[发明专利]一种MPLS VPN中的报文转发方法和PE设备有效

专利信息
申请号: 201010103845.5 申请日: 2010-01-22
公开(公告)号: CN102136987A 公开(公告)日: 2011-07-27
发明(设计)人: 林涛 申请(专利权)人: 杭州华三通信技术有限公司
主分类号: H04L12/56 分类号: H04L12/56;H04L12/46
代理公司: 北京德琦知识产权代理有限公司 11018 代理人: 谢安昆;宋志强
地址: 310053 浙江省杭州市高新技术产业*** 国省代码: 浙江;33
权利要求书: 查看更多 说明书: 查看更多
摘要:
搜索关键词: 一种 mpls vpn 中的 报文 转发 方法 pe 设备
【说明书】:

技术领域

发明涉及网络通信技术,特别涉及一种多协议标签交换虚拟专用网(MPLS VPN)中的报文转发方法和服务提供商边缘(PE)设备。

背景技术

基于多协议标签交换(MPLS)的虚拟专用网(VPN)是一种基于提供商边缘(PE)设备的三层VPN技术,它使用边界网关协议(BGP)在服务提供商骨干网上发布VPN路由,使用MPLS在服务提供商骨干网上转发VPN报文。鉴于MPLS VPN组网方式灵活、可扩展性好,并能够方便地支持MPLSQoS和MPLS流量工程(TE)而得到广泛的应用。

如图1所示,MPLS VPN组网中主要存在三种设备:用户网络边缘(CE)设备、PE设备和骨干(P)路由器。其中,CE设备可以是路由器、交换机或者主机,其感知不到VPN的存在,通常也不支持MPLS。在MPLS网络中,对VPN所有的处理都由PE设备完成。P路由器不与CE设备直接相连,仅需要具备基本MPLS转发能力。

如果在MPLS VPN组网中,CE设备之间的所有连接都由VPN服务提供商提供,则可以很好地保证VPN的安全性。但是,在实际组网中,分为骨干网运营商和驻地网运营商,MPLS骨干网由骨干网运营商提供,MPLS骨干网和CE设置之间的连接则由驻地网运营商提供,通常将这种情况下PE设备和CE设备之间的连接称为公网连接。由于在公网上传递报文时,很容易被人监听,如果采用明文隧道则安全性得不到保证。针对此问题,现有技术中主要存在以下两种方式:

第一种方式,在所有CE设备之间建立IPsec隧道。CE设备之间在进行报文传输时,对报文进行加密后在IPsec隧道上进行传输。这种方式显然不适合含有大量CE设备的MPLS VPN组网,会造成IPsec隧道数量过多,CE设备的性能压力过大。

第二种方式,在PE设备和CE设备之间基于虚拟隧道接口建立IPsec隧道,在PE设备上针对连接的每一个CE设备建立隧道接口,并针对各隧道接口分别配置VPN路由,显然这种方式需要进行复杂的隧道接口配置,且配置的隧道接口需要占用较多的IP地址。

发明内容

有鉴于此,本发明提供了一种MPLS VPN中的报文转发方法和PE设备,以便于在PE设备和CE设备之间采用公网连接时,更加简单方便地保证MPLS VPN的安全。

一种多协议标签交换虚拟专用网MPLS VPN中的报文转发方法,MPLSVPN中的服务提供商边缘PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该方法包括:

所述PE设备从P路由器侧接口接收到数据报文后,确定该数据报文的MPLS标签对应的VPN实例;对数据报文进行解MPLS封装后,根据所述对应关系,将该数据报文采用该VPN实例对应的IPsec策略进行加密;通过VPN路由转发表中该VPN实例对应的出接口转发加密后的数据报文。

一种MPLS VPN中的报文转发方法,MPLS VPN中的PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该方法包括:

所述PE设备从用户网络边缘CE设备侧接口接收到数据报文后,按照该数据报文所采用的IPsec策略对数据报文进行解密;根据所述对应关系,确定该数据报文所采用的IPsec策略对应的VPN实例;在该数据报文中封装该VPN实例对应的MPLS标签后,通过VPN路由转发表中该VPN实例对应的出接口转发数据报文。

一种PE设备,该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该PE设备包括:VPN确定模块、MPLS处理模块、IPsec处理模块和路由处理模块;

所述VPN确定模块,用于在该PE设备从P路由器侧接收到数据报文后,确定该数据报文的MPLS标签对应的VPN实例;

所述MPLS处理模块,用于对所述数据报文进行解MPLS封装后提供给所述IPsec处理模块;

所述IPsec处理模块,用于按照所述对应关系,将接收到的数据报文采用所述VPN确定模块确定的VPN实例对应的IPsec策略进行加密后,提供给所述路由处理模块;

所述路由处理模块,用于通过VPN路由转发表中所述VPN确定模块确定的VPN实例所对应的出接口转发加密后的数据报文。

一种PE设备,该PE设备上预先配置有IPsec策略与VPN实例之间的对应关系,该PE设备包括:IPsec处理模块、VPN确定模块、MPLS处理模块和路由处理模块;

所述IPsec处理模块,用于在该PE设备从CE设备侧接口接收到数据报文后,按照该数据报文所采用的IPsec策略对该数据报文进行解密;

下载完整专利技术内容需要扣除积分,VIP会员可以免费下载。

该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于杭州华三通信技术有限公司,未经杭州华三通信技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服

本文链接:http://www.vipzhuanli.com/pat/books/201010103845.5/2.html,转载请声明来源钻瓜专利网。

×

专利文献下载

说明:

1、专利原文基于中国国家知识产权局专利说明书;

2、支持发明专利 、实用新型专利、外观设计专利(升级中);

3、专利数据每周两次同步更新,支持Adobe PDF格式;

4、内容包括专利技术的结构示意图流程工艺图技术构造图

5、已全新升级为极速版,下载速度显著提升!欢迎使用!

请您登陆后,进行下载,点击【登陆】 【注册】

关于我们 寻求报道 投稿须知 广告合作 版权声明 网站地图 友情链接 企业标识 联系我们

钻瓜专利网在线咨询

周一至周五 9:00-18:00

咨询在线客服咨询在线客服
tel code back_top