SD-WAN系统和数据转发方法与流程

sd-wan系统和数据转发方法
技术领域
1.本发明实施例涉及传输技术领域，尤其涉及一种sd-wan系统和数据转发方法。


背景技术：

2.在云计算时代，运营商面临网络和业务转型。云网协同不仅是下一代电信网络演进目标和发展趋势，也成为移动互联网信息服务差异化竞争的核心能力之一。云网协同顾名思义要同时打造云计算和云网络基础设施，二者相辅相成。“云”是指云计算数据中心、云服务；“网”是指云网络基础设施，不仅包括云数据中心局域网络，还包括企业或企业数据中心与云数据中心之间，以及云数据中心之间的网络，特别是后两者，我们称之为“云连接”。为云计算提供安全、可靠、良好体验的接入和互联互通网络成为以“云优先”为导向的互联网服务提供商技术和产品的重要发展战略。基于sdn(software defined network，软件定义网络)技术、流量规划、分段路由(sr)等技术实现了云数据中心间东西向流量的低成本、高性能、灵活调度，部署并提供企业云骨干网、广域网(wan)网关技术、产品和服务，实现企业客户网络与云的无缝对接，为用户提供高安全、高可靠、高性能云连接管道。
3.现有的一种sd-wan(software-defined wide area network，软件定义广域网)方案中，将网络分为两层，底层是运营商网络，上层是用户数据网络，该种方案底层网络无法为上层用户数据提供qos(quality of service，服务质量)保证。
4.现有的另外一种sd-wan方案中，用户数据承载在运营商ip(internet protocol，网际互连协议)网络上，底层ip网络能够感知用户。该方案是在ip网络层为上层用户数据提供qos保证，但对于真正承载用户数据的接入网络和底层传输网络并不能感知不同用户数据，所以不能为用户云专线提供端到端的业务qos保障。


技术实现要素：

5.本发明实施例提供一种sd-wan系统和数据转发方法，用于解决现有的sd-wan方案无法提供端到端的业务qos保障的问题。
6.为了解决上述技术问题，本发明是这样实现的：
7.第一方面，本发明实施例提供了一种sd-wan系统，包括：
8.用户分支网络，pon接入网络，vpn网关，otn网络和云数据中心网络；
9.其中：
10.所述云数据中心网络包括云数据中心接入设备和用户云vpc网络；
11.所述pon接入网络，连接在所述用户分支网络和所述vpn网关之间；
12.所述vpn网关，包括连接在所述pon接入网络和所述otn网络之间的vpn网关，和，连接在所述云数据中心接入设备和所述otn网络之间的vpn网关，所述vpn网关用于维护用户分支网络的全局id、用户分支网络与用户云vpc网络间的转发表、用户分支网络间的转发表和与用户云vpc网络id的映射关系，根据维护的转发表，将用户分支网络或用户云vpc网络的用户数据包发送到目标vpn网关上；
13.所述云数据中心接入设备，连接在所述用户云vpc网络和所述vpn网关之间；
14.所述otn网络，与所述vpn网关连接，用于为所述用户数据包提供匹配的连接管道资源。
15.第二方面，本发明实施例提供了一种sd-wan系统，包括：
16.用户分支网络，pon接入网络，vpn网关和otn网络；
17.其中：
18.所述pon接入网络，连接在所述用户分支网络和所述vpn网关之间；
19.所述vpn网关，连接在所述pon接入网络和所述otn网络之间，用于维护用户分支网络的全局id和用户分支网络间的转发表，根据维护的转发表，将用户分支网络的用户数据包发送到目标vpn网关上；
20.所述otn网络，与所述vpn网关连接，用于为所述用户数据包提供匹配的连接管道资源。
21.第三方面，本发明实施例提供了一种数据转发方法，应用于源vpn网关，包括：
22.所述源vpn网关接收源pon接入网络发送的vxlan数据包，所述vxlan数据包携带用户数据包和vni，所述用户数据包为源用户分支网络发送给目标用户分支网络或用户云vpc网络的数据包，所述vni用于标识租户id；
23.所述源vpn网关从所述vxlan数据包中提取出所述vni、所述用户数据包以及所述用户数据包的目标地址；
24.所述源vpn网关基于所述vni和所述目标地址，在用户分支网络间的转发表或用户分支网络与用户云vpc网络间的转发表中查询所述目标用户分支网络或用户云vpc网络的全局id以及otn网络资源关联标识，所述转发表中存储有vni、所述目标用户分支网络或用户云vpc网络的全局id、otn网络资源关联标识的对应关系；
25.所述源vpn网关为所述用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
26.所述源vpn网关将所述封装后的用户数据包发送到otn网络；
27.所述源vpn网关将所述封装后的用户数据包发送到与目标vpn网关相连接的otn设备端口时，所述otn设备将用户数据包的vlan id更换为目标用户分支网络或用户云vpc网络的vlan id。
28.可选的，所述目标用户分支网络或用户云vpc网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络或用户云vpc网络的vlan id。
29.可选的，所述目标地址是用户分支网络或用户云vpc网络的目标mac地址或目标ip地址。
30.第四方面，本发明实施例提供了一种数据转发方法，应用于目标vpn，包括：
31.所述目标vpn网关接收otn网络发送的用户数据包；
32.所述目标vpn网关基于所述用户数据包的目标用户分支网络的vlan id和所述用户数据包的入端口，在用户分支网络间的转发表中查询vni，所述vni用于标识租户id，所述用户分支网络间的转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；所述目标用户分支网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络的vlan id；
33.所述目标vpn网关根据所述vni，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备；
34.所述目标vpn网关将所述用户数据包封装成vxlan数据包；
35.所述目标vpn网关将所述vxlan数据包发送给所述onu设备。
36.可选的，所述目标vpn网关根据所述vni，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备包括：
37.所述vpn网关根据所述vni，查询用户分支网络空间信息表，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备，所述用户分支网络空间信息表中存储有vni、用户分支网络的vlan id、目标地址与onu设备ip地址的对应关系。
38.第五方面，本发明实施例提供了一种数据转发方法，应用于目标vpn网关，包括：
39.所述目标vpn网关接收otn网络发送的用户数据包；
40.所述目标vpn网关基于所述用户数据包的用户分支网络的vlan id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户云vpc网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网络的vlan id与用户云vpc网络的全局id的对应关系；
41.所述目标vpn网关基于所述目标用户云vpc网络的全局id，封装所述用户数据包；
42.所述目标vpn网关将封装后的用户数据包发送给所述目标用户云vpc网络的云数据中心接入设备。
43.可选的，所述用户云vpc网络的全局id为vni或vlan id。
44.第六方面，本发明实施例提供了一种数据转发方法，应用于源vpn网关，包括：
45.所述源vpn网关接收云数据中心设备发送的用户数据包；
46.所述源vpn网关从所述用户数据包中提取出源用户云vpc网络的全局id；
47.所述源vpn网关基于所述源用户云vpc网络的全局id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户分支网络的vlan id和目标用户分支网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网络的vlan id与用户云vpc网络的全局id的对应关系；
48.所述源vpn网关基于所述目标用户分支网络的vlan id，封装所述用户数据包；
49.所述源vpn网关根据所述目标用户分支网络的全局id，在用户分支网络与用户云vpc网络的转发表中查询otn网络资源关联标识，所述用户分支网络与用户云vpc网络的转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；
50.所述源vpn网关为封装后的用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
51.所述源vpn网关将封装后的用户数据包发送到otn网络。
52.第七方面，本发明实施例提供了一种vpn网关，包括：
53.接收模块，用于接收源pon接入网络发送的vxlan数据包，所述vxlan数据包携带用户数据包和vni，所述用户数据包为源用户分支网络发送给目标用户分支网络或用户云vpc网络的数据包，所述vni用于标识租户id；
54.提取模块，用于从所述vxlan数据包中提取出所述vni、所述用户数据包以及所述用户数据包的目标地址；
55.查询模块，用于基于所述vni和所述目标地址，在用户分支网络间的转发表或用户分支网络与用户云vpc网络间的转发表中查询所述目标用户分支网络或用户云vpc网络的全局id以及otn网络资源关联标识，所述转发表中存储有vni、所述目标用户分支网络或用户云vpc网络的全局id、otn网络资源关联标识的对应关系；
56.封装模块，用于为所述用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
57.发送模块，用于将所述封装后的用户数据包发送到otn网络。
58.第八方面，本发明实施例提供了一种vpn网关，包括：
59.接收模块，用于接收otn网络发送的用户数据包；
60.查询模块，用于基于所述用户数据包的目标用户分支网络的vlan id和所述用户数据包的入端口，在用户分支网络间的转发表中查询vni，所述vni用于标识租户id，所述用户分支网络间的转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；所述目标用户分支网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络的vlan id；
61.确定模块，用于根据所述vni，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备；
62.封装模块，用于将所述用户数据包封装成vxlan数据包；
63.发送模块，用于将所述vxlan数据包发送给所述onu设备。
64.第九方面，本发明实施例提供了一种vpn网关，包括：
65.接收模块，用于接收otn网络发送的用户数据包；
66.查询模块，用于基于所述用户数据包的用户分支网络的vlan id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户云vpc网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网络的vlan id与用户云vpc网络的全局id的对应关系；
67.封装模块，用于基于所述目标用户云vpc网络的全局id，封装所述用户数据包；
68.发送模块，用于将封装后的用户数据包发送给所述目标用户云vpc网络的云数据中心接入设备。
69.第十方面，本发明实施例提供了一种vpn网关，包括：
70.接收模块，用于接收云数据中心接入设备发送的用户数据包；
71.提取模块，用于从所述用户数据包中提取出源用户云vpc网络的全局id；
72.第一查询模块，用于基于所述源用户云vpc网络的全局id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户分支网络的vlan id和目标用户分支网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网络的vlan id与用户云vpc网络的全局id的对应关系；
73.第一封装模块，用于基于所述目标用户分支网络的vlan id，封装所述用户数据包；
74.第二查询模块，用于根据所述目标用户分支网络的全局id，在用户分支网络转发表中查询otn网络资源关联标识，所述用户分支网络转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；
75.第二封装模块，用于为封装后的用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
76.发送模块，用于将封装后的用户数据包发送到otn网络。
77.第十一方面，本发明实施例提供了一种vpn网关，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现上述第三方面所述的数据转发方法的步骤；或者，所述程序被所述处理器执行时实现上述第四方面所述的数据转发方法的步骤；或者，所述程序被所述处理器执行时实现上述第五方面所述的数据转发方法的步骤；或者，所述程序被所述处理器执行时实现上述第六方面所述的数据转发方法的步骤。
78.第十二方面，本发明实施例提供了一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求上述第三方面所述的数据转发方法的步骤；或者，所述计算机程序被处理器执行时实现上述第四方面所述的数据转发方法的步骤；或者，所述计算机程序被处理器执行时实现上述第五方面所述的数据转发方法的步骤；或者，所述计算机程序被处理器执行时实现上述第六方面所述的数据转发方法的步骤。
79.本发明实施例具有以下优点：
80.1.“端到端”qos保障：
81.从网络出口开始，用户数据就能被接入网络感知，同时用户数据也能够被底层otn网络感知，能够提供端到端的qos保障。
82.2.降低sd-wan的运维复杂度
83.与传统技术方案采用端口和vlan id捆绑并且在不同网络设备中传递和维护不同设备之间的用户全局身份标识关联不同，本发明实施例采用vni和全局mac vlan id的技术方案来全局识别用户身份，只需要在vpn网关上配置和维护用户分支网络全局id或用户云vpc网络全局id，而不需要在数量更广的接入设备、otn网络接入环设备上配置大量的端口 vlan id数据，同时与设备硬件端口无关；避免了原有技术方案因接入设备在网络运维和升级过程中端口改变带来的巨大维护工作量，并且容易出错。
84.3.更高的用户数据转发性价比
85.本发明实施例的方案与基于ip的underlay sd-wan技术方案相比，减少了ip头和udp/tcp开销，提高了用户数据的转发效率。
附图说明
86.通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目标，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
87.图1为本发明一实施例的sd-wan系统的架构图；
88.图2为本发明另一实施例的sd-wan系统的架构图；
89.图3为本发明一实施例的用户分支网络与用户分支网络之间的上行数据转发方法的流程示意图；
90.图4为本发明实施例的vxlan封装包的结构示意图；
91.图5为本发明实施例的用户分支网络转发表的数据结构示意图；
92.图6为本发明实施例的vpn网关封装后的用户数据包的数据结构示意图；
93.图7为本发明一实施例的用户分支网络与用户分支网络之间的下行数据转发方法的流程示意图；
94.图8为l2vpn组网方式下的onu本地用户分支网络空间信息表；
95.图9为l3vpn组网方式下的onu本地用户分支网络空间信息表；
96.图10为本发明一实施例的用户分支网络与用户云vpc网络之间的上行数据转发方法的流程示意图；
97.图11为本发明一实施例的用户分支网络与用户云vpc网络之间的下行数据转发方法的流程示意图；
98.图12为本发明实施例的用户分支网络的全局id与用户云vpc网络的全局id的匹配信息表；
99.图13为本发明一实施例的用户云vpc网络与用户分支网络之间的上行数据转发方法的流程示意图；
100.图14为本发明一实施例的用户云vpc网络与用户分支网络之间的下行数据转发方法的流程示意图；
101.图15为基于ip的underlay sd-wan技术方案及该方案下用户数据封装的一种通用解决方案；
102.图16为本发明实施例的underlay sd-wan技术方案及该方案下用户数据封装的一种通用解决方案；
103.图17为本发明一实施例的vpn网关的结构示意图；
104.图18为本发明另一实施例的vpn网关的结构示意图；
105.图19为本发明又一实施例的vpn网关的结构示意图；
106.图20为本发明又一实施例的vpn网关的结构示意图；
107.图21为本发明又一实施例的vpn网关的结构示意图。
具体实施方式
108.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
109.请参考图1，图1为本发明实施例的sd-wan系统的架构图，该sd-wan系统包括：用户分支网络，pon(passive optical network，无源光纤网络)接入网络，vpn网关，otn(optical transport network，光传送网)网络和云数据中心网络；
110.其中：
111.云数据中心网络包括云数据中心接入设备和用户云vpc(virtual private cloud，虚拟私有云)网络；
112.所述pon接入网络，连接在所述用户分支网络和所述vpn网关之间；
113.所述vpn网关，包括连接在所述pon接入网络和所述otn网络之间的vpn网关，和，连
接在所述云数据中心接入设备和所述otn网络之间的vpn网关，所述vpn网关用于维护用户分支网络的全局id、用户分支网络与用户云vpc网络间的转发表、用户分支网络间的转发表和与用户云vpc网络id的映射关系，根据维护的转发表，将用户分支网络或用户云vpc网络的用户数据包发送到目标vpn网关上；
114.所述云数据中心接入设备，连接在所述用户云vpc网络和所述vpn网关之间；
115.所述otn网络，与所述vpn网关连接，用于为所述用户分支网络和用户云vpc网络之间的用户数据包，或者，所述用户分支网络之间的用户数据包提供匹配的连接管道资源。
116.本发明实施例中，基于pon接入网络和otn网络实现了一种“纯二层”网络技术的underlay(底层)sd-wan系统，用户数据能够被接入网络感知，同时也能够被底层otn网络感知，从而能够为用户数据提供端到端的qos保障，且对用户来说不需要知道任何云数据中心网络的任何细节，完全像访问本地以太网络的设备，对用户分支网络无须提出任何改造技术要求，大大降低了用户使用云专线的成本和复杂性。
117.请参考图2，本发明实施例还可以提供一种sd-wan系统，包括：
118.用户分支网络，pon接入网络，vpn网关和otn网络；
119.其中：
120.所述pon接入网络，连接在所述用户分支网络和所述vpn网关之间；
121.所述vpn网关，连接在所述pon接入网络和所述otn网络之间，用于维护用户分支网络的全局id和用户分支网络间的转发表，根据维护的转发表，将用户分支网络的用户数据包发送到目标vpn网关上；
122.所述otn网络，与所述vpn网关连接，用于为所述用户数据包提供匹配的连接管道资源。
123.本发明实施例中，基于pon接入网络和otn网络实现了一种“纯二层”网络技术的underlay(底层)sd-wan系统，用户数据能够被接入网络感知，同时也能够被底层otn网络感知，从而能够为用户数据提供端到端的qos保障。
124.上述实施例中，可选的，所述用户分支网络包括企业总部网络和企业分支网络等，通过pon接入网络连接到所述otn网络。
125.上述实施例中，可选的，所述pon接入网络包括onu(optical network unit，光网络单元)设备和olt(optical line terminal，光线路终端)设备。
126.上述实施例中，可选的，连接在所述pon接入网络和所述otn网络之间的vpn网关，可以部署在运营商网络，连接在所述云数据中心网络和所述otn网络之间的vpn网关可以部署在运营商网络，也可以部署在云数据中心网络。
127.上述实施例中，可选的，所述otn网络用于将用户分支网络和用户分支网络或者将用户分支网络和云数据中心网络连接在一起，为用户分支网络与用户分支网络之间，或者，用户分支网络与用户云vpc网络之间提供匹配的连接管道资源，以提供具有qos保障的连接服务。
128.上述实施例中，云数据中心网络用于为用户提供云“vpc”服务，用户分支网络需要通过具有qos保障的连接服务来保障异地之间的用户分支网络或用户云vpc网络互通，从而使得具有局域网互通的用户体验。
129.下面对应用于上述sd-wan系统的数据转发方法进行举例说明。
130.下面首先对上述sd-wan系统中用户分支网络与用户分支网络之间的上行数据的转发方法进行说明，例如属于同一租户的不同用户分支网络之间的上行数据的转发。
131.请参考图3，本发明实施例提供一种用户分支网络之间的数据转发方法，用于从一个用户分支网络发送用户数据到另一个用户分支网络，该方法包括以下步骤：
132.步骤21：源用户分支网络发送用户数据包到源pon接入网络；
133.本发明实施例中，发送用户数据的用户分支网络称为源用户分支网络，源用户分支网络所属的pon接入网络称为源pon接入网络，源pon接入网络与otn网络之间的vpn网关称为源vpn网关。
134.接收用户数据的用户分支网络称为目标用户分支网络，目标用户分支网络所属的pon接入网络称为目标pon接入网络，目标pon接入网络与otn网络之间的vpn网关称为目标vpn网关。
135.本发明实施例中，源用户分支网络和目标用户分支网络属于同一租户(或称为用户)。
136.步骤22：源pon接入网络使用vxlan(virtual extensible lan，可扩展虚拟局域网)对所述用户数据包进行封装，得到vxlan数据包，所述vxlan数据包携带所述用户数据包和vni(vxlan network identifier，vxlan网络标识符),vni是用于标识全局唯一的租户id，租户是所述源用户分支网络和目标用户分支网络所属的租户。
137.可选的，由源pon接入网络中的源用户分支网络所属的onu设备使用vxlan对所述用户数据包进行封装，得到vxlan数据包。
138.本发明实施例中，请参考图4，所述vxlan数据包包括：vxlan封装部分和用户数据包部分，其中，vxlan封装部分包括外部mac(medium access control，媒体接入控制)头、外部ip头、vxlan端口和vxlan头(8b)，用户数据包部分包括：用户mac头、用户ip头和数据净荷。外部mac头中的mac地址包括onu设备的mac地址和源vpn网关的mac地址。外部ip头中的ip地址包括onu设备的ip地址和源vpn网关的ip地址。vxlan头携带vni，当租户数量增加到一定规模时，可以扩展预留位。用户数据包封装在udp(user datagram protocol，用户数据报协议)数据包中。用户数据包中的用户mac头包括源用户分支网络和目标用户分支网络的mac地址。用户数据包的用户ip头包括源用户分支网络和目标用户分支网络的ip地址。
139.步骤23：源pon接入网络将所述vxlan数据包发送到源vpn网关；
140.下述步骤24-步骤25均为源vpn网关执行的数据转发方法：
141.步骤24：
142.24a：源vpn网关接收源pon接入网络发送的vxlan数据包，从vxlan数据包中提取出vni、用户数据包和用户数据包的目标地址，目标地址为目标用户分支网络的目标mac地址或目标ip地址；
143.24b：源vpn网关基于提取出的vni和目标地址，在用户分支网络间的转发表中查询目标用户分支网络的全局id和otn网络资源关联标识，所述目标用户分支网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络的vlan(virtual local area network，虚拟局域网)id；用户分支网络的vlan id是为用户分支网络分配的唯一标识。
144.网络资源关联标识是底层otn网络为用户分支网络之间互通分配的网络资源关联
标识，可以为vlan id，实现用户数据流到底层网络资源的关联或者映射。
145.请参考图5，图5为本发明实施例的用户分支网络间的转发表的数据结构示意图，该数据结构包括：用户分支网络空间信息、用户分支网络的全局id和网络资源关联标识，该用户分支网络空间信息包括：vni、用户vlan、ip地址空间和mac地址空间，用户分支网络的全局id包括：vpn网关mac地址或端口，和，目标用户分支网络的vlan id。
146.24c：源vpn网关为所述用户数据包添加所述otn网络资源关联标识，并采用以太网封装格式对所述用户数据包进行封装，得到封装后的用户数据包；请参考图6，图6为源vpn网关封装后的用户数据包的数据结构示意图。
147.步骤25：源vpn网关将封装后的用户数据包发送给otn网络。
148.下面对用户分支网络与用户分支网络之间的下行数据的转发方法进行说明。
149.请参考图7，本发明实施例提供一种用户分支网络之间的数据转发方法，用于从一个用户分支网络发送用户数据到另一个用户分支网络，该方法包括以下步骤：
150.下述步骤26-27为otn网络执行的数据转发方法：
151.步骤26：
152.步骤26a：otn网络的与源vpn网关相连的源otn设备接收源vpn网关发送的封装后的用户数据包，根据所述封装后的用户数据包的otn网络资源关联标识查找对应的连接管道资源，并采用所述连接管道资源在otn设备之间传输所述用户数据包；
153.步骤26b：otn网络的与目标vpn相连的目标otn设备接收到用户数据包之后，将用户数据包的otn网络资源关联标识替换为目标用户分支网络的vlan id；
154.步骤27：otn网络的目标otn设备将用户数据包发送给目标vpn网关。
155.步骤28：
156.步骤28a：目标vpn网关接收otn网络发送的用户数据包，基于用户数据包的目标用户分支网络的vlan id和所述用户数据包的入端口，从用户分支网络间的转发表(请参考图5)中查询vni；
157.步骤28b：目标vpn网关根据vni，确定目标用户分支网络所在的pon接入网络中的onu设备，并使用vxlan对用户数据包进行封装，得到vxlan数据包；
158.本发明实施例中，可以采用图8或图9所示的onu本地用户分支网络空间信息，确定onu设备。图8是l2vpn组网方式下的onu本地用户分支网络空间信息表，图9是l3vpn组网方式下的onu本地用户分支网络空间信息表。
159.步骤29：目标vpn网关将封装后的vxlan数据包发送给确定的onu设备；
160.步骤210：onu设备对vxlan数据包进行解封装，得到用户数据包，并转发给目标用户分支网络。
161.下面对用户分支网络与用户云vpc网络之间的上行数据的转发方法进行说明。
162.请参考图10，本发明实施例提供一种用户分支网络与用户云vpc网络之间的数据转发方法，用于从一个用户分支网络发送用户数据到与用户云vpc网络，该方法包括以下步骤：
163.步骤31：源用户分支网络发送用户数据包到源pon接入网络；
164.本发明实施例中，发送用户数据的用户分支网络称为源用户分支网络，源用户分支网络所属的pon接入网络称为源pon接入网络，源pon接入网络与otn网络之间的vpn网关
称为源vpn网关。
165.接收用户数据的用户云vpc网络称为目标用户云vpc网络，目标用户云vpc网络所属的云数据中心接入设备称为目标云数据中心接入设备，目标云数据中心接入设备与otn网络之间的vpn网关称为目标vpn网关。
166.所述源用户分支网络可以是一个企业分支网络，也可以是一个企业总部网络。
167.步骤32：源pon接入网络使用vxlan对所述用户数据包进行封装，得到vxlan数据包，所述vxlan数据包携带所述用户数据包和vni,vni是用于标识租户的全局唯一租户(或用户)id，租户是所述源用户分支网络所属的租户。
168.可选的，由源pon接入网络中的源用户分支网络所属的onu设备使用vxlan对所述用户数据包进行封装，得到vxlan数据包。
169.步骤33：源pon接入网络将所述vxlan数据包发送到源vpn网关；
170.所述vxlan数据包的结构可以参见图4，与用户分支网络之间发送用户数据不同的是，此时，用户数据包的用户mac头包括源用户分支网络和目标用户云vpc网络的mac地址。用户数据包中用户ip头包括源用户分支网络和目标用户云vpc网络的ip地址。
171.下述步骤34-步骤35均为源vpn网关执行的数据转发方法：
172.步骤34：
173.34a：源vpn网关接收源pon接入网络发送的vxlan数据包，从vxlan数据包中提取出vni、用户数据包和用户数据包的目标地址，目标地址为目标用户云vpc网络的目标mac地址或目标ip地址；
174.34b：源vpn网关基于提取出的vni和目标地址，在用户分支网络与用户云vpc网络转发表中查询目标用户云vpc网络的全局id和otn网络资源关联标识，目标用户云vpc网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户云vpc网络的vlan id；
175.otn网络资源关联标识是底层otn网络为用户分支网络和用户云vpc网络互通分配的网络资源关联标识，可以为vlan标识，实现用户数据流到底层网络资源的关联或者映射。
176.34c：源vpn网关为所述用户数据包添加所述otn网络资源关联标识，并采用以太网封装格式对所述用户数据包进行封装，得到封装后的用户数据包。
177.步骤35：源vpn网关将封装后的用户数据包发送给otn网络。
178.下面对用户分支网络与用户云vpc网络之间的下行数据的转发方法进行说明。
179.请参考图11，本发明实施例提供一种用户分支网络与用户云vpc网络之间的数据转发方法，用于从一个用户分支网络发送用户数据到用户云vpc网络，该方法包括以下步骤：
180.步骤36：
181.步骤36a：otn网络的与源vpn网关相连的源otn设备接收源vpn网关发送的封装后的用户数据包，根据所述封装后的用户数据包的otn网络资源关联标识查找对应的连接管道资源，并采用所述连接管道资源在otn设备之间传输所述用户数据包；
182.步骤36b：otn网络的与目标vpn网关相连的目标otn设备接收到用户数据包之后，将用户数据包的网络资源关联标识替换为目标用户云vpc网络的vlan id；
183.步骤37：otn网络的目标otn设备将用户数据包发送给目标vpn网关。
184.步骤38：
185.步骤38a：目标vpn网关接收otn网络发送的用户数据包，根据用户数据包的源用户分支网络的全局id，查询用户分支网络的全局id与用户云vpc网络的全局id的匹配信息表(请参考图12)，确定源用户分支网络的全局id对应的目标用户云vpc网络的全局id，用户云vpc网络的全局id为vni或vlan；
186.用户云vpc网络的vni或vlan为用户云vpc网络在所属云数据中心网络的id，租户vni为运营商为用户分支网络分配的全局id。
187.步骤38b：针对vxlan互通场景，目标vpn网关作为vtep(vxlan tunnel end point，vxlan隧道终点)点将用户数据包封装成vxlan数据包，其vni使用查询到的vni；
188.步骤38c：针对vlan互通场景，修改用户数据包的vlan id为匹配的目标用户云vpc网络对应的vlan id；
189.步骤39：目标vpn网关将用户数据包发送给目标云数据中心接入设备；
190.步骤310：目标云数据中心接入设备将用户数据包转发给目标用户云vpc网络。
191.下面对用户云vpc网络和用户分支网络发送用户数据包之间的上行数据的转发方法进行说明。
192.请参考图13，本发明实施例提供一种用户分支网络和用户云vpc网络之间的数据转发方法，用于从用户云vpc网络发送用户数据包到用户分支网络，该方法包括以下步骤：
193.步骤41：源用户云vpc网络发送用户数据包到源云数据中心接入设备；
194.步骤42：源云数据中心接入设备将用户数据包发送到源vpn网关；
195.步骤43：
196.步骤43a：源vpn网关从用户数据包中提取出源用户云vpc网络的全局id，全局id为vni或者vlan id；
197.步骤43b：源vpn网关根据源用户云vpc网络的全局id，从用户分支网络的全局id与云vpc全局id匹配信息表中，查询与源用户云vpc网络的全局id对应的目标用户分支网络的全局id和目标用户分支网络的vlan id；
198.步骤43c：源vpn网关在用户数据包中添加目标用户分支网络的vlan id；根据查询到的目标用户分支网络的全局id，从用户分支网络与用户云vpc网络转发表中查询otn网络资源关联标识，并在用户数据包上添加所述otn网络资源关联标识；
199.步骤44：源vpn网关将用户数据包发送到otn网络。
200.下面对用户云vpc网络和用户分支网络发送用户数据包之间的下行数据的转发方法进行说明。
201.请参考图14，本发明实施例提供一种用户分支网络与用户云vpc网络之间的数据转发方法，用于从用户云vpc网络发送用户数据到用户分支网络，该方法包括以下步骤：
202.下述步骤46-47为otn网络执行的数据转发方法：
203.步骤46：
204.步骤46a：otn网络的与源vpn网关相连的源otn设备接收源vpn网关发送的用户数据包，根据所述用户数据包的otn网络资源关联标识查找对应的连接管道资源，并采用所述连接管道资源在otn设备之间传输所述用户数据包；
205.步骤46b：otn网络的与目标vpn网关相连的目标otn设备接收到用户数据包之后，将用户数据包的网络资源关联标识替换为目标用户分支网络的vlan id；
206.步骤47：otn网络的目标otn设备将用户数据包发送给目标vpn网关。
207.步骤48：
208.步骤48a：目标vpn网关基于所述用户数据包的目标用户分支网络的vlan id和所属用户数据包的入端口，在用户分支网络转发表中查询vni，所述vni用于标识租户id，所述用户分支网络转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；所述目标用户分支网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络的vlan id；所述vpn网关根据所述vni，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备；
209.步骤48b：目标vpn网关将所述用户数据包封装成vxlan数据包；
210.步骤49：目标vpn网关将封装后的vxlan数据包发送给目标pon接入网络中的onu设备；
211.步骤410：onu设备对vxlan数据包进行解封装，并将解封装后的用户数据包发送给目标用户分支网络。
212.上述sd-wan系统具有以下优点：
213.1.“端到端”qos保障：
214.从网络出口开始，用户数据就能被接入网络感知，同时用户数据也能够被底层otn网络感知，能够识别同一租户内不同用户分支网络并提供不同的qos保障。
215.2.降低sd-wan的运维复杂度
216.与传统技术方案采用端口和vlan id捆绑并且在不同网络设备中传递和维护不同设备之间的用户全局身份标识关联不同，本发明实施例采用vni和全局mac vlan id的技术方案来全局识别用户身份，只需要在vpn网关上配置和维护用户分支网络全局id，而不需要在数量更广的接入设备、otn网络接入环设备上配置大量的端口 vlan id数据，同时与设备硬件端口无关；避免了原有技术方案因接入设备在网络运维和升级过程中端口改变带来的巨大维护工作量，并且容易出错。
217.3.更高的用户数据转发性价比
218.图15是基于ip的underlay sd-wan技术方案及该方案下用户数据封装的一种通用解决方案，图16是本发明实施例的underlay sd-wan技术方案及该方案下用户数据封装的一种通用解决方案。通过对比可以看到，基于ip的underlay sd-wan技术方案的用户数据比本发明实施例的方案多引入56～100字节的开销。经过现网数据包统计发现，现网70％流量是100b以下的短数据包，所以本发明实施例的方案比基于ip的underlay sd-wan技术方案的转发效率提高了至少56％。
219.请参考图17，本发明实施例还提供一种vpn网关170，包括：
220.接收模块171，用于接收源pon接入网络发送的vxlan数据包，所述vxlan数据包携带用户数据包和vni，所述用户数据包为所述源用户分支网络发送给目标用户分支网络或用户云vpc网络的数据包，所述vni用于标识租户id；
221.提取模块172，用于从所述vxlan数据包中提取出所述vni、所述用户数据包以及所述用户数据包的目标地址；
222.查询模块173，用于基于所述vni和所述目标地址，在用户分支网络转发表中查询所述目标用户分支网络或用户云vpc网络的全局id以及otn网络资源关联标识，所述用户分
支网络转发表中存储有vni、所述目标用户分支网络或用户云vpc网络的全局id、otn网络资源关联标识的对应关系；
223.封装模块174，用于为所述用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
224.发送模块175，用于将所述封装后的用户数据包发送到otn网络。
225.可选的，所述目标用户分支网络或用户云vpc网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络或用户云vpc网络的vlan id。
226.可选的，所述目标地址是用户分支网络或用户云vpc网络的目标mac地址或目标ip地址。
227.请参考图18，本发明实施例还提供一种vpn网关180，包括：
228.接收模块181，用于接收otn网络发送的用户数据包；
229.查询模块182，用于基于所述用户数据包的目标用户分支网络的vlan id和所属用户数据包的入端口，在用户分支网络转发表中查询vni，所述vni用于标识租户id，所述用户分支网络转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；所述目标用户分支网络的全局id包括：目标vpn网关的mac地址或端口，和，所述目标用户分支网络的vlan id；
230.确定模块183，用于根据所述vni，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备；
231.封装模块184，用于将所述用户数据包封装成vxlan数据包；
232.发送模块185，用于将所述vxlan数据包发送给所述onu设备。
233.可选的，确定模块183，用于根据所述vni，查询用户分支网络空间信息表，确定所述目标用户分支网络所在的目标pon接入网络中的onu设备，所述用户分支网络空间信息表中存储有vni、用户分支网络的vlan id、目标地址与onu设备ip地址的对应关系。
234.请参考图19，本发明实施例还提供一种vpn网关190，包括：
235.接收模块191，用于接收otn网络发送的用户数据包；
236.查询模块192，用于基于所述用户数据包的源用户分支网络的vlan id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户云vpc网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网络的vlan id与用户云vpc网络的全局id的对应关系；
237.封装模块193，用于基于所述目标用户云vpc网络的全局id，封装所述用户数据包；
238.发送模块194，用于将封装后的用户数据包发送给所述目标用户云vpc网络的云数据中心接入设备。
239.可选的，所述用户云vpc网络的全局id为vni或vlan id。
240.请参考图20，本发明实施例还提供一种vpn网关200，包括：
241.接收模块201，用于接收云数据中心接入设备发送的用户数据包；
242.提取模块202，用于从所述用户数据包中提取出源用户云vpc网络的全局id；
243.第一查询模块203，用于基于所述源用户云vpc网络的全局id，在用户分支网络的全局id与用户云vpc网络的全局id匹配信息表中查询目标用户分支网络的vlan id和目标用户分支网络的全局id，所述匹配信息表表中存储有用户分支网络的全局id、用户分支网
络的vlan id与用户云vpc网络的全局id的对应关系；
244.第一封装模块204，用于基于所述目标用户分支网络的vlan id，封装所述用户数据包；
245.第二查询模块205，用于根据所述目标用户分支网络的全局id，在用户分支网络转发表中查询otn网络资源关联标识，所述用户分支网络转发表中存储有vni、用户分支网络的全局id、otn网络资源关联标识的对应关系；
246.第二封装模块206，用于为封装后的用户数据包添加所述otn网络资源关联标识，并对所述用户数据包进行封装，得到封装后的用户数据包；
247.发送模块207，用于将封装后的用户数据包发送到otn网络。
248.请参考图21，本发明实施例还提供一种vpn网关210，包括处理器211，存储器212，存储在存储器212上并可在所述处理器211上运行的计算机程序，该计算机程序被处理器211执行时实现上述数据转发方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。
249.本发明实施例还提供一种可读存储介质，所述可读存储介质上存储计算机程序，所述计算机程序被处理器执行时实现上述数据转发方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的可读存储介质，如只读存储器(read-only memory，rom)、随机存取存储器(random access memory，ram)、磁碟或者光盘等。
250.需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。
251.通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如rom/ram、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。
252.上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本发明的保护之内。