[发明专利]一种MPLS VPN中的报文转发方法和PE设备有效
申请号: | 201010103845.5 | 申请日: | 2010-01-22 |
公开(公告)号: | CN102136987A | 公开(公告)日: | 2011-07-27 |
发明(设计)人: | 林涛 | 申请(专利权)人: | 杭州华三通信技术有限公司 |
主分类号: | H04L12/56 | 分类号: | H04L12/56;H04L12/46 |
代理公司: | 北京德琦知识产权代理有限公司 11018 | 代理人: | 谢安昆;宋志强 |
地址: | 310053 浙江省杭州市高新技术产业*** | 国省代码: | 浙江;33 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 mpls vpn 中的 报文 转发 方法 pe 设备 | ||
技术领域
本发明涉及网络通信技术,特别涉及一种多协议标签交换虚拟专用网(MPLS VPN)中的报文转发方法和服务提供商边缘(PE)设备。
背景技术
基于多协议标签交换(MPLS)的虚拟专用网(VPN)是一种基于提供商边缘(PE)设备的三层VPN技术,它使用边界网关协议(BGP)在服务提供商骨干网上发布VPN路由,使用MPLS在服务提供商骨干网上转发VPN报文。鉴于MPLS VPN组网方式灵活、可扩展性好,并能够方便地支持MPLSQoS和MPLS流量工程(TE)而得到广泛的应用。
如图1所示,MPLS VPN组网中主要存在三种设备:用户网络边缘(CE)设备、PE设备和骨干(P)路由器。其中,CE设备可以是路由器、交换机或者主机,其感知不到VPN的存在,通常也不支持MPLS。在MPLS网络中,对VPN所有的处理都由PE设备完成。P路由器不与CE设备直接相连,仅需要具备基本MPLS转发能力。
如果在MPLS VPN组网中,CE设备之间的所有连接都由VPN服务提供商提供,则可以很好地保证VPN的安全性。但是,在实际组网中,分为骨干网运营商和驻地网运营商,MPLS骨干网由骨干网运营商提供,MPLS骨干网和CE设置之间的连接则由驻地网运营商提供,通常将这种情况下PE设备和CE设备之间的连接称为公网连接。由于在公网上传递报文时,很容易被人监听,如果采用明文隧道则安全性得不到保证。针对此问题,现有技术中主要存在以下两种方式:
第一种方式,在所有CE设备之间建立IPsec隧道。CE设备之间在进行报文传输时,对报文进行加密后在IPsec隧道上进行传输。这种方式显然不适合含有大量CE设备的MPLS VPN组网,会造成IPsec隧道数量过多,CE设备的性能压力过大。
第二种方式,在PE设备和CE设备之间基于虚拟隧道接口建立IPsec隧道,在PE设备上针对连接的每一个CE设备建立隧道接口,并针对各隧道接口分别配置VPN路由,显然这种方式需要进行复杂的隧道接口配置,且配置的隧道接口需要占用较多的IP地址。
发明内容
有鉴于此,本发明提供了一种MPLS VPN中的报文转发方法和PE设备,以便于在PE设备和CE设备之间采用公网连接时,更加简单方便地保证MPLS VPN的安全。
一种多协议标签交换虚拟专用网MPLS VPN中的报文转发方法,MPLSVPN中的服务提供商边缘PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该方法包括:
所述PE设备从P路由器侧接口接收到数据报文后,确定该数据报文的MPLS标签对应的VPN实例;对数据报文进行解MPLS封装后,根据所述对应关系,将该数据报文采用该VPN实例对应的IPsec策略进行加密;通过VPN路由转发表中该VPN实例对应的出接口转发加密后的数据报文。
一种MPLS VPN中的报文转发方法,MPLS VPN中的PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该方法包括:
所述PE设备从用户网络边缘CE设备侧接口接收到数据报文后,按照该数据报文所采用的IPsec策略对数据报文进行解密;根据所述对应关系,确定该数据报文所采用的IPsec策略对应的VPN实例;在该数据报文中封装该VPN实例对应的MPLS标签后,通过VPN路由转发表中该VPN实例对应的出接口转发数据报文。
一种PE设备,该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该PE设备包括:VPN确定模块、MPLS处理模块、IPsec处理模块和路由处理模块;
所述VPN确定模块,用于在该PE设备从P路由器侧接收到数据报文后,确定该数据报文的MPLS标签对应的VPN实例;
所述MPLS处理模块,用于对所述数据报文进行解MPLS封装后提供给所述IPsec处理模块;
所述IPsec处理模块,用于按照所述对应关系,将接收到的数据报文采用所述VPN确定模块确定的VPN实例对应的IPsec策略进行加密后,提供给所述路由处理模块;
所述路由处理模块,用于通过VPN路由转发表中所述VPN确定模块确定的VPN实例所对应的出接口转发加密后的数据报文。
一种PE设备,该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该PE设备包括:IPsec处理模块、VPN确定模块、MPLS处理模块和路由处理模块;
所述IPsec处理模块,用于在该PE设备从CE设备侧接口接收到数据报文后,按照该数据报文所采用的IPsec策略对该数据报文进行解密;
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于杭州华三通信技术有限公司,未经杭州华三通信技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201010103845.5/2.html,转载请声明来源钻瓜专利网。