一个人的世界
  IT博客 :: 首页 :: 联系 :: 聚合  :: 管理
  0 Posts :: 18 Stories :: 0 Comments :: 0 Trackbacks
【转载】MPLS VPN 实现技术原理详解（三）
三、BGP协议在MPLS网络中的特殊应用
    上面提到LSR根据路由表分配标签时，只对从IGP协议获得的路由条目分配标签。原因何在？这是有特殊意义的，如下图，整个Transit AS中启动MPLS交换。保证ISP2和LSR-Border2之间的网段发布到Transit AS内部的IGP路由协议中，对ISP1和LSR-Border2之间的网段也做同样的要求。前面提到过LSR为路由条目分配标签时，只对从IGP学来的路由分配标签，而网络1.2.3.4是被发布到Transit AS内部的IGP路由协议中了，可以肯定在Border1处是可以获得Core1告诉它有关1.2.3.4网络的标签23。LSR-Border1，LSR-Border2之间形成IBGP邻居关系，通过BGP协议，LSR-Border2把从ISP2处学来的10.0.0.0/8这条路由告诉给LSR-Border1，这条路由的下一跳地址是1.2.3.4，这样一来让LSR-Border1得知要给网络10.0.0.0/8发送数据，先把数据发送到1.2.3.4这个网络来。1.2.3.4被绑定了标签23，所以在生成FIB表时，也给10.0.0.0/8这个网段绑定一个标签23。这样，如果有数据从ISP1穿越Transit AS到达ISP2，在Border1处就会给IP包插上23这个标签，把生成的标签包转发到Core1，Core1就只要分析标签头做标签包的转发就可以了！由于Transit AS内部核心路由器不必要运行BGP协议，这样一来，MPLS网络的核心路由器就不会知道外部用户的路由，缩小了核心路由器的路由表，提高了搜索效率。大家也看到，由于打上了标签，IP包头是不会在核心路由器被分析的，即使IP包头含有10.0.0.1这样的私有IP地址，也会因为只分析标签的原因被正常转发，这就是服务提供商提供VPN服务所追求的。当然在此必须重声，LSP在整个Transit AS不能被断开，如果断开，标签包就恢复成IP包，而核心路由器是不含用户路由的，最终导致数据包的丢失。



    BGP在MPLS网络中的作用为我们提供了VPN服务打开了方便之门，但也应该意识到VPN服务两个最基本的要求是

  1.用户可以独立规划IP地址
  2.安全性非常重要。     如下图是两个VPN实例，PE1(PE=Provider Edge device)上分别接了CE1 （CE=Customer Edge device)和CE3，但是CE1和CE3上带到IP地址相同的网段10.1.2.0/8，很明显如果不对PE1路由器做修改，PE1只能认为往10.1.2.0/8的数据要么从S0出，要么从S1出,这样的话，不是CE1就是CE3就更本收不到从PE1发来的前往10.1.2.0/8网段的数据。

    如果不对BGP4协议做修改，那么PE2和PE3发送给的PE1的有关10.1.1.0/8网络的路由更新就有可比性，PE1最终会选择一条路由，认为或是PE2或者PE3是发送数据到10.1.1.0/8的必经路由器。这样如果CE1带的10.1.2.0/8网段上的主机给10.1.1.0/8网段上的主机发送数据时，可能会发到CE4所带的10.1.1.0/8的网段上，这样造成了数据泄露。所以，为了使LSR能提供基于MPLS的VPN服务，还必须对此类设备做修改。



四、基于MPLS的VPN实现
    VPN服务是很早就提出的概念，不过以前电信提供商提供VPN是在传输网上提供的覆盖型的VPN服务。电信运营商给用户出租线路，用户上层使用何种的路由协议、路由怎么走等等，这些电信运营商不管。这种租用线路来搭建VPN的好处是安全，但是价格昂贵，线路资源浪费严重。后来随着IP网络的全面铺开，电信服务提供商在竞争的压力下，不得不提供更加廉价的VPN服务，也就是三层VPN服务。通过提供给用户一个IP平台，用户通过IP Over IP的封装格式在公网上打隧道，同时也提供了加密等等的手段提供安全保障。这类VPN用户在目前的网络上数量还是相当巨大的！但是这类VPN服务因大量的加密工作、传统路由器根据IP包头的目的地址转发效率不高等等的原因不是非常令人满意。MPLS技术的出现和BGP协议的改进，让大家看到了另一种实现VPN的曙光。

    1.MPLS/VPN体系结构
  (1) PE路由器的改造和VRF的导入

    为了让PE路由器上能区分是哪个本地接口上送来的VPN用户路由，在PE路由器上创建了大量的虚拟路由器，每个虚拟路由器都有各自的路由表和转发表，这些路由表和转发表统称为VRF(VPN Routing and Forwarding instances)。一个VRF定义了连到PE路由器上的VPN成员。VRF中包含了IP路由表，IP转发表（也成为CEF表），使用该CEF表的接口集和路由协议参数和路由导入导出规则等。 在VRF中定义的和VPN业务有关的两个重要参数是RD(Route Distinguisher)和RT(Route Target)。RD和RT长度都是64比特。 有了虚拟路由器就能隔离不同VPN用户之间的路由，也能解决不同VPN之间IP地址空间重叠的问题。

  (2) MP-BGP协议对VPN用户路由的发布

    正常的BGP4协议能只传递IPv4的路由，由于不同VPN用户具有地址空间重叠的问题，必须修改BGP协议。BGP最大的优点是扩展性好，可以在原来的基础上再定义新的属性，通过对BGP修改，把BGP4扩展成MP-BGP。在MP-IBGP邻居间传递VPN用户路由时打上RD标记，这样VPN用户传来的IPv4路由转变为VPNv4路由，这样保证VPN用户的路由到了对端的PE上，能够使对端PE区分开地址空间重叠但不同的VPN用户路由。例子如下：在PE1、PE2、PE3上分别配置VRF参数，其中VPN1用户的RD=6500:1，RT=100:1，VPN2用户的RD=6500:2、RT=100:2。所有VRF可以同时 导入和导出所定义的RT。
posted on 2007-07-19 20:18 zhbk_ilk 阅读(515) 评论(0)  编辑 收藏 引用 所属分类: VPN
只有注册用户登录后才能发表评论。