專利名稱：網(wǎng)絡冗余系統(tǒng)及其處理方法
技術領域：
本發(fā)明涉及 一 種網(wǎng)絡通訊系統(tǒng)，且特別是涉及 一 種虛擬私人網(wǎng)絡
(Virtual Private Network,簡稱為VPN )的網(wǎng)絡冗余(redundancy )系統(tǒng) 及其處理方法。
背景技術：
"虛擬私有網(wǎng)絡(Virtual Private Network,簡稱為VPN)"是近年來 網(wǎng)絡應用中最受矚目的營運模式，因為它利用公用網(wǎng)絡取代專線連接企業(yè)的 局域網(wǎng)絡，不僅大幅降低建置成本，也提高了未來擴充的便利性。 一般VPN 可分為以客戶端"i殳備為基礎(Customer Premises Equipment (簡稱為CPE) -based)的VPN以及以網(wǎng)絡為基礎(Network-based )的VPN。前者主要由企 業(yè)客戶端以自身的設備自行利用第二層通道通信協(xié)議(Layer Two Tunneling Protocol,簡稱為L2TP)或因特網(wǎng)通訊協(xié)議安全性(Internet Protocol Security,簡稱為IPSec )這類的技術，與遠程的CPE-based VPN裝置建置 跨越公用網(wǎng)絡的虛擬私有信道，是現(xiàn)今最為常見的VPN解決方案。后者則是 由網(wǎng)絡服務提供者(Service Providers,簡稱為SP )直接提供VPN的建置 服務，是日漸興起的VPN方案。
目前CPE-based VPN所使用的技術可區(qū)分為Layer 2的PPTP或是L2TP 的通道(Tunneling)技術，以及Layer 3的IPsec技術。因為這些VPN技 術都是通過IP的封裝格式傳送，因此也被統(tǒng)稱為IP-VPN的技術。
此外，由于因特網(wǎng)(Internet )的快速發(fā)展，以因特網(wǎng)通訊協(xié)議(Internet Protocol,簡稱為IP)網(wǎng)絡為基礎發(fā)展出來的應用日益增多，企業(yè)采用IP 網(wǎng)絡來建置企業(yè)內(nèi)部網(wǎng)絡(Intranet)的需求也與日俱增。IP網(wǎng)絡是以IP 地址為傳送分組的依據(jù)。但在傳統(tǒng)的IP分組傳送過程中，每一個節(jié)點設備 必須重復被檢查分組的表頭并解析下一個路徑，直到到達目的地為止，因此 網(wǎng)絡越龐大，傳輸?shù)男軐讲?，將不能滿足未來Internet高速且大量 傳輸?shù)男枨蟆６嘀貐f(xié)議標簽交換(Multi Protocol Label Switching,簡稱
為MPLS)技術正是滿足了未來的需求，并且兼容于VPN的最佳選擇。
圖1顯示利用撥接連線提供冗余服務的VPN冗余系統(tǒng)的架構示意圖。圖 2A - 2C顯示利用撥接連線提供冗余服務的VPN冗余系統(tǒng)的工作流程示意圖。 需注意的是，網(wǎng)絡冗余系統(tǒng)中的傳送端與接收端所有的計算機設備大致上相 同，但主要以傳送端的計算機設備與所使用的網(wǎng)絡媒體來說明實作流程，接 收端的計算機設備的運作流程則不另行說明。
撥接連線包括集成服務數(shù)字網(wǎng)絡(Integrated Services Digital Network,簡稱為ISDN)與公用電話網(wǎng)絡(Public Switched Telephone Network,簡稱為PSTN )。
ISDN是集成(Integrated )、服務(Service )、數(shù)字(Digital )和網(wǎng)絡 (Network)的組合，其將各種信息及通訊管道納入一個共同的網(wǎng)絡里面， 使得用戶利用一對電話線即可同時享有語音、數(shù)據(jù)、影像等多樣化的數(shù)字通 訊服務，并且可免去在模擬式與數(shù)字式之間不斷轉換數(shù)據(jù)的不便，因而大量 地增進了電話線路數(shù)字數(shù)據(jù)傳送速度的科技。
PSTN (即一般市話及移動電話)的原理是以調(diào)制解調(diào)器(MODEM)將計 算機的0、 1等數(shù)字數(shù)據(jù)轉換為類似人類聲頻范圍的模擬聲音，再利用一般 的室內(nèi)電話網(wǎng)絡連接至另 一部計算機的調(diào)制解調(diào)器，再以相反的方式將聲音 還原成數(shù)字數(shù)據(jù)。
參考圖1，由傳送端A (Tran-A)的主機110經(jīng)由異步數(shù)字用戶專線 (Asymmetric Digital Subscriber Line,簡稱為ADSL)調(diào)制解調(diào)器130 連接到遠程接收端B (Rec—B)的聯(lián)機路徑為主線路，而由傳送端A的主機 110經(jīng)由撥接調(diào)制解調(diào)器140連接到遠程接收端B的聯(lián)機路徑為冗余線路。
參考圖1與圖2A,首先，在傳送端A中，與主機110連接的路由器 (Router ) 120檢測連接ADSL調(diào)制解調(diào)器130的以太網(wǎng)絡(Ethernet )的廣 域網(wǎng)絡(Wide Area Network,簡稱為WAN )接口為開啟(Up,即聯(lián)機為正常) 時，則經(jīng)由PSTN 150與異步傳輸模式(Asynchronous Transfer Mode,簡 稱為ATM)網(wǎng)絡160檢測(Ping) MPLS網(wǎng)絡(VPN) 170中利用寬頻遠程接取 服務器(Broadband Remote Access Server,簡稱為BRAS)所設置的供貨商 邊緣設備(Provider Edge Device,筒稱為PE ) 171的IP地址。需注意的 是，ADSL調(diào)制解調(diào)器130必須使用橋接模式(Bridge Mode)才能檢測整段 線路的狀況。ATM是一種先進的分封交換技術，可同時應用在局域網(wǎng)絡及廣
域網(wǎng)絡中，每秒的傳輸速度理論上可達到1. 2Gbps，但實際應用中只能達到 155Mbps。 ATM網(wǎng)絡160與MPLS網(wǎng)絡170間可通過異步傳送模式第1位階
(Asynchronous Transfer Mode-l, 簡稱為STM-1 )來連接。
路由器120命令其IP堆棧(Stack)送出一個因特網(wǎng)控制信息通訊協(xié)議
(Internet Control Message Protocol, 簡稱為ICMP)回響(Echo)請求 給BRAS PE 171,然后等待ICMP Echo響應。當路由器120的IP堆棧收到 ICMP Echo響應時，表示BRAS PE 171正常運作且可到達。路由器120確定 主線路的ADSL調(diào)制解調(diào)器130的線路正常后，將后端局域網(wǎng)絡(Local Area Network,筒稱為LAN)的網(wǎng)絡流量(Traffic)導向ADSL調(diào)制解調(diào)器130。 BRAS PE 171查詢傳送端A的ADSL調(diào)制解調(diào)器130的虛擬路徑辨識
(Virtual Channel Identification,簡稱為VPI )與虛擬通道辨識(Virtual Path IdentiHcation,簡稱為VCI )所屬虛擬3各由表(Virtual Routing Forwarding/Table，簡稱為VFR )及其IP路由信息后，將分組打上VPN標簽
(Label )及MPLS巻標并傳送至MPLS網(wǎng)絡170中。VRF是指在MPLS VPN中， 每個不同的VPN客戶存放自己企業(yè)IP路由信息的地方。
MPLS屬于第三代網(wǎng)絡架構，是新一代的IP高速骨干網(wǎng)絡交換標準，由 因特網(wǎng)工程項目小組(Internet Engineering Task Force,簡稱為IETF) 所提出，由Cisco、 3Com等網(wǎng)絡設備大廠所主導。MPLS的運作原理是提供給 每個IP分組一個標簽，由此決定分組的路徑以及優(yōu)先級，與MPLS兼容的路 由器，會將分組轉送到其路徑前，僅讀取分組標簽，無須讀取每個分組的IP 地址以及標頭，因此網(wǎng)絡速度便會加快許多，同時通過服務品質(Quality of Service,簡稱為QoS )的機制對所傳送的分組加以分級，進而大幅提升網(wǎng)絡 服務品質并且提供更多樣化的服務。MPLS VPN在MPLS網(wǎng)絡中以VPN巻標來 區(qū)別不同企業(yè)網(wǎng)絡的分組的技術。
接下來，分組在MPLS網(wǎng)絡170中傳送，且MPLS網(wǎng)絡170的PE 175查 詢此分組所屬的VPN，去除分組中的VPN標簽，然后將該分組傳送至接收端 B的IP網(wǎng)絡中。接著，PE 175查詢傳送端A的專線所屬VRF及其IP路由信 息，在來自接收端B的分組打上VPN巻標及MPLS巻標，然后將該分組傳送 到MPLS網(wǎng)絡170中。BRAS PE 171查詢該分組所屬的VPN，去除分組中的VPN 標簽，然后將該分組傳送至傳送端A的IP網(wǎng)絡中，如此即完成傳送端A與 接收端B間的分組傳送。參考圖1與圖2B、 2C,當路由器120檢測連接ADSL調(diào)制解調(diào)器130的 以太網(wǎng)絡(Ethernet)的廣域網(wǎng)絡(WAN)聯(lián)機為斷線時，則驅動調(diào)制解調(diào) 器140撥號給PSTN 150，此時調(diào)制解調(diào)器140與PSTN 150間在交換 (Handshake )撥接速度。調(diào)制解調(diào)器140撥號操作完成后，即經(jīng)由PSTN 150 將傳送端A (即，客戶端)的賬號密碼傳送給MPLS網(wǎng)絡170的利用遠程接入 服務器(Remote Access Server,簡稱為RAS)所設置的PE 173進行認證。 PSTN 150與MPLS網(wǎng)絡170間利用初級速率接口 (Primary Rate Interface, 簡稱為PRI )的Tl線路(PRI-T1 )相連接。認證成功后，RAS PE 173將賬 號密碼傳送到其遠程撥入用戶認證服務(Remote Authentication Dial-In User Service,筒稱為Radius )服務器(未顯示)認證，然后由動態(tài)主機設 定協(xié)議(Dynamic Host Configuration Protocol,簡稱為DHCP)服務器(未 顯示)指定IP地址給傳送端A的路由器120。
指定IP地址后，路由器120將后端局域網(wǎng)絡的網(wǎng)絡流量導入調(diào)制解調(diào) 器140的撥號器(Dialer)(未顯示)的點對點通訊協(xié)議(Point-to-Point Protocol,筒稱為PPP)通道中，同時RASPE173將傳送端A的路由信息轉 入接收端B的VRF中。接著，RAS PE 173根據(jù)撥號器(未顯示)的PPP通道 查詢傳送端A的VRF與路由表(Routing Table),將來自撥號器(未顯示) 的分組打上VPN巻標與MPLS巻標，然后將該分組轉送進入MPLS網(wǎng)絡170。 該分組在MPLS網(wǎng)絡170中傳送，且PE 175查詢該分組所屬的VPN,去除分 組中的VPN標簽，然后將該分組傳送至接收端B的IP網(wǎng)絡中。
接著，PE175查詢傳送該分組的網(wǎng)絡專線所屬的VRF與路由表，在來自 接收端B的分組打上VPN巻標及MPLS巻標，然后將該分組傳送至MPLS網(wǎng)絡 170中。RAS PE ( IPsec PE ) 173根據(jù)IPSec查詢該分組所屬的VPN,去除 該分組的VPN標簽，然后將該分組傳送至傳送端A的撥號器(未顯示)的PPP 通道中。
如前文所述，傳統(tǒng)VPN冗余專線使用的規(guī)格為PSTN或ISDN,其檢測主 線斷線的方式如下。檢測的主線必須以實體電路(例如，專線)直接連到CPE 設備，其只能判定物理信號是否斷線，所以連接的ADSL必須是CPE設備內(nèi) 建ADSL調(diào)制解調(diào)器的模塊才行。因為外接式的ADSL調(diào)制解調(diào)器通常一個 RJ-ll的連接端口是連接電信公司的電話線，另一個連接端口是以太網(wǎng)絡 (Ethernet )的接口 ，而以太網(wǎng)絡(Ethernet )的線路接到CPE上，如果連
接到CPE的線路斷線，但以太網(wǎng)絡(Ethernet )的WAN接口并不會斷線(Down), 故CPE設備無法檢測到外接式ADSL調(diào)制解調(diào)器是否斷線。此外，檢測主線 斷線并切換冗余的所需時間為90秒以上。
綜上所述，目前的VPN冗余系統(tǒng)的缺點如下。采用ISDN或撥接(PSTN ) 網(wǎng)絡冗余，故局端主線路頻寬擴充彈性不佳，每次擴充頻寬只能使用Tl或 El線路?？扇菰S撥入的客戶數(shù)有限，其中Tl最多同時允許23個頻道撥入， 一個頻道由一個客戶端使用。無法實現(xiàn)異質網(wǎng)絡冗余，即主線與冗余線必須 使用同一電信公司的實體電話線?？蛻舳巳哂囝l寬最多為128k,這會對未來 的使用造成瓶頸。冗余ISDN或撥接的計費方式不佳。
因此，本發(fā)明提供了一種VPN網(wǎng)絡冗余系統(tǒng)及其處理方法。
發(fā)明內(nèi)容
基于上述目的，本發(fā)明實施例披露了一種網(wǎng)絡冗余系統(tǒng)的處理方法。一 傳送端的 一路由器檢測一主要線路為斷線狀態(tài)。通過一無線路由器與 一無線 網(wǎng)絡卡撥號至一無線基站，并且傳送該無線網(wǎng)絡卡中的用戶識別卡的接取點 名稱給該無線網(wǎng)絡。該接取點名稱在認證后，將該傳送端的IP路由導通至 一中介網(wǎng)絡。該傳送端建立與該中介網(wǎng)絡間的一安全信道，其中該安全信道 表示為一冗余專線。該路由器將該傳送端的網(wǎng)絡流量導入該安全信道中。該 中介網(wǎng)絡的一第一網(wǎng)絡設備(IPsec PE)查詢對應該安全通道的一路由表 (VRF)及IP路由信息，將經(jīng)由該安全通道傳送的一第一分組打上一第一網(wǎng) 絡(VPN)巻標及一第一中介(MPLS)標簽，并將該第一分組傳送進入該中 介網(wǎng)絡中。該中介網(wǎng)絡的一第二網(wǎng)絡設備查詢該第一分組所屬的網(wǎng)絡，去除 該第一分組中的該網(wǎng)絡巻標，并且將該第一分組傳送至一接收端的IP網(wǎng)絡 中。
本發(fā)明實施例還披露了一種網(wǎng)絡冗余系統(tǒng)，包括 一接收端、 一無線網(wǎng) 絡、 一中介網(wǎng)絡與一傳送端。該中介網(wǎng)絡還包括一第一網(wǎng)絡設備與一第二網(wǎng) 絡設備。該傳送端還包括一路由器、 一無線路由器與一無線網(wǎng)絡卡。該路由 器檢測一主要線路為斷線狀態(tài)。該無線路由器與無線網(wǎng)絡卡在該一主要線路 為斷線狀態(tài)時撥號至一無線基站，并且傳送該無線網(wǎng)絡卡中的用戶識別卡的 接取點名稱給該無線網(wǎng)絡。該無線網(wǎng)絡在認證該接取點名稱后將該傳送端的 IP路由導通至一中介網(wǎng)絡，以建立該傳送端與該中介網(wǎng)絡間的一安全信道，
其中該安全信道表示為 一冗余專線。該路由器將該傳送端的網(wǎng)絡流量導入該 安全信道中。該第一網(wǎng)絡設備查詢對應該安全通道的一路由表及IP路由信 息，將經(jīng)由該安全通道傳送的一第一分組打上一第一網(wǎng)絡巻標及一第一中介 標簽，并且將該第一分組傳送進入該中介網(wǎng)絡中。該第二網(wǎng)絡設備查詢該第 一分組所屬的網(wǎng)絡，去除該第一分組中的該網(wǎng)絡巻標，并且將該第一分組傳 送至一接收端的IP網(wǎng)絡中。
圖1顯示利用撥接連線提供冗余服務的VPN冗余系統(tǒng)的架構示意圖。
圖2A-2C顯示利用撥接連線提供冗余服務的VPN冗余系統(tǒng)的工作流程 示意圖。
圖3顯示3G網(wǎng)絡(WCDMA/UMTS)的架構示意圖。
圖4顯示本發(fā)明實施例的利用3G提供冗余服務的網(wǎng)絡冗余系統(tǒng)的架構 示意圖。
圖5A 5D顯示利用3G提供冗余服務的網(wǎng)絡冗余系統(tǒng)的工作流程示意圖。
圖6顯示本發(fā)明實施例的網(wǎng)絡冗余系統(tǒng)的處理方法的步驟流程。
附圖符號說明
110-主機
120~路由器
130 ~ ADSL調(diào)制解調(diào)器
140-調(diào)制解調(diào)器
150-公用電話網(wǎng)絡
160-異步傳輸模式網(wǎng)絡
17 0 -多重協(xié)議巻標交換網(wǎng)絡
171 ~寬頻遠程接取服務器的供貨商邊緣設備
173 ~遠程接入服務器的供貨商邊緣設備
175-供貨商邊緣設備
410 ~主機
420 ~路由器
430 -ADSL調(diào)制解調(diào)器
441 ~ 3G路由器
443 ~ 3G網(wǎng)絡卡
450 - 3G網(wǎng)絡
460 -異步傳輸模式網(wǎng)絡
470 -多重協(xié)議巻標交換網(wǎng)絡
471 ~寬頻遠程接取服務器的供貨商邊緣設備 473 ~因特網(wǎng)通訊協(xié)安全性的供貨商邊緣設備 475 -供貨商邊緣設備
AUC 認證中心 BTS ~基站
EIR-設備識別寄存器
GGSN 網(wǎng)關集成分組無線電服務支持節(jié)點
GMSC 移動交換中心網(wǎng)關器
GSM BSS 全球移動通訊系統(tǒng)的基站系統(tǒng)
HLR 原始地點登錄器
MSC 移動交換中心
Node B~節(jié)點B
PDN 公用數(shù)據(jù)網(wǎng)
PSTN 公用電話網(wǎng)絡
RNC 無線電網(wǎng)絡控制器
SGSN-服務集成分組無線電服務支持節(jié)點
TRAU ~傳輸編譯碼與速率轉接器單元
VLR 訪問位置寄存器
具體實施例方式
為了使本發(fā)明的目的、特征、及優(yōu)點能更明顯易懂，下文特舉較佳實施 例，并結合圖3至圖6，做詳細的說明。本發(fā)明說明書提供不同的實施例來 說明本發(fā)明不同實施方式的技術特征。其中，實施例中的各組件的配置為說 明之用，并非用以限制本發(fā)明。且實施例中附圖標記的部分重復，為了簡化 說明，并非指不同實施例之間的關聯(lián)性。
本發(fā)明實施例披露了 一種網(wǎng)絡冗余系統(tǒng)及其處理方法。
本發(fā)明實施例的VPN網(wǎng)絡冗余系統(tǒng)使用第3代移動通訊系統(tǒng)(3rd Generation,簡稱為3G )來提供企業(yè)客戶在固定線路(例如，ADSL)的冗余 應用及主線應用。
3G為多々某體通訊與Internet及無線網(wǎng)絡(Wireless Network)結合的 新一代通訊技術。通過3G技術可以支持處理圖像、音樂等多媒體形式，提 供網(wǎng)頁瀏覽、電子商務(e-Commerce, EC )、多方在線會議(Voice Conference) 等多種類信息服務，以及提供2Mbps、 384kbps及144kbps的數(shù)據(jù)傳輸速率。
圖3顯示3G網(wǎng)絡(寬帶碼分多址(Wideband Code Division Multiple Access ,簡稱為WCDMA ) /通用移動電信系統(tǒng)(Universal Mobile Telecommunications Systems, 簡牙爾為UMTS))的架構示意圖。
3G網(wǎng)絡主要包括下列組成組件。
網(wǎng)關集成分組無線電服務支持節(jié)點(Gateway General Packet Radio Service (GPRS) Support Node,簡稱為GGSN),其負責3G網(wǎng)絡與外界IP 網(wǎng)絡的一個網(wǎng)關。
服務集成分組無線電服務支持節(jié)點(Serving GPRS Support Node,簡 稱為SGSN),其負責記錄在服務區(qū)域內(nèi)有哪些使用者。若是使用者傳送的是 屬于分組的數(shù)據(jù)，經(jīng)由BSC的判斷，會將分組的數(shù)據(jù)傳給SGSN，由SGSN做 分組的交換與傳輸。
移動交換中心(Mobile Switching Center,簡稱為MSC)，其負責語音 越區(qū)切換(Hand-Off )和漫游(Roaming)的控制。
原始地點登錄器(Home Location Register,簡稱為HLR)，其為儲存使 用者數(shù)據(jù)的設備。每一個使用者都會歸屬于專屬的HLR,手機的IP地址使用 靜態(tài)配置時，使用的IP地址存放在HLR。
訪問位置寄存器(Visitor Location Register,簡稱為VLR ),存放著 目前所有在這個MSC管理區(qū)域內(nèi)的所有手機數(shù)據(jù)，而一個VLR也可以同時被 多個MSC使用。每當使用者進入一個新的位置區(qū)域(Location Area, LA) 就要對新區(qū)域MSC所擁有的VLR做一個注冊的操作，并且要更新原本HLR中 的目前位置信息。以便于在有使用者的電話接入時，可以通過HLR找出使用 者目前所在的MSC位置，再把電話聯(lián)機轉到目前使用者所在的MSC,以進行 后續(xù)的操作。
認證中心(Authentication Center,簡稱為AUC )，其主要的工作在于 對移動通訊網(wǎng)路中的使用者進行身份認證。
無線電網(wǎng)絡控制器(Radio Network Controller,簡稱為RNC),即為過 去所稱的基站控制器(Base Station Controller,簡稱為BSC )。 一個RNC 同時連接多個基站(Base Transceiver Station,簡稱為BTS )， RNC與BTS 的所在區(qū)域即組成全球移動通訊系統(tǒng)(Global System for Mobile Communication,筒稱為GSM )網(wǎng)絡的一個服務區(qū)域，以進行無線頻寬資源的 管理。
節(jié)點B(NodeB)，即為GSM架構下所稱的BTS，其接受客戶的使用者接 口 (User Equipment,簡稱為UE,即移動電話)進行聯(lián)才幾，就是所謂的移動 基站(Mobile Station,簡稱為MS)。
有關3G網(wǎng)絡的運作流程為已知相關技術，本發(fā)明實施例的網(wǎng)絡冗余系 統(tǒng)僅利用3G網(wǎng)絡來達到異質冗余的目的，故在下文中并不單獨對3G網(wǎng)絡的 運作流程加以說明。
圖4顯示本發(fā)明實施例的利用3G提供冗余服務的網(wǎng)絡冗余系統(tǒng)的架構 示意圖。圖5A 5D顯示利用3G提供冗余服務的網(wǎng)絡冗余系統(tǒng)的工作流程示 意圖。需注意的是，本發(fā)明實施例的網(wǎng)絡冗余系統(tǒng)中的傳送端與接收端所有 的計算機設備大致上相同，但主要以傳送端的計算機設備與所使用的網(wǎng)絡媒 體來說明實作流程，接收端的計算機設備的運作流程則不另行說明。
參考圖4，由傳送端A (Tran_A)的主機410經(jīng)由ADSL調(diào)制解調(diào)器430 連接到遠程接收端B (Rec-B)的聯(lián)機路徑為主線路，而由傳送端A的主機 410經(jīng)由3G路由器441與3G網(wǎng)絡450連接到遠程接收端B的聯(lián)機路徑為冗 余線路。
參考圖4與圖5A，首先，在傳送端A中，與主機410連接的路由器 (Router ) 420經(jīng)由ATM網(wǎng)絡460檢測(Ping) MPLS網(wǎng)絡(VPN) 470中的 BRAS PE 471的IP地址，以纟企測主線路的ADSL調(diào)制解調(diào)器430的線路是否 正常(開啟(Up)或關閉(Down))。每3秒檢測(Ping) —次，若在1秒內(nèi) 收到回應則判定為正常。需注意的是，ADSL調(diào)制解調(diào)器130必須使用橋接模 式(Bridge Mode )才能檢測整段線路的狀況。ATM網(wǎng)絡460與MPLS網(wǎng)絡470 間可通過STM-1來連接。
路由器42(H全測(Ping) BRAS PE 471的IP地址，并且判斷ADSL調(diào)制解調(diào)器430的線路為正常時，命令其IP堆棧(Stack)送出一個ICMP Echo 請求給BRAS PE 471,然后等待ICMP Echo響應。當路由器120的IP堆棧收 到ICMP Echo響應時，表示BRAS PE 471正常運作且可到達。路由器420確 定主線路的ADSL調(diào)制解調(diào)器430的線路正常后，將后端LAN的網(wǎng)絡流量 (Traffic )導向ADSL調(diào)制解調(diào)器430。
BRAS PE471查詢傳送端A的ADSL調(diào)制解調(diào)器430的VPI與VCI所屬VRF 及其IP路由信息后，將分組打上VPN巻標及MPLS巻標并傳送至MPLS網(wǎng)絡 470中。分組在MPLS網(wǎng)絡470中傳送，MPLS網(wǎng)絡470的PE 475查詢此分組 所屬的VPN，去除分組中的VPN標簽，然后將該分組傳送至接收端B的IP 網(wǎng)絡中。接著，PE 475查詢傳送端A的專線所屬VRF及其IP路由信息，在 來自接收端B的分組打上VPN巻標及MPLS巻標，然后將該分組傳送至MPLS 網(wǎng)絡470中。BRAS PE 471查詢該分組所屬的VPN，去除分組中的VPN標簽， 然后將該分組傳送至傳送端A的IP網(wǎng)絡中，如此即完成傳送端A與接收端B 間的分組傳送。
參考圖4與圖5B~ 5D,當路由器420檢測(Ping) BRAS 471的IP地址， 并且判斷ADSL調(diào)制解調(diào)器430的線路為關閉(Down)時，則將主線的路由 信息刪除，并選擇使用冗余線的路由信息。此時，3G路由器441通過內(nèi)含用 戶識別卡(Subscriber Identity Module (SIM) Card)的3G網(wǎng)絡卡443 進行PPP撥號以與3G基站445聯(lián)機。3G路由器441送出用戶識別卡的接取 點名稱(Access Point Name,簡稱為APN )給3G網(wǎng)絡450。
3G網(wǎng)絡450通過AUC認證后，由HLR指定IP地址給傳送端A (即，客 戶端)，然后通過GGSN將IP路由導通至MPLS網(wǎng)絡，使得路由器420開始準 備與IPsec PE 473建立IPsec通道(Tunnel),即建立冗余專線。3G網(wǎng)絡 450與MPLS網(wǎng)絡470間可通過光纖到大樓(Fiber To The Building,簡稱 為FTTB)或專線(Lease Line)來連接。首先，建立第一階段(Phase 1) 的IPsec,即構建因特網(wǎng)密鑰交換(Internet Key Exchange,簡稱為IKE) 的安全性關聯(lián)(Security Association,簡稱為SA )的安全通道以提供給第 二階段(Phase 2)的參數(shù)來交換使用。
需注意的是，IKE協(xié)議是IPsec SA在協(xié)商保護套件和交換簽名或加密密 鑰時所遵循的機制。IKE定義了雙方交流策略信息的方式和構建并交換身份 驗證消息的方式。IKE是由另外三種協(xié)議(ISAKMP ( Internet安全關聯(lián)和密
鑰管理協(xié)議)、OaUey和SKEME)混合而成的一種協(xié)議。IKE使用了兩個階段 的ISAKMP。第一階段(Phase 1),協(xié)商創(chuàng)建一個通信信道(IKE SA),并對 該信道進行驗證，為雙方進一步的IKE通信提供機密性、消息完整性以及消 息源驗證服務。在第二階段(Phase2)中，使用已建立的IKE SA建立IPsec SA。有關IKE SA與IPsec的相關技術內(nèi)容為已知技術，故不再予以贅述， 本發(fā)明實施例的網(wǎng)絡冗余系統(tǒng)通過IKE SA與IPsec來達到所要達到的目的。
接著，路由器420經(jīng)由3G路由器441將傳送端A (即，客戶端)的主機 名稱(Host Name)與預先共享密鑰(Preshared Key)傳送至IPsec PE 473 啦文i人i正。由于j吏用IPsec的封裝安全負載(Encapsulating Security Payload, 筒稱為ESP)模式，故不會被3G路由器441的網(wǎng)絡地址翻譯(Network Address Translation,簡稱為NAT)功能所影響。
接著，IPsec PE 473傳送Phasel SA的密鑰給路由器420，路由器420 通過Phase 1的IKE SA安全通道，進行IPsec SA的參數(shù)交換，以建立IPsec Phase2。路由器420接著利用Phasel SA的密鑰加密Phase2 SA的密鑰與相 關參數(shù)(例如，ESP、 lt據(jù)加密標準(Data Encryption Standard,簡稱為 DES)、信息-摘要算法5 (Message-Digest algorithm 5，簡稱為MD5 )、 Diffie-Hellman (DH) Group2 ( 1024位)...等等),然后將Phase2 SA的密 鑰及相關參數(shù)傳送給IPsec PE 473。 IPsec PE 47 3驗證參數(shù)，并在驗證正 確后響應一確認信息給路由器420，并且根據(jù)所屬的IPsec信道，將傳道路 徑轉入對應客戶端專用的VRF中。
接下來，IPsec通道建立完成后，路由器420將后端LAN的網(wǎng)絡流量 (Traffic )導入該IPsec通道中。此時,IPsec PE 473根據(jù)傳送端A的IPsec 通道查詢所屬專用的VRF及其IP路由信息，將來自IPsec信道的分組打上 VPN巻標及MPLS巻標并傳送進入MPLS網(wǎng)絡470中。分組在MPLS網(wǎng)絡470 中傳送，MPLS網(wǎng)絡470的PE 475查詢此分組所屬的VPN,去除分組中的VPN 標簽，然后將該分組傳送至接收端B的IP網(wǎng)絡中。接著，PE 475查詢傳送 端A的專線所屬VRF及其IP路由信息，在來自接收端B的分組打上VPN巻 標及MPLS巻標，然后將該分組傳送至MPLS網(wǎng)絡470中。IPsec PE 473查詢 該分組所屬的VPN,去除分組中的VPN標簽，然后將該分組傳送至傳送端A 的IPsec通道中，從而傳送至傳送端A的IP網(wǎng)絡中，如此即達到在主線路 斷線情況下，經(jīng)由冗余線路在傳送端A與接收端B間傳送分組的目的。本發(fā)明實施例的網(wǎng)絡冗余系統(tǒng)的冗余路徑使用IP s e c技術的原因如下。 使用IPsec信道模式，可使客戶端多網(wǎng)段路由信息，直接穿透3G網(wǎng)絡架構 連接至MPLS VPN網(wǎng)絡中，使3G網(wǎng)絡合作廠商不需管理客戶端路由信息的問 題，此外，可強化3G無線網(wǎng)絡安全性。以下再簡述IPSec聯(lián)機的技術。 IPSec聯(lián)機分成兩個邏輯階段，Phase 1與Phase 2。 在Phase l中， 一個IPSec節(jié)點會啟動與遠程節(jié)點的聯(lián)機。遠程節(jié)點會 檢查該節(jié)點的可信度，然后雙方會為本次聯(lián)機決定認證的方式。認證模式 (Exchange Mode )包括積極模式(Aggress ive Mode )與主要模式(Main Mode ), 可以降低同時與多臺主機間IPSec聯(lián)機設定時的負荷。定義與節(jié)點進行認證 時所采用的辨識方法(my—identifier),是根據(jù)主機名稱或IP地址，其中 使用主機名稱管理較簡易，不需為客戶端網(wǎng)絡規(guī)劃IP網(wǎng)段的使用。初始聯(lián) 機定義節(jié)點間所采行的認證方式(Authentication Method)包括利用 Preshared密鑰或RSA公鑰，其中使用Preshared密鑰的方式安全且快速， 不需建立復雜的認證方式。認證過程中使用的加密方式(Encryption Algorithm)包括DES或3DES,其中使用DES加解密速度較快。節(jié)點間使用 的雜湊算法(Hash Algorithm)包括MD5或SHA1,其中使用謹5速度較快。 建立動態(tài)密鑰的階段所用的Diffie-Hellman密鑰長度為DH Group 2 (1024 位)。
在Phase 2中，在節(jié)點間建立SA時，會利用一些設定信息(例如，加 密方法、秘密交換密鑰的參數(shù)...等等)建立SA數(shù)據(jù)庫。本階段負責管理與 遠程節(jié)點與網(wǎng)絡的實際IPSec連接。認證過程所支持的雜湊算法包括 謹AC-MD5或HMAC-SHA1,其中使用MD5速度較快。加密方式包括DES或3DES, 其中使用DES加解密速度較快。建立動態(tài)密鑰的階^^所用的Diffie-Heilman 密鑰長度為DH group 2( 1024位)。使用的安全協(xié)議包括ESP Mode或AH Mode, 其中使用ESP Mode可穿越客戶端的MT設備，擴展性較好。分組格式包括 信道模式(Tunnel Mode)或傳輸模式(Transparent Mode )。使用IPsec信 道模式可使客戶端多網(wǎng)段路由信息，直接穿透3G網(wǎng)絡架構連接至我們的 MPLS VPN網(wǎng)絡中，使3G網(wǎng)絡合作廠商不需管理客戶端路由信息的問題。 圖6顯示本發(fā)明實施例的網(wǎng)絡冗余系統(tǒng)的處理方法的步驟流程。 首先， 一傳送端檢測一主要線路為斷線狀態(tài)(步驟S601),則通過一3G 路由器與一 3G網(wǎng)絡卡撥號至一 3G基站(步驟S602 ),并且傳送該3G網(wǎng)絡卡
中的用戶識別卡的接取點名稱(APN)給該3G網(wǎng)絡(步驟S603 )。 3G網(wǎng)絡在 認證過該用戶識別卡的接取點名稱(APN)后，將該傳送端的IP路由導通至 一MPLS網(wǎng)絡(步驟S604 )。接著，該傳送端建立與該MPLS網(wǎng)絡間的一 IPSec 信道(步驟S606 )，然后將網(wǎng)絡流量(Traffic )導入該IPsec通道中(步驟 S607 )。該IPSec信道表示為一冗余專線。
接下來，該MPLS網(wǎng)絡的IPsec PE查詢該IPsec通道專用的VRF及IP 路由信息(步驟S608 ),將經(jīng)由IPsec通道傳送的分組打上VPN巻標及MPLS 巻標，并將該分組傳送進入該MPLS網(wǎng)絡中(步驟S69 )。分組在該MPLS網(wǎng)絡 中傳送，該MPLS網(wǎng)絡的PE查詢該分組所屬的VPN (步驟S610 ),去除分組 中的VPN標簽(步驟S611 )，然后將該分組傳送至一接收端的IP網(wǎng)絡中(步 驟S612 )。接著，該MPLS網(wǎng)絡的PE查詢該傳送端的專線所屬VRF及其IP 路由信息(步驟S613)，在來自該接收端的分組打上VPN巻標及MPLS巻標， 然后將該分組傳送至該MPLS網(wǎng)絡中(步驟S614 )。該MPLS網(wǎng)絡的IPsec PE 查詢該分組所屬的VPN (步驟S615 )，去除分組中的VPN標簽(步驟S616 )， 然后將該分組傳送至傳送端A的IPsec通道中，從而傳送至傳送端A的IP 網(wǎng)絡中(步驟S617),如此即在主線路斷線的情況下，達到經(jīng)由冗余線路在 傳送端A與接收端B間傳送分組的目的。
在本發(fā)明實施例中，VPN 3G冗余的CPE可接受的主線規(guī)格為ADSL (外 接式的ADSL調(diào)制解調(diào)器)或FTTB。冗余線的規(guī)格為3G或3. 5G。 CPE檢測主 線斷線的方式如下。
主線實體電路不需直接連到CPE設備，因此電信公司的電話線路可接在 外接式的ADSL調(diào)制解調(diào)器上的RJ-11的連接端口上，另一個RJ-45的連接 端口再以以太網(wǎng)絡(Ethernet )的接線接到CPE設備的以太網(wǎng)絡(Ethernet ) 接口。該Ethernet的WAN接口必須設定IP地址，ADSL局端的BRAS上也要 設定WAN IP地址并且與客戶端的WAN IP地址必須同屬一個網(wǎng)段。 一般ADSL (Bridge Mode)的連接方式并不會在BRAS上設WAN IP地址，而只會提供 一個初始網(wǎng)關(Default Gateway) IP地址，其連4妄方式如下 PC —ADSL調(diào)制解調(diào)器(Bridge Mode) — DSLAM —BRAS。( 本案所用在CPE與BRAS上有設定WAN IP地址，其連接方式如下 PC —CPE —ADSL調(diào)制解調(diào)器(Bridge Mode) —DSLAM —BRAS。 此外，檢測主線是否斷線或網(wǎng)絡品質不佳是根據(jù)檢測(Ping) BRAS WANIP地址的情況來判斷，而檢測主線斷線并切換冗余的所需時間為30秒。
與傳統(tǒng)VPN冗余系統(tǒng)相較，本發(fā)明的冗余系統(tǒng)采用3G無線網(wǎng)絡冗余， 局端線路頻寬擴充很彈性，可容許接入的客戶數(shù)較多(IPsec信道可建立的 信道數(shù)為1024, —個客戶使用用一個通道)，可實現(xiàn)異質網(wǎng)絡冗余(使用不 同固網(wǎng)與不同接取媒體)，客戶端冗余頻寬有未來性(3G頻寬為384/64k或 384/128k, 3. 5G頻寬為3. 6M/128k)， 3G的計費方式為彈性，可以聯(lián)機時間 或使用量來計費，以及切換3G冗余路由所需時間較短。
此外，在VPN 3G冗余應用上，包括檢測主線斷線切換路由功能、3G聯(lián) 機功能、多網(wǎng)段路由穿透3G網(wǎng)絡功能以及網(wǎng)絡安全性設計。
在檢測主線斷線切換路由功能方面，使用Ping的功能檢測主線網(wǎng)絡狀 況，發(fā)現(xiàn)主線網(wǎng)絡不通時，即變換冗余路由，而發(fā)現(xiàn)主線網(wǎng)絡恢復時，即變 換回主線路由。
在3G聯(lián)機功能方面，具有3G撥號功能，可規(guī)劃特定APN給VPN提供者， 以及請3G網(wǎng)絡發(fā)放固定IP地址給客戶。此外，如果遇到3G網(wǎng)絡瞬斷設備 會自動重新?lián)芴?Auto-Reconnect ion )。
在多網(wǎng)段路由穿透3G網(wǎng)絡功能方面，3G網(wǎng)絡商不需管理客戶端路由數(shù)據(jù)。
在網(wǎng)絡安全性設計方面，將3G網(wǎng)絡與因特網(wǎng)完全隔絕，建立IPsec信 道保護數(shù)據(jù)通過3G網(wǎng)絡時的安全，以及當發(fā)生Inter-mobile延遲時，可防 止VPN客戶在3G網(wǎng)絡上有互通干擾情況。
本發(fā)明還提供一種記錄媒體(例如光盤片、磁盤片與抽取式硬盤等等)， 其記錄一計算機可讀取的權限簽核程序，以便執(zhí)行上述的網(wǎng)絡冗余系統(tǒng)的處 理方法。在此，儲存在記錄媒體上的權限簽核程序，基本上是由多數(shù)個程序 代碼片段所組成的(例如建立組織圖程序代碼片段、簽核窗體程序代碼片段、 設定程序代碼片段、以及部署程序代碼片段)，并且這些程序代碼片段的功 能對應到上述方法的步驟與上述系統(tǒng)的功能方塊圖。
雖然本發(fā)明已以較佳實施例披露如上，然其并非用以限定本發(fā)明，本領 域技術人員，在不脫離本發(fā)明的精神和范圍的前提下，當可作若干的更改與 修飾，因此本發(fā)明的保護范圍應以本申請的權利要求為準。
權利要求
1.一種網(wǎng)絡冗余系統(tǒng)的處理方法，包括下列步驟一傳送端的一路由器檢測一主要線路為斷線狀態(tài)；通過一無線路由器與一無線網(wǎng)絡卡撥號至一無線基站；傳送該無線網(wǎng)絡卡中的用戶識別卡的接取點名稱給該無線網(wǎng)絡；該接取點名稱在認證后，將該傳送端的IP路由導通至一中介網(wǎng)絡；該傳送端建立與該中介網(wǎng)絡間的一安全信道，其中該安全信道表示為一冗余專線；該路由器將該傳送端的網(wǎng)絡流量導入該安全信道中；該中介網(wǎng)絡的一第一網(wǎng)絡設備(IPsec PE)查詢對應該安全通道的一路由表(VRF)及IP路由信息；將經(jīng)由該安全通道傳送的一第一分組打上一第一網(wǎng)絡(VPN)卷標及一第一中介(MPLS)標簽，并將該第一分組傳送進入該中介網(wǎng)絡中；該中介網(wǎng)絡的一第二網(wǎng)絡設備查詢該第一分組所屬的網(wǎng)絡；去除該第一分組中的該網(wǎng)絡卷標；以及將該第一分組傳送至一接收端的IP網(wǎng)絡中。
2. 如權利要求1所述的網(wǎng)絡冗余系統(tǒng)的處理方法，其還包括下列步驟 該中介網(wǎng)絡的該第二網(wǎng)絡設備查詢該傳送端的該冗余專線所屬的路由表及IP路由信息；在來自該接收端的一第二分組打上第二網(wǎng)絡巻標及一第二中介標簽，然 后將該第二分組傳送至該中介網(wǎng)絡中；該中介網(wǎng)絡的該第 一 網(wǎng)絡設備查詢該第二分組所屬的網(wǎng)絡； 去除該第二分組中的該第二網(wǎng)絡巻標；以及將該第二分組傳送至該傳送端的該安全通道中，從而傳送至該傳送端的 該IP網(wǎng)絡中。
3. 如權利要求1所述的網(wǎng)絡冗余系統(tǒng)的處理方法，其中，該認證操作還 包括下列步驟該無線網(wǎng)絡通過一認證中心UUC)對該接取點名稱認證； 認證完成后，通過一原始地點登錄器(HLR )指定一 IP地址給該傳送端；以及 通過網(wǎng)關集成分組無線電服務支持節(jié)點(GGSN)將該傳送端的IP路由 導通至該中介網(wǎng)絡。
4. 如權利要求1所述的網(wǎng)絡冗余系統(tǒng)的處理方法，其中，建立該安全通 道的操作還包括下列步驟建立第一階段(Phase 1)的因特網(wǎng)通訊協(xié)安全性(IPsec),并且構建 一因特網(wǎng)密鑰交換(IKE)的安全性關聯(lián)(SA)的安全通道；經(jīng)由該無線路由器將該傳送端的主機名稱與預先共享密鑰傳送至該第 一網(wǎng)絡設備進行認證；該第一網(wǎng)絡設備傳送對應該第一階段的安全性關聯(lián)(Phasel SA)的一 第一密鑰給該路由器；該路由器經(jīng)由該IKE SA安全通道進行IPsec SA的參數(shù)交換，以建立一 第二階段(Phase2);該路由器利用該第一階段的安全性關聯(lián)(Phasel SA)的該第一密鑰加 密該第二階段的安全性關聯(lián)(Phase2 SA )的一第二密鑰與加密參數(shù)；將該第二密鑰與所述加密參數(shù)傳送給該第 一 網(wǎng)絡設備；該第 一網(wǎng)絡設備驗證所述參數(shù)，并在驗證正確后響應一確認信息給該路 由器；以及該第一網(wǎng)絡設備根據(jù)該傳送端所屬的該安全通道，將分組傳道路徑轉入 對應該傳送端專用的該路由表中。
5. 如權利要求1所述的網(wǎng)絡冗余系統(tǒng)的處理方法，其中，該路由器通過 檢測(Ping )該中介網(wǎng)絡中的一寬頻遠程接取服務器的供貨商邊緣設備(BRAS PE)的IP地址，以判斷該主要線路是否為斷線狀態(tài)。
6. —種網(wǎng)絡冗余系統(tǒng)，包括 一接收端；一無線網(wǎng)絡； 一中介網(wǎng)絡，其還包括 一第一網(wǎng)絡設備；以及 一第二網(wǎng)絡設備；以及一傳送端，其還包括一路由器，其用以檢測一主要線路為斷線狀態(tài)；一無線路由器與一無線網(wǎng)絡卡，耦接于該路由器，其用以在該一主要線路為斷線狀態(tài)時撥號至一無線基站，并且傳送該無線網(wǎng)絡卡中的用戶識別卡的接取點名稱給該無線網(wǎng)絡；其中，該無線網(wǎng)絡在認證該接取點名稱后將該傳送端的IP路由導通至 一中介網(wǎng)絡，以建立該傳送端與該中介網(wǎng)絡間的一安全信道，其中該安全信 道表示為一冗余專線；該路由器將該傳送端的網(wǎng)絡流量導入該安全信道中；該第一網(wǎng)絡設備查詢對應該安全通道的一路由表及IP路由信息，將經(jīng) 由該安全通道傳送的一第一分組打上一第一網(wǎng)絡巻標及一第 一中介標簽，并 且將該第一分組傳送進入該中介網(wǎng)絡中；以及該第二網(wǎng)絡設備查詢該第 一分組所屬的網(wǎng)絡，去除該第 一分組中的該網(wǎng) 絡巻標，并且將該第一分組傳送至一接收端的IP網(wǎng)絡中。
7. 如權利要求6所述的網(wǎng)絡冗余系統(tǒng)，其中該第二網(wǎng)絡設備查詢該傳送端的該冗余專線所屬的路由表及IP路由信 息，在來自該接收端的一第二分組打上第二網(wǎng)絡巻標及一第二中介標簽，然 后將該第二分組傳送至該中介網(wǎng)絡中；以及該第 一 網(wǎng)絡設備查詢該第二分組所屬的網(wǎng)絡，去除該第二分組中的該第 二網(wǎng)絡巻標，并且將該第二分組傳送至該傳送端的該安全通道中，從而傳送 至該傳送端的該IP網(wǎng)絡中。
8. 如權利要求6所述的網(wǎng)絡冗余系統(tǒng)，其中該無線網(wǎng)絡通過一認證中心 對該接取點名稱認證，認證完成后，通過一原始地點登錄器指定一 IP地址 給該傳送端，并且通過網(wǎng)關集成分組無線電服務支持節(jié)點(GGSN)將該傳送 端的IP路由導通至該中介網(wǎng)絡。
9. 如權利要求6所述的網(wǎng)絡冗余系統(tǒng)，其中該路由器建立第一階段(Phase 1)的因特網(wǎng)通訊協(xié)安全性(IPsec)， 并且構建一因特網(wǎng)密鑰交換(IKE)的安全性關聯(lián)(SA)的安全通道，經(jīng)由 該無線路由器將該傳送端的主機名稱與預先共享密鑰傳送至該第一網(wǎng)絡設 備進行認證；該第一網(wǎng)絡設備傳送對應該第一階段的安全性關聯(lián)(Phasel SA)的一 第一密鑰給該路由器；該路由器經(jīng)由該IKE SA安全通道進行IPsec SA的參數(shù)交換，以建立一 第二階段(Phase2)，利用該第一階段的安全性關聯(lián)(Phasel SA )的該第一密鑰加密該第二階段的安全性關聯(lián)(Phase2 SA )的一第二密鑰與加密參數(shù)， 并且將該第二密鑰與所述加密參數(shù)傳送給該第 一 網(wǎng)絡設備；以及該第一網(wǎng)絡設備驗證所述參數(shù)，并在驗證正確后響應一確認信息給該路 由器，并且根據(jù)該傳送端所屬的該安全通道，將分組傳道路徑轉入對應該傳 送端專用的該路由表中。
10.如權利要求6所述的網(wǎng)絡冗余系統(tǒng)，其中，該路由器通過檢測(Ping ) 該中介網(wǎng)絡中的一寬頻遠程接取服務器的供貨商邊緣設備(BRAS PE)的IP 地址，以判斷該主要線路是否為斷線狀態(tài)。
全文摘要
一種網(wǎng)絡冗余(redundancy)系統(tǒng)。傳送端的路由器檢測主要線路為斷線狀態(tài)時，傳送用戶識別卡的接取點名稱給3G網(wǎng)絡。3G網(wǎng)絡在認證該接取點名稱后將傳送端的IP路由導通至一MPLS網(wǎng)絡，以建立一IPsec通道，使路由器將傳送端的網(wǎng)絡流量導入該安全信道中。MPLS網(wǎng)絡的第一網(wǎng)絡設備查詢對應該安全通道的一路由表及IP路由信息，將傳送端的分組打上VPN卷標及MPLS卷標，并且將該分組傳送進入該MPLS網(wǎng)絡中。MPLS網(wǎng)絡的第二網(wǎng)絡設備查詢該分組所屬的網(wǎng)絡，去除該分組中的該網(wǎng)絡卷標，并且將該分組傳送至一接收端的IP網(wǎng)絡中。
文檔編號H04L12/24GK101345649SQ20071012912
公開日2009年1月14日 申請日期2007年7月11日 優(yōu)先權日2007年7月11日
發(fā)明者簡永強, 陳遠鴻 申請人:數(shù)位聯(lián)合電信股份有限公司