WO2014134919A1 - 同一租户内服务器间的通信控制方法及网络设备 - Google Patents

同一租户内服务器间的通信控制方法及网络设备 Download PDF

Info

Publication number
WO2014134919A1
WO2014134919A1 PCT/CN2013/085322 CN2013085322W WO2014134919A1 WO 2014134919 A1 WO2014134919 A1 WO 2014134919A1 CN 2013085322 W CN2013085322 W CN 2013085322W WO 2014134919 A1 WO2014134919 A1 WO 2014134919A1
Authority
WO
WIPO (PCT)
Prior art keywords
server
gateway device
message
servers
group
Prior art date
Application number
PCT/CN2013/085322
Other languages
English (en)
French (fr)
Inventor
胡中锋
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2014134919A1 publication Critical patent/WO2014134919A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport

Definitions

  • VLAN Virtual Local Area Network
  • a physical network is divided into 4K logical networks, and logical networks are isolated from each other.
  • different logical networks are allocated to different tenants/users to implement the needs of deploying multiple tenants/users in the same physical network.
  • the 4K virtual network is no longer sufficient for a large number of tenant/user access needs.
  • the rapid increase in the number of tenants/users has led to the network virtualization capability becoming a bottleneck in networking.
  • NVGRE Network Virtualization using Generic Routing Encapsulation
  • GRE Generic Routing Encapsulation
  • VBLAN Virtual Extensible Local Area Network
  • NVGRE and VXLAN are MAC-in-IP technologies, which implement encapsulation and forwarding of ETH packets to implement large-scale Layer 2 networking.
  • NVGRE and VXLAN define VSID (Virtual Subnet Identifier) and VNI (VXLAN Network Identifier) respectively to identify different virtual networks.
  • VXLAN or NVGRE uses VNI or VSID instead of VLAN-ID in the VLAN technology to control the broadcast domain, so the message Instead of encapsulating the VLAN ID, the VNI or VSID and the outer packet header are encapsulated directly outside the packet. At this time, from the perspective of the network, the VNI or VSID as the identifier of the logical network controls the range of the broadcast domain.
  • VNI or VSID The packets of the same VNI or VSID belong to the same logical network, allowing interworking; packets of different VNI or VSID are different. Logical network, no interworking is allowed. From the application point of view, VNI or VSID represents the tenant ID.
  • the servers under the same VNI or VSID belong to the same tenant, and the services under different VNI or VSID.
  • the devices belong to different tenants.
  • each tenant is assigned a VNI or VSID, and servers in the same VNI or VSID can be fully interoperable, and inter-server interworking or isolation control cannot be achieved.
  • the present invention provides a communication control method and network device between servers in the same tenant, which can implement interworking/isolation control between servers in the same tenant.
  • the first aspect of the present invention provides a communication control method between servers in the same tenant, the method includes: the gateway device receives the first packet sent by the source server; and the gateway device acquires the packet according to the locally stored packet identifier configuration table. a server group identifier of the source server; the server group identifier is used to indicate a group to which the server belongs, and the servers belonging to different groups cannot communicate; the gateway device adds a server group identifier of the source server in the first packet, Obtaining a second packet; the gateway device sends the second packet.
  • the method before the gateway device adds the server group identifier of the source server in the first packet, and before obtaining the second packet, the method further includes: The gateway device obtains a server group identifier of the destination server of the first packet; the gateway device performs interworking check on the server group identifier of the source server and the server group identifier of the destination server, after the verification is passed And the gateway device adds a server group identifier of the source server in the first packet, to obtain the second packet.
  • the gateway device before the gateway device acquires the server group identifier of the source server according to the locally stored packet identifier configuration table, The method further includes: the gateway device grouping servers in the same local tenant; And the gateway device allocates an identifier to the packet, and generates the packet identifier configuration table.
  • the gateway device performs the server in the same local tenant.
  • the grouping includes: the gateway device groups the servers in the same tenant locally according to the port of the gateway device; or the gateway device groups the servers in the same same tenant based on the MAC address of the server; or the gateway The device groups the servers in the same tenant locally according to the client-side virtual local area network identifier CVLAN-ID carried in the server packet, where different server groups have different CVLAN-IDs.
  • the gateway device adds the server group identifier of the source server to the first packet, and obtains the second packet, including: if the first packet is a virtual scalable local area network protocol packet, the gateway device is Adding a server packet identifier of the source server to the first byte of the Reserved field of the first packet to obtain the second packet; or, if the packet is a general layer encapsulation technology, implementing the second layer
  • the protocol packet of the network virtualization the gateway device adds the server group identifier of the source server in the last 8 bits of the ReservedO of the first packet, and obtains the second packet.
  • a second aspect of the present invention provides a communication control method between servers in the same tenant, the method includes: the gateway device receives a packet sent by a source server; and the gateway device acquires the packet according to a locally stored packet identifier configuration table. a server group identifier of the source server, and a server group identifier of the destination server of the packet, where the server group identifier is used to indicate a group to which the server belongs, and the servers belonging to different groups cannot communicate; the gateway device pairs the source Server server group identifier of the server and server of the destination server The packet identifier performs interworking check; the gateway device sends the packet after the interworking check is passed.
  • the method before the gateway device obtains the server group identifier of the source server according to the locally stored packet identifier configuration table, the method further includes: the gateway device Grouping servers in the same local tenant; the gateway device assigns an identifier to the packet, and generates the packet identifier configuration table.
  • the gateway device by using a local device, the server in the same tenant includes: the gateway device is based on the gateway The port of the device is grouped by the server in the same tenant; or the gateway device groups the servers in the same tenant based on the MAC address of the server; or the gateway device is based on the client virtuality carried in the server packet.
  • the local area network identifier CVLAN-ID is a grouping of servers in the same local tenant, where different server groups have different CVLAN-IDs.
  • a third aspect of the present invention provides a communication control method between servers in the same tenant, the method comprising: the gateway device receiving a message; the gateway device determining whether the source server of the packet is carried in the packet a server group identifier; when the packet carries a server group identifier of the source server of the packet, the gateway device acquires a server group identifier of the source server in the packet, and according to the local storage
  • the packet identifier configuration table obtains a server group identifier of the destination server of the packet, where the server group identifier is used to indicate a packet to which the server belongs, and the servers belonging to different groups cannot communicate; the gateway device groups the server of the source server And performing an interworking check with the server group identifier of the destination server; The gateway device sends the packet to the destination server after the interworking check is passed.
  • the method further includes: The gateway device groups the servers in the same local tenant; the gateway device allocates an identifier to the packet, and generates the packet identifier configuration table.
  • the gateway device is configured to group servers in the same local tenant by: the gateway device is based on the gateway The port of the device is grouped by the server in the same tenant; or the gateway device groups the servers in the same tenant based on the MAC address of the server; or the gateway device is based on the client virtuality carried in the server packet.
  • the local area network identifier CVLAN-ID is a grouping of servers in the same local tenant, where different server groups have different CVLAN-IDs.
  • a fourth aspect of the present invention provides a gateway device, including: a receiving unit, configured to receive a first packet sent by a source server, a storage unit, configured to store a packet identifier configuration table, and a first acquiring unit, configured to The packet identifier configuration table stored by the storage unit acquires a server group identifier of the source server, where the server group identifier is used to indicate a packet to which the server belongs, and the servers belonging to different groups cannot communicate; the message generating unit is configured to be used in the Adding a server packet identifier of the source server to obtain a second packet, and sending, by the sending unit, the second packet.
  • the method further includes: a second acquiring unit, configured to: after the packet generating unit adds the server group identifier of the source server in the first packet, obtain a server group identifier of the destination server before obtaining the second packet; And the verification unit is configured to perform inter-pass verification on the server group identifier of the source server and the server group identifier of the destination server, and then add, by the packet generation unit, the first packet after the verification is passed The server group identifier of the source server obtains the second packet.
  • the method further includes: a grouping unit, configured to be used by the first acquiring unit according to the storage unit Before the identifier configuration table obtains the server group identifier of the source server, the server in the same tenant is grouped by the identifier; the identifier generating unit is configured to allocate an identifier to the packet, and generate the group identifier configuration table.
  • the grouping unit is specifically configured to be based on the gateway
  • the port of the device is configured to group the servers in the same local tenant; or the server-based MAC address is used to group the servers in the same local tenant; or, based on the client-side virtual local area network identifier CVLAN-ID pair carried in the server packet Local servers in the same tenant are grouped, where different server groups have different CVLAN-IDs.
  • the packet generating unit is configured to: when the first packet is a virtual scalable local area network protocol packet, add the server of the source server in a first byte of a Reserved field of the first packet. a packet identifier, the second packet is obtained; or, when the first packet is a protocol packet that implements Layer 2 network virtualization by using a universal routing encapsulation technology, after the first packet of the ReservedO of the first packet The server group identifier of the source server is added to the bits, and the second packet is obtained.
  • a fifth aspect of the present invention provides a gateway device, including: a receiving unit, configured to receive a packet sent by a source server; a storage unit, configured to store a packet identifier configuration table; and an identifier obtaining unit, configured to store according to the storage unit And obtaining, by the group identifier configuration table, a server group identifier of the source server, and acquiring a server group identifier of the destination server of the packet, where the service
  • the device group identifier is used to indicate that the server belongs to the server, and the servers belonging to different groups cannot communicate;
  • the check unit is configured to perform inter-pass verification on the server group identifier of the source server and the server group identifier of the destination server; , configured to send the message after the interworking check is passed.
  • the method further includes: a grouping unit, configured to acquire, by the identifier obtaining unit, a server group identifier of the source server according to a group identifier configuration table stored by the storage unit Previously, the servers in the same local tenant are grouped; the identifier generating unit is configured to allocate an identifier to the group, and generate the group identifier configuration table.
  • the grouping unit is specifically configured to perform, according to the port of the gateway device, a server in a local same tenant.
  • a sixth aspect of the present invention provides a gateway device, including: a storage unit, configured to store a packet identifier configuration table; a receiving unit, configured to receive a packet; and a determining unit, configured to determine whether the packet is carried in the packet a server group identifier of the source server, where the server group identifier is used to indicate a group to which the server belongs, and the servers belonging to different groups cannot communicate; the identifier obtaining unit is configured to: when the determining unit determines that the packet carries the Obtaining a server group identifier of the source server in the packet, and obtaining a server grouping of the destination server of the packet according to the group identifier configuration table stored in the storage unit a verification unit, configured to perform inter-pass verification on a server group identifier of the source server and a server group identifier of the destination server, and a sending unit, configured to send, to the destination server, after the interworking check is passed The message.
  • the method further includes: a grouping unit, configured to: before the identifier obtaining unit acquires a server group identifier of the destination server of the packet according to the group identifier configuration table stored by the storage unit, grouping servers in the same local tenant; the identifier generating unit, And configured to allocate an identifier to the packet, and generate the packet identifier configuration table.
  • the grouping unit is specifically configured to perform, according to a port of the gateway device, a server in a local same tenant.
  • the invention generates the SGID of each server through the gateway device, and then performs intercommunication check on the SGID of the server when communicating between the servers, and determines whether to allow inter-server interworking according to the verification result, and realizes the server in the same VNI or VSID. Interworking or isolation control.
  • FIG. 1 is a flowchart of a communication control method between servers in the same tenant according to an embodiment of the present invention
  • FIG. 2 is a flowchart of another communication control method between servers in the same tenant according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of a network topology structure of a VXLAN/NVGRE according to an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram of a packet according to an embodiment of the present invention.
  • a flow chart of a communication control method between servers in the same tenant FIG. 10 is a flowchart of another communication control method between servers in the same tenant according to an embodiment of the present invention
  • FIG. 11 is a schematic structural diagram of a gateway device according to an embodiment of the present invention.
  • schematic diagram; 12 is a schematic structural diagram of another gateway device according to an embodiment of the present invention
  • FIG. 13 is a schematic structural diagram of another gateway device according to an embodiment of the present invention
  • FIG. 14 is a schematic structural diagram of another gateway device according to an embodiment of the present invention.
  • Step 101 The gateway device receives the first packet sent by the source server.
  • the "first" and “second” are only for distinguishing different messages, and are not specifically or limited.
  • the gateway device receives the first packet sent by the source server, and the first packet may include address information of the source server and the destination server, such as a MAC address, in addition to the data information.
  • Step 102 The gateway device obtains the server group identifier of the source server according to the locally stored group identifier configuration table, where the server group identifier is used to indicate the group to which the server belongs, and the servers belonging to different groups cannot communicate.
  • the gateway device stores a packet identifier configuration table, where the server group identifier (SGID) generated by the gateway device in advance for the local same tenant server is stored, and the server group identifier is used to indicate the group to which the server belongs. , servers belonging to different groups cannot communicate.
  • the server local to the gateway device is also the server connected to the gateway device. Different tenants are identified and quarantined by VNI or VSID. Each tenant is assigned only one VNI or VSID.
  • Packets of different VNIs or VSIDs belong to different logical networks. Interworking is not allowed. Packets of the same VNI or VSID belong to the same logical network.
  • the SGID is set to each server under the same tenant to control the interworking or isolation between the servers under the same tenant.
  • the gateway device may search the locally stored packet identifier configuration table according to the MAC address of the source server or the access port of the source server in the first packet to obtain the SGID of the source server.
  • Step 103 The gateway device adds the server group identifier of the source server in the first packet, and obtains the second Message.
  • the gateway device After obtaining the SGID of the source server, the gateway device adds the SGID of the source server to the reserved field of the first packet or the field for which the explicit use is not defined, or the extended field or the newly added field of the first packet.
  • Second message The process of obtaining the second packet may also include other prior art packet generation processes, such as encapsulating a VXLAN or NVGRE packet header outside the packet of the SGID to which the source server is added.
  • Step 104 The gateway device sends the second packet. After obtaining the second packet, the gateway device may further include other prior art steps before sending the second packet, for example, searching for the VNI or VSID to which the first packet belongs, and then using the first packet based on the VNI or VSID.
  • the destination MAC address is an index query forwarding table, and the egress gateway of the first packet on the VXLAN or NVGRE network is obtained. Then, the gateway device sends the second packet. After receiving the second packet, the peer gateway device obtains the SGID of the destination server of the second packet according to the locally stored packet identifier configuration table, and then the SGID of the source server included in the second packet and the obtained destination. The server's SGID is verified for intercommunication. The verification process is verified according to the preset interworking rules. After the verification is passed, the source server and the destination server can communicate with each other, and then the destination server is forwarded to the destination server.
  • the forwarding process may also include other prior art packet processing processes, such as stripping the VXLAN/NVGRE outer header of the second packet, extracting the VNI or VSID information, and then based on the VNI or VSID, the destination MAC address of the packet.
  • the forwarding table is indexed, and the second packet is sent to the user side of the gateway device, and then the packet is sent to the destination server according to the egress.
  • the SGID of each server is generated by the gateway device, and then the SGID of the server is tested for intercommunication when communicating between the servers, and whether the interworking between the servers is allowed according to the verification result, and the same VNI or VSID is implemented. Interworking/isolation control between servers.
  • the gateway device adds the source server to the first packet.
  • the SGID before obtaining the second packet, may further include: Step 201:
  • the gateway device acquires an SGID of the destination server of the first packet. After receiving the first packet, or after obtaining the SGID of the source server, the gateway device may enter a Steps to perform this step to obtain the SGID of the destination server.
  • the method for obtaining the SGID of the destination server by the gateway device may be that the SGID of the server sent by the other gateway device is pre-stored locally in the gateway device; or the gateway device learns the SGID of the source server while performing source MAC learning, thereby Obtain the SGID of the server under other gateway devices. Specifically, the gateway device generates only the SGID of each local server.
  • the gateway device does not have the MAC address of the destination server of the first packet locally, and there is no SGID of the destination server. After learning the MAC address through the data packet, learn and save the SGID synchronously, so that the gateway device can learn to obtain the SGID of the server under other gateway devices. In either case, the gateway device can locally obtain the SGID of the destination server according to the related identification information of the destination server in the first packet, such as a MAC address.
  • the gateway device obtains the SGID of the destination server, and the gateway device obtains the identifier information of the destination server, such as a MAC address, after receiving the first packet, and the egress gateway to the first packet is also The gateway device at the end requests the SGID of the destination server and so on.
  • Step 202 The gateway device performs interworking check on the SGID of the source server and the SGID of the destination server. After obtaining the SGID of the source server and the SGID of the destination server, the gateway device performs interworking check according to the interworking rule.
  • the verification process is similar to the process in which the gateway device performs interworking check on the SGID of the source server and the SGID of the destination server in the foregoing embodiment. After the above-mentioned interworking check is passed, the gateway device performs the above step 103 again, and the gateway device adds the SGID of the source server in the first packet to obtain the second packet. If the verification fails, the gateway device may directly discard the first packet without performing subsequent actions, and terminate communication between the source and destination servers.
  • the gateway device performs the foregoing steps 103-104.
  • the gateway device may not perform the SGID check, and may also perform the SGID check repeatedly, although the SGID has been executed in the gateway device processing. Verification, but considering the strict checksum and temporary generation changes, the peer gateway device can repeatedly perform the SGID check operation.
  • the embodiment of the present invention has little change to the network device and is easy to implement. Moreover, the verification process is added to the gateway device, and the packets between the servers that are prohibited from interworking can be directly processed, such as discarded, without being transmitted to the peer gateway device for processing. Therefore, the methods in this embodiment are compared.
  • the foregoing embodiment method can reduce the occupation of network bandwidth by packets between servers that are prohibited from interworking, and reduce the additional consumption of network bandwidth.
  • the method may further include: Step 301: The gateway device groups the servers in the same local tenant.
  • each gateway device can agree to classify servers in the same tenant into three categories: a public server, a server server, an isolation server, and an interworking rule, which indicates which servers can communicate with each other, between servers. Can't communicate. As shown in the table below:
  • the SGID can occupy 8 bits, and a total of 256 values.
  • the SGID of the public server is 0, and the SGID of the quarantine server is 255, each occupying only one ID.
  • the SGID of the community server is 1 to 254, occupying 254 IDs.
  • BP A tenant can divide their servers into a group of public servers, a set of isolated servers, and multiple groups of community servers. For a VNI or VSID that does not support server grouping, the SGID field can take a value of 0, which allows all servers to communicate.
  • the gateway device After obtaining the SGID of the source server and the SGID of the destination server, the gateway device performs interworking verification according to the two SGIDs and the interworking rules in the above table. For example, if the SGID of the source server is 0, the SGID of the destination server. If the value is any value from 0 to 255, the source and destination servers can communicate with each other. If the source server's SGID is any value from 1 to 254, when the destination server is 0 or the source server's SGID value is the same, the source and destination are used.
  • the servers can communicate with each other. Otherwise, the interworking is prohibited. If the SGID of the source server is 255, the source and destination servers can communicate with each other when the destination server reaches 0. Otherwise, interworking is prohibited.
  • a matching verification mechanism for grouping servers may be added in a forwarding process of the gateway device. The logic of the SGID matching check algorithm is as follows:
  • the method for grouping the servers in the same tenant by the gateway device may be as follows: In the first manner, the gateway device groups the servers in the same tenant locally based on the port of the gateway device.
  • Figure 4 shows the typical VXLAN/NVGRE network topology.
  • Server 1 virtualized server
  • Server 2 non-virtualized server
  • Server 3 support VXLAN/NVGRE
  • the server's internal hypervisor acts as a VXLAN/NVGRE gateway, and connects each VM (virtual machine) in the server to the VXLAN/NVGRE network
  • ETH ETH network that does not support VXLAN/NVGRE
  • the network in the upper right corner of the figure also needs to be connected to the VXLAN/NVGRE network through Switch 1.
  • a gateway device When a gateway device is based on a gateway device-based port (physical port or virtual port) for servers in the same local tenant, VMs in Servers 3 to 5, and Hypervisors are interconnected through VIFs (virtual interfaces), which can be based on VIFs.
  • VIFs virtual interfaces
  • Each VM is grouped and assigned an SGID.
  • Server 2 directly accesses Switch 1 in the form of a physical server. Based on this physical port, Server 2 can be grouped and assigned an SGID.
  • the gateway device In the second mode, the gateway device groups the servers in the same tenant locally based on the MAC address of the server.
  • the SGID is grouped and assigned based on the server's MAC address, and is applicable to all servers (including physical servers, virtual machines) in the topology diagram shown in FIG.
  • the gateway device groups the servers in the same tenant according to the CVLAN-ID (Customer VLAN Identifier) carried in the server packet, and allocates the server group identifier, where different server groups have different CVLAN-ID.
  • CVLAN-ID Customer VLAN Identifier
  • This mode is applicable to the case where the user packets that are connected to the VXLAN/NVGRE network carry the CVLAN, and the CVLAN has defined the scenario of the server grouping. For example, for each terminal in the ETH Network and Server 1 in the topology map, if the server grouping has been deployed before accessing the VXLAN/NVGRE network, and each server group is identified by using CVLAN, then on the VXLAN/NVGRE gateway.
  • the SGID may be allocated based on the CVLAN-ID carried in the user packet, and each CVLAN-ID is assigned an SGID.
  • the SGID information that the gateway device allocates for the local server can be stored in a forwarding table (such as a port table), so that the information can be obtained during the packet forwarding process.
  • a forwarding table such as a port table
  • the packet format in the prior art may be extended. Instead of adding a new field to the VXLAN/NVGRE message, the reserved field in the standard VXLAN/NVGRE message or the field with no explicit purpose is directly used.
  • the gateway device adds the server group identifier of the source server to the first packet, and obtains the second packet, which may include: For the format of the GRE Hearder in the NVGRE packet, as shown in FIG. 5, in the standard definition The FlowID field is an optional field and is used to further identify each flow. The specific usage requirement is not defined. You can borrow this field to carry the SGID. If the packet is a protocol packet that implements Layer 2 network virtualization by using the universal routing encapsulation technology, the gateway device adds the server group identifier of the source server in the last 8 bits of the ReservedO of the first packet. , obtaining the second message. As shown in Figure 6, the last 8 bits of ReservedO can also be used to carry the SGID.
  • the last byte Reserved field can be borrowed to carry the SGID.
  • the gateway device adds a server group identifier of the source server in a first byte of a Reserved field of the first packet, to obtain the Second message.
  • the SGID can be carried using the first byte of the Reserved field in front of the VNI.
  • the SGID can occupy 8 bits, and the value ranges from 0 to 255.
  • the number of bits occupied by the SGID may be defined based on the requirements of the device capability, the packet size, and the like.
  • FIG. 9 is a flowchart of another method for controlling communication between servers in the same tenant according to an embodiment of the present invention.
  • the difference between the embodiment of the present invention and the foregoing embodiment is that: the interworking check is performed only in the gateway device that sends the second packet, and is not performed in the gateway device that receives the second packet.
  • the method may include: Step 901: The gateway device receives the packet sent by the source server.
  • Step 902 The gateway device acquires a server group identifier of the source server according to the locally stored packet identifier configuration table, and obtains a server group identifier of the destination server of the packet, where the server group identifier is used to indicate a group to which the server belongs. Servers belonging to different groups cannot communicate. In this step, the gateway device can locally find the SGID generated in advance for the source server.
  • the SGID of the destination server of the packet obtained by the gateway device may be similar to the step 201 in the foregoing embodiment, and details are not described herein again.
  • Step 903 The gateway device performs interworking check on the server group identifier of the source server and the server group identifier of the destination server. The inspection process can be similar to the verification process in the previous embodiment.
  • Step 904 The gateway device sends the packet after the interworking check is passed. After the interworking check is passed, the gateway device does not add the SGID of the source server to the packet, but directly forwards the packet according to the existing process.
  • the gateway device that receives the packet does not need to perform interworking check for the packet because the SGID of the source server is not added to the packet.
  • the embodiment of the present invention provides a verification process at the access gateway device, which can directly process the packets between the servers that are prohibited from interworking, such as discarding, without performing transmission to the gateway device, and then performing the processing in this embodiment. It is forbidden to use the inter-server packets to occupy the network bandwidth and reduce the extra consumption of network bandwidth.
  • the method before the gateway device acquires the server group identifier of the source server according to the locally stored packet identifier configuration table, the method further includes: the gateway device is in the same local tenant Servers are grouped; And the gateway device allocates an identifier to the packet, and generates the packet identifier configuration table.
  • the grouping of the servers in the same tenant by the gateway device includes: the gateway device groups the servers in the same tenant locally based on the port of the gateway device; or groups the servers in the same tenant locally according to the MAC address of the server; or And grouping the servers in the same tenant locally according to the client-side virtual local area network identifier CVLAN-ID carried in the server packet, where different server groups have different CVLAN-IDs.
  • Step 10 is a flowchart of another communication control method between servers in the same tenant according to an embodiment of the present invention.
  • the difference between the embodiment of the present invention and the embodiment shown in FIG. 1 is that the peer gateway device, that is, the gateway device that receives the second packet, is described as an execution subject.
  • the method can include: Steps, 1001, the gateway device receives the message.
  • the gateway device receives the packet sent by the network side, which may be a packet forwarded by another gateway device.
  • Step 1002 The gateway device determines whether the server group identifier of the source server of the packet is carried in the packet. If the SGID of the source server is carried in the packet, the gateway device performs step 1003, otherwise the packet is directly forwarded.
  • Step 1003 The gateway device obtains a server group identifier of the source server in the packet, and obtains a server group identifier of the destination server of the packet according to the locally stored packet identifier configuration table, where the server group identifier is used by Indicates the group to which the server belongs. Servers belonging to different groups cannot communicate.
  • the gateway device obtains the SGID of the source server in the packet, and further searches the packet identifier configuration table for the SGID of the destination server that obtains the packet.
  • Step 1004 The gateway device performs interworking check on the server group identifier of the source server and the server group identifier of the destination server.
  • Step 1005 The gateway device sends the packet to the destination server after the interworking check is passed. After the interworking check is passed, the gateway device forwards the packet to the destination server according to the existing process.
  • the SGID of each server is generated by the gateway device, and then the SGID of the server is tested for intercommunication when communicating between the servers, and whether the interworking between the servers is allowed according to the verification result, and the same VNI or VSID is implemented. Interworking or isolation control between servers.
  • the method further includes: the gateway device is in the same local tenant The server performs grouping; the gateway device assigns an identifier to the packet, and generates the packet identifier configuration table.
  • the gateway device groups the servers in the same tenant locally, including: the gateway device groups the servers in the same tenant according to the port of the gateway device; or, the server-based MAC address is used for the servers in the same local tenant. Or grouping the servers in the same tenant locally according to the client-side virtual local area network identifier CVLAN-ID carried in the server packet, where different server groups have different CVLAN-IDs.
  • FIG. 11 is a schematic structural diagram of a gateway device according to an embodiment of the present invention.
  • the gateway device 1100 may include: a receiving unit 1101, configured to receive a first packet sent by the source server.
  • the storage unit 1102 is configured to store a group identity configuration table.
  • the first obtaining unit 1103 is configured to acquire, according to the group identifier configuration table stored by the storage unit 1102, a server group identifier of the source server, where the server group identifier is used to indicate a group to which the server belongs, and servers belonging to different groups cannot communicate with each other.
  • the message generating unit 1104 is configured to add a server group identifier of the source server to the first packet, to obtain a second packet.
  • the sending unit 1105 is configured to send the second packet.
  • the other gateway device After receiving the second packet, the other gateway device acquires a server group identifier of the destination server of the second packet, and identifies, by the server group identifier of the source server in the second packet, The server group identifier of the destination server performs interworking check, and the second packet is forwarded to the destination server after the verification is passed.
  • the gateway device generates the SGID of each server by using the foregoing unit, and the server
  • the SGID is added to the packet to facilitate interworking between the servers by communicating with the SGID of the server, and determining whether to allow interworking between the servers according to the verification result, and implementing interworking between servers in the same VNI or VSID. Or isolation control.
  • the gateway device 1200 may further include: a second obtaining unit 1201, configured to add the source in the first packet in the packet generating unit 1104. a server group identifier of the server, the server group identifier of the destination server of the first packet is obtained before the second packet is obtained; the verification unit 1202 is configured to identify the server group identifier of the source server and the destination server The server group identifier is subjected to the interworking check.
  • the packet generating unit 1104 adds the server group identifier of the source server to the first packet to obtain the second packet.
  • the gateway device may further include: a grouping unit, configured to acquire, by the first acquiring unit, a server group identifier of the source server according to the group identifier configuration table stored by the storage unit Previously, the servers in the same local tenant are grouped; the identifier generating unit is configured to allocate an identifier to the group, and generate the group identifier configuration table.
  • the grouping unit is configured to group servers in the same tenant according to the port of the gateway device; or group the servers in the same tenant according to the MAC address of the server; or, based on the server packet
  • the carried client virtual local area network identifier CVLAN-ID groups the servers in the same local tenant, wherein different server groups have different CVLAN-IDs.
  • the message generating unit may be specifically configured to add the server of the source server to the first byte of the Reserved field of the first packet for the virtual scalable local area network protocol.
  • the packet identifier is added to the protocol that implements the layer 2 network virtualization by using the universal routing encapsulation technology.
  • the server group identifier of the source server is added in the last 8 bits of the ReservedO of the first packet.
  • the gateway device 1300 can include: a receiving unit 1301, configured to receive a packet sent by the source server.
  • the storage unit 1302 is configured to store a group identity configuration table.
  • the identifier obtaining unit 1303 is configured to acquire a server group identifier of the source server according to the group identifier configuration table stored by the storage unit 1302, and obtain a server group identifier of the destination server of the packet, where the server group identifier is used for Indicates the group to which the server belongs. Servers belonging to different groups cannot communicate.
  • the verification unit 1304 is configured to perform interworking check on the server group identifier of the source server and the server group identifier of the destination server.
  • the sending unit 1305 is configured to send the message after the interworking check is passed.
  • the gateway device sets a verification process when receiving the user-side packet through the foregoing unit, and can directly process the packet between the servers that are prohibited from interworking, such as discarding, without transmitting to the peer gateway device. After the processing is performed, this embodiment can reduce the occupation of the network bandwidth by the packets between the servers that are prohibited from interworking, and reduce the additional consumption of the network bandwidth.
  • the gateway device may further include: a grouping unit, configured to acquire, by the identifier obtaining unit, a server group identifier of the source server according to the group identifier configuration table stored by the storage unit Previously, the servers in the same local tenant are grouped; the identifier generating unit is configured to allocate an identifier to the group, and generate the group identifier configuration table.
  • the grouping unit is specifically configured to group servers in the same tenant according to the port of the gateway device; or group the servers in the same tenant locally according to the MAC address of the server; or, carry the packet based on the server packet
  • the client virtual local area network identifier CVLAN-ID groups servers in the same local tenant, wherein different server groups have different CVLAN-IDs.
  • the gateway device 1400 can include: a storage unit 1401, configured to store a packet identification configuration table.
  • the receiving unit 1402 is configured to receive a message.
  • the determining unit 1403 is configured to determine whether the server group identifier of the source server of the packet is carried in the packet, where the server group identifier is used to indicate a packet to which the server belongs, and the servers belonging to different groups cannot communicate.
  • the identifier obtaining unit 1404 is configured to: when the determining unit 1403 determines a server group identifier of the source server that carries the packet in the packet, obtain a server group identifier of the source server in the packet, and Obtaining a server group identifier of the destination server of the packet according to the packet identifier configuration table stored by the storage unit 1401.
  • the verification unit 1405 is configured to perform interworking check on the server group identifier of the source server and the server group identifier of the destination server.
  • the sending unit 1406 is configured to send the message to the destination server after the interworking check is passed.
  • the gateway device generates the SGID of each server by using the foregoing unit, performs intercommunication check on the SGID of the server when communicating between the servers, and determines whether to allow inter-server interworking according to the verification result, and implements the same VNI. Interworking or isolation control between servers within the VSID.
  • the gateway device may further include: a grouping unit, configured to acquire, by the identifier obtaining unit, a server group of the destination server of the packet according to the group identifier configuration table stored by the storage unit Before the identification, grouping the servers in the same local tenant; the identifier generating unit is configured to allocate an identifier to the group, and generate the group identifier configuration table.
  • the grouping unit is specifically configured to group servers in the same tenant according to the port of the gateway device; or group the servers in the same tenant locally according to the MAC address of the server; or, carry the packet based on the server packet
  • the client virtual local area network identifier CVLAN-ID groups servers in the same local tenant, wherein different server groups have different CVLAN-IDs.
  • each unit shown in FIG. 11 (or FIG. 13) and the receiving unit 1402, the determining unit 1403, the identifier obtaining unit 1404, and the checking unit 1405 shown in FIG. 14 may be simultaneously included.
  • sending unit 1406 Another embodiment of the present invention provides another gateway device.
  • the gateway device can include a transceiver, a memory, and a processor.
  • the transceiver device is configured to receive a first packet sent by a source server, and send a second packet.
  • the memory is used to store a program
  • the processor is configured to read a program in the memory, and perform the following steps: acquiring a server group identifier of the source server according to a locally stored group identifier configuration table, the server group identifier For indicating the group to which the server belongs, the servers belonging to different groups cannot communicate; the server packet identifier of the source server is added to the first packet, and the second packet is obtained, and the second packet is sent to the server.
  • the transceiver device is described. Another embodiment of the present invention provides another gateway device.
  • the gateway device may include a transceiver device, a memory, and a processor, where the transceiver device is configured to receive a message sent by the source server, and send the message after the interworking check is passed; the memory is used to store a program.
  • the processor is configured to read a program in the memory, and perform the following steps: acquiring a server group identifier of the source server according to a locally stored packet identifier configuration table, and acquiring a server group identifier of the destination server of the packet, where The server group identifier is used to indicate the group to which the server belongs, and the servers belonging to different groups cannot communicate; the server group identifier of the source server and the server group identifier of the destination server are verified for interworking, and after the interworking check is passed Sending the message to the transceiver.
  • Another embodiment of the present invention provides another gateway device.
  • the gateway device may include a transceiver device, a memory, and a processor, where the transceiver device is configured to receive a message sent by the source server, and send the message to the destination server after the interworking check is passed; the memory is used to store a segment a program, the processor is configured to read a program in the memory, and perform the following steps: determining whether the packet carries a server group identifier of a source server of the packet, where the server group identifier is used to indicate that the server belongs to And the server group identifiers of the source servers of the packets are obtained by the server group identifiers of the source servers in the packets, and the server group identifiers of the source servers in the packets are obtained according to the local
  • the stored packet identifier configuration table obtains a server group identifier of the destination server of the packet; Performing interworking check on the server group identifier of the source server and the server group identifier of the destination server, and sending the packet to the transceiver after the inter
  • the disclosed systems, devices, and methods may be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the functions may be stored in a computer readable storage medium if implemented in the form of a software functional unit and sold or used as a standalone product.
  • the technical solution of the present invention which is essential or contributes to the prior art, or a part of the technical solution, may be embodied in the form of a software product, which is stored in a storage medium, including The instructions are used to cause a computer device (which may be a personal computer, server, or network device, etc.) or a processor to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a USB flash drive, a removable hard disk, a read-only memory (ROM), a random access memory (RAM, Random Access Memory), a variety of media such as a disk or a disc that can store program code.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例公开了同一租户内服务器间的通信控制方法及网络设备。网关设备接收源服务器发送的第一报文；所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分组标识，所述服务器分组标识用于表明服务器所属的分组，属于不同分组的服务器不能互通；所述网关设备在所述第一报文中添加所述源服务器的服务器分组标识，获得第二报文；所述网关设备发送所述第二报文。该方法实现了同一个VNI或VSID内的服务器间的互通或隔离控制。

Description

同一租户内服务器间的通信控制方法及网络设备 本申请要求于 2013年 3月 4日提交中国专利局、 申请号为 201310067761. 4、 发明 名称为 "同一租户内服务器间的通信控制方法及网络设备" 的中国专利申请的优先权， 其全部内容通过弓 I用结合在本申请中。 技术领域 本发明涉及通信技术领域， 特别是涉及同一租户内服务器间的通信控制方法及网 络设备。
背景技术 为了在一张物理网络内部署多个租户 /用户的业务，标准组织开发了虚拟局域网
(Virtual Local Area Network, VLAN) 技术来实现网络虚拟化， 把一张物理网络划 分成 4K个逻辑网络， 逻辑网络之间彼此隔离。 实际使用中， 不同的逻辑网络被分 配给不同的租户 /用户使用， 来实现同一张物理网络中部署多个租户 /用户的需求。 然而， 随着网络规模的不断增大、业务需求的不断增多， 4K的虚拟网络已经不 足以满足大量的租户 /用户的接入需要。 尤其在数据中心领域， 租户 /用户数量的急 剧增加导致了网络虚拟化能力成为组网瓶颈。 基于此， 业界推出了 NVGRE (Network Virtualization using Generic Routing Encapsulation, 使用 GRE (通用路由 封装）技术实现二层网络虚拟化的协议）禾 B VXLAN ( Virtual extensible Local Area Network, 虚拟可扩展局域网） 技术， 在优化网络转发和资源利用的同时， 还极大 的提升了网络承载多租户的能力。
NVGRE和 VXLAN都是 MAC-in-IP技术， 通过对用户的 ETH报文执行封装和 转发， 实现大规模的二层组网。 NVGRE和 VXLAN分别定义了 VSID(Virtual Subnet Identifier)和 VNI(VXLAN Network Identifier), 来标识不同的虚拟网络， VXLAN 或 NVGRE用 VNI或 VSID来代替 VLAN技术中的 VLAN-ID控制广播域， 因此报文 不再需要封装 VLAN-ID, 而是直接在报文外面封装 VNI或 VSID和外层报文头。此 时， 从网络的角度看， VNI或 VSID作为逻辑网络的标识控制着广播域的范围， 相 同 VNI或 VSID的报文属于同一个逻辑网络， 允许互通； 不同 VNI或 VSID的报文 属于不同的逻辑网络， 不允许互通。 从应用的角度看， VNI或 VSID代表了租户标 识， 同一个 VNI或 VSID下的服务器属于同一个租户， 不同 VNI或 VSID下的服务 器属于不同的租户。 然而， 现有技术中为每个租户分配一个 VNI或 VSID， 而同一个 VNI或 VSID 内的服务器可以完全互通， 无法做到服务器间的互通或隔离控制。
发明内容 本发明提供了一种同一租户内服务器间的通信控制方法及网络设备， 能够实现同 一租户内服务器间的互通 /隔离控制。 本发明第一方面提供一种同一租户内服务器间的通信控制方法， 所述方法包 括- 网关设备接收源服务器发送的第一报文； 所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分 组标识； 所述服务器分组标识用于表明服务器所属的分组， 属于不同分组的服务器不能 互通； 所述网关设备在所述第一报文中添加所述源服务器的服务器分组标识， 获得第 二报文； 所述网关设备发送所述第二报文。 结合上述第一方面， 在第一种可能的实现方式中， 在所述网关设备在所述第一 报文中添加所述源服务器的服务器分组标识， 获得第二报文之前， 还包括： 所述网关设备获取所述第一报文的目的服务器的服务器分组标识； 所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验， 在校验通过后所述网关设备在所述第一报文中添加所述源 服务器的服务器分组标识， 获得所述第二报文。 结合上述第一方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 在所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分组 标识之前， 所述方法还包括： 所述网关设备对本地同一租户内的服务器进行分组； 所述网关设备为所述分组分配标识， 生成所述分组标识配置表。 结合上述第一方面， 和 /或第一种可能的实现方式， 和 /或第二种可能的实现方 式， 在第三种可能的实现方式中， 所述网关设备对本地同一租户内的服务器进行分 组包括： 所述网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID 为 对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 结合上述第一方面， 和 /或第一种可能的实现方式， 和 /或第二种可能的实现方 式， 和 /或第三种可能的实现方式， 在第四种可能的实现方式中， 所述网关设备在所 述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文， 包括： 如果所述第一报文为虚拟可扩展局域网协议报文， 所述网关设备在所述第一报 文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标识， 获得所述 第二报文； 或， 如果所述报文为使用通用路由封装技术实现二层网络虚拟化的协议报文， 所述 网关设备在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分 组标识， 获得所述第二报文。 本发明第二方面提供一种同一租户内服务器间的通信控制方法， 所述方法包 括- 所述网关设备接收源服务器发送的报文； 所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分 组标识， 并获取所述报文的目的服务器的服务器分组标识，所述服务器分组标识用于 表明服务器所属的分组， 属于不同分组的服务器不能互通； 所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验; 所述网关设备在所述互通校验通过后发送所述报文。 结合上述第二方面， 在第一种可能的实现方式中， 在所述网关设备根据本地存 储的分组标识配置表获取所述源服务器的服务器分组标识之前， 所述方法还包括： 所述网关设备对本地同一租户内的服务器进行分组； 所述网关设备为所述分组分配标识， 生成所述分组标识配置表。 结合上述第二方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 所述网关设备对本地同一租户内的服务器进行分组包括： 所述网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID 为 对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 本发明第三方面提供一种同一租户内服务器间的通信控制方法， 所述方法包 括- 所述网关设备接收报文； 所述网关设备确定所述报文中是否携带所述报文的源服务器的服务器分组标 识； 当所述报文中携带所述报文的源服务器的服务器分组标识时， 所述网关设备获 取所述报文中的所述源服务器的服务器分组标识， 并根据本地存储的分组标识配置 表获取所述报文的目的服务器的服务器分组标识，所述服务器分组标识用于表明服务 器所属的分组， 属于不同分组的服务器不能互通； 所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验； 所述网关设备在所述互通校验通过后向所述目的服务器发送所述报文。 结合上述第三方面， 在第一种可能的实现方式中， 在所述网关设备根据本地存 储的分组标识配置表获取所述报文的目的服务器的服务器分组标识之前， 所述方法 还包括： 所述网关设备对本地同一租户内的服务器进行分组； 所述网关设备为所述分组分配标识， 生成所述分组标识配置表。 结合上述第三方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 所述网关设备对本地同一租户内的服务器进行分组包括： 所述网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID 为 对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 本发明第四方面还提供一种网关设备， 包括： 接收单元， 用于接收源服务器发送的第一报文； 存储单元， 用于存储分组标识配置表； 第一获取单元， 用于根据所述存储单元存储的分组标识配置表获取所述源服务 器的服务器分组标识， 所述服务器分组标识用于表明服务器所属的分组， 属于不同分 组的服务器不能互通； 报文生成单元， 用于在所述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文； 发送单元， 用于发送所述第二报文。 结合上述第四方面， 在第一种可能的实现方式中， 还包括： 第二获取单元， 用于在所述报文生成单元在所述第一报文中添加所述源服务器 的服务器分组标识， 获得第二报文之前， 获得所述目的服务器的服务器分组标识； 校验单元， 用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验， 在校验通过后再由所述报文生成单元在所述第一报文中添 加所述源服务器的服务器分组标识， 获得第二报文。 结合上述第四方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 还包括： 分组单元， 用于在所述第一获取单元根据所述存储单元存储的分组标识配置表 获取所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 结合上述第四方面， 和 /或第一种可能的实现方式， 和 /或第二种可能的实现方 式， 在第三种可能的实现方式中， 所述分组单元， 具体用于基于所述网关设备的端口 为对本地同一租户内的服务器进行分组； 或者， 基于服务器的 MAC地址为对本地同一 租户内的服务器进行分组； 或者， 基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 结合上述第四方面， 和 /或第一种可能的实现方式， 和 /或第二种可能的实现方 式，和 /或第三种可能的实现方式，在第四种可能的实现方式中，所述报文生成单元， 具体用于当所述第一报文为虚拟可扩展局域网协议报文时， 在所述第一报文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标识， 获得所述第二 报文； 或， 当所述第一报文为使用通用路由封装技术实现二层网络虚拟化的协议报 文时，在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分组 标识， 获得所述第二报文。 本发明第五方面还提供一种网关设备， 包括： 接收单元， 用于接收源服务器发送的报文； 存储单元， 用于存储分组标识配置表； 标识获取单元， 用于根据所述存储单元存储的分组标识配置表获取所述源服务 器的服务器分组标识， 并获取所述报文的目的服务器的服务器分组标识， 所述服务 器分组标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通； 校验单元， 用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验； 发送单元， 用于在互通校验通过后发送所述报文。 结合上述第五方面， 在第一种可能的实现方式中， 还包括： 分组单元， 用于在所述标识获取单元根据所述存储单元存储的分组标识配置表 获取所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 结合上述第五方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 所述分组单元， 具体用于基于所述网关设备的端口对本地同一租户内的服务器进行分 组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基于 服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器进 行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 本发明第六方面还提供一种网关设备， 包括： 存储单元， 用于存储分组标识配置表； 接收单元， 用于接收报文； 确定单元， 用于确定所述报文中是否携带所述报文的源服务器的服务器分组标 识，所述服务器分组标识用于表明服务器所属的分组，属于不同分组的服务器不能互通； 标识获取单元， 用于当所述确定单元确定所述报文中携带所述报文的源服务器 的服务器分组标识时， 获取所述报文中的所述源服务器的服务器分组标识， 并根据 所述存储单元存储的分组标识配置表获取所述报文的目的服务器的服务器分组标 识； 校验单元， 用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验； 发送单元， 用于在所述互通校验通过后向所述目的服务器发送所述报文。 结合上述第六方面， 在第一种可能的实现方式中， 还包括： 分组单元， 用于在所述标识获取单元根据所述存储单元存储的分组标识配置表 获取所述报文的目的服务器的服务器分组标识之前， 对本地同一租户内的服务器进 行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 结合上述第六方面，和 /或第一种可能的实现方式，在第二种可能的实现方式中， 所述分组单元， 具体用于基于所述网关设备的端口对本地同一租户内的服务器进行分 组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基于 服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器进 行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 本发明通过网关设备生成各服务器的 SGID， 然后在服务器间进行通信时通过 对服务器的 SGID进行互通检验， 并根据校验结果决定是否允许服务器间的互通， 实现 了同一个 VNI或 VSID内的服务器间的互通或隔离控制。
附图说明 为了更清楚地说明本发明实施例的技术方案， 下面将对实施例描述中所需要使 用的附图作简单地介绍， 显而易见地， 对于本领域普通技术人员而言， 在不付出创 造性劳动性的前提下， 还可以根据这些附图获得其他的附图。 图 1为本发明实施例一种同一租户内服务器间的通信控制方法流程图； 图 2为本发明实施例另一种同一租户内服务器间的通信控制方法流程图； 图 3为本发明实施例中获得分组标识配置表的方法流程图； 图 4为本发明实施例中 VXLAN/NVGRE的网络拓扑架构示意图； 图 5~8为本发明实施例的报文结构示意图； 图 9为本发明实施例另一种同一租户内服务器间的通信控制方法流程图； 图 10为本发明实施例另一种同一租户内服务器间的通信控制方法流程图； 图 11为本发明实施例一种网关设备的结构示意图； 图 12为本发明实施例另 种网关设备的结构示意图; 图 13为本发明实施例另 种网关设备的结构示意图; 图 14为本发明实施例另 种网关设备的结构示意图。
具体实施方式 为了使本技术领域的人员更好地理解本发明实施例中的技术方案， 并使本发明 实施例的上述目的、 特征和优点能够更加明显易懂， 下面结合附图对本发明实施例 中技术方案作进一步详细的说明。 参见图 1， 为本发明实施例一种同一租户内服务器间的通信控制方法流程图。 该方法可以包括： 步骤 101， 网关设备接收源服务器发送的第一报文。 本发明实施例中，该 "第一"和 "第二"仅为了区分不同的报文，并非特指或限定。 在本步骤中， 网关设备接收源服务器发送的第一报文， 该第一报文中除了包含数据 信息外， 还可以包含源服务器及目的服务器的地址信息， 如 MAC地址。 步骤 102， 网关设备根据本地存储的分组标识配置表获取源服务器的服务器分组标 识，所述服务器分组标识用于表明服务器所属的分组，属于不同分组的服务器不能互通。 网关设备存储有分组标识配置表， 该配置表中存储有该网关设备预先为本地的同一 租户内服务器生成的服务器分组标识（Server Group Identifier, SGID), 该服务器分组标 识用于表明服务器所属的分组， 属于不同分组的服务器不能互通。 其中， 网关设备本地 的服务器也即该网关设备下连接的服务器。不同租户通过 VNI或 VSID进行标识和隔离， 每个租户只分配一个 VNI或 VSID， 不同 VNI或 VSID的报文属于不同的逻辑网络， 不 允许互通， 相同 VNI或 VSID的报文属于同一个逻辑网络， 本实施例中， 通过对同一租 户下的各服务器设置 SGID， 来控制同一租户下各服务器之间的互通或隔离。 网关设备在接收到第一报文后， 可以根据该第一报文中源服务器的 MAC地址或源 服务器的接入端口等信息查找本地存储的分组标识配置表， 获得该源服务器的 SGID。 步骤 103， 网关设备在第一报文中添加所述源服务器的服务器分组标识， 获得第二 报文。 网关设备在获得源服务器的 SGID后， 在第一报文的预留字段或未定义明确用途的 字段上， 或者在第一报文的扩展字段或新增字段上添加该源服务器的 SGID， 获得第二 报文。 该获得第二报文的过程还可以包含其他现有技术的报文生成过程，例如在添加了源 服务器的 SGID的报文外面封装 VXLAN或 NVGRE报文头等。 步骤 104， 网关设备发送所述第二报文。 网关设备在获得第二报文后， 在发送第二报文之前还可以包含其他现有技术步骤， 例如查找该第一报文所属的 VNI或 VSID， 然后基于 VNI或 VSID， 以第一报文的目的 MAC地址为索引查询转发表， 获取该第一报文在 VXLAN或 NVGRE网络上的出口网 关。 然后， 网关设备发送该第二报文。 对端的网关设备在接收到第二报文后，根据本地存储的分组标识配置表获取该第二 报文的目的服务器的 SGID， 然后对第二报文中包含的源服务器的 SGID和获得的目的 服务器的 SGID进行互通校验， 该校验过程具体依据预先设置的互通规则进行校验， 在 校验通过后， 也即表明源服务器和目的服务器之间可以相互通信， 然后再向目的服务器 转发该第二报文， 若校验不通过， 则不向目的服务器转发该第二报文， 可以丢弃该第二 报文， 以禁止源、 目的服务器之间的互通。 当然该转发过程中还可以包含其他现有技术的报文处理过程，例如剥离第二报文的 VXLAN/NVGRE外层头， 提取 VNI或 VSID信息， 然后基于 VNI或 VSID， 以报文目 的 MAC地址为索引查询转发表， 获取该第二报文在本网关设备的用户侧的出口， 然后 按照该出口将报文发送至目的服务器。 本发明实施例通过网关设备生成各服务器的 SGID， 然后在服务器间进行通信时通 过对服务器的 SGID进行互通检验， 并根据校验结果决定是否允许服务器间的互通， 实 现了同一个 VNI或 VSID内的服务器间的互通 /隔离控制。 在本发明的另一实施例中， 如图 2所示， 在网关设备在第一报文中添加源服务器的
SGID, 获得第二报文之前， 还可以包括： 步骤 201， 网关设备获取第一报文的目的服务器的 SGID。 网关设备在接收到上述第一报文后， 或在获取到源服务器的 SGID之后， 可以进一 步执行本步骤， 获得目的服务器的 SGID。 该网关设备获得目的服务器的 SGID的方法， 可以是在网关设备本地预先存储有其 他网关设备发送的服务器的 SGID; 也可以是网关设备在执行源 MAC学习的时候， 同 时学习源服务器的 SGID， 从而获得其他网关设备下的服务器的 SGID， 具体的， 网关设 备本地生成的只是本地各个服务器的 SGID， 最初网关设备本地还没有上述第一报文的 目的服务器的 MAC表， 也就没有目的服务器的 SGID， 后续通过数据报文学习 MAC地 址时同步学习并保存 SGID， 这样网关设备就可以学习获得其他网关设备下的服务器的 SGID 了。 这两种情况下， 该网关设备可以根据第一报文中的目的服务器的相关标识信 息如 MAC地址等在本地查找获得目的服务器的 SGID。 该网关设备获得目的服务器的 SGID的方法， 也还可以是网关设备在接收到第一报 文后， 获取其中目的服务器的标识信息如 MAC地址， 并向该第一报文的出口网关也即 对端的网关设备请求获得该目的服务器的 SGID等等。 步骤 202， 网关设备对源服务器的 SGID和目的服务器的 SGID进行互通校验。 网关设备在获得源服务器的 SGID和目的服务器的 SGID后， 根据互通规则进行互 通校验。该校验过程与前述实施例中网关设备对源服务器的 SGID和目的服务器的 SGID 进行互通校验的过程类似。 在上述互通校验通过后， 网关设备再执行上述步骤 103， 由网关设备在第一报文中 添加源服务器的 SGID， 获得第二报文。 若校验不通过， 则网关设备可以不执行后续动 作， 而直接丢弃第一报文， 终止源、 目的服务器之间的通信。 若互通校验通过， 网关设备执行上述步骤 103~104， 网关设备接收第二报文后可以 不再执行 SGID校验， 也可重复执行 SGID校验， 虽然因为在网关设备处理中已经执行 了 SGID的校验， 但是考虑到校验的严格以及临时的生成变更， 对端的网关设备可以重 复执行一次 SGID的校验动作。 本发明实施例对网络设备的改动很小， 易于实现。 而且， 在网关设备处增加校验过 程， 可以对禁止互通的服务器之间的报文直接进行处理， 如丢弃， 而无需传输至对端网 关设备后再进行处理， 因此， 本实施例方法相比较前述实施例方法可以减少禁止互通的 服务器间的报文对网络带宽的占用， 减少了网络带宽的额外消耗。 在本发明的另一实施例中，在网关设备根据本地存储的分组标识配置表获取所述源 服务器的服务器分组标识之前， 如图 3所示， 该方法还可以包括： 步骤 301， 网关设备对本地同一租户内的服务器进行分组。 步骤 302， 网关设备为所述分组分配标识， 生成分组标识配置表。 具体的， 各网关设备可以约定把同一租户内的服务器分为三类： 公共服务器、 团体 务器、 隔离服务器， 并约定互通规则， 该互通规则表明了哪些服务器之间可以通信， 些服务器之间不能通信。 如下面表格所示：
Figure imgf000013_0001
若基于本实现例中报文封装格式的定义， SGID可以占用 8个 bit， 共 256个取值。 公共服务器的 SGID为 0， 隔离服务器的 SGID为 255， 各自只占用一个 ID。 团体服务 器的 SGID取值为 1〜254， 占用 254个 ID。 BP : —个租户可以把自己的服务器分成一 组公共服务器、 一组隔离服务器、 多组团体服务器。 对于不支持服务器分组的 VNI或 VSID， SGID字段取值可以 0， 即允许所有服务器 互通。 如果 VNI或 VSID内某些服务器没有生成 SGID， 则这些服务器的 SGID取值也可 以为 0， 允许和其他所有服务器互通。 在上述实施例中， 网关设备在获得源服务器的 SGID和目的服务器的 SGID后， 根 据两 SGID及上表格中的互通规则进行互通校验， 例如， 若源服务器的 SGID为 0， 目 的服务器的 SGID为 0~255中任意值， 则源、 目的服务器之间可以互通； 若源服务器的 SGID为 1~254中任意值， 则当目的服务器为 0或与源服务器的 SGID值相同时， 源、 目的服务器之间可以互通， 否则禁止互通； 若源服务器的 SGID为 255时， 当目的服务 器至 0时， 源、 目的服务器之间可以互通， 否则禁止互通。 在具体实现时， 可以在网关设备的转发流程中添加对服务器分组的匹配校验机制。 SGID的匹配校验算法的逻辑判断如下：
IF (源 SGID == 0 || 宿 SGID == 0 ) /* 源宿存在公共服务器 */ 允许互通 ELSE IF (源 SGID == 255 || 宿 SGID == 255) /* 非公共服务器，并且存在隔离服务 器 */ 禁止互通
ELSE IF (源 SGID ==宿 SGID ) /* 源宿属于同一个团体服务器分组 */ 允许互通 ELSE /* 源宿都属于团体服务器分组， 但是不属于同一个分组 */ 禁止互通 在本发明的另一实施例中， 网关设备对本地同一租户内的服务器进行分组的方法可 以有以下几种： 方式一， 网关设备基于网关设备的端口对本地同一租户内的服务器进行分组。 如图 4所示为典型的 VXLAN/NVGRE的网络拓扑架构。 其中， Server 1 (虚拟化服 务器）和 Server 2(非虚拟化服务器）不支持 VXLAN/NVGRE,需要通过 VXLAN/NVGRE 网关设备 Switch (交换机） 1 接入到 VXLAN/NVGRE 网络中； Server 3〜5 支持 VXLAN/NVGRE, 服务器内部的 Hypervisor (；虚拟化平台）作为 VXLAN/NVGRE网关， 把服务器内的各个 VM (虚拟机） 接入到 VXLAN/NVGRE 网络中； 对于不支持 VXLAN/NVGRE的传统 ETH网络 （图中右上角的网络）， 也需要通过 Switch 1接入到 VXLAN/NVGRE网络中。 网关设备在基于网关设备的端口 （物理端口或虚拟端口）为本地同一租户内的服务 器分组时， Server 3〜5内的 VM， 禾 B Hypervisor通过 VIF (虚拟接口） 互联， 此时可以 基于 VIF来对各个 VM分组并分配 SGID。Server 2以物理服务器的形态直接接入 Switch 1， 可以基于该物理端口为 Server 2进行分组并分配 SGID。 方式二， 网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组。 基于服务器的 MAC地址来分组并分配 SGID， 适用于图 4所示拓扑图中所有的服 务器 （包括物理服务器、 虚拟机）。 方式三，网关设备基于服务器报文中携带的 CVLAN-ID ( Customer VLAN Identifier, 用户端虚拟局域网标识）为本地同一租户内的服务器进行分组，并分配服务器分组标识， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 该方式适用于接入 VXLAN/NVGRE 网络的用户报文携带 CVLAN, 并且 CVLAN 已经定义了服务器分组情况的场景。 比如， 对于拓扑图中的 ETH Network和 Server 1内 的各个终端， 如果在接入 VXLAN/NVGRE 网络之前已经部署了服务器分组， 并使用 CVLAN对各个服务器分组做了标识， 那么在 VXLAN/NVGRE网关上， 可以基于用户 报文携带的 CVLAN-ID来分配 SGID， 每个 CVLAN-ID分配一个 SGID。 网关设备为本地服务器分配的 SGID信息， 可以存储在转发表 （如： 端口表） 中， 以便报文转发处理的过程中， 可以获取该信息。 在本发明的另一实施例中， 网关设备在第一报文中添加源服务器的 SGID时， 可以 对现有技术中的报文格式进行扩展。 对于 VXLAN/NVGRE报文可以不用新增加字段， 而是直接利用标准 VXLAN/NVGRE报文中的预留字段或未定义明确用途的字段。 所述 网关设备在所述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文， 可以 包括： 对于 NVGRE报文中 GRE Hearder的格式， 如图 5所示， 在标准定义中， FlowID字 段属于可选字段， 只用来进一步标识每个 flow, 没有定义具体的使用要求， 可以借用该 字段， 来携带 SGID。 如果所述报文为使用通用路由封装技术实现二层网络虚拟化的协议报文，所述网关 设备在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分组标识， 获得所述第二报文。 如图 6所示， 也可以使用 ReservedO的后 8个 bit来携带 SGID。 对于 VXLAN报文中 VXLAN Header的格式， 如图 7所示， 可以借用最后的一个字 节 Reserved字段， 用来携带 SGID。 如果所述第一报文为虚拟可扩展局域网协议报文，所述网关设备在所述第一报文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标识， 获得所述第二报 文。 如图 8所示， 可以使用 VNI前面的 Reserved字段的第一个字节来携带 SGID。 SGID可以占用 8个 bit， 取值范围是 0〜255。 当然， 在具体实现时， 可以基于设备 能力、 分组规模等需求， 定义 SGID占用的 bit数， 本发明并不限定必须使用 8个 bit作 为 SGID。 参见图 9， 为本发明实施例另一种同一租户内服务器间的通信控制方法流程图。 本发明实施例与前述实施例的区别在于： 互通校验只在发送上述第二报文的网关设 备中进行， 而不在接收上述第二报文的网关设备中进行。 该方法可以包括： 步骤 901， 网关设备接收源服务器发送的报文。 步骤 902， 网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分 组标识， 并获取所述报文的目的服务器的服务器分组标识， 所述服务器分组标识用于表 明服务器所属的分组， 属于不同分组的服务器不能互通。 本步骤中， 网关设备可以在本地查找预先为源服务器生成的 SGID。 该网关设备获 得报文的目的服务器的 SGID具体可以与前述实施例中的步骤 201类似，此处不再赘述。 步骤 903， 网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验。 该检验过程具体可以与前述实施例中的校验过程类似。 步骤 904， 网关设备在上述互通校验通过后发送所述报文。 在互通校验通过后， 网关设备不在报文中添加源服务器的 SGID， 而直接按照现有 流程转发该报文。 由于该报文中没有添加源服务器的 SGID， 收到该报文的网关设备不 需要对该报文进行互通校验。 本发明实施例在接入网关设备处设置校验过程，可以对禁止互通的服务器之间的报 文直接进行处理， 如丢弃， 而无需传输至网关设备后再进行处理， 本实施例方法可以减 少禁止互通的服务器间的报文对网络带宽的占用， 减少了网络带宽的额外消耗。 在本发明的另一实施例中，在所述网关设备根据本地存储的分组标识配置表获取所 述源服务器的服务器分组标识之前， 所述方法还包括： 所述网关设备对本地同一租户内的服务器进行分组； 所述网关设备为所述分组分配标识， 生成所述分组标识配置表。 网关设备对本地同一租户内的服务器进行分组包括： 网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或者， 基 于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基于服务器报文中 携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 参见图 10， 为本发明实施例另一种同一租户内服务器间的通信控制方法流程图。 本发明实施例与图 1所示实施例的区别在于，本实施例以对端网关设备也即接收第 二报文的网关设备作为执行主体进行描述。 该方法可以包括： 步骤, 1001， 网关设备接收报文。 该网关设备接收网络侧发送的报文， 具体可以是其他网关设备转发的报文。 步骤 1002，网关设备确定所述报文中是否携带所述报文的源服务器的服务器分组标 识。 如果报文中携带了源服务器的 SGID， 则网关设备执行步骤 1003， 否则就直接转发 该报文。 步骤 1003， 网关设备获取所述报文中的所述源服务器的服务器分组标识，并根据本 地存储的分组标识配置表获取所述报文的目的服务器的服务器分组标识，所述服务器分 组标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通。 该网关设备获取报文中的源服务器的 SGID， 并进一步在分组标识配置表中查找获 得该报文的目的服务器的 SGID。 步骤 1004，网关设备对源服务器的服务器分组标识和目的服务器的服务器分组标识 进行互通校验。 该互通校验过程与前述实施例的步骤 202中网关设备对源服务器的服务器分组标识 和目的服务器的服务器分组标识进行互通校验的过程类似， 此处不再赘述。 步骤 1005， 网关设备在上述互通校验通过后向目的服务器发送该报文。 在互通校验通过后， 网关设备按照现有流程向目的服务器转发该报文。 本发明实施例通过网关设备生成各服务器的 SGID， 然后在服务器间进行通信时通 过对服务器的 SGID进行互通检验， 并根据校验结果决定是否允许服务器间的互通， 实 现了同一个 VNI或 VSID内的服务器间的互通或隔离控制。 在本发明的另一实施例中，在所述网关设备根据本地存储的分组标识配置表获取所 述报文的目的服务器的服务器分组标识之前， 所述方法还包括： 网关设备对本地同一租户内的服务器进行分组； 网关设备为所述分组分配标识， 生成所述分组标识配置表。 网关设备对本地同一租户内的服务器进行分组， 包括： 网关设备基于所述网关设备的端口为对本地同一租户内的服务器进行分组； 或者， 基于服务器的 MAC地址为对本地同一租户内的服务器进行分组； 或者， 基于服务器报 文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 本发明实施例中， 该服务器可以是物理服务器也可以是虚拟机等， 本发明方法可以 应用于 VXLAN/NVGRE的网络架构。 以上是对本发明方法实施例的描述， 下面对实现上述方法的装置进行介绍。 参见图 11， 为本发明实施例一种网关设备的结构示意图。 该网关设备 1100可以包括： 接收单元 1101， 用于接收源服务器发送的第一报文。 存储单元 1102， 用于存储分组标识配置表。 第一获取单元 1103， 用于根据所述存储单元 1102存储的分组标识配置表获取所述 源服务器的服务器分组标识， 所述服务器分组标识用于表明服务器所属的分组， 属于不 同分组的服务器不能互通。 报文生成单元 1104， 用于在所述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文。 发送单元 1105， 用于发送所述第二报文。 另一网关设备在接收到所述第二报文后， 获取所述第二报文的目的服务器的服务器 分组标识， 并对所述第二报文中所述源服务器的服务器分组标识和所述目的服务器的服 务器分组标识进行互通校验， 在校验通过后再向所述目的服务器转发所述第二报文。 本发明实施例中该网关设备通过上述单元生成各服务器的 SGID， 并将服务器的
SGID添加至报文中， 以便于在服务器间进行通信时通过对服务器的 SGID进行互通检 验， 并根据校验结果决定是否允许服务器间的互通， 实现了同一个 VNI或 VSID内的 服务器间的互通或隔离控制。 在本发明的另一实施例中， 如图 12所示， 该网关设备 1200还可以包括： 第二获取单元 1201， 用于在报文生成单元 1104在所述第一报文中添加所述源服务 器的服务器分组标识， 获得第二报文之前， 获得所述第一报文的目的服务器的服务器分 组标识； 校验单元 1202，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验， 在校验通过后再由所述报文生成单元 1104在所述第一报文中 添加所述源服务器的服务器分组标识， 获得第二报文。 在本发明的另一实施例中， 该网关设备也还可以包括： 分组单元，用于在所述第一获取单元根据所述存储单元存储的分组标识配置表获取 所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 该分组单元， 具体用于基于所述网关设备的端口为对本地同一租户内的服务器进行 分组； 或者， 基于服务器的 MAC地址为对本地同一租户内的服务器进行分组； 或者， 基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务 器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 在本发明的另一实施例中， 报文生成单元， 具体可以用于对于虚拟可扩展局域网协 议，在所述第一报文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标 识； 对于使用通用路由封装技术实现二层网络虚拟化的协议， 在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分组标识。 参见图 13， 为本发明实施例另一种网关设备的结构示意图。 该网关设备 1300可以包括： 接收单元 1301， 用于接收源服务器发送的报文。 存储单元 1302， 用于存储分组标识配置表。 标识获取单元 1303， 用于根据所述存储单元 1302存储的分组标识配置表获取所述 源服务器的服务器分组标识， 并获得所述报文的目的服务器的服务器分组标识， 所述服 务器分组标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通。 校验单元 1304，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验。 发送单元 1305， 用于在互通校验通过后发送所述报文。 本发明实施例中该网关设备通过上述单元在接收到用户侧报文时设置校验过程，可 以对禁止互通的服务器之间的报文直接进行处理， 如丢弃， 而无需传输至对端网关设备 后再进行处理， 本实施例可以减少禁止互通的服务器间的报文对网络带宽的占用， 减少 了网络带宽的额外消耗。 在本发明的另一实施例中， 该网关设备还可以进一步还包括： 分组单元，用于在所述标识获取单元根据所述存储单元存储的分组标识配置表获取 所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 所述分组单元， 具体用于基于所述网关设备的端口对本地同一租户内的服务器进行 分组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基 于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器 进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 参见图 14， 为本发明实施例另一种网关设备的结构示意图。 该网关设备 1400可以包括： 存储单元 1401， 用于存储分组标识配置表。 接收单元 1402， 用于接收报文。 确定单元 1403，用于确定所述报文中是否携带所述报文的源服务器的服务器分组标 识，所述服务器分组标识用于表明服务器所属的分组，属于不同分组的服务器不能互通。 标识获取单元 1404， 用于当所述确定单元 1403确定所述报文中携带所述报文的源 服务器的服务器分组标识时， 获取所述报文中的所述源服务器的服务器分组标识， 并根 据所述存储单元 1401存储的分组标识配置表获取所述报文的目的服务器的服务器分组 标识。 校验单元 1405，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器 分组标识进行互通校验。 发送单元 1406， 用于在上述互通校验通过后向所述目的服务器发送所述报文。 本发明实施例中该网关设备通过上述单元生成各服务器的 SGID， 在服务器间进行 通信时通过对服务器的 SGID进行互通检验， 并根据校验结果决定是否允许服务器间的 互通， 实现了同一个 VNI或 VSID内的服务器间的互通或隔离控制。 在本发明的另一实施例中， 该网关设备还可以包括： 分组单元，用于在所述标识获取单元根据所述存储单元存储的分组标识配置表获取 所述报文的目的服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。 所述分组单元， 具体用于基于所述网关设备的端口对本地同一租户内的服务器进行 分组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基 于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器 进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。 在本发明的另一网关设备中， 还可以同时包含图 11 (或图 13 ) 所示的各单元以及 图 14中所示的接收单元 1402、 确定单元 1403、 标识获取单元 1404、 校验单元 1405、 发送单元 1406。 本发明实施例还提供了另一种网关设备。 该网关设备可以包括收发装置、 存储器和 处理器。 所述收发装置， 用于接收源服务器发送的第一报文； 发送第二报文。 所述存储器用于存储一段程序， 所述处理器用于读取所述存储器中的程序， 执行以 下步骤： 根据本地存储的分组标识配置表获取所述源服务器的服务器分组标识，所述服务器 分组标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通； 在所述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文， 将所述第 二报文发送给所述收发装置。 本发明实施例还提供了另一种网关设备。 该网关设备可以包括收发装置、 存储器和 处理器， 所述收发装置， 用于接收源服务器发送的报文； 在互通校验通过后发送所述报文； 所述存储器用于存储一段程序， 所述处理器用于读取所述存储器中的程序， 执行以 下步骤： 根据本地存储的分组标识配置表获取所述源服务器的服务器分组标识， 并获取所述 报文的目的服务器的服务器分组标识， 所述服务器分组标识用于表明服务器所属的分 组， 属于不同分组的服务器不能互通； 对所述源服务器的服务器分组标识和所述目的服务器的服务器分组标识进行互通 校验， 并在互通校验通过后将所述报文发送给所述收发装置。 本发明实施例还提供了另一种网关设备。 该网关设备可以包括收发装置、 存储器和 处理器， 所述收发装置， 用于接收源服务器发送的报文； 在互通校验通过后向目的服务器发 送所述报文； 所述存储器用于存储一段程序， 所述处理器用于读取所述存储器中的程序， 执行以 下步骤： 确定所述报文中是否携带所述报文的源服务器的服务器分组标识，所述服务器分组 标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通； 当所述报文中携带所述报文的源服务器的服务器分组标识时， 获取所述报文中的所 述源服务器的服务器分组标识， 并根据本地存储的分组标识配置表获取所述报文的目的 服务器的服务器分组标识； 对所述源服务器的服务器分组标识和所述目的服务器的服务器分组标识进行互通 校验， 并在互通校验通过后向所述收发装置发送所述报文。 本领域普通技术人员可以意识到， 结合本文中所公开的实施例描述的各示例的单元 及算法步骤， 能够以电子硬件、 或者计算机软件和电子硬件的结合来实现。 这些功 能究竟以硬件还是软件方式来执行， 取决于技术方案的特定应用和设计约束条件。 专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能， 但是这 种实现不应认为超出本发明的范围。 所属领域的技术人员可以清楚地了解到， 为描述的方便和简洁， 上述描述的系 统、 装置和单元的具体工作过程， 可以参考前述方法实施例中的对应过程， 在此不 再赘述。 在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统、 装置和方法， 可以通过其它的方式实现。例如， 以上所描述的装置实施例仅仅是示意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可以有另外的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是 通过一些接口， 装置或单元的间接耦合或通信连接， 可以是电性， 机械或其它的形 式。 所述作为分离部件说明的单元可以是或者也可以不是物理上分开的， 作为单元 显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分 布到多个网络单元上。 可以根据实际的需要选择其中的部分或者全部单元来实现本 实施例方案的目的。 另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元中， 也可 以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一个单元中。 所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时， 可 以存储在一个计算机可读取存储介质中。 基于这样的理解， 本发明的技术方案本质 上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形 式体现出来， 该计算机软件产品存储在一个存储介质中， 包括若干指令用以使得一 台计算机设备（可以是个人计算机，服务器，或者网络设备等）或处理器（processor) 执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括： U盘、 移动硬盘、只读存储器（ROM， Read-Only Memory ) 随机存取存储器（RAM， Random Access Memory) , 磁碟或者光盘等各种可以存储程序代码的介质。 以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并不局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想到变化或替 换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围应所述以权利要 求的保护范围为准。

Claims

权利要求
1、 一种同一租户内服务器间的通信控制方法， 其特征在于， 所述方法包括： 网关设备接收源服务器发送的第一报文；
所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分组标 识；所述服务器分组标识用于表明服务器所属的分组，属于不同分组的服务器不能互通; 所述网关设备在所述第一报文中添加所述源服务器的服务器分组标识，获得第二报 文；
所述网关设备发送所述第二报文。
2、 根据权利要求 1所述的方法， 其特征在于， 在所述网关设备在所述第一报文中 添加所述源服务器的服务器分组标识， 获得第二报文之前， 还包括：
所述网关设备获取所述第一报文的目的服务器的服务器分组标识；
所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验，在校验通过后所述网关设备在所述第一报文中添加所述源服务器的 服务器分组标识， 获得所述第二报文。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 在所述网关设备根据本地存储 的分组标识配置表获取所述源服务器的服务器分组标识之前， 所述方法还包括：
所述网关设备对本地同一租户内的服务器进行分组；
所述网关设备为所述分组分配标识， 生成所述分组标识配置表。
4、 根据权利要求 3所述的方法， 其特征在于， 所述网关设备对本地同一租户内的 服务器进行分组包括：
所述网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或 者，
所述网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组;或者， 所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID 为对本 地同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
5、 根据权利要求 1至 4中任意一项所述的方法， 其特征在于， 所述网关设备在所 述第一报文中添加所述源服务器的服务器分组标识， 获得第二报文， 包括：
如果所述第一报文为虚拟可扩展局域网协议报文，所述网关设备在所述第一报文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标识， 获得所述第二报 文； 或，
如果所述报文为使用通用路由封装技术实现二层网络虚拟化的协议报文，所述网关 设备在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分组标识， 获得所述第二报文。
6、 一种同一租户内服务器间的通信控制方法， 其特征在于， 所述方法包括： 所述网关设备接收源服务器发送的报文；
所述网关设备根据本地存储的分组标识配置表获取所述源服务器的服务器分组标 识， 并获取所述报文的目的服务器的服务器分组标识， 所述服务器分组标识用于表明服 务器所属的分组， 属于不同分组的服务器不能互通；
所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验；
所述网关设备在所述互通校验通过后发送所述报文。
7、 根据权利要求 6所述的方法， 其特征在于， 在所述网关设备根据本地存储的分 组标识配置表获取所述源服务器的服务器分组标识之前， 所述方法还包括：
所述网关设备对本地同一租户内的服务器进行分组；
所述网关设备为所述分组分配标识， 生成所述分组标识配置表。
8、 根据权利要求 7所述的方法， 其特征在于， 所述网关设备对本地同一租户内的 服务器进行分组包括：
所述网关设备基于所述网关设备的端口对本地同一租户内的服务器进行分组； 或 者，
所述网关设备基于服务器的 MAC地址对本地同一租户内的服务器进行分组;或者， 所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地 同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
9、 一种同一租户内服务器间的通信控制方法， 其特征在于， 所述方法包括： 网关设备接收报文；
所述网关设备确定所述报文中是否携带所述报文的源服务器的服务器分组标识； 当所述报文中携带所述报文的源服务器的服务器分组标识时，所述网关设备获取所 述报文中的所述源服务器的服务器分组标识， 并根据本地存储的分组标识配置表获取所 述报文的目的服务器的服务器分组标识，所述服务器分组标识用于表明服务器所属的分 组， 属于不同分组的服务器不能互通； 所述网关设备对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验；
所述网关设备在所述互通校验通过后向所述目的服务器发送所述报文。
10、 根据权利要求 9所述的方法， 其特征在于， 在所述网关设备根据本地存储的分 组标识配置表获取所述报文的目的服务器的服务器分组标识之前， 所述方法还包括： 所述网关设备对本地同一租户内的服务器进行分组；
所述网关设备为所述分组分配标识， 生成所述分组标识配置表。
11、 根据权利要求 10所述的方法， 其特征在于， 所述网关设备对本地同一租户内 的服务器进行分组， 包括：
所述网关设备基于所述网关设备的端口为对本地同一租户内的服务器进行分组；或 者，
所述网关设备基于服务器的 MAC地址为对本地同一租户内的服务器进行分组； 或 者，
所述网关设备基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地 同一租户内的服务器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
12、 一种网关设备， 其特征在于， 包括：
接收单元， 用于接收源服务器发送的第一报文；
存储单元， 用于存储分组标识配置表；
第一获取单元，用于根据所述存储单元存储的分组标识配置表获取所述源服务器的 服务器分组标识， 所述服务器分组标识用于表明服务器所属的分组， 属于不同分组的服 务器不能互通；
报文生成单元， 用于在所述第一报文中添加所述源服务器的服务器分组标识， 获得 第二报文；
发送单元， 用于发送所述第二报文。
13、 根据权利要求 12所述的网关设备， 其特征在于， 还包括：
第二获取单元，用于在所述报文生成单元在所述第一报文中添加所述源服务器的服 务器分组标识，获得第二报文之前，获得所述第一报文的目的服务器的服务器分组标识; 校验单元，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验，在校验通过后再由所述报文生成单元在所述第一报文中添加所述源 服务器的服务器分组标识， 获得第二报文。
14、 根据权利要求 12或 13所述的网关设备， 其特征在于， 还包括： 分组单元，用于在所述第一获取单元根据所述存储单元存储的分组标识配置表获取 所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组；
标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。
15、 根据权利要求 14所述的网关设备， 其特征在于，
所述分组单元，具体用于基于所述网关设备的端口为对本地同一租户内的服务器进 行分组； 或者， 基于服务器的 MAC地址为对本地同一租户内的服务器进行分组； 或者， 基于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务 器进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
16、 根据权利要求 12至 15中任意一项所述的网关设备， 其特征在于，
所述报文生成单元， 具体用于当所述第一报文为虚拟可扩展局域网协议报文时， 在 所述第一报文的 Reserved字段的第一个字节中添加所述源服务器的服务器分组标识，获 得所述第二报文； 或， 当所述第一报文为使用通用路由封装技术实现二层网络虚拟化的 协议报文时，在所述第一报文的 ReservedO的后 8个 bit中添加所述源服务器的服务器分 组标识， 获得所述第二报文。
17、 一种网关设备， 其特征在于， 包括：
接收单元， 用于接收源服务器发送的报文；
存储单元， 用于存储分组标识配置表；
标识获取单元，用于根据所述存储单元存储的分组标识配置表获取所述源服务器的 服务器分组标识， 并获取所述报文的目的服务器的服务器分组标识， 所述服务器分组标 识用于表明服务器所属的分组， 属于不同分组的服务器不能互通；
校验单元，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验；
发送单元， 用于在互通校验通过后发送所述报文。
18、 根据权利要求 17所述的网关设备， 其特征在于， 还包括：
分组单元，用于在所述标识获取单元根据所述存储单元存储的分组标识配置表获取 所述源服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组；
标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。
19、 根据权利要求 18所述的网关设备， 其特征在于，
所述分组单元，具体用于基于所述网关设备的端口对本地同一租户内的服务器进行 分组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基 于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器 进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
20、 一种网关设备， 其特征在于， 包括：
存储单元， 用于存储分组标识配置表；
接收单元， 用于接收报文；
确定单元， 用于确定所述报文中是否携带所述报文的源服务器的服务器分组标识， 所述服务器分组标识用于表明服务器所属的分组， 属于不同分组的服务器不能互通； 标识获取单元，用于当所述确定单元确定所述报文中携带所述报文的源服务器的服 务器分组标识时， 获取所述报文中的所述源服务器的服务器分组标识， 并根据所述存储 单元存储的分组标识配置表获取所述报文的目的服务器的服务器分组标识；
校验单元，用于对所述源服务器的服务器分组标识和所述目的服务器的服务器分组 标识进行互通校验；
发送单元， 用于在所述互通校验通过后向所述目的服务器发送所述报文。
21、 根据权利要求 20所述的网关设备， 其特征在于， 还包括：
分组单元，用于在所述标识获取单元根据所述存储单元存储的分组标识配置表获取 所述报文的目的服务器的服务器分组标识之前， 对本地同一租户内的服务器进行分组； 标识生成单元， 用于为所述分组分配标识， 生成所述分组标识配置表。
22、 根据权利要求 21所述的网关设备， 其特征在于，
所述分组单元，具体用于基于所述网关设备的端口对本地同一租户内的服务器进行 分组； 或者， 基于服务器的 MAC地址对本地同一租户内的服务器进行分组； 或者， 基 于服务器报文中携带的用户端虚拟局域网标识 CVLAN-ID对本地同一租户内的服务器 进行分组， 其中， 不同的服务器分组具有不同的 CVLAN-ID。
PCT/CN2013/085322 2013-03-04 2013-10-16 同一租户内服务器间的通信控制方法及网络设备 WO2014134919A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310067761.4A CN103118149B (zh) 2013-03-04 2013-03-04 同一租户内服务器间的通信控制方法及网络设备
CN201310067761.4 2013-03-04

Publications (1)

Publication Number Publication Date
WO2014134919A1 true WO2014134919A1 (zh) 2014-09-12

Family

ID=48416419

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/085322 WO2014134919A1 (zh) 2013-03-04 2013-10-16 同一租户内服务器间的通信控制方法及网络设备

Country Status (2)

Country Link
CN (1) CN103118149B (zh)
WO (1) WO2014134919A1 (zh)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103118149B (zh) * 2013-03-04 2016-06-29 华为技术有限公司 同一租户内服务器间的通信控制方法及网络设备
CN103973673B (zh) * 2014-04-09 2017-11-03 汉柏科技有限公司 划分虚拟防火墙的方法和设备
CN105099953B (zh) * 2014-04-28 2018-06-19 华为技术有限公司 云数据中心虚拟网络的隔离方法与装置
EP2966815A4 (en) * 2014-05-29 2016-04-13 Huawei Tech Co Ltd PACKET PROCESSING AND VXLAN GATEWAY
CN105490995B (zh) * 2014-09-30 2018-04-20 国际商业机器公司 一种在nvo3网络中nve转发报文的方法和设备
CN107479964A (zh) * 2016-06-08 2017-12-15 成都赫尔墨斯科技股份有限公司 一种云渲染系统
CN107872335B (zh) * 2016-09-26 2020-12-18 中国电信股份有限公司 安全服务方法和系统以及安全资源单元
CN106850434B (zh) * 2017-03-31 2020-08-25 联想(北京)有限公司 一种vxlan的传输控制方法、系统及处理设备
CN110650075B (zh) * 2018-06-26 2022-02-18 华为技术有限公司 基于vxlan的组策略实现方法、网络设备和组策略实现系统
CN110535744B (zh) * 2019-08-29 2021-12-24 新华三信息安全技术有限公司 报文处理方法、装置及Leaf设备
CN113949848B (zh) * 2021-10-18 2023-06-27 重庆紫光华山智安科技有限公司 数据传输方法、装置、设备及介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080092223A1 (en) * 2006-10-16 2008-04-17 Aruba Wireless Networks Per-user firewall
CN101222497A (zh) * 2007-01-11 2008-07-16 国际商业机器公司 用于配置对网络的客户接入的系统和方法
CN102420762A (zh) * 2011-12-05 2012-04-18 北京星网锐捷网络技术有限公司 报文转发方法、系统、网络设备和防火墙线卡
CN103118149A (zh) * 2013-03-04 2013-05-22 华为技术有限公司 同一租户内服务器间的通信控制方法及网络设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102801729B (zh) * 2012-08-13 2015-06-17 福建星网锐捷网络有限公司 虚拟机报文转发方法、网络交换设备及通信系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080092223A1 (en) * 2006-10-16 2008-04-17 Aruba Wireless Networks Per-user firewall
CN101222497A (zh) * 2007-01-11 2008-07-16 国际商业机器公司 用于配置对网络的客户接入的系统和方法
CN102420762A (zh) * 2011-12-05 2012-04-18 北京星网锐捷网络技术有限公司 报文转发方法、系统、网络设备和防火墙线卡
CN103118149A (zh) * 2013-03-04 2013-05-22 华为技术有限公司 同一租户内服务器间的通信控制方法及网络设备

Also Published As

Publication number Publication date
CN103118149A (zh) 2013-05-22
CN103118149B (zh) 2016-06-29

Similar Documents

Publication Publication Date Title
WO2014134919A1 (zh) 同一租户内服务器间的通信控制方法及网络设备
US20220191064A1 (en) Method for sending virtual extensible local area network packet, computer device, and computer readable medium
US9825900B2 (en) Overlay tunnel information exchange protocol
US10193707B2 (en) Packet transmission method and apparatus
US9729578B2 (en) Method and system for implementing a network policy using a VXLAN network identifier
US10205657B2 (en) Packet forwarding in data center network
US9385950B2 (en) Configurable service proxy local identifier mapping
US8718071B2 (en) Method to pass virtual local area network information in virtual station interface discovery and configuration protocol
WO2021135471A1 (zh) 数据传输方法、装置、网卡及存储介质
WO2018028606A1 (zh) 转发策略配置
WO2014154040A1 (zh) 访问控制方法及设备、系统
KR102388195B1 (ko) Bras 시스템 기반 메시지 패키징 방법 및 장치
WO2015149253A1 (zh) 数据中心的虚拟网络管理方法及数据中心系统
EP2866390A1 (en) Communication method and system
US20150103692A1 (en) Host Traffic Driven Network Orchestration within Data Center Fabric
WO2014067280A1 (zh) 组播处理方法、装置及系统
WO2013173973A1 (zh) 网络通信方法和装置
WO2014079005A1 (zh) Mac地址强制转发装置及方法
WO2015014187A1 (zh) 一种支持多租户的数据转发方法和装置
US10432628B2 (en) Method for improving access control for TCP connections while optimizing hardware resources
WO2017071328A1 (zh) 一种负载分担方法以及相关装置
WO2021218886A1 (zh) Vxlan接入认证方法以及vtep设备
WO2014094420A1 (zh) 一种报文的处理方法和装置
WO2020019958A1 (zh) Vxlan报文封装及策略执行方法、设备、系统
WO2022063170A1 (zh) 一种公有云的网络配置方法及相关设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13876926

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13876926

Country of ref document: EP

Kind code of ref document: A1