MPLS_VPN基础.docVIP

MPLS VPN基础 MPLS VPN 概述： BGP/MPLS IP VPN 是提供商VPN 解决方案PPVPN（Provider Provisioned VPN）中一种基于PE 的L3VPN 技术，它使用BGP 在服务提供商骨干网上发布VPN 路由，使用MPLS 在服务提供商骨干网上转发VPN 报文。 BGP/MPLS IP VPN 组网方式灵活、可扩展性好，并能够方便地支持MPLS QoS 和MPLS TE，因此得到越来越多的应用。 BGP/MPLS IP VPN 模型由三部分组成：CE、PE 和P。 CE（Customer Edge）：用户网络边缘设备，有接口直接与服务提供商SP（Service Provider）网络相连。CE 可以是路由器或交换机，也可以是一台主机。通常情况下，CE“感知”不到VPN 的存在，也不需要支持MPLS。 PE（Provider Edge）：服务提供商边缘路由器，是服务提供商网络的边缘设备，与CE 直接相连。在MPLS 网络中，对VPN 的所有处理都发生在PE 上。 P（Provider）：服务提供商网络中的骨干路由器，不与CE 直接相连。P 设备只需要具备基本MPLS 转发能力，不维护VPN 信息。 下图是BGP/MPLS IP VPN模型的示意图： BGP/MPLS IP VPN 模型 BGP/MPLS IP VPN 基本概念 site在介绍VPN 时经常会提到“site”，site（站点）的含义可以从下述几个方面理解： site 是指相互之间具备IP 连通性的一组IP 系统，并且，这组IP 系统的IP 连通性不需通过服务提供商网络实现； site 的划分是根据设备的拓扑关系，而不是地理位置，尽管在大多数情况下一个site 中的设备地理位置相邻； 一个site 中的设备可以属于多个VPN，换言之，一个site 可以属于多个VPN； site 通过CE 连接到服务提供商网络，一个site 可以包含多个CE，但一个CE只属于一个site。 对于多个连接到同一服务提供商网络的sites，通过制定策略，可以将它们划分为不同的集合（set），只有属于相同集合的sites 之间才能通过服务提供商网络互访，这种集合就是VPN。 ? 地址空间重叠： VPN 是一种私有网络，不同的VPN 独立管理自己的地址范围，也称为地址空间（address space）。不同VPN 的地址空间可能会在一定范围内重合，例如，VPN1和VPN2 都使用10.110.10.0/24 网段地址，这就发生了地址空间的重叠（addressspaces overlapping）。在两种情况下，允许VPN 使用重叠的地址空间： 两个VPN 没有共同的site； 两个VPN 有共同的site，但此site 中的设备不与两个VPN 中使用重叠地址空间的设备互访。 VPN实例： VPN 实例（VPN-instance）是PE 为直接相连的site 建立并维护的一个专门实体，每个site 在PE 上都有自己的VPN 实例。 VPN 实例也称为VPN 路由转发表VRF（VPN Routing and Forwarding table）。PE上存在多个转发表，包括一个公网路由转发表，以及一个或多个VRF。 公网路由表中包括所有PE 和P 路由器的路由，由骨干网的IGP 产生。 VPN 实例中包括直连site 的路由，通过CE 与PE 之间的路由发布获得。 在RFC2547（BGP/MPLS VPNs）中，VPN 实例被称为per-site forwarding table，顾名思义，VPN 实例与site 对应。更准确的描述是：每条CE 与PE 的连接对应一个VPN 实例。PE 上的各VPN实例之间相互独立，并与公网路由转发表相互独立，可以将每个VPN实例看作一台虚拟的路由器：维护独立的地址空间、有连接到该路由器的接口。 VPN 实例示意图 VPN 实例通过路由标识符RD（Route Distinguisher）实现地址空间独立，通过VPN Target 属性实现直连site 的VPN 成员关系和路由规则控制。关于RD 和VPN Target的介绍请参见本节下面的内容。 VPN-IPV4地址： PE 从CE 接收到普通IPv4 路由后，需要将这些私网路由引入到公网路由表中，进而发布给其他PE。 传统BGP 无法正确处理地址空间重叠的VPN 的路由。假设VPN1 和VPN2 都使用了10.110.10.0/24 网段的地址，并各自发布了一条去往此网段的路由，BGP 将只选择其中一条路由，从而导致去往另一个VPN 的路由丢失。 产生上述问题的原因是BGP 无法区分不同VPN 中相