CN110022262A - 一种基于sdn网络实现平面分离的方法、***和装置 - Google Patents

Abstract

本发明公开了一种基于SDN网络实现平面分离的方法，包括：SDN控制器向openflow交换机下发用户路由器CE与虚拟路由器vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控制链路用于传输控制流量；所述vRouter获取各所述CE的ARP信息和路由信息，并将所述ARP信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交换机下发业务数据流表；所述SDN控制器根据所述ARP信息和所述路由信息向所述openflow交换机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的虚拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。通过本发明，实现了网络数据转发面和路由控制面的解耦，网络的接入设备仅负责数据转发，提高设备的性能和稳定性。

Description

一种基于SDN网络实现平面分离的方法、***和装置

技术领域

本发明涉及SDN通信领域，具体涉及一种基于SDN网络实现平面分离的 方法。本发明同时涉及一种基于SDN网络实现平面分离的***和一种基于SDN 网络实现平面分离的装置。

背景技术

MPLS VPN是一种基于MPLS技术的IP-VPN，是在网络路由和交换设备上 应用MPLS技术，简化核心路由器的路由选择方式，利用结合传统路由技术的 标记交换实现的IP虚拟专用网络(IP VPN)，可用来构造宽带的Intranet、Extranet， 满足多种灵活的业务需求。

MPLS VPN根据PE(Provider Edge Router，骨干网边缘路由器)是否参与 VPN路由处理又细分为二层VPN和三层VPN。L2VPN/L3VPN负责把用户的业 务数据从用户侧接入进来，然后把数据打包成MPLS报文进入绑定的MPLS隧 道上，传输到对端网络，然后在对端的网络设备上MPLS报文解包，输出到 L2VPN/L3VPN的出接口上，传输给另一端的用户。MPLS是承载层协议，L2VPN 是处理二层报文的应用层协议，L3VPN是处理三层报文的应用层协议。

传统IP网络中为了实现用户网络间的三层互联，通常通过MPLS L3VPN技 术实现用户分支机构间路由信息的正常交互，用户数据通过VPN方式在各站点 间安全传输。如图1所示，在网络边缘部署PE路由器，PE路由器和客户CE (Custom Edge Router，用户网边缘路由器)间通过BGP或其他IGP路由协议 通告路由，PE路由器之间通过MP-BGP通告路由和分配私网标签实现MPLS的 L3VPN。

上述方案中，不但业务开通和维护比较复杂，而且由于PE路由器既做路由 控制设备，又承担用户网络间的数据转发任务，路由功能和转发功能都可能对 网络资源和路由器***资源消耗较大，对PE路由器的性能和稳定性都有一定的 挑战。

发明内容

本发明提供一种基于SDN网络实现平面分离的方法，以解决现有传统用户 IP网络跨骨干网互联，用户网络之间的路由学习问题以及接入设备转发功能和 路由功能的耦合性造成的性能、稳定性和扩展性差的问题。

本发明提供一种基于SDN网络实现平面分离的方法，包括：

SDN控制器向openflow交换机下发用户路由器CE与虚拟路由器vRouter 之间的ARP报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路； 所述虚拟控制链路用于传输控制流量；

所述vRouter获取各所述CE的ARP信息和路由信息，并将所述ARP信息 和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交换机 下发业务数据流表；

所述SDN控制器根据所述ARP信息和所述路由信息向所述openflow交换 机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的虚 拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。

较佳地，所述控制流量至少包括：路由协议和ARP协议；

较佳地，所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP 地址和MAC地址的映射关系。

较佳地，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一 跳目的MAC地址下发。

较佳地，所述vRouter通过安装路由引擎获取所述路由信息，或，通过录入 方式获取所述路由信息。

较佳地，为每个用户建立一个vRouter，所述vRouter部署在相互隔离的容 器内，为每个用户提供路由控制，所述容器通过OVS接入网络。

本发明还提供一种基于SDN网络实现平面分离的***，包括：SDN控制器、openflow交换机、用户路由器CE，还包括虚拟路由器vRouter，其中，

所述SDN控制器用于向openflow交换机下发CE与vRouter之间的ARP报 文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控制 链路用于传输控制流量；

所述vRouter用于获取各所述CE的ARP信息和路由信息，并将所述ARP 信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交 换机下发业务数据流表；

所述SDN控制器还用于根据所述ARP信息和路由信息向所述openflow交 换机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的 虚拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。

较佳地，所述控制流量至少包括：路由协议和ARP协议；

较佳地，所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP 地址和MAC地址的映射关系。

较佳地，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一 跳目的MAC地址下发。

较佳地，所述vRouter还用于通过安装路由引擎获取所述路由信息，或，通 过录入方式获取所述路由信息。

较佳地，所述vRouter部署在相互隔离的容器内，为每个用户提供路由控制， 所述容器通过OVS接入网络，每个用户一个vRouter实例。

本发明还提供一种基于SDN网络实现平面分离的装置，包括：

获取单元，用于当SDN控制器向openflow交换机下发用户路由器CE与虚 拟路由器vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之 间的虚拟控制链路之后，获取各所述CE的ARP信息和路由信息；

发送单元，用于将所述ARP信息和路由信息发送给所述SDN控制器，指 导所述SDN控制器向openflow交换机下发各CE之间的ARP请求流表和业务 数据流表，建立所述各CE之间的虚拟业务数据链路。

较佳地，所述控制流量至少包括：路由协议和ARP协议；

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和 MAC地址的映射关系。

与现有技术相比，本发明具有以下优点：

采用本发明的方法，将路由控制功能从接入设备中分离处理出来，使其只 负责数据转发，提高设备的性能和稳定性，降低业务开通和维护的复杂性。通 过本发明，实现了网络数据转发面和路由控制面的解耦，用户网络的接入设备 不再配置任何路由控制功能，只负责数据转发，提高设备的性能和稳定性，降 低业务开通和维护的复杂性，通过定义的虚拟路由器与用户网络对接，专门负 责路由控制，提高了整个网络的扩展性。

附图说明

图1是现有技术中用户网络间的三层互联的示意图；

图2是本发明提供的一种基于SDN网络实现平面分离的方法流程图；

图3是本发明实施例提供的一种vRouter的一种实现方式的结构示意图；

图4是本发明提供的一种基于SDN网络实现平面分离的***的结构示意 图；

图5是本发明实施例提供的一种基于SDN网络实现平面分离的实施例的结 构示意图。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明 能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背 本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施的限制。

本申请主要应用于SDN，SDN的核心技术是Openflow协议，Openflow协 议运行在SDN的物理网络之上，SDN物理网络包括一个SDN控制器和多个 Openflow交换机。以下为涉及到的专业术语：

CE：CustomerEdg，用户边缘设备，服务提供商所连接的用户端路由器。 CE路由器通过连接一个或多个PE路由器，为用户提供服务接入。CE路由器通 常是一台IP路由器，它与连接的PE路由器建立邻接关系。CE路由器有接口直 接与服务提供商相连，可以是路由器，也可以是交换机等。CE是感知不到VPN 的存在的。

PE：ProviderEdge，即Provide的边缘设备，服务提供商骨干网的边缘路由 器，它相当于标签边缘路由器(LER)。PE路由器连接CE路由器和P路由器， 是最重要的网络节点。用户的流量通过PE路由器流入用户网络，或者通过PE 路由器流到MPLS骨干网。

MPLS:Multi-Protocol Label Switching,多协议标签交，是新一代的IP高速骨干网络交换标准。MPLS是利用标记(label)进行数据转发的。当分组进入网络 时，要为其分配固定长度的短的标记，并将标记与分组封装在一起，在整个转 发过程中，交换节点仅根据标记进行转发。MPLS独立于第二和第三层协议， 诸如ATM和IP。它提供了一种方式，将IP地址映射为简单的具有固定长度的 标签，用于不同的包转发和包交换技术。它是现有路由和交换协议的接口。

SDN：Software Defined Networking,即软件定义网络，相对于传统网络的一 种创新的新型网络架构，旨在实现使网络设备的数据平面和控制平面的彻底分 离；

OpenFlow：一种网络通信协议，属于数据链路层，能够控制网络交换器或 路由器的转送平面，借此改变网络数据包所走的网络路径。OpenFlow允许从远 程控制网络交换器的数据包转送表，通过新增、修改与移除数据包控制规则与 行动，来改变数据包转送的路径。流表规则可以基于数据包内容以及设置流表 的优先级进行匹配。。

OpenFlow交换机：支持OpenFlow协议的转发交换机，属于SDN网元的一 种形态。支持标准OpenFlow转发的网络设备，支持控制器下发流表配置。同时 支持vxlan接口，与传统网络设备连接。按控制器下发的流表规则执行转发动作。 各个交换机之间也可以互相通信。

SDN控制器：与OpenFlow交换机等SDN网元进行交互的控制单元，单个 或多个控制器组成控制平面。对网络进行集中控制，向各交换机下发流表，并 集中管理各交换机上的流表以实现整个网络的集中管理。

OpenFlow流表：OpenFlow通过流表控制OpenFlow交换机，流表通过匹配 报文内容定义交换机处理数据报文动作的规则，通过设置优先级，数据报文匹 配到多条流表后，执行高优先级制定的报文处理动作。

ARP(Address Resolution Protocol，地址解析协议)：一个位于TCP/IP协议 栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。

BGP：常用的IP路由协议，用于在不同的路由器之间通告路由。

VLAN：虚拟局域网，将业务隔离在一个二层网络内。

OFS：OpenFlow Switch的简称。

Docker容器：Docker容器是一个开源的应用容器引擎，让开发者可以打包 他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机 器上，也可以实现虚拟化。

本发明通过定义一个控制面的虚拟路由器网络组件vRouter，实现转发面数 据转发和控制面路由学习解耦。vRouter按不同实现可以有两方面功能，一是从 用户侧路由器学习路由以及宣告路由信息，使用户侧路由器动态学习到路由； 二是vRouter通过收集到的路由信息和ARP信息，指导SDN控制器给SDN网 络的openflow交换机下发流表，实现设备的路由控制面功能，而PE设备只用 来数据转发，不运行任何路由协议。本发明涉及两种虚拟链路：控制链路和业 务链路，其中，控制链路，跑路由协议的，是CE<->VRouter之间的；业务联 路，跑用户业务数据报文的，是CE<->CE之间的，不是通过VRouter转发的。 以下结合附图对本申请实施例的方案进行详细说明。

参阅图2、图3、图4和图5，图2是本发明一种基于SDN网络实现平面分 离的方法流程图；图3是本发明实施例中vRouter的一种实现方式的结构示意图； 图4是本发明一种基于SDN网络实现平面分离的***的结构示意图；图5是本 一种基于SDN网络实现平面分离的一种实施例的结构示意图；

本发明需要为每个用户创建一个虚拟路由器vRouter，用于集中控制路由器 CE学习和发布路由信息和ARP信息；较佳地，集中CE的学习和发布，具体为： 从一个CE学习到路由信息和ARP信息，并发布到另一个CE，这是一个用户网 络路由学习的功能。

为实现用户隔离，vRouter可以部署在相互隔离的容器内，为每个用户提供 路由控制。

较佳地，容器可以为docker容器。Docker是一个开源的应用容器引擎，所 以我们可以打包我们的vRouter到一个可移植的容器中，然后发布到服务器上实 现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口。我们可以使 用远程API来管理和创建Docker容器。Docker容器通过Docker镜像来创建。 容器与镜像的关系类似于面向对象编程中的对象与类。

我们可以为每个vRouter创业一个Docker实例。Docker核心解决的问题是 利用LXC来实现类似VM的功能，从而利用更加节省的硬件资源提供给用户更 多的计算资源。

docker容器相当于独立的一个网络，和OVS通过接口连接服务器上的虚拟 接口。docker容器通过OVS接入网络。

较佳地，vRouter可以独立部署在服务器上，也可以集成在SDN控制器中， 如果是独立部署情况下，SDN控制器需要提供API接口用以接受vRouter的路 由信息。所述vRouter通过所述SDN控制器提供的API接口，将用户的所述路 由信息和ARP信息发送给所述SDN控制器。如果是集成在SDN控制器情况下， 集成到控制器意思是SDN控制器中做vRouter的功能，这样就不需要单独定义 一个vRouter的角色。

下面结合一个例子进行举例说明，请参阅图3所示，例如有两个用户，分 别为两个用户各创建了一个虚拟路由器vRouter1和vRouter2，vRouter1和 vRouter2分别部署在两个容器内，为两个用户供路由控制。如图5所示，SDN 包括两个转发设备：OFS-1和OFS-2；vRouter1的eth1和用户端路由器CE1的 port1逻辑上互联，vRouter1的eth2和用户端路由器CE2的port2逻辑上互联。 CE1的路由信息是10.1.0.0/16，接入端口port1的ip是169.254.1.1，MAC地址 是00:00:00:00:00:01；CE2的路由信息是10.2.0.0/16，接入端口port2中的ip是 169.254.2.2，MAC地址是00:00:00:00:00:02。

本发明基于SDN网络实现平面分离的方法，具体包括以下步骤：

步骤S101、SDN控制器向openflow交换机下发CE与vRouter之间的ARP 报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控 制链路用于传输控制流量；

较佳地，CE与vRouter之间的ARP报文流表和ip报文流表包括：CE到 vRouter的ARP报文流表和vRouter到CE的ARP报文流表，具体如下：

较佳地，CE到vRouter的ARP报文流表中至少包括：匹配字段和动作字段， 所述匹配字段包括CE接入端口号、源和目的分别是CE和vRouter的ip地址， 所述动作字段为动作是打上到vRouter的vlan，发往vRouter。

较佳地，vRouter到CE的ARP报文流表中至少包括：匹配字段和动作字 段，所述匹配字段包括vRouter接入端口号、源和目的分别是vRouter和CE的 ip地址，所述动作字段为动作是去掉vlan，发往CE。

较佳地，CE到vRouter的ip报文流表中至少包括：匹配字段和动作字段， 所述匹配字段包括CE接入端口号、源和目的分别是CE和vRouter的ip地址， 所述动作字段为动作是打上到vRouter的vlan，发往vRouter。

较佳地，vRouter到CE的ip报文流表中至少包括：匹配字段和动作字段， 所述匹配字段包括vRouter接入端口号、源和目的分别是vRouter和CE的ip地 址，所述动作字段为动作是去掉vlan，发往CE。

较佳地，所述控制流量至少包括：路由协议和ARP协议。

较佳地，CE与vRouter之间的路由协议报文要互通，必须有两类流表，一 类是ARP流表，一类是传输路由协议使用的ip报文流表，路由协议被封装成ip 报文进行通信。

较佳地，SDN控制器向openflow交换机下发CE与vRouter之间的ARP报 文流表，完成CE与vRouter之间的ARP互通，所述vRouter获取各所述CE的 ARP信息，所述vRouter通过相关API将所述CE的ARP信息传输给SDN控制 器，所述SDN控制器向openflow交换机下发CE到vRouter的ip报文流表，保 证CE与vRouter之间ip流量可达，可以建立连接。

步骤S102、所述vRouter获取各所述CE的路由信息和ARP信息，并将所 述路由信息和ARP信息发送给所述SDN控制器，指导所述SDN控制器向 openflow交换机下发业务数据流表；

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和 MAC地址的映射关系；

如图3所示，vRouter的路由信息和ARP可以通过安装路由引擎获取，也可 以通过对外提供API接口接受手动录入。vRouter和SDN控制器相连，SDN控 制器需要提供API接口，接收vRouter通知的路由信息和ARP信息，并以此为 指导为openflow交换机下发流表。

所述vRouter通过安装路由引擎获取所述CE发送的所述路由信息和ARP 信息，此时vRouter具有路由学习和发布功能。路由引擎可以是一些可以运行在 服务区上的开源或者非开源的，能运行相关路由协议的软件，例如goBGP，通 过它可以像传统路由器一个和用户的路由器交互路由信息。

较佳地，所述vRouter获取各所述CE的路由信息和ARP信息可以通过EBPP 的方式实现。vRouter学习到CE1和CE2上的路由信息和ARP信息，并宣告路 由信息，使用户侧路由器CE动态学习到路由信息。vRouter从一个CE上学习 到路由并发布到另一个路由。CE之间通过所述vRouter完成相互的用户路由学 习，具体为：vRouter从一个CE学习到路由信息和ARP信息，并发布到另一个 CE。举例如图5所示的实例中，vRouter从CE1学习10.1.0.0/16网段的路由， 并发布到CE2，从CE2学习到10.2.0.0/16网段的路由，并发布到CE1。由于vRouter不负责业务流量，所以vRouter发布路由信息时需要通过BGP的导出策 略控制修改导出路由的下一跳为路由网段所在网络对应的CE设备的出口IP，而 不能指定vRouter自己与对端连接的IP地址。

较佳地，所述vRouter获取各所述CE的路由信息和ARP信息可以通过静 态的手工录入的方式实现。如果采用静态的手工录入的方式实现vRouter功能。 静态方式下，vRouter不具有路由学习和发布功能，用户CE设备由用户配置静 态路由，vRouter上也通过手动录入的方式录入用户网络路由，各CE设备和 vRouter仍然存在逻辑上的直链，但这种情况下不再用来学习和发布路由信息， 而是为了vRouter能够通过ARP请求获取到与各CE直链IP的MAC地址信息， 这样vRouter上即同采用EBGP方式一样，存在各用户网络的路由信息和ARP 信息，将路由信息和ARP信息通过SDN控制器提供的API接口传递给SDN控 制器，SDN控制器可以向openflow交换机OFS-1和OFS-2下发全部的流表，如 上文所示。这种情况下，vRouter的主要功能是指导控制器为openflow交换机下 发转发流表。

本发明实施例路由控制的方式以EBGP和静态的方式举例，但并不限于这 两种方式，例如使用IGP协议也可以实现，或者vRouter也可以通过接入网络中 的一台物理路由器实现。以其他方式实现路由控制的方式均在本发明的保护范 围之内。

再以图5举例，图5为同一用户的两个路由CE1、CE2分别通过openflow 交换机OFS-1、OFS-2接入骨干网，SDN控制器通过openflow协议管理这些交 换机OFS-1、OFS-2，vRouter和CE1、CE2设备之间各建立一条虚拟控制链路， 用于vRouter和CE之间的互联，该虚拟控制链路上只转发路由协议、ARP协议 等控制流量，不承担业务流量的转发。

较佳地，CE和vRouter可以建立EBGP连接，通过BGP协议相互发布路由 信息。

路由信息主要就是到一个目的需要的下一跳的主要信息：

R1Routing Table:

10.1.0.0/16next-hop 169.254.1.1

10.2.0.0/16next-hop 169.254.2.1

ARP信息是IP和MAC的映射关系；

R1ARP Table:

169.254.1.1 00:00:00:00:00:01

169.254.2.1 00:00:00:00:00:02

建立的虚拟控制链路为图4中的Link1，SDN控制器需要对交换机OFS-1 下发CE1到vRouter的ARP报文流表和vRouter到CE1的ARP报文流表，保证 CE1和vRouter之间的ARP报文能够转发给对方，该ARP报文流表具体包含以 下内容：

Entry1:

"in_port＝p3,arp,arp_spa＝169.254.1.1,arp_tpa＝169.254.1.2,actions＝set_field:100->vl an_vid,output:p5"

Entry1流表的具体含义为：匹配从CE1接入端口接收的arp报文，源和目 的分别是CE1和vrouter的ip地址，动作是打上到vrouter的vlan，发往vrouter。

Entry2:

"in_port＝p5,dl_vlan＝100,arp,arp_spa＝169.254.1.2,arp_tpa＝169.254.1.1,actions ＝strip_vlan,output:p3"

Entry2流表的具体含义为：匹配从vrouter收到的arp报文，源和目的分别 是vrouter和CE1的ip地址，去掉vlan后，送往CE1。

vRouter获取用户侧ip的ARP后，下发CE到vRouter和vRouter到CE的 ip报文流表，保证CE和vRouter之间ip流量可达，可以建立EBGP连接，ip 报文流表具体包含以下内容：

Entry3:

"in_port＝p3,ip,nw_src＝169.254.1.1,nw_dst＝169.254.1.2, actions＝set_field:100->vlan_vid,output:p5"

Entry3流表的具体含义为：匹配从CE1收到的ip报文，源和目的分别是 CE1和vrouter的ip地址，动作为打上到vrouter的vlan后发往vrouter。

Entry4:

"in_port＝p5,dl_vlan＝100,ip,nw_src＝169.254.1.2,nw_dst＝169.254.1.1,actions＝ strip_vlan,output:p3"

Entry4流表的具体含义为：匹配从vrouter发往CE1的ip报文，源和目的分 别是vrouter和CE1的ip地址，动作为去掉vlan后，发往CE1。

CE1与vRouter之间的虚拟控制链路建立起来。建立的虚拟控制链路为图5 中的Link2，SDN控制器需要对交换机OFS-2下发CE2与vRouter之间的ARP 报文流表，保证CE2和vRouter之间的ARP报文能够转发给对方。该CE2与 vRouter之间的ARP报文流表与前述Entry1-Entry2类似，不再赘述。SDN控制 器需要对交换机OFS-2下发CE2与vRouter之间的ip报文流表，保证CE2与 vRouter之间的流量可达，建立EBPG连接。该CE2与vRouter之间的ip报文流 表与前述Entry3-Entry4类似，不再赘述。

CE2与vRouter之间的虚拟控制链路建立起来。

CE1与CE2通过所述虚拟控制链路传输路由协议和ARP协议等控制流量。

CE之间通过所述vRouter完成相互的用户路由学习，具体为：vRouter从一 个CE学习到路由信息和ARP信息，并发布到另一个CE。举例如图5所示的实 例中，vRouter从CE1学习10.1.0.0/16网段的路由，并发布到CE2，从CE2学 习到10.2.0.0/16网段的路由，并发布到CE1。vRouter学习到CE1和CE2上的 路由信息和ARP信息。由于vRouter不负责业务流量，所以vRouter发布路由信 息时需要通过BGP的导出策略控制修改导出路由的下一跳为路由网段所在网络 对应的CE设备的出口IP，而不能指定vRouter自己与对端连接的IP地址。所以vRouter在向CE2发布10.1.0.0/16网段的路由时，下一跳修改为169.254.1.1， 而不是169.254.2.2；同理，vRouter在向CE1发布10.2.0.0/16网段的路由时，下 一跳修改为169.254.2.1，而不是169.254.1.2。这样CE1上学到路由：10.2.0.0/16 next-hop169.254.2.1，CE2上学到路由：10.1.0.0/16next-hop 169.254.1.1。例如， 如果vRouter采用EBGP方式实现路由控制，通过下发CE和vRouter之间互联 ip的ARP报文流表(Entry1–Entry2)和ip报文流表(Entry3–Entry4)，CE和 vRouter可以建立EBGP连接，实现CE和vRouter之间的控制流量互通，通过 EBGP协议自动交互路由信息。

步骤S103、所述SDN控制器根据所述ARP信息和路由信息向所述openflow 交换机下发各CE之间的ARP请求流表和业务数据流表，建立各CE之间的虚 拟业务数据链路，所述虚拟业务数据链路用于传输业务数据报文。

较佳地，各CE之间通过所述虚拟业务数据链路传输业务数据报文。

较佳地，所述SDN控制器根据所述ARP信息中的MAC地址和路由信息向 所述openflow交换机下发各CE之间的ARP请求流表。

较佳地，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一 跳目的MAC地址下发。

较佳地，SDN控制器向openflow交换机下发各CE之间的ARP请求流表， 完成各CE之间的ARP互通，CE1获取CE2的ARP信息，CE2获取CE1的ARP 信息；所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和 MAC地址的映射关系。所述SDN控制器向openflow交换机下发各CE之间的 业务数据流表，用于CE之间业务流量的转发。

较佳地，CE1到CE2的ARP请求流表中至少包括：匹配字段和动作字段， 所述匹配字段包括匹配从CE1发往CE2的ARP请求报文，源和目的分别为CE1 到CE2的ip地址，动作为打上到CE2的vlan后，发往CE2。

较佳地，CE2到CE1的ARP请求流表中至少包括：匹配字段和动作字段， 所述匹配字段包括匹配从OFS-2发往CE1的arp报文，源和目的分别为CE2和 CE1的ip地址，动作是去掉vlan后，发往CE1。

较佳地，基于匹配用户网段下发流表CE1到CE2的业务数据流表中至少包 括：匹配字段和动作字段，所述匹配字段包括：匹配从CE1发往CE2的ip报文， 目的地址是CE2所接用户网段的网段ip地址，动作字段包括：动作为打上CE2 的vlan后，发往OFS-2。

较佳地，基于匹配用户网段下发流表CE2到CE1的业务数据流表中至少包 括：匹配字段和动作字段，所述匹配字段包括匹配从OFS-2发往CE1的ip报 文，目的是CE1所接的用户网段的网段ip地址，动作字段包括：动作为去掉vlan 后，发往CE1。

较佳地，基于匹配下一跳目的的MAC地址下发流表CE1到CE2的业务数 据流表中至少包括：匹配字段和动作字段，所述匹配字段包括：匹配从CE1收 到的报文，mac地址为CE2接口的MAC地址，动作字段包括：动作为打上CE2 的vlan后，发往CE2。

较佳地，基于匹配下一跳目的的MAC地址下发流表CE2到CE1的业务数 据流表中至少包括：匹配字段和动作字段，所述匹配字段包括：匹配从OFS-2 收到的报文，mac地址为CE1的接口MAC地址，动作字段包括：动作为去掉 vlan后，发往CE1。

再以图5为例进行举例说明，vRouter通过SDN控制器提供的API接口， 将用户路由信息和ARP信息传递给SDN控制器用于指导SDN控制器分别向 openflow交换机OFS-1和OFS-2下发业务数据流表，建立OFS-1与OFS-2之间 的虚拟业务数据链路Link3，指导所述OFS-1和OFS-2转发数据报文；CE之间 通过虚拟业务数据链路Link3转发业务数据报文，SDN控制器向OFS-1下发如 下流表,具体如下：

(1)SDN控制器给交换机OFS-1下发CE1到CE2的ARP请求流表和CE2 到CE1的ARP请求流表，用于CE1到CE2的ARP请求和CE2到CE1的ARP 请求：

Entry5:

"in_port＝p3,arp,arp_spa＝169.254.1.1,arp_tpa＝169.254.2.1,actions＝set_field:300->vl an_vid,output:p5"

Entry5流表的具体含义为：匹配从CE1发往CE2的ARP请求报文，源和 目的分别为CE1到CE2的ip地址，动作为打上到CE2的vlan后，发往CE2。

Entry6:

"in_port＝p5,arp,dl_vlan＝300,arp_spa＝169.254.2.1,arp_tpa＝169.254.1.1,actions ＝strip_vlan,output:p3"

Entry6流表的具体含义为：匹配从OFS-2发往CE1的arp报文，源和目的 分别为CE2和CE1的ip地址，动作是去掉vlan后，发往CE1。

(2)SDN控制器给交换机OFS-1下发业务数据流表，用于CE之间的业务流 量转发，建立所述CE1与CE2之间的虚拟业务数据链路，CE1与CE2之间通过 所述虚拟业务数据链路传输业务数据报文。

较佳地，可以基于匹配用户网段下发流表，也可以基于目的mac下发流表。

下面针对基于匹配用户网段下发流表进行举例说明：

Entry7:

"in_port＝p3,nw_dst＝10.2.0.0/16,actions＝set_field:300->vlan_vid,output:p5"

Entry7流表的具体含义为：匹配从CE1发往CE2的ip报文，目的地址是 CE2所接用户网段的网段ip地址，动作为打上CE2的vlan后，发往OFS-2。

Entry8:

"in_port＝p5,dl_vlan＝300,nw_dst＝10.1.0.0/16,actions＝strip_vlan,output:p3"

Entry8流表的具体含义为：匹配从OFS-2发往CE1的ip报文，目的是CE1 所接的用户网段的网段ip地址，动作为去掉vlan后，发往CE1。

下面针对基于匹配下一跳目的MAC地址下发流表进行举例说明：

Entry9:

"in_port＝p3,

eth_dst＝00:00:00:00:00:02,actions＝set_field:300->vlan_vid,output:p5"

Entry9流表的具体含义为：匹配从CE1收到的报文，mac地址为CE2接口 的MAC地址，动作为打上CE2的vlan后，发往CE2；

Entry10:

"in_port＝p5,dl_vlan＝300,eth_dst＝00:00:00:00:00:01,actions＝ strip_vlan,output:p3"

Entry10流表的具体含义为：匹配从OFS-2收到的报文，mac地址为CE1 的接口MAC地址，动作为去掉vlan后，发往CE1。

Entry7、Entry8是根据路由信息下根据网段转发的流表，Entry9，Entry10， 是根据MAC地址下的根据对端目的MAC转发的流表。

Entry9、10相对于7、8的好处在于基于目的MAC的流表个数仅与CE节 点的个数有关，而与每个CE所连接的网络有多少私网网段无关，很大程度减少 了流表个数；而且由于业务转发流表不涉及路由网段信息，当用户侧路由信息 变化时，业务流流表不会随之变化而影响业务流量，稳定性也较高。

本发明还一种基于SDN网络实现平面分离的***，不仅包括：SDN控制器、openflow交换机、用户路由器CE，还包括虚拟路由器vRouter，其中，

所述SDN控制器用于向openflow交换机下发CE与vRouter之间的ARP报 文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控制 链路用于传输控制流量；

所述vRouter用于获取各所述CE的ARP信息和路由信息，并将所述ARP 信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交 换机下发业务数据流表；

所述SDN控制器还用于根据所述ARP信息和路由信息向所述openflow交 换机下发各CE之间的ARP请求流表和业务数据流表，建立各所述CE之间的 虚拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。

较佳地，所述控制流量至少包括：路由协议和ARP协议。

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和 MAC地址的映射关系；

较佳地，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一 跳目的MAC地址下发。

较佳地，所述vRouter还用于通过安装路由引擎获取所述路由信息，或，通 过录入方式获取所述路由信息。

较佳地，所述vRouter部署在相互隔离的容器内，为每个用户提供路由控制， 所述容器通过OVS接入网络，每个用户一个vRouter实例。

本发明还提供一种基于SDN网络实现平面分离的装置，本实施例中的装置 为虚拟路由器vRouter，包括：

获取单元，用于当SDN控制器向openflow交换机下发用户路由器CE与虚 拟路由器vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之 间的虚拟控制链路之后，获取各所述CE的ARP信息和路由信息；

发送单元，用于将所述ARP信息和路由信息发送给所述SDN控制器，指 导所述SDN控制器向openflow交换机下发各CE之间的ARP请求流表和业务 数据流表，建立各所述CE之间的虚拟业务数据链路；

较佳地，所述控制流量至少包括：路由协议和ARP协议。

较佳地，所述ARP至少信息包括：CE侧的IP地址、MAC地址、以及IP 地址和MAC地址的映射关系。

本申请的方案同时具有很好的扩展性，无论是用户网络增加用户网段，还 是新增网络节点，vRouter能自动完成流表的下发和路由的学习，而不影响已有 业务。

通过本发明提供的方法，实现了网络数据转发面和路由控制面的解耦，用 户网络的接入设备不再配置任何路由控制功能，只负责数据转发，提高设备的 性能和稳定性，降低业务开通和维护的复杂性，通过定义的虚拟路由器与用户 网络对接，专门负责路由控制，提高了整个网络的扩展性。

本发明虽然以较佳实施例公开如上，但其并不是用来限定本发明，任何本 领域技术人员在不脱离本发明的精神和范围内，都可以做出可能的变动和修改， 因此本发明的保护范围应当以本发明权利要求所界定的范围为准。

Claims (12)

1.一种基于SDN网络实现平面分离的方法，其特征在于，包括：

SDN控制器向openflow交换机下发用户路由器CE与虚拟路由器vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控制链路用于传输控制流量；

所述vRouter获取各所述CE的ARP信息和路由信息，并将所述ARP信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交换机下发业务数据流表；

所述SDN控制器根据所述ARP信息和所述路由信息向所述openflow交换机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的虚拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。

2.如权利要求1所述的方法，其特征在于，所述控制流量至少包括：路由协议和ARP协议；

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和MAC地址的映射关系。

3.如权利要求1所述的方法，其特征在于，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一跳目的MAC地址下发。

4.如权利要求1所述的方法，其特征在于，所述vRouter通过安装路由引擎获取所述路由信息，或，通过录入方式获取所述路由信息。

5.如权利要求1所述的方法，其特征在于：

为每个用户建立一个vRouter，所述vRouter部署在相互隔离的容器内，为每个用户提供路由控制，所述容器通过OVS接入网络。

6.一种基于SDN网络实现平面分离的***，包括：SDN控制器、openflow交换机、用户路由器CE，其特征在于，还包括虚拟路由器vRouter，其中，

所述SDN控制器用于向openflow交换机下发CE与vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路；所述虚拟控制链路用于传输控制流量；

所述vRouter用于获取各所述CE的ARP信息和路由信息，并将所述ARP信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交换机下发业务数据流表；

所述SDN控制器还用于根据所述ARP信息和路由信息向所述openflow交换机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的虚拟业务数据链路；所述虚拟业务数据链路用于传输业务数据报文。

7.如权利要求6所述的***，其特征在于，所述控制流量至少包括：路由协议和ARP协议；

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和MAC地址的映射关系。

8.如权利要求6所述的***，其特征在于，所述业务数据流表是基于匹配用户网段下发，或，基于匹配下一跳目的MAC地址下发。

9.如权利要求6所述的***，其特征在于，所述vRouter还用于通过安装路由引擎获取所述路由信息，或，通过录入方式获取所述路由信息。

10.如权利要求6所述的***，其特征在于：

所述vRouter部署在相互隔离的容器内，为每个用户提供路由控制，所述容器通过OVS接入网络，每个用户一个vRouter实例。

11.一种基于SDN网络实现平面分离的装置，其特征在于，包括：

获取单元，用于当SDN控制器向openflow交换机下发用户路由器CE与虚拟路由器vRouter之间的ARP报文流表和ip报文流表，建立CE与vRouter之间的虚拟控制链路之后，获取各所述CE的ARP信息和路由信息；

发送单元，用于将所述ARP信息和路由信息发送给所述SDN控制器，指导所述SDN控制器向openflow交换机下发各CE之间的ARP请求流表和业务数据流表，建立所述各CE之间的虚拟业务数据链路。

12.如权利要求11所述的装置，其特征在于，所述控制流量至少包括：路由协议和ARP协议；

所述ARP信息至少包括：CE侧的IP地址、MAC地址、以及IP地址和MAC地址的映射关系。