一种MPLS/BGP三层虚拟专用网的部署方法和系统

暂无

一种MPLS/BGP三层虚拟专用网的部署方法和系统\n技术领域\n[0001] 本发明涉及MPLS(Multiprotocol Label Switching，多协议标记交换)/BGP(Border Gateway Protocol，边界网关协议)VPN(Virtual Private Network，虚拟专用网)领域，尤其涉及一种MPLS/BGP三层虚拟专用网的部署方法和系统。\n背景技术\n[0002] 随着网络经济的发展，企业对于自身网络的建设提出了越来越高的要求，主要表现在网络的灵活性、经济性、扩展性等方面。在这样的背景下，VPN以其独有的优势赢得了越来越多企业的青睐。利用公共网络来构建的私有专用网络称为虚拟专用网络VPN。在公共网络上组建的VPN像企业现有的私有网络一样提供安全性和可管理性等。在所有的VPN技术中，MPLS VPN具有良好的可扩展性和灵活性，是目前发展最为迅速的VPN技术之一。\n[0003] MPLS/BGP VPN是基于MPLS协议与BGP协议之上的三层虚拟专用网技术，该类型网络包含的基本组件如下：\n[0004] PE(Provider Edge Router)：骨干网边缘路由器，用于存储VRF(VirtualRouting Forwarding Instance，虚拟路由转发)实例，处理VPN-IPv4(VPNInternet Protocol version4)路由。\n[0005] CE(Custom Edge Router，用户网边缘路由器)：用于发布用户网络路由。\n[0006] P(Provider Router，骨干网核心路由器)：负责MPLS标签转发。\n[0007] VPN用户站点：CE设备通常是VPN用户站点中的一台传输设备，VPN用户站点通过一个单独的物理端口或逻辑端口连接到PE设备上，该物理端口或逻辑端口通常是VLAN(Virtual Local Area Network，虚拟局域网)端口。\n[0008] 如图1所示，MPLS/BGP VPN中的基本组件之间相互连接实现了三层虚拟专用网内部的通信。用户接入MPLS/BGP VPN的方式是每个VPN用户站点提供一台或多台CE设备，同骨干网的PE连接。在PE设备上配置VRF实例，将连接PE设备和CE设备的物理接口、逻辑接口绑定在VRF实例上。在传统的三层虚拟专用网中CE、PE以及P设备的功能划分严格，通常情况下一台传输设备只能作为一种设备角色存在于该类型网络中。CE作为用户设备只能用来接入PE设备，将自己的路由信息通告到PE设备上的VRF路由表中，PE设备维护VRF路由表，P设备进行MPLS标签交换。图1中有两个VPN用户站点，分别为第一VPN用户站点VPN1与第二VPN用户站点VPN2，两个VPN用户站点相互隔离，分别有两台CE设备在每个VPN用户站点中互通，两个VPN用户站点共用一台P设备和两台PE设备。\n[0009] PE设备和CE设备之间要交换路由信息一般是通过静态路由，也可以通过RIP(Routing Information Protocol，路由信息协议)、OSPF(Open Shortest-PathFirst，开放式最短路径优先协议)、BGP、IS-IS(Intermediate System-to-Intermediate System，链路状态协议)等路由协议交换路由信息。随着三层虚拟专用网中接入的VPN用户站点的增多需要不断地添加CE设备，比如，如图2所示，P设备侧另外要增加一台CE设备与第二VPN用户站点VPN2中其他的CE设备互通，而根据网络中传输设备身份功能的严格定义，组网时每添加一台CE设备则必须要添加一台PE设备，这样会造成虚拟专用网过于庞大和复杂。\n发明内容\n[0010] 本发明要解决的技术问题是，提供一种MPLS/BGP三层虚拟专用网的部署方法和系统，简化了三层虚拟专用网的组织结构，提高了组网的灵活性。\n[0011] 本发明采用的技术方案是，所述MPLS/BGP三层虚拟专用网的部署方法，包括如下步骤：\n[0012] 步骤一、将传输设备上的命令节点划分为管理命令节点和配置命令节点，配置命令节点包括PE设备命令节点、P设备命令节点和CE设备命令节点；\n[0013] 步骤二、将管理命令节点、PE设备命令节点、P设备命令节点以及CE设备命令节点的权限等级设置为依次降低；将用户分为与命令节点对应的四个权限等级，用户的权限等级必须大于等于命令节点的权限等级才能登陆传输设备操作该命令节点；\n[0014] 步骤三、统一分配和管理用户名和密码，不同的用户名和密码对应不同的权限等级；\n[0015] 步骤四、判断用户输入的用户名和密码是否正确，如果是，则允许用户登陆传输设备，否则不允许用户登陆传输设备；\n[0016] 步骤五、判断用户的权限等级，根据不同的权限等级判断用户操作的命令节点是否与该用户的权限等级相适应，若是，则允许配置，否则拒绝配置。\n[0017] 一种MPLS/BGP三层虚拟专用网的部署系统，包括：\n[0018] 命令节点划分模块，用于将传输设备上的命令节点划分为管理命令节点和配置命令节点，配置命令节点包括PE设备命令节点、P设备命令节点和CE设备命令节点；\n[0019] 权限等级分配模块，用于将管理命令节点、PE设备命令节点、P设备命令节点以及CE设备命令节点的权限等级设置为依次降低；将用户分为与命令节点对应的四个权限等级，用户的权限等级必须大于等于命令节点的权限等级才能登陆传输设备操作该命令节点；\n[0020] 密码管理模块，用于统一分配和管理用户名和密码，不同的用户名和密码对应不同的权限等级；\n[0021] 判断模块，用于当用户登陆传输设备时，判断用户名与密码是否正确；当用户配置命令节点时，判断用户的权限等级以及操作的命令节点是否与该用户的权限等级相适应。\n[0022] 采用上述技术方案，本发明至少具有下列优点：\n[0023] 本发明所述MPLS/BGP三层虚拟专用网的部署方法和系统基于MPLS/BGP VPN的三层虚拟专用网技术，通过对该类型网络中的传输设备实行分权管理，为不同权限等级的用户开放相应的传输设备功能，该方法能在网络扩展的过程中有效的减少三层虚拟专用网中传输设备的数量，更加充分地利用现有网络资源，简化三层虚拟专用网的组织结构，同时还提高了三层虚拟专用网组网的灵活性。\n附图说明\n[0024] 图1为传统的基于MPLS/BGP三层虚拟专用网的组网示意图；\n[0025] 图2为传统的基于MPLS/BGP三层虚拟专用网在进行网络扩展时的组网示意图；\n[0026] 图3为采用本发明所述部署方法后对三层虚拟专用网进行网络扩展时的组网示意图；\n[0027] 图4为采用本发明所述部署方法后对三层虚拟专用网进行网络扩展时进一步简化的组网示意图；\n[0028] 图5为传输设备上命令节点的判断流程图；\n[0029] 图6为本发明所述部署方法流程图。\n具体实施方式\n[0030] 为更进一步阐述本发明为达成预定目的所采取的技术手段及功效，以下结合附图及较佳实施例，对本发明提出的一种MPLS/BGP三层虚拟专用网的部署方法和系统详细说明如后。\n[0031] 本发明第一实施例中，一种MPLS/BGP三层虚拟专用网的部署方法，如图6所示，包括如下步骤：\n[0032] 步骤一、将传输设备上的命令节点划分为管理命令节点和配置命令节点，配置命令节点包括PE设备命令节点、P设备命令节点和CE设备命令节点，划分的方式为：将不包含VRF和MPLS字段命令的命令节点划分为CE设备命令节点；将只包含MPLS字段命令的命令节点划分为P设备命令节点；将既包含MPLS字段命令又包含VRF字段命令的命令节点划分为PE设备命令节点；剩下的命令节点就是管理命令节点；\n[0033] 步骤二、将管理命令节点、PE设备命令节点、P设备命令节点以及CE设备命令节点的权限等级设置为依次降低，如各种命令节点与权限等级的对应关系为：管理命令节点的权限等级为4，PE设备命令节点的权限等级为3，P设备命令节点命令权限等级为2，CE设备命令节点权限等级为1；\n[0034] 将用户分为与命令节点对应的四个权限等级，用户与权限等级的对应关系为：管理员具有最高的权限等级为4，每台传输设备上所有的命令节点都对管理员开放，管理员通过操作传输设备上的管理命令节点设置各个命令节点的权限等级，添加用户名与密码，为用户分配权限等级；\n[0035] 具有对应权限等级的用户才能登陆传输设备操作相应权限等级的命令节点，将传输设备配置成CE设备，PE设备或者P设备。对于用户而言遵照“用户的权限等级必须大于等于命令节点的权限等级才能够在传输设备上操作该命令节点”的原则，比如，权限等级为\n2的用户可以登陆传输设备操作权限等级为2以及1的命令节点，满足向下兼容的规则；\n[0036] 步骤三、统一分配和管理用户名和密码，不同的用户名和密码对应不同的权限等级；用户可以向管理员申请用户名和密码，管理员忘记密码则使用系统的密码恢复功能取回密码，用户忘记密码通过管理员取回；\n[0037] 步骤四、判断用户输入的用户名和密码是否正确，如果是，则允许用户登陆传输设备，否则提示用户名或者密码不正确，不允许用户登陆传输设备；\n[0038] 步骤五、判断用户的权限等级，如果用户权限等级为1，则允许该用户进行CE设备命令节点的配置，如果用户权限等级为2，则允许该用户进行P设备命令节点的配置，如果用户权限等级为3，则允许该用户进行PE设备命令节点的配置；\n[0039] 进一步的，根据不同的权限等级判断用户操作的命令节点是否与该用户的权限等级相适应，若是，则允许配置，否则拒绝配置。具体过程如下：\n[0040] 1)根据用户在传输设备上输入的命令中包含的字段，判断该命令属于哪一种命令节点：如图5所示，首先判断用户输入的命令是否包含MPLS或者VRF字段，若否，则该命令属于CE设备命令节点，若是，则进一步判断用户输入的命令是否包含VRF字段，若是，则该命令属于PE设备命令节点，否则属于P设备命令节点。\n[0041] 2)判断用户输入的命令所属的命令节点是否与该用户的权限等级相适应，若是，则允许配置，否则拒绝配置。\n[0042] 比如，当权限等级为1的用户操作了P设备或者PE设备命令节点，则该传输设备拒绝用户的配置，当权限等级为2的用户操作了PE设备命令节点，则该传输设备拒绝用户的配置，而权限等级为3的用户可以操作P设备、PE设备和CE设备命令节点，即所有的配置命令节点。\n[0043] 采用上述部署方法，可以使三层虚拟专用网中的同一台传输设备同时作为PE设备与CE设备使用，即该传输设备作为一个VPN站点的CE设备使用，还可以作为另一个VPN站点的PE设备使用。当三层虚拟专用网中同一台传输设备同时作为CE与PE设备使用时，被称为C&PE设备；当三层虚拟专用网中同一台传输设备同时作为PE与P设备使用时，被称为P&PE设备。\n[0044] 在传统的三层虚拟专用网中，如图1所示，CE，PE以及P设备的功能划分严格。CE设备是用户设备只能用来接入PE设备，将自己的路由信息通告到PE设备上的VRF路由表中，PE设备维护VRF路由表，P设备进行MPLS标签交换，图1中的第一VPN用户站点VPN1与第二VPN用户站点VPN2相互隔离，分别有两台CE设备在每个VPN用户站点中互通，两个VPN用户站点共用一台P设备和两台PE设备。\n[0045] 如果P设备侧另外要增加一台CE设备与第二VPN用户站点VPN2中其他的CE设备互通，采用本发明所述方法组网时，每添加一台CE设备无须添加一台PE设备，而是将CE直接接入P设备进行路由交互，如图3所示，通过对原P设备所在的那台传输设备进行了分权管理，可以使其同时具备两种功能：PE设备功能与P设备功能，在第一VPN用户站点VPN1的通信中，该传输设备为P设备；在第二VPN用户站点VPN2的通信中，该传输设备为PE设备，由于本发明提供了P&PE设备，使管理员能根据需求随时配置传输设备在各VPN用户站点中的功能，同时满足多个VPN用户站点的通信需求。\n[0046] 图4是对三层虚拟专用网的进一步简化：将图3中左边的一台PE设备用C&PE设备代替，C&PE设备通过分权管理兼具PE设备与CE设备的功能。在第二VPN用户站点VPN2的通信中，当P&PE设备作为PE设备使用时，C&PE设备作为CE设备使用；在第一VPN用户站点VPN1的通信中，当P&PE设备作为P设备使用时，C&PE设备作为PE设备使用。由于本发明提供了P&PE设备、C&PE设备，使管理员能根据需求随时配置传输设备在各VPN用户站点中的功能，同时满足多个VPN用户站点的通信需求。显然，图4中的组网结构完全能实现与图3同样的功能，同时还节省了一台传输设备，从而简化了虚拟专用网的组织结构，还提高了组网的灵活性。\n[0047] 本发明的第二实施例，一种MPLS/BGP三层虚拟专用网的部署系统，包括：\n[0048] 命令节点划分模块，用于将传输设备上的配置命令节点划分为PE设备命令节点、P设备命令节点和CE设备命令节点；\n[0049] 权限等级分配模块，用于将管理命令节点、PE设备命令节点、P设备命令节点以及CE设备命令节点的权限等级设置为依次降低；将用户分为与命令节点对应的四个权限等级，用户的权限等级必须大于等于命令节点的权限等级才能登陆传输设备操作该命令节点；\n[0050] 密码管理模块，用于统一分配和管理用户名和密码，不同的用户名和密码对应不同的权限等级；\n[0051] 判断模块，用于当用户登陆传输设备时，判断用户名与密码是否正确；当用户配置命令节点时，判断用户的权限等级以及操作的命令节点是否与该用户的权限等级相适应。\n[0052] 通过具体实施方式的说明，当可对本发明为达成预定目的所采取的技术手段及功效得以更加深入且具体的了解，然而所附图示仅是提供参考与说明之用，并非用来对本发明加以限制。