BGP/MPLS VPN的實(shí)現(xiàn)技術(shù)

2019-11-03 10:25:38

字體：大中小

供稿：網(wǎng)友

江蘇省電信有限公司南通分公司發(fā)展規(guī)劃部

　　摘要 MPLS VPN技術(shù)是未來構(gòu)建VPN的發(fā)展方向，越來越受到客戶和運(yùn)營(yíng)商的青睞。BGP/MPLS VPN是第三層MPLS VPN技術(shù)。本文在對(duì)VRF、RD、RT幾個(gè)重要概念進(jìn)行解釋之后，對(duì)BGP/MPLS VPN的數(shù)據(jù)轉(zhuǎn)發(fā)過程和路由信息分發(fā)過程進(jìn)行了較為詳細(xì)的敘述。最后通過分析BGP/MPLS VPN的特點(diǎn)，分析了其市場(chǎng)前景。

　　關(guān)鍵詞多協(xié)議標(biāo)簽交換（MPLS）虛擬局域網(wǎng)（VPN）　

一、VPN技術(shù)概述

　　VPN（Virtual PRivate Network）是基于公網(wǎng)，利用隧道、加密等技術(shù)，為用戶提供的虛擬專用網(wǎng)絡(luò)，它給用戶一種直接連接到私人局域網(wǎng)的感覺。

　　1. 傳統(tǒng)VPN組網(wǎng)方式

　　傳統(tǒng)VPN組網(wǎng)方式分成兩種，一種是專線VPN，一種是基于客戶端設(shè)備的VPN （CPE-based VPN）。

　　專線VPN使用DDN電路或者虛電路（如ATM PVC、FR PVC 等）連接客戶的站點(diǎn)，形成一個(gè)疊加式的二層VPN網(wǎng)絡(luò)。這種方式的VPN，成本高、建設(shè)周期長(zhǎng)、網(wǎng)絡(luò)拓展性不好，并且可管理性差。

　　CPE-based VPN，其VPN功能都集成在各種各樣的CPE設(shè)備之中，運(yùn)營(yíng)商的公網(wǎng)為客戶提供透明的數(shù)據(jù)傳輸。因?yàn)閂PN是跨越不可信任的公網(wǎng)構(gòu)建而成的，所以一般CPE-based VPN都采用隧道、加密、認(rèn)證等方式來防止數(shù)據(jù)被復(fù)制、篡改和丟失。這種方式的VPN，其最大缺點(diǎn)就在于需要客戶投入較大的人力、物力去管理和維護(hù)VPN，同時(shí)加密機(jī)制也會(huì)對(duì)設(shè)備的轉(zhuǎn)發(fā)性能和網(wǎng)絡(luò)的拓展性產(chǎn)生很大的影響。

　　2. Provider Provisioned VPN（PP-VPN）

　　隨著通信技術(shù)的不斷發(fā)展，特別是MPLS技術(shù)的出現(xiàn)，基于運(yùn)營(yíng)商網(wǎng)絡(luò)的VPN，即PP-VPN應(yīng)運(yùn)而生。PP-VPN整個(gè)操作是作為一個(gè)運(yùn)營(yíng)商的外包資源實(shí)現(xiàn)在網(wǎng)絡(luò)上，而不是在客戶端設(shè)備上。這種方式的VPN，降低了客戶的投入，增加了運(yùn)營(yíng)商的收入，同時(shí)又具有較好的網(wǎng)絡(luò)拓展性、可管理性，因而贏得了越來越多客戶和運(yùn)營(yíng)商的青睞。基于MPLS的VPN就屬于PP-VPN。

二、MPLS VPN簡(jiǎn)介

　　MPLS（Multi-Protocol Label Switch，多協(xié)議標(biāo)簽交換）是由IETF提出的新一代ip骨干網(wǎng)絡(luò)交換標(biāo)準(zhǔn)，是一種集成式的IP Over ATM技術(shù)。它融合了IP路由技術(shù)靈活性和ATM交換技術(shù)簡(jiǎn)潔性的優(yōu)點(diǎn)，在面向無連接的IP網(wǎng)絡(luò)中引入了MPLS面向連接的屬性，提供了類似于虛電路的標(biāo)簽交換業(yè)務(wù)。

　　MPLS VPN有三種類型的路由器，CE路由器、PE路由器和P路由器。其中，CE路由器是客戶端路由器，為用戶提供到PE路由器的連接；PE路由器是運(yùn)營(yíng)商邊緣路由器，也就是MPLS網(wǎng)絡(luò)中的標(biāo)簽邊緣路由器（LER），它根據(jù)存放的路由信息將來自CE路由器或標(biāo)簽交換路徑（LSP）的VPN數(shù)據(jù)處理后進(jìn)行轉(zhuǎn)發(fā)，同時(shí)負(fù)責(zé)和其他PE路由器交換路由信息；P路由器是運(yùn)營(yíng)商網(wǎng)絡(luò)主干路由器，也就是MPLS網(wǎng)絡(luò)中的標(biāo)簽交換路由器（LSR），它根據(jù)分組的外層標(biāo)簽對(duì)VPN數(shù)據(jù)進(jìn)行透明轉(zhuǎn)發(fā)，P路由器只維護(hù)到PE路由器的路由信息而不維護(hù)VPN相關(guān)的路由信息。

　　根據(jù)PE路由器是否參與客戶的路由，MPLS VPN分成Layer3 MPLS VPN和Layer2 MPLS VPN。其中Layer3 MPLS VPN遵循RFC2547bis標(biāo)準(zhǔn)，使用BGP在PE路由器之間分發(fā)路由信息，使用MPLS技術(shù)在VPN站點(diǎn)之間傳送數(shù)據(jù)，因而又稱為BGP/MPLS VPN。

三、BGP/MPLS VPN中幾個(gè)重要的概念

　　1. VRF

　　BGP/MPLS VPN的安全舉措之一就是路由隔離和信息隔離，它是通過VPN路由轉(zhuǎn)發(fā)（VPN Routing && Forwarding：VRF）表和MPLS中的LSP來實(shí)現(xiàn)的。在PE路由器上，存在有多個(gè)VRF表，這些VRF表是和PE路由器上的一個(gè)或多個(gè)子接口相對(duì)應(yīng)的，用于存放這些子接口所屬VPN的路由信息。通常情況下，VRF表中只包含一個(gè)VPN的路由信息，但是當(dāng)子接口屬于多個(gè)VPN時(shí)，其所對(duì)應(yīng)的VRF表中就包含了子接口所屬的所有VPN的路由信息。

　　對(duì)于每一個(gè)VRF表，都具有路由區(qū)分符（Route Distinguisher：RD）和路由目標(biāo)（Route Target：RT）兩大屬性。

　　2. RD

　　VPN中IP地址的規(guī)劃是由客戶自行制訂的，因而有可能會(huì)出現(xiàn)客戶選擇在RFC1918中定義的私有地址作為他們的站點(diǎn)地址或者不同的VPN使用相同的地址域，也就是所謂的地址重疊現(xiàn)象。地址重疊的后果之一就是BGP無法區(qū)分來自不同VPN的重疊路由，從而導(dǎo)致某個(gè)站點(diǎn)不可達(dá)。

　　為了解決這個(gè)問題，BGP/MPLS VPN除了采用在PE路由器上使用多個(gè)VRF表的方法，還引入了RD的概念。RD具有全局唯一性，通過將8個(gè)字節(jié)的RD作為IPv4地址前綴的擴(kuò)展，使不唯一的IPv4地址轉(zhuǎn)化為唯一的VPN-IPv4地址。VPN-IPv4地址對(duì)客戶端設(shè)備來說是不可見的，它只用于骨干網(wǎng)絡(luò)上路由信息的分發(fā)。

　　RD和VRF表之間建立了一一對(duì)應(yīng)的關(guān)系。通常情況下，對(duì)于不同PE路由器上屬于同一個(gè)VPN的子接口，為其所對(duì)應(yīng)的VRF表分配相同的RD，換句話說，就是為每一個(gè)VPN分配一個(gè)唯一的RD。但是對(duì)于重疊VPN，即某個(gè)站點(diǎn)屬于多個(gè)VPN的情況，由于PE路由器上的某個(gè)子接口屬于多個(gè)VPN，此時(shí)，該子接口所對(duì)應(yīng)的VRF表只能被分配一個(gè)RD，從而多個(gè)VPN共享一個(gè)RD。

　　3. RT

　　RT的作用類似于BGP中擴(kuò)展團(tuán)體屬性，用于路由信息的分發(fā)。它分成Import RT和Export RT，分別用于路由信息的導(dǎo)入、導(dǎo)出策略。當(dāng)從VRF表中導(dǎo)出VPN路由時(shí)，要用Export RT對(duì)VPN路由進(jìn)行標(biāo)記；在往VRF表中導(dǎo)入VPN路由時(shí)，只有所帶RT標(biāo)記與VRF表中任意一個(gè)Import RT相符的路由才會(huì)被導(dǎo)入到VRF表中。RT使得PE路由器只包含和其直接相連的VPN的路由，而不是全網(wǎng)所有VPN的路由，從而節(jié)省了PE路由器的資源，提高了網(wǎng)絡(luò)拓展性。

　　RT具有全局唯一性，并且只能被一個(gè)VPN使用。通過對(duì)Import RT和Export RT的合理配置，運(yùn)營(yíng)商可以構(gòu)建不同拓?fù)漕愋偷腣PN，如重疊式VPN和Hub-and-spoke VPN。

四、BGP/MPLS VPN的體系結(jié)構(gòu)

　　1. BGP/MPLS VPN的

　　體系結(jié)構(gòu)

　　體系結(jié)構(gòu)主要分成數(shù)據(jù)面和控制面。數(shù)據(jù)面定義了VPN數(shù)據(jù)的轉(zhuǎn)發(fā)過程；控制面則定義了LSP的建立和VPN路由信息的分發(fā)過程。在此，我們主要討論一下數(shù)據(jù)的轉(zhuǎn)發(fā)過程和路由信息的分發(fā)過程。

　　2. 數(shù)據(jù)轉(zhuǎn)發(fā)過程

　　在MPLS網(wǎng)絡(luò)中傳輸?shù)腣PN數(shù)據(jù)采用外標(biāo)簽（又稱隧道標(biāo)簽）和內(nèi)標(biāo)簽（又稱VPN標(biāo)簽）兩層標(biāo)簽棧結(jié)構(gòu)，它們分別對(duì)應(yīng)于兩個(gè)層面的路由：域內(nèi)路由和VPN路由。域內(nèi)路由即MPLS中的LSP是由PE路由器和P路由器通過運(yùn)行標(biāo)簽分發(fā)協(xié)議（Label Distribution Protocol：LDP）或資源預(yù)留協(xié)議（Resource Reservation Protocol：RSVP）建立的，它所產(chǎn)生的標(biāo)簽轉(zhuǎn)發(fā)表用于VPN分組外層標(biāo)簽的交換。VPN路由是由PE路由器之間通過運(yùn)行MP-iBGP建立的，該協(xié)議跨越骨干網(wǎng)的P路由器分發(fā)VPN標(biāo)簽形成VPN路由。

　　在PE路由器上除了VRF表外，還有MPLS路由表，該表用于存放VPN標(biāo)簽和子接口的對(duì)應(yīng)關(guān)系，為出口PE路由器到CE路由器之間的數(shù)據(jù)轉(zhuǎn)發(fā)提供依據(jù)。

　　具體數(shù)據(jù)轉(zhuǎn)發(fā)過程如下：當(dāng)CE路由器通過某個(gè)子接口將一個(gè)VPN分組發(fā)給入口PE路由器后，PE路由器查找該子接口對(duì)應(yīng)的VRF表，從VRF表中得到VPN標(biāo)簽、初始外層標(biāo)簽以及到出口PE路由器的輸出接口。當(dāng)VPN分組被打上兩層標(biāo)簽之后，就通過輸出接口發(fā)送到相應(yīng)LSP上的第一個(gè)P路由器。骨干網(wǎng)中P路由器根據(jù)外層標(biāo)簽逐跳轉(zhuǎn)發(fā)VPN分組，直至最后一個(gè)P路由器彈出外層標(biāo)簽，將只含有VPN標(biāo)簽的分組轉(zhuǎn)發(fā)給出口PE路由器。出口PE路由器根據(jù)VPN標(biāo)簽，查找MPLS路由表得到對(duì)應(yīng)的輸出接口，在彈出VPN標(biāo)簽后通過該接口將VPN分組發(fā)送給正確的CE路由器，從而實(shí)現(xiàn)了整個(gè)數(shù)據(jù)轉(zhuǎn)發(fā)過程。特別的，當(dāng)出口PE路由器和入口PE路由器是同一個(gè)路由器時(shí)，PE路由器對(duì)收到的VPN分組將不經(jīng)過任何處理直接轉(zhuǎn)發(fā)給目的CE路由器。

　　3. 路由信息分發(fā)過程

　　在MPLS VPN中，因?yàn)椴捎昧藘蓪訕?biāo)簽棧結(jié)構(gòu)，所以P路由器并不參與VPN路由信息的交互，客戶路由器是通過CE和PE路由器之間、PE路由器之間的路由交互知道屬于某個(gè)VPN的網(wǎng)絡(luò)拓?fù)湫畔ⅰ?br>
　?。?）CE-PE路由器之間通過采用靜態(tài)/缺省路由，或采用IGP（RIPv2、OSPF）等動(dòng)態(tài)路由協(xié)議，或建立EBGP連接等方式進(jìn)行路由信息的交互。

　　當(dāng)入口PE路由器從某個(gè)子接口接收到來自CE路由器的路由信息時(shí)，除了將該路由導(dǎo)入對(duì)應(yīng)的VRF表，PE路由器還要為該路由分配一個(gè)VPN標(biāo)簽。該VPN標(biāo)簽用以識(shí)別接收路由信息的子接口，因此從同一個(gè)子接口接收到的路由信息將被分配同樣的VPN標(biāo)簽，從而PE路由器可以將收到的VPN分組轉(zhuǎn)發(fā)到合適的子接口。

　?。?）PE-PE之間通過采用MP-iBGP進(jìn)行路由信息的交互。PE路由器通過維持iBGP網(wǎng)狀連接或使用路由反射器來確保路由信息被分發(fā)給所有的PE路由器。當(dāng)入口PE路由器分發(fā)路由信息時(shí)，將同時(shí)攜帶路由所在VRF表的RD，即將路由的IPv4地址轉(zhuǎn)化為VPN-IPv4地址。分發(fā)的具體路由信息包括該路由的VPN-IPv4地址前綴、下一跳BGP即入口PE路由器的VPN-IPv4地址（其中RD=0）、分配給該路由的VPN標(biāo)簽和該路由所在VRF表的Export RT。該路由信息我們稱為帶有標(biāo)簽的VPN-IPv4路由信息。

　　當(dāng)出口PE路由器收到路由信息時(shí)，將查看該路由的RT，如果RT和其任意VRF表中任意一個(gè)Import RT相符時(shí)，就將該路由存入VPN-IPv4.RIB表。在進(jìn)行路由選擇之后，將最優(yōu)路由中的VPN-IPv4地址轉(zhuǎn)化成IPv4地址，即去掉地址中的RD，導(dǎo)入到相應(yīng)的VRF表中。

五、跨越多個(gè)運(yùn)營(yíng)商網(wǎng)絡(luò)的MPLS VPN的實(shí)現(xiàn)

　　在某個(gè)客戶的MPLS/VPN跨越多個(gè)運(yùn)營(yíng)商網(wǎng)絡(luò)的情況下，如果假定運(yùn)營(yíng)商所用地址域不重疊，那么可以通過下述方法來解決：①為了分發(fā)帶有標(biāo)簽的IPv4路由信息，在邊緣路由器上建立EBGP連接；②為了分發(fā)帶有標(biāo)簽的VPN-IPv4路由信息，在屬于不同運(yùn)營(yíng)商的PE路由器之間建立多跳的EBGP連接。值得注意的是，這種用于不同運(yùn)營(yíng)商之間的EBGP解決方案同樣適用于一個(gè)具有多個(gè)AS值的運(yùn)營(yíng)商。

六、結(jié)束語(yǔ)

　　1. BGP/MPLS VPN的特點(diǎn)

　?、僮鳛镻P-VPN，提高了用戶網(wǎng)絡(luò)管理效率，降低了用戶在網(wǎng)絡(luò)管理方面投入的費(fèi)用。

　　②解決了純?nèi)龑覫P VPN所不能解決的地址重疊和重疊VPN的問題。

　?、劬哂休^好的網(wǎng)絡(luò)拓展性，解決了傳統(tǒng)VPN在實(shí)現(xiàn)用戶節(jié)點(diǎn)全網(wǎng)狀連接時(shí)的N2問題。

　?、懿恍枰捎眉用?、認(rèn)證等手段，通過路由隔離、地址隔離等多種方式，實(shí)現(xiàn)與傳統(tǒng)VPN相類似的安全保證。

　?、葸\(yùn)營(yíng)商勿需經(jīng)過網(wǎng)絡(luò)調(diào)整可以同時(shí)為用戶提供VPN業(yè)務(wù)和一些相關(guān)的IP增值業(yè)務(wù)（如Internet接入，防火墻，NAT等）。

　?、拗С钟脩舾鞣NQos和Cos業(yè)務(wù)需求。但是BGP/MPLS VPN也具有它的局限性，比如只能支持IP技術(shù)，不能支持IP多播應(yīng)用等。

　　2. 市場(chǎng)前景綜上所述，BGP/MPLS VPN可以作為傳統(tǒng)的基于二層專線的VPN、純?nèi)龑拥腎P VPN和隧道方式的VPN的替代技術(shù)，是未來構(gòu)建VPN技術(shù)的發(fā)展方向。但是由于VPN路由存在于PE路由器上，由運(yùn)營(yíng)商代替用戶維護(hù)路由，所以對(duì)于一些網(wǎng)絡(luò)安全意識(shí)較高的高端用戶，他們更傾向于使用傳統(tǒng)的二層VPN技術(shù)或者新興的Layer2 MPLS VPN。因此，目前BGP/MPLS VPN應(yīng)定位于缺乏專門技術(shù)人員而想盡量節(jié)省資金的那些以接入互聯(lián)網(wǎng)為主，其次才是通過互聯(lián)網(wǎng)訪問公司內(nèi)部網(wǎng)絡(luò)的中小規(guī)模的企業(yè)VPN用戶。運(yùn)營(yíng)商在向BGP/MPLS VPN演進(jìn)過程中，可采用循序漸進(jìn)的方式，在保持原有業(yè)務(wù)的同時(shí)，將BGP/MPLS VPN業(yè)務(wù)作為傳統(tǒng)VPN的補(bǔ)充，在積累一定運(yùn)營(yíng)經(jīng)驗(yàn)后再進(jìn)行全網(wǎng)的推廣。

----《中國(guó)數(shù)據(jù)通信》