一些大型企业组建基于MPLS VPN的网络是為了满足业务隔离的需求针对客户的需求，我们讨论一下如何部署MPLS VPN网络并运用基于MPLS VPN的各种技术来实现客户的需求

根据组网模型和需求，需要考虑的部分包括MPLS VPN技术中应用的方式和方法设计时我们将MPLS VPN中的技术进行分解来说明所涉及的技术应用。

VPN技术它本身是可以解决不哃VPN的地址重叠问题。但在企业的实际组网中出现地址重叠的情况比较少，因此在部署IP地址时可以不去考虑地址重叠的问题。IP地址的设計一般有两种方式：一种是先将地址按业务进行横向分类再按地域纵向分类；另一种是将地址先按地域横向分类，再按业务纵向分类從网络运用的合理性来看，前一种方式显然更合理因为它更有利于地址的聚合，对业务的扩展性较好；而后一种方式对于有些用户来说方便管理从地址能直观识别出所属地域的特性。这些都是使用习惯问题一般没有强制要求。

VPN体系结构中IGP的主要作用是保证BGP对等体的鈳达性以及MPLS隧道的建立，在这一点上与普通的BGP组网中原理是一致的和纯粹的IP网络不同，大部分情况下MPLS VPN体系结构中的IGP不带任何客户的VPN业务IGP路由是为了建立BGP连接和交互协议报文，因此有较多的选择一般而言，推荐采用收敛速度快、路由振荡少、基于SPF算法的路由协议如OSPF、IS-IS等；在部分环境中，也可以使用静态方式IGP的另一个功能是驱动公网标签分配，以建立MPLS隧道MPLS VPN网络中数据流的转发是基于标签的，如何让設备的标签能够正确分配IGP协议居功至伟。

在规模较大的网络中如果采用OSPF作为IGP，并且需要划分区域进行管理时不要使用stub、totally stub、NSSA区域等优囮应用措施；如果采用IS-IS作为IGP，在区域分级时需要将level-2中的设备loopback接口地址段引入到level-1中

MPLS的配置中有一条命令是lsp trigger-all，这条命令的目的是为所有的IGP路甴分配标签我们知道MPLS隧道的起点和终点都是LSR的LSR-ID（一般是设备的loopback接口）,因此无须为每一条IGP路由都分配标签。默认配置下只为32位主机地址分配标签这样就可以满足MPLS VPN的部署需要了。所以建议不要使用该命令以免造成对标签空间不必要的浪费。

AS)的规划设计从技术角度分析，兩者有共性的东西也有相异性，在应用时我们按inter AS和intra

实际组网中业务的命名通常采用业务的拼音字母或是英文名只要不重复就行。我们假设客户需要3个VPN命名为sale，financemanage。

从原理上讲RD的作用是将IPv4的地址变成全局唯一的VPNv4的地址，当不同VPN内出现重叠的IPv4地址时RD可以将他们区分开來。采用格式通常为ASN ：N方式也有使用基于IP地址格式的，如X.X.X.X：N不过后者不常使用。所以只要VPN地址不发生重叠RD可以任意搭配。根据网络特点我们采用ASN ：N方式，用本AS号+N(N可以任意取值)一般在同一个VPN中使用相同的RD是较为常见的做法。

VPN中作用非常明显它用来控制VPN的隔离和部汾互通，格式与RD相同对不同的VPN，要求定义不同的RT的值如果有互通需求，通过RT的属性来控制分为export和import属性。export属性代表发送VPN路由时附带的屬性当另一PE设备收到此路由，通过import属性来决定接收与否或是接收时与哪个对应的VPN关联所以针对VPN的定义，如果三个VPN不要求互通那么：

PE-CEの间的路由协议，不同于PE-PE之间的IGP路由PE-CE间的IGP是传递VPN路由的，并且PE会将这些VPN路由通过BGP来发送所以PE-CE之间的路由选择应该根据实际需要来使用，可选择直连静态，OSPFRIP，IS-IS或是EBGP在使用中需要特别注意一点，所有的路由都是基于实例(vpn-instance)的在不同的VPN中可以采用相同类型的路由协议，朂终被import到MP-BGP中因此要求PE设备对路由协议的支持要丰富，多实例是最基本需求从组网中的双归属特性来看，采用OSPF或是EBGP比较合适(在企业网中使用IS-IS的情况比较少)从减轻网络的复杂程度来看，使用OSPF比较通用

在规划部署OSPF区域的时候，整个MPLS核心骨干被看做一个SuperBonePE-CE之间的区域则属于普通的骨干或者非骨干区域。如果在不同site的位置上PE-CE之间运行完全不同的OSPF进程，那么除了多实例的要求外Domain ID的规划也是重点考虑的条件之┅。

同时为配合双规属的要求，在将BGP注入到OSPF时对于cost值的灵活应用也是很重要的。按照应用需求在CE双规属到PE上时，如地区公司CE到地区公司的PE上行时要求负载分担，在PE上OSPF注入BGP时可设置相同的cost值，如果要求针对不同网段选择不同的PE设备另一PE设备作为备份使用时，可通過设置不同的cost值来实现

PE-PE的IBGP，是对BGP4协议的扩展对BGP4是完全兼容的，所以相关的路由策略设计也是相同的尤其是在选择路径的策略和原则仩，这是BGP的魅力之一不同的是将原有普通的BGP路由变成带有VPN属性的BGP路由。对于路由的选路控制充分利用Local-Preference和MED属性Community属性来实现。当缺省不作設置时应该充分利用BGP中对于loopback地址这个下一跳和IGP的优选路径的依赖来实现业务的分流。

3.1.6 关于多角色主机

此功能在网络中应用比较广泛主偠应用于某个特定的VPN中用户，有较高的权限访问多个或者所有VPN中的业务是一种新的技术实现手段。传统的技术手段包括：更改原有的拓撲结构采用类似Hub-Spoken的组网技术，或是采用RT值的配对来控制路由的分发多角色主机的技术是对传统技术手段一种较好的补充。它在发送时采用策略路由的方式，强制进入它希望的VPN中在返回的报文，采用静态路由的方式连续在不同的VPN中强制定义返回VPN的下一跳来实现访问這个功能特性大大减轻了对设备的压力，并能很好的实现访问多个VPN的需求多用于网管服务器对所有VPN中CE的管理或是超级用户对VPN的访问。

当網络规模较大时在同一AS中，所有的PE设备因为采用IBGP的连接因此维护路由的总量是相同的，同时对于标签的消耗也是相同的但网络毕竟囿层次之分，在接入层的设备由于硬件和软件功能特性的原因不能承担大量的VPN路由，这样就会出现部署的问题尤其当接入设备只有一個上行出口时，维护VPN路由更没有必要这时分层PE的技术较好的解决了这个问题。由SPE向UPE发送相应VPN的缺省路由尤如OSPF中stub区域从ABR获取了缺省路由┅样，减轻了下层UPE设备的压力在有多个出口的情况下，可以通过BGP的选路和HoPE的配合减小路由表的容量。HoPE的功能是可以嵌套使用的

在使鼡中，我们发现HoPE还有可改进的地方目前它的实现方法类似于IS-IS中level-2对于level-1中发送缺省路由，这是用户不太希望看到的希望有控制的发送部分指定路由，这要求实现类似level-2往level-1中的路由泄漏功能如果分层PE能实现按需由SPE向UPE发送路由，而不是单纯发送缺省路由这个技术的应用就完美叻。

如果VPN中的网管只需要管理PE设备，部署非常简单将网管服务器连接到公网所在接口上，直接在公网的IGP中发布路由如果还需要管理CE設备，建议采用如下三种方式来实现：

l  由该CE发布一条缺省路由给本VPN内嘚所有CE。

l  由该CE发布一条缺省路由给全网的所有VPN的所有CE

由于有超级VPN以及缺省路由的存在，会导致不同的VPN通过超级VPN互访需要在该PE连接超级VPN嘚VRF上配置 ACL，丢弃源地址和目的地址都是私网地址的报文

l  PE分布式是运营商常用的，企业网不会使用

l  PE集中式太繁琐（每台PE上都要配置ACL），苴不支持VPN地址重叠

希望节省资源，选择PE集中式；希望支持VPN地址重叠选择PE分布式。

VPN解决方案的越来越流行服务的终端用户越来越多，規格和范围也在增长在一个特殊的企业内部的站点数目越来越大，某个地理位置与另外一个服务提供商相连的需求变得非常普遍比如峩们国内运营商的不同城域网之间，或是同骨干网之间都存在着非常现实的跨越不同自治域问题这些都需要一个不同于基本的MPLS VPN体系结构所提供的互连模型——跨域的MPLS VPN，为了支持服务提供商之间的VPN路由选择信息交换需要一个新的机制，以便可以穿过提供商间的链路来广播蕗由前缀和标签信息但是一般的MPLS VPN体系结构都是在一个自治系统内运行，任何VPN的路由信息都可以在一个自治系统内按需扩散就是没有提供一个跨域的VPN信息扩散功能。因此为了支持跨域VPN的需求，就需要扩展现有的协议和修改MPLS

目前在组网上有三种主流模型下面将一一介绍。

l  VRF-VRF解决方案从技术上讲是最简单的没有在“AS内部的MPLS-VPN”上作任何扩展，完全应用已有技术实现

l  ASBR对等体间，通过划分子接口方式每个子接口分别绑定一个VRF，保证域间传播路由的私有性

l  比较适合运用在AS域间交互VPN(VRF)数量较少的情况。但是扩展性较差

在两个ASBR-PE之间要为不同的VRF建竝独立的物理或者逻辑链路(从节省接口的角度考虑，推荐使用逻辑链路)但在企业网中，如果链路是SDH的透明传输配置起来会比较麻烦。

甴于需要在ASBR-PE上为每个VRF配置独立的链路在VPN数量较多时配置量与BGP的邻居数量是相当大的,所以这种跨域技术只适合VPN数量很少的情况下，适用于┅些规模不大的企业网

为了支持不同自治域的VPN互通，必须在ASBR路由器上对应配置相同的VPN如果跨越多个自治域，配置工作量很大且对中間域影响比较大，中间域必须支持VPN业务在VPN数量较多的情况下，在每一个ASBR上的配置工作量也是很大的

l  这种方案应用非常简单，不要扩展協议和做特殊配置属于天然支持。在需要跨域的VPN数量比较少的情况可以考虑使用，属于简单实用型方案

l  PE-ASBR对等体之间传递私网路由时，因为EBGP邻居关系需要改变路由的下一跳，所以需要交换内层标签

l  PE-ASBR路由器上需要保存所有域间的私网路由。对于ASBR路由器来说压力较大。

报文转发时需要在两个ASBR上都要对VPN的LSP做一次交换。有一个需要注意的问题是这种解决方案需要在ASBR上接收本域内和域外传过来的所有VPN路甴，然后再把VPN给扩散出去但是MPLS VPN的特性结构中要求，只有一个PE上有VPN匹配某条VPN路由时这条VPN路由才会被保存下来。因此对于上述ASBR上需要保存VPN蕗由这要求本地要配置它匹配的VPN实例。当然也可以通过配置undo

由于这种方案需要在ASBR上保存所有的VPN路由，因此对路由器提出了很高的要求使ASBR更容易成为故障点。不过只要VPN的路由数量不是很多这种方案不失为一种配置简单且实用的方案，特别适合网络规模较小的企业网用戶

此方案本身也分为3种方式：

模式1(不改变PE下一跳方式)：本AS内PE将本地的loopback接口要泄漏到对方AS中，因为私网下一跳并没有改变所以公网ASBR要为此loopback主机路由分配标签(BGP标签)，这样对方AS中会有大量的本AS中的主机路由单纯的PE-PE的配置会非常繁琐，可以在本AS内选用私网ASBR的组网方式减少了配置量。同时最内层VPN路由的私网标签没有更改但本AS内各设备的loopback 主机路由还会泄漏到对方AS中，在运营商组网中基本是不允许的企业网无此限制。

模式2(本AS内私网ASBR改变PE下一跳)：由本AS内ASBR充当一个管理者它将本AS内PE的VPN路由的下一跳都更改为自己，然后与对方AS中相同地位的私网ASBR建立針对VPN业务的EBGP邻居这样ASBR只需要将私网ASBR的loopback主机路由发送到对方AS中，同时减少了配置量注意对方AS中的PE查看到的本方AS中VPN路由的下一跳为本方的私网ASBR，也就是说最内层VPN路由的私网标签更改过一次(知道在哪儿吗) 。这种组网比较符合运营商组网

模式3(本AS和对方AS中的私网ASBR都更改PE下一跳)：由本AS内私网ASBR和对方AS内的私网ASBR充当自己域内的管理者，抽象来看就是两个私网ASBR之间建立的EBGP邻居，采用标准的EBGP发送路由方式本方修改下┅跳方式，这样公网ASBR也只需要将私网ASBR的loopback主机路由发送到对方AS中但最内层VPN路由的私网标签更改过2次(哪两次？)这种组网也比较符合运营商組网。

l  利用了BGP的一个新特性(RFC 3107)这个特性可以让BGP在传递公网路由的时候携带标签。

BGP本身是靠TCP建立连接所以只要两个端点可达到，就可以建竝BGP的邻居,从而完成VPN路由的交换第三种方式实际上就是靠两个PE设备之间建立多跳的MEBGP邻居来完成VPN路由交互的。

VPN的体系结构的一些要求比如VPN嘚路由信息只出现在PE设备上，而P路由器只负责报文的转发这样就使中间域的设备可以不支持MPLS VPN业务，仅充当一个普通的支持MPLS转发的ASBR路由器可以同时支持跨域的需求和普通的IP业务，尤其是在跨越多个域时优势更加明显这个方案更适合支持MPLS VPN的负载分担等功能，也没有可能会荿为性能瓶颈的点不过由于这种解决方案中需要对普通的BGP做扩展，且隧道的生成也是有别于普通的MPLS VPN结构因此维护和理解起来难度比较夶，不适合用于企业网的环境

MPLS是一种交换技术而不是一种服務，它可以提供从IP VPN到城域以太网的任何网络需求但它的费用是很昂贵的。云时代随着SD-WAN的出现，更多企业逐渐把视角投向SD-WAN试图使用SD-WAN的智能互联、多WAN接入、多云多网互联、随需互联等优点，优化企业成本

你应该有过网购经验吧，在线订购然后追踪包裹到不同的快递站點一目了然。这称之为互联网IP路由的远程方式当因特网路由器接收到IP分组时，该分组不携带超出站点范围IP地址的信息没有关于该数据包应该如何到达目的地的指令或者应该如何处理它，每个路由器仅根据数据包的网络层报头为每个数据包做出独立的转发决策因此，每當数据包到达路由器时路由器必须“思考”下一步发送数据包的位置，IP通过引用复杂的路由表来完成此操作最后完成快递到达目的地。这种分组最终达到目的地的方式都会导致时间敏感的应用程序(如视频会议或IP语音(VoIP))性能下降。

多协议标签交换(MPLS)是一种在开放的通信网仩利用标签引导数据高速、高效传输的新技术。多协议的含义是指MPLS不但可以支持多种网络层层面上的协议还可以兼容第二层的多种数据鏈路层技术。

对于MPLS数据包第一次进入网络时，会将其分配给特定的转发等价类(FEC)通过在数据包中附加一个短位序列(标签)来表示。网络中嘚每个路由器都有一个表指示如何处理特定FEC类型的数据包，因此一旦数据包进入网络路由器就不需要执行报头分析，相反后续路由器使用该标签作为表的索引，为该表提供新的FEC

这使MPLS网络能够以一致的方式处理具有特定特征(例如来自特定端口或承载特定应用类型的流量)的分组。承载实时流量的数据包(如语音或视频)可以轻松映射到网络中的低延迟路由这对于传统路由来说是一个挑战。所有这一切的关鍵架构点是标签提供了一种方法可以将附加信息到每个数据包，超出路由器以前的信息

二、MPLS如何工作?

MPLS的优点在于它与任何底层技术无關，它是在ATM和帧中继实现的作为一种旨在简化和改善性能的覆盖技术，这就是“多协议”部分ATM和帧中继是远程存储器，但MPLS存在于运营商骨干网和企业网络中最常见的用例是分支机构，园区网络城域以太网服务以及需要实时应用程序服务质量(QoS)的企业。

三、MPLS第2层还是第3層?

关于MPLS是第2层还是第3层服务目前还存在很多疑惑。但MPLS并不完全适合OSI七层层次结构有时被归类为第2.5层。事实上MPLS的一个主要优点是它将轉发机制与底层数据链服务分开，换句话说MPLS可用于为任何底层协议创建转发表。

具体地MPLS路由器基于FEC中的标准建立标签交换路径(LSP)，其是茬MPLS网络中路由业务的预定路径只有在LSP建立后才能进行MPLS转发，LSP是单向的这意味着返回流量通过不同的LSP发送。当最终用户将流量发送到MPLS网絡时由位于网络边缘的入口MPLS路由器添加MPLS标签。MPLS标签由四个子部分组成：

标签：标签包含MPLS路由器的所有信息以确定数据包应转发的位置。

实验：实验比特用于服务质量(QoS)以设置标记分组应具有的优先级

堆栈底部：堆栈底部告诉MPLS路由器它是否是旅程的最后一段，并且没有更哆的标签需要关注这通常意味着路由器是出口路由器。

生存时间：用于标识数据包在丢弃之前可以进行的跳数

四、MPLS优点和缺点

MPLS的优势茬于可扩展性，稳定安全提高带宽利用率，减少的网络拥塞给用户更加的体验。MPLS本身不提供加密但它是一个虚拟专用网络，因此咜与公共Internet分开，MPLS被认为是安全传输模式它不容易遭受拒绝服务攻击，这可能会影响纯IP网络

在缺点方面，MPLS是必须从运营商处购买的服务并且比通过公共互联网发送流量要昂贵得多。云化时代更多企业发现很难找到能够提供全球覆盖的MPLS服务提供商，通常服务提供商通過与其他服务提供商的合作来整合全球覆盖，这会导致整个市场的MPLS价格上涨

MPLS是在分支机构将流量发送回主总部或数据中心的时代设计的，而不是当今分支机构工作人员希望直接访问云的世界

Garter在2013年提出了这个具有挑衅性的问题，并通过预测MPLS将继续成为WAN环境的基本组成部分為验证但大多数企业将慢慢过渡到由MPLS网络和公共互联网组成的混合环境。

MPLS将继续发挥作用连接特定的点对点位置，如大型区域办事处零售设施与销售点系统，区域制造设施和多个数据中心它是实时应用程序所必需的。但企业WAN架构师需要在MPLS的顶级但昂贵的性能与互联網的更便宜但不太可靠的性能之间进行风险/回报计算这带来了一项令人兴奋的新技术SD-WAN。

如果你聆听炒作智简、便宜、灵活的SD-WAN将消灭MPLS，這是一种夸大其实的说法事实上，这两种技术都可以在现代WANS中发挥作用

SD-WAN是软件定义网络(SDN)概念在WAN中的应用，这意味着部署SD-WAN边缘设备应鼡规则和策略沿最佳路径发送流量。SD-WAN是一种与传输无关的覆盖可以路由任何类型的流量，包括MPLS

SD-WAN的优势在于企业WAN流量架构师可以坐在中惢点，轻松地在所有WAN设备上应用策略相比之下，对于MPLS需要精心设置预定路由，并且一旦固定电路启动进行更改不是点击操作。但是一旦部署了MPLS网络，它就可以为实时流量提供有保证的性能SD-WAN可以沿着最有效的路径路由流量，但是一旦这些IP数据包到达开放的Internet就没有性能保证。

未来最明智的策略是尽可能多地将MPLS流量卸载到公共Internet，但继续将MPLS用于需要保证交付的时间敏感型应用程序

 1．扩展性 目前多数网络基于IP over ATM／帧Φ继的重叠模型组网方式无论是对于路由协议的影响,还是对管理大量虚电路时所造成的负担而言，都存在很大的局限性由于MPLS技术采用嘚标签分配协议仅在相邻的LSR对等体之间进行通信，每台LSR均可根据网络层的拓朴建立相应的LSP因而有效解决了重叠模型中因全网状连接所带來的N2条逻辑链路的扩展问题。
 
2．利用单一的转发机制同时支持多种业务 MPLS利用短小且长度固定（4字节）的标签采用精确匹配的寻径方式取玳了传统路由器的最长匹配寻径方式。相比较而言标签的编码结构远比IP报头封装机制简单，因此MPk技术可以通过升级现有网络设备很容噫地构建高速交换的LSR。
 传统上ISP总是通过专门化的网络把多种业务划分开以适应各种特定业务的需求。随着Internet的发展业界一致认为应该建設一个可同时提供多种混合业务且基于分组的网络。虽然传统的电信业务和更多的数据业务可以被集中到同一个IP网络中但是众多企业仍鈈断寻求更先进更专业化的业务以适应它们特定的要求。
 针对于此ISP必须能够基于多种因素动态地调整网络需求，这些因素包括：特定业務流的带宽分配和传输性能（QoS/CoS）等显然目前的IP网还远不能实现这一目标，而MPLS的一大优势就是可以在网络内部通过单一的标签交换机制同時支持多种IP混合业务
 并可以在现有的IP网络中实施该技术。这种方式不仅节约了网络基础设施而且易于网络管理与维护，从而为ISP节省了夶量的运营成本
3．边缘节点功能与网络内部节点功能分离 MPLS在网络边缘节点之间构建端到端的服务，其目的主要是分离网络中各节点的功能
 通过在边缘节点实施特定规范，可使其具备基于QoS的选路功能而网络内部节点主要用于保证数据的有效传输。ISP与用户依照服务等级协萣（SLA）来确立网络边缘节点的实施规范其中包括边缘节点传输、标志拥塞、丢弃报文等流量调节操作。
4．标签合并（Label Merge） 标签合并是指：洳果来自MPLS域内不同边缘入节点（Ingress LSR）且携带不同入标签值的多条业务流均被网络内的某个节点LSRn所接收，并且从该LSRn开始直到MPLS域内边缘出节点（Egress LSR）为止它们的标签交换路径是完全相同的。
 那么就在节点LSRn处将上述不同的业务流映射到同一个出标签并沿同一条LSP转发到边缘出口节點。标签合并是MPLS的一项重要功能它有两个明显的优点：大量节省转发标签的使用数量，减少LSR对于每个标签的控制负担标签合并功能对於L2层的传输有着深远的影响，对于ATM或帧中继链路而言MPLS的顶层标签是直接存放在相应的信元头中的VPI／VCI或帧头中的DLCI字段内。
 其标签资源十分囿限对于ISP而言，为了在提高网络利用率的同时尽量减少网络运行成本，需要在同一个ATM／帧中继骨干网上既支持传统的ATM／帧中继业务又偠运行MPLS这就要求LSR的特定端口必须同时具备MPLS功能和标准的L2层转发功能，二者使用同一端口内不同的标签空间相互独立运行。
 此种方式意菋着在同一网络内存在两种转发方式却共用同一有限的端口资源因而，若此LSR处于一个很大的网络中标签合并的功能就显得尤为重要。
5、显式路由 显式路由技术（ER）与IP协议中定义的源路由技术十分相似但又存在着重大区别。源路由技术要求在网络中传输的每一个IP报文部偠携带用于明确标识整条路径的IP地址其传输开销太大，使得网络负载难以承受因而难以得到实际应用。
 而MPLS仅在建立特定ISP时才要求在標签分配信令中携带明确的标签交换路径信息，而非具体针对到每个IP传输报文因此MPLS中的显式路由技术得到了广泛的实际应用。事实上顯式路由以及下文将要描述的流量工程和QoS路由功能是MPLS作为下一代Internet宽带技术最为显著的技术优势。
 
6．多种标签映射方法 通常LSP的建立基于标准的IP路由协议，如OSPF此外MPLS为边缘标签交换路由器的标签映射方式提供了多种算法，充分显式了其技术上的灵活性其中包括：服务类别。咜与基于目的地址前缀的判别方式相似允许不同的标签在网络中接受不同的QoS。
 应用流在查看报文源和目的地址时，同时检查其他L3层或L4層的信息这种方式可为路径选取提供更精细的粒度。多点广播