一种路径选择的方法、装置和系统与流程

一种路径选择的方法、装置和系统
1.本申请是向中国国家知识产权局提交的申请日为2016年12月24日、申请号为201611210906.1、发明名称为“一种路径选择的方法、装置和系统”的申请的分案申请。
技术领域
2.本发明涉及通信技术领域，特别涉及一种路径选择的方法、装置和系统。


背景技术：

3.网络中的业务传输过程中的自动保护倒换(英文：automatic protection switching，aps)是指使用一条保护通道为一条或多条工作通道提供保护。当工作通道出现故障，原来在工作通道上传输的业务可以自动倒换到保护通路上来，从而最大限度地保障用户数据不被丢失，提高网络的可靠性。aps协议用于在双向保护倒换时协调源宿双方的动作，使得源宿双方通过配合，共同完成保护倒换、倒换延迟、等待恢复等功能。这里的源宿端分别可以为数据传输网(例如ipran(英文：internet protocol radio access network)/城域网,ptn(英文：packet transport network)、光传输网等)中的两端的源端运营商边缘(英文：provider edge，pe)节点/设备和远端或者对端pe。
4.aps作为一种保护机制为标签交换路径(英文：label switched path，lsp)或伪线(英文：pseudo wire,pw)等提供端到端的保护。通过预先建立保护路径，以便当工作路径(节点)失效时切换使用，尽量减少由于工作路径的失效而造成流量中断的损失。
5.源端pe中的aps状态机根据路径当前的缺陷状态，远端aps报文，或者进一步综合其他条件，诸如配置下发的手工倒换命令和/或wrt或者hold
‑
off timer确定倒换的路径。目前识别aps报文的唯一键值为业务标签，业务标签相同的aps报文被认为是同一个业务对应的aps报文。如果aps报文来源错误，则会导致aps决策错误，从而影响路径切换的正确性或效率。


技术实现要素：

6.本申请实施例提供了一种应用于aps的路径选择的方法、装置、系统和存储介质，可以减少aps报文来源错误，从而提高路径切换的正确性或效率。本申请实施例还提供了一种应用于aps的报文校验的方法、装置、系统和存储介质，可以减少aps报文来源错误，提高aps决策正确性。
7.第一方面，本发明实施例提供了一种选择路径的方法，所述方法应用于aps网络，所述网络包括运第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立有主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述方法包括：所述第一网络设备接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息，根据所述的动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述流量走向决策信息选择向所述第二网络设备发送流量的路径。
8.通过使用包括了动态随机生成的随机key值的动态加密验证信息对所述第一流量决策报文进行加密校验，从而可以防止该流量决策报文为来源于黑客或者非法第三方攻击的aps报文，或该流量决策报文为来源于第三网络设备发送的基于残留aps配置或者错误配置的aps报文，提高了aps报文来源的正确性，从而可以根据正确的aps报文中的流量走向决策信息进行路径切换决策，提高了aps决策的正确性，进而提高了路径切换的正确性或效率。
9.结合第一方面，在第一种可能的实现方式中，该方法还包括:所述第一网络设备向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法；接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；并记录所述第二网络设备的加密能力和加密算法。
10.通过加密能力和加密算法的协商而不是系统直接配置，增加了加密和解密校验的灵活性。
11.结合第一方面，在第二种可能的实现方式中，该方法还包括:所述动态加密校验信息包括随机key值以及使用所述第二网络设备的加密算法计算所述随机key值和所述第二网络设备获取的配置信息所得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述第一网络设备使用所述加密算法计算所述key值和所述第一网络设备获取的所述配置信息所得到的第二摘要，校验所述第二摘要和所述第一摘要。
12.结合第一方面，在第三种可能的实现方式中，该方法还包括:所述动态加密校验信息包括随机key值、配置信息以及使用所述第二网络设备的加密算法计算所述key值和配置信息得到的第一摘要，所述配置信息包括至少下述信息之一：隧道信息和oam信息；第一网络设备使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要。
13.上述第二和第三种可能的实现方式中，通过进一步将配置信息(例如隧道信息和/或oam信息)纳入加密摘要的计算，进一步提高了aps报文来源的正确性，进而提供了路径选择的正确性。因为不管是隧道信息还是oam信息都是仅为所述主/备路径两端的网络设备所知而不为第三方所知的信息，进一步提高了第三方发送非法aps报文的难度。并且通过上述两种可能的实现方式提供了灵活多样的获取用于计算加密摘要的配置信息的方式，从而有助于支持各种不同设备的加密校验方式。
14.第二方面，本发明实施例提供了一种校验报文的方法，所述的方法应用于aps网络，所述网络包括运第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述方法包括:所述第一网络设备接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；所述第一网络设备使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要；
在所述第二摘要和所述第一摘要一致的情况下，所述第一网络设备根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径。在所述第二摘要和所述第一摘要不一致的情况下，所述第一网络设备忽略所述第一流量决策报文。
15.通过使用动态随机生成的随机key值以及受保护的配置信息对所述第一流量决策报文进行加密摘要计算，并通过校验两端计算的加密摘要进行流量决策报文的加密校验，从而可以防止该流量决策报文为来源于黑客或者非法第三方攻击的aps报文，或该流量决策报文为来源于第三网络设备发送的基于残留aps配置或者错误配置的aps报文，提高了aps报文来源的正确性，从而可以根据正确的aps报文中的流量走向决策信息进行路径切换决策，提高了aps决策的正确性。
16.结合第二方面，在第一种可能的实现方式中，该方法还包括:向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法；接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；记录所述第二网络设备的加密能力和加密算法。
17.通过加密能力和加密算法的协商而不是系统直接配置，增加了加密和解密校验的灵活性。
18.结合第二方面，在第二种可能的实现方式中，在所述第二摘要和所述第一摘要不一致的情况下，记录所述第二网络设备发送的所述key值，形成屏蔽名单。
19.通过记录错误的key值形成黑名单，后续如果收到携带同样key值的流量决策报文(例如aps报文)，则可以直接忽略该aps报文，从而提高了aps校验的速度和效率。
20.结合第二方面，在第三种可能的实现方式中，所述计算所述第一摘要和第二摘要用的配置信息携带在所述第一流量决策报文、通过所述加密协商报文和加密协商回复报文中协商确定、或者存储在所述第一网络设备和第二网络设备中。
21.通过上述该实现方式提供了灵活多样的获取用于计算加密摘要的配置信息的方式，从而有助于支持各种不同设备的加密校验方式。
22.第三方面，本发明实施例提供了一种选择路径的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述选择路径的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述第一网络设备包括：收发单元，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息；路径选择单元，用于根据所述动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述流量走向决策信息选择向所述第二网络设备发送流量的路径。
23.通过使用包括了动态随机生成的随机key值的动态加密验证信息对所述第一流量决策报文进行加密校验，从而可以防止该流量决策报文为来源于黑客或者非法第三方攻击的aps报文，或该流量决策报文为来源于第三网络设备发送的基于残留aps配置或者错误配置的aps报文，提高了aps报文来源的正确性，从而可以根据正确的aps报文中的流量走向决策信息进行路径切换决策，提高了aps决策的正确性，进而提高了路径切换的正确性或效率。
24.第四方面，本发明实施例提供了一种选择路径的装置，所述的装置应用于aps网
络，所述网络包括第一网络设备和第二网络设备，所述的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述第一网络设备包括：收发器，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息；处理器，用于根据所述动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述流量走向决策信息选择向所述第二网络设备发送流量的路径。
25.第五方面，本发明实施例提供了一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述装置包括：收发单元，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；处理单元，用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径，以及在所述第二摘要和所述第一摘要不一致的情况下，忽略所述第一流量决策报文。
26.第六方面，本发明实施例提供了一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述装置包括：收发器，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；处理器，用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径，以及在所述第二摘要和所述第一摘要不一致的情况下，忽略所述第一流量决策报文。
27.第七方面，本申请实施例提供了一种校验报文的方法，所述的方法应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述方法由所述第二网络设备执行，所述方法包括：获取流量走向决策信息、
配置信息和随机key值，所述配置信息包括下述信息中的至少一种：oam信息和隧道信息；使用加密算法计算所述随机key值和所述配置信息得到第一摘要；向所述第一网络设备发送第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值以及所述第一摘要；其中所述配置信息、随机key值以及第一摘要由所述第一网络设备用于校验所述所述第一流量决策报文，所述流量走向决策信息由所述第一网络设备用于在所述校验通过后选择向所述第二网络设备传输流量的传输路径。
28.通过使用动态随机生成的随机key值以及受保护的配置信息(oam信息和/或隧道信息)对所述第一流量决策报文进行加密摘要计算，将该随机key值和该加密摘要发送至对端网络设备，这样对端网络设备就可以使用该随机key值采用协商一致的加密摘要计算第二加密摘要来进行流量决策报文的加密校验，从而可以防止该流量决策报文为来源于黑客或者非法第三方攻击的aps报文，或该流量决策报文为来源于第三网络设备发送的基于残留aps配置或者错误配置的aps报文，提高了aps报文来源的正确性，从而可以根据正确的aps报文中的流量走向决策信息进行路径切换决策，提高了aps决策的正确性。
29.结合第七方面，在第一种可能的实现方式中，所述方法进一步包括：所述第二网络设备向所述第一网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法；接收所述第一网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第一网络设备的加密能力和加密算法；记录所述第一网络设备的加密能力和加密算法。
30.通过加密能力和加密算法的协商而不是系统直接配置，增加了加密和解密校验的灵活性。
31.第八方面，本申请实施例提供了一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述装置包括：获取单元，用于获取流量走向决策信息、配置信息和随机key值，所述配置信息包括下述信息中的至少一种：oam信息和隧道信息；处理单元，用于使用加密算法计算所述随机key值和所述配置信息得到第一摘要；收发单元，用于向所述第一网络设备发送第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值以及所述第一摘要；其中所述配置信息、随机key值以及第一摘要由所述第一网络设备用于校验所述所述第一流量决策报文，所述流量走向决策信息由所述第一网络设备用于在所述校验通过后选择向所述第二网络设备传输流量的传输路径。
32.第九方面，本申请实施例提供了一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，，所述装置包括：处理器和收发器；所述处理器
用于获取流量走向决策信息、配置信息和随机key值，所述配置信息包括下述信息中的至少一种：oam信息和隧道信息，并使用加密算法计算所述随机key值和所述配置信息得到第一摘要；所述收发器用于向所述第一网络设备发送第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值以及所述第一摘要；其中所述配置信息、随机key值以及第一摘要由所述第一网络设备用于校验所述所述第一流量决策报文，所述流量走向决策信息由所述第一网络设备用于在所述校验通过后选择向所述第二网络设备传输流量的传输路径。
33.第十方面，本申请实施例提供了一种计算机可读存储介质，该计算机存储介质中存储有程序代码，该程序代码用于指示执行上述第一方面或第一方面的任意可能的实现方式中的方法。
34.第十一方面，本申请实施例提供了一种计算机可读存储介质，该计算机存储介质中存储有程序代码，该程序代码用于指示执行上述第二方面或第二方面的任意可能的实现方式中的方法。
35.第十二方面，本申请实施例提供了一种计算机可读存储介质，该计算机存储介质中存储有程序代码，该程序代码用于指示执行上述第七方面或第七方面的任意可能的实现方式中的方法。
36.第十三方面，本申请实施例提供了一种验证报文的系统，应用于aps网络，该系统包括上述第三至第六方面中任一实现方式中的第一网络设备以及相应的第二网络设备。
37.第十四方面，本申请实施例提供了一种验证报文的系统，应用于aps网络，该系统包括上述第八至或第九方面中的第二网络设备以及相应的第一网络设备。
38.第十四方面，本申请实施例提供了一种验证报文的系统，应用于aps网络，该系统包括上述第三至第六方面中任一实现方式中的第一网络设备以及上述第八至或第九方面中的第二网络设备。
附图说明
39.图1为本发明实施例提供的一种aps保护场景组网架构示意图；
40.图2为本发明实施例提供的一种aps系统切换工作原理图；
41.图3为本发明实施例提供的一种aps从主切换至备路径工作原理图；
42.图4为本发明实施例提供的一种异常aps报文处理示意图；
43.图5为本发明实施例提供的一种路径选择流程示意图；
44.图6为本发明实施例提供的一种aps报文校验流程示意图；
45.图7为本发明实施例提供的一种aps报文扩展方式示意图；
46.图8为本发明实施例提供的一种aps报文payload组成示意图；
47.图9为本发明实施例提供的一种对aps报文动态加密和校验流程示意图；
48.图10为本发明实施例提供的一种路径选择装置结构示意图；
49.图11为本发明实施例提供的一种报文校验装置结构示意图；
50.图12为本发明实施例提供的另一种报文校验装置结构示意图；
51.图13为本发明实施例提供的一种应用于aps的网络设备结构示意图；
52.图14为本发明实施例提供的一种aps系统结构示意图。
具体实施方式
53.为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
54.本发明实施例描述的网络架构以及业务场景是为了更加清楚的说明本发明实施例的技术方案，并不构成对于本发明实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本发明实施例提供的技术方案对于类似的技术问题，同样适用。
55.参见图1为本发明实施例提供的一种aps保护场景系统组网架构示意图，该网络系统可以为例如ipran(英文：internet protocol radio access network)/城域网,ptn(英文：packet transport network)、sdh(英文：synchronous optical networking)网络、光传输网等数据传输网或承载网。该网络系统包括运营商边缘节点或设备pe1、运营商(provider，p)设备p1、运营商(provider，p)设备p2以及pe2。需要说明的是，本申请实施例以运营商运营商边缘节点为例说明，后续实施方式中也主要用第一pe、设备和第二pe设备为例说明，本发明不限于此，本发明也可以适用于在其他网络场景下的aps应用，因此，可以将各种网络场景下的源宿两端设备称为第一网络设备和第二网络设备。该第一网络设备和第二网络设备具体可以为交路由器、交换机等转发业务流量的设备，而且还包括在sdn(software defined network)场景下的交换机，在sdn情况下，该网络设备可以是由控制器以及相应的转发设备一起组合而成。其中pe1与pe2之间包括两条路径，其中工作路径(英文：work path)(或者称为主路径，本申请全文可以互换使用)由pe1
‑
p1
‑
pe2组成，保护路径(英文：protection path)(或者称为备路径，本申请全文可以互换使用)由pe1
‑
p2
‑
pe2组成。主路径可以为lsp、pw等路径，备路径也可以为lsp、pw等路径。当主路径出现故障时，pe设备将业务流量从主路径倒换(或切换，本申请全文可以互换使用)至备路径，从而不中断相应的业务。该主备路径可以位于同一隧道中，也可以位于不同的隧道中。需要说明的是，图1所示的系统仅仅是本申请实施例的一种应用场景，不应对本申请的应用场景构成限定。
56.如图2提供了一种aps切换原理的具体实施方式示意图，在该实施方式中，端到端业务节点设备上的源端pe设备和宿端pe都包括操作、管理和维护(英文：operation administration and maintenance，oam)状态机和aps状态机，其中oam状态机包括工作路径oam状态机和保护路径oam状态机。(为了方便说明，本申请将源端pe设备称为第一pe设备，将宿端或源端pe设备称为第二pe设备)。通过两端pe设备的oam和aps状态机的交互以及各端设备内部oam和aps状态机的交互完成aps路径切换过程。oam报文在主备路径上进行发送和接收以此来检测主备路径的故障。oam状态机通过定设备内交互报文期通知aps状态机各路径状态。两端pe设备的aps状态机通过aps报文在备用路径上运行来协调两端的aps决策结果。下面以本申请实施例提供的aps从主路径切换到备路径为例进一步说明aps的工作过程。
57.参见图3，aps从主路径切换到备路径的具体工作过程如下：
58.1)第一pe设备和第二pe设备之间的主路径故障后，第一pe设备中的主路径的oam状态机感知到主路径上的路径报文收发出现问题。第一pe设备中的主路径的oam状态机通
过该设备内交互报文通知该第一pe设备中的的aps状态机主路径故障走备路径。同理，第二pe设备中的主路径的oam状态机感知到该主路径上的路径报文收发出现问题，第二pe设备中的主路径的oam状态机通过该设备内交互报文通知该第二pe设备中的的aps状态机主路径故障走备路径。
59.2)第一pe设备中的备路径的oam状态机通过该设备内交互报文通知该第一pe设备中的的aps状态机备路径正常，同理，第二pe设备中的备路径的oam状态机通过该设备内交互报文通知该第二pe设备中的的aps状态机备路径正常，
60.3)第二pe设备中的aps状态机向第一pe设备中的aps状态机发送aps报文通告走备路径，该aps报文中包括业务标签以及流量走向决策信息。其中流量走向决策信息具体可以包括那些会影响aps决策结果和流量切换状态的信息，例如指示业务流量应该走在主路径上还是在备路径上的信息，以及进一步还可以包括其他影响流量决策的信息，具体参考下图5中的实施方式，业务标签用于指示所述aps报文关联对应的业务，第一pe设备收到该aps报文后如果确认业务标签相同，则采用该aps报文中的流量走向决策信息作为路径决策的参考。
61.4)第一pe设备中的aps状态机综合oam状态机的通知状态以及第二pe设备aps报文内容，决策流量应该走备路径。
62.5)第一pe设备中的aps状态机刷新转发路径状态走备路径。
63.6)第一pe设备中的aps状态机通过aps报文通知第二pe设备的aps状态机该第一pe设备走备路径，第二pe设备中的aps状态机收到此报文后也决策走备路径。
64.在上述路径切换决策过程中，识别aps报文的唯一标识为业务标签，业务标签相同的aps报文认为是同一个业务对应的aps报文。如上述第二pe想第一pe发送的aps报文中携带的业务标签与该待切换流量对应的业务的正常标签一样，例如都为100，则第一pe设备在进行路径切换决策时将会参考第二pe设备发送的aps报文中携带的内容，如果aps报文来源错误，则会导致aps决策错误。采用唯一的业务标签标识aps报文，在实践中可能会引起以下问题：
65.静态场景下，设备上残留aps配置或者配置错误的aps，如果残留或者错误配置的aps报文静态标签重复，这种情况会导致pe设备收到错误aps报文，进而影响aps的决策结果。
66.恶意攻击场景下：恶意构造模拟的携带非法状态的aps payload报文并携带正常业务标签，则这种aps报文也会被pe接收并处理，进而会导致aps决策错误，从而影响路径切换的正确性。
67.上述恶意构造的aps报文导致的结果跟残留或者错误配置aps产生的问题类似，都会引起aps因为错误输入源问题而导致路径决策结果不准确或者错误，进而影响路径切换的正确性。
68.如图4所示，pe2上的aps状态机收到pe1设备aps报文，该aps报文中携带的业务标签与pe2上aps的正常标签一样，例如都为100，该aps报文中流量走向决策信息指示走备。此外，该pe2还不断收到来自pe3的aps报文(该aps报文为pe3残留或者错误配置发送)，该aps报文中的业务标签也与aps正常业务标签一样，报文中携带的流量走向决策信息为走备路径，而且还是收到来自hacker的aps报文，该aps报文中的业务标签也与aps正常业务标签一
样，而且携带的流量走向决策信息为走备路径，上述三个aps报文均会触发pe2进行路径决策，并且决策结果分别是走备路径或者走主路径，则pe2的aps决策结果在不断震荡，影响路径切换的正确性或效率。
69.为了解决上述问题，本发明实施例提供了一种路径选择的方法，参见图5，结合图1
‑
4中的的网络场景，本实施例中的pe可以为图1
‑
4的pe，该方法的括如下步内容：
70.502：pe1获取路径缺陷状态。
71.在一个具体的实施方式中，pe1获取pe1与pe2设备之间的主路径和备路径的路径缺陷状态，为了方便说明，本申请将pe1称为第一pe设备，将pe2称为第二pe设备。具体可以由所述第一pe设备中的主路径oam状态机监测主路径的缺陷状态，由所述第一pe设备中的备路径oam状态机监测备路径的缺陷状态，具体状态包括故障状态和正常状态。可以理解，在另外的实施方式中，也可以由一个oam状态机同时监测主路径和备路径的缺陷状态。oam状态机将监测的结果定期通告该该第一pe设备的aps状态机，从而获取主路径和备路径的缺陷状态。具体可以参考上述图2和3中的实施例。可以理解本发明可以采用现有的其他方式监测第一pe设备上的主备路径的缺陷状态，并不限于oam状态机和aps状态机的交互方式。
72.504：接收pe2发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息。
73.在一个具体的实施方式中，可以由第一pe设备的aps状态机与第二pe设备的aps状态机通过状态为正常的路径交互，第二pe设备的aps状态机向第一pe设备的aps状态机发送第一流量决策报文，该流量决策报文具体可以是aps报文，采用的协议为aps协议，mpls协议或者tp协议，或者也可以采用以后新产生的协议。具体可以参考上述图2和3对应实施例中描述的具体方式，此处不再赘述。该第一流量决策报文中包括流量走向决策信息和动态加密校验信息。参考如图6和图7，本申请提供的一种实施例中所述动态加密校验信息可以包括随机key值以及加密摘要，或者包括随机key值、配置信息以及加密摘要。本实施方式以其中该动态加密校验信息包括随机key值、配置信息以及加密摘要为例说明。可以理解的是，加密摘要也可以仅以随机key值计算得到，这种情况下，pe1和pe2都可以不用获取配置信息。在加密摘要需要利用配置信息计算的场合，计算加密摘要用的配置信息的获取方式可已包括以下几种：(1)pe1和pe2本地存储上有双方协商的配置信息，系统直接配置采用计算加密摘要的配置信息；(2)通过加密协商报文和加密协商回复报文中指定计算加密摘要用的配置信息；(3)将计算加密摘要用的配置信息携带在所述第一流量决策报文中(如本实施例和图9的实施方式)。
74.其中配置信息包括oam信息和/或隧道信息。隧道信息指的是上述主备路径所在的隧道的隧道信息，如前所述，该主备路径既可位于同一隧道中，也可以位于不同的隧道中，本发明对此不做限定。该隧道信息可以是标识业务的一些信息，对于不同的业务，都有一些专属于这个业务的一些信息，例如可以使用标识隧道转发路径的关键元素标识隧道信息，如转发标签、业务id(如lsp业务的lable switched path
‑
id或pw业务的virtual circuit
‑
id等)、目的地址，路由器的标识id、或loopback地址等。oam信息为与所述两个pe设备上所配置的oam组成的一个维护实体组(英文：(maintenance entity group,meg)相关的信息，meg中有两个维护终端点(英文：maintenance end point，mep)，使用mep
‑
id和remote
‑
mep
‑
id分别用于标识本地的mep和远端mep，也就是说，oam信息可以包括meg、mep
‑
id、remote
‑
mep
‑
id信息，还可以包括oam报文的发送频率等信息。
75.随机key值为所述pe2随机生成并填充至所述第一流量决策报文(如aps报文)中。加密摘要由所述pe2使用该pe2支持的加密算法计算该随机key值和配置信息得到。如图7所示，提供了一种携带所述动态加密校验信息的方式，该动态加密校验信息可以通过扩展aps报文tlv获得，具体可以在value下增加support、code type、key以及摘要字段，support字段指示是否支持动态加密，code type字段指示加密类型，例如可以为md5(message digest algorithm md5)或sha
‑
1(secure hash algorithm sha
‑
1)，aes(advanced encryption standard)等加密类型，key字段填充pe生成的随机key值，摘要字段填充pe利用其支持的加密算法计算所述key值和配置信息所得到的加密摘要。如前所述，在需要由所述第一流量决策报文携带该配置信息的场合下，所述的配置信息也可以由所述key字段携带，即key字段中的一部分用于携带所述随机key值，一部分用于携带所述配置信息。可以理解，以上扩展方式携带所述态加密校验信息仅是其中一种示例，该示例并不构成本发明的限定。在采用mpls协议或者tp协议的情况下，可以扩展该mpls协议或者tp协议报文相应的字段携带上述信息，此处不一一赘述。
76.如图8所示，本申请提供的一种实施例中所述的流量走向决策信息具体可以包括那些会影响aps决策结果和流量切换状态的信息。例如：aps报文中的requested signal信息，其填充的是是否希望对端从备路径发送流量，如果此字段填充0x01，则对端决策走备路径。此外，所述的流量走向决策信息还可以包括aps标准报文中的state、abdr、requested signal、bridged signal等字段均是aps状态机的输入，会影响aps决策结果。其中“state”指示了远端传送过来的aps的请求类型。该请求和本端倒换请求一起作用，产生本端最终的倒换状态。abdr字段分别包括如下：1)a：有无aps通道。2)b：桥接模式，例如是1:1还是1 1。3)d：倒换模式，单端倒换还是双端倒换。4)r：回切模式，可回切还是不可回切。requested signal和bridged signal用来承载本端的桥接和倒换状态并传送给远端。同时，也用来和收到的远端的桥接倒换状态进行一致性比较。可以理解，在采用mpls协议或者tp协议的情况下，该流量走向决策信息可以由mpls协议或者tp协议报文相应的字段携带，此处不一一赘述。
77.506：对第一流量决策报文进行加密校验。
78.在一个具体的实施方式中，pe1接收到pe2发送的第一流量决策报文后，根据所述动态加密验证信息对所述第一流量决策报文进行加密校验，具体可以参考图9，pe1利用其双方协商一致的加密算法计算所述pe2发送的第一流量决策报文中携带的所述随机key值和所述配置信息得到第二摘要(为了方便说明，本申请实施例将pe2计算得到的携带在pe2发送的第一流量决策报文中的摘要称为第一摘要，pe1计算得到的摘要称为第二摘要)，通过对比第二摘要和第一摘要，如果一致则验证通过，否则为验证不通过。可以理解的是，上述加密校验仅是本发明提供的一种实施方式，其并不构成对本发明的限定，本领域技术人员在阅读本申请文件的基础上可以想到采用其他的校验方式都在本发明的保护范围之内。
79.508：如果校验通过，pe1根据所述路径缺陷状态以及所述流量走向决策信息选择路径。
80.参考上述图2和3中的实施方式，pe1根据其获得的路径状态信息以及pe2返回的流
量走向决策信息选择向所述pe2传输流量的路径。在一个具体实施例中，如图8所示，如果所述流量走向决策信息包括可以有多条可以选择的备路径，则可以进一步包括每条备路径的状态，例如负载，优先级等影响路径选择的信息，pe1根据收到的这些信息结合路径缺陷状态综合分析选择一条传输流量的路径，从而可以进一步选择出更适合的路径用来传输流量，进而提供流量传输效率。可以理解，pe1也可以在综合分析后选择两条或以上路径作为向pe2传输流量的路径，从而可以进一步提高路径选择的灵活性并改善流量传输的负载均衡。
81.510：如果校验不通过，则忽略所述的第一流量决策报文。
82.具体实施方式中，当pe1在校验第一流量决策报文不通过后，可以丢弃所述第一流量决策报文或者忽略第一流量决策报文中的流量走向决策信息，不利用其作为选择路径的决策因素。
83.512：通过pe1选择的路径向所述pe2发送流量。
84.pe1利用其所选择的路径向所述的pe2传输流量。
85.在一个具体的实施方式中，所述的pe1还可以进一步记录所述第二网络设备发送的所述key值，形成屏蔽名单，即在解密失败后，把错误的key数值记录下来加到黑名单中，下次再来同样key的报文，直接不再解析处理。
86.本实施例通过对pe2发送的流量决策报文增加动态加密校验信息，该动态加密校验信息具有随机性和动态变化特点，根据该动态加密校验信息对该流量决策报文进行校验，并于校验通过后才利用该流量决策报文中的流量走向决策信息作为路径选择的决策因素或依据，可以很大程度上避免获取错误的aps报文进而获得错误的流量走向决策信息作为作为路径选择的决策因素或依据，进而可以避免因aps错误输入源问题而导致的路径决策结果不准确或者错误的问题。
87.参考图6，为本申请实施例提供的一种aps报文动态加密及校验方法，结合图1
‑
4中的的网络场景，本实施例中的pe可以为图1
‑
4的pe，该方法具体包括如下内容：
88.602：填充aps加密协商报文。
89.在一个具体的实施方式中，pe1将其自身的加密能力以及其自身支持的加密算法填充至aps加密协商报文，具体如图7所示，利用扩展aps报文tlv，扩展support字段以及code type字段，在所述的扩展support字段以及code type字段分别填充其自身的加密能力以及其自身支持的加密算法，产生aps加密协商报文。例如，如果support取值为1标识所述pe1支持aps报文加密，取值为0表示所述pe1不支持aps报文加密，code type取值为1表示支持md5加密算法，取值为2表示支持sha
‑
1加密算法。可以理解，也可以采取其他的取值方式，或者扩展aps报文其他字段或利用预留未用字段携带该加密能力和加密算法。本发明对此不做限定。
90.604：pe1向pe2发送aps加密协商报文，所述aps加密协商报文携带协商参数包括pe1的加密能力和pe1支持的加密算法。
91.pe1将上述步骤602产生的aps加密协商报文向pe2发送，协商双方的加密能力和加密算法，pe2收到该aps加密协商报文后记录该pe1的加密能力和加密算法。
92.606：pe2填充aps加密协商报文。
93.具体实施方式，参考上述步骤602。
94.608：pe2向pe1返回aps加密协商回复报文携带协商参数包括pe2的加密能力和pe2支持的加密算法。
95.具体实施方式，参考上述步骤604，pe1收到该aps加密协商回复报文后记录pe2的加密能力和加密算法。
96.经过步骤602
‑
608，pe1和pe2之间完成aps加密协商过程。两端互相知道对端的加密能力和所支持的加密算法。在该aps加密协商的基础上，进行后续正常的aps通讯报文的收发。具体参考步骤610
‑
616。
97.610：pe1向pe2发送正常的aps通讯报文，该aps报文携带pe1获得的随机key值、配置信息以及加密摘要。
98.在前述加密协商的基础上，pe1获知pe2的加密能力和支持的加密算法，例如，获知pe2支持aps报文加密且支持的加密算法为md5。pe1获得随机key值，具体可以是pe1随机生成的key值或者通过其他方式获得随机key值，并获得配置信息，所述配置信息可以包括oam信息和/或隧道信息，然后利用双方都支持的加密算法(如md5)计算该随机key值和所述的配置信息得到加密摘要。通过将被保护的oam信息和/或隧道信息等字配置信息加入密码计算，攻击者修改这些信息后将会导致和加密摘要不匹配，致使攻击者的aps报文被丢弃或者其中携带的流量走向决策信息不被考虑，从而不会产生异常aps报文影响路径选择的准确性。此外，通过随机产生的key值加入密码计算，生成的面摘要在不断的动态变化，即使攻击者获得报文，获得报文中的配置信息，由于key值的动态性，也会导致和加密摘要不匹配，致使攻击者的aps报文被丢弃或者其中携带的流量走向决策信息不被考虑，从而降低获得异常aps报文或者aps错误输入源的概率，进而降低路径决策结果不准确或者错误的情况发生。
99.612：pe2校验所述pe1发送的所述aps报文。
100.具体实施方式可以参考图9，以及图5中步骤506，pe2利用双方协商一致的加密算法(如md5)计算所述pe1发送的aps通讯报文中携带的所述随机key值和所述配置信息得到摘要和所述pe1发送的aps通讯报文中携带的摘要进行比较，如果比较结果为一致，则验证通过，否则为验证不通过。可以理解的是，上述aps校验仅是本发明提供的一种实施方式，其并不构成对本发明的限定，本领域技术人员在阅读本申请文件的基础上可以想到采用其他的校验方式都在本发明的保护范围之内。
101.614：pe2向pe1发送正常的aps通讯报文，该aps报文携带pe2获得的随机key值、配置信息以及加密摘要。
102.具体实施方式，参考上述步骤610，这里不再赘述。
103.616：pe1校验所述pe2发送的aps报文。
104.具体实施方式，参考上述步骤612，这里不再赘述。
105.参考图9，为本申请实施例提供的一种对aps报文动态加密和校验的方法，结合图1
‑
4中的的网络场景，本实施例中的pe可以为图1
‑
4的pe，该方法具体包括如下内容：
106.902：pe1接收第一流量决策报文，其中携带随机key值、配置信息和第一摘要。
107.在一个具体的实现方式中，pe1接收pe2发送的第一流量决策报文，例如aps报文，其中携带流量走向决策信息、所述pe2生成的随机key值、配置信息，以及所述pe2利用其支持的加密算法计算所述随机key值和配置信息得到的第一摘要。其中所述的流量走向决策
信息可以参考图5步骤504。随机key值、配置信息和第一摘要等具体参考图5和图6中的相关步骤，这里不再赘述。本实施方式以计算加密摘要的配置信息携带在所述第一流量决策报文，如上图5步骤504的描述中，在计算加密摘要的配置信息通过上述其他两种方式获取的情况下，该第一流量决策报文将不包括所述的配置信息。
108.904：pe1计算第二摘要。
109.在一个具体的实施方式中，pe1获取所述pe2发送的第一流量决策报文，获取其中携带的随机key值以及配置信息，利用双方协商一致的加密算法计算该获得的随机key值和配置信息得到第二摘要。在计算加密摘要的配置信息通过上述其他两种方式获取的情况下，pe1可以根据系统配置的计算加密摘要的配置信息直接从本地存储的双方协商的配置信息中获取；或者通过加密协商报文和加密协商回复报文中携带指定计算加密摘要用的配置信息获取计算加密摘要用的配置信息。
110.906：校验第一摘要和第二摘要。
111.在一个具体的实施方式中，主要采用比较所述第一摘要和所述第二摘要来进行校验。
112.908：校验不通过，忽略所述第一流量决策报文。
113.具体实施方式中，该忽略所述第一流量决策报文可以为：丢弃所述第一流量决策报文或者忽略第一流量决策报文中的流量走向决策信息，不利用其作为选择路径的决策因素。具体可以参考图5步骤512。
114.910：校验通过，pe1根据所述的流量走向决策信息选择传输流量的路径。
115.具体参考图5步骤508，此处不再赘述。
116.912：pe1利用所选择的路径想第二pe传输流量。
117.具体参考图5步骤512，此处不再赘述。
118.图10是根据本申请实施例的实施aps的一种路径选择装置1000示意性框图，图10所示的装置可以为前述方法实施例中(如图1
‑
6中)的pe设备，可以实现上述pe设备的功能。所述装置应用于aps网络场景，所述网络包括包括第一网络设备(例如上述第一pe)和第二网络设备(如上述第二pe)，所述选择路径的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，该路径选择装置包括获取单元1002、收发单元1004和路径选择单元1006。
119.获取单元1002，用于获取所述第一网络设备与第二网络设备之间的所述主路径和备路径的路径缺陷状态；
120.收发单元1004，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息；
121.路径选择单元1006，用于根据所述动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。
122.在一种具体实施方式中，所述获取单元1002获取所述第一网络设备与第二网络设备之间的所述主路径和备路径的路径缺陷状态具体可以参考图2和3中采用oam状态机和aps状态机的内部交互方式获取所述第一网络设备与第二网络设备之间的所述主路径和备
路径的路径缺陷状态。可以理解所述获取单元1002也可以采用本领域技术人员通过本申请后想到的其他获取所述第一网络设备与第二网络设备之间的主路径和备路径的路径缺陷状态的方式，本发明对此不做限定。
123.具体实施方式中，所述收发单元1004以及所述路径选择单元1006的具体实施方式可以参考图5
‑
9中两个pe之间的aps加密协商过程、加密协商过程中交互的信息以及协商之后正常aps通讯以及校验过程，为了简洁，不再赘述。
124.图11是根据本申请实施例的实施aps的一种报文校验装置1100示意性框图，图11所示的装置可以为前述方法实施例中(如图1
‑
6中)的pe设备，可以实现上述pe设备的功能。所述装置应用于aps网络场景，所述网络包括包括第一网络设备(例如上述第一pe)和第二网络设备(如上述第二pe)，所述报文验证装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间的协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，该报文验证装置包括收发单元1102和处理单元1104。
125.收发单元1102，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；
126.处理单元1104，用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径，以及在所述第二摘要和所述第一摘要不一致的情况下，忽略所述第一流量决策报文。
127.具体实施方式中，所述收发单元1102的具体实施方式可以参考图5
‑
9中两个pe之间的aps加密协商过程、加密协商过程中交互的信息以及协商之后正常aps通讯以及校验过程，为了简洁，不再赘述。所述所述处理单元1104的具体实施方式可以参考图5
‑
9中所述第一pe在aps加密协商过程之后的aps报文交互以及aps校验处理，为了简洁，不再赘述。
128.图12是根据本申请实施例的实施aps的一种报文校验装置1200示意性框图，图12所示的装置可以为前述方法实施例中(如图1
‑
6中)的pe设备，可以实现上述pe设备的功能。所述装置应用于aps网络场景，所述网络包括第一网络设备(例如上述第一pe)和第二网络设备(如上述第二pe)，所述报文验证装置为所述第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间的协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，所述装置包括：
129.获取单元1202，用于获取流量走向决策信息、配置信息和随机key值，所述配置信息包括下述信息中的至少一种：oam信息和隧道信息；
130.处理单元1204，用于使用加密算法计算所述随机key值和所述配置信息得到第一摘要；
131.收发单元1206，用于向所述第一网络设备发送第一流量决策报文，所述第一流量
决策报文包括所述流量走向决策信息、随机key值以及所述第一摘要；其中所述配置信息、随机key值以及第一摘要由所述第一网络设备用于校验所述所述第一流量决策报文，所述流量走向决策信息由所述第一网络设备用于在所述校验通过后选择向所述第二网络设备传输流量的传输路径。
132.在一个具体的实施方式中，所述收发单元1204进一步用于向所述第一网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法以及接收所述第一网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第一网络设备的加密能力和加密算法；所述处理单元1206进一步用于记录所述第一网络设备的加密能力和加密算法。
133.具体实施方式中，所述收发单元1202，所述处理单元1204以及所述收发单元1206的具体实施方式可以参考图5
‑
9中所述第二pe的功能和实施的步骤，为了简洁，不再赘述。
134.图13是根据本申请实施例的实施aps的一种网络设备1300示意性结构图，图13所示的装置可以为前述方法实施例中(如图1
‑
6中)的pe设备，可以实现上述pe设备的功能。所述装置应用于aps网络场景，所述网络包括包括第一网络设备(例如上述第一pe)和第二网络设备(如上述第二pe)，所述选择路径的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，如图13所示，该装置1300包括处理器1302、存储器1304和收发器1308，以及连接该处理器1302、存储器1304和收发器1308的各种连接线1310。收发器1306用于该装置与外界进行通信，存储器1304用于存放程序指令或程序1306，存储器1304可能包含高速随机存取存储器(ram：random access memory)，也可能还包括非不稳定的存储器(non
‑
volatile memory)，例如至少一个磁盘存储器，处理器1302可以调用存储器1304中存放的程序指令执行相应功能。
135.在一种具体的实施方式中：
136.所述收发器1308用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息；
137.所述处理器1302用于获取所述第一网络设备与第二网络设备之间的所述主路径和备路径的路径缺陷状态，根据所述动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。
138.该具体实施方式中，所述收发器1308和所述护理器1302的具体实现可以参考图5
‑
9中所述第一pe的功能和实施的步骤，为了简洁，不再赘述。
139.在另一种具体实施方式中：
140.所述收发器1308用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；
141.所述处理器1302用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路
access memory，简称：ram)、磁碟或者光盘等各种可以存储数据的介质。

技术特征：
1.一种选择路径的方法，所述的方法应用于aps网络，所述网络包括运第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，其特征在于，所述方法包括：所述第一网络设备获取所述第一网络设备与第二网络设备之间的所述主路径或备路径的路径缺陷状态；所述第一网络设备接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和校验信息，所述校验信息用于验证所述第一流量决策报文是所述第二网络设备发送的；所述第一网络设备根据所述校验信息对所述第一流量决策报文进行校验，并在校验通过后根据所述主路径或所述备路径的路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。2.如权利要求1所述的方法，其特征在于，在接收所述第二网络设备发送的第一流量决策报文前所述方法进一步包括：向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法；接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；记录所述第二网络设备的加密能力和加密算法。3.如权利要求1所述的方法，其特征在于，所述校验信息包括配置信息，所述配置信息为所述第一网络设备和所述第二网络设备本地存储的双方匹配的信息。4.如权利要求2或3所述的方法，其特征在于，所述校验信息包括动态加密校验信息，所述动态加密校验信息包括随机key值以及使用所述第二网络设备的加密算法计算所述随机key值和所述第二网络设备获取的配置信息所得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验包括：使用所述加密算法计算所述key值和所述第一网络设备获取的所述配置信息得到第二摘要，校验所述第二摘要和所述第一摘要。5.如权利要求2或3所述的方法，其特征在于，所述动态加密校验信息包括随机key值、配置信息以及使用所述第二网络设备的加密算法计算所述key值和配置信息得到的第一摘要，所述配置信息包括至少下述信息之一：隧道信息和oam信息；所述根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验包括：使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要。6.如权利要求4或5所述的方法，其特征在于，在所述第二摘要和所述第一摘要一致的情况下根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。7.如权利要求1
‑
6中任一项所述的方法，其特征在于，若所述路径缺陷状态为所述主路径故障且所述流量走向决策信息指示为走所述备路径时，则选择所述备路径向所述第二网
络设备发送流量。8.如权利要求1
‑
6中任一项所述的方法，其特征在于，若所述校验不通过，则忽略所述第一流量决策报文。9.如权利要求1
‑
7中任一项所述的方法，其特征在于，进一步包括：向所述第二网络设备发送第二流量决策报文以通知所述第一网络设备所选择的向所述第二网络设备发送流量的路径。10.如权利要求1
‑
8中任一项所述的方法，所述流量决策报文为aps报文，所述aps报文采用aps协议、mpls协议或tp协议。11.如权利要求1
‑
8中任一项所述的方法，其特征在于，所述路径为lsp路径或者pw路径。12.如权利要求1
‑
8中任一项所述的方法，其特征在于，所述第一网络设备和第二网络设备为运营商边缘节点设备。13.一种校验报文的方法，所述的方法应用于aps网络，所述网络包括运第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，其特征在于，所述方法包括：所述第一网络设备接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；所述第一网络设备使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要；在所述第二摘要和所述第一摘要一致的情况下，所述第一网络设备根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径；在所述第二摘要和所述第一摘要不一致的情况下，所述第一网络设备忽略所述第一流量决策报文。14.如权利要求13所述的方法，其特征在于，进一步包括：向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法；接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；记录所述第二网络设备的加密能力和加密算法。15.如权利要求14所述的方法，进一步包括，在所述第二摘要和所述第一摘要不一致的情况下，记录所述第二网络设备发送的所述key值，形成屏蔽名单。16.如权利要求13
‑
15中任一项所述的方法，其特征在于，所述计算所述第一摘要和第二摘要用的配置信息携带在所述第一流量决策报文、通过所述加密协商报文和加密协商回复报文中协商确定、或者存储在所述第一网络设备和第二网络设备中。
17.一种选择路径的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述选择路径的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，其特征在于，所述第一网络设备包括：获取单元，用于获取所述第一网络设备与第二网络设备之间的所述主路径和备路径的路径缺陷状态；收发单元，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和校验信息，所述校验信息用于验证所述第一流量决策报文是所述第二网络设备发送的；路径选择单元，用于根据所述校验信息对所述第一流量决策报文进行校验，并在校验通过后根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。18.如权利要求17所述的装置，其特征在于：所述收发单元进一步用于向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法，接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；所述路径选择单元进一步用于记录所述第二网络设备的加密能力和加密算法。19.如权利要求17所述的装置，其特征在于，所述校验信息包括配置信息，所述配置信息为所述第一网络设备和所述第二网络设备本地存储的双方匹配的信息。20.如权利要求18或19所述的装置，其特征在于，所述校验信息包括动态加密校验信息，所述动态加密校验信息包括随机key值以及使用所述第二网络设备的加密算法计算所述随机key值和所述第二网络设备获取的配置信息所得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述路径选择单元根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验具体为：使用所述加密算法计算所述key值和所述第一网络设备获取的所述配置信息所得到第二摘要，校验所述第二摘要和所述第一摘要。21.如权利要求18或19所述的装置，其特征在于，所述动态加密校验信息包括随机key值、配置信息以及使用所述第二网络设备的加密算法计算所述key值和配置信息得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述路径选择单元根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验具体为：使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要。22.如权利要求20或21所述的装置，其特征在于，所述路径选择单元具体用于在所述第二摘要和所述第一摘要一致的情况下根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。23.一种选择路径的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述的装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，其特征在于，所述第一网络设备包括：
收发器，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和校验信息，所述校验信息用于验证所述第一流量决策报文是所述第二网络设备发送的；处理器，用于获取所述第一网络设备与第二网络设备之间的所述主路径和备路径的路径缺陷状态，根据所述校验信息对所述第一流量决策报文进行校验，并在校验通过后根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。24.如权利要求23所述的装置，其特征在于：所述收发器进一步用于向所述第二网络设备发送加密协商报文，所述加密协商报文携带所述第一网络设备的加密能力和加密算法，接收所述第二网络设备返回的加密协商回复报文，所述加密协商回复报文携带所述第二网络设备的加密能力和加密算法；所述处理器进一步用于记录所述第二网络设备的加密能力和加密算法。25.如权利要求23所述的装置，其特征在于，所述校验信息包括配置信息，所述配置信息为所述第一网络设备和所述第二网络设备本地存储的双方匹配的信息。26.如权利要求24或25所述的装置，其特征在于，所述校验信息包括动态加密校验信息，所述动态加密校验信息包括随机key值以及使用所述第二网络设备的加密算法计算所述随机key值和所述第二网络设备获取的配置信息所得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述处理器根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验具体为：使用所述加密算法计算所述key值和所述第一网络设备获取的所述配置信息所得到第二摘要，校验所述第二摘要和所述第一摘要。27.如权利要求24或25所述的装置，其特征在于，所述动态加密校验信息包括随机key值、配置信息以及使用所述第二网络设备的加密算法计算所述key值和配置信息得到的第一摘要，所述配置信息包括下述信息之一：隧道信息和oam信息；所述处理器根据所述动态加密校验信息对所述的第一流量决策报文进行加密校验具体为：使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要。28.如权利要求26或27所述的装置，其特征在于，所述处理器具体用于在所述第二摘要和所述第一摘要一致的情况下根据所述路径缺陷状态以及所述流量走向决策信息选择向所述第二网络设备发送流量的路径。29.一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，其特征在于，所述装置包括：收发单元，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值、以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；
处理单元，用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径，以及在所述第二摘要和所述第一摘要不一致的情况下，忽略所述第一流量决策报文。30.一种验证报文的装置，所述的装置应用于aps网络，所述网络包括第一网络设备和第二网络设备，所述装置为所述第一网络设备，所述第一网络设备和第二网络设备之间建立路径，所述路径包括主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述流量决策报文用于在所述第一网络设备和所述第二网络设备之间协商流量走向决策信息，所述第一网络设备和第二网络设备根据所述流量走向决策信息选择流量传输的路径，其特征在于，所述装置包括：收发器，用于接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括所述流量走向决策信息、随机key值以及第一摘要，所述第一摘要是使用所述第二网络设备的加密算法计算所述key值以及配置信息所得到的，所述配置信息包括至少下述信息之一：隧道信息和oam信息；处理器，用于使用所述加密算法计算所述key值和配置信息得到第二摘要，校验所述第二摘要和所述第一摘要，并在所述第二摘要和所述第一摘要一致的情况下，根据所述流量走向决策信息选择从所述第一网络设备向所述第二网络设备传输流量的路径，以及在所述第二摘要和所述第一摘要不一致的情况下，忽略所述第一流量决策报文。31.一种验证报文的系统，应用于aps网络，其特征在于，所述系统包括如权利要求17
‑
30所述的任一第一网络设备和其中对应的第二网络设备。
技术总结
本发明实施例提供了一种选择路径的方法，所述方法应用于APS网络，所述网络包括运第一网络设备和第二网络设备，所述第一网络设备和第二网络设备之间建立有主路径和备路径，所述第一网络设备和第二网络设备之间传输流量决策报文，所述方法包括：所述第一网络设备接收所述第二网络设备发送的第一流量决策报文，所述第一流量决策报文包括流量走向决策信息和动态加密校验信息，根据所述的动态加密验证信息对所述第一流量决策报文进行加密校验，并在校验通过后根据所述流量走向决策信息选择向所述第二网络设备发送流量的路径。通过使用动态加密验证信息对所述第一流量决策报文进行加密校验，可以提高APS报文来源的正确性。可以提高APS报文来源的正确性。可以提高APS报文来源的正确性。


技术研发人员：丁潜 盛秋康 张晓东
受保护的技术使用者：华为技术有限公司
技术研发日：2016.12.24
技术公布日：2021/6/29