使用移动路由器来保持抗移动性IP隧道的方法、装置和系统 |
|||||||
| 申请号 | CN201210211583.3 | 申请日 | 2006-09-14 | 公开(公告)号 | CN102739534B | 公开(公告)日 | 2015-12-02 |
| 申请人 | 英特尔公司; | 发明人 | K·索德; J·沃克; T-Y·太; | ||||
| 摘要 | 一种允许移动设备进行漫游同时保持持续的IP隧道的方法、装置和系统。具体地，可以使用移动路由器来允许移动设备在漫游的同时保持持续的IP隧道。在一个 实施例 中，移动设备是虚拟主机，移动路由器是虚拟移动路由器。 | ||||||
| 权利要求 | 1.一种用于维持到网关的一致的IP隧道的方法，包括： |
||||||
| 说明书全文 | 使用移动路由器来保持抗移动性IP隧道的方法、装置和系统 背景技术[0001] 现如今，诸如膝上型电脑、笔记本电脑、个人数字助理（“PDA”）以及蜂窝电话的移动计算设备（以下称为“移动节点”）的使用正变得越来越普及。这些移动节点允许用户可以从一个地点移动到另一个地点（“漫游”），同时继续保持他们与相同网络的连接。鉴于其越来越普及，如今大多数公司（“企业”）网络试图实现快速并且安全的移动计算，这并不奇怪。 [0002] 为了自由地漫游，网络通常遵守一个或者多个全行业范围的移动互联网协议（“IP”）标准。更具体地，因特网工程任务组（“IETF”）发布了漫游标准（移动IPv4、IETF RFC 3344，2002年8月，和移动IPv6、IETF移动IPv6、因特网草 案draft-ietf-mobileip-ipv6-24.txt，2003年6月），允许移动节点用户从一个地点移动到另一个地点，同时继续保持他们与相同网络和/或与联网设备（例如，打印机）的当前连接。这些行业标准不幸地面临着多种采用和实现问题。结果，尽管存在这些标准，却仍然需要一个或多个方案来允许移动节点顺利漫游。 附图说明 [0003] 通过实例的方式示出了本发明，并且本发明不限于附图中的各图，其中在附图中相同的参考标号指示相同的元件，并且其中： [0004] 图1示出了已知的公司内联网结构； [0005] 图2示出了已知的企业网络拓扑； [0006] 图3示出了典型的虚拟机主机； [0007] 图4示出了本发明的一个实施例； [0008] 图5是概念性地说明了本发明一个实施例的序列图；以及 [0009] 图6是示出了本发明的一个实施例的流程图。 具体实施方式[0010] 本发明的实施例提供了用于移动节点在网络间漫游的同时保持一致的IP隧道的方法、装置和系统。更具体地，本发明的实施例利用移动IP路由器来允许移动节点在网络间漫游的同时保持一致的IP隧道。短语“在网络间漫游”是本领域普通技术人员所公知的，并且包括：在单个网络上从一个子网漫游到另一个子网（例如，在具有多个接入点的单个大厦内移动），从一种类型的网络漫游到另一种类型的网络（例如，从802.11[电气以及电子工程师协会（“IEEE”）标准802.11-1999（Reaff 2003）]网络到802.16[IEEE标准802.16-2004]网络），以及/或者从一个地点漫游到另一个地点（例如，从公司漫游到住所，这可以包括改变接入点和/或改变网络类型）。说明书中描述的本发明的“一个实施例”或者“实施例”的称谓都意味着结合该实施例所描述的特定特征、结构或者特点包含在本发明的至少一个实施例中。在本说明书中的各个位置处出现的短语“在一个实施例中”、“根据一个实施例”并不是必须指同一实施例。 [0011] 为了便于理解本发明的实施例，图1和图2描述了典型的网络拓扑和漫游情景。具体地，图1示出了已知的公司内联网（“公司内联网100”）结构。公司内联网100可以包括有线和无线网络，并且可以包括多个子网。子网是指一个团体的网络的一部分，其通过路由元件与其它子网互相连接。子网是本领域普通技术人员所公知的，并且本文省略对其的进一步描述。在公司内联网100中，当用户从一个地点移动到另一个地点时（例如，从会议室移动到另一个会议室，以及/或者从一个大厦到另一个大厦），移动节点（“MN 125”）可以在子网（示为子网1-4）间漫游。 [0012] 然而，公司内联网100还可以连接到外部网络，例如因特网，并且MN 125可以在公司内联网100和外部网络之间漫游。图2示出了当今已知的网络拓扑，其包括公司内联网100，公司内联网100通过公司非军事化区205（“公司DMZ 205”）与外部网络（“外部网络200”）分隔开。公司DMZ205是本领域普通技术人员所公知的，并且本文省略对其的进一步描述。类似于公司内联网100，外部网络200也可以包括有线和无线网络，并且包括多个子网和/或接入点。为了安全起见，公司DMZ 205有可能包括安全网关，例如虚拟专用网络（“VPN”）网关（在图2中统一示为“VPN网关210”），用于保护公司内联网100免遭外部网络200的损害。VPN网关210还通过对外部网络200和公司内联网100上的节点之间的分组进行加密，来提供公司内联网100上的节点和外部网络200上的节点之间的通信的安全措施。由于VPN有可能包括诸如IP安全（“IPSec”）和安全套接层/传输层安全（“SSL/TLS”）之类的安全特征，所以本文所涉及的VPN应该包括基于IPSec的VPN和/或基于SSL/TLS的VPN，但是本发明的实施例不限于此。VPN网关、SSL/TLS和IPSec是本领域普通技术人员所公知的，并且本文省略对其的进一步描述。 [0013] 一般，当MN 125从公司内联网100漫游到外部网络200或者从公司内联网100和/或外部网络200上的一个接入点漫游到另一个接入点时，可以要求MN 125建立到VPN网关210的IPSec隧道（“IPSec隧道215”），以便安全地接入公司网络。如本领域普通技术人员所公知的，在隧道建立时，诸如IPSec的IP隧道静态地绑定到固定的IP地址。换句话说，IPSec VPN隧道绑定在MN 125的IP地址和VPN网关210的IP地址之间，并且如果这些IP地址中任意一个改变，就必须重新协商IPSec隧道。MN 125从一个地点漫游到另一个地点，其IP地址一般会改变，因此必须拆除现有的IPSec隧道并且建立新的IPSec隧道。由于用于执行详尽的VPN隧道建立过程的等待时间，重新协商IPSec VPN隧道的这种经常性的需要可以导致用户体验显著降级。此外，重新协商VPN隧道的这种经常性的需要还可以打扰或者打断依赖于这些隧道的多种应用。例如，当用户从一个网络到另一个网络漫游时，诸如电子邮件和基于IP的语音（“VoIP”）服务之类的公司应用可能遇到问题。 [0014] 本发明的实施例通过提供用于在网络间漫游的同时保持一致的IP隧道的方法、装置和系统，来增强移动节点的可用性。更具体地，根据本发明的实施例，即使当MN 125漫游时，即MN 125的IP地址改变时，移动路由器（“MR”）也可以允许维持现有VPN隧道。对于本领域普通技术人员，显然可以将本发明的实施例实现在硬件、软件、固件和/或它们的任意组合中。尽管以下描述假设将MR实现在“移动的”节点中，本发明的实施例不限于此，并且可以具有其它应用（例如，在计算设备具有多个IP接口并且该平台从一个接口移动到另一个接口的情景中）。 [0015] 此外，尽管以下描述假设了虚拟化的环境，本发明的实施例不限于此。而是，本发明的实施例可以应用于其它环境，例如多核处理设备和/或具有专用于对平台进行管理的专用处理器的设备。其它实施例可以包括使用英特尔公司的主动管理技术（“AMT”）、“管理引擎”（“ME”）、平台资源层（“PRL”）和/或其它类似的或者相同的技术。本发明的实施例可以额外地包括多种个人设备，例如，耦合到移动节点的设备。因此，例如，尽管以下描述假设是主机上的VM，但是替代VM或者除了VM之外，本发明的一个实施例可以包括连接到移动节点的个人数字助理和/或连接到移动节点的蜂窝电话。最后，尽管以下描述假设移动节点在单个网络内从一个地点移动到另一个地点，本发明的其它实施例还可以包括移动节点从一种类型的网络移动到另一种类型的网络（例如，从802.11网络移动到802.16网络）。 [0016] 为了便于理解本发明的实施例，图3示出了典型的虚拟机主机平台（“主机300”）。虚拟化技术的一个方面允许运行虚拟机监视器（“VMM”）的单个主机提供该主机的多个抽象和/或视图（view），从而该主机的潜在硬件看起来是一个或者多个独立操作的虚拟机（“VM”）。虚拟机监视器（示为“VMM 330”）一般运行在主机平台上，并且将该平台的抽象和/或视图（也称为“虚拟机”或“VM”）提供给其它软件。尽管仅示出了两个VM部分（“VM310”和“VM 320”，此后统称为“VM”），这些VM仅仅是示例性的，并且可以将额外的虚拟机添加给主机。VMM 330可以实现在软件（例如，作为独立的程序和/或主机操作系统的组件）、硬件、固件和/或它们的任意组合中。 [0017] VM 310和VM 320可以分别作为自足式平台，运行它们自己的“寄宿（guest）操作系统”（即，以VMM 330为宿主的操作系统，示为“寄宿OS 311”和“寄宿OS 321”并且此后统称为“寄宿OS”）和其它软件（示为“寄宿软件312”和“寄宿软件322”，并且此后统称为“寄宿软件”）。每个寄宿OS和/或寄宿软件好像运行在专用计算机上而不是虚拟机上一样，进行操作。即，寄宿OS和/或寄宿软件可以期望控制多种事件，并且可以访问主机300上的硬件资源。在每个VM中，寄宿OS和/或寄宿软件可以好像它们事实上运行在主机300的物理硬件（“主机硬件340”）上一样进行运转。 [0018] 根据本发明的实施例，可以调节如上所述的虚拟机主机，以允许移动节点在漫游的同时保持持续的VNP隧道。图4示出了本发明的一个实施例。如图所示，MN 125包括虚拟机主机，其中该设备的一个部分（之前是VM 320）专门用作虚拟MR（“VMR 400”），而VM310包括VPN客户端端点。一般可以为虚拟主机上的每个VM分配一个虚拟的（内部的）IP地址。因此，例如，VM 310一般可以具有分配给它的虚拟IP地址。此外，可以将MN 125上的物理网络接口卡（“NIC”）接口（例如，主机硬件340中的NIC接口420和NIC接口425），包括与所述接口相关的驱动程序（例如，分别地，驱动程序430和驱动程序435），分配给VMR 400。VMM330可以将接口的虚拟版本（分别示为“虚拟适配器440”和“虚拟适配器445”）提供给VM 310和VMR 400。换句话说，根据本发明的实施例，VMR 400可以拥有MN 125上的物理NIC接口，并且VM 310仅看见接口的一个虚拟版本。因此，根据一个实施例，VMR 400作为MN 125上所有NIC的专用部分。 [0019] DHCP服务器/客户端410可以内部地作为MN 125的DHCP服务器（即，其可以按照请求分配内部IP地址），否则作为DHCP客户端（例如，从公司内联网100或者外部网络200上的其它DHCP服务器为MN 125请求外部IP地址）。根据本发明的一个实施例，寄宿OS 311可以为VM 310请求IP地址。可以通过VMR 400来拦截这个请求，并且DHCP服务器/客户端410可以将“内部”地址分配给寄宿OS 311。类似地，VMR 400可以从公司内联网100或者外部网络200上的DHCP服务器请求IP地址。在这个实例中，假设来自VM 310的请求针对接口420（例如，802.11接口）。一旦从外部网络200上的DHCP服务器接收到地址（“外部”IP地址，此后称为“原始地址”），那么VM 310使用该原始地址建立与VPN网关210的VPN隧道450。在一个实施例中，NAT 405可以执行地址转换并且存储VPN隧道450的所有IP地址。从而之后可以将VM 310和VPN网关210之间的所有网络业务进行加密，并且经由VPN隧道450（路径A，图4中的实线）来回发送。 [0020] 在一个实例中，为了示出本发明的实施例如何保持VPN隧道450，假设MN 125漫游到新的IP子网。在一个实施例中，MN 125可以从一个子网移动到另一个子网，而在可替换的实施例中，VMR 400可以被配置为识别新的网络类型，并且确定是否从一个网络类型移动到另一个网络类型（例如，从802.11网络移动到802.16网络）。对于本领域普通技术人员，显然VMR 400可以根据多种预定的方案来进行配置。漫游的结果是，新的子网或网络可以将新的IP地址（此后称为“新地址”）分配给VMR 400。如果MN 125在相同的网络内漫游，可以将这个新地址分配给接口420，但是如果MN 125漫游到了不同的网络并且必须使用不同的无线接口（例如，对应于802.16NIC的NIC接口425），可以将新地址分配给新接口。不管怎样，由于漫游的结果，VMR 400现在具有新地址。通常，在这时，MN 125拆除（建立在VPN网关210和已过时的原始地址之间的）VPN隧道450并且（在VPN网关210和新地址之间）重新建立新的VPN隧道。 [0021] 然而，根据本发明的一个实施例，为了排除拆除和重新建立VPN隧道450的需要，并且为了避免当在IP网络之间漫游时对于VoIP和其它应用的问题，VMR 400可以检测即将来临的到新网络的转移，并且执行原始地址的DHCP延续，并且将这个原始地址保存在“移动表”460中。这里所使用的移动表可以包括任意类型的数据结构（例如，缓冲的信息、表格等等）。在一个实施例中，移动表460可以是仅对于预定的时间段所保持的数据结构。还可以对原始地址租用时间进行注释，以确保在这个预定的时间段期间子网不将这个IP地址分配给任意新客户端。 [0022] VMR 400随后可以从DHCP服务器/客户端410请求新地址，并且（经由路由器415）向外部网络200上的其他路由器发送“路由更新”消息，以公布它的新地址作为对于它的原始地址的路由。结果，该路由更新在网络中起作用，即，该网络将VMR 400中的路由器415视为原始地址的路由器，并且现在将去往原始地址的分组路由到VMR 400的路由器415，其再将该分组路由到新地址（在图4中示为路径B）。对于本领域普通技术人员，显然在不脱离本发明的实施例的精神的前提下，可以将各种路由算法用于更新外部网络200上的路由。对于本领域普通技术人员，显然根据上述实施例，VM的内部IP地址没有改变，即，寄宿OS 311和VPN网关210不知道原始地址已改变。 [0023] 本发明的实施例的一个显著优点是，不像典型的移动IP方案，不需要复杂的隧道协议来使得漫游对于寄宿OS 311应用程序（例如，VoIP和/或多媒体应用程序）透明。根据本发明的实施例，具有移动路由器的每个移动设备可以自主。如前面所述，尽管以上描述假设使用虚拟机主机，本发明的实施例不限于此。因此，例如，可以将本发明的一个实施例实现在具有多核处理器的移动设备上。根据这个实施例，多核处理器的一个核可以专用于提供本文所述的移动路由器功能，而其它的处理器保持不变。类似地，在可替换的实施例中，可以将专用硬件添加到设备中，以允许实现移动路由器，同时允许主处理器保持不变。 [0024] 图5是概念性地示出了本发明的一个实施例的序列图。当MN 125最初启动时，VM310中的寄宿OS 311可以尝试连接到网络。在一个实施例中，在501，将这个连接请求经由网络接口（例如，接口420、802.11接口），从VMR 400路由到公司内联网100或者外部网络 200上的接入点。在502，VMR 400中的DHCP服务器/客户端410（作为DHCP客户端）可以向公司内联网100或者外部网络200上的DHCP服务器发出对于外部网络地址的请求。在 503，响应于寄宿OS 311对于IP地址的请求，VMR 400中的DHCP服务器/客户端410（作为DHCP客户端）还可以向VM 310提供内部IP地址。在504，一旦接收到外部IP地址（原始地址），寄宿OS 311可以与VPN网关210建立IPSec VPN隧道（VPN隧道450），同时VMR 400中的NAT 405执行地址转换（例如，将内部IP地址转换成外部IP地址），并且存储用于VPN隧道450的地址。VPN隧道450从而一方面包括分配给VMR 400的外部地址（原始地址），另一方面包括VPN网关210的地址。 [0025] 当MN 125移动到不同的子网或网络时，在505，VMR 400中的DHCP服务器/客户端410可以从公司内联网100或者外部网络200上的DHCP服务器请求新IP地址。在506，VMR 400随后可以将原始地址保存在它的移动表460中，同时用新IP地址（新地址）来更新NAT 405。在507，VMR 400中的路由器415可以向公司内联网100和/或外部网络200上的其它路由器发送“路由更新”消息，以公布它的新地址作为对于它的原始地址的路由。由于VMR 400中的NAT 405继续执行地址转换（即，将新地址转换成分配给VM 310的内部IP地址），在寄宿OS 311和VPN网关210看来，VPN隧道450不变。结果，当在508从寄宿OS311发送IPSec分组时，在509可以继续通过VMR 400中的路由器415将该分组路由过VPN网关210。 [0026] 图6是示出了本发明的一个实施例的流程图。在601，当MN 125首次在网络上启动时，VM 310请求IP地址。在602，VMR 400可以拦截这个请求，并且从DHCP服务器/客户端410请求内部IP地址。在603，DHCP服务器/客户端410还可以从网络上的DHCP服务器请求外部IP地址。在604，一旦接收到外部IP地址（原始地址），VM 310可以与VPN网关210建立IPSecVPN隧道。在605，当MN 125漫游时，VMR 400可以从网络上的DHCP服务器对IP地址发出新请求。在606，VMR 400可以额外地将原始地址存储在移动表460中。一旦接收到新IP地址（新地址），在607，VMR 400中的路由器415可以向网络上的所有路由器发送出更新，并且NAT 405可以继续执行地址转换。因此，在608，可以经由路由器415，将去往原始地址的任何分组路由到新地址。由于VMR 400处理了地址转换和路由，所以VM 310和VPN网关210不会知道外部地址事实上由于MN 125的漫游而发生了改变。 [0027] 根据本发明的实施例的主机可以实现在各种计算设备上。根据一个实施例，计算设备可以包括各种其它公知的组件，例如一个或者多个处理器。可以使用桥/存储控制器来将处理器和机器可访问介质可通信地进行耦合，并且该处理器能够执行该机器可访问介质中所存储的指令。可以将该桥/存储控制器耦合到图形控制器，并且该图形控制器可以控制显示设备上的显示数据的输出。可以将桥/存储控制器耦合到一个或者多个总线。可以将一个或者多个这些元件与处理器一起集成到单个封装（package）上，或者使用多个封装或晶粒（die）来进行集成。可以将诸如通用串行总线（“USB”）主机控制器的主机总线控制器耦合到总线上，并且可以将多个设备耦合到USB。例如，可以将诸如键盘和鼠标的用户输入设备包括在计算设备中，以提供输入数据。在可替换的实施例中，主机总线控制器可以兼容于各种其它互连标准，包括PCI、PCI Express、FireWire（火线）以及其它现有的和未来的标准。 |
||||||
