WO2013067904A1 - 用于域间虚拟专用网络对接的方法和设备 - Google Patents

用于域间虚拟专用网络对接的方法和设备 Download PDF

Info

Publication number
WO2013067904A1
WO2013067904A1 PCT/CN2012/084049 CN2012084049W WO2013067904A1 WO 2013067904 A1 WO2013067904 A1 WO 2013067904A1 CN 2012084049 W CN2012084049 W CN 2012084049W WO 2013067904 A1 WO2013067904 A1 WO 2013067904A1
Authority
WO
WIPO (PCT)
Prior art keywords
vpn
dcg
vdc
identifier
link
Prior art date
Application number
PCT/CN2012/084049
Other languages
English (en)
French (fr)
Inventor
曾晴
于德雷
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2013067904A1 publication Critical patent/WO2013067904A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/40—Support for services or applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/04—Interdomain routing, e.g. hierarchical routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks

Definitions

  • the present invention relates to the field of communications, and in particular, to a method and apparatus for interfacing an inter-domain virtual private network. Background technique
  • IT Information Technology
  • Enterprises can apply for a set of IT resources in the data center to provide cloud computing services for the enterprise, and IT resources are managed by the data center.
  • Hardware resources in the data center provide cloud computing services to enterprises in the form of virtualized devices. For example, if an enterprise applies for N servers to the data center, the data center does not physically divide N servers for use by the enterprise, but virtualizes the hardware resources according to the requirements of the enterprise (such as CPU, memory, and hard disk size). N servers are used for this enterprise.
  • These virtual servers are isolated by VPN (Virtual Private Network) technology to form a Virtual Data Centre (VDC).
  • VPN Virtual Private Network
  • the Autonomous System Border Router establishes a link for each VPN instance in the mode of the VPN routing and forwarding table (VPN instance to VPN instance).
  • the link connection performs routing interaction and data forwarding of the VPN.
  • the Provider Edge (PE) of the MPLS VPN domain is the ASBR of the MPLS VPN domain, and the MPLS VPN (Multiple Protocol Label Switching Virtual Private Network) is connected to the Data Center (DC).
  • the ASBR of the domain is the Data Centre Gateway (DCG).
  • the MPLS VPN domain and the DC domain are negotiated by the management layer, or manually configured or configured by the respective network management system to implement VDC to VPN access. Because the data center domain and the MPLS VPN domain belong to two different management entities, the information exchange efficiency for each VDC access VPN is relatively low, which cannot meet the application requirements. Summary of the invention
  • the technical problem to be solved by the embodiments of the present invention is to provide a method and device for inter-domain virtual private network interconnection.
  • the VPN interconnection can be completed through in-band signaling, which significantly improves the access efficiency of the VDC access VPN.
  • a method for inter-domain virtual private network interfacing comprising:
  • the operator side edge device PE receives the request message of the first virtual private network VPN by the virtual data center VDC sent by the data center gateway DCG through the first link connection, where the request message includes: the first VPN user identifier and the auxiliary link AC DCG end connection identifier;
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN instance, according to the first VPN user identifier querying the preset VPN identifier and the VPN configuration correspondence table.
  • the PE end connection identifier of the AC Determining, by the operator-side edge device PE, the PE end connection identifier of the AC according to the DCG end connection identifier of the AC, and binding the logical port in the determined PE end connection identifier to the configured VPN instance, so that the The virtual data center VDC accesses the VPN.
  • a method for inter-domain virtual private network interfacing comprising:
  • the operator side edge device PE receives the request message that the data center gateway DCG accesses the first virtual private network VPN through the virtual data center VDC sent by the first link connection, and the request The message includes: a first VPN user identifier;
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN instance, according to the first VPN user identifier querying the preset VPN identifier and the VPN configuration correspondence table.
  • the operator-side edge device PE allocates a local logical port and a physical port to the configured VPN instance, and binds the logical port to the VPN instance, so that the virtual data center VDC accesses the VPN.
  • an operator side edge device for inter-domain virtual private network connection includes:
  • the first receiving module is configured to receive a request message that the data center gateway DCG accesses the first virtual private network VPN by using the virtual data center VDC sent by the first link connection, where the request message includes: a first VPN user identifier, an auxiliary chain The DCG end connection identifier of the road AC;
  • a first obtaining module configured to obtain, according to the first VPN user identifier, a preset VPN ID and a VPN configuration correspondence table, obtain a routing identifier RD/route target RT list corresponding to the first VPN user identifier, to configure a VPN instance;
  • a first determining module configured to determine, according to the DCG end connection identifier of the AC, a PE end connection identifier of the AC, and bind the determined logical port in the PE end connection identifier to the configured VPN instance, so that the The virtual data center VDC accesses the VPN.
  • an operator side edge device for inter-domain virtual private network connection includes:
  • the second receiving module is configured to receive a request message that the data center gateway DCG sends the virtual data center VDC sent by the first link connection to the first virtual private network VPN, where the request message includes: a first VPN user identifier;
  • a second obtaining module configured to obtain, according to the first VPN user identifier, a preset VPN ID and a VPN configuration correspondence table, obtain a routing identifier RD/route target RT list corresponding to the first VPN user identifier, to configure a VPN instance;
  • a second determining module configured to allocate a local logical port and a physical port to the configured VPN instance, and bind the logical port to the VPN instance, so that the virtual data center VDC accesses the VPN
  • a method for inter-domain virtual private network interfacing comprising:
  • the operator side edge device PE receives the request message of the first virtual private network VPN by the virtual data center VDC sent by the data center gateway DCG through the first link connection, where the request message includes the first VPN user identifier and the accessory link AC.
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN instance, according to the first VPN user identifier querying the preset VPN identifier and the VPN configuration correspondence table.
  • the operator side edge device PE determines the PE end connection identifier of the AC according to the DCG end connection identifier of the AC, and binds the logical port in the determined PE end connection identifier to the configured VPN instance;
  • the operator-side edge device PE sends a PE-side VPN configuration message to the DCG, where the configuration message includes an RD/RT list of the VPN instance, so that the DCG completes the logical interface between the VDC and the DCG according to the configuration message. Binding.
  • an operator side edge device for inter-domain virtual private network connection includes:
  • the third receiving module is configured to receive a request message that the data center gateway DCG accesses the first virtual private network VPN by using the virtual data center VDC sent by the first link connection, where the request message includes the first VPN user identifier and the auxiliary link.
  • a third obtaining module configured to obtain, according to the first VPN user identifier, a preset VPN ID and a VPN configuration correspondence table, obtain a routing identifier RD/route target RT list corresponding to the first VPN user identifier, to configure a VPN instance;
  • the third determining module determines the PE end connection identifier of the AC according to the DCG end connection identifier of the AC, and binds the logical port in the determined PE end connection identifier to the configured VPN instance;
  • a third sending module configured to send a PE side VPN configuration message to the DCG, where the configuration message includes an RD/RT list of the VPN instance, so that the DCG completes the logical interface between the VDC and the DCG according to the configuration message. Bind.
  • Embodiments of the present invention have the following beneficial effects: an Option can be used between PE-DCGs.
  • the VPN is connected through the inband signaling, which significantly improves the access efficiency of the VDC access VPN.
  • the first process diagram The second process diagram. A schematic diagram of the first structure of the edge device on the quotient side. A schematic diagram of the second structure of the edge device on the quotient side. The third process diagram. A schematic diagram of the third structure of the edge device on the quotient side.
  • the operator side edge device PE receives the request message that the data center gateway DCG accesses the first virtual private network VPN through the virtual data center VDC sent by the first link connection, where the request message includes: the first VPN user identifier, and the accessory The DCG end connection identifier of the link AC;
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN according to the first VPN user identifier querying a preset VPN identifier and a VPN configuration correspondence table.
  • the operator-side edge device PE determines the PE end connection identifier of the AC according to the DCG end connection identifier of the AC, and binds the logical port in the determined PE end connection identifier to the configured VPN instance, so that The virtual data center VDC accesses the VPN.
  • the operator side edge device PE receives the request message that the virtual data center VDC created by the DCG sent by the data center gateway DCG accesses the first VPN, and the request message includes: the first VPN user identifier, that is, the VDC The user ID (User ID) of the accessed VPN, and the DCG end connection identifier of the attached link (AC).
  • the connection identifier includes the physical port number (Port ID) and the logical port number (Vlan ID) of the DCG local end.
  • the format of the message of the request message may be as shown in Table 1.
  • the request message of the virtual data center VDC accessing the VPN is sent by using a first link connection, and the first link connection may include an IPv4 BGP (Border Gateway Protocol) link and a protocol carrying 802.IX. Link and LDP (Label Distribution Protocol) link.
  • the BGP-hosted VDC and VPN-connected request message can complete the signaling interaction by using the Update packet exchange, and define an extended community attribute (Extension Community) of the BGP Update message to carry the information contained in the request message.
  • the request message that the BGP carries the VDC and the VPN connection can also pass the BGP dynamic capability.
  • Capability Param. capability parameter of the BGP Open packet
  • the format of the Capability Param. packet is as shown in Table 2, including Capability Code, Capability Length, Type, Length, and Value.
  • Message types can include join messages, leave messages, and notifications (Notify) ) Message.
  • the pre-configuration operation is performed on the DCG.
  • the VDC is created on the DCG according to the user request, and the VDC can be regarded as a DCG.
  • the VPN instance is configured, and the VDC is assigned a corresponding accessory link AC, wherein the accessory link AC includes a physical port and a logical port, and then the created VDC is bound to a logical port assigned to the VDC.
  • a pair of IP addresses are assigned to the AC between the PEs of the VDC according to the IP address segment of the VPN site given by the user when the user requests access to the VPN, and the PE-DCG is also configured on the DCG.
  • the request message of the VDC access VPN sent by the DCG to the PE further includes a pair of IP addresses allocated by the DCG to the AC between the PE-DCGs of the VDC, that is, the IP addresses of the two ends of the attached link AC, that is, the local IP in Table 1. (Local IP) and peer IP (Remote IP).
  • the connection relationship table between the dual-end physical port and the logical port is saved on the PE and the DCG, so that the peer connection physical relationship and the logical port information are known, and the corresponding connection relationship table can be determined by querying the corresponding connection relationship table.
  • Physical and logical port information of the local end The physical and logical port connection relationship table between the local end and the peer end may be manually created by an administrator or may be created by Link Layer Discovery Protocol (LLDP) automatic discovery.
  • LLDP Link Layer Discovery Protocol
  • the PE needs to be pre-configured on the PE side, and the auxiliary link AC is placed in the blocking block state on the PE side.
  • the block status is: The physical port and the logical port of the port are normal. The port is blocked on the PE and the IP address is blocked.
  • the VPN instance is not configured on the PE. The binding between the VPN instance and the physical port and the logical port is not configured. The configured VPN instance is bound to the physical port/logical port.
  • the VPN route on the VPN side of the PE is not received or advertised.
  • the PE obtains the routing identifier RD/route target RT list corresponding to the first VPN user identifier according to the first VPN user identifier and the VPN configuration table, and configures the VPN instance, and the VPN in the embodiment of the present invention.
  • the mapping and VPN configuration mapping table may be a VPN User ID and a RD/RT (Route Distinguish/Route Target) list, where the RD/RT list may be stored on the ,, and the RD corresponding to the VPN User ID is obtained through query.
  • /RT can also be stored in the authentication server or the VPN manager (Manager) outside the PE device.
  • the PE can obtain the RD/RT corresponding to the VPN User ID through an independent authentication process.
  • the PE determines the physical port and the logical port of the PE end of the AC according to the DCG end connection identifier (including the physical port and the logical port) of the accessory link AC in the request message, and determines the determined logical port and the logical port. Bind the configured VPN instance, configure the port IP address, and configure the route learning mode between PEs and Gigabits to implement VDC access to the VPN. After the VDC is successfully connected to the VPN, the PE sends an access success message to the DCG. If the VDC fails to access the VPN, the PE also returns an access failure message to the DCG. The access failure message carries the failure error code to identify the failure reason.
  • the DCG sends a request message for the VDC to leave the first VPN, and the request message can be sent through the first link connection.
  • the request message that the VDC leaves the first VPN may include a first VPN user identity, a DCG end connection identifier of the affiliate link AC. In some other embodiments of the present invention, the request message that the VDC leaves the VPN may not include the VPN user identifier.
  • the PE determines the connection identifier of the PE according to the connection identifier of the DCG end of the attached link AC, that is, the physical port and the logical port of the PE, and deletes the physical port and the logical port.
  • the operator side edge device PE receives the data center gateway DCG, and the virtual data center VDC sent by the first link connection accesses the request message of the first virtual private network VPN, where the request message includes: a first VPN user identifier;
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN according to the first VPN user identifier querying a preset VPN identifier and a VPN configuration correspondence table.
  • the operator-side edge device PE allocates a local logical port and a physical port to the configured VPN instance, and binds the logical port to the VPN instance, so that the virtual data center VDC accesses the VPN.
  • the operator side edge device PE receives the request message that the virtual data center VDC created by the DCG sent by the data center gateway DCG accesses the first VPN, and the request message includes: the first VPN user identifier, that is, the VDC User ID of the accessed VPN user ID.
  • the format of the message of the request message may be as shown in Table 3.
  • the request message of the virtual data center VDC accessing the VPN is sent by using a first link connection, where the first link connection may include an IPv4 BGP link, a protocol link carrying the 802.IX, and an LDP chain. road.
  • the first link connection may include an IPv4 BGP link, a protocol link carrying the 802.IX, and an LDP chain. road.
  • the pre-configuration operation is performed on the DCG, specifically, the VDC is created on the DCG according to the user request, and the VPN is given according to the user request to join the VPN.
  • the IP address segment of the site allocates a pair of IP addresses to the accessory link AC between the PE-DCGs of the VDC, and configures route learning between PE-DCGs. the way.
  • the request message of the VDC access VPN sent by the DCG to the PE further includes a pair of IP addresses allocated by the DCG to the AC between the PE-DCGs of the VDC, that is, the IP addresses of the two ends of the attached link AC, that is, the local IP in Table 3.
  • connection relationship table between the dual-end physical port and the logical port is saved on the PE and the DCG, so that the peer connection physical relationship and the logical port information are known, and the corresponding connection relationship table can be determined by querying the corresponding connection relationship table.
  • Physical and logical port information of the local end The physical and logical port connection relationship table between the local end and the peer end can be manually created by an administrator or created by the link layer automatic discovery protocol LLDP automatic discovery.
  • the PE Before the PE receives the VDC access request message, it needs to be pre-configured on the PE.
  • the AC is set to the block state on the PE. Specifically, the status of the block is as follows: The physical port and the logical port of the two ends of the attached link are normal. The port is blocked on the PE and the IP address is blocked.
  • the VPN instance is not configured on the PE. The VPN instance and physical port/logical port are not configured. Binding relationship (you can also configure a VPN instance without binding the configured VPN instance to the physical port/logical port), and do not receive or advertise the VPN route of the VPN side of the PE.
  • the PE obtains the RD/RT list corresponding to the first VPN user identifier according to the first VPN user identifier and the VPN configuration table, and configures the VPN instance, and the VPN identifier and the VPN configuration in the embodiment of the present invention.
  • the correspondence table may be a VPN User ID and an RD/RT list, where the RD/RT list may be stored on the PE, and the RD/RT corresponding to the VPN User ID may be obtained through query, and may also be stored in an authentication server or VPN management other than the PE device.
  • the PE can obtain the RD/RT corresponding to the VPN User ID through an independent authentication process.
  • the PE after configuring the VPN instance, the PE allocates a local logical port and a corresponding physical port to the configured VPN instance, and then binds the configured VPN instance to the logical port assigned to the VPN instance. Configure the IP address of the port and configure the route learning mode between PEs and Gigabits. Then, the PE sends an AC allocation success message to the DCG, where the AC allocation success message includes the local logical port and physical port information allocated by the PE.
  • the packet format of the AC allocation success message in the embodiment of the present invention may be as shown in Table 4, including the notification type (Notify Type), and the notification type of the AC allocation success message is AC allocation success (Allocated AC). OK), which also includes the local logical port (Vlan ID) and physical port (Port ID) assigned by the PE, and may also include a VPN user ID (User ID).
  • the data center gateway DCG After receiving the AC allocation success message sent by the PE, the data center gateway DCG determines the logical port and physical port connection information of the DCG local end of the AC according to the logical port and the physical port information of the PE end in the message, thereby determining the determined DCG end. Bind the logical port to the VDC created by the DCG, configure the port IP address, and configure the PE-DCG route learning mode to implement VDC-to-VPN access.
  • the first structure of the operator-side edge device 300 includes: a first receiving module 302, configured to receive a virtual data center VDC that is sent by the data center gateway DCG through the first link connection to access the first
  • the request message of the virtual private network VPN includes: a first VPN user identifier, a DCG end connection identifier of the accessory link AC, and a first obtaining module 304, configured to query, according to the first VPN user identifier, a preset
  • the VPN identifier and the VPN configuration correspondence table obtain the route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN instance.
  • the first determining module 306 is configured to determine, according to the DCG end connection identifier of the AC, a PE end connection identifier of the AC, and bind the logical port in the determined PE end connection identifier to the configured VPN instance, so as to be The virtual data center VDC accesses the VPN.
  • the first receiving module of the operator-side edge device PE of the embodiment of the present invention receives the request message that the virtual data center VDC created by the DCG, which is sent by the DCG, accesses the first VPN, and the request message includes the first VPN user identifier, that is, the VDC.
  • the user ID of the VPN to be accessed, the DCG end connection identifier of the attached link, and the connection identifier includes the physical port number (Port ID) and the logical port number (Vlan ID) of the DCG local end.
  • the request message in the embodiment of the present invention includes, in addition to the User ID of the VPN to be accessed by the VDC and the DCG end connection identifier of the accessory link AC, It is an IP address at both ends of the link AC, and the IP address is a pair of IP addresses assigned by the DCG to the affiliate link AC between the PE-DCGs of the created VDC.
  • the VDC access VPN request message is sent by using a first link connection, where the first link connection may include an IPv4 BGP link, a protocol link carrying 802.IX, and an LDP link.
  • connection relationship table between the dual-end physical port and the logical port is saved on the PE and the DCG, so that the peer connection physical relationship and the logical port information are known, and the corresponding connection relationship table can be determined by querying the corresponding connection relationship table.
  • Physical and logical port information of the local end The physical and logical port connection relationship table between the local end and the peer end can be manually created by an administrator or created by the link layer automatic discovery protocol LLDP automatic discovery.
  • the first obtaining module of the PE obtains the routing identifier RD/route target RT list corresponding to the first VPN user identifier to configure the VPN instance according to the first VPN user identifier querying the preset VPN identifier and the VPN configuration correspondence table, and the present invention
  • the VPN identifier and the VPN configuration correspondence table in the embodiment may be a VPN User ID and an RD/RT list, where the RD/RT list may be stored on the PE, and the RD/RT corresponding to the VPN User ID may be obtained through query, and the PE device may also exist.
  • the first obtaining module can obtain the RD/RT corresponding to the VPN User ID through an independent authentication process.
  • the first determining module of the PE of the embodiment of the present invention determines the physical port and the logical port of the PE end of the AC according to the DCG end connection identifier (including the physical port and the logical port) of the accessory link AC in the request message, and determines the determined Bind the logical port to the configured VPN instance, configure the port IP address, and configure the PE-DCG route learning mode to implement VDC access to the VPN.
  • the PE of the embodiment of the present invention may further include a state setting module that sets the PE side of the auxiliary link AC in a blocking block state before the first receiving module receives the request message.
  • the status of the block is as follows: The physical port and the logical port of the two ends of the attached link are normal. The port is blocked on the PE and the IP address is blocked.
  • the VPN instance is not configured on the PE. The VPN instance and physical port/logical port are not configured.
  • the binding relationship (you can also configure the VPN instance without binding the configured VPN instance to the physical port/logical port), and do not receive or advertise the VPN route of the VPN side of the PE.
  • a second structure diagram of the operator side edge device where the operator side edge device 400 includes: a second receiving module 402, configured to receive a data center gateway DCG and send the connection through the first link
  • the sent virtual data center VDC accesses the request message of the first virtual private network VPN, where the request message includes: a first VPN user identifier;
  • the second obtaining module 404 is configured to obtain, according to the first VPN user identifier, a pre-set VPN identifier and a VPN configuration correspondence table, obtain a routing identifier RD/route target RT list corresponding to the first VPN user identifier, to configure a VPN instance.
  • the second determining module 406 is configured to allocate a local logical port and a physical port to the configured VPN instance, and bind the logical port to the VPN instance, so that the virtual data center VDC accesses the VPN.
  • the second receiving module of the operator-side edge device PE of the embodiment of the present invention receives the request message that the virtual data center VDC created by the DCG is accessed by the DCG to access the first VPN, where the request message includes the first VPN user identifier, that is, the VDC.
  • the User ID of the VPN to be accessed The request message in the embodiment of the present invention further includes an IP address at both ends of the attached link AC, and the IP address is a pair of IP addresses allocated by the DCG to the affiliate link AC between the PE-DCGs of the created VDC.
  • the VDC access VPN request message is sent by using a first link connection, and the first link connection may include an IPv4 BGP link, a protocol link carrying 802.IX, and an LDP link.
  • connection relationship table between the dual-end physical port and the logical port is saved on the PE and the DCG, so that the peer connection physical relationship and the logical port information are known, and the corresponding connection relationship table can be determined by querying the corresponding connection relationship table.
  • Physical and logical port information of the local end The physical and logical port connection relationship table between the local end and the peer end can be manually created by an administrator or created by the link layer automatic discovery protocol LLDP automatic discovery.
  • the second obtaining module of the PE obtains the routing identifier RD/route target RT list corresponding to the first VPN user identifier to configure the VPN instance according to the first VPN user identifier querying the preset VPN identifier and the VPN configuration correspondence table, and the present invention
  • the VPN identifier and the VPN configuration correspondence table in the embodiment may be a VPN User ID and an RD/RT list, where the RD/RT list may be stored on the PE, and the RD/RT corresponding to the VPN User ID may be obtained through query, and the PE device may also exist.
  • the second obtaining module can obtain the RD/RT corresponding to the VPN User ID through an independent authentication process.
  • the second determining module of the PE allocates a local logical port and a physical port to the VPN instance configured in the second obtaining module, and the logical port is bound to the VPN instance, and the port IP address is configured. Configure the route learning mode between PEs and DCGs.
  • the PE in the embodiment of the present invention includes a second sending module 408 in addition to the second receiving module, the second obtaining module, and the second determining module, and the second sending module 408 successfully allocates the auxiliary link AC in the PE (including After the physical port and the logical port are sent, the AC distribution success message is sent to the DCG, where the message includes the local logical port and physical port information allocated by the PE.
  • the PE of the embodiment of the present invention may further include a state setting module, and the state setting module sets the PE side of the accessory link AC in a blocking block state before the second receiving module receives the request message.
  • the status of the block is as follows: The physical port and the logical port of the two ends of the attached link are normal. The port is blocked on the PE and the IP address is blocked.
  • the VPN instance is not configured on the PE. The VPN instance and physical port/logical port are not configured.
  • the binding relationship (you can also configure the VPN instance without binding the configured VPN instance to the physical port/logical port), and do not receive or advertise the VPN route of the VPN side of the PE.
  • the third flow diagram of the method the method specifically includes:
  • the operator side edge device PE receives the request message that the data center gateway DCG accesses the first virtual private network VPN through the virtual data center VDC sent by the first link connection, where the request message includes the first VPN user identifier and the auxiliary chain.
  • the operator-side edge device PE obtains a route identifier RD/route target RT list corresponding to the first VPN user identifier to configure a VPN according to the first VPN user identifier querying a preset VPN identifier and a VPN configuration correspondence table.
  • the operator-side edge device PE determines the PE end connection identifier of the AC according to the DCG end connection identifier of the AC, and binds the logical port in the determined PE end connection identifier to the configured VPN instance.
  • the carrier-side edge device PE sends a PE-side VPN configuration message to the DCG, where the configuration message includes an RD/RT list of the VPN instance, so that the DCG completes the VDC and DCG terminals according to the configuration message. Binding of logical interfaces.
  • the embodiment of the present invention can be applied to an Option D interconnection scenario, where the request message is used to transmit an IPv4 VPN BGP link between PEs and DCGs.
  • the pre-configuration operations performed on the DCG include: A VDC is created on the DCG, that is, the user creates a VPN instance including the required DC resources in the DC, and allocates an auxiliary link AC corresponding to the VDC, where the auxiliary link AC includes a physical port and a logical port.
  • the pre-configuration operation on the DCG further includes: when the user requests to access the VPN, for example, the request message that the DCG sends the VDC access VPN to the PE may also include the AC between the PE-DCGs of the VDC on the DCG.
  • a pair of assigned IP addresses that is, IP addresses at both ends of the attached link AC.
  • connection relationship table between the dual-end physical port and the logical port is saved on the PE and the DCG, so that the peer connection physical relationship and the logical port information are known, and the corresponding connection relationship table can be determined by querying the corresponding connection relationship table.
  • Physical and logical port information of the local end The physical and logical port connection relationship table between the local end and the peer end can be manually created by an administrator or created by the link layer automatic discovery protocol LLDP automatic discovery.
  • the status of the block is as follows: The physical port and the logical port of the two ends of the attached link are normal. The port is blocked on the PE and the IP address is blocked. The VPN instance is not configured on the PE. The VPN instance and physical port/logical port are not configured. The binding relationship (you can also configure the VPN instance without binding the configured VPN instance to the physical port/logical port), and do not receive or advertise the VPN route on the VPN side.
  • the PE obtains the RD/RT list corresponding to the first VPN user identifier according to the first VPN user identifier and the VPN configuration table, and configures the VPN instance, and the VPN identifier and the VPN configuration in the embodiment of the present invention.
  • the correspondence table may be a VPN User ID and an RD/RT list, where the RD/RT list may be stored on the PE, and the RD/RT corresponding to the VPN User ID may be obtained through query, and may also be stored in an authentication server or VPN management other than the PE device.
  • the PE can obtain the RD/RT corresponding to the VPN User ID through an independent authentication process.
  • the PE determines the connection identifier of the PE end of the AC according to the DCG connection identifier of the AC in the request message, where the connection identifier includes the physical port and the logical port, and then binds the determined logical port to the configured VPN instance, and configures the port IP address. Address, complete the Option D correlation on the PE side Configuration.
  • the PE then responds to the DCG with the VPN configuration information of the PE.
  • the configuration information includes the VPN configuration information of the VPN instance on the PE side. Specifically, the PE includes the RD and RT list information.
  • the packet format of the PE-based VPN configuration message that the PE responds to the DCG can be as shown in Table 5.
  • the notification type is Notify Type.
  • the notification type of this message is Local VPN Info.
  • the information also includes RD length and RD value information as well as RT length and RT value information.
  • the data center gateway DCG receives the PE side VPN configuration message sent by the PE, and configures the VDC created by the DCG end according to the RD and RT lists in the configuration message, and binds the VDC to the logical port of the DCG end to complete the DCG terminal Option D.
  • a third structure diagram of the operator side edge device, the operator side edge device 600 includes: a third receiving module 602, configured to receive a virtual data center VDC that is sent by the data center gateway DCG through the first link connection to access the first a request message of the virtual private network VPN, where the request message includes a first VPN user identifier and a DCG end connection identifier of the accessory link AC;
  • a third obtaining module 604 configured to perform preset according to the first VPN user identifier query
  • the VPN identifier and the VPN configuration correspondence table obtain the route identifier corresponding to the first VPN user identifier.
  • a third determining module 606 configured to determine, according to the DCG end connection identifier of the AC, a PE end connection identifier of the AC, and configure the logical port and the configured port in the identified PE end connection identifier
  • the third sending module 608 is configured to send a PE side VPN configuration message to the DCG, where the configuration message includes an RD/RT list of the VPN instance, so that the DCG completes the logical interface between the VDC and the DCG according to the configuration message. Binding.
  • the third receiving module receives the request message of the VDC accessing the VPN that is sent by the DCG through the first link connection, where the request message includes the first VPN identifier, and the accessory link AC.
  • the request message may further include an IP address at both ends of the accessory link AC, and the IP address is a pair of IP addresses allocated by the DCG to the inter-PE-DCG accessory link AC of the VDC.
  • the third obtaining module obtains the routing identifier RD/route target RT list corresponding to the first VPN user identifier according to the VPN identity identifier and the VPN configuration correspondence table that is configured by the first VPN user identifier to configure the VPN instance.
  • the third determining module determines the PE end connection identifier according to the DCG end connection identifier of the accessory link AC in the request message, including the physical port and the logical port, binds the logical port to the configured VPN instance, and then configures the port IP address. Complete the Option D configuration on the PE side.
  • the third sending module sends a DC-side VPN configuration message to the DCG, where the configuration message includes the RD and the RT information of the VPN instance of the PE, so that the DCG completes the DCG-side VDC and the logical port according to the RD and the RT information in the configuration message. Bind.
  • the PE of the embodiment of the present invention may further include a state setting module, and the state setting module sets the PE side of the accessory link AC in a blocking block state before the third receiving module receives the request message.
  • the status of the block is as follows: The physical port and the logical port of the two ends of the attached link are normal. The port is blocked on the PE and the IP address is blocked.
  • the VPN instance is not configured on the PE. The VPN instance and physical port/logical port are not configured.
  • the binding relationship (you can also configure the VPN instance without binding the configured VPN instance to the physical port/logical port), and do not receive or advertise the VPN route of the VPN side of the PE.
  • the method and device for inter-domain VPN connection provided by the present invention can complete VDC and VPN through in-band request message interaction on the premise of interconnecting by Option A or Option D. Docking significantly improves the processing efficiency of VDC and VPN docking.
  • the storage medium may be a magnetic disk, an optical disk, or a read-only storage memory.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Multimedia (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明实施例公开了用于域间VPN对接的方法，所述方法包括：PE接收DCG发送的VDC接入VPN的请求消息，根据请求消息中的VPN User ID确定该User ID对应的RD/RT列表来配置VPN实例，根据请求消息中的AC的DCG端连接标识确定本端连接标识，并将本端连接标识中的逻辑端口与所述VPN实例绑定以便VDC接入VPN。相应地，本发明还提供了用于域间VPN对接的PE和DCG设备。实施本发明实施例提供的方法和设备，可以在Option A或Option D互连的前提下，通过带内信令的交互来实现VDC到VPN的接入，显著提高了VDC接入VPN的执行效率。

Description

用于域间虚拟专用网络对接的方法和设备 本申请要求于 2011年 11月 7 日提交、 申请号为 201110350020. 8的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信领域， 尤其涉及一种用于域间虚拟专用网络对接的方 法和设备。 背景技术
随着数据中心的普遍应用， 企业不需要去购买设备构建自己的信息技 术（ Information Technology, IT )中心。 企业可以在数据中心中申请一组 IT 资源， 为本企业提供云计算的服务， IT 资源由数据中心管理。 数据中心内 的硬件资源以虚拟化设备的形式为各个企业提供云计算的服务。 例如某企 业向数据中心申请 N台服务器， 数据中心不会物理上划分 N台服务器给该 企业使用， 而是根据该企业对服务器的要求（如 CPU、 内存、 硬盘大小） 等从硬件资源中虚拟出 N台服务器给该企业使用。 这些虚拟的服务器釆用 VPN ( Virtual Private Network, 虚拟专用网络）技术进行隔离， 构成虚拟数 据中心 （Virtual Data Centre, VDC )。
向数据中心申请 IT资源的企业用户期望在虚拟数据中心内加入自己的 虚拟专用网络 VPN, 安全访问虚拟数据中心 VDC内的资源。但是， 承载网 运营商需要对 VDC接入 VPN进行接纳控制。 为避免 VDC误接入 VPN, 例如， A企业的 VDC接入到 B企业的 VPN中， 这样就存在安全隐患。 另 一方面， VPN路由信息在未授权的情况下不应当散播到未知站点中。 跨域 VPN技术中的 Option A、 Option D方式在实际应用中经常使用。在 Option A 跨域 (即 VPN Routing and Forwarding Tables to VPN Routing and Forwarding Tables, VPN实例到 VPN实例）方式下， 自治系统边界路由器（ Autonomous System Border Router, ASBR ) 为每个 VPN实例建立各自的链路连接， 在 该链路连接上进行本 VPN的路由交互和数据转发。 MPLS VPN ( Multiple protocol Label Switching Virtual Private Network, 多协议标签交换虚拟专用 网络）与数据中心（Data Centre, DC )对接的运营商侧边缘设备（Provider Edge, PE )为 MPLS VPN域的 ASBR, 而 DC域的 ASBR为数据中心网关 ( Data Centre Gateway, DCG )。 现有技术中， MPLS VPN域与 DC域通过管 理层协商， 手工配置或通过各自网管进行配置的方式来实现 VDC到 VPN 的接入。 由于数据中心域和 MPLS VPN域属于不同的两个管理实体， 针对 每个 VDC接入 VPN的信息交互效率比较低， 无法满足应用要求。 发明内容
本发明实施例所要解决的技术问题在于， 提供一种用于域间虚拟专用 网络对接的方法和设备。可以在 PE-DCG间釆用 Option A或 Option D 方式 互连的前提下， 通过带内信令完成 VPN对接， 显著提高 VDC接入 VPN的 接入效率。
根据本发明的第一方面， 提供了一种用于域间虚拟专用网络对接的方 法， 所述方法包括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求 消息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE 端连接标识中的逻辑端口与所配置 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
根据本发明的第二方面， 提供了一种用于域间虚拟专用网络对接的方 法， 所述方法包括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求 消息包括： 第一 VPN用户标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE为所配置的 VPN实例分配本地逻辑端口和 物理端口， 并将该逻辑端口与所述 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
根据本发明的第三方面， 提供了一种用于域间虚拟专用网络对接的运 营商侧边缘设备， 所述运营商侧边缘设备包括：
第一接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求消 息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
第一获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例；
第一确定模块，用于根据所述 AC的 DCG端连接标识确定该 AC的 PE 端连接标识， 并将所确定的 PE端连接标识中的逻辑端口与所配置的 VPN 实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
根据本发明的第四方面， 提供了一种用于域间虚拟专用网络对接的运 营商侧边缘设备， 所述运营商侧边缘设备包括：
第二接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求消 息包括： 第一 VPN用户标识；
第二获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例；
第二确定模块， 用于为所配置的 VPN实例分配本地逻辑端口和物理端 口， 并将该逻辑端口与所述 VPN实例绑定， 以便所述虚拟数据中心 VDC 接入 VPN„ 根据本发明的第五方面， 提供了一种用于域间虚拟专用网络对接的方 法， 所述方法包括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求 消息包括第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE 端连接标识中的逻辑端口与所配置 VPN实例绑定；
所述运营商侧边缘设备 PE向 DCG发送 PE侧 VPN配置消息， 所述配 置消息包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述配置消 息完成所述 VDC与 DCG端逻辑接口的绑定。
根据本发明的第六方面， 提供了一种用于域间虚拟专用网络对接的运 营商侧边缘设备， 所述运营商侧边缘设备包括：
第三接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求消 息包括第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
第三获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例；
第三确定模块， 根据所述 AC的 DCG端连接标识确定该 AC的 PE端 连接标识， 并将所确定的 PE端连接标识中的逻辑端口与所配置 VPN实例 绑定；
第三发送模块， 用于向 DCG发送 PE侧 VPN配置消息， 所述配置消息 包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述配置消息完成 所述 VDC与 DCG端逻辑接口的绑定。
实施本发明实施例，具有如下有益效果：可以在 PE-DCG间釆用 Option A或 Option D 方式互连的场景下， 通过带内信令完成 VPN对接， 显著提 高 VDC接入 VPN的接入效率。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对 实施例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员 来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的 附图。 的第一流程示意图。 的第二流程示意图。 商侧边缘设备的第一结构示意图。 商侧边缘设备的第二结构示意图。 第三流程示意图。 商侧边缘设备的第三结构示意图。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进 行清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没 有作出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的 范围。 方法的第一流程示意图， 所述方法具体包括：
S100, 运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连 接发送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所 述请求消息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
S102, 所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预 先设置的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的 路由标识 RD/路由目标 RT列表以配置 VPN实例；
S104, 所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确 定该 AC的 PE端连接标识， 并将所确定的 PE端连接标识中的逻辑端口与 所配置 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
本发明实施例中， 运营商侧边缘设备 PE接收数据中心网关 DCG发送 的该 DCG创建的虚拟数据中心 VDC接入第一 VPN的请求消息，该请求消 息包括，第一 VPN用户标识，即 VDC要接入的 VPN的用户标识（ User ID ), 附属链路（ Attachment Circuit, AC )的 DCG端连接标识， 该连接标识包括 DCG本端的物理端口号（ Port ID )和逻辑端口号（ Vlan ID ) 。 本发明实施 方式中， 请求消息的报文格式可以如表 1所示。
表 1
Figure imgf000008_0001
所述虚拟数据中心 VDC接入 VPN的请求消息通过第一链路连接进行 发送，所述第一链路连接可包括 IPv4 BGP(Border Gateway Protocol,边界网 关协议)链路、 承载 802. IX的协议链路和 LDP ( Label Distribution Protocol, 标签分发协议）链路。例如，通过 BGP承载 VDC和 VPN对接的请求消息， 可以通过 Update报文交互来完成信令交互， 定义 BGP Update报文的一种 扩展团体属性（ Extend Community )来承载请求消息包含的信息。 再例如， 通过 BGP承载 VDC和 VPN对接的请求消息， 也可以通过 BGP动态能力 协商过程来完成信令交互，新定义一类 BGP Open 报文的能力参数 ( Capability Param. )来承载请求消息所包含的信息， 其中 Capability Param. 的报文格式可以如表 2所示， 其中包括能力代码（Capability Code ) 、 能力 长度（ Capability Length )、消息类型（ Type )、长度（ Length )以及值 ( Value ) , 消息类型可包括接入（ join ) 消息、 离开 （ leave ) 消息和通知（ Notify ) 消 息。
表 2
Figure imgf000009_0001
举例来说， 本发明的实施例中，在 PE接收 VDC接入 VPN的请求消息 之前， 在 DCG上进行预配置操作， 具体地， 包括在 DCG上根据用户请求 创建 VDC, VDC可看作是 DCG上的 VPN实例， 并给该 VDC分配对应的 附属链路 AC, 其中附属链路 AC包括物理端口和逻辑端口， 然后将所创建 的 VDC和分配给该 VDC的逻辑端口绑定。在 DCG上，还会根据用户请求 接入 VPN时给定的 VPN站点的 IP地址段为所述 VDC的 PE-DCG间的 AC 分配一对 IP地址， 还会在 DCG上配置 PE-DCG间的路由学习方式， 例如 EBGP ( External Border Gateway Protocol, 外部边界网关协议） 。 DCG发送 至 PE的 VDC接入 VPN的请求消息中还包括 DCG为该 VDC的 PE-DCG 间的 AC分配的一对 IP地址， 即附属链路 AC两端的 IP地址， 即表 1中的 本地 IP ( Local IP )和对端 IP ( Remote IP ) 。 本发明实施方式中的 PE和 DCG上均保存有双端物理端口和逻辑端口的连接关系表， 这样在已知对端 物理和逻辑端口信息的情况下， 通过查询相应的连接关系表即可确定本端 的物理和逻辑端口信息。 所述本端和对端的物理和逻辑端口连接关系表可 以由管理员人工创建， 也可以通过链路层自动发现协议 （Link Layer Discovery Protocol, LLDP ) 自动发现来创建。
举例来说， 在 PE接收 VDC接入 VPN的请求消息之前， 除了需要在 DCG上进行预配置之外， 还需要在 PE侧进行预配置， 在 PE侧设置附属链 路 AC处于阻塞 block状态。 具体地， 所述 block状态为： 附属链路 AC两 端的物理端口和逻辑端口正常， 在 PE侧阻塞端口， 阻塞 IP连接， 在 PE上 不配置 VPN实例， 不配置 VPN实例和物理端口 /逻辑端口的绑定关系 （也 可以配置 VPN实例而不将所配置的 VPN实例与物理端口 /逻辑端口绑定）， 不接收也不发布 PE的 VPN侧的 VPN路由。
PE根据所述第一 VPN用户标识查询预先设置的 VPN标识和 VPN配 置对应表获取所述第一 VPN用户标识对应的路由标识 RD/路由目标 RT列 表以配置 VPN实例 , 本发明实施方式中的 VPN标识和 VPN配置对应表可 以是 VPN User ID和 RD/RT(Route Distinguish/Route Target , 路由标识 /路由 目标)列表，其中 RD/RT列表可以存储在 ΡΕ上，通过查询获取 VPN User ID 对应的 RD/RT, 还可以存储在 PE设备之外的认证服务器或者 VPN管理器 ( Manager )上， PE 可以通过独立的认证过程获取 VPN User ID对应的 RD/RT。
本发明实施例中， PE根据请求消息中附属链路 AC的 DCG端连接标 识（包括物理端口和逻辑端口 )确定该 AC的 PE端的物理端口和逻辑端口 , 并将所确定出的逻辑端口与所配置的 VPN实例绑定，配置端口 IP地址，并 配置 PE-DCG间路由学习方式， 实现 VDC接入 VPN。 在 VDC成功接入 VPN后， PE会向 DCG发送接入成功消息。 如果 VDC未成功接入 VPN, PE也会向 DCG返回接入失败消息， 接入失败消息中会携带失败错误码标 识失败原因。
在 VDC接入 VPN后如需要离开 VPN, DCG向 PE发送该 VDC离开 第一 VPN 的请求消息， 该请求消息可通过第一链路连接进行发送。 VDC 离开第一 VPN的请求消息可包括第一 VPN用户标识、附属链路 AC的 DCG 端连接标识。 在本发明的另外一些实施例中， 所述 VDC离开 VPN的请求 消息可以不包括 VPN用户标识。 PE收到 DCG发送的 VDC离开 VPN的请 求消息后， 根据附属链路 AC的 DCG端连接标识确定 PE端的连接标识， 即 PE端的物理端口和逻辑端口，在确定出的物理端口和逻辑端口上删除与 对应的 VPN实例的绑定关系， 删除 IP地址配置， 删除上述该 VPN实例该 端口 PE-DCG间的路由控制协议， 阻塞该端口； 若该 VPN实例再没有和其 他任何端口绑定， 则可以将该 VPN实例的信息删除。 然后 PE将向 DCG回 应 VDC离开 VPN成功的消息。如果上述处理过程发生错误，则会导致 VDC 无法成功离开 VPN, 那么 PE会向 DCG回应 VDC离开 VPN失败的消息， 并在离开失败消息中携带失败错误码标识原因。 方法的第二流程示意图， 所述方法具体包括：
S200 , 运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连 接发送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所 述请求消息包括： 第一 VPN用户标识；
S202, 所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预 先设置的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的 路由标识 RD/路由目标 RT列表以配置 VPN实例；
S204, 所述运营商侧边缘设备 PE为所配置的 VPN实例分配本地逻辑 端口和物理端口， 并将该逻辑端口与所述 VPN实例绑定， 以便所述虚拟数 据中心 VDC接入 VPN。
本发明实施例中， 运营商侧边缘设备 PE接收数据中心网关 DCG发送 的该 DCG创建的虚拟数据中心 VDC接入第一 VPN的请求消息，该请求消 息包括， 第一 VPN用户标识， 即 VDC要接入的 VPN的用户标识 User ID。 本发明实施方式中， 请求消息的报文格式可以如表 3所示。
表 3
Figure imgf000011_0001
举例来说， 所述虚拟数据中心 VDC接入 VPN的请求消息通过第一链 路连接进行发送， 所述第一链路连接可包括 IPv4 BGP链路、 承载 802. IX 的协议链路和 LDP链路。
本发明的实施例中， 在 PE接收 VDC接入 VPN的请求消息之前， 在 DCG上进行预配置操作，具体地， 包括在 DCG上根据用户请求创建 VDC, 根据用户请求加入 VPN时给定的 VPN站点的 IP地址段为所述 VDC的 PE-DCG间的附属链路 AC分配一对 IP地址， 配置 PE-DCG间的路由学习 方式。 DCG发送至 PE的 VDC接入 VPN的请求消息中还包括 DCG为该 VDC的 PE-DCG间的 AC分配的一对 IP地址， 即附属链路 AC两端的 IP 地址， 即表 3中的本地 IP地址（ Local IP )和对端 IP地址（ Remote IP ) 。 本发明实施方式中的 PE和 DCG上均保存有双端物理端口和逻辑端口的连 接关系表， 这样在已知对端物理和逻辑端口信息的情况下， 通过查询相应 的连接关系表即可确定本端的物理和逻辑端口信息。 所述本端和对端的物 理和逻辑端口连接关系表可以由管理员人工创建， 也可以通过链路层自动 发现协议 LLDP自动发现来创建。
在 PE接收 VDC接入 VPN的请求消息之前， 除了需要在 DCG上进行 预配置之外， 还需要在 PE侧进行预配置， 在 PE侧设置附属链路 AC处于 block状态。 具体地， 所述 block状态为： 附属链路 AC两端的物理端口和 逻辑端口正常， 在 PE侧阻塞端口， 阻塞 IP连接， 在 PE上不配置 VPN实 例， 不配置 VPN实例和物理端口 /逻辑端口的绑定关系 （也可以配置 VPN 实例而不将所配置的 VPN实例与物理端口 /逻辑端口绑定）， 不接收也不发 布 PE的 VPN侧的 VPN路由。
PE根据所述第一 VPN用户标识查询预先设置的 VPN标识和 VPN配 置对应表获取所述第一 VPN用户标识对应的 RD/ RT列表以配置 VPN实例 , 本发明实施方式中的 VPN标识和 VPN配置对应表可以是 VPN User ID和 RD/RT列表， 其中 RD/RT列表可以存储在 PE上， 通过查询获取 VPN User ID对应的 RD/RT, 还可以存储在 PE设备之外的认证服务器或者 VPN管理 器（Manager )上， PE可以通过独立的认证过程获取 VPN User ID对应的 RD/RT。
本发明实施方式中， PE在配置 VPN实例之后， 还为所配置的 VPN实 例分配一个本地逻辑端口和对应的物理端口， 然后将所配置的 VPN实例和 分配给该 VPN实例的逻辑端口绑定， 配置端口 IP地址， 并配置 PE-DCG 间的路由学习方式。 然后， PE会向 DCG发送 AC分配成功消息， 该 AC分 配成功消息中包括 PE所分配的本地逻辑端口和物理端口信息。本发明实施 方式 AC 分配成功消息的报文格式可以如表 4 所示， 其中包括通知类型 ( Notify Type ), AC分配成功消息的通知类型为 AC分配成功（ Allocated AC OK ), 还包括 PE所分配的本地逻辑端口 （ Vlan ID )和物理端口 （ Port ID ) 还可以包括 VPN用户标识（ User ID )。
表 4
Figure imgf000013_0001
数据中心网关 DCG在接收到 PE发送的 AC分配成功消息后， 根据该 消息中 PE端的逻辑端口和物理端口信息确定 AC的 DCG本端的逻辑端口 和物理端口连接信息， 从而将所确定出的 DCG端逻辑端口与 DCG所创建 的 VDC绑定，配置端口 IP地址，配置 PE-DCG间路由学习方式，实现 VDC 到 VPN的接入。 运营商侧边缘设备的第一结构示意图， 所述运营商侧边缘设备 300包括： 第一接收模块 302 , 用于接收数据中心网关 DCG通过第一链路连接发 送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请 求消息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连接标识； 第一获取模块 304, 用于根据所述第一 VPN用户标识查询预先设置的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/路由目标 RT列表以配置 VPN实例；
第一确定模块 306, 用于根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE端连接标识中的逻辑端口与所配置的 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
本发明实施方式的运营商侧边缘设备 PE的第一接收模块接收 DCG发 送的该 DCG创建的虚拟数据中心 VDC接入第一 VPN的请求消息，该请求 消息包括， 第一 VPN用户标识， 即 VDC要接入的 VPN的 User ID , 附属 链路的 DCG端连接标识，该连接标识包括 DCG本端的物理端口号（ Port ID ) 和逻辑端口号 （Vlan ID ) 。 本发明实施方式中的请求消息除了包括 VDC 要接入的 VPN的 User ID和附属链路 AC的 DCG端连接标识外，还包括附 属链路 AC两端的 IP地址，所述 IP地址是 DCG为所创建的 VDC的 PE-DCG 间的附属链路 AC分配的一对 IP地址。 所述 VDC接入 VPN的请求消息通 过第一链路连接进行发送， 所述第一链路连接可包括 IPv4 BGP链路、 承载 802. IX的协议链路和 LDP链路。本发明实施方式中的 PE和 DCG上均保存 有双端物理端口和逻辑端口的连接关系表， 这样在已知对端物理和逻辑端 口信息的情况下， 通过查询相应的连接关系表即可确定本端的物理和逻辑 端口信息。 所述本端和对端的物理和逻辑端口连接关系表可以由管理员人 工创建， 也可以通过链路层自动发现协议 LLDP自动发现来创建。
PE的第一获取模块根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例，本发明实施方式中的 VPN标识和 VPN 配置对应表可以是 VPN User ID和 RD/RT列表，其中 RD/RT列表可以存储 在 PE上， 通过查询获取 VPN User ID对应的 RD/RT , 还可以存在 PE设备 之外的认证服务器或者 VPN管理器（Manager )上， 第一获取模块可以通 过独立的认证过程获取 VPN User ID对应的 RD/RT。
本发明实施方式的 PE的第一确定模块根据请求消息中附属链路 AC的 DCG端连接标识（包括物理端口和逻辑端口 )确定该 AC的 PE端的物理 端口和逻辑端口， 并将所确定出的逻辑端口与所配置的 VPN实例绑定， 配 置端口 IP地址， 并配置 PE-DCG间路由学习方式， 实现 VDC接入 VPN。
本发明实施方式的 PE还可包括状态设置模块，状态设置模块在第一接 收模块接收请求消息之前， 将附属链路 AC的 PE侧设置处于阻塞 block状 态。 具体地， 所述 block状态为： 附属链路 AC两端的物理端口和逻辑端口 正常， 在 PE侧阻塞端口 , 阻塞 IP连接 , 在 PE上不配置 VPN实例 , 不配 置 VPN实例和物理端口 /逻辑端口的绑定关系 （也可以配置 VPN实例而不 将所配置的 VPN实例与物理端口 /逻辑端口绑定） ， 不接收也不发布 PE的 VPN侧的 VPN路由。 运营商侧边缘设备的第二结构示意图， 所述运营商侧边缘设备 400包括： 第二接收模块 402 , 用于接收数据中心网关 DCG通过第一链路连接发 送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请 求消息包括： 第一 VPN用户标识；
第二获取模块 404, 用于根据所述第一 VPN用户标识查询预先设置的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/路由目标 RT列表以配置 VPN实例；
第二确定模块 406, 用于为所配置的 VPN实例分配本地逻辑端口和物 理端口， 并将该逻辑端口与所述 VPN 实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
本发明实施方式的运营商侧边缘设备 PE的第二接收模块接收 DCG发 送的该 DCG创建的虚拟数据中心 VDC接入第一 VPN的请求消息，该请求 消息包括， 第一 VPN用户标识， 即 VDC要接入的 VPN的 User ID。 本发 明实施方式中的请求消息还包括附属链路 AC两端的 IP地址，所述 IP地址 是 DCG为所创建的 VDC的 PE-DCG间的附属链路 AC分配的一对 IP地址。 所述 VDC接入 VPN的请求消息通过第一链路连接进行发送， 所述第一链 路连接可包括 IPv4 BGP链路、 承载 802. IX的协议链路和 LDP链路。 本发 明实施方式中的 PE和 DCG上均保存有双端物理端口和逻辑端口的连接关 系表， 这样在已知对端物理和逻辑端口信息的情况下， 通过查询相应的连 接关系表即可确定本端的物理和逻辑端口信息。 所述本端和对端的物理和 逻辑端口连接关系表可以由管理员人工创建， 也可以通过链路层自动发现 协议 LLDP自动发现来创建。
PE的第二获取模块根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例，本发明实施方式中的 VPN标识和 VPN 配置对应表可以是 VPN User ID和 RD/RT列表，其中 RD/RT列表可以存储 在 PE上， 通过查询获取 VPN User ID对应的 RD/RT , 还可以存在 PE设备 之外的认证服务器或者 VPN管理器（Manager )上， 第二获取模块可以通 过独立的认证过程获取 VPN User ID对应的 RD/RT。
PE的第二确定模块为第二获取模块中所配置的 VPN实例分配本地逻 辑端口和物理端口 ,并该逻辑端口与所述 VPN实例绑定，配置端口 IP地址， 并配置 PE-DCG间的路由学习方式。
本发明实施方式中的 PE除了包括上述第二接收模块、第二获取模块和 第二确定模块之外， 还包括第二发送模块 408, 第二发送模块 408在 PE成 功分配附属链路 AC (包括物理端口和逻辑端口）后， 向 DCG发送 AC分 配成功消息， 该消息中包括 PE所分配的本地逻辑端口和物理端口信息。
本发明实施方式的 PE还可包括状态设置模块，状态设置模块在第二接 收模块接收请求消息之前， 将附属链路 AC的 PE侧设置处于阻塞 block状 态。 具体地， 所述 block状态为： 附属链路 AC两端的物理端口和逻辑端口 正常， 在 PE侧阻塞端口 , 阻塞 IP连接 , 在 PE上不配置 VPN实例 , 不配 置 VPN实例和物理端口 /逻辑端口的绑定关系 （也可以配置 VPN实例而不 将所配置的 VPN实例与物理端口 /逻辑端口绑定） ， 不接收也不发布 PE的 VPN侧的 VPN路由。 法的第三流程示意图， 所述方法具体可包括：
S500 , 运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连 接发送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所 述请求消息包括第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
S502, 所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预 先设置的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的 路由标识 RD/路由目标 RT列表以配置 VPN实例；
S504, 所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确 定该 AC的 PE端连接标识， 并将所确定的 PE端连接标识中的逻辑端口与 所配置 VPN实例绑定；
S506, 所述运营商侧边缘设备 PE向 DCG发送 PE侧 VPN配置消息， 所述配置消息包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述 配置消息完成所述 VDC与 DCG端逻辑接口的绑定。
举例来说， 本发明实施例可以应用在 Option D互连的场景下， 其中用 于传递请求消息的是 PE-DCG间配置的 IPv4 VPN BGP链路。在 DCG向 PE 发送 VDC接入 VPN的请求消息之前， 在 DCG上进行的预配置操作包括： 在 DCG上创建 VDC，即为用户在 DC内创建一个包括所需 DC资源的 VPN 实例， 分配与 VDC对应的附属链路 AC, 其中附属链路 AC包括物理端口 和逻辑端口。 DCG上的预配置操作还包括：根据用户请求接入 VPN时给定 举例来说， DCG发送至 PE的 VDC接入 VPN的请求消息还可以包括在 DCG 上为该 VDC的 PE-DCG间的 AC分配的一对 IP地址，即附属链路 AC两端 的 IP地址。
本发明实施方式中的 PE和 DCG上均保存有双端物理端口和逻辑端口 的连接关系表， 这样在已知对端物理和逻辑端口信息的情况下， 通过查询 相应的连接关系表即可确定本端的物理和逻辑端口信息。 所述本端和对端 的物理和逻辑端口连接关系表可以由管理员人工创建， 也可以通过链路层 自动发现协议 LLDP自动发现来创建。
在 PE接收 VDC接入 VPN的请求消息之前， 除了需要在 DCG上进行 预配置之外， 还需要在 PE侧进行预配置， 在 PE侧设置附属链路 AC处于 阻塞 block状态。 具体地， 所述 block状态为： 附属链路 AC两端的物理端 口和逻辑端口正常，在 PE侧阻塞端口 , 阻塞 IP连接，在 PE上不配置 VPN 实例，不配置 VPN实例和物理端口 /逻辑端口的绑定关系（也可以配置 VPN 实例而不将所配置的 VPN实例与物理端口 /逻辑端口绑定）， 不接收也不发 布 VPN侧的 VPN路由。
PE根据所述第一 VPN用户标识查询预先设置的 VPN标识和 VPN配 置对应表获取所述第一 VPN用户标识对应的 RD/ RT列表以配置 VPN实例 , 本发明实施方式中的 VPN标识和 VPN配置对应表可以是 VPN User ID和 RD/RT列表， 其中 RD/RT列表可以存储在 PE上， 通过查询获取 VPN User ID对应的 RD/RT, 还可以存储在 PE设备之外的认证服务器或者 VPN管理 器（Manager )上， PE可以通过独立的认证过程获取 VPN User ID对应的 RD/RT。
PE根据请求消息中的 AC的 DCG端连接标识确定 AC的 PE端的连接 标识， 其中连接标识包括物理端口和逻辑端口， 然后将确定出的逻辑端口 与所配置的 VPN实例绑定， 并配置端口 IP地址， 完成 PE侧 Option D相关 配置。 然后 PE向 DCG回应 PE端 VPN配置信息， 所述配置信息包括 PE 侧 VPN实例的 VPN配置信息， 具体地， 包括 RD和 RT列表信息。 PE向 DCG回应的 PE端 VPN配置消息的报文格式可以如表 5所示， 其中包括通 知类型 （Notify Type ), 本消息的通知类型为本地 VPN信息 （Local VPN Info ), 即 PE端 VPN配置信息 ,还包括 RD长度和 RD值信息以及 RT长度 和 RT值信息。
Figure imgf000018_0001
Figure imgf000018_0002
数据中心网关 DCG接收 PE发送的 PE侧 VPN配置消息， 根据所述配 置消息中的 RD和 RT列表配置 DCG端所创建的 VDC, 将该 VDC与 DCG 端的逻辑端口绑定， 完成 DCG端 Option D的相关配置。 运营商侧边缘设备的第三结构示意图， 所述运营商侧边缘设备 600包括： 第三接收模块 602 , 用于接收数据中心网关 DCG通过第一链路连接发 送的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请 求消息包括第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
第三获取模块 604, 用于根据所述第一 VPN用户标识查询预先设置的
VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识
RD/路由目标 RT列表以配置 VPN实例；
第三确定模块 606, 用于根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE 端连接标识中的逻辑端口与所配置
VPN实例绑定；
第三发送模块 608, 用于向 DCG发送 PE侧 VPN配置消息， 所述配置 消息包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述配置消息 完成所述 VDC与 DCG端逻辑接口的绑定。
本发明实施例中， 第三接收模块接收 DCG通过第一链路连接发送的 VDC接入 VPN的请求消息，该请求消息包括第一 VPN标识，附属链路 AC 的 DCG端连接标识。 所述请求消息还可包括附属链路 AC两端的 IP地址， 所述 IP地址是 DCG为所述 VDC的 PE-DCG间附属链路 AC分配的一对 IP 地址。 第三获取模块根据所述第一 VPN用户标识查询预先设置的 VPN标 识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/路 由目标 RT列表以配置 VPN实例。 第三确定模块根据请求消息中的附属链 路 AC的 DCG端连接标识确定 PE端连接标识， 包括物理端口和逻辑端口， 将该逻辑端口和所配置的 VPN实例绑定， 然后配置端口 IP地址， 完成 PE 侧 Option D配置。 第三发送模块向 DCG回应 PE端 VPN配置消息， 所述 配置消息中包括 PE侧 VPN实例的 RD和 RT信息， 以便 DCG根据所述配 置消息中的 RD和 RT信息完成 DCG侧 VDC和逻辑端口的绑定。
本发明实施方式的 PE还可包括状态设置模块，状态设置模块在第三接 收模块接收请求消息之前， 将附属链路 AC的 PE侧设置处于阻塞 block状 态。 具体地， 所述 block状态为： 附属链路 AC两端的物理端口和逻辑端口 正常， 在 PE侧阻塞端口 , 阻塞 IP连接 , 在 PE上不配置 VPN实例 , 不配 置 VPN实例和物理端口 /逻辑端口的绑定关系 （也可以配置 VPN实例而不 将所配置的 VPN实例与物理端口 /逻辑端口绑定） ， 不接收也不发布 PE的 VPN侧的 VPN路由。
综上所述， 实施本发明提供的用于域间 VPN对接的方法和设备， 可以 在釆用 Option A或 Option D方式互连的前提下， 通过带内请求消息交互的 方式完成 VDC和 VPN的对接，显著提高了 VDC和 VPN对接的处理效率。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流 程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存储 于一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的 实施例的流程。 其中， 所述的存储介质可为磁碟、 光盘、 只读存储记忆体
RAM )等。
以上所揭露的仅为本发明一种较佳实施例而已， 当然不能以此来限定本 发明之权利范围， 因此依本发明权利要求所作的等同变化， 仍属本发明所 涵盖的范围。

Claims

权利要求
1、 一种用于域间虚拟专用网络对接的方法， 其特征在于， 所述方法包 括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求 消息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连接标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE 端连接标识中的逻辑端口与所配置 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
2、 如权利要求 1所述的方法， 其特征在于， 所述第一链路连接包括边 界网关协议 BGP链路、承载 802. IX的协议链路或标签分发协议 LDP链路。
3、 如权利要求 2所述的方法， 其特征在于， 在所述运营商侧边缘设备 PE接收 VDC接入 VPN的请求消息之前， 所述方法还包括：
在 DCG上根据用户请求创建虚拟数据中心 VDC, 分配与所述 VDC对 应的附属链路 AC, 所述附属链路包括物理端口和逻辑端口，
将所述 VDC与所述逻辑端口绑定， 根据用户请求接入 VPN时给定的 VPN站点的 IP地址段为所述 VDC 的附属链路 AC分配 IP地址， 配置 PE-DCG间的路由学习方式。
4、 如权利要求 1至 3中任意一项所述的方法， 其特征在于， 所述预先 设置的 VPN标识和 VPN配置对应表存储于认证服务器或 VPN管理器， 所 述运营商侧边缘设备 PE通过认证过程获取第一 VPN用户标识对应的路由 标识 RD/路由目标 RT列表。
5、 如权利要求 1至 4中任意一项所述的方法， 其特征在于， 所述运营 商侧边缘设备 PE和数据中心网关 DCG均保存有双端物理端口和逻辑端口 的连接对应关系表。
6、 如权利要求 1至 5中任意一项所述的方法， 其特征在于， 在所述 运营商侧边缘设备 PE接收 VDC接入 VPN的请求消息之前，所述方法还包 括设置附属链路 AC的 PE侧处于阻塞 block状态。
7、 一种用于域间虚拟专用网络对接的方法， 其特征在于， 所述方法包 括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消息， 所述请求 消息包括： 第一 VPN用户标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE为所配置的 VPN实例分配本地逻辑端口和 物理端口， 并将该逻辑端口与所述 VPN实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
8、 如权利要求 7所述的方法， 其特征在于， 所述方法还包括： 所述运营商侧边缘设备 PE向所述数据中心网关 DCG发送包括所述本 地逻辑端口和物理端口信息的附属链路 AC分配成功消息，以便所述数据中 心网关 DCG根据所述 AC分配成功消息确定本端的物理端口和逻辑端口， 并将所述 VDC与确定出的逻辑端口绑定，以实现所述 VDC到 VPN的接入。
9、 如权利要求 7或 8所述的方法， 其特征在于， 所述第一链路连接包 括边界网关协议 BGP链路、 承载 802. IX的协议链路或标签分发协议 LDP 链路。
10、 如权利要求 7至 9任意一项所述的方法， 其特征在于， 在所述运 营商侧边缘设备 PE接收 VDC接入 VPN的请求消息之前，所述方法还包括： 根据用户请求在 DCG上创建 VDC,
根据用户请求加入 VPN时给定的 VPN站点的 IP地址段为所述 VDC 的附属链路 AC分配 IP地址， 配置 PE-DCG间的路由学习方式。
11、 如权利要求 7至 10任意一项所述的方法， 其特征在于， 所述预先 设置的 VPN标识和 VPN配置对应表存储于认证服务器或 VPN管理器， 所 述运营商侧边缘设备 PE通过认证过程获取第一 VPN用户标识对应的路由 标识 RD/路由目标 RT列表。
12、 如权利要求 7至 10任意一项所述的方法， 其特征在于， 所述运营 商侧边缘设备 PE和数据中心网关 DCG均保存有双端物理端口和逻辑端口 的连接对应关系表。
13、 如权利要求 7至 10任意一项所述的方法， 其特征在于， 在所述运 营商侧边缘设备 PE接收 VDC接入 VPN的请求消息之前，所述方法还包括 设置附属链路 AC的 PE侧处于阻塞 block状态。
14、 一种用于域间虚拟专用网络对接的运营商侧边缘设备， 其特征在 于， 所述运营商侧边缘设备包括：
第一接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 该 DCG创建的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消 息， 所述请求消息包括： 第一 VPN用户标识、 附属链路 AC的 DCG端连 接标识；
第一获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例； 第一确定模块，用于根据所述 AC的 DCG端连接标识确定该 AC的 PE 端连接标识， 并将所确定的 PE端连接标识中的逻辑端口与所配置的 VPN 实例绑定， 以便所述虚拟数据中心 VDC接入 VPN。
15、 如权利要求 14所述的运营商侧边缘设备， 其特征在于， 所述运营 商侧边缘设备还包括：
状态设置模块， 用于设置附属链路 AC的 PE侧处于阻塞 block状态。
16、 一种用于域间虚拟专用网络对接的运营商侧边缘设备， 其特征在 于， 所述运营商侧边缘设备包括：
第二接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 该 DCG创建的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消 息， 所述请求消息包括： 第一 VPN用户标识；
第二获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例；
第二确定模块， 用于为所配置的 VPN实例分配本地逻辑端口和物理端 口， 并将该逻辑端口与所述 VPN实例绑定， 以便所述虚拟数据中心 VDC 接入 VPN„
17、 如权利要求 16所述的运营商侧边缘设备， 其特征在于， 所述运营 商侧边缘设备还包括：
第二发送模块，用于向所述数据中心网关 DCG发送包括所述本地逻辑 端口和物理端口信息的附属链路 AC分配成功消息。
18、 如权利要求 16或 17所述的运营商侧边缘设备， 其特征在于， 所 述运营商侧边缘设备还包括：
状态设置模块， 用于设置附属链路 AC的 PE侧处于阻塞 block状态。
19、 一种用于域间虚拟专用网络对接的方法， 其特征在于， 所述方法 包括：
运营商侧边缘设备 PE接收数据中心网关 DCG通过第一链路连接发送 的该 DCG所创建的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求 消息， 所述请求消息包括第一 VPN用户标识、 附属链路 AC的 DCG端连 接标识；
所述运营商侧边缘设备 PE根据所述第一 VPN用户标识查询预先设置 的 VPN标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标 识 RD/路由目标 RT列表以配置 VPN实例；
所述运营商侧边缘设备 PE根据所述 AC的 DCG端连接标识确定该 AC 的 PE端连接标识， 并将所确定的 PE 端连接标识中的逻辑端口与所配置 VPN实例绑定；
所述运营商侧边缘设备 PE向 DCG发送 PE侧 VPN配置消息， 所述配 置消息包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述配置消 息完成所述 VDC与 DCG端逻辑接口的绑定。
20、 如权利要求 19所述的方法， 其特征在于， 所述第一链路连接包括 边界网关协议 BGP链路。
21、 如权利要求 19或 20所述的方法， 其特征在于， 在所述运营商侧 边缘设备 PE接收 VDC接入 VPN的请求消息之前， 所述方法还包括： 在 DCG上根据用户请求创建虚拟数据中心 VDC, 分配与所述 VDC对 应的附属链路 AC, 所述附属链路包括物理端口和逻辑端口，
根据用户请求接入 VPN时给定的 VPN站点的 IP地址段为所述 VDC 的附属链路 AC分配 IP地址。
22、 一种用于域间虚拟专用网络对接的运营商侧边缘设备， 其特征在 于， 所述运营商侧边缘设备包括：
第三接收模块，用于接收数据中心网关 DCG通过第一链路连接发送的 该 DCG所创建的虚拟数据中心 VDC接入第一虚拟专用网络 VPN的请求消 息， 所述请求消息包括第一 VPN用户标识、 附属链路 AC的 DCG端连接 标识；
第三获取模块，用于根据所述第一 VPN用户标识查询预先设置的 VPN 标识和 VPN配置对应表获取所述第一 VPN用户标识对应的路由标识 RD/ 路由目标 RT列表以配置 VPN实例；
第三确定模块， 根据所述 AC的 DCG端连接标识确定该 AC的 PE端 连接标识， 并将所确定的 PE端连接标识中的逻辑端口与所配置 VPN实例 绑定；
第三发送模块， 用于向 DCG发送 PE侧 VPN配置消息， 所述配置消息 包括所述 VPN实例的 RD/RT列表， 以便所述 DCG根据所述配置消息完成 所述 VDC与 DCG端逻辑接口的绑定。
23、 如权利要求 22所述的运营商侧边缘设备， 其特征在于， 所述运营 商侧边缘设备还包括：
状态设置模块， 用于设置附属链路 AC的 PE侧处于阻塞 block状态。
PCT/CN2012/084049 2011-11-07 2012-11-05 用于域间虚拟专用网络对接的方法和设备 WO2013067904A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110350020.8 2011-11-07
CN201110350020.8A CN103095543B (zh) 2011-11-07 2011-11-07 用于域间虚拟专用网络对接的方法和设备

Publications (1)

Publication Number Publication Date
WO2013067904A1 true WO2013067904A1 (zh) 2013-05-16

Family

ID=47325843

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/084049 WO2013067904A1 (zh) 2011-11-07 2012-11-05 用于域间虚拟专用网络对接的方法和设备

Country Status (4)

Country Link
US (1) US20130185446A1 (zh)
EP (1) EP2590369B1 (zh)
CN (1) CN103095543B (zh)
WO (1) WO2013067904A1 (zh)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9143498B2 (en) 2012-08-30 2015-09-22 Aerohive Networks, Inc. Internetwork authentication
US9769056B2 (en) 2013-03-15 2017-09-19 Aerohive Networks, Inc. Gateway using multicast to unicast conversion
US9762679B2 (en) 2013-03-15 2017-09-12 Aerohive Networks, Inc. Providing stateless network services
CN104219147B (zh) * 2013-06-05 2018-10-16 中兴通讯股份有限公司 边缘设备的vpn实现处理方法及装置
US10454714B2 (en) 2013-07-10 2019-10-22 Nicira, Inc. Method and system of overlay flow control
FR3010599B1 (fr) * 2013-09-11 2016-12-02 Citypassenger Procede et systeme d'etablissement de reseaux prives virtuels entre reseaux locaux
CN106462443B (zh) 2014-06-13 2020-01-07 柏思科技有限公司 用于管理节点的方法和系统
US9992619B2 (en) 2014-08-12 2018-06-05 Aerohive Networks, Inc. Network device based proximity beacon locating
CN104363233A (zh) * 2014-11-20 2015-02-18 成都卫士通信息安全技术有限公司 一种vpn网关中应用服务器之间的安全跨域通讯方法
US10135789B2 (en) * 2015-04-13 2018-11-20 Nicira, Inc. Method and system of establishing a virtual private network in a cloud service for branch networking
US11115480B2 (en) * 2017-10-02 2021-09-07 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US10686625B2 (en) 2017-10-02 2020-06-16 Vmware, Inc. Defining and distributing routes for a virtual network
US10999100B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider
US11323426B2 (en) * 2017-10-19 2022-05-03 Check Point Software Technologies Ltd. Method to identify users behind a shared VPN tunnel
US11223514B2 (en) 2017-11-09 2022-01-11 Nicira, Inc. Method and system of a dynamic high-availability mode based on current wide area network connectivity
CN109951332B (zh) * 2019-03-19 2022-04-05 江河瑞通（北京）技术有限公司 基于非对等网络的边缘计算设备组网方法、装置及系统
US10999137B2 (en) 2019-08-27 2021-05-04 Vmware, Inc. Providing recommendations for implementing virtual networks
US11929903B2 (en) 2020-12-29 2024-03-12 VMware LLC Emulating packet flows to assess network links for SD-WAN
CN112769614B (zh) * 2021-01-04 2022-04-15 烽火通信科技股份有限公司 一种按需vpn的自动管理方法和异构网络的互通系统
US11979325B2 (en) 2021-01-28 2024-05-07 VMware LLC Dynamic SD-WAN hub cluster scaling with machine learning
US11943146B2 (en) 2021-10-01 2024-03-26 VMware LLC Traffic prioritization in SD-WAN
US11909815B2 (en) 2022-06-06 2024-02-20 VMware LLC Routing based on geolocation costs

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002050695A1 (en) * 2000-12-20 2002-06-27 Talk2 Technology, Inc. Spontaneous virtual private network between portable device and enterprise network
CN101277245A (zh) * 2008-05-06 2008-10-01 华为技术有限公司 一种l2vpn跨域的实现方法、系统和装置
CN102137173A (zh) * 2010-12-27 2011-07-27 华为技术有限公司 路由信息发布方法、设备及虚拟专用网系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100496984B1 (ko) * 2002-08-21 2005-06-23 한국전자통신연구원 레이블 분배 프로토콜의 확장을 이용한 ＱｏＳ지원 2계층가상 사설 망 양방향 터널 설정 및 구성정보 분배방법
CN101001264B (zh) * 2006-12-29 2011-04-13 华为技术有限公司 L1vpn地址分配的方法、装置、网络边沿设备和编址服务器

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002050695A1 (en) * 2000-12-20 2002-06-27 Talk2 Technology, Inc. Spontaneous virtual private network between portable device and enterprise network
CN101277245A (zh) * 2008-05-06 2008-10-01 华为技术有限公司 一种l2vpn跨域的实现方法、系统和装置
CN102137173A (zh) * 2010-12-27 2011-07-27 华为技术有限公司 路由信息发布方法、设备及虚拟专用网系统

Also Published As

Publication number Publication date
EP2590369B1 (en) 2018-01-10
CN103095543B (zh) 2016-10-05
EP2590369A3 (en) 2013-06-05
CN103095543A (zh) 2013-05-08
EP2590369A2 (en) 2013-05-08
US20130185446A1 (en) 2013-07-18

Similar Documents

Publication Publication Date Title
WO2013067904A1 (zh) 用于域间虚拟专用网络对接的方法和设备
Del Piccolo et al. A survey of network isolation solutions for multi-tenant data centers
WO2021136311A1 (zh) 一种vpc之间的通信方法及装置
EP3759870B1 (en) Network slicing with smart contracts
CN113261248B (zh) 安全sd-wan端口信息分发
US8121126B1 (en) Layer two (L2) network access node having data plane MPLS
CN106464534B (zh) 配设和管理用户驻地设备装置的片
US9838261B2 (en) Method, apparatus, and system for providing network traversing service
WO2013056680A1 (zh) 虚拟私云接入虚拟专用网的方法、装置和系统
WO2013056585A1 (zh) 一种虚拟私云接入认证方法及相关装置
US11870641B2 (en) Enabling enterprise segmentation with 5G slices in a service provider network
WO2016184368A1 (zh) 用于对用户的业务进行授权的方法、装置及系统
WO2013185644A1 (zh) 虚拟网络自动发现和自动配置的方法及其装置
WO2013007158A1 (zh) 虚拟私云接入网络的方法、网络侧设备和数据中心设备
WO2018019299A1 (zh) 一种虚拟宽带接入方法、控制器和系统
US20130227673A1 (en) Apparatus and method for cloud networking
WO2022001669A1 (zh) 建立vxlan隧道的方法及相关设备
CN111371664B (zh) 一种虚拟专用网络接入方法及设备
WO2017166936A1 (zh) 一种实现地址管理的方法、装置、aaa服务器及sdn控制器
WO2011140919A1 (zh) 接入业务批发网络的方法、设备、服务器和系统
WO2014029367A1 (zh) 一种动态配置方法及装置、系统
WO2014180199A1 (zh) 网络建立的方法及控制设备
WO2022001668A1 (zh) 室内机与室外机之间的多pdn实现方法及存储介质
WO2013174096A1 (zh) 一种云计算虚拟机迁移的方法、设备及系统
WO2011147334A1 (zh) 提供虚拟私有网业务的方法、设备和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12846867

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12846867

Country of ref document: EP

Kind code of ref document: A1