条目。分配给该用户的负载均衡转发目的地被确定，并在控制处理单元201的负载均衡转发表214中创建一个条目。通过在控制处理单元201的负载均衡转发表214中创建对应于建立了网络连接的用户的条目，可以用各种条件确定负载均衡中继目的地，所述条件比如网络连接建立时分配给用户的第2层会话标识符和IP地址这样的标识符、执行用户身份认证处理时所需的认证/许可信息、以及网络连接建立时的动态网络状态改变(业务的负载分布是否均衡)。

对于一个用户，当会话控制处理263执行网络断开处理或检测到断开时，从控制处理单元201的负载均衡转发表214中删除对应于该用户的条目。通过从控制处理单元201的负载均衡转发表214中删除对应于网络连接断掉的用户的条目，条目的数量保持最小，并因此可以防止内存使用增大以及分组转发速率降低。

负载均衡配置处理265将该负载均衡转发表214的所有项目和条目，或所需的项目和条目，都映射到接口单元203中的负载均衡转发表234中。

在实施本发明的过程中，上述处理中所包括的装置管理员的设置可以通过所需的任何方法实现。该设置通常通过存储在控制处理单元201中的初始化数据或提供给控制处理单元201的用于装置设置的用户接口来执行。

当用于控制处理的处理器207执行由控制处理单元201中的主存储器206存储的程序代码时，执行上面所述的IP路由处理264、会话控制处理263、接口管理处理268和负载均衡配置处理265。控制处理单元201中的IP分组转发表212、会话管理表211、接口表215、负载均衡目标候选表213和负载均衡转发表214是由控制处理单元201中的主存储器206存储的。

在上述内部处理体系结构中，本发明所特有的特性是接口单元203中的负载均衡转发表234、涉及分组转发处理281中的负载均衡转发表234的处理单元、控制处理单元201中的负载均衡配置处理265、负载均衡转发表214和负载均衡目标候选表213。除了上述以外的内部体系结构和根据已有技术的普通路由器相同，或者至少是类似的。

图3是示出根据本发明的一个方面的IP分组转发表的图。该表的使用和组成与具有VR功能的普通路由器中的那些相同。

控制处理单元201的IP分组转发表212中的各行是分组目的地条目，表示所接收的IP分组的目的地IP地址、分组目的地的下一跳IP地址和输出电路接口之间的关系。

控制处理单元201的IP分组转发表212中的行包括五个项目：VR标识符301、目的地IP地址前缀302、路由类型303、下一跳IP地址304和输出接口或会话的标识符305。当然，还可以包括除此以外的项目。反过来，这些项目中的某些项目可以不包括在该表中，但是通过参考另一个表可以获得等价的信息。例如，可以从接口表215中查找在与下一跳IP地址304相同的子网中的电路接口，把找到的条目作为输出接口，来代替该IP分组转发表212中的输出接口或会话的标识符305。

VR标识符301表示IP分组转发表212的每行条目所属的VR。根据本发明的一个方面，为了示出该行的条目是否被V-BAS或V-LB使用，存储了一个VR标识符。当本发明的装置中有多个V-BAS和V-LB时，存储所分配的一个VR标识符以示出相关的V-BAS。

目的地IP地址前缀302表示每行条目所应用的目的地IP地址的范围。该目的地IP地址前缀302通常通过掩码长度和具有该值的有效比特长度的IP地址表示，但是也可以使用不同的表示方法，例如IP地址和掩码比特。当使用IP分组转发表212确定所接收分组的目的地时，使用VR和接收分组的电路接口所属的VR标识符301相匹配、以及分组的目的地IP地址与目的地IP地址前缀302具有最大匹配的条目，来确定转发目的地。

“与给定IP地址具有最大匹配的IP地址前缀”是指与该IP地址相匹配的具有最大掩码长度的IP地址前缀，因此例如，是指与该IP地址相匹配的IP地址前缀，其中前端的由掩码长度所表示的数目的比特相互匹配。

路由类型303是示出条目创建的起源的项目。当该VR的接口所属子网或直接连到该接口的主机的IP地址前缀的值与属于给定VR的条目的目的地IP地址前缀302相互匹配时，该条目的路由类型303的值是“直接连接”。对于未连到条目所属的VR的子网或者主机是目的地IP地址前缀302的条目，路由类型303的值是“非直接连接”。

“直接连接”条目在为VR的电路接口分配IP地址的同时被创建，或者当为V-BAS所覆盖的用户主机分配IP地址时被创建。“非直接连接”条目基于VR管理员进行的静态路由和通过路由协议的动态路由被创建。

当然，在实际的装置中，可以将“直接连接”和“非直接连接”进一步细分。例如，“直接连接”可以被分为静态电路接口的直接连接路径或动态接口的直接连接路径；而“非直接连接”可以被分为根据静态路由的路线和根据动态路由的路线。

下一跳IP地址304是示出当路由类型303的值为“非直接连接”时分组应当被中继到的主机的项目。BAS/负载均衡器100通过第2层电路将分组传输到由下一跳IP地址304所示出的IP地址的主机。在“直接连接”的情况下，由于可以通过第2层电路将分组直接传递到由分组的目的地IP地址所示出的主机，所以下一跳IP地址304是不必要的。

将分组输出到中继的电路接口的标识符被存储在输出接口或会话的标识符305中。当第2层会话连接用户主机时，存储该会话标识符。这里所说的第2层会话是指为每个用户独立提供的第2层电路。例如当使用PPPoA(ATM上的PPP)时，这是一条VC(虚拟通道)，是ATM的虚拟第2层电路。

接口单元203中的IP分组转发表232与控制处理单元201中的IP分组转发表212也基本相同。但是，不需要包括IP分组转发表212的所有内容。例如，BAS/负载均衡器100包括多个接口单元203，当只有一个接口属于V-BAS1时，接口单元203可以只有IP分组转发表212中与V-BAS1有关的232-A部分。这样，接口单元203中的IP分组转发表232所持有的条目数量保持最小，因此，可以防止内存使用增大和分组转发速率降低。

尽管在本说明书、包括图3中使用IPv4地址作为具体IP地址值的实例，本发明当然也可以使用IPv6地址。

图4是示出根据本发明的一个方面的会话管理表的图。该表的使用和组成与具有VR功能的普通BAS的那些相同。控制处理单元201中的会话管理表211的每一行是示出分配给每个用户主机的第2层会话或IP地址或IP地址前缀的条目。

控制处理单元201中的会话管理表211的序列包括4个项目：VR标识符401、接口标识符402、会话标识符403以及分配的IP地址前缀404。

当然，还可以包括除此以外的项目。相反的，这些项目中的某些项目可以不包括在这个表中，但是通过参考另一个表可以获得等价的信息。

VR标识符401表示IP分组转发表212的每行条目所属的VR。根据本发明的一个方面，存储V-BAS的VR标识符。当本发明的装置中有多个V-BAS时，存储所分配的一个VR标识符以示出其所属的V-BAS。

用户主机所连到的静态电路接口的标识符被存储在接口标识符402中。当为用户提供第2层会话时，存储第2层会话所属的静态电路接口的标识符。为用户提供的第2层会话的标识符存储在会话标识符403中。当不是为每个用户提供第2层会话时，例如当多个用户通过相同的第2层电路连接时，不使用该项目。分配给用户主机的IP地址或分配给用户网络的IP地址前缀被存储在分配的IP地址前缀404中。通常，当IP地址系统使用IPv4地址时，使用单个的IPv4地址，而当使用IPv6时，为用户分配单个的IPv6地址或IPv6地址前缀两者之一。本发明在两种情况下都可应用。

图5是示出根据本发明的一个方面的接口表的图。该接口表的使用和组成与具有VR功能的普通路由器的那些相同。控制处理单元201中的接口表215的每一行是示出电路接口和VR、分配给该电路接口的IP地址和掩码长度之间的匹配的条目。

控制处理单元201中的接口表215的行包括五个项目：VR标识符501、接口标识符502、接口的IP地址503、接口的网络掩码长度504、和虚拟线路标识符505。当然，还可以包括除此以外的项目。反过来，这些项目中的某些项目可以不包括在这个表中，但是通过参考另一个表可以获得等价的信息。VR标识符501表示接口表215的每一行的条目所属的VR。根据本发明的一个方面，存储V-BAS或V-LB的VR标识符。当本发明的装置中有多个V-BAS和V-LB时，为了示出其所属的V-BAS或V-LB，存储各自所分配的一个VR标识符。

接口标识符502表示接口表215的每行条目所对应的静态电路接口。分配给与接口表215的每行条目相对应的电路接口的IP地址被存储在接口的IP地址标识符503中。该电路接口所属的子网掩码长度被存储在接口的网络掩码长度504中。

虚拟线路标识符505是用于虚拟地提供本发明装置中多个VR之间连接电路的项目。认为在虚拟线路标识符505的该项目中存储相同值的多个条目通过虚拟线路连接。

为了实施本发明，需要用于连接同一装置中的V-BAS和V-LB的电路接口，并且可以使用任何方法实现。这些方法包括虚拟线路标识符505并且可以提供连接同一装置中的VR的其他方法，或者在装置外部提供的两个电路接口可以通过物理电路连接。

接口单元203中的接口表235与控制处理单元201中的接口表215类似。但是，不需要包括接口表215的所有内容。例如，BAS/负载均衡器100包括多个接口单元203，当它们中只有一个接口属于V-BAS1时，接口单元203可以只有接口表215中与V-BAS1有关的235-A部分。

图6是示出根据本发明的一个方面的负载均衡目标候选表的图。控制处理单元201中的负载均衡目标候选表213的每一行是示出从每个负载均衡装置的V-BAS看到的IP地址、和从V-LB看到的IP地址之间的匹配的条目。条目还表示与通过参考IP分组转发表获得的下一跳IP地址匹配的负载均衡目标装置候选。基于该候选，在建立到用户主机的网络连接时，V-BAS创建负载均衡转发表。基于装置管理员执行的负载均衡目标候选设置而设置该表中每一项目的值。

控制处理单元201中的负载均衡目标候选表213的各行包括六个项目：V-BAS端的VR标识符601、V-BAS端的下一跳IP地址602、从V-BAS的分组目的地IP地址603、V-LB端的VR标识符604、V-LB端的下一跳IP地址605、从V-LB的分组目的地IP地址606。当然，还可以包括除此以外的项目。

对每行的条目，V-BAS端的VR标识符601表示V-BAS端的下一跳IP地址602和从V-BAS的分组目的地IP地址603可以应用的V-BAS。

根据本发明的一个方面，V-BAS的VR标识符被存储在该项目中。当本发明的装置中有多个V-BAS时，为了示出其所应用的V-BAS，存储各自所分配的一个VR标识符。

V-BAS端的下一跳IP地址602示出该条目可以应用的下一跳IP地址。对由该V-BAS接收的分组，只有通过制定IP分组转发表获得的下一跳IP地址匹配该项目的值的条目，才是该分组的候选条目。作为负载均衡中继目的地的下一跳IP地址被存储在从V-BAS的分组目的地IP地址603中。

对每行的条目，V-LB端的VR标识符604表示V-LB端的下一跳IP地址605和从V-LB的分组目的地IP地址606可以应用的V-LB。

根据本发明的一个方面，V-LB的VR标识符被存储在该项目中。当本发明的装置中有多个V-LB时，为了示出其所应用的V-LB，存储各自所分配的一个VR标识符。

V-LB端的下一跳IP地址605示出该条目可以应用的下一跳IP地址。对由该V-LB接收的分组，只有通过制定IP分组转发表获得的下一跳IP地址匹配该项目的值的条目，才是该分组的候选条目。

被用作负载均衡中继目的地的下一跳IP地址被存储在从V-LB的分组目的地IP地址606中。

图7是示出根据本发明的一个方面的负载均衡转发表的图。

控制处理单元201中的负载均衡转发表214的每一行是与通过为由给定用户发送的或收件方为给定用户的IP分组制定IP分组转发表而获得的临时下一跳IP地址所对应的条目，而下一跳IP地址实际上被用作负载均衡中继目的地。当建立到用户主机的网络连接时，V-BAS基于负载均衡目标候选表213来创建该表。当用户网络连接建立时，通过在控制处理单元201中创建负载均衡转发表214，负载均衡中继目的地可以基于各种条件被确定，所述条件例如当建立网络连接时分配给用户的标识符(第2层会话标识符和IP地址)、在用户认证处理中获得的认证/许可信息、以及当建立网络连接时的动态网络状态改变(业务的负载分布是否均衡)。

控制处理单元201中的负载均衡转发表214的各行可以被粗略的分为两部分：V-BAS的负载均衡转发表701、和V-LB的负载均衡转发表702。V-BAS的负载均衡转发表701的各行包括五个项目：V-BAS端的VR标识符711、V-BAS端的临时下一跳IP地址712、来自用户的分组的输入会话标识符713、V-BAS端的新的下一跳IP地址714、和V-BAS端输出接口标识符715。V-LB的负载均衡转发表702的各行包括五个项目：V-LB端的VR标识符721、V-LB端的临时下一跳IP地址722、收件方为用户的分组的目的地IP地址前缀723、V-LB端的新的下一跳IP地址724、和V-LB端的输出接口标识符725。当然，还可以包括除此以外的项目。

对每行的条目，V-BAS端的VR标识符711表示V-BAS的负载均衡转发表701可以应用的V-BAS。根据本发明的一个方面，V-BAS的VR标识符被存储在该项目中。当本发明的装置中有多个V-BAS时，为了示出其所应用的V-BAS，存储各自所分配的一个VR标识符。

与负载均衡目标候选表213中V-BAS端的下一跳IP地址602相同的值被存储在V-BAS端的临时下一跳IP地址712中。

连到用户主机的每个用户的不同的第2层会话标识符被存储在来自用户的分组的输入会话标识符713中。如果接收的IP分组的V-BAS与V-BAS端的VR标识符711的值相匹配，通过制订IP分组转发表而获得的下一跳IP地址与V-BAS端的临时下一跳地址712的值相匹配，并且接收该分组的第2层会话与来自用户的分组的输入会话标识符713的值相匹配，那么使用该条目确定该分组的负载均衡中继目的地。

如果没有每个用户主机提供第2层会话且只执行IP地址动态分配，那么可以使用分配给用户主机的发送者IP地址前缀代替来自用户的分组的输入会话标识符713。但是，在这种情况下，必须注意IP分组的发送者IP地址的不正确命名。

下一跳IP地址、负载均衡中继目的地被存储在V-BAS端的新的下一跳IP地址714中。

在负载均衡中继过程中输出分组的电路接口的标识符被存储在V-BAS端的输出接口标识符715中。输出接口可以被从V-BAS端的新的下一跳IP地址714和接口表推断出来，而不在负载均衡转发表中提供该项目。

如果在V-BAS负载均衡转发表701中发现VR标识符、临时下一跳IP地址和输入会话标识符都匹配的条目，那么接收该IP分组的V-BAS使用该条目的V-BAS端的新的下一跳IP地址714和V-BAS端的输出接口标识符715的值来更改该分组下一跳和输出接口。

对每行的条目，V-LB端的VR标识符721表示V-LB负载均衡转发表702可以应用的V-LB。根据本发明的一个方面，V-LB的VR标识符被存储在该项目中。当本发明的装置中有多个V-LB时，为了示出其所应用的V-LB，存储各自所分配的一个VR标识符。

与负载均衡目标候选表213中V-LB端的下一跳IP地址605相同的值被存储在V-LB端的临时下一跳IP地址722中。分配给用户主机的IP地址前缀、或单个IP地址被存储在收件方为该用户的分组的目的地IP地址前缀723中。如果接收IP分组的V-LB与V-LB端的VR标识符721的值相匹配，通过制订IP分组转发表而获得的下一跳IP地址与V-LB端的临时下一跳地址722的值相匹配，并且该分组的目的地IP地址与收件方为用户的分组的目的地IP地址前缀723的值相匹配，那么使用该条目确定该分组的负载均衡转发目的地。

作为负载均衡中继目的地的下一跳IP地址被存储在V-LB端的新的下一跳IP地址724中。

当执行负载均衡中继时输出分组的电路接口的标识符被存储在V-LB端的输出接口标识符725中。输出接口可以被从V-LB端的新的下一跳IP地址724和接口表推断出来，而不在负载均衡转发表中提供该项目。

如果在V-LB负载均衡转发表702中发现VR标识符、临时下一跳IP地址和输入会话标识符都匹配的条目，那么接收IP分组的V-LB使用该条目的V-LB端的新的下一跳IP地址724和V-LB端的输出接口标识符725的值，来更改该分组的下一跳和输出接口。

接口单元203中的负载均衡表234与控制处理单元201中的负载均衡转发表214类似。但是，不需要包括负载均衡转发表214的所有内容。例如，BAS/负载均衡器100包括多个接口单元203，当它们中只有一个接口属于V-BAS1时，接口单元203可以只有V-BAS负载均衡转发表701中与V-BAS1有关的部分。

图8是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图。当接收到来自内部路由器132或用户主机133的网络连接请求时(步骤810)，本发明的装置的控制处理单元201执行与普通BAS相同的网络连接建立处理。该处理由运行在控制处理单元201中的会话控制处理263执行。由于该处理，诸如网络连接建立时用户的第2层会话和分配的IP地址等信息被作为一个新条目额外地登记在会话管理表211中。

控制处理单元201在完成步骤810的网络连接建立处理后，依次执行步骤820到步骤860。该处理由运行在控制处理单元201中的负载均衡配置处理265执行。

在步骤820中，负载均衡配置处理265将步骤810中最近执行网络连接建立处理时的用户会话所对应的VR标识符(会话管理表211的VR标识符401的值)，与负载均衡目标候选表213中的条目的V-BAS的VR标识符601进行比较，并提取匹配的条目。

在步骤830中，匹配的条目被分为两组，每组中V-BAS端的下一跳IP地址602的值相同。

在步骤840中，使用任意的负载均衡算法从步骤830中分开的每一组中一次选择一个条目。这里所使用的负载均衡算法可以是任何算法。特别地，可以使用例如哈希算法，即使执行自主的计算也可以给出唯一的结果，或者使用不需要给出唯一的结果的算法，例如循环算法，所分配用户的数量，或者装置负载。因此，在本发明中，在用户的网络连接建立后，相同装置中的相同处理立即确定用户业务在输出和输入两个方向的负载均衡中继目的地，所以对所用的负载均衡算法没有限制。

在步骤850中，会话管理表211的处理条目中所包括的一些项目被添加到所选的条目，并被作为新的条目额外登记在控制处理单元201的负载均衡转发表214中。对于这些新的条目，其中的6个项目：V-BAS端的VR标识符711、V-BAS端的临时下一跳IP地址712、V-BAS端的新的下一跳IP地址714、V-LB端的VR标识符721和V-LB端的临时下一跳IP地址722以及V-LB端的新的下一跳IP地址724，可以使用在步骤840所选的条目的值(V-BAS端的VR标识符601、V-BAS端的下一跳IP地址602、从V-BAS的分组目的地IP地址603、V-LB端的VR标识符604、V-LB端的下一跳IP地址605和从V-LB的分组目的地IP地址606)。对于新的条目中剩余的项目，会话管理表211中的条目的会话标识符403的值作为来自用户的分组的输入会话标识符713。会话管理表211中的分配的IP地址前缀404的值作为收件方为该用户的分组的目的地IP地址前缀723。对于V-BAS端的输出接口标识符715和V-LB端的输出接口标识符725，使用控制处理单元201中的接口表215来确定将分组发送到V-BAS端的新的下一跳IP地址714和V-LB端的新的下一跳IP地址724的输出接口。接口标识符分别被登记到每个项目中。

在步骤860中，在步骤850中最新登记的条目被从控制处理单元201的负载均衡配置处理265发送到接口单元203。接收该条目的接口单元203将所接收的条目额外登记到它自己的负载均衡转发表234中。

图9是示出根据本发明的一个方面的负载均衡器转发表的条目删除处理流程的图。

当本发明的装置的控制处理单元201从内部路由器132或用户主机133接收到用户的网络断开请求时，或当检测到与内部路由器132或用户主机133的网络断开时，执行与普通BAS相同的网络断开处理(步骤910)。该处理由运行在控制处理单元201中的会话控制处理263执行。由于该处理，与被执行网络断开处理的用户所对应的条目被从会话管理表211中删除。这时，存储被删除条目的会话标识符403的值，并在下面的步骤920中使用。

在执行步骤910的网络断开处理之后，控制处理单元201依次执行从步骤920到步骤930的处理。该处理由运行在控制处理单元201中的负载均衡配置处理265执行。

在步骤920中，控制处理单元201的负载均衡配置处理265从控制处理单元201中的负载均衡转发表214中，查找来自用户的分组的输入会话标识符713的值与从会话管理表211中删除的条目的会话标识符403相匹配的条目，并将所找到的所有条目删除。如果本发明的装置中有多个V-BAS，来自用户的分组的输入会话标识符713的值对于不同的V-BAS可能是相同的，必须验证会话管理表211的VR标识符401的值与负载均衡转发表214的V-BAS的VR标识符711匹配。

在步骤930中，示出在步骤920中所删除的条目的信息被从控制处理单元201的负载均衡配置处理265发送到接口单元203。接收该信息的接口单元203从它自己的负载均衡转发表234中删除与所接收信息对应的所有条目。通过根据该流程执行该负载均衡转发表的条目删除处理，可以将对应于网络连接断掉的用户的条目从控制处理单元201和接口单元203中的负载均衡转发表214和234中删除。因此，负载均衡转发表中的条目数量保持最小，所以，可以防止内存使用增大或分组转发速率降低。

图10是示出根据本发明的一个方面的通信装置的分组转发处理流程的图。该处理流程由运行在接口单元203中的分组转发处理281执行。

图10的处理流程可以大致分为六个部分：确定输入接口所属的VR(步骤1010)、确定并处理收件方为自己的IP分组(从步骤1020到步骤1026)、通过分组转发表确定转发目的地(步骤1030)、通过负载均衡转发表更改转发目的地(从步骤1040到步骤1056)、虚拟线路处理(从步骤1060到步骤1066)、以及分组输出(步骤1070)。其中，从步骤1010到步骤1030，和步骤1070的处理类似于具有VR功能的普通路由器所执行的分组转发处理。从步骤1060到步骤1066的处理是为了实现虚拟线路的功能。

当具有输入接口的接口单元203和具有输出接口的接口单元203是同一个时，例如当本发明的装置中只有一个接口单元203时，应用图10的处理流程。当两个接口单元203不是同一个时，具有输入接口的接口单元203执行直到步骤1056的处理，并且分组通过底板202被传输到具有输出接口的接口单元203。步骤1060和后续步骤由具有输出接口的接口单元203执行。

当IP分组从其自身的接口输入时，本发明的装置的接口单元203中的分组转发处理281从步骤1010开始分组中继处理。在步骤1010，从接口表235取回输入接口标识符与接口标识符502的值相匹配的条目，并认为所找到的条目的VR标识符501就是输入接口所属的VR。

在下一个步骤1020中，从接口表235中取回VR标识符501的值与步骤1010中所找到的输入接口的VR相匹配、并且接口的IP地址503的值与输入分组的目的地IP地址相匹配的条目。如果存在匹配的条目(步骤1021)，输入分组被认为收件方为自身，该分组被通过底板202发送到控制处理单元201(步骤1026)，并且终止分组中继处理。接收到所转发的收件方为自身的分组的控制处理单元201，根据收件方为自身的分组的内容，执行适当的处理，例如路由协议处理，与普通路由器或BAS类似。

如果在步骤1021中没有找到匹配的条目，程序继续进行到步骤1030。

在步骤1030中，从IP分组转发表232取回VR标识符301的项目值与步骤1010中检查的输入接口的VR相匹配、并且输入分组的目的地IP地址是目的地IP地址前缀302的值的最大匹配的条目。匹配的条目的下一跳IP地址304的值被当作临时下一跳，而输出接口或会话的标识符305的值被当作临时输出接口。但是，如果路由类型303的值是“直接连接”，则输入分组的目的地IP地址被当作临时下一跳。

在下一步骤1040中，确定步骤1010中检查的输入接口的VR是V-BAS还是V-LB。因此，如果它是V-LB，则程序继续进行到步骤1046，而如果它是V-BAS，则程序继续进行到步骤1050。尽管该方面没有示出执行该确定的详细方法，但是可以单独提供一个登记所有V-BAS的VR标识符的表。例如，可以预先确定V-BAS的VR标识符是偶数。同样，当VR是V-BAS或V-LB时，可以不执行步骤1040的确认而执行步骤1046和步骤1050的处理。

在步骤1046中，从V-LB负载均衡转发表702取回V-LB端的VR标识符721的值与步骤1010中所检查的输入接口的VR相匹配、V-LB端的临时下一跳IP地址722的值与步骤1030中所确定的临时下一跳相匹配、并且输入分组的目的地IP地址与收件方为用户的分组的目的地IP地址前缀723的值相匹配的条目。然后程序继续进行到步骤1051。

在步骤1050中，从V-BAS负载均衡转发表701取回V-BAS端的VR标识符711的值与步骤1010中所检查的输入接口的VR相匹配、V-BAS端的临时下一跳IP地址712的值与步骤1030中所确定的临时下一跳相匹配、并且来自用户的分组的输入会话标识符713的值与输入分组的第2层会话相匹配的条目。然后程序继续进行到步骤1051。

在步骤1051中，如果在步骤1046或步骤1050找到匹配的条目，则程序继续进行到步骤1056。如果没有找到，在步骤1030中所确定的临时下一跳和临时输出接口被视为后续步骤的下一跳IP地址和输出接口，并且程序继续进行到步骤1060。

在步骤1056中，临时下一跳被所找到的条目新的下一跳IP地址(当在步骤1046中找到时，是V-LB端的下一跳IP地址724，当在步骤1050中找到时，是V-BAS端的下一跳IP地址714)的值代替，并被视为后续步骤的下一跳IP地址。同样，临时输出接口被该条目的输出接口标识符(当在步骤1046中找到时，是V-LB端的输出接口标识符725，当在步骤1050中找到时，是V-BAS端的输出接口标识符715)代替，并被视为后续步骤的输出接口。由于上述从步骤1040到步骤1056的处理，使用负载均衡转发表234，可以将通过类似于所示出的用于普通路由器的直到步骤1030的处理而确定的下一跳，用适当的负载均衡装置111的IP地址来代替。

在下一步骤1060中，从接口表235取回输出接口标识符与接口标识符502的值相匹配的条目，并检查该条目，以确定该值是否被存储在所找到的条目的虚拟电路标识符505中。如果该值被存储(步骤1061)，程序继续进行到步骤1066，而如果该值没有被存储，程序继续进行到步骤1070。

在步骤1066中，从接口表235取回具有与步骤1060中所存储的虚拟线路标识符505的值相同的虚拟线路标识符505、并且分组的下一跳IP地址与接口的IP地址503相匹配的条目。所找到的条目的接口标识符502被当作分组的新的输入接口的标识符，并且分组转发处理从开始(从步骤1010)重复。

在下一步骤1070中，分组被从所确定的输出接口发送到所确定的下一跳IP地址，并且分组转发处理被终止。

图11是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置接收收件方为ISP网络或外网中的主机的IP分组、并将其中继到ISP网络时。

首先，本发明的BAS/负载均衡器100从连到装置中的V-BAS的用户网络的内部路由器132或用户主机133接收IP分组(步骤1111和1131)。这里，该分组的目的地IP地址是连到与V-BAS在相同的装置中的V-LB的ISP网络中的主机的IP地址，或者是例如在该点之外的网络，例如互联网中的主机的IP地址。

接收该分组的本发明的装置中的V-BAS基于从用户网络开始的分组转发处理流程确定下一跳IP地址和输出接口。在这种情况下，在分组转发处理中，之前使用IP分组转发表232所确定的下一跳IP地址和输出接口被使用V-BAS负载均衡转发表701而代替。因此，最终的下一跳IP地址是负载均衡目标装置111中的一个的IP地址，而输出接口是与该装置相连的电路接口。本发明的装置中的V-BAS将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤1112和1132)。

接收该分组的负载均衡目标装置111执行应当由该装置所执行的处理，并将该分组中继到本发明的装置中的V-LB(步骤1113和1133)。

接收该分组的本发明的装置中的V-LB基于从负载均衡目标装置111开始的分组转发处理流程确定下一跳IP地址和输出接口。在这种情况下，在分组转发处理中，使用IP分组转发表232所确定的下一跳IP地址和输出接口被使用，所以，下一跳IP地址是ISP网络边缘路由器121的IP地址，而输出接口是连到该装置的电路接口。本发明的装置中的V-LB将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤1114和1134)。如有必要，所中继的分组被ISP网络边缘路由器和通信装置进一步中继，并到达其最终目的地主机。

图12是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从ISP网络接收收件方为用户网络中的主机的IP分组、并将其转发到用户网络时。

首先，本发明的BAS/负载均衡器100从连到装置中的V-LB的ISP网络边缘路由器121接收IP分组(步骤1211和1231)。这里，该分组的目的地IP地址被认为是连到与V-LB在相同装置中的V-BAS的用户网络中的主机的IP地址。接收该分组的本发明的装置中的V-LB基于从ISP网络开始的分组转发处理流程确定下一跳IP地址和输出接口。

在这种情况下，在分组转发处理中，之前使用IP分组转发表232所确定的下一跳IP地址和输出接口被使用V-LB负载均衡转发表702而代替。因此，最终的下一跳IP地址是负载均衡目标装置111中的一个的IP地址，而输出接口是连到该装置的电路接口。本发明的装置中的V-LB将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤1212和1232)。

接收该分组的负载均衡目标装置111执行应当由该装置执行的处理，并将该分组中继到本发明的装置中的V-BAS(步骤1213和1233)。

接收该分组的本发明的装置中的V-BAS基于从负载均衡目标装置111开始的分组转发处理流程确定下一跳IP地址和输出接口。在这种情况下，在分组转发处理中，使用IP分组转发表232所确定的下一跳IP地址和输出接口被使用。所以，下一跳IP地址是用户网络的内部路由器132或作为目的地的用户主机133的IP地址，而输出接口是连到该装置的第2层会话。本发明的装置中的V-BAS将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤1214和1234)。如有必要，所中继的分组被用户网络的内部路由器132和外部的通信装置进一步中继，并到达最终目的地主机。

如上所述，在负载均衡转发表234中创建与V-BAS 101建立网络连接的用户所对应的条目。以此，执行从V-LB 102到V-BAS 101和从V-BAS 101到V-LB 102的双向业务的负载均衡中继。由此，进行网络连接的用户的转发/返回业务可以被动态的中继到相同的负载均衡目标装置111，而且对于负载均衡算法还可以使用任意的算法。

除了在同一装置中提供V-BAS 101和V-LB 102以外，当V-BAS101将业务中继到负载均衡目标装置111时，接收业务的第2层会话标识符被用来确定中继目的地。因此，与分别提供BAS和负载均衡的情况相比，本发明不仅在装置本身的成本或装置管理成本上有优势，而且可以获得优异的分组转发性能。此外，不需要负载均衡装置具有象自主负载均衡功能这样的特殊功能。

图13是示出根据本发明的一个方面的网络配置和通信装置的虚拟内部配置的图。除了通过第2层的负载均衡中继处理以外，根据本发明的一个方面的本发明的BAS/负载均衡器1300可以与上文所描述的本发明的BAS/负载均衡器100相同。在本发明的装置1300中有两个虚拟装置，V-BAS 1301和V-LB 1302。但是，与先前描述不同的是，V-LB 1302不是作为路由器而是作为第2层交换机运行。因此，IP地址不是按V-LB 1302的每个接口分配，包括与V-BAS 1301连接的虚拟线路接口。

如上文所描述的，V-BAS 1301作为路由器运行。但是，从第3层的观点来看，所有连到负载均衡目标装置的接口和连到V-LB 1302的虚拟线路接口都被统一地视为一个接口。换句话说，只为所有这些接口分配一个IP地址。这还可以解释为V-BAS 1301包括纯路由器和连到多个接口之一的第2层负载均衡交换机的组合。负载均衡目标装置1311是通过第2层中继分组的装置，例如传输型防火墙。对负载均衡目标装置1311，V-BAS 1301和负载均衡目标装置1311通过独立的物理或逻辑电路互连。对V-LB 1302和负载均衡目标装置1311也是一样。

图14是示出根据本发明的一个方面的IP分组转发表的图。

该表的使用和组成与上文所讨论的IP分组转发表的使用和组成类似。根据本发明的一个方面，唯一的区别是，V-LB不是作为路由器而是作为第2层交换机运行，所以V-LB不使用该表并且没有VR标识符301是V-LB的条目。

图15是示出根据本发明的一个方面的接口表的图。该表的使用与上面描述的使用类似。但是，由于指定了作为负载均衡中继目的地的电路接口，所以新提供了负载均衡源接口标识符1506。

在V-BAS中，接口的IP地址503和接口的网络掩码长度504只被设置到负载均衡源接口标识符1506为空、或负载均衡源接口标识符1506的值与接口标识符502的值相等的条目之一。从第3层的观点来看，负载均衡源接口标识符1506不为空、且负载均衡源接口标识符1506的值与接口标识符502的值不同的条目，被视为与通过负载均衡源接口标识符1506的值所示出的电路接口相同的电路接口。

在V-LB中，接口的IP地址503的值和接口的网络掩码长度504的值不设置到任何电路接口。从普通的第2层交换机的观点来看，负载均衡源接口标识符1506不为空、并且负载均衡源接口标识符1506的值与接口标识符502的值不同的条目，被视为与通过负载均衡源接口标识符1506的值所示出的电路接口相同的电路接口。特别地，当V-LB执行大量地中继从电路接口接收的负载均衡源接口标识符1506不为空的分组时，负载均衡源接口标识符1506的值不输出到与该电路接口相同的电路接口。同样，当V-LB执行大量地中继从给定电路接口所接收的分组时，如果有多个等价的负载均衡源接口标识符1506不为空的电路接口，选择一个电路接口并输出，并且不输出到负载均衡源接口标识符1506相等的另一个电路接口。

当装置管理员设置负载均衡目标候选表213时，负载均衡源接口标识符1506的值同时被设置。

图16是示出根据本发明的一个方面的负载均衡目标候选表的图。该表的使用与上文描述的使用类似。但是，输出接口标识符示出负载均衡中继目的地，而不是下一跳IP地址。由于本发明的装置通过第2层执行负载均衡中继并且负载均衡目标装置也作为通过第2层的中继，所以该负载均衡目标装置不能通过下一跳IP地址被唯一的示出。

特别地，V-BAS端的下一跳IP地址602、从V-BAS的分组目的地IP地址603、V-LB端的下一跳IP地址605和从V-LB的分组目的地IP地址606，分别被V-BAS端的接口标识符1602、从V-BAS的输出接口标识符1603、V-LB端的接口标识符1605和从V-LB的输出接口标识符1606代替。

图17是示出根据本发明的一个方面的负载均衡转发表的图。该表的使用与上文描述的使用类似。但是，输出接口标识符示出负载均衡中继目的地，而不是下一跳IP地址。其原因与对于负载均衡目标候选表的原因相同。

特别地，V-BAS端的临时下一跳IP地址712和V-LB端的临时下一跳IP地址722分别被V-BAS端的临时输出接口标识符1712和V-LB端的临时输出接口标识符1722代替。同样，由于第2层不需要V-BAS端的新的下一跳IP地址714和V-LB端的新的下一跳IP地址724，所以它们不在负载均衡转发表中。

图18是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图。该处理流程的内容与上面描述的负载均衡转发表的条目创建处理流程类似。尽管在上面描述的步骤830中使用V-BAS端的下一跳IP地址602，但是在步骤1830中使用V-BAS端的接口标识符1602。同样，尽管在上面描述的步骤850中必须参考接口表215以创建条目，但在步骤1850中却不需要。在步骤1850中登记的新条目中，对于6个项目：V-BAS端的VR标识符711、V-BAS端的临时输出接口1712、V-BAS端的输出接口标识符715、V-LB端的VR标识符721、V-LB端的临时输出接口标识符1722和V-LB端的输出接口标识符725，可以使用在步骤840中所选择的条目的值(V-BAS端的VR标识符601、V-BAS端的接口标识符1602、从V-BAS的输出接口标识符1603、V-LB端的VR标识符604、V-LB端的接口标识符1605和从V-LB的输出接口标识符1606)。对于所描述的其他项目，例如新条目的来自用户的分组的输入会话标识符713、收件方为用户的分组的目的地IP地址前缀723，这些与步骤850类似。

图19是示出根据本发明的一个方面的通信装置的分组转发处理流程的图。除了使用输出接口标识符而不是使用下一跳IP地址来指定负载均衡中继目的地，并且V-LB作为第2层负载均衡交换机运行以外，该处理的内容与上文中所描述的分组转发处理流程的内容类似。

图19的处理流程包括5个项目：确定输入接口所属的VR(步骤1010)，确定并处理收件方为自身的分组(从步骤1020到步骤1026)，确定分组目的地并处理虚拟线路(步骤1060到步骤1061和1966)，和输出分组(步骤1070)。在这些步骤中，除了确定分组目的地以外，程序与上面所描述的分组中继处理流程类似。但是，尽管在步骤1066种检查了下一跳IP地址的匹配，但是V-LB是第2层交换机并且没有为该电路接口分配IP地址或MAC地址。因此在步骤1966中，不包括该检查。上述MAC(介质访问控制)地址指示分配给电路接口的第2层地址。

对于分组目的地的确定，在V-BAS的情况下和V-LB的情况下的处理差别很大。对于在V-BAS情况下的处理(步骤1030、步骤1950、步骤1051、步骤1956)，与上面所描述的分组转发处理流程中通过IP分组转发表确定转发目的地和通过负载均衡转发表更改负载目的地(步骤1030、步骤1050、步骤1051、步骤1056)类似。但是，尽管在步骤1050和步骤1056中使用下一跳IP地址，但是在步骤1950和步骤1956中使用输出接口标识符来代替。

参考图20，现在将描述在V-LB(图19的处理流程的A和B之间的处理)情况下的处理细节。

图20是示出根据本发明的一个方面的通信装置的分组转发处理中通过虚拟第2层负载均衡执行的部分处理流程的图。

在V-LB中分组目的地确定处理中，首先，如果在V-LB中有MAC地址学习功能，从MAC地址学习表中查找VR标识符的值与V-LB相匹配、并且MAC地址的值与输入分组的目的地MAC地址相匹配的条目(步骤2010)。因此，如果找到匹配的条目(步骤2011)，只有该条目中所登记的输出接口被作为输出接口标识符集合的元素(步骤2012)。然后程序继续进行到步骤2020。

如果没有找到匹配的条目(步骤2011)，作为输出接口标识符集合的，是接口表235中VR标识符501与该V-LB相匹配的所有条目中、满足以下两个条件之一的条目所对应的电路接口的集合(步骤2016)。

(1)负载均衡源接口标识符1506的值为空条目(除了输入接口的条目)，

(2)负载均衡源接口标识符1506不为空，并且其值等于接口标识符502的值(除了负载均衡源接口标识符1506的值等于输入接口的负载均衡源接口标识符1506的值的条目)。

在本发明的实施中，V-LB可能没有任何MAC地址学习功能。换句话说，除了负载均衡中继功能以外，V-LB可以作为中继集线器运行。在这种情况下，不需要步骤2010、2011和2012，并且V-LB中的分组目的地确定处理从步骤2016开始。

对于步骤2030之后的处理，输出接口标识符集合中的每个元素分别执行(步骤2020)。步骤2030、2031和2036的处理与分组转发处理流程中的处理(步骤1046、1051和1056)类似。但是，尽管在步骤1046和步骤1056中使用下一跳IP地址，但是在步骤2030和步骤2036中使用输出接口标识符来代替。

在步骤2040中，程序返回图19中所示的主处理流程，但是即使在返回之后，也是如同从步骤2030到步骤2036一样分别对输出接口标识符集合中的每个元素执行处理。

如上所示，第2层在V-BAS 1301和V-LB 1302之间执行负载均衡中继，V-LB 1302对于第3层完全作为透明的装置运行。由此，除网络配置中的情况以外，在V-BAS 1301和ISP网络边缘路由器121之间没有额外的路由器，不必为连到负载均衡目标装置1311的V-BAS 1301或V-LB 1302的接口分配单独的IP地址。

图21是示出根据本发明的一个方面的网络配置以及在该方面中本发明的通信装置的虚拟内部配置的图。

BAS/负载均衡器2100与上文所描述的BAS/负载均衡器100类似，但后者不执行使用服务等级标识符的负载均衡中继处理。

在该方面中，本发明的BAS/负载均衡器2100为每个用户提供不同等级的服务。例如，负载均衡目标装置不向用户网络1130-A提供防火墙服务，用于普通合同用户的负载均衡目标装置111-B、111-C向用户网络2130-B和用户网络4130-D提供防火墙服务，而用于特殊合同用户的负载均衡目标装置111-A向用户网络3130-C提供防火墙服务。

为了实现该服务，BAS/负载均衡器2100中的V-BAS 2101比较为每个用户分配的服务等级标识符和为每个负载均衡目标装置111分配的服务等级标识符，而只有匹配的负载均衡目标装置111被作为用户的通信业务的中继目的地候选。从这些中继目的地候选中，使用任意的负载均衡算法确定中继目的地的负载均衡目标装置，并登记在负载均衡转发表234中。

使用负载均衡转发表234的分组中继处理与上文所描述的处理类似。

图22是示出根据本发明的一个方面的会话管理表的图。

该表的使用与上文中所描述的会话管理表的使用类似。但是，增加服务等级标识符2205，其中存储了为每个用户所分配的服务等级标识符。

在本发明中，没有定义获得该服务等级标识符2205的值集的方法。例如，每个用户的服务等级标识符的值可以预先登记在认证服务器122中，而在网络连接建立过程中执行用户认证处理时，从认证服务器122获得待认证用户所对应的服务等级标识符的值。作为另一个方法，管理员可以预先在本发明的装置中登记每个用户的服务等级标识符，或者服务等级标识符的值可以包括在从内部路由器132或用户主机133到达本发明的装置的网络连接请求中。

尽管使用0作为图22的具体服务等级标识符的值，该方面中的服务等级标识符0表示通信业务通过在V-BAS和V-LB之间提供的虚拟线路中继，而不通过负载均衡装置111。当然，可以使用0以外的值作为服务等级标识符，代表这样的中继方法，或者可选的，不需要向用户提供这种中继方法。

图23是示出根据本发明的一个方面的负载均衡目标候选表的图。该表的使用与上文中所描述的负载均衡目标候选表的使用类似。但是，可以新提供新的服务等级标识符2307，其中存储了为每个负载均衡目标装置分配的服务等级标识符。

当为用户进行网络连接建立处理时，本发明的装置比较用户的服务等级标识符2205和负载均衡目标候选表213中的条目的服务等级标识符2307，并从分配给用户的负载均衡中继目的地候选中排除不一致的条目。其他的处理与上文中所描述的负载均衡目标候选表的处理类似。

图24是示出根据本发明的一个方面的负载均衡转发表的图。该表的使用和组成与上文中所描述的类似。但是，用于确定负载均衡转发目的地的材料中增加了服务等级标识符，所以该表中所存储的实际值不一定与上面描述的那些相匹配。

图25是示出根据本发明的一个方面的负载均衡转发表的条目创建处理流程的图。

除了下面所述，该处理的细节与上文中描述的负载均衡转发表的条目创建处理的细节类似。

尽管在步骤810中，没有处理服务等级标识符，但是在步骤2510中，在会话管理表211中为每个用户设置适当的服务等级标识符2205的值。

为了处理服务等级标识符是0的用户，在步骤2510之后立即提供步骤2515。对于会话管理表211的服务等级标识符2205的值是0的用户，条目创建处理被终止，不在负载均衡转发表中创建条目。

在步骤820中，只提取VR标识符对应的条目，但是在步骤2520中，只提取VR标识符和服务等级标识符相匹配的条目。

图26是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从用户网络接收ISP网络内部或收件方为互联网中的主机的IP分组、并将其中继到ISP网络时。

此后，将描述本发明的装置从服务等级标识符是0的用户网络接收IP分组的情况(步骤2611和2614)。对服务等级标识符不是0的用户网络(步骤2631、2632、2633、2634)，与上文中所描述的情况类似，除了由于负载均衡转发表234的实际值不同，所以作为中继目的地的负载均衡装置111也不同。

首先，本发明的BAS/负载均衡器2100从连到该装置中的V-BAS的服务等级标识符是0的用户网络的内部路由器132或用户主机133接收IP分组(步骤2611)。这里，该分组的目的地IP地址被作为连到与V-BAS在相同的装置中的V-LB的ISP网络或该点之外的网络(互联网等)中的主机的IP地址。

接收分组的本发明的装置中的V-BAS基于从用户网络开始的分组转发处理流程确定下一跳IP地址和输出接口。在这种情况下，在分组转发处理中，使用IP分组转发表232确定的下一跳IP地址和输出接口被使用。因此，最终的下一跳IP地址是V-LB的IP地址，而输出接口是连到V-LB的虚拟线路的接口。本发明的装置中的V-BAS通过该虚拟电路将分组中继到V-LB。

然后，本发明的装置中的V-LB基于分组转发处理流程确定下一跳IP地址和输出接口。

即使在该分组转发处理的情况下，使用IP分组转发表232确定的下一跳IP地址和输出接口仍被使用。因此，下一跳IP地址是ISP网络边缘路由器121的IP地址，而输出接口是连到该装置的电路接口。本发明的装置中的V-LB将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤2614)。如有必要，所中继的分组被ISP网络边缘路由器和外部通信装置进一步中继，并到达最终的目的地主机。

图27是示出根据本发明的一个方面的发送/接收序列的图，所述发送/接收序列发生在当本发明的通信装置从ISP网络接收收件方为用户网络中的主机的IP分组、并将其中继到用户网络时。

此后，将描述本发明的装置接收传输到服务等级标识符是0的用户网络的IP分组的情况(步骤2711和2714)。在服务等级标识符不是0的用户网络的情况中(步骤2731、2732、2733、2734)，除因为负载均衡转发表234中的实际值不同，从而作为中继目的地的负载均衡目标装置111不同的情况以外，情况与上文中所描述的情况完全相同。

首先，本发明的BAS/负载均衡器2100从连到该装置中的V-LB的ISP网络边缘路由器121接收IP分组(步骤2711)。这里，该分组的IP地址被作为连到与V-LB在相同的装置中的V-BAS的用户网络中的主机的IP地址。接收分组的本发明的装置中的V-LB基于从ISP网络开始的分组转发处理流程确定下一跳IP地址和输出接口。在这种情况下，在分组转发处理中，使用IP分组转发表232确定的下一跳IP地址和输出接口被使用。因此，最终的下一跳IP地址是V-BAS的IP地址，而输出接口是连到V-BAS的虚拟线路的接口。本发明的装置中的V-LB通过该虚拟电路将分组中继到V-BAS。

然后，本发明的装置中的V-BAS基于分组转发处理流程确定下一跳IP地址和输出接口。

在这种情况下，在分组转发处理中，使用IP分组转发表232确定的下一跳IP地址和输出接口仍被使用。因此，下一跳IP地址是作为目的地的用户网络的内部路由器132或用户主机133的IP地址，而输出接口是连到该装置的第2层会话。本发明的装置中的V-BAS将分组从所确定的输出接口中继到所确定的下一跳IP地址(步骤2714)。如有必要，所中继的分组被用户网络的内部路由器132和外部通信装置进一步中继，并到达最终的目的地主机。

在上文的描述中，使用负载均衡目标候选表213将服务等级标识符分别分配给负载均衡目标装置111，而只使用该值与分配给用户的服务等级标识符相匹配的条目来创建负载均衡目标候选表214。由此，可以将被分配特定服务等级标识符的用户业务的负载均衡中继目的地候选限制为仅分配了相同的服务等级标识符的负载均衡转发目标装置111。如果这样，在用户动态进行网络连接的情况下，可以为每个用户提供不同的服务等级，并且也可以执行负载均衡中继处理。

在上述描述中，向上文所描述的执行第3层负载均衡中继的本发明的BAS/负载均衡器100添加了涉及服务等级标识符的处理，但是当然也可以向上面所描述的执行第2层负载均衡中继的本发明的BAS/负载均衡器100添加涉及服务等级标识符的处理。

图28是示出根据本发明的一个方面的网络配置、以及在该方面中的本发明的通信装置的虚拟内部配置的图。

BAS/负载均衡器2800具有多个V-BAS 2801，以及与V-BAS数量相等的多个V-LB 2802。每个V-BAS 2801和V-LB 2802组成一对，并且通过内部虚拟线路或外部电路互连。如有必要，在这些电路中间安装负载均衡装置111。V-LB 2802连到互不相同的多个ISP网络120中的ISP网络边缘路由器121。V-BAS 2801从一对中的V-LB2802所连到的ISP用户的内部路由器132或用户主机133接收互联网接入请求，执行用户认证，并为该用户提供到ISP或互联网的连接。

各对V-BAS 2801和V-LB 2802对应于上文中所描述的本发明的BAS/负载均衡。

通过在一个装置中具有多对，多个ISP可以使用一个装置向用户提供诸如互联网等网络连接服务。

当管理员更改接口表或负载均衡目标候选表的设置时，可以灵活的改变哪一个负载均衡目标装置111被分配给哪一个ISP。

本领域技术人员会发现，可以在不背离本发明的本质和范围的情况下对本发明实施修改和变化。因此，如果这些修改和变化在所附权利要求及其等价内容范围内，则本发明试图包括对本发明的修改和变化。

Claims (14)

1.一种分组转发装置，与处理分组的多个负载均衡器相连接，并经由网络与第一和第二通信装置相连接，所述分组转发装置包括：

存储器；以及

处理器，

其中所述分组转发装置将从所述第一通信装置接收的、收件方为所述第二通信装置的分组发送到所述多个负载均衡器中的一个负载均衡器，并且所述分组转发装置具有将由所述一个负载均衡器处理过的所述分组发送到所述第二通信装置的接口，

所述处理器根据所述第一通信装置的每个用户的服务等级和所述各负载均衡器的服务等级，从所述多个负载均衡器中针对每个用户决定一个以上的候补，并从该决定的一个以上的负载均衡器中，根据特定的算法决定应当处理从所述第一通信装置接收的分组的一个负载均衡器，

指定所述用户的信息和指定所述决定的一个负载均衡器的信息的对应信息被存储在所述存储器中，

所述接口根据所述对应信息，将从所述第一通信装置接收的、包括指定所述第一通信装置的用户的信息的分组发送给所述一个负载均衡器，

并且，所述第一通信装置的IP地址和指定所述一个负载均衡器的信息的对应信息被存储在所述存储器中，

当所述处理器从所述第二通信装置接收到收件方为所述第一通信装置的分组时，所述处理器基于收件方为所述第一通信装置的分组的目的地IP地址和所述对应信息，决定将收件方为所述第一通信装置的分组发送到所述一个负载均衡器。

2.根据权利要求1所述的分组转发装置，其中指定所述用户的所述信息是标识所述第一通信装置和所述分组转发装置之间的连接的信息。

3.根据权利要求2所述的分组转发装置，其中标识所述第一通信装置和所述分组转发装置之间的所述连接的所述信息是会话标识符。

4.根据权利要求1所述的分组转发装置，包括：

第一和第二虚拟通信装置，其中所述第一虚拟通信装置从所述第一通信装置接收收件方为所述第二通信装置的分组，并将所述分组发送到所述负载均衡器；以及

所述第二虚拟通信装置从所述负载均衡器接收分组，并将所述分组发送到所述第二通信装置。

5.根据权利要求4所述的分组转发装置，其中所述第二虚拟通信装置从所述第二通信装置接收收件方为所述第一通信装置的分组，并将所述分组发送到所述负载均衡器，并且所述第一虚拟通信装置从所述负载均衡器接收分组，并将所述分组发送到所述第一通信装置。

6.根据权利要求4所述的分组转发装置，包括：

多个第一虚拟通信装置；以及

多个第二虚拟通信装置。

7.根据权利要求1所述的分组转发装置，进一步包括：

认证装置，连接到所述分组转发装置，

其中当所述接口从所述第一通信装置接收到分组时，所述接口将关于所述第一通信装置的认证数据发送到所述认证装置，并从所述认证装置接收指定所述第一通信装置的用户的信息。

8.根据权利要求1所述的分组转发装置，其中从所述第一通信装置接收并获得指定用户的服务等级的信息。

9.根据权利要求1所述的分组转发装置，进一步包括：

认证装置，连接到所述分组转发装置，

其中从所述认证装置接收并获得指定所述用户的所述服务等级的信息。

10.根据权利要求9所述的分组转发装置，其中使用远程认证拨号用户服务作为与所述认证装置的通信协议。

11.根据权利要求1所述的分组转发装置，其中使用点对点协议作为与所述第一通信装置的通信协议。

12.根据权利要求1所述的分组转发装置，其中使用动态主机配置协议作为与所述第一通信装置的连接协议。

13.根据权利要求7所述的分组转发装置，其中使用远程认证拨号用户服务作为与所述认证装置的通信协议。

14.根据权利要求1所述的分组转发装置，其中所述多个负载均衡器被安装在同一装置中。

Images