[发明专利]基于虚拟可扩展局域网隧道的报文处理方法及装置

说明书

本申请提供一种基于虚拟可扩展局域网VXLAN隧道的报文处理方法及装置。该报文处理方法应用于创建VXLAN隧道的两个交换机上，包括：创建VXLAN隧道后，向控制器上报各自的端口状态消息，端口状态消息中携带有隧道信息，隧道信息中包含加密能力信息，以使控制器在确认两个交换机上报的隧道信息一致且支持的加密算法至少部分相同时，向两个交换机返回携带有加密信息的端口修改消息；以及接收端口修改消息，从端口修改消息中解析出加密信息，并根据加密信息对进入VXLAN隧道的报文进行加密处理或者对VXLAN隧道输出的报文进行解密处理。本申请实施例，可避免用户在VTEP上的静态配置工作，实现了控制器对隧道上用户报文的灵活加密控制。

技术领域

本申请涉及通信技术，尤其涉及一种基于虚拟可扩展局域网VXLAN隧道的报文处理方法及装置。

背景技术

随着网络技术的快速发展，一种新型的网络架构软件定义网络(SoftwareDefined Network，SDN)应运而生，其核心思想是将网络设备的控制层面与转发层面分离，从而实现对网络流量的灵活控制。

在SDN网络中，开放流(Openflow)交换机之间采用虚拟隧道互联，虚拟隧道由虚拟可扩展局域网(Virtual eXtensible Local Area Network，VXLAN)维护，控制器不需要对网络拓扑进行计算，也无需关注设备之间隧道的转发路径和状态。当主机之间需要通过VXLAN网络时，控制器指定转发流表中的动作项，报文将通过封装隧道进入VXLAN网络中，之后根据隧道头在VXLAN网络中转发，到达目的Openflow交换机后弹掉VXLAN隧道头，并根据用户报文的目的介质访问控制(MAC)地址转发到用户侧。

目前，VXLAN隧道终端(VXLAN Tunneling End Point，VTEP)可以根据静态配置的加密算法对进入公网的用户报文进行加密，也可以在接收到公网侧的VXLAN数据帧后，根据静态配置的加密算法对数据帧进行解密恢复。

但是，目前对报文的加解密只能由用户在VTEP上静态配置，当VXLAN隧道比较多时，每个VTEP设备需要对多个VXLAN隧道进行加密配置，例如，有3个VTEP设备，每个VTEP设备上有1000个VXLAN隧道，那么在每个VTEP设备上都要配置1000次，配置复杂，不利于SDN的整网部署及对隧道上用户报文的加密控制。

发明内容

有鉴于此，本申请提供一种基于VXLAN隧道的报文处理方法及装置。

具体地，本申请是通过如下技术方案实现的：

根据本发明实施例的第一方面，提供一种基于虚拟可扩展局域网VXLAN隧道的报文处理方法，所述方法应用于创建所述VXLAN隧道的两个交换机上，所述方法包括：

创建所述VXLAN隧道后，向控制器上报各自的端口状态消息，其中，所述端口状态消息中携带有隧道信息，所述隧道信息中包含加密能力信息，以使所述控制器在确认所述两个交换机上报的隧道信息一致且支持的加密算法至少部分相同时，向所述两个交换机返回携带有加密信息的端口修改消息；以及

接收所述端口修改消息，从所述端口修改消息中解析出加密信息，并根据所述加密信息对进入所述VXLAN隧道的报文进行加密处理或者对所述VXLAN隧道输出的报文进行解密处理。

根据本发明实施例的第二方面，提供一种基于虚拟可扩展局域网VXLAN隧道的报文处理方法，所述方法应用于软件定义网络SDN中的控制器上，所述方法包括：

接收创建所述VXLAN隧道的两个交换机上报的端口状态消息，其中，所述端口状态消息中携带有隧道信息，所述隧道信息中包含加密能力信息；