IP电信网系统中实现虚拟专网的方法

暂无

技术领域\n本发明涉及一种在IP电信网系统中实现虚拟专网(Virtual Private Network，简称为VPN)的方法，属于通信技术领域。\n背景技术\n为了方便网络的运行和维护，降低网络的运营管理费用，获取良好 的经济收益，VPN一直是运营商十分看重的技术。在现有技术中，X.25网 中的闭合用户群、帧中继网中VPN、DDN中的VPN和ATM中的VPN一直是 运营商使用的重要技术手段。运营商利用VPN一般用于两种场合：一是 用于建设运营商自己的业务网，为了安全、资源保证和可靠性，运营商 自己的业务网可建立在VPN的基础上；另一种场合是为大客户提供VPN， 用于大客户建立其内部网，由于网络的运行和维护无须大客户自己管理。 在方便了用户的同时，运营商也可有很好的经济效益。在目前使用最普 遍的IP网中，VPN同样得到运营商的青睐，也一直是技术研究的重点。 目前常用的VPN技术有MPLS VPN和IPSec VPN等。\n在IP网中实现VPN的技术已经被国内外运营商普遍使用。目前，采 用的主流技术是BGP MPLS VPN。但是，目前的IP网中所有的VPN技术都 有两个致命的缺点：其一是只用优先级技术来调控资源，VPN的资源不能 真正独立；其二是VPN的可扩展性差，VPN数量不多、其规模不大时可用， VPN数量多、其规模大时就不能实现。显然，这样的VPN技术不能满足运 营商的要求。\n电信网技术正处在根本性的转型过程之中。人们逐渐认识到下一代的 电信网应该采用基于分组交换技术和不面向连接工作方式的IP网。为此， 本发明人提出了IP电信网系统的技术构想，并且申请了发明专利(专利申 请号：200410037641.0，专利申请日：2004年4月28日)。与现有的Internet 相比，该IP电信网系统由网络本身提供信任度和安全机制，是一个安全 的可信任的网络，并拥有电信网的高稳定性、可靠性和高度的可管理性。 由于IP电信网系统采用特有的双地址技术，并引入复址无连结数据网(以 下简称为NCT数据网)和实现双地址映射的地址映射设备ADT，从而导致 新的VPN技术。因此，在IP电信网系统中实现VPN的技术手段与现有的 在IP网中实现VPN的技术手段有很大的不同。本发明即提供一种在该IP 电信网系统中实现VPN的技术方案。\n发明内容\n本发明的目的在于提供一种在IP电信网系统中实现VPN的方法。\n为实现上述的发明目的，本发明采用下述的技术方案：\n一种在IP电信网系统中实现虚拟专网的方法，该方法由IP电信网 系统中组成复址无连接数据网的节点设备、网络管理设备、地址映射设 备和边缘关口设备配合实现，其特征在于包括如下步骤：\n用户向所述网络管理设备提出建立虚拟专网的申请，并提交建立该 虚拟专网所需的流量、流向表；\n所述网络管理设备为接收的申请确定虚拟专网编号；\n所述地址映射设备生成包含所述虚拟专网编号的节点设备地址映射 表；\n所述网络管理设备根据所述流量、流向表，向复址无连接数据网中 的所述节点设备或与之连接的所述边缘关口设备发送链路资源配置命令 和虚拟专网配置命令，所述节点设备和边缘关口设备在资源状况允许的 条件下，接受所述链路资源配置命令和虚拟专网配置命令，建立虚拟专 网。\n其中，建立虚拟专网的过程中，所述网络管理设备根据所述流量、 流向表计算出复址无连接数据网的相应节点设备之间链路资源需求表， 并根据计算结果向复址无连接数据网中的所述节点设备发送包括虚拟专 网编号在内的所述链路资源配置命令，据此建立虚拟专网。\n更具体的，还包括如下步骤：\n(1)所述建立虚拟专网的过程中，复址无连接数据网中的所述节点设 备根据自有资源状况作出响应；\n(2)资源状况是否许可？\n(3)如果资源状况不足以支持建立虚拟专网，则复址无连接数据网中 的所述节点设备拒绝所述链路资源配置命令，本次配置无效；如果资源 状况支持建立该虚拟专网，则复址无连接数据网中的所述节点设备接受 所述链路资源配置命令；\n(4)所述节点设备按所述链路资源配置命令的参数要求配置链路资 源，并向所述网络管理设备回发第一确认响应；\n(5)所述网络管理设备收到所有相关节点设备的所述第一确认响应 后，向所述地址映射设备发送包含有业务类别参数、虚拟专网编号在内 的所述虚拟专网配置命令；\n(6)所述地址映射设备收到所述虚拟专网配置命令，回送第二确认响 应；\n(7)所述网络管理设备收到所述第二确认响应，虚拟专网建立。\n或者，建立虚拟专网的过程中，所述网络管理设备根据所述流量、 流向表向有关边缘关口设备发送所述虚拟专网配置命令，位于源端的所 述边缘关口设备根据复址无连接数据网的路由向位于目的端的所述边缘 关口设备发送基于所述虚拟专网配置命令的资源配置请求，据此建立虚 拟专网。\n更具体的，还包括如下步骤：\n(1)源端的所述边缘关口设备根据复址无连接数据网的所述路由向目的 端的所述边缘关口设备发送所述资源配置请求；\n(2)途经的各所述节点设备收到所述资源配置请求后，根据自身的资源 状况作出响应；\n(3)资源状况是否许可？\n(4)如果资源状况支持建立该虚拟专网，则所述节点设备根据所述资源 配置请求配置链路资源，并向下一节点设备转发所述资源配置请求，直至目 的端的所述边缘关口设备，如果目的端的所述边缘关口设备的资源状况支持 建立该虚拟专网，则目的端的所述边缘关口设备向源端的所述边缘关口设备 发送接受响应；否则，向源端的所述边缘关口设备发拒绝响应，本次配置无 效；\n(5)源端的所述边缘关口设备收到目的端的所述边缘关口设备的所述接 受响应，则立即向所述网络管理设备回送第三确认响应；\n(6)所述网络管理设备收到与该虚拟专网相关的所有边缘关口设备的所 述第三确认响应，向地址映射设备发送包含业务类别参数、虚拟专网编号在 内的所述虚拟专网配置命令；\n(7)所述地址映射设备收到所述虚拟专网配置命令，回送第四确认响应；\n(8)所述网络管理设备收到所述第四确认响应，虚拟专网建立成功。\n其中，如果源端的所述边缘关口设备在设定的时间内尚未收到接受/拒 绝响应，则认为本次配置无效。\n所述步骤(1)中，源端的所述边缘关口设备可以同时启动复址无连接数据 网备用路由向目的端的所述边缘关口设备发送所述资源配置请求。\n在申请虚拟专网的过程中，如果用户是IP网中的用户，则提交的所述 流量、流向表为IP网中节点设备之间的流量、流向表，所述网络管理设备 通过所述地址映射设备获得各IP网节点设备所连接的所述边缘关口设备的 地址，将所述IP网中节点设备之间的流量、流向表换算成各所述边缘关口 设备之间的流量、流向表。\n所述申请虚拟专网的过程中，如果用户是复址无连接数据网中的用户， 则其提交的所述流量、流向表为所述边缘关口设备之间的流量、流向表。\n在虚拟专网建立之后，如果用户是复址无连接数据网中的用户，则 其通信过程包括如下步骤：\n(1)源端的所述边缘关口设备向目的端的所述边缘关口设备发送第 一复址无连接数据网分组，当所述第一复址无连接数据网分组到达源端 的所述边缘关口设备时，源端的所述边缘关口设备向所述地址映射设备 发出包含目的端的所述边缘关口设备地址在内的地址映射请求命令；\n(2)所述地址映射设备收到所述地址映射请求命令，如果源端的所述 边缘关口设备的地址与目的端的所述边缘关口设备的地址同属一个虚拟 专网，则向源端的所述边缘关口设备发送包含有虚拟专网编号、业务类 别参数和目的端的所述边缘关口设备地址在内的响应命令；\n(3)源端的所述边缘关口设备收到所述响应命令，生成包含有虚拟专 网编号、业务类别参数在内的第二复址无连接数据网分组，并将所述第 二复址无连接数据网分组发向目的端的所述边缘关口设备；\n(4)复址无连接数据网内的所述节点设备根据所述第二复址无连接 数据网分组的虚拟专网编号、业务类别参数和目的端的所述边缘关口设 备的地址，在虚拟专网约定指配的资源范围内进行传送；\n(5)目的端的所述边缘关口设备收到所述第二复址无连接数据网分 组，将所述第二复址无连接数据网分组发往目的端。\n在虚拟专网建立之后，如果用户是IP网中的用户，则其通信过程包 括如下步骤：\n(1)源端的IP设备向目的端的IP设备发送IP分组；\n(2)当所述IP分组到达源端的所述边缘关口设备时，源端的所述边 缘关口设备向所述地址映射设备发出包含有目的端IP地址在内的地址映 射请求命令；\n(3)所述地址映射设备收到所述地址映射请求命令，如源端的IP地 址与目的端的IP地址同属一个虚拟专网，则向源端的所述边缘关口设备 发送包含有虚拟专网编号、业务类别参数和目的端的所述边缘关口设备 的地址在内的响应命令；\n(4)源端的所述边缘关口设备收到所述响应命令，形成带有虚拟专网 编号、业务类别参数的复址无连接数据网分组，并将所述复址无连接数 据网分组发向目的端的所述边缘关口设备；\n(5)复址无连接数据网内的所述节点设备按所述复址无连接数据网 分组中的虚拟专网编号、业务类别参数、目的端的所述边缘关口设备地 址，在虚拟专网约定指配的资源范围内进行传送；\n(6)目的端的所述边缘关口设备收到所述复址无连接数据网分组，将 目的端IP地址恢复出来，重组成IP分组，将所述IP分组发往目的端。\n用户提出撤消虚拟专网申请，所述网络管理设备向复址无连接数据 网的所述节点设备与地址映射设备发送撤消虚拟专网命令，所述节点设 备释放已配置的资源，所述地址映射设备清除虚拟专网地址映射表，虚 拟专网撤消。\n所述复址无连接数据网分组中为虚拟专网设有专用域：虚拟专网标识域 和虚拟专网编号域；\n所述虚拟专网标识域用于表示所述复址无连接数据网分组是否属于某 一个虚拟专网，所述虚拟专网编号域用于表示所述复址无连接数据网分组属 于哪一个虚拟专网。\n所述虚拟专网编号在一个复址无连接数据网内是唯一的。\n在由二个或二个以上的复址无连接数据网参与组成一个虚拟专网时，在 不同的复址无连接数据网中分别赋予所述虚拟专网不同的虚拟专网编号，由 复址无连接数据网的核心层设备进行不同的虚拟专网编号之间的匹配。\n在虚拟专网的用户是IP网中用户的情况下，该用户与相对应的所述 边缘关口设备之间通过包括隧道技术在内的技术手段实现连接。\n本发明所述的方法可以在IP电信网系统中实现完全的VPN功能。与 现有的在IP网中实现VPN的方法相比，本方法使实现VPN的过程变得更 加简单，通信质量可以做到可控，综合运行成本也可以降低。\n附图说明\n下面结合附图和具体实施方式对本发明作进一步的说明。\n图1为IP电信网系统的组成结构示意图。\n图2为本发明所述的IP电信网系统中实现VPN的方法流程图。\n图3为建立NCT VPN的第一种技术方案的流程图。\n图4为建立NCT VPN的第二种技术方案的流程图。\n图5为NCT VPN中通信过程的流程图。\n图6为IP VPN中通信过程的流程图。\n图7为VPN撤消过程的流程图。\n具体实施方式\n在对本IP电信网系统中实现VPN的方法进行说明之前，首先对该IP电 信网系统的结构和运行原理作一个简要的说明。IP电信网系统是本专利的发 明人结合电信网技术转型的根本趋势，在深入研究电信网和Internet各自 优缺点的前提下提出的一种电信网的技术实现方案。如图1所示，该IP电 信网系统包括至少一个复址无连接数据网、多数个IP网，以及多数个边缘 关口设备ED。这里所说的IP网包括但不限于IP城域网、接入网或用户驻地 网，它通过边缘关口设备ED与NCT数据网相连接；每个NCT数据网中还包 括至少一个地址映射设备ADT；NCT数据网中的所有设备与边缘关口设备都 分配有一个NCT数据网地址，IP网中的所有设备和边缘关口设备ED都分配 有IP地址，IP地址和NCT数据网地址之间的映射关系保存在地址映射设备 ADT内的地址映射表之中；边缘关口设备ED经认证与地址映射设备ADT之间 建立连接。NCT数据网作为“内网”，采用与现有电信网类似的层次型的体系 结构，它由核心层设备CR、汇聚层设备MR、接入层设备AR、网络管理设备 以及地址映射设备ADT组成，各个NCT数据网之间通过各自的核心层设备CR 实现通信。在NCT数据网内部采用NCT数据网本身的地址来进行寻址，该数 据网地址不同于IP网的IP地址。这种双地址结构是理解本IP电信网系统 的关键所在。\n在IP电信网系统中，IP网与NCT数据网在拓扑结构上严格分离。IP网 与各自的NCT数据网建立连接，并且与该NCT数据网之间建立信任关系，如 果该信任关系未能建立的话，IP网与NCT数据网之间不能进行通信；各NCT 数据网之间也是这样。\n地址映射设备ADT是网络上实现地址映射的设备，它保存地址映射表。 边缘关口设备ED是IP网与NCT数据网连接的关口设备。它至少具有两方面 的功能，其一是实现NCT数据网地址和IP地址的转换，使NCT数据网可以 承载现有的IP分组；另一个功能是对IP网的业务流进行汇聚。\n每一个边缘关口设备ED都有确定的NCT数据网地址和IP地址，并确知 与其连接的网络节点设备的IP地址。边缘关口设备必须向相应的地址映射 设备ADT进行注册，注册过程需要进行认证，以确认边缘关口设备ED与地 址映射设备ADT之间的信任关系。通过这种认证，不面向连接的IP电信网 系统也能实现安全通信。\n上面是对本发明所依赖的IP电信网系统的结构和运行原理的简要说明。 关于IP电信网系统的进一步说明可以参看该专利申请的说明书，在此就不 赘述了。\n如前所述，本IP电信网系统采用双地址结构，包括采用NCT数据网地 址的NCT数据网和采用IP地址的IP网两部分。IP电信网系统的VPN有两类， 一类是IP VPN，另一类是NCT VPN。其中的IP VPN是根据用户指定的一群 IP地址以及这些IP地址之间的流量、流向关系，建立满足相应要求的VPN； NCT VPN则是根据一群NCT地址以及这些NCT地址之间的流量、流向关系， 建立满足相应要求的VPN。NCT VPN主要用于提供透明专线服务的VPN。这两 类VPN都需经过ED和ADT来实现。为了在IP电信网系统中建立VPN，在NCT 分组中为实现VPN设有专用的域：VPN标识域和VPN编号域。VPN标识域表 示在NCT网内传送的分组是否属于某一个VPN，VPN编号域则表示该分组属 于哪一个VPN。这两个域为我们建立IP电信网系统的VPN提供了便利。\n在IP电信网系统中实现VPN的总体流程图参照图2所示，包括如下的 步骤：\n(1)用户向网络管理设备提出建立VPN的申请，并提交建立该VPN所 需的流量、流向表；\n(2)根据流量、流向表判断是何种类型的VPN？\n如果是NCT VPN，其流量、流向表是ED之间的流量、流向表，转入步 骤(4)；如果是IP VPN，则流量、流向表为IP网中节点设备的流量、流向 表，转入步骤(3)；\n(3)网络管理设备通过ADT获得各IP网节点设备连接的ED的地址， 将该流量、流向表换算成各ED之间的流量、流向表，转入步骤(4)；\n(4)是否由网络管理设备配置资源？\n(5)如果是，则网络管理设备根据所述流量、流向表计算出相应NCT 数据网节点设备间链路资源需求表，并根据计算结果向NCT数据网中的 节点设备发送包括VPN编号在内的链路资源配置命令，据此建立VPN\n(6)如果否，则网络管理设备根据流量、流向表向有关ED发送虚拟专 网配置命令，源端ED根据NCT数据网的路由向目的端ED发送VPN配置请求， 据此建立VPN。\n下面对上述的整体过程分为在NCT数据网中实现的VPN和在IP网中实 现的VPN分别加以详细的说明。\nNCT数据网中实现VPN的过程包括如下的步骤：\n1.申请VPN：\n首先，请求建立VPN的用户向网络管理设备提出建立VPN的请求， 并提供建立该VPN所需的流量、流向表。\n2.建立VPN：\n建立NCT VPN有两种技术方案。\n第一种技术方案如图3所示，包括下列步骤：\n网络管理设备根据用户提交的虚拟专网的ED间的流量、流向表，计 算出NCT数据网内相应节点设备间链路资源需求表，网络管理设备根据 上述计算结果，确定VPN编号，向NCT数据网的有关节点设备发送带有业 务类别、VPN编号等参数的链路资源配置命令。\nNCT数据网中的节点设备根据自有资源状况作出响应；如果资源状况 支持建立该虚拟专网，则NCT数据网中的节点设备接受该命令，按该命 令参数要求配置链路资源，并向网络管理设备返回确认响应。网络管理 设备收到NCT数据网中相关的所有节点设备的确认响应后，向ADT发送 带有业务类别、VPN编号等参数的命令。ADT收到来自网络管理设备的VPN 命令，即回送确认响应。网络管理设备收到确认响应，虚拟专网建立成功。\n如果资源状况不足以支持建立虚拟专网，则复址无连接数据网中的 节点设备拒绝该命令，本次配置无效。虚拟专网建立不成功。\n应用这种方案可以实现保证质量的VPN。由网络管理设备对VPN建立 进行配置和控制，可以实现VPN资源的优化，易于建立固定的或者最优 的VPN隧道，而且建立快速。\n第二种技术方案如图4所示，包括下列步骤：\n网络管理设备向需要建立VPN的该源端ED发送建立VPN命令，该命令 应包含有VPN业务类别、VPN编号、源端ED地址/目的端ED地址等参数。\n源端ED根据NCT的主路由向目的端ED发VPN配置请求，或者，同时启 动NCT备用路由发VPN配置请求。途经的各NCT节点设备，收到该请求后根 据自有的资源状况作出响应：如果资源状况支持建立该VPN，则NCT节点设 备根据该VPN配置请求配置链路资源，并向下一节点设备转发该VPN配置请 求，直至目的端ED；如果目的端ED的资源状况支持建立该VPN，则目的端 ED向源端ED发送接受响应。\n如果源端ED收到目的端ED的接受响应，则源端ED立即向网络管理设 备回送确认响应。网络管理设备收到该VPN的所有相关ED的确认响应，网 络管理设备向与源端ED相连接的ADT发送带有业务类别、VPN编号等参数的 命令。\nADT收到来自网络管理设备的命令，建立VPN编号、业务类别和目的端 ED地址映射表，然后回送确认响应。网络管理设备收到确认响应。VPN建立 成功。\n如果节点设备或目的端ED资源状况不支持建立该VPN，则NCT节点设备 或目的端ED向源端ED发拒绝响应。本次配置无效。如果源端ED的启动计 时超时，尚未收到接受/拒绝响应，源端ED也认为本次配置无效。上述两种 情况均认为虚拟专网建立不成功。\n这种由源端ED发出VPN配置请求后，由各节点设备转发来建立VPN 的方案，能够根据当前网络情况建立VPN。\n3.通信过程：\nNCT VPN中的通信过程如图5所示：\n源端ED向目的端ED发送NCT分组，当NCT分组到达源端ED时，源 端ED向ADT发出带有目的端ED地址、业务类别等参数的地址映射请求 命令。\nADT收到地址映射请求命令，如判断源端ED地址与目的端ED地址同 属一个VPN时，ADT即向源端ED发带有VPN编号、业务类别和目的端ED 地址等参数响应命令。\n源端ED收到带有VPN编号、业务类别和目的端ED地址等参数响应命 令，形成带有VPN标记、VPN编号、业务类别、数据载荷等域的NCT分组， 并将它发向目的端ED。\nNCT网内的AR、MR、CR等节点设备，按NCT分组的VPN标记、VPN 编号将NCT分组传送到目的端ED。\n目的端ED收到NCT分组将它发往目的端。\n由IP网用户参与的IP VPN的实现过程是这样的：\n1.IP网内用户通过源端ED向网络管理设备提交该IP VPN的IP设 备之间的流量、流向表。\n2.网络管理设备接收到用户提交的该IP VPN的IP设备之间的流量、 流向表，网络管理设备向ADT提出地址解析请求，解析出相应ED的NCT 地址。然后，网络管理设备将IP设备之间的流量、流向表换算成相应ED 间的流量、流向表。\n3.对NCT数据网内的VPN建立过程与前述NCT VPN的建立过程相同。\n4.该IP VPN的所有IP设备分别与相连接的边缘关口设备ED之间， 通过隧道技术或者现有的VPN技术等建立连接，至此IPVPN建立完成。\n5.IP VPN的通信过程：\n该通信过程如图6所示，包括下列步骤：\n源端IP设备向目的端IP设备发送IP分组。\n当IP分组到达源端ED时，源端ED向ADT发出带有目的端IP地址 等参数的地址映射请求命令。\nADT收到地址映射请求命令，如源端IP地址与目的端IP地址同属一 个VPN时，ADT即向源端ED发送带有VPN编号、业务类别和目的端ED地 址等参数响应命令。\n源端ED收到带有VPN编号、业务类别和目的端ED地址等参数响应命 令，形成带有VPN编号、业务类别的NCT分组，并将它发向目的端ED。\nNCT网内的AR、MR、CR等节点设备，按NCT分组的VPN编号、业务类 别、目的端ED地址等参数，在VPN约定指配的资源范围内进行传送。\n目的端ED收到NCT分组，将目的端IP地址恢复出来，重组IP分组， 将它发往目的端。\n概括地说，IP VPN与NCT VPN相比，由于在IP VPN是根据IP网内IP 设备之间的流量、流向表来建  IP设备间的虚拟专网，这里的IP设备 可以是一个确定IP地址的IP设备，也可以是一个IP网中的一个用户驻 地网(CPN)等，IP设备与相对应的ED间用隧道或现有VPN技术如MPLS VPN或者IPSec VPN等实现连接。IP VPN的接入点是IP网。NCT VPN的 接入点是ED。\n撤销VPN的过程如图7所示，包括下列步骤：用户提出撤消VPN申 请，网络管理设备向复址无连接数据网节点设备与地址映射设备发送撤消 VPN命令，复址无连接数据网节点设备释放已配置的资源，地址映射设备 清除VPN地址映射表，VPN撤消。\n在实际业务中，可能需要建立多个VPN，例如在一个较大规模的企业内 部网中，根据业务需要，至少需要建立3个VPN，其中一个VPN用于内部的 办公自动化，另外一个VPN用于建立企业内部的核心数据网，还有一个VPN 用于召开视频会议。因此，不同的VPN业务有必要进行编号管理。这也就是 前面所述的在分组内设置VPN编号位的目的端所在。该VPN编号在一个NCT 数据网内是唯一的。在一个NCT数据网内，针对不同的业务类别，也可以有 相同的VPN的编号，即在一个运行网内最多可有“VPN编号×业务类别”个 VPN。\n由二个或二个以上的NCT数据网组织VPN时，在不同NCT数据网中VPN 的编号可以是不同的，由NCT数据网之间进行连接的核心层设备CR进行VPN 的编号之间的匹配。\n从上述的说明可以看出，本发明所述的在IP电信网系统中实现VPN 的方法中，在NCT数据网内部实现VPN的过程是最核心的内容，对于NCT数 据网外部的IP节点设备来说，如果要加入某个VPN，分组地址的转换工作是 关键的技术内容。因此，对于ATM分组和帧中继(F.R.)分组而言，只要在 ADT中设ATM地址或者帧中继地址与NCT地址的映射表，并在ED中完成地址 转换的工作，同样可以实现有ATM或者帧中继的VPN。\n上面对在IP电信网系统中实现VPN的方法进行了详细的说明，但显然 本发明的具体实现形式并不局限于此。对于本技术领域的一般技术人员来 说，在不背离本发明所述方法的精神和权利要求范围的情况下对它进行的各 种显而易见的改变都在本发明的保护范围之内。