CN101909021A - Bgp网关设备及利用该设备实现通断网关功能的方法 - Google Patents

Abstract

本发明公开了一种BGP网关设备及利用该设备实现通断网关功能的方法，包括：BGP控制器；认证服务器，与所述BGP控制器建立有消息连接关系；两个相互连接的边界路由器，一个用于接入外网，且与所述BGP控制器建立有BGP连接关系，另一个用于汇总内网流量。本发明在BGP控制器与边界路由器间建立BGP连接关系，通过增加和删除BGP控制器中的路由表项间接控制边界路由器中的路由表状态，从而达到控制内网是否可以与外网进行通信的目的，实现了专用通断网关设备功能。避免了部署和升级昂贵的专用网关设备及串联专用网关设备的单点故障导致的局域网无法访问外网的问题；出口链路的带宽升级不会影响BGP控制器，也不会要求BGP控制器升级相应的物理链路和处理能力。

Description

BGP网关设备及利用该设备实现通断网关功能的方法

技术领域

本发明涉及网络通信技术领域，特别涉及一种BGP网关设备及利用该设备实现通断网关功能的方法。

背景技术

对于局域网(例如园区网)来说，出于计费和安全的需要，一般都需要在出口处部署认证服务器和网关设备，用于控制网内用户对外网的访问。这种专用网关模式的特点是，网关设备一般都串联在出口链路上，按照认证服务器指令，放行或拦截某个IP地址出入局域网。但是这种模式的缺点非常明显：一、网关设备一般都是专用设备，价格相对比较昂贵；二、网关设备一般都是串联在出口链路上，属于单一故障点，一旦网关设备出现故障，整个园区网出口将中断，对用户影响很大；三、由于网关设备是串联在链路上部署，所以当该链路升级后(如由千兆链路升级到万兆链路)，网关设备的接口和处理能力必须相应升级，否则将无法正常工作。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：其一，以低成本实现专用通断网关设备的功能；其二，避免串联专用网关设备时单点故障导致的整个内网无法访问外网的问题；其三，避免专用网关设备必须跟随出口链路带宽进行升级的问题。

(二)技术方案

为解决上述技术问题，本发明提供了一种BGP网关设备，包括：

BGP控制器，是运行有BGP路由协议软件的设备；

认证服务器，与所述BGP控制器建立有消息连接关系；

两个相互连接的边界路由器，其中一个用于接入外网，且与所述BGP控制器建立有消息连接关系，另一个用于汇总内网流量。

其中，所述BGP连接关系为IBGP连接关系或EBGP连接关系。

其中，所述认证服务器为具有验证用户身份功能的服务器。

其中，所述边界路由器为具有BGP路由功能的边界路由器。

其中，所述边界路由器为实体路由器、虚拟路由器、同一实体或虚拟路由器中的不同BGP实例，以及运行有BGP路由协议软件的服务器中的一种或多种。

本发明还提供了一种利用上述BGP网关设备来实现通断网关功能的方法，通过增加和删除所述BGP控制器中的路由表项，来间接控制所述边界路由器中的路由表状态，进而实现对所述边界路由器中的网络流量通断的控制。

(三)有益效果

本发明在运行有BGP路由协议软件的BGP控制器与边界路由器之间建立BGP连接关系，通过增加和删除BGP控制器中的路由表项，来间接控制边界路由器中的网络流量通断，从而从整体上实现目前专用通断网关设备的功能。该技术方案由于通过BGP路由方式进行控制，而BGP控制器的处理能力和硬件配置可以相对较低，因此避免了部署和升级价格昂贵的专用网关设备；由于BGP控制器作为一个分支与出口路由器连接，避免了串联专用网关设备的单点故障导致的整个局域网无法访问外网的问题；由于BGP控制器并没有串接在出口链路上，因此出口链路的带宽升级不会影响BGP控制器，也不会要求BGP控制器升级相应的物理链路和处理能力。

附图说明

图1是依据本发明一种实施方式的设备结构示意图及其使用示意。

具体实施方式

为使本发明的目的、内容、和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

本发明实施例设备的实施方式如图1所示，其中的BGP控制器是一台运行了BGP路由协议软件(如Zebra)的服务器，它可以与路由器进行BGP通信，并通过增加或删除自身的BGP路由表项，从而间接控制BGP路由器上的路由表状态，达到控制BGP路由器上的网络流量通断的目的。假设园区网(可以为其它任何类型的局域网)地址范围为192.0.0.0/8，用户在访问任何外网地址之前需要进行登录认证。具体包括以下步骤：

默认配置：

1、BGP(Border Gateway Protocol，边界网关协议)控制器与边界路由器R0通过BGP协议建立IBGP(Internal Border Gateway Protocol，内部边界网关协议)连接关系；

2、BGP控制器通过IBGP协议向R0发布一条拦截整个园区网地址块不可与外网通信的路由：ip route 192.0.0.0/8null0。

放行和拦截客户机去往外网(参见图1中的标号①-④)：

1、客户机向AAA服务器发出希望访问外网的请求，该请求包含客户机的IP地址(192.0.0.10)。

2、AAA服务器根据相关信息(如该IP是否被禁止出园区网、拥有该IP的用户是否欠费等政策信息)确认该IP地址是否可以出园区网。若不能出园区网，则将认证失败消息反馈给客户机，并结束；若可以出园区网，则AAA服务器通过消息机制告知BGP控制器“放行”客户机IP地址(192.0.0.10)。

3、BGP控制器收到消息后，通过IBGP协议，向R0发布一条放行客户机IP地址的路由(ip route 192.0.0.10/32next-hop R1)，使得去往客户机IP地址的路由下一跳为R1(R1用于汇总园区网流量)。

4、此时，客户机即可与外网进行通信。

5、当客户机结束通信时，向AAA服务器发出退出请求；或者AAA服务器希望强制拦截客户机与外网的通信时，AAA服务器通过消息机制告知BGP控制器“拦截”客户机IP地址(192.0.0.10)。

6、BGP控制器收到消息后，通过IBGP协议，撤销R0中与客户机IP地址对应的路由：no ip route 192.0.0.10/32next-hop R1。

7、此时，客户机将无法再与外网进行通信。

BGP控制器死机的情况：

这种情况下，由于R0长时间无法与BGP控制器建立IBGP关系，因此会自动从自己的路由表中删除BGP控制器发布给它的拦截整个园区网地址块的路由，即从路由表中删除“ip route 192.0.0.0/8null0”。此时，整个园区网所有IP地址都可与外网任何地址进行正常通信。因此，BGP控制器的死机不会导致整个园区网无法访问外网。

对于以上实施方式说明如下：其只采用了最基本的路由广播方式，通过其他方式(如community)也可实现类似效果；其采用了IBGP方式作为路由器与BGP控制器间的路由交换协议，通过EBGP(External Border Gateway Protocol，外部边界网关协议)也可实现类似效果；其采用了IPv4地址，通过IPv6地址也可实现类似效果；采用了IPv4保留地址，该地址仅作为示例使用，不涉及路由***中的NAT及保留地址所具有的特别含义；其中使用的路由命令只是示意性命令，实际命令格式与具体路由器设备型号有关；另外，认证服务器和BGP控制器这两部分的功能可以合并到一台或分散到多台设备上实现。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (7)

1.一种BGP网关设备，其特征在于，包括：

BGP控制器，是运行有BGP路由协议软件的设备；

认证服务器，与所述BGP控制器建立有消息连接关系；

两个相互连接的边界路由器，其中一个用于接入外网，且与所述BGP控制器建立有消息连接关系，另一个用于汇总内网流量。

2.如权利要求1所述的BGP网关设备，其特征在于，所述BGP连接关系为IBGP连接关系或EBGP连接关系。

3.如权利要求1所述的BGP网关设备，其特征在于，所述认证服务器为具有验证用户身份功能的服务器。

4.如权利要求1～3任一项所述的BGP网关设备，其特征在于，所述边界路由器为具有BGP路由功能的边界路由器。

5.如权利要求4所述的BGP网关设备，其特征在于，所述边界路由器为实体路由器、虚拟路由器、同一实体或虚拟路由器中的不同BGP实例，以及运行有BGP路由协议软件的服务器中的一种或多种。

6.一种利用权利要求4所述的BGP网关设备来实现通断网关功能的方法，其特征在于，通过增加和删除所述BGP控制器中的路由表项，来间接控制所述边界路由器中的路由表状态，进而实现对所述边界路由器中的网络流量通断的控制。

7.一种利用权利要求5所述的BGP网关设备来实现通断网关功能的方法，其特征在于，通过增加和删除所述BGP控制器中的路由表项，来间接控制所述边界路由器中的路由表状态，进而实现对所述边界路由器中的网络流量通断的控制。

Images