CN103841026B - 一种路由器ip协议栈的vpn路由管理系统及方法 - Google Patents

Abstract

一种路由器IP协议栈的VPN路由管理系统及方法，涉及数据通信技术领域，包括控制平面和转发平面，所述控制平面包括路由管理模块和IP协议栈，所述转发平面包括VPN转发表，所述转发平面还包括包解析器和转发器，所述包解析器用于处理控制平面和转发平面中打上接口的标记的报文，所述标记包含接口类型和VPN索引值，所述转发器用于根据VPN索引值查找该VPN对应的VPN转发表，得到VPN对应的路由集合，根据所述报文的目的IP地址查找并选择正确路由；本发明防止控制平面相关业务的中断，降低控制平面的工作负荷、减少控制平面的复杂度。

Description

一种路由器IP协议栈的VPN路由管理系统及方法

技术领域

本发明涉及数据通信技术领域，具体来讲是一种路由器IP协议栈的VPN路由管理系统及方法。

背景技术

随着网络技术的高速发展，VPN（Virtual Private Network虚拟专用网）技术在现代电信网络中运用的越来越广泛，其中尤其以MPLS（Multi-Protocol Label Switching多协议标签交换）VPN技术为业界所重视，成为VPN应用中的主流技术。在MPLS L3（Layer3，3层）VPN中，使用VRF（Virtual Routing and Forwarding虚拟路由与转发）表进行VPN路由的实例化，将不同VPN的路由完全隔离开。

现代路由器结构主要分为控制平面和转发平面两大部分。控制平面指系统中用来传送指令、计算表项的部分；诸如协议报文转发、协议表项计算、维护等都属于控制平面的范畴。转发平面指系统中用来进行数据报文的封装、转发的部分；诸如数据报文的接收、解封装、封装、转发等都属于转发平面的范畴。控制平面将计算好的路由下发给转发平面，转发平面根据路由进行数据报文的转发。大部分的业务直接由转发平面进行路由，但是仍有些业务需要在控制平面进行路由，比如MPLS Ping、Trace等OAM（OperationAdministration and Maintenance，操作管理维护）功能。

在传统路由器控制平面IP协议栈的VPN路由管理方法的实现中，IP协议栈需要实现带MPLS标签报文的转发功能。为了实现上述转发功能，就要求控制平面的路由管理模块将VRF以及LSP（Label Switched Path，标签交换路径）的FTN（FEC to NHLFE map，在Ingress节点将转发等价类FEC映射到NHLFE的过程）表，ILM（Incoming Label Map，入标签映射）表下发IP协议栈。应用程序将VPN中的数据报文交给IP协议栈的时候，IP协议栈根据FTN决定报文的操作。

如图1所示BGP/MPLS VPN网络结构中，CE（Customer Edge，用户网络边缘设备）、PE（Provider Edge，服务提供商边缘设备）和P（Provider，服务提供商骨干路由器）相连接，组建了一张MPLS交换网。PE1设备上控制平面应用程序在VPN-1里面发起一个ping，目的为PE2的接口（接口3）的IP地址。IP协议栈需要给报文打上VPN-1的标签、LSP的标签，然后封装二层头部，将报文交给转发平面，转发平面直接将报文从网络侧接口（接口5）发送出去。如果存在路由的保护配置，比如VPN FRR（Fast ReRoute快速重路由），并且发生保护倒换时，转发平面可以立即执行倒换，但是控制平面并不能立即感知或者根本无法感知，因此可能存在控制平面和转发平面路由不一致的情况，造成控制平面相关业务的中断。而此时，维护人员会误以为VPN已经发生故障，实际上只是发生了VPN FRR。在这种传统的VPN路由管理方法中，控制平面IP协议栈需要获取所有的VRF信息以及LSP信息，并且在发生了FRR的时候，控制平面还需要能够得到数据平面及时的通知，以便更新。这样就提高了系统的复杂性，加重了控制平面的负担，并且要求IP协议栈支持MPLS转发功能。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种路由器IP协议栈的VPN路由管理系统及方法，防止控制平面相关业务的中断，降低控制平面的工作负荷、减少控制平面的复杂度。

为达到以上目的，本发明提供一种路由器IP协议栈的VPN路由管理系统，包括控制平面和转发平面，所述控制平面包括路由管理模块和IP协议栈，所述转发平面包括VPN转发表，所述转发平面还包括包解析器和转发器，所述包解析器用于处理控制平面和转发平面中打上接口的标记的报文，所述标记包含接口类型和VPN索引值，所述转发器用于根据VPN索引值查找该VPN对应的VPN转发表，得到VPN对应的路由集合，根据所述报文的目的IP地址查找并选择正确路由。

本发明还提供一种所述系统的路由器IP协议栈的VPN路由管理方法：S1.控制平面通过IP协议栈建立一个接口，并创建一条默认路由，所述默认路由的出接口指向所述接口；S2.控制平面和转发平面的数据打上所述接口的标记，该标记包括接口类型和VPN索引值；S3.转发平面处理并确认所述报文是所述接口发送的，根据VPN索引值选择相应的VPN转发表，结合报文的目的IP地址进行路由转发。

在上述技术方案的基础上，所述控制平面的路由管理模块创建VPN时，向IP协议栈发送VPN创建消息，创建一个VRF表，同时创建所述接口。

在上述技术方案的基础上，所述IP协议栈建立所述接口，并且关闭该接口的ARP能力。

在上述技术方案的基础上，所述S2中，控制平面建立的所述接口在发送报文时打上所述标记，并且类型字段为接口类型，VPN索引值作为该VPN ID。

在上述技术方案的基础上，所述S3中，转发平面根据所述标记中类型字段判断所述报文是否为所述接口发送的，若类型字段中为接口类型，则为所述接口发送。

在上述技术方案的基础上，所述S3中，转发时，转发平面要重新填充报文的目的MAC地址和源MAC地址，目的MAC地址填充为路由出接口的下一跳MAC地址，源MAC地址填为出接口的MAC地址。

本发明的有益效果在于：通过路由器IP协议栈的VPN路由管理系统及方法，将原来由控制平面执行的VPN路由工作转移给转发平面执行，能够降低控制平面的工作负荷、减少控制平面的复杂度、充分发挥转发平面强大的数据处理能力；并且能够在转发平面发生主备路径切换，如VPN FRR时，控制平面不用感知FRR的发生，继而控制平面上的VPN业务也不发生中断，解决控制平面和转发平面VPN路由不一致的问题。

附图说明

图1为本发明现有技术中的网络结构示意图；

图2为本发明路由器IP协议栈的VPN路由管理系统示意图；

图3为本发明路由器IP协议栈的VPN路由管理方法流程图。

具体实施方式

以下结合附图和具体实施例对本发明作进一步详细说明。

如图2所示，本发明路由器IP协议栈的VPN路由管理系统，包括控制平面和转发平面，所述控制平面包括路由管理模块和IP协议栈，所述转发平面包括VPN转发表、包解析器和转发器，所述包解析器用于处理控制平面和转发平面中打上接口的标记的报文，所述标记包含接口类型和VPN索引值，所述转发器用于根据VPN索引值查找该VPN对应的VPN转发表，得到VPN对应的路由范围，根据所述报文的目的IP地址在路由范围中查找，选择正确路由。

如图3所示，本发明路由器IP协议栈的VPN路由管理方法，详细包括如下步骤：

S1.所述控制平面的路由管理模块创建VPN时，向IP协议栈发送VPN创建消息，创建一个VRF表。IP协议栈在创建VRF表的同时，创建一个接口（接口名称为Vrf Tunnel，以下简称为Vrf Tunnel接口），关闭该接口的ARP能力，并创建一条默认路由，所述默认路由的出接口指向所述Vrf Tunnel接口。

S2.如表1所示，控制平面和转发平面的数据打上一层Vrf Tunnel接口的标记，该标记包括两个有效属性，即接口类型和VPN索引值。Vrf Tunnel接口在发送报文时打上该标记，并且类型字段为接口类型，VPN索引值作为该VPN ID。

表1

S3.转发平面根据所述标记中类型字段，判断所述报文是否为Vrf Tunnel接口发送的，若类型字段不为所述接口类型，则走常规转发流程，直接查找路由表进行转发。若类型字段为所述接口类型，则视为所述Vrf Tunnel接口发送，然后根据VPN索引值查找对应的VPN转发表，在得到的路由范围中，根据报文的目的IP地址选择对应的路由，进行路由转发。转发时，转发平面需要重新填充报文的目的MAC（Media Access Control，介质访问控制）地址和源MAC地址，目的MAC地址填充为路由出接口的下一跳MAC地址，源MAC地址填为出接口的MAC地址。

以图1所示网络结构为例，假定PE1与PE2建立了VPN-1和VPN-2，CE1、CE3属于VPN-1，CE2、CE4属于VPN-2。

首先，PE1控制平面的路由管理模块下发IP协议栈VPN路由表创建消息，IP协议栈创建VPN路由表，并且创建一个vrf tunnel接口，同时生成一条默认路由，该默认路由的出接口指向该vrf tunnel接口。同理，PE2以相同的方式完成配置。

然后，PE1控制平面上要发起一个VPN-1的ping，目的为CE3，ping报文从应用程序交给IP协议栈，IP协议栈查找VPN-1对应的VPN路由表，匹配到之前配置的默认路由，根据该路由转发报文，报文从Vrf Tunnel接口转发，同时打上标记，包含Vrf Tunnel接口的接口类型和VPN索引值。

报文传递到转发平面，转发平面的解析器分析报文的标记，解析出接口类型和VPN索引值，一旦判断出类型字段为Vrf Tunnel接口的接口类型，由转发器根据VPN索引值查找该VPN对应的VPN转发表，然后根据目的IP地址查找该VPN转发表，选择正确的路由，将该报文传输到网络中去。

本发明不局限于上述实施方式，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围之内。本说明书中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims (7)

1.一种路由器IP协议栈的VPN路由管理系统，包括控制平面和转发平面，所述控制平面包括路由管理模块和IP协议栈，所述转发平面包括VPN转发表，其特征在于：所述转发平面还包括包解析器和转发器，所述包解析器用于处理控制平面和转发平面中打上接口的标记的报文，所述标记包含接口类型和VPN索引值，所述转发器用于根据VPN索引值查找该VPN对应的VPN转发表，得到VPN对应的路由集合，根据所述报文的目的IP地址查找并选择正确路由；

进行VPN路由管理时，控制平面通过IP协议栈建立一个接口，并创建一条默认路由，所述默认路由的出接口指向所述接口；控制平面和转发平面的数据打上所述接口的标记，该标记包括接口类型和VPN索引值；转发平面处理并确认所述报文是所述接口发送的，根据VPN索引值选择相应的VPN转发表，结合报文的目的IP地址进行路由转发。

2.一种基于权利要求1所述系统的路由器IP协议栈的VPN路由管理方法，其特征在于：

S1.控制平面通过IP协议栈建立一个接口，并创建一条默认路由，所述默认路由的出接口指向所述接口；

S2.控制平面和转发平面的数据打上所述接口的标记，该标记包括接口类型和VPN索引值；

S3.转发平面处理并确认所述报文是所述接口发送的，根据VPN索引值选择相应的VPN转发表，结合报文的目的IP地址进行路由转发。

3.一种基于权利要求2所述的路由器IP协议栈的VPN路由管理方法，其特征在于：所述控制平面的路由管理模块创建VPN时，向IP协议栈发送VPN创建消息，创建一个VRF表，同时创建所述接口。

4.一种基于权利要求2或3所述的路由器IP协议栈的VPN路由管理方法，其特征在于：所述IP协议栈建立所述接口，并且关闭该接口的ARP能力。

5.一种基于权利要求2所述的路由器IP协议栈的VPN路由管理方法，其特征在于：所述S2中，控制平面建立的所述接口在发送报文时打上所述标记，并且类型字段为接口类型，VPN索引值作为该VPN ID。

6.一种基于权利要求2所述的路由器IP协议栈的VPN路由管理方法，其特征在于：所述S3中，转发平面根据所述标记中类型字段判断所述报文是否为所述接口发送的，若类型字段中为接口类型，则为所述接口发送。

7.一种基于权利要求2所述的路由器IP协议栈的VPN路由管理方法，其特征在于：所述S3中，转发时，转发平面要重新填充报文的目的MAC地址和源MAC地址，目的MAC地址填充为路由出接口的下一跳MAC地址，源MAC地址填为出接口的MAC地址。