WO2011032472A1 - 虚拟专用网络的实现方法及系统 - Google Patents

虚拟专用网络的实现方法及系统 Download PDF

Info

Publication number
WO2011032472A1
WO2011032472A1 PCT/CN2010/076777 CN2010076777W WO2011032472A1 WO 2011032472 A1 WO2011032472 A1 WO 2011032472A1 CN 2010076777 W CN2010076777 W CN 2010076777W WO 2011032472 A1 WO2011032472 A1 WO 2011032472A1
Authority
WO
WIPO (PCT)
Prior art keywords
vpn
mapping
host
attribute
destination host
Prior art date
Application number
PCT/CN2010/076777
Other languages
English (en)
French (fr)
Inventor
晏祥彪
孙翼舟
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to JP2012529108A priority Critical patent/JP2013504959A/ja
Priority to EP10816676.0A priority patent/EP2466817A4/en
Priority to KR1020127006643A priority patent/KR101399002B1/ko
Priority to US13/395,966 priority patent/US20120173694A1/en
Publication of WO2011032472A1 publication Critical patent/WO2011032472A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5601—Transfer mode dependent, e.g. ATM
    • H04L2012/5603—Access techniques
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/69—Types of network addresses using geographic information, e.g. room number

Definitions

  • the present invention relates to a location identity separation technique, and more particularly to a method and system for implementing a virtual private network.
  • 4G is the abbreviation of the 4th generation mobile communication system.
  • the goal of 4G is to provide an IP bearer network-based solution for voice, data and streaming services, enabling users to get a more "anytime, anywhere, any business”. High-speed communication environment.
  • NGN Next Generation Network
  • NGN Next Generation Network
  • 3G and 4G are the core of the research on next-generation networks in the field of wireless communications, aiming to improve the quality of wireless mobile communications based on the all-IP packet core network; NGN and NGI (Next-Generation Internet) are the telecommunications network and the Internet.
  • Research on next-generation network convergence; CNGI China's Next Generation Internet
  • CNGI China's Next Generation Internet
  • Northern Jiaotong University's "Integrated Trusted Network and Pervasive Service System Basic Research” hopes to build A unified new packet network.
  • the widely accepted view of various studies is that the future network is a unified bearer network based on packets. Therefore, research on the next generation network architecture will use the Internet as the main reference.
  • the Internet has maintained rapid growth since its birth. It has become the most successful and most vital communication network in the world. Its flexible and extensible, efficient packet switching, and powerful functions of the terminal are in line with the design requirements of the new generation network.
  • the Internet will be the main reference blueprint for the new generation network design. .
  • the structure of the Internet is far from optimal, and there are many major design issues.
  • Internet invention in the 1970s it is difficult to predict that there will be a large number of mobile terminals and multiple township terminals in the world today, so the Internet Protocol at the time
  • the stack is primarily designed for terminals that are connected in a "fixed" manner.
  • the transmitted address is the received address, and the path is reversible, so the IP address with dual attributes of identity and location can work very well.
  • the IP address also represents the identity and location that exactly met the network needs of the time. From the perspective of the network environment at the time, this design scheme is effective and simplifies the hierarchy of the protocol stack. But there is no doubt that there is an internal contradiction between the identity attribute of the IP address and the location attribute.
  • the identity attribute of an IP address requires that any two IP addresses be equal.
  • IP address can be assigned according to the organization, there is no necessary relationship between consecutively encoded IP addresses, or at least there is no necessary relationship in the topological position.
  • the location attribute of the IP address requires that the IP address be assigned based on the network topology (rather than the organization).
  • the IP addresses in the same subnet should be in a contiguous block of IP addresses so that the network topology can be made.
  • IP address prefix aggregation which reduces the routing table entries of router devices and ensures the scalability of the routing system.
  • DHCP Dynamic Host Configuration Protocol
  • Routing scalability issues There is a basic assumption about the scalability of the Internet routing system: "The address is allocated according to the topology, or the topology is deployed according to the address, and the second one is selected.
  • the identity attribute of the IP address requires the IP address to be based on the terminal.
  • the organization (rather than the network topology) is allocated, and this allocation must be stable and cannot be changed frequently; and the location attribute of the IP address requires the IP address to be assigned based on the network topology to ensure the routing system is available.
  • Scalability In this way, the two attributes of the IP address create conflicts, which eventually leads to the scalability problem of the Internet routing system. 2. Mobility problem.
  • the identity attribute of the IP address requires that the IP address should not change as the location of the terminal changes. This ensures that the communication on the identity is not interrupted, and that the terminal can still use its identity after the terminal is moved.
  • the communication link is established; the location attribute of the IP address requires the IP address to change as the terminal location changes, so that the IP address can be aggregated in the new network topology, otherwise the network must reserve a separate route for the mobile terminal.
  • Information which causes a sharp increase in routing table entries.
  • a number of township issues A plurality of townships usually refer to terminals or networks that access the Internet through a network of multiple ISPs (Internet Service Providers).
  • ISPs Internet Service Providers
  • the advantages of multiple township technologies include increased network reliability, support for traffic load balancing across multiple ISPs, and increased overall available bandwidth.
  • the identity attribute of an IP address requires that a plurality of home terminals always display the same identity to other terminals, regardless of whether the multiple township terminals access the Internet through several ISPs; and the location attribute of the IP address requires that multiple township terminals are different. Communication is performed using different IP addresses in the ISP network to ensure that the IP address of the endpoint can be aggregated in the topology of the ISP network.
  • IP address contains both the identity information and the location information of the terminal, the communication peer and the evil The intended eavesdropper can simultaneously obtain the identity information and topology location information of the terminal according to the IP address of a terminal.
  • the technical environment and user groups of the Internet have undergone earth-shaking changes, and the Internet needs to be innovated.
  • the dual attribute problem of IP addresses is one of the root causes that plague the Internet. It is a good way to solve the problems faced by the Internet by separating the identity attributes and location attributes of IP addresses.
  • the new network will be designed based on this idea, and propose a network structure in which identity information and location information are separated and mapped to solve some serious drawbacks of the existing Internet.
  • identity and location In order to solve the problem of identity and location, the industry has carried out a lot of research and exploration.
  • the basic idea of all identity and location separation schemes is to separate the identity and location dual attributes originally bound to the IP address.
  • URL Uniform Resource Locator
  • FQDN Full Domain Name, qualified domain name
  • some schemes use the application layer URL (Uniform Resource Locator, URL is an identification method for completely describing the address of web pages and other resources on the Internet) or FQDN (Fully Qualified Domain Name, qualified domain name) As a terminal identity, etc.; some schemes introduce a new namespace as an identity, such as HIP (Host Identity Protocol) to add a host identity on the network layer identified by the IP address; some solutions will be IP The address is classified, part of the IP is used as the identity, and part of the IP is used as the location identifier.
  • the LID Licator/ID Separation Protocol
  • EID endpoint ID
  • RLOC outing Locator
  • Location identification as location identification, etc.
  • the LISP working group was established in the IETF.
  • the charter of the LISP working group will be devoted to the LISP basic protocol (draft-farmacci-lisp-12.txt ), LISP+ALT ( LISP Alte Rnative Topology, LISP optional topology mapping system ( draft-fuller-lisp-alt-05.txt), LISP interoperability (draft-lewis-lisp-interworking-02.txt), LISP mapping server (draft-fuller-lisp-ms-OO.txt), LISP multicast (draft-farinacci-lisp-multicast-01.txt) work.
  • the working group will encourage and support the work of defining requirements for interoperable LISP implementations and boundary mapping systems, and the working group is also working on the security configuration of ALT or other mapping systems.
  • a VPN virtual private network
  • VPN can interconnect components and resources of different networks.
  • VPN can utilize the Internet network or other public internet
  • the infrastructure creates tunnels for users and provides the same security and functional guarantees as private networks.
  • VPNs can be implemented in a variety of ways, which can be divided into user-managed VPN solutions (CPE-VPN) and carrier-implemented VPN solutions (PP-VPN).
  • CPE-VPN solution The user-managed VPN solution (CPE-VPN solution) is characterized in that the user sets, manages, and maintains the VPN gateway device, and establishes a standard VPN tunnel-based connection between each branch office and the corporate headquarters through the public IP network.
  • the tunnel protocol usually It adopts Layer 2 Tunneling Protocol (L2TP), Point-to-Point Tunneling Protocol (PPTP), IPsec (Secure IP), IP m IP (IP encapsulated in IP), and Generic Routing Encapsulation (GRE), and utilizes various Encryption technology and network address translation (NAT) technology to ensure the security of data transmission.
  • L2TP Layer 2 Tunneling Protocol
  • PPTP Point-to-Point Tunneling Protocol
  • IPsec Secure IP
  • IP m IP IP encapsulated in IP
  • GRE Generic Routing Encapsulation
  • the establishment and management of the VPN tunnel connection is entirely the responsibility of the user. The provider does not need to adjust or change the structure and performance of the network. This method is also known as the "self-built VPN" method.
  • VPN supports enterprises to establish connections with branch offices or other companies through public Internet such as the Internet for secure communication. This VPN connection established across the Internet is logically equivalent to the connection established between the two places using the WAN.
  • VPN communication is based on the public internet, users feel like they are using a private network for communication, so they are named virtual private networks.
  • the use of VPN technology can solve the problem that employees need to access central resources and communicate with each other in a timely and effective manner when the amount of remote communication is increasing and the global operation of the enterprise is widely distributed.
  • VPN Remote user access through VPN.
  • VPN supports remote access to enterprise resources through the public Internet.
  • VPN users first dial the network access server (BRAS) of the local access service provider (ISP). Then, using the VPN software, create a VPN across the Internet or other public Internet between the remote user and the corporate VPN server using the connection established with the local ISP.
  • BRAS network access server
  • ISP local access service provider
  • Branch offices and enterprise routers can use their local dedicated lines to connect to the Internet through a local ISP, or dial-up access to the ISP's broadband access server to connect to mtemet.
  • Use VPN software utilize connections with local ISPs and Internet networks in branch offices and enterprise routers Create a VPN between.
  • the VPN technology uses the Layer 2 Tunneling Protocol (L2TP), which allows encryption of IP, IPX (Internetwork Packet Exchange protocol) or NetBEUI (NetBIOS Extend User Interface) data streams. It is then sent over any network that supports peer-to-peer datagrams, such as IP, X.25, ⁇ Relay or ATM (Asynchronous Transfer Mode). Secure IP (IPSec) tunnel mode.
  • the IPSec tunnel mode allows IP payload data to be encrypted and then encapsulated in an IP header to be sent over an enterprise IP network or a public IP internetwork such as the Internet.
  • the VPN solution implemented by the operator refers to setting up a VPN gateway device on the public data communication network of the operator for dedicated line access users or remote dial-up access users.
  • VPNs can be established through tunnel encapsulation, virtual routers, or MPLS (multi-protocol label switching) technologies according to specific VPN network requirements, and encryption technologies can be used to ensure data transmission security.
  • MPLS multi-protocol label switching
  • the establishment of the VPN connection is completely responsible for the operator and is transparent to the user. This method is also known as the "outsourcing VPN” method.
  • Ethernet technology Due to the extensive use of Ethernet technology at the access network level, the current technology for implementing network partitioning based on Ethernet is mainly Virtual Local Area Network (VLAN) technology.
  • VLAN Virtual Local Area Network
  • VLAN is an emerging technology that implements virtual workgroups by logically, rather than physically, dividing devices within a local area network into individual network segments.
  • IEEE The Institute of Electrical and Electronics Engineers, IEEE promulgated a draft of the 802.1Q protocol standard for standardizing VLAN implementations in 1999.
  • the traditional Ethernet frame format defines 4096 VLANs.
  • VLAN is proposed to solve the broadcast problem and security of Ethernet. It adds VLAN headers based on Ethernet frames, divides users into smaller working groups by VLAN ID, and restricts users between different working groups. Layers exchange visits, each workgroup is a virtual local area network.
  • the advantage of virtual local area network is that it can limit the broadcast range, and can form a virtual work group and dynamically manage the network.
  • the VLAN isolates the broadcast storm and also isolates between different VLANs. Communication, so communication between different VLANs is required to have a route to complete.
  • VLANs There are several ways to divide VLANs. The first is to divide the VLAN according to the port; the way to divide the VLAN according to the port is still the most commonly used one; the second is to divide the VLAN according to the MAC (Media Access Control) address, this VLAN-based method.
  • the biggest advantage is that when the user's physical location moves, that is, when switching from one switch to another, the VLAN does not need to be reconfigured. The disadvantage is that all users must be configured during initialization, resulting in reduced efficiency of the switch.
  • Dividing VLANs this method of dividing VLANs is based on the network layer address or protocol type of each host (if multi-protocol is supported) rather than routing, so even if the user's physical location changes, there is no need to reconfigure the VLAN to which it belongs.
  • the disadvantage is that re-parsing the frame header will reduce the efficiency;
  • the VLAN is divided according to IP multicast, and IP multicast is actually a VLAN definition, that is, a multicast group is a VLAN, and this division method expands the VLAN to WAN, so this method has more flexibility, and it is easy to go through the router Extension.
  • VLANs are widely used in broadband access.
  • the core network or wide area network is more widely used in MPLS (Multi-Protocol Label Switching) MPLS VPN.
  • MPLS Multi-Protocol Label Switching
  • the network model of the MPLS VPN includes:
  • the Customer Edge (CE) device can be a router or a Layer 2 switch, which is located at the client and provides access to the network provider.
  • the provider edge (PE, Provider Edge) router is mainly maintained.
  • the forwarding table associated with the node exchanges VPN routing information with other PE routers and forwards the VPN service using the Label Switched Path (LSP) in the MPLS network.
  • LSP Label Switched Path
  • the provider router (PR, Provider Router) uses the established LSP to transparently forward the VPN data, and does not maintain the routing information related to the VPN. This is the Label Switching Router (LSR) in the MPLS network.
  • LSR Label Switching Router
  • MPLS VPN provides anti-attack and token spoofing methods by means of route isolation, address isolation and information hiding. Therefore, MPLS VPN can provide security similar to ATM/FR VPN.
  • Scalability MPLS VPN is highly scalable. On the one hand, the number of VPNs that can be accommodated in an MPLS network is large. On the other hand, the number of user nodes is allocated and managed by means of BGP (Border Gateway Protocol). Restricted, easy to expand, and enables direct communication between any node and any other node.
  • BGP Border Gateway Protocol
  • MPLS VPN services naturally have large bandwidth, multi-node, multi-route, abundant network and transmission resources to ensure network reliability.
  • IGP Interior Gateway Protocol
  • the above-mentioned virtual private network VPN technology is integrated into the existing data communication network.
  • the IP address has the dual meaning of identity and location.
  • the IP address is only With the location attribute, as the identifier of the geographical location of the end-host three-layer network, the identity of the end host is added for the end identity of the communication transmission, and the location identifier of the end host is determined by the geographical location and network topology of the end host.
  • the change of the location causes the location identifier of the end host to change, and the identity of the end host belongs to the identifier uniquely used by the terminal identity, and does not change during the process of the terminal host moving.
  • the mapping between the end host identity and the location identifier must be added, and the functional entity is required to complete the mapping relationship.
  • the impact on the VPN technology implementation is affected, and the impact on the VPN solution (PP-VPN) implemented by the operator is relatively small.
  • the location and identity separation mainly involve the identity and connection of the VPN user. Incoming management needs to use the identity of the end host for authentication. Management, the management system needs to be upgraded; for the user-managed VPN solution (CPE-VPN solution), the location and identity separation, the latter host no longer uses the IP address for communication, and the end host's identity EID needs to be used for communication.
  • CPE-VPN solution the user-managed VPN solution
  • the location and identity separation the latter host no longer uses the IP address for communication
  • the end host's identity EID needs to be used for communication.
  • the impact is relatively large, and the VPN software needs to be upgraded to handle the identity of the supporting host.
  • the technical problem to be solved by the present invention is to provide a method and system for implementing a virtual private network to implement a virtual private network in a location identity separation network.
  • the present invention provides a method for implementing a virtual private network, the method being implemented based on a Location Identity Separation Protocol (LISP) network, where the VPN network includes an input tunnel router (ITR), a mapping server, and an output tunnel.
  • the router (ETR) the method includes: A. After receiving the data packet sent by the source host, the ITR sends a mapping request message to the host host VPN attribute storage network element, where the VPN attribute and the destination end of the source host are carried. The identity of the host;
  • the end host VPN attribute storage network element receives the mapping request message, and determines a VPN attribute of the destination end host according to the identity identifier of the destination end host;
  • C. The end host VPN attribute storage network element comparison office If the VPN attributes of the source host and the destination host are the same, the mapping query is performed and the mapping response message is returned, which carries the location identifier of the destination host. Otherwise, the unreachable information is returned.
  • the ITR receives the mapping response message, and forwards the LISP data packet to the ETR according to the location identifier of the destination host, where the ETR forwards the LISP data packet to the destination host;
  • the end host VPN attribute storage network element is the mapping server or ETR.
  • the ITR firstly queries the local mapping relationship after receiving the data packet sent by the source host, and if the destination host identifier is found, the VPN attribute of the source host and the destination host are If the VPN attributes are the same, the location identifier of the destination host is obtained, and the data packet is forwarded to the ETR according to the location identifier of the destination host. Otherwise, step A is performed.
  • the LISP data packet is forwarded to the destination host only when the ETR source host and the destination host have the same VPN attributes.
  • the mapping request message and the mapping response message are sent through a LISP control message path; in step D, the data message is sent through a LISP data message path, and the datagram is sent.
  • the document contains VPN attributes.
  • the VPN attribute includes a VPN identifier, and different VPN identifiers represent different VPN networks.
  • the VPN attribute includes information about whether the source host is a VPN end host.
  • the present invention also provides an implementation system of a virtual private network, where the system includes an input tunnel router (ITR;), a mapping server, and an output tunnel router (ETR), where:
  • the ITR includes a first data packet transceiver module, a packet processing module, a first control packet receiving module, a first local mapping table, and a mapping query module, where:
  • the first data packet transceiver module is configured to: receive a data packet sent by the source host, and forward the LISP data packet to the ETR; the packet processing module is connected to the first data packet transceiver module And configured to parse the received data packet and notify the mapping query module, and generate a mapping request message according to the query result of the mapping query module, where the VPN attribute of the source host and the identity identifier of the destination host are carried; The mapping response message received by the first control packet transceiver module generates a LISP data packet forwarded to the ET; the first control packet transceiver module is connected to the packet processing module, and is configured as a forward host VPN.
  • the attribute storage network element sends the mapping request message, and receives a mapping response message sent by the end host VPN attribute storage network element;
  • the end host VPN attribute storage network element is the mapping server or ETR;
  • the first local The mapping table is set to: save the mapping relationship between the VPN attribute, the identity identifier, and the location identifier;
  • the mapping query module is connected to the packet processing module and the first local mapping table, and is configured to query the VPN attribute of the source host according to the identity of the source host;
  • the mapping server includes the second control packet.
  • Module, second local mapping table and first image a processing module wherein: the second control message transceiver module is configured to: receive a mapping request message sent by the ITR, and send a mapping response message to the ITR; the second local mapping table is set to: save a VPN a mapping relationship between the attribute, the identity identifier, and the location identifier; the first mapping processing module is connected to the second control packet transceiver module and the second local mapping table, and configured to query the second locality according to the destination host identity identifier
  • the mapping table obtains the VPN attribute of the destination host, and compares whether the VPN attribute of the source host and the VPN attribute of the destination host are the same.
  • the ETR includes a second data packet transceiver module, a third control packet transceiver module, a third local mapping table, and a second mapping processing module;
  • the second data packet transceiver module is configured to: receive a LISP data packet sent by the ITR;
  • the third control packet transceiver module is configured to: receive a mapping request message sent by the ITR, and send a mapping response message to the ITR;
  • the third local mapping table is configured to: save a VPN attribute, an identity, and a location The mapping relationship of the identifier;
  • the second mapping processing module is connected to the third control packet transceiver module and the third local mapping table, and configured to query the third local mapping table according to the destination host identity identifier to obtain the VPN attribute of the destination host, and Comparing whether the VPN attribute of the source host is the same as the VPN attribute of the destination host. When the comparison result is the same, querying the third local mapping table to obtain the location identifier of the destination host; and setting the mapping response message according to the query result. .
  • the mapping query module of the ITR is configured to: query the first local mapping table according to the identity of the destination host, and compare whether the VPN attribute of the source host is the same as the VPN attribute of the destination host, When the same, the first local mapping table is queried to obtain the location identifier of the destination host; and is further configured to notify the packet processing module to generate a LISP forwarded to the ETR.
  • the data message is configured to notify the message processing module to generate the mapping request message if the mapping relationship between the destination host is not found.
  • the first control packet sending and receiving module of the ITR is further configured to: send a mapping maintenance request to the mapping server, where the type of the maintenance operation and the mapping relationship to be maintained are carried; and the third control packet of the ETR is sent and received.
  • the module is further configured to: send a mapping maintenance request to the mapping server, where the maintenance operation type and the mapping relationship to be maintained are carried;
  • the second control packet sending and receiving module of the mapping server is further configured to: receive the ITR or ETR transmission
  • the first mapping processing module of the mapping server is further configured to: maintain the second local mapping table according to the mapping maintenance request, where the maintenance operation type includes registration, cancellation, and modification.
  • the mapping request message and the mapping response message are sent by using a LISP control message path; the data message is sent through a LISP data message path, and the data message includes a VPN attribute.
  • the VPN attribute includes a VPN identifier, and different VPN identifiers represent different virtual private networks.
  • the VPN attribute includes information about whether the source host is a VPN end host.
  • the present invention also provides another implementation method of a virtual private network, which is implemented by a virtual private (VPN) network implementation system based on a Location Identity Separation Protocol (LISP) network framework, and the VPN network is implemented.
  • VPN virtual private
  • LISP Location Identity Separation Protocol
  • the system saves the mapping relationship between the VPN attribute, the identity identifier, and the location identifier, and the method includes: a packet receiving step, the VPN network implementing the system to receive the packet sent by the source host; and a mapping processing step, where the VPN network implements the system comparison source Whether the VPN attribute of the end host and the VPN attribute of the destination host are the same. If the mapping is the same, the mapping relationship is obtained, and the location identifier of the host is obtained. If the information is different, the unreachable information is generated. Packet processing steps, the VPN The network implementation system forwards the packet according to the location identifier of the destination host or ends the process according to the unreachable information.
  • the packet forwarding is performed, otherwise the process ends.
  • the mapping processing step is implemented by an input tunnel router (ITR), a mapping server or an output tunneling router (ETR) in the LISP network architecture.
  • the VPN attribute includes a VPN identifier, and different VPN identifiers represent different VPN networks.
  • the VPN attribute includes information about whether the source host is a VPN end host.
  • the present invention further provides an implementation system of a virtual private network, which is implemented based on a network of a location identity separation architecture, and includes: a message receiving device configured to receive a packet sent by a source host And notifying the mapping processing device to perform mapping processing; the mapping processing device is connected to the packet receiving device, and is configured to save a mapping relationship between a virtual private network (VPN) attribute, an identity identifier, and a location identifier, and perform mapping
  • the processing includes the following: comparing the VPN attributes of the source host and the destination host are the same, and when the same, the saved mapping relationship is obtained, and the location identifier of the destination host is obtained, and the unreachable information is generated when the source host is different;
  • the mapping processing result is sent to the "3 ⁇ 4 text processing device; the message processing device is connected to the mapping processing device, and is configured to receive the mapping processing result, and perform message processing according to the mapping processing, specifically
  • the method includes: forwarding the packet according to the location identifier of the destination host
  • the message processing device is further configured to compare whether the VPN attributes of the source host and the destination host are the same, and if the same, the packet is forwarded, otherwise the process ends.
  • the mapping processing device is implemented by an input tunnel router (ITR), a mapping server or an output tunnel router (ETR), and the message receiving device and the message processing device are implemented by the ITR.
  • the VPN attribute includes a VPN identifier. Different VPN identifiers represent different VPN networks.
  • the VPN attribute includes information about whether the source host is a VPN end host.
  • the implementation method and system of the virtual private network of the invention is implemented based on the location identity separation network
  • the VPN adds the corresponding VPN attribute in the mapping between the identity identifier and the location identifier.
  • the mapping process is performed, when the VPN attribute of the source host is the same as the VPN attribute of the destination host, the location identifier of the destination host is queried. Therefore, data forwarding is implemented according to the location identifier of the destination host; when the VPN attributes are different, the unreachable information is returned, thereby effectively implementing the virtual private network, ensuring the convenience and security of the VPN host communication, and satisfying User demand for virtual private networks.
  • Figure 1 is a schematic diagram of the composition of a LISP network architecture for location identity separation.
  • Figure 2 is a schematic diagram of the LISP+ALT network architecture.
  • FIG. 3 is a schematic diagram of an implementation system of a virtual private network according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a method for implementing a virtual private network according to an embodiment of the present invention.
  • the LISP (Locator/ID Separation Protocol) protocol network architecture is a network-based location identity separation scheme (for details, see the latest version of the technical documentation of the LISP working group of the Internet Engineering Task Forum IETF, draft-farinacci- Lisp-l l.txt ) , the IP address of the existing Internet is divided into an identity identifier (EID) and a location identifier RLOC (Routing Locator).
  • EID identity identifier
  • RLOC Location identifier
  • the end hosts including the EID identifier (ie, the first end host 100 and the second end host 110), the input tunnel router ITR (ingress tunnel router) 200, and the output tunnel router ETR (egress tunnel router) 210, wherein the ITR and the ETR are connected by the LISP control message path 300 and the LISP data message path 400.
  • the message handling the identity and location mapping uses the LISP protocol to control the message path 300 from the LISP. Forwarding, and the LISP encapsulated data message is forwarded from the LISP data message path 400.
  • a mapping server is also set for mapping processing, Not shown.
  • the LISP scheme implements the mapping management of the identity identifier EID (Endpoint identifier) and the location identifier RLOC (Routing Locator) by establishing a logical topology.
  • EID Endpoint identifier
  • RLOC Location identifier
  • the path is different, where LISP3 is a development path, EID is not routable, and mapping processing is required, among which LISP+ALT (LISP Alternative Topology, LISP optional topology).
  • LISP+ALT LISP Alternative Topology, LISP optional topology
  • LISP+ALT uses GRE and BGP routing protocols to build an existing network.
  • the overlay network of the architecture constructs a LISP control message path, and the tunnel router uses the overlay network to query and respond to the mapping relationship between the identity identifier and the location identifier, and the mapping relationship exists in the local cache (Cache) and the distributed database (the Distributed Endpoint Identifier-to-Routing Locator Mapping Database ), LISP Two access control router ITR, ETR together to complete the process and the mapping server mappings.
  • the ALT rtr in Figure 2 represents the router of the ALT overlay network.
  • the main idea of the implementation method and system of the virtual private network of the present invention is to implement a VPN in a location identity separation network, and add a corresponding VPN attribute in the mapping relationship between the identity identifier and the location identifier, and determine the source host when performing mapping processing. If the VPN attribute is the same as the VPN attribute of the destination host, the location identifier of the destination host is queried, and the data packet is forwarded according to the location identifier of the destination host. When the VPN attributes are different, the unreachable information is returned, and the communication fails. Therefore, the security of the host communication of the VPN end is ensured, and the user's demand for the virtual private network is satisfied.
  • the method for implementing a virtual private network is implemented based on a Location Identity Separation Protocol (LISP) network, where the virtual private network includes an input tunnel router (ITR), a mapping server, and an output tunnel router (ETR), the ITR, mapping
  • ITR input tunnel router
  • ETR output tunnel router
  • the server and the ETR save the mapping relationship between the virtual private network (VPN) attribute, the identity identifier, and the location identifier, and the method includes:
  • the ITR After receiving the data packet sent by the source host, the ITR determines the VPN attribute of the source host according to the local mapping relationship, and sends a mapping request message to the mapping server or the ETR, where the VPN attribute of the source host is carried. And the identity of the destination host; Specifically, the step may be implemented as follows: The input tunnel router ITR receives the single-layer LISP packet sent by the source host (there is no LISP header), and sends a mapping request message, waiting for the response to be LISP encapsulated;
  • the mapping server or the ETR may be referred to as an end host VPN attribute storage network element.
  • the ITR sends a mapping request message to the mapping server. If the ITR has determined the corresponding ETR of the data packet forwarding, the ITR may also send the mapping to the ETR. Mapping request message;
  • the mapping server or the ETR receives the mapping request message, and determines a VPN attribute of the destination host according to the identity of the destination host.
  • the mapping server or the ETR compares whether the VPN attributes of the source host and the destination host are the same. When they are the same, return a mapping response message to the ITR, where the location identifier (RLOC) of the destination host is carried, otherwise, return Unreachable information, the process ends;
  • the ITR receives the mapping response message, and forwards the LISP data packet to the ETR according to the location identifier of the destination host, where the ETR forwards the LISP data packet to the destination host.
  • the IT may update the local mapping relationship according to the mapping relationship of the mapping or the complete destination host, so that the ITR receives the subsequent data packet sent by the source host.
  • the mapping process and the data transfer process can be directly performed according to the local mapping relationship.
  • the mapping process of the ITR is the same as the mapping process of the mapping server and the ETR, that is, the local mapping relationship is queried, and if the destination host identity is found, the source is When the VPN attribute of the host is the same as the VPN attribute of the destination host, the location identifier of the destination host is obtained. If the local mapping relationship does not match the identity of the destination host, the ITR, mapping server, and ETR have different processing.
  • the mapping request message is sent to the mapping server; for the mapping server, if the identity of the destination host is not queried locally, then ETR forwards the mapping request message; for ETR, if it is queried locally
  • the identity of the destination host by mapping the server returns to the ITR unreachable information.
  • the ITR first encapsulates the data packet with LISP.
  • the source and destination addresses of the outer header of the encapsulated packet in the LISP protocol are the IP address of the ITR and the ETP, respectively.
  • the address that is, the RLOC, forwards the data packet encapsulated by the LISP to the ETR router through the data packet path, and the ETR performs the LISP decapsulation, and then sends the data packet to the EID terminal.
  • the EID of one end host can map one or several RLOCs.
  • mapping request message and the mapping response message mentioned above are sent through the LISP control message path; and the data message is sent through the LISP data message path.
  • VPN attributes have different meanings. The following situations exist:
  • the location identity separation network includes multiple end hosts of the VPN network. Different VPNs set different VPN IDs, and the VPN attribute refers to the VPN ID of the host. 2.
  • the location identity separation network includes an end host of the VPN network and an end host of the non-VPN network,
  • the VPN attribute indicates whether the host belongs to the VPN host.
  • the location identity separation network includes multiple end hosts of the VPN network and end hosts of the non-VPN network.
  • the VPN attribute refers to whether the host belongs to the VPN host and the VPN ID to which the VPN host belongs. For a VPN-side host, only the VPN IDs are the same, so that communication between VPN users can be established. Otherwise, communication cannot be established, ensuring that the VPN-side host cannot establish communication with the end hosts other than the VPN, and the end hosts other than the VPN cannot access the VPN network. , to ensure VPN network security.
  • the ITR and the ETR control the message to be sent to the mapping server by the LISP control packet path, where the maintenance operation type and the mapping relationship to be maintained are carried; the mapping server performs the local mapping table according to the mapping maintenance request. Maintenance, the types of maintenance operations include registration, cancellation, and modification. In addition, the ITR and the mapping server may also update the local mapping relationship according to the mapping relationship carried in the mapping response message.
  • the ITR and ETR referred to in the present invention are mutually input tunnel routers and output tunnel routers. For convenience of description, the present invention defines an input tunnel router and an output tunnel router according to the transmission direction of the data message.
  • Embodiment A virtual private network VPN embodying the present invention under a LISP (Locator/ID Separation Protocol) protocol network architecture.
  • LISP Licator/ID Separation Protocol
  • the mapping between the mapping between the host and the non-VPN host can be saved in different mapping tables or in the same mapping table. It can reflect the mapping relationship between VPN attributes, identity and location identifiers.
  • the following is an example of saving the sub-tables as follows: First, set the VPN ID for the end host of the virtual private network VPN whose identity is EID, and construct a mapping table dedicated to the VPN of the virtual private network, including the VPN identifier and all client hosts belonging to the VPN. The mapping between the identity identifier EID and the location identifier RLOC.
  • the VPN attribute can be embodied only by the VPN identifier.
  • the VPN host and the non-VPN host coexist, there are two mapping tables in the LISP network architecture, one is the LISP mapping table, there is no VPN identifier, and the other is the VPN mapping table with the VPN identifier.
  • the VPN attribute of the end host is the default non-VPN end host.
  • the LISP mapping table and the VPN mapping table are collectively referred to as a mapping table.
  • Each VPN network has a VPN identifier (VPN-ID) for identification.
  • VPN-ID VPN identifier
  • mapping relationship between the client hosts in the VPN mapping table can be dynamically added or deleted.
  • the ITR After receiving the LISP packet from the host, if the source EID of the packet belongs to the VPN, the ITR can only query the VPN mapping table of the VPN to which the user belongs, that is, the VPN identifier must be the same. In order to establish communication between VPN users, communication cannot be established, and communication with users other than the VPN mapping table cannot be established. Users outside the VPN mapping table cannot query the VPN mapping table and cannot access the VPN network to ensure VPN network security. Similarly, when the output tunnel router and the mapping server do mapping processing, it is also necessary to compare whether the VPN IDs of both parties are the same, and ensure that communication can only be established inside the VPN.
  • VPN mapping table construction example The first virtual private network VPN, the user is EID 1 , . . . , kl ) , assign VPN Identify VPN_ID—(1), you can build a VPN mapping table as follows:
  • the second virtual private network, the user is EID (a2, . . . , k2 ), and the VPN ID VPN_ID_(2) is assigned.
  • the VPN mapping table owned by the user is as follows:
  • the distribution of the VPN mapping table in the device of the LISP network architecture is as follows:
  • the input tunnel router ITR is the entry of the source EID terminal to access the VPN network, and the VPN identifier is set for the source EID belonging to the VPN.
  • the output tunnel router ETR stores the mapping database of the destination EID, and sets the VPN identifier for the destination EID belonging to the VPN.
  • LISP data packets The following describes the format of LISP data packets, LISP control packets, and LISP messages:
  • LISP data packet header format In the present invention, the LISP data packet header carries a VPN identifier, and the specific location is behind the Nonce column of the LISP message.
  • the format of the LISP VPN data packet header is as follows: /s/u O /-/-/-isosld isoiAV
  • IH inner header
  • OH outer header
  • VPN-ID indicates the VPN identifier
  • the LISP control packet header carries a VPN identifier, and the specific location is in the LISP message.
  • a mapping request message is sent when the ITR router needs an EID to RLOC mapping. Triggered by the mapping request message, the ETR returns an RLOC containing the EID matching of the mapping request.
  • the mapping registration message is used to register the mapping relationship between the EID and the RLOC to the mapping server, for example, the ETR issues an EID mapping relationship to the mapping server. In the packet, you can further increase whether the end host is the VPN address of the VPN terminal. When the packet is
  • the invention realizes the VPN under the LISP network architecture has the following characteristics: ( ⁇ ) setting the VPN attribute for the end host of the virtual private network VPN whose identity is EID, specifically the local mapping database of the input tunnel router ITR and the output tunnel router ETR (database) And setting the VPN attribute for the terminal of the identity EID in the mapping server (Map-server);
  • the IT When the IT sends the mapping request message, it uses the LISP VPN control packet header format, where the VPN attribute is the VPN attribute of the source EID.
  • the LISP VPN control packet header format is used, where the VPN attribute is the VPN attribute of the EID managed by the ETR.
  • the IT router encapsulates the LISP packet, the LISP VPN data packet header format of the present invention is used, and the VPN attribute is included.
  • mapping processing devices including ITR, mapping
  • mapping processing devices under the LISP network architecture
  • the mapping process is performed, the VPN attributes of the source EID and the destination EID are compared.
  • the mapping processing is performed only when they are the same, otherwise the unreachable information is returned.
  • the ETR When the ETR processes the mapping request message, it compares the VPN attribute of the source EID with the VPN attribute of the destination EID. When the ETR is the same, the LISP mapping process is performed, and the mapping response message is returned. Otherwise, the unreachable message is returned.
  • the mapping server performs mapping processing, only the VPN attribute of the source EID and the VPN attribute of the destination EID are equal, and the mapping message is processed. The processing of mapping messages of other LISP VPNs needs to compare the VPN identifiers to ensure the security of VPN communication. There are 12 kinds of mapping messages
  • the ETR output tunnel router decapsulates the LISP data packet, check whether the VPN attribute in the LISP VPN data packet header is the same as the VPN attribute of the destination EID. If the data is forwarded, the data is forwarded. For a VPN host, only the VPN ID is the same, the communication between the VPN hosts can be established. Otherwise, communication cannot be established, and communication with the end hosts other than the VPN cannot be established. The host other than the VPN cannot access the VPN network. VPN network security.
  • the present invention also provides an implementation system of a virtual private network, the system includes an input tunneling router (ITR), a mapping server, and an output tunneling router (ETR), where: the ITR includes a first data packet transceiver module, a packet processing module, a first control packet transceiver module, and a first local mapping.
  • ITR input tunneling router
  • ETR output tunneling router
  • the first data packet transceiver module is configured to receive a data packet sent by the source host, and forward the LISP data packet to the ETR; the packet processing module, and the first data
  • the packet sending and receiving module is configured to parse the received data packet and notify the mapping query module, and generate a mapping request message according to the query result of the mapping query module, where the VPN attribute of the source host and the identity identifier of the destination host are carried;
  • the method further includes: generating, according to the mapping response message received by the first control packet transceiver module, a LISP data packet forwarded to the ETR; the first control packet transceiver module is connected to the packet processing module, and configured to And a mapping response message sent by the end host and the end host VPN attribute storage network element; and is further configured to serve the mapping
  • the device sends a mapping maintenance request, where the maintenance operation type and the mapping relationship to be maintained are carried;
  • the first local mapping table is configured to save the mapping relationship between the VPN attribute, the identity identifier
  • the mapping query module is connected to the packet processing module and the first local mapping table, and configured to query the VPN attribute of the source host according to the identity of the source host; and query the first local according to the identity of the destination host
  • the mapping table is further configured to compare whether the VPN attribute of the source host is the same as the VPN attribute of the destination host, and if the comparison result is the same, query the first local mapping table to obtain the location identifier of the destination host;
  • the message processing module is configured to generate the LISP data forwarded to the ETR. When the mapping relationship of the destination host is not found, the message processing module is further configured to notify the text processing module to generate the mapping request message.
  • the mapping server includes a second control packet transceiver module, a second local mapping table, and a first mapping processing module, where: the second control packet transceiver module is configured to receive the mapping request message sent by the ITR, And sending a mapping response message to the ITR; the second local mapping table is configured to save a mapping relationship between the VPN attribute, the identity identifier, and the location identifier;
  • the first mapping processing module is connected to the second control packet sending and receiving module and the second local mapping table, and configured to query the second local mapping table according to the destination host identity to obtain the VPN attribute of the destination host, and compare Whether the VPN attribute of the source host is the same as the VPN attribute of the destination host, and when the comparison result is the same, querying the second local mapping table to obtain the location identifier of the destination host; and setting the mapping response message according to the query result;
  • the ETR includes a second data packet transceiver module, a third control packet transceiver module, a third local mapping table, and a second mapping processing module.
  • the second data packet transceiver module is configured to receive the LISP data sent by the ITR.
  • a third control message transceiver module configured to receive a mapping request message sent by the ITR, and send a mapping response message to the ITR; a third local mapping table configured to save a VPN attribute, an identity identifier, and a location identifier Mapping relationship; a second mapping processing module, and the third control packet transceiver module and The local mapping table is connected, and is configured to query the third local mapping table according to the destination host identity to obtain the VPN attribute of the destination host, and compare whether the VPN attribute of the source host is the same as the VPN attribute of the destination host, and compare When the result is the same, the third local mapping table is queried to obtain the location identifier of the destination host; and is further configured to generate a mapping response message according to the query result.
  • the mapping request message and the mapping response message are sent through a LISP control path; the data message is sent through a LISP data message path.
  • the third control packet sending and receiving module of the ETR is further configured to send a mapping maintenance request to the mapping server, where the maintenance operation type and the mapping relationship to be maintained are carried; the second control packet sending and receiving module of the mapping server is further configured to receive the ITR. Or a mapping maintenance request sent by the ETR; the first mapping processing module of the mapping server is further configured to perform a second according to the mapping maintenance request
  • the local mapping table performs maintenance, and the types of maintenance operations include registration, logout, and modification.
  • the implementation system of the virtual private network according to the embodiment of the present invention is implemented based on a network of a location identity separation architecture, including
  • the message receiving device 31 is configured to receive the message sent by the source host, and notify the mapping processing device 32 to perform mapping processing; the mapping processing device 32 is connected to the message receiving device 31, and saves the virtual private network (
  • the mapping between the attribute, the identity, and the location identifier is set to be mapped.
  • the VPN attribute of the source host and the destination host are the same. If the mapping is the same, the saved mapping relationship is obtained.
  • the message processing device 33 is connected to the mapping processing device 32 and configured to receive The mapping processing result, and the packet processing according to the mapping processing, specifically includes: The packet forwarding process is performed according to the location identifier of the destination host, and the communication process is terminated according to the unreachable information. Specifically, the packet processing device 33 can be configured to compare whether the VPN attributes of the source host and the destination host are the same. Then, the message is forwarded, otherwise the process ends.
  • the mapping processing device 32 can be implemented by an input tunnel router (ITR), a mapping server or an output tunnel router (ETR), and the message receiving device 31.
  • the message processing device 33 is implemented by the ITR.
  • the implementation method of the virtual private network in the embodiment of the present invention is implemented by a virtual private (VPN) network implementation system under the location identity separation (LISP) framework, and the VPN network The system saves the mapping relationship between the VPN attribute, the identity identifier, and the location identifier.
  • the method includes: Step 401: Receive a packet receiving step, where the VPN network implements receiving a packet sent by the source host;
  • Step 402 The mapping processing step, the VPN network implementation system compares the VPN of the source host Whether the attribute and the VPN attribute of the destination host are the same. If the mapping is the same, the mapping relationship is obtained, and the location identifier of the destination host is obtained. If the information is different, the unreachable information is generated.
  • Step 403 Packet processing step, the VPN network The system forwards the packet according to the location identifier of the destination host or ends the process according to the unreachable information.
  • the packet processing device compares the source host and the destination host
  • the VPN attribute of the present invention includes at least one of "VPN identity” or "is information of the VPN terminal host", and different VPN identifiers represent different virtual private networks, and are added in LISP data packets and control messages.
  • VPN properties The implementation method and system of the virtual private network of the present invention are based on the LISP network architecture of the location identity separation, and the corresponding VPN attribute is added in the mapping relationship between the identity identifier and the location identifier, and the VPN attribute and purpose of the source host are determined when the mapping process is performed.
  • the location identifier of the destination host is queried, so that the data is forwarded and established according to the location identifier of the destination host.
  • the unreachable information is returned, which effectively implements
  • the virtual private network ensures the convenience and security of the VPN host communication, and satisfies the user's demand for the virtual private network.
  • the implementation method and system of the present invention avoids the impact of implementing the existing virtual private network VPN under the network architecture of the location identity separation, and reduces the modification of the existing equipment and software to implement the VPN, especially the VPN solution implemented by the operator. (PP-VPN), the present invention can be used as one of the VPN solutions implemented by the operator.
  • the present invention provides a method and system for implementing a virtual private network, which implements a VPN based on a location identity separation network, and adds a corresponding VPN attribute in a mapping relationship between an identity identifier and a location identifier, and determines a source end when performing mapping processing.
  • the VPN attribute of the host is the same as the VPN attribute of the destination host
  • the location identifier of the destination host is queried, so that the data packet is forwarded according to the location identifier of the destination host.
  • the VPN attributes are different, the unreachable information is returned. Therefore, the virtual private network is effectively realized, the convenience and security of the communication of the VPN end host are ensured, and the user's demand for the virtual private network is satisfied.

Abstract

本发明公开一种虚拟专用网络的实现方法及系统，基于位置身份分离网络实现VPN，在身份标识与位置标识的映射关系中增加对应的VPN属性，在进行映射处理时，判断源端主机的VPN属性与目的端主机的VPN属性相同时，再查询目的端主机的位置标识，从而根据目的端主机的位置标识实现数据报文的转发；VPN属性不相同时，返回不可达信息，从而有效地实现了虚拟专用网络， 保证了VPN端主机通信的便利性和安全性， 满足了用户对虚拟专用网的需求。

Description

虚拟专用网络的实现方法及系统
技术领域 本发明涉及位置身份分离技术， 尤其涉及虚拟专用网络的实现方法及系 统。
背景技术
关于下一代信息网络架构的研究是当前最热门的课题之一。 这些研究课 题的基本方向是以话音业务为代表的电信网、 以视频业务为代表的电视网和 以数据业务为代表的互联网进行业务上的无缝地融合为目的 , 以网络承载 IP 化为特点，典型的实例如提供语音业务的 VOIP ( Voice over Internet Protocol, IP电话） 网络和提供电视业务的 IPTV网络、 以 IP核心网络承载的 3G移动 通信网络、 以及大量对于超 3G或者 4G网络的研究项目等。
4G是第 4代移动通信系统的简称， 4G 的目标是为语音、 数据和流媒体 业务提供一个基于 IP承载网络的解决方案， 使用户可以在 "任何时间、 任何 地点、 任何业务" 获得一个更高速的通信环境。
NGN ( Next Generation Network, 下一代网络）是建立在电信网基础上 的下一代网络， 旨在建立一个统一的基于 IP分组交换的传输层面。 在统一的 序的应用范围。
3G 和 4G 是无线通信领域对下一代网络的研究核心， 旨在基于全 IP 分 组核心网提高无线移动通信的质量； NGN 和 NGI( Next-Generation Internet ， 下一代互联网）分别是电信网和互联网领域对下一代网络融合的研究； CNGI ( China's Next Generation Internet,中国下一代互联网）旨在构建基于 IPv6 的 下一代互联网； 北方交大的 "一体化可信网络与普适服务体系基础研究" 希 望能构建统一的新分组网络。 虽然各种研究存在很大差异， 但是各种研究普 遍接受的观点是： 未来网络是基于分组的统一承载网络。 因此研究下一代网 络构架将以互联网为主要参考对象。互联网从其诞生以来一直保持高速发展， 已成为当前最成功、 最具生命力的通信网络， 其灵活可扩展性、 高效的分组 交换、 终端强大的功能等特点非常符合新一代网络的设计需要， 互联网将是 新一代网络设计的主要参考蓝本。然而， 互联网的结构还远远没有达到最优， 存在很多重大的设计问题。 除上述 IP地址空间无法满足应用需要外，还主要 表现在以下方面： 互联网发明于二十世纪七十年代， 人们难以预计今天世界上将存在大量 的移动终端和多家乡终端， 因此当时的互联网协议栈主要是针对以"固定"方 式连接的终端而设计。 在当时的网络环境下， 由于终端基本上不会从一个位 置移动到其它位置， 发送的地址就是接收的地址， 路径是可逆的， 所以具有 身份和位置双重属性的 IP地址能够非常好的工作， IP地址的身份属性与位 置属性之间没有产生任何冲突。 IP地址同时代表身份和位置恰恰满足了当时 的网络需求。 从当时的网络环境来看， 这种设计方案筒单有效， 简化了协议 栈的层次结构。但毋庸置疑的是， IP 地址的身份属性与位置属性之间存在着 内部矛盾。 IP 地址的身份属性要求任意两个 IP 地址都是平等的，虽然 IP 地 址可以按照组织机构进行分配， 但是连续编码的 IP 地址之间没有必然的关 系，或者至少在拓朴位置上没有必然的关系； IP 地址的位置属性则要求 IP 地 址基于网络拓朴 （而不是组织机构） 进行分配， 处于同一个子网内的 IP 地 址都应该处于一个连续的 IP 地址块中，这样才可以使网絡拓朴中的 IP 地址 前缀聚合，从而减少路由器设备的路由表的条目，保证路由系统的可扩展性。 伴随着网络规模和技术的发展， 一些动态分配 IP 地址的技术逐步出现， 如动态主机配置协议（DHCP, Dynamic Host Configuration Protocol ) , 这就 开始打破 IP 地址唯一表示一个终端的假定。私有 IP 地址空间的使用和网络 地址转换（ NAT , Network Address Translator )技术的诞生使得情况继续恶 化。 在这种情况下同时具有身份属性与位置属性的 IP 地址将难以继续胜任 它的角色， IP 地址的双重属性问题已经凸显出来。 除了技术层面的需求发生 了显著变化以外， 互联网的用户状况也已经发生了巨大的改变。 在互联网诞 生之后的最初几年中， 互联网基本上被一些处于共同团体且相互信任的人员 使用， 传统互联网协议栈也是基于此种假设而设计的； 而目前的互联网用户 则是鱼龙混杂， 人们难以继续互相信任。 在这种情况下， 缺乏内嵌安全性机 制的互联网也需要发生变革。 总的来说， IP 地址双重属性的内在矛盾将导致如下主要问题：
1. 路由可扩展问题。 关于互联网路由系统的可扩展性存在一个基本的假定： "地址按照拓朴进 行分配， 或者拓朴按照地址进行部署， 二者必选其一，，。 IP 地址的身份属性 要求 IP 地址基于终端所属的组织机构 （而不是网络拓朴） 进行分配， 而且 这种分配要保持一定的稳定性， 不能经常改变； 而 IP 地址的位置属性要求 IP 地址基于网络拓朴进行分配， 以便保证路由系统的可扩展性。这样， IP 地 址的两种属性就产生了沖突， 最终引发了互联网路由系统的可扩展问题。 2. 移动性问题。
IP 地址的身份属性要求 IP 地址不应该随着终端位置的改变而变化， 这 样才能够保证绑定在身份上的通信不中断， 也能够保证终端在移动后， 其它 终端仍能够使用它的身份与之建立通信联系； 而 IP 地址的位置属性则要求 IP 地址随着终端位置的改变而改变， 以便 IP 地址能够在新的网络拓朴中聚 合， 否则网络就必须为移动后的终端保留单独的路由信息， 从而造成路由表 条目的急剧增长。
3. 多家乡问题。 多家乡通常指终端或网络同时通过多个 ISP ( Internet Service Provider, 因特网服务提供商 ) 的网络接入到互联网。 多家乡技术的优点包括增加网络 的可靠性、支持多个 ISP 之间的流量负载均衡和提高总体可用带宽等。但是， IP 地址双重属性的内在矛盾使得多家乡技术难以实现。 IP 地址的身份属性 要求一个多家乡终端始终对其它终端展现不变的身份， 无论该多家乡终端是 通过几个 ISP接入到互联网； 而 IP 地址的位置属性则要求一个多家乡终端 在不同的 ISP 网络中使用不同的 IP 地址通信，这样才能保证终端的 IP 地址 能够在 ISP 网絡的拓朴中聚合。
4. 安全和位置隐私问题。 由于 IP 地址同时包含终端的身份信息和位置信息， 所以通信对端和恶 意窃听者都可以根据一个终端的 IP 地址同时获得该终端的身份信息和拓朴 位置信息。 总的来说， 自从传统互联网的体系结构建立以来， 互联网的技术 环境和用户群体都已经发生了翻天覆地的变化， 互联网需要随之进行革新。
IP 地址的双重属性问题是困扰互联网继续发展的根本原因之一， 将 IP 地址 的身份属性和位置属性进行分离， 是解决互联网所面临问题的一个很好的思 路。 新网络将基于这种思路进行设计， 提出一种身份信息与位置信息分离映 射的网络结构， 以解决现有互联网存在的一些严重弊端。 为了解决身份和位置的问题， 业界进行了大量的研究和探索， 所有身份 与位置分离方案的基本思想都是将原本绑定在 IP 地址上的身份与位置双重 属性分离。 其中， 有些方案采用应用层的 URL ( Uniform Resource Locator, 统一资源定位符， URL是用于完整地描述 Internet上网页和其他资源的地址 的一种标识方法） 或 FQDN ( Fully Qualified Domain Name, 合格域名） 作 为终端的身份标识等； 有些方案引入了新的名字空间作为身份标识， 如 HIP ( Host Identity Protocol, 主机标识协议）在以 IP地址为位置标识的网络层上 增加主机标识； 有些方案将 IP 地址进行分类， 部分 IP作为身份标识， 部分 IP作为位置标识， 如 LISP ( Locator/ID Separation Protocol, 位置身份分离协 议） 中使用 EID ( endpoint ID, 终端标识）作为身份标识， RLOC ( outing Locator, 路由位置标识）作为位置标识等； 在这些方案中尤其以 LISP的研究受到业界的关注， 在 IETF成立 LISP 工 作 组 ， LISP 工 作 组 的 章 程 将 致 力 于 LISP 基 本协 议 ( draft-farmacci-lisp-12.txt ) 、 LISP+ALT ( LISP Alternative Topology, LISP 可选拓朴） 的映射系统 （ draft-fuller-lisp-alt-05.txt ) 、 LISP 互操作性 ( draft-lewis-lisp-interworking-02.txt ) , LISP 映 射 月艮 务 器 ( draft-fuller-lisp-ms-OO.txt ) , LISP组播 ( draft-farinacci-lisp-multicast-01.txt ) 方面的工作。 工作组将鼓励和支持为具有互操作的 LISP 实现和边界映射系 统的需求定义的工作，工作组也致力于在 ALT或其他映射系统的安全配置方 面的工作。
VPN ( virtual private network , 虚拟专用网络）可以实现不同网络的组件 和资源之间的相互连接。 VPN能够利用 Internet网络或其它公共互联网络的 基础设施为用户创建隧道， 并提供与专用网络一样的安全和功能保障。
VPN有多种实现方式， 具体可以分为用户管理的 VPN解决方案 （CPE - VPN ) 和运营商实施的 VPN解决方案 （ PP - VPN ) 。 用户管理的 VPN解决方案 （ CPE - VPN方案）其特点是用户自己设置、 管理并维护 VPN网关设备， 通过公共 IP 网在各个分支机构和公司总部之间 建立基于标准 VPN隧道的连接， 隧道协议通常采用二层隧道协议 ( L2TP ) 、 点到点隧道协议 ( PPTP ) 、 IPsec (安全 IP ) 、 IP m IP ( IP里面封装 IP )和 通用路由封装 ( GRE, Generic Routing Encapsulation )等， 并且利用各种加 密技术和网络地址转换 ( NAT )技术来保障数据传输的安全。 VPN 隧道连接的建立与管理完全由用户自己负责， 提供商不需要调整 或改变网络的结构与性能。 这种方式也就是通常所说的 "自建 VPN" 方式。
VPN支持企业通过 Internet等公共互联网络与分支机构或其它公司建立 连接， 进行安全的通讯。 这种跨越 Internet建立的 VPN连接逻辑上等同于两 地之间使用广域网建立的连接。 虽然 VPN通讯建立在公共互联网络的基础 上，但是用户在使用 VPN时感觉如同在使用专用网络进行通讯， 所以得名虚 拟专用网络。使用 VPN技术可以解决在当今远程通讯量日益增大，企业全球 运作广泛分布的情况下， 员工需要访问中央资源， 企业相互之间必须进行及 时和有效的通讯的问题。
VPN的基本用途： 通过 VPN实现远程用户访问， VPN支持以安全的方式通过公共互联网 络远程访问企业资源， 例如 VPN用户首先拨通本地接入服务提供商 （ ISP ) 的网络接入服务器 （ BRAS ) ， 然后使用 VPN软件， 利用与本地 ISP建立的 连接在远程用户和企业 VPN服务器之间创建一个跨越 Internet或其它公共互 联网洛的 VPN。 使用 VPN连接远程局域网络， 不需要使用价格昂贵的长距离专用电路， 分支机构和企业端路由器可以使用各自本地的专用线路通过本地的 ISP连通 Internet, 或者拨号接入 ISP的宽带接入服务器连接 mtemet。 使用 VPN软件， 利用与当本地 ISP建立的连接和 Internet网络在分支机构和企业端路由器之 间创建一个 VPN。
VPN技术釆用第 2 层隧道协议（L2TP ) ， L2TP协议允许对 IP， IPX ( Internetwork Packet Exchange protocol, 互联网分组交换协议 )或 NetBEUI ( NetBIOS Extend User Interface, NetBIOS用户扩展接口协议）数据流进行 加密， 然后通过支持点对点数据报传递的任意网络发送， 如 IP, X.25, 桢中 继或 ATM ( Asynchronous Transfer Mode, 异步传输模式） 。 安全 IP ( IPSec) 隧道模式， IPSec隧道模式允许对 IP负载数据进行加密， 然后封装在 IP包头 中通过企业 IP网络或公共 IP互联网络如 Internet发送。 运营商实施的 VPN解决方案 （PP - VPN )是指在运营商的公共数据通 信网上设置 VPN网关设备，用于专线接入用户或远程拨号接入用户。利用该 网关设备， 可以在全网范围内根据具体的 VPN网络需求， 通过隧道封装、虚 拟路由器或 MPLS (多协议标签交换）等技术建立 VPN, 并且可以采用加密 技术以保障数据传输的安全。 VPN连接的建立完全由运营商负责， 对用户透 明。 这种方式也就是通常所说的 "外包 VPN" 方式。 随着宽带接入网络的迅猛发展的同时， 运营商为了高质量地拓展业务， 必须要解决的一个问题是， 如何对网络结构进行合理的分层规划， 以实现对 用户的定位以及业务治理。 由于在接入网层面大量地釆用了以太网技术， 目 前基于以太网来实现网络划分的技术主要是虚拟局域网 （ VLAN, Virtual Local Area Network)技术。 VLAN是一种通过将局域网内的设备逻辑地而不 是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。 IEEE ( IEEE (The Institute of Electrical and Electronics Engineers， 国际电气和电子工程师协 会 ) 于 1999年颁布了用以标准化 VLAN实现方案的 802.1Q协议标准草案。 传统的以太网帧格式中定义了 4096个 VLAN, VLAN是为解决以太网的广 播问题和安全性而提出的，它在以太网帧的基础上增加了 VLAN头，用 VLAN ID把用户划分为更小的工作组， 限制不同工作组间的用户二层互访， 每个工 作组就是一个虚拟局域网。 虚拟局域网的好处是可以限制广播范围， 并能够 形成虚拟工作组， 动态治理网络。 VLAN隔离了广播风暴， 同时也隔离了各 个不同的 VLAN之间的通信， 所以不同的 VLAN之间的通信是需要有路由 来完成的。 划分 VLAN的方法主要有几种。 一是根据端口来划分 VLAN; 这种根据 端口来划分 VLAN 的方式仍然是最常用的一种方式； 二是根据 MAC ( Media Access Control, 媒体接入控制）地址划分 VLAN, 这种划分 VLAN 方法的最大优点就是当用户物理位置移动时， 即从一个交换机换到其他的交 换机时， VLAN不用重新配置，缺点是初始化时所有的用户都必须进行配置， 导致了交换机执行效率降低； 三是根据网络层划分 VLAN, 这种划分 VLAN 的方法是根据每个主机的网络层地址或协议类型 (假如支持多协议)划分的而 不是根据路由， 因此即便用户物理位置改变了， 不需要重新配置所属的 VLAN, 缺点是重新解析帧头将降低效率； 四是根据 IP组播划分 VLAN, IP 组播实际上也是一种 VLAN的定义， 即认为一个组播组就是一个 VLAN， 这 种划分的方法将 VLAN扩大到了广域网， 因此这种方法具有更大的灵活性， 而且也很轻易通过路由器进行扩展。
VLAN作为特定以太网通信环境下的 VPN技术在宽带接入上得到大规 模的应用， 核心网或者广域网中应用比较多的是基于多协议标签交换 ( MPLS, Multiprotocol Label Switching ) MPLS的 VPN。
MPLS技术的出现，使整个 Internet的体系结构都发生了变化。采用 MPLS 技术实现 VPN的技术方案将大大改善传统 IP网絡的缺陷， 又能提供和帧中 继或 ATM网络一样的安全性保证， 可以 艮好地适应 VPN业务的需求。
MPLS VPN的网络模型包括： 客户边缘（CE, Customer Edge )设备可 以是路由器或二层交换机， 它位于客户端， 提供到网络提供商的接入； 提供 商边缘（PE, Provider Edge )路由器主要维护与节点相关的转发表， 与其他 PE路由器交换 VPN路由信息， 使用 MPLS网络中的标记交换路径 （LSP， Label Switched Path )转发 VPN业务， 这就是 MPLS网络中的标记边缘路由 器（LER, Label Edge Router ) ； 提供商路由器 （PR, Provider Router )使用 已建立的 LSP对 VPN数据进行透明转发， 不维护与 VPN有关的路由信息， 这就是 MPLS网络中的标记交换路由器 （ LSR, Label Switching Router ) 。
MPLS VPN的优点： 安全性 MPLS VPN由于釆用了路由隔离、地址隔离和信息隐藏等多种手 段， 提供了抗攻击和标记欺骗的手段， 因此 MPLS VPN 完全能够提供与 ATM/FR VPN相类似的安全保证。 扩展性： MPLS VPN则具有很强的扩展性。 一方面 MPLS网络中可以容 纳的 VPN数目很大， 另一方面在用户节点数目上由于借助于 BGP ( Border Gateway Protocol, 边界网关协议）进行成员的分配和管理， 同一个 VPN中 的用户节点数不受限制， 容易扩充， 并可以实现任何节点与任何其它节点的 直接通信。 特别是在实现用户节点间的全网状通信时不需要逐条配置用户节 点间的电路，用户侧只需要一个端口 /一条线路接入网络，避免了 N平方的扩 展性问题。 可靠性： MPLS VPN业务， 自然就具有大带宽、 多节点、 多路由、 充裕 的网络和传输资源来保证网絡的可靠性。 当互联网内部中继线中断时， MPLS VPN的流量与普通互联网流量一起依据 IGP ( Interior Gateway Protocol, 内 部网关协议 ) 迂回到其它电路上， 这一过程完全依靠 IGP的收敛自动完成， 对用户完全透明， 在广域网传输中不存在单点故障。
发明内容
上述的虚拟专用网络 VPN技术都 ^^于现有的数据通信网络，基于现有 的网络架构下实现， IP地址具有身份和位置的双重含义， 在位置身份分离协 议 LISP技术架构下， IP地址仅仅具有位置属性， 作为端主机三层网络地理 位置的标识， 新增一个端主机的身份标识用于通信传输的端身份标识， 端主 机的位置标识由端主机所处的地理位置和网络拓朴决定， 在端主机移动的过 程中， 位置的变化导致端主机的位置标识改变， 而端主机的身份标识属于终 端身份唯一使用的标识， 在端主机移动的过程中不会改变。 同时还必须增加 端主机身份标识和位置标识的映射， 需要功能实体来完成这个映射关系。 在位置身份分离的网絡架构下，给上述的 VPN技术实施带来影响，对运 营商实施的 VPN解决方案 （PP - VPN ) 的影响比较小， 位置和身份分离主 要涉及 VPN 的用户的身份和接入管理需要使用端主机的身份标识进行认证 管理，需要对管理系统进行升级处理；而对于用户管理的 VPN解决方案（ CPE - VPN方案） ， 位置和身份分离以后端主机不再使用 IP地址进行通信， 需 要使用端主机的身份标识 EID进行通信影响比较大一些， 需要对 VPN软件 进行升级处理支持端主机的身份标识。 本发明要解决的技术问题是提供一种虚拟专用网络的实现方法和系统， 以在位置身份分离网络中实现虚拟专用网络。 为解决以上技术问题， 本发明提供了一种虚拟专用网络的实现方法， 所 述方法基于位置身份分离协议（LISP ) 网络实现， 所述 VPN 网络包括输入 隧道路由器 （ITR ) 、 映射服务器及输出隧道路由器 （ETR ) ， 该方法包括： A、 所述 ITR收到源端主机发送的数据报文后， 向端主机 VPN属性存储 网元发送映射请求消息，其中携带源端主机的 VPN属性及目的端主机的身份 标识；
B、 所述端主机 VPN属性存储网元接收所述映射请求消息， 根据所述目 的端主机的身份标识确定所述目的端主机的 VPN属性； C、所述端主机 VPN属性存储网元比较所述源端主机和目的端主机 VPN 属性是否相同， 只有相同时， 才进行映射查询并返回映射响应消息， 其中携 带目的端主机的位置标识， 否则， 返回不可达信息；
D、 所述 ITR接收所述映射响应消息， 根据所述目的端主机的位置标识 向所述 ETR转发 LISP数据报文， 所述 ETR将所述 LISP数据报文转发给目 的端主机； 其中 , 所述端主机 VPN属性存储网元为所述映射服务器或 ETR。 优选地， 步骤 A前， 所述 ITR接收到所述源端主机发送的数据报文后， 先查询本地映射关系，若查到目的端主机身份标识，且源端主机的 VPN属性 与目的端主机的 VPN属性相同时，获取目的端主机的位置标识， 并根据所述 目的端主机的位置标识向所述 ETR转发数据报文， 否则执行步骤 A。 优选地， 步骤 D中， 所述 ETR源端主机和目的端主机 VPN属性相同时 才将所述 LISP数据报文转发给目的端主机。 优选地， 步骤 Α、 C中， 所述映射请求消息及映射响应消息是通过 LISP 控制报文路径发送的； 步骤 D中， 所述数据报文是通过 LISP数据报文路径 发送的， 且数据报文中包含 VPN属性。 优选地， 所述 VPN属性包括 VPN标识， 不同的 VPN标识代表不同的 VPN网络。 优选地， 所述 VPN属性包括源端主机是否是 VPN端主机的信息。 为解决以上技术问题， 本发明还提供一种虚拟专用网络的实现系统， 所 述系统包括输入隧道路由器 (ITR；)、 映射服务器及输出隧道路由器 （ETR ) , 其中：
所述 ITR包括第一数据报文收发模块、 报文处理模块、 第一控制报文收 发模块、 第一本地映射表及映射查询模块， 其中：
所述第一数据报文收发模块设置成： 接收源端主机发送的数据报文， 以 及向所述 ETR转发 LISP数据报文； 所述报文处理模块与所述第一数据报文收发模块连接， 设置成解析收到 的数据报文并通知映射查询模块， 并根据映射查询模块的查询结果生成映射 请求消息， 其中携带源端主机的 VPN属性及目的端主机的身份标识；还设置 成根据所述第一控制报文收发模块收到的映射响应消息生成转发到所述 ET 的 LISP数据报文； 所述第一控制报文收发模块与所述报文处理模块连接， 设置成向端主机 VPN属性存储网元发送所述映射请求消息， 以及接收所述端主机 VPN属性 存储网元发送的映射响应消息；所述端主机 VPN属性存储网元为所述映射服 务器或 ETR; 所述第一本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系；
所述映射查询模块与所述报文处理模块及第一本地映射表连接， 设置成 根据所述源端主机的身份标识查询源端主机的 VPN属性； 所述映射服务器包括第二控制报文收发模块、 第二本地映射表及第一映 射处理模块， 其中： 所述第二控制报文收发模块设置成:接收所述 ITR发送的映射请求消息， 以及向所述 ITR发送映射响应消息； 所述第二本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系； 所述第一映射处理模块与所述第二控制报文收发模块及第二本地映射表 连接， 设置成根据目的端主机身份标识查询所述第二本地映射表获得目的端 主机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第二本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息； 所述 ETR包括第二数据报文收发模块、 第三控制报文收发模块、 第三本 地映射表及第二映射处理模块；
所述第二数据报文收发模块设置成： 接收所述 ITR发送的 LISP数据报 文；
所述第三控制报文收发模块设置成:接收所述 ITR发送的映射请求消息， 以及向所述 ITR发送映射响应消息； 所述第三本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系；
所述第二映射处理模块与所述第三控制报文收发模块及第三本地映射表 连接， 设置成根据目的端主机身份标识查询所述第三本地映射表获得目的端 主机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第三本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息。 优选地， 所述 ITR的映射查询模块是设置成： 根据目的端主机的身份标 识查询所述第一本地映射表，以及比较所述源端主机的 VPN属性与目的端主 机的 VPN属性是否相同，相同时， 查询所述第一本地映射表获得目的端主机 的位置标识； 还设置成通知所述报文处理模块生成转发到所述 ETR的 LISP 数据报文； 若未查到所述目的端主机的映射关系， 还设置成通知所述报文处 理模块生成所述映射请求消息。 优选地， 所述 ITR的第一控制报文收发模块还设置成： 向所述映射服务 器发送映射维护请求， 其中携带维护操作类型及要维护的映射关系； 所述 ETR的第三控制报文收发模块还设置成： 向所述映射服务器发送映射维护请 求， 其中携带维护操作类型及要维护的映射关系； 所述映射服务器的第二控 制报文收发模块还设置成：接收所述 ITR或 ETR发送的映射维护请求； 所述 映射服务器的第一映射处理模块还设置成： 根据所述映射维护请求对第二本 地映射表进行维护， 所述维护操作类型包括注册、 注销及修改。 优选地， 所述映射请求消息及映射响应消息是通过 LISP控制报文路径 发送的； 所述数据报文是通过 LISP数据报文路径发送的， 且数据报文中包 含 VPN属性。 优选地， 所述 VPN属性包括 VPN标识， 不同的 VPN标识代表不同的虚 拟专用网。 优选地， 所述 VPN属性包括源端主机是否是 VPN端主机的信息。 为解决以上技术问题， 本发明还提供另一种虚拟专用网络的实现方法， 所述方法基于位置身份分离协议（LISP ) 网络框架下的虚拟专用 （VPN ) 网 絡实现系统实现， 所述 VPN网络实现系统保存 VPN属性、 身份标识及位置 标识的映射关系， 该方法包括： 报文接收步骤， 所述 VPN网絡实现系统接收源端主机发送的报文； 映射处理步骤， 所述 VPN网络实现系统比较源端主机的 VPN属性和目 的端主机的 VPN属性是否相同， 相同时， 查询所述映射关系， 获得所述目的 端主机的位置标识， 不相同时产生不可达信息； 报文处理步骤，所述 VPN网络实现系统根据所述目的端主机的位置标识 进行报文转发或根据不可达信息结束流程。 优选地，在所述报文处理步骤中，所述 VPN实现系统比较源端主机和目 的端主机的 VPN属性相同时， 再进行报文转发， 否则流程结束。 优选地，所述映射处理步骤由 LISP网络架构中的输入隧道路由器（ ITR )、 映射服务器或输出隧道路由器 （ETR ) 实现。 优选地， 所述 VPN属性包括 VPN标识， 不同的 VPN标识代表不同的 VPN网络。 优选地， 所述 VPN属性包括源端主机是否是 VPN端主机的信息。 为解决以上技术问题，本发明还提供了另一种虚拟专用网络的实现系统， 该系统基于位置身份分离架构的网络实现， 包括： 报文接收装置， 其设置成接收源端主机发送的报文， 并通知映射处理装 置进行映射处理； 所述映射处理装置， 其与所述报文接收装置连接， 并设置成保存虚拟专 用网 （ VPN )属性、 身份标识及位置标识的映射关系， 以及进行映射处理， 具体包括比较源端主机和目的端主机的 VPN属性是否相同，相同时， 查询保 存的映射关系，获得所述目的端主机的位置标识， 不相同时产生不可达信息； 还设置成将所述映射处理结果发送给"¾文处理装置； 所述报文处理装置， 其与所述映射处理装置连接， 并设置成接收所述映 射处理结果， 以及根据所述映射处理进行报文处理， 具体包括： 根据目的端 主机的位置标识进行报文转发以及根据不可达信息结束通信流程。 优选地， 所述报文处理装置还设置成比较源端主机和目的端主机的 VPN 属性是否相同， 相同时， 再进行报文转发， 否则流程结束。 优选地， 所述映射处理装置由输入隧道路由器 （ITR ) 、 映射服务器或 输出隧道路由器（ ETR )实现，所述报文接收装置及报文处理装置由所述 ITR 实现。 优选地， 所述 VPN属性包括 VPN标识， 不同的 VPN标识代表不同的 VPN网络。 优选地， 所述 VPN属性包括源端主机是否是 VPN端主机的信息。 本发明虚拟专用网络的实现方法和系统是基于位置身份分离网络实现
VPN,在身份标识与位置标识的映射关系中增加对应的 VPN属性，在进行映 射处理时， 判断源端主机的 VPN属性与目的端主机的 VPN属性相同时， 再 查询目的端主机的位置标识， 从而根据目的端主机的位置标识实现数据艮文 的转发； VPN属性不相同时， 返回不可达信息， 从而有效地实现了虚拟专用 网络，保证了 VPN端主机通信的便利性和安全性， 满足了用户对虚拟专用网 的需求。
附图概述 图 1是位置身份分离的 LISP网络架构的组成示意图。 图 2 是 LISP+ALT网絡架构示意图。 图 3是本发明实施例的虚拟专用网络的实现系统示意图。 图 4是本发明实施例的虚拟专用网络的实现方法示意图。
本发明的较佳实施方式
LISP ( Locator/ID Separation Protocol, 位置身份分离协议）协议网络架 构是一种基于网络的位置身份分离方案 (具体内容参见互联网工程任务论坛 IETF的 LISP工作组的技术文档的最新版本， draft-farinacci-lisp-l l.txt ) , 将 现有互联网的 IP 地址分为身份标识 EID ( Endpoint identifier ) 和位置标识 RLOC ( Routing Locator ) , 方案的优点是不需要改变目前终端主机的协议栈， 终端的兼容性好， 重点在于解决网络路由规模的可扩展性、 流量工程和移动 性。 LISP的网络架构示意图见图 1 , 包括 EID标识的端主机（即第一端主机 100和第二端主机 110 ) 、 输入隧道路由器 ITR ( ingress tunnel router ) 200和 输出隧道路由器 ETR ( egress tunnel router ) 210, 其中 ITR 和 ETR通过 LISP 控制报文路径 300和 LISP数据报文路径 400连接， 从图中可见这两条路径 不相同，处理身份和位置映射的消息使用 LISP协议从 LISP控制报文路径 300 转发， 而 LISP封装数据报文从 LISP数据报文路径 400转发。 在 ITR和 ETR 的 LISP控制报文路径 300上， 还设置映射服务器用于进行映射处理， 图中 未示出。
LISP 方案通过建立一种逻辑拓朴来实现身份标识 EID ( Endpoint identifier ) 和位置标识 RLOC ( Routing Locator ) 的映射管理， 使用现有的 LISP协议， 共有 4种发展路径， 差别在于 LISP控制 · ^文的路径的不同， 其 中 LISP3 是一种发展的路径， EID不可路由，需要映射处理，其中 LISP+ALT ( LISP Alternative Topology, LISP可选拓朴， 具体内容参见互联网工程任务 论坛 IETF的 LISP工作组的技术文档的最新版本， draft-fuller-lisp-alt-05.txt ) 的研究比较多， LISP+ALT网络架构示意见图 2, LISP+ALT是使用 GRE和 BGP路由协议来构建一个基于现有网络架构的叠加网 （Overlay Network ) , 构建 LISP控制报文路径， 隧道路由器使用这个叠加网来查询和响应身份标 识和位置标识的映射关系， 映射关系存在于本地緩存 ( Cache )和分布的数据 库( the distributed Endpoint Identifier-to-Routing Locator Mapping Database )中， LISP的两种接入控制路由器 ITR、 ETR以及映射服务器共同完成映射关系的 处理。 图 2中的 ALT rtr表示 ALT叠加网的路由器 （ router ) 。 本发明虚拟专用网络的实现方法和系统的主要思想 ^^于位置身份分离 网络实现 VPN,在身份标识与位置标识的映射关系中增加对应的 VPN属性， 在进行映射处理时， 判断源端主机的 VPN属性与目的端主机的 VPN属性相 同时， 再查询目的端主机的位置标识， 从而根据目的端主机的位置标识实现 数据报文的转发； VPN属性不相同时， 返回不可达信息， 通信失败， 从而保 证 VPN端主机通信的安全性， 满足了用户对虚拟专用网的需求。 本发明虚拟专用网络的实现方法， 所述方法基于位置身份分离协议 ( LISP ) 网络实现， 该虚拟专用网络包括输入隧道路由器 （ITR ) 、 映射服 务器及输出隧道路由器（ ETR ) , 所述 ITR、 映射服务器及 ETR保存虚拟专 用网 （VPN )属性、 身份标识及位置标识的映射关系， 该方法包括：
A、 所述 ITR收到源端主机发送的数据报文后， 根据本地映射关系确定 源端主机的 VPN属性， 并向所述映射服务器或 ETR发送映射请求消息， 其 中携带源端主机的 VPN属性及目的端主机的身份标识； 具体地， 本步骤可以这样实现： 输入隧道路由器 ITR接收源端主机发送 的单层 LISP报文（没有 LISP的头），并发送映射请求消息，等待响应作 LISP 封装；
映射服务器或 ETR可称为端主机 VPN属性存储网元，通常情况下， ITR 向所述映射服务器发送映射请求消息， 若 ITR已确定数据报文转发的对应的 ETR , 则也可以向该 ETR发送映射请求消息；
B、 所述映射服务器或 ETR接收所述映射请求消息， 根据所述目的端主 机的身份标识确定所述目的端主机的 VPN属性；
C、 所述映射服务器或 ETR比较所述源端主机和目的端主机 VPN属性 是否相同， 相同时， 向所述 ITR返回映射响应消息， 其中携带目的端主机的 位置标识 （RLOC ) ， 否则， 返回不可达信息， 流程结束；
D、 所述 ITR接收所述映射响应消息， 根据所述目的端主机的位置标识 向所述 ETR转发 LISP数据报文， 所述 ETR将所述 LISP数据报文转发给目 的端主机。 IT 接收到映射响应消息后，可以根据映射响应消息中隐含的或完整的、 目的端主机的映射关系更新本地的映射关系， 这样 ITR在接收到源端主机发 送的后续的数据报文后， 可以根据本地的映射关系直接进行映射处理及数据 4艮文转发， ITR的映射处理与映射服务器及 ETR的映射处理过程相同， 即： 查询本地映射关系，若查到目的端主机身份标识，且源端主机的 VPN属性与 目的端主机的 VPN属性相同时， 获取目的端主机的位置标识； 在本地映射关系查询不到目的端主机的身份标识情况下， 对于 ITR、 映 射服务器和 ETR有不同的处理方式：对于 ITR来说，如果在本地查询不到目 的端主机的身份标识， 则向映射服务器发送映射请求消息； 对于映射服务器 来说， 如果在本地查询不到目的端主机的身份标识， 则向 ETR转发映射请求 消息； 对于 ETR来说， 如果在本地查询不到目的端主机的身份标识， 则通过 映射服务器向 ITR返回不可达信息。 数据报文转发时， ITR先将数据报文进行 LISP封装， LISP协议封装报 文的外层报文头 （ outer header ) 的源和目的地址分别是 ITR和 ETP的 IP地 址， 即 RLOC, 将 LISP封装的数据报文通过数据报文路径转发到 ETR路由 器， ETR进行 LISP解封装后， 将数据报文发送给 EID终端。 具体实现时， 一个端主机的 EID可以映射一个或者几个 RLOC。
以上所说的映射请求消息及映射响应消息通过 LISP控制报文路径发送； 而数据报文则通过 LISP数据报文路径发送。
在不同的实现方式下， VPN属性具有不同的含义， 存在以下几种情况：
1、 位置身份分离网络中包括多个 VPN 网络的端主机， 则不同的 VPN 设置不同的 VPN标识， VPN属性指端主机的 VPN标识。 2、位置身份分离网络中包括 VPN网络的端主机和非 VPN网络的端主机，
VPN属性指端主机是否属于 VPN端主机。
3、位置身份分离网络中包括多个 VPN网络的端主机和非 VPN网络的端 主机， VPN属性指端主机是否属于 VPN端主机， 以及属于 VPN端主机时， 所属的 VPN标识。 对于 VPN端主机来说， 只有 VPN标识相同， 才能建立 VPN用户间的通 信， 否则不能建立通信， 保证 VPN端主机不能和该 VPN以外的端主机建立 通信， VPN以外的端主机也无法访问 VPN网络， 保证 VPN网络安全性。
当映射关系发生变化时， ITR及 ETR通过 LISP控制报文路径向映射服 务器发送的映射维护消息， 其中携带维护操作类型及要维护的映射关系； 所 述映射服务器根据映射维护请求对本地映射表进行维护， 所述维护操作类型 包括注册、 注销及修改。 另外， ITR和映射服务器还可以根据映射响应消息中携带的映射关系对 本地映射关系进行更新。应当理解的是，本发明所说的 ITR和 ETR是互为输 入隧道路由器和输出隧道路由器的。 为了便于说明， 本发明根据数据报文的 传输方向界定输入隧道路由器和输出隧道路由器。 实施例： 在 LISP ( Locator/ID Separation Protocol )协议网络架构下的实 施本发明的虚拟专用网絡 VPN。 在 LISP网络架构下实现 VPN时， VPN端主机的映射关系和非 VPN端 主机的映射关系可以在不同映射表中保存， 也可以在同一个映射表中保存， 无论哪种实现方式， 映射关系都可以体现 VPN属性、身份标识与位置标识的 映射关系。 以下以分表保存为例进行说明： 首先为虚拟专用网络 VPN的身份标识为 EID的端主机设置 VPN标识， 构建虚拟专用网络 VPN专用的映射表，包括 VPN标识和属于该 VPN的所有 用户端主机的身份标识 EID和位置标识 RLOC的映射关系， 这种情况下， VPN属性仅用 VPN标识即可体现。 对于 VPN端主机和非 VPN端主机共存 的情况， LISP网絡架构下有两种映射表， 一种是 LISP映射表， 没有 VPN标 识， 另一种就是有 VPN标识的 VPN映射表。 LISP映射表中， 端主机的 VPN 属性即默认的非 VPN端主机。 LISP映射表和 VPN映射表统称为映射表。 每个 VPN网络有一个 VPN标识 ( VPN— ID )进行标识， 这样一个 LISP 网络架构下可以支持多个 VPN, 满足众多企业网的应用需要。
VPN映射表中的用户端主机的映射关系可以动态的加入或者删除。
IT 接收端主机 LISP报文后，如果该报文的源 EID属于 VPN，表示 ITR 接收处理该端主机报文的时候， 只能查询该用户所属 VPN的 VPN映射表， 就是说 VPN标识必须相同， 才能建立 VPN用户间的通信， 否则不能建立通 信， 保证不能和该 VPN映射表以外的用户建立通信， VPN映射表以外的用 户不能查询 VPN映射表， 无法访问 VPN网络， 保证 VPN网络安全性。 同样 输出隧道路由器和映射服务器做映射处理的时候，也要比较双方的 VPN标识 是否相同， 保证只能在 VPN内部建立通信。
VPN映射表构建示例： 第一个虚拟专用网络 VPN, 用户为 EID 1 , 。 。 。 ， kl ) , 分配 VPN 标识 VPN_ID— (1) ， 可以构建 VPN映射表如下:
Figure imgf000021_0001
第二个虚拟专用网络， 用户为 EID ( a2， 。 。 。 ， k2 ) ， 分配 VPN标识 VPN_ID_(2) ， 其拥有的 VPN映射表如下：
Figure imgf000021_0002
由于 VPN间需要隔离， 不能互通， 因此 VPN标识 VPN_ID— (1)的映射表 中的表项和 VPN标识 VPN_ID— (2)的映射表中的表项不能重叠。 VPN映射表在 LISP网络架构的设备中分布情况如下： 输入隧道路由器 ITR,是源 EID终端接入 VPN网络的入口，为属于 VPN 的源 EID设置 VPN标识。 输出隧道路由器 ETR, 存储目的 EID的映射数据 库， 为属于 VPN的目的 EID设置 VPN标识。
以下对 LISP数据报文、 LISP控制报文及 LISP消息的格式进行说明：
LISP数据报文头格式： 本发明中 LISP数据报文头中携带 VPN标识， 具体位置在 LISP消息的 Nonce—栏的后面， LISP VPN数据报文头格式如下： /s/u O /-/-/-isosld isoiAV
Figure imgf000022_0001
o
I Source EID |
+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ I Destination EID |
+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ 其中， IH ( inner header )表示内层报文头， OH ( outer header )表示夕卜层 报文头， VPN-ID表示 VPN标识。
LISP控制报文头格式 本发明中 LISP控制报文头中携带 VPN标识， 具体位置在 LISP消息的
Nonce一栏的后面， LISP VPN控制 艮文头格式如下：
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
1 Version | IHL | Type of Service | Total Length | +_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ I Identification | Flags | Fragment Offset | +_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ I Time to Live | Protocol = 17 | Header Checksum | I Source Routing Locator | I Destination Routing Locator |
I I Source Port | Dest Port |
UDP +_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ \ I UDP Length | UDP Checksum |
+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+_+ O
record ...
_ Nonce
Figure imgf000024_0001
++ + II II I
r t?each Bi
01231567890123156789012315678901... .. g LISP Messae- Mapping Protocol Data
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
LISP消息包括映射请求消息 （type=l ) ， 映射响应消息 （type=2 ) ， 映 射注册（type=3 ) 等等。 当 ITR路由器需要 EID到 RLOC的映射时，发送映射请求消息。 受到映 射请求消息的触发， ETR回送包含映射请求的 EID匹配的 RLOC。 映射注册 消息用于向映射服务器注册 EID到 RLOC的映射关系， 如 ETR向映射服务 器发布 EID映射关系。 报文中可以进一步增加端主机是否是 VPN终端的 VPN标志 , 当报文是
VPN 端主机的通信 4艮文时， VPN 标志为真 （true ) , 同时表示报文中存在 VPN标识； 当报文不是 VPN端主机的通信报文时， VPN标志为假（ false ) , 同时表示报文中没有 VPN标识。 本发明在 LISP网络架构下实现 VPN具有以下特点： (― )为虚拟专用网络 VPN的身份标识为 EID的端主机设置 VPN属性， 具体在输入隧道路由器 ITR、 输出隧道路由器 ETR 的本地映射数据库 ( database ) 以及映射服务器 （Map-server ) 中为身份标识 EID 的终端设置 VPN属性；
(二）在 LISP协议报文中增加 VPN属性， 包括数据报文（LISP Data Message )和控制报文 ( LISP Control Plane Packet ) 。
IT 发送映射请求消息时，使用 LISP VPN控制报文头格式，其中 VPN 属性为源 EID的 VPN属性。
ETR向映射服务器发送映射注册消息时， 使用 LISP VPN控制报文头 格式， 其中 VPN属性为 ETR管理的 EID的 VPN属性。 IT 路由器进行 LISP报文封装时，使用本发明的 LISP VPN数据报文头 格式， 含有 VPN属性。
(三） LISP 网络架构下所有映射处理（mapping ) 装置 （包括 ITR、 映 射服务器及 ETR ) 进行映射处理时比较源 EID和目的 EID的 VPN属性是否 相同， 只有相同时进行映射处理， 否则返回不可达信息。
ETR处理映射请求消息时， 比较源 EID的 VPN属性和目的 EID的 VPN 属性， 相同时进行 LISP 的映射处理， 返回映射响应消息， 否则返回不可达 消息。 映射服务器进行映射处理时，只有源 EID的 VPN属性和目的 EID的 VPN 属性相等， 才进行映射消息的处理。 其他 LISP VPN的映射消息的处理都需要比较 VPN标识， 保证 VPN 通信的安全。 映射消息共有以下 12种
Reserved: 保留 0 b'0000'
LISP Map-Request: 映射请求 1 b'OOOl'
LISP Map-Reply: 映射响应 2 b'0010'
LISP Map-Register: 映射注册 3
LISP-CONS Open Message: 打开 8 b'1000'
o o o
LISP-CONS Push-Add Message: 增力 p 9
LISP-CONS Push-Delete Message: 删除 10 b'1010'
LISP-CONS Unreachable Message 不可达 11 b'loir
ETR输出隧道路由器进行 LISP数据报文的解封装时， 检查 LISP VPN 数据报文头中的 VPN属性与目的 EID的 VPN属性是否相同， 相同时进行数 据转发， 否则进行丢弃等异常处理。 对于 VPN端主机来说， 只有 VPN标识相同， 才能建立 VPN端主机间的 通信， 否则不能建立通信， 保证不能和该 VPN以外的端主机建立通信， VPN 以外的端主机也无法访问 VPN网络， 保证 VPN网络安全性。
为了实现以上方法， 本发明还提供了一种虚拟专用网的实现系统， 该系 统包括输入隧道路由器 (ITR)、 映射服务器及输出隧道路由器（ETR ) , 其中： 所述 ITR包括第一数据报文收发模块、 报文处理模块、 第一控制报文收 发模块、 第一本地映射表及映射查询模块， 其中： 第一数据报文收发模块， 设置成接收源端主机发送的数据报文， 以及向 所述 ETR转发 LISP数据报文； 报文处理模块， 与所述第一数据报文收发模块连接， 设置成解析收到的 数据报文并通知映射查询模块， 并根据映射查询模块的查询结果生成映射请 求消息，其中携带源端主机的 VPN属性及目的端主机的身份标识； 还设置成 根据所述第一控制报文收发模块收到的映射响应消息生成转发到所述 ETR 的 LISP数据报文； 第一控制报文收发模块， 与所述报文处理模块连接， 设置成向端主机 及接收所述端主机 VPN属性存储网元发送的映射响应消息；还设置成向所述 映射服务器发送映射维护请求，其中携带维护操作类型及要维护的映射关系； 第一本地映射表，设置成保存 VPN属性、身份标识与位置标识的映射关 系；
映射查询模块， 与所述报文处理模块及第一本地映射表连接， 设置成根 据所述源端主机的身份标识查询源端主机的 VPN属性；以及根据目的端主机 的身份标识查询第一本地映射表,还设置成比较所述源端主机的 VPN属性与 目的端主机的 VPN属性是否相同， 比较结果相同时，再查询所述第一本地映 射表获得目的端主机的位置标识； 还设置成通知所述艮文处理模块生成转发 到所述 ETR的 LISP数据■ ^文； 未查到所述目的端主机的映射关系时， 还设 置成通知所述 文处理模块生成所述映射请求消息。
所述映射服务器包括第二控制报文收发模块、 第二本地映射表及第一映 射处理模块， 其中： 第二控制报文收发模块， 设置成接收所述 ITR发送的映射请求消息， 以 及向所述 ITR发送映射响应消息； 第二本地映射表，设置成保存 VPN属性、身份标识与位置标识的映射关 系；
第一映射处理模块， 与所述第二控制报文收发模块及第二本地映射表连 接， 设置成根据目的端主机身份标识查询所述第二本地映射表获得目的端主 机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第二本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息； 所述 ETR包括第二数据报文收发模块、 第三控制报文收发模块、 第三本 地映射表及第二映射处理模块； 第二数据报文收发模块， 设置成接收所述 ITR发送的 LISP数据报文； 第三控制报文收发模块， 设置成接收所述 ITR发送的映射请求消息， 以 及向所述 ITR发送映射响应消息； 第三本地映射表，设置成保存 VPN属性、身份标识与位置标识的映射关 系； 第二映射处理模块 , 与所述第三控制报文收发模块及第三本地映射表连 接， 设置成根据目的端主机身份标识查询所述第三本地映射表获得目的端主 机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第三本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息。 所述映射请求消息及映射响应消息是通过 LISP控制■ ^文路径发送的； 所述数据报文是通过 LISP数据报文路径发送的。
ETR的第三控制报文收发模块， 还设置成向所述映射服务器发送映射维 护请求， 其中携带维护操作类型及要维护的映射关系； 映射服务器的第二控制报文收发模块还设置成接收 ITR或 ETR发送的映 射维护请求； 映射服务器的第一映射处理模块还设置成根据所述映射维护请求对第二 本地映射表进行维护， 所述维护操作类型包括注册、 注销及修改。 根据报文的处理流程， 本发明虚拟专用网络的实现系统和方法可以概括 为以下内容： 如图 3所示， 本发明实施例的虚拟专用网络的实现系统基于位置身份分 离架构的网络实现， 包括： 报文接收装置 31， 设置成接收源端主机发送的报文， 并通知映射处理装 置 32进行映射处理； 所述映射处理装置 32， 与所述报文接收装置 31连接， 保存虚拟专用网 ( VPN ) 属性、 身份标识及位置标识的映射关系， 设置成进行映射处理， 具 体包括比较源端主机和目的端主机的 VPN属性是否相同，相同时， 查询保存 的映射关系， 获得所述目的端主机的位置标识， 不相同时产生不可达信息； 还设置成将所述映射处理结果发送给"¾文处理装置 33; 所述报文处理装置 33 , 与所述映射处理装置 32连接， 设置成接收所述 映射处理结果， 以及根据所述映射处理进行报文处理， 具体包括： 根据目的 端主机的位置标识进行报文转发以及根据不可达信息结束通信流程。 具体的地，所述报文处理装置 33可设置成比较源端主机和目的端主机的 VPN属性是否相同， 相同时， 再进行报文转发， 否则流程结束。 才艮据前述内容可以看出，映射处理装置 32可以由输入隧道路由器（ ITR )、 映射服务器或输出隧道路由器（ETR )实现， 而报文接收装置 31及报文处理 装置 33由所述 ITR实现。 相应地， 本发明实施例的虚拟专用网络的实现方法基于位置身份分离 ( LISP )框架下的虚拟专用 （VPN ) 网络实现系统实现， 所述 VPN 网络实 现系统保存 VPN属性、 身份标识及位置标识的映射关系， 如图 4所示， 该方 法包括： 步骤 401 : 才艮文接收步骤， 所述 VPN网络实现系统接收源端主机发送的 报文；
步骤 402: 映射处理步骤， 所述 VPN网络实现系统比较源端主机的 VPN 属性和目的端主机的 VPN属性是否相同， 相同时， 查询所述映射关系， 获得 所述目的端主机的位置标识， 不相同时产生不可达信息； 步骤 403: 报文处理步骤， 所述 VPN网络实现系统根据所述目的端主机 的位置标识进行报文转发或根据不可达信息结束流程。
所述报文处理步骤中， 所述报文处理装置比较源端主机和目的端主机的
VPN属性相同时， 再进行报文转发， 否则流程结束。 本发明所说的 VPN属性包括 "VPN标识" 或 "是否是 VPN端主机的信 息" 中的至少一个， 不同的 VPN标识代表不同的虚拟专用网， 在 LISP的数 据报文和控制报文中增加 VPN属性。 本发明虚拟专用网络的实现方法和系统基于位置身份分离的 LISP 网络 架构，在身份标识与位置标识的映射关系中增加对应的 VPN属性，在进行映 射处理时， 判断源端主机的 VPN属性与目的端主机的 VPN属性相同时， 再 查询目的端主机的位置标识， 从而根据目的端主机的位置标识实现数据艮文 的转发建立通信； VPN属性不相同时， 返回不可达信息， 从而有效地实现了 虚拟专用网络，保证了 VPN端主机通信的便利性和安全性， 满足了用户对虚 拟专用网的需求。 本发明实现方法和系统避免了在位置身份分离的网络架构 下实施现有的虚拟专用网络 VPN的影响， 减少对实施 VPN对现有设备和软 件的改动， 特别是对运营商实施的 VPN解决方案 （PP - VPN ) ， 本发明可 以作为运营商实施的 VPN解决方案的一种。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以采用 硬件的形式实现， 也可以采用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。 尽管本发明结合特定实施例进行了描述， 但是对于本领域的技术人员来 说， 可以在不背离本发明的精神或范围的情况下进行修改和变化。 这样的修 改和变化被视作在本发明的范围和附加的权利要求书范围之内。
工业实用性 本发明提供一种虚拟专用网络的实现方法及系统， 基于位置身份分离网 络实现 VPN, 在身份标识与位置标识的映射关系中增加对应的 VPN属性， 在进行映射处理时， 判断源端主机的 VPN属性与目的端主机的 VPN属性相 同时， 再查询目的端主机的位置标识， 从而才艮据目的端主机的位置标识实现 数据报文的转发； VPN属性不相同时， 返回不可达信息， 从而有效地实现了 虚拟专用网络，保证了 VPN端主机通信的便利性和安全性， 满足了用户对虚 拟专用网的需求。

Claims

权 利 要 求 书
1、 一种虚拟专用网络（VPN )的实现方法， 其特征在于： 所述方法基于 位置身份分离协议（LISP ) 网絡实现， 所述 VPN 网絡包括输入隧道路由器
( IT ) 、 映射服务器及输出隧道路由器 （ETR ) , 该方法包括： 所述 ITR收到源端主机发送的数据报文后， 向端主机 VPN属性存储网 元发送映射请求消息，其中携带源端主机的 VPN属性及目的端主机的身份标 识；
所述端主机 VPN属性存储网元接收所述映射请求消息，根据所述目的端 主机的身份标识确定所述目的端主机的 VPN属性； 所述端主机 VPN属性存储网元比较所述源端主机和目的端主机 VPN属 性是否相同， 只有相同时， 才进行映射查询并返回映射响应消息， 其中携带 目的端主机的位置标识，若所述源端主机和目的端主机 VPN属性不相同，则 返回不可达信息； 以及 所述 ITR接收所述映射响应消息 , 根据所述目的端主机的位置标识向所 述 ETR转发 LISP数据报文， 所述 ETR将所述 LISP数据报文转发给目的端 主机；
其中， 所述端主机 VPN属性存储网元为所述映射服务器或 ETR。
2、 如权利要求 1所述的方法， 其中： 所述 ITR收到源端主机发送的数据报文后， 所述方法还包括： 所述 ITR 先查询本地映射关系，若查到目的端主机身份标识，且源端主机的 VPN属性 与目的端主机的 VPN属性相同时，获取目的端主机的位置标识， 并根据所述 目的端主机的位置标识向所述 ETR转发数据报文；若在本地映射关系中没有 查到目的端主机身份标识，才向所述端主机 VPN属性存储网元发送映射请求 消息。
3、 如权利要求 1所述的方法， 其中： 在所述 ETR将所述 LISP数据报文转发给目的端主机的步骤中， 当源端 主机和目的端主机 VPN属性相同时，所述 ETR才将所述 LISP数据报文转发 给目的端主机。
4、 如权利要求 1所述的方法， 其中： 所述映射请求消息及映射响应消息是通过 LISP控制报文路径发送的； 所述数据报文是通过 LISP数据报文路径发送的 ,且数据报文中包含 VPN 属性。
5、 如权利要求 1至 4中任一项所述的方法， 其中： 所述 VPN属性包括 VPN标识和 /或源端主机是否是 VPN端主机的信息， 不同的 VPN标识代表不同的 VPN。
6、 一种虚拟专用网络（ VPN )的实现系统， 所述系统包括输入隧道路由 器 (ITR)、 映射服务器及输出隧道路由器 （ETR ) , 其中： 所述 ITR包括第一数据报文收发模块、 报文处理模块、 第一控制报文收 发模块、 第一本地映射表及映射查询模块， 其中： 所述第一数据报文收发模块设置成： 接收源端主机发送的数据报文， 以 及向所述 ETR转发位置身份分离协议（LISP )数据报文； 所述报文处理模块与所述第一数据报文收发模块连接， 设置成解析收到 的源端主机发送的数据报文并通知映射查询模块， 并根据映射查询模块的查 询结果生成映射请求消息，其中携带源端主机的 VPN属性及目的端主机的身 份标识； 还设置成根据所述第一控制报文收发模块收到的映射响应消息生成 转发到所述 ETR的 LISP数据报文； 所述第一控制报文收发模块与所述报文处理模块连接， 设置成向端主机 VPN属性存储网元发送所述映射请求消息， 以及接收所述端主机 VPN属性 存储网元发送的映射响应消息；所述端主机 VPN属性存储网元为所述映射服 务器或 ETR; 所述第一本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系；
所述映射查询模块与所述报文处理模块及第一本地映射表连接， 设置成 根据所述源端主机的身份标识查询源端主机的 VPN属性； 所述映射服务器包括第二控制报文收发模块、 第二本地映射表及第一映 射处理模块， 其中： 所述第二控制报文收发模块设置成:接收所述 ITR发送的映射请求消息， 以及向所述 ITR发送映射响应消息； 所述第二本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系； 所述第一映射处理模块与所述第二控制报文收发模块及第二本地映射表 连接， 设置成根据目的端主机身份标识查询所述第二本地映射表获得目的端 主机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第二本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息； 所述 ETR包括第二数据报文收发模块、 第三控制报文收发模块、 第三本 地映射表及第二映射处理模块；
所述第二数据报文收发模块设置成： 接收所述 ITR发送的 LISP数据报 文；
所述第三控制报文收发模块设置成:接收所述 ITR发送的映射请求消息， 以及向所述 ITR发送映射响应消息； 所述第三本地映射表设置成：保存 VPN属性、身份标识与位置标识的映 射关系；
所述第二映射处理模块与所述第三控制报文收发模块及第三本地映射表 连接， 设置成根据目的端主机身份标识查询所述第三本地映射表获得目的端 主机的 VPN属性， 以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 比较结果相同时， 查询所述第三本地映射表获得目的端主机 的位置标识； 还设置成根据查询结果生成映射响应消息。
7、 如权利要求 6所述的系统， 其中： 所述 ITR的映射查询模块是设置成： 根据目的端主机的身份标识查询所 述第一本地映射表，以及比较所述源端主机的 VPN属性与目的端主机的 VPN 属性是否相同， 相同时， 查询所述第一本地映射表获得目的端主机的位置标 识；还设置成通知所述报文处理模块生成转发到所述 ETR的 LISP数据报文； 若未查到所述目的端主机的映射关系， 还设置成通知所述 · ^文处理模块生成 所述映射请求消息。
8、 如权利要求 6所述的系统， 其中： 所述 ITR的第一控制报文收发模块还设置成： 向所述映射服务器发送映 射维护请求， 其中携带维护操作类型及要维护的映射关系； 所述 ETR的第三控制报文收发模块还设置成：向所述映射服务器发送映 射维护请求， 其中携带维护操作类型及要维护的映射关系； 所述映射服务器的第二控制报文收发模块还设置成： 接收 ITR 或 ETR 发送的映射维护请求； 所述映射服务器的第一映射处理模块还设置成： 根据所述映射维护请求 对第二本地映射表进行维护， 所述维护操作类型包括注册、 注销及修改。
9、 如权利要求 6至 8中任一项所述的系统， 其中： 所述 VPN属性包括 VPN标识和 /或源端主机是否是 VPN端主机的信息， 不同的 VPN标识代表不同的虚拟专用网。
10、 一种虚拟专用网络（ VPN ) 的实现方法， 其特征在于， 所述方法基 于位置身份分离协议（ LISP ) 网絡框架下的 VPN实现系统实现， 所述 VPN 实现系统保存 VPN属性、 身份标识及位置标识的映射关系， 该方法包括： 报文接收步骤， 所述 VPN实现系统接收源端主机发送的报文； 映射处理步骤， 所述 VPN实现系统比较源端主机的 VPN属性和目的端 主机的 VPN属性是否相同， 相同时， 查询所述映射关系， 获得所述目的端主 机的位置标识， 不相同时产生不可达信息； 报文处理步骤，所述 VPN实现系统根据所述目的端主机的位置标识进行 报文转发或根据不可达信息结束流程。
11、 如权利要求 10所述的方法， 其中： 在所述报文处理步骤中 ,所述 VPN实现系统比较源端主机和目的端主机 的 VPN属性相同时， 再进行报文转发， 否则结束流程。
12、 如权利要求 10所述的方法， 其中： 所述映射处理步骤由 LISP网络架构中的输入隧道路由器（ITR ) 、 映射 服务器或输出隧道路由器 （ETR ) 实现。
13、 如权利要求 10至 12中任一项所述的方法， 其中： 所述 VPN属性包括 VPN标识和 /或源端主机是否是 VPN端主机的信息， 不同的 VPN标识代表不同的 VPN。
14、 一种虚拟专用网络（VPN ) 的实现系统， 其中， 该系统基于位置身 份分离协议（LISP ) 架构的网络实现， 包括： 报文接收装置， 其设置成接收源端主机发送的报文， 并通知映射处理装 置进行映射处理； 所述映射处理装置， 其与所述报文接收装置连接， 并设置成保存 VPN 属性、 身份标识及位置标识的映射关系， 以及进行映射处理， 所述映射处理 包括比较源端主机和目的端主机的 VPN属性是否相同，相同时， 查询保存的 映射关系， 获得所述目的端主机的位置标识， 不相同时产生不可达信息； 还 设置成将所述映射处理结果发送给报文处理装置； 所述报文处理装置， 其与所述映射处理装置连接， 并设置成接收所述映 射处理结果， 以及根据所述映射处理进行报文处理， 所述报文处理包括： 根 据目的端主机的位置标识进行报文转发以及根据不可达信息结束通信流程。
15、 如权利要求 14所述的系统， 其中： 所述报文处理装置还设置成比较源端主机和目的端主机的 VPN属性是 否相同， 相同时， 再进行 4艮文转发， 否则结束通信流程。
16、 如权利要求 14所述的系统， 其中： 所述映射处理装置由输入隧道路由器 （ITR ) 、 映射服务器或输出隧道 路由器 （ ETR ) 实现， 所述报文接收装置及报文处理装置由所述 ITR实现。
17、 如权利要求 14至 16中任一项所述的系统， 其中： 所述 VPN属性包括 VPN标识和 /或源端主机是否是 VPN端主机的信息， 不同的 VPN标识代表不同的 VPN。
PCT/CN2010/076777 2009-09-18 2010-09-09 虚拟专用网络的实现方法及系统 WO2011032472A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2012529108A JP2013504959A (ja) 2009-09-18 2010-09-09 バーチャルプライベートネットワークの実現方法及びシステム
EP10816676.0A EP2466817A4 (en) 2009-09-18 2010-09-09 Virtual private network implementation method and system
KR1020127006643A KR101399002B1 (ko) 2009-09-18 2010-09-09 가상 사설 네트워크의 실현 방법 및 시스템
US13/395,966 US20120173694A1 (en) 2009-09-18 2010-09-09 Virtual private network implementation method and system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2009101767857A CN102025591B (zh) 2009-09-18 2009-09-18 虚拟专用网络的实现方法及系统
CN200910176785.7 2009-09-18

Publications (1)

Publication Number Publication Date
WO2011032472A1 true WO2011032472A1 (zh) 2011-03-24

Family

ID=43758097

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/076777 WO2011032472A1 (zh) 2009-09-18 2010-09-09 虚拟专用网络的实现方法及系统

Country Status (6)

Country Link
US (1) US20120173694A1 (zh)
EP (1) EP2466817A4 (zh)
JP (1) JP2013504959A (zh)
KR (1) KR101399002B1 (zh)
CN (1) CN102025591B (zh)
WO (1) WO2011032472A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012231225A (ja) * 2011-04-25 2012-11-22 Kddi Corp マッピングサーバの制御方法及びマッピングサーバ

Families Citing this family (74)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102868618A (zh) * 2011-07-08 2013-01-09 中兴通讯股份有限公司 一种去附着方法、装置和映射服务器
WO2012106930A1 (zh) * 2011-07-26 2012-08-16 华为技术有限公司 一种生成虚拟专用网转发表项的方法和装置
US10432587B2 (en) * 2012-02-21 2019-10-01 Aventail Llc VPN deep packet inspection
CN103457850B (zh) * 2012-05-29 2018-03-20 中兴通讯股份有限公司 站点的通信方法、rtr及隧道路由器
US10560343B1 (en) 2012-07-06 2020-02-11 Cradlepoint, Inc. People centric management of cloud networks via GUI
US10135677B1 (en) 2012-07-06 2018-11-20 Cradlepoint, Inc. Deployment of network-related features over cloud network
US10177957B1 (en) 2012-07-06 2019-01-08 Cradlepoint, Inc. Connecting a cloud network to the internet
US10110417B1 (en) * 2012-07-06 2018-10-23 Cradlepoint, Inc. Private networks overlaid on cloud infrastructure
US9647923B2 (en) * 2013-04-09 2017-05-09 Cisco Technology, Inc. Network device mobility
US9641462B2 (en) * 2013-04-23 2017-05-02 Cisco Technology, Inc. Accelerating network convergence for layer 3 roams in a next generation network closet campus
US10749711B2 (en) 2013-07-10 2020-08-18 Nicira, Inc. Network-link method useful for a last-mile connectivity in an edge-gateway multipath system
US10454714B2 (en) 2013-07-10 2019-10-22 Nicira, Inc. Method and system of overlay flow control
JPWO2015025845A1 (ja) * 2013-08-20 2017-03-02 日本電気株式会社 通信システム、スイッチ、コントローラ、アンシラリデータ管理装置、データ転送方法及びプログラム
KR20150040113A (ko) * 2013-10-04 2015-04-14 한국전자통신연구원 식별자 위치지시자 매핑 서비스의 라우팅 제어 방법
KR20150145327A (ko) * 2014-06-18 2015-12-30 한국전자통신연구원 블룸 필터를 이용한 식별자/위치자 매핑 시스템 및 방법
US9894031B2 (en) 2014-08-27 2018-02-13 Cisco Technology, Inc. Source-aware technique for facilitating LISP host mobility
CN105471827B (zh) * 2014-09-04 2019-02-26 华为技术有限公司 一种报文传输方法及装置
US9641417B2 (en) * 2014-12-15 2017-05-02 Cisco Technology, Inc. Proactive detection of host status in a communications network
US10171306B2 (en) * 2015-02-26 2019-01-01 Cisco Technology, Inc. Automatic discovery and provisioning of multi-chassis etherchannel peers
US10425382B2 (en) 2015-04-13 2019-09-24 Nicira, Inc. Method and system of a cloud-based multipath routing protocol
US10135789B2 (en) 2015-04-13 2018-11-20 Nicira, Inc. Method and system of establishing a virtual private network in a cloud service for branch networking
US10498652B2 (en) 2015-04-13 2019-12-03 Nicira, Inc. Method and system of application-aware routing with crowdsourcing
CN104954260A (zh) * 2015-05-22 2015-09-30 上海斐讯数据通信技术有限公司 一种基于数据链路层的点对点vpn路由方法及系统
CA2931906C (en) * 2015-06-03 2023-09-05 Evertz Microsystems Ltd. Systems and methods for determining a destination location in a network system
CN105099941B (zh) * 2015-06-19 2018-09-04 新华三技术有限公司 一种报文处理方法及装置
US10637889B2 (en) * 2015-07-23 2020-04-28 Cisco Technology, Inc. Systems, methods, and devices for smart mapping and VPN policy enforcement
US10439993B2 (en) * 2015-08-19 2019-10-08 Cisco Technology, Inc. Mapping system assisted key refreshing
US10530735B2 (en) 2015-09-10 2020-01-07 Cisco Technology, Inc. Pro-active mechanism to detect LISP movable silent host
US10044562B2 (en) * 2015-11-04 2018-08-07 Cisco Technology, Inc. Automatic provisioning of LISP mobility networks when interconnecting DC fabrics
CN106130907B (zh) * 2016-05-11 2019-08-06 新华三技术有限公司 一种lisp组网双归属的实现方法及装置
CN107798359B (zh) * 2016-09-05 2021-04-06 阚立坤 一种无线设备管理控制方法
CN110431827B (zh) * 2017-01-24 2022-07-05 瑞典爱立信有限公司 使用位置标识符分离协议来实现分布式网关架构以用于3gpp移动性
US11121962B2 (en) 2017-01-31 2021-09-14 Vmware, Inc. High performance software-defined core network
US11252079B2 (en) 2017-01-31 2022-02-15 Vmware, Inc. High performance software-defined core network
US10992568B2 (en) 2017-01-31 2021-04-27 Vmware, Inc. High performance software-defined core network
US11706127B2 (en) 2017-01-31 2023-07-18 Vmware, Inc. High performance software-defined core network
US20180219765A1 (en) 2017-01-31 2018-08-02 Waltz Networks Method and Apparatus for Network Traffic Control Optimization
US10992558B1 (en) 2017-11-06 2021-04-27 Vmware, Inc. Method and apparatus for distributed data network traffic optimization
US20200036624A1 (en) 2017-01-31 2020-01-30 The Mode Group High performance software-defined core network
US10778528B2 (en) 2017-02-11 2020-09-15 Nicira, Inc. Method and system of connecting to a multipath hub in a cluster
US10917927B2 (en) 2017-05-12 2021-02-09 Telefonaktiebolaget Lm Ericsson (Publ) Local identifier locator network protocol (ILNP) breakout
US10523539B2 (en) 2017-06-22 2019-12-31 Nicira, Inc. Method and system of resiliency in cloud-delivered SD-WAN
US10666460B2 (en) 2017-10-02 2020-05-26 Vmware, Inc. Measurement based routing through multiple public clouds
US11089111B2 (en) 2017-10-02 2021-08-10 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US11115480B2 (en) 2017-10-02 2021-09-07 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US10999100B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider
US10999165B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Three tiers of SaaS providers for deploying compute and network infrastructure in the public cloud
US10959098B2 (en) * 2017-10-02 2021-03-23 Vmware, Inc. Dynamically specifying multiple public cloud edge nodes to connect to an external multi-computer node
US11223514B2 (en) 2017-11-09 2022-01-11 Nicira, Inc. Method and system of a dynamic high-availability mode based on current wide area network connectivity
CN108282462B (zh) * 2017-12-25 2021-08-31 中科曙光信息产业成都有限公司 一种隔离业务网和管理网的装置
CN110650076B (zh) * 2018-06-26 2021-12-24 华为技术有限公司 Vxlan的实现方法，网络设备和通信系统
CN108551496B (zh) * 2018-07-26 2021-03-02 杭州云缔盟科技有限公司 一种防止vpn客户端地址与本地地址冲突的解决方法
US11129061B1 (en) 2018-11-07 2021-09-21 Telefonaktiebolaget Lm Ericsson (Publ) Local identifier locator network protocol (ILNP) breakout
US10855584B2 (en) * 2018-12-28 2020-12-01 Alibaba Group Holding Limited Client-equipment-peering virtual route controller
US11252105B2 (en) 2019-08-27 2022-02-15 Vmware, Inc. Identifying different SaaS optimal egress nodes for virtual networks of different entities
US11044190B2 (en) 2019-10-28 2021-06-22 Vmware, Inc. Managing forwarding elements at edge nodes connected to a virtual network
US11489783B2 (en) 2019-12-12 2022-11-01 Vmware, Inc. Performing deep packet inspection in a software defined wide area network
US11394640B2 (en) 2019-12-12 2022-07-19 Vmware, Inc. Collecting and analyzing data regarding flows associated with DPI parameters
US11722925B2 (en) 2020-01-24 2023-08-08 Vmware, Inc. Performing service class aware load balancing to distribute packets of a flow among multiple network links
US11165702B1 (en) 2020-05-01 2021-11-02 Cisco Technology, Inc. Communication of policy changes in LISP-based software defined networks
US11245641B2 (en) 2020-07-02 2022-02-08 Vmware, Inc. Methods and apparatus for application aware hub clustering techniques for a hyper scale SD-WAN
US11709710B2 (en) 2020-07-30 2023-07-25 Vmware, Inc. Memory allocator for I/O operations
US11575591B2 (en) 2020-11-17 2023-02-07 Vmware, Inc. Autonomous distributed forwarding plane traceability based anomaly detection in application traffic for hyper-scale SD-WAN
US11575600B2 (en) 2020-11-24 2023-02-07 Vmware, Inc. Tunnel-less SD-WAN
US11929903B2 (en) 2020-12-29 2024-03-12 VMware LLC Emulating packet flows to assess network links for SD-WAN
CN116783874A (zh) 2021-01-18 2023-09-19 Vm维尔股份有限公司 网络感知的负载平衡
US11979325B2 (en) 2021-01-28 2024-05-07 VMware LLC Dynamic SD-WAN hub cluster scaling with machine learning
US11388086B1 (en) 2021-05-03 2022-07-12 Vmware, Inc. On demand routing mesh for dynamically adjusting SD-WAN edge forwarding node roles to facilitate routing through an SD-WAN
US11729065B2 (en) 2021-05-06 2023-08-15 Vmware, Inc. Methods for application defined virtual network service among multiple transport in SD-WAN
US11489720B1 (en) 2021-06-18 2022-11-01 Vmware, Inc. Method and apparatus to evaluate resource elements and public clouds for deploying tenant deployable elements based on harvested performance metrics
US11785493B2 (en) 2021-07-23 2023-10-10 Cisco Technology, Inc. Prioritizing wireless access technologies in an enterprise fabric
US11375005B1 (en) 2021-07-24 2022-06-28 Vmware, Inc. High availability solutions for a secure access service edge application
US11943146B2 (en) 2021-10-01 2024-03-26 VMware LLC Traffic prioritization in SD-WAN
US11909815B2 (en) 2022-06-06 2024-02-20 VMware LLC Routing based on geolocation costs

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
US20070115990A1 (en) * 2005-11-22 2007-05-24 Rajiv Asati Method of providing an encrypted multipoint VPN service
CN101123536A (zh) * 2007-09-19 2008-02-13 北京交通大学 实现一体化网络位置管理的方法
CN101355516A (zh) * 2008-09-09 2009-01-28 中兴通讯股份有限公司 一种为不同虚拟专用网提供服务质量策略的方法和系统
CN101459698A (zh) * 2007-12-14 2009-06-17 中国人民解放军信息工程大学 域内和域间的网络互连方法及其系统
CN101534240A (zh) * 2008-03-14 2009-09-16 华为技术有限公司 一种映射信息的发送方法、系统和装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5964837A (en) * 1995-06-28 1999-10-12 International Business Machines Corporation Computer network management using dynamic switching between event-driven and polling type of monitoring from manager station
US6006258A (en) * 1997-09-12 1999-12-21 Sun Microsystems, Inc. Source address directed message delivery
JP2000183968A (ja) 1998-12-17 2000-06-30 Nippon Telegr & Teleph Corp <Ntt> パケット通信システムおよびそれを構成するノードとエッジ装置
US20030088699A1 (en) * 1999-11-04 2003-05-08 James V. Luciani System, device, and method for supporting virtual private networks in a label switched communication network
JP2001237876A (ja) * 2000-02-21 2001-08-31 Nec Corp Ｉｐ仮想プライベート網の構築方法及びｉｐ仮想プライベート網
US7136374B1 (en) * 2001-03-19 2006-11-14 Juniper Networks, Inc. Transport networks supporting virtual private networks, and configuring such networks
US7139818B1 (en) * 2001-10-04 2006-11-21 Cisco Technology, Inc. Techniques for dynamic host configuration without direct communications between client and server
US7389534B1 (en) * 2003-06-27 2008-06-17 Nortel Networks Ltd Method and apparatus for establishing virtual private network tunnels in a wireless network
US7373660B1 (en) * 2003-08-26 2008-05-13 Cisco Technology, Inc. Methods and apparatus to distribute policy information
JP4207078B2 (ja) * 2006-10-11 2009-01-14 村田機械株式会社 中継サーバ
EP2178265B1 (en) * 2008-10-17 2013-09-04 Alcatel Lucent System and method for mobile IP
KR101084769B1 (ko) * 2008-12-23 2011-11-21 주식회사 케이티 위치자/식별자 분리 기반의 네트워크 이동성 지원 시스템 및 그 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070115990A1 (en) * 2005-11-22 2007-05-24 Rajiv Asati Method of providing an encrypted multipoint VPN service
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
CN101123536A (zh) * 2007-09-19 2008-02-13 北京交通大学 实现一体化网络位置管理的方法
CN101459698A (zh) * 2007-12-14 2009-06-17 中国人民解放军信息工程大学 域内和域间的网络互连方法及其系统
CN101534240A (zh) * 2008-03-14 2009-09-16 华为技术有限公司 一种映射信息的发送方法、系统和装置
CN101355516A (zh) * 2008-09-09 2009-01-28 中兴通讯股份有限公司 一种为不同虚拟专用网提供服务质量策略的方法和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2466817A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012231225A (ja) * 2011-04-25 2012-11-22 Kddi Corp マッピングサーバの制御方法及びマッピングサーバ

Also Published As

Publication number Publication date
CN102025591A (zh) 2011-04-20
JP2013504959A (ja) 2013-02-07
US20120173694A1 (en) 2012-07-05
CN102025591B (zh) 2013-12-18
EP2466817A4 (en) 2017-11-22
KR20120055687A (ko) 2012-05-31
KR101399002B1 (ko) 2014-05-27
EP2466817A1 (en) 2012-06-20

Similar Documents

Publication Publication Date Title
KR101399002B1 (ko) 가상 사설 네트워크의 실현 방법 및 시스템
US8661525B2 (en) Implementation method and system of virtual private network
EP2489172B1 (en) Virtual layer 2 and mechanism to make it scalable
US9448821B2 (en) Method and system for realizing virtual machine mobility
JP5410614B2 (ja) クラウドコンピューティングにおける企業のレイヤ２シームレスサイト拡張
WO2015131560A1 (zh) 一种分配分段路由标记的方法和分段路由节点
Komilov et al. Improving the use of virtual lan (vlan) technology
WO2011069399A1 (zh) 地址映射方法及接入业务节点
WO2011124132A1 (zh) 数据通信系统及方法
WO2012106919A1 (zh) 一种三层虚拟专有网路由控制方法、装置及系统
WO2011103781A2 (zh) 身份标识与位置分离的实现方法、设备及数据封装方法
WO2012106935A1 (zh) 数据通信网络配置方法、网关网元及数据通信系统
EP2584742B1 (en) Method and switch for sending packet
WO2007112645A1 (fr) Procédé et système de mise en oeuvre d&#39;un réseau privé virtuel mobile
WO2008014723A1 (fr) Procédé et dispositif permettant la mise en oeuvre d&#39;un réseau privé virtuel (vpn) fondé sur une structure d&#39;adresse ipv6
WO2014186978A1 (zh) 用于以太虚拟专用网的方法和设备
WO2011131084A1 (zh) 数据通信系统及方法
US8437357B2 (en) Method of connecting VLAN systems to other networks via a router
US20060182120A1 (en) IP to VPLS interworking
EP3477897B1 (en) Method for routing data packets in a network topology
JP2013162466A (ja) Ｌｉｓｐネットワークの通信方法および通信中継装置
WO2011124121A1 (zh) 网间数据通讯系统及方法
EP3190752A1 (en) Method, system and medium for avoiding traffic flooding due to asymmetric mac learning and achieving predictable convergence for pbb-evpn active-active redundancy
Singh BGP MPLS based EVPN And its implementation and use cases
CN115604056A (zh) 下游vxlan标识符的高效存储实现

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10816676

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 20127006643

Country of ref document: KR

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13395966

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2012529108

Country of ref document: JP

Ref document number: 2010816676

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE