CN120856650A - 网络限速方法、装置、设备、存储介质及计算机程序产品 - Google Patents

Abstract

本发明公开了一种网络限速方法、装置、设备、存储介质及计算机程序产品，所述方法应用于限速网关，所述方法包括：接收当前业务流量报文，判断当前业务流量报文的类型；若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；接收静态VxLAN隧道转发的overlay流量报文，采用路由泄露技术，将overlay流量报文转发至underlay网络。本发明采用underlay和overlay融合限速的方式，实现业务流量和底层underlay网络设备解耦，有效提高限速精度以及网络流量安全性。

Description

网络限速方法、装置、设备、存储介质及计算机程序产品

技术领域

本发明涉及通信网络技术领域，尤其涉及一种网络限速方法、装置、设备、存储介质及计算机程序产品。

背景技术

限速网关是一种部署在网络出口层的关键设备，旨在对公网IP实施带宽限速管理。限速网关支持单个IP的限速配置，同时也具备多IP共享限速的功能，以满足不同业务场景的需求。然而，目前的网络限速方法存在限速精度低和网络流量安全性差的问题。

发明内容

本发明实施例的目的在于提供一种网络限速方法、装置、设备、存储介质及计算机程序产品，采用underlay和overlay融合限速的方式，实现业务流量和底层underlay网络设备解耦，有效提高限速精度以及网络流量安全性。

为了实现上述目的，本发明实施例提供了一种网络限速方法，应用于限速网关，所述方法包括：

接收当前业务流量报文，判断当前业务流量报文的类型；

若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

作为上述方案的改进，所述若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为overlay流量报文，则根据第一Meter表对所述overlay流量报文匹配的内层源IP进行限速；

根据第二Meter表对所述overlay流量报文匹配的内层目的IP进行限速。

作为上述方案的改进，所述若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为underlay流量报文，则根据第三Meter表对所述underlay流量报文匹配的外层源IP进行限速；

根据第四Meter表对所述underlay流量报文匹配的外层目的IP进行限速。

作为上述方案的改进，所述方法还包括：

在所述限速网关与公网网关之间建立云内overlay网络，利用不同的VRF对入云流量和出云流量进行隔离。

作为上述方案的改进，所述接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络，包括：

接收所述静态VxLAN隧道转发的所述overlay流量报文；

将所述静态VxLAN隧道对应的路由信息泄露至所述underlay网络的路由表中；

根据所述underlay网络的路由表中的路由信息，将所述overlay流量报文转发至所述underlay网络。

作为上述方案的改进，所述限速网关与上联设备采用全互联方式进行连接，且所述限速网关包括主限速网关和备限速网关，所述主限速网关发布的BGP路由中的AS路径长度小于所述备限速网关发布的BGP路由中的AS路径长度。

作为上述方案的改进，所述方法还包括：

基于所述上联设备的BGP邻居关系，创建对应的BFD会话；

根据预设的BFD检测参数，检测所述主限速网关与所述上联设备之间的链路是否故障；

若检测到所述链路故障，则触发所述BGP邻居关系变为Down，并加速路由收敛，以将流量切换至所述备限速网关。

本发明实施例还提供了一种网络限速装置，应用于限速网关，所述装置包括：

报文判断模块，用于接收当前业务流量报文，判断当前业务流量报文的类型；

第一限速模块，用于若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

第二限速模块，用于若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

报文转发模块，用于接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

本发明实施例还提供了一种终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述处理器执行所述计算机程序时实现上述任一项所述的网络限速方法。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述任一项所述的网络限速方法。

本发明实施例还提供了一种计算机程序产品，所述计算机程序产品包括计算机程序或计算机指令，所述计算机程序或所述计算机指令被处理器执行时实现上述任一项所述的网络限速方法。

相对于现有技术，本发明实施例提供的一种网络限速方法、装置、设备、存储介质及计算机程序产品的有益效果在于：通过限速网关实现对出云流量和入云流量的限速控制，限速网关接收到当前业务流量报文后，先判断当前业务流量报文的类型。若当前业务流量报文为overlay流量报文，限速网关将对匹配的内层源IP和目的IP进行限速。若当前业务流量报文为underlay流量报文，限速网关将对匹配的外层源IP和目的IP进行限速。当限速网关接收到静态VxLAN隧道转发的所述overlay流量报文时，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。本发明实施例设计了限速网关的公网业务流量报文限速与处理流程，该流程通过精确的限速算法和高效的报文处理逻辑，显著提升了公网流量的限速精度，并优化了端口封堵的匹配逻辑，从而有效提高网络流量管理的灵活性与安全性。

附图说明

图1是本发明提供的一种网络限速方法的一个优选实施例的流程示意图；

图2是本发明提供的一种网络限速方法的一个优选实施例的交互示意图；

图3是本发明提供的一种网络限速方法的另一个优选实施例的交互示意图；

图4是本发明提供的一种网络限速装置的一个优选实施例的结构示意图；

图5是本发明提供的一种终端设备的一个优选实施例的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在介绍具体实施方式之前，首先对本发明实施例中所涉及的一些概念进行解释：

IP（Internet Protocol，互联网协议）地址：是IP协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来屏蔽物理地址的差异。

公网：又称广域网（Wide Area Network，WAN）、外网，是连接不同地区局域网或城域网计算机通信的远程网，通常跨接很大的物理范围。

公网地址限速：是指针对公网IP地址设置的限速策略。限速种类分为最大带宽限速、最小带宽限速和DSCP（Differentiated Services Code Point，差分服务代码点）等。公网地址限速一般是指最大带宽限速，即限制用户根据该公网IP地址，能够使用的最大公网带宽。用户从公有云页面可以订购不同带宽规格的公网IP地址，然后将公网IP与用户特定网络资源绑定，实现针对特定网络资源的公网访问限速功能。

overlay网络：是一种在现有物理网络（underlay网络）之上构建的虚拟网络。它通过封装技术（如VxLAN、NVGRE等）将原始数据包封装在新的数据包中，并在新的数据包头部添加虚拟网络标识，从而实现跨物理网络的逻辑隔离和通信。overlay网络提供了灵活的网络拓扑结构，支持多租户隔离、快速部署和迁移等特性，广泛应用于云计算、数据中心等领域。

underlay网络：是实际承载网络流量的物理网络基础设施，包括路由器、交换机、光纤等物理设备。underlay网络提供了基本的网络连接和传输能力，是overlay网络构建的基础。

overlay流量报文：是在overlay网络中传输的数据包，这些数据包经过了封装处理，包含了原始数据包和虚拟网络标识等信息。overlay流量报文可以在不同的物理网络之间传输，实现了逻辑上的网络隔离和通信。

underlay流量报文：是在underlay网络中传输的原始数据包，这些数据包没有经过overlay网络的封装处理。underlay流量报文直接承载在物理网络上，遵循传统的网络协议和传输机制。

Meter表：是网络设备（如交换机、路由器）中用于流量计量和控制的表格。它记录了通过设备的流量信息，如流量速率、流量大小等。Meter表常用于流量监控、流量整形、流量限制等场景，帮助网络管理员更好地管理和控制网络流量。

VRF（Virtual Routing Forwarding）：虚拟路由转发，是一种网络虚拟化技术，它允许在单个物理路由器上创建多个虚拟路由器实例。每个虚拟路由器实例都有自己独立的路由表、转发表和接口，实现了不同虚拟网络之间的路由隔离。VRF广泛应用于企业网络、数据中心网络等场景，支持多租户隔离、网络切片等特性。

VNI（Virtual Network Identifier）：虚拟网络标识符，是overlay网络中用于标识虚拟网络的唯一标识符。在VxLAN等封装技术中，VNI被添加到封装后的数据包头部，用于区分不同的虚拟网络。VNI实现了虚拟网络之间的逻辑隔离，确保不同虚拟网络之间的流量不会相互干扰。

VxLAN（Virtual eXtensible Local Area Network）：虚拟可扩展局域网，是一种overlay网络封装技术，它通过将原始以太网帧封装在UDP数据包中，并在UDP头部添加VNI标识符，实现了跨物理网络的二层网络扩展。VxLAN支持大规模虚拟网络部署，提供了灵活的网络拓扑结构和多租户隔离能力。

BGP（Border Gateway Protocol）：边界网关协议，是一种用于在不同自治系统（AS）之间交换路由信息的外部网关协议。它是互联网上最重要的路由协议之一，负责维护全球互联网的路由表。BGP支持路由聚合、路由策略控制等高级特性，能够处理大规模的网络路由信息。

AS（Autonomous System）：自治系统，是由一个组织或企业管理的、具有统一路由策略的网络集合，每个AS都有一个唯一的AS号（ASN）用于标识。AS是BGP等外部网关协议的基础单元，用于实现不同自治系统之间的路由信息交换和通信。

BFD（Bidirectional Forwarding Detection）：双向转发检测，是一种用于快速检测网络故障的协议。它通过定期发送检测报文并监测报文的往返时间（RTT）来检测网络链路的连通性。BFD具有检测速度快、开销小等优点，能够迅速发现网络故障并触发路由收敛等机制。

AZ（Availability Zone）：可用区，是云计算环境中用于提高服务可用性和容错能力的一种设计。它通常指的是一个地理位置上相对独立的数据中心或机房区域，具有独立的电力、冷却和网络等基础设施。通过将服务部署在多个AZ中，可以实现服务的冗余备份和故障转移，提高服务的可靠性和可用性。

PBR（Policy-Based Routing）：策略路由，是一种根据预先定义的策略来决定数据包转发路径的路由技术。它允许网络管理员根据数据包的源地址、目的地址、端口号等信息来制定不同的路由策略。PBR广泛应用于流量工程、QoS保障、安全策略等场景，帮助网络管理员更灵活地控制网络流量的转发路径。

请参阅图1，图1是本发明提供的一种网络限速方法的一个优选实施例的流程示意图。所述网络限速方法，应用于限速网关，所述方法包括：

S1，接收当前业务流量报文，判断当前业务流量报文的类型；

S2，若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

S3，若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

S4，接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

具体的，本发明实施例通过限速网关实现对出云流量和入云流量的限速控制，限速网关接收到当前业务流量报文后，先判断当前业务流量报文的类型。通过解析报文封装格式：若检测到隧道头部（如VxLAN的24位VNI字段、NVGRE的TNI字段），判定为overlay流量；若未检测到隧道头部且报文符合IP直连特征（如TTL=255），判定为underlay流量。若当前业务流量报文为overlay流量报文，限速网关将对匹配的内层源IP和目的IP进行限速。若当前业务流量报文为underlay流量报文，限速网关将对匹配的外层源IP和目的IP进行限速。当限速网关接收到通过出云静态VxLAN隧道转发的overlay流量报文时，需匹配VRF内的默认路由，以将流量有效转发至上联设备。然而，现有技术中默认路由的配置依赖于静态路由，导致无法实现与underlay BGP的联动及路由的自动选优。为克服上述技术限制，本发明实施例采用路由泄露技术，将通过出云静态VxLAN隧道转发的overlay流量报文转发至underlay网络。通过该技术，限速网关能够动态匹配上联设备通过BGP发布的默认路由，从而实现出云静态VxLAN隧道与underlay BGP之间的路由联动，解决overlay网络和underlay网络之间的通信问题，确保报文能够跨越不同的网络层次进行传输。其中，通过出云静态VxLAN隧道转发的overlay流量报文是指由云内—>公网网关—>限速网关送来的overlay流量，指从云内发出，并通过一条预先配置好的（静态）VxLAN隧道传送给限速网关的流量。业务流量报文涵盖了网络中正在传输的所有业务相关的报文，可能来自各种不同的业务源，包括但不限于内部业务系统、外部客户端等，在网络中的任意位置产生并传输，没有特定的产生场景限制，只是处于当前被处理和判断的时刻。

本发明实施例采用underlay和overlay融合限速的方式，实现业务流量和底层underlay网络设备解耦，有效提高限速精度以及网络流量安全性。

在另一个优选实施例中，所述若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为overlay流量报文，则根据第一Meter表对所述overlay流量报文匹配的内层源IP进行限速；

根据第二Meter表对所述overlay流量报文匹配的内层目的IP进行限速。

具体的，本发明实施例为了实现同可用区公网IP互访场景中对源IP和目的IP进行同时限速的需求，设计了一种双层Meter表限速架构，优化了业务流量的匹配与转发逻辑。若限速网关接收到的当前业务流量报文为overlay流量报文，例如，同可用区公网IP互访时的overlay流量报文，则先根据第一Meter表对overlay流量报文匹配的内层源IP进行限速，随后根据第二Meter表对overlay流量报文匹配的内层目的IP进行限速。

本发明实施例采用双层Meter表架构，能够实现同AZ公网互访，并且双层限速架构通过独立的Meter表对源IP和目的IP进行限速配置，确保在流量控制过程中能够同时对两者进行有效管理。

在又一个优选实施例中，所述若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为underlay流量报文，则根据第三Meter表对所述underlay流量报文匹配的外层源IP进行限速；

根据第四Meter表对所述underlay流量报文匹配的外层目的IP进行限速。

具体的，本发明实施例若限速网关接收到的当前业务流量报文为underlay流量报文，则先根据第三Meter表对underlay流量报文匹配的外层源IP进行限速，随后根据第四Meter表对underlay流量报文匹配的外层目的IP进行限速。该双层限速架构通过独立的Meter表对源IP和目的IP进行限速配置，确保在流量控制过程中能够同时对两者进行有效管理。

在又一个优选实施例中，所述方法还包括：

在所述限速网关与公网网关之间建立云内overlay网络，利用不同的VRF对入云流量和出云流量进行隔离。

具体的，请参阅图2，图2是本发明提供的一种网络限速方法的一个优选实施例的交互示意图。针对公网网关上存在两个公网IP的明细路由时，无法对同可用区公网IP互访流量进行限速的问题，本发明实施例通过在限速网关与公网网关之间建立云内overlay网络，利用不同的VRF对入云流量（VRF为1018，VNI为1018）和出云流量（VRF为1017，VNI为1017）进行隔离，从而实现同AZ公网IP流量互访的精准限速。其中，云内overlay网络：指在物理网络（underlay）之上，通过隧道技术（如VxLAN）构建的逻辑网络。本发明实施例的实现步骤包括设计overlay网络架构，配置VRF以处理不同类型的流量，设置流量限速策略以确保入云和出云流量按照预定速率处理，并部署监控工具以实时监测流量情况，确保限速策略的有效性。

示例性的，通过不同的VRF和VNI实现隔离。

入云流量：创建一个VRF（例如VRF_ IN，VNI 1018）：所有从互联网进来、目的地是云内公网IP的流量，在限速网关和公网网关上都被打上VNI 1018的标签。

出云流量：创建另一个VRF（例如VRF_ OUT，VNI 1017）：所有从云内发出、去往互联网的流量，都在限速网关和公网网关上被打上VNI 1017的标签。

这两个VRF在限速网关上是路由隔离的，就像两个完全独立的路由器。

隔离后，互访流量被强制赋予了方向性。假设IP-A访问IP-B：

从IP-A发出的流量，被视为出云流量，进入VRF 1017，并匹配IP-A的出云限速策略。

流量到达IP-B所在节点后，被送入入云流量的VRF 1018，并匹配IP-B的入云限速策略。

这样，一次互访行为会分别消耗源IP的出云带宽和目的IP的入云带宽，从而实现了精准的双向限速。

在又一个优选实施例中，所述接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络，包括：

接收所述静态VxLAN隧道转发的所述overlay流量报文；

将所述静态VxLAN隧道对应的路由信息泄露至所述underlay网络的路由表中；

根据所述underlay网络的路由表中的路由信息，将所述overlay流量报文转发至所述underlay网络。

具体的，本发明实施例当限速网关接收到静态VxLAN隧道转发的overlay流量报文后，将静态VxLAN隧道对应的路由信息泄露至underlay网络的路由表中，实现从一个VRF路由表到另一个VRF路由表的直接信息复制与注入，最终由芯片实现高性能的跨VRF数据转发。根据underlay网络的路由表中的路由信息，将overlay流量报文转发至underlay网络。例如，出云场景时，流量在限速网关上需要出云，VRF由出云Vrf1017泄露到default Vrf（默认虚拟路由转发实例）即对应的underlay网络，从而出云流量到default Vrf中查找路由，再根据从上联设备学到的默认路由进行出云，实现出云静态VxLAN隧道与underlay BGP之间的路由联动。

在又一个优选实施例中，所述限速网关与上联设备采用全互联方式进行连接，且所述限速网关包括主限速网关和备限速网关，所述主限速网关发布的BGP路由中的AS路径长度小于所述备限速网关发布的BGP路由中的AS路径长度。

具体的，本发明实施例中限速网关与上联设备（即上联出口设备）采用全互联（full mesh）方式进行连接，且限速网关包括主限速网关和备限速网关，构建了集群内的主备架构。通过BGP协议发布的路由AS路径长度的差异来确定设备之间的主备逻辑，其中，备限速网关的BGP路由AS路径比主限速网关的AS路径多出一个本地AS号。根据BGP AS选路原则，会优先选择AS路径长度最短的路由。其中，AS路径是指数据包从源AS到目的AS所经过的所有AS的列表，路径越短，则优先级越高。AS路径长度越短，则优先级越高。这一设计有效确保在正常情况下，公网流量仅在主限速网关上进行转发和限速处理，从而提高了网络的稳定性和流量管理的效率。此外，该主备架构还具备故障切换能力，当主限速网关发生故障时，备限速网关能够迅速接管流量转发和限速功能，确保网络服务的连续性和可靠性。

示例性的，

1、主设备通告：主限速网关向上联出口设备发布通往云内网段的路由时，使用正常的AS_PATH，例如 [AS_Limit_GW]。

2、备设备通告：备限速网关发布相同网段的路由时，在AS_PATH中预pend（前置）一个额外的自身AS号，例如 [AS_Limit_GW_Backup,AS_Limit_GW]。

3、BGP选路：上联出口设备同时收到这两条路由。根据BGP的选路规则，AS_PATH更短的路由优先。因此，主设备发布的路由（路径更短）被优选，所有流量都被发送到主用限速网关。

4、故障切换：当主设备故障，BGP会话中断，其发布的路由会从上联设备的路由表中消失。此时，只剩备用设备发布的路径较长的路由，流量自动切换至备用设备。

本发明实施例采用主备架构，能够实现单点故障场景下，业务流量秒级切换。

在又一个优选实施例中，所述方法还包括：

基于所述上联设备的BGP邻居关系，创建对应的BFD会话；

根据预设的BFD检测参数，检测所述主限速网关与所述上联设备之间的链路是否故障；

若检测到所述链路故障，则触发所述BGP邻居关系变为Down，并加速路由收敛，以将流量切换至所述备限速网关。

具体的，请参阅图3，图3是本发明提供的一种网络限速方法的另一个优选实施例的交互示意图。本发明实施例中限速网关与上联设备在建立BGP邻居关系时，额外创建一个对应的BFD会话，并将该BFD对话绑定至对应的BGP邻居，以使限速网关与上联出口设备之间同时运行两个方向的BFD检测：

网关→出口设备：检测上行链路（如网关到核心路由器的物理链路）；

出口设备→网关：检测下行链路（如核心路由器到网关的回程路径）。

然后，根据预设的BFD检测参数，检测主限速网关与上联设备之间的链路是否故障。例如，双方协商检测间隔（如100ms）和允许的丢包次数（如3次）。若连续3次未收到BFD报文，则判定链路故障。若检测到链路故障，则触发BGP邻居关系变为Down，并加速路由收敛，撤销主限速网关的路由，上联出口设备重新计算路由，将流量切换至备限速网关。对比原生BGP，BFD将故障检测时间从60秒缩短至毫秒级，路由收敛时间从秒级缩短至亚秒级。

本发明实施例在限速网关与上联出口设备之间建立了BGP + BFD快速故障检测机制，通过引入BFD与BGP联动功能，建立两台限速网关设备之间的双向状态检测链路，然后会按照协商后的时间间隔定期发送控制报文来检测链路的连通性，实现了单点故障场景下业务流量的秒级切换。

相应地，本发明还提供一种网络限速装置，能够实现上述实施例中的网络限速方法的所有流程。

请参阅图4，图4是本发明提供的一种网络限速装置的一个优选实施例的结构示意图。所述网络限速装置，应用于限速网关，所述装置包括：

报文判断模块401，用于接收当前业务流量报文，判断当前业务流量报文的类型；

第一限速模块402，用于若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

第二限速模块403，用于若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

报文转发模块404，用于接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

优选地，所述若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为overlay流量报文，则根据第一Meter表对所述overlay流量报文匹配的内层源IP进行限速；

根据第二Meter表对所述overlay流量报文匹配的内层目的IP进行限速。

优选地，所述若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为underlay流量报文，则根据第三Meter表对所述underlay流量报文匹配的外层源IP进行限速；

根据第四Meter表对所述underlay流量报文匹配的外层目的IP进行限速。

优选地，所述装置还包括流量隔离模块，所述流量隔离模块用于：

在所述限速网关与公网网关之间建立云内overlay网络，利用不同的VRF对入云流量和出云流量进行隔离。

优选地，所述接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络，包括：

接收所述静态VxLAN隧道转发的所述overlay流量报文；

将所述静态VxLAN隧道对应的路由信息泄露至所述underlay网络的路由表中；

根据所述underlay网络的路由表中的路由信息，将所述overlay流量报文转发至所述underlay网络。

优选地，所述限速网关与上联设备采用全互联方式进行连接，且所述限速网关包括主限速网关和备限速网关，所述主限速网关发布的BGP路由中的AS路径长度小于所述备限速网关发布的BGP路由中的AS路径长度。

优选地，所述装置还包括故障检测模块，所述故障检测模块用于：

基于所述上联设备的BGP邻居关系，创建对应的BFD会话；

根据预设的BFD检测参数，检测所述主限速网关与所述上联设备之间的链路是否故障；

若检测到所述链路故障，则触发所述BGP邻居关系变为Down，并加速路由收敛，以将流量切换至所述备限速网关。

在具体实施当中，本发明实施例提供的网络限速装置的工作原理、控制流程及实现的技术效果，与上述实施例中的网络限速方法对应相同，在此不再赘述。

请参阅图5，图5是本发明提供的一种终端设备的一个优选实施例的结构示意图。所述终端设备包括处理器501、存储器502以及存储在所述存储器502中且被配置为由所述处理器501执行的计算机程序，所述处理器501执行所述计算机程序时实现上述任一实施例所述的网络限速方法。

优选地，所述计算机程序可以被分割成一个或多个模块/单元（如计算机程序1、计算机程序2、……），所述一个或者多个模块/单元被存储在所述存储器502中，并由所述处理器501执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述终端设备中的执行过程。

所述处理器501可以是中央处理单元（Central Processing Unit，CPU），还可以是其他通用处理器、数字信号处理器（Digital Signal Processor，DSP）、专用集成电路（Application Specific Integrated Circuit，ASIC）、现场可编程门阵列（Field-Programmable Gate Array，FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，通用处理器可以是微处理器，或者所述处理器501也可以是任何常规的处理器，所述处理器501是所述终端设备的控制中心，利用各种接口和线路连接所述终端设备的各个部分。

所述存储器502主要包括程序存储区和数据存储区，其中，程序存储区可存储操作系统、至少一个功能所需的应用程序等，数据存储区可存储相关数据等。此外，所述存储器502可以是高速随机存取存储器，还可以是非易失性存储器，例如插接式硬盘，智能存储卡（Smart Media Card，SMC）、安全数字（Secure Digital，SD）卡和闪存卡（Flash Card）等，或所述存储器502也可以是其他易失性固态存储器件。

需要说明的是，上述终端设备可包括，但不仅限于，处理器、存储器，本领域技术人员可以理解，图5的结构示意图仅仅是上述终端设备的示例，并不构成对上述终端设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述任一实施例所述的网络限速方法。

本发明实施例还提供了一种计算机程序产品，所述计算机程序产品包括计算机程序或计算机指令，所述计算机程序或所述计算机指令被处理器执行时实现上述任一实施例所述的网络限速方法。

本发明实施例提供了一种网络限速方法、装置、设备、存储介质及计算机程序产品，通过限速网关实现对出云流量和入云流量的限速控制，限速网关接收到当前业务流量报文后，先判断当前业务流量报文的类型。若当前业务流量报文为overlay流量报文，限速网关将对匹配的内层源IP和目的IP进行限速。若当前业务流量报文为underlay流量报文，限速网关将对匹配的外层源IP和目的IP进行限速。当限速网关接收到静态VxLAN隧道转发的所述overlay流量报文时，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。本发明实施例设计了限速网关的公网业务流量报文限速与处理流程，该流程通过精确的限速算法和高效的报文处理逻辑，显著提升了公网流量的限速精度，并优化了端口封堵的匹配逻辑，从而有效提高网络流量管理的灵活性与安全性。

需说明的是，以上所描述的系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的系统实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (11)

1.一种网络限速方法，其特征在于，应用于限速网关，所述方法包括：

接收当前业务流量报文，判断当前业务流量报文的类型；

若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

2.如权利要求1所述的网络限速方法，其特征在于，所述若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为overlay流量报文，则根据第一Meter表对所述overlay流量报文匹配的内层源IP进行限速；

根据第二Meter表对所述overlay流量报文匹配的内层目的IP进行限速。

3.如权利要求1所述的网络限速方法，其特征在于，所述若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速，包括：

若所述当前业务流量报文为underlay流量报文，则根据第三Meter表对所述underlay流量报文匹配的外层源IP进行限速；

根据第四Meter表对所述underlay流量报文匹配的外层目的IP进行限速。

4.如权利要求2或3所述的网络限速方法，其特征在于，所述方法还包括：

在所述限速网关与公网网关之间建立云内overlay网络，利用不同的VRF对入云流量和出云流量进行隔离。

5.如权利要求1所述的网络限速方法，其特征在于，所述接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络，包括：

接收所述静态VxLAN隧道转发的所述overlay流量报文；

将所述静态VxLAN隧道对应的路由信息泄露至所述underlay网络的路由表中；

根据所述underlay网络的路由表中的路由信息，将所述overlay流量报文转发至所述underlay网络。

6.如权利要求1所述的网络限速方法，其特征在于，所述限速网关与上联设备采用全互联方式进行连接，且所述限速网关包括主限速网关和备限速网关，所述主限速网关发布的BGP路由中的AS路径长度小于所述备限速网关发布的BGP路由中的AS路径长度。

7.如权利要求6所述的网络限速方法，其特征在于，所述方法还包括：

基于所述上联设备的BGP邻居关系，创建对应的BFD会话；

根据预设的BFD检测参数，检测所述主限速网关与所述上联设备之间的链路是否故障；

若检测到所述链路故障，则触发所述BGP邻居关系变为Down，并加速路由收敛，以将流量切换至所述备限速网关。

8.一种网络限速装置，其特征在于，应用于限速网关，所述装置包括：

报文判断模块，用于接收当前业务流量报文，判断当前业务流量报文的类型；

第一限速模块，用于若所述当前业务流量报文为overlay流量报文，则对匹配的内层源IP和目的IP进行限速；

第二限速模块，用于若所述当前业务流量报文为underlay流量报文，则对匹配的外层源IP和目的IP进行限速；

报文转发模块，用于接收静态VxLAN隧道转发的所述overlay流量报文，采用路由泄露技术，将所述overlay流量报文转发至underlay网络。

9.一种终端设备，其特征在于，包括处理器和存储器，所述存储器中存储有计算机程序，且所述计算机程序被配置为由所述处理器执行，所述处理器执行所述计算机程序时实现如权利要求1至7中任意一项所述的网络限速方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，其中，所述计算机可读存储介质所在设备执行所述计算机程序时，实现如权利要求1至7中任意一项所述的网络限速方法。

11.一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机程序或计算机指令，所述计算机程序或所述计算机指令被处理器执行时实现如权利要求1至7中任意一项所述的网络限速方法。