２０１２年第０９期 ■ｄｏｉ：１０ ３９６９／ｊ ｉｓｓｎ １６７１—１１２２ ２０１２ ０９ ０２３ 应用于网桥的透明ＶＬＡ Ｎ接口 张炜 ，王斌君 ，朱彦军 （１．９５９８９部队第五研究室，北京１０００７６； ２．中国人民公安大学信息安全工程系，北京１０００３８） 摘要：针对不同ＶＬＡＮ域中的计算机不能同时管理网桥设备的问题，文章提出了建立在网桥设备 上的透明ＶＬＡＮ接口的概念，设计并实现了透明ＶＬＡＮ接口，该透明ＶＬＡＮ接口可以接收并处理不同 ＶＬＡＮ域的数据包，解决了网桥设备不能被多个ＶＬＡＮ域中计算机管理的问题。 关键词：Ｌｉｎｕｘ；网桥；透明ＶＬＡＮ 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 文章编号：１６７１—１１２２（２０１２）０９—００８９—０３ Ａ Ｋｉｎｄ ｏｆ Ｔｒａｎｓｐａｒｅｎｔ ＶＬＡＮ Ｉｎｔｅｒｆａｃｅ ｂａｓｅｄ ｏｎ Ｂｒｉｄｇｅ ＺＨＡＮＧ Ｗｅｉ ．ＷＡＮＧ Ｂｉｎ－ｊｕｎ ．ＺＨＵ Ｙａｎ－ｊｕｎ ０１．Ｔｒｏｏｐ ９５９８９，Ｆ承ｈＲｅｓｅａｒｃｈＴｅａｍ１ Ｂｅｉｊｉｎｇ１０００７６．Ｃｈｉｎａ，＂ ２．Ｄｅｐａｒｔｍｅｎｔ ｏｆｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，Ｃｈｉｎｅｓｅ Ｐｅｏｐｌｅ＇ｓ Ｐｕｂｌｉｃ Ｓｅｃｕｒｉｙｔ Ｕｎｉｖｅｒｓｉｙｔ，Ｂｅｉｊｉｎｇ，１０００３８，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｅ ｐｒｏｂｌｅｍ ｔｈａｔ ｃｏｍｐｕｔｅｒｓ ｉｎ ｄｉｆｆｅｒｅｎｔ ＶＬＡＮ ｄｏｍａｉｎｓ ｃａｎｎｏｔ ｍａｎａｇｅ ｔｈｅ ｌｉｎｕｘ ｂｒｉｄｇｅ ｄｅｖｉｃｅ ａｔ ｔｈｅ ｓａｍｅ ｔｉｍｅ，ａ ｋｉｎｄ ｏｆ ｔｒａｎｓｐａｒｅｎｔ ＶＬＡＮ ｉｎｔｅｒｆａｃｅ ｂａｓｅｄ ｏｎ ｂｒｉｄｇｅ ｄｅｖｉｃｅ ｉｓ ｉｎｔｒｏｄｕｃｅｄ，ｄｅｓｉｇｎｅｄ ａｎｄ ｒｅａｌｉｚｅｄ． Ｔｈｉｓ ｔｒａｎｓｐａｒｅｎｔ ＶＬＡＮ ｉｎｔｅｒｆａｃｅ ｃａｎ ｒｅｃｅｉｖｅ ａｎｄ ｄｅａｌ ｗｉｔｈ ａｌ１ ｋｉｎｄｓ ｏｆ ｄａｔａ ｐａｃｋｅｔｓ ｆｒｏｍ ｄｉｆｅｒｅｎｔ ＶＬＡＮ ｄｏｍａｉｎｓ ｏｒ ｎｏｎ ＶＬＡＮ ｄｏｍａｉｎ．Ｔｈｉｓ ｒｅｓｏｌｖｅｓ ｔｈｅ ｐｒｏｂｌｅｍ ｔｈａｔ ｂｒｉｄｇｅ ｄｅｖｉｃｅ ｃａｎ ｎｏｔ ｂｅ ｍａｎａｇｅｄ ｗｅｌｌ ｉｎ ｄｉｆｅｒｅｎｔ ＶＬＡＮ ｄｏｍａｉｎｓ ｏｒ ｎｏｎ ＶＬＡＮ ｄｏｍａｉｎｓ ａｔ ｔｈｅ ｓａｍｅ ｔｉｍｅ． Ｋｅｙ ｗｏｒｄｓ：Ｌｉｎｕｘ；ｂｒｉｄｇｅ；ｔｒａｎｓｐａｒｅｎｔ ＶＬＡＮ ０引言 随着网络技术的发展，企业网的规模越来越大，为了避免企业网络中的广播风暴，确保网络访问的安全，企业网络中引入了 ＶＬＡＮ技术。但是，传统的ＶＬＡＮ技术使得网桥设备只能被指定ＶＬＡＮ域（包括非ＶＬＡＮ域，下同）中的计算机访问，此时其 它ＶＬＡＮ域中的计算机不能访问该网桥设备，限制了信息化的应用和发展。如图１所示，ＶＬＡＮ的子接口既可以是物理网卡，也 可以是网桥。无论ＶＬＡＮ的字接口是什么，一个ＶＬＡＮ接口只能处理一个ＶＬＡＮ ＴＡＧ。这样从物理 应用程序 ＩＰ层 ＶＬＡＮ１ ｉ … 网卡或网桥上送的数据中，只有具有与设备设定的ＶＬＡＮ ＴＡＧ相同的数据才能被上送到应用程序。 实际应用ＶＬＡＮ技术的网络拓扑如图２所示。由于网桥设备的ＶＬＡＮ接口一次只能配置一个 ＶＬＡＮ ＴＡＧ，因此只能接收并处理一个ＶＬＡＮ域中的访问数据包”一１。在图２中，网桥设备的ＶＬＡＮ ＴＡＧ与ＶＬＡＮ２的ＶＬＡＮ ＴＡＧ相同，因此位于ＶＬＡＮ２域中的ＰＣ３可以访问网桥设备。位于非ＶＬＡＮ 域中的ＰＣ１和位于ＶＬＡＮ１域中的ＰＣ２也向网桥设备发送访问 数据包，但是由于与网桥设备的ＶＬＡＮ ＴＡＧ不同，因此网桥设 备丢弃ＰＣ１和ＰＣ２发送的访问数据包，这样应用程序只能接收 到ＰＣ３的访问数据包。 ＶＬＡＮ２ ｌ 网桥 … …ｌ物理网卡ｌ物理阐卡 图１传统网桥体系结构 Ｉ‘ ｒ ｒ Ｉ恼．ｒ一 １ ●●● 为了解决这个问题，使得在多个ＶＬＡＮ域中的计算机都能 够访问该网桥设备，我们提出了透明ＶＬＡＮ接口技术。该技术 的指导思想是在网桥接口上配置多个ＶＬＡＮ ＴＡＧ，使网桥能够 接收并处理多个ＶＬＡＮ域中的访问数据包，以满足客户在多个 ＶＬＡＮ域中管理网桥设备的需要［３－６］。 ● 图２网络拓扑图 收稿时间：２０１２—０７—２８ 作者简介：张炜（１９７５一），女，工程师，硕士，主要研究方向：自动化测试系统；王斌君（１９６２一），男，陕西，博士生导师，教授，博士，主 要研究方向：防范计算机犯罪的信息安全保护，电子数据侦察与取证的理论和技术、网络安全；朱彦军（１９７４一），男，山东，高级工程师，硕 士研究生，主要研究方向：网络通信、网络安全。 １透明ＶＬＡＮ的体系结构设计 为了能够接收并处理多个ＶＬＡＮ域中的访问数据，我们 对ｌｉｎｕｘ内核中的ＶＬＡＮ接口源代码进行了修改，修改后的 ＶＬＡＮ接口的体系结构如图３、４所示。 悭 ＴｃＷＩＰ协议 网桥 透明ｖＬＡＮ接口 网桥模块 网卡 网卡 网卡 网卡 图３数据发送／接收流程 图４系统结构图 修改后的透明ＶＬＡＮ接口工作在网桥之上，ＴＣＰ／ＩＰ协议 之下，其主要功能是： １）在接收数据包时去掉从网桥上送的数据的ＶＬＡＮ头， 并将ＶＬＡＮ ＴＡＧ，源ＩＰ地址、目的ＩＰ地址、源ＭＡＣ地址和 目的ＭＡＣ地址存储到五元组中，如图５所示，为后续的数据 处理做准备；２）当从网桥设备的ＴＣＰ／ＩＰ协议接收到数据时， 根据源ＩＰ地址、目的ＩＰ地址、源ＭＡＣ地址和目的ＭＡＣ地址， 从接收时存储的五元组中查找相应的ＶＬＡＮ ＴＡＧ，并用查找 到的ＶＬＡＮ ＴＡＧ在接收到的数据上构建新的ＶＬＡＮ数据头， 最后将数据发送到网桥，由网桥做下一步处理。 图５五兀组 下面分别阐述透明ＶＬＡＮ接口的数据发送／接收流程。 数据发送流程如下：１）不同ＶＬＡＮ域的访问数据通过不同的 网卡到达设备的网桥，如图３所示；２）由于新建网桥中没有 转发表，所以先把接收到的数据帧向所有的端口转发，然后 根据各个端口的响应建立网桥设备的转发表；３）目的地址为 网桥设备的数据帧到达设备的网桥后，网桥设备根据转发表， 将数据帧转发到透明ＶＬＡＮ接口；４）透明ＶＬＡＮ接口接收到 目的地址为网桥设备的数据帧后，将源ＭＡＣ地址，目的ＭＡＣ 地址，源ＩＰ地址，目的ＩＰ地址和ＶＬＡＮ ＴＡＧ保存到五元组 表中，然后将数据送到ＴＣＰ／ＩＰ协议进行处理。 数据接收过程是发送过程的逆过程。当透明ＶＬＡＮ接口 接收到ＴＣＰ／ＩＰ协议转发过来的数据时，查找五元组表，获得 最新的ＶＬＡＮ ＴＡＧ，为数据帧添加ＶＬＡＮ头，然后将数据转 发到网桥模块。网桥模块接收到数据后，根据ＭＡＣ地址将数 据发送到相应的端口。 ２透明ＶＬＡＮ接口的具体实现 透明ＶＬＡＮ接口的数据发送和接收过程在Ｌｉｎｕｘ内核中 的具体实现如图６、图７所示。 七 “ 目一 Ｌｖ ——＋｛， 星 Ｈ …一卜一ｖ． Ｅｓ－ －Ｉ 申— —— ｆ———一 图６透明ＶＬＡＮ发送过程 商． 。 ．二一 ． Ｉ含 ｈ 一：｝ｓ ｌ ＴｃＰ，ＩＰ协 模块 ｌ ・ Ｉ设备管 程序ｌ 一图７透明ＶＬＡＮ接收过程 在透明ＶＬＡＮ接口的架构下’结合不同应用的需要，接口 的配置及其发送和接收过程在Ｌｉｎｕｘ内核中的实现，分以下 三种情况阐述： １）配置透明ＶＬＡＮ接口接收、发送多个ＶＬＡＮ域的访 问数据包。在配置透明ＶＬＡＮ接口时，配置待处理的多个 ＶＬＡＮ域的ＴＡＧ。这些ＶＬＡＮ ＴＡＧ存储在一个五元组（如图 ５所示）列表中，当透明ＶＬＡＮ接口接收到数据包后，在五 元组列表中查找相应的ＶＬＡＮ ＴＡＧ，如果找到相应的ＶＬＡＮ ＴＡＧ，就在五元组表中存储该数据包的源ＩＰ地址、目的ＩＰ 地址、源ＭＡＣ地址和目的ＭＡＣ地址。如果没有找到对应的 ＶＬＡＮ ＴＡＧ，则把该数据包丢弃。透明ＶＬＡＮ接口从网桥设备 的上层协议接收到数据后，根据数据包的源ＩＰ地址、目的ＩＰ 地址、源ＭＡＣ地址和目的ＭＡＣ地址，在五元组列表中查找 对应的ＶＬＡＮ ＴＡＧ，如果找到相应的ＶＬＡＮ ＴＡＧ，则使用该 ＶＬＡＮ ＴＡＧ，为该数据包添加ＶＬＡＮ数据头。如果没有找到 相应的ＶＬＡＮ ＴＡＧ，则丢弃该数据包。 ２）配置接收非ＶＬＡＮ域的访问数据包。在配置修改后的 透明ＶＬＡＮ接Ｅｌ时，配置该ＶＬＡＮ接口接收非ＶＬＡＮ数据。 若ＶＬＡＮ接口接收到了没有ＶＬＡＮ头的数据，则直接将该数 据向ＴＣＰ／ＩＰ协议传递，不进行任何处理。若接收到带ＶＬＡＮ 头的数据，则直接丢弃该数据。当ＶＬＡＮ接口从上层协议接 收到了数据，直接将数据传递给网桥，不做任何处理。 ３）配置接收所有访问数据，包括ＶＬＡＮ域和非ＶＬＡＮ域 的访问数据。在配置透明ＶＬＡＮ接口时，配置该ＶＬＡＮ接口 可以接收所有的数据，包括所有ＶＬＡＮ域的数据和非ＶＬＡＮ 数据。当接收和发送非ＶＬＡＮ数据时，与上面的处理情况完 全相同。当接收到ＶＬＡＮ数据时，将ＶＬＡＮ ＴＡＧ、源ＩＰ地址、 目的ＩＰ地址、源ＭＡＣ地址和目的ＭＡＣ地址存放在五元组表中， 当发送ＶＬＡＮ数据时，根据源ＩＰ地址、目的ＩＰ地址、源ＭＡＣ 地址和目的ＭＡＣ地址从五元组中查找对应的ＶＬＡＮ ＴＡＧ，使用 找到的ＶＬＡＮ ＴＡＧ为数据包构建ＶＬＡＮ头，然后将数据包发送 到网桥，由网桥将数据包发送到对应的端口。 ３透明ＶＬＡＮ的性能分析 由于企业网络中网络数据流量远远低于网桥设备的网 络吞吐，因此无需关注透明ＶＬＡＮ接口对网桥设备吞吐的影 响。通过上面的透明ＶＬＡＮ接口的Ｌｉｎｕｘ内核实现来看，透明 ＶＬＡＮ接口比传统的ＶＬＡＮ接口多了一个查表的动作。由于在 企业网中ＶＬＡＮ域的数量不是很多，企业网中ＶＬＡＮ域的数量 以百为单位计算就足够了ｅ在现在的软硬件环境中，这个量级 的查表所引入的网络开销几乎可以忽略不计。因此添加和配置 透明ＶＬＡＮ接口，对整个设备的网络吞吐几乎没有什么影响。 现在测试在不同网络吞吐下，多个ＶＬＡＮ ＴＡＧ对系统的 ＣＰＵ占用率的影响。根据不同的网络吞吐，特设计了正常网络 吞吐和极端网络吞吐两种环境下的实验： １）正常网络吞吐下的设备Ｃ ＰＵ占用率测试。使用一台设 备，然后按照如图８所示连接好，ＩＰＥＲＦ服务器和ＩＰＥＲＦ客 户端分别以１０Ｍｂｐｓ，１００Ｍｂｐｓ和２００Ｍｂｐｓ的流量通过设备时， 管理ＰＣ访问设备，然后查看设备的ＣＰＵ占用率。 图８实验图 ２）极端网络吞吐下的设备ＣＰＵ占用率测试。网络拓扑 与１）相同，只是１）测试通常情况下的设备ＣＰＵ占用，此次 实验测试极端情况下的设备ＣＰＵ占用率，设备的最大吞吐是 ９７０Ｍｂｐｓ，在ＩＰＥＲＦ客户端设定带宽为１０００Ｍｂｐｓ，ＩＰＥＲＦ客 户端会向网桥设备发送超过设备最大吞吐的网络流量，然后 管理ＰＣ访问网桥设备，此时查看网桥设备的ＣＰＵ占用。 实验环境中采用的相关设备如下： 网络设备是ｘＴＭ２６（ＦｒｅｅＳｃａｌｅ ＭＰＣ８５４８）；ＩＰＥＲＦ服务器： Ｕｂｕｎｔｕ １１．１０，ＩＰＥＲＦ版本是：ｉｐｅｒｆ ｖｅｒｓｉｏｎ ２．０．５ ｆ０８ Ｊｕｌ ２０１０） ｐｔｈｒｅａｄ 服务器端命令是：ｉｐｅｒｆ—ｓ－ｐ １００００ ２０１２年第Ｏ９期 ＩＰＥＲＦ客户端：Ｕｂｕｎｔｕ １１．１０，ＩＰＥＲＦ版本是：ｉｐｅｒｆ ｖｅｒｓｉｏｎ ２．０．５ ｆ０８ Ｊｕｌ ２０１０１ ｐｔｈｒｅａｄ 客户端命令是：ｉｐｅｒｆ—ｅ ４．４．４．１００一Ｐ １００００—１ ２０００一ｂ １０００Ｍ—ｔ １０００００００一ｉ ３ 通过ｔｏｐ命令查看ＣＰＵ占用 实验的连接睛况：ＩＰＥＲＦ服务器通过网卡３与设备相连， ＩＰＥＲＦ客户端通过网卡１与设备相连，管理ＰＣ通过网卡２与 设备相连。实验开始后，数据流量从网卡１向网卡３发送，查 看此时的ＣＰＵ占用率，然后管理ＰＣ通过网卡２访问设备的 信息，查看此时的ＣＰＵ占有率。 在第一种环境下，实验结果如表１所示。 表１实验结果 在第二种环境下，实验结果如表２所示。 表２实验结果 查 ｌ堡旦篁 煎 占旦ｌ 旦笪型堕亘 点旦 鬯 ＝ ！ ＝！！ 在第二种实验环境下，其它的流量很难顺利地进出设备， 但是管理流量还是可以顺利的进程设备，这主要是ＱｏＳ模块 在发挥作用，该模块保证了管理流量不受其它流量的影响。 当其他的流量影响到管理流量时，其它的流量的数据包会被 丢弃或缓存，以保证网桥设备管理的正常进行。 从表１和表２的实验结果数据可以得出结论，在ＶＬＡＮ 上添加对多个ＶＬＡＮ ＴＡＧ的支持不会影响整个网络设备的 ＣＰＵ占用 ４结束语 通过修改ＶＬＡＮ接口驱动程序，该ＶＬＡＮ接口可以接收多 个ＶＬＡＮ域或非ＶＬＡＮ域的访问数据包，极大方便了用户管理 网桥设备。在实际的使用过程中，满足了客户在多个ＶＬＡＮ域 中管理网桥设备的要求，受到客户的好评。 （责编岳逍远） 参考文献： 【１］Ｂｅｎｖｅｎｕｔｉ，Ｃｈｒｉｓｔｉａｎ．ｕｎｄｅｒｓｔａｎｄｉｎｇ ５ｎｕｘ ｎｅｔｗｏｒｋ ｉｎｔｅｍａｌｓ［Ｍ】．Ｏ’Ｒｅｉｌｌｙ Ｍｅｄｉａ Ｉｎｃ，２００５． 【２１中兴通信股份有限公司．一种实现网络数据透明传输的方法和装 置【Ｐ１．中国：１０１１７０４７９，２００８－０４—３０． ［３】Ａｌｅｓｓａｎｄｒｏ Ｒｕｂｉｎｉ，Ｊｏｎａｔｈａｎｃｏｒｈｅｔ．Ｌｉｎｕｘ Ｄｅｖｉｃｅ Ｄｒｉｖｅｒｓ（ｓｅｃｏｎｄ Ｅｄｉｔｉｏｎ）［Ｍ］．北京：中国电力出版社，２００１． 【４】朱彦军，王斌君．基于３Ｇ网络的多ＶＰＮ通道系统设计与实现【ｌ１ ｌ信息网络安全，２０１２，（０６）：７２—７５ ［５】董建锋，周小平，贾磊雷．实现相同子网不同ＶＬＡＮ之间通讯的 物理模块设计Ｕ］．信息网络安全，２０１２，（０３）：８８—９０． ［６】黄慧琨．ＶＬＡＮ技术在局域网管理中的应用Ⅱ】计算机光盘软件与 应用，２０１２，（１Ｏ）：８３．