报文转发方法和装置与流程

本申请涉及网络通信技术，特别涉及报文转发方法和装置。

背景技术：

以太网虚拟专用网络(evpn：ethernetvirtualprivatenetwork)，是一种二层虚拟专用网络(vpn：virtualprivatenetwork)技术。目前，当evpn接入二层防火墙设备时，因为二层防火墙设备没有ip地址，即使evpn接入二层防火墙设备，也无法按照evpn协议在evpn中实现二层防火墙的应用。

为了在evpn中实现二层防火墙的应用，目前常用的方法是：在二层防火墙设备与二层防火墙设备接入的vtep设备之间增加一台设备(称为中转设备)，由中转设备通告本设备的ip地址，并在evpn中的所有vtep上配置策略路由(pbr：policybasedrouting)以指示将收到的未经二层防火墙设备处理的任一报文发送至中转设备，以由中转设备转发至二层防火墙设备进行处理。最终在evpn中实现二层防火墙的应用。

但是，为在evpn中实现二层防火墙的应用，就要额外在二层防火墙设备与二层防火墙设备接入的vtep设备之间增加一台中转设备，浪费资源。

技术实现要素：

本申请提供了报文转发方法和装置，以在不额外增加中转设备的前提下在evpn中实现二层防火墙的应用。

本申请提供的技术方案包括：

在第一方面，本申请提供了一种报文转发方法，该方法应用于evpn中的第一vtep设备，第一vtep设备与二层防火墙设备相连，该方法包括：

将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文还携带指定标记，以指示收到所述路由通告报文的其他vtep设备生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

接收第一数据报文，所述第一数据报文为接入所述第一vtep设备的vm发送的数据报文，或者为所述第二vtep设备基于所述pbr转发接入所述第二vtep设备的vm发送的数据报文；

将所述第一数据报文转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

在一个例子中，所述指定ip地址为指定网关的ip地址，所述指定网关为第一接口所属虚拟交换实例vsi对应的网关，所述第一接口为所述第一vtep设备上连接二层防火墙设备的接口。

在一个例子中，该方法进一步包括：

接收第二数据报文，所述第二数据报文为所述二层防火墙设备对所述第一数据报文进行处理后发送的数据报文；

当在本地查找到与所述第二数据报文的目的ip地址匹配的转发表项时，依据查找到的转发表项转发第二数据报文。

在一个例子中，所述路由通告报文为evpntype5路由报文，所述路由通告报文携带扩展的团体属性，所述团体属性中指定字段取值为设定值，用于表示所述指定标记。

在第二方面，本申请提供了一种报文转发方法，该方法应用于evpn中的第二vtep设备，第二vtep设备为evpn中除第一vtep设备之外的任一vtep设备，第一vtep设备与二层防火墙设备相连，该方法包括：

接收第一vtep设备发送的路由通告报文，所述路由通告报文用于通告指定ip地址，且携带指定标记；

依据所述指定标记生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

在接收到接入的vm发送的数据报文时，依据所述pbr转发所述数据报文。

在一个例子中，所述路由通告报文为evpntype5路由报文，所述路由通告报文携带扩展的团体属性，所述团体属性中指定字段取值为设定值，用于表示所述指定标记。

在第三方面，本申请提供了一种报文转发装置，该装置应用于evpn中的第一vtep设备，第一vtep设备通过第一接口与二层防火墙设备相连，该装置包括：

通告单元，用于将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文还携带指定标记，以指示收到所述路由通告报文的其他vtep设备生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

接收单元，用于通过第二接口接收第一数据报文，所述第一数据报文为第一vtep设备本地的vm发送的数据报文，或者为所述第二vtep设备基于所述pbr转发接入所述第二vtep设备的vm发送的数据报文；

发送单元，用于通过所述第一接口将所述第一数据报文转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

在一个例子中，所述指定ip地址为指定网关的ip地址，所述指定网关为与所述第一接口所属虚拟交换实例vsi对应的网关。

在第四方面，本申请提供了一种报文转发装置，该装置应用于evpn中的第二vtep设备，第二vtep设备为evpn中除第一vtep设备之外的任一vtep设备，第一vtep设备与二层防火墙设备相连，该装置包括：

通告报文单元，用于接收第一vtep设备发送的路由通告报文，所述路由通告报文用于通告指定ip地址，且携带指定标记；

表项单元，用于依据所述指定标记生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

转发单元，用于在接收到来自本地vm的数据报文时，依据所述pbr将所述数据报文转发至所述第一vtep设备。

在一个例子中，所述路由通告报文为evpntype5路由报文，所述路由通告报文携带扩展的团体属性，所述团体属性中指定字段取值为设定值，用于表示所述指定标记。

由以上技术方案可以看出，本申请中，通过由第一vtep设备将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文携带指定标记，以指示收到路由通告报文的第二vtep设备生成至所述指定ip地址的策略路由pbr(所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文)，则实现了第二vtep设备在收到来自本设备接入的vm的数据报文时会基于pbr将数据报文发送给第一vtep设备，最终第一vtep设备不管是收到来自本设备接入的vm发送的数据报文，还是来自第二vtep设备接入的vm的数据报文，都会将收到的数据报文转发至二层防火墙设备以进行处理，最终实现了在不额外增加设备的前提下在evpn中实现二层防火墙的应用。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1为本申请提供的方法流程图；

图2为本申请提供的扩展团体属性示意图；

图3为本申请提供的另一方法流程图；

图4为本申请提供的实施例应用组网图；

图5为本申请提供的装置结构图；

图6为本申请提供的另一装置结构图；

图7为本申请提供的装置的硬件结构示意图。

具体实施方式

本申请优化了现有在evpn中实现二层防火墙应用的方式，具体可参见图1所示的流程：

参见图1，图1为本申请提供的方法流程图。该流程应用于evpn中的第一vtep设备，第一vtep设备通过第一接口与二层防火墙设备相连。需要说明的是，这里第一vtep设备、第一接口只是为便于描述而进行的命名，并非用于限定。

如图1所示，该流程可包括以下步骤：

步骤101，第一vtep设备将指定ip地址携带在路由通告报文中发送至第二vtep设备。

这里，第二vtep设备是泛指除第一vtep设备之外的vtep设备，其为便于描述而进行的命名，并非用于限定。

在一个例子中，指定ip地址为指定网关的ip地址。其中，所述指定网关为与所述第一接口所属虚拟交换实例(vsi：virtualswitchinstance)对应的网关。该指定ip地址可预先配置在第一vtep设备，也可由第一vtep设备动态获取，本申请并不具体限定。

在本申请中，所述路由通告报文还携带指定标记，以指示收到所述路由通告报文的第二vtep设备不管此时是否已建立优先级比较高的转发表项，均生成至所述指定ip地址的策略路由(pbr：policybasedrouting)并将策略路由下发至本地硬件。这里，pbr的下一跳的ip地址为所述第一vtep设备的ip地址所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文。至此，第二vtep设备在收到接入的vm的数据报文时会基于pbr将数据报文发送给第一vtep设备。

在本申请中，作为一个实施例，上述路由通告报文可为evpn类型(type)5路由(也称ip前缀路由)报文。相比现有的evpntype5路由报文，本申请中需要在evpntype5路由报文中新扩展一个团体属性(称为扩展团体属性)。图2示出了扩展团体属性的示意图。在一个例子中，扩展团体属性中指定字段比如图2示出的f字段取值为设定值(比如为1)，用于表示所述指定标记。在另一个例子中，扩展团体属性中指定字段比如图2示出的f字段可设置为防火墙(firewall)标识，用于表示所述指定标记。

步骤102，第一vtep设备接收第一数据报文。

在本实施例中，第一数据报文有可能是第一vtep设备接入的vm发送的数据报文，也有可能是第二vtep设备基于所述pbr转发的来自所述第二vtep设备接入的vm发送的数据报文。

步骤103，第一vtep设备将所述第一数据报文转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

作为一个实施例，本申请中，可预先在第一vtep设备本地配置pbr，配置的pbr用于指示第一vtep设备将除第一接口之外任一接口接收的数据报文通过第一接口发送至二层防火墙设备。基于此，本步骤103中，第一vtep设备可基于本地配置的pbr将所述第一数据报文通过所述第一接口转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

最终，执行到本步骤103，则evpn中任一vtep设备接入的vm发送的数据报文都会转发至二层防火墙设备进行处理，最终在evpn中实现二层防火墙应用。

至此，完成图1所示流程。

通过图1所示流程可以看出，本申请中，通过由第一vtep设备将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文携带指定标记，以指示收到路由通告报文的第二vtep设备生成至所述指定ip地址的pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文，实现了第二vtep设备在收到接入的vm的数据报文时会基于pbr将接入的vm的数据报文发送给第一vtep设备，最终第一vtep设备不管是收到接入的vm发送的数据报文，还是来自第二vtep设备接入的vm的数据报文，都会将收到的数据报文转发至二层防火墙设备以进行处理，最终实现了在不额外增加设备的前提下在evpn中实现二层防火墙的应用。

在上面步骤103中，当二层防火墙设备收到第一vtep设备通过第一端口转发的第一数据报文时，会对第一数据报文进行处理得到第二数据报文。之后二层防火墙设备会将第二数据报文返回至第一vtep设备。

当第一vtep设备通过所述第一接口接收二层防火墙设备返回的第二数据报文时，在本地查找与所述第二数据报文的目的ip地址匹配的转发表项，依据查找到的转发表项转发第二数据报文。

上面是站在第一vtep设备的角度描述本申请提供的方法，下面站在第二vtep设备的角度描述本申请提供的方法。这里的第二vtep设备为evpn中除第一vtep设备之外的任一vtep设备。

参见图3，图3为本申请提供的另一方法流程图。如图3所示，该流程应用于第二vtep设备，可包括以下步骤：

步骤301，第二vtep设备接收第一vtep设备发送的路由通告报文，所述路由通告报文用于通告指定ip地址，且携带指定标记。

步骤302，第二vtep设备依据所述指定标记生成至所述指定ip地址的pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的vm的数据报文。

当路由通告报文携带指定标记，这里指定标记如上描述，则第二vtep设备不管本地是否存在优先级更高的转发表项，都会动态生成pbr并下发pbr对应的转发表项至本地硬件。所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文。如此，第二vtep设备收到接入的vm的数据报文时会基于上述的pbr，将数据报文发送至第一vtep设备。当第一vtep设备收到第二vtep设备转发的来自第二vtep设备接入的vm的数据报文时(此时第一vtep设备收到数据报文的接口为上述的第二接口)，则按照上述步骤102、步骤103执行，这里不再赘述。

通过图3所示流程可以看出，本申请中，第二vtep设备收到由第一vtep设备发送的路由通告报文时，会依据所述路由通告报文携带的指定标记生成pbr，基于所述pbr，第二vtep设备在收到接入的vm的数据报文时会将数据报文发送给第一vtep设备，最终由第一vtep设备转发至二层防火墙设备以进行处理，实现了在不额外增加设备的前提下在evpn中实现二层防火墙的应用。

下面结合一个具体实施例对图1、图3所示流程进行描述：

参见图4，图4为本申请提供的实施例应用组网图。如图4所示，二层防火墙设备与vtep3直连。vtep3上连接二层防火墙设备的接口即为port3_1。vtep3配置port3_1所属vsi对应的网关的ip地址(记为12.1.1.1/24)。

在图4中，vtep3通过evpn的type5路由报文在evpn中通告ip地址12.1.1.1/24。type5路由报文携带type5路由报文，还通过扩展如图2所示的扩展团体属性携带指定标记。在本实施例中，以扩展团体属性中f字段设置为1表示指定标记。

vtep1收到vtep3发送的type5路由报文时，发现type5路由报文携带扩展团体属性，且扩展团体属性中f字段设置为1，则在本地建立至ip地址12.1.1.1/24的pbr(记为pbr400)。pbr400的下一跳的ip地址为所述vtep3的ip地址，pbr400用于指示vtep1向下一跳vtep3转发接入vtep1的vm的数据报文。

vtep2收到vtep3发送的type5路由报文时，发现type5路由报文携带扩展团体属性，且扩展团体属性中f字段设置为1，则动态生成至ip地址12.1.1.1/24的pbr(记为pbr401)。pbr401的下一跳的ip地址为vtep3的ip地址，pbr401用于指示vtep2向下一跳vtep3转发接入vtep1的vm的数据报文。

至此，通过上面描述，vtep1、vtep2都会基于vtep3发送的type5路由报文自动生成pbr，以指示转发来自本地接入的vm的数据报文至vtep3。

下面以vtep2本地的vm2访问vtep1本地的vm1为例描述：

vm2发送数据报文(记为报文c1)。报文c1的目的ip地址为vm2的ip地址。

vtep2接收到报文c1，按照本地生成的上述pbr401将报文c1发送至下一跳(vtep3)。

vtep3作为vtep2转发报文c1的下一跳会收到vtep2转发的报文c1。

vtep3发现收到报文c1的接口为port3_2，并非为本vtep3连接二层防火墙设备的接口port3_1，则会基于本地配置的pbr将报文c1转发至二层防火墙设备。

二层防火墙设备收到报文c1，对报文c1进行理比如进行报文过滤等。假若二层防火墙设备对报文c1进行处理后(此时可将处理后的报文c1记为报文c2)确定允许继续转发报文c2，则二层防火墙设备将报文c2转发至vtep3。

vtep3与二层防火墙设备，其会通过port3_1接收到二层防火墙设备转发的报文c2。

vtep3在本地查询与报文c2的目的ip地址匹配的转发表项，报文c2的目的ip地址匹配的转发表项是依据vtep1之前通过evpn路由通告的vm1的ip地址生成的，或者是vtep1之前通过evpn路由同步的至vm1的ip地址的转发表项。

vtep3依据查找到的转发表项转发报文c2。

vtep3收到报文c2，则会将报文c2发送给vm1。最终实现了在vm2访问vm1的过程中实现二层防火墙业务。

至此，完成图4所示实施例的描述。

以上对本申请提供的方法进行了描述。

参见图5，图5为本申请提供的装置结构图，该装置应用于evpn中的第一vtep设备，第一vtep设备通过第一接口与二层防火墙设备相连，该装置与图1所示流程对应，包括：

通告单元，用于将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文还携带指定标记，以指示收到所述路由通告报文的其他vtep设备生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

接收单元，用于通过第二接口接收第一数据报文，所述第一数据报文为第一vtep设备本地的vm发送的数据报文，或者为所述第二vtep设备基于所述pbr转发接入所述第二vtep设备的vm发送的数据报文；

发送单元，用于通过所述第一接口将所述第一数据报文转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

在一个例子中，所述指定ip地址为网关的ip地址，所述网关为与所述第一接口所属vsi对应的网关。

在一个例子中，所述接收单元进一步通过所述第一接口接收第二数据报文，所述第二数据报文为所述二层防火墙设备对所述第一数据报文进行二层防火墙处理得到的数据报文；

所述发送单元进一步在本地查找与所述第二数据报文的目的ip地址匹配的转发表项，依据查找到的转发表项转发第二数据报文。

在一个例子中，所述路由通告报文为evpntype5路由的报文，所述路由通告报文携带扩展的团体属性，所述团体属性中指定字段取值为设定值，用于表示所述指定标记。

至此，完成图5所示装置的结构描述。

参见图6，图6为本申请提供的另一装置结构图。该装置应用于evpn中的第二vtep设备，第二vtep设备为evpn中除第一vtep设备之外的任一vtep设备，第一vtep设备与二层防火墙设备相连，该装置包括：

通告报文单元，用于接收第一vtep设备发送的路由通告报文，所述路由通告报文用于通告指定ip地址，且携带指定标记；

表项单元，用于依据所述指定标记生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

转发单元，用于在接收到来自本地vm的数据报文时，依据所述pbr将所述数据报文转发至所述第一vtep设备。

在一个例子中，所述路由通告报文为evpntype5路由报文，所述路由通告报文携带扩展的团体属性，所述团体属性中指定字段取值为设定值，用于表示所述指定标记。

至此，完成图6所示装置的结构图。

本申请还提供了对应图5所示装置的硬件结构图，以及对应图6所示装置的硬件结构图。具体如图7所示。

其中，硬件结构主要包括：

机器可读存储介质：存储指令代码。这里的指令代码用于实现本公开提供的报文转发方法，当对应图5所示装置时，这里的指令代码为用于实现图1所示流程的指令代码，当对应图6所示装置时，这里的指令代码为用于实现图3所示流程的指令代码。

处理器：与机器可读存储介质通信，用于读取和执行机器可读存储介质中存储的所述指令代码；

发送器，用于依据处理器下发的指令执行；

接收器，用于接收报文。

在对应图5所示装置时，下面描述硬件结构的具体实现：

处理器，读取和执行机器可读存储介质中存储的所述指令代码，下达ip地址发送指令给发送器。

发送器，依据ip地址发送指令将指定ip地址携带在路由通告报文中发送至第二vtep设备，所述路由通告报文还携带指定标记，以指示收到所述路由通告报文的其他vtep设备生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文；

接收器，用于通过第二接口接收第一数据报文。第一数据报文为第一vtep设备本地的vm发送的数据报文，或者为所述第二vtep设备基于所述pbr转发接入所述第二vtep设备的vm发送的数据报文。

所述处理器，进一步在接收器通过第二接口接收第一数据报文时，下发报文发送指令给所述发送器。

所述发送器进一步通过所述第一接口将所述第一数据报文转发至所述二层防火墙设备以由所述二层防火墙设备对所述第一数据报文进行处理。

在对应图5所示装置时，下面描述硬件结构的具体实现：

接收器，用于接收第一vtep设备发送的路由通告报文，所述路由通告报文用于通告指定ip地址，且携带指定标记；

处理器，读取和执行机器可读存储介质中存储的所述指令代码，以依据所述指定标记生成至所述指定ip地址的策略路由pbr，所述pbr的下一跳的ip地址为所述第一vtep设备的ip地址，所述pbr用于指示所述第二vtep设备向所述下一跳的ip地址转发所述第二vtep设备接入的虚拟机vm的数据报文。

接收器进一步接收来自本地vm的数据报文。

处理器，进一步在接收器接收来自本地vm的数据报文时，读取和执行所述指令代码以下达报文发送指令给发送器。

发送器，接收报文发送指令，依据所述pbr将所述数据报文转发至所述第一vtep设备。

至此，完成图7所示装置的硬件结构图。

在本公开实施例中，机器可读存储介质可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：随机存取存储器(radomaccessmemory，ram)、易失存储器、非易失性存储器、闪存、存储驱动器(如硬盘驱动器)、固态硬盘、任何类型的存储盘(如光盘、dvd等)，或者类似的存储介质，或者它们的组合。

上述实施例阐明的装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本公开时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本公开的实施例可提供为方法、系统、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本公开是参照根据本公开实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。