5.3、MPLS VPN

目录

1.MPLS VPN起源背景

2、MPLS VPN网络结构

3、MPLS VPN：运营商搭建

3.1、运营商碰到的问题

3.1.2、控制层面

3.1.3、转发层面

---

1.MPLS VPN起源背景

Ipsec-VPN，基于Internet的VPN。这个大家平时用得比较多。大公司员工出差在外，都会拨VPN，然后就相当于变成了公司内网，可以访问内网的网站。

MPLS-VPN，基于运营商MPLS专用网络的VPN。整个分公司和总部之间，通过这个连接，逻辑上相当于大家都处于一个内网里。

物理专线太贵，对vpn专线来说，只要企业出口设备支持vpn就行，无需付费，但是，用户端搭建的VPN只能由用户自行配置、管理和维护，随着用户网络规模机大，VPN隧道的数量不断增长，配置、管理和维护的难度不断增加。是否可以将VPN的署管理，维护工作交给运营商?

2、MPLS VPN网络结构

MPLS VPN可以提供动态建立隧道的技术。通过LDP创建LSP，报文转发时携带标签(公网标签)来实现。

PE(Provider edge)：运营商边界设备，与客户边界设备相连接。

P(Provider)：运营商设备，不直接与客户设备相连接。

CE(customer edge)：客户边界设备，与PE直连的设备。

3、MPLS VPN：运营商搭建

目的：用户数据从一个私网（局域网：192.168.1.1）传输到另一个私网（局域网：192.168.2.1）。

3.1、运营商碰到的问题

3.1.2、控制层面

1.地址重叠：私网ip可以重复使用，PE设备如何区分

解决：RD值；RD(Route Distinguisher)路由区分，即可区分相同地址空间的路由，64bit。

格式1：AS号：自定义；如100:1。如果没有AS号，自定义。

格式2：ip地址：自定义；如192.168.1.1:100

VPNV4地址/路由/前缀

假如ipv4前缀为192.168.1.0/24，RD为100:1，VPNV4地址/路由/前缀=100:1:192.168.1.0

2.租户间隔离：租户间不能共用路由表

解决：VRF（virtual routing and forwarding，虚拟路由转发），把VRF当作一台虚拟路由器

在PE上创建多个vpn-instance（VRF），每个vpn-instance都有自己的路由表。PE为每个vpn-instance配置不同的RD值，由RD值和ipv4路由一同组成全局唯一的vpnv4路由。

• VRF技术可将一台路由器逻辑上划分出多台虚拟的路由器。

• 每个VRF之间互相独立，互不可见，拥有独立的路由表项、端口、路由协议等。

• 对于每个PE，可以维护一个或多个VRF，同时维护一个公网的路由表(也叫全局路由表)，多个VRF实例相互分离独立。

3.私有地址怎么传递给对端

（1）CE1的私有路由发送给PE1

CE1和PE1运行路由协议：BGP\OSPF\RIP\ISIS\EIGRP

（2）私有路由从PE1传递给PE2

MP-BGP

RD

问题：对端如何正确接收路由信息（同一个vpn路由如何放入对应VRF）

RT（route target）

• RT的本质是为每个VPN实例控制路由的接收。

• RT分为两部分:Export Target与Import Target。

• PE发布同一个VPN-instance中的路由时，会携带相同的RT export值，然后发送给其他的PE设备。

• 在接收端的PE上接收路由时，会将路由更新报文中的RT export和自身RT import规则进行检查，如果匹配，则将该路由加入到相应的VPN-instance中。

• 格式同RD

ospf保证全网通

R1 ping 测 R3

R4 loopback口—lop0:192.168.1.1，模拟R4下方有192.168.1.0网段的数据包过来访问R6或R7

R5 loopback口—lop0:192.168.1.1,与R4相同私网地址，来校验PE1是否能够区分

R1配置

ip vpn-instance 14  ##在R1虚拟出来一个路由器14
  route-distinguisher 14:1 ##配置RD值，用于区分来自下游CE设备相同地址空间的路由
#
ip vpn-instance 15 ##在R1虚拟出来一个路由器15
  route-distinguisher 15:1 ##配置RD值，用于区分来自下游CE设备相同地址空间的路由

interface GigabitEthernet0/0/1
 ip binding vpn-instance 14 ##将VRF14绑定到0/0/1
 ip address 14.1.1.1 255.255.255.0 

interface GigabitEthernet0/0/2
 ip binding vpn-instance 15 ##将VRF14绑定到0/0/2
 ip address 15.1.1.1 255.255.255.0

此时，直PING 14.1.1.4是不通的，因为直PING 14.1.1.4是在全局路由表查找(display ip routing-table)，而现在0/0/1绑定了VRF，需要通过VRF 14自己独立的路由表(disp ip routing-table vpn-instance 14)才能ping通。

3.1.3、转发层面