CN1981488B - 用于多域虚拟专用网络中的连接确定的方法和安排 - Google Patents

Abstract

在每个域中通过推送机制来收集在具有至少两个互连域的通信网络中的关于VPN的信息。所述关于VPN的信息至少包括不同VPN当前在其中可用的域的域ID。在每个域中收集域VPN信息。所述收集可以由外部事件来触发，外部事件比如是VPN信息中的一个改变。所提供的域VPN信息被散布到邻近域，优选地是在由域运营者之间的SLA所赋予的限制之下。以级联的方式，全部可用域VPN信息被散布到所有域。对所收集的关于VPN的信息进行评估以便找出合适的连接路径。

Description

用于多域虚拟专用网络中的连接确定的方法和安排

技术领域

本发明总地涉及通信系统中的虚拟专用网络，并且具体地涉及确定到多域通信系统中的虚拟专用网络的适当连接路径。

背景技术

虚拟专用网络(VPN)利用公用或专用通信网络来实施私有通信。传统上，想要建立广域网的公司或其它客户必须在每个节点之间提供其自己的专用线以提供连通性。然而，这样的解决方案通常是昂贵的且不零活的。在过去的几年中，VPN的概念已经得到了迅速发展。VPN提供了一种解决方案，其中在许多客户之间共享一个通信网络，但是其中每个客户的通信实际上是分开的。VPN技术通常是基于隧穿(tunnelling)的思想。网络隧穿牵涉到建立和维持一个逻辑的网络连接。在这个连接上，将分组封装在一些其它的基础或承载协议内。然后它们在VPN客户机和服务器之间被传送，并且最后在接收机侧被去封装。鉴权和加密帮助提供安全性。

有一种趋势是形成VPN的网络节点的数量快速增长，这导致了巨大的复杂的网络结构和拓扑。这个问题的引发，部分是因为VPN上的不断增长的业务量，而部分是因为要求VPN覆盖的地理区域越来越大。今天，存在有提供在各洲都有节点的VPN的通信网络。然而，节点越多以及要传送的业务量越多，VPN的配置就变得越复杂。

常规地，根据网络运营者和客户之间的协定来创建VPN。对节点的位置、服务质量以及其它条件达成协议，并且运营者的程序设计人员手动地或通过咨询配置辅助工具来设立配置。当具有越来越复杂的通信网络时，这样的配置变得越来越复杂并且费时。当配置跨越若干域的连接时，典型地存在多个可选的连接路径。于是必须以适当的方式收集和汇编来自若干域的信息。而且，当客户想要修改其VPN时，必须重复该整个过程。

发明内容

因此现有技术解决方案的总的问题在于，提供具有巨大地理覆盖范围和/或具有巨大业务量的虚拟专用网络的通信网络变得很复杂。另一个问题在于，新VPN的配置或已存在的VPN的修改变得复杂和费时。再一个问题在于，覆盖较小地理区域的网络运营者的通信资源通常不能用于广域VPN。还有一个问题在于，收集和汇编来自不同域的VPN信息是既费时又复杂。

因此本发明的总的目的在于，改进用于找出VPN的适当连接路径的方法、以及提供实现这样的方法的系统和设备。本发明的另一个目的在于，提供用于找出利用一个以上网络域的VPN的连接路径的方法。本发明的再一个目的在于，提供用于找出VPN的连接路径的方法，所述方法基本上不依赖于在不同域中使用的实际的VPN技术。本发明的又一个目的在于，提供一种使能VPN的最佳或接近最佳配置的方法。

上述目的通过本发明的方法和设备来实现。

按照本发明的一个方面，提供了一种用于在具有至少三个互连域的通信网络内的多域虚拟专用网络VPN中确定第一域中的第一节点和第一VPN之间的连接路径的方法，该方法包括以下步骤：在每个域中收集所述每个域中可用的关于VPN的信息，所述关于VPN的信息至少包括其中所述VPN当前可用的域的域ID；将所述关于VPN的信息散布到邻近域；接收来自邻近域的关于VPN的信息；基于所接收的来自邻近域的关于VPN的信息而将关于VPN的信息分发到其它邻近域；以及根据质量测度来评估关于所述第一VPN的信息，以便找出所述第一域中的所述第一节点和所述第一VPN之间合适的连接路径.

按照本发明的另一方面，提供了一种通信网络域设备，该通信网络域设备包括：用于收集关于所述通信网络域设备的域中可用的虚拟专用网络VPN的信息的装置，关于第一VPN的信息至少包括其中VPN当前可用的域的域ID；用于在具有至少三个互连域的通信网络中散布所述关于VPN的信息到邻近域的装置；用于接收来自所述通信网络中的邻近域的关于VPN的信息的装置；用来基于所接收的来自邻近域的关于VPN的信息而将关于VPN的信息分发到其它邻近域的装置；以及用于根据质量测度来评估所述关于VPN的信息，以便找出从所述域的节点到所述第一VPN的合适的连接路径的装置。

一般而言，在第一域中通过推送机制来收集在具有至少两个互连域的通信网络中的关于VPN的信息。关于VPN的信息至少包括不同VPN当前在其中可用的域的域ID。在每个域中收集域VPN信息。域VPN信息的提供可以以不同的方式来执行，例如以集中式或分布式的方式或者通过检索所存储的数据来收集数据。在特定实施例中，分布的VPN控制节点被局限于域的边界节点(border node)。在特定实施例中，域VPN信息从该域的边缘节点(edge node)收集。这可以通过被动地提取来自边缘节点的广播信息、通过请求来自边缘节点的域VPN信息或其组合的方式来执行。所述收集可以由外部事件来触发，外部事件比如是VPN信息中的一个改变。所提供的域VPN信息被散布到其它域，优选地是在由域运营者之间的SLA所赋予的限制之下的。在一个优选实施例中，域VPN信息被散布到邻近域，该邻近域修改其自身的域VPN信息并且由此还转发所接收的VPN信息给另外的邻近域。以这样的级联的方式，整个的可用域VPN信息被散布到所有域。对所收集的关于VPN的信息进行评估以便找出适当的连接路径。在一个实施例中，执行根据质量测度的评估，并且据此选择一条最佳连接路径。在一个优选实施例中，执行评估并且配置所有的超过预定阈值的连接路径。因而，实际需要的统计评估可以在某个初始的操作时间之后来执行。

本发明的一个重要优势在于，它提供了一个简单且稳定的平台，在该平台上不同域的运营者可以协作。使得可得到域VPN信息以用于支持在一个多域系统的基本上所有域中的VPN配置。所发明的方法提供了一种手段，用来确保有可能根据目前的域状况找出一个最佳的或接近最佳的连接路径。本发明特别适合于在具有相对稳定的配置和拓扑的通信网络中实现。

附图说明

通过参考下面结合附图所做的描述，本发明及其另外的目的和优势可以被最佳地理解，其中：

图1是提供虚拟专用网络的一个多域通信网络的示意图；

图2A是根据本发明一个实施例的VPN信息收集的示意图；

图2B-D是根据本发明其它实施例的VPN信息收集的示意图；

图3A-D是根据本发明的、在一个域内的VPN控制节点配置的实施例；

图4是根据本发明一个实施例的VPN信息转发和连接请求的示意图；

图5是VPN信息转发中的一个无限循环(endless loop)情形的示意图；

图6A是根据本发明的一个一般性VPN控制节点的实施例的框图；

图6B是根据本发明的一个VPN控制节点的另一个实施例的框图；

图7是根据本发明一个实施例的VPN配置的示意图；以及

图8是示出了根据本发明方法的一个实施例的主要步骤的流程图。

具体实施方式

图1中示出了一般VPN提供者体系结构1的一个实施例。在这个VPN提供者体系结构中，存在有五个VPN提供者域10A-E，其由域间数据连接12A-G彼此相连。一个运营者可以控制这些域10A-E中的一个或多个，或者它们可以全部由独立的运营者来控制。域10A-E之间的关系，即域间数据连接12A-G的控制典型地根据有关运营者之间的协定例如VPN服务级协定(SLA)来调节。每个VPN提供者域10A包括VPN边缘节点14和中心节点16，其可以是VPN知晓的或VPN不知晓的节点，其中仅少数被提供有参考标号。VPN边缘节点14是通过其把不同客户的客户站点20连接到体系结构1中的不同VPN的节点。VPN不知晓的节点16正是域内的中间节点并且仅用于转发VPN边缘节点14之间的消息和数据。客户不知道哪些VPN不知晓的节点被用于通信。唯一重要的事情是开始和结束VPN边缘节点14。因此在一个域中连接的VPN可以由VPN边缘节点14之间的一条直线来表示，即使实际的通信可能是经由一个或若干个VPN不知晓的节点16发生的。在本公开内容的剩余部分中，VPN不知晓的节点的存在通常将被忽略，因为根据本发明的基本程序步骤不直接取决于任何VPN不知晓的节点16的存在与否。然而，在实际的实现中，很可能将VPN不知晓的节点16用于提供实际的连通性。

VPN提供者域10A-E经由VPN边界节点18在数据平面上被连接，即域间数据连接12A-G是在VPN边界节点18中开始和结束的。VPN边界节点18可能同时还充当作VPN边缘节点14或者可能不这样。客户站点20被连接到VPN边缘节点14之一。同一客户的客户站点20然后可以由VPN 22A-C来连接通过VPN提供者域10A-E。一个客户可以具有被连接到不同VPN 22A-C的客户站点20。此外，一个以上的客户站点20可以被连接到同一VPN边缘节点14，但是它们将不知道其它客户站点20的存在以及其它客户站点20被连接到的VPN的存在。

在本实施例中，示出了三个VPN 22A-C。然而，本领域的任一技术人员都明白，真实系统中的VPN的数量典型地会高得多。用虚线所示的第一VPN 22A在三个域10A、10C、10D上延伸并且连接所有这些域中的客户站点20。用点线所示的第二VPN 22B在本实施例的所有域10A-E上延伸。最后，用点划线所示的第三VPN 22C连接仅在域10B中的客户站点20。每个客户站点20都不知晓其它客户的客户站点20的存在以及除了其所连接到的那个VPN之外的任何VPN的存在。以这样的方式，尽管各VPN都共享同样的基本通信资源，但仍保留了它们的隐密特征。这是本发明优选地工作在其中的情景。

在本公开内容中，讨论了不同的连接-域间、域内、用户平面连接、控制平面连接、覆盖控制连接、节点和用户终端之间的连接等等.假设在整个描述中这些连接可以是有任何种类的.本发明的基本思想不取决于实际的连接技术.这意味着可以将有线的和无线的技术用于这些连接中的任何一种.特别地，关于无线连接的使用，用户终端可以是相对于边缘节点可移动的.域内的节点可以是相对于其它节点可移动的.甚至所述域可能是相对于彼此可移动的.

现在，考虑把一个新的客户站点20’连接到域10E中的一个VPN边缘节点14’。如果客户站点20’想要被连接到VPN 22B，那么过程或许相对简单，因为VPN 22B已经存在于域10E中。可以采用根据现有技术的手动或自动VPN重新配置过程，以及也可以在它们之间混合。然而，如果新的客户站点20’想要连接到VPN 22A或22C，则情况变得比较困难。在现有技术中，没有通用的域间VPN配置过程。

本发明的一个基本思想涉及到提供域VPN信息，包括在各个域中可用的VPN的VPN身份。

首先，描述了几个例子，举例说明可以如何收集域信息。这结合图2A-3D来做出。然后主要的发明思想如下。

图2A示出了提供域VPN信息的初始阶段的一个实施例。每个VPN边缘节点14已经存储了反映它自己的当前VPN配置的信息，该信息至少有关在该特定VPN边缘节点14处哪些VPN已经连接了客户站点。在特定实施例中，VPN边缘节点14还具有关于哪些客户被连接到该VPN边缘节点14以及当前VPN和客户站点20之间的关联的信息。在某些实施例中，提供了这样的信息，诸如VPN地址空间和地址类型(本地的或全球的)，通过要求比如带宽、时延和抖动来指定的VPN服务质量等级，和/或VPN设立，即隧道或滤波器的使用。还可以包括诸如加密属性、透明层属性、隧穿属性和拓扑属性这样的信息。此外，VPN边界节点18已经存储了关于其所属的VPN提供者域的身份的信息。

根据本发明的一个实施例，存储在每个VPN边缘节点14中的域VPN信息或其至少一部分，由同一域10A-E中的每个边界节点18来收集。这在图2A中显现为箭头，其中的某些被提供有参考标号24。以这样的方式，自身域的聚合的域节点信息在每个域10A-E的每个VPN边界节点18中都可得到。该通信的一种备选方案是使用一种类似于BGP(边界网关协议)的通信协议，将该信息散布在整个域上而无需任何特定的关于哪里需要信息的知识。边界节点然后可以挑选所有需要的信息。这是用于分发域VPN信息的一种推送机制的例子。

图2B示出了用于提供域VPN信息的另一个实施例，现在是集中到一个域10C。如果VPN边界节点18已经存储了关于在同一域10C中存在哪些边缘节点14的信息，则VPN边界节点18可以简单地请求23任一VPN边缘节点14返回其域节点信息24。以这种最简单的请求信息的形式，该请求本身可以是关于该VPN边缘节点14是否与例如通过域互连12F接收的某一VPN有关联的询问。在这种情况中应答消息将不包括象这样的任何信息，但是将隐式地传递在该特定VPN边缘节点处的这个特定VPN的信息。这是用于分发域VPN信息的一种推送机制的例子。

域VPN信息还可以使用不同的定时来收集.一种备选方案是连续地或至少定期地将这样的信息收集到边界节点，以便确保可用信息总是最新的.在这样的实施例中，信息优选地被存储在边界节点中或是从该边界节点可检索的任何其它节点中，参见下面进一步描述的实施例.另一种备选方案是由某个事件来触发所述信息收集.这个事件可以例如是来自一个有某种变化的边缘节点的广播消息，或如上所述地是一个用于寻找特定VPN的请求.如果所有的边缘节点都具有关于在该域中哪些边界节点可用的知识，那么当这样的变化出现时，该信息还可以被直接发送到所有的边界节点.在由一个寻找某一VPN的请求触发而搜索信息的情况下，所收集的信息可以被限制于那一个VPN，并且甚至可以不必被存储来供以后使用.

图2C示出了一个实施例，其中域VPN信息以集中的方式来收集。贮存器54被提供来存储由不同边缘节点14所提供的所有的域VPN信息24。使用这样的域VPN信息的任何功能性可以从中央贮存器54检索这个信息。

图2D示出了基于域VPN数据的集中式收集的另一个实施例。这里，请求23或其它外部信号可以初始化VPN数据24向贮存器54的提供。这个请求23不必来自贮存器54自身。

作为在域节点中间收集域VPN信息的一种备选方案，域VPN信息可以替代地通过从数据贮存器检索数据来提供。这种被存储的数据可以例如是根据以上过程的数据的预先收集的结果，或者可以从其它地方提供。

在前面所描述的实施例中，域中的数据的提供由边界节点或者与之具有直接关联的节点来执行。在图3A中也示出了这样的情况。这里，更详细地示出了多域系统中的一个域10A。边界节点18负责通过数据连接12A和12B去往和来自其它域的数据业务。在该特定实施例中，边界节点18包括用于收集域VPN信息的装置41，它具有例如位于边界节点18的处理器中的软件功能性的形式。域VPN信息可以被存储在贮存器54中。用于操控关于整个域的域VPN信息的VPN控制节点43，因此在这个特定实施例中被实现为本地装置41在每个边界节点18处的一个分布。

在图3B中，示出了另一个特定实施例。这里，边界节点18仍包括与域VPN信息有关的功能性实体41。然而，在这个特定实施例中，分布式VPN控制节点43包括装置41和中央数据库54，其中装置41用于提供域VPN信息，它位于边界节点18中或与边界节点18相结合。在中央数据库54中，存储了目前最新的并且优选地还有历史的VPN信息。

在图3C中，示出了又一个特定实施例。这里，VPN控制节点43是集中式的，并且包括用于提供域VPN信息的装置41以及基本上在相同位置上提供的中央数据库54。在这个特定实施例中，边界节点18仅用于操控VPN控制节点和相邻域之间的通信45。也可以以这种方式来利用边界节点18中的关于与实际数据业务有关的控制信令的功能性，以便用信号通知有关VPN配置的控制消息。

在图3D中，示出了具有事实上与系统中的边界节点分立的VPN控制节点43的实施例。在这样的实施例中，VPN控制节点43通过专用VPN控制信号连接47被连接到在其它域中的VPN控制节点，从而创建了其自身的高层网络。

在本发明的特定实施例中，所提供的域VPN信息可以在系统内被传递，即在不同的域之间被传递.这在图4被示出.第一个步骤是提供每个域内的VPN信息.这由每个域中的VPN控制节点43来执行.然而，在不同的域之间VPN控制节点43的配置可以不同.在图4中，显示出域10A具有类似于图3A所示例子的VPN控制节点43，域10C具有类似于图3B所示例子的VPN控制节点43，并且域10B、10D和10E具有类似于图3C所示例子的VPN控制节点43.根据调节不同域之间的业务的每个SLA，在这个实施例中，每个VPN控制节点43中的可用域VPN信息的至少一部分被传递到相邻域中的反作用(counteracting)VPN控制节点.箭头28示出了信息的这种域间传递.SLA可以包括关于应当使多少可用信息可用于相邻域的协定.一般情况下，VPN控制节点将可用的域内VPN信息处理成适合转发到相邻域的经汇编的或经处理的VPN信息.如果域是紧密相关的，例如属于同一运营者，那么SLA可以牵涉到交换域VPN域信息中的整体透明性.在其它情况下，在VPN控制节点43之间传递的经处理的信息28可以是经汇编的VPN信息，仅展现关于个别域VPN的非常基本的事实.在本实施例中，必须经过域间连接12A-G发送的信息至少包括：在发送该信息的边界节点之外的某处可用的VPN身份.

根据本发明，关于VPN的信息至少包括该VPN当前在其中可用的域的域ID。优选地，关于VPN的信息还包括另外的数据，比如但不限于：该VPN的属性、当前由该VPN使用的链路的链路质量、可用于扩展该VPN的链路的链路质量、该VPN在其上可用的节点的节点ID、以及关于哪些域必须被穿越以便到达一个该VPN在其中可用的域的信息。VPN的属性可以包括例如服务质量属性、加密属性、透明层属性、隧穿属性、以及拓扑属性。

在图4中，在域间连接12A-G上发送的信息28引起了在接收VPN控制节点处的总的可用VPN信息状况的更新。这个VPN控制节点现在也具有例如什么VPN经由该域间连接是可用的信息。如果有更详尽的信息可用的，那么该VPN控制节点还可以确定例如这些不同VPN在其上可用的边缘节点的身份、VPN的服务质量等等。这样获得的VPN信息现在是邻域的特性，并且如果SLA允许的话可以用于那个域中的活动。存储在该VPN控制节点43的贮存器54中的信息可以与从相邻域接收的信息相同，或者与经增加、删除或修改所述接收信息所得的处理版本相同。例如，该信息可以被标注有它源自于什么域的指示。

这个信息的分发可以在许多接连的步骤中继续进行，在某些情况下，在被转发到另一个域之前对该信息施加进一步的修改，类似于所述第一传递。最后，整个VPN提供者体系结构1中的所有VPN控制节点都具有在系统中可用的所有域VPN信息的至少一个经处理版本。在每个VPN控制节点上，所述信息可以根据SLA进行处理，其中所述SLA是对于将要使用的相关域间连接有效的。

域VPN信息的交换可以使用不同的定时来执行。一种备选方案是连续地或至少定期地交换这样的信息，以便保证可用信息总是最新的。在这样的实施例中，所述信息优选地被存储在VPN控制节点中或存储在VPN控制节点可检索的任何其它节点中。换句话说，这个备选方案是用于数据分发的一种典型的推送机制。

另一种备选方案是由某个事件来触发信息交换。这个事件可以例如为在一个域中发生的某种变化。

在一个优选实施例中，VPN信息的散布还与应答过程有关联。当一个域已经接收到来自邻近域的VPN信息时，返回一个应答消息以便通知提供该VPN信息的域：该信息现在在该域中可用。优选地，与所转发VPN信息关联的所接收的应答被转发到该VPN信息首先来自的域中。换句话说，VPN信息在一个方向上被转发，而相应的应答消息被回过来转发。

现在，考虑一个新的客户站点20’到一个边缘节点14’的连接，打算被连接到某一VPN。控制节点43识别出一个新客户站点20’被连接并调查它打算连接到哪个VPN。根据本发明，提供手段以找出关于想要的VPN的信息、并且根据质量测度来找出到该VPN的适当的连接路径。

当VPN控制节点43发起VPN连接请求时，它把所请求的VPN与所存储的信息相比较，其中所述信息是关于通过其域间连接可用的VPN的。关于在哪个域中存在该VPN以及通过哪个域间连接可到达该VPN的信息是可用的。在图4中，所请求的VPN是图1中的VPN 22A。域10E的VPN控制节点43具有关于以下情况的信息，即：VPN 22A是按照两条不同的路径通过边界节点18:1可用的。到达VPN 22A的一种备选方案是经过域间连接12D、通过域10B、和经过域间连接12A。VPN22A然后存在于域10A内。到达VPN 22A的另一种备选方案是经过域间连接12D、通过域10B、和经过域间连接12C。VPN 22A然后存在于域10C内。然而，域10E的VPN控制节点43还具有关于VPN 22A经由另一个边界节点18的信息。这里，所请求的VPN 22A经过域间连接12E可到达，因为VPN 22A在域10C中是可用的。最后，所请求的VPN22A经过域间连接12G可到达，因为VPN 22A在域10D中也是可用的。

当分析可能的连接时，必须给出关于不同的域如何被连接在一起的信息。这个信息可以以许多不同的方式来获得。由于本发明最有利地是工作在具有相对稳定的配置的系统中，所以假定域和域间连接的“地图”被散布在不同的域上。

VPN控制节点43因此具有用于找出所请求的VPN的所有必需的信息。VPN控制节点43通过为每个可能的连接路径确定质量测度来评估关于所需VPN的可用信息。这样的质量测度可以基于例如将要建立的新链路的数量、在到达所需VPN之前经过的域的数量、该VPN所到达的节点位于所需VPN内的怎样的中心位置、将要建立的链路的最小服务质量属性、等等。在这个例子中，经过域间连接12E的路由看起来最易于使用，但是例如可用的服务质量水平可能会改变这样的判定。

找出适当连接路径的处理过程可以根据不同的原理来执行。一种可能性是：具有一个接受阈值、并且从根本上将只考虑具有超过该接受阈值的质量测度的连接路径。对于剩余的适当连接路径，可以选择具有最高质量测度的那个连接路径来进行配置。在全部接受连接候选的极端情况下，还可以决定选择一条以上的连接路径来进行配置。

在本发明中，所提供的域VPN信息被散布到整个系统1的所有VPN控制节点43上。以这样的方式，对于寻找适当VPN的请求可以直接向“归属”域的VPN控制节点43提出。VPN信息的提供和交换可以象前面指出的那样被连续地、定期地执行，或甚至由所述请求自己来触发。

这个方法具有的缺点在于，整个系统1必须在每个单个VPN控制节点43中被更新。然而，在域和VPN的结构相当静态的系统中，保持VPN控制节点43更新所必需的通信努力相对较低。

在系统上散布VPN信息的处理过程中，优选地存在对进一步转发接收信息的局限性。在图5中，示出了一种潜在地给出VPN信息供应的无限循环风险的情形。通信网络1包括五个域10A-E。在域10E中，VPN 22A可用。现在考虑一种情形，其中VPN 22A以某种方式变化，例如域内连接被升级以支持更高的带宽。域10E执行VPN信息的内部更新并且发送被更新的VPN信息给其唯一的邻近域10A。域10A更新其自己的数据库并且转发该VPN信息给域10B。

关于VPN 22A的信息也在域10B中被更新.该更新信息然后被转发给另外的邻近域10C和10D.在这些域中也重复该过程并且执行该VPN信息的进一步的转发.域10C发送该信息给域10D，并且域10D发送同样的信息给域10C.该过程继续进行，并且VPN信息的无限循环将在域10B-D之间循环.在本发明的优选实施例中，提供了用于禁止信息请求无限循环地被转发的手段.和这样的信息请求的发送或接收相结合地，优选地提供了这样的用于禁止信息请求的循环的手段，即它们被安排成或是禁止向新的邻近域的实际转发、或是禁止对接收的信息请求的接受.可能有造成在转发上的限制的若干实施例.这里，将在下面简要地提及其中的某些.

在循环禁止安排的一个实施例中，每个VPN信息消息被提供有一个身份。这个身份可以例如是具有某个唯一身份号的一个单独字段，或者该身份可以基于它携带的实际信息。如果使用VPN信息消息的单独的身份，那么所接收的和所接受的VPN信息消息优选地被存储在贮存器中。当新的VPN信息消息到达时，使用所存储的数据做出比较以揭示是否该信息请求此前已经被接收过。在这样的情况下，该请求被忽略。否则该请求被接受并且其身份被添加到贮存器中。

所述比较还可以连同VPN信息的实际转发一起来执行。在这样的情况下，消息身份可以被存储在贮存器中，并且转发所述请求的额外条件可以是：在数据库中不应当有两个完全相同的消息身份。

如果该身份是基于VPN信息自身，那么把所接收的VPN信息与当前存储在域中的相应的VPN信息进行比较。如果该VPN信息不引起做出任何变化，那么所接收的VPN信息被视作副本消息并且被拒绝。在这样的安排中，仅真正的更新被转发。

用于循环禁止的另一个实施例是基于关于转发路径的信息。通过在VPN信息消息自身中添加关于在转发处理过程期间经过了哪些域的信息，接收域可以容易地在这个信息中间搜索它自已的身份。如果其自己的身份存在，那么该信息被忽略。否则，添加其自己的身份并且可以转发该信息。所述比较也可以在发送侧做出。在转发VPN信息消息给一个域之前，该发送域搜索转发路径信息以查找其邻近域的身份。对于已经存在于转发路径中的域，转发被禁止。

再一个实施例是基于寿命(life-time)。当创建原始VPN信息更新时可以设置一个确定的寿命，例如通过固定一个有效性期满时间。当接收和/或转发这样的信息时，对照例如系统时间来检查这个有效性期满时间，并且当有效性期满时，不再执行转发。寿命概念的一个变体是设置剩余寿命，其然后结合每个转发减小该剩余寿命。当所述剩余寿命成为零时，不再执行转发。这个方法然后还可以被这样使用，利用转发次数作为“时间”测度，即由初始化规定允许转发的最大次数。对于每次转发，剩余次数被减少一个单位。

图6A示出了根据本发明的一个相对一般的VPN控制节点43的一个特定实施例的框图，其提供了连接路径确定安排.VPN控制节点43包括用于提供域VPN信息的装置52.这个信息可以由域中的其它节点通过连接62提供.主控制通信接口40被提供来与其它域进行通信.这个接口40可以与域内连接62相联合地来安排.提供了评估单元49，其调查是否所请求的VPN的身份匹配于域VPN信息.评估单元49还被安排来根据质量测度而执行上面所讨论的关于所请求VPN的信息的评估以便找出适当的连接路径.可以从自身域的另一个节点接收VPN请求，或者可以在VPN控制节点内发起VPN请求.外部VPN操控部件44负责操控域间VPN配置.外部VPN操控部件44包括用于将关于在自身域中可用的VPN的信息散布到邻近域的装置71.外部VPN操控部件44还包括用于接收的装置73和用于分发的装置72，该用于接收的装置73用于接收来自邻近域的关于VPN的信息，而用于分发的装置72用来基于从邻近域接收的关于VPN的信息将信息分发到其它邻近域.装置71-73尤其是装置71-72可以优选地以集成的方式来安排，因为有不同装置的许多共同部分功能性.然而，在其它实施例中，可以提供单独的单元.内部VPN操控部件41具有用于配置自身域中的内部连接的功能性，并且优选地包括用于收集关于在自身域中可用的VPN的信息的装置，即用于提供域VPN信息的装置52.

图6B示出了根据本发明的VPN控制节点43的另一个特定实施例的框图。由内部VPN操控部件41来提供关于自身域的域VPN信息，其中内部VPN操控部件41包括用于收集的装置52，用于收集关于VPN的信息。在这个特定实施例中，内部域VPN信息被存储在数据存储器74中。在这个特定实施例中，通过与域中的另一个节点通信来提供这个信息，如箭头62所示。在其它的实施例中，这个信息可以以其它的方式来获得。内部域VPN信息还被转发到外部VPN操控部件44中的一个总的VPN信息数据库54。内部VPN操控部件41还包括内部配置机46，其具有用于配置自身域中的内部连接的功能性。内部VPN操控部件41被提供以内部域VPN信息，以及来自数据库54的信息。关于内部域问题的通信因此在内部VPN操控部件41和外部VPN操控部件44之间的连接42上执行。VPN控制节点43具有在域间连接上的与其它域的主控制通信接口40。来自其它域的域VPN信息由接口40来接收，并且输入处理单元56从所接收的数据中提取有用信息并且将这个外部信息存储到输入数据库58中。在这个输入数据库58中，还存储了象该外部数据是从哪个域接收的之类的额外信息。输入处理单元56和输入数据库58在这个实施例中被包括在用于接收的装置73中，该用于接收的装置73接收来自邻近域的关于VPN的信息。在适当的时候，输入数据库58更新总的VPN信息数据库54。外部VPN操控部件44还包括外部配置机60，其具有用于配置对于该域来说有关的部分域间连接的功能性。这个功能性在下面将更详细地加以描述。

外部VPN操控部件44还提供信息给其它域。与自身域和/或与其它域有关的域VPN信息被从数据库54提取并且提供给输出数据处理单元50。所检索到的信息根据与不同邻域有关的SLA进行处理并且被存储在输出数据库48中。SLA因此确定什么信息被允许散布给不同的相邻域。具有紧密关系的域运营者可以考虑更透明的信息交换，而属于不相关运营者的域可以应用更受限制的信息交换。在适当的时候，关于VPN的信息在接口40上被传送。在本实施例中，数据库54、输出数据处理单元50和输出数据库48被包括在公共单元71、72中，该公共单元71、72用于散布关于在自身域中可用的VPN的信息和基于从邻近域接收的关于VPN的信息来分发信息。

图7中示出的例子显示了可以如何自动操作随后的域间VPN的配置。在域10E中的新的客户站点20’应当被连接到VPN 22A。假定VPN隧道被用于域内部和域之间的VPN连接。采取下面的步骤。

域10E中的VPN控制节点以某种方式得到来自客户的连接到VPN 22A的请求。由于域10E的VPN数据库显示在域10E中不存在VPN 22A，所以域10E中的VPN控制节点不能将客户站点20’直接连接到域10E内部的VPN 22A。然而，源自于其它域的VPN信息是可用的，其表明在“下一跳”10B、10C和10D处可以找出到VPN 22A的连接路径。

域10E中的VPN控制节点根据上面讨论的质量测度的评估，决定仅经由“下一跳”10B来设立该VPN。它为VPN 22A设立了从客户站点20’被连接的边缘节点14’到边界节点18:1的VPN隧道71，其中边界节点18:1经由链路12D被连接到域10B.域10E中的VPN控制节点发起与域10B中的VPN控制节点的通信，进而为VPN 22A设立了经过链路12D到边界节点18:2的VPN隧道72。

域10B中的VPN控制节点经由“下一跳”10A设立该VPN。它为VPN 22A设立了从边界节点18:2到边界节点18:3的VPN穿越隧道73，其中边界节点18:2经由链路12D被连接到域10B，而边界节点18:3经由链路12A被连接到域10A。域10B中的VPN控制节点发起与域10A中的控制节点的通信，且设立了经过链路12A到边界节点18:4的VPN隧道74。由于VPN 22A存在于域10A中，所以域10A中的控制节点可以设立从所述经由链路12A被连接到域10B的边界节点到边界节点18:5的内部隧道75，其中边界节点18:5被连接到VPN 22A。在每个步骤之后，被更新的VPN数据库将可用于下一轮的VPN信息收集。

图8中示出了根据本发明的方法的实施例的基本步骤。该过程在步骤200中开始。在步骤210中，关于在每个域中可用的VPN的信息在各自域中被收集。在步骤212中，该关于VPN的信息被散布到邻近域。在步骤214中，接收来自邻近域的关于VPN的信息。基于来自邻近域的关于VPN的所述接收信息，在步骤216中将信息经过或者不经过任何中间处理地分发到其它邻近域。依据关于VPN的总的信息，在步骤218中做出质量测度的评估以便找出适当的连接路径。该过程在步骤299中结束。

以上所描述的实施例应被理解为本发明的几个说明性例子。本领域的技术人员应理解可以对这些实施例做出各种修改、组合和变化而不背离本发明的范围。特别地，不同实施例中的不同部分的解决方案可以被组合成其它的、在技术上有可能的配置。然而，本发明的范围由所附的权利要求来定义。

Claims (18)

1.一种用于在具有至少三个互连域的通信网络内的多域虚拟专用网络VPN中确定第一域中的第一节点和第一VPN之间的连接路径的方法，包括以下步骤：

在每个域中收集所述每个域中可用的关于VPN的信息，所述关于VPN的信息至少包括其中所述VPN当前可用的域的域ID；

将所述关于VPN的信息散布到邻近域；

接收来自邻近域的关于VPN的信息；

基于所接收的来自邻近域的关于VPN的信息而将关于VPN的信息分发到其它邻近域；以及

根据质量测度来评估关于所述第一VPN的信息，以便找出所述第一域中的第一所述节点和所述第一VPN之间合适的连接路径。

2.根据权利要求1所述的方法，其中散布步骤是对所有邻近域来执行的，以及分发步骤是对除了提供所接收的关于VPN的信息的所述邻近域之外的所有邻近域来执行的。

3.根据权利要求1或2所述的方法，其中散布步骤和分发步骤中的至少一个被定期地执行。

4.根据权利要求1或2所述的方法，其中散布步骤和分发步骤中的至少一个是在由一个事件触发时被执行的。

5.根据权利要求4所述的方法，其中所述事件是关于在所述每个域中可用的VPN的信息中的一个改变。

6.根据权利要求4所述的方法，其中所述事件是接收到来自一邻近域的关于VPN的信息。

7.根据权利要求1或2所述的方法，包括以下进一步的步骤：

返回应答消息给从其获得关于VPN的信息的邻近域；

接收来自邻近域的应答消息；以及

基于所接收的来自邻近域的关于VPN的信息，把所接收的对于该被分发消息的应答消息转发到从其接收所述关于VPN的信息的邻近域

8.根据权利要求1所述的方法，包括如下的进一步的步骤，即禁止在通信网络内无限循环地转发关于VPN的信息。

9.根据权利要求8所述的用于确定连接路径的方法，其中禁止步骤在将关于VPN的信息分发给一邻近域之前执行。

10.根据权利要求8所述的用于确定连接路径的方法，其中禁止步骤在接受从另一个域接收的关于VPN的信息之前执行。

11.根据权利要求8至10的任一项所述的用于确定连接路径的方法，其中禁止步骤是基于当前接收的关于VPN的信息和代表先前接收的关于VPN的信息的数据贮存之间的比较。

12.根据权利要求8至10的任一项所述的用于确定连接路径的方法，其中禁止步骤是基于域身份和代表所接收的关于VPN的信息所经过域的数据之间的比较，其中所述数据被包括在所述关于VPN的信息中。

13.根据权利要求8至10的任一项所述的用于确定连接路径的方法，其中禁止步骤是基于所述关于VPN的信息的寿命。

14.根据权利要求1所述的方法，其中所述关于VPN的信息另外包括至少下述之一：

所述第一VPN的属性；

当前由所述第一VPN使用的链路的链路质量；

可用于扩展所述第一VPN的链路的链路质量参数；

VPN在其上可用的节点的节点ID；以及

关于必须穿越哪些域以便到达其中VPN可用的域的信息。

15.根据权利要求14所述的方法，其中所述第一VPN的属性包括至少下述之一：

服务质量属性；

加密属性；

透明层属性；

隧穿属性；以及

拓扑属性。

16.一种通信网络域设备，包括：

用于收集关于所述通信网络域设备的域中可用的虚拟专用网络VPN的信息的装置，关于第一VPN的信息至少包括其中VPN当前可用的域的域ID；

用于在具有至少三个互连域的通信网络中散布所述关于VPN的信息到邻近域的装置；

用于接收来自所述通信网络中的邻近域的关于VPN的信息的装置；

用来基于所接收的来自邻近域的关于VPN的信息而将关于VPN的信息分发到其它邻近域的装置；以及

用于根据质量测度来评估所述关于VPN的信息，以便找出从所述域的节点到所述第一VPN的合适的连接路径的装置。

17.根据权利要求16所述的通信网络域设备，其中用于散布的装置被安排来将关于VPN的信息散布到所有的邻近域，以及用于分发的装置被安排来将所接收的关于VPN的信息分发到除了提供所接收的关于VPN的信息的邻近域之外的所有邻近域。

18.根据权利要求16或17所述的通信网络域设备，还包括：

用于将应答消息返回给从其获得关于VPN的信息的邻近域的装置； 

用于接收来自邻近域的应答消息的装置；以及

用来基于从邻近域接收的关于VPN的信息而把对该分发的信息的接收的应答消息转发到从其接收该关于VPN的信息的邻近域的装置。

Images