[发明专利]基于租户信息的数据转发方法及数据转发装置

说明书

本发明提供一种基于租户信息的数据转发方法及数据转发装置，所述方法包括以下步骤：网络服务提供点与客户端设备建立VPN通道；所述网络服务提供点存储VPN通道信息和租户信息之间的第一对应关系，其中所述VPN通道信息用于唯一标识所述VPN通道，所述租户信息用于唯一标识所述客户端设备隶属的租户；所述网络服务提供点接收来自所述客户端设备的数据包，从所述数据包中获取目标VPN通道信息；所述网络服务提供点从所述第一对应关系中查询与所述目标VPN通道信息相对应的目标租户信息；所述网络服务提供点将所述数据包转发至与所述目标租户信息对应的预设虚拟机。

技术领域

本发明涉及通信技术领域，特别涉及一种基于租户信息的数据转发方法及数据转发装置。

背景技术

现有的支持云计算的SD-WAN架构在SD-WAN骨干网上建立多个网络服务提供(POP)点，采用VXLAN+IPSec架构用来在SD-WAN骨干网区分不同用户的流量。使用VXLANtagid用来做不同租户的流量的标识，在POP点根据不同VXLANID，来匹配上不同租户，根据不同租户流量编排的策略，将相应的流量调度到不同的安全资源池进行对应的处理。由于单个VXLANIDRFC定义的长度为24比特，支持最多16M，因此单个POP点即可以最大支持16M的租户接入。

采用此种方案的缺点是，本身在SD-WAN骨干网对多租户的网络切片就很复杂，再加上基于互联网、光纤等underlay网络上建立采用IPSec技术建立overlay网络，如何管理成千上万条的IPSec隧道的技术就更复杂，再加上IPSec需要再结合VXLAN，相当于管理复杂度翻倍了，即在overlay网络需要同时管理IPSec隧道和VxLAN隧道，维护两份隧道信息。

发明内容

本发明的目的是提供一种设计简单，易于维护，并且能够有效隔离不同租户流量的数据转发方案，以解决现有技术中存在的上述缺陷。

为实现上述目的，本发明提供一种基于租户信息的数据转发方法，包括以下步骤：

网络服务提供点与客户端设备建立VPN通道；

所述网络服务提供点存储VPN通道信息和租户信息之间的第一对应关系，其中所述VPN通道信息用于唯一标识所述VPN通道，所述租户信息用于唯一标识所述客户端设备隶属的租户；

所述网络服务提供点接收来自所述客户端设备的数据包，从所述数据包中获取目标VPN通道信息；

所述网络服务提供点从所述第一对应关系中查询与所述目标VPN通道信息相对应的目标租户信息；

所述网络服务提供点将所述数据包转发至与所述目标租户信息对应的预设虚拟机。

根据本发明提供的数据转发方法，其中，所述网络服务提供点与所述客户端设备建立VPN通道的步骤包括：

所述网络服务提供点接收管控平台下发的VPN通道配置模板，所述配置模板中包含与所述网络服务提供点建立VPN通道的客户端设备信息和租户信息；

POP基于所述配置模板与所述CPE设备建立VPN通道。

根据本发明提供的数据转发方法，其中，所述VPN通道为IPSec隧道，所述网络服务提供点存储VPN通道信息和租户信息之间的第一对应关系的步骤包括：

获取所述IPSec隧道中的安全关联信息，基于所述安全关联信息提取安全参数索引；

保存所述安全参数索引与所述租户信息的第一对应关系。

根据本发明提供的数据转发方法，其中，所述网络服务提供点接收来自所述客户端设备的数据包，从所述数据包中获取目标VPN通道信息的步骤包括：

所述网络服务提供点接收来自所述客户端设备的数据包，从所述数据包中解析安全关联信息，并提取所述安全关联信息中的安全参数索引；