一种跨VPN组播方法、装置、网络设备及介质与流程

本申请涉及虚拟专用网络，特别是涉及一种跨vpn组播方法、装置、网络设备及介质。

背景技术：

1、随着网络虚拟化技术的广泛应用，跨虚拟专用网络（virtual private network，vpn）组播业务在实际部署中越来越普遍。在跨vpn组播场景中，网络设备上组播报文的入接口和出接口属于不同vpn，当网络设备通过入接口接收到该组播报文时，网络设备创建跨vpn虚拟接口，通过跨vpn虚拟接口环回接收组播报文，进而通过出接口转发组播报文。

2、现有安全配置中，每个物理接口关联有相应的安全策略。基于每个物理接口关联的安全策略，实现跨vpn组播时，网络设备通过跨vpn虚拟接口环回接收组播报文后，由于该跨vpn虚拟接口不是物理接口，也就是，该跨vpn虚拟接口未与安全策略，导致网络设备无法找到与组播报文匹配的安全策略，进到丢弃该组播报文，导致业务中断。

技术实现思路

1、本申请实施例的目的在于提供一种跨vpn组播方法、装置、网络设备及介质，以在安全策略管控下保障跨vpn组播业务的连续性。具体技术方案如下：

2、第一方面，本申请实施例提供了一种跨vpn组播方法，应用于网络设备，所述方法包括：通过第一物理接口，接收来自第一vpn的组播报文，所述组播报文的目的vpn为第二vpn；通过目标虚拟接口环回接收所述组播报文，所述目标虚拟接口连接所述第一vpn和所述第二vpn；在全局动态映射表中，查找包括所述目标虚拟接口和所述第二vpn对应的目标映射表项，所述全局动态映射表中映射表项包括虚拟接口、目的vpn和报文入接口绑定的安全策略；从所述目标映射表项包括的安全策略中，查找与所述组播报文匹配的目标安全策略；当所述目标安全策略指示放行时，通过所述第二vpn下所述组播报文对应的第二物理接口，转发所述组播报文。

3、在一些实施例中，所述方法还包括：若在所述全局动态映射表中未查找到所述目标映射表项，则根据所述第一物理接口绑定的安全策略，在所述全局动态映射表中建立目标映射表项，所述目标映射表项包括所述第一物理接口绑定的安全策略；执行所述从所述目标映射表项包括的安全策略中，查找与所述组播报文匹配的目标安全策略的步骤。

4、在一些实施例中，所述根据所述第一物理接口绑定的安全策略，在所述全局动态映射表中建立目标映射表项的步骤，包括：从所述第一物理接口绑定的安全策略中，获取携带预设标记的待继承安全策略，所述预设标记指示安全策略用于跨vpn组播；在所述全局动态映射表中建立目标映射表项，并将所述待继承安全策略添加至所述目标映射表项。

5、在一些实施例中，所述方法还包括：当所述第一vpn至所述第二vpn的组播转发结束时，删除所述目标虚拟接口；删除包括所述目标虚拟接口的所述目标映射表项。

6、在一些实施例中，所述映射表项包括根据虚拟接口和目的vpn生成的哈希值；所述在全局动态映射表中，查找包括所述目标虚拟接口和所述第二vpn对应的目标映射表项的步骤，包括：根据所述目标虚拟接口和所述第二vpn，生成目标哈希值；在全局动态映射表中，查找包括所述目标哈希值的目标映射表项。

7、在一些实施例中，所述映射表项还包括所述报文入接口和源vpn。

8、第二方面，本申请实施例提供了一种跨vpn组播装置，应用于网络设备，所述装置包括：接收模块，用于通过第一物理接口，接收来自第一vpn的组播报文，所述组播报文的目的vpn为第二vpn；环回模块，用于通过目标虚拟接口环回接收所述组播报文，所述目标虚拟接口连接所述第一vpn和所述第二vpn；查找模块，用于在全局动态映射表中，查找包括所述目标虚拟接口和所述第二vpn对应的目标映射表项，所述全局动态映射表中映射表项包括虚拟接口、目的vpn和报文入接口绑定的安全策略；从所述目标映射表项包括的安全策略中，查找与所述组播报文匹配的目标安全策略；转发模块，用于当所述目标安全策略指示放行时，通过所述第二vpn下所述组播报文对应的第二物理接口，转发所述组播报文。

9、在一些实施例中，所述查找模块，还用于若在所述全局动态映射表中未查找到所述目标映射表项，则根据所述第一物理接口绑定的安全策略，在所述全局动态映射表中建立目标映射表项，所述目标映射表项包括所述第一物理接口绑定的安全策略；从所述目标映射表项包括的安全策略中，查找与所述组播报文匹配的目标安全策略。

10、在一些实施例中，所述查找模块，具体用于从所述第一物理接口绑定的安全策略中，获取携带预设标记的待继承安全策略，所述预设标记指示安全策略用于跨vpn组播；在所述全局动态映射表中建立目标映射表项，并将所述待继承安全策略添加至所述目标映射表项。

11、在一些实施例中，所述装置还包括：删除模块，用于当所述第一vpn至所述第二vpn的组播转发结束时，删除所述目标虚拟接口；删除包括所述目标虚拟接口的所述目标映射表项。

12、在一些实施例中，所述映射表项包括根据虚拟接口和目的vpn生成的哈希值；所述查找模块，具体用于根据所述目标虚拟接口和所述第二vpn，生成目标哈希值；在全局动态映射表中，查找包括所述目标哈希值的目标映射表项。

13、在一些实施例中，所述映射表项还包括所述报文入接口和源vpn。

14、第三方面，本申请实施例提供了一种网络设备，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口、存储器通过通信总线完成相互间的通信；存储器，用于存放计算机程序；处理器，用于执行存储器上所存放的程序时，实现第一方面提供的任一方法。

15、第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第一方面提供的任一方法。

16、本申请实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行第一方面提供的任一方法。

17、本申请实施例有益效果：

18、本申请实施例提供的技术方案中，网络设备中配置全局动态映射表。该全局动态映射表中，映射表项包括虚拟接口、目的vpn和报文入接口绑定的安全策略，也就是，通过全局动态映射表，实现了虚拟接口继承入接口绑定的安全策略。当通过一个物理接口接收到跨vpn组播转发的组播报文后，网络设备可以通过连接两个vpn的虚拟接口和目的vpn，查找虚拟接口继承的来自入接口（即接收组播报文的物理接口）绑定的安全策略，按照查找到的安全策略在目的vpn下转发组播报文，解决了跨vpn虚拟接口未与安全策略，网络设备无法找到与组播报文匹配的安全策略，带来的丢包问题，在安全策略管控下保障了跨vpn组播业务的连续性。

19、当然，实施本申请的任一产品或方法并不一定需要同时达到以上所述的所有优点。

1.一种跨vpn组播方法，其特征在于，应用于网络设备，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

3.根据权利要求2所述的方法，其特征在于，所述根据所述第一物理接口绑定的安全策略，在所述全局动态映射表中建立目标映射表项的步骤，包括：

4.根据权利要求1-3任一项所述的方法，其特征在于，所述方法还包括：

5.根据权利要求1-3任一项所述的方法，其特征在于，所述映射表项包括根据虚拟接口和目的vpn生成的哈希值；

6.根据权利要求1-3任一项所述的方法，其特征在于，所述映射表项还包括所述报文入接口和源vpn。

7.一种跨vpn组播装置，其特征在于，应用于网络设备，所述装置包括：

8.根据权利要求7所述的装置，其特征在于，所述查找模块，还用于若在所述全局动态映射表中未查找到所述目标映射表项，则根据所述第一物理接口绑定的安全策略，在所述全局动态映射表中建立目标映射表项，所述目标映射表项包括所述第一物理接口绑定的安全策略；从所述目标映射表项包括的安全策略中，查找与所述组播报文匹配的目标安全策略。

9.根据权利要求8所述的装置，其特征在于，所述查找模块，具体用于从所述第一物理接口绑定的安全策略中，获取携带预设标记的待继承安全策略，所述预设标记指示安全策略用于跨vpn组播；在所述全局动态映射表中建立目标映射表项，并将所述待继承安全策略添加至所述目标映射表项。

10.根据权利要求7-9任一项所述的装置，其特征在于，所述装置还包括：

11.根据权利要求7-9任一项所述的装置，其特征在于，所述映射表项包括根据虚拟接口和目的vpn生成的哈希值；

12.根据权利要求7-9任一项所述的装置，其特征在于，所述映射表项还包括所述报文入接口和源vpn。

13.一种网络设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口、存储器通过通信总线完成相互间的通信；存储器，用于存放计算机程序；处理器，用于执行存储器上所存放的程序时，实现权利要求1-6任一所述的方法。

14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-6任一所述的方法。