[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2014161416A2 - 一种链路发现方法和装置 - Google Patents

一种链路发现方法和装置 Download PDF

Info

Publication number
WO2014161416A2
WO2014161416A2 PCT/CN2014/072886 CN2014072886W WO2014161416A2 WO 2014161416 A2 WO2014161416 A2 WO 2014161416A2 CN 2014072886 W CN2014072886 W CN 2014072886W WO 2014161416 A2 WO2014161416 A2 WO 2014161416A2
Authority
WO
WIPO (PCT)
Prior art keywords
tlv
directly connected
connected device
lldp message
security level
Prior art date
Application number
PCT/CN2014/072886
Other languages
English (en)
French (fr)
Other versions
WO2014161416A3 (zh
Inventor
王铖
子康
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP14779346.7A priority Critical patent/EP2955874B1/en
Publication of WO2014161416A2 publication Critical patent/WO2014161416A2/zh
Publication of WO2014161416A3 publication Critical patent/WO2014161416A3/zh
Priority to US14/864,464 priority patent/US9917845B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/26—Route discovery packet
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/28—Flow control; Congestion control in relation to timing considerations
    • H04L47/286—Time to live
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks

Definitions

  • the present invention claims the priority of the Chinese patent application entitled “A Link Discovery Method and Apparatus", filed on April 3, 2013, by the Chinese Patent Office, Application No. 201310115610. The entire contents of this application are incorporated herein by reference.
  • the present invention relates to the field of network management technologies, and in particular, to a link discovery method and apparatus. BACKGROUND With the development of Ethernet technology, the types of network devices are increasingly complicated. How to obtain the topology of devices in the entire network, how to resolve configuration conflicts between devices, how to enable devices of different vendors to discover each other and perform in the network. The interaction of system and configuration information has become an important issue in network management.
  • LLDP Link Layer Discovery Protocol
  • MIB Management Information Base
  • the LLDPDU is fixed with Chassis ID TLV (Device ID Type - Length - Value), Port ID TLV (Port Identity, Port Number Type - Length - Value) and Time to Live TLV (Neighbor Life Cycle Type - Length - Value) Start with End LLDPDU TLV (End Type - Length - Value), which are mandatory TLVs.
  • Chassis ID TLV Device ID Type - Length - Value
  • Port ID TLV Port Identity, Port Number Type - Length - Value
  • Time to Live TLV Neighbor Life Cycle Type - Length - Value
  • End LLDPDU TLV End Type - Length - Value
  • the LLDP verifies whether the directly connected device is secure by: when the first network device receives the LLDPDU sent from the second network device, check the Whether the LLDPDU contains a legal authorization key. If the authorization key does not exist or is illegal, the first network device blocks all the packets sent by the second network device, so as to prevent the unauthorized second network device from connecting and using the first network. The function of the network transmission service provided by the device.
  • the authorization key is obtained by adding a password to the MAC (Medium Access Control) address.
  • the prior art has the possibility of leakage of device information of the first network device.
  • an embodiment of the present invention provides a link discovery method and apparatus.
  • the embodiment of the present invention provides a link discovery method, where the method includes: when the network device receives the first link layer discovery protocol LLDP packet sent by the directly connected device, according to the first
  • the authentication type-length-value TLV in the LLDP packet determines the security level of the directly connected device, where the security level includes security and non-security.
  • the first LLDP packet includes the authentication TLV and the minimum security level TLV.
  • the minimum security level TLV includes: a device identification TLV, a port number TLV, a neighbor life cycle TLV, and an LLDP data unit end TLV;
  • the second LLDP packet includes a TLV corresponding to the device type of the directly connected device.
  • the method further includes:
  • the first LLDP packet is sent to the directly connected device.
  • the method further includes:
  • the LLDP packet carries the authentication TLV, the LLDP packet is the first LLDP packet; and the method further includes:
  • the first LLDP packet is sent to the directly connected device.
  • the determining, according to the authentication TLV in the first LLDP packet, the security level of the directly connected device including:
  • the first LLDP packet further includes a system capability TLV, where the system capability TLV includes a system capability field for describing a device function, and the Determining, by the first LLDP packet, a device type of the directly connected device, including:
  • the method before determining the device type of the directly connected device according to the first LLDP packet, the method further includes: determining the Whether an LLDP packet carries a system capability TLV; If the first LLDP packet does not carry the system capability TLV, the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes all types of TLVs;
  • the device type of the directly connected device is determined according to the system capability TLV.
  • the sending, by the device type of the directly connected device, the sending of the second LLDP packet to the directly connected device includes:
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes only the lowest security level TLV;
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes all types of TLVs;
  • the second LLDP message is sent to the directly connected device, and the TLV in the second LLDP message includes a minimum security level TLV, a port description TLV, a system name TLV, The system describes the TLV, the system capability TLV, the port virtual local area network identification TLV, and the device power supply capability TLV.
  • the method before the sending the second LLDP packet to the directly connected device according to the device type of the directly connected device, the method further includes:
  • the TLV in the second LLDP packet is encrypted by using a reversible algorithm.
  • the method further includes:
  • the embodiment of the present invention further provides a link discovery device, where the device includes: a first determining module, configured to receive, by a network device, a first link layer discovery protocol LLDP report sent by a directly connected device And determining, according to the authentication TLV in the first LLDP packet, the straight line
  • the security level of the device includes the security level and the security level.
  • the first LLDP packet includes the authentication TLV and the minimum security level (TLV), and the minimum security level TLV includes: a device identifier TLV, a port number TLV, Neighbor life cycle TLV and LLDP data unit end TLV;
  • a second determining module configured to determine, according to the first LLDP packet, a device type of the directly connected device, when the first determining module determines that the security level of the directly connected device is secure;
  • a sending module configured to send, according to the device type of the directly connected device, a second LLDP packet to the directly connected device, where the second LLDP packet includes a TLVo corresponding to the device type of the directly connected device
  • the sending module is further configured to: when the security level of the direct device is non-secure, send the first LLDP packet to the directly connected device.
  • the apparatus further includes:
  • a receiving module configured to receive an LLDP packet sent by the directly connected device,
  • a third determining module configured to determine whether the LLDP packet received by the receiving module carries an authentication TLV, and when the LLDP packet carries the authentication TLV, determining that the LLDP packet is the first LLDP packet;
  • the sending module is further configured to: when the LLDP packet does not carry the authentication TLV, send the first LLDP packet to the directly connected device.
  • the first determining module includes:
  • An obtaining unit configured to obtain, according to the device identifier TLV and the port number TLV, a device identifier and a port number of the directly connected device;
  • a calculating unit configured to calculate the determining TLV by using the device identifier and the port number
  • the first LLDP packet further includes a system capability TLV, where the system capability TLV includes a system capability field for describing a function of the device,
  • the second determining module is configured to acquire, according to the system capability field in the system capability TLV, a function of the directly connected device, and determine, according to a function of the directly connected device, the directly connected device.
  • Equipment type is configured to acquire, according to the system capability field in the system capability TLV, a function of the directly connected device, and determine, according to a function of the directly connected device, the directly connected device.
  • the second determining module is further configured to: before determining, according to the first LLDP packet, a device type of the directly connected device, Determining whether the first LLDP packet carries a system capability TLV, and when the first LLDP packet carries a system capability TLV, determining, according to the system capability TLV, a device type of the directly connected device;
  • the sending module is further configured to: when the first LLDP packet does not carry the system capability TLV, send the second LLDP packet to the directly connected device, and the second LLDP packet is in the second LLDP packet.
  • the TLV includes all types of TLVs.
  • the sending module is configured to:
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes only the lowest security level TLV;
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes all types of TLVs;
  • the second LLDP message is sent to the directly connected device, and the TLV in the second LLDP message includes a minimum security level TLV, a port description TLV, a system name TLV, The system describes the TLV, the system capability TLV, the port virtual local area network identification TLV, and the device power supply capability TLV.
  • the apparatus further includes:
  • the cryptographic module is configured to encrypt the TLV in the second LLDP packet by using a reversible algorithm.
  • the apparatus further includes:
  • a management module configured to: when the number of directly connected devices connected to one port of the network device reaches an upper limit, and the security level of the newly connected direct connected device on the port is secure, deleting the connection on the port At least one security level is a non-secure, directly connected device.
  • the device type of the directly connected device is determined, and the TLV corresponding to the device type is selected according to the device type, and the prior art is avoided. All the types of TLVs are sent to the directly connected device, which reduces the possibility of device information leakage, ensures that the LLDP packets are sent more reasonably, saves link costs, and prevents the directly connected devices from being processed and cannot operate normally. problem.
  • FIG. 1 is a topological diagram of a network management system according to an embodiment of the present invention.
  • FIG. 2 is a schematic structural diagram of an LLDP packet according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of an LLDPDU according to an embodiment of the present invention.
  • FIG. 4 is a schematic structural diagram of a TLV according to an embodiment of the present invention.
  • FIG. 5 is a flowchart of a link discovery method according to Embodiment 1 of the present invention.
  • FIG. 6 is a flowchart of a link discovery method according to Embodiment 2 of the present invention.
  • FIG. 7 is a schematic structural diagram of a link discovery apparatus according to Embodiment 3 of the present invention.
  • FIG. 8 is a schematic structural diagram of a link discovery apparatus according to Embodiment 4 of the present invention.
  • FIG. 9 is a diagram of a specific implementation manner of a link discovery apparatus according to Embodiments 3 and 4 of the present invention. Schematic diagram.
  • Switch A switch A
  • Switch B switch B
  • a and B exchange LLDP packets to establish LLDP neighbors.
  • the device information of the peer device is obtained based on the LLDP packet, and is stored in the MIB (Management Information Base) of the local device for query by the NMS (Network Management System), and performs network topology mapping and network management.
  • MIB Management Information Base
  • An LLDP packet is an Ethernet packet encapsulated with an LLDPDU.
  • LLDP packets are Ethernet II.
  • the LLDP packet includes: DA (Destination address, destination address) and SA (source address). ), Type, Data, and FCS (Frame Check Sequence); specifically, the DA refers to the destination MAC (Medium Access Control) address.
  • the address in the LLDP packet can be Multicast address, for example, 01-80-C2-00-00-0E; SA is the source MAC address, which is the MAC address of the sending device.
  • Type is the packet type.
  • the type of the LLDP packet is 0x88CC.
  • Data is LLDP. The data subject in the middle, that is, LLDPDU; FCS is the frame check sequence.
  • the LLDPDU includes several TLVs, and one LLDPDU is fixed with Chassis ID TLV, The Port ID TLV and the Time to Live TLV start with the End of LLDPDU TLV, which is a mandatory TLV.
  • the four TLVs are the lowest security level TLVo in the embodiment of the present invention.
  • One LLD PDU may also include other The TLV can be selected by the device to be included in the LLDPDU.
  • Each TLV is used to identify the corresponding device information, such as the Chassis ID TLV including the device.
  • Chassis ID (Chassis Identity)
  • Port ID TLV includes Port ID (Port Identity).
  • each TLV includes the following fields: TLV Type, TLV information string Length and TLV information string.
  • TLV Type is the type of the TLV, and the type value of each TLV is different, for example, the type value of the End of LDPDU TLV is 0;
  • TLV information string Length represents the length of the TLV information string field;
  • the first word in the TLV information string A section refers to a subtype of this TLV, and the remaining bytes are the values of the TLV.
  • the embodiment of the invention provides a link discovery method. Referring to FIG. 5, the method includes:
  • the security level of the directly connected device is determined according to the authentication TLV in the first LLDP packet, where the LLDP packet sent by the directly connected device is the first LLDP packet, and the security level includes the security level.
  • the first LLDP packet includes an authentication TLV and a minimum security level TLV.
  • the minimum security level TLV includes: Chassis ID TLV, Port ID TLV, Time to Live TLV, and End of LLDPDU TLV.
  • the security level of the directly connected device is security, determine the device type of the directly connected device according to the first LLDP packet, and send a second LLDP packet to the directly connected device according to the device type of the directly connected device, the second The LLDP packet includes a TLV corresponding to the device type of the directly connected device.
  • the device type of the directly connected device is determined, and the TLV corresponding to the device type is selected according to the device type, and the In the prior art, all types of TLVs are sent to the directly connected device, which reduces the possibility of device information leakage, ensures that the transmitted LLDP packets are more reasonable, saves link costs, and prevents the directly connected devices from being processed. The problem is not working properly.
  • Embodiment 2
  • the method includes:
  • the first network device receives an LLDP packet from the second network device.
  • the LLDP packet includes several TLVs. As mentioned earlier, some TLVs include at least the lowest security level TLV, including: Chassis ID TLV, Port ID TLV, Time to Live TLV, and End of LLDPDU TLV.
  • 202 Determine whether the LLDP packet carries the authentication TLV. If the LLDP packet carries the authentication TLV, the LLDP packet is the first LLDP packet, and 203 is performed. If the LLDP packet does not carry the authentication TLV, perform 204.
  • the authentication TLV is obtained by the second network device by encrypting its Chassis ID and Port ID by using an irreversible secret algorithm (such as MD5 (Message Digest Algorithm 5)). It is easy to know that the authentication TLV can also be generated based on other information of the second network device, such as a MAC (Medium Access Control) address.
  • MD5 Message Digest Algorithm 5
  • 203 includes:
  • the comparison determines whether the TLV is the same as the authentication TLV. If they are the same, it determines that the security level of the second network device is security. If not, it determines that the security level of the second network device is unsafe.
  • the decision TLV is calculated using the same irreversible encryption algorithm as the second network device calculation authentication TLV.
  • the irreversible encryption algorithm can be set in the device when the device is shipped from the factory.
  • the TLV in the first LLDP packet includes an authentication TLV and a minimum security level TLV
  • the minimum security level TLV includes: an End of LLDPDU TLV, a Chassis ID TLV, a Port ID TLV, and Time to Live TLV.
  • the second network device when the first network device determines that the security level of the second network device is security, the second network device is identified as a “secure neighbor”; and when the first network device determines the security level of the second network device When the first LLDP packet sent by the second network device does not include the authentication TLV, the second network device is identified as a "non-secure neighbor”.
  • the System Capabilities TLV includes four fields: TLV Type, TLV information string Lengths System Capabilities, and Enabled Capabilities.
  • the System Capabilities field is used to describe the device function.
  • the System Capabilities field usually includes 16 bits, each of which Bits are used to indicate a function, set to 1 indicates that the function is available, and 0 indicates that the function is not available.
  • each bit is respectively described in the order of the sixteen bits: 0, Other, 1, Repeater, 2, Bridge, 3 , Wlan-Access-Point, 4, Router, 5, Telephone, 6, DOCSIS cable device, 7, Station Only, 8, C_Vlan Component of a Vlan Bridge (Customer Vlan Component of a Vlan Bridge, User VLAN component, 9, S_Vlan Component of a Vlan Bridge (Stack Vlan Component of a Vlan Bridge), 10, Two-Port-MAC Relay (Dual Port Bridging), 11-15, reserved.
  • Each of the above functions corresponds to the device type, so the device type can be determined by checking the above 16-byte value.
  • the first network device sends a second LLDP packet to the second network device, and the TLV in the second LLDP packet includes all types of TLVs.
  • all types of TLVs include: Chassis ID TLV, Port ID TLV, Time to Live TLV, End of LLDPDU TLV, Port Description TLV, System Name TLV, System Description TLV System Capabi ities TLV Management Address TLV, Port VLAN ID (Port Virtual Local Area Network Identity) TLV, Port And Protocol VLAN ID (Port And Protocol Virtual Local Area Network Identity) LAN ID) TLV, VLAN Name TLV, Protocol Identity TLV, MAC/PHY Configurat ion/Status (data link and physical layer configuration and status) TLV, Power Via Intestine I (port Power supply capability) TLV, Link Aggregation TLV, Maximum Frame Size TLV, LLDP-MED Capabi ies (LLDP-Media Endpoint Discovery Capabi ities, LLDP-capable media terminal discovery type TLV, Network Pol icy (application strategy)
  • device types include but are not limited to repeater (relay), telephone (internet protocol phone), bridge (bridge) and router (router).
  • the basis of the determination is the device function described in the System Capabilities field in the System Capabilities TLV. For example, when the device type is repeater telephone ⁇ bridge and router, the values of the first, fifth, second, and fourth bits in the System Capabilities field are respectively determined. 1.
  • the sending, by the device type, the second LLDP packet corresponding to the device type to the second network device is determined according to the following two points:
  • the processing capacity of the equipment If the second network device is a low-end device, the processing capability is low.
  • the LLDP packets contain many contents and are encrypted. This may cause the device to fail to operate normally.
  • TLVs are required by the device in LLDP packets.
  • IP Internet Protocol, IP for short
  • VOICE VLAN Virtual Local Area Network
  • 208 can include:
  • the second LLDP packet is sent to the second network device, and the TLV in the second LLDP packet includes only the lowest security level TLV; wherein the minimum security level TLV includes: Chassis ID TLV , Port ID TLV, Time to Live TLV and End of LLDPDU TLV.
  • the second LLDP packet is sent to the second network device, and the TLV in the second LLDP packet includes all types of TLVs; specifically, all types of TLVs include: Chassis ID TLV, Port ID TLV, Time to Live TLV, End of LLD PDU TLV Port Description TLV System Name TLV System Description TLV, System Capabilities TLV, Management Address TLV, Port VLAN ID TLV, Port And Protocol VLAN ID TLV, VLAN Name TLV, Protocol Identity TLV, MAC/PHY Configuration/Status TLV, Power Via MDI TLV, Link Aggregation TLV Maximum Frame Size TLV LLDP-MED Capabilities TLV Network Policy TLV Extended Power-via- MDI TLV Hardware Revision TLV Firmware Revision TLV Software Revision TLV Serial Number TLV Manufacturer Name TLV Model Name TLV Asset ID TLV Location Identification TLV and custom TLV.
  • TLVs include: Chassis ID TLV, Port ID TLV, Time to Live TLV, End of LLD PDU TLV Port Description
  • the second network device is an Internet Protocol phone
  • the TLV in the second LLDP message includes a minimum security level TLV, a Port Description TLV System Name TLV System Description TLV System Capabilities TLV , Port VLAN ID and LLDP packets of the Extended Power-via-MDI TLV.
  • the minimum security level TLV includes: Chassis ID TLV, Port ID TLV, Time to Live TLV and End of LLDPDU TLV.
  • the correspondence between the device type and the TLV may be pre-stored in the network device. It is easy to know that the above correspondence can be further subdivided according to the model of the device, and will not be described here.
  • the method further includes: using a reversible algorithm to encrypt the TLV in the second LLDP packet.
  • the value of the TLV in the second LLDP packet is encrypted by using a reversible algorithm. It is easy to know that this reversible algorithm can be written to the device when the device is generated by the manufacturer.
  • the first network device after receiving the first LLDP packet, the first network device also saves the correspondence between the port of the first network device and the directly connected device, and the security level and device information of the directly connected device, and the corresponding relationship is usually saved in the The MIB of the device.
  • the method in this embodiment may further include:
  • the connection to the port is deleted.
  • One less direct security device with a non-secure security level It is easy to know that when the number of directly connected devices connected to one port of the first network device reaches the upper limit, but the security level of the newly connected direct connected device is determined to be non-secure, the security level connected to the port is not deleted. For non-secure direct connected devices.
  • the directly connected device whose security level is not secure is deleted from the port, including: deleting the directly connected device whose security level is non-secure from the relationship between the saved port and the directly connected device.
  • the non-secure direct-connected device has a lower priority than the direct-connected device whose security level is secure. It is guaranteed to be compatible with non-secure direct-connected devices. It also avoids the problem that the direct-connected device whose security level is non-secure is exhausted by the number of neighbors. Deleting at least one directly connected device with a non-secure security level ensures a new security level for secure direct connected devices.
  • the security level of the directly connected device is determined by the authentication TLV.
  • the security level of the directly connected device is security
  • the device type of the directly connected device is determined, and the TLV corresponding to the device type is selected according to the device type to be sent. It avoids the prior art that all types of TLVs are sent to the directly connected device each time, which reduces the possibility of device information leakage. Ensure that the LLDP packets sent are more reasonable, save the link cost, and avoid the problem that the directly connected device cannot be processed but cannot run normally.
  • the device when carrying the authentication TLV, the device sends LLDP packets containing only the lowest security level of the TLV, which can meet the security requirements and ensure the normal access of the low-end device and the old device.
  • an embodiment of the present invention provides a link discovery apparatus, which is applicable to the link discovery method provided in Embodiment 1, and the apparatus includes:
  • the first determining module 301 is configured to determine, according to the authentication TLV in the first LLDP packet, the security level of the directly connected device, when the received LLDP packet sent by the directly connected device is the first LLDP packet,
  • the security level includes security and non-security
  • the first LLDP packet includes an authentication TLV and a minimum security level TLV
  • the minimum security level TLV includes: Chassis ID TLV, Port ID TLV, Time to Live TLV, and End of LLDPDU TLV;
  • the second determining module 302 is configured to determine, according to the first LLDP packet, a device type of the directly connected device, when the first determining module 301 determines that the security level of the directly connected device is security;
  • the sending module 303 is configured to send a second LLDP packet to the directly connected device according to the device type of the directly connected device, where the second LLDP packet includes a TLV corresponding to the device type of the directly connected device.
  • the device type of the directly connected device is determined, and the TLV corresponding to the device type is selected according to the device type, so that all types in the prior art are avoided.
  • the TLV is sent to the directly connected device, which reduces the possibility of device information leakage. This ensures that the LLDP packets sent are more reasonable, saves link costs, and prevents the direct device from being processed and cannot run normally.
  • an embodiment of the present invention provides a link discovery apparatus, which is applicable to the link discovery method provided in Embodiment 2.
  • the apparatus includes:
  • a first determining module 301 a second determining module 302, and a sending module 303,
  • the sending module 303 is further configured to: when the security level of the directly connected device is non-secure, send the first LLDP packet to the directly connected device, where the TLV in the first LLDP packet includes the authentication TLV and the minimum security level TLV.
  • the device further includes:
  • the receiving module 404 is configured to receive an LLDP packet sent by the directly connected device.
  • the third determining module 405 is configured to determine whether the received LLDP packet carries the authentication TLV. When the LLDP packet carries the authentication TLV, the LLDP packet is determined to be the first LLDP packet.
  • the sending module 303 is further configured to: when the LLDP packet does not carry the authentication TLV, send the first LLDP packet to the directly connected device.
  • the first determining module 301 includes:
  • the obtaining unit 3011 is configured to obtain a Chassis ID and a port number of the directly connected device according to the Chassis ID TLV and the Port ID TLV;
  • the calculating unit 3012 is configured to calculate the determining TLV by using the Chassis ID and the Port ID, and the comparing unit 3013 is configured to compare whether the determining TLV is the same as the authentication TLV, and if the same, determining that the security level of the directly connected device is safe, if different, Determine the security level of the directly connected device as non-secure.
  • the first LLDP packet further includes a system capability TLV
  • the second determining module 302 is configured to obtain a function of the directly connected device according to the System Capabilities field in the system capability TLV, and determine according to the function of the directly connected device.
  • the device type of the directly connected device is configured to obtain a function of the directly connected device according to the System Capabilities field in the system capability TLV, and determine according to the function of the directly connected device.
  • device types include repeater (relay), telephone (internet protocol), bridge (bridge) and router (router).
  • the second determining module 302 is further configured to determine, according to the first LLDP packet, the device type of the directly connected device, whether the first LLDP packet carries the system capability TLV, and is carried in the first LLDP packet.
  • the device type of the directly connected device is determined according to the system capability TLV;
  • the sending module 303 is further configured to: when the first LLDP packet does not carry the system capability TLV, send the second LLDP packet to the directly connected device, and the TLV in the second LLDP packet includes all types of TLVs. .
  • the sending module 303 is used to,
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes only the lowest security level TLV;
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes all types of TLVs;
  • the second LLDP packet is sent to the directly connected device, and the TLV in the second LLDP packet includes a minimum security level TLV, a port description TLV, and a system name.
  • TLV, system description TLV, system capability TLV, port virtual local area network identification TLV, and device power supply capability TLV is a minimum security level.
  • the apparatus further includes an encryption module 406 for encrypting the TLV in the second LLDP message by using a reversible algorithm.
  • the device further includes a management module, configured to: when the number of directly connected devices connected to one port of the network device reaches an upper limit, and the security level of the newly connected direct connected device on the port is safe, the connection is deleted. At least one security level on the port is a non-secure, directly connected device.
  • the security level of the directly connected device is determined by the authentication TLV.
  • the security level of the directly connected device is security
  • the device type of the directly connected device is determined, and the TLV corresponding to the device type is selected according to the device type to be sent.
  • all types of TLVs are sent to the directly connected device, which reduces the possibility of device information leakage, ensures that the transmitted LLDP packets are more reasonable, saves link costs, and prevents the directly connected devices from being able to
  • the security level of the directly connected device is secure or the LLDP packet sent by the directly connected device is an LLDP packet carrying the TLV
  • the LLDP packet containing only the lowest security level is sent.
  • the link discovery device in the foregoing Figures 7 and 8 may be a computer or a server, as shown in Figure 9. It generally includes components such as memory 91, processor 92, network interface 93, and the like. It will be understood by those skilled in the art that the structure illustrated in Figure 9 does not constitute a limitation to the device, and may include more or fewer components than those illustrated, or some components may be combined, or different component arrangements.
  • the memory 91 can be used to store software programs and application modules, and the processor 92 executes various functional applications and data processing of the computer 90 by running software programs stored in the memory 91 and application modules.
  • the memory 91 can mainly include a storage program area and a storage data area, wherein the storage program area can store an operating system, an application required for at least one function (such as a message solution).
  • the storage data area can store data created according to the processing of the computer 90.
  • the memory 91 may include a high speed RAM (Random Access Memory), and may also include a non-volatile memory such as at least one magnetic disk storage device, a flash memory device, or other volatile solid state. Storage device.
  • the processor 92 is the control center of the computer 90 that connects the various portions of the entire computer using various interfaces and lines.
  • processor 92 may implement, when operating or executing software programs and/or application modules stored in memory 91, and recall data stored in memory 91, when directly received through network interface 93
  • the security level of the directly connected device is determined according to the authentication TLV in the first LLDP packet.
  • the security level includes security and non-security.
  • the first LLDP packet includes the authentication.
  • TLV and minimum security level TLV, minimum security level TLV includes: Chassis ID TLV, Port ID TLV, Time to Live TLV and End of LLDPDU TLV;
  • the second LLDP packet is sent to the directly connected device through the network interface 93, and the second LLDP packet includes a TLV corresponding to the device type of the directly connected device.
  • the network interface 93 is further configured to: when the security level of the directly connected device is non-secure, send the first LLDP packet to the directly connected device, where the TLV in the first LLDP packet includes the authentication TLV and the minimum security level TLV.
  • the processor 92 can be configured to receive the LLDP packet sent by the directly connected device through the network interface 93, and determine whether the received LLDP packet carries the authentication TLV.
  • the LLDP packet If the LLDP packet carries the authentication TLV, the LLDP packet is the first LLDP packet. If the LLDP packet does not carry the authentication TLV, the first LLDP packet is sent to the directly connected device through the network interface 93.
  • the processor 92 can implement, according to the first LLDP packet sent by the directly connected device. Chassis ID TLV and Port ID TLV are carried in, and Chassis ID and Port ID are obtained; using Chassis ID and Port ID, the judgment TLV is calculated;
  • the comparison determines whether the TLV is the same as the authentication TLV. If they are the same, it determines that the security level of the directly connected device is security. If it is different, it determines that the security level of the directly connected device is unsafe.
  • the processor 92 can implement the function of the directly connected device according to the System Capabilities field in the system capability TLV, and determine the device type of the directly connected device according to the functions of the directly connected device.
  • the processor 92 may be configured to determine whether the first LLDP packet carries the system capability TLV, and the system capability TLV is carried in the first LLDP packet, before determining the device type of the directly connected device according to the first LLDP packet. Determine the device type of the directly connected device according to the system capability TLV;
  • the second LLDP packet is sent to the directly connected device through the network interface 93, and the TLV in the second LLDP packet includes all types of TLVs.
  • the processor 92 may implement, when the direct connection device is a repeater, send a second LLDP packet to the directly connected device through the network interface 93, and the TLV in the second LLDP packet includes only the lowest security level TLV;
  • the second LLDP packet is sent to the directly connected device through the network interface 93, and the TLV in the second LLDP packet includes all types of TLVs;
  • the second LLDP packet is sent to the directly connected device through the network interface 93, and the TLV in the second LLDP packet includes a minimum security level TLV, a port description TLV, a system name TLV, and a system description TLV. , System Capability TLV, Port Virtual LAN ID TLV, and Device Power Capability TLV.
  • processor 92 can also implement, using a reversible algorithm to encrypt the TLV carried in the second LLDP packet.
  • the processor 92 can implement, when the number of directly connected devices connected to one port of the network device reaches an upper limit, and the security level of the newly connected direct connected device on the port is safe, Remove at least one directly connected device that is connected to the port and whose security level is non-secure.
  • the link discovery device provided by the foregoing embodiment, only the division of each functional module is used for example. In an actual application, the foregoing function may be allocated by different functional modules according to requirements. Upon completion, the internal structure of the link discovery device is divided into different functional modules to perform all or part of the functions described above.
  • the link discovery device and the link discovery method are provided in the same embodiment. For details, refer to the method embodiment, and details are not described herein.
  • a person skilled in the art may understand that all or part of the steps of implementing the above embodiments may be completed by hardware, or may be instructed by a program to execute related hardware, and the program may be stored in a computer readable storage medium.
  • the above-mentioned storage medium may be a read only memory, a magnetic disk or an optical disk or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)

Abstract

本发明公开了一种链路发现方法和装置，属于网络管理技术领域。所述方法包括：当网络设备接收到的直连设备发送的第一链路层发现协议LLDP报文时，根据认证类型-长度-值TLV，确定直连设备的安全级别；若直连设备的安全级别为安全，确定直连设备的设备类型，根据直连设备的设备类型与TLV的对应关系，向直连设备发送第二LLDP报文。本发明通过确定直连设备的安全级别，并当直连设备的安全级别为安全时，确定该直连设备的设备类型，根据设备类型选择相应的TLV进行发送，避免了现有技术中每次都将所有类型的TLV发送给直连设备，减小了设备信息泄漏的可能，保证了发送的LLDP报文更加合理，同时节省链路开销。

Description

一种链路发现方法和装置 本申请要求于 2013 年 04 月 03 日提交中国专利局、 申请号为 201310115610. K 发明名称为 "一种链路发现方法和装置" 的中国专利申 请的优先权， 其全部内容通过引用结合在本申请中。 技术领域 本发明涉及网络管理技术领域， 特别涉及一种链路发现方法和装置。 背景技术 随着以太网技术的发展， 网络设备的种类日益繁杂， 如何获得整个网 络中设备的拓扑， 如何解决设备之间的配置冲突， 如何使不同厂商的设备 能够在网络中互相发现、 并进行系统及配置信息的交互， 成为网络管理中 的重要问题。
LLDP (Link Layer Discovery Protocol , 链路层发现协议）， 提供了 一种数据链路层的邻居发现协议， 它将本设备的主要能力、 管理地址、 设 备标识、 端口号等信息组织成不同的 TLV (Type-Length-Value, 类型 -长度 _值）， 并封装在] DPDU (Link Layer Discovery Protocol Data Unit, 链 路层发现协议数据单元） 中发布给与自己直连的邻居， 邻居收到这些信息 后将其以标准 MIB (Management Information Base, 管理信息库） 的形式 保存起来， 以供网络管理系统查询、 判断链路的通信状况。 LLDPDU固定以 Chassis ID TLV (Chassis Identity TLV, 设备标识类型-长度-值）、 Port ID TLV (Port Identity, 端口号类型 -长度 -值） 和 Time to Live TLV (邻 居生命周期类型 -长度 -值） 开始， 以 End of LLDPDU TLV (结束类型-长度- 值） 为结束， 这四个为必选 TLV。
为了避免与非安全设备建立邻居， LLDP通过以下方式验证直连设备是 否安全： 当第一网络设备收到从第二网络设备发送来的 LLDPDU时， 检查该 LLDPDU中是否包含有合法的授权钥匙， 若授权钥匙不存在或不合法时， 第 一网络设备封锁第二网络设备发送的所有封包， 以达到防止非授权的第二 网络设备连接并使用第一网设备所提供的网络传输服务的功能。 该授权钥 匙是由 MAC (Medium Access Control , 介质访问控制） 地址另加上一密码 得到。
在实现本发明的过程中， 发明人发现现有技术至少存在以下问题： 现 有技术存在第一网络设备的设备信息泄漏的可能。
发明内容
为了解决现有技术中设备信息泄漏的问题， 本发明实施例提供了一种 链路发现方法和装置。
第一方面， 本发明实施例提供了一种链路发现方法， 所述方法包括： 当网络设备接收到的直连设备发送的第一链路层发现协议 LLDP 报文 时， 根据所述第一 LLDP报文中的认证类型-长度-值 TLV, 确定所述直连设 备的安全级别， 所述安全级别包括安全和非安全； 所述第一 LLDP报文包括 所述认证 TLV和最低安全级别 TLV, 所述最低安全级别 TLV包括： 设备标识 TLV、 端口号 TLV、 邻居生命周期 TLV和 LLDP数据单元结束 TLV;
根据所述认证 TLV, 确定所述直连设备的安全级别， 所述安全级别包括 安全和非安全；
若所述直连设备的安全级别为安全， 则根据所述第一 LLDP报文确定所 述直连设备的设备类型， 并根据所述直连设备的设备类型， 向所述直连设 备发送第二 LLDP报文， 所述第二 LLDP报文包括与所述直连设备的设备类 型对应的 TLV。
结合第一方面， 在一种实现方式中， 所述方法还包括：
若所述直连设备的安全级别为非安全， 则向所述直连设备发送所述第 一 LLDP报文。
结合第一方面及上述实现方式， 在另一种实现方式中， 在所述根据所 述第一 LLDP报文中的认证 TLV, 确定所述直连设备的安全级别之前， 所述 方法还包括：
接收所述直连设备发送的 LLDP报文， 并确定接收到的所述 LLDP报文 是否携带认证 TLV;
若所述 LLDP报文中携带认证 TLV,则所述 LLDP报文为第一 LLDP报文； 相应地， 所述方法还包括：
若所述 LLDP报文中未携带认证 TLV, 则向所述直连设备发送所述第一 LLDP报文。
结合第一方面及上述实现方式， 在另一种实现方式中， 所述根据所述 第一 LLDP报文中的认证 TLV, 确定所述直连设备的安全级别， 包括：
根据所述设备标识 TLV和所述端口号 TLV,获得所述直连设备的设备标 识和端口号；
采用所述设备标识和端口号， 计算判定 TLV;
比较所述判定 TLV与所述认证 TLV是否相同， 若相同， 则确定所述直 连设备的安全级别为安全， 若不同， 则确定所述直连设备的安全级别为非 安全。
结合第一方面及上述实现方式， 在另一种实现方式中， 所述第一 LLDP 报文还包括系统能力 TLV,所述系统能力 TLV包括用于描述设备功能的系统 能力字段，则所述根据所述第一 LLDP报文，确定所述直连设备的设备类型， 包括：
根据所述系统能力 TLV 中所述系统能力字段获取所述直连设备所具备 的功能；
根据所述直连设备所具备的功能确定所述直连设备的设备类型。
结合第一方面及上述实现方式， 在另一种实现方式中， 在所述根据所 述第一 LLDP报文， 确定所述直连设备的设备类型之前， 所述方法还包括： 确定所述第一 LLDP报文是否携带系统能力 TLV; 若所述第一 LLDP报文中未携带系统能力 TLV, 则向所述直连设备发送 第二 LLDP报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
若所述第一 LLDP报文中携带系统能力 TLV, 则根据所述系统能力 TLV, 确定所述直连设备的设备类型。
结合第一方面及上述实现方式， 在另一种实现方式中， 所述根据所述 直连设备的设备类型， 向所述直连设备发送第二 LLDP报文， 包括：
当所述直连设备为中继器时， 向所述直连设备发送第二 LLDP报文， 且 所述第二 LLDP报文中的 TLV只包括最低安全级别 TLV;
当所述直连设备为网桥或者路由器时， 向所述直连设备发送第二 LLDP 报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
当所述直连设备为因特网协议电话时， 向所述直连设备发送第二 LLDP 报文，且所述第二 LLDP报文中的 TLV包括最低安全级别 TLV、端口描述 TLV、 系统名称 TLV、 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以 及设备供电能力 TLV。
结合第一方面及上述实现方式， 在另一种实现方式中， 在所述根据所 述直连设备的设备类型， 向所述直连设备发送第二 LLDP报文之前， 所述方 法还包括：
采用可逆算法对所述第二 LLDP报文中的 TLV进行加密。
结合第一方面及上述实现方式， 在另一种实现方式中， 所述方法还包 括：
当所述网络设备的一个端口上连接的直连设备的数目达到上限， 且所 述端口上新接入的直连设备的安全级别为安全时， 删除连接在所述端口上 的至少一个安全级别为非安全的直连设备。
第二方面， 本发明实施例还提供了一种链路发现装置， 所述装置包括: 第一确定模块， 用于当网络设备接收到的直连设备发送的第一链路层 发现协议 LLDP报文时， 根据所述第一 LLDP报文中的认证 TLV, 确定所述直 连设备的安全级别， 所述安全级别包括安全和非安全； 所述第一 LLDP报文 包括所述认证 TLV和最低安全级别 TLV, 所述最低安全级别 TLV包括： 设备 标识 TLV、 端口号 TLV、 邻居生命周期 TLV和 LLDP数据单元结束 TLV;
第二确定模块， 用于当所述第一确定模块确定所述直连设备的安全级 别为安全时， 根据所述第一 LLDP报文确定所述直连设备的设备类型；
发送模块， 用于根据所述直连设备的设备类型， 向所述直连设备发送 第二 LLDP报文， 所述第二 LLDP报文包括与所述直连设备的设备类型对应 的 TLVo
结合第二方面， 在一种实现方式中， 所述发送模块还用于， 当所述直 连设备的安全级别为非安全时， 向所述直连设备发送所述第一 LLDP报文。
结合第二方面及上述实现方式， 在另一种实现方式中， 所述装置还包 括：
接收模块， 用于接收所述直连设备发送的 LLDP报文，
第三确定模块， 用于确定所述接收模块接收到的所述 LLDP报文是否携 带认证 TLV, 当所述 LLDP报文中携带认证 TLV时， 确定所述 LLDP报文为第 一 LLDP报文；
相应地，所述发送模块，还用于当所述 LLDP报文中未携带认证 TLV时， 向所述直连设备发送所述第一 LLDP报文。
结合第二方面及上述实现方式， 在另一种实现方式中， 所述第一确定 模块包括：
获取单元， 用于根据所述设备标识 TLV和端口号 TLV, 获得所述直连设 备的设备标识和端口号；
计算单元， 用于采用所述设备标识和端口号， 计算判定 TLV;
比较单元， 用于比较所述判定 TLV与所述认证 TLV是否相同， 若相同， 则确定所述直连设备的安全级别为安全， 若不同， 则确定所述直连设备的 安全级别为非安全。 结合第二方面及上述实现方式， 在另一种实现方式中， 所述第一 LLDP 报文还包括系统能力 TLV,所述系统能力 TLV包括用于描述设备功能的系统 能力字段，
则所述第二确定模块， 用于根据所述系统能力 TLV 中所述系统能力字 段获取所述直连设备所具备的功能， 根据所述直连设备所具备的功能确定 所述直连设备的设备类型。
结合第二方面及上述实现方式， 在另一种实现方式中， 所述第二确定 模块， 还用于在所述根据所述第一 LLDP报文， 确定所述直连设备的设备类 型之前， 确定所述第一 LLDP报文是否携带系统能力 TLV, 当所述第一 LLDP 报文中携带系统能力 TLV时， 则根据所述系统能力 TLV, 确定所述直连设备 的设备类型；
相应地， 所述发送模块， 还用于当所述第一 LLDP报文中未携带系统能 力 TLV时， 则向所述直连设备发送第二 LLDP报文， 且所述第二 LLDP报文 中的 TLV包括全部类型的 TLV。
结合第二方面及上述实现方式， 在另一种实现方式中， 所述发送模块 用于，
当所述直连设备为中继器时， 向所述直连设备发送第二 LLDP报文， 且 所述第二 LLDP报文中的 TLV只包括最低安全级别 TLV;
当所述直连设备为网桥或者路由器时， 向所述直连设备发送第二 LLDP 报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
当所述直连设备为因特网协议电话时， 向所述直连设备发送第二 LLDP 报文，且所述第二 LLDP报文中的 TLV包括最低安全级别 TLV、端口描述 TLV、 系统名称 TLV、 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以 及设备供电能力 TLV。
结合第二方面及上述实现方式， 在另一种实现方式中， 所述装置还包 括： 加密模块，用于采用可逆算法对所述第二 LLDP报文中的 TLV进行加密。 结合第二方面及上述实现方式， 在另一种实现方式中， 所述装置还包 括：
管理模块， 用于当所述网络设备的一个端口上连接的直连设备的数目 达到上限， 且所述端口上新接入的直连设备的安全级别为安全时， 删除连 接在所述端口上的至少一个安全级别为非安全的直连设备。
本发明实施例提供的技术方案带来的有益效果是：
通过确定直连设备的安全级别， 并当直连设备的安全级别为安全时， 确定该直连设备的设备类型， 根据设备类型选择与设备类型对应的 TLV进 行发送， 避免了现有技术中每次都将所有类型的 TLV发送给直连设备， 减 小了设备信息泄漏的可能， 保证了发送的 LLDP报文更加合理， 节省链路开 销， 同时可以避免造成直连设备无法处理而不能正常运行的问题。
附图说明 为了更清楚地说明本发明实施例中的技术方案， 下面将对实施例描述 中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅 是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性 劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例提供的网络管理系统拓扑图；
图 2是本发明实施例提供的 LLDP报文的结构示意图；
图 3是本发明实施例提供的 LLDPDU的结构示意图；
图 4是本发明实施例提供的 TLV的结构示意图；
图 5是本发明实施例一提供的链路发现方法流程图；
图 6是本发明实施例二提供的链路发现方法流程图；
图 7是本发明实施例三提供的链路发现装置的结构示意图；
图 8是本发明实施例四提供的链路发现装置的结构示意图；
图 9是本发明实施例三、 四提供的链路发现装置的具体实施方式的结 构示意图。
具体实施方式 为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本 发明实施方式作进一歩地详细描述。
为了便于理解本发明， 下面先结合图 1 对本发明实施例的网络架构及
LLDP的原理进行简单介绍。
在本发明实施例中， 将与某一网络设备直接连接的其它网络设备称为 该网络设备的直连设备， 每个网络设备与其直连设备交互 LLDP报文。 参见 图 1， Switch A (交换机 A， 以下简称 A) 和 Switch B (交换机 B， 以下简 称 B) 直接连接， 即 B为 A的直连设备， A与 B交互 LLDP报文， 建立 LLDP 邻居， 并根据 LLDP 报文获得对端的设备信息， 储存在本端设备的 MIB ( Management Information Base , 管理信息库） 中， 供 NMS ( Network Management System, 网络管理系统） 查询， 并进行网络拓扑绘图和网络管 理。
LLDP报文为封装有 LLDPDU的以太网报文。 LLDP报文采用 Ethernet II
(以太网 II ) 封装或 SNAP (SubNetwork Access Protocol , 子网络访问协 议） 封装。
下面以采用 Ethernet II封装的 LLDP为例， 对 LLDP报文结构进行说 明， 如图 2所示， 具体地， 该 LLDP报文包括： DA (Destination address, 目的地址）、 SA ( source address, 目的地址）、 Type (类型）、 Data (数据） 和 FCS (Frame Check Sequence, 帧检验序列）； 具体地， DA是指目的 MAC (Medium Access Control , 介质访问控制） 地址， LLDP报文中该地址可以 为组播地址， 比如 01-80-C2-00-00-0E; SA是指源 MAC地址， 即发送设备 的 MAC地址； Type是指报文类型， LLDP报文中该类型为 0x88CC; Data是 LLDP中的数据主体， 即 LLDPDU; FCS为帧检验序列。
参见图 3， LLDPDU包括若干 TLV, —个 LLDPDU固定以 Chassis ID TLV、 Port ID TLV和 Time to Live TLV开始， 以 End of LLDPDU TLV为结束， 这四个 TLV为必选的 TLV, 这四个 TLV即本发明实施例中的最低安全级别 TLVo一个 LLDPDU还可能包括其他可选 TLV, 可以由设备自行定义是否包含 在 LLDPDU中。
每种 TLV用于标识对应的设备信息， 如 Chassis ID TLV包括设备的
Chassis ID (Chassis Identity, 设备标识）， Port ID TLV包括 Port ID (Port Identity, 端口号）。
参见图 4， 每个 TLV包括以下字段： TLV Type, TLV information string Length和 TLV information string。 具体地， TLV Type即为 TLV的类型， 每个 TLV 的类型值不同， 比如 End of LDPDU TLV 的类型值为 0 ; TLV information string Length代表 TLV information string字段的长度； TLV information string中第一个字节是指此 TLV的子类型， 剩余的字节 为 TLV的值。 实施例一
本发明实施例提供了一种链路发现方法， 参见图 5， 该方法包括：
101： 当网络设备接收到的直连设备发送的 LLDP报文为第一 LLDP报文 时， 根据第一 LLDP报文中的认证 TLV, 确定直连设备的安全级别， 该安全 级别包括安全和非安全， 该第一 LLDP报文包括认证 TLV和最低安全级别 TLV, 最低安全级别 TLV包括: Chassis ID TLV, Port ID TLV、 Time to Live TLV和 End of LLDPDU TLV。
102： 若该直连设备的安全级别为安全， 则根据第一 LLDP报文确定直 连设备的设备类型， 根据直连设备的设备类型， 向直连设备发送第二 LLDP 报文， 该第二 LLDP报文包括与该直连设备的设备类型对应的 TLV。
本发明实施例中， 当直连设备的安全级别为安全时， 确定该直连设备 的设备类型， 根据设备类型选择与设备类型对应的 TLV进行发送， 避免了 现有技术中每次都将所有类型的 TLV发送给直连设备， 减小了设备信息泄 漏的可能， 保证了发送的 LLDP报文更加合理， 节省链路开销， 避免造成直 连设备无法处理而不能正常运行的问题。 实施例二
本发明实施例将以第一网络设备、 以及与第一网络设备直连的第二网 络设备为例， 对本发明提供的链路发现方法做进一歩说明， 参见图 6， 该方 法包括：
201： 第一网络设备接收来自第二网络设备的 LLDP报文。
其中， LLDP报文中包括若干 TLV。 如前所述， 若干 TLV中至少包括最 低安全级别 TLV, 该最低安全级别 TLV包括： Chassis ID TLV, Port ID TLV、 Time to Live TLV和 End of LLDPDU TLV。
202:确定 LLDP报文中是否携带认证 TLV,若 LLDP报文中携带认证 TLV, 则该 LLDP报文为第一 LLDP报文，执行 203;若 LLDP报文中未携带认证 TLV, 执行 204。
203： 根据第一 LLDP报文中的认证 TLV确定第二网络设备的安全级别， 当第二网络设备的安全级别为非安全时， 执行 204; 当第二网络设备的安全 级别为安全时， 执行 205。
可选地， 在本实施例中， 认证 TLV由第二网络设备将其 Chassis ID和 Port ID采用不可逆力口密算法 （如 MD5 (Message Digest Algorithm 5, 消 息摘要算法第五版）） 加密得到。 容易知道， 认证 TLV还可以根据第二网络 设备的其它信息， 如 MAC (Medium Access Control , 媒体访问控制） 地址 等生成。
具体地， 203包括：
Sl、 根据第二网络设备发送的第一 LLDP报文中携带的 Chassis ID TLV 和 Port ID TLV, 获得 Chassis ID和 Port ID; 52、 根据 Chassis ID和 Port ID进行， 计算判定 TLV;
53、 比较判定 TLV与认证 TLV是否相同， 若相同， 则确定第二网络设 备的安全级别为安全， 若不同， 则确定第二网络设备的安全级别为不安全。
容易知道， S2中， 采用与第二网络设备计算认证 TLV相同的不可逆加 密算法计算判定 TLV。 该不可逆加密算法可以在设备出厂时设置在该设备 中。
204： 向第二网络设备发送第一 LLDP报文， 第一 LLDP报文中的 TLV包 括认证 TLV和最低安全级别 TLV,最低安全级别 TLV包括： End of LLDPDU TLV, Chassis ID TLV, Port ID TLV和 Time to Live TLV。
在具体实现中， 当第一网络设备确定第二网络设备的安全级别为安全 时， 会将该第二网络设备标识为 "安全邻居"； 而当第一网络设备确定第二 网络设备的安全级别为不安全或者第二网络设备发送的第一 LLDP报文中不 包括认证 TLV时， 会将该第二网络设备标识为 "非安全邻居"。
205： 确定第一 LLDP报文中是否携带 System Capabilities (系统能 力） TLV, 若第一 LLDP报文中未携带 System Capabilities TLV, 则执行 206； 若第一 LLDP报文中携带 System Capabilities TLV, 执行 207。
其中， System Capabilities TLV 包括 TLV Type、 TLV information string Lengths System Capabilities禾口 Enabled Capabilities (启用的 功能） 四个字段； 其中 System Capabilities字段用于描述设备功能， 该 System Capabilities字段通常包括 16个比特， 每个比特用来表示一个功 能， 置 1表示具备该功能， 0表示不具备该功能。
具体地， 下面按照这十六个比特的顺序， 分别对每个比特表示的功能 分别进行说明： 0、 Other (其他）， 1、 Repeater (中继器）， 2、 Bridge (网 桥）， 3、 Wlan-Access-Point (无线热点）， 4、 Router (路由器）， 5、 Telephone (电话）， 6、 DOCSIS cable device (同轴电缆数据服务接口规范电缆设备）， 7、 Station Only (站)， 8、 C_Vlan Component of a Vlan Bridge (Customer Vlan Component of a Vlan Bridge , 用户虚拟局域网组件）， 9、 S_Vlan Component of a Vlan Bridge ( Stack Vlan Component of a Vlan Bridge , 交换虚拟局域网组件）， 10、 Two- Port- MAC Relay (双端口桥接）， 11-15、 reserved (保留）。 上述每种功能都与设备类型相对应， 因此通过检查上述 16个字节的值即可确定设备类型。
206： 第一网络设备向第二网络设备发送第二 LLDP报文， 且第二 LLDP 报文中的 TLV包括全部类型的 TLV。具体地，全部类型的 TLV包括： Chassis ID TLV , Port ID TLV , Time to Live TLV , End of LLDPDU TLV , Port Description (端口描述) TLV, System Name (系统名称） TLV, System Description (系统描述) TLV System Capabi l ities TLV Management Address (管理地址) TLV, Port VLAN ID ( Port Virtual Local Area Network Identity , 端口虚拟局域网标识） TLV、 Port And Protocol VLAN ID ( Port And Protocol Virtual Local Area Network Ident ity , 端口协议虚拟局 域网标识） TLV、 VLAN Name (虚拟局域网名称） TLV、 Protocol Identity (协议号） TLV、 MAC/PHY Configurat ion/Status (数据链路和物理层的 配置及状态） TLV、 Power Via腸 I (端口的供电能力） TLV、 Link Aggregation (链路聚合） TLV、 Maximum Frame Size (最大帧长度） TLV、 LLDP-MED Capabi l it ies ( LLDP-Media Endpoint Discovery Capabi l ities , LLDP中 可封装的媒体终端发现类型） TLV、 Network Pol icy (应用策略） TLV、 Extended Power-via-MDI (设备供电能力） TLV, Hardware Revision (硬 件版本) TLV Firmware Revi sion (固件版本) TLV Software Revi sion (软件版本） TLV、 Serial Number (设备序列号） TLV、 Manufacturer Name (制造厂商） TLV、 Model Name (驱动名称） TLV、 Asset ID (设备断言标 识符） TLV、 Locat ion Identification (位置标识） TLV以及自定义 TLV。
207： 根据系统能力 TLV中 System Capabi l ities字段获取第二网络设 备所具备的功能， 根据第二网络设备所具备的功能确定第二网络设备的设 备类型， 执行 208。
其中， 设备类型包括但不限于 repeater (中继器）、 telephone (因特 网协议电话）、 bridge (网桥）和 router (路由器）等。确定的依据是 System Capabilities TLV中 System Capabilities字段描述的设备功能， 例如， 当设备类型为 repeater telephone^ bridge禾口 router时，分别对应 System Capabilities字段中第 1、 5、 2、 4个比特的值为 1。
208： 根据第二网络设备的设备类型， 向第二网络设备发送第二 LLDP 报文， 该第二 LLDP报文包括与第二网络设备的设备类型对应的 TLV。
上述根据设备类型向第二网络设备发送与设备类型对应的第二 LLDP报 文， 主要根据以下两点进行确定：
1、 设备的处理能力。 如第二网络设备为低端设备， 处理能力会很低， LLDP报文中内容多， 且采用加密方式， 会造成设备无法正常运转。
2、 LLDP报文中哪些 TLV是该设备所需的。 如对于一个 IP ( Internet Protocol , 网络协议， 简称 IP)电话而言， 需要端口供电能力和 VOICE VLAN (Virtual Local Area Network, 虚拟局域网） 等信息， 而不需要链路聚 合 TLV的信息。
具体地， 208可以包括：
若第二网络设备为中继器， 则向第二网络设备发送第二 LLDP报文， 且 第二 LLDP报文中的 TLV只包括最低安全级别 TLV;其中，最低安全级别 TLV 包括： Chassis ID TLV, Port ID TLV, Time to Live TLV禾口 End of LLDPDU TLV。
若第二网络设备为网桥或者路由器， 则向第二网络设备发送第二 LLDP 报文， 且第二 LLDP报文中的 TLV包括全部类型的 TLV; 具体地， 全部类型 的 TLV包括： Chassis ID TLV, Port ID TLV, Time to Live TLV, End of LLDPDU TLV Port Description TLV System Name TLV System Description TLV, System Capabilities TLV, Management Address TLV, Port VLAN ID TLV, Port And Protocol VLAN ID TLV, VLAN Name TLV, Protocol Identity TLV , MAC/PHY Configuration/Status TLV , Power Via MDI TLV , Link Aggregation TLV Maximum Frame Size TLV LLDP-MED Capabilities TLV Network Policy TLV Extended Power-via-MDI TLV Hardware Revision TLV Firmware Revision TLV Software Revision TLV Serial Number TLV Manufacturer Name TLV Model Name TLV Asset ID TLV Location Identification TLV以及自定义 TLV。
若第二网络设备为因特网协议电话， 则向第二网络设备发送第二 LLDP 报文，且第二 LLDP报文中的 TLV包括最低安全级别 TLV、 Port Description TLV System Name TLV System Description TLV System Capabilities TLV, Port VLAN ID以及 Extended Power-via-MDI TLV的 LLDP报文。 其中， 最低安全级别 TLV包括： Chassis ID TLV, Port ID TLV, Time to Live TLV 和 End of LLDPDU TLV。
在具体实现中， 设备类型与 TLV 的对应关系， 可预先存储在网络设备 中。 容易知道， 上述对应关系还可以进一歩按照设备型号进行细分， 这里 不再赘述。
可选地， 在根据第二网络设备的设备类型， 向第二网络设备发送第二
LLDP报文之前， 该方法还包括： 采用可逆算法对第二 LLDP报文中的 TLV进 行加密。 具体地， 采用可逆算法对第二 LLDP报文中的 TLV的值进行加密。 容易知道， 该可逆算法可以由制造商生成设备时， 写入设备中。
此外， 第一网络设备在收到第一 LLDP报文后， 还会保存第一网络设备 的端口与直连设备的对应关系以及直连设备的安全等级、 设备信息等， 该 对应关系通常保存在设备的 MIB中。
可选地， 本实施例的方法还可以包括：
当第一网络设备的一个端口上连接的直连设备的数目达到上限， 且该 端口上新接入的直连设备的安全级别为安全时， 删除连接在该端口上的至 少一个安全级别为非安全的直连设备。 容易知道， 当第一网络设备的一个 端口上连接的直连设备的数目达到上限， 但确定新接入的直连设备的安全 级别为非安全时， 不会删除连接在该端口上的安全级别为非安全的直连设 备。
具体地， 删除连接在该端口上的安全级别为非安全的直连设备， 包括: 从已保存的端口与直连设备的对应关系中， 删除安全级别为非安全的 直连设备。
这样做实际上是对邻居的优先级控制， 安全级别为非安全的直连设备 的优先级低于安全级别为安全的直连设备， 既保证能与安全级别为非安全 的直连设备兼容， 又避免了安全级别为非安全的直连设备耗尽邻居数目的 问题。 删除至少一个安全级别为非安全的直连设备， 保证了新的安全级别 为安全的直连设备可以接入。
本发明实施例通过认证 TLV确定直连设备的安全级别， 一方面， 当直 连设备的安全级别为安全时， 确定该直连设备的设备类型， 根据设备类型 选择与设备类型对应的 TLV进行发送， 避免了现有技术中每次都将所有类 型的 TLV发送给直连设备，减小了设备信息泄漏的可能。保证了发送的 LLDP 报文更加合理， 节省链路开销， 避免造成直连设备无法处理而不能正常运 行的问题； 另一方面， 当直连设备的安全级别为安全时或直连设备发送的 LLDP报文中为携带认证 TLV时，发送只包含最低安全级别的 TLV的 LLDP报 文， 既能满足安全需求， 又能保证低端设备和老设备的正常接入。 实施例三
参见图 7， 本发明实施例提供了一种链路发现装置， 该装置适用于实施 例一提供的链路发现方法， 该装置包括：
第一确定模块 301， 用于当接收到的直连设备发送的 LLDP报文为第一 LLDP报文时，根据第一 LLDP报文中的认证 TLV,确定直连设备的安全级别， 该安全级别包括安全和非安全； 该第一 LLDP报文包括认证 TLV和最低安全 级别 TLV, 最低安全级别 TLV包括： Chassis ID TLV, Port ID TLV, Time to Live TLV和 End of LLDPDU TLV;
第二确定模块 302，用于当第一确定模块 301确定直连设备的安全级别 为安全时， 根据第一 LLDP报文确定直连设备的设备类型；
发送模块 303， 用于根据直连设备的设备类型， 向直连设备发送第二 LLDP报文， 该第二 LLDP报文包括与直连设备的设备类型对应的 TLV。
本发明实施例中， 当直连设备的安全级别为安全时， 确定该直连设备 的设备类型， 根据设备类型选择与设备类型对应的 TLV进行发送， 避免了 现有技术中每次都将所有类型的 TLV发送给直连设备， 减小了设备信息泄 漏的可能。 保证了发送的 LLDP报文更加合理， 节省链路开销， 避免造成直 连设备无法处理而不能正常运行的问题。 实施例四
参见图 8， 本发明实施例提供了一种链路发现装置， 该装置适用于实施 例二提供的链路发现方法， 该装置包括：
第一确定模块 301、 第二确定模块 302和发送模块 303，
进一歩地， 发送模块 303还用于， 当直连设备的安全级别为非安全时， 向直连设备发送第一 LLDP报文， 第一 LLDP报文中的 TLV包括认证 TLV和 最低安全级别 TLV。
进一歩地， 该装置还包括：
接收模块 404， 用于接收直连设备发送的 LLDP报文；
第三确定模块 405， 用于确定接收到的 LLDP报文是否携带认证 TLV, 当 LLDP报文中携带认证 TLV时， 确定该 LLDP报文为第一 LLDP报文；
相应地， 发送模块 303， 还用于当 LLDP报文中未携带认证 TLV时， 向 直连设备发送第一 LLDP报文。 其中， 第一确定模块 301包括：
获取单元 3011， 用于根据 Chassis ID TLV和 Port ID TLV, 获得直连 设备的 Chassis ID和端口号；
计算单元 3012， 用于采用 Chassis ID和 Port ID, 计算判定 TLV; 比较单元 3013， 用于比较判定 TLV与认证 TLV是否相同， 若相同， 则 确定直连设备的安全级别为安全， 若不同， 则确定直连设备的安全级别为 非安全。
进一歩地， 第一 LLDP报文还包括系统能力 TLV, 则第二确定模块 302， 用于根据系统能力 TLV中 System Capabilities字段获取直连设备所具备 的功能， 根据直连设备所具备的功能确定直连设备的设备类型。
其中， 设备类型包括 repeater (中继器）、 telephone (因特网协议电 话）、 bridge (网桥) 和 router (路由器) 等。
进一歩地， 第二确定模块 302， 还用于在根据第一 LLDP报文， 确定直 连设备的设备类型之前， 确定第一 LLDP报文是否携带系统能力 TLV, 当第 一 LLDP报文中携带系统能力 TLV时， 则根据系统能力 TLV, 确定直连设备 的设备类型；
相应地，发送模块 303，还用于当第一 LLDP报文中未携带系统能力 TLV 时， 则向直连设备发送第二 LLDP报文， 且第二 LLDP报文中的 TLV包括全 部类型的 TLV。
进一歩地， 发送模块 303用于，
当直连设备为中继器时， 向直连设备发送第二 LLDP报文， 且第二 LLDP 报文中的 TLV只包括最低安全级别 TLV;
当直连设备为网桥或者路由器时， 向直连设备发送第二 LLDP报文， 且 第二 LLDP报文中的 TLV包括全部类型的 TLV;
当直连设备为因特网协议电话时， 向直连设备发送第二 LLDP报文， 且 第二 LLDP报文中的 TLV包括最低安全级别 TLV、 端口描述 TLV、 系统名称 TLV, 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以及设备供 电能力 TLV。
进一歩地，该装置还包括加密模块 406，用于采用可逆算法对第二 LLDP 报文中的 TLV进行加密。
进一歩地， 该装置还包括管理模块， 用于当网络设备的一个端口上连 接的直连设备的数目达到上限， 且该端口上新接入的直连设备的安全级别 为安全时， 删除连接在该端口上的至少一个安全级别为非安全的直连设备。
本发明实施例通过认证 TLV确定直连设备的安全级别， 一方面， 当直 连设备的安全级别为安全时， 确定该直连设备的设备类型， 根据设备类型 选择与设备类型对应的 TLV进行发送， 避免了现有技术中每次都将所有类 型的 TLV发送给直连设备，减小了设备信息泄漏的可能，保证了发送的 LLDP 报文更加合理， 节省链路开销， 避免造成直连设备无法处理而不能正常运 行的问题； 另一方面， 当直连设备的安全级别为安全时或直连设备发送的 LLDP报文中为携带认证 TLV时，发送只包含最低安全级别的 TLV的 LLDP报 文， 既能满足安全需求， 又能保证低端设备和老设备的正常接入。 在具体的实施方式中， 前述图 7、 8中的链路发现装置可以是一种计算 机或者服务器， 如图 9所示。 其一般包括存储器 91、 处理器 92、 网络接口 93等部件。 本领域技术人员可以理解， 图 9中所示出的结构并不构成对本 装置的限定， 可以包括比图示更多或更少的部件， 或者组合某些部件， 或 者不同的部件布置。
下面结合图 9对计算机 90的各个构成部件进行具体的介绍：
存储器 91可用于存储软件程序以及应用模块， 处理器 92通过运行存 储在存储器 91的软件程序以及应用模块， 从而执行计算机 90的各种功能 应用以及数据处理。存储器 91可主要包括存储程序区和存储数据区，其中， 存储程序区可存储操作系统、 至少一个功能所需的应用程序 （比如报文解 封装） 等； 存储数据区可存储根据计算机 90的处理所创建的数据。 此外， 存储器 91可以包括高速 RAM (Random Access Memory, 随机存取存储器）， 还可以包括非易失性存储器 （non-volatile memory) , 例如至少一个磁盘 存储器件、 闪存器件、 或其他易失性固态存储器件。
处理器 92是计算机 90的控制中心， 利用各种接口和线路连接整个计 算机的各个部分。
具体地， 处理器 92通过运行或执行存储在存储器 91内的软件程序和 / 或应用模块， 以及调用存储在存储器 91 内的数据， 处理器 92可以实现， 当通过网络接口 93接收到的直连设备发送的 LLDP报文为第一 LLDP报文时， 根据第一 LLDP报文中的认证 TLV, 确定直连设备的安全级别， 该安全级别 包括安全和非安全， 该第一 LLDP报文包括认证 TLV和最低安全级别 TLV, 最低安全级别 TLV包括： Chassis ID TLV, Port ID TLV, Time to Live TLV 和 End of LLDPDU TLV;
当直连设备的安全级别为安全时， 根据第一 LLDP报文确定直连设备的 设备类型；
根据直连设备的设备类型，通过网络接口 93向直连设备发送第二 LLDP 报文， 该第二 LLDP报文包括与直连设备的设备类型对应的 TLV。
进一歩地， 网络接口 93还用于， 当直连设备的安全级别为非安全时， 向直连设备发送第一 LLDP报文， 第一 LLDP报文中的 TLV包括认证 TLV和 最低安全级别 TLV。
进一歩地， 处理器 92可以实现， 通过网络接口 93接收直连设备发送 的 LLDP报文， 并确定接收到的 LLDP报文是否携带认证 TLV;
若 LLDP报文中携带认证 TLV, 则 LLDP报文为第一 LLDP报文； 若 LLDP报文中未携带认证 TLV,则通过网络接口 93向直连设备发送第 一 LLDP报文。
进一歩地， 处理器 92可以实现， 根据直连设备发送的第一 LLDP报文 中携带的 Chassis ID TLV和 Port ID TLV, 获得 Chassis ID和 Port ID; 采用 Chassis ID和 Port ID, 计算判定 TLV;
比较判定 TLV与认证 TLV是否相同， 若相同， 则确定直连设备的安全 级别为安全， 若不同， 则确定直连设备的安全级别为不安全。
进一歩地， 处理器 92 可以实现， 根据系统能力 TLV 中 System Capabilities字段获取直连设备所具备的功能， 根据直连设备所具备的功 能确定直连设备的设备类型。
进一歩地， 处理器 92可以实现， 在根据第一 LLDP报文， 确定直连设 备的设备类型之前，确定第一 LLDP报文是否携带系统能力 TLV,当第一 LLDP 报文中携带系统能力 TLV时， 则根据系统能力 TLV确定直连设备的设备类 型；
当第一 LLDP报文中未携带系统能力 TLV,通过网络接口 93向直连设备 发送第二 LLDP报文， 且第二 LLDP报文中的 TLV包括全部类型的 TLV。
进一歩地， 处理器 92可以实现， 当直连设备为中继器时， 通过网络接 口 93向直连设备发送第二 LLDP报文， 且第二 LLDP报文中的 TLV只包括最 低安全级别 TLV;
当直连设备为网桥或者路由器时， 通过网络接口 93向直连设备发送第 二 LLDP报文， 且第二 LLDP报文中的 TLV包括全部类型的 TLV;
当直连设备为因特网协议电话时， 通过网络接口 93向直连设备发送第 二 LLDP报文， 且第二 LLDP报文中的 TLV包括最低安全级别 TLV、端口描述 TLV、 系统名称 TLV、 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以及设备供电能力 TLV。
进一歩地， 处理器 92还可以实现， 采用可逆算法对第二 LLDP报文中 携带的 TLV进行加密。
进一歩地， 处理器 92可以实现， 当网络设备的一个端口上连接的直连 设备的数目达到上限， 且该端口上新接入的直连设备的安全级别为安全时， 删除连接在该端口上的至少一个安全级别为非安全的直连设备。
需要说明的是： 上述实施例提供的链路发现装置在进行链路发现时， 仅以上述各功能模块的划分进行举例说明， 实际应用中， 可以根据需要而 将上述功能分配由不同的功能模块完成， 即将链路发现装置的内部结构划 分成不同的功能模块， 以完成以上描述的全部或者部分功能。 另外， 上述 实施例提供的链路发现装置与链路发现方法实施例属于同一构思， 其具体 实现过程详见方法实施例， 这里不再赘述。
上述本发明实施例序号仅仅为了描述， 不代表实施例的优劣。
本领域普通技术人员可以理解实现上述实施例的全部或部分歩骤可以 通过硬件来完成， 也可以通过程序来指令相关的硬件完成， 所述的程序可 以存储于一种计算机可读存储介质中， 上述提到的存储介质可以是只读存 储器， 磁盘或光盘等。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发 明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在 本发明的保护范围之内。

Claims

权利要求
1、 一种链路发现方法， 其特征在于， 所述方法包括：
当网络设备接收到的直连设备发送的第一链路层发现协议 LLDP 报文 时， 根据所述第一 LLDP报文中的认证类型-长度-值 TLV, 确定所述直连设 备的安全级别， 所述安全级别包括安全和非安全， 所述第一 LLDP报文包括 所述认证 TLV和最低安全级别 TLV, 所述最低安全级别 TLV包括： 设备标识 TLV、 端口号 TLV、 邻居生命周期 TLV和 LLDP数据单元结束 TLV;
若所述直连设备的安全级别为安全， 则根据所述第一 LLDP报文确定所 述直连设备的设备类型， 并根据所述直连设备的设备类型， 向所述直连设 备发送第二 LLDP报文， 所述第二 LLDP报文包括与所述直连设备的设备类 型对应的 TLV。
2、 根据权利要求 1所述的方法， 其特征在于， 所述方法还包括： 若所述直连设备的安全级别为非安全， 则向所述直连设备发送所述第 一 LLDP报文。
3、根据权利要求 1所述的方法，其特征在于，在所述根据所述第一 LLDP 报文中的认证 TLV, 确定所述直连设备的安全级别之前， 所述方法还包括： 接收所述直连设备发送的 LLDP报文， 并确定接收到的所述 LLDP报文 是否携带认证 TLV;
若所述 LLDP报文中携带认证 TLV,则所述 LLDP报文为第一 LLDP报文； 相应地， 所述方法还包括：
若所述 LLDP报文中未携带认证 TLV, 则向所述直连设备发送所述第一 LLDP报文。
4、 根据权利要求 1所述的方法， 其特征在于， 所述根据所述第一 LLDP 中的认证 TLV, 确定所述直连设备的安全级别， 包括：
根据所述设备标识 TLV和所述端口号 TLV,获得所述直连设备的设备标 识和端口号； 采用所述设备标识和端口号， 计算判定 TLV;
比较所述判定 TLV与所述认证 TLV是否相同， 若相同， 则确定所述直 连设备的安全级别为安全， 若不同， 则确定所述直连设备的安全级别为非 安全。
5、 根据权利要求 1所述的方法， 其特征在于， 所述第一 LLDP报文还 包括系统能力 TLV,所述系统能力 TLV包括用于描述设备功能的系统能力字 段， 则所述根据所述第一 LLDP报文，确定所述直连设备的设备类型，包括： 根据所述系统能力 TLV 中所述系统能力字段获取所述直连设备所具备 的功能；
根据所述直连设备所具备的功能确定所述直连设备的设备类型。
6、根据权利要求 5所述的方法，其特征在于，在所述根据所述第一 LLDP 报文， 确定所述直连设备的设备类型之前， 所述方法还包括：
确定所述第一 LLDP报文是否携带系统能力 TLV;
若所述第一 LLDP报文中未携带系统能力 TLV, 则向所述直连设备发送 第二 LLDP报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
若所述第一 LLDP报文中携带系统能力 TLV, 则根据所述系统能力 TLV, 确定所述直连设备的设备类型。
7、 根据权利要求 1所述的方法， 其特征在于， 所述根据所述直连设备 的设备类型， 向所述直连设备发送第二 LLDP报文， 包括：
当所述直连设备为中继器时， 向所述直连设备发送第二 LLDP报文， 且 所述第二 LLDP报文中的 TLV只包括最低安全级别 TLV;
当所述直连设备为网桥或者路由器时， 向所述直连设备发送第二 LLDP 报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
当所述直连设备为因特网协议电话时， 向所述直连设备发送第二 LLDP 报文，且所述第二 LLDP报文中的 TLV包括最低安全级别 TLV、端口描述 TLV、 系统名称 TLV、 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以 及设备供电能力 TLV。
8、 根据权利要求 1-7任一项所述的方法， 其特征在于， 在所述根据所 述直连设备的设备类型， 向所述直连设备发送第二 LLDP报文之前， 所述方 法还包括：
采用可逆算法对所述第二 LLDP报文中的 TLV进行加密。
9、 根据权利要求 1-7任一项所述的方法， 其特征在于， 所述方法还包 括：
当所述网络设备的一个端口上连接的直连设备的数目达到上限， 且所 述端口上新接入的直连设备的安全级别为安全时， 删除连接在所述端口上 的至少一个安全级别为非安全的直连设备。
10、 一种链路发现装置， 其特征在于， 所述装置包括：
第一确定模块， 用于当网络设备接收到的直连设备发送的第一链路层 发现协议 LLDP报文时，根据所述第一 LLDP报文中的认证类型-长度-值 TLV, 确定所述直连设备的安全级别， 所述安全级别包括安全和非安全； 所述第 一 LLDP报文包括所述认证 TLV和最低安全级别 TLV,所述最低安全级别 TLV 包括： 设备标识 TLV、 端口号 TLV、 邻居生命周期 TLV和 LLDP数据单元结 束 TLV;
第二确定模块， 用于当所述第一确定模块确定所述直连设备的安全级 别为安全时， 根据所述第一 LLDP报文确定所述直连设备的设备类型；
发送模块， 用于根据所述直连设备的设备类型， 向所述直连设备发送 第二 LLDP报文， 所述第二 LLDP报文包括与所述直连设备的设备类型对应 的 TLVo
11、根据权利要求 10所述的装置，其特征在于，所述发送模块还用于， 当所述直连设备的安全级别为非安全时， 向所述直连设备发送所述第一 LLDP报文。
12、 根据权利要求 10所述的装置， 其特征在于， 所述装置还包括： 接收模块， 用于接收所述直连设备发送的 LLDP报文，
第三确定模块， 用于确定所述接收模块接收到的所述 LLDP报文是否携 带认证 TLV, 当所述 LLDP报文中携带认证 TLV时， 确定所述 LLDP报文为第 一 LLDP报文；
相应地，所述发送模块，还用于当所述 LLDP报文中未携带认证 TLV时， 向所述直连设备发送所述第一 LLDP报文。
13、 根据权利要求 10所述的装置， 其特征在于， 所述第一确定模块包 括：
获取单元， 用于根据所述设备标识 TLV和端口号 TLV, 获得所述直连设 备的设备标识和端口号；
计算单元， 用于采用所述设备标识和端口号， 计算判定 TLV;
比较单元， 用于比较所述判定 TLV与所述认证 TLV是否相同， 若相同， 则确定所述直连设备的安全级别为安全， 若不同， 则确定所述直连设备的 安全级别为非安全。
14、 根据权利要求 10所述的装置， 其特征在于， 所述第一 LLDP报文 还包括系统能力 TLV,所述系统能力 TLV包括用于描述设备功能的系统能力 字段，
则所述第二确定模块， 用于根据所述系统能力 TLV 中所述系统能力字 段获取所述直连设备所具备的功能， 根据所述直连设备所具备的功能确定 所述直连设备的设备类型。
15、 根据权利要求 14所述的装置， 其特征在于， 所述第二确定模块， 还用于在所述根据所述第一 LLDP报文，确定所述直连设备的设备类型之前， 确定所述第一 LLDP报文是否携带系统能力 TLV,当所述第一 LLDP报文中携 带系统能力 TLV时， 则根据所述系统能力 TLV, 确定所述直连设备的设备类 型；
相应地， 所述发送模块， 还用于当所述第一 LLDP报文中未携带系统能 力 TLV时， 则向所述直连设备发送第二 LLDP报文， 且所述第二 LLDP报文 中的 TLV包括全部类型的 TLV。
16、 根据权利要求 10所述的装置， 其特征在于， 所述发送模块用于， 当所述直连设备为中继器时， 向所述直连设备发送第二 LLDP报文， 且 所述第二 LLDP报文中的 TLV只包括最低安全级别 TLV;
当所述直连设备为网桥或者路由器时， 向所述直连设备发送第二 LLDP 报文， 且所述第二 LLDP报文中的 TLV包括全部类型的 TLV;
当所述直连设备为因特网协议电话时， 向所述直连设备发送第二 LLDP 报文，且所述第二 LLDP报文中的 TLV包括最低安全级别 TLV、端口描述 TLV、 系统名称 TLV、 系统描述 TLV、 系统能力 TLV、 端口虚拟局域网标识 TLV以 及设备供电能力 TLV。
17、 根据权利要求 10-16任一项所述的装置， 其特征在于， 所述装置 还包括：
加密模块，用于采用可逆算法对所述第二 LLDP报文中的 TLV进行加密。
18、 根据权利要求 10-16任一项所述的装置， 其特征在于， 所述装置 还包括：
管理模块， 用于当所述网络设备的一个端口上连接的直连设备的数目 达到上限， 且所述端口上新接入的直连设备的安全级别为安全时， 删除连 接在所述端口上的至少一个安全级别为非安全的直连设备。
PCT/CN2014/072886 2013-04-03 2014-03-05 一种链路发现方法和装置 WO2014161416A2 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP14779346.7A EP2955874B1 (en) 2013-04-03 2014-03-05 Link discovery method and device
US14/864,464 US9917845B2 (en) 2013-04-03 2015-09-24 Link discovery method and apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310115610.1A CN103236941B (zh) 2013-04-03 2013-04-03 一种链路发现方法和装置
CN201310115610.1 2013-04-03

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/864,464 Continuation US9917845B2 (en) 2013-04-03 2015-09-24 Link discovery method and apparatus

Publications (2)

Publication Number Publication Date
WO2014161416A2 true WO2014161416A2 (zh) 2014-10-09
WO2014161416A3 WO2014161416A3 (zh) 2014-11-20

Family

ID=48884959

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/072886 WO2014161416A2 (zh) 2013-04-03 2014-03-05 一种链路发现方法和装置

Country Status (4)

Country Link
US (1) US9917845B2 (zh)
EP (1) EP2955874B1 (zh)
CN (1) CN103236941B (zh)
WO (1) WO2014161416A2 (zh)

Families Citing this family (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103236941B (zh) 2013-04-03 2015-09-30 华为技术有限公司 一种链路发现方法和装置
ES2641458T3 (es) * 2013-09-03 2017-11-10 Huawei Technologies Co., Ltd. Método de descubrimiento de enlace y un controlador SDN
CN104580116B (zh) * 2013-10-25 2018-09-14 新华三技术有限公司 一种安全策略的管理方法和设备
CN105450432A (zh) * 2014-07-31 2016-03-30 华为技术有限公司 一种用于定位端口连接错误的方法和相关设备
US10289384B2 (en) 2014-09-12 2019-05-14 Oracle International Corporation Methods, systems, and computer readable media for processing data containing type-length-value (TLV) elements
CN105357127B (zh) * 2015-12-17 2018-10-26 上海市共进通信技术有限公司 携带公告协商tlv的lldp报文的处理系统及方法
CN105656791A (zh) * 2016-01-28 2016-06-08 浪潮(北京)电子信息产业有限公司 一种tlv发送方法及系统
US9979693B2 (en) * 2016-01-28 2018-05-22 Fiber Logic Communications, Inc. IP allocation method for use in telecommunication network automatic construction
CN106330893A (zh) * 2016-08-22 2017-01-11 浪潮(北京)电子信息产业有限公司 一种设备信息交换方法及系统
US10193802B2 (en) 2016-09-13 2019-01-29 Oracle International Corporation Methods, systems, and computer readable media for processing messages using stateful and stateless decode strategies
US9667619B1 (en) * 2016-10-14 2017-05-30 Akamai Technologies, Inc. Systems and methods for utilizing client side authentication to select services available at a given port number
CN107968751B (zh) 2016-10-20 2021-01-19 中兴通讯股份有限公司 一种信息处理方法及装置
CN110050440B (zh) * 2016-12-09 2023-01-17 罗伯特·博世有限公司 计算机网络和用于运行计算机网络的方法
CN106790232B (zh) * 2017-01-18 2021-02-26 上海市共进通信技术有限公司 通过lldp报文实现voip语音业务的方法及系统
US10341411B2 (en) * 2017-03-29 2019-07-02 Oracle International Corporation Methods, systems, and computer readable media for providing message encode/decode as a service
US11431728B2 (en) 2017-12-19 2022-08-30 Telefonaktiebolaget Lm Ericsson (Publ) Method and management node in a communication network, for supporting management of network nodes based on LLDP messages
US11552994B2 (en) 2017-12-19 2023-01-10 Telefonaktiebolaget Lm Ericsson (Publ) Methods and nodes for handling LLDP messages in a communication network
US11362935B2 (en) * 2018-01-19 2022-06-14 Super Micro Computer, Inc. Automatic multi-chassis link aggregation configuration with link layer discovery
US11561997B2 (en) 2019-03-13 2023-01-24 Oracle International Corporation Methods, systems, and computer readable media for data translation using a representational state transfer (REST) application programming interface (API)
CN110266530B (zh) * 2019-06-14 2022-05-27 浪潮思科网络科技有限公司 一种基于Opendaylight框架的链路发现方法及装置
US11095691B2 (en) 2019-06-26 2021-08-17 Oracle International Corporation Methods, systems, and computer readable media for establishing a communication session between a public switched telephone network (PSTN) endpoint and a web real time communications (WebRTC) endpoint
US11323287B2 (en) * 2019-07-18 2022-05-03 International Business Machines Corporation Link layer method of configuring a bare-metal server in a virtual network
CN112866118B (zh) * 2019-11-12 2022-09-02 北京华为数字技术有限公司 网络设备的端口能力信息的检测方法、装置及存储介质
CN112866186B (zh) * 2019-11-28 2022-01-25 大唐移动通信设备有限公司 一种安全等级确定方法及装置
CN111585965B (zh) * 2020-04-10 2021-05-14 华南理工大学 一种防御软件定义网络中lldp中继攻击的方法
EP3917086B1 (en) * 2020-05-30 2023-04-05 Huawei Technologies Co., Ltd. Network topology discovery method, device, and system
CN113411220A (zh) * 2021-06-30 2021-09-17 新华三技术有限公司 一种生成树协议边缘端口配置方法及装置
CN114301578A (zh) * 2021-12-17 2022-04-08 苏州浪潮智能科技有限公司 一种通信报文的处理方法、装置、电子设备及存储介质
CN116801281A (zh) * 2022-03-18 2023-09-22 华为技术有限公司 通信方法、装置、系统及存储介质

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7152111B2 (en) * 2002-08-15 2006-12-19 Digi International Inc. Method and apparatus for a client connection manager
TWI340578B (en) * 2006-12-10 2011-04-11 Cameo Communications Inc A method for anti-rogue connection in a network system
CN101207475B (zh) * 2006-12-15 2010-05-26 友劲科技股份有限公司 一种网络系统的防止非授权连结方法
US7969888B2 (en) * 2007-04-27 2011-06-28 Futurewei Technologies, Inc. Data communications network for the management of an ethernet transport network
US20090116404A1 (en) * 2007-11-01 2009-05-07 Telefonaktiebolaget Lm Ericsson (Publ) Topology discovery in heterogeneous networks
US8514712B1 (en) * 2007-12-06 2013-08-20 Force10 Networks, Inc. Non-stop VoIP support
US8201005B2 (en) * 2009-03-17 2012-06-12 Intel Corporation Negotiating a transmit wake time
CN101945245B (zh) 2010-09-06 2013-09-25 华为终端有限公司 视讯会议应用的实现方法、装置及系统
TW201212614A (en) * 2010-09-07 2012-03-16 Accton Technology Corp Network devices and authentication protocol methods thereof
CN102684985B (zh) * 2011-03-17 2017-03-29 中兴通讯股份有限公司 一种多链接互连网络分域互连的方法和系统
WO2014021870A1 (en) * 2012-07-31 2014-02-06 Hewlett-Packard Development Company, L.P. Feature enablement or disablement determination based on discovery message
US9043884B2 (en) * 2013-01-25 2015-05-26 Cisco Technology, Inc. Autonomic network protection based on neighbor discovery
CN103236941B (zh) * 2013-04-03 2015-09-30 华为技术有限公司 一种链路发现方法和装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
None
See also references of EP2955874A4

Also Published As

Publication number Publication date
WO2014161416A3 (zh) 2014-11-20
EP2955874B1 (en) 2017-11-08
US9917845B2 (en) 2018-03-13
US20160014142A1 (en) 2016-01-14
EP2955874A2 (en) 2015-12-16
CN103236941B (zh) 2015-09-30
CN103236941A (zh) 2013-08-07
EP2955874A4 (en) 2016-02-17

Similar Documents

Publication Publication Date Title
WO2014161416A2 (zh) 一种链路发现方法和装置
US10122574B2 (en) Methods and apparatus for a common control protocol for wired and wireless nodes
JP6884818B2 (ja) Ｖｘｌａｎ実装方法、ネットワークデバイス、および通信システム
US8270934B2 (en) Configuring network settings for a power line networking device
JP4802263B2 (ja) 暗号化通信システム及びゲートウェイ装置
WO2018040529A1 (zh) 一种报文处理方法、设备及系统
WO2009082889A1 (fr) Procédé de négociation pour échange de clés internet et dispositif et système associés
WO2007041918A1 (fr) Méthode et système d’obtention de clé hôte ssh de dispositif géré
WO2010003354A1 (zh) 认证服务器及虚拟专用网的移动通信终端接入控制方法
US20120060209A1 (en) Network devices and authentication methods thereof
US20210218737A1 (en) Autoconfiguration of macsec between devices
WO2015003565A1 (zh) 控制用户终端接入的方法、装置及系统
CN103780389A (zh) 基于端口认证的方法及网络设备
WO2008098510A1 (fr) Procédé et appareil d'acquisition d'informations de contrôleur d'accès dans un réseau local sans fil
CN115001686A (zh) 一种全域量子安全设备及系统
KR100687415B1 (ko) 신호처리를 간소화시킨 ＩＰｓｅｃ 통신시스템, 통신방법및 그 기록매체
WO2019128468A1 (zh) 一种认证方法、设备及系统
CN113472625B (zh) 基于移动互联网的透明桥接方法、系统、设备及存储介质
US11659384B2 (en) Data center 5G network encrypted multicast-based authority authentication method and system
CN114760093B (zh) 通信方法及装置
WO2023227067A1 (zh) 量子网络通信方法、装置、电子设备及存储介质
CN116886405B (zh) 一种小型化分组路由器及其单点接入信息加密保护方法
CN116506142A (zh) 一种fc网络中的安全网关实现方法
CN115941466A (zh) 一种支持设备初始化配置与发现的网管系统及方法
CN115348112A (zh) 一种局域网交换设备接入认证与可信组网的方法

Legal Events

Date Code Title Description
REEP Request for entry into the european phase

Ref document number: 2014779346

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2014779346

Country of ref document: EP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14779346

Country of ref document: EP

Kind code of ref document: A2