CN1697445A - 一种实现虚拟私有网络中数据传输的方法 - Google Patents

Abstract

本发明公开了一种实现虚拟私有网络中数据传输的方法，该方法首先在SP骨干网的PE中设置包含RD的Mbuf和SOCKET，并对PE中保存的相关表项作相应的设置，之后根据当前需要传输的数据所携带的IP地址及RD与VPN中的CE进行数据通信。本发明解决了现有技术中PE接口地址重名的问题。本发明方案使得基于MPLS的不同VPN网络在PE上对应的接口具有重叠的IP地址时，也能够接收CE通过该重叠的IP地址发送来的数据；并能将数据通过该IP地址发送给CE。通过本发明方案节省了IP地址资源，且能提高用户网络规划的灵活性，可以很好地体现VPN网络的优点。

Description

一种实现虚拟私有网络中数据传输的方法

技术领域

本发明涉及互联网(Internet)的报文接收和发送技术，更确切地说是涉及一种实现虚拟私有网络(VPN)中数据传输的方法。

背景技术

随着Internet网络用户的膨胀，IP地址作为一种资源已经越来越紧缺，而且用户对网络的安全性和可管理性的要求也越来越高，传统的Internet网络已经不能满足用户的需要。针对这种情况，业界出现了基于多协议标记交换(MPLS)的VPN，该网络已经开始被规模应用。

图1所示为基于MPLS的VPN网络的典型应用。在这种模式下，由网络服务提供商(SP)向用户提供VPN服务，用户感觉不到公网的存在，就好像拥有了独立的网络资源一样。同样，SP骨干网内部的P路由器也不知道VPN的存在，仅仅负责骨干网内部的数据传输。所有VPN的构建、连接和管理都是在网络服务提供商边缘(PE)上进行的。从PE的角度看，一个站点(Site)即为用户的一个连通的IP系统，Site是构成VPN的基本单元，VPN即为Site的集合。同一个VPN中的每个Site通过用户设备(CE)与SP中的网络服务提供商边缘(PE)连接，且每个VPN中的数据都是通过CE和PE在公网上传播。但是，每个VPN中的数据只能被传输到该VPN，而不能被传输到其他的VPN。

对于基于MPLS的VPN而言，任何两个没有共同Site的VPN都可以使用重叠的地址空间，即在用户的私有网络中使用自己独立的地址空间，而不用考虑自身是否与其他VPN或公网的地址空间冲突。这给运营商及企业网组网带来了很大的便利：在组网时不需要经过互联网络信息中心的批准即可将所有的IP地址段合理地划分给私网用户，且不需要担心私网地址段和公网地址段重叠的问题。

在VPN中，基于不同的连接形式，数据传输有两种情况，一种是VPN中的Site之间直接连接，该Site中的数据直接在VPN的内部传输；另一种是VPN中的两个或多个Site通过PE连接，也即两个或多个CE通过SP连接，则这些Site之间需要通过PE传输数据。对于后一种情况来说，包括PE在内的SP只用于中转Site中的数据，由于VPN网络中的每个VPN都有一个唯一与之对应的结构路由标识符(RD，Route-Distinguisher)，且PE中保存了每个接口所对应的VPN的RD信息，因此，PE在通过某个接口接收CE发送来的数据时，即使PE中存在其他与该接口的IP地址相同的接口，PE也可以根据当前接收数据的接口所对应的RD确定该CE所处的VPN。PE在将数据转发给CE时，即使该PE存在多个IP地址相同的接口，且当前需要通过其中的某个接口传输数据，如果这两个CE之间只有这一个PE，则该PE可以直接根据之前确定的VPN得到对应的RD，并根据数据的目的IP地址及该RD确定所要传输数据的接口，之后即可通过该接口传输数据；如果这两个CE之间不是直接与同一个PE连接，或者说，这两个CE至少通过两个PE连接，在这种情况下，由于SP内部的设备在中转数据时，会设置与该数据对应CE所在VPN的RD信息相对应的标签，并根据该标签中转数据，因此，接收端的PE可以根据该标签确定接收数据的CE所对应VPN的RD，从而可以根据该RD确定自身用于传输当前数据的接口。

对于CE与PE连接的情况来说，还存在CE直接将数据发送给PE，以及PE直接将数据发送给CE的情况，这两种情况要求PE对数据作相应的处理，而不是简单的转发数据。由于目前的Internet都是根据传输控制协议和网际协议(TCP/IP)实现的，TCP/IP协议要求Internet上的每个节点都必须有一个唯一的IP地址与之对应，Internet中的节点通过IP地址实现对其他节点的访问，也即，TCP/IP协议栈的基础就是网络中各个节点IP地址的唯一性。在PE中的接口地址重复的情况下，如果PE通过某个接口接收CE发送给自己的数据，且该接口的IP地址与其他接口的IP地址重复，则该PE虽然可以确定该数据是从哪个VPN发送来的，但是，由于PE中基于TCP/IP协议的应用程序只能根据目的IP地址处理数据，因此，该PE无法通过应用程序处理CE发送给自己的数据；如果PE通过某个接口将数据发送给CE，且该接口的IP地址与其他接口的IP地址重复，则该PE虽然知道应该向哪个VPN发送数据，但同样由于PE中基于TCP/IP协议的应用程序只能根据目的IP地址处理数据，因此该PE无法通过应用程序将该数据通过特定的接口发送给特定的VPN。

综上所述，虽然PE中接口的IP地址重复不会对PE中转数据造成影响，但是由于现有的TCP/IP协议栈只能通过IP地址发送和接收数据，因此，如果PE的接口出现地址重叠的情况，则会导致PE无法正确地将数据发送到CE，也无法正确地接收CE发送给自己的数据。对于目前的VPN网络来说，只有将骨干网的PE上与不同VPN对应的接口的地址设置为各不相同，该PE才能完全地根据自身接口的IP地址将数据传输给相应的VPN，以及接收VPN发送来的数据。也就是说，目前的VPN网络在分配IP地址时，不能完全不考虑其他VPN的地址分配情况。显然，这样无法完全体现出VPN网络能够实现IP地址重叠的优点。

发明内容

有鉴于此，本发明的主要目的在于提供一种实现虚拟私有网络中数据传输的方法，使PE上与不同VPN网络对应的接口地址相同时，也可以正确地将数据发送给CE，以及接收CE发送给自己的数据。

为达到以上目的，本发明的技术方案是这样实现的：一种实现虚拟私有网络中数据传输的方法，VPN与SP的骨干网连接，骨干网的PE中保存自身的每个接口所对应VPN的RD，该方法包括以下步骤：

a.在PE中设置与VPN对应、且包含VPN的RD信息的存储器缓存Mbuf和套接口SOCKET，在PE保存的转发列表中设置每个目的IP地址与RD的组合与发送端口的对应关系；

b.PE在将数据发送给CE时，PE的应用层获取当前需要发送的数据中至少包括目的IP地址的目的地址相关信息，将该目的地址相关信息设置到与该CE所在VPN的RD所对应的SOCKET中，SOCKET对该数据进行处理，之后将该处理后的、包括目的地址相关信息及RD的数据通过Mbuf发送给传输层；

c.PE的传输层对Mbuf中保存的当前需要发送的数据进行处理，并将处理后的数据通过Mbuf发送给网络层；

d.PE的网络层根据Mbuf中保存的当前需要发送的数据的目的IP地址和RD从自身保存的转发表项中获取本次数据发送的发送端口，以及确定本次数据发送的下一跳IP地址和对应的RD，并将该下一跳IP地址及RD设置在Mbuf中，之后将当前需要发送的数据通过Mbuf发送给链路层；

e.链路层根据Mbuf中的下一跳IP地址和RD从地址解析协议ARP表项中获取对应的硬件地址，并将其封装在当前需要发送的数据中，之后将该数据通过物理链路发送到下一跳IP地址和RD所对应的设备。

所述VPN与SP的骨干网之间基于传输控制协议/网际协议TCP/IP协议栈中的TCP协议或用户数据报协议UDP传输数据；

该方法可以进一步包括：在PE的路由表中保存目的IP地址及RD与源IP地址的对应关系；

步骤b中，所述PE的应用层获取的目的地址相关信息中进一步包括：目的端口号；

步骤c中，所述PE的传输层对Mbuf中保存的当前需要发送的数据进行处理包括：根据该数据的目的IP地址和RD从自身保存的路由表中确定对应的源IP地址，并选择一个未被使用的源端口号，之后将该源IP地址和源端口号设置在该数据中。

所述VPN与SP的骨干网之间基于TCP/IP协议栈中的原始IP RAWIP协议传输数据。

所述步骤d中，所述PE的网络层在将当前需要发送的数据通过Mbuf发送给链路层之前，进一步包括：判断该数据中是否保存了源IP地址，如果是，则继续执行后续处理；否则，根据所获取的发送端口确定源IP地址，将该源IP地址设置在该数据中，之后再执行后续处理。

该方法还可以进一步包括：PE根据ARP协议确定目的IP地址及RD与硬件地址之间的动态映射，并将该映射关系作为ARP表项保存。

本发明方案提供的另一种实现虚拟私有网络中数据传输的方法，VPN与SP的骨干网连接，PE中保存自身的每个接口对应VPN的RD，该方法包括以下步骤：

a.在PE中设置与VPN对应、且包含VPN的RD信息的Mbuf和SOCKET，并在该Mbuf和SOCKET中设置该VPN的RD，在PE保存的IP地址列表中设置PE的每个接口地址所对应的RD信息；

b.PE的网络层收到CE发送来的数据时，获取该数据的目的IP地址及该CE所在VPN的RD，并判断自身保存的IP地址列表中是否存在该目的IP地址及RD，如果存在，则通过Mbuf将当前接收到的数据上传给传输层，否则，根据该目的IP地址及RD转发该数据，并结束本处理流程；

c.PE的传输层根据当前接收到的数据的源目的地址相关信息及RD生成Internet协议控制块InPCB，根据该InPCB确定对应的SOCKET，并将该数据放入该SOCKET的缓存中，之后通知应用层读取数据；

d.PE的应用层获取该SOCKET中的数据。

所述PE与CE直接连接；

步骤b中，所述PE的网络层获取RD为：PE的网络层确定PE中接收当前数据的接口，并获取该接口所对应的RD。

所述PE与CE通过网络设备连接，所述网络设备基于与RD对应的标签将数据发送给PE；

步骤b中，所述PE的网络层获取RD为：PE的网络层根据网络设备发送来的标签确定对应的RD。

所述VPN与SP的骨干网之间基于TCP/IP协议栈中的TCP协议或UDP协议传输数据；

步骤c中，所述源目的地址相关信息为：源目的IP地址和源目的端口号四元组。

所述VPN与SP的骨干网之间基于TCP/IP协议栈中的RAWIP协议传输数据；

步骤c中，所述源目的地址相关信息为：源目的IP地址和协议号三元组。

本发明方案通过利用接口的IP地址及该接口对应VPN网络的RD来标识PE上的接口，且TCP/IP协议栈利用IP地址与RD的组合来发送和接收数据，使基于MPLS的不同VPN网络在PE上对应的接口可以具有重叠的IP地址空间，节省了IP地址资源，且能提高用户网络规划的灵活性，可以很好地体现VPN网络的优点。

附图说明

图1为基于MPLS的VPN网络的一种典型应用的示意图；

图2为本发明方案中PE发送数据的实现流程图；

图3为本发明方案中PE接收数据的实现流程图。

具体实施方式

由于基于MPLS的VPN网络中的每个VPN都有一个唯一与之对应的RD，且骨干网中的PE都存有自身的各个接口的IP地址及该接口对应VPN网络的RD信息。因此，本发明的核心思想就是将TCP/IP协议栈设置为能够识别IP地址与RD的组合，以此实现本发明的目的。

下面结合附图及具体实施例对本发明方案作进一步详细的说明。

不管是PE向CE发送数据，还是PE接收CE发送来的数据，都需要通过Mbuf及SOCKET传输数据，Mbuf及SOCKET在传输数据时，其中保存了该数据的信息。因此，对于某个特定的VPN来说，为实现PE与该VPN之间的通信，都需要在PE中设置针对该VPN的Mbuf和SOCKET。当然，为使用SOCKET，还应设置用于表示SOCKET在私网中使用、且用于接收和发送私网数据报文的SO SENDIPVPN选项。对于本发明方案来说，由于需要TCP/IP协议栈识别IP地址和RD的组合，因此，需要将PE中的Mbuf和SOCKET设置为能够保存与VPN对应的RD。

通过上述设置，PE在向CE发送自身生成的数据，或接收CE发送给自己的数据时，即可通过IP地址与RD的组合进行处理。下面分别对PE向CE发送数据和PE接收CE发送来的数据的具体处理过程进行说明。

PE发送数据时，由于需要通过查找转发表项获取对应的发送端口，因此需要在PE保存的转发表项中设置每个目的IP地址与RD的组合与发送端口的对应关系。PE根据目的IP地址及RD的组合发送数据的过程参见图2，对应以下步骤：

步骤201～202、PE的应用层在发送数据时，获取该数据的目的地址相关信息，并将这些信息设置到该数据对应CE所在VPN的RD所对应的SOCKET中，SOCKET对该数据进行处理，并将处理后的数据通过Mbuf发送给传输层。

在通过Mbuf传输数据时，Mbuf中即存有该数据的目的地址相关信息及相应的RD。

另外，在基于TCP/IP协议栈传输数据时，不管是接收数据还是发送数据，都可以采用TCP、UDP或RAWIP协议来处理数据，这几种协议处理数据的主要区别在于：TCP和UDP协议根据源目的IP地址及源目的端口号四元组来确定相关信息，而RAWIP协议根据源目的IP地址及协议号三元组来确定相关信息。在本步骤中，如果是采用TCP或UDP协议，则所获取的目的地址相关信息为目的IP地址和目的端口号；如果是采用RAWIP协议，则所获取的目的地址相关信息为目的IP地址。

步骤203、PE的传输层对Mbuf中保存的当前需要发送的数据进行处理，并将处理后的数据再通过Mbuf发送给网络层。

如果是采用TCP或UDP协议传输数据，则本步骤中还应包括：传输层根据该数据的目的IP地址和对应的RD查找自身保存的路由表，以确定对应的源IP地址，并选择一个未被使用的源端口号填入该数据中。因此，本发明方案中的PE还应在自身保存的路由表中设置目的IP地址和RD的对应关系。

如果是采用RAWIP协议传输数据，则本步骤中不确定源IP地址及源端口号，而是由PE的网络层确定源IP地址。

步骤204～205、PE的网络层根据Mbuf中保存的数据的目的IP地址和RD查找自身保存的转发表项，以获取本次数据发送的发送端口，并根据目的IP地址和RD确定本次数据发送的下一跳IP地址及对应的RD，之后将该下一跳IP地址及对应的RD设置在Mbuf中，并将处理后的数据通过Mbuf发送给链路层。

PE的网络层在将处理后的数据通过Mbuf发送给链路层之前，应判断该数据中是否保存了源IP地址，如果保存了源IP地址，则将处理后的数据发送给链路层；如果没有保存源IP地址，则应根据所获取的发送端口确定源IP地址，并将该源IP地址设置在该数据中，之后再将处理后的数据发送给链路层。其中，如果是采用TCP或UDP协议处理数据，则该数据中可能已经保存了源IP地址，当然，也有可能没有设置源IP地址，因此网络层需要通过该判断过程确保数据中存有源IP地址；如果是采用RAWIP协议处理数据，则该数据中一定没有源IP地址，因此需要网络层通过该判断过程在数据中设置相应的源IP地址。

步骤206、PE的链路层根据Mbuf中的下一跳IP地址和RD查找自身保存的ARP表项，以获取对应的硬件地址，并将该硬件地址封装在数据中，之后将封装了硬件地址的数据通过物理链路发送出去。

在步骤206中，如果链路层没有ARP表项，则PE还应该根据ARP协议确定目的IP地址和RD的组合与硬件地址之间的动态映射，并保存该映射关系。所保存的映射关系即为ARP表项。

通过上述步骤，即可完成PE的发送。这里，PE可能直接将需要发送的数据发送给CE，当然，PE发送给CE的数据还可能需要通过一个或多个网络设备的中转，这样，上述步骤中的下一跳IP地址就应该是该中转网络设备，该中转网络设备对数据的发送与现有技术相同，即根据与RD对应的标签发送数据。

下面对PE接收数据进行说明。PE接收数据时，由于需要通过IP地址列表判断自身是否为接收端，因此需要在PE保存的IP地址表项中设置本设备的每个接口地址所对应的RD信息。

PE根据目的IP地址及RD的组合接收数据的过程参见图3，对应以下步骤：

步骤301～304、PE的网络层在收到其他网络设备通过链路层发送来的数据时，首先获取该数据的目的IP地址及对应的RD，并根据该目的IP地址及RD查找自身保存的IP地址列表，如果该IP地址列表中存在该目的IP地址及RD，则确定该数据的接收端为本设备，并将该数据通过Mbuf上传给传输层，否则，根据该目的IP地址及RD进行转发，并结束当前处理流程。

其中，根据PE与CE之间的连接关系，PE的网络层获取RD有两种方式。如果PE与CE直接连接，则PE的网络层确定收到该数据的接口，并获取该接口所对应的RD。如果CE发送给PE的数据是通过其他网络设备中转来的，也即，CE与PE没有直接连接，由于网络设备是基于与RD对应的标签将数据转发给PE的，因此，PE的网络层可以根据网络设备发送来的标签确定对应的RD。

步骤305～306、PE的传输层在收到网络层上传来的数据后，根据源目的地址相关信息及RD生成用于记录源目的地址相关信息的InPCB，并根据该InPCB确定对应的SOCKET，之后将该数据放入该SOCKET的缓存中，并通知应用层读取数据。

如果是采用TCP或UDP协议传输数据，则本步骤中的源目的地址相关信息即为源目的IP地址及源目的端口号；如果采用的是RAWIP协议，则本步骤中的源目的地址相关信息为源目的IP地址及协议号。

步骤307、应用层接收该SOCKET中的数据，并对该数据作相应的处理。

通过上述步骤，PE即可根据IP地址及RD接收数据。

当然，上述设置了RD的SOCKET也可以用于公网中，只是需要将SOCKET中的RD设置为全零。

以上所述仅为本发明方案的较佳实施例，并不用以限定本发明方案的保护范围。

Claims (10)

1、一种实现虚拟私有网络中数据传输的方法，虚拟私有网络VPN与网络服务提供商SP的骨干网连接，骨干网的服务提供商边缘PE中保存自身的每个接口所对应VPN的结构路由标志符RD，其特征在于，该方法包括以下步骤：

a.在PE中设置与VPN对应、且包含VPN的RD信息的存储器缓存Mbuf和套接口SOCKET，在PE保存的转发列表中设置每个目的IP地址与RD的组合与发送端口的对应关系；

b.PE在将数据发送给CE时，PE的应用层获取当前需要发送的数据中至少包括目的IP地址的目的地址相关信息，将该目的地址相关信息设置到与该CE所在VPN的RD所对应的SOCKET中，SOCKET对该数据进行处理，之后将该处理后的、包括目的地址相关信息及RD的数据通过Mbuf发送给传输层；

c.PE的传输层对Mbuf中保存的当前需要发送的数据进行处理，并将处理后的数据通过Mbuf发送给网络层；

d.PE的网络层根据Mbuf中保存的当前需要发送的数据的目的IP地址和RD从自身保存的转发表项中获取本次数据发送的发送端口，以及确定本次数据发送的下一跳IP地址和对应的RD，并将该下一跳IP地址及RD设置在Mbuf中，之后将当前需要发送的数据通过Mbuf发送给链路层；

e.链路层根据Mbuf中的下一跳IP地址和RD从地址解析协议ARP表项中获取对应的硬件地址，并将其封装在当前需要发送的数据中，之后将该数据通过物理链路发送到下一跳IP地址和RD所对应的设备。

2、根据权利要求1所述的方法，其特征在于，所述VPN与SP的骨干网之间基于传输控制协议/网际协议TCP/IP协议栈中的TCP协议或用户数据报协议UDP传输数据；

该方法进一步包括：在PE的路由表中保存目的IP地址及RD与源IP地址的对应关系；

步骤b中，所述PE的应用层获取的目的地址相关信息中进一步包括：目的端口号；

步骤c中，所述PE的传输层对Mbuf中保存的当前需要发送的数据进行处理包括：根据该数据的目的IP地址和RD从自身保存的路由表中确定对应的源IP地址，并选择一个未被使用的源端口号，之后将该源IP地址和源端口号设置在该数据中。

3、根据权利要求1所述的方法，其特征在于，所述VPN与SP的骨干网之间基于TCP/IP协议栈中的原始IP RAWIP协议传输数据。

4、根据权利要求2或3所述的方法，其特征在于所述步骤d中，所述PE的网络层在将当前需要发送的数据通过Mbuf发送给链路层之前，进一步包括：判断该数据中是否保存了源IP地址，如果是，则继续执行后续处理；否则，根据所获取的发送端口确定源IP地址，将该源IP地址设置在该数据中，之后再执行后续处理。

5、根据权利要求1、2或3所述的方法，其特征在于，该方法进一步包括：PE根据ARP协议确定目的IP地址及RD与硬件地址之间的动态映射，并将该映射关系作为ARP表项保存。

6、一种实现虚拟私有网络中数据传输的方法，VPN与SP的骨干网连接，PE中保存自身的每个接口对应VPN的RD，其特征在于，该方法包括以下步骤：

a.在PE中设置与VPN对应、且包含VPN的RD信息的Mbuf和SOCKET，并在该Mbuf和SOCKET中设置该VPN的RD，在PE保存的IP地址列表中设置PE的每个接口地址所对应的RD信息；

b.PE的网络层收到CE发送来的数据时，获取该数据的目的IP地址及该CE所在VPN的RD，并判断自身保存的IP地址列表中是否存在该目的IP地址及RD，如果存在，则通过Mbuf将当前接收到的数据上传给传输层，否则，根据该目的IP地址及RD转发该数据，并结束本处理流程；

c.PE的传输层根据当前接收到的数据的源目的地址相关信息及RD生成Internet协议控制块InPCB，根据该InPCB确定对应的SOCKET，并将该数据放入该SOCKET的缓存中，之后通知应用层读取数据；

d.PE的应用层获取该SOCKET中的数据。

7、根据权利要求6所述的方法，其特征在于，所述PE与CE直接连接；

步骤b中，所述PE的网络层获取RD为：PE的网络层确定PE中接收当前数据的接口，并获取该接口所对应的RD。

8、根据权利要求6所述的方法，其特征在于，所述PE与CE通过网络设备连接，所述网络设备基于与RD对应的标签将数据发送给PE；

步骤b中，所述PE的网络层获取RD为：PE的网络层根据网络设备发送来的标签确定对应的RD。

9、根据权利要求6所述的方法，其特征在于，所述VPN与SP的骨干网之间基于TCP/IP协议栈中的TCP协议或UDP协议传输数据；

步骤c中，所述源目的地址相关信息为：源目的IP地址和源目的端口号四元组。

10、根据权利要求6所述的方法，其特征在于，所述VPN与SP的骨干网之间基于TCP/IP协议栈中的RAWIP协议传输数据；

步骤c中，所述源目的地址相关信息为：源目的IP地址和协议号三元组。

Images