SCTP多歸屬技術在VPN網絡中的應用

文/許多

VPN技術可以保護在公網上傳輸的私有信息不會被竊取和篡改，從而在不安全的Internet公網上開辟了一個安全的私有網絡，因此得到應用廣泛。在基于MPLS（Multi-Protocol Label Switch，多協議標簽交換）的VPN網絡設備中，一般根據接口將設備劃分為多個VRF（Virtual Route Forwarding Instance，虛擬路由轉發實例），每個VRF對應一個VPN私有網絡，不同VRF之間相互隔離無法通信。

SCTP是在傳統的傳輸層協議TCP（Transmission Control Protocol，傳輸控制協議）的基礎上改進而來的，是在IP網絡上建立下一代高質量通信和電子商務的關鍵部分。SCTP較TCP的一大改進就是SCTP支持多歸屬功能，一條SCTP偶聯（即連接）可以跨越多條通信路徑，這些路徑可以是物理上或邏輯上不同的，從而實現路徑備份和負荷分擔，即可以充分利用多條路徑的網絡帶寬，又能夠提高容錯性，避免局部網絡故障導致的業務中斷。

SCTP多歸屬功能，需要雙方在建鏈協商階段互相通告各自支持的多個IP地址。對于劃分了多VRF的設備來說，每個IP地址都歸屬于某個私網或公網VRF域。但是，VRF的標識符VrfName或VrfID，僅僅是本設備內部分配的，不能在SCTP協商報文中隨同IP地址一起通告給對端設備；VRF所對應的設備接口，雖然可以通過劃分VLAN來區分VRF，但VLAN的標識號只能在二層局域網絡中有效，不能穿越三層IP網絡，更不能被SCTP協商報文用于通告給對端。因此，VRF網絡中要想實現SCTP多歸屬，存在著諸多困難。

本文克服現有技術在VPN網絡中部署SCTP多歸屬存在的問題和缺陷，提供一種實現VPN網絡中SCTP多歸屬的方法和裝置，應用于網絡通信。

1 技術思路

圖1：VPN網絡的SCTP多歸屬

圖2：心跳報文封裝格式

圖3：通路管理信息表

VPN網絡SCTP多歸屬的組網如圖1，假設SCTP的兩個端點設備A和設備B，使用多個接口，通過多個VPN網絡進行連接。這里，公網也被當作是一個特殊的VPN網絡。設備的多個接口，可以是不同的物理接口或同一個接口上的多個子接口。SCTP偶聯的IP地址具體選擇哪個接口是由VRF路由決定的。SCTP偶聯的多個本端IP與多個對端IP之間交叉配對形成通路，例如：對端通告2個IP，本端有3個IP，則形成6個地址對，即6條通路。

現有的心跳（HeartBeat，以下簡稱HB）檢測和通路管理，無法區分VRF，因此首先考慮對標準的SCTP心跳報文進行擴展，使用其報文凈荷部分，定義新的封裝格式用于支持VRF通路的檢測，如圖2所示。發送的心跳檢測報文中封裝有本端IP、對端IP和VRF標識，以便在收到心跳應答時能確定是屬于哪一條通路的哪個VRF。這里IP地址可以是IPv4，也可以是IPv6的。

在心跳檢測報文支持標識VRF后，可進一步管理基于VRF的通路，對不同的通路進行檢測以便確定其有效性和狀態。

對SCTP多歸屬中基于VRF的多條通路進行檢測和管理，具體方法為：

（1）SCTP在建鏈協商階段收到對端通告的多個IP地址后，將每個對端IP地址與每個本端IP地址配對，交叉配對形成多條通路，寫入通路信息表；通路信息表中建鏈所用的那條通路具備VRF信息（由上層業務在發起建鏈時指定），其他每條通路的VRF信息都為空。SCTP建鏈成功后，本端對每條通路中的對端IP地址，遍歷設備的所有VRF路由表進行匹配查找，將存在有效路由的VRF標識記錄下來，狀態為Pending。

SCTP通路管理信息表如圖3所示。

（2）本端對于每條通路周期性地發送HB報文（心跳檢測請求），每條通路需要針對每條通路中的VRF發送HB報文，HB報文中的HB信息塊如圖2所示，封裝入通路IP地址和相應的VRF標識。SCTP兩端都會按照各自的周期主動發送HB報文，HB報文中捎

2 基于VRF的通路檢測和管理

帶有HeartBeat_Info（簡稱HB_Info）信息，是一個可變長度的非透明數據塊，其信息通常只需要發送方識別即可，這里除VRF標識外，還可以包含其他信息（例如對端IP地址和發送時間）；對端收到本端發送的HB報文后，需要直接確認并回應HeartBeat_Ack（簡稱HB_Ack）報文，將HB_Info信息原樣封裝到HB_Ack中返回。為了提高心跳檢測效率，每條通路中可以將多個VRF形成的多個HB報文一起發送出去。

本端收到對端回應的HB_Ack報文后，取出其中的VRF標識，作為該通路的有效VRF信息（狀態為Active），同時記錄下該VRF的RTT（Round-Trip Time，雙向傳輸時間）和SRTT（Smoothed RTT，平滑的雙向傳輸時間）；如果某個Pending狀態的VRF在發送HB檢測次數超過門限后仍未收到HB_Ack應答，則將該VRF從通路信息表中移除。設備需要針對每條通路的每個VRF維護管理信息，其心跳檢測次數門限等于所屬通路的檢測次數門限。

（3）經過一段時間的HB心跳檢測，每條通路都得到較為穩定的VRF信息，此后如果有VRF通路的心跳檢測次數超過門限，則將該VRF狀態標記為Inactive。SCTP處于偶聯建立狀態時一直需要進行通路檢測，只有當該通路的所有VRF信息都標記為Inactive時，該通路才被認為是未激活的。只要心跳檢測收到應答，則對應的通路VRF狀態標記為Active；只要通路中存在一個Active的VRF，則該通路被認為是激活的。

需要說明的是，如果通路存在多個Active的VRF，則以SRTT最小的VRF作為當前主用VRF，該通路的RTT和SRTT也使用主用VRF的，該通路傳輸數據時使用主用VRF。通路主用VRF是動態更新的，即如果通路中有其他VRF的SRTT小于當前主用VRF的SRTT，或當前主用VRF狀態變為Inactive時，則需要將主用VRF切換到其他VRF上。在實際部署時，通路中Active的VRF數量一般是很有限的。

當設備的VRF路由表發生變化時，可以重新按照上面的方法，將存在有效路由的VRF放入通路信息表中進行檢測。當VRF路由表發生變化時，由VRF路由管理單元主動通知SCTP模塊。SCTP穩定運行一段時間后，也可以重新按照上面的方法，定期將存在有效路由的VRF放入通路信息表中進行檢測。

3 結束語

本文將VRF網絡和SCTP多歸屬的優勢相結合，提出VRF網絡中實現SCTP多歸屬的技術，既能保證數據傳輸的安全性和可靠性，又便于實施路徑備份和負荷分擔，避免網絡通路中單點故障給業務帶來的傳輸中斷。同時，所述技術對本端IP網絡層的實現方式以及外部的組網形式、對端SCTP的處理方式都沒有特殊要求，具有很強的通用性和實用性。