wps499

本篇我们来介绍一下MPLS-VPN的理论基础知识和基本配置原理。MPLS-VPN是指采用MPLS(多协议标记转换
)技术在骨干的宽带IP网络上构建企业IP专网,实现跨地域、安全、高速、可靠的数据、语音、图像多业务
通信,并结合差别服务、流量工程等相关技术,将公众网可靠的性能、良好的扩展性、丰富的功能与专用网
的安全 、灵活、高效结合在一起。BGP/MPLS IP VPN是一种L3VPN,它使用BGP在服务提供商骨干网上发布
VPN路由,使用MPLS在服务提供商骨干网上转发VPN报文。这里的IP是指VPN承载的是IP报文。

传统的VPN通过在所有站点间建立全连接隧道或者永久虚链路PVC的方式实现,不易维护和扩展,尤其是向
已有的VPN加入新的站点时,需要同时修改所有接入此VPN站点的边缘节点的配置。BGP/MPLS IP VPN基于
对等体模型,这种模型使得服务提供商和用户可以交换路由,服务提供商转发用户站点间的数据而不需要
用户的参与。相比较传统的VPN,BGP/MPLS IP VPN更容易扩展和管理。新增一个站点时,只需要修改提
供该站点业务的边缘节点的配置。BGP/MPLS IP VPN支持地址空间重叠、支持重叠VPN、组网方式灵活、
可扩展性好,并能够方便地支持MPLS TE,成为在IP网络运营商提供增值业务的重要手段,因此得到越来
越多的应用。

wps500

如上图示例所示,MPLS VPN的基本模型由三部分组成:CE、PE和P。

● CE(Customer Edge):用户网络边缘设备,有接口直接与服务提供商网络相连。CE可以是路由器或交换
机,也可以是一台主机。通常情况下,CE“感知”不到VPN的存在,也不需要支持MPLS。

● PE(Provider Edge):是服务提供商网络的边缘设备,与CE直接相连。在MPLS网络中,对VPN的所有处
理都发生在PE上,对PE性能要求较高。

● P(Provider):服务提供商网络中的骨干设备,不与CE直接相连。P设备只需要具备基本MPLS转发能力,
不维护VPN信息。

● PE和P设备由服务提供商管理,CE设备仅由用户管理,除非用户把管理权委托给服务提供商。一台PE设备
可以接入多台CE设备。一台CE设备也可以连接属于相同或不同ISP的多台PE设备。

基本概念-地址空间重叠

VPN是一种私有网络,不同的VPN独立管理自己的地址范围,也称为地址空间(address space)。不同VPN
的地址空间可能会在一定范围内重合,例如,VPNA和VPNB都使用10.110.10.0/24网段地址,这就发生了地
址空间的重叠(address spaces overlapping)。

不同的VPN独立管理自己的地址范围,地址可以重叠:

● 两个VPN没有共同的Site

● 两个VPN有共同的Site,但此Site中的设备不与两个VPN中使用重叠地址空间的设备互访

● VPN的路由需要在PE设备之间批量更新,此时地址需要唯一

wps501

基本概念-RD和VPN-IPv4地址

传统BGP无法正确处理地址空间重叠的VPN的路由。假设VPN1和VPN2都使用了10.110.10.0/24网段的地址,
并各自发布了一条去往此网段的路由。虽然本端PE通过不同的VPN实例可以区分地址空间重叠的VPN的路由,
但是这些路由发往对端PE后,由于不同VPN的路由之间不进行负载分担,因此对端PE将根据BGP选路规则只
选择其中一条VPN路由,从而导致去往另一个VPN的路由丢失。PE之间使用MP-BGP(Multiprotocol
Extensions for BGP-4,BGP-4的多协议扩展)来发布VPN路由,并使用VPN-IPv4地址来解决BPG无法区
分不同VPN中相同的IP地址前缀的问题。

RD:

● RD用于区分使用相同地址空间的IPv4前缀

● 64比特长度

● RD的结构使得每个ISP可以独立的分配RD,但为了在CE双归属的情况下保证路由正常,必须保证RD全局
唯一。

VPN-IPv4地址:

● 由64比特长度的RD加上IPv4地址构成

● 使用VPN-IPv4地址族传递VPN-IPv4地址

wps502

基本概念-VPN Target

BGP/MPLS IP VPN使用32位的BGP扩展团体属性-VPN Target(也称为Route Target)来控制VPN路由
信息的发布。每个VPN实例关联一个或多个VPN Target属性。有两类VPN Target属性:

● Export Target:本地PE从直接相连site学到IPv4路由后,转换为VPN IPv4路由,并为这些路由设置
Export Target属性。Export Target属性作为BGP的扩展团体属性随路由发布。

● Import Target:PE收到其它PE发布的VPN-IPv4路由时,检查其Export Target属性。当此属性与PE
上某个VPN实例的Import Target匹配时,PE就把路由加入到该VPN实例的路由表。

也就是说,VPN Target属性定义了一条VPN路由可以为哪些site所接收,以及PE可以接收哪些site发送来
的路由。使用VPN Target而不直接用RD作为BGP扩展团体属性的原因在于:

● 一条VPN-IPv4路由只能有一个RD,但可以关联多个VPN Target属性;BGP如果携带多个扩展团体属性,
可以提高网络的灵活性和可扩展性。

● VPN Target用于控制同一PE上不同VPN之间的路由发布。即,同一PE上的不同VPN之间可以设置相同的
VPN Target来实现路由的互相引入。

注:RD和RT的区别如下:

● RD(Route Distinguisher):路由标识,RD长度为64bit,利用RD+IP前缀组合成VPN路由。RD的主要
作用可以实现IP地址复用,节约IP地址资源。

● RT(VPN Target):RT 可以理解为路由引入策略,接收到VPN路由后需要将VPN路由中的RT和本地VPN
实例的import RT列表做对比,查看列表中是否包含该RT值。如果存在接收路由并引入到对应的VPN实例路
由表中,如果没有丢弃路由。

● RT分为 export和import方向,export 指本地通告的VPN路由所携带的RT值,import指本只接收标识
了该列表中RT值的路由条目。

wps503

基本概念-MP-BGP

传统的BGP-4(RFC1771)只能管理IPv4的路由信息,无法正确处理地址空间重叠的VPN的路由。

为了正确处理VPN路由,VPN使用RFC2858(Multiprotocol Extensions for BGP-4)中规定的MP-BGP,
即BGP-4的多协议扩展。MP-BGP实现了对多种网络层协议的支持,在Update报文中,将网络层协议信息反
映到NLRI(Network Layer Reachability Information)及Next Hop。

MP-BGP采用地址族(Address Family)来区分不同的网络层协议,既可以支持传统的IPv4地址族,又可
以支持其它地址族(比如VPN-IPv4地址族、IPv6地址族等)。关于地址族的一些取值可以参考RFC1700
(Assigned Numbers)。

wps504

基本原理-PE与CE之间的信息交互

PE和CE之间通过标准的BGP,OSPF,IS-IS,RIP或者静态路由交换路由信息。这个过程中,PE需要将CE传
来的路由分别存储在不同的VRF,除此之外其他操作和普通的路由交换没有任何区别。静态路由、RIP、BGP
都是标准的协议,所有的CE端都可以使用相同的路由协议,但是需要在PE的每个VRF运行不同的实例,相互
之间没有干扰。

wps505

基本原理-交换路由信息及私网标签分配

PE从CE接收到IPv4路由后,对该路由加上相应VRF的RD(RD手动配置),使其成为一条VPNV4路由,然后在
路由通告中更改下一跳属性为自己,通常是自己的Loopback地址,并为这条路由加上私网标签,该标签由
MP-IBGP协议随机生成(无需配置),同时加上Export Route Target属性,然后发送给它所有的PE邻居。
VRP5.3中,在PE1上需要启动MPLS,然后MP-BGP即可以为私网路由分配标签。PE之间便可以正确交互私网
路由信息。SOO主要用于防止VPN某站点有多个CE接入不同的PE时,从CE发往PE的VPN路由可能经过骨干网
又回到了该站点的路由环路。

wps506

MPLS-VPN配置示例

配置要求如下图所示

• CE1连接公司总部研发区、CE3连接分支机构研发区,CE1和CE3属于vpna

• CE2连接公司总部非研发区、CE4连接分支机构非研发区,CE2和CE4属于vpnb

• 通过部署BGP/MPLS IP VPN,实现总部和分支机构的安全互通,同时要求研发区和非研发区间数据隔离。

wps507

配置思路,采用如下的思路配置BGP/MPLS IP VPN:

• P、PE之间配置OSPF,实现骨干网的IP连通性。

• PE、P上配置MPLS基本能力和MPLS LDP,建立MPLS LSP公网隧道,传输VPN数据。

• PE1和PE2上配置VPN实例,其中,vpna使用的VPN-target属性为111:1,vpnb使用的VPN-target属性
为222:2,以实现相同VPN间互通,不同VPN间隔离。同时,与CE相连的接口和相应的VPN实例绑定,以接
入VPN用户。

• PE1和PE2之间配置MP-IBGP,交换VPN路由信息。

• CE与PE之间配置EBGP,交换VPN路由信息。

1、首先配置好各接口的IP地址,然后在MPLS骨干网上配置OSPF,实现骨干网PE和P的互通。以PE1为例,
以同样方式配置好P和PE2。

interface GigabitEthernet0/0/0

  ip address 12.0.0.1 255.255.255.252

interface GigabitEthernet0/0/1

  ip address 14.0.0.1 255.255.255.252

interface GigabitEthernet0/0/2

  ip address 16.0.0.1 255.255.255.252

interface LoopBack0

  ip address 1.0.0.1 255.255.255.255

ospf 1

area 0.0.0.0

  network 1.0.0.1 0.0.0.0

  network 12.0.0.1 0.0.0.0

wps508

2、在MPLS骨干网上配置MPLS基本能力和MPLS LDP,建立LDP LSP。 以P为例配置如下,以同样方式配置
好PE1和PE2。

mpls lsr-id 2.0.0.2

mpls

mpls ldp

interface GigabitEthernet0/0/0

mpls

mpls ldp

interface GigabitEthernet0/0/1

mpls

mpls ldp

wps509wps510

3、在PE设备上配置VPN实例,将CE接入PE。以PE1为例,以同样方式配置好PE2。

ip vpn-instance vpna

  ipv4-family

   route-distinguisher 100:1

   vpn-target 111:1 export-extcommunity

   vpn-target 111:1 import-extcommunity

#

ip vpn-instance vpnb

  ipv4-family

   route-distinguisher 100:2

   vpn-target 222:2 export-extcommunity

   vpn-target 222:2 import-extcommunity

#

interface GigabitEthernet0/0/1

  ip binding vpn-instance vpna

  ip address 14.0.0.1 255.255.255.252

#

interface GigabitEthernet0/0/2

  ip binding vpn-instance vpnb

  ip address 16.0.0.1 255.255.255.252

wps511wps512

4、 在PE之间建立MP-IBGP对等体关系,以PE1为例,以同样方式配置好PE2。

bgp 65000

peer 3.0.0.3 as-number 65000

peer 3.0.0.3 connect-interface LoopBack0

#

ipv4-family unicast

  undo synchronization

  peer 3.0.0.3 enable

#

ipv4-family vpnv4

  policy vpn-target

  peer 3.0.0.3 enable

wps513

5、 在PE与CE之间建立EBGP对等体关系,引入VPN路由。以CE1和PE1为例,PE2、CE2、CE3和CE4与CE1做
同样的配置。

CE1:

ospf 1

area 0.0.0.0

   network 0.0.0.0 255.255.255.255

bgp 65001

peer 14.0.0.1 as-number 65000

#

ipv4-family unicast

  undo synchronization

  peer 14.0.0.1 enable

PE1:

bgp 65000

  ipv4-family vpn-instance vpna

   peer 14.0.0.2 as-number 65001

wps514

6、在PE设备上执行display ip routing-table vpn-instance命令,可以看到去往对端CE的路由。

wps515wps516

7、验证同一VPN的CE能够相互Ping通,不同VPN的CE不能相互Ping通。例如CE1与CE3可以互相Ping通,
但不能Ping通CE2与CE4。CE2与CE4可以互相Ping通,但不能Ping通CE1与CE3。

wps517

Last modification:March 23rd, 2020 at 11:07 am
如果觉得我的文章对你有用,请随意赞赏