07MPLS VPN技术及配置
中国电信路由型MPLSVPNQOS技术原理及业务实现
CN2 国内业务节点
国内PE/PE-ASBR设置国内覆盖约200城市二期扩容后，大部分城市具备双PE备份接入能力，并为软交换工程配套的PE上新增业务端口，为大客户VPN业务提供双PE接入。国内PE路由器配置有2.5G POS、GE、Channelized STM-1卡，其中采用两条2.5G POS电路分别与该城市节点两台P路由器连接。GE、Channelized STM-1作为VPN接入电路(N*64K,N*2M接入)。
Back-to-Back VRF方式:转发平面
PE-1
PE-2
VPN-B-1
CE-2
CE-3
VPN-B-2
PE-ASBR间VRF to VRF互联
PE-ASBR-1
PE-ASBR-2
152.12.4.0/24
152.12.4.1
32 | 92 | 152.12.4.1
152.12.4.1
Back-to-Back VRF 方式-1/2
需要对VRF进行灵活控制的情况下，推荐使用Back-to-Back VRF ASBR直接通过一条物理链路互联为每个VRF创建和分配一个子端口包转发直接使用 IP封装，无需打上标签每个 PE-ASBR 视对方为CEPE-ASBR to PE-ASBR 链路使用PE-CE支持的常见路由协议大量VRF情况下存在时，配置工作量较大
路由型VPN技术原理-1/10
MPLS VPN网络结构CE（Custom Edge）用户Site中直接与服务提供商相连的边缘设备，一般是路由器； PE（Provider Edge）骨干网中的边缘设备，它直接与用户的CE相连；P 路由器（Provider Router）骨干网中不与CE直接相连的设备。
路由型VPN技术原理-2/10
MPLSVPN典型配置案例
2021/3/5
5
(4) 创建从Router A到Router C的静态LSP # 配置Ingress Router A。 [RouterA] static-lsp ingress AtoC destination 3.3.3.9 32 nexthop 10.1.1.2 out-label 30 # 配置Transit Router B [RouterB] static-lsp transit AtoC incoming-interface serial 2/0 in-label 30 nexthop 20.1.1.2 out-label 50 # 配置Egress Router C。 [RouterC] static-lsp egress AtoC incoming-interface serial 2/0 in-label 50 (5) 创建从Router C到Router A的静态LSP # 配置Ingress Router C。 [RouterC] static-lsp ingress CtoA destination 1.1.1.9 32 nexthop 20.1.1.1 out-label 40 # 配置Transit Router B。 [RouterB] static-lsp transit CtoA incoming-interface serial 2/1 in-label 40 nexthop 10.1.1.1 out-label 70 # 配置Egress Router A。 [RouterA] static-lsp egress CtoA incoming-interface serial 2/0 in-label 70
2021/3/5
8
# 在Router C上检测Router C到Router A静态LSP的可达性。 [RouterC] ping lsp ipv4 1.1.1.9 32 LSP Ping FEC: LDP IPV4 PREFIX 1.1.1.9/32 : 100 data bytes, press CTRL_C to break Reply from 10.1.1.1: bytes=100 Sequence=1 time = 75 ms Reply from 10.1.1.1: bytes=100 Sequence=2 time = 75 ms Reply from 10.1.1.1: bytes=100 Sequence=3 time = 75 ms Reply from 10.1.1.1: bytes=100 Sequence=4 time = 74 ms Reply from 10.1.1.1: bytes=100 Sequence=5 time = 75 ms
MPLSVPN技术原理与配置华为数通HCIP
MPLSVPN技术原理与配置华为数通HCIP MPLS VPN通过使用VRF（Virtual Routing and Forwarding）技术来
实现虚拟专有网络的隔离。
每个VRF都有自己的路由表，用于存储与该VRF相关的路由信息。
MPLS VPN还使用了BGP（Border Gateway Protocol）作为控制协议，用于路由选择和通告。
配置MPLSVPN的主要步骤如下：
2.配置MPLSVPN功能：创建VRF实例、配置VRF的路由目标、选择和
配置控制协议（BGP或OSPF）。
3.配置MPLSVPN接口：将接口与VRF关联、配置接口的IP地址和子
网掩码。
4.配置MPLSVPN路由：将主机路由或网络路由添加到VRF的路由表中，控制数据包的转发。
5.配置MPLSVPN安全性：配置MPLSVPN的访问控制（ACL）策略、配
置MPLSVPN的加密和身份验证。
在华为数通HCIP的考试中
1.理解MPLSVPN的原理和工作方式；
3.能够配置MPLSVPN功能，包括创建VRF实例、配置VRF的路由目标等；
4.能够配置MPLSVPN接口，包括将接口与VRF关联、配置接口的IP
地址和子网掩码等；
5.能够配置MPLSVPN路由，包括添加主机路由或网络路由到VRF的路由表中等；
6.能够配置MPLSVPN安全性，包括配置访问控制策略、加密和身份验证等。
通过掌握这些能力，可以有效地配置和管理MPLSVPN，提供安全可靠的虚拟专有网络服务。
中国电信路由型MPLSVPN／QOS技术原理及业务实现
中国电信路由型MPLSVPN／QOS技术原理及业务实现一、MPLSVPN的原理二、MPLSVPN的业务实现1.VPN的划分MPLSVPN将网络划分为三个层级：全局路由器（PE）、边缘路由器（CE）和客户路由器（CPE）。
全局路由器（PE）负责虚拟专线的建立和数据传输，边缘路由器（CE）连接PE和CPE，负责CE与PE之间的数据交换，而客户路由器（CPE）连接到CE上，提供了用户接入功能。
2.路由选择在MPLSVPN中，所有的路由选择都是由PE进行决策的，而不是由CE 或CPE来实现。
PE根据配置的路由策略选择最佳路径，并将其记录到CE 的路由表中。
这样，当数据包到达CE时，它会查找路由表，并将数据转发到相应的PE。
3.数据包的转发三、QoS技术的原理和业务实现1.QoS的原理QoS（Quality of Service）是一种网络流量管理技术，可以为网络中的不同服务提供不同的服务质量，确保关键应用的性能和可靠性。
QoS通过设置和管理数据包的优先级和带宽，控制网络拥塞和带宽分配。
它可以对不同的数据流进行分类和标记，然后根据优先级和带宽的设置，对不同的数据流进行排队、调度和控制。
2.QoS的业务实现QoS的业务实现主要包括三个方面：分类和标记、队列管理和带宽控制。
（1）分类和标记：QoS将从网络中接收到的数据流根据不同的应用或服务的不同需求进行分类和标记，用于后续的管理和处理。
（2）队列管理：QoS使用排队管理来控制流量的传输顺序。
它将不同的数据流放置在不同的队列中，并设置不同的优先级和调度算法，根据优先级和带宽设置，对数据流进行排队和调度。
（3）带宽控制：QoS通过设置和管理带宽来控制网络流量的大小和分配。
它可以设置优先级和带宽的参数，调整不同服务和应用的带宽占用情况，确保关键应用的带宽需求得到满足。
总结：。
VPN 的工作原理及配制方法
VPN 的工作原理及配制方法实现VPN的方法很多（例如）一：MPLS VPNMPLS的工作原理MPLS VPN是一种基于MPLS技术的IP VPN，是在网络路由和交换设备上应用MPLS(Multiprotocol Label Switching，多协议标记交换)技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络(IP VPN)。
才MPLS可以提供每个IP数据包一个标记，将之与IP数据包封装于新的MPLS数据包，由此决定IP 数据包的传输路径以及优先顺序，而与MPLS兼容的路由器会在将IP数据包按相应路径转发之前仅读取该MPLS数据包的包头标记，无须再去读取每个IP数据包中的IP地址位等信息MPLS的实现要求：这种基于标记的IP路由选择方法，要求在整个交换网络中间所有的路由器都识别这个标签，运营商需要大笔投资建立全局的网络。
而且跨越不同运营商之间，如果没有协调好，标签无法交换。
实例：以大家比较好理解的物流系统作比喻。
MPLS是在包裹上面打上一个特定的标签，要求整个物流系统的搬运环节都能够理解这个标签的意义，然后根据这个标签发送这个包裹。
即使这个物流系统再繁忙，这类包裹的传输质量能够得到保证。
但是这是有前提条件的，要求所有的搬运环节(搬运工)能够理解包裹的含义，例如:1314信箱。
并且能够理解加急、紧急等不同的字眼，不同的物流公司(对应不同的运营商)，由于标签不统一，直接互通就很困难。
（图）MPLS VPN的优点和缺点MPLS VPN能够利用公用骨干网络强大的传输能力，为企业构建内部网络/Internet，同时能够满足用户对信息传输安全性、实时性、宽频带和方便性的需要。
目前，在基于IP的网络中，MPLS具有很多优点，也有明显的缺点。
(1) 降低了成本MPLS简化了ATM与IP的集成技术，与专线相比，降低了成本（不过这种降低成本是相对的，由于电信运营商建设网络的成本很高，因此MPLS的运营成本也不低。
MPLSVPN组网的规划与实现
MPLSVPN组网的规划与实现MPLS VPN组网是一种网络架构技术，它通过在路由器之间运行多协议标签交换（MPLS）协议，来实现虚拟专用网络（VPN）的部署。
这种组网技术可以提高网络性能和安全性，因此被广泛应用于企业、政府和运营商网络中。
本文将介绍MPLS VPN组网的规划与实现。
在进行MPLS VPN组网规划时，首先需要确定网络拓扑结构。
常见的网络拓扑结构包括星型、树型、环型、网状和 Mesh等。
根据组网需求和应用场景选择合适的网络拓扑结构，可以提高网络的可靠性和扩展性。
组网需要使用路由器、交换机、防火墙等网络设备。
在确定网络拓扑结构后，需要选择合适的网络设备型号，以确保设备性能、功能和可靠性满足组网需求。
IP和路由协议是组网过程中的重要因素。
在确定网络拓扑结构和设备选型后，需要根据实际情况分配IP，并选择合适的路由协议。
常见的路由协议包括 OSPF、BGP、IS-IS、EIGRP等。
在组网过程中，需要确定VPN架构和路由策略。
MPLS VPN通常采用集中式VPN架构，通过PE设备来实现VPN的部署。
同时，需要制定合适的路由策略，以确保VPN网络的连通性和安全性。
在实现MPLS VPN组网时，需要配置设备连接和网络协议。
需要将路由器和交换机等网络设备连接在一起，并配置合适的接口协议，以确保网络通信的正常进行。
还需要配置相关的路由协议、静态路由等，以保证网络的连通性和可靠性。
PE设备是MPLS VPN的重要组件之一，它负责与用户终端建立VPN连接。
在实现组网时，需要配置PE设备，并与CE设备建立合适的连接关系。
同时，还需要在PE设备上配置相应的路由表和标签转发表，以确保数据报文能够在VPN网络中正确传输。
VRF（虚拟路由转发）是一种路由技术，它能够使不同的VPN网络在物理上分开，以提高网络的安全性和可靠性。
在实现MPLS VPN组网时，需要在PE设备上配置VRF和相应的路由策略，以确保不同VPN 网络之间的数据报文能够正确地路由和转发。
华为BGP MPLS VPN实验及配置思路和排错
华为BGP MPLS VPN实验及配置实验的组网拓扑图及ip地址如下图：===================================BGP MPLS VPN 配置思路和排错---------------------------一、配置思路大体上三步1、配置公网隧道2、配置本地vpn3、配置MP-BGP=============================二、配置具体步骤----------配置公网隧道-----------1、配置IGP公网路由协议(在PE1、P、PE2设备上配置,这里用ospf)在公网上配置IGP协议、保证两个PE设备的loopback接口地址能ping通这个是为了之后用loopback接口建立BGP邻居#配置接口ip地址略#PE1#ospf 145area 0.0.0.0network 2.2.2.2 0.0.0.0network 10.1.24.0 0.0.0.255用相同命令在P、设备和PE2设备启动ospf进程、相关配置略。
我们可以通过display ip routing-table查看有无学习到对端PE设备的loopback接口ip如果无法ping通对端PE设备的loopback地址，就结合OSPF排错思路进行相关排错2、使能mpls和mpls ldp（需要在公网的PE和P设备上使能，全局和接口模式都要使能）#PE1#mpls lsr-id 2.2.2.2#mpls#mpls ldp#interface GigabitEthernet0/1/2port link-mode routeip address 10.1.24.2 255.255.255.0mplsmpls ldp注意：#在使能mpls 和mpls ldp 功能的时候是既要在全局模式下又要在接口模式下#PE和P设备中的mpls lsr-id 2.2.2.2这后面的这个地址，在ip路由中要相互可达，否则无法正常建立ldp邻居关系#一般我们将mpls lsr-id 后面的这个地址用设备的loopback地址即可，只要保证loopback地址能相互ping通即可排错：我们可以通过display mpls ldp session查看公网设备间的mpls ldp邻居是否正常建立，operational为正常状态进一步通过display mpls ldp lsp查看有无建立隧道、lsp是单向的所以要再公网每台设备上查看----------配置本地vpn实例----------3、按照需求配置vpn实例(只需要在两个PE设备上配置)#PE1#ip vpn-instance vpn1route-distinguisher 100:1vpn-target 100:1 export-extcommunityvpn-target 100:1 import-extcommunity#ip vpn-instance vpn2route-distinguisher 100:2vpn-target 100:2 export-extcommunityvpn-target 100:2 import-extcommunity4、将私网接口与vpn实例绑定#PE1interface GigabitEthernet0/1/0port link-mode routeip binding vpn-instance vpn1ip address 10.1.12.2 255.255.255.0#interface GigabitEthernet0/1/1port link-mode routeip binding vpn-instance vpn2ip address 10.1.23.2 255.255.255.0注意：如果接口之前已经配置好了ip，在绑定vpn实例之后ip地址会丢失，需要重新配置即可，建议绑定之后再配置私网ip5、配置PE设备与CE设备之间的路由协议(这里也用0spf)这里面PE设备相对特殊,PE运行的路由协议需要和vpn实例进行绑定，以就是运行路由协议的多实例。
MPLS VPN技术原理与配置 华为数通HCIP
各层VPN:数据链路层：PPTP L2F L2TP网络层：Ipsec Gre应用层：SSL DPNVPN技术：虚拟专用网（帧中继、X.25等）定义：是一种逻辑的隔离技术，就好像在两个站点之间跨越公共网络建立了专用的隧道，站点通过隧道实现通信产生原因：能提高带宽利用率，价格相对于专线比较便宜，因此成为构成早期VPN网络的主要技术VPN网络的特点：使用共享的公共网络环境实现各私网的连接不同的私有网络之间相互不可见企业用户接入运营商的网络结构企业用户的网络设备：RTA，RTB，RTF与RTG被称为CE（Customer Edge）设备运营商的网络设备：RTC与RTE，设备直接与客户设备相连，被称为PE（Provider Edge）设备RTD，是运营商网络中的骨干设备，被称为P（Provider）设备CE（Customer Edge）：用户网络边缘设备，有接口直接与服务提供商SP（Service Provider）网络相连。
CE可以是SVN 或交换机，也可以是一台主机。
通常情况下，CE“感知”不到VPN的存在，也不需要支持MPLSPE（Provider Edge）：服务提供商边缘设备，是服务提供商网络的边缘设备，与CE直接相连。
在MPLS网络中，对VPN的所有处理都发生在PE上P（Provider）：服务提供商网络中的骨干设备，不与CE直接相连。
P设备只需要具备基本MPLS转发能力，不维护VPN信息用户设备所在的区域，称为一个站点（Site），站点是指相互之间具备IP连通性的一组IP系统，并且这组IP系统的IP连通性不需通过运营商网络实现VPN模型：1。
Overlay VPNOverlay VPN的特点：客户路由协议总是在客户设备之间交换，而运营商对客户网络结构一无所知典型的协议：二层——帧中继三层——GRE与IPSec应用层——SSL VPNOverlay VPN可以在CE设备上建立隧道，也可以在PE设备上建立隧道：在CE与CE之间建立隧道，并直接传递路由信息，路由协议数据总是在客户设备之间交换，运营商对客户网络结构一无所知：优点：不同的客户地址空间可以重叠，保密性、安全性非常好缺点：本质是一种“静态”VPN，无法反应网络的实时变化。
mpls vpn实施方案
mpls vpn实施方案MPLS（Multi-Protocol Label Switching）VPN（Virtual Private Network）是一种基于多协议标签交换技术的虚拟私人网络，能够提供安全、高效的数据传输服务，是企业广泛使用的互联网接入和通信解决方案。
以下是MPLS VPN实施方案的一般步骤和注意事项：1. 网络规划：确定需要建立VPN的不同分支机构或部门的网络需求和拓扑结构，包括设备和网络连接的需求、分支机构的数量、带宽需求等。
2. 设备配置：根据网络规划，对MPLS VPN设备进行配置，包括配置路由器、交换机、防火墙等设备，以及确定网络拓扑结构、IP地址规划、子网划分等。
3. VPN隧道设置：通过配置MPLS VPN设备，建立VPN隧道，设置控制信号的传递和数据传输的路径。
4. 可扩展路由协议的配置：可配置动态路由协议，如OSPF （Open Shortest Path First）或BGP（Border Gateway Protocol），以便随时调整网络中的路由和流量。
5. QoS（Quality of Service）配置：根据业务需求，为不同的应用服务设置带宽、延迟和抖动等参数，以优化网络性能和用户体验。
6. 安全设置：配置防火墙规则，限制对VPN网络的访问和保护网络安全。
7. 性能管理：根据应用需求，对网络流量实施监控和管理，以确保网络性能和稳定性。
8. 测试和验证：经过配置和设置后，对VPN进行测试和验证，确保所有设备和网络连接正常工作。
在实施MPLS VPN方案时，还需要注意以下几个方面：1. 安全性：要保障VPN的安全性，可以采取加密和身份验证等安全机制，以防止敏感数据的泄露和未经授权的访问。
2. 网络可靠性：要确保MPLS VPN网络的稳定性和可靠性，采取冗余配置、链路备份等方式，以避免单点故障影响整个网络。
3. 带宽需求：要根据每个分支机构或部门的带宽需求进行合理规划，以满足业务的需求，并确保网络的负载均衡和优化。
MPLSVPN组网配置方案
MPLSVPN组网配置方案MPLS（Multiprotocol Label Switching）VPN（Virtual Private Network）是一种基于MPLS技术的VPN解决方案，可以提供高速、安全、可靠的连接，适用于企业组网。
下面是一个MPLSVPN组网配置方案的详细介绍。
概述：MPLS VPN网络连接设备包括PE（Provider Edge）设备和CE （Customer Edge）设备。
PE设备通常由ISP（Internet Service Provider）提供和维护，负责连接不同的VPN。
CE设备则位于企业内部，负责连接终端设备和PE设备。
配置方案：1.确定VPN需求和布局：确定各个分支机构和中心机构之间的VPN连接，包括VPN的数量、VPN之间的通信需求、分支机构之间的通信需求等。
2.配置MPLSVPN核心网络：-配置MPLSVPN路由器，包括路由器的基本配置、接口配置和MPLSVPN路由协议配置（如BGP、OSPF等）。
-配置VPN路由之间的互联，使用BGP或其他路由协议配置VPN路由器之间的互联，确保VPN路由可达。
-配置路由策略，根据需求配置路由策略，以控制数据包的转发路径。
3.配置MPLSVPN网络连接设备：-配置PE设备，包括基本配置、接口配置和VPN配置。
PE设备需根据VPN需求配置相应的VPN实例和VPN接口，以实现不同VPN之间的隔离和互联。
-配置CE设备，包括基本配置、接口配置和VPN配置。
CE设备需连接到PE设备，并配置相应的VPN实例和VPN接口。
4.配置MPLSVPN客户端：-配置终端设备，如PC、服务器和路由器等。
设置设备的基本IP配置和VPN客户端配置，以便与CE设备建立VPN隧道。
-配置VPN客户端软件，如VPN客户端软件，以便连接到MPLSVPN中心网络。
5.测试和验证：- 使用Ping、Traceroute等工具测试VPN连接的可达性和延迟，并确保VPN流量能够正常流动。
MPLS+vpn配置
华为模拟器ensp 配置MPLS VPN 简单配置AR1配置（PE配置）[V200R003C00]#sysname R1#ip vpn-instance 1ipv4-familyroute-distinguisher 1:1vpn-target 10:10 export-extcommunityvpn-target 10:10 import-extcommunity#mpls lsr-id 1.1.1.1mpls#mpls ldp#interface GigabitEthernet0/0/0ip binding vpn-instance 1ip address 15.0.0.1 255.255.255.0#interface GigabitEthernet0/0/1ip address 12.0.0.1 255.255.255.0mplsmpls ldp#interface GigabitEthernet0/0/2#interface NULL0#interface LoopBack0ip address 1.1.1.1 255.255.255.255#bgp 100peer 4.4.4.4 as-number 100peer 4.4.4.4 connect-interface LoopBack0#ipv4-family unicastundo synchronizationundo peer 4.4.4.4 enable#ipv4-family vpnv4undo policy vpn-targetpeer 4.4.4.4 enablepeer 4.4.4.4 next-hop-local#ipv4-family vpn-instance 1import-route ospf 2#ospf 1 router-id 1.1.1.1area 0.0.0.0network 1.1.1.1 0.0.0.0network 12.0.0.1 0.0.0.0#ospf 2 vpn-instance 1import-route bgparea 0.0.0.1network 15.0.0.1 0.0.0.0#user-interface con 0authentication-mode passworduser-interface vty 0 4user-interface vty 16 20#wlan ac#return// 需要配置：首先配置底层IGP，然后配置MPLS，然后配置MP-BGP，然后配置实例和CE 互通,最后在收发的PE(R1和R4)上让bgp 实例和CE到PE的路由相互引入。
MPLSVPN组网配置方案
MPLSVPN组网配置方案MPLS VPN（Multiprotocol Label Switching Virtual Private Network）是一种基于MPLS技术的组网配置方案，用于构建安全可靠的企业级虚拟私有网络。
下面将详细介绍MPLS VPN组网配置方案。
一、MPLSVPN基本概念与原理：二、MPLSVPN组网配置方案的要点：1.VPN网络基础设施：首先，需要部署适当数量的VPN路由器和交换机，用于实现数据的转发和隔离，这些设备应与企业的核心网络相连，并提供足够的带宽和可靠性。
2.IP地址规划：VPN网络中的每个站点都需要分配一个唯一的IP地址，基于这些地址，可以建立相应的路由表和转发规则，实现数据的正确转发和隔离。
3. VPN中心节点配置：VPN中心节点通常是VPN网络的核心，它负责连接不同的站点，并处理数据包的转发。
在配置中心节点时，需要创建VRF（Virtual Routing and Forwarding）实例，用于隔离不同站点之间的数据流量。
4.VPN站点配置：对于每个VPN站点，需要配置相应的VPN路由器和交换机。
配置VPN路由器时，需要指定它所属的VRF实例，并配置相应的路由规则。
同时，需要为每个站点分配一个唯一的标识符，用于识别站点之间的连接。
5. VPN连接配置：在VPN网络中，不同站点之间的连接可以使用物理链路或虚拟链路。
对于物理链路，需要配置对应的接口和地址，并设置适当的路由规则。
对于虚拟链路，可以使用GRE（Generic Routing Encapsulation）或IPsec（IP Security）等技术来实现安全的数据传输。
在配置连接时，需要指定源站点和目标站点，并设置相应的转发路径。
6.安全策略配置：MPLSVPN支持许多安全功能，如访问控制列表（ACL）、防火墙和加密等。
在配置安全策略时，可以根据需要设置允许或禁止特定的数据流量，并保护敏感数据的安全。
mpls vpn实施方案
mpls vpn实施方案MPLS VPN实施方案一、概述MPLS（Multiprotocol Label Switching）是一种基于数据包转发技术的网络传输机制，它可以为不同的网络协议提供统一的传输服务。
而VPN（Virtual Private Network）则是一种通过公共网络建立专用网络的技术。
MPLS VPN结合了MPLS和VPN的优势，能够在公共网络上实现安全、高效的专用网络连接。
本文将介绍MPLS VPN的实施方案，包括网络架构、设备配置等内容。
二、网络架构在实施MPLS VPN时，需要考虑网络的整体架构。
一般来说，MPLS VPN网络由PE（Provider Edge）路由器、P（Provider）路由器和CE（Customer Edge）路由器组成。
PE路由器用于连接客户网络和服务提供商网络，P路由器用于在服务提供商网络中转数据，CE路由器则是客户网络中的设备。
在网络架构设计中，需要考虑网络的拓扑结构、设备的部署位置以及网络的安全性等因素。
三、设备配置在实施MPLS VPN时，需要对各个设备进行配置，以确保网络的正常运行。
首先是PE路由器的配置，需要配置VRF（Virtual Routing and Forwarding）实例，将不同的VPN路由表隔离开来，确保不同VPN之间的数据不会混淆。
同时，还需要配置MPLS标签交换协议，以实现数据包的标签交换。
对于P路由器，需要配置MPLS标签转发，确保数据包能够在服务提供商网络中正确传输。
对于CE路由器，需要配置相应的VPN连接，确保与PE路由器之间建立安全、稳定的连接。
四、安全策略在实施MPLS VPN时，安全性是一个非常重要的考虑因素。
为了确保数据的安全传输，可以采用加密技术对数据进行加密，防止数据在传输过程中被窃取。
同时，还可以采用访问控制列表（ACL）等技术，对数据进行过滤和控制，确保只有经过授权的用户能够访问网络资源。
此外，还可以采用防火墙等设备，对网络进行进一步的安全防护。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
5 6
20
172.16.1.2
172.16.1.2
最后一跳路由器收到数据包后，并不需要进行标签转发，所做的只是去掉标签，然后送 交IP层。 最好在倒数第二跳路由器就去掉标签，直接把IP报文发送给最后一跳路由器。
问题：路由器怎么知道自己是倒数第二跳？
15
MPLS的优化
172.16.1/24 out 30 In 30 172.16.1/24 out 3 In 3 172.16.1/24
2层头部
MPLS头部
IP头部
数据
MPLS包头通常有32Bit: 20Bit用作标签（Label） 3个Bit的EXP, 协议中没有明确，通常用作COS 1个Bit的S,用于标识是否是栈底，表明MPLS的标签可以嵌套。理论上，标记栈可以无限 嵌套，从而提供无限的业务支持能力。 8个Bit的TTL
10
24
RD (Route Distinguisher)
每个VRF中分别配置一个标识，称为RD。在PE发布VRF中的路由信息时，会在地址前面加 上RD，以便接收方PE区分来自不同VRF的路由信息。
RD的长度为8个字节，格式与RT相似。 在IPv4地址前加上RD之后，就称为VPN-IPv4地址族。
可以用扩展的community来表示RT，type字段为0x0002或者0x0102时是RT。
Type（0x0002）
AS#（16bit）
Value（32bit）
Type（0x0102）
IP address（32bit）
Value（16bit）
可见RT有两种表示方法：AS:nn和ipaddress:nn。通常建议使用AS:nn表示法
PE1
4
MPLS VPN的特点
MPLS标签位于二层和三层之间---------------这个 就是为什么有人称mpls为2.5层交换技术
二层包头 MPLS封装 二层包头 MPLS 标签 三层包头 三层包头
5
VPN中的角色
P 用户网络 P
CE
PE CE 运营商网络 PE
CE
用户网络
CE
CE (Custom Edge Router)，用户边缘路由器，直接与运营商网络相连 PE (Provider Edge Router)，运营商网络上的边缘路由器，与CE相连，主要负责VPN业务的接 入。 P (Provider Router)：运营商网络上的核心路由器，主要完成路由和快速转发功能。
R1
1
172.16.1.2 3 R2 4
R3
172.16.1.2 172.16.1.2 30 5
R4
172.16.1/24
172.16.1.2
2
172.16.1.2 30
最后一跳路由器向倒数第二跳分配一个特殊的标签3。 路由器查看标签转发表，如果发现out标签是3，就认为自己是倒数第二跳路由器。
标签分配方式 （优化前） 倒数第一跳 倒数第二跳 随机分配 随机分配
BGP/MPLS VPN
1
VPN简介
IP VPN (Virtual Private Network，虚拟专用网)就是利用开放的公 众IP/MPLS网络建立专用数据传输通道，将远程的分支机构、移动办 公人员等连接起来。
中心站点 分支机构
IP/MPLS网
移动办公人员
2
MPLS与动态隧道
MPLS（MultiProtocol label Switch，多协议标签交换）是根据标签对 数据包进行转发，因此在三层数据包中可以使用私有地址，从而形成 了一种天然的隧道。 MPLS标签的分发可以通过LDP等协议动态完成，所以MPLS能够提 供动态的隧道。
二层包头
MPLS 标签
三层包头
3
MPLS VPN的基本工作模式
在入口边缘路由器为每个包加上MPLS标签，核心路由器根据标 签值进行转发，出口边缘路由器再去掉标签，恢复原来的IP包 。
MPLS网 P1 P2 PE2 MPLS标签 CE1 10.1.1.1 10.1.1.1 10.1.1.1 CE2
R3
out 20
In 20
172.16.1/24
R4 172.16.1/24
Label 30 Label 50 R2 Label 40
Label 20
路由器发现自己有直连路由时就会向外发送标签 收到下游到某条路由的标签并且该路由生效（也就是说，在本地已经存在该条路由，并 且路由的下一跳和标签的下一跳相同）时会发送标签。
MPLS标签的生成
R1
R3 Label 20 R2
In 20
172.16.1/2 4 R4 172.16.1/24
路由器发现自己有直连路由时就会向外发送标签
11
In MPLS标签的生成2 30 172.16.1/24
out 20
172.16.1/24
R1
out 30
In 20
172.16.1/24
17
解决本地路由冲突的思路
VPN_A
10.1.0.0 VPN Routing Table
CE
VPN_B 10.1.0.0 CE
PE
VRF for VPN-A IGP &/or BGP VRF for VPN-B
Global Routing Table
在PE上同时维护多张相互独立路由表 一张全局路由表（公网路由表） 每个VPN一个路由表 由于每个VPN使用自己独立的路由表，因此可以有效地解决本地路由冲突。
19
RT（Route target）
VPN-A Vrf1：export red import red Vrf2：export yellow import yellow Vrf3：export red import red Vrf4：export yellow PE2 import yellow VPN-B
27
对BGP的要求
要求支持VPN-IPv4路由，而原有的BGP只支持IPv4路由。 要求路由信息中包含私网MPLS标签。
28
BGP的多协议扩展----MP-BGP
13
MPLS数据包转发
172.16.1/24 out 30 In 30 172.16.1/24 out 20 In 20 172.16.1/24
R1
1 2
172.16.1.2 30 172.16.1.2
R3
3
30 20 172.16.1.2 172.16.1.2
R4 172.16.1/24
5 6
20 172.16.1.2 172.16.1.2
23
路由传播的冲突问题
VPN_A 10.1.0.0
10.3.0.0/16 10.3.0.0/16
VPN_A 10.3.0.0
CE
VPN_B 10.1.0.0 CE PE
CE
PE CE VPN_B 10.3.0.0
问题：RT能否解决路由传播的冲突问题？
RT属于BGP的路由属性，而在BGP的不可达路由信息中不包含路由属性。所以在收到来自不同 vpn、具有相同网段的不可达路由信息时，路由器将无法根据RT来分辨。
25
RD的本质
通常建议为一个VPN中的VRF都配置相同的RD，不同的VPN配置不同的RD。事实上分配RD 只需遵循以下原则: 保证存在相同地址的两个VRF的RD不同。 RD并不会影响不同VRF之间的路由选择以及VPN的形成，这些事情由RT完成。 PE与CE之间传递的是IPv4路由， PE与PE之间传递的是VPN-IPv4路由。
b
im:b ex:a
a hub-spoke模式
im:a ex:b
a
传统模式
im:a ex:a
c im:b ex:c b
extranet模式
a
im:a ex:a
im:a,c ex:a,b
21
BGP的引入
问题：如何在PE之间传递各VRF中的路由以及相应的RT？
解决办法：使用BGP路由协议
22
RT的表示
8
要解决的主要问题
VPN_A 10.1.0.0 CE VPN_B 10.1.0.0 CE PE VPN tunnel CE PE P P CE VPN_B 10.3.0.0 VPN_A 10.3.0.0
提供一种动态建立的隧道技术 解决不同VPN共享相同地址空间的问题
9
MPLS包头结构
0 标签 20 EXP 23 S 24 TTL 32 32Bit
PE1
RT的本质是每个VRF表达自己的路由取舍及喜好的方式 ，分为两部分： export target，表示发出路由的属性 import target，表示愿意接收什么路由
20
RT的灵活应用
每个VRF中都可以配置多个export target和import target属性，接收时采用“或”操作，从而 实现灵活的VPN访问控制
12
MPLS标签生成的要点 out 20 In 30 172.16.1/24
172.16.1/24
R1
out 30
In 20
172.16.1/24
R3
out 20
In 20
172.16.1/24
R4 172.16.1/24
Label 30 Label MPLS的路由器中必须同时运行普通路由协议 通过标签形成的路经，与查找路由表形成的路径是相同的 In标签是由本地路由器发给其他路由器的，Out标签是由其他路由器发给自己的。
标签分配方式 （优化后） 分配特定的标签3 随机分配
转发方式 (优化前) 标签弹出，IP路由转发 标签交换
转发方式 (优化后)
IP路由转发 标签弹出