CN100428737C - 一种简化vpn网络布署的方法 - Google Patents

Abstract

本发明提供了一种简化VPN网络布署的方法，运行在现有的基于MPLS的二层VPN广域网基础之上，所述网络包括至少一源端PE(局方)设备和一对端PE(局方)设备，主要包括如下步骤：(a)源端PE设备接收到带有VLAN信息的二层数据帧后，借由VLAN与VPN的映射关系表，得到VPN的ID；(b)通过VPN的ID进行目的MAC地址的转发查找，得到目的CE的信息以及封装MPLS两层标签的信息；(c)对端PE设备收到封装后的二层数据帧后，通过设置的VPN ID到VLAN的映射关系表，更改所述封装的VLAN信息并进行转发。采用本发明所提供的方法，可以简化VPN网络的部署。

Description

一种简化VPN网络布署的方法

技术领域

本发明涉及一种简化VPN(Virtual Private Network，虚拟用户网络)网络布署的方法，尤其涉及一种基于MPLS(Multi-Protocol Label Switch，多协议标签交换技术)的二层VPN网络布署的方法。

背景技术

当前，基于MPLS的二层VPN的主流技术包括有点到点的VPN(VLL，虚拟租用专线)技术，以及点到多点的VPN(VPLS，虚拟私有LAN服务)技术。

基于MPLS的VLL(Virtual Leased Line，虚拟租用专线)技术是采用MPLS标签实现的。用户业务的数据帧在CE(Consumer Edge，用户边缘设备)内部是以普通的以太网数据帧传输，在进入运营商的PE(Provider Edge，供应商边缘)设备后，PE根据用户的VLAN信息和目的MAC信息，查找转发表后得到一个双层的MPLS标签，根据这个双层MPLS标签再得到一个下一跳的目的MAC和VLAN信息，封装后从本设备的相应发送端口发出，发到对端的PE设备。表1显示用户正常数据帧，表2显示MPLS数据帧。

目的MAC

源MAC

VLAN

静荷

CRC

表1用户正常数据帧

目的MAC

源MAC

VLAN

Lable1

Lable2

目的MAC

源MAC

VLAN

静荷

CRC

表2MPLS数据帧

这个MPLS封装的数据包到了对端PE设备以后，PE设备将两层MPLS的标签去掉，并且从这两层MPLS标签的内层标签得到该VPN用户业务在该设备上的最终出端口信息，将用户VPN的二层以太网数据帧原封不动地从相应出物理端口发出。

如果一个VPN用户有多于两个的VPN接入点，那么就需要用到下面的基于MPLS的VPLS VPN二层转发技术。

在基于MPLS的VPLS(Virtual Private LAN Service，虚拟私有LAN服务)VPN组网应用情况下，从一个VPN用户的一个CE接入点上来的用户VPN业务，根据业务的二层目的MAC信息、入物理端口和入VLAN信息情况，有多个目的CE可以选择，也就是说每个CE都与多个CE点是通的，可以与多个CE点下的多个VPN用户下的主机进行通信。表3显示用户正常数据帧，表4显示MPLS数据帧。

目的MAC

源MAC

VLAN

静荷

CRC

表3用户正常数据帧

目的MAC

源MAC

VLAN

Lable1

Lable2

目的MAC

源MAC

VLAN

静荷

CRC

表4MPLS数据帧

从转发层面的数据帧封装形式看，点到多点的VPLS VPN与点到点的VLL VPN封装是一样的过程，也就是说在源PE设备处，将进来的二层以太网数据帧封装两层MPLS标签后发往对端的目的PE设备。目的PE设备接收到封装MPLS两层标签的用户VPN数据帧以后，将两层MPLS标签剥离掉，并根据MPLS标签携带的信息，得到目的物理端口信息，从相应的物理端口发出。

在上面的两种基于MPLS的二层VPN实现方案中，用户的二层以太网信息和VLAN信息在整个转发过程中都是不能被改变的，因为这些信息都是VPN用户的信息，作为提供VPN业务的提供商或运营商来说，应该只是负责提供二层连通的通信管道，而不能更改用户的任何信息。这是MPLS二层VPN解决方案的初衷和目的。

但在实际组网应用中，有些环境下的二层VLAN信息是二层VPN业务提供商或者运营商自身添加的，运营商或者是提供物理端口给VPN用户使用，或者是在用户已有的VLAN信息之上再添加一层VLAN信息，总之是运营商可以控制一层或两层VLAN信息权限的应用场合越来越多和越来越普遍，在这种情况下，仍然把所有的VLAN信息都当作是VPN用户的信息来对待和处理，在应用中就会带来很多不合理和VPN部署上的不便利。

发明内容

本发明目的是解决在现有VPN网络部署中存在的问题，通过将MPLS标签和VLAN信息一起相关考虑，实现简化基于MPLS二层VPN网络的布署，从而在VPN组网应用和部署中带来更多的方便和灵活性。

为此，本发明提供一种简化VPN网络部署的方法，运行在现有的基于MPLS的二层VPN广域网基础之上，所述网络包括至少一源端供应商边缘PE设备和一对端PE设备，该方法包括如下步骤：

(a)源端PE设备接收到带有VLAN信息的二层数据帧后，借由VLAN与VPN的映射关系表，得到VPN的ID；

(b)通过VPN的ID进行目的MAC地址的转发查找，得到目的用户边缘CE设备的信息以及封装MPLS两层标签的信息；

(c)对端PE设备收到封装后的二层数据帧后，通过设置的VPN ID到VLAN的映射关系表，更改所述封装的VLAN信息并进行转发。

其中，在所述步骤(b)中，需进一步对二层数据帧进行MPLS两层标签的封装；在二层数据帧进行封装的时候，可以根据具体的传输环境不同，携带不同的识别信息；根据具体的传输环境不同，所述二层数据帧携带的识别信息可以是原始的VLAN信息，或VPN ID的信息，也可以不带任何的VLAN信息。

其中，在步骤(c)中，在更改封装的VLAN信息之前，所述对端PE设备还需从MPLS标签中得到二层数据的VPN ID信息。

另外，在步骤(c)中，在更改封装的VLAN信息之前，所述对端PE设备还需使用VPN ID加目的MAC地址信息查找得到对端PE设备上的转发目的物理端口。

另外，在步骤(c)中，对端PE设备根据所述物理端口信息，查找得到在该物理端口下的VPN ID到VLAN的映射表，得到输出该端口时所需要封装的VLAN信息，封装后从相应物理端口发出。

另外，所述被封装的二层数据帧所带的VLAN信息可以是一层或两层。

另外，在步骤(a)中，所述源端PE设备还需使用VPN ID进行源MAC地址的学习，并将相应的MAC地址学习到该源端PE设备下属于该VPN用户的相应端口；在步骤(c)之后，所述对端PE设备进一步根据VPN ID信息和MPLS标签交换路径的来源信息，将相应的源MAC地址学习到相应的远端CE之下。

与现有的技术方案相比，本发明通过在源端PE设备中添加VLAN和VPN ID的映射关系，并在对端PE设备中相应的解析并相应变动这种映射关系，增加了运营商对二层以太网数据帧中VLAN信息的控制，从而实现局方单独配置所需要的VPN业务种类，不需要另一方(用户)的配合即可完成，因而使得VPN的部署更加简便、灵活。

附图说明

图1是本发明提供的简化VPN网络部署的方法所应用的典型环境的示意图。

图2是本发明简化VPN网络部署的方法的流程图。

具体实施方式

本发明的核心思想在于通过在源端PE设备及对端PE设备中配置VLAN与VPN I D的映射关系表，藉由VPN ID为中介，使得在传输数据帧时，源端和对端的VLAN ID信息可以不同，进而实现运营商对VPN网络的布署更加灵活、简便。下面结合附图对本发明做进一步的说明。

本发明提供的组网应用环境与基于现有的MPLS的传统VPN网络一样，但在VPN网络布署上却更加灵活、简便。如图1所示，在图1中显示了企业用户A和B分别通过VPLS服务接各自的三个分支机构局域网。

在这样的基于MPLS的二层VPN网络部署中，有时需要使用本地化的VLAN判断VPN用户，比如说放在用户A某个机房的某台设备的某个端口下面的某个VLAN与放在另外一个机房的某台设备的某个端口下面的某个VLAN(这两个VLAN的数值不同)是同属于一个VPN用户，需要将他们的二层业务进行互通。机房与机房之间的通信需要通过运营商的MPLS网络，并且该种组网应用支持多点对多点的应用模式，也就是说，一个VPN用户可能有多个业务接入点，从每个业务接入点进来的业务数据帧，都有可能与大于两个的目的接入点进行互通。

在上述情形中，从源PE设备进来的VPN用户二层数据帧格式如表5所示；对端PE设备出口处的VPN用户二层数据帧格式如表6所示；或者是如表7、表8所示的两种带有两层VLAN标签的二层数据帧格式。表7是PE设备进来的VPN用户二层数据帧格式；表8是目的PE设备出口处的VPN用户二层数据帧格式。

目的MAC

源MAC

VLAN1

静荷

表5源PE设备进来的VPN用户二层数据帧格式

目的MAC

源MAAC

VLAN2

静荷

CRC

表6目的PE设备出口处的VPN用户二层数据帧格式

目的MAC

源MAC

VLAN1

VLAN2

静荷

CRC

表7源PE设备进来的VPN用户二层数据帧格式

目的MAC

源MAC

VLAN3

VLAN4

静荷

CRC

表8目的PE设备出口处的VPN用户二层数据帧格式

进入基于MPLS的二层VPN网络业务提供商的原始二层数据帧，根据具体的报文传输方式不同，可能是带有一层VLAN标签，也可能是带有两层VLAN标签，也可能是不带VLAN标签。在不带VLAN标签的情况下，以太网交换机会根据入物理端口信息自动地给进来的二层数据帧加上一个缺省VLAN信息，因此不带VLAN信息的原始二层数据帧在以后的表述中都按照一层VLAN标签来考虑。

本发明的完整技术方案包含一层VLAN标签和两(多)层VLAN标签的情况。下面以一层VLAN标签的情况为例进行说明。

从上面的表中表示出的源PE设备接收的二层数据帧和对端PE设备发送的二层数据帧格式中可以看出，如果是带有一层VLAN标签的原始二层数据帧，那么通过MPLS二层VPN业务提供商网络以后出来的VLAN标签数值与原来的不同，虽然前后两个VLAN标签都是标志同一个VPN用户下的业务，并且应该含义一样，一样对待。但在具体的VLAN数值表现形式上不同。

还以图1为例，从逻辑上说，源PE1的VLAN1即用户A分支局域网1(或者是在某物理端口下面VLAN1)对应于VPN用户A，目的PE2下面的VLAN2即用户A分支局域网2(或者是在某物理端口下面的VLAN2)也对应于VPN用户A，目的PE4下面的VLAN3即用户A分支局域网3(或者是在某物理端口下面的VLAN3)也对应于VPN用户A，在整个运营商网络内部，来自三个不同PE点的不同VLAN组成用户A的VPN ID1，该VPN内的所有节点基于二层以太网数据帧的二层通信是通的，并且二层MAC地址可以自动学习和老化，就如同普通的二层数据转发一样。也就是说，各个节点下的MAC地址都以VPN ID1加入端口的形式学习在相应的物理端口之下，在二层数据帧业务发往具体的物理端口时，VPN ID1被替换成相应物理端口下的VPN ID1的相应VLAN表现形式。

如图1并结合图2所示，以VPN用户A在PE1下面的VLAN1与PE4下面的VLAN3业务互通过程为例，具体转发原理过程说明如下：

(1)PE1设备接收到带有VLAN1的二层数据帧以后，使用VLAN1到VPN ID1的映射关系表，得到VPN ID1。

(2)使用VPN ID1进行目的MAC地址的转发查找，得到目的CE信息，以及封装MPLS两层标签的信息。

(3)将用户的二层数据帧封装在MPLS标签中，发往目的PE4。在封装二层数据帧的时候，由于网络中的具体硬件环境不同，二层以太网数据帧中的VLAN信息数据位可以是一层、二层或者是没有，因此对应的封装过程就可能会有以下几种封装变化：

a.被封装的二层数据帧带上原始的VLAN1信息。

b.被封装的二层数据帧带上VPN ID1的信息。

c.被封装的二层数据帧不带VLAN1或者VPN ID1信息，即原来的VLAN位置或者是一个空VLAN数值(为全零)，或者根本没有VLAN信息，即封装为不带VLAN信息的格式。

(4)使用VPN ID1进行源MAC地址的学习，将MAC地址学习到相应的PE

下属于该VPN用户的相应端口。

(5)MPLS封装的二层数据帧到了对端的PE4设备以后，从MPLS标签中得到用户的二层数据帧。

(6)在从MPLS封装的数据帧中得到VPN用户二层数据帧时，最重要的是要得到VPN ID1的信息，这个VPN ID1信息需要从MPLS标签中得到。

(7)使用VPN ID1加目的MAC地址信息进行查找，得到该PE4的转发目的物理端口。

(8)根据出物理端口信息，去查找在该物理端口下的VPN ID1与VLAN的映射表，得到输出该端口时所需要封装的VLAN信息，封装后从相应物理端口发出。

(9)根据VPN ID 1信息和MPLS虚拟交换路径的来源信息，将目的端口的MAC地址学习到相应的远端CE之下，即对应到源PE1设备连接的发送以太网数据帧的CE。

另外，在上面的转发过程中，从源PE1到目的PE4的转发中，由于穿过运营商网络的带两层MPLS标签封装的VPN用户二层数据帧的MPLS标签内已经携带了VLAN和VPN ID信息，所以二层数据帧内部对应的VLAN信息数据位所携带的信息可以非常灵活，比如可以带原始的VLAN信息，也可以不带，也可以带VPN ID信息，因此具体的处理情况和手段是多种多样的，下面分几种情况进行考虑。

(1)带VPN ID信息或不带VLAN信息

因为VPN ID信息在MPLS标签中已经携带，因此这个信息在VLAN信息中也可以不携带。是否携带，有时关联到硬件转发ASIC的具体实现。因为有些硬件转发ASIC芯片对不带VLAN信息的情况处理比较顺畅一些，如果二层数据帧内部不携带VLAN信息，在这时候，对端的芯片处理动作就比较简单，只需要新插入一层VLAN标签就可以了。

(2)带原始VLAN信息

如果是将原始VLAN信息带过运营商网络，那么携带的信息就可以更多一些。因为这时候，用户VPN ID信息是携带在MPLS标签中的，因此可以将其它一些信息携带在VLAN中。比如说，如果一个CE下面还有多个VLAN，那么MPLS携带VPN ID信息，而VLAN标签的位置就可以携带CE下面的不同VLAN信息。

也就是说带VLAN信息通过运营商网络可以提供一个VPN用户下面有多个VLAN的应用需求，并且这多个VLAN在不同的CE点有不同的表现形式。

因此，虽然本发明所叙述的具体实施例中，对端PE是从MPLS标签中获得VPN ID信息进而进一步获得本地VLAN信息的，但是，其具体的实现方式可以是多样的，比如对端PE设备可以不利用二层以太网数据帧MPLS标签内携带的VPN ID信息或VLAN信息，而是在二层以太网数据帧的其他部分携带VPN ID信息或VLAN信息，并利用这些信息实现VLAN信息的本地化转换，因此，不消说，这些变换和应用都是包含在本发明权利要求保护的范围之内的。

当然，在多点对多点的应用中，因为多个点的VLAN信息可能各不相同，而二层转发的原理是需要多个MAC地址在一个VLAN中才能互通。因此，带过MPLS网络的VLAN信息最好是代表VPN ID，而不是各个点的局部化VLAN信息，因为这会导致目的点的MAC地址学习问题。如果带过去的是局部化的信息，那么就需要设备本身能够处理这种情况，比如说将局部化的VLAN信息处理后进行二层VPN的学习和转发。

如上面已经提到的，两层VLAN标签的情况的处理如同一层VLAN标签情况，这两层VLAN标签都是只有本地局部化的含义。也就是说，只在某个接入点上有专门的固定数值，而到了另外一个接入点，标志VPN用户或用户业务的这两层标签都需要被替换成另外两层VLAN标签的数值。

综上所述，本发明通过在源端PE设备中添加VLAN和VPN ID的映射关系，并在对端PE设备中相应的解析这种映射关系，增加了运营商对二层以太网数据帧中VLAN信息的控制，实现了可以由一方(局方)单独配置所需要的VPN业务种类，不需要另一方(用户)的配合即可完成，因而使得VPN的部署更加简便、灵活。

Claims (10)

1.一种简化VPN网络布署的方法，运行在现有的基于MPLS的二层VPN广域网基础之上，所述网络包括至少一源端供应商边缘PE设备和一对端PE设备，其特征在于，本方法包括如下步骤：

(a)源端PE设备接收到带有VLAN信息的二层数据帧后，借由VLAN与VPN的映射关系表，得到VPN的ID；

(b)通过VPN的ID进行目的MAC地址的转发查找，得到目的用户边缘CE设备的信息以及封装MPLS两层标签的信息；

(c)对端PE设备收到封装后的二层数据帧后，通过设置的VPN ID到VLAN的映射关系表，更改所述封装的VLAN信息并进行转发。

2.如权利要求1所述的简化VPN网络布署的方法，其特征在于，在所述步骤(b)中，需进一步对二层数据帧进行MPLS两层标签的封装。

3.如权利要求2所述的简化VPN网络布署的方法，其特征在于，在二层数据帧进行封装的时候，可以根据具体的传输环境不同，携带不同的识别信息。

4.如权利要求3所述的简化VPN网络布署的方法，其特征在于，根据具体的传输环境不同，所述二层数据帧携带的识别信息可以是原始的VLAN信息，或VPN ID的信息，也可以不带任何的VLAN信息。

5.如权利要求1所述的简化VPN网络布署的方法，其特征在于：在步骤(c)中，在更改封装的VLAN信息之前，所述对端PE设备还需从MPLS标签中得到二层数据的VPN ID信息。

6.如权利要求5所述的简化VPN网络布署的方法，其特征在于：在步骤(c)中，在更改封装的VLAN信息之前，所述对端PE设备还需使用VPN ID加目的MAC地址信息查找得到对端PE设备上的转发目的物理端口。

7.如权利要求6所述的简化VPN网络布署的方法，其特征在于：在步骤(c)中，对端PE设备根据所述物理端口信息，查找得到在该物理端口下的VPNID到VLAN的映射表，得到输出该端口时所需要封装的VLAN信息，封装后从相应物理端口发出。

8.如权利要求1所述的简化VPN网络布署的方法，其特征在于，所述被封装的二层数据帧所带的VLAN信息可以是一层或两层。

9.如权利要求1所述的简化VPN网络布署的方法，其特征在于，在步骤(a)中，所述源端PE设备还需使用VPN ID进行源MAC地址的学习，并将相应的MAC地址学习到该源端PE设备下属于该VPN用户的相应端口。

10.如权利要求1所述的简化VPN网络布署的方法，其特征在于，在步骤(c)之后，所述对端PE设备进一步根据VPN ID信息和MPLS标签交换路径的来源信息，将相应的源MAC地址学习到相应的远端CE之下。

Images