WO2011032473A1 - 虚拟专用网络的实现方法及系统 - Google Patents

虚拟专用网络的实现方法及系统 Download PDF

Info

Publication number
WO2011032473A1
WO2011032473A1 PCT/CN2010/076788 CN2010076788W WO2011032473A1 WO 2011032473 A1 WO2011032473 A1 WO 2011032473A1 CN 2010076788 W CN2010076788 W CN 2010076788W WO 2011032473 A1 WO2011032473 A1 WO 2011032473A1
Authority
WO
WIPO (PCT)
Prior art keywords
vpn
host
mapping
identity
attribute
Prior art date
Application number
PCT/CN2010/076788
Other languages
English (en)
French (fr)
Inventor
晏祥彪
孙翼舟
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to JP2012529109A priority Critical patent/JP5579853B2/ja
Priority to KR1020127009926A priority patent/KR101340495B1/ko
Priority to EP10816677.8A priority patent/EP2466818A4/en
Priority to US13/496,284 priority patent/US8661525B2/en
Publication of WO2011032473A1 publication Critical patent/WO2011032473A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/69—Types of network addresses using geographic information, e.g. room number

Definitions

  • the present invention relates to an identity location separation technique, and more particularly to a method and system for implementing a virtual private network in an identity location separation network.
  • 4G is the abbreviation of the 4th generation mobile communication system.
  • the goal of 4G is to provide an IP bearer network-based solution for voice, data and streaming services, enabling users to get a more "anytime, anywhere, any business”. High-speed communication environment.
  • NGN Next Generation Network
  • IP packet bearer network is a next-generation network based on telecommunication networks, aiming to establish a unified IP-based packet switching-based transport layer.
  • IPv4 IP-based packet switching-based transport layer.
  • IP addresses allocated to developing countries with large populations are less, resulting in fewer IP addresses.
  • the development of IP packet bearer networks and various communication networks in developing countries is constrained by the lack of IP addresses. For example, the number of Internet users in China has exceeded the number of IPv4 addresses owned by China, and the number of Internet users in China is still increasing at a high speed.
  • IPv6 down-to-earth network architecture technology
  • 3G and 4G are the core of the research on next-generation networks in the field of wireless communications, aiming to improve the quality of wireless mobile communications based on the all-IP packet core network; NGN and NGI (Next-Generation Internet) are the telecommunications network and the Internet.
  • Research on next-generation network convergence; CNGI China's Next Generation Internet aims to build a next-generation Internet based on IPv6; Northern Jiaotong University's "Integrated Trusted Network and Pervasive Service System Basic Research" hopes to build A unified new packet network.
  • the future network is a unified bearer network for packets. Therefore, research on the next generation network architecture will use the Internet as the main reference.
  • the Internet has maintained rapid development since its birth. It has become the most successful and most vital communication network. Its flexible and scalable, efficient packet switching, and powerful functions of the terminal are in line with the design needs of the new generation network. It will be the main reference blueprint for next-generation network design. However, the structure of the Internet is far from optimal, and there are many major design issues. In addition to the above IP address space can not meet the application needs, but also mainly in the following aspects: Internet invention in the 1970s, it is difficult to predict that there will be a large number of mobile terminals and multiple township terminals in the world today, so the Internet Protocol at the time The stack is primarily designed for terminals that are connected in a "fixed" manner.
  • the transmitted address is the received address, and the path is reversible, so the IP address with dual attributes of identity and location can work very well.
  • the IP address also represents the identity and location that exactly met the network needs of the time. From the perspective of the network environment at the time, this design scheme is simple and effective, simplifying the hierarchy of the protocol stack. But there is no doubt that there is an internal contradiction between the identity attribute of the IP address and the location attribute.
  • the identity attribute of an IP address requires that any two IP addresses be equal.
  • IP address location attribute requires IP address
  • the addresses are assigned based on the network topology (not the organization).
  • the IP addresses in the same subnet should be in a contiguous IP address block, so that the IP address prefixes in the network topology can be aggregated, thus reducing the router.
  • the entry of the routing table of the device ensures the scalability of the routing system.
  • DHCP Dynamic Host Configuration Protocol
  • Routing scalability issues There is a basic assumption about the scalability of the Internet routing system: "The address is allocated according to the topology, or the topology is deployed according to the address, and the second one is selected.
  • the identity attribute of the IP address requires the IP address to be based on the terminal.
  • the organization (rather than the network topology) is allocated, and this allocation must be stable and cannot be changed frequently; and the location attribute of the IP address requires the IP address to be assigned based on the network topology to ensure the routing system is available.
  • Scalability In this way, the two attributes of the IP address create a conflict, which eventually leads to the scalability problem of the Internet routing system.
  • the identity attribute of the IP address requires that the IP address should not change as the location of the terminal changes. This ensures that the communication on the identity is not interrupted, and that the terminal can still use its identity after the terminal is moved.
  • the communication link is established; the location attribute of the IP address requires the IP address to change as the terminal location changes, so that the IP address can be aggregated in the new network topology, otherwise the network must reserve a separate route for the mobile terminal. Information, resulting in a routing table The number of entries has grown dramatically.
  • a number of township issues A plurality of townships usually refer to terminals or networks that access the Internet through a network of multiple ISPs (Internet Service Providers).
  • ISPs Internet Service Providers
  • the advantages of multiple township technologies include increased network reliability, support for traffic load balancing across multiple ISPs, and increased overall available bandwidth.
  • the identity attribute of an IP address requires that a plurality of home terminals always display the same identity to other terminals, regardless of whether the multiple township terminals access the Internet through several ISPs; and the location attribute of the IP address requires that multiple township terminals are different. Communication is performed using different IP addresses in the ISP network to ensure that the IP address of the endpoint can be aggregated in the topology of the ISP network.
  • IP address contains both the identity information and the location information of the terminal
  • both the communication peer and the malicious eavesdropper can obtain the identity information and the topology location information of the terminal according to the IP address of the terminal.
  • the dual attribute problem of IP address is one of the root causes that plague the Internet. It is a good idea to solve the problem faced by the Internet by separating the identity attribute and location attribute of the IP address.
  • the new network will be designed based on this idea, and propose a network structure of separate mapping of identity information and location information to solve some serious drawbacks of the existing Internet.
  • the HIP Host Identity Protocol
  • Some schemes classify IP addresses, some IPs are used as identity identifiers, and some IPs are used as location identifiers.
  • LISP Licator/ID Separation Protocol
  • Chinese patent application CN1801764 which was published on July 12, 2006, was applied by Zhang Hongke and others of Northern Jiaotong University. Internet access method", the method uses the IP address as the location identifier of the host, and introduces the host host identifier as the identity identifier to solve the problem of identity and location separation.
  • host-based solutions require modifications to the host protocol stack, such as HIP; network-based solutions require improvements to routers at specific locations.
  • network-based solutions require improvements to routers at specific locations.
  • routers that perform identity and location mapping functions are located in different locations on the network.
  • Some schemes clearly define that the router that performs the mapping function is located at the boundary of the user network, that is, the mapping function router belongs to the user network; some (LISP, TID (Tunneled Inter-domain Routing) and Ivip (Internet Vastly Improved Plumbing, Internet) Juli upgrade pipeline))
  • There is no limit to the location of the router in the network to complete the mapping function There is no limit to the location of the router in the network to complete the mapping function; some explicitly solve the routing scalability problem and ensure the mapping of identity and location information only the network administrator can know, strictly limit the completion of the mapping function
  • the router is the core network access router, that is, the mapping function router belongs to the core network.
  • IPNL is designed to give IPv4 networks a longer life and avoid the challenge of replacing the IPv4 protocol with the replacement of the IPv4 protocol.
  • TRIAD is designed to address the various issues that NAT brings to the Internet, while providing some support for mobility and policy routing.
  • HIP was originally proposed to solve security problems, and then did a lot of work on mobility support, and conducted a number of township-supported research.
  • SHIM6 Level 3 Shim for IPv6
  • LIN6 Location Independent Networking for IPv6, a location-independent network for IPv6, is designed to provide an alternative mobility and multiple township solution for the IPv6 protocol.
  • the ILNP Identity Locator Network Protocol
  • GSE Global, Site and End-System Designator
  • TIDR is designed to enhance the routing and forwarding capabilities of the existing Internet, and to address global routing table bloat, inter-domain routing security, and multiple township issues.
  • LISP is primarily designed for routing scalability issues.
  • a VPN virtual private network
  • VPNs can interconnect components and resources of different networks.
  • VPNs can leverage the infrastructure of an Internet or other public Internet to create tunnels for users and provide the same security and functional protection as private networks.
  • VPNs can be implemented in a variety of ways, which can be divided into user-managed VPN solutions (CPE-VPN) and carrier-implemented VPN solutions (PP-VPN).
  • CPE-VPN solution The user-managed VPN solution (CPE-VPN solution) is characterized in that the user sets, manages, and maintains the VPN gateway device, and establishes a standard VPN tunnel-based connection between each branch office and the corporate headquarters through the public IP network.
  • the tunnel protocol usually Use Layer 2 Tunneling Protocol (L2TP), Point-to-Point Tunneling Protocol (PPTP), IPsec (secure IP), IP in IP (IP in IP), and GRE (Generic Routing Encapsulation), and use each Encryption technology and NAT technology to ensure the security of data transmission.
  • L2TP Layer 2 Tunneling Protocol
  • PPTP Point-to-Point Tunneling Protocol
  • IPsec secure IP
  • IP in IP IP in IP
  • GRE Generic Routing Encapsulation
  • the establishment and management of the VPN tunnel connection is entirely the responsibility of the user.
  • the provider does not need to adjust or change the structure and performance of the network.
  • This method is also known as the "self-built VPN" method.
  • VPN supports enterprises to establish connections with branches or other companies through public Internet such as the Internet for secure communication. This VPN connection established across the Internet is logically equivalent to the connection established between the two places using the WAN.
  • VPN communication is based on the foundation of the public internet On, but the user feels like using a private network for communication when using VPN, so it is named virtual private network.
  • Using VPN technology can solve the problem that employees need to access central resources and enterprises must communicate with each other in a timely and effective manner when the amount of remote communication is increasing and the global operation of the enterprise is widely distributed.
  • Basic use of VPN Remote user access through VPN.
  • VPN supports remote access to enterprise resources through the public Internet. For example, VPN users first dial the network access server (BRAS) of the local access service provider (ISP).
  • BRAS network access server
  • ISP local access service provider
  • VPN software create a VPN across the Internet or other public internet between the remote user and the corporate VPN server using the connection established with the local ISP.
  • Using a VPN to connect to a remote local area network you do not need to use expensive long-distance dedicated circuits.
  • Branch offices and enterprise routers can use their local dedicated lines to connect to the Internet through a local ISP, or dial-up access to the ISP's broadband access server to connect to mtemet. .
  • Use the VPN software to create a VPN between the branch office and the enterprise router using the connection to the local ISP and the Internet network.
  • the VPN solution implemented by the operator refers to setting up a VPN gateway device on the public data communication network of the operator for dedicated line access users or remote dial-up access users.
  • VPNs can be established through tunnel encapsulation, virtual routers, or MPLS (multi-protocol label switching) technologies according to specific VPN network requirements, and encryption technologies can be used to ensure data transmission security.
  • MPLS multi-protocol label switching
  • the establishment of the VPN connection is completely responsible for the operator and is transparent to the user. This method is also known as the "outsourcing VPN" method.
  • VLAN Virtual Local Area Network
  • IEEE The Institute of Electrical and Electronics Engineers, International Institute of Electrical and Electronics Engineers In 1999, a draft of the 802.1Q protocol standard to standardize VLAN implementation was promulgated in 1999.
  • the traditional Ethernet frame format defines 4096 VLANs.
  • the VLAN is proposed to solve the broadcast problem and security of Ethernet. It adds a VLAN header to the Ethernet frame and divides the user into more VLAN IDs. A small working group restricts users' mutual access between different working groups.
  • Each working group is a virtual local area network.
  • the benefits of virtual local area networks are that they can limit the range of broadcasts and form virtual workgroups and dynamic governance networks.
  • the VLAN isolates the broadcast storm and also isolates the communication between different VLANs. Therefore, communication between different VLANs needs to be completed by a router.
  • the advantage is that when the user's physical location moves, that is, when switching from one switch to another, the VLAN does not need to be reconfigured.
  • IP multicast is actually a VLAN definition, that is, a multicast group is a VLAN. This division method extends the VLAN to the WAN. , so this method has more flexibility, and it is easy to enter through the router Extension.
  • VLAN as a VPN technology in a specific Ethernet communication environment has been widely applied in broadband access.
  • the core network or wide area network is more widely used in multi-protocol label switching (MPLS)-based VPN.
  • MPLS Multi-Protocol Label Switching
  • the emergence of Multi-Protocol Label Switching (MPLS) technology has changed the architecture of the entire Internet.
  • the technical solution of VPN implementation using MPLS technology will greatly improve the defects of the traditional IP network, and provide the same security guarantee as the Frame Relay or ATM (Asynchronous Transfer Mode) network, which can be well adapted to the VPN service. demand.
  • the network model of the MPLS VPN includes: a Customer Edge (CE) device, which can be a router or a Layer 2 switch, which is located at the client and provides access to the network provider;
  • the Provider Edge (PE) router maintains the forwarding table related to the node, exchanges VPN routing information with other PE routers, and forwards the VPN service using the Label Switched Path (LSP) in the MPLS network.
  • LSP Label Switched Path
  • MPLS Label Edge Router
  • PR Provider Router
  • LSR Label Switching Router
  • MPLS VPN provides anti-attack and token spoofing methods by means of route isolation, address isolation and information hiding. Therefore, MPLS VPN can provide similar functions to ATM/FR VPN.
  • Scalability MPLS VPN is highly scalable. On the one hand, the number of VPNs that can be accommodated in an MPLS network is large. On the other hand, the number of user nodes is allocated and managed by means of BGP (Border Gateway Protocol), and the number of user nodes in the same VPN is not Restricted, easy to expand, and enables direct communication between any node and any other node.
  • BGP Band Gateway Protocol
  • MPLS VPN services naturally have large bandwidth, multi-node, multi-route, abundant network and transmission resources to ensure network reliability.
  • IGP Interior Gateway Protocol
  • identity and location separation Under the technical solution of identity and location separation, it has an impact on the implementation of the VPN technology mentioned above, and has an impact on the VPN solution (PP-VPN) implemented by the operator, especially the solution involving the three-layer IP address is relatively large, and the location is relatively large.
  • Separation of identity and identity mainly involves the identity and communication protocol of the VPN user.
  • VPN access management needs to use the identity of the terminal host for authentication management.
  • the system is upgraded; for the user-managed VPN solution (CPE-VPN scheme), the location and identity are separated.
  • the host is no longer using the IP address for communication.
  • the identity of the host is used to communicate with the EID.
  • the VPN software needs to be upgraded to handle the identity of the supported host.
  • the technical problem to be solved by the present invention is to provide a virtual private network to implement the method and system to conveniently implement a virtual private network in an identity location separation network.
  • the present invention provides a method for implementing a virtual private network, where the virtual private network is implemented based on an identity location separation network, and the method includes:
  • the mapping plane of the identity location separation network sets a VPN private mapping table and a common mapping table of the virtual private network (VPN), and the VPN dedicated mapping table includes a mapping relationship between the VPN terminal host identity and the location identifier of the same VPN network;
  • the normal mapping table includes a mapping relationship between the common end host identity and the location identifier;
  • the mapping plane queries a VPN-specific mapping table or a common mapping table that is consistent with the source host attribute according to the destination host identity identifier. If the mapping relationship to the destination host is queried, the identity location separation network implements the source host and destination. Communication between end hosts, otherwise communication fails.
  • the attribute refers to whether the host belongs to the VPN host.
  • the mapping plane queries the VPN-specific mapping table. Otherwise, Query the normal mapping table.
  • the mapping plane includes a plurality of VPN-specific mapping tables, and different VPN-specific mapping tables correspond to different VPN networks, and have different VPN identifiers; the attribute refers to whether the terminal host belongs to the VPN-end host, and belongs to the VPN-side host.
  • the mapping plane queries the VPN-specific mapping table corresponding to the VPN identifier, otherwise the common mapping table is queried.
  • the step B includes: Bl, the access service node (ASN) receives the packet sent by the source host, where the source host identifier and the destination host identifier are carried;
  • the ASN obtains a source table according to an attribute table set by the source host identity identifier.
  • the machine attributes and forwards the message to the mapping plane or sends a query request, where the source host attribute and the destination host identity identifier are carried;
  • the mapping plane queries the VPN-specific mapping table or the common mapping table that is consistent with the source host attribute according to the destination host identity identifier. B4. If the query result includes the location identifier of the destination host, the ASN or the mapping plane is located. The destination access service node corresponding to the destination location identifier forwards the message to implement communication, otherwise the communication fails. Preferably, after the step B4, the destination access service node receives the packet and forwards the packet to the destination host, and records the mapping relationship between the source host identity and the location identifier and the VPN attribute of the source host in the local mapping table.
  • the destination access service node receives the 4 ⁇ message sent by the destination host, and then queries the local mapping table to determine the direct forwarding of the packet when the source host and the destination host have the same attributes.
  • the present invention further provides an implementation method of another virtual private network, wherein: the virtual private network is implemented based on an identity location separation network, and the method includes: A. mapping plane setting of the identity location separation network a virtual private network (VPN) dedicated mapping table, where the VPN dedicated mapping table includes a mapping relationship between a VPN end host identity and a location identifier of the same VPN network;
  • VPN virtual private network
  • the mapping plane queries the VPN-specific mapping table. If the mapping relationship of the destination host is queried, the identity separation network implements communication between the source host and the destination host, otherwise the communication fails. Preferably, the mapping plane sets a plurality of VPN-specific mapping tables at the same time, and different VPN-specific mapping tables correspond to different VPNs and have different VPN identifiers.
  • the mapping planes are queried and sourced according to the destination host identity identifiers. If the mapping between the source host and the destination host is performed, the mapping between the source host and the destination host is performed. If the mapping between the source host and the destination host is not found, Then the communication fails.
  • Step B includes: The access service node (ASN) receives the packet sent by the source host, where the source and destination host identifiers are carried;
  • ASN access service node
  • the ASN obtains the attribute of the source host according to the attribute table set by the source host identity identifier, and forwards the packet to the mapping plane or sends a query request, where the source host attribute and the destination host identity identifier are carried;
  • mapping plane queries a VPN-specific mapping table consistent with the source host attribute according to the destination host identity identifier.
  • the ASN or the mapping plane forwards the packet to the destination access service node corresponding to the destination location identifier, otherwise the communication fails.
  • the destination access service node receives the packet and forwards the packet to the destination host, and records the mapping relationship between the source host identity and the location identifier and the VPN attribute of the source host in the local mapping table.
  • the destination access service node receives the 4 ⁇ message sent by the destination host, and then queries the local mapping table to directly forward the packet when the source and destination host attributes are the same.
  • the present invention further provides an implementation system of a virtual private network, where the system is implemented based on an identity location separation architecture network, including a service access node (ASN) and a mapping plane connected through a network, the ASN, The first transceiver module, the attribute table and the attribute table query module are included, wherein:
  • the first transceiver module is configured to: receive a packet sent by the source host, and carry the source and destination host identifiers, and notify the attribute table query module; and forward the packet to the mapping plane or send a query request, where the packet is carried
  • the source host attribute and the destination host identity identifier are sent to the mapping plane, and are further configured to receive the query result sent by the mapping plane, and if the mapping relationship of the destination host is queried, the result is also set according to the query result.
  • the attribute table is set to: a correspondence between the storage host and its attribute;
  • the attribute table query module is connected to the first transceiver module and the attribute table, and is set according to the source end
  • the host identity identifier queries the attribute table, obtains the source host attribute, and notifies the first transceiver module;
  • the mapping plane includes a second transceiver module, a mapping database, and a database query module, where: the second transceiver module is configured to: receive the ASN forwarded message or the sent query request, and notify the database query module; When the request is queried, it is set to send the query result to the ASN; when the forwarded message is received, if the mapping relationship to the destination host is queried, the message is forwarded according to the query result, otherwise the communication fails; the mapping database is set to And storing a virtual private network (VPN) private mapping table and a common mapping table, where the VPN dedicated mapping table includes a mapping relationship between a VPN end host identity and a location identifier of the
  • the database query module is connected to the second transceiver module and the mapping database, and configured to query a VPN-specific mapping table or a common mapping table that is consistent with the source host attribute according to the destination host identity identifier. And notifying the second transceiver module of the query result.
  • the attribute refers to whether the host belongs to the VPN host. If the attribute of the source host indicates that the source host is a VPN host, the database query module of the mapping plane queries the VPN-specific mapping table, otherwise the query is performed.
  • a general mapping table is used to query a VPN-specific mapping table or a common mapping table that is consistent with the source host attribute according to the destination host identity identifier.
  • the mapping database of the mapping plane includes a plurality of VPN-specific mapping tables, and different VPN-specific mapping tables correspond to different VPN networks, and have different VPN identifiers; the attribute refers to whether the terminal host belongs to the VPN-end host, and belongs to If the source of the host is a VPN host, the database query module of the mapping plane queries the VPN-specific mapping table corresponding to the VPN identifier, otherwise the query is performed. Normal mapping table.
  • the present invention further provides a method for implementing a virtual private network, where the virtual private network is implemented based on an identity location separation network, and the method includes:
  • the mapping plane of the identity location separation network sets a virtual private network (VPN) dedicated mapping table, where the VPN dedicated mapping table includes a mapping relationship between the VPN end host identity and the location identifier of the same VPN network;
  • VPN virtual private network
  • the identity location separation network implements communication between the VPN end hosts in the VPN according to the VPN dedicated mapping table.
  • the mapping plane simultaneously sets a plurality of VPN-specific mapping tables, and different VPN-specific mapping tables correspond to different VPN networks, and have different VPN identifiers; in step B, the identity-location separated network is consistent with the source host VPN identifier.
  • the VPN-specific mapping table implements communication between the VPN-side hosts in the corresponding VPN.
  • the invention saves the VPN dedicated mapping table of the VPN in the mapping plane of the identity location separation network, and determines whether to implement communication between the VPN end host users in the VPN according to the VPN dedicated mapping table, thereby being effective in the identity location separation network.
  • the virtual private network is realized, which satisfies the user's demand for the virtual private network, and eliminates the influence of the technical solution of identity and location separation on the traditional virtual private network VPN service.
  • FIG. 1 is a schematic diagram of a method for implementing a virtual private network according to an embodiment of the present invention.
  • FIG. 2 is a schematic diagram of an identity location separation architecture for implementing a virtual private network according to an embodiment of the present invention.
  • FIG. 3 is a schematic diagram of implementing a virtual private network in the identity location separation network described in FIG. 2.
  • Figure 4 is a flow chart showing an application example for implementing packet processing in the network architecture of Figure 3.
  • FIG. 5 is a schematic structural diagram of a module of a virtual private network implementation system according to an embodiment of the present invention.
  • the data communication network with separate identity and location has such characteristics that the identity attribute and the location attribute of the traditional IP address are inevitably separated.
  • the IP address only has the location attribute, and is used as the identifier of the end host geographical location, and the identity of the end host is newly added.
  • the location identifier of the end host is determined by the geographical location and network topology of the end host.
  • the location change causes the location identifier of the end host to change, and the location identifier of the end host is changed.
  • the identity is the only identifier used by the terminal identity and will not change during the process of the terminal host moving.
  • the mapping between the end host identity and the location identifier must be added, and the functional entity is required to complete the mapping relationship.
  • the present invention refers to the functional entity as a mapping plane.
  • the mapping plane is also called differently.
  • Zhang Hongke's patent ZL200610001825.0 of Beijing Jiaotong University explains this.
  • the identity resolver is introduced, which is responsible for the resolution of the host identifier EID and IP address.
  • the mapping relationship between the EID and the IP address of the update host ID is dynamically maintained.
  • the LISP3 scenario uses a mapping database to provide an identity identifier EID and a location identifier RLOC.
  • the mapping database is under study.
  • mapping servers Some of the other schemes are also referred to as mapping servers, and are collectively referred to as mapping planes in the present invention.
  • the main idea of the implementation method and implementation system of the virtual private network of the present invention is to store a VPN-specific mapping table of a virtual private network (VPN) in the mapping plane of the identity location separation network, when the source host is a VPN host.
  • the identity location separation network implements communication between the VPN end hosts in the VPN according to the VPN dedicated mapping table, thereby effectively implementing the virtual private network in the identity location separation network, and satisfying the user to the virtual private network.
  • the demand eliminates the impact of the technical solution of identity and location separation on the traditional virtual private network VPN service. As shown in FIG.
  • the implementation method of the virtual private network in the embodiment of the present invention is implemented based on an identity location separation network, and the method includes: Step 101: Setting a mapping plane of the identity location separation network and setting a VPN private mapping table of the virtual private network (VPN) And a common mapping table, where the VPN-specific mapping table includes a mapping relationship between a VPN-end host identity and a location identifier of the same VPN network; the common mapping table includes a mapping relationship between the common-end host identity and the location identifier;
  • Step 102 The mapping plane queries a VPN-specific mapping table or a common mapping table that is consistent with the source host attribute according to the destination host identity identifier. If the mapping relationship to the destination host is queried, the identity location separation network implements the source and destination ends. Communication between hosts, otherwise communication fails. The above embodiment implements separate communication in the same identity location, while implementing normal communication and one VPN network communication. For the case where the mapping plane has only one VPN-specific mapping table, the attribute refers to whether the end host belongs to the VPN end host. In step 102, if the attribute of the source host indicates that the source host is a VPN. The end host, the mapping plane queries the VPN-specific mapping table, and otherwise queries the normal mapping table.
  • multiple VPN-specific mapping tables are set in the mapping plane, and different VPN-specific mapping tables correspond to different VPN networks, and have different VPN identifiers;
  • the VPN ID belongs to the VPN.
  • the mapping plane queries the VPN for the VPN ID. Map the table, otherwise query the normal mapping table.
  • the present invention is also applicable to setting a plurality of VPN-specific mapping tables in the mapping plane, and not setting a common mapping table to implement multiple different VPNs in the identity location separation network.
  • the virtual private network implementation method can be summarized as:
  • the mapping plane of the identity location separation network sets a plurality of virtual private network (VPN) dedicated mapping tables, and each VPN dedicated mapping table includes a mapping relationship between the VPN end host identity and the location identifier of the same VPN network; different VPN dedicated mappings The table corresponds to different VPN networks and has different VPN identifiers;
  • VPN virtual private network
  • the mapping plane queries the VPN-specific mapping table that is consistent with the source host VPN identifier according to the destination host identity identifier. If the mapping relationship to the destination host is queried, the identity location separation network implements the source and destination hosts. Communication, otherwise communication fails.
  • the identity location separation network includes the access service node and the mapping plane.
  • the packet is forwarded through the mapping plane or the forwarding plane is forwarded through the forwarding plane, including: a.
  • the access service node (ASN) receives the packet sent by the source host, and carries the source and destination host identity identifiers.
  • the ASN obtains the source host attribute according to the attribute table set by the source host identity identifier. And forwarding a message or sending a query request to the mapping plane, where the source host attribute and the destination host identity identifier are carried;
  • the mapping plane queries the VPN-specific mapping table that is consistent with the source host attribute according to the destination host identity identifier.
  • the ASN or the mapping plane identifies the destination location.
  • the corresponding destination access service node forwards the packet to implement communication, otherwise the communication fails.
  • a method for implementing a virtual private network where the virtual private network is implemented based on an identity location separation network, where the method includes: A. A mapping plane of the identity location separation network Setting a virtual private network (VPN) dedicated mapping table, where the VPN dedicated mapping table includes a mapping relationship between a VPN end host identity and a location identifier of the same VPN network;
  • VPN virtual private network
  • the identity location separation network implements communication between the VPN hosts in the VPN according to the VPN-specific mapping table.
  • the mapping plane can simultaneously set a plurality of VPN-specific mapping tables, and different VPN-specific mapping tables correspond to different VPN networks, and have different VPN identifiers; in step B, the identity-location separated network is based on the source-side host VPN identifier.
  • a consistent VPN-specific mapping table is used to implement communication between VPN-side hosts in the VPN.
  • the implementation method of the present invention is further described in detail below by taking the mapping plane as the example.
  • the architecture of the identity location separation network is shown in Figure 2.
  • the user's end host that is, the terminal, as shown in Figure 2)
  • the first end host 100 and the second end host 110 shown in the figure communicate with the identity EID, each end host has a unique identity; the network access service node ASN (Access Service Node) (as shown in the figure)
  • the first ASN 200 and the second ASN 210 are configured to encapsulate, map, and forward the packet sent or received by the terminal, and query the mapping plane 300 to map the identity of the host and the location identifier.
  • mapping Plane 400 negative responsible for forwarding the ASN mapping process of the access service node; the mapping plane 300 maintains the mapping relationship between the identity of the host and the location identifier and maintains the timely update of the mapping relationship, provides a mapping query to the ASN, and queries the location identifier through the identity identifier. .
  • the mapping plane 300 stores the correspondence between the identity EID and the location identifier LID of all terminals of the network, as shown in the following table:
  • the access service node ASN processes the message: the first ASN 200 receives the packet from the first end host 100 to the second end host 110, and the sent message includes the identity identifier EID (1), and according to the destination EID (2) Find the local mapping relationship table. If the query is obtained, the packet is encapsulated according to the LID ( 2 ) and the LID ( 1 ) of the query. The packet is encapsulated and forwarded to the forwarding plane. If the query is not available, the packet is sent to the forwarding plane. The mapping plane is queried for LID ( 2 ).
  • the second ASN 210 of the communication peer receives the packet encapsulated by the LID (2) address, and performs decapsulation, and forwards the decapsulated EID (2) packet to the second end host 110, and learns the packet at the same time.
  • the mapping relationship between the source LID (1) and the EID (1); the second ASN 210 receives the > ⁇ text sent by the second end host 110 to the first end host 100, because the peer second ASN 210 has learned the EID in the above process ( 1) The mapping relationship with LID (1), so the local ASN 210 mapping relationship must be found, without querying the mapping plane 300. At this time, the LID (1) is directly encapsulated on the second ASN 210 for forwarding.
  • the mapping plane dedicated to the virtual private network VPN is set in the mapping plane 300, including the mapping relationship between the identity identifiers and the location identifiers of all client hosts of the VPN.
  • the mapping plane has two mapping tables, one is a normal mapping table, and the other is a VPN-specific mapping table.
  • the VPN attribute table accessed by the VPN network user is set on the access service node ASN, and when the ASN processes the host host message, the ASN can only query the VPN-specific mapping table of the VPN to which the user belongs, and establish communication between the VPN users. Users cannot establish communication with users other than the VPN-specific mapping table. Users other than the VPN-specific mapping table cannot query the VPN-specific mapping table and cannot access the VPN network to ensure VPN network security.
  • Each VPN-specific mapping table has a VPN identifier: VPN ID.
  • VPN ID VPN identifier
  • the mapping relationship between the client hosts in the VPN-specific mapping table can be dynamically added or deleted.
  • the VPNJD of the VPN to which the user belongs should be included. It is convenient to query the mapping table of the VPN ID_VPN_ID of the mapping plane.
  • the user access VPN attribute on the ASN can be fixedly configured or obtained from the mapping plane 300.
  • the VPN technology solution provided by the existing carrier can be implemented in the forwarding plane, for example, the MPLS VPN technology, and provides the secure forwarding of the data flow and the QOS guarantee.
  • the identity of the peer user can be authenticated.
  • FIG. 1 A schematic diagram of an application example for implementing an identity location separation network architecture of a VPN network is shown in FIG.
  • VPN-specific mapping table instance The first virtual private network, assign VPN ID VPN-ID_(1), and its VPN-specific mapping table is as follows: Identity EID ( al ) Location ID LID ( al )
  • the VPN attribute of the host at one end (which may include only the VPN ID) and the destination identity;
  • Step 403 The mapping plane queries the VPN identifier as VPN_ID—(1) according to the destination identity.
  • the VPN-specific mapping table returns the query result to the first ASN; Step 404: The first ASN performs packet processing according to the query result; if the destination identity is EID 2), the query result returned from the mapping plane is that there is no such peer. It is an invalid peer and cannot communicate. It can only communicate with users inside the VPN. If the destination identity is EID ( bl ), The result of the query returned from the mapping plane is the location identifier LID ( bl ). The first ASN performs the normal forwarding process, and the packet is sent to the forwarding plane. If the forwarding plane supports the existing VPN technology, the VPN ID of the forwarding plane can be established.
  • Step 405 The second ASN of the communication peer receives the packet encapsulated by the LID ( bl ) address, performs decapsulation, and forwards the decapsulated EID ( bl ) packet to the second end host, and learns the report.
  • Step 406 The second ASN receives the message sent by the second end host to the first end host;
  • Step 407 Because the second ASN is at the opposite end I have learned EID ( bl ) and
  • the present invention also provides a virtual private network implementation system.
  • the virtual private network (VPN) implementation system includes a service access node (ASN) 500 and a mapping plane connected through a network.
  • ASN service access node
  • the first transceiver module 501 is configured to: receive a packet sent by the source host, where the source and destination are carried Ending the host identity, and notifying the attribute table querying module 503; and forwarding the message or sending the query request to the mapping plane 510, where the source host attribute and the destination host identity are carried; when the query request is sent to the mapping plane 510, It is further configured to receive the query result sent by the mapping plane 510, and if the mapping relationship of the destination host is queried, the packet is forwarded according to the query result, otherwise the communication fails; and is also set to the mapping plane when the mapping relationship changes.
  • the attribute table 502 is set to: a correspondence between the storage host and its attributes;
  • the attribute table query module 503 is connected to the first transceiver module 501 and the attribute table 502. Querying the attribute table 502 according to the source host identity, obtaining the source host attribute, and notifying the first transceiver module 501;
  • the mapping plane 510 includes the second transceiver module 511, the mapping database 512, and the database
  • the query module 513 and the maintenance module 514 are configured to: receive the message forwarded by the ASN 500 or the sent query request, and notify the database query module 513; when receiving the query request, go to the The ASN500 sends the query result.
  • the mapping database 512 is configured to: save a VPN dedicated mapping table and a normal mapping table,
  • the VPN-specific mapping table includes a mapping relationship between the VPN-side host identity and the location identifier of the same VPN network; the common mapping table includes a mapping relationship between the common-end host identity and the location identifier; the database query module 513, and the The two transceiver modules 511 and the mapping database 512 are connected, and are configured to query a VPN-specific mapping table or a common mapping table that is consistent with the source host attribute according to the destination host identity identifier, and is also used to notify the second transceiver module 511 of the query result. If there is only one VPN-specific mapping table, the attribute refers to whether the host belongs to the VPN host.
  • the database query module of the mapping plane queries the VPN-specific mapping table, otherwise query the ordinary mapping table.
  • different VPN-specific mapping tables correspond to different VPN networks and have different VPN identifiers; the attribute refers to whether the host belongs to the VPN-side host and belongs to the VPN-side host, and belongs to If the attribute of the source host indicates that the source host is a VPN host, the database query module 513 of the mapping plane queries the VPN-specific mapping table corresponding to the VPN identifier, and otherwise queries the normal mapping table.
  • the maintenance module 514 is connected to the second transceiver module 511, the normal mapping table, and the VPN-specific mapping table (ie, the mapping database 512) of the mapping plane, and is configured to add or delete the normal mapping table according to the registration or deregistration request of the ASN 500. Or the mapping relationship in the VPN-specific mapping table.
  • the invention saves the VPN private mapping table of the VPN by mapping the mapping plane of the identity location, and determines whether to implement between the VPN end host users in the VPN according to the VPN dedicated mapping table.
  • the communication thus effectively implementing the virtual private network in the identity location separation network, satisfies the user's demand for the virtual private network, eliminates the influence of the identity and location separation technology scheme on the traditional VPN service, and reduces the implementation of the VPN pair.
  • the existing equipment and software are modified, in particular, the VPN solution (PP-VPN) implemented by the operator.
  • the method of the present invention is implemented by a mapping plane, and belongs to a VPN solution implemented by an operator.
  • the present invention provides a method and system for implementing a virtual private network, by storing a VPN-specific mapping table of a VPN in a mapping plane of an identity location separation network, and determining whether to implement a VPN-side host in the VPN according to the VPN-specific mapping table.
  • the communication between users which effectively implements the virtual private network in the identity location separation network, satisfies the user's demand for the virtual private network, and eliminates the influence of the technical solution of identity and location separation on the traditional VPN service, reducing the pair Implement VPN changes to existing devices and software.

Description

虚拟专用网络的实现方法及系统
技术领域 本发明涉及身份位置分离技术， 尤其涉及虚拟专用网絡在身份位置分离 网络的实现方法及系统。
背景技术
关于下一代信息网絡架构的研究是当前最热门的课题之一。 这些研究课 题的基本方向是以话音业务为代表的电信网、 以视频业务为代表的电视网和 以数据业务为代表的互联网进行业务上的无缝地融合为目的， 以网络承载 IP 化为特点，典型的实例如提供语音业务的 VOIP ( Voice over Internet Protocol, IP电话） 网络和提供电视业务的 IPTV网络、 以 IP核心网络承载的 3G移动 通信网络、 以及大量对于超 3G或者 4G网络的研究项目等。
4G是第 4代移动通信系统的简称， 4G 的目标是为语音、 数据和流媒体 业务提供一个基于 IP承载网络的解决方案 , 使用户可以在"任何时间、 任何 地点、 任何业务"获得一个更高速的通信环境。
NGN ( Next Generation Network, 下一代网络）是建立在电信网基础上 的下一代网络， 旨在建立一个统一的基于 IP分组交换的传输层面。 在统一的 序的应用范围。 由于目前 IP分组承载网是以 IPv4 为基础发展而来， IP技术最早产生于 美国， 因此美国等发达国家拥有大量的 IPv4 地址， 相反给人口众多的发展 中国家分配的 IP地址^ L少， 导致发展中国家的 IP分组承载网络以及各种通 信网络的发展受制于 IP地址的缺乏，比如目前我国的互联网用户已经超过了 我国拥有的 IPv4 地址数， 而且我国的网络用户数还在高速增加， 不得不使 用其他技术和设备来增加 IP地址的重复使用， 因此 IP地址空间不够的问题 严重的困扰我国未来 IP承载网絡和通信网络的发展。解决这个问题最理想的 方法是使用 IPV6, 但是这种彻头彻尾的网络架构技术的改变， 导致重新建设 IPv6的承载网络需要付出巨大的建设费用， 以及需要更换数以亿计的终端， 代价高昂， 可见这不是一个适合当前的方案。
由以上技术回顾可以看出， 由于技术基础、 利益背景等差异造成了下一 代网络架构的研究重点和方向选择有很大区别， 但是面临的问题和困难是相 同的。
3G 和 4G 是无线通信领域对下一代网络的研究核心， 旨在基于全 IP 分 组核心网提高无线移动通信的质量； NGN 和 NGI( Next-Generation Internet , 下一代互联网）分别是电信网和互联网领域对下一代网络融合的研究； CNGI ( China's Next Generation Internet,中国下一代互联网）旨在构建基于 IPv6 的 下一代互联网； 北方交大的"一体化可信网络与普适服务体系基础研究 "希望 能构建统一的新分组网络。 虽然各种研究存在很大差异， 但是各种研究普遍 接受的观点是： 未来网絡½于分组的统一承载网络。 因此研究下一代网络 构架将以互联网为主要参考对象。 互联网从其诞生以来一直保持高速发展， 已成为当前最成功、 最具生命力的通信网络， 其灵活可扩展性、 高效的分组 交换、 终端强大的功能等特点非常符合新一代网络的设计需要， 互联网将是 新一代网络设计的主要参考蓝本。然而， 互联网的结构还远远没有达到最优， 存在很多重大的设计问题。 除上述 IP地址空间无法满足应用需要外，还主要 表现在以下方面： 互联网发明于二十世纪七十年代， 人们难以预计今天世界上将存在大量 的移动终端和多家乡终端 , 因此当时的互联网协议栈主要是针对以"固定"方 式连接的终端而设计。 在当时的网络环境下， 由于终端基本上不会从一个位 置移动到其它位置， 发送的地址就是接收的地址， 路径是可逆的， 所以具有 身份和位置双重属性的 IP地址能够非常好的工作， IP地址的身份属性与位 置属性之间没有产生任何沖突。 IP地址同时代表身份和位置恰恰满足了当时 的网络需求。 从当时的网络环境来看， 这种设计方案简单有效， 简化了协议 栈的层次结构。但毋庸置疑的是， IP 地址的身份属性与位置属性之间存在着 内部矛盾。 IP 地址的身份属性要求任意两个 IP 地址都是平等的，虽然 IP 地 址可以按照组织机构进行分配， 但是连续编码的 IP 地址之间没有必然的关 系，或者至少在拓朴位置上没有必然的关系； IP 地址的位置属性则要求 IP 地 址基于网络拓朴 （而不是组织机构） 进行分配， 处于同一个子网内的 IP 地 址都应该处于一个连续的 IP 地址块中，这样才可以使网络拓朴中的 IP 地址 前缀聚合，从而减少路由器设备的路由表的条目，保证路由系统的可扩展性。 伴随着网絡规模和技术的发展， 一些动态分配 IP 地址的技术逐步出现， 如动态主机配置协议（DHCP, Dynamic Host Configuration Protocol ) , 这就 开始打破 IP 地址唯一表示一个终端的 定。私有 IP 地址空间的使用和网络 地址转换（ NAT， Network Address Translator )技术的诞生使得情况继续恶 化。 在这种情况下同时具有身份属性与位置属性的 IP 地址将难以继续胜任 它的角色， IP 地址的双重属性问题已经凸显出来。 除了技术层面的需求发生 了显著变化以外， 互联网的用户状况也已经发生了巨大的改变。 在互联网诞 生之后的最初几年中， 互联网基本上被一些处于共同团体且相互信任的人员 使用， 传统互联网协议栈也是基于此种假设而设计的； 而目前的互联网用户 则是鱼龙混杂， 人们难以继续互相信任。 在这种情况下， 缺乏内嵌安全性机 制的互联网也需要发生变革。 总的来说， IP 地址双重属性的内在矛盾将导致如下主要问题：
1.路由可扩展问题。 关于互联网路由系统的可扩展性存在一个基本的假定： "地址按照拓朴进 行分配， 或者拓朴按照地址进行部署， 二者必选其一，，。 IP 地址的身份属性 要求 IP 地址基于终端所属的组织机构 （而不是网络拓朴） 进行分配， 而且 这种分配要保持一定的稳定性， 不能经常改变； 而 IP 地址的位置属性要求 IP 地址基于网络拓朴进行分配， 以便保证路由系统的可扩展性。这样， IP 地 址的两种属性就产生了沖突， 最终引发了互联网路由系统的可扩展问题。
2. 移动性问题。
IP 地址的身份属性要求 IP 地址不应该随着终端位置的改变而变化， 这 样才能够保证绑定在身份上的通信不中断， 也能够保证终端在移动后， 其它 终端仍能够使用它的身份与之建立通信联系； 而 IP 地址的位置属性则要求 IP 地址随着终端位置的改变而改变， 以便 IP 地址能够在新的网络拓朴中聚 合， 否则网络就必须为移动后的终端保留单独的路由信息， 从而造成路由表 条目的急剧增长。
3. 多家乡问题。 多家乡通常指终端或网络同时通过多个 ISP ( Internet Service Provider, 因特网服务提供商） 的网絡接入到互联网。 多家乡技术的优点包括增加网络 的可靠性、支持多个 ISP 之间的流量负载均衡和提高总体可用带宽等。但是， IP 地址双重属性的内在矛盾使得多家乡技术难以实现。 IP 地址的身份属性 要求一个多家乡终端始终对其它终端展现不变的身份， 无论该多家乡终端是 通过几个 ISP接入到互联网； 而 IP 地址的位置属性则要求一个多家乡终端 在不同的 ISP 网絡中使用不同的 IP 地址通信，这样才能保证终端的 IP 地址 能够在 ISP 网络的拓朴中聚合。
4. 安全和位置隐私问题。 由于 IP 地址同时包含终端的身份信息和位置信息， 所以通信对端和恶 意窃听者都可以根据一个终端的 IP 地址同时获得该终端的身份信息和拓朴 位置信息。 总的来说， 自从传统互联网的体系结构建立以来， 互联网的技术环境和 用户群体都已经发生了翻天覆地的变化， 互联网需要随之进行革新。 IP 地址 的双重属性问题是困扰互联网继续发展的根本原因之一， 将 IP 地址的身份 属性和位置属性进行分离， 是解决互联网所面临问题的一个很好的思路。 新 网络将基于这种思路进行设计， 提出一种身份信息与位置信息分离映射的网 络结构， 以解决现有互联网存在的一些严重弊端。 为了解决身份和位置的问题， 业界进行了大量的研究和探索， 所有身份 与位置分离方案的基本思想都是将原本绑定在 IP 地址上的身份与位置双重 属性分离。其中，有些方案釆用应用层的 URL ( Uniform Resource Locator, 统 一资源定位符 , URL是用于完整地描述 Internet上网页和其他资源的地址的 一种标识方法） 或 FQDN ( Fully Qualified Domain Name, 合格域名） 作为 终端的身份标识， 如 IPNL ( IP Next Layer, IP下一层， 属于 NAT扩展架构 的方式） 、 TRIAD ( A Scalable Deployable NAT-based Internet Architecture, 一种可扩展易部署的基于 NAT的网络架构） 等； 有些方案引入了新的名字 空间作为身份标识， 如 HIP ( Host Identity Protocol , 主机标识协议）在以 IP 地址为位置标识的网络层上增加主机标识； 有些方案将 IP 地址进行分类， 部分 IP作为身份标识，部分 IP作为位置标识，如 LISP( Locator/ID Separation Protocol , 位置身份分离协议） 等； 公开于 2006年 7月 12日的中国专利申 请 CN1801764， 是由北方交通大学张宏科等人申请的 "一种基于身份与位置 分离的互联网接入方法" ， 该方法使用 IP地址作为主机的位置标识， 引入端 主机标识作为身份标识解决身份和位置分离的问题。 在上述这些解决方案中 基于主机的解决方案需要对主机协议栈进行修改， 比如 HIP; 基于网络的解 决方案则需要对特定位置的路由器进行改进。 而且， 同样作为基于网络的解 决方案，完成身份与位置映射功能的路由器在网络中所处的位置也不尽相同。 有的方案明确完成映射功能的路由器位于用户网络的边界， 即映射功能路由 器属于用户网络； 有的 （LISP、 TID ( Tunneled Inter-domain Routing, 隧道 域间路由）和 Ivip( Internet Vastly Improved Plumbing，因特网巨力提升管道） ） 没有限定完成映射功能的路由器在网络中所处的位置； 有的明确解决路由可 扩展问题以及保证身份与位置的映射信息只有网络管理者能够获知， 严格限 定了完成映射功能的路由器为核心网接入路由器， 即映射功能路由器属于核 心网络。 在身份标识与位置标识同时位于网络层的解决方案中， 如 LISP, 存 在是否严格按照网絡拓朴的划分将身份与位置完全分离的设计区别。 目前版 本的 LISP 协议要求网络在没有提供映射解析服务之前， 必须利用 EID ( Endpoint Identifier, 终端标识）将第一个数据包路由到对端， 以便使通信 双方的隧道路由器学习到 RLOC ( outing Locator,路由位置标识）和 EID 的 映射关系，这就使得网络至少要有部分路由节点同时保留基于 RLOC 和 EID 的路由条目， 从而影响了 LISP 解决路由可扩展性问题的能力。 各种身份与位置分离方案提出的初衷不尽相同， 因此最终实现的功能也 各有差异。 IPNL 的设计目的是为了使 IPv4 网络获得更长寿命，避免 IPv6 协 议替换 IPv4协议所引发的全面更新换代的难题。 TRIAD 的设计目的是解决 NAT 给互联网带来的各种问题， 同时对移动性和策略路由等提供一定的支 持。 HIP 最初提出是为了解决安全性问题， 之后在移动性支持上面做了大量 工作， 并且进行了多家乡支持的研究。 SHIM6 ( Level 3 Shim for IPv6 )是主 要为了解决 IPv6 网络能够支持多家乡问题而提出的。 LIN6 ( Location Independent Networking for IPv6 , 用于 IPv6的位置独立网絡） 的设计目的是 为 IPv6协议提出一种可供选择的移动性和多家乡解决方案。 ILNP ( Identifier Locator Network Protocol )的设计目标是提供一种能够解决移动性和多家乡问 题的 IPv6 扩展机制。 GSE ( Global, Site and End- System Designator ) 试图改 乡技术。 TIDR 的设计目标是增强现有互联网的路由和转发功能， 解决全局 路由表膨胀、 域间路由的安全性以及多家乡等问题。 LISP 主要针对路由可 扩展性问题而设计。 上述的提案和方案都从问题的一些局部提出在现有的网络架构下实现身 份与位置分离解决方案， 位置与身份分离是未来数据通信网络的核心技术， 特别是移动数据通信网络。
VPN ( virtual private network , 虚拟专用网络）可以实现不同网络的组件 和资源之间的相互连接。 VPN能够利用 Internet网络或其它公共互联网络的 基础设施为用户创建隧道， 并提供与专用网络一样的安全和功能保障。
VPN有多种实现方式， 具体可以分为用户管理的 VPN解决方案 （CPE - VPN ) 和运营商实施的 VPN解决方案 （ PP - VPN ) 。 用户管理的 VPN解决方案 （ CPE - VPN方案）其特点是用户自己设置、 管理并维护 VPN网关设备， 通过公共 IP 网在各个分支机构和公司总部之间 建立基于标准 VPN隧道的连接， 隧道协议通常釆用二层隧道协议 ( L2TP ) 、 点到点隧道协议 ( PPTP ) 、 IPsec (安全 IP ) 、 IP in IP ( IP里面封装 IP )和 GRE ( Generic Routing Encapsulation, 通用路由封装） 等， 并且利用各种加 密技术和 NAT技术来保障数据传输的安全。
VPN隧道连接的建立与管理完全由用户自己负责，提供商不需要调整或 改变网絡的结构与性能。 这种方式也就是通常所说的 "自建 VPN" 方式。
VPN支持企业通过 Internet等公共互联网络与分支机构或其它公司建立 连接， 进行安全的通讯。 这种跨越 Internet建立的 VPN连接逻辑上等同于两 地之间使用广域网建立的连接。 虽然 VPN通讯建立在公共互联网络的基础 上，但是用户在使用 VPN时感觉如同在使用专用网络进行通讯， 所以得名虚 拟专用网络。使用 VPN技术可以解决在当今远程通讯量日益增大，企业全球 运作广泛分布的情况下， 员工需要访问中央资源， 企业相互之间必须进行及 时和有效的通讯的问题。 VPN的基本用途： 通过 VPN实现远程用户访问， VPN支持以安全的方式通过公共互联网 络远程访问企业资源， 例如 VPN用户首先拨通本地接入服务提供商 （ ISP ) 的网络接入服务器 （ BRAS ) , 然后使用 VPN软件， 利用与本地 ISP建立的 连接在远程用户和企业 VPN服务器之间创建一个跨越 Internet或其它公共互 联网络的 VPN。 使用 VPN连接远程局域网络， 不需要使用价格昂贵的长距离专用电路， 分支机构和企业端路由器可以使用各自本地的专用线路通过本地的 ISP连通 Internet, 或者拨号接入 ISP的宽带接入服务器连接 mtemet。 使用 VPN软件， 利用与当本地 ISP建立的连接和 Internet网络在分支机构和企业端路由器之 间创建一个 VPN。 运营商实施的 VPN解决方案 （PP - VPN )是指在运营商的公共数据通 信网上设置 VPN网关设备，用于专线接入用户或远程拨号接入用户。利用该 网关设备， 可以在全网范围内根据具体的 VPN网络需求， 通过隧道封装、虚 拟路由器或 MPLS (多协议标签交换）等技术建立 VPN, 并且可以采用加密 技术以保障数据传输的安全。 VPN连接的建立完全由运营商负责， 对用户透 明。 这种方式也就是通常所说的 "外包 VPN" 方式。 随着宽带接入网络的迅猛发展的同时， 运营商为了高质量地拓展业务， 必须要解决的一个问题是， 如何对网络结构进行合理的分层规划， 以实现对 用户的定位以及业务治理。 由于在接入网层面大量地采用了以太网技术， 目 前基于以太网来实现网络划分的技术主要是虚拟局域网 （VLAN， Virtual Local Area Network )技术。 VLAN是一种通过将局域网内的设备逻辑地而不 是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。 IEEE ( IEEE (The Institute of Electrical and Electronics Engineers， 国际电气和电子工程师协 会 ) 于 1999年颁布了用以标准化 VLAN实现方案的 802.1Q协议标准草案。 传统的以太网帧格式中定义了 4096个 VLAN, VLAN是为解决以太网的广 播问题和安全性而提出的，它在以太网帧的基础上增加了 VLAN头，用 VLAN ID把用户划分为更小的工作组， 限制不同工作组间的用户二层互访， 每个工 作组就是一个虚拟局域网。 虚拟局域网的好处是可以限制广播范围， 并能够 形成虚拟工作组， 动态治理网络。 VLAN隔离了广播风暴， 同时也隔离了各 个不同的 VLAN之间的通信， 所以不同的 VLAN之间的通信是需要有路由 器来完成的。 划分 VLAN的方法主要有几种。 一是根据端口来划分 VLAN; 这种根据 端口来划分 VLAN 的方式是最常用的一种方式； 二是根据 MAC ( Media Access Control, 媒体接入控制）地址划分 VLAN, 这种划分 VLAN 方法的最大优点就是当用户物理位置移动时， 即从一个交换机换到其他的交 换机时， VLAN不用重新配置，缺点是初始化时所有的用户都必须进行配置， 导致了交换机执行效率降低； 三是根据网络层划分 VLAN, 这种划分 VLAN 的方法是根据每个主机的网絡层地址或协议类型 （假如支持多协议） 划分的 而不是根据路由， 因此即便用户物理位置改变了， 不需要重新配置所属的 VLAN, 缺点是重新解析帧头将降低效率； 四是根据 IP组播划分 VLAN， IP 組播实际上也是一种 VLAN的定义， 即认为一个组播组就是一个 VLAN， 这 种划分的方法将 VLAN扩大到了广域网， 因此这种方法具有更大的灵活性 , 而且也很轻易通过路由器进行扩展。
VLAN作为特定以太网通信环境下的 VPN技术在宽带接入上得到大规 模的应用， 核心网或者广域网中应用比较多的是基于多协议标签交换 ( MPLS ) 的 VPN。 多协议标记交换（ MPLS )技术的出现， 使整个 Internet的体系结构都发 生了变化。 采用 MPLS技术实现 VPN的技术方案将大大改善传统 IP网络的 缺陷， 又能提供和帧中继或 ATM ( Asynchronous Transfer Mode， 异步传输模 式） 网络一样的安全性保证， 可以很好地适应 VPN业务的需求。
MPLS VPN的网络模型包括： 客户边缘（CE, Customer Edge )设备， 可以是路由器或二层交换机， 它位于客户端， 提供到网絡提供商的接入； 提 供商边缘（PE, Provider Edge )路由器， 主要维护与节点相关的转发表， 与 其他 PE路由器交换 VPN路由信息，使用 MPLS网络中的标记交换路径（ LSP , Label Switched Path )转发 VPN业务， 这就是 MPLS网络中的标记边缘路由 器（LER, Label Edge Router ) ； 提供商路由器 （PR, Provider Router )使用 已建立的 LSP对 VPN数据进行透明转发， 不维护与 VPN有关的路由信息， 这就是 MPLS网络中的标记交换路由器 （ LSR , Label Switching Router ) 。
MPLS VPN的优点： 安全性： MPLS VPN由于采用了路由隔离、 地址隔离和信息隐藏等多种 手段， 提供了抗攻击和标记欺骗的手段， 因此 MPLS VPN完全能够提供与 ATM/FR VPN相类似的安全保证。 扩展性： MPLS VPN则具有很强的扩展性。 一方面 MPLS网络中可以容 纳的 VPN 数目很大， 另一方面在用户节点数目上由于借助于 BGP ( Border Gateway Protocol , 边界网关协议）进行成员的分配和管理， 同一个 VPN中的用户节点数不受限制， 容易扩充， 并可以实现任何节点与任何其它 节点的直接通信。 特别是在实现用户节点间的全网状通信时不需要逐条配置 用户节点间的电路， 用户侧只需要一个端口 /一条线路接入网络， 避免了 Ν 平方的扩展性问题。 可靠性： MPLS VPN业务， 自然就具有大带宽、 多节点、 多路由、 充裕 的网络和传输资源来保证网络的可靠性。 当互联网内部中继线中断时， MPLS VPN的流量与普通互联网流量一起依据 IGP ( Interior Gateway Protocol, 内 部网关协议 ) 迂回到其它电路上， 这一过程完全依靠 IGP的收敛自动完成， 对用户完全透明， 在广域网传输中不存在单点故障。
发明内容
在身份和位置分离的技术方案下，给上述的 VPN技术实施带来影响，对 运营商实施的 VPN解决方案 （PP - VPN )产生影响， 特别是涉及三层 IP地 址的方案影响比较大，位置和身份分离主要涉及 VPN的用户的身份标识及通 信协议， VPN接入管理需要使用端主机的身份标识进行认证管理， 需要对管 理系统进行升级处理；而对于用户管理的 VPN解决方案（ CPE - VPN方案）， 位置和身份分离以后端主机不再使用 IP地址进行通信，需要使用端主机的身 份标识 EID进行通信影响比较大一些， 需要对 VPN软件进行升级处理支持 端主机的身份标识。 本发明要解决的技术问题是提供一种虚拟专用网络的实现该方法及系 统， 以在身份位置分离网络方便地实现虚拟专用网络。 为解决以上技术问题， 本发明提供一种虚拟专用网络的实现方法， 所述 虚拟专用网络基于身份位置分离网络实现， 该方法包括：
A、 身份位置分离网络的映射平面设置虚拟专用网络（ VPN )的 VPN专 用映射表和普通映射表， 所述 VPN专用映射表包括同一 VPN 网络的 VPN 端主机身份标识与位置标识的映射关系； 所述普通映射表包括普通端主机身 份标识与位置标识的映射关系；
B、 所述映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN专用映射表或普通映射表， 若查询到目的端主机的映射关系， 则身份位 置分离网络实现源端主机与目的端主机之间的通信， 否则通信失败。 优选地， 所述属性指端主机是否属于 VPN端主机， 步骤 B中， 若源端 主机的属性表明所述源端主机是 VPN端主机，则所述映射平面查询所述 VPN 专用映射表， 否则查询所述普通映射表。 优选地， 所述映射平面包括若干个 VPN专用映射表， 不同的 VPN专用 映射表对应不同的 VPN网络， 具有不同的 VPN标识； 所述属性指端主机是 否属于 VPN端主机， 以及属于 VPN端主机时， 所属的 VPN标识； 步骤 B 中，若源端主机的属性表明所述源端主机是 VPN端主机， 则所述映射平面查 询对应 VPN标识的 VPN专用映射表， 否则查询所述普通映射表。 优选地， 步骤 B包括： Bl、接入业务节点 (ASN)接收源端主机发送的报文， 其中携带源端主机 身份标识和目的端主机身份标识；
B2、 所述 ASN根据源端主机身份标识查询设置的属性表， 获得源端主 机属性， 并向映射平面转发报文或发送查询请求， 其中携带源端主机属性及 目的端主机身份标识；
B3、映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN 专用映射表或普通映射表； B4、 若查询结果中包括目的端主机的位置标识， 则所述 ASN或映射平 面向所述目的位置标识对应的目的接入业务节点转发 · ^文实现通信， 否则通 信失败。 优选地， 步骤 B4之后， 目的接入业务节点接收所述报文并转发给目的 端主机的同时， 将源端主机身份标识和位置标识的映射关系以及源端主机的 VPN属性记录在本地映射表； 目的接入业务节点接收所述目的端主机回送的 4艮文后， 查询本地映射表， 判断源端主机与目的端主机的属性一致时， 直接 进行报文转发。 为解决以上技术问题， 本发明还提供另一种虚拟专用网络的实现方法， 其特征在于： 所述虚拟专用网络基于身份位置分离网络实现， 该方法包括： A、 身份位置分离网络的映射平面设置虚拟专用网络（VPN ) 专用映射 表，所述 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与位置 标识的映射关系；
B、 所述映射平面查询所述 VPN专用映射表， 若查询到目的端主机的映 射关系， 则身份位置分离网络实现源端主机与目的端主机之间的通信， 否则 通信失败。 优选地， 所述映射平面同时设置多个 VPN专用映射表， 不同的 VPN专 用映射表对应不同的 VPN, 具有不同的 VPN标识； 步骤 B中 ,所述映射平面根据目的端主机身份标识查询与源端主机 VPN 标识一致的 VPN专用映射表，若查询到目的端主机的映射关系， 则身份位置 分离网络实现源端主机与目的端主机之间的通信， 若没有查询到目的端主机 的映射关系， 则通信失败。
步骤 B包括： Bl、接入业务节点 (ASN)接收源端主机发送的报文， 其中携带源端和目 的端主机身份标识；
B2、 所述 ASN根据源端主机身份标识查询设置的属性表， 获得源端主 机属性， 并向映射平面转发报文或发送查询请求， 其中携带源端主机属性及 目的端主机身份标识；
B3、映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN 专用映射表；
B4、 若查询结果中包括目的端主机的位置标识， 则所述 ASN或映射平 面向所述目的位置标识对应的目的接入业务节点转发 文实现通信， 否则通 信失败。 优选地， 步骤 B4之后， 目的接入业务节点接收所述报文并转发给目的 端主机的同时， 将源端主机身份标识和位置标识的映射关系以及源端主机的 VPN属性记录在本地映射表； 目的接入业务节点接收所述目的端主机回送的 4艮文后， 查询本地映射表， 判断源、 目的端主机的属性一致时， 直接进行报 文转发。 为解决以上技术问题， 本发明还提供一种虚拟专用网络的实现系统， 所 述系统基于身份位置分离架构网络实现， 包括通过网络连接的业务接入节点 ( ASN )和映射平面， 所述 ASN， 包括第一收发模块、 属性表及属性表查询 模块， 其中：
所述第一收发模块设置成： 接收源端主机发送的报文， 其中携带源端和 目的端主机身份标识， 并通知属性表查询模块； 以及向映射平面转发报文或 发送查询请求， 其中携带源端主机属性及目的端主机身份标识； 向所述映射 平面发送查询请求时， 还设置成接收所述映射平面发送的查询结果， 若查询 到目的端主机的映射关系，还设置成根据查询结果转发报文， 否则通信失败； 所述属性表设置成： 保存端主机与其属性的对应关系； 所述属性表查询模块， 与所述第一收发模块、 属性表连接， 设置成根据 所述源端主机身份标识查询所述属性表， 获得源端主机属性， 并通知所述第 一收发模块； 所述映射平面包括第二收发模块、映射数据库及数据库查询模块，其中： 所述第二收发模块设置成： 接收所述 ASN转发的报文或发送的查询请 求， 并通知数据库查询模块； 接收到查询请求时， 还设置成向所述 ASN发送 查询结果； 接收到转发报文时， 若查询到目的端主机的映射关系， 则根据查 询结果转发报文， 否则通信失败； 所述映射数据库设置成： 保存虚拟专用网络（VPN ) 专用映射表和普通 映射表，所述 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与 位置标识的映射关系； 所述普通映射表包括普通端主机身份标识与位置标识 的映射关系； 所述数据库查询模块， 与所述第二收发模块及映射数据库连接， 设置成 根据目的端主机身份标识查询与源端主机属性一致的 VPN 专用映射表或普 通映射表， 并将查询结果通知所述第二收发模块。 优选地， 所述属性指端主机是否属于 VPN端主机，若源端主机的属性表 明所述源端主机是 VPN端主机，则映射平面的数据库查询模块查询所述 VPN 专用映射表， 否则查询所述普通映射表。 优选地， 所述映射平面的映射数据库包括若干个 VPN专用映射表， 不同 的 VPN专用映射表对应不同的 VPN网络，具有不同的 VPN标识； 所述属性 指端主机是否属于 VPN端主机，以及属于 VPN端主机时，所属的 VPN标识； 若源端主机的属性表明所述源端主机是 VPN端主机，则所述映射平面的数据 库查询模块查询对应 VPN标识的 VPN专用映射表， 否则查询所述普通映射 表。 为解决以上技术问题，本发明还提供了又一种虚拟专用网络的实现方法， 所述虚拟专用网络基于身份位置分离网络实现， 该方法包括：
A、 身份位置分离网络的映射平面设置虚拟专用网络（VPN ) 专用映射 表，所述 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与位置 标识的映射关系；
B、 当源端主机是 VPN端主机时， 身份位置分离网络根据所述 VPN专 用映射表实现所述 VPN内的 VPN端主机之间的通信。 优选地， 所述映射平面同时设置多个 VPN专用映射表， 不同的 VPN专 用映射表对应不同的 VPN网络， 具有不同的 VPN标识； 步骤 B中， 身份位 置分离网络根据与源端主机 VPN 标识一致的 VPN 专用映射表， 实现对应 VPN内的 VPN端主机之间的通信。 本发明通过在身份位置分离网络的映射平面保存 VPN的 VPN专用映射 表，并根据该 VPN专用映射表确定是否实现 VPN内的 VPN端主机用户之间 的通信， 从而在身份位置分离网络中很有效地实现了虚拟专用网， 满足了用 户对虚拟专用网的需求， 消除了身份和位置分离的技术方案对传统虚拟专用 网络 VPN业务的影响。
附图概述 图 1 是本发明实施例的虚拟专用网络的实现方法示意图。
图 2是本发明实施例的用于实现虚拟专用网络的身份位置分离架构示意 图。
图 3是在图 2所述的身份位置分离网络中实现虚拟专用网络的示意图。 图 4 ^ ^于图 3的网络架构中实现数据包处理的应用实例流程图。 图 5是本发明实施例的虚拟专用网实现系统的模块结构示意图。
本发明的较佳实施方式
身份和位置分离的数据通信网络具有这样一些特征，必然将传统 IP地址 的身份属性和位置属性分离， IP地址仅仅具有位置属性， 作为端主机地理位 置的标识， 新增一个端主机的身份标识用于通信传输的端身份标识， 端主机 的位置标识由端主机所处的地理位置和网络拓朴决定， 在端主机移动的过程 中， 位置的变化导致端主机的位置标识改变， 而端主机的身份标识属于终端 身份唯一使用的标识， 在端主机移动的过程中不会改变。 同时还必须增加端 主机身份标识和位置标识的映射， 需要功能实体来完成这个映射关系， 本发 明称这个功能实体为映射平面。 在各种身份和位置分离的方案中， 这个映射平面的称呼也不同， 例如在 北京交通大学张宏科的专利 ZL200610001825.0是这样解释的，引入身份解析 器， 负责解析端主机标识符 EID和 IP地址间的映射关系， 并动态的维护更 新端主机标识 EID和 IP地址间的绑定。 在 LISP的技术方案中， LISP3场景 釆用映射数据库 （ mapping database )提供身份标识 EID和位置标识 RLOC 现的映射数据库正在研究中。 其他的方案中有的也称为映射服务器， 在本发 明中统一称为映射平面。 本发明虚拟专用网络的实现方法和实现系统的主要思想在于， 在身份位 置分离网络的映射平面保存虚拟专用网络（ Virtual Private Network, VPN ) 的 VPN专用映射表， 当源端主机是 VPN端主机时， 身份位置分离网络根据 所述 VPN专用映射表实现所述 VPN内的 VPN端主机之间的通信，从而在身 份位置分离网络中很有效地实现了虚拟专用网， 满足了用户对虚拟专用网的 需求，消除了身份和位置分离的技术方案对传统虚拟专用网络 VPN业务的影 响。 如图 1所示， 本发明实施例的虚拟专用网络的实现方法基于身份位置分 离网络实现， 该方法包括： 步骤 101 : 身份位置分离网络的映射平面设置虚拟专用网络（VPN ) 的 VPN专用映射表和普通映射表，所述 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与位置标识的映射关系； 所述普通映射表包括普通端主 机身份标识与位置标识的映射关系；
步骤 102: 所述映射平面根据目的端主机身份标识查询与源端主机属性 一致的 VPN专用映射表或普通映射表，若查询到目的端主机的映射关系，则 身份位置分离网络实现源、 目的端主机之间的通信， 否则通信失败。 上述实施例实现了在同一身份位置分离网络中， 同时实现普通通信和一 个 VPN网絡通信。 对于映射平面仅有一个 VPN专用映射表的情形，所述属性指端主机是否 属于 VPN端主机，步骤 102中，若源端主机的属性表明所述源端主机是 VPN 端主机，则所述映射平面查询所述 VPN专用映射表， 否则查询所述普通映射 表。 为了在同一身份位置分离网絡实现多个虚拟专用网， 在映射平面设置多 个 VPN专用映射表， 不同的 VPN专用映射表对应不同的 VPN网络，具有不 同的 VPN标识； 所述属性指端主机是否属于 VPN端主机， 以及属于 VPN 端主机时， 所属的 VPN标识； 步骤 102中， 若源端主机的属性表明所述源端 主机是 VPN端主机，则所述映射平面查询对应 VPN标识的 VPN专用映射表， 否则查询所述普通映射表。 当然本发明也适用于在映射平面设置多个 VPN专用映射表，而不设置普 通映射表， 以在身份位置分离网络中实现多个不同的 VPN, 这种情况下， 本 发明另一实施例的虚拟专用网络实现方法可以概括为：
A、 身份位置分离网络的映射平面设置多个虚拟专用网络（VPN ) 专用 映射表，每一 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与 位置标识的映射关系； 不同的 VPN专用映射表对应不同的 VPN网络， 具有 不同的 VPN标识；
B、 所述映射平面根据目的端主机身份标识查询与源端主机 VPN标识一 致的 VPN专用映射表，若查询到目的端主机的映射关系， 则身份位置分离网 络实现源、 目的端主机之间的通信， 否则通信失败。
身份位置分离网络包括接入业务节点以及映射平面， 步骤 102及步骤 B 在具体实现时， 可以通过映射平面实现报文转发或通过映射平面之外的转发 平面实现报文转发， 具体包括： a、 接入业务节点 (ASN)接收源端主机发送的报文， 其中携带源端和目 的端主机身份标识； b、 所述 ASN根据源端主机身份标识查询设置的属性表， 获得源端主机 属性， 并向映射平面转发 4艮文或发送查询请求， 其中携带源端主机属性及目 的端主机身份标识； c、 映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN 专用映射表； d、 若查询结果中包括目的端主机的位置标识， 则所述 ASN或映射平面 向所述目的位置标识对应的目的接入业务节点转发报文实现通信， 否则通信 失败。
另外， 作为上述实施例的变形， 还可有如下实施例： 一种虚拟专用网络的实现方法， 所述虚拟专用网络基于身份位置分离网 络实现， 该方法包括： A、 身份位置分离网络的映射平面设置虚拟专用网络（VPN ) 专用映射 表，所述 VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与位置 标识的映射关系；
B、 当源端主机是 VPN端主机时， 身份位置分离网络根据所述 VPN专 用映射表实现所述 VPN内的 VPN端主机之间的通信。 优选地， 所述映射平面可同时设置多个 VPN专用映射表， 不同的 VPN 专用映射表对应不同的 VPN网络， 具有不同的 VPN标识； 步骤 B中， 身份 位置分离网络根据与源端主机 VPN标识一致的 VPN专用映射表， 实现对应 VPN内的 VPN端主机之间的通信。
下面结合附图以通过映射平面实现艮文转发为例对本发明实现方法作进 一步的详细描述： 身份位置分离网路的架构示意见图 2所示， 用户的端主机（也即终端， 如图 2中所示的第一端主机 100和第二端主机 110 )使用身份标识 EID进行 通信， 每个端主机具有一个唯一的身份标识； 网络的接入业务节点 ASN ( Access Service Node ) (如图中所示的第一 ASN200和第二 ASN210 ) 负责 封装、 映射、 转发终端发送或者接收的报文， 并向映射平面 300查询端主机 的身份标识和位置标识的映射； 数据报文转发平面 （简称转发平面） 400 负 责转发接入业务节点 ASN映射处理后的 · ^文；映射平面 300维护端主机的身 份标识和位置标识的映射关系并保持映射关系的适时更新，给 ASN提供映射 查询， 通过身份标识查询位置标识。 映射平面 300保存有网络所有终端的身份标识 EID和位置标识 LID的对 应关系， 如下表所示：
Figure imgf000020_0001
接入业务节点 ASN对 文的处理: 第一 ASN200接收到第一端主机 100给第二端主机 110的报文， 发送的 报文包含身份标识 EID ( 1 ) ， 此时根据目的 EID ( 2 )查找本地映射关系表； 如果查询到， 则直接根据查询到的目的 LID ( 2 ) 与自己的 LID ( 1 ) 进行报 文封装， 封装后进行转发， 发到转发平面； 如果查询不到， 则到映射平面进 行查询 LID ( 2 ) 。 通信对端第二 ASN210收到自己 LID ( 2 )地址封装的 4艮文， 则进行解封 装， 将解封装后的 EID ( 2 )报文进行下行转发给第二端主机 110, 同时学习 报文源 LID ( 1 )和 EID ( 1 )的映射关系； 第二 ASN210 接收第二端主机 110 发送给第一端主机 100的> ^文， 由于对端第二 ASN210在上述流程中已经学 习了 EID ( 1 ) 和 LID ( 1 ) 的映射关系 , 所以在第二 ASN210本地查询映射 关系一定可以查到， 不用查询映射平面 300, 这时在第二 ASN210上直接封 装 LID ( 1 )进行转发。 报文通过转发平面 400回到 ASN1的时候， 解封装之 后， 发给第一端主机 100。 在图 2所示的网络架构下实现 VPN的方法如下: 首先，在映射平面 300设置虚拟专用网络 VPN专用的映射表，包括 VPN 的所有用户端主机的身份标识和位置标识的映射关系。 此时映射平面有两种 映射表， 一种是普通映射表， 另一种就是 VPN专用的映射表。 其次， 在接入服务节点 ASN上设置 VPN网络用户接入的 VPN属性表， 表示 ASN处理该端主机报文的时候，只能查询该用户所属 VPN的 VPN专用 映射表， 建立 VPN用户间的通信， 不能和该 VPN专用映射表以外的用户建 立通信， 同时 VPN专用映射表以外的用户不能查询 VPN专用映射表， 无法 访问 VPN网络， 保证 VPN网络安全性。
VPN专用映射表可以有多个， 每个 VPN专用映射表有一个 VPN标识： VPN ID, 这样一个网絡可以支持多个 VPN, 满足众多企业网的应用需要。
VPN专用映射表中的用户端主机的映射关系可以动态的加入或者删除。 在 ASN上设置用户接入的 VPN属性的时候，应该包括所属 VPN的标识 VPNJD， 方便查询映射平面具有 VPN的标识 VPN_ID的映射表。 在 ASN上的用户接入 VPN属性可以固定配置， 也可以从映射平面 300 获取。 现有的运营商提供的 VPN技术方案可以在转发平面实施， 例如 MPLS VPN技术， 提供数据流的安全转发和 QOS保证， 结合本发明的 VPN技术方 案， 通过对端用户的身份标识进行认证， 可以防止传统方法的仿冒、 篡改等 攻击手段危害 VPN网络， 可以提供更高的安全性， 同时身份标识的唯一性， 保证支持用户的移动接入， 支持漫游用户可以随时的安全接入 VPN网絡，对 出差的公司用户特别有好处。 实现 VPN网络的身份位置分离网络架构的应用实例的示意图如图 3所 示。
VPN专用映射表实例： 第一个虚拟专用网络， 分配 VPN标识 VPN— ID_(1) , 其拥有的 VPN专 用映射表如下： 身份标识 EID ( al ) 位置标识 LID ( al )
身份标识 EID( bl ) 位置标识 LID ( bl )
身份标识 EID( kl ) 位置标识 LID ( kl ) 第二个虚拟专用网络， 分配 VPN标识 VPN— ID_(2) , 其拥有的 VPN专 用映射表如下：
Figure imgf000022_0001
由于 VPN间需要隔离， 不能互通， 因此 VPN标识 VPN_ID— (1)的映射表 中的表项和 VPN标识 VPN_ID— (2)的映射表中的表项不能重叠。 数据报文的处理流程如下， 如图 4所示： 步骤 401 : 第一 ASN接收到第一端主机给第二端主机的报文， 发送的报 文包含第一端主机的身份标识 EID ( al ) ； 步骤 402: 第一 ASN根据 VPN属性表确定第一端主机是 VPN用户， 且 属于 VPN标识 =VPN— ID_(1)的虚拟专用网络， 第一 ASN向映射平面发送查 询请求， 其中携带第一端主机的 VPN属性（可仅包括 VPN标识）及目的身 份标识；
步骤 403: 映射平面根据目的身份标识查询 VPN标识为 VPN— ID— (1)的
VPN专用映射表， 并向第一 ASN返回查询结果； 步骤 404: 第一 ASN根据查询结果进行报文处理； 如果目的身份标识为 EID 2 ) ， 从映射平面返回的查询结果为没有该对端， 属无效对端， 不能 通信， 保证只能和 VPN内部的用户通信； 如果目的身份标识为 EID ( bl ) , 从映射平面返回的查询结果为位置标识 LID ( bl ) , 第一 ASN进行正常的转 发处理， 报文发送给转发平面， 如果转发平面支持现有的 VPN技术， 可以建 立转发平面的 VPN标识 （MPLS VPN1 ) 和本发明的 VPN标识 VPN— ID_(1) 的对应关系， 提供数据报文在转发平面的安全和 QoS (服务质量） 的质量保 证。 步骤 405: 通信对端第二 ASN收到自己 LID ( bl )地址封装的 4艮文,进行 解封装， 将解封装后的 EID ( bl )报文进行下行转发给第二端主机， 同时学 习报文源 LID ( bl )和 EID ( bl ) 的映射关系， 以及 VPN属性； 步骤 406: 第二 ASN接收第二端主机发送给第一端主机的报文； 步骤 407: 由于对端第二 ASN在上述流程中已经学习了 EID ( bl )和
LID ( bl ) 的映射关系及 VPN属性， 所以在第二 ASN本地查询映射关系一 定可以查到， 不用查询映射平面的 VPN标识 VPN_ID— ( 1 ) VPN专用映射表， 这时在第二 ASN上直接封装 LID ( al ) 转发到第一 ASN; 步骤 408: 通过转发平面回到第一 ASN, 第一 ASN解封装之后， 发给第 一端主机。 为实现以上方法， 本发明还提供了一种虚拟专用网实现系统， 如图 5所 示 , 所述虚拟专用网 （ VPN ) 实现系统包括通过网络连接的业务接入节点 ( ASN ) 500和映射平面 510 , 所述 ASN500, 包括第一收发模块 501、 属性 表 502及属性表查询模块 503 , 其中： 所述第一收发模块 501设置成： 接收源端主机发送的报文， 其中携带源 端和目的端主机身份标识，并通知属性表查询模块 503; 以及向映射平面 510 转发报文或发送查询请求， 其中携带源端主机属性及目的端主机身份标识； 向所述映射平面 510发送查询请求时， 还设置成接收所述映射平面 510发送 的查询结果， 若查询到目的端主机的映射关系， 则根据查询结果转发报文， 否则通信失败； 还设置成在映射关系变动时， 向所述映射平面 510发送注册 或注销请求； 所述属性表 502设置成： 保存端主机与其属性的对应关系； 所述属性表查询模块 503 , 与所述第一收发模块 501、 属性表 502连接， 用于根据所述源端主机身份标识查询所述属性表 502, 获得源端主机属性， 并通知所述第一收发模块 501 ; 所述映射平面 510包括第二收发模块 511、映射数据库 512、数据库查询 模块 513及维护模块 514, 其中： 所述第二收发模块 511设置成： 接收所述 ASN500转发的报文或发送的 查询请求，并通知数据库查询模块 513;接收到查询请求时，则向所述 ASN500 发送查询结果； 接收到转发报文时， 若查询到目的端主机的映射关系， 则根 据查询结果转发报文， 否则通信失败； 还设置成接收所述 ASN500的注册或 注销请求； 所述映射数据库 512设置成：保存 VPN专用映射表和普通映射表， 所述
VPN专用映射表包括同一 VPN网络的 VPN端主机身份标识与位置标识的映 射关系； 所述普通映射表包括普通端主机身份标识与位置标识的映射关系； 所述数据库查询模块 513， 与所述第二收发模块 511及映射数据库 512 连接，设置成根据目的端主机身份标识查询与源端主机属性一致的 VPN专用 映射表或普通映射表， 还用于将查询结果通知所述第二收发模块 511。 对于仅有一个 VPN专用映射表的情形，所述属性指端主机是否属于 VPN 端主机，若源端主机的属性表明所述源端主机是 VPN端主机， 则映射平面的 数据库查询模块查询所述 VPN专用映射表， 否则查询所述普通映射表。 对于有多个 VPN专用映射表的情形， 不同的 VPN专用映射表对应不同 的 VPN网絡，具有不同的 VPN标识； 所述属性指端主机是否属于 VPN端主 机， 以及属于 VPN端主机时， 所属的 VPN标识； 若源端主机的属性表明所 述源端主机是 VPN端主机，则所述映射平面的数据库查询模块 513查询对应 VPN标识的 VPN专用映射表， 否则查询所述普通映射表。 维护模块 514，与所述映射平面的第二收发模块 511、普通映射表及 VPN 专用映射表（即映射数据库 512 ) 连接， 设置成根据 ASN500的注册或注销 请求， 增加或删除所述普通映射表或 VPN专用映射表中的映射关系。 本发明通过在身份位置分离网络的映射平面保存 VPN的 VPN专用映射 表，并根据该 VPN专用映射表确定是否实现 VPN内的 VPN端主机用户之间 的通信， 从而在身份位置分离网络中很有效地实现了虚拟专用网， 满足了用 户对虚拟专用网的需求，消除了身份和位置分离的技术方案对传统 VPN业务 的影响，减少对实施 VPN对现有设备和软件的改动，特别是对运营商实施的 VPN解决方案（PP - VPN ) , 本发明的方法是通过映射平面来实现的， 属于 运营商实施的 VPN解决方案的一种。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以采用 硬件的形式实现， 也可以采用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。 尽管本发明结合特定实施例进行了描述， 但是对于本领域的技术人员来 说， 可以在不背离本发明的精神或范围的情况下进行修改和变化。 这样的修 改和变化被视作在本发明的范围和附加的权利要求书范围之内。
工业实用性 本发明提供一种虚拟专用网络的实现方法及系统， 通过在身份位置分离 网络的映射平面保存 VPN的 VPN专用映射表，并根据该 VPN专用映射表确 定是否实现 VPN内的 VPN端主机用户之间的通信， 从而在身份位置分离网 络中很有效地实现了虚拟专用网， 满足了用户对虚拟专用网的需求， 消除了 身份和位置分离的技术方案对传统 VPN业务的影响， 减少对实施 VPN对现 有设备和软件的改动。

Claims

权 利 要 求 书
1、 一种虚拟专用网络（VPN ) 的实现方法， 其特征在于： 所述 VPN基 于身份位置分离网络实现， 该方法包括： 身份位置分离网络的映射平面设置 VPN的 VPN专用映射表和普通映射 表，所述 VPN专用映射表包括同一 VPN的 VPN端主机身份标识与位置标识 的映射关系； 所述普通映射表包括普通端主机身份标识与位置标识的映射关 系；
所述映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN专用映射表或普通映射表， 若查询到目的端主机的映射关系， 则身份位 置分离网络实现源端主机与目的端主机之间的通信， 若没有查询到目的端主 机的映射关系， 则通信失败。
2、 如权利要求 1所述的方法， 其中： 所述属性表明端主机是否属于 VPN端主机； 在所述映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN专用映射表或普通映射表的步骤中，若源端主机的属性表明所述源端主 机是 VPN端主机， 则所述映射平面查询所述 VPN专用映射表； 若源端主机 的属性表明所述源端主机不是 VPN端主机，则所述映射平面查询所述普通映 射表。
3、 如权利要求 1所述的方法， 其中： 所述映射平面包括多个 VPN专用映射表， 不同的 VPN专用映射表对应 不同的 VPN , 具有不同的 VPN标识； 所述属性表明端主机是否属于 VPN端主机， 以及属于 VPN端主机时， 所属的 VPN标识； 在所述映射平面根据目的端主机身份标识查询与源端主机属性一致的 VPN专用映射表或普通映射表的步骤中，若源端主机的属性表明所述源端主 机是 VPN端主机， 则所述映射平面查询对应 VPN标识的 VPN专用映射表； 若源端主机的属性表明所述源端主机不是 VPN端主机，则所述映射平面查询 所述普通映射表。
4、 如权利要求 1至 3中任一项所述的方法， 其中： 在所述映射平面根据目的端主机身份标识查询与源端主机属性一致的
VPN专用映射表或普通映射表的步骤之前， 所述方法还包括： 接入业务节点 (ASN)接收源端主机发送的报文， 其中携带源端主机身份 标识和目的端主机身份标识； 所述 ASN根据源端主机身份标识查询属性表，获得源端主机属性， 并向 映射平面转发报文或发送查询请求， 其中携带源端主机属性及目的端主机身 份标识； 在身份位置分离网络实现源端主机与目的端主机之间的通信的步骤中， 所述 ASN 或映射平面向所述目的位置标识对应的目的接入业务节点转发报 文实现通信。
5、 如权利要求 4所述的方法， 其中： 在所述 ASN或映射平面向所述目的位置标识对应的目的接入业务节点 转发报文实现通信的步骤之后， 所述方法还包括： 所述目的接入业务节点接收所述报文并转发给目的端主机的同时， 将源 端主机身份标识和位置标识的映射关系以及源端主机的 VPN 属性记录在本 地映射表； 目的接入业务节点接收所述目的端主机回送的报文后， 查询本地 映射表， 判断源端主机与目的端主机的属性一致时， 直接进行报文转发。
6、 一种虚拟专用网络（ VPN ) 的实现方法， 其特征在于： 所述 VPN基 于身份位置分离网络实现， 该方法包括： 身份位置分离网络的映射平面设置 VPN专用映射表， 所述 VPN专用映 射表包括同一 VPN的 VPN端主机身份标识与位置标识的映射关系； 所述映射平面查询所述 VPN专用映射表，若查询到目的端主机的映射关 系， 则身份位置分离网络实现源端主机与目的端主机之间的通信， 若没有查 询到目的端主机的映射关系， 则通信失败。
7、 如权利要求 6所述的方法， 其中： 所述映射平面同时设置多个 VPN专用映射表， 不同的 VPN专用映射表 对应不同的 VPN , 具有不同的 VPN标识； 所述映射平面根据目的端主机身份标识查询与源端主机 VPN 标识一致 的 VPN专用映射表，若查询到目的端主机的映射关系，则身份位置分离网络 实现源端主机与目的端主机之间的通信， 若没有查询到目的端主机的映射关 系， 则通信失败。
8、 如权利要求 7所述的方法， 其中： 在所述映射平面根据目的端主机身份标识查询与源端主机 VPN 标识一 致的 VPN专用映射表的步骤之前， 所述方法还包括： 接入业务节点 (ASN)接收源端主机发送的报文， 其中携带源端主机身份 标识和目的端主机身份标识； 所述 ASN根据源端主机身份标识查询设置的属性表， 获得源端主机属 性， 并向映射平面转发报文或发送查询请求， 其中携带源端主机属性及目的 端主机身份标识； 在身份位置分离网络实现源端主机与目的端主机之间的通信的步骤中， 所述 ASN 或映射平面向所述目的位置标识对应的目的接入业务节点转发才艮 文实现通信。
9、 如权利要求 8所述的方法， 其中： 在所述 ASN或映射平面向所述目的位置标识对应的目的接入业务节点 转发报文实现通信的步骤之后， 所述方法还包括：
所述目的接入业务节点接收所述报文并转发给目的端主机的同时， 将源 端主机身份标识和位置标识的映射关系以及源端主机的 VPN 属性记录在本 地映射表； 目的接入业务节点接收所述目的端主机回送的报文后， 查询本地 映射表， 判断源端主机与目的端主机的属性一致时， 直接进行报文转发。
10、 一种虚拟专用网络（VPN ) 的实现系统， 其中， 所述系统基于身份 位置分离架构网络实现， 包括通过网络连接的业务接入节点 （ASN ) 和映射 平面， 所述 ASN， 包括第一收发模块、 属性表及属性表查询模块， 其中： 所述第一收发模块设置成： 接收源端主机发送的报文， 其中携带源端主 机身份标识和目的端主机身份标识， 并通知属性表查询模块； 以及向映射平 面转发报文或发送查询请求，其中携带源端主机属性及目的端主机身份标识； 向所述映射平面发送查询请求时， 还设置成接收所述映射平面发送的查询结 果， 若查询到目的端主机的映射关系， 则根据查询结果转发报文， 若没有查 询到目的端主机的映射关系， 则通信失败； 所述属性表设置成： 保存端主机与其属性的对应关系； 所述属性表查询模块， 与所述第一收发模块、 属性表连接， 设置成根据 所述源端主机身份标识查询所述属性表， 获得源端主机属性， 并通知所述第 一收发模块； 所述映射平面包括第二收发模块、映射数据库及数据库查询模块，其中： 所述第二收发模块设置成： 接收所述 ASN转发的报文或发送的查询请 求， 并通知数据库查询模块； 接收到查询请求时， 还设置成向所述 ASN发送 查询结果； 接收到转发报文时， 若查询到目的端主机的映射关系， 则根据查 询结果转发报文， 若没有查询到目的端主机的映射关系， 则通信失败； 所述映射数据库设置成：保存 VPN专用映射表和普通映射表，所述 VPN 专用映射表包括同一 VPN的 VPN端主机身份标识与位置标识的映射关系； 所述普通映射表包括普通端主机身份标识与位置标识的映射关系； 所述数据库查询模块， 与所述第二收发模块及映射数据库连接， 设置成 根据目的端主机身份标识查询与源端主机属性一致的 VPN 专用映射表或普 通映射表， 并将查询结果通知所述第二收发模块。
11、 如权利要求 10所述的系统， 其中： 所述属性表明端主机是否属于 VPN端主机； 所述映射平面的数据库查询模块是设置成： 若源端主机的属性表明所述 源端主机是 VPN端主机， 则查询所述 VPN专用映射表； 若源端主机的属性 表明所述源端主机不是 VPN端主机， 则查询所述普通映射表。
12、 如权利要求 10所述的系统， 其中： 所述映射平面的映射数据库包括多个 VPN专用映射表， 不同的 VPN专 用映射表对应不同的 VPN, 具有不同的 VPN标识； 所述属性表明端主机是否属于 VPN端主机， 以及属于 VPN端主机时， 所属的 VPN标识； 所述映射平面的数据库查询模块是设置成： 若源端主机的属性表明所述 源端主机是 VPN端主机， 则查询对应 VPN标识的 VPN专用映射表； 若源端 主机的属性表明所述源端主机不是 VPN端主机， 则查询所述普通映射表。
PCT/CN2010/076788 2009-09-18 2010-09-10 虚拟专用网络的实现方法及系统 WO2011032473A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2012529109A JP5579853B2 (ja) 2009-09-18 2010-09-10 バーチャル・プライベート・ネットワークの実現方法及びシステム
KR1020127009926A KR101340495B1 (ko) 2009-09-18 2010-09-10 가상 전용 네트워크의 구현 방법 및 시스템
EP10816677.8A EP2466818A4 (en) 2009-09-18 2010-09-10 METHOD AND SYSTEM FOR ESTABLISHING A VIRTUAL PRIVATE NETWORK
US13/496,284 US8661525B2 (en) 2009-09-18 2010-09-10 Implementation method and system of virtual private network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910176529.8A CN102025589B (zh) 2009-09-18 2009-09-18 虚拟专用网络的实现方法及系统
CN200910176529.8 2009-09-18

Publications (1)

Publication Number Publication Date
WO2011032473A1 true WO2011032473A1 (zh) 2011-03-24

Family

ID=43758098

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/076788 WO2011032473A1 (zh) 2009-09-18 2010-09-10 虚拟专用网络的实现方法及系统

Country Status (6)

Country Link
US (1) US8661525B2 (zh)
EP (1) EP2466818A4 (zh)
JP (1) JP5579853B2 (zh)
KR (1) KR101340495B1 (zh)
CN (1) CN102025589B (zh)
WO (1) WO2011032473A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012231225A (ja) * 2011-04-25 2012-11-22 Kddi Corp マッピングサーバの制御方法及びマッピングサーバ

Families Citing this family (55)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7162035B1 (en) 2000-05-24 2007-01-09 Tracer Detection Technology Corp. Authentication method and system
US8171567B1 (en) 2002-09-04 2012-05-01 Tracer Detection Technology Corp. Authentication method and system
US10469556B2 (en) 2007-05-31 2019-11-05 Ooma, Inc. System and method for providing audio cues in operation of a VoIP service
US8560634B2 (en) * 2007-10-17 2013-10-15 Dispersive Networks, Inc. Apparatus, systems and methods utilizing dispersive networking
US7995196B1 (en) 2008-04-23 2011-08-09 Tracer Detection Technology Corp. Authentication method and system
CN102131197B (zh) * 2010-01-20 2015-09-16 中兴通讯股份有限公司 一种在公共设备上接入网络的方法及系统
CN102130887B (zh) * 2010-01-20 2019-03-12 中兴通讯股份有限公司 一种在公共设备上接入网络的方法及系统
CN102868618A (zh) * 2011-07-08 2013-01-09 中兴通讯股份有限公司 一种去附着方法、装置和映射服务器
CN103051541B (zh) * 2011-10-14 2017-04-05 中兴通讯股份有限公司 一种标识网内的报文转发方法、asr及isr
US9069761B2 (en) * 2012-05-25 2015-06-30 Cisco Technology, Inc. Service-aware distributed hash table routing
US8879394B2 (en) * 2012-10-22 2014-11-04 Telefonaktiebolaget L M Ericsson (Publ) Method and system of packet based identifier locator network protocol (ILNP) load balancing and routing
US9185071B2 (en) * 2012-12-31 2015-11-10 Telefonaktiebolaget L M Ericsson (Publ) Methods and systems for seamless network communications between devices running internet protocol version 6 and internet protocol version 4
US9882713B1 (en) 2013-01-30 2018-01-30 vIPtela Inc. Method and system for key generation, distribution and management
US20140229945A1 (en) * 2013-02-12 2014-08-14 Contextream Ltd. Network control using software defined flow mapping and virtualized network functions
US9294393B1 (en) * 2013-04-30 2016-03-22 Cisco Technology, Inc. Interconnecting virtual private networks
US9479433B1 (en) 2013-04-30 2016-10-25 Cisco Technology, Inc. Interconnecting virtual private networks
US9508114B2 (en) * 2013-06-13 2016-11-29 Autodesk, Inc. File format and system for distributed scene graphs
US9386148B2 (en) 2013-09-23 2016-07-05 Ooma, Inc. Identifying and filtering incoming telephone calls to enhance privacy
US9749290B2 (en) * 2013-11-14 2017-08-29 Verizon Patent And Licensing Inc. Distributing and virtualizing a network address translation (NAT)
US9467478B1 (en) 2013-12-18 2016-10-11 vIPtela Inc. Overlay management protocol for secure routing based on an overlay network
US10542004B1 (en) 2014-02-24 2020-01-21 C/Hca, Inc. Providing notifications to authorized users
US10769931B2 (en) 2014-05-20 2020-09-08 Ooma, Inc. Network jamming detection and remediation
US9633547B2 (en) 2014-05-20 2017-04-25 Ooma, Inc. Security monitoring and control
US10553098B2 (en) 2014-05-20 2020-02-04 Ooma, Inc. Appliance device integration with alarm systems
US11330100B2 (en) 2014-07-09 2022-05-10 Ooma, Inc. Server based intelligent personal assistant services
US9894031B2 (en) 2014-08-27 2018-02-13 Cisco Technology, Inc. Source-aware technique for facilitating LISP host mobility
CN105471827B (zh) * 2014-09-04 2019-02-26 华为技术有限公司 一种报文传输方法及装置
US9935850B1 (en) 2014-11-18 2018-04-03 Berryville Holdings, LLC Systems and methods for implementing an on-demand computing network environment
CN105721270B (zh) * 2014-12-04 2020-05-08 成都鼎桥通信技术有限公司 一种集群通信虚拟网的控制方法
US9819513B2 (en) * 2015-01-27 2017-11-14 Anchorfree Inc. System and method for suppressing DNS requests
US10021065B2 (en) 2015-01-27 2018-07-10 Anchorfree Inc. System and method for suppressing DNS requests
CN104767686B (zh) * 2015-04-08 2018-03-20 新华三技术有限公司 一种alt网络中的路由信息查询方法和装置
CN106209485B (zh) * 2015-04-30 2019-05-24 中国南方电网有限责任公司 一种vpn私网链路检测方法及装置
US10911368B2 (en) 2015-05-08 2021-02-02 Ooma, Inc. Gateway address spoofing for alternate network utilization
US11171875B2 (en) 2015-05-08 2021-11-09 Ooma, Inc. Systems and methods of communications network failure detection and remediation utilizing link probes
US10771396B2 (en) * 2015-05-08 2020-09-08 Ooma, Inc. Communications network failure detection and remediation
US10009286B2 (en) 2015-05-08 2018-06-26 Ooma, Inc. Communications hub
CA2931906C (en) * 2015-06-03 2023-09-05 Evertz Microsystems Ltd. Systems and methods for determining a destination location in a network system
US20160373297A1 (en) * 2015-06-18 2016-12-22 At & T Intellectual Property I, L.P. Device, system, and method for managing virtual and physical components of a network via use of a registry
KR101977726B1 (ko) 2015-11-17 2019-05-14 한국전자통신연구원 가상 데스크탑 서비스 방법 및 장치
US9980303B2 (en) 2015-12-18 2018-05-22 Cisco Technology, Inc. Establishing a private network using multi-uplink capable network devices
WO2018138544A1 (en) * 2017-01-24 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Using location identifier separation protocol to implement a distributed gateway architecture for 3gpp mobility
WO2018138545A1 (en) 2017-01-24 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Lossless handover for mobility with location identifier separation protocol in 3rd generation partnership project networks
CN108259379B (zh) * 2017-05-08 2021-11-02 新华三技术有限公司 一种流量转发方法及装置
EP3622777B1 (en) 2017-05-12 2021-07-07 Telefonaktiebolaget LM Ericsson (Publ) Local identifier locator network protocol (ilnp) breakout
US10523563B2 (en) 2018-04-10 2019-12-31 Cisco Technology, Inc. Mechanism and procedures for multi-domain enterprise fabric domain federations
US11539817B1 (en) 2018-09-27 2022-12-27 C/Hca, Inc. Adaptive authentication and notification system
WO2020096594A1 (en) 2018-11-07 2020-05-14 Telefonaktiebolaget Lm Ericsson (Publ) Local identifier locator network protocol (ilnp) breakout
US11652791B2 (en) 2019-08-07 2023-05-16 Cisco Technology, Inc. Consolidated routing table for extranet virtual networks
CN111711556B (zh) * 2020-06-17 2021-11-23 北京字节跳动网络技术有限公司 虚拟专用网络的选路方法、装置、系统、设备及存储介质
CN111857979B (zh) * 2020-06-28 2023-08-15 厦门极致互动网络技术股份有限公司 一种分布式系统的信息管理方法、系统、存储介质及设备
CN112187644B (zh) * 2020-10-28 2022-02-22 郑州芯兰德网络科技有限公司 一种基于标识解析路由的组播系统及组播方法
CN113596059B (zh) * 2021-08-19 2023-06-20 中国电子科技集团公司电子科学研究院 一种在标识网络中实现实时三层网络隔离的方法及系统
CN114697300A (zh) * 2022-04-15 2022-07-01 武汉中元通信股份有限公司 一种高时效通信系统的数据组播实现方法
CN114885443B (zh) * 2022-07-01 2022-11-08 之江实验室 一种支持终端移动接入的多模态网络控制系统和方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1485759A (zh) * 2002-09-23 2004-03-31 华为技术有限公司 实现销售点终端多应用的方法
CN1501720A (zh) * 2002-11-12 2004-06-02 华为技术有限公司 一种无线因特网协议语音核心网端到端的路由方法
CN1801764A (zh) 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
CN101222414A (zh) * 2007-01-11 2008-07-16 华为技术有限公司 实现组播通信的装置、系统和方法
CN101753424A (zh) * 2008-11-28 2010-06-23 华为技术有限公司 一种数据通信系统、路由器、数据发送及移动性管理方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6442169B1 (en) * 1998-11-20 2002-08-27 Level 3 Communications, Inc. System and method for bypassing data from egress facilities
JP2000183968A (ja) 1998-12-17 2000-06-30 Nippon Telegr & Teleph Corp <Ntt> パケット通信システムおよびそれを構成するノードとエッジ装置
US6693878B1 (en) * 1999-10-15 2004-02-17 Cisco Technology, Inc. Technique and apparatus for using node ID as virtual private network (VPN) identifiers
JP3620719B2 (ja) * 2001-06-22 2005-02-16 日本電気株式会社 データ交換装置におけるルーティング処理システム
US7283529B2 (en) * 2003-03-07 2007-10-16 International Business Machines Corporation Method and system for supporting a dedicated label switched path for a virtual private network over a label switched communication network
JP4207078B2 (ja) * 2006-10-11 2009-01-14 村田機械株式会社 中継サーバ
US7894450B2 (en) * 2007-12-31 2011-02-22 Nortel Network, Ltd. Implementation of VPNs over a link state protocol controlled ethernet network
KR101084769B1 (ko) * 2008-12-23 2011-11-21 주식회사 케이티 위치자/식별자 분리 기반의 네트워크 이동성 지원 시스템 및 그 방법
US9049653B2 (en) * 2009-07-02 2015-06-02 Futurewei Technologies, Inc. Handover in core-edge separation technology in wireless communications
EP2589208A1 (en) * 2010-06-29 2013-05-08 Huawei Technologies Co., Ltd. Delegate gateways and proxy for target hosts in large layer 2 and address resolution with duplicated internet protocol addresses

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1485759A (zh) * 2002-09-23 2004-03-31 华为技术有限公司 实现销售点终端多应用的方法
CN1501720A (zh) * 2002-11-12 2004-06-02 华为技术有限公司 一种无线因特网协议语音核心网端到端的路由方法
CN1801764A (zh) 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
CN101222414A (zh) * 2007-01-11 2008-07-16 华为技术有限公司 实现组播通信的装置、系统和方法
CN101753424A (zh) * 2008-11-28 2010-06-23 华为技术有限公司 一种数据通信系统、路由器、数据发送及移动性管理方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2466818A4

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012231225A (ja) * 2011-04-25 2012-11-22 Kddi Corp マッピングサーバの制御方法及びマッピングサーバ

Also Published As

Publication number Publication date
JP5579853B2 (ja) 2014-08-27
US20120180122A1 (en) 2012-07-12
JP2013504960A (ja) 2013-02-07
KR101340495B1 (ko) 2013-12-12
EP2466818A4 (en) 2015-03-04
CN102025589B (zh) 2015-04-01
CN102025589A (zh) 2011-04-20
US8661525B2 (en) 2014-02-25
KR20120100927A (ko) 2012-09-12
EP2466818A1 (en) 2012-06-20

Similar Documents

Publication Publication Date Title
US8661525B2 (en) Implementation method and system of virtual private network
KR101399002B1 (ko) 가상 사설 네트워크의 실현 방법 및 시스템
EP2489172B1 (en) Virtual layer 2 and mechanism to make it scalable
US7656872B2 (en) Packet forwarding apparatus and communication network suitable for wide area Ethernet service
CN108200225B (zh) 不对称网络地址封装
AU2011315150B2 (en) Multipath transmission control protocol proxy
EP1875668B1 (en) Scalable system method for dsl subscriber traffic over an ethernet network
Komilov et al. Improving the use of virtual lan (vlan) technology
WO2011069399A1 (zh) 地址映射方法及接入业务节点
US20050025157A1 (en) System for converting data based upon IPv4 into data based upon IPv6 to be transmitted over an IP switched network
WO2013170790A1 (zh) 一种虚拟网络的接入方法和系统
WO2011124132A1 (zh) 数据通信系统及方法
WO2008014723A1 (fr) Procédé et dispositif permettant la mise en oeuvre d&#39;un réseau privé virtuel (vpn) fondé sur une structure d&#39;adresse ipv6
EP2584742B1 (en) Method and switch for sending packet
WO2012106935A1 (zh) 数据通信网络配置方法、网关网元及数据通信系统
WO2011147342A1 (zh) 交换路由信息的方法、设备和系统
WO2006122502A1 (fr) Méthode de transmission de message en couche 2 et dispositif d’accès
WO2019204098A1 (en) Multi-vrf universal device internet protocol address for fabric edge devices
WO2007112691A1 (fr) Système, procédé et dispositif réseau permettant à un client de réseau privé virtuel (vpn) d&#39;accéder à un réseau public
JP2013162466A (ja) Ｌｉｓｐネットワークの通信方法および通信中継装置
Cui et al. State management in IPv4 to IPv6 transition
SE541314C2 (en) Methods and apparatuses for routing data packets in a network topology
WO2012075768A1 (zh) 身份位置分离网络的监听方法和系统
WO2011124121A1 (zh) 网间数据通讯系统及方法
WO2012075770A1 (zh) 身份位置分离网络的阻断方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10816677

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13496284

Country of ref document: US

Ref document number: 2012529109

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 2010816677

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20127009926

Country of ref document: KR

Kind code of ref document: A