CN110493057A - 一种无线接入设备及其转发控制方法 - Google Patents

Abstract

本发明涉及无线数据通信领域，其公开了一种无线接入设备及其转发控制方法，减少内外网分离场景下AP的配置数量，并实现同一无线接入点设备下射频所关联的终端能够接入不同的网络。该接入设备包括：策略配置模块，用于获取用户配置的无线接入设备的射频绑定信息并解析，将解析的射频绑定信息配置到策略控制模块；策略控制模块，用于根据用户配置的射频绑定信息生成相应绑定策略，并向上层应用提供增加、删除和显示所述策略的接口，以及根据报文的出接口和入接口进行绑定策略检查，将检查结果传送给转发模块；转发模块，用于根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

Description

一种无线接入设备及其转发控制方法

技术领域

本发明涉及无线数据通信领域，具体涉及一种无线接入设备及其转发控制方法。

背景技术

在互联网+的整个网络拓扑中，对于无线接入点(Access Point，简称AP)设备而言，其本身有2G和/或5G射频模块，终端可以通过射频模块所发出的无线信号进行接入、发送等相关操作；数据报文通过AP的嵌入式分布式***，最终把数据报文通过有线接口发送到上层网络，最终实现无线终端与上层网络交互的功能。

在内外网分离的网络场景中，无线终端通过AP与上行网络交互数据，无线终端始终只能通过当前关联AP的上行网络出口与对端进行交互，而想要用另一个网络，只能通过其它AP进行配置操作。如图1所示，由于当前一个AP无法支持多个网络上行，在内外网场景下，需要多台AP共同协作，成本高。

对于本身支持多个以太网口的AP，在采用双网口上行时，AP内部的典型逻辑接口如图2所示。终端通过ath0接口关联上AP后，首先通过DHCP discovery(发现)报文来获取IP地址，DHCP discovery是广播报文，根据二层交换的原理，该报文会被发送到eth0.10和eth1.10，因此内外网均可收到。如果内外网均有这个相同的vlan10号的DHCP服务器,则两个服务器均会作出响应，向终端反馈DHCP offer(响应)报文，终端在收到两个offer报文后最终选择哪个DHCP服务器则是不能确定的。即使终端选择了正确的网络，终端发出的广播报文也会广播到另外的网络中，同样，来自其它网络的广播报文也会被终端接收到，因此存在信息数据安全隐患。

综上，现有技术方案存在以下缺陷：1.在内外网分离场景中需要布置多个AP，成本高；2.对于支持双以太网接口的AP，会受到广播报文及组网约束影响用户使用，当前AP下所有射频的终端用户只能接入在一个网络中，不同射频的用户无法接入到不同的网络环境。

发明内容

本发明所要解决的技术问题是：提出一种无线接入设备及其转发控制方法，减少内外网分离场景下AP的配置数量，并实现同一无线接入点设备下射频所关联的终端能够接入不同的网络。

为解决上述技术问题，一方面，本发明的实施例提供了一种无线接入设备，所述无线接入设备具有至少两个以太网接口，所述至少两个以太网接口用于接入不同的网络；所述无线接入设备包括：策略配置模块、策略控制模块和转发模块；

所述策略配置模块，用于获取用户配置的所述无线接入设备的射频绑定信息并解析，将解析的射频绑定信息配置到策略控制模块；

所述策略控制模块，用于根据用户配置的射频绑定信息生成相应绑定策略，以及根据报文的出接口和入接口进行绑定策略检查，将检查结果传送给转发模块；

所述转发模块，用于通过所述策略控制模块提供的策略检查接口，向策略控制模块提供报文的入接口和出接口信息，并根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

作为进一步优化，所述策略控制模块为无线接入设备的内核中的独立模块，在射频绑定功能开启时加载，关闭时卸载。

作为进一步优化，所述策略控制模块包括:策略配置维护子模块，用于根据用户配置的射频绑定信息生成相应策略，并向上层应用提供增加、删除和显示所述策略的ioctl接口；

策略检查子模块，用于根据报文的出接口和入接口进行绑定策略检查，将检查结果通过策略检查接口传送给转发模块。

作为进一步优化，所述转发模块包括快转判定子模块和桥转发子模块，

所述快转判定子模块，用于判定下行报文是否符合快速转发规则，对于符合快速转发规则的下行报文，根据快转表确定报文的出接口，并通过所述策略控制模块提供的策略检查接口，向策略控制模块提供报文的入接口和出接口信息，对于不符合快速转发规则的下行报文提交给桥转发模块；

所述桥转发子模块，用于对入桥的上行报文或下行报文根据桥转发表确定报文的出接口，并通过所述策略控制模块提供的策略检查接口，向策略控制模块提供报文的入接口和出接口信息，并根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

作为进一步优化，所述至少两个以太网接口包括第一以太网接口和第二以太网接口，所述第一以太网接口和所述第二以太网接口分别连接不同的网络；所述无线接入设备支持第一射频和第二射频；所述策略控制模块通过策略表分组来存储用户配置的射频绑定信息，具有相同组值的接口类型下的接口具有射频绑定关系；

所述接口类型至少包括：第一以太网接口类、第二以太网接口类、第一射频类和第二射频类；其中，

第一以太网接口类包括第一以太网接口以及与所述第一以太网接口建立连接的上行vlan设备；

第二以太网接口类包括第二以太网接口以及与所述第二以太网接口建立连接的上行vlan设备；

第一射频类包括通过第一射频关联所述无线接入设备的终端设备；

作为进一步优化，所述策略配置模块具体用于，从应用层获取配置报文并解析出射频绑定信息，生成各个接口类型的组值，然后加载策略控制模块，并将各个接口类型的组值配置到策略控制模块。

作为进一步优化，所述策略检查子模块具体用于，根据报文的出接口和入接口的名称匹配所属的接口类型，根据接口类型的组值检查出接口和入接口是否符合绑定策略，并将检查结果通过策略检查接口传送给转发模块。

另一方面，本发明的实施例还提出了上述无线接入设备的转发控制方法，其包括：

无线接入设备在收到报文后判断报文的发送方向，若为上行报文，则在桥转发模块进行转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理；

若报文为下行报文，首先判定下行报文是否符合快速转发规则，对于符合快速转发规则的下行报文，在进行快速转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理；

对于不符合快速转发规则的下行报文，则由桥转发模块进行转发处理，在桥转发模块进行转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

作为进一步优化，所述对报文的出接口和入接口进行绑定策略检查，具体包括：

通过报文的出接口和入接口的名称来确定出接口和入接口的接口类型，根据策略表中出接口和入接口的接口类型的组值来检查出接口和入接口是否符合绑定策略。

作为进一步优化，所述根据策略表中出接口和入接口的接口类型的组值来检查出接口和入接口是否符合绑定策略具体包括：

对出接口的接口类型的组值和入接口的接口类型的组值进行与运算，若运算结果为0，则判定出接口与入接口不符合绑定策略，若运算结果不为0，则判定出接口与入接口符合绑定策略。

本发明的有益效果是：通过无线接入点的终端可以按无线接入点射频的绑定规则，通过策略检查功能，查看是否符合绑定规则，对于符合规则的报文放行，对于不符合规则的报文丢弃。从而达到在一台无线接入点设备中的不同射频下的终端根据绑定规则进行有效的物理分离，实现两个及以上以太口同时作上行接口，不同射频用户分别接入不同网络的目的，因此仅通过一台AP就可以实现多网络部署，从而减少AP的部署成本，适用于内外网分离的场景和多子网部署场景。

附图说明

图1为现有技术中的内外网场景下的组网拓扑结构图；

图2为现有技术中采用双网口上行时AP内部的逻辑接口图；

图3为本发明方案内外场景下的组网拓扑结构图；

图4为本发明中的无线接入设备结构框图。

具体实施方式

本发明旨在提出一种无线接入设备及其转发控制方法，减少内外网分离场景下AP的配置数量，并实现同一无线接入点设备下射频所关联的终端能够接入不同的网络。

为了减少内外网分离场景下AP的配置数量，本发明的无线接入设备在硬件设计上至少支持2个以太网接口作为上行接口，在内外网隔离的场景下，如图3所示，可以将第一以太网接口和第二以太网接口分别接入内网和外网，并将支持的第一射频(2G)和第二射频(5G)分别绑定到一个以太网接口上，这样可以实现接入不同射频的用户分别接入不同网络的目的。

要实现内外网隔离，首先需要进行出接口和入接口的射频绑定，另外还要在转发中增加策略控制，即在报文转发流程中的某个检查点来检查报文的出接口是否符合入接口的绑定规则，符合则允许转发，不符合就不发送到该出接口。

基于上述原理，本发明中的无线接入设备如图4所示，其包括：策略配置模块、策略控制模块和转发模块；

所述策略配置模块，用于获取用户配置的无线接入设备的射频绑定信息并解析，将解析的射频绑定信息配置到策略控制模块；

所述策略控制模块，用于根据用户配置的射频绑定信息生成相应绑定策略，以及根据报文的出接口和入接口进行绑定策略检查，将检查结果传送给转发模块；

所述转发模块，用于通过策略控制模块提供的策略检查接口调用所述策略控制模块，向策略控制模块提供报文的入接口和出接口信息，并根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

本发明实施例中，用户在配置好射频绑定信息后，处于应用层的策略配置模块对配置的射频绑定信息进行解析，将解析出来的射频绑定信息下发到内核中的策略控制模块，由策略控制模块生成相应绑定策略并进行维护，在设备进行桥转发时通过调用策略控制模块提供的检查接口来获得射频绑定策略，从而对报文的出接口和入接口进行检查，检查是否符合绑定策略。

本发明实施例中，策略控制模块包括策略配置维护子模块和策略检查子模块；

策略配置维护子模块，用于根据用户配置的射频绑定信息生成相应策略，并向上层应用提供增加、删除和显示所述策略的ioctl接口；

策略检查子模块，用于根据报文的出接口和入接口进行绑定策略检查，将检查结果通过策略检查接口传送给转发模块。

实施例：

以采用AP中包括双以太网接口eth0和eth1作为上行接口，其中eth0和eth1分别连接不同的网络；以及AP支持第一射频和第二射频分别为radio1和radio2为例，本实施例中的转发控制实现方案涉及到以下几个部分：

1.射频绑定：

本实施例中的射频绑定涉及到4种接口类型，包括：eth0类、eth1类、radio1类和radio2类；

eth0类包括eth0及与eth0建立连接的上行vlan设备；

eth1类包括eth1及与eth1建立连接的上行vlan设备；

radio1类包括通过射频1关联AP的终端设备；

radio2类包括通过射频2关联AP的终端设备。

在本发明实施例中，如果AP包括两个以上的以太网接口，如还包括以太网接口eth2和eth3，则可以根据其所连接的网络不同归入不同的接口类型，如eth2和eth0连接相同的网络，则将eth2也归入eth0类；如eth3和eth1连接相同的网络，则将eth3也归入eth1类。由于所有vlan都支持同样的绑定关系，策略控制模块只需要存储一张策略表，用来记录上述4种接口类型之间的绑定关系，而不需要为每个vlan分别记录一张表。

上述策略表描述了各种接口类型的发送规则，具体地指“当报文从一种接口类型进入时，允许从哪些接口类型出”。为此，本发明中采用组(group)进行分类策略表记录了每种接口类型的组值(group value)，group value是一个32位整型数值，它的每一位(bit)表示一个group,最多有32个group。某接口类型的group value为1的bits表示该接口类型加入了对应的groups.假设eth0.9和ath0101两个接口对应的接口类型都加入了bit 0表示的group，那么就具有了这样的绑定策略规则：从eth0.9进入的报文可以从ath0101发送，从ath0101进入的报文也可以从eth0.9发送。

目前设计使用了4个group，分别为group_r1、group_r2、group_ether和group_wlan；其中，group_r1描述射频1的绑定关系，group_r2描述射频2的绑定关系，group_ether描述以太口之间的绑定关系，group_wlan描述终端设备之间的绑定关系。

根据不同的射频绑定配置，分为4种配置情况，各配置的策略表详见表1～表4

表1：射频1绑定eth0,射频2绑定eth1

表2：射频1绑定eth0,射频2不绑定

表3：射频1绑定eth0，射频2绑定eth0

表4.：射频1不绑定,射频2不绑定

2.策略配置：

用户配置好射频绑定信息后，处于应用层的策略配置模块对配置的射频绑定信息进行解析，并将射频绑定信息配置到策略控制模块，策略配置模块在解析配置报文获取射频绑定的配置信息后，生成4种接口类型的group value(组值)，在加载内核的策略控制模块后将group value配置到策略控制模块。

具体的配置函数处理流为：在解析配置报文获取射频绑定的配置信息后，如果发现两个射频均关闭绑定功能，则卸载策略控制模块，否则，就根据配置信息生成4种接口类型的group value，在加载内核的策略控制模块后将group value配置到策略控制模块，然后返回配置结果。

3.管理隔离：

在内外网分离的场景下采用双以太网接口上行时，需要指定AP的管理帧绑定到eth0接口上，以避免AP到eth1连接的网络上线。转发模块利用管理隔离功能进行绑定策略检查，转发模块嵌入在有线驱动中，该模块可以方便地识别那些从管理口(默认为br1)发送的报文以及发送到管理口的报文。在报文进入转发模块时，若确定报文的vlan tag是管理vlan且源MAC地址是本AP的MAC地址时，则对报文的出接口和入接口的绑定策略进行检查，对符合绑定策略的报文进行capwap封装并进行转发，对不符合绑定策略的报文进行丢弃处理。

AP接收方向的管理隔离原理为：在报文进入转发模块时，首先对报文进行capwap解封装并加上默认vlan tag，若确定报文的vlan tag是管理vlan且目的MAC地址是本AP的MAC地址时，则对报文的出接口和入接口的绑定策略进行检查，检查通过后递交给协议栈处理。

策略控制模块负责维护管理隔离所需的配置，包括隔离开关和绑定的接口类型，同时策略控制模块对外提供管理隔离的检查接口，供转发模块调用。管理隔离功能在开启了射频绑定后，默认也一并开启，且默认绑定eth0类接口。

管理隔离功能的函数处理流程为：在没有开启管理隔离的情况下，默认报文均符合管理隔离规则，在开启管理隔离的情况下，根据报文的方向，若报文为AP发送方向，则识别报文的出接口的接口类型是否符合管理接口的绑定的接口类型集合，若符合，则返回符合管理隔离规则，若不符合，则返回不符合管理规则；同理，根据报文的方向，若报文为AP接收方向，则识别报文的入接口的接口类型是否符合管理接口的绑定的接口类型集合。

4.策略检查

对于上行报文而言，由于报文均要转发模块进行桥转发，因此，在桥转发的转发点上既可以获得报文的入接口，也可以获得报文的出接口，这样就可以将入、出接口传入策略控制模块提供的检查接口中，并得到检查结果；在报文入桥后，在转发点通过调用策略控制模块的检查接口进行策略检查。

转发模块的转发点的处理流程包括：在报文入桥后，在转发模块的转发点，根据桥转发表决定报文的出接口，然后对报文的出接口和入接口进行绑定策略检查，如果符合绑定策略，则进行报文出桥，如果不符合绑定策略，则丢弃报文。

对于下行报文而言，由于引入了快速转发功能，因此有两个检查点，分别在快转的判决点和转发模块转发的转发点，即对应快转判定子模块和桥转发子模块。

快转判定子模块的处理流程包括：首先检查报文是否符合快速转发的条件，如果符合，则查找快速转发表，获取报文的出接口，然后调用策略控制模块的检查接口对报文的出接口和入接口进行绑定策略的检查，如果符合绑定策略，则直接将报文从有线驱动发送到无线驱动；如果不符合绑定策略，则丢弃报文。

如果报文不符合快速转发条件，则需要经过802.1Q协议处理后入桥，在转发子模块转发的转发点调用策略控制模块的检查接口对报文的出接口和入接口进行绑定策略的检查。转发子模块在绑定策略的检查流程中，首先对报文的入接口和出接口进行接口类型的识别，如果识别失败，则默认符合绑定策略，如果识别成功，则在策略表中查找入接口和出接口的group vlue，然后将入接口的group vlue与出接口的group vlue进行与运算，若与运算的结果为0，则判定符合绑定策略，若与运算的结果不为0，则判定不符合绑定策略。

Claims (10)

1.一种无线接入设备，其特征在于，具有至少两个以太网接口，所述至少两个以太网接口用于接入不同的网络；所述无线接入设备包括：策略配置模块、策略控制模块和转发模块；

所述策略配置模块，用于获取用户配置的所述无线接入设备的射频绑定信息并解析，将解析的射频绑定信息配置到策略控制模块；

所述策略控制模块，用于根据用户配置的射频绑定信息生成相应绑定策略，以及根据报文的出接口和入接口进行绑定策略检查，将检查结果传送给转发模块；

所述转发模块，用于通过所述策略控制模块提供的策略检查接口，向所述策略控制模块提供报文的入接口和出接口信息，并根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

2.如权利要求1所述的无线接入设备，其特征在于，所述策略控制模块为无线接入设备的内核中的独立模块，在射频绑定功能开启时加载，关闭时卸载。

3.如权利要求1所述的无线接入设备，其特征在于，所述策略控制模块包括:

策略配置维护子模块，用于根据用户配置的射频绑定信息生成相应策略，并向上层应用提供增加、删除和显示所述策略的ioctl接口；

策略检查子模块，用于根据报文的出接口和入接口进行绑定策略检查，将检查结果通过策略检查接口传送给转发模块。

4.如权利要求1所述的无线接入设备，其特征在于，所述转发模块包括快转判定子模块和桥转发子模块，

所述快转判定子模块，用于判定下行报文是否符合快速转发规则，对于符合快速转发规则的下行报文，根据快转表确定报文的出接口，并通过策略控制模块提供的策略检查接口，向策略控制模块提供报文的入接口和出接口信息，对于不符合快速转发规则的下行报文提交给桥转发子模块；

所述桥转发子模块，用于对入桥的上行报文或下行报文根据桥转发表确定报文的出接口，并通过策略控制模块提供的策略检查接口，向策略控制模块提供报文的入接口和出接口信息，并根据策略控制模块的检查结果对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

5.如权利要求1所述的无线接入设备，其特征在于，所述至少两个以太网接口包括第一以太网接口和第二以太网接口，所述第一以太网接口和所述第二以太网接口分别连接不同的网络；所述无线接入设备支持第一射频和第二射频；所述策略控制模块通过策略表分组来存储用户配置的射频绑定信息，具有相同组值的接口类型下的接口具有射频绑定关系；

所述接口类型至少包括：第一以太网接口类、第二以太网接口类、第一射频类和第二射频类；其中，

第一以太网接口类包括第一以太网接口以及与所述第一以太网接口建立连接的上行vlan设备；

第二以太网接口类包括第二以太网接口以及与所述第二以太网接口建立连接的上行vlan设备；

第一射频类包括通过第一射频关联所述无线接入设备的终端设备；

第二射频类包括通过第二射频关联所述无线接入设备的终端设备。

6.如权利要求5所述的无线接入设备，其特征在于，所述策略配置模块具体用于，从应用层获取配置报文并解析出射频绑定信息，生成各个接口类型的组值，然后加载策略控制模块，并将各个接口类型的组值配置到策略控制模块。

7.如权利要求5所述的无线接入设备，其特征在于，所述策略检查子模块具体用于，根据报文的出接口和入接口的名称匹配所属的接口类型，根据接口类型的组值检查出接口和入接口是否符合绑定策略，并将检查结果通过策略检查接口传送给转发模块。

8.无线接入设备的转发控制方法，应用于如权利要求1-7任意一项所述的无线接入设备，其特征在于，包括：

无线接入设备在收到报文后判断报文的发送方向，若为上行报文，则在桥转发模块进行转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理；

若报文为下行报文，首先判定下行报文是否符合快速转发规则，对于符合快速转发规则的下行报文，在进行快速转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理；

对于不符合快速转发规则的下行报文，则由桥转发模块进行转发处理，在桥转发模块进行转发之前，对报文的出接口和入接口进行绑定策略检查，对符合绑定策略的报文进行转发，对不符合绑定策略的报文进行丢弃处理。

9.如权利要求8所述的无线接入设备的转发控制方法，其特征在于，所述对报文的出接口和入接口进行绑定策略检查，具体包括：

通过报文的出接口和入接口的名称来确定出接口和入接口的接口类型，根据策略表中出接口和入接口的接口类型的组值来检查出接口和入接口是否符合绑定策略。

10.如权利要求9所述的无线接入设备的转发控制方法，其特征在于，所述根据策略表中出接口和入接口的接口类型的组值来检查出接口和入接口是否符合绑定策略具体包括：

对出接口的接口类型的组值和入接口的接口类型的组值进行与运算，若运算结果为0，则判定出接口与入接口不符合绑定策略，若运算结果不为0，则判定出接口与入接口符合绑定策略。