华为HCIE课堂笔记第七章 MPLS VPN部署和应用

第七章  MPLS VPN的部署和应用

7.1 组网方式

1、Intranet 组网方式：一个VPN中的所有用户形成闭合用户群，相互之间能够进行流量转发，VPN中的用户不能与任何本VPN以外的用户通信，其站点通常是属于同一个组织。VPN中的所有的RT值配置相同。

2、Extranet组网方式：VPN用户可将部分站点中的网络资源给其他VPN用户进行访问。通过RT值控制路由发布与接收。

3、hub-Spoke组网方式：同一个VPN用户中存在总部和分支，分支机构的通信必须要经过总部，以便对网络进行监控。

7.2 Hub-Spoke部署方式

7.2.1 PE与CE之间部署BGP协议

1. Hub PE和Hub CE之间、Spoke PE和Spoke CE之间部署BGP协议。面临AS号防环的问题：导致另一个分支或者是总部无法收到对端的路由条目（分支和总部都是使用相同的AS号）
   1. 通过AS号替换功能：
      1. [PE1-bgp-vpn1] peer 192.168.100.1 substitute-as   //在PE1设备上配置指向对端CE1设备将发布的路由条目中的AS号与对端CE相同的AS号替换为PE自己的AS号。
      2. 通过AS号替换，多CE和多PE场景下，可能会出现站点内路由从CE到达PE之后，又从其他的PE或CE转回站点，存在环路风险。
         1. 此时在PE设备上为每一个CE设备配置一个站点起源属性。
            1. [PE1-bgp-vpn1] peer 192.168.200.1 soo 200:1   //200.1是CE的地址。
         2. PE从CE收到路由之后，将路由添加SoO属性转发给其他的对等体，如果路由的SoO属性与本地配置的对等体的SoO属性相同，则不转发。
   2. 允许AS号重复次数
      1. [aR6-bgp]peer 10.0.36.3 allow-as-loop 1   //允许从该对等体接收到的路由中的AS path属性与本地AS号重复一次。

7.2.2 PE和CE之间部署IGP协议

1、总部PE和CE之间部署IGP，分部的PE和CE之间部署IGP协议

7.2.3 总部PE和CE部署BGP，分支PE和CE之间部署IGP

1、总部PE和CE部署BGP，分支PE和CE之间部署IGP

7.2.4 总部PE和CE部署IGP，分支PE和CE之间部署BGP（无效）

不存在第四种方式，总部使用IGP协议，会丢弃BGP路由属性，当总部将分部路由传递给PE设备的时候，PE设备会产生一条BGP路由，AS-path属性为空，导致分部PE设备收到总部的AS-path为空的路由进行优选，分部路由不是最优，进行撤销，导致路由震荡。

7.3 OSPF/BGP的扩展

PE和CE设备之间使用OSPF协议的时候，OSPF的信息将会丢失，导致对端的PE设备重新生成LSA的时候，生成5类LSA

对BGP进行扩展，通过扩展团体属性携带以下参数：

1. Domain ID：域标识符用于区分和标识不同的域的
2. Route type：由Area ID和route type表示
   1. Area ID：PE和CE关联的Area ID
   2. Route type：1,2,3,5,7类LSA的类型
3. PE设备根据收到的BGP路由携带的参数，还原OSPF的LSA信息：
   1. 两边配置的Domain ID相同：
      1. 则原1,2,3类LSA重新生成1,2,3类LSA
      2. 原5,7类LSA，重新生成5,7类LSA
   2. 如果Domian ID不同：
      1. 原1,2,3,4,7类LSA重新生成5,7类LSA。

7.4 多归场景下，OSPF的防环

7.4.1 DNbit防环

1. DNbit位防环：一个站点CE多归到多个PE设备，用于提供链路冗余，为了防止从PE2学习到的LSA再次从PE3传递给MPLS域，此时通过DNbit位可以进行环路预防。
2. 从PE2的实例中将LSA发出给CE的时候，3类LSA和5类LSA的头部的Option字段中DN bit置1，当CE将该LSA再次发送给PE3的时候，PE3从实例接受该LSA，不计算该LSA。PE3仍然选择从MP-BGP学习的该路由，不从内部CE学习该路由。
3. 配置命令：
   1. [ar8-ospf-100]dn-bit-set disable xx   //PE上产生LSA，取消DNbit置位，不置位。
   2. [Ar3-ospf-100]dn-bit-check disable xx   //PE上忽略DNbit位置位，正常计算LSA

7.4.2 route-tag防环

用于5、7类LSA的场景下防环。

CE多归属到多个PE设备，PE2设备生成LSA发送CE的时候，根据自己的AS号，计算Route-tag并携带在OSPF LSA中，当该LSA通过CE再次发送给PE3的时候，PE3根据自己的AS号计算出出来的route-tag值与接收到的LSA的route-tag值相同，则不计算该LSA。避免出现环路。

7.5 Sham link

在MPLS VPN的场景下，如果存在站点到站点之间的后面链路（用于提供链路冗余，但是带宽较低），那么后门链路传递的LSA会是1类2类LSA，而MPLS VPN主用链路传递的LSA最好的情况是3类LSA，导致站点之间的通信都会使用门链路（1,2类路由优于3类路由）。

在PE之间构建Sham link（伪连接），通过伪连接直接将站点的1,2类LSA传递给对端站点，对端站点收到后门链路的1,2类LSA和主用电路的1,2类LSA，比较开销值后，选择主用链路的路由条目进行通信。后门链路的LSA成为备份路由。