[發明專利]在EVPN中部署安全鄰居發現

在審

• 申請號: 202010697537.3
• 申請日: 2020-07-20
• 公開（公告）號: CN112688873A
• 公開（公告）日: 2021-04-20
• 發明（設計）人: R·托馬斯;S·斯瓦拉
• 申請（專利權）人: 瞻博網絡公司
• 主分類號: H04L12/741
• 分類號: H04L12/741;H04L12/761;H04L12/46
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 馬明月

1.一種處理鄰居發現響應消息的方法，包括：

由實現以太網虛擬專用網絡EVPN的第一網絡設備接收鄰居發現響應消息，所述鄰居發現響應消息包括由第二網絡設備發起的新鮮值，其中所述第一網絡設備和所述第二網絡設備通過以太網段并通過多宿主的中間網絡設備被耦合到主機設備；

由所述第一網絡設備確定所述鄰居發現響應消息的所述新鮮值是否與被存儲在所述第一網絡設備中的新鮮值匹配；

響應于確定所述鄰居發現響應消息的所述新鮮值與被存儲在所述第一網絡設備中的新鮮值不匹配，由所述第一網絡設備確定所述鄰居發現響應消息是否在所述以太網段的以太網段標識符ESI接口上被接收；以及

響應于確定所述鄰居發現響應消息在所述以太網段的所述ESI接口上被接收，從所述鄰居發現響應消息中棄用所述新鮮值，以從所述鄰居發現響應消息中學習鏈路層地址。

2.根據權利要求1所述的方法，其中所述第一網絡設備和所述第二網絡設備用作層2網關和層3網關兩者。

3.根據權利要求1所述的方法，其中所述鄰居發現響應消息包括第一鄰居發現響應消息，所述第一鄰居發現響應消息包括由所述第二網絡設備發起的第一新鮮值，所述方法還包括：

由所述第一網絡設備接收第二鄰居發現響應消息，所述第二鄰居發現響應消息包括由所述第二網絡設備發起的第二新鮮值，

由所述第一網絡設備確定所述第二鄰居發現響應消息的所述第二新鮮值是否與被存儲在所述第一網絡設備中新鮮值匹配；

響應于確定所述第二鄰居發現響應消息的所述第二新鮮值與被存儲在所述第一網絡設備中的所述新鮮值不匹配，確定所述第二鄰居發現響應消息的目的地地址是所述第二網絡設備的物理IP地址；以及

響應于確定所述第二鄰居發現響應消息的所述目的地地址是所述第二網絡設備的所述物理IP地址，由所述第一網絡設備經由重疊網絡向所述第二網絡設備發送所述第二鄰居發現響應消息。

4.根據權利要求1至3中任一項所述的方法，其中所述鄰居發現響應消息包括使用鄰居發現協議NDP被配置的鄰居通告消息。

5.根據權利要求4所述的方法，其中所述鄰居發現協議被擴展為包括安全性擴展，所述安全性擴展包括安全鄰居發現SEND。

6.一種實現以太網虛擬專用網絡EVPN的第一網絡設備，包括：

一個或多個處理器，被耦合到存儲器，其中所述一個或多個處理器被配置為：

接收鄰居發現響應消息，所述鄰居發現響應消息包括由第二網絡設備發起的新鮮值，其中所述第一網絡設備和所述第二網絡設備通過以太網段并通過多宿主中間網絡設備被耦合到主機設備；

確定所述鄰居發現響應消息的所述新鮮值是否與被存儲在所述第一網絡設備中的新鮮值匹配；

響應于確定所述鄰居發現響應消息的所述新鮮值與被存儲在所述第一網絡設備中的新鮮值不匹配，確定所述鄰居發現響應消息的目的地地址是所述第二網絡設備的物理IP地址；以及

響應于確定所述鄰居發現響應消息的所述目的地地址是所述第二網絡設備的所述物理IP地址，經由重疊網絡向所述第二網絡設備發送所述鄰居發現響應消息。

7.根據權利要求6所述的第一網絡設備，其中所述鄰居發現響應消息包括使用鄰居發現協議NDP被配置的鄰居通告消息。

8.根據權利要求7所述的第一網絡設備，其中所述鄰居發現協議被擴展為包括安全性擴展，所述安全性擴展包括安全鄰居發現SEND。

9.一種非瞬態計算機可讀存儲介質，包括指令，所述指令用于使第一網絡設備的一個或多個可編程處理器：

從被耦合到所述第一網絡設備的本地主機設備攔截第一鄰居發現響應消息，所述第一鄰居發現響應消息包括新鮮值，其中所述第一鄰居發現響應消息由所述本地主機設備響應于第一鄰居發現請求消息而被生成，其中所述第一鄰居發現響應消息以遠程主機設備為目的地；

確定所述鄰居發現響應消息的所述新鮮值是否與被存儲在所述第一網絡設備中的新鮮值匹配；以及

響應于確定述鄰居發現響應消息的所述新鮮值與被存儲在所述第一網絡設備中新鮮值不匹配，存儲所述新鮮值；

丟棄所述第一鄰居發現響應消息；

向所述本地主機設備發送第二鄰居發現請求消息，其中所述第二鄰居發現請求消息包括所述新鮮值；

從所述本地主機設備接收包括所述新鮮值的第二鄰居發現響應消息；以及

響應于確定所述新鮮值被存儲在所述第一網絡設備中，存儲從所述第二鄰居發現響應消息學習的一個或多個鏈路層地址。