基于MPLS第三层VPN网络的构架

２００７年１２月刊　（总第１００期）　大众科技　ＤＡＺＨＯＮＧ　ＫＥ　Ｊ　２ｏｏ７．１２　（Ｃｕｍｕｌａｔｉｖｅｌｙ　Ｎｏ．１ｏｏ）　基于ＭＰＬＳ第三层ＶＰＮ网络的构架　刘跃华　（湖南商学院，湖南长沙４１０２０５）　【摘要】介绍了三层ＭＰＬＳ　ＶＰＮ的网络模型，分析了基于ＭＰＬＳ的三层ＶＰＮ的技术优势，并提出了单独区域和多区域　的网络构架，阐述了网络中数据的转发和控制的实现流程。最后，说明了该技术在实际中的应用。　【关键词】虚拟专用网；多协议标签交换；三层ＭＰＬＳ　ＶＰＮ；网络架构　【中图分类ｇ－］ＴＰ３９０．Ｏ１　【文献标识码】Ａ　【文章编号】１００８－１１５１（２００７）１２－００４６－０３　包头标记，无须再去读取每个ＩＰ数据包中的ＩＰ地址位等信息，　因此数据包的交换转发速度大大加快。＾Ⅱ）Ｌｓ通过简单的核心　机制来提供丰富的标签分配及相关处理功能。构成ＭＰＬＳ协议　框架的主要元素有标签分配协议（ＬＤＰ），标签映射表（ＬＩＢ）　和转发信息库（ＦＩＢ），其中ＬＩＢ和ＦＩＢ分别为存储标签绑定信　息和相应的标签转发信息的数据库。　（一）引言　ＶＰＮ（虚拟专用网）是一种利用公共网络资源来建立私有　数据通信的网络的技术，整个ＶＰＮ网络的任意节点之间没有传　统专网所需的端到端的物理链接，而是架构在公共网络服务商　所提供的网络平台（帧中继、ＡＴＭ异步传输模式网络、Ｉｎｔｅｒｎｅｔ　等）之上的逻辑网络。虚拟专用网对用户是透明的，就像使　用一条专用的数据通信线路，它可以使企业利用公众网的资源　ＩＰ包进入网络核心时，边界路由器给它分配一个标记。　自此，ＭＰＬＳ设备就会自始至终查看这些标记信息，将这些有　标记的包交换至其目的地。由于路由处理减少，网络的等待时　间也就随之缩短，而可伸缩性却有所增加。ＭＰＬＳ数据包的服　务质量类型可以由ＭＰＬＳ边界路由器根据ＩＰ包的各种参数来确　定，如ＩＰ的源地址、目的地址、端口号、ＴＯＳ值等参数。　嗌由矗　瞄由矗　瞄由■　嗌由矗　将分散于各地的分支机构和客户的活动动态地连接起来。ＶＰＮ　对于网络提供商和企业都蕴含着巨大的商机。但传统的ＩＰ网　络在实现ＶＰＮ扩展性、安全性、管理性和服务质量保证（ＱｏＳ）　等方面都有很大的缺陷，传统的帧中继和ＡＴＭ提供的ＶＰＮ虽然　安全性较好，但也存在扩展性差、管理和维护复杂的缺陷。ＭＰＬＳ　（多协议标签交换）是一种在开放的通信网上，利用标签弓Ｉ导　数据高速、高效传输的新技术，基于ＭＰＬＳ实现ＶＰＮ的技术方　案能大大改善传统ＩＰ的缺陷，同时又能提供帧中继和ＡＴＭ网　络类似的安全性保证，能很好地适应企业ＶＰＮ地需求。在ＭＰＬＳ　ＶＰＮ的实现中，根据网络提供商（电信运营商）边界设备是否　参与客户的路由，有两种选择：第二层的解决方案（＾Ⅱ）Ｌｓ　Ｌ２　ＶＰＮ）和第三层的解决方案（ＭＰＬＳ　Ｌ３　ＹＥＮ）。本文将阐述有关　＾Ⅱ）Ｌｓ　ＶＰＮ原理，并对基于＾Ⅱ）Ｌｓ的第三层ＶＰＮ的网络实现进行　探讨。　图１　ＭＰＬＳ／ＶＰＮ的工作过程　（二）ＭＰＬＳ／ＶＰＮ及其基本原理　在此，将介绍基于＾Ⅱ）Ｌｓ的ＶＰＮ的工作机制，并阐述＾Ⅱ）Ｌｓ　的三层ＶＰＮ网络模型。　ＭＰＬＳ／ＶＰＮ的工作过程如图１所示。其中的边缘（ＣＥ：　Ｃｕｓｔｏｍｅｒ　Ｅｄｇｅ）设备可以是路由器或三层交换机，位于客户　端，提供到网络提供商的的接入；网络提供商边缘（ＰＥ：　Ｐｒｏｖｉｄｅｒ　Ｅｄｇｅ）路由器主要维护与节点相关的转发表，与其　他ＰＥ路由器交换ＶＰＮ路由信息。使用ＭＰＬＳ网络中的标签交换　１．基于ＩｇＰｔ，Ｓ的ｖＰＩ，Ｉ技术及其基本原理　＾Ⅱ）Ｌｓ是基于标记的ＩＰ路由选择方法。这些标记可以被用　来代表逐跳式或者显式路由，并指明服务质量（ＱｏＳ）、虚拟专　网以及影响一种特定类型的流量（或一个特殊用户的流量）在　网络上的传输方式等各类信息。ＭＰＬＳ提供每个ＩＰ数据包一个　标记，将之与ＩＰ数据包封装于新的ＭＰＬＳ　据包，由此决定　路径（ＬＳＰ：Ｌａｂｅｌ　Ｓｗｉｔｃｈ　Ｐａｔｈ）转发ＶＰＮ业务。　网络提供　商路由器（Ｐ）使用已建立的ＬＳＰ对ＶＰＮ数据进行透明转发，　不维护与ＶＰＮ有关的路由信息。Ｐ路由器是ＭＰＬＳ　ＬＳＲ，完全依　ＩＰ数据包的传输路径以及优先顺序，而与＾Ⅱ）Ｌｓ兼容的路由器　会在将ＩＰ数据包按相应路径转发之前仅读取该ＭＰＬＳ数据包的　据ＭＰＬＳ的标签来作出转发决定。由于Ｐ路由器完全不需要读　取原始的数据包信息来作出转发决定，Ｐ路由器不需要拥有　ＶＰＮ的路由信息。因此Ｐ路由器只需要参与骨干Ｉ６Ｐ的路由，　【收稿日期】２００７—１０—２５　【作者简介】刘跃华（１９６５一），男，湖南商学院计算机与电子工程系副教授，工学硕士，主要研究方向为计算机网络、计　算机体系结构。　．．４６．．　维普资讯 http://www.cqvip.com

不需要参加ＭＰ—ＢＧＰ的路由。　路由器。具体设计如下：　２．基于ＭＰＬＳ的三层ＹＰＮ网络模型　三层ＭＰＬＳ／ＶＰＮ组网构件，如图２所示。三层　Ｌｓ／ＶＰＮ　在Ｃ（用户）与ｃＥ之间，可以有用户自行决定所使用的　路由协议。作为网络提供商，不需要知道客户的路由协议，也　不需要知道客户的具体路由条目。　在ＩＳＰ内部，可以通过在部署ＩＧＰ协议，来确保ＩＳＰ内部　路由的可达性。之所以要在ＩＳＰ内部部署ＩＧＰ协议，主要是为　组网方案包含下列组件：　了上层的ＢＧＰ服务。目前，在实际工程中，主要使用的ＩＧＰ　包括：ＯＳＦＰ、ＩＳ—ＩＳ、ＥＩＧＲＰ（ＣＩＳＣ０私有）等。在完成了ＩＧＰ　的部署以后，开始在所有ＰＥ路由器上部署ＢＧＰ。由于ＩＳＰ内　部各个路由器，都有到达各自的路由，实现了ＴＣＰ上面的逻辑　连接，因此ＢＧＰ邻居能够实现多跳传输。（ＢＧＰ邻居的多跳建　立，主要依靠ＴＣＰ的连接，来逻辑上建立起邻居，并通过ＴＣＰ　图２基于ＭＰＬＳ三层的ＶＰＮ　、　，　ＰＥ：骨干网边缘路由器，存储ＶＲＦ（Ｖｉｒｔｕａｌ　Ｒｏｕｔｉｎｇ　Ｆｏｒｗａｒｄｉｎｇ　Ｉｎｓｔａｎｃｅ），处理ＶＰＮ—ＩＰｖ４路由，是ＭＰＬＳ三层　ＶＰＮ的主要实现者。　ｃＥ：用户网边缘路由器，分布用户网络路由。Ｐ　ｒｏｕｔｅｒ：国　　Ｐｒｏｖｉｄｅｒ　Ｒｏｕｔｅｒ，骨干网核心路由器，负责ＭＰＬＳ转发。　ＭＰＬＳ可以看做是一种面向连接的技术。在标记交换路径　的入口把需要通过这个标记交换路径的报文打上　ＬＳ标签，　中问路由器在收到　ＩＪＳ报文以后直接根据　ＬＳ报头的标签进　行转发，而不用再通过ＩＰ报文头的ＩＰ地址查找。在ＭＰＬＳ标　记交换路径的出口（或倒数第二跳），弹出ＭＰＬＳ包头，还回原　来的ＩＰ包（在ＶＰＮ的时候可能是以太网报文或ＡＴＭ报文等）。　ＭＰＬＳ网络由核心部分的标签交换路由器（ＩＪｓＲ）、边缘部分的　标签边缘路由器（ＬＥＲ）组成。ＬＳＲ的作用可以看作是ＡＴＭ交　换机与传统路由器的结合，由控制单元和交换单元组成；ＬＥＲ　的作用是分析ＩＰ包头，用于决定相应的传送级别和标签交换　路径（ＬＳＰ）。标签交换的工作过程可概括为以下３个步骤：　（１）由ＬＤＰ（标签分布协议）和传统路由协议（ＯＳＰＦ、　Ｉｓ—Ｉｓ等）一起，在ＬＳＲ中建立路由表和标签映射表；　（２）ＬＥＲ接收ＩＰ包，完成第三层功能，并给ＩＰ包加上　标签：在ＭＰＬＳ出口的ＬＥＲ上，将分组中的标签去掉后继续进　行转发；　（３）ＬＳＲ对分组不再进行任何第三层处理，只是依据分　组上的标签通过交换单元对其进行转发。　（三）ＭＰＬＳ／ＶＰＮ组网解决方案　在此，将讨论基于ＭＰＬＳ的三层单区域和多区域ＶＰＮ组网　方案。　１．单区域ＭＰＬＳ／ＶＰＮ解决方案　一般单区域　Ｌｓ／ｖＰＮ组网拓扑如图３所示。　图３一般单区域ＭＰＬＳ／ＶＰＮ组网拓扑　单区域　Ｌｓ／ｖＰＮ，实际上是一个单独的ＢＧＰ自治区域。　因此，不需要像跨域解决方案那样，采用ＥＢＧＰ来连接各个ＰＥ　逻辑连接，来发送各种协议和用户数据包。）　当ＩＳＰ中的ＰＥ路由器过多时，宜采用ＲＲ技术来解决配置　重复繁琐的问题，而且便于以后的网络管理。解决方案如图４　所示：　图４采用ＲＲ技术的ＭＰＬＳＶＰＮ　采用ＲＲ技术以后，大大减少了工程实施中的配置工作，　也提高了网络的排错难度，但这样的实施方案，需要特别注意　ＲＲ，这意味这网络的　健壮性受到了一定的影响。　在完成上述配置以后，可以开始制定导入导出策略。制定　导入导出策略，是　Ｌｓ／ＶＰＮ的关键点。通过导入导出策略的　制定，将ＶＰＮ的效果体现出来。其核心思想就是：在全局路由　表的基础上，建立起各个ｖＰＮ自己的路由表，即ＶＲＦ。一般在　实际工程中，制定导入导出策略时，规定每个ＶＰＮ接点有且只　有一个导出策略，根据需要纳入的接点，来确定导入策略。　２．跨区域＿Ⅱ）Ｌ　ｓ／ＶＰＮ解决方案　随着网络的扩展，ＭＰＬＳ／ＶＰＮ可能会出现跨区域的现象．本　部分主要讨论二种跨域ｖＰＮ的解决方案。　第一种方案拓扑如图５所示（虚线代表逻辑链路，ＡＰＥ代　表ＢＧＰ边界路由器）。　图５　多区域ＭＰＬＳ／ＶＰＮ方案一　这种方案具体实现如下：ＷＮ路由的传递过程：首先ＰＥ２　把ＶＰＮ路由发给ＡＰＥ２：然后ＡＰＥ２与ＡＰＥ１不同ＶＲＦ的链路上运　行ＥＢＧＰ，ＡＰＥ２会把ＡＰＥ１认为是自己的一个ｃＥ设备，这样ｖＰＮ　路由就会像普通路由一样传递：最后ＡＰＥ１在把学到的ＶＰＮ路由　导入到相应的ＶＰＮ中，然后发给ＰＥ１：具体细节如图６所示：　．．４７．．　维普资讯 http://www.cqvip.com

ＬＳＰ的建立：ＰＥ１上会有２个标签一个为到ＡＰＥ１，另一个　为到ＰＥ２的。所以ＬＳＰ建立实际上是一个嵌套的过程，如果我　们从ＰＥ１　ＰＩＮＧ一下ＰＥ２的地址的话，那么数据封装最外层的　标签为到／ＷＥ１的，内层标签为到ＰＥ２的标签。数据到达／ｈＤＥ１　图６方案一ＶＰＮ路由传递过程　后只有内层标签，然后／ＷＥ１本地根据ＢＧＰ　３１０７已经分配的标　签来进行一次标签交换在发给／ＷＥ２，／ＷＥ２根据本Ａｓ内的ＬＤＰ　邻居分配的标签来建立到ＰＥ的ＬＳＰ。本过程可以用一句话来　概括：利用ＢＧＰ一３１０７把两条ＬＳＰ无缝对接。数据通信过程如　在两个ｔＷＥ之间要为不同的Ｖ　建立独立的物理或者逻辑　链路（推荐使用逻辑链路，可以节省接口）。　ＬＳＰ的建立；这种方式下ＰＥ只要有到本Ａｓ内的／ＷＥ的标　签就可以了，其数据通信过程如图７所示。　图７方案一中的ＬＳＰ的建立　该方案由于需要在／ＷＥ上为每个ＶＲＦ配置独立的链路。假　如有ｉ００个ＶＰＮ，那么配置量与ＢＧＰ的邻居数量还是很巨大的，　所以这种跨域技术只适合ＶＰＮ数量很少的情况下。　针对方案一中提到的问题，利用了ＢＧＰ的一个新特性（ＲＦＣ　３１０７），这个特性可以让ＢＧＰ在传递公网路由的时候携带标签。　采用图８所示的方案组建Ｉ￣ＬＳ／ＶＰＮ。　图８多区域ＭＰＬＳ／ＶＰＮ方案二　ＢＧＰ本身是靠ＴＣＰ建立连接，所以只要两个端点可达到，　那么就可以建立ＢＧＰ的邻居，从而完成ＶＰＮ路由的交换。第三　种方案实际上就是靠两个ＰＥ设备之间建立多跳的ＭＥＢＧＰ邻居　来完成ＶＰＮ路由交互的。具体细节如下：　公网路由传递过程：／ＷＥ２把ＰＥ２的路由公布给／ＷＥ１同时　利用ＢＧＰ　３１０７分配给／ＷＥ１分配一个相应的标签，／ＷＥ１与ＰＥＩ　之间执行一个类似的过程，具体如图９所示：　ＶＰＮ路由的传递过程：ＶＰＮ路由传递是靠临ＧＰ来实现的，　这种模式下只需要ＰＥ之间建立ＭＢＧＰ邻居就可以了，ＷＮ路由　由ＰＥ２直接发给ＰＥＩ，具体细节如图１０所示。　图９　方案二中公网路由传递过程　图１０方案二中ＶＰＮ路由传递过程　．４８．　图１１所示。　图１１　方案二中数据通信过程　这种模式下，在数据通信的时候ＰＥ发出的是一个有３层　标签的数据，ＰＥ与／ＷＥ之间要建立ＢＧＰ邻居，Ａｓ内的Ｐ设备　无需知道其他区域的ＰＥ设备的路由。　（四）结束语　在本文中的解决方案部分，按照组网的组成单元，分为了　单区域肝Ｌｓ／、ｒＰＮ和多区域肝Ｌｓ／ＶＰＮ两种组网方案。对于单区　域Ｉ￣ＬＳ／ＶＰＮ，其主要的思想就是在一个单独的ＢＧＰ自治区域　内，借助ＢＧＰ传递数据的特性，来完成路由信息的同步。对于　多区域Ｉ￣ＬＳ／ＶＰＮ，详细给出了两种不同的组网方案。每种方　案，都具有实际应用价值。特别指出的是；第二方案实质上是　第一方案的升级和改进。尽管如此，但是方案一在实际工程中　仍然大量存在。这主要是因为相对方案二，它们配置起来相对　简单，工程操作比较容易实现，而且就网络的一些关键性能而　言，并无什么差别，所以很多工程人员仍然偏爱这些方案。因　此，在具体实际应用中，还是要根据需求来部署。　Ｉ￣＇ＬＳ　ＶＰＮ无论是相对于传统的基于电路或者虚电路ＶＰＮ　组网技术还是基于ＩＰ隧道的ＶＰＮ技术，都有不可比拟的优势。　随着肝Ｌｓ　ＶＰＮ技术的不断成熟，它在降低成本的同时，也会　满足用户对网络带宽、服务质量保证、接入的灵活性等方面不　断增加的需求。可以肯定的说Ｉ￣＇ＬＳ　ＶＰＮ将代表互联网络未来　的发展趋势。　【参考文献】　…１　Ｅｌ　Ｍｇｈａ￣，ｅｔ　ａ１．Ｌ３ＶＰＮ　Ｏｐｅｒａｆｉｏｍ　ａｎｄ　Ｍａｎａｇｅｍｅｎｔ　Ｆｒａｍｅｗｏｒｋ［Ｍ］．Ｒ．ＦＣ４１７６，Ｏｃｔ．２００５．　［２　Ｒｏｓ２】ｅｎ，ｅｔ　ａｕ　ｒｏ的　Ｌａｂｅｌ　Ｓ￣ｒ．ｈｍｇ　Ａｆ出眦　ｅ［Ｉ咽．ＲＦＣ　３０３１，Ｊａｎｕａｒｙ　２ＯＯ１．　［３　Ｒｏｓ３】ｅｎ　Ｅ，　Ｒｅｋｈｔｅｒ　Ｙ，　Ｃｉｓｃｏ　Ｓｙｓｔｅｍ　Ｉｎｃ．．ＢＧＰ／ＭＰＬＳ　ＶＰＮｓ［Ｓ］．ＲＦＣ２５４７，１９９９—０３．　４　Ｊｕｍｉｐｅｒ　Ｎｅｔｗｏｒｋｓ，　Ｉｎｃ．ＢＧＰ／ＭＰＬＳ　ＶＰＮ　Ｆｕｎｄａｍｅｎｔａｌｓ，　ＣｈｕｃｋＳｅｍｅｆｉａ　Ｍａｒｋｅｔｉｎｇ　Ｅｎｇｉｎｅｅｒ［Ｓ］．ＲＦＣ　２５４７ｂｉｓ，　２ＯＯ１－０５．