[发明专利]由网络结构控制平面实施段间流量策略

说明书

本公开描述了在网络结构中操作控制平面的技术。该技术包括确定与网络结构的第一段和网络结构的第二段之间的通信相对应的无状态规则。该技术还包括配置控制平面以实施无状态规则。

相关申请

本申请要求2020年10月29日提交的第17/084,453号美国申请的优先权，该申请的所有内容通过引用并入本文。

技术领域

本公开总体涉及段间流量策略的实施，更具体地，涉及由网络结构(networkfabric)控制平面实施段间流量策略。

背景技术

虚拟路由和转发(VRF)技术在诸如企业网络之类的网络中变得越来越普遍。VRF是在互联网协议(IP)网络中使用的技术，其中同时存在于单个路由器内的路由表的多个实例被同时使用。因此，可以在不使用多个路由器的情况下对网络路径进行段。

例如，一个或多个逻辑或物理接口可以属于相应的VRF；术语“VRF”可用于指整个网络的多个段中的一个段。VRF不共享路由表，因此，沿着特定VRF的网络路径路由的IP分组仅在同一VRF上的接口之间转发。例如，VRF可以被认为是相当于第二层虚拟局域网(VLAN)的第三层。网络分段(包括VRF技术和其他类型的分段)是一种将网络划分为多个段的架构方法，每个段作为自己的小网络。这种分段允许网络管理员基于可由边界路由器和/或防火墙实施的粒度策略来控制段之间的流量。

利用VRF技术的企业网络可以部署有至少一个防火墙，用于调节例如企业网络中的VRF之间的通信，并用于调节其它数据流量(包括例如去往/来自企业网络外部的数据流量)。

例如，网络结构可能不允许VRF间通信。相反，可以使用外部防火墙和/或融合路由器来调节VRF间通信。例如，融合路由器可以连接到感知VRF的路由器，融合路由器的接口在公共VRF(通常为默认VRF)中，而感知VRF的路由器在可能发生VRF间通信的所有VRF中具有接口。此外，防火墙可以应用防火墙策略(例如，阻止或允许策略例外中未指定的某些类型的网络流量的策略)，从而为VRF间的通信提供安全保障。防火墙和融合路由器可以向网络通告所需的路由，以吸引相关流量并对该流量应用防火墙策略，该流量包括VRF间通信。

伴随着VRF技术，软件定义的访问(Software Defined Access，SDA)技术也变得越来越普遍。例如，SDA可用于更常使用移动设备来访问企业网络资源的环境中。通过SDA，可以安全地提供这种访问。但是，由于外部设备(例如，防火墙和融合路由器)的数量和能力以及可能被用来处理这些数量较大的移动设备和网络段的复杂配置，经由一个或多个防火墙和一个或多个外部路由器来实现策略实施变得更加具有挑战性和昂贵。

附图说明

下面参考附图来阐述详细描述。在附图中，附图标记的最左边的(一个或多个)数字表示附图标记首次出现的附图。在不同附图中使用相同的附图标记表示相似或相同的项目。在附图中描绘的系统未按比例绘制，并且在附图中的组件可能彼此未按比例绘制。

图1是示出示例网络的架构图，企业结构控制平面在该示例网络中配置无状态防火墙策略。

图2是示出另一示例网络的架构图，企业结构控制平面在该示例网络中配置无状态防火墙策略。

图3是示出企业结构控制平面配置无状态防火墙策略的示例的数据和时序流的流程图。

图4是示出企业结构控制平面配置无状态防火墙策略的示例的数据和时序流的流程图，其中外部防火墙通告选定的前缀以吸引来自企业结构的选定VN流量。

图5是示出可以配置网络结构中的网络结构控制平面的示例过程的流程图，其中无状态防火墙策略应用于网络结构内的段间通信。

图6是示出网络结构控制平面对段间网络流量应用策略的过程的流程图。