CN1878115A - 一种虚拟专用网络的实现方法 - Google Patents

Abstract

本发明涉及一种虚拟专用网络实行方法及其网络，其中，该实现方法，包括：将需要接入虚拟专用网络域的计算机接入客户侧边缘设备；在客户侧边缘设备上相应的端口处划分标识是接入的虚拟专用网络域用户的特定的虚拟局域网；在网络侧边缘设备上配置所述虚拟专用网络域，将接入的虚拟局域网电路中加入所述虚拟专用网络域并在所述电路中配置接入速率限制；在所述网络侧边缘设备上配置通用路由器连接隧道GRE，并将GRE隧道作为一条特殊电路加入到所述虚拟专用网络域中。采用上述方法可以实现了虚拟专用网络的快速部署。

Description

一种虚拟专用网络的实现方法

技术领域

本发明涉及一种在通讯领域中采用虚拟专用网络部署时，使得跨区域网、广域网实现快速互联互通的方法。

背景技术

随着全球互联网的快速发展，国民的信息化水平也越来越高，跨区域的国家机关，大型企业也纷纷要求，在一个私有的安全网络中实现跨地区互联，实现员工远程在家办公，总部和分支机构共享报表数据等，而且这种需求是越来越强烈。

目前比较成熟的虚拟专用网络VPN(virtual private network)技术主要有L2TP(Layer Two Tunnel Protocol，二层隧道协议)、MPLS(MultiprotocolLabel Switching多协议标记交换)虚拟专用网络等，其中L2TP主要采用PPP(point to point点到点)隧道扩展技术，虽然适合员工在家办公，但对于大型企业各分支机构之间、分支和总部之间的大量数据访问并不合适；而MPLS虚拟专用网络，在网络层上进一步划分业务，可以对不同业务采取不同的流量工程，但需要核心层网络、汇聚层网络支持MPLS协议，而且建构的成本比较高，而目前急需提供一种能快速部署，对现有网络结构不做修改的前提下，提供一种能够实现大型企业、各国家机关单位跨区域互联的，而且是配置简单、易于管理和维护、可靠的私有专用网络方法。

发明内容

本发明所要解决的技术问题是提供了一种虚拟专用网络的实现方法，利用该快速部署的私有专用网络可十分方便地满足国家机关单位、大型企业跨区域互联、信息共享的需求。

为了实现上述目的，本发明提供了一种虚拟专用网络的实现方法，包括：

步骤1，将需要接入虚拟专用网络域的计算机接入客户侧边缘设备；

步骤2，在客户侧边缘设备上相应的端口处划分标识是接入的虚拟专用网络域用户的特定的虚拟局域网；

步骤3，在网络侧边缘设备上配置所述虚拟专用网络域，将接入的虚拟局域网电路中加入所述虚拟专用网络域并在所述电路中配置接入速率限制；

步骤4，在所述网络侧边缘设备上配置通用路由器连接隧道(GRE，GenericRouting Encapsulation，以下简称GRE隧道)，并将该通用路由器连接隧道作为一条电路加入到所述虚拟专用网络域中。

上述的方法，还包括如下步骤：

步骤5，在虚拟专用网络域中接入远端，按照步骤2-步骤3进一步配置多个客户侧边缘设备和网络侧边缘设备，各网络侧边缘设备之间通过所述GRE隧道连接；

步骤6，在远端将多个需要接入虚拟专用网络域的计算机接入所述多个客户侧边缘设备。

本发明所述方法需要一系列网络设备共同完成，私有专用网络组网，包括客户侧边缘设备，网络侧边缘设备和路由器，其中对客户侧边缘设备和路由器设备，其实现功能需求和传统意义上一致，客户侧边缘设备实现二层MAC地址交换功能，路由器设备实现基于三层IP地址转发功能。

上述网络侧边缘设备所必须满足的功能具体描述如下：

虚拟局域网电路作为私有专用网络接入的唯一标识，在网络侧边缘设备上进行控制，不是该虚拟专用网络域中的虚拟局域网电路将不被接入，保证私有网络接入的安全性，同时根据虚拟局域网电路进行接入限速，保证不会由于分支机构的网络异常，如由网络病毒等造成网络风暴，而影响其他分支和总部的网络运行。

网络侧边缘设备根据二层MAC地址转发，这就保证了虚拟专用网络的接入不需要进行三层IP地址配置和控制，方便快速部署。网络侧边缘设备将自动学习到所有内部虚拟专用网络的二层MAC地址，并根据二层目的MAC地址转发。

网络侧边缘设备通过通用路由器连接隧道协议扩展虚拟专用网络，实行跨域网络、核心网络的虚拟专用网络互联。通用路由器连结隧道中封装的是二层以太网帧报文。

本发明所述的虚拟专用网络实现方法，对现有网络改造小，配置灵活、简单，安全可靠，易于扩展，为国家机关单位、大型企业快速部署和实现虚拟专用网络提供了一种强有力的手段。

附图说明

图1是本发明一种虚拟专用网络接入流程图；

图2是本发明一种虚拟专用网络组网图；

图3是本发明网络侧边缘设备数据报文转发流程图；

具体实施方式

为使本发明的目的、技术和优点更加清楚，下面结合附图对本发明做进一步的详细描述。

本发明的基本思想是，在现有网络中已经存在的设备-路由器、交换机(作为客户侧边缘设备CE)的基础之上，提供一种虚拟专用网络控制设备(作为网络侧边缘设备PE)，来完成虚拟私有网络的安全控制，网络扩展功能。该网络侧边缘设备PE的基本特征有三点：用虚拟局域网VLAN电路标识虚拟专用网络VPN用户，保证虚拟专用网络VPN用户接入的安全可控，并根据虚拟局域网VLAN电路进行流量限制，防止网络风暴扩散；根据二层目的地址转发、MAC地址自动学习，不需要另外配置和管理，极大的较少了设备维护的成本；采用通用路由器连接隧道技术进行虚拟专用网络VPN域的延伸，同时把通用路由器连接隧道作为一种电路类型，方便控制，也大大降低了技术实现的难度，对现有网络改动最少。

下面结合附图和实施例进一步说明本发明是如何实现这种能够快速部署的私有专用网络方法的。

如图1和图2所示，本发明的接入步骤S101、S102、S105、S106是目前宽带数据接入的一般流程，主要有多个PC计算机(虚拟专用网VPN用户)，客户侧边缘设CE(可以是二层交换机，或者其他根据二层MAC地址转发的设备)，正常接入到虚拟专用网络VPN域中。下面以PC计算机11和PC计算机13组成的具体虚拟专用网络VPN域1为例子，说明该虚拟专用网络VPN方法是如何实现的。

首先，流程中的步骤S101、S102，将PC计算机11、12连接到客户侧边缘设备(CE)21上，并在客户侧边缘设备(CE)1上将与PC计算机11、12相连的端口以及与网络侧边缘设备(PE)31相连的端口设定为LAN100，并且在与网络侧边缘设备(PE)31相连的端口打上(标出)  vlan taged(图中未示出)；

接着进行步骤S103，即在网络侧边缘设备(PE)31上建立虚拟专用网络VPN域1，并将与客户侧边缘设备(PE)21相连的端口号和虚拟局域网(VLAN)100加到虚拟专用网络(VPN)域1，同时配置流量限制参数；网络侧边缘设备(PN)32同样建立虚拟专用网络VPN域1，将与客户侧边缘设备(PE)22相连的端口号和虚拟局域网(VLAN)200加入到虚拟专用网络(VPN)域1中；

进行步骤S104，在网络侧边缘设备(PE)31上配置与网络侧边缘设备(PE)32相连的通用路由器连接隧道，并将该通用路由器连接隧道加入虚拟专用网络VPN域1中；在网络侧边缘设备(PE)32上配置与网络侧边缘设备(PE)31相连的通用路由器连接隧道，将该通用路由器连接隧道加入到虚拟专用网络VPN域1中。

进行步骤S105、S106，客户侧边缘设备(PE)22如客户侧边缘设备(PE)21配置一样，将相应的端口配置为虚拟局域VLAN网200，与网络侧边缘设备(PE)32相连的端口打上(标出)Vlan taged(图中未示出)；

如此，本发明的虚拟专用网络实现方法就已经实现，下面结合附图3，说明虚拟专用网络VPN域中数据报文的学习过程，PC计算机1发送一个单播或者广播报文到客户侧边缘设备(CE)l，客户侧边缘设备(PE)l根据二层MAC地址转发，经报文直接广播到网络侧边缘设备1，网络侧边缘设备(PE)1端口收到报文(步骤S200)后，根据图3的流程图，将根据VLAN电路判断该电路是否属于虚拟专用网络域1(步骤S201)，如果不是则丢弃或者其他处理(步骤S400)，其他处理可能包括根据二层地址转发，或者三层路由转发；如果发现是属于虚拟专用网络VPN域1后，网络侧边缘设备(PE)1先进行源MAC地址学习(步骤S202)，这时网络侧边缘设备(PE)1上就记录有PC1的二层MAC地址，然后根据目的MAC判断(步骤S203)，没有对应的MAC记录，将根据VLAN电路信息查找相应的虚拟专用网络VPN域1(步骤S300)，然后查找该虚拟专用网络VPN域1所有的电路(步骤S301)上并进行复制转发(步骤S302)，包括通用路由器连接隧道1电路；通用路由器连接隧道1报文经过internet网上的众多路由器(41、42)后，最终到达网络侧边缘设备(PE)2(通用路由器连接隧道1填写的目的地址为网络侧边缘设备2)；如果有对应的MAC记录，则将根据目的MAC索引(S204)，对于相应的电路进行限速(S205)，然后根据目的MAC地址进行转发(S206)；

网络侧边缘设备(PE)32同样根据电路信息(这时是通用路由器连接隧道电路)，确定是虚拟专用网络VPN域1用户，网络侧边缘设备(PE)32也进行源MAC地址学习，并判断目的MAC地址，这时网络侧边缘设备(PE)32上如果有计算机13的二层MAC记录，将直接将报文发送到客户侧边缘设备(PE)22，由客户侧边缘设备(PE)22转发到PC计算机13；如果网络侧边缘设备(PE)没有学习到计算机13的二层MAC地址，它将根据虚拟专用网络VPN域1查找到该域内的所有电路(包括VLAN电路和隧道电路)，在除通用路由器连接隧道之外的所有电路上进行多目复制转发。

最后是数据报文直接转发过程，PC计算机11发送单播报文给PC计算机13，经过的转发路径直接为客户侧边缘设备(CE)21，网络侧边缘设备(PE)31，经中间路由器到网络侧边缘设备(PE)23，客户侧边缘设备(CE)22，最后直接到达PC计算机13，没有复制转发过程。

对同一个网络侧边缘设备(PE)下的同一个虚拟专用网络VPN域用户，其数据报文转发过程基本相同，只是不经过通用路由器连接隧道，不再赘述。

本发明在实现时可能有多种不同的方案，本文中所涉及的具体实现方案只是其中一种。熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (9)

1、一种虚拟专用网络的实现方法，其特征在于，包括：

步骤1，将需要接入虚拟专用网络域的计算机接入客户侧边缘设备；

步骤2，在客户侧边缘设备上相应的端口划分特定的虚拟局域网，以标识是接入的虚拟专用网络域用户；

步骤3，在网络侧边缘设备上配置所述虚拟专用网络域，将接入的虚拟局域网电路加入所述虚拟专用网络域，并在接入的所述虚拟局域网电路上配置接入速率限制；

步骤4，在所述网络侧边缘设备上配置通用路由器连接隧道，并将所述通用路由器连接隧道作为一条电路加入到所述虚拟专用网络域中。

2、根据权利要求1所述虚拟专用网络的实现方法，其特征在于，还进一步包括：

步骤5，在虚拟专用网络域中接入远端，依所述步骤2-步骤3配置相应的客户侧边缘设备和网络侧边缘设备；

步骤6，在所述接入远端将至少一个需要接入虚拟专用网络域的计算机接入所述客户侧边缘设备。

3、如权利要求1或2所述的方法，其特征在于，还包括所述网络侧边缘设备在所述虚拟专用网络域中进行数据报文转发的步骤。

4、如权利要求3所述的方法，其特征在于，所述进行数据报文转发的步骤还包括：

步骤71，所述计算机发送一报文到与之连接的客户侧边缘设备中，该客户侧边缘设备根据二层媒体接入控制MAC地址转发，将该报文直接广播到与之连接的网络侧边缘设备；

步骤72，所述与之连接的网络侧边缘设备端口收到该报文后根据报文信息判断其接入的虚拟局域网电路是否属于所述虚拟专用网络域；如果是，则所述与之连接的网络侧边缘设备进行源MAC地址学习；

步骤73，所述与之连接的网络侧边缘设备判断其是否记录了所述计算机的目的MAC地址，如果有，则根据虚拟局域网电路进行限速，然后根据目的地址进行报文的复制和转发；如果没有，则根据所述虚拟局域网电路信息查找相应的虚拟专用网络域，然后在该虚拟专用网络域的包括通用路由器连接隧道电路、虚拟局域网电路的所有电路上进行报文的复制和转发，经过互连网上的多个路由器最终到达目的地址所对应的网络侧边缘设备。

5、如权利要求4所述的方法，其特征在于：在步骤72中，当判断接入的虚拟局域网电路不是属于所述虚拟专用网络域时，则丢弃收到的报文。

6、如权利要求4或5所述的方法，其特征在于，在步骤73中，所有的电路包括通用隧道电路。

7、如权利要求4或5所述的方法，其特征在于，还包括，所述多个网络侧边缘设备进行MAC源地址学习后在包括通用路由器连接隧道电路和虚拟局域网电路的所有的电路上进行报文的多目复制转发。

8、如权利要求4或5所述的方法，其特征在于：对同一网络侧边缘设备下的同一虚拟专用网络域用户，所述数据报文不经过通用路由器连接隧道而直接转发。

9、一种采用权利要求1、2、4或5所述方法的虚拟专用网络，其特征在于，包括：

多个接入端；

一客户侧边缘设备，用于将需要接入虚拟专用网络域的所述接入端接入，在所述客户侧边缘设备上相应的端口划分特定的虚拟局域网，以标识是接入的虚拟专用网络域用户；

一网络侧边缘设备，在所述网络侧边缘设备上配置所述虚拟专用网络域，将接入的虚拟局域网电路加入所述虚拟专用网络域，并在接入的所述虚拟局域网电路上配置接入速率限制；

一通用路由器连接隧道，配置于所述网络侧边缘设备上，并将所述通用路由器连接隧道作为一条电路加入到所述虚拟专用网络域中。

Images