[发明专利]一种IP报文转发控制方法及其设备

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种IP报文转发控制方法及其设备。

背景技术

在IP协议中，IP报文通过包头中的目的地址进行转发，通过查找三层转发设备的路由表，进行目的地址的最长匹配，然后确认报文的出接口，进行转发。在普通的IP转发中，目前可以利用ACL(Access Control List，访问控制列表)、QoS(Quality of Service，服务质量)、深度报文检测等技术在三层转发路径的每一跳上对报文进行处理。

为了更好的进行控制，目前对IP报文的精细化处理要求越来越高。对IP报文的精细化处理要求对IP报文的识别、来源、目的、类别等做出明确的判断，这种判断通常在接入层进行。当报文离开接入层进入下一跳后，对报文的身份判断就困难的多。

但是，目前尚未有能够基于IP对报文的转发行为进行端到端的控制方案。

发明内容

本发明提供了一种IP报文转发控制方法及其设备，用以解决现有IP报文转发控制技术无法实现基于IP的端到端控制的问题。

本发明提供的IP报文转发控制方法，包括：

第一网络设备发送IP报文，所述IP报文包括IP包头和位于其后的控制包头，所述IP包头标识所述IP报文为IP-in-IP封装报文，所述控制包头中携带有转发控制信息；

所述IP报文路由过程中，若第二网络设备根据所述IP报文的IP包头识别出所述IP报文为IP-in-IP封装报文，并识别出其后的包头为控制包头，则根据所述IP报文的控制包头中携带的转发控制信息，对所述IP报文的转发进行控制。

上述方法中，所述控制包头中携带的转发控制信息包括以下之一或任意组合：

IP报文所属的分组信息；

控制域级别；

服务质量QoS级别。

上述方法中，所述控制包头中携带的转发控制信息包括IP报文所属的分组信息时，所述第二网络设备根据预设的IP报文分组与转发策略的对应关系，判断所述IP报文的控制包头中携带的分组信息所对应的转发策略为拒绝转发报文时，拒绝转发所述IP报文；和/或

所述控制包头中携带的转发控制信息包括控制域级别时，所述第二网络设备判断所述IP报文的控制包头中携带的控制域级别是否低于被访问资源的控制域级别，若是，则拒绝转发所述IP报文；和/或

所述控制包头中携带的转发控制信息包括QoS级别时，所述第二网络设备根据所述IP报文的控制包头中携带的QoS级别，对所述IP报文进行基于QoS的转发控制。

上述方法中，所述第二网络设备对所述IP报文的转发进行控制的过程中，如果判断需要转发所述IP报文且下一跳为所述IP报文的目的设备，则在删除所述IP报文中的控制包头后再转发所述IP报文。

上述方法中，所述第一网络设备发送IP报文，所述IP报文包括IP包头和位于其后的控制包头，所述IP包头标识所述IP报文为IP-in-IP封装报文，所述控制包头中携带有转发控制信息，包括：

所述第一网络设备通过用户设备的认证过程获取认证服务器下发的用户名与对应设置的转发控制信息，以及用户名与IP报文的IP地址的对应关系；当所述第一网络设备接收到用户设备发送的IP报文时，根据该IP报文的IP地址所对应的用户名获取对应的转发控制信息，将该转发控制信息设置在控制包头中，并将该控制包头插入到该IP报文的IP包头之后；或者

所述第一网络设备上预先设置有IP地址与对应设置的转发控制信息，当所述第一网络设备接收到IP报文后，根据该IP报文的IP地址获取对应的转发控制信息，将该转发控制信息设置在控制包头中，并将该控制包头插入到该IP报文的IP包头之后；或者

所述第一网络设备上预先设置有访问控制列表ACL与对应分组设置的转发控制信息，当所述第一网络设备接收到IP报文后，根据所述ACL对该IP报文进行分组，根据该分组获取对应的转发控制信息，将该转发控制信息设置在控制包头中，并将该控制包头插入到该IP报文的IP包头之后。

本发明提供的网络设备，包括：

报文接收模块，用于接收路由过来的IP报文；

报文识别模块，用于识别所述IP报文的包头；

转发控制模块，用于在所述报文识别模块根据所述IP报文的IP包头识别出所述IP报文为IP-in-IP封装报文，并识别出其后的包头为控制包头时，根据所述IP报文的控制包头中携带的转发控制信息，对所述IP报文的转发进行控制。