[发明专利]一种实现私有虚拟局域网的方法和系统

说明书

技术领域

本发明涉及以太网网络通信安全技术，尤其涉及一种实现私有虚拟局域网的方法和系统。 

背景技术

为了提高以太网网络通信的安全性，将用户之间的报文隔离开，而提出私有虚拟局域网(PVLAN)技术来解决这个问题。在PVLAN的概念中，交换机端口有三种不同安全级别的类型：隔离端口(Isolated port)，团体端口(Community port)，混合端口(Promiscuous port)。 

隔离端口只能和混合端口通信，不能与团体端口进行交换，也不能与其他隔离端口进行交换；团体端口不仅可以和混合端口通信，还可以和团体端口通信，但是不能与隔离端口进行交换；混合端口收到的数据可以发往虚拟局域网(VLAN)内任何端口，即混合端口、隔离端口或团体端口。 

PVLAN是第2层的安全机制，对于保证接入网络的数据通信的安全性非常有效，处于隔离端口之下的用户只能与自己的默认网关连接，而与PVLAN内的其他网关没有任何交互。由于传统的第2层的安全隔离需要为每个用户分配一个VLAN和互联网协议(IP)子网，PVLAN达到了节省VLAN和IP子网的目的，同时提供了具备第2层数据通信安全性的连接。此外，PVLAN功能可以保证同一个VLAN中的隔离端口相互之间不能通信，细分了广播域，可以有效抑制VLAN中广播对用户的相互影响。 

引入了PVLAN的概念后，VLAN中成员端口都具有PVLAN属性，默认为混合端口。当一个VLAN所有成员端口都为混合端口时，任意端口之间都可以通信，PVLAN就成为普通VLAN。所以PVLAN是对VLAN的扩展，普通VLAN可以看作所有成员端口都为混合端口时PVLAN的特例。 

PVLAN增加了网络设备在第2层转发的处理复杂性，为实现PVLAN，网络设备需要在转发处理过程中增加端口的隔离属性表。端口的隔离属性表记录了VLAN各成员端口之间的转发关系，具体实现方法是：每个VLAN中的每个成员端口都保存一个与该端口隔离和/或与该端口不隔离的端口集合。从VLAN成员端口接收数据帧后，进行查表，即：进行基于媒体访问控制(MAC)表、组播转发表、VLAN表的查表后，得到出端口集合，再根据该数据帧的入端口的隔离属性表进行隔离处理，即：在查表得到的出端口集合中，去除与该数据帧的入端口隔离的端口。 

然而，由于网络设备的一个端口可以属于多个VLAN，所以端口隔离属性表的条目数量非常惊人，完全实现基于VLAN的PVLAN是很困难的。目前，绝大多数网络设备选择了一种简化的PVLAN实现，方法为：只基于端口进行PVLAN端口隔离属性的设置。这种作法实现的是一种只与数据帧入端口和出端口有关的PVLAN，端口隔离属性表的条目数量大为减少，而且转发处理效率较高。但是，存在的问题是，如果端口属性设置为隔离端口，那么这个端口的所有VLAN的数据帧都是隔离属性的，无法做到端口与VLAN的精确隔离。 

发明内容

有鉴于此，本发明的主要目的在于提供一种实现私有虚拟局域网的方法和系统，降低了PVLAN转发处理的复杂程度，同时，还提高了PVLAN应用的灵活性。 

为达到上述目的，本发明的技术方案是这样实现的： 

本发明实现的一种实现PVLAN的方法，在网络设备中，通过在VLAN表中增加PVLAN实例索引表项，将每个VLAN绑定到一个PVLAN实例，所述PVLAN实例为用户根据每个VLAN的端口隔离属性预先创建的，具体为：将具有相同端口隔离属性的VLAN创建一个PVLAN实例，每个PVLAN实例有一组端口隔离属性表，该表以端口号为索引，每一表项的内容为该端口的允许 转发端口集合，该方法还包括： 

在网络设备的一个端口接收到数据帧后，进行基于MAC表、组播转发表、VLAN表的查表，得到出端口集合； 

通过PVLAN实例索引表项得到数据帧所属VLAN绑定的PVLAN实例号，依据数据帧的入端口的端口号，在PVLAN实例号对应的PVLAN实例的端口隔离属性表中，得到相应的端口的允许转发端口集合，与出端口集合进行交集运算，按照得到的交集所对应的端口号，进行数据帧的转发。 

上述方案中，所述出端口集合采用出端口位图表示，具体为：按照转发的出端口的端口号构造一个位图，将端口号对应的位置为1。 

上述方案中，所述允许转发端口集合采用端口隔离位图表示，具体为：将允许转发的端口的端口号对应的位置为1，不允许转发的端口的端口号对应的位置为0。