CN101626338B

CN101626338B - 一种实现多虚拟专用网实例的方法和设备

Info

Publication number: CN101626338B
Application number: CN2009100891842A
Authority: CN
Inventors: 张树坤; 王超群
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2009-08-03
Filing date: 2009-08-03
Publication date: 2011-11-23
Anticipated expiration: 2029-08-03
Also published as: CN101626338A

Abstract

本发明公开了一种实现多VPN实例的方法和PE设备。方法包括：在PE设备的与CE设备连接的物理端口上配置分别对应于不同VPN的多个子接口，以及第一访问控制列表ACL和第二ACL；当PE设备接收到来自CE设备的组播报文时，根据第一ACL进行转发；当PE设备接收到从骨干网络进入的组播报文时，根据第二ACL进行转发。本发明的技术方案能够在不改变CE设备的情况下实现多VPN实例。

Description

一种实现多虚拟专用网实例的方法和设备

技术领域

本发明涉及网络通信技术领域，尤指一种实现多VPN实例的方法和PE设备。

背景技术

多协议标签交换三层虚拟专用网(MPLS L3VPN，Multiprotocol LabelSwitching Layer 3 Virtual Private Network)是一种基于边界网关协议(BGP，Border Gateway Protocol)和MPLS扩展技术实现的VPN。MPLS L3VPN由运营商骨干网络和用户的各个站点(Site)组成，各个站点之间彼此独立，只有借助骨干网络才能实现互通。

组播VPN是基于MPLS L3VPN网络来实现组播传输的技术。图1是现有技术中的基于MPLS L3VPN的组播VPN的组网示意图。如图1所示，服务提供商边缘(PE，Provider Edge)设备是运营商骨干网络中的边缘设备，与用户站点侧的用户边缘(CE，Customer Edge)设备直接相连，负责VPN路由的处理，是MPLS L3VPN的主要实现者。CE是用户网络边缘设备，负责用户网络路由的转发。在组播VPN技术中，由协议无关组播(PIM，ProtocolIndependent Multicast)利用静态路由或者任意单播路由协议所生成的单播路由表为IP组播提供路由。PIM借助逆向路径转发(RPF，Reverse PathForwarding)机制实现对组播报文的转发，当组播报文到达本地设备时，首先对其进行RPF检查，若RPF检查通过，则创建相应的组播路由表项，从而进行组播报文的转发，若RPF检查失败，则丢弃该报文。

在实际应用中，用户可以根据实际需要部署基于图1所示MPLS L3VPN的组播VPN方案以承载视频会议，视频点播等业务。在图1所示的组网环境中，PE通过一个物理端口与CE连接，但实际应用中需要在一个CE设备下挂有多台属于不同VPN的主机，例如在图1中，站点1的CE设备下挂有属于VPN1的主机A1和属于VPN2的主机B1，而站点2的CE设备下挂有属于VPN1的主机A2和属于VPN2的主机B2。各主机的IP地址是不同的，但是属于同一个VPN的主机的IP地址属于同一个网段，不同VPN具有不同网段的IP地址。例如，主机A1的IP地址为10.5.×.×，主机B1的IP地址为10.6.×.×。

由于实际当中有一个CE设备下挂属于不同VPN的主机的需要，因此需要在CE设备以及其连接的PE设备上配置多实例组播VPN业务。但是由于CE和PE设备只通过一个物理链路连接，因此在现有技术中，通过在CE设备PE设备上都配置多个逻辑子接口或多个VLNA虚接口来实现，不同的逻辑子接口/VLAN虚接口分别绑定不同的VPN即可配置多实例组播VPN业务。

但是，由于用户侧的CE设备为底层设备，实际当中可能无法配置逻辑子接口或VLAN虚接口；或者用户不希望更换CE设备；或者在改造项目中，为了不影响底层网络(如区县局域网)的业务稳定，用户也不想修改其CE设备的配置信息。在这种情况下传统的组播VPN配置方法只能在PE设备上的与CE设备连接的物理端口(又称为主接口)上配置一个VPN实例，而无法实施多个VPN实例的组播传输业务。

发明内容

本发明提供了一种实现多VPN实例的方法，该方法能够在不改变CE设备的情况下实现多VPN实例。

本发明还提供了一种PE设备，该设备在不改变CE设备的情况下，实现多VPN实例。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明公开了一种实现多虚拟专用网VPN实例的方法，该方法应用于用户边缘CE设备连接的多个主机属于不同VPN的组播VPN场景，该方法包括：

在服务提供商边缘PE设备的与CE设备连接的物理端口上配置分别对应于所述不同VPN的多个子接口，并在PE设备上配置第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系；

当所述PE设备接收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发；

当所述PE设备接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去。

本发明还公开了一种PE设备，该PE设备的与CE设备连接物理端口上配置了分别对应于不同VPN的多个子接口，该PE设备包括：存储模块和组播报文转发模块，其中，

存储模块，用于保存第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系；

组播报文转发模块，用于在收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发；用于在接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去。

由上述技术方案可见，本发明这种在PE设备的与CE设备连接的物理端口上配置分别对应于所述不同VPN的多个子接口，并在PE设备上配置第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系；当所述PE设备接收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发；当所述PE设备接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去的技术方案在无需改变现有的CE设备的情况下，就可以实现多VPN实例。

附图说明

图1是现有技术中的基于MPLS L3VPN的组播VPN的组网示意图；

图2是本发明实施例一种实现多VPN实例的方法的流程图；

图3是本发明实施例组播VPN的一个组网示意图；

图4是本发明实施例PE设备的组成结构框图。

具体实施方式

本发明的核心思想是：利用用户原有的网络部署中，同一个站点下的同一VPN中的主机IP地址属于同一网段，且其各个VPN内IP地址不重叠的特性，在PE设备上根据属于不同网段的IP地址划分VPN，根据不同网段的IP地址将报文重定向到相应的VPN组播转发表进行转发，从而实现多VPN实例

为使本发明的目的、技术方案及优点更加清楚明白，以下对本发明进一步详细说明。

图2是本发明实施例一种实现多VPN实例的方法的流程图。该方法应用于用户边缘CE设备连接的多个主机属于不同VPN的组播VPN场景，例如图1所示的场景，则如图2所示，该方法包括：

步骤201在服务提供商边缘PE设备的与CE设备连接的物理端口上配置分别对应于所述不同VPN的多个子接口，并在PE设备上配置第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系。

在本步骤中需要说明的是，子接口是逻辑接口。

步骤202，当所述PE设备接收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发。

在本步骤中，所述VPN组播转发表的生成与现有技术中的生成方式一样，即由PIM协议生成。由于在物理端口上配置了子接口，因此PE设备对PIM协议报文的处理稍有不同，后续会进行介绍。

步骤203，当所述PE设备接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去。

在图2所述的流程中，步骤201描述的是先期的配置工作，而步骤202和203是基于先期的配置对方向相反的组播报文进行转发的过程，因此步骤202和203实际上不存在时间上的先后顺序。

在图2所示方案的步骤201中，在PE设备的物理端口上配置分别对应于所述不同VPN的多个子接口的同时，还需要为每个子接口配置与对应的VPN属于同一网段的IP地址。这样可以保证在组播RPF处理过程中有正确的IP地址信息。

考虑到与现有的报文转发机制保持一致性，本发明实施例中通过环回的方法将从物理端口进入的组播VPN报文发送到其VPN对应的子接口，则步骤202中所述的PE设备根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口之后，并在根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发之前，该方法进一步包括：PE设备将所找出的子接口的编号以及物理端口号以Tag方式封装到第一组播报文的头中，并将第一组播报文发往PE设备自身的环回口；PE设备从环回口接收到所述第一组播报文时，根据Tag封装内容确认第一组播报文是从物理端口的一个子接口进入的。例如，当封装的子接口编号为1时，可以根据环回的报文确认该报文从与CE连接的物理端口的子接口1进入的。

除此之外，还可以采用外部环回的方式，即与CE连接的PE主接口(物理端口)上配置ACL规则，而在另一个物理接口上配置与不同VPN(主接口所连接的CE设备下挂的各主机所属的VPN)对应的子接口，该另一物理接口的发送端与其自身的接口端连接，实现报文环回功能。匹配从主接口进入的报文的源IP地址，根据源IP地址、VPN以及子接口之间的对应关系将报文重定向到其对应的VPN绑定的所述另一个物理端口的子接口。在子接口上绑定VPN并通过物理线路设置外部环回，当报文通过子接口再次进入PE设备时，将在VPN内做组播转发。在相反方向，子接口上同样配置第二ACL，将所有出接口为子接口的报文重定向到与CE设备连接的主接口。但是这种方案的缺点是需要额外占用PE设备的一个物理端口。

前面已经提到，由于在物理端口上配置了与不同VPN对应的多个逻辑的子接口，因此PE设备需要对PIM协议报文进行如下的处理，以使得PIM协议将子接口认为是转发对应VPN报文的组播转发端口，而不是与CE设备连接的物理端口。具体包括：当PIM协议从与CE设备连接的物理端口进入PE设备时，PE设备中的网络处理器(NP)匹配协议使能表项，将PIM协议报文转发到PE设备的CPU时，驱动转发模块需要通过协议属性识别该PIM协议报文是PIM Hello报文还是PIM JP报文。如果是PIM Hello报文，则根据物理端口上绑定的VPN的个数，对PIM Hello报文进行复制并上送到自身的平台协议处理程序进行处理，例如，物理端口上绑定的VPN个数是3，即子接口个数是3，就将PIM Hello报文复制3份发送；如果是PIM JP报文，则解析出其中的组播组IP地址(GIP，Group IP)，根据GIP与VPN的对应关获得与该VPN对应的子接口编号，并将该子接口编号上送到自身的平台协议处理程序进行处理。这样平台协议处理程序就可以生成以子接口为键值的VPN组播转发表。

现有技术的VPN组播转发表是以VPN为键值的，本发明中，子接口和VPN一一绑定，因此平台协议处理程序生成VPN组播转发表的过程没有的改变，只是键值由VPN变为子接口而已。

为使本发明的技术方案更加清楚明白，以下列举一个具体的实施例加以说明。

图3是本发明实施组播VPN的一个组网示意图。如图3所示，CE1与PE1连接，CE1下连接了分属于三个VPN的主机，且其中属于VPN1的主机的IP地址属于网段10.5.×.×，属于VPN2的主机的IP地址属于网段10.6.×.×，属于VPN3的主机的IP地址属于网段10.7.×.×。PE1上的与CE1连接的物理端口为g1/1/1。

根据本发明的方案，在图3所示的PE1上进行如下的配置：

(1)在PE1配置与VPN个数相同的逻辑子接口，即配置3个子接口，各子接口的编号分别为：g1/1/1.1、g1/1/1.2和g1/1/1.3，在图3中用虚线段表示。其中，子接口g1/1/1.1与VPN1对应，子接口g1/1/1.2与VPN2对应，子接口g1/1/1.3与VPN3对应。为了保证组播RPF处理时有正确的IP地址信息，为三个子接口分别配置与其对应的VPN处于同一网段的IP地址。

(2)在PE1配置分别对应于入方向(CE1-PE1-骨干网络)和出方向(骨干网络-PE1-CE1)的访问控制列表(ACL)。其中，入方向的ACL中保存IP地址与IP地址所属的VPN之间的对应关系，如表1所示，出方向的ACL中保存子接口与子接口所属的物理端口之间的对应关系，如表2所示。

IP地址	VPN
		10.5.×.×	VPN1
10.6.×.×	VPN2
		10.7.×.×	VPN3

表1

子接口	物理端口
		g1/1/1.1	g1/1/1
g1/1/1.2	g1/1/1
		g1/1/1.3	g1/1/1

表2

基于上述配置，PE1对PIM协议报文和组播业务报文的处理如下：

(1)PIM协议报文经过物理端口g1/1/1进入PE1的NP转发芯片，匹配协议使能表项转发到CPU时，驱动转发模块通过协议属性标识判断该PIM协议报文是PIM Hello报文还是PIM JP报文。如果是PIM Hello报文，则复制3份后上送到PE1的平台协议处理程序；如果是PIM JP报文，则驱动软件解析出其中的GIP，通过GIP与VPN之间的对应关系获得与该VPN对应的子接口信息，例如与解析出的GIP对应的是VPN1，则对应的子接口为g1/1/1.1，将获得的子接口信息上送到PE1的平台协议处理程序。平台协议处理程序根据所接收的信息按照现有的方式生成VPN组播转发表。

(2)对于从物理端口g1/1/1进入的组播报文，这里假设该组播报文是由属于VPN1的主机发送的，其源IP地址为10.5.×.×，PE1的NP转发芯片根据该组播报文的源IP地址10.5.×.×匹配如表1所示的入ACL重定向到相应的VPN1，将VPN1对应的子接口编号g1/1/1.1作为Tag封装到该组播报文的头部中，并将该组播报文发往NP特定的内部环回口。这里由于子接口编号g1/1/1.1中即包含了子接口的编号1，又包含了其所属的物理端口的端口号g1/1/1，因此无需额外再将物理端口号封装到报文头部中。

组播报文从内部环回口再次进入NP，NP重新解析报文，通过Tag和物理端口号，认为该报文从子接口g1/1/1.1进入的。则根据子接口g1/1/1.1查找VPN组播转发表，将组播报文从所查找到的组播隧道接口转发。

(3)相应地，对于从骨干网络中的组播隧道到达PE1的组播报文，PE1的NP进行隧道终结，当发现该组播报文的私网组播成员出接口是逻辑的子接口时，例如出接口为g1/1/1.1时，根据g1/1/1.1查找如表2所示的出ACL，得到对应的物理端口是g1/1/1，则将该组播报文重定向到物理端口g1/1/1进行转发。

从上述实施例可以看出，根据本发明的技术方案，在实现多实例组播VPN时，不需要CE支持子接口或虚拟VLAN接口，网络升级改造时不需要更改CE的配置，而只需要更改PE设备就可以支持多实例的组播VPN。

基于上述实施例接下来给出本发明中的PE设备的组播结构。

图4是本发明实施例PE设备的组成结构框图。如图4所示的PE设备的与CE设备连接的物理端口上配置了分别对应于不同VPN的多个子接口，该PE设备包括：存储模块401和组播报文转发模块402。这里组播转发模块402是PE设备中NP的组成模块。

在图4中，存储模块401，用于保存第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系；

组播报文转发模块402，用于在收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发；用于在接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去。

如图4所示的PE设备的每个子接口配置了与对应的VPN属于同一网段的IP地址。

在图4中，所述组播报文转发模块402，在根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口之后，并在根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发之前，进一步用于，将所找出的子接口的编号以及物理端口号以Tag方式封装到第一组播报文的头中，并将第一组播报文发往PE设备的环回口，当从环回口接收到所述第一组播报文时，根据Tag封装内容确认第一组播报文是从所述物理端口对应的一个子接口进入的。

在图4中，所述组播报文转发模块402，用于将第一组播报文发往PE设备的内部环回口或外部环回口。

如图4所示的PE设备进一步包括：协议报文转发模块，在图4中没有画出。该协议报文转发模块，用于在接收到PIM Hello报文时，根据物理端口上绑定的VPN的个数，对PIM Hello报文进行复制并上送到PE设备的平台协议处理程序进行处理；用于在接收到PIM JP报文时，解析出其中的组播组IP地址，根据组播组IP地址与VPN的对应关系获得与该VPN对应的子接口编号，并将该子接口编号上送到PE设备的平台协议处理程序进行处理。

综上所述，本发明这种在PE设备的与CE设备连接的物理端口上配置分别对应于所述不同VPN的多个子接口，并在PE设备上配置第一访问控制列表ACL和第二ACL；其中，第一ACL中保存IP地址与IP地址所属的VPN之间的对应关系，第二ACL中保存子接口与子接口所属的物理端口之间的对应关系；当所述PE设备接收到来自CE设备的第一组播报文时，根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口，根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发；当所述PE设备接收到从骨干网络进入的第二组播报文时，如果第二组播报文的出接口为子接口，则查找第二ACL找到该子接口对应的物理端口，将第二组播报文从物理端口发送出去的技术方案，在无需改变现有的CE设备的情况下，就可以实现多VPN实例。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种实现多虚拟专用网VPN实例的方法，该方法应用于用户边缘CE设备连接的多个主机属于不同VPN的组播VPN场景，其特征在于，该方法包括：

2.如权利要求1所述的方法，其特征在，该方法进一步包括：在PE设备的物理端口上配置分别对应于所述不同VPN的多个子接口的同时，为每个子接口配置与对应的VPN属于同一网段的IP地址。

3.如权利要求1所述的方法，其特征在于，在PE设备根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口之后，并在根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发之前，该方法进一步包括：

PE设备将所找出的子接口的编号以及物理端口号以Tag方式封装到第一组播报文的头中，并将第一组播报文发往PE设备自身的环回口；

PE设备从环回口接收到所述第一组播报文时，根据Tag封装内容确认第一组播报文是从所述物理端口对应的一个子接口进入的。

4.如权利要求3所述的方法，其特征在于，

所述环回口为内部环回口或外部环回口。

5.如权利要求1所述的方法，其特征在于，该方法进一步包括：

当所述PE设备接收到PIM Hello报文时，根据物理端口上绑定的VPN的个数，对PIM Hello报文进行复制并上送到自身的平台协议处理程序，由平台协议处理程序根据所接收的信息生成VPN组播转发表；

当所述PE设备接收到PIM JP报文时，解析出其中的组播组IP地址，根据组播组IP地址与VPN的对应关系获得与该VPN对应的子接口编号，并将该子接口编号上送到自身的平台协议处理程序，由平台协议处理程序根据所接收的信息生成VPN组播转发表。

6.一种服务提供商边缘PE设备，其特征在于，该PE设备的与CE设备连接的物理端口上配置了分别对应于不同VPN的多个子接口，该PE设备包括：存储模块和组播报文转发模块，其中，

7.如权利要求6所述的PE设备，其特征在于，所述PE设备的每个子接口配置了与对应的VPN属于同一网段的IP地址。

8.如权利要求6所述的PE设备，其特征在于，

所述组播报文转发模块，在根据第一组播报文的源IP地址查找第一ACL，得到对应的VPN，再找出该VPN对应的子接口之后，并在根据所找出的子接口查找VPN组播转发表对第一组播报文进行转发之前，进一步用于，将所找出的子接口的编号以及物理端口号以Tag方式封装到第一组播报文的头中，并将第一组播报文发往PE设备的环回口，当从环回口接收到所述第一组播报文时，根据Tag封装内容确认第一组播报文是从所述物理端口对应的一个子接口进入的。

9.如权利要求8所述的PE设备，其特征在于，

所述组播报文转发模块，用于将第一组播报文发往PE设备的内部环回口或外部环回口。

10.如权利要求6所述的PE设备，其特征在于，该PE设备进一步包括：协议报文转发模块，用于在接收到PIM Hello报文时，根据物理端口上绑定的VPN的个数，对PIM Hello报文进行复制并上送到PE设备的平台协议处理程序，由平台协议处理程序根据所接收的信息生成VPN组播转发表；用于在接收到PIM JP报文时，解析出其中的组播组IP地址，根据组播组IP地址与VPN的对应关系获得与该VPN对应的子接口编号，并将该子接口编号上送到PE设备的平台协议处理程序，由平台协议处理程序根据所接收的信息生成VPN组播转发表。