基于MPLS的VPN技术原理及其实现
摘要：在研究了基于mpls的vpn技术的原理和工作的基础上，给出了基于bgp扩展实现的mpls vpn的一个网络组成模型，同时描述了这个模型中的各个设备及其功能。最后分析了mpls vpn的技术优势及其应用前景。
随着internet的蓬勃发展，人们对其应用提出了更高的要求。但internet缺乏有效的流量和网络带宽管理手段，网络经常会发生阻塞。无法对服务质量(qos)提供保证，许多应用对于目前的ip技术(如语音和视频等)显得力不从心。而新兴的多协议标记交换技术(mpls:multiprotocol label switching)有望解决这一问题。
1 vpn简介
vpn指的是依靠isp和其它nsp，在公用网络中建立专有数据通信网络的技术。在虚拟专网中，任意两个接点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公共网的资源动态组成的。vpn技术采用季认证、存取控制、机密性、数据完整性等措施，以保证信息在传输过程中的机密性、完整性和可用性。它是在公共internet之上为政府、企业构恐安全可靠、方便快捷的专用网络，并可节省资金。vpn技术是广域网建设的最佳解决方染，它不仅会大大节省广域网的建设和运行维护费用，而且拥有成本低、便于管理，开销少、灵活度高，保密性好等优点。
2 基于mpls的vpn技术
2.1 mpls的基本原理
mpls vpn是指基于mpls技术构建的虚拟专用网，即采用mpls技术，在公共ip网络上构建企业ip专网，实现数据、语音、图像等多业务宽带连接。并结合差别服务、流量工程等相关技术，为用户提供高质量的服务。mpls vpn能够在提供原有vpn网络所有功能的同时，提供强有力的qos能力，具有可靠性高、安全性高、扩展能力强、控制策略灵活以及管理能力强大等特点。
mpls是一种特殊的转发机制，它为进入网络中的ip数据包分配标记，并通过对标记的交换来实现ip数据包的转发。标记作为ip包头在网络中的替代品而存在，在网络内部mpls在数据包所经过的路径通过交换标记（而不是看ip包头）来实现转发；当数据包要退出mpls网络时，数据包被解开封装，继续按照ip包的路由方式到达目的地。
如图1所示，mpls网络包含一些基本的元素。在网络边缘的节点就称作标记边缘路由器(ler:label edge router),而网络的核心节点就称作标记交换路由器（lsr：label switching router）。ler节点在网络中提供高速交换功能。在mpls节点之间的路径就叫做标记交换路径(lsp:label switched path)。一条lsp可以看作是一条贯穿网络的单向隧道。
mpls的工作流程可以分为三个方面：即网络的边缘行为、网络的中心行为以及如何建立标记交换路径。
1. 网络的边缘行为
当ip数据包到达一个ler时，mpls第一次应用标记。首先，ler要分析ip包头的信息，并且按照它的目的地址和业务等级加以区分。
在ler中，mpls使用了转发等价类(fec:forwarding equivalence class)的概念来将输入的数据流映射到一条lsp上。简单地说，fec就是定义了一组沿着同一条路径、有相同处理过程的数据包。这就意味着所有的fec相同的包都可以映射到同一个标记中。
对于每一个fec，ler都建立一条独立的lsp穿过网络，到达目的地。数据包分配到一个fec后，ler就可以根据标记信息库(lib:label information base)来为其生成一个标记。标记信息库将每一个fec都映射到lsp下一跳的标记上。如果下一跳的链路是atm，则mpls将使用atm vcc里的vci作为标记。
转发数据包时，ler检查标记信息库中的fec，然后将数据包用lsp的标记封装，从标记信息库所规定的下一个接口发送出去。
2. 网络的核心行为
当一个带有标记的包到达lsr的时候，lsr提取入局标记，同时以它作为索引在标记信息库中查找。当lsr找到相关信息后，取出出局的标记，并由出局标记代替入局标记，从标记信息库中所描述的下一跳接口送出数据包。
最后，数据包到达了mpls域的另一端，在这一点，ler剥去封装的标记，仍然按照ip包的路由方式将数据包继续传送到目的地。
3. 如何建立标记交换路径
建立lsp的方式主要有两种：
(1)“hop by hop (逐跳寻径) ”路由
一个hop-by -hop的lsp是所有从源站点到一个特定目的站点的ip树的一部分。对于这些lsp，mpls模仿ip转发数据包的面向目的地的方式建立了一组树。
从传统的ip路由来看，每一台沿途的路由器都要检查包的目的地址，并且选择一条合适的路径将数据包发送出去。而mpls则不然，数据包虽然也沿着ip路由所选择的同一条路径进行传送，但是它的数据包头在整条路径上从始至终都没有被检查。
在每一个节点，mpls生成的树是通过一级一级地为下一跳分配标记，而且是通过与它们的对等层交换标记而生成的。交换是通过标记分配协议(ldp:label distribution protocol)的请求以及对应的消息完成的。
(2)显式路由
mpls最主要的优点就是它可以利用流量设计“引导”数据包。mpls允许网络的运行人员在源节点就确定一条显式路由的lsp（er-lsp），以规定数据包将选择的路径。er-lsp从源端到目的端建立一条直接的端到端的路径。mpls将显式路由嵌入到限制路由的标记分配协议的信息中，从而建立这条路径。
2.2 基本mpls的vpn实现
如图2所示，基于bgp扩展实现的mpls三层vpn包含以下基本组件：
pe：provider edge router,pe路由器使用静态路由、ripv2、ospf或ebgp与ce路由器交换路由信息。尽管pe路由器维护着vpn路由信息，但它只需为其直接相连的那些vpn维护vpn路由。每台pe路由器为其直接相连的每个站点维护一个vrp（virtual routing forwarding table），每个客户连接映射到某个vrf上。在从ce路由器上学习本地vpn路由信息。pe路由器使用ibgp与其它路由器交换vpn路由信息。pe路由器可以保护到路由反射器的ibgp会话，作为全网状ibgp会话的替代方案。使用mpls在供应商骨干中转发vpn数据流量时，入口pe路由器作为入mpls使用，出入pe路由器作为出中lsr使用。
ce：客户边缘(ce)设备允许客户通过连接一台或多台供应商边缘（pe）路由器的一条数据链路接入服务供应商网络。ce设备是一台ip路由器，它与直接连接的pe路由器建立邻接关系。在建立邻接后，ce路由器把站点的本地vpn路由广播到pe路由器，并从pe路由器上学习远程vpn路由。
prouter:provider router，供应商路由器是没有连接ce设备的供应商网络中的任何路由器。在pe路由器这间转发vpn数据流量时，供应商路由器作为mpls连接lsr使用。由于是在采用两层标记堆栈的mpls骨干中转发流量，因此供应商路由器只需维护到供应商pe路由器的路由，而不需维护每个客户站点专用的vpn路由信息。
rr:route reflector,bgp路由反射器
asbr:automated system border router，自治系统边界路由器，在实现跨自治系统的vpn时，与其它自治系统交换vpn路由。
mp-bgp：多协议扩展bgp，承载携带标签的ipv4/vpn路由，包括mp-ibgp、mp-ebgp。
pe-ce路由协议：在pe、ce之间传递用户网络路由，可以是静态路由，或rip、ospf、isis、bgp协议。
ldp：label distribution protocol，在pe之间建立尽力而为的lsp，经过p路由器，所有pe、p路由器均需要支持。rsvp-te：在vpn需要qos保障时，在pe之间建立具有qos能力的er-lsp。
vrf：virtual routing fowarding table，虚拟路由转发表，它包含同一个site相关的路由表、转发表、接口（子接口）、路由实例和路由策略等。在pe设备上，属于同一vpn的物理端口或逻辑端口对应一个vrf，可通过命令行或网管工具进行配置，主要参数包括rd(route distinguish)、import route-targets、export route-targets、接口（子接口）等。
vpn用户站点：site是vpn中的一个孤立的ip网络，一般来说，它不通过骨干网公司总部、分支机构都是site的具体例子。ce路由器通常为vpn site中的一个路由器或交换设备，site通过一个单独的物理端口或逻辑端口（通常是vlan端口）连接到pe设备。
用户接入mpls vpn后，每个site提供一个或多个ce与骨干网的pe连接，并在pe上为该site配置vrf，将连结pe-ce的物理接口、逻辑接口、甚至l2tp/ipsec隧道绑定到vrf上，但不可以是多跳的三层连接。
bgp扩展实现的mpls vpn扩展的bgp nlri的ipv4地址，在其前增加了一个8字节的rd（route distinguisher），用于标记vpn的成员(site)。每个vrf可配置某些策略，规定vpn可以接收哪些site的路由信息，可以向外发布哪些site的路由信息。pe根据bgp扩展发布的信息进行路由计算，生成相关vpn的路由表。
通常，pe-ce之间通过静态路由交换路由信息，也可通过rip、ospf、bgp、is-is等协议，静态路由方式可以减少因ce设备管理不善等原因造成的对骨干网bgp路由的震荡，从而提供骨干网的稳定性。
mpls bgp三层vpn适用于固定的internet/extranet用户，每个site可代表internet/extranet的总部或分支机构。mpls三层vpn的ce与pe设备之间只需要一条物理或逻辑链路，但pe设备必须保存多个路由表。如果在cpe或pe之间运行动态路由协议，则pe还必须支持多实例，对pe性能要求较高。pe与pe之间需要运行bgp协议，可扩展性较差，目前可通过一个或多个路由反射器解决这一问题。对于同一as(automated system)域的vpn，必须建立运营商之间路由器ibgp连接的pe，与路由反射器建立ibgp连接即可。
mpls bgp三层vpn可通过与internet路由之间配置一些静态路由的方式，实现vpn的internet上网服务，并可为跨不同地域的、属于同一个as但没有骨干网的运营商提供vpn互连，即提供“运营商的运营商”模式的vpn网络互连。
2.3 mpls的优点
1.高安全性。mpls的标记交换路径(lps)具有与fr和atm vcc相似的安全性；另外。mpls vpn还集成了ipsec加密，同时也实现了对用户透时，用户可以采用防火墙，数据加密等方法，进一步提高安全性。
2.强大的扩展性。第一，网络可以容纳的vpn数目很大；第二，同一vpn的用户很容易扩充。
3.业务的融合能力。mpls vpn提供了数据、语音和视频三网融合的能力。
4.灵活的控制策略。可以制定特殊的控制策略，同时满足不同用户的特殊需求，实现增值服务。
5.强大的管理功能。采用集中管理的方式，业务配置和调度统一平台，减少了用户的负担。
6.服务级别协议(sla)。目前利用差别服务、流量控制和服务级别来保证一定的流量控制，将来可以提供宽带保证以及更高的服务质量保证。
7.为用户节省费用。
mpls是一种结合了链路层和ip层优势的新技术。在mpls网络上不仅仅能提供vpn业务，也能够开展qos、te、组播等等的业务。随着mpls应用的不断升温，不论是产品还是网络，对mpls的支持已不再是额外的要求。vpn虽然是一项刚刚兴起的综合性的网络新技术，但却已经显示了其强大的生命力。在我国网络基础薄弱，政府和企业对ip虚拟专用网的需求不高，但相信随着政府上网、特别是在电子商务的推动下，基本mpls的ip虚拟专用网技术的解决方案必将有不可估量的市场前景。
织物折皱回复性试验仪的用途以及主要特点
STM32串口实现485双机通信的原理
什么是超级终端_超级终端是干什么用的
调查显示：消费者愿意多支付20％的费用来购买5G智能手机
新思科技完善软件安全计划并已经迎来了第11个版本
基于MPLS的VPN技术原理及其实现
独石陶瓷电容器的未来发展
苹果将在2019年一季度发布首个新品AirPower
澳大利亚采购350架大疆无人机
磷酸铁锂主要工艺流程图解析
C语言编程中main()函数退出之后程序去哪儿了
华为鲲鹏携手同创永益共同打造容灾运营管理领域技术生态
小米6或将搭载骁龙835处理器 不愧为性价比之王！
智能门铃2已在小米商城正式开启众筹众筹价为179元
任正非：正确地估计自己，人生要有满足感
简单分析GPU与CPU在绘图处理方式的优缺点
FL4830方位灯和FL4830强光手电介绍
数据分析指导商业实践潜力巨大 究竟如何应用？
紫光携手厦门国资共建160亿联合发展基金
视频系统设计中的配置方式判断和交流耦合分析
随着internet的蓬勃发展，人们对其应用提出了更高的要求。但internet缺乏有效的流量和网络带宽管理手段，网络经常会发生阻塞。无法对服务质量(qos)提供保证，许多应用对于目前的ip技术(如语音和视频等)显得力不从心。而新兴的多协议标记交换技术(mpls:multiprotocol label switching)有望解决这一问题。
1 vpn简介
vpn指的是依靠isp和其它nsp，在公用网络中建立专有数据通信网络的技术。在虚拟专网中，任意两个接点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公共网的资源动态组成的。vpn技术采用季认证、存取控制、机密性、数据完整性等措施，以保证信息在传输过程中的机密性、完整性和可用性。它是在公共internet之上为政府、企业构恐安全可靠、方便快捷的专用网络，并可节省资金。vpn技术是广域网建设的最佳解决方染，它不仅会大大节省广域网的建设和运行维护费用，而且拥有成本低、便于管理，开销少、灵活度高，保密性好等优点。
2 基于mpls的vpn技术
2.1 mpls的基本原理
mpls vpn是指基于mpls技术构建的虚拟专用网，即采用mpls技术，在公共ip网络上构建企业ip专网，实现数据、语音、图像等多业务宽带连接。并结合差别服务、流量工程等相关技术，为用户提供高质量的服务。mpls vpn能够在提供原有vpn网络所有功能的同时，提供强有力的qos能力，具有可靠性高、安全性高、扩展能力强、控制策略灵活以及管理能力强大等特点。
mpls是一种特殊的转发机制，它为进入网络中的ip数据包分配标记，并通过对标记的交换来实现ip数据包的转发。标记作为ip包头在网络中的替代品而存在，在网络内部mpls在数据包所经过的路径通过交换标记（而不是看ip包头）来实现转发；当数据包要退出mpls网络时，数据包被解开封装，继续按照ip包的路由方式到达目的地。
如图1所示，mpls网络包含一些基本的元素。在网络边缘的节点就称作标记边缘路由器(ler:label edge router),而网络的核心节点就称作标记交换路由器（lsr：label switching router）。ler节点在网络中提供高速交换功能。在mpls节点之间的路径就叫做标记交换路径(lsp:label switched path)。一条lsp可以看作是一条贯穿网络的单向隧道。
mpls的工作流程可以分为三个方面：即网络的边缘行为、网络的中心行为以及如何建立标记交换路径。
1. 网络的边缘行为
当ip数据包到达一个ler时，mpls第一次应用标记。首先，ler要分析ip包头的信息，并且按照它的目的地址和业务等级加以区分。
在ler中，mpls使用了转发等价类(fec:forwarding equivalence class)的概念来将输入的数据流映射到一条lsp上。简单地说，fec就是定义了一组沿着同一条路径、有相同处理过程的数据包。这就意味着所有的fec相同的包都可以映射到同一个标记中。
对于每一个fec，ler都建立一条独立的lsp穿过网络，到达目的地。数据包分配到一个fec后，ler就可以根据标记信息库(lib:label information base)来为其生成一个标记。标记信息库将每一个fec都映射到lsp下一跳的标记上。如果下一跳的链路是atm，则mpls将使用atm vcc里的vci作为标记。
转发数据包时，ler检查标记信息库中的fec，然后将数据包用lsp的标记封装，从标记信息库所规定的下一个接口发送出去。
2. 网络的核心行为
当一个带有标记的包到达lsr的时候，lsr提取入局标记，同时以它作为索引在标记信息库中查找。当lsr找到相关信息后，取出出局的标记，并由出局标记代替入局标记，从标记信息库中所描述的下一跳接口送出数据包。
最后，数据包到达了mpls域的另一端，在这一点，ler剥去封装的标记，仍然按照ip包的路由方式将数据包继续传送到目的地。
3. 如何建立标记交换路径
建立lsp的方式主要有两种：
(1)“hop by hop (逐跳寻径) ”路由
一个hop-by -hop的lsp是所有从源站点到一个特定目的站点的ip树的一部分。对于这些lsp，mpls模仿ip转发数据包的面向目的地的方式建立了一组树。
从传统的ip路由来看，每一台沿途的路由器都要检查包的目的地址，并且选择一条合适的路径将数据包发送出去。而mpls则不然，数据包虽然也沿着ip路由所选择的同一条路径进行传送，但是它的数据包头在整条路径上从始至终都没有被检查。
在每一个节点，mpls生成的树是通过一级一级地为下一跳分配标记，而且是通过与它们的对等层交换标记而生成的。交换是通过标记分配协议(ldp:label distribution protocol)的请求以及对应的消息完成的。
(2)显式路由
mpls最主要的优点就是它可以利用流量设计“引导”数据包。mpls允许网络的运行人员在源节点就确定一条显式路由的lsp（er-lsp），以规定数据包将选择的路径。er-lsp从源端到目的端建立一条直接的端到端的路径。mpls将显式路由嵌入到限制路由的标记分配协议的信息中，从而建立这条路径。
2.2 基本mpls的vpn实现
如图2所示，基于bgp扩展实现的mpls三层vpn包含以下基本组件：
pe：provider edge router,pe路由器使用静态路由、ripv2、ospf或ebgp与ce路由器交换路由信息。尽管pe路由器维护着vpn路由信息，但它只需为其直接相连的那些vpn维护vpn路由。每台pe路由器为其直接相连的每个站点维护一个vrp（virtual routing forwarding table），每个客户连接映射到某个vrf上。在从ce路由器上学习本地vpn路由信息。pe路由器使用ibgp与其它路由器交换vpn路由信息。pe路由器可以保护到路由反射器的ibgp会话，作为全网状ibgp会话的替代方案。使用mpls在供应商骨干中转发vpn数据流量时，入口pe路由器作为入mpls使用，出入pe路由器作为出中lsr使用。
ce：客户边缘(ce)设备允许客户通过连接一台或多台供应商边缘（pe）路由器的一条数据链路接入服务供应商网络。ce设备是一台ip路由器，它与直接连接的pe路由器建立邻接关系。在建立邻接后，ce路由器把站点的本地vpn路由广播到pe路由器，并从pe路由器上学习远程vpn路由。
prouter:provider router，供应商路由器是没有连接ce设备的供应商网络中的任何路由器。在pe路由器这间转发vpn数据流量时，供应商路由器作为mpls连接lsr使用。由于是在采用两层标记堆栈的mpls骨干中转发流量，因此供应商路由器只需维护到供应商pe路由器的路由，而不需维护每个客户站点专用的vpn路由信息。
rr:route reflector,bgp路由反射器
asbr:automated system border router，自治系统边界路由器，在实现跨自治系统的vpn时，与其它自治系统交换vpn路由。
mp-bgp：多协议扩展bgp，承载携带标签的ipv4/vpn路由，包括mp-ibgp、mp-ebgp。
pe-ce路由协议：在pe、ce之间传递用户网络路由，可以是静态路由，或rip、ospf、isis、bgp协议。
ldp：label distribution protocol，在pe之间建立尽力而为的lsp，经过p路由器，所有pe、p路由器均需要支持。rsvp-te：在vpn需要qos保障时，在pe之间建立具有qos能力的er-lsp。
vrf：virtual routing fowarding table，虚拟路由转发表，它包含同一个site相关的路由表、转发表、接口（子接口）、路由实例和路由策略等。在pe设备上，属于同一vpn的物理端口或逻辑端口对应一个vrf，可通过命令行或网管工具进行配置，主要参数包括rd(route distinguish)、import route-targets、export route-targets、接口（子接口）等。
vpn用户站点：site是vpn中的一个孤立的ip网络，一般来说，它不通过骨干网公司总部、分支机构都是site的具体例子。ce路由器通常为vpn site中的一个路由器或交换设备，site通过一个单独的物理端口或逻辑端口（通常是vlan端口）连接到pe设备。
用户接入mpls vpn后，每个site提供一个或多个ce与骨干网的pe连接，并在pe上为该site配置vrf，将连结pe-ce的物理接口、逻辑接口、甚至l2tp/ipsec隧道绑定到vrf上，但不可以是多跳的三层连接。
bgp扩展实现的mpls vpn扩展的bgp nlri的ipv4地址，在其前增加了一个8字节的rd（route distinguisher），用于标记vpn的成员(site)。每个vrf可配置某些策略，规定vpn可以接收哪些site的路由信息，可以向外发布哪些site的路由信息。pe根据bgp扩展发布的信息进行路由计算，生成相关vpn的路由表。
通常，pe-ce之间通过静态路由交换路由信息，也可通过rip、ospf、bgp、is-is等协议，静态路由方式可以减少因ce设备管理不善等原因造成的对骨干网bgp路由的震荡，从而提供骨干网的稳定性。
mpls bgp三层vpn适用于固定的internet/extranet用户，每个site可代表internet/extranet的总部或分支机构。mpls三层vpn的ce与pe设备之间只需要一条物理或逻辑链路，但pe设备必须保存多个路由表。如果在cpe或pe之间运行动态路由协议，则pe还必须支持多实例，对pe性能要求较高。pe与pe之间需要运行bgp协议，可扩展性较差，目前可通过一个或多个路由反射器解决这一问题。对于同一as(automated system)域的vpn，必须建立运营商之间路由器ibgp连接的pe，与路由反射器建立ibgp连接即可。
mpls bgp三层vpn可通过与internet路由之间配置一些静态路由的方式，实现vpn的internet上网服务，并可为跨不同地域的、属于同一个as但没有骨干网的运营商提供vpn互连，即提供“运营商的运营商”模式的vpn网络互连。
2.3 mpls的优点
1.高安全性。mpls的标记交换路径(lps)具有与fr和atm vcc相似的安全性；另外。mpls vpn还集成了ipsec加密，同时也实现了对用户透时，用户可以采用防火墙，数据加密等方法，进一步提高安全性。
2.强大的扩展性。第一，网络可以容纳的vpn数目很大；第二，同一vpn的用户很容易扩充。
3.业务的融合能力。mpls vpn提供了数据、语音和视频三网融合的能力。
4.灵活的控制策略。可以制定特殊的控制策略，同时满足不同用户的特殊需求，实现增值服务。
5.强大的管理功能。采用集中管理的方式，业务配置和调度统一平台，减少了用户的负担。
6.服务级别协议(sla)。目前利用差别服务、流量控制和服务级别来保证一定的流量控制，将来可以提供宽带保证以及更高的服务质量保证。
7.为用户节省费用。
mpls是一种结合了链路层和ip层优势的新技术。在mpls网络上不仅仅能提供vpn业务，也能够开展qos、te、组播等等的业务。随着mpls应用的不断升温，不论是产品还是网络，对mpls的支持已不再是额外的要求。vpn虽然是一项刚刚兴起的综合性的网络新技术，但却已经显示了其强大的生命力。在我国网络基础薄弱，政府和企业对ip虚拟专用网的需求不高，但相信随着政府上网、特别是在电子商务的推动下，基本mpls的ip虚拟专用网技术的解决方案必将有不可估量的市场前景。
织物折皱回复性试验仪的用途以及主要特点
STM32串口实现485双机通信的原理
什么是超级终端_超级终端是干什么用的
调查显示：消费者愿意多支付20％的费用来购买5G智能手机
新思科技完善软件安全计划并已经迎来了第11个版本
基于MPLS的VPN技术原理及其实现
独石陶瓷电容器的未来发展
苹果将在2019年一季度发布首个新品AirPower
澳大利亚采购350架大疆无人机
磷酸铁锂主要工艺流程图解析
C语言编程中main()函数退出之后程序去哪儿了
华为鲲鹏携手同创永益共同打造容灾运营管理领域技术生态
小米6或将搭载骁龙835处理器 不愧为性价比之王！
智能门铃2已在小米商城正式开启众筹众筹价为179元
任正非：正确地估计自己，人生要有满足感
简单分析GPU与CPU在绘图处理方式的优缺点
FL4830方位灯和FL4830强光手电介绍
数据分析指导商业实践潜力巨大 究竟如何应用？
紫光携手厦门国资共建160亿联合发展基金
视频系统设计中的配置方式判断和交流耦合分析