[發明專利]一種實現動態虛擬專用網絡鏈路層通信的方法和裝置

有效

• 申請號: 201310390910.0
• 申請日: 2013-08-30
• 公開（公告）號: CN104426737B
• 公開（公告）日: 2018-01-12
• 發明（設計）人: 毛昱
• 申請（專利權）人: 新華三技術有限公司
• 主分類號: H04L12/46
• 分類號: H04L12/46;H04L12/741
• 代理公司: 北京德琦知識產權代理有限公司11018
• 代理人: 謝安昆,宋志強

1.一種實現動態虛擬專用網絡DVPN鏈路層通信的方法，其特征在于，所述方法包括：

DVPN中的任一節點設備接收到下掛設備發送的報文時，在DVPN點到多點P2MP接口上，若根據獲得的下一跳，在本地點到點P2P表項中查找到對應的公網地址，且根據查找到的公網地址在因特網協議安全IPsec表項中匹配到對應的IPsec安全集SA，使用匹配到的IPsec SA對接收到的報文進行IPsec封裝并發送，其中，所述下一跳根據接收到的報文的目的因特網協議IP地址獲得；

其中，所述方法進一步包括：

若根據所述獲得的下一跳在本地P2P表項中未查找到對應的公網地址，向控制服務器查詢該下一跳對應的公網地址，并在本地建立P2P表項；并觸發本節點設備與該公網地址對應的節點設備進行因特網密鑰交換IKE協商，并生成該公網地址對應的IPsec表項，在IKE協商過程中將保護的數據流信息填充為任何報文。

2.根據權利要求1所述的方法，其特征在于，所述方法進一步包括：

若根據查找到的公網地址在IPsec表項中未匹配到對應的IPsec SA，觸發本節點設備與該公網地址對應的節點設備進行IKE協商，并生成該公網地址對應的IPsec表項，在IKE協商過程中將保護的數據流信息填充為任何報文。

3.根據權利要求1或2所述的方法，其特征在于，所述方法進一步包括：該節點設備作為分支設備Spoke時，若根據所述獲得的下一跳在本地P2P表項中未查找到對應的公網地址，或，根據查找到的公網地址在IPsec表項中未匹配到對應的IPsec SA，則在本地P2P表項中獲得中心設備Hub的公網地址，并根據Hub的公網地址在IPsec表項中匹配到對應的IPsec SA，使用該匹配到的IPsec SA對接收到的報文進行IPsec封裝并發送；

該節點設備作為Hub時，若根據所述獲得的下一跳在本地P2P表項中未查找到對應的公網地址，或，根據查找到的公網地址在IPsec表項中未匹配到對應的IPsec SA，則丟棄該接收到的報文。

4.根據權利要求1或2所述的方法，其特征在于，所述方法進一步包括：

接收到其他節點設備發送的IPsec報文時，若確定該IPsec報文的目的IP地址為本節點設備的IP地址，解封裝該IPsec報文，并根據解封裝后的報文的目的IP地址進行轉發；否則，根據該IPsec報文的目的IP地址進行轉發。

5.一種實現動態虛擬專用網絡鏈路層通信的裝置，可應用于動態虛擬專用網絡DVPN中的節點設備，其特征在于，所述裝置包括：接收單元；查找單元和處理單元；

所述接收單元，用于接收下掛設備發送的報文；

所述查找單元，用于在所述接收單元接收到下掛設備發送的報文時，在DVPN點到多點P2MP接口上，根據獲得的下一跳在點到點P2P表項中查找對應的公網地址，根據查找到的公網地址在因特網協議安全IPsec表項中匹配對應的IPsec安全集SA；其中，所述下一跳根據接收到的報文的目的因特網協議IP地址獲得；

所述處理單元，用于若所述查找單元根據獲得的下一跳，在本地P2P表項中查找到對應的公網地址，且根據查找到的公網地址在IPsec表項中匹配到對應的IPsec SA，使用匹配到的IPsec SA對接收到的報文進行IPsec封裝并發送；

其中，

所述處理單元，進一步用于若所述查找單元根據所述獲得的下一跳在本地P2P表項中未查找到對應的公網地址，向控制服務器查詢該下一跳對應的公網地址，并在本地建立P2P表項；并觸發本節點設備與該公網地址對應的節點設備進行IKE協商，并生成該公網地址對應的IPsec表項，在因特網密鑰交換IKE協商過程中將保護的數據流信息填充為任何報文。

6.根據權利要求5所述的裝置，其特征在于，

所述處理單元，進一步用于若所述查找單元根據查找到的公網地址在IPsec表項中未匹配到對應的IPsec SA，觸發本節點設備與該公網地址對應的節點設備進行IKE協商，并生成該公網地址對應的IPsec表項，在IKE協商過程中將保護的數據流信息填充為任何報文。