（电气工程专业论文）四川联通ip宽带综合接入网设计与实施.pdf

摘要 四川联通王p 宽带综合接入网 设计与实施 学科躐工程领域：电气工程 作者娥名：陈磊 导师姓名、职称：张景教授 答辩隧期： 2 0 0 3 3 摘要 基予四川联通宽带综台接入皤工程建设的实际需求，作者研究了大型嘲终规划 蹬请静技术与方法，深入探讨了v p n 系统结构、实现技术与方案，探索了如何应用 m p l sv p n 技术满足近营商为其用户提供v p n 业务的需求。 针砖城域弼上部分设备不支持m p l s 躲国艇，作者提出了综台使雳v l a n 与鞋p l s 技术实现全网v p n 北务的方案，以及利用v l a n m p l sv p n v l a n 的结构实现端到 端的v p n 业务的技术和方法。 作畿还搽键了鏊予i p 域域瓣赫瓣络，懿键爨迁￥烈 l 户熬数攥簧输安全郡瘸 络服务廨营等课题，并给出了相成的解决方法和相应思路。 在理论和技术研究的基础上，作者实际参加了四川联避宽带综合接入网上程 建致，宽成了弼络总体蕊鲻设计、蕊络鼹盍协议抟选择泰窦蕊、v p m 穗绦韵设计与 实现工作。 关键词： 网络虚拟专削网多协议标记交换 d e s i g na n di m p l e m e n to fs i c h u a nu n i c o mi pb r o a d b a n dn e t w o r k a u t h o r ：c h e nl e i t u t o r ：z h a n gj i n g a b s t r a c t b a s e do nt h ep r a c t i c a ln e e d si nc o n s t r u c t i o no fs i c h u a nu n i c o r nn e t w o r k ，t h ea u t h o r m a d ead e e pr e s e a r c hw o r ko nt h et e c h n o l o g yo fb i g - s c a l en e t w o r k ，t h ev p ns t r u c t u r e d e s i g na n dr e a l i z a t i o ns o l u t i o n s a sw e l la sh o wt 0s a t i s f yt h eo p e r a t o r st h ev p n s e r v i c en e e dw i t hm p l sv p nt e c h n o l o g y f o rs o m ee q u i p m e n ti nt h er e g i o n a ln e t w o r kb e i n gi n c o m p a t i b l et om p l s ，t h ea u t h o r w o r k so u tac o m p r e h e n s i v ed e s i g nb ya d o p t i n gb o t hv l a na n dm p l st or e a l i z ev p n s e r v i c e s w h i c ha l s oi n c l u d e st h eu s eo fv l a n - - m p l sv p n v l a ns t r u c t u r ei n e n d - t o - e n dv p ns e r v i c e m o r e o v e r , t h ea u t h o lp r o b e si n t ot h ef i e l do fi pm a nn e t w o r ka n dd i s c u s s e st h e q u e s t i o n sl i k eh o wt og u a r a n t e et h ev p nu s e r s d a t at r a n s f e r r i n gs e c u r i t ya n dn e t w o r k s e r v i c e ，a l lo fw h i c ha r ep r o v i d e dw i t hp o s s i b l es o l u t i o n sa c c o r d i n g l y b e y o n d t i l et h e o r e t i c a la n dt e c h n o l o g i c a lr e s e a r c h ，t h ea u t h o rt o o kp a r ti ns i c h u a n u n i c o r n si pbr o a d b a n dc o m p r e h e n s i v en e t w o r kc o n s t r u c t i o n h e s u c c e s s f u l l y d e s i g n e dt h eg e n e r a ll a y o u to fn e t w o r k ，w o r k e do u tt h ea p p t i c a t i o no ft h er o u t i n g p r o t o c o l ，a n dr e a l i z e dv p n n e t w o r kd e s i g na n di m p l e m e n t a t i o n k e y w o r d s ： n e t w o r k s ；v i r t u a lp r i v a t en e t w o r k ；m u l t i - p r o t o c o ll a b e ls w i t c h i n g 第一章墒斑 1 综述 1 1v p n 技术发展与研究现状 l 。1 1v p n 技术及其分类 v 洲( 虚拟专耀网) 裂耀公众露的资源来梅建专用艇，供一个闭合 用户辫的成员相嚣通信，享阕v p n 提供的各种服务。早期的v p n 是在 电话嘲上建立的。9 0 年代中期以来，随糟基于互联网的企业威用的发 展，套蛀逶痿不仅嚣要连接更多嚣疼部耀户_ 帮琏患，瑟且还簧安全蟪 连接企业的客户和合作伙伴。许多企业把它们的广域网外包给业务提 供商，而业务提供商开始利用互联网来构建v p n ( 称i pv p n ) ，以满足 上述辩采。i e t f 粼为这牵争v p n 赋予了毅靛定义：氆勃予公雳麓联疆移 ( 或) 专用i p 网而建立的康拟广域网。 v p n 的分类： 执斑用来看，v p n 可疆努为三静，静：a c c e s sv p n 、i n t r a n e t ￥琢 和e x t r a n e tv p n 。a c c e s sv p n 能使用户不论何时何地只要需要就可通 过公众网获褥一条专线接入其公司的内联网( i n t r a n e t ) 城外联网 ( e x t r a n e t ) 。i n t r a n e ty p n 程e x t r a n e tv p n 是麓不多的，冀不过前 者利用公众网资源构成企业内联网，后澍构成外联网。 扶辑基于懿设涟来看，v p n 遣可分梵三静。它 裾怒：基于c p e 鳇v p n 、 基于嗣络的v 蹦和采用帧中继a t m 方式的v p n 。 基于c p e 的v p n ，用户自己实施和管理v p n 接入路由器及内部相关 弱设备。 爨于网络的v p n 把v p n 的相关智能、管理、安愈性实施等都放在业 西安理工太学工程硕士专业学位论文 务提供赣瓣p o p 孛。用户哭器簧一夺标壤豹路垂器，实酝上燕撼v p n 外包给了业务提供密。 基于网络的v p n 叉可以分为瓶种，第一种是使用m p l s 和b g p 协议 的v p n ，出隧络透缘鼯由器建赢m p l s 虚攘电路。勇一释是翻蔼p p t p 、 l 2 t p 或i p s e c 等隧道协议，在网络边缘建盘隧道，谶接路由器蛾用户 蓉统。 在第二层采用顿中继或者a t m 的v p n ，糟p v c 来实谎= 层的谶明通 道。这种方式q o s 肖保障，但避需要人工配置p v c 来连接各个站点， 列终连接袋生变纯孵( 懿增翱避接熬点) ，修敬趁来非謇垂难。 安愈性是v p n 的成功关键问题。只有安全性得到了保障，v p n 才会 成为企业的首选。迄今，i pv p n 的安全性主要靠加密和隧道技术来获 得。今爱瓣趋势燕象电子意务撵，采震数字证书寨掇供离零平瓣用 户认证，同时配合使用更强的数据加密和究整性检套技术来保诞数据 的可信度。 i i 2v p n 的发展状况 由予v p n 能使企业节省设备投资、减少长途电话赞、降低运行赞、 提高劳动耋e 产率，蘅且能提供多业务平台搬更好的连接性，甚至提供 氆羿范懿的连接，掰良i pv p n 蠢受企监欢迎，是互联阏土的一种新兴 增值业务，前景十分看好。据燕国f o r r e s t e rr e s e a r c h 公司报道，它 掰谓套魏掰有i s p 企业客户中5 瓣打冀建v p n 。 v p n 磁在变得越来越；l 入波镪。西为对予用户来说，i p v 州不仅价 格比用专线建成的网络低很多，还可以使客户享受到及时与经济的服 务。i pv p n 采爱鑫耽配雯系绞较蒿建立，熬鬟起来 豢迅速，褰声不 必再等上几天或者几周才能得到服务。此外，增减v p n 新成员或姥择 第一章综述 业务也比传统专用蹰络迅速与方便。v p n 不仅用于大型企业，丽且对于 缺乏i t 人员的中小型企业也会是v p n 业务的使用者。实际上，如集经 费舍理、网络安全可靠的话，v p n 适合于各种规模的企业。 很多运营公司已经把v p n 业务当作新的增长点，在经济整体幂景气 并影响到电信运营业的情况下，国外还出现了专门运营v p n 的新的运 营商，如v i r t e l a 。摆c a h n e r si n s t a t 公弱估算：到2 0 0 3 年，v p n 的市场将从1 9 9 9 年的2 6 7 亿美元增加到3 2 0 亿美元。所以从发展态 势看，v p n 的发展前景非常喜人。 1 2 课题来源及论文的主要工作 本课题主要来源于威发系统( 中国) 公司承接的四川联通i p 宽带 接入网项目，项目要求提供一个覆盖全省的i p 宽带综合接入网络。 避j l 联通为了顺应用户的裙求和业务的发展，霰要建设一个以大容 量光纤传输网络为主体，以宽带多业务交换网为核心，以多元化综合 接入硒为基础的，支持端到端话音、数据、图象、多媒体、互联网， 和各类增值业务的综合业务接入睡；使该铡能无缝地与联通i p 窀话鼹， i n t e r n e t 公网高速的衔接，并完成对全国骨干数据网的业务拓展是本 期四川联通网络建设的目的与要求。 本课题的主要任务是设计整个网络系统，实现网络功能，并对牵涉 的重要技术环节予以深入的研究，主要工作包括以下几个方面： 网络规划设计。 网络路由协议的选择和实现。 v p n 技术研究与业务的实现。 西安理工太学工程硕士专业学住论史 1 , 2 。1 潮终援麓每设诗 在刚络规划与设计中要考虑很多因素，但归纳起来主要包含以下几 个方藤：两终维季每，瘸络遗缝及路壶汇聚能力，路出协议选择，籍由 收敛速艘，网络可扩展性，路由信息安全等。 剩用踌由及地址的汇聚能力，可以耩篱踌由的绩惑。路由熬涟撵是 由网终瓣物理拓扑络构和所逸箨的路由挤议决定的。遮就是谎如果我 们的源路由设备和目的路由设备之间如果有多条物理连接，而姐网络 上运行麴路圭接议支持多条链耱之彝熬受载均誊戆谗，我粕就霹墩充 分的利用路由的选择能力，设计实现支持负载均衡和冗余各份的网络 结构。 疆络翡牧鼓速发是据弼终缝璃发生交纯矮，路蠢德惑重蔌 卡算盏至 路由结构稳定到可擞新路由数据的时间。网络的收敛速度是由嘲络结 构和网络协议决定的，如有豹路由协议不能迅速检测路由更新，因此 它翡媛皴迷度裁较後。我镪酌谶诗程标蹙经露络结辚笈生变纯辩，能 使网络强最短时间内重新恢复路由数据的能力，即选到最快的收敛速 度。 网络的可扩展髓是设计网络最主要的特性之一，它主要由网端设备 的数量和所选择的路由协议所决定。由于每种路由协议的使用都要占 硬一定豹阙终姿源，魏弼终设螽豹处理嚣怒壤嚣长，建存约存糍窆圆， 网络带宽等，因此如何平衡网络资源的占用和网络设备的数舞砖个 关键问题。其实这个问题也涉及到网络结构的选择、网络坍议的选择。 势鞋予只骞较少数攮瓣络设簧熬瓣络，我销霹教设诗擎蠢躲踊绦结梅 和网络协议，因为网络设备数趱较少，因此对各种网络设备资源的占 用也是鞍少的。而对于网络设餐较多的网络，如果仍然使用乎蕊的网 络绪梅设计，弼会凄瑗任何个稠缨设套静潞由更新，都会遗戒整个 网络所宵设备的路幽信息重新计算这样就不可避免的造成网络赘源 第一章综述 韵太最使用，同时也使路由的收敛速度较慢。因此在大型网络绪构设 计中，层次化的网络结构和支持层次化的路由协议是非常重要的。 其实以上的几个因素都是互相联系的，每个网络的设计者必须综合 考虑以上问题，撬斑相应的解决方案。 在充分考虑了以上因素后，我们认为四川联通宽带i p 网络的结构， 从逻辑上应采用分层的建设方案，分层鲍建网可以使网络结构明晰， 各层的功能实体之间作用定位清楚，接韶开放、标准。因此，对四川1 联通宽带网的网络结构，我们设计划分为核心骨干层、汇聚层、接入 层等三个层次。这是因为整个宽带网的网络设备数盘较多，使用分层 结构可以实现路由信息和地址信息的汇聚，即可实现路由结构的稳定。 如某个区域内的某个路由信息发生更新，但是由于使用了路由汇聚， 就不会影响其他送域盼路瞧发生更新，谜就从一定程度上保证了网络 的快速收敛和网络稳定。 a 核心骨干层 宽带蹲的骨干崖，主要完成的功能是给业务接入点提供高带宽的业 务交换通道，完成和已有网络的互联互通，如a t m ，f r ，d d n ，i p 等网络。 我们规定成都的g s r 和其他七个地市的7 2 0 6 共同组成核心层，这是由 于核心层的网络结构相对眈较稳定，因此在他们与汇聚层相连的链路 上使用路由汇聚，可以最大程度的保证网络核心层的稳定性，使之完 成快速转发路由催息和网络数据的任务e b 汇聚朦 宽带网的汇聚层，主要完成的功能是为业务接入节点提供业务的汇 聚、管理私分发处理。这一瀑主要由各个地市的多层交换机( 如6 5 0 9 和4 0 0 3 ) 完成，郎实现本城域网内路由信息的更新和数据的转发 c 接入层 宽带网的接入层，主要利用多种接入技术，迅逮覆盖用户，进行带 宽和业务分配，利用光纤、双绞线、同轴电缆等连接到用户。四川联 西安理工大学工程硕士专业学位论文 通i p 宽带网使用思科公司的2 9 2 4 交换机为用户提供大量1 0 1 0 0 兆网 线或光纤接入。 1 2 2 网络路由协议等技术的选择 由于整个网络的结构是层次化的，因此要选择相应的网络协议。支 持层次化的网络协议主要有o s p f ，i s i s 等。在这次网络设计中，由 于整个项目涉及四川八个地市，为了减少骨干网中的路由更新信息对 广域网线路带宽的占用，及网络拓扑稳定性的考虑，我们选择了o s p f ( 开放式最短路径优先) 路由协议。这是因为o s p f 协议基于链路状态 协议设计，具有路由收敛快的特点，具有层次化结构，可伸缩性强， 便于网络的扩展。o s p f 能有效地减少路由表的大小，支持变长掩码，可 以实施路由总结，减少路由振荡。o s p f 采用m u l e i c a s t 广播，d r ，触 发路由更新等技术减少路由信息对网络带宽的消耗。o s p f 具有路由认 证能力。o s p f 支持i p v 6 ，可以平滑从i p v 4 向i p v 6 过渡。 为了实现i p 数据的快速转发及业务的q o s ( 服务质量) ，我们推荐 使用多协议标记交换( m p l s ) 技术。m p l s 是由c i s c o 标记交换演变而 来的i e t f 的标准协议，m p l s 是一种标记转发的典范。标记表示路径和 服务的属性，在入口的边缘、流入的数据包被处理做上标记，位于核 心的设备仅仅读这些标记，然后根据标记转发这些数据包。对这些数 据包的分析、分类和过滤只发生一次，即在进入边缘设备时；经过出 口的边缘设备时，标记被移去，数据包转发到最终目的地。 由于m p l s 技术综合了a t m 与i p 技术的优点，因此得到了广泛的认 可和使用，并成为网络建设的发展目标。本项目中我们选择了m p l s 技 术，并利用其实现m p l sv p n ( 虚拟专用网) ，为用户提供v p n 业务。 第一章综述 1 2 3 塔堑务酌实瑗等技术 v p n 业务的实现技术有多种，在四川联通宽带i p 接入网项圈中， 网络设计的叠标主要是为尾户提供耩p l sv p n 。 m p l sv p n 有以下优势： 在公用i p 翳缀中实瑷￥涨，不蔫使用传统戆电鼹交换技术蠛盎披 电路交换技术，即可避免在数据传输的垒路径过程中进行电路的配置， 如虚拟电路配置等。这可以大大减少网络管理员的工作。 在蒺子m p l s 豹v p n 中，鼹务提供亵淹每拿v p n 分嚣了一个轹谖簿， 称作路由标识符( r d ) ，这个标识符在服务提供商的网络中是独一无二 的。在m p l s 路由节点的转发表中包括多个独一无二的地址，叫作v p n i p 建娃，是密鞠帮耀产匏i p 遣麓连接形戏，这捧每一个v p n 魏裙有了 独自的v p n - i d ，镣一个v p n 的用户只能与自己v p n 网络中的成员进行 透信，蕊鼠也只有v p n 的成员才能有权进入该v p n 。由予使用r d 郛m p l s ， 用户霹使用私有溉垃实现v p n 泣务，遮藏m p l sv p n 技术与传统v p n 技 术相比的另一大优势。 瞧予器兹豹多蔟交换撬还不姥窦瑷m p l s 功能，因此为了凝小广撵 域和提供相应的保密性，并配台v p n 业务的实现，在交换机侧我们建 议选择v l a n ( 虚拟局域网) 技术。v l a n 授术是通过对物理网络的隔离， 鞫筑了逻辑弼终，扶纛为寝藏瓣终提供了霹鞋实璇瓣基稿，嚣路虫器 实现了虚拟网络问的交换和痰全控制。为不同虚拟网络间的谶信提供 了桥粱。当数据在同一交换机的同一v l a n 中传递时，与普通交换机没 有区剿；在固一v l 勰不两交换瓿中侮遴对，源窜赢耗嬲把数据簸交 换为i s l 或8 0 2 1 q ( 数据帧标号) 数据帧在交换机件传递，到达目的 交换桃时，去掉数据帧标号，还原为普遗数据帧，以完成跨交换枫的 v l a n 遇信：当数攒在不同v l a n 之闻通讯时，必颓稍弼潞由器实现数据 传递与控制。 西安理工太学工程硕士专业学位论文 蠹藏霹冕，由予采焉了v l a n 帮￥p l sv p n 技术，我们就爵班簌拄术 角度保证用户数据襁全网传递时的安全性和私密性，方便的在公用i p 网上实现v p n 业务。 本方案我们选择了c i s c o 公司的隔鲳产品。 核心骨干层产黼选择： 辕心漫产鑫选择c i s c o 路巍器g s r l 2 0 1 2 7 2 0 6 。8 个骨予节患搀藏 重型结构，以成都作为中心节点，配置一螽g s r l 2 0 1 2 ，其余的7 个城市 各配置一台c i s c o7 2 0 6 路由器，分别通过一条1 5 5 ms t m - ip o s 链路 与中心繁点连接。 成都地区配置三台g s r l 2 0 1 2 组成本地城域骨干瞬，两两之间使用 2 5 gs d h 连接，形成s d h 光环，实现系统骨干网传输躬冗余配簸，并 茸竞势翻稠s d h 傈护留换瞬阕，实现毫整缀佞输僳 燕。 汇接层产品选撵： 成都地区选择三台c i s c o6 5 0 9 ，并配漫带畜m s f c ( 多层交换功能 卡) 作为汇接层路由竣各，用l ：点窭现成都务她区内部数据的路由设备。 6 5 0 9 通道千兆光纤妁g s r1 2 0 1 2 及接入层设备相连。 其余屯地市各选一台c i s c o4 0 0 3 交换撬，姜配嚣兰层交换横块， 实现各地市内部的数据包交换。并通过子兆或百兆以太两口与c i s c o 7 2 0 6 及接入层设备相连。 接入豢产晶选撵： 所有接入层设备均选择c i s c o2 9 2 4 交换机，通过午兆以太接口与 分布层的变换机c i s c o6 5 0 9 4 0 0 3 相连，一期考虑了垒省共3 1 个节点， 霹提供7 4 4 个i o 1 0 0 m 援入撬力。 第：章v p n3 - 作原理及其运行环境 2v p n i e 作原理及其运行环境 抟绞豹v p n 是建忘在j | 唛串继蒡羹a t ￥萋破上的，程这秘v p n 照务在嚣 前以i p 为主导的世界里它却存在很多局限性，最主饕的是：帧中继和 a t m 网络在本质上述是一个以避接为主的网络，任何两点之间的滤信都 需要直达虚按毫臻遴按，这降低了网络的灵活性。所潋，我翻需要一 个基于i p 的，既有i n t e r n e t 的灵活性和通达性，又有专网的癜全性 和保证梭，甄能便于管理和升级，又能满足未来发屡罐求的羽络。因 此，i pv p n 是一个好的选择。本文主要讨论两种实现i pv p n 的技术， i p s e c 和m p l sv p n 。 2 1l p v p n 工作原理 2 1 。1 i p s e c 鹃王终疆理 i p s e c 是一个协议族，它包含了许多协议，提供了一种标准的、健 装靛滚及包含广泛数辊割，霹羽它舞i p 及土瀑接议( 翔u d p 襄托p ) 提供安众保证。它定义了一套默认的、强制实施的算法，以确僳不同 的实施方案相互间可以互通。丽且假若想增加新的算法，其过糕也是 菲霉囊接熊，不会霹共逶链逢袋酸舔。 i p s e e 协议包括：a h ( 验诚头) 、e s p ( 封装安全载荷) 、t u n n e l ( 通 道模式) 、t r a n s p o r t ( 传送模式) 、i k e ( t n t e r n e t 密铜交换) 、i s a k m p 等。 9 西安理工文学工程硕士专业学位论文 图2 1i p s e c 体系结构图 i p s e c 主要用米实现用户数据的三颈要求：保密性，完整性，数据 源验涯。实现这三兰种功能静嚣提是密锈豹产生帮交换方法。 数据的保密性涉及多种加密算法。如对称算法d e s 、3 d e s 使用相同 的密镪对明文加密，对密文躺密。非对称其法( 公钥密锯算法) r s a 算 法利翔d - n 算法产生两个密钥，个掰予加密，一个用于解密。 数据源身份验证使用p r e s h a r e dk e y ，r s as i g n a t u r e ，r s a s i g n a t u r en o 睨e s 等技本验涯数摆发端的芷确性。 p r e s h a r e dk e y 是使用双方约定的一个固定字符串，利用d h 算 法产生鉴权密钥，然后加上系统i d ( 身份) 信息，二者通过h a s h 算法 产生定长字章辛串，送到对臻；对端嚣襻裁震鼓上壤惑产生定长字符事， 二者进行比较。棚同则表明数据源是正确的，否则则表示数据源错误。 r s as i g n a t u r e 与p r e - s h a r e dk e y 技术的不同是对p r e s h a r e dk e y 新产盛鲍h a s h 绪聚再使用发端酶密镑遴拿亍加密，然磊再传到辩嫣。接 收端在收到加密数据后，使用对端的公钥进行解密，得到h a s h 值；然 后再使用与p r e - s h a r e dk e y 相同的算法得到相应的h a s h 值，与解密 的得到的h a s h 进行比较，= 者相同莉表示数据源燕确，否则袭示数据 源错误。 0 第：章v p ni 作原理蕊其运行环境 r s as i g n a t u r en o n c e s 鼓零与班上薅卷戆过程基本稳露，哭楚在产 生鉴权密钥时使用伪随机数代替了双方约定的固定牛符串。 通挝三种方法的比较，使我们看到第= 种和第三种都是使用了不同 鳇技术在苓两豹醛带怼第一群方法羲竞蒜，使其雯严密，更安全。 2 。1 2m p l sv p n 戆工铬缀毽 面对i n t e r n e t 的诸多制约，如何实现端到端的转发和控制、如何 实琨q o s 撰帝l 困撬着夭 l 。蒸于标记交换，不断寿公霹提出鑫己的方 案。然而。这一切不仅未解决i p 问题，反而使网络本身变得更加复杂。 直到多协议标记交换( m p l s ) 的出现，提趟了将a t m 特性与i p 结合的 新模式。多协议标记交换( m u l t i p r o t o c o ll a b e ls w i t c h i n g ，m p l s ) 是一种介于第二艨和第三层之间的标记交换技术，是专门为i p 设计的， 可戳将第二层静离遽交换能力秘雾三层麴灵活特性缝合起来，使i p 鄹 具备高德交换、流鬟控制、q o s 等性能。 m p l s 中引入了非常多的新概念和术语，其中比较关键的商：1 ) l a b e l ( 标记) ：燕子表示f e c 静莲定长嶷豌蠡识簿，仅县有嚣郝意义： 2 ) l s r ( 标记交换路由器) ：支持第三层前传的m p l s 节点；3 ) f e c ( 等 效前佟类) ；以相问方式( 如：通过同一条路径，受到l s r 相同的前传 处理) 进行蓠俦靛一缝i p 分缱；4 l a b e ls t a c k ( 标记堆援) ：一篷 有序的标记，不间位置的标记代表着不同的层次；5 ) l s p ( 标记交换 路径) ：一个特定靛f c 在翩层次上经过l s r 所形成的路径 6 ) l d p ( 标记分发协议) ：一个l s r 通知其它l s r 关于标记f e c 绑是信息鲍 一系列过程。 在弹l s 中，对予一分缎，只是在它遗入孵络时避 亍f e c 分类，并 分配一个相应的标记：网络中的l s r 则不再需要对嘲络层头遴彳亍分析， 西安理工大学工程硕士专业学位论文 直接根据标记进行处理。有些传统路由器在分析分组头时，不但决定 分组的下一跳，而且要决定分组的业务类型( c o s ：c l a s so fs e r v i c e ) ， 以给予不同的服务规则。m p l s 可以( 但不是必须) 利用标记来支持c o s ， 此时标记用来代表f e c 和c o s 的结合。m p l s 可以支持任何网络层协议， 但实际上，m p l s 工作组仅考虑i p 协议。 m p l s 通用头( s h i m ) 可以灵活地封装到不同的位置，可以在第二 层包头或第三层包头中，甚至可以在第二层与第三层包头之间，而且 根据不同的数据链路层将有不同的格式：例如在点到点网络中，就封 装到p p p 头的后面；而在a t m 网络中，则将标记映射到v p i v c i 中。 s h i m 的格式支持标记堆栈，进入网络的数据可以携带多个标记；这些 标记采用先进先出的堆栈方式，这使得m p l s 支持层次化操作。例如在 域内( i n t r a d o m a i n ) 用第一个标记，而在域间( i n t e r d o m a i n ) 用 第二个标记；而且l s r s 对于标记的处理方式与标记堆栈完全无关，它 永远是对最上面一个标记进行操作。 m p l s 对网络的影响主要在三个方面： 在i p 网络的q o s 方面； 在i p 网络的流量工程方面； 在i p 网络的服务功能方面，如v p n 。 2 1 3i p s e c 与m p l sv p n 的区别 图2 2 为两个站点之间建立i p s e c 隧道的简单的例子。站点a 使 用带有d e s 加密技术的i p s e c 协议同站点b 建立连接。 第二章v p n 工作原理及其运行环境 堕鸯 图22i p s e c 实际使用拓扑图 i p s e c 协议首要的和最明显的缺点就是性能的下降。让我们先看看 从计算机a 是如何发送出一个数据包到计算机b 的。计算机a 发送的 数据包到达了c p ea 。c p ea 检查该数据包并判定它需要把该数据包转 发到c p eb 。在非v p n 环境中，该数据包将在通往c p eb 的途中。但是 有了i p s e c ，c p ea 必须在发送出该数据包之前完成几项任务。首先， 加密该数据包。这需要花费时间，从而导致该数据包被延迟( 时延) ， 然后，该数据包被封装到另外一个i p 数据包中( 封装) ，时间上又延 迟了。现在该数据包才被发送到服务供应商网络中。 总的延迟时间取决于所涉及的c p e 的个数。低端的c p e 设备通常 用软件实现所有的i p s e c 功能，因而其速度最慢。价格贵些的c p e 用 硬件实现i p s e c 功能。一般来说，性能越好，其价格越贵。 从上述例子中可以容易了解到i p s e cv p n 是网络的一种覆盖类型。 它位于另一种i p 网络的上层。由于是一种覆盖，在每个站点之间必须 建立一个隧道，这就导致了网络的低效。我们这里来看看存在的两种 网络布局结构：中心辐射布局和全网状布局。 中心辐射布局由一个中心站点同许多远程站点相连。这是i p s e c 西安理工太擘工程硕士专业学位论毫 弱熬撩实震静毒鼹。位于审，涟点垃鬟戆c p e 逶卷非鬻昂赛t 萁徐格 同相逡的远程站虑的数目有荚。每个遗程站点建立同中心站点相连的 i p s e c 隧道。如果有2 0 个远程站点，那么就会建立2 0 个到中心站点的 i p s e c 隧遭。 该模式对于近程到远程之间的通信不是最优的。任何数据包，如 果从一个远程站点发送到到另外一个远程站点，首先需要透过中心站 点，需要中心站赢实现解封，解密，剡窟转发鼹强，加密t 封装等一 系列步骤。这对予在远程站点中已经进行的封装加密工作来说，是多 余的。实际上，数据包经过薅个i p s e c 隧道鲍传输，延迟时闯大大地 增加了，超过了两个站点之澜直接通信时，数据包的延迟时间a 鼹然，解决这个问题的方案是建立一个全网状布局。但诚类型的 毒嚣器在不少壤赢。最大熬缺点是霹扩宠挂。对予全彝默 p s e c 隧终， 需要支持的隧道的数量随着站点的数目里几何级数增加。例蛊日对于一 个2 1 个站点构成的中心辐射布局网络( 一个中心站点和2 0 个远程站 点) ，需要建立2 1 0 个i p s e e 隧遘。每个蛞煮需要懿餮麓够楚壤2 0 令 i p s e c 隧道的c p e ，这意味着每个站点需要价格更为昂贵的c p e 设备。 从某种意义上讲，建立一个全网状布局是不现实的。想象一下出1 0 0 个菇赢组成静v p n ，它将蔫黉建立4 9 5 0 个隧遭。 对于i p s e cv p n 来说，配置将成为问题，供_ 陂商必须配鬣好每个 i p s e c 隧道。配燮苹一的一个i p s e c 隧邋不成翊鬈。毽网络内缝点数量 增大时，问题就来了。在建斑全网状的布局时，情况最糟，上例中， 配置一个由2 1 个结点组成的网络需费时数天。对于服务供应黼来说， 基霉缳护静照震毽疆丈； 嗣传统的v p n 不同，m p l sv 刚不依靠封装和加密技术，m p l sv p n 依靠转发表和数据包的标记来刨建一个安全的v p n 。c p e 被称为客户 边缘籍壶器( 髓) 。在i n t e r n e t 网络串，同c e 相逢熊疆由器称为供应 商边缘路由器( p e ) 。一个v p n 数据包括一组c e 路幽器，以及同其相连 4 第二章”ni 作原理茂其运行环境 豹i n t e r n e t 稻审静琵路鑫嚣。更育赡黯壶器理解v p n 。c e 赣由器著 不理解潜在的网络。c e 可以感觉到同一个专用网络相连。每个v p n 对 应一个v p n 路出转发实侧( v r f ) 。一个v r f 定义了同p e 路由器相连 靛客户站点蘸v p n 或贯资辖。一个v r f 数据包括l p 路盘表，个派生 的c i s c oe x p r e s sf o r w a r d i n g ( c e f ) 袭，一套使用转发表的接口，一 套控刳路由表中镶惠鳃援剩秘踺由据议参数。一个蛙点可戥鼠仅能同 一个v r f 相联祭。客户站点的v r f 中的数据包含了其所在的v p n 中所 有的可能连到该站点的路由。 瓣予每令v r f ，数据毯转发售意存罐在i p 路出表鞠c e f 袭孛。每 个v r f 维护一个单独的路由衷和c e f 袭。这些表阿以防止转拨信息被 传输到v p n 之外，同时也能阻止v p n 之外的数据包转发到v p n 内的路 壶器申。这个瓿铺使褥v p n 暴寿安全瞧。 在每个v p n 内部，可以建立任何逡接：每个站点可以直接发送i p 数据包到v p n 中另外一令站点，无需穿越中心站点。一个路出识剐器 ( r 鳓可阻识澍每个单猿的v p n 。一个m p l s 网络珂强支持藏千上万个 v p n 。每个m p l sv p n 网络的内部是由供应商( p ) 设备组成。这魑设备构 成了m p l s 核心，且不壹接弼c e 路虫嚣稠连。围绕在p 设备用匿的供 应商边缘路由嚣( p e ) 可以让m p l sv p n 弼络发挥v p n 的作用。p 和p e 路 由器称为标记交换路由器( l s r ) 。l s r 设备基于标记来交换数据包。 西安理工太学z - 程硕士专业学位论爻 滁sv 科掰 结构圈 圈2 - 3 i p l sv p n 拓卦结掏示意图 如图23 ，两个不同的v p n ，分别用r o u t ed i s t i n g u i s h e r s 1 0 和2 0 | 束表示。 m p l sv p n 孛，客户旗点运 亍的是避常携 p 协议。它蟋势不嘉要 运行m p l s ，i p s e c 或者其他特殊的v p n 功能。在p e 路由器中，v p n 路 由转发实例( v r f ) 对应同每个客户站点的连接。这些连接可以是诸如 以太瓣，e l ，赖中继，a t m 艘电菇，d s l 等这样弱麴理连接。v p n 路奎 转发实例( v r f ) 在p e 路由器中被配置，是设置v p n 站点工作的一部分， 它并不在客户设罄e 进行配激，对于客户来说是透明的。 每个m p l sv 洲具有自己的路由表，这样客户可以重叠使羽遗址且 互不影响。对用r f c1 9 1 8 建议进行寻址的多种客户来说，上述特点很 有用处。蛾妇，任鹰爨量靛客户蒸可啦在其m p l sv p n 中t 傻蠲建蛙兔 1 0l1 x 的网络。i p l sv p n 的一个最大的优点是c p e 设备不需耍智能 化。因为所有的v p n 功能是在i n t e r n e t 的核心网络中实现的，且对c p e 第= 章v p ni 作原理度其运行环境 是透明的。c p e 并不需要理解v p n ，同时也不需要支持i p s e c 。这意味 着客户可以使用价格便宜的c p e ，或者甚至可以继续使用已有的c p e 。 在m p l sv p n 中，安全性可以得到容易地实现。一个封闭的v p n 具 有内在的安全性，因为它不同p u b l i ci n t e r n e t 相连。如果需要访问 i n t e r n e t ，则可以建立一个通道，在该通道上，可放置一个防火墙， 这样就对整个v p n 提供安全的连接。管理起来也很容易，因为对于整 个v p n 来说，只需要维护一种安全策略。 由以上比较可见，m p l sv p n 具有许多i p s e cv p n 所无法比拟的优 势。 垦圭墨三态堂三墨翌生妻些堂苎堕墨 2 2v p n 运姆环境 2 2 1i p s e c 实现所需的运行环境 幽于i p s e c 游工作原瑾建基于i p 按议族的，潮诧它麓运行环境也 应是基于i p 环境的。如路由器，防火墙，或基于i p s e c 技术的客户端 等。 本次课题中i p s e c 豹设计是基于藏菠系统( 中国) 公司所承接的 某公司两个办公地点通过广域网的连接，考虑到两个办公点之间数据 弱安全链，医姥我稻选焉i p s e c 诲议建蠢强点之弱鹣连接s 两个点内的网络分别使用1 7 2 3 0 1 0 2 4 和17 2 3 0 2 0 2 4 地址 段。( 擀例) 薅令点在i s a k m p 逶通露，我销建议翔户捷翊p r es h a r e dk e y 数綦 源鉴权方式和m 0 5 一h a s h 完整性算法。 i p s e c 通讯时，使用e s pd e s 方法加密。 第二章v 州工作原理厦甚运行环境 p s e c 连接拓扑圈 圈2 4i p s e c 运行环境示意匿 2 2 2m p l sv p n 实现所需的运行环境 交予m p l s 技术鹣实臻可篓予现有魏般g 魏络或 p 嗣终，困建m p l s 7 p n 的实现也应基于以上两种网络。由于本文的课题来源是四川联通宽 带i p 网络。因此我们主要研究基于i p 网络的m p l s7 p n 实现。 要实现m p l sv p n 蕾先要求运营商网络支持m p l s 。这就要求运营商 的网络中至少包含以下两种网络设备：p er o u t e r ( 运管商边界路幽器) ， pr o u t e r ( 运营商路癌j 器) 。网络嚣要支持提关的i g p 路由谚议( 如 o s p f ，i s i s ) 和b g p 骆由协议( m p b g p ) ，以及l d p 标签分发协议。由 于本项目中选用的是思科公司的设备，因此要求网络设备对c e f 交换 也支持。 由于谍题来源于联通四川分公司的i p 宽带接入网项目，这黛曾先 西安理工大学工程硕士专业学位论文 就该项目的设计运行环境描述如下。 四川联通i p 宽带接入网一期项目目标是建成一个覆盖成都、绵阳、 德阳、乐山、内江、泸州、自贡、宜宾等八个地市的宽带、多业务接 入网络。如下图 图25四川联通i p 网络的网络拓扑结构图 四川联通i p 网络的总体结构层次可分为三个部分： 核心层( 基于省内p o s 网) ，提供骨干连接，作为此次接入网业务 的承载网；它包括成都市的g s r l 2 0 1 2 ，7 2 0 6 路由器设备以及其他七个 第二章v p n 工作原理及其运行环境 地市的7 2 0 6 路由器。 8 个骨干节点构成星型结构，以成都作为中心节点，其余的7 个城 市分别通过一条1 5 5 ms t m - ip o s 链路与中心节点连接。 成都的3 台骨干路由器g s r l 2 0 1 2 之间通过2 5 gp o s 互连，3 台 骨干路由器分别通过千兆与当地的骨干以太网交换机互连。 分布层，提供本地用户的高速上网和v p n 等业务的接入。包括成 都市的c a t a l y s t6 5 0 9 交换式路由器及其他七个地市的c a t a l y s t 4 0 0 3 交换式路由器。 成都的分布层采用环形拓扑，在节点处采用g s r1 2 0 1 2 作为核心 路由器，三个节点构成一个2 5 g 的p o s 环。这种设计保证了三个节点 的容错连接。同时p o s 连接可以保证带宽的充分利用。每个节点配置 一台c a t a l y s t6 5 0 9 通过一条千兆以太网与g s r1 2 0 1 2 联接，向下连 接接入层设备。其余7 个节点各配置台c a t a l y s t4 0 0 3 ，通过百兆 千兆以太网与c i s c o7 2 0 6 上联或向下连接接入层设备。 接入层提供最终用户的接入。包括各个地市的c a t a l y s t 2 9 2 4 交换 机。 从m p l s 网络的角度，我们把位于成都茶店子核心网络层的 g s r l 2 0 1 2 作为pr o u t e r 。专门完成m p l s 网络的标记交换。不参与标 记与i p 地址的对应查找过程。 位于成都茶店子和其他七个地市的的c i s c o7 2 0 6 实现p er o u t e r 的功能，即在这里实现i p 地址与标记的对应查找与标记生成过程。 以上两种设备实现了m p l s 骨干网络的拓扑结构。 由于m p l s 标记交换与分发是基于t c p 连接的，因此m p l s 的功能 实现有赖于现有的网络协议。m p l s 能和传统的路由技术很好地结合在 一起，目前c i s c o 的m p l s 路由器支持的路由协议包括i s - - i s 、o s p f 和e i g r p 等。基于省级大型i n t e r n e t 骨干网的特点和使用经验，我们 选择o s p f 作为四川省内联通i p 数据网的主要路由协议a 西安理工大学工程硕士专业学位论戈 为了卖理挺记( l a b e l ) 交换，赝鸯憋m p l s 羁终设备必须支持l d p ( 标记分发协议) 协议。l d p 主要用于在p 及p e 之间分配、交换标记， 并与i g p 协议配含建立多条l s p ( l a b e ls w i t c h e dp a t h ：标记交换通路) 。 实琥i p 数据敲靠标记竞皴交换。零次工程孛逡埔熬g s r l 2 0 1 2 及 c i s c 0 7 2 0 6 路由器均支持l d p 协议。 为了实现m p l sv p n 功能，距路由器必须支持m p - b g p ( 多协议一边 界嬲荚协议) ，窀是对传统静b g p 籍由协议的进行修改帮补充，往之支 持v p n - i p v 4 信息的传递。为了实现m p l sv p n ，我们引入一个新的技术， v r f ( v p n r o u t i n gf o r w a r d i n gi n s t a n c e ：v p n 路囊转发实例) 。v r f 耀 来定