[发明专利]处理数据包的方法和网络装置

说明书

本申请公开了第三方控制的数据包转发路径的网络装置数据平面沙盒。在一些实例中，网络装置包括第一应用程序和第二应用程序；转发单元，其包括用于接收数据包的接口卡；数据包处理器；转发单元的内部转发路径；转发单元处理器；第一接口；以及第二接口。所述第一应用程序被配置成通过所述第一接口将所述内部转发路径配置成包括沙盒，沙盒包括用于在所述内部转发路径内内联配置的指令的容器。所述第二应用程序被配置成通过所述第二接口为沙盒配置有确定在所述沙盒内处理数据包的第二指令。数据包处理器被配置成响应于确定由所述转发单元接收的数据包与至少部分由第二应用程序控制的数据包流相关联，通过执行为沙盒配置的第二指令，来处理数据包。

技术领域

本公开涉及基于数据包的计算机网络，并且更具体而言，涉及在计算机网络装置内处理数据包。

背景技术

计算机网络是可以交换数据和分享资源的大量互连的计算装置的集合。实例网络装置包括在开放系统互连(OSI)参考模型的第二层(即，数据链路层)内操作的层2装置以及在OSI参考模型的第三层(即，网络层)内操作的层3装置。计算机网络内的网络装置通常包括控制单元，其为网络装置和用于路由或切换数据单元的转发元件提供控制平面功能。在一些情况下，例如，网络装置可以包括多个数据包处理器和交换结构，其共同提供转发平面，用于转发网络流量。

由控制单元提供的控制平面功能包括以路由信息库(RIB)的形式储存网络拓扑，执行路由协议以与对等路由装置通信从而保持和更新RIB，并且提供管理接口以允许网络装置的用户访问和配置。控制单元保持表示网络的总体拓扑的路由信息并且限定在网络内到目的地前缀的路由。

控制单元获得转发信息库(FIB)，其包括由控制单元根据路由信息和控制信息生成的多个转发结构。控制单元在数据平面内安装转发结构，以可编程地配置转发元件。构成转发结构的数据和指令为网络装置接收的每个进入数据包限定内部转发路径。例如，为了生成路由表查找转发结构，控制单元选择由网络拓扑限定的路径并且将数据包关键信息(例如，目的地信息和来自数据包报头的其他选择信息)映射到一个或多个特定的下一跳网络装置并且最后映射到网络装置的接口卡的一个或多个特定的输出接口。在某些情况下，控制单元可以将转发结构安装到每个数据包处理器内，以在每个数据包处理器内更新FIB并且在数据平面内控制流量转发。分支控制和数据平面功能允许更新数据平面内的一个或多个FIB，而不使网络装置的数据包转发性能退化。

发明内容

总体上，本公开描述了用于促进受约束的第三方访问网络装置数据平面的内部数据包转发路径的技术。例如，网络装置转发路径可以配置有一个或多个“沙盒”，每个沙盒在总体转发路径内分界独立的、并行的以及异步转发路径逻辑。虽然总体转发路径由本地应用程序和处理来管理和配置，本地应用程序和处理在网络装置控制平面内执行并且由网络装置制造商开发以管理网络装置的操作，但是本地应用程序可以在总体转发路径内配置一个或多个沙盒。将在沙盒内的转发路径逻辑的配置委托给第三方开发的一个或多个应用程序(“第三方应用程序”)，所述第三方应用程序由网络装置制造商开发并且网络装置制造商很少或者不控制所述第三方应用程序。

一旦在网络装置的数据平面的数据包处理器(例如，转发集成电路) 内配置，沙盒就可以通过这种方式向第三方应用程序呈现在数据包处理器内的独立的、隔离的、虚拟数据包处理器，使得第三方应用程序在沙盒的确定范围内完全控制由转发逻辑执行的操作。为了执行隔离，沙盒可以由本地应用程序配置有定义明确的输入和输出接口，通过所述接口，数据包分别进入和离开网络装置的数据包处理器的总体转发路径。