CN109474507B - 一种报文转发方法及装置 - Google Patents

一种报文转发方法及装置 Download PDF

Info

Publication number
CN109474507B
CN109474507B CN201811426641.8A CN201811426641A CN109474507B CN 109474507 B CN109474507 B CN 109474507B CN 201811426641 A CN201811426641 A CN 201811426641A CN 109474507 B CN109474507 B CN 109474507B
Authority
CN
China
Prior art keywords
vxlan
message
address
tunnel
default
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811426641.8A
Other languages
English (en)
Other versions
CN109474507A (zh
Inventor
程剑锋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou H3C Technologies Co Ltd
Original Assignee
Hangzhou H3C Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou H3C Technologies Co Ltd filed Critical Hangzhou H3C Technologies Co Ltd
Priority to CN201811426641.8A priority Critical patent/CN109474507B/zh
Publication of CN109474507A publication Critical patent/CN109474507A/zh
Priority to PCT/CN2019/121267 priority patent/WO2020108531A1/zh
Application granted granted Critical
Publication of CN109474507B publication Critical patent/CN109474507B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明提供一种报文转发方法及装置，该方法包括：当接收VXLAN报文，且确定所述VXLAN报文与缺省VXLAN隧道匹配时，对所述VXLAN报文进行解封装并转发；当接收到非VXLAN报文，且确定所述非VXLAN报文的出端口不存在时，丢弃所述非VXLAN报文。应用本发明实施例可以实现高密级别的VTEP设备与低密级别的VTEP设备之间的单向传输，保证数据的安全性。

Description

一种报文转发方法及装置
技术领域
本发明涉及网络通信技术领域，尤其涉及一种报文转发方法及装置。
背景技术
网络***的开放性使得网络安全变得尤为重要，MAC(Media Access Control，媒体访问控制)认证、网络防火墙等安全防护技术是保证网络安全的常用技术，但是这些技术只能满足一般性的安全需求，难以解决涉密信息***等重要网络的保护问题。
在VXLAN(Virtual Extensible Local Area Network，虚拟可扩展局域网)的网络中存在高密级别的设备或者网络和低密级别的设备或者网络，为了保证网络的安全，需要确保低密级别的设备或者网络的数据能流向高密级别的设备或者网络，并且高密级别的设备或者网络的数据不能流向低密级别的设备或者网络，从而在进行数据单向转发过程中，防止泄密的发生。
发明内容
本发明提供一种报文转发方法及装置，以解决无法实现高密级别的设备或网络和低密级别的设备或网络之间的数据单向转发的问题。
根据本发明实施例的第一方面，提供一种报文转发方法，应用于VXLAN组网中的任一VTEP设备，所述VXLAN组网中高密级别的VTEP设备上对应第一类型VXLAN隧道创建有缺省VXLAN隧道，所述第一类型VXLAN隧道为低密级别的VTEP设备到所述高密级别的VTEP设备的VXLAN隧道，所述缺省VXLAN隧道的源IP地址为所述高密级别的VTEP设备的IP地址，且不存在目的IP地址，所述方法包括：
当接收VXLAN报文，且确定所述VXLAN报文与缺省VXLAN隧道匹配时，对所述VXLAN报文进行解封装并转发；
当接收到非VXLAN报文，且确定所述非VXLAN报文的出端口不存在时，丢弃所述非VXLAN报文。
根据本发明实施例的第二方面，提供一种报文转发装置，应用于VXLAN组网中的任一VTEP设备，所述VXLAN组网中高密级别的VTEP设备上对应第一类型VXLAN隧道创建有缺省VXLAN隧道，所述第一类型VXLAN隧道为低密级别的VTEP设备到所述高密级别的VTEP设备的VXLAN隧道，所述缺省VXLAN隧道的源IP地址为所述高密级别的VTEP设备的IP地址，且不存在目的IP地址，所述装置包括：
接收单元，用于接收报文；
确定单元，用于当所述接收单元接收到VXLAN报文时，确定所述VXLAN报文是否与缺省VXLAN隧道匹配；
解封装单元，用于当所述VXLAN报文与缺省VXLAN隧道匹配时，对所述VXLAN报文进行解封装；
转发单元，用于对解封装后的所述VXLAN报文进行转发；
所述转发单元，还用于当所述接收单元接收到非VXLAN报文，且所述确定单元确定所述非VXLAN报文的出端口不存在时，丢弃所述非VXLAN报文。
应用本发明公开的技术方案，通过配置缺省VXLAN隧道，高密级别的VTEP设备和低密级别的VTEP设备之间建立VXLAN隧道时，低密级别的VTEP设备正常建立VXLAN隧道，而高密级别的VTEP设备对应该VXLAN隧道创建缺省VXLAN隧道，由于该缺省VXLAN隧道不存在目的IP地址，且高密级别的VTEP设备无法通过该缺省VXLAN隧道向外转发流量，因此，高密级别VTEP设备可以通过该缺省VXLAN隧道匹配低密级别的VTEP设备发送的VXLAN报文，并进行处理，而高密级别的VTEP设备无法通过VXLAN隧道向低密级别的VTEP设备发送报文，从而实现了高密级别的VTEP设备与低密级别的VTEP设备之间的单向传输，保证了数据的安全性。
附图说明
图1是本发明实施例提供的一种报文转发方法的流程示意图；
图2和图3是本发明实施例提供的具体应用场景的架构示意图；
图4是本发明实施例提供的一种报文转发装置的结构示意图；
图5是本发明实施例提供的另一种报文转发装置的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。
请参见图1，为本发明实施例提供的一种报文转发方法的流程示意图，其中，该报文转发方法可以应用于VXLAN组网中的任一VTEP(VXLAN Tunnel Endpoint，VXLAN隧道端点)设备(下文中称为目标VTEP设备)，如图1所示，该报文转发方法可以包括以下步骤：
步骤101、当接收到VXLAN报文，且确定该VXLAN报文与缺省VXLAN隧道匹配时，对VXLAN报文进行解封装并转发。
本发明实施例中，为了确保VXLAN网络中低密级别的设备或者网络的数据能流向高密级别的设备或者网络，低密级别的VTEP设备(连接低密级别的设备或者网络的VTEP设备)与高密级别的VTEP设备(连接高密级别的设备或者网络的VTEP设备)之间建立VXLAN隧道时，低密级别的VTEP可以正常创建VXLAN隧道，而高密级别的VTEP设备可以对应该VXLAN隧道创建缺省VXLAN隧道。
其中，缺省VXLAN隧道的源IP地址为该高密级别的VTEP设备的IP地址，且不存在目的IP地址，缺省VXLAN隧道可以匹配外层目的IP地址(VXLAN封装头中的目的IP地址)为该高密级别的VTEP设备，源IP地址为任意IP地址的VXLAN报文，从而，该高密级别的VTEP设备可以接收并处理低密级别的VTEP设备的通过VXLAN隧道发送给该高密级别的VTEP设备的VXLAN报文。
相应地，在本发明实施例中，当目标VTEP设备接收到VXLAN报文时，目标VTEP设备可以先确定该VXLAN报文的外层目的IP地址是否为本设备(即目标VTEP设备)的IP地址。
若是，则目标VTEP设备可以进一步根据该VXLAN报文的外层源IP地址和目的IP地址(VXLAN封装头中的源IP地址和目的IP地址)进行VXLAN隧道匹配，以确定是否存在与该VXLAN报文的外层源IP地址和目的IP地址均匹配的VXLAN隧道。
若不存在，则确定该VXLAN报文与缺省VXLAN隧道匹配，此时，目标VTEP设备可以对该VXLAN报文进行解除VXLAN封装后转发。
其中，目标VTEP设备对该VXLAN报文进行解除VXLAN封装并转发的具体实现可以参见现有相关方案中的相关描述，本发明实施例在此不做赘述。
需要说明的是，在本发明实施例中，当目标VTEP设备确定接收到的VXLAN报文的外层目的IP地址不是本设备的IP地址时，目标VTEP设备可以根据该VXLAN报文查找underlay(下层)的三层转发表项进行转发；或，当目标VTEP设备根据VXLAN报文的外层源IP地址和目的IP地址匹配到VXLAN隧道时，目标VTEP设备可以对该VXLAN报文解除VXLAN封装后转发，其具体实现可以参见相关现有方案中的相关描述，本发明实施例在此不做赘述。
步骤102、当接收到非VXLAN报文，且确定该非VXLAN报文的出端口不存在时，丢弃该非VXLAN报文。
本发明实施例中，当目标VTEP设备接收到非VXLAN报文时，目标VTEP设备可以查询转发表项以确定该非VXLAN报文的出端口。
例如，目标VTEP设备可以获取所接收到的非VXLAN报文中携带的VLAN(VirtualLocal Area Network，虚拟局域网)信息以及该非VXLAN报文的入端口信息确定对应的AC(Attachment Circuit，接入电路)(本文中称为目标AC)，并在该目标AC关联的VSI(VirtualSwitch Instance，虚拟交换实例)内查找转发表，以确定该非VXLAN报文的出端口。
本发明实施例中，为了保证高密级别的设备或者网络的数据不能流向低密级别的设备或者网络，需要保证高密级别的VTEP设备不能通过缺省VXLAN隧道转发流量。
在本发明其中一个实施例中，缺省VXLAN隧道的出方向为不存在的物理端口；
相应地，上述确定该非VXLAN报文的出端口不存在，可以包括：
当确定该非VXLAN报文的出端口为缺省VXLAN隧道时，确定该非VXLAN报文的出端口不存在。
在该实施例中，为了保证高密级别的设备或者网络的数据不能流向低密级别的设备或者网络，可以将缺省VXLAN隧道的出方向配置为高密级别的VTEP设备上不存在的物理端口(即高密级别的VTEP设备的物理端口之外的其他物理端口)。
相应地，当目标VTEP设备接收到非VXLAN报文，并通过查询转发表确定该非VXLAN报文的出端口为缺省VXLAN隧道时，目标VTEP设备可以确定该非VXLAN报文的出端口不存在，此时，目标VTEP设备可以丢弃该非VXLAN报文，从而，可以避免高密级别的设备或网络的数据流向低密级别的设备或网络。
在本发明另一个实施例中，考虑到缺省VXLAN隧道不能转发流量，而目标VTEP设备根据从低密级别的VTEP设备接收到的报文学习到的MAC地址的出端口指向缺省VXLAN隧道，最终报文需要被丢弃，因此，为了节省硬件资源，可以将缺省VXLAN隧道配置为不学习MAC地址。
相应地，上述报文转发方法还可以包括：
当接收到VXLAN报文，且确定该VXLAN报文与缺省VXLAN隧道匹配时，拒绝根据VXLAN报文进行MAC地址学习。
在该实施例中，为了保证高密级别的设备或者网络的数据不能流向低密级别的设备或者网络，可以将缺省VXLAN隧道配置为不学习MAC地址，进而，当目标VTEP设备接收到高密级别的设备或网络发往低密级别的设备或网络的流量时，将无法查询到匹配的转发表项，即查询不到匹配的出端口，从而，目标VTEP设备可以丢弃该流量，避免了高密级别的设备或网络的数据流向低密级别的设备或网络。
需要说明的是，在本发明实施例中，将缺省VXLAN隧道的出方向设置为不存在的物理端口与将缺省VXLAN隧道配置为不学习MAC地址也可以同时实施，从而，可以避免由于错误的配置导致流量被定向至缺省VXLAN隧道转发，在节省硬件资源的情况下，更好地保证高密级别的设备或网络的数据不能流向低密级别的设备或网络，其具体实现在此不做赘述。
可见，在图1所示方法流程中，通过配置缺省VXLAN隧道，高密级别的VTEP设备和低密级别的VTEP设备之间建立VXLAN隧道时，低密级别的VTEP设备正常建立VXLAN隧道，而高密级别的VTEP设备对应该VXLAN隧道创建缺省VXLAN隧道，由于该缺省VXLAN隧道不存在目的IP地址，且高密级别的VTEP设备无法通过该缺省VXLAN隧道向外转发流量，因此，高密级别VTEP设备可以通过该缺省VXLAN隧道匹配低密级别的VTEP设备发送的VXLAN报文，并进行处理，而高密级别的VTEP设备无法通过VXLAN隧道向低密级别的VTEP设备发送报文，从而实现了高密级别的VTEP设备与低密级别的VTEP设备之间的单向传输(低密级别的VTEP设备可以向高密级别的VTEP设备传输流量，高密级别的VTEP设备不可以向低密级别的VTEP设备传输流量)，保证了数据的安全性。
为了使本领域技术人员更好地理解本发明实施例提供的技术方案，下面结合具体应用场景对本发明实施例提供的技术方案进行说明。
请参见图2，为本发明实施例提供的一种具体应用场景的架构示意图，如图2所示，在该应用场景中，Server(服务器)110和Server120为低密级别的服务器(Server110和Server120为同密级别的服务器)，Server130和Server140为高密级别的服务器(Server130和Server140为同密级别的服务器)，Server110～Server140分别通过VTEP210～VTEP240接入三层核心网络，即VTEP210和VTEP220为低密级别的VTEP设备，VTEP230和VTEP240为高密级别的VTEP设备。
在该实施例中，VTEP230和VTEP240之间创建VXLAN隧道，VTEP230上创建VXLAN隧道Tunnel34(源IP地址为本设备的IP地址，目的IP地址为VTEP240的IP地址)，VTEP240上创建VXLAN隧道Tunnel43(源IP地址为本设备的IP地址，目的IP地址为VTEP设备230的IP地址)；其中，Tunnel34的源IP地址即为Tunnel43的目的IP地址，Tunnel34的目的IP地址即为Tunnel43的源IP地址。
VTEP210和VTEP220之间创建VXLAN隧道的具体实现与VTEP设备230和VTEP240之间创建VXLAN隧道的实现类似，实施例在此不做赘述。
VTEP210和VTEP240之间创建VXLAN隧道，VTEP210上创建VXLAN隧道Tunnel14(源IP地址为本设备的IP地址，目的IP地址为VTEP240的IP地址)，VTEP240上创建缺省VXLAN隧道Tunnel0(源IP地址为本设备的IP地址，目的IP地址不存在)。
VTEP210和VTEP230、VTEP220和VTEP230以及VTEP220和VTEP240之间创建VXLAN隧道的具体实现与VTEP210和VTEP240之间创建VXLAN隧道的实现类似，该实施例在此不做赘述。
在该实施例中，以VTEP210和VTEP240之间的流量传输为例。
请参见图3，VTEP240上创建VSI，该VSI绑定VXLAN_ID1，VTEP240将Server140与VTEP240之间的AC4绑定该VSI；VTEP210上创建VSI，该VSI绑定VXLAN_ID1，VTEP210将Server110与VTEP210之间的AC1绑定该VSI,并将Tunnel14与该VSI绑定。
Server110的流量通过AC1进入VTEP210，VTEP210根据接收到的流量的VLAN信息和入端口信息确定对应的AC(即AC1)，并在AC1关联的VSI内查找转发表，确定流量的出端口为Tunnel14，从而，VTEP210对流量进行VXLAN封装(携带VXLAN_ID1)，并将封装后的流量通过Tunnel14转发。其中，该VXLAN封装的流量的VXLAN封装头中源IP地址为VTEP210的IP地址，目的IP地址为VTEP240的IP地址。
VTEP240从AC1接收到VXLAN封装的流量时，获取其VXLAN封装头中的目的IP地址，发现该目的IP地址为本设备的IP地址，但是本地不存在与该VXLAN封装头中的源IP地址和目的IP地址匹配的VXLAN隧道(即不存在源IP地址为该VXLAN封装头中的目的IP地址，目的IP地址为该VXLAN封装头中的源IP地址的VXLAN隧道)，此时，VTEP240可以确定该VXLAN封装的流量与缺省VXLAN隧道匹配，并对该VXLAN封装的流量进行解封装后，根据其中携带的VXLAN_ID(VXLAN ID1)确定对应的VSI，并在该VSI中查表从AC转到Server140上。
可见，低密级别的网络或设备可以正常转发给高密级别的网络或设备。
当Server140的流量通过AC4进入VTEP240，VTEP240根据接收到的流量的VLAN信息和入端口信息确定对应的AC(即AC4)，并在AC4关联的VSI内查找转发表。
实施例一
缺省VXLAN隧道的出方向为不存在的物理端口(假设缺省VXLAN隧道正常学习MAC地址)。
则VTEP240在AC4关联的VSI内查找转发表，发现出端口为缺省VXLAN隧道，由于缺省VXLAN隧道的出端口为VTEP240上不存在的物理端口，VTEP240丢弃该流量。
实施例二
缺省VXLAN隧道配置为不学习MAC地址。
则VTEP240在AC4关联的VSI内查找转发表，发现不存在匹配的表项，即该流量的出端口不存在，VTEP240丢弃该流量。
需要说明的是，在本发明实施例中，对于同密级别的VTEP设备(如VTEP210与VTEP220或VTEP230与VTEP240)之间的交互过程的具体实现可以参见现有相关方案中的相关描述，本发明实施例在此不做赘述。
通过以上描述可以看出，在本发明实施例提供的技术方案中，通过配置缺省VXLAN隧道，高密级别的VTEP设备和低密级别的VTEP设备之间建立VXLAN隧道时，低密级别的VTEP设备正常建立VXLAN隧道，而高密级别的VTEP设备对应该VXLAN隧道创建缺省VXLAN隧道，由于该缺省VXLAN隧道不存在目的IP地址，且高密级别的VTEP设备无法通过该缺省VXLAN隧道向外转发流量，因此，高密级别VTEP设备可以通过该缺省VXLAN隧道匹配低密级别的VTEP设备发送的VXLAN报文，并进行处理，而高密级别的VTEP设备无法通过VXLAN隧道向低密级别的VTEP设备发送报文，从而实现了高密级别的VTEP设备与低密级别的VTEP设备之间的单向传输，保证了数据的安全性。
请参见图4，为本发明实施例提供的一种报文转发装置的结构示意图，其中，该装置可以应用于上述方法实施例中的目标VTEP设备，如图4所示，该报文转发装置可以包括：
接收单元410，用于接收报文；
确定单元420，用于当接收单元410接收到VXLAN报文时，确定该VXLAN报文是否与缺省VXLAN隧道匹配；
解封装单元430，用于当该VXLAN报文与缺省VXLAN隧道匹配时，对该VXLAN报文进行解封装；
转发单元440，用于对解封装后的VXLAN报文进行转发；
转发单元440，还用于当接收单元410接收到非VXLAN报文，且确定单元420确定该非VXLAN报文的出端口不存在时，丢弃该非VXLAN报文。
在可选实施例中，确定单元420，具体用于当该VXLAN报文的VXLAN封装头中的目的IP地址为本设备的IP地址，但是不存在与该VXLAN封装头中的源IP地址和目的IP地址匹配的VXLAN隧道时，确定该VXLAN报文与缺省VXLAN隧道匹配。
在可选实施例中，确定单元420，还用于当接收单元410接收到非VXLAN报文时，根据该非VXLAN报文的VLAN信息和入端口信息确定对应的目标AC；
确定单元420，还用于在目标AC关联的目标VSI内查找转发表，以确定该非VXLAN报文的出端口。
在可选实施例中，缺省VXLAN隧道的出方向为不存在的物理端口；
确定单元420，具体用于当确定该非VXLAN报文的出端口为缺省VXLAN隧道时，确定该非VXLAN报文的出端口不存在。
请一并参见图5，为本发明实施例提供的另一种报文转发装置的结构示意图，如图5所示，在图4所示报文转发装置的基础上，图5所示报文转发装置还可以包括：
学习单元450，用于当接收单元410接收到VXLAN报文，且确定单元420确定该VXLAN报文与缺省VXLAN隧道匹配时，拒绝根据该VXLAN报文进行MAC地址学习。
上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。
对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
由上述实施例可见，通过配置缺省VXLAN隧道，高密级别的VTEP设备和低密级别的VTEP设备之间建立VXLAN隧道时，低密级别的VTEP设备正常建立VXLAN隧道，而高密级别的VTEP设备对应该VXLAN隧道创建缺省VXLAN隧道，由于该缺省VXLAN隧道不存在目的IP地址，且高密级别的VTEP设备无法通过该缺省VXLAN隧道向外转发流量，因此，高密级别VTEP设备可以通过该缺省VXLAN隧道匹配低密级别的VTEP设备发送的VXLAN报文，并进行处理，而高密级别的VTEP设备无法通过VXLAN隧道向低密级别的VTEP设备发送报文，从而实现了高密级别的VTEP设备与低密级别的VTEP设备之间的单向传输，保证了数据的安全性。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。
应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (8)

1.一种报文转发方法，应用于虚拟可扩展局域网VXLAN组网中的任一虚拟可扩展局域网隧道端点VTEP设备，其特征在于，所述VXLAN组网中高密级别的VTEP设备上对应第一类型VXLAN隧道创建有缺省VXLAN隧道，所述第一类型VXLAN隧道为低密级别的VTEP设备到所述高密级别的VTEP设备的VXLAN隧道，所述缺省VXLAN隧道的源IP地址为所述高密级别的VTEP设备的IP地址，且不存在目的IP地址，所述方法包括：
当接收VXLAN报文，且确定所述VXLAN报文与缺省VXLAN隧道匹配时，对所述VXLAN报文进行解封装并转发；
当接收到非VXLAN报文，且确定所述非VXLAN报文的出端口不存在时，丢弃所述非VXLAN报文；其中，所述确定所述VXLAN报文与缺省VXLAN隧道匹配，包括：
当所述VXLAN报文的VXLAN封装头中的目的IP地址为本设备的IP地址，但是不存在与所述VXLAN封装头中的源IP地址和目的IP地址匹配的VXLAN隧道时，确定所述VXLAN报文与所述缺省VXLAN隧道匹配。
2.根据权利要求1所述的方法，其特征在于，当接收到非VXLAN报文时，所述方法还包括：
根据所述非VXLAN报文的虚拟局域网VLAN信息和入端口信息确定对应的目标接入电路AC；
在所述目标AC关联的目标虚拟交换实例VSI内查找转发表，以确定所述非VXLAN报文的出端口。
3.根据权利要求1所述的方法，其特征在于，所述缺省VXLAN隧道的出方向为不存在的物理端口；
所述确定该非VXLAN报文的出端口不存在，包括：
当确定该非VXLAN报文的出端口为缺省VXLAN隧道时，确定该非VXLAN报文的出端口不存在。
4.根据权利要求1所述的方法，其特征在于，所述方法还包括：
当接收到VXLAN报文，且确定该VXLAN报文与所述缺省VXLAN隧道匹配时，拒绝根据所述VXLAN报文进行媒体访问控制MAC地址学习。
5.一种报文转发装置，应用于虚拟可扩展局域网VXLAN组网中的任一虚拟可扩展局域网隧道端点VTEP设备，其特征在于，所述VXLAN组网中高密级别的VTEP设备上对应第一类型VXLAN隧道创建有缺省VXLAN隧道，所述第一类型VXLAN隧道为低密级别的VTEP设备到所述高密级别的VTEP设备的VXLAN隧道，所述缺省VXLAN隧道的源IP地址为所述高密级别的VTEP设备的IP地址，且不存在目的IP地址，所述装置包括：
接收单元，用于接收报文；
确定单元，用于当所述接收单元接收到VXLAN报文时，确定所述VXLAN报文是否与缺省VXLAN隧道匹配；
解封装单元，用于当所述VXLAN报文与缺省VXLAN隧道匹配时，对所述VXLAN报文进行解封装；
转发单元，用于对解封装后的所述VXLAN报文进行转发；
所述转发单元，还用于当所述接收单元接收到非VXLAN报文，且所述确定单元确定所述非VXLAN报文的出端口不存在时，丢弃所述非VXLAN报文；其中，所述确定单元，具体用于当所述VXLAN报文的VXLAN封装头中的目的IP地址为本设备的IP地址，但是不存在与所述VXLAN封装头中的源IP地址和目的IP地址匹配的VXLAN隧道时，确定所述VXLAN报文与所述缺省VXLAN隧道匹配。
6.根据权利要求5所述的装置，其特征在于，
所述确定单元，还用于当所述接收单元接收到非VXLAN报文时，根据所述非VXLAN报文的虚拟局域网VLAN信息和入端口信息确定对应的目标接入电路AC；
所述确定单元，还用于在所述目标AC关联的目标虚拟交换实例VSI内查找转发表，以确定所述非VXLAN报文的出端口。
7.根据权利要求5所述的装置，其特征在于，所述缺省VXLAN隧道的出方向为不存在的物理端口；
所述确定单元，具体用于当确定该非VXLAN报文的出端口为缺省VXLAN隧道时，确定该非VXLAN报文的出端口不存在。
8.根据权利要求5所述的装置，其特征在于，所述装置还包括：
学习单元，用于当所述接收单元接收到VXLAN报文，且所述确定单元确定该VXLAN报文与所述缺省VXLAN隧道匹配时，拒绝根据所述VXLAN报文进行媒体访问控制MAC地址学习。
CN201811426641.8A 2018-11-27 2018-11-27 一种报文转发方法及装置 Active CN109474507B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201811426641.8A CN109474507B (zh) 2018-11-27 2018-11-27 一种报文转发方法及装置
PCT/CN2019/121267 WO2020108531A1 (zh) 2018-11-27 2019-11-27 报文转发

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811426641.8A CN109474507B (zh) 2018-11-27 2018-11-27 一种报文转发方法及装置

Publications (2)

Publication Number Publication Date
CN109474507A CN109474507A (zh) 2019-03-15
CN109474507B true CN109474507B (zh) 2020-12-04

Family

ID=65674266

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811426641.8A Active CN109474507B (zh) 2018-11-27 2018-11-27 一种报文转发方法及装置

Country Status (2)

Country Link
CN (1) CN109474507B (zh)
WO (1) WO2020108531A1 (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113286011B (zh) * 2021-04-27 2023-08-22 锐捷网络股份有限公司 基于vxlan的ip地址分配方法及装置
CN113794635B (zh) * 2021-08-05 2023-04-07 新华三信息安全技术有限公司 一种报文转发方法及设备
CN113992582B (zh) * 2021-09-17 2023-03-28 新华三信息安全技术有限公司 一种报文转发方法及设备
CN113872847B (zh) * 2021-11-18 2023-05-30 浪潮思科网络科技有限公司 一种基于vxlan网络的报文转发方法、设备及介质
CN114374641B (zh) * 2021-12-23 2023-06-16 锐捷网络股份有限公司 一种三层报文转发方法及装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106067864A (zh) * 2016-06-02 2016-11-02 杭州华三通信技术有限公司 一种报文处理方法及装置
CN106130865A (zh) * 2016-07-07 2016-11-16 杭州华三通信技术有限公司 一种终端间的通信方法及装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101127680A (zh) * 2007-07-20 2008-02-20 胡德勇 Usb光纤单向物理隔离网闸
US9451056B2 (en) * 2012-06-29 2016-09-20 Avaya Inc. Method for mapping packets to network virtualization instances
CN103491072B (zh) * 2013-09-06 2017-03-15 中国航天***科学与工程研究院 一种基于双单向隔离网闸的边界访问控制方法
WO2015085523A1 (zh) * 2013-12-11 2015-06-18 华为技术有限公司 一种虚拟可扩展局域网的通信方法、装置和***

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106067864A (zh) * 2016-06-02 2016-11-02 杭州华三通信技术有限公司 一种报文处理方法及装置
CN106130865A (zh) * 2016-07-07 2016-11-16 杭州华三通信技术有限公司 一种终端间的通信方法及装置

Also Published As

Publication number Publication date
WO2020108531A1 (zh) 2020-06-04
CN109474507A (zh) 2019-03-15

Similar Documents

Publication Publication Date Title
CN109474507B (zh) 一种报文转发方法及装置
US11870755B2 (en) Dynamic intent-based firewall
US20200412578A1 (en) NSH Encapsulation for Traffic Steering
CN106936939B (zh) 一种报文处理方法、相关装置及nvo3网络***
CN106936777B (zh) 基于OpenFlow的云计算分布式网络实现方法、***
CN109257265B (zh) 一种泛洪抑制方法、vxlan网桥、网关及***
US10320838B2 (en) Technologies for preventing man-in-the-middle attacks in software defined networks
CN113261242B (zh) 通信***和由通信***实现的方法
CN104869042A (zh) 报文转发方法和装置
EP3782336B1 (en) Multi-vrf universal device internet protocol address for fabric edge devices
CN109450905B (zh) 传输数据的方法和装置及***
EP3605959A1 (en) Method, device and computer storage medium for implementing double control plane
CN107547340B (zh) 一种报文转发方法和装置
EP4189925A1 (en) Normalized lookup and forwarding for diverse virtual private networks
US20230283589A1 (en) Synchronizing dynamic host configuration protocol snoop information
WO2023010110A1 (en) Secure frame encryption as a service
CN112751767B (zh) 路由信息传输方法及装置、数据中心互联网络
CN114598635A (zh) 报文传输的方法和装置
CN112187609B (zh) 表项生成方法和装置
CN101304338B (zh) 发现多协议标签交换三层虚拟私有网中设备的方法、装置
CN107547691B (zh) 地址解析协议报文代理方法和装置
George et al. A Brief Overview of VXLAN EVPN
CN109756409B (zh) 桥接转发方法
US20220294665A1 (en) Packet Forwarding Between Hybrid Tunnel Endpoints
US11909819B1 (en) Synchronization of client IP binding database across extended networks leveraging BGP control plane

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant