重新认识MPLS VPN(1)

重新认识MPLS VPN（上）

对广域网传输中的MPLS VPN技术，恐怕我们都是再熟悉不过了。然而，基于MPLS的“专用”如何实现，如何通过隧道LSP进行VPN扩展，或许还需要我们再重新认识。

推动MPLS在服务提供商网络中发展的最有力的动力之一是它对虚拟专用网（VPN）的支持。在VPN中，提供商的用户可以将分布在提供商网络中不同地理位置的站点连接在一起。

目前有三种基于MPLS的VPN：

3层VPN：通过3层上的VPN，服务提供商可以参与到用户的3层路由上来。用户安装在每个站点上的CE（用户边缘）路由器利用BGP（边界网关协议）或OSPF（开放最短路径优先）等路由协议与提供商的PE（提供商边缘）路由器通信，每个用户站点公告的IP地址前缀在提供商网络上传播。3层VPN对于那些希望利用服务提供商的专业技术来确保高效率站点到站点路由的用户很有吸引力。

2层VPN：提供商利用用户选择的2层技术（通常为ATM、帧中继或以太网）将用户站点连接起来。用户可以执行想要运行的任何3层协议，并且在3层协议层面上没有服务提供商的参与。2层VPN对于希望完全控制自己路由的用户有吸引力，而它们吸引服务提供商是由于可以通过在PE路由器中添加相应的接口来满足用户需要的任何连接性。

虚拟专用LAN服务（VPLS）：VPLS使服务提供商的网络从用户角度看起来就像一台独立的以太网交换机。VPLS使用廉价和广为人知的以太网技术，其对于用户的吸引力在于它们可以使WAN显得就像本地校园网或住宅网一样。与基于实际以太网交换机的传统城域以太网服务不同，服务提供商可以连接从地区规模直到全球规模的VPLS用户。因此，在伦敦、迪拜、班加罗尔、香港、洛杉矶和纽约设有站点的用户可以利用看起来像是一台以太网交换机的东西，将自己的站点连接起来。

所谓“虚拟”和“专用”

VPN中的“虚拟”是指不同的服务具有不同的“外观”，但实际上都建立在单一的共享基础设施MPLS网络上。它为服务提供商带来的优势是可以建立服务组合来吸引用户，无须增加资本投资或运营费用。

不过，VPN中的“专用”部分是值得认真讨论的地方。不仅服务不能完全相同，即使它们运行在一个MPLS网络，不同用户之间的网络也必须安全地相互隔离：例如，都使用3层VPN的用户A和用户B必须要看不到对方的IP地址前缀才行。事实上，他们各自的地址空间可以重叠。例如，两个人都可以使用10.0.0.0地址寻址他们的网络，而服务提供商网络则要保持用户地址前缀的隔离。

而都使用2层VPN的用户C和用户D除了自己的站点之外，还必须要看不到对方的2层地址或任何类型的连接。VPLS用户E和F尽管都把提供商的网络视为一台以太网交换机，但他们必须没有连接在同一台以太网交换机上的“外观”。这就是说，将用户E站点连接起来的虚拟以太网交换机不能与连接用户F站点的虚拟以太网交换机相同。

图1显示创建VPN之间专用性的关键要素：用于每个用户和每用户站点的不同信息表，是由不同的MPLS LSP（标签交换路径）或MPLS虚拟电路互联起来。信息表包含的内容取决于信息表支持的VPN类型：3层VPN信息表包括IP地址前缀和虚拟路由与转发表（VRF）；被称为虚拟转发表（VFT）的2层VPN信息表包含它支持的任何2层技术的地址；VPLS信息表则包含以太网MAC地址。如果使用VLAN的话，VLAN ID要么被映射到本地端口，要么被映射到导向其他站点的LSP。这些表与以太网交换机中的MAC表发挥同样的作用。