《分组传送技术》分组传送技术理论基础 任务五

分/组/传/送/技/术项目一理论基础讲师XXX、XXX任务五：MPLSL3VPN技术01任务描述:L3VPN的诞生是为了将私网和公网进行对接，就好比将一个个的私人空间与公共空间对接，同时也能从公共空间获取对个人有用的资源。L3VPN是基于路由方式的MPLSVPN解决方案，L3VPN也被称为BGP/MPLSVPNs。L3VPN使用类似传统路由的方式进行IP分组的转发，在路由器收到IP数据包后，通过在转发路由表中查找IP数据包的目的地址，然后使用预先建立的LSP进行IP数据跨运营商骨干的传送。02学习目标：1.了解MPLSL3VPN的基本概念。2.掌握MPLSL3VPN的网络架构及报文转发方式。3.掌握MPLSL3VPN的路由信息发布MPLSL3VPN网络结构任务五：MPLSL3VPN技术MPLSL3VPN模型由三部分组成：CE（CustomerEdge）设备---用户网络边缘设备

CE可以是路由器或交换机，也可以是一台主机。CE“感知”不到VPN的存在，也不需要必须支持MPLS。PE（ProviderEdge）设备---服务提供商网络的边缘设备

与用户的CE直接相连。在MPLS网络中，负责VPN业务的接入。对VPN的所有处理都发生在PE上。P（Provider）设备---服务提供商网络中的骨干设备P设备主要完成路由和数据转发功能。2.MPLSL3VPN基本概念Site（站点）Site是指相互之间具备IP连通性的一组IP系统，并且这组IP系统的IP连通性不需通过服务提供商网络实现；Site的划分是根据设备的拓扑关系，而不是地理位置任务五：MPLSL3VPN技术一个site只属于一个VPN（Intranet）2.MPLSL3VPN基本概念Site（站点）任务五：MPLSL3VPN技术一个site可以属于多个VPN（Extranet）Site通过CE连接到服务提供商网络，一个Site可以包含多个CE，但一个CE只属于一个Site。2.MPLSL3VPN基本概念任务五：MPLSL3VPN技术地址空间重叠VPN是一种私有网络，不同的VPN独立管理自己使用的地址范围，也称为地址空间（AddressSpace）。VPN使用重叠地址空间的情况：1.两个VPN没有共同的Site；2.两个VPN有共同的Site，但此Site中的设备不与两个VPN中使用重叠地址空间的设备互访VPN实例在MPLSVPN中，不同VPN之间的路由隔离通过VPN实例（VPN-instance）实现。VPN实例中的信息包括：标签转发表IP路由表与VPN实例绑定的接口信息VPN实例的管理信息2.MPLSL3VPN基本概念任务五：MPLSL3VPN技术VPN-IPv4地址2.MPLSL3VPN基本概念任务五：MPLSL3VPN技术BGP扩展团体属性VPNTarget属性MPLSL3VPN使用BGP扩展团体属性—VPNTarget（也称为RouteTarget）来控制VPN路由信息的发布。ExportTarget属性在本地PE将从与自己直接相连的Site学到的VPN-IPv4路由发布给其它PE之前，为这些路由设置ExportTarget属性；ImportTarget属性PE在接收到其它PE路由器发布的VPN-IPv4路由时，检查其ExportTarget属性，只有当此属性与PE上VPN实例的ImportTarget属性匹配时，才把路由加入到相应的VPN路由表中。2.MPLSL3VPN基本概念任务五：MPLSL3VPN技术BGP扩展团体属性2.SOO属性

SOO（SiteofOrigin，路由源）用来标识路由的原始站点。通过SOO属性进行避免发生环路。每条路由只能携带一个SOO属性SOO属性的三种格式：16bits自治系统号:32bits用户自定义数字；例如：100:1。32bitsIPv4地址:16bits用户自定义数字；例如：172.1.1.1:1。32bits自治系统号:16bits用户自定义数字，其中的自治系统号最小值为65536；例如：65536:1。2.MPLSL3VPN基本概念任务五：MPLSL3VPN技术MP-BGP（MultiprotocolextensionsforBGP-4）用于PE路由器之间传播VPN组成信息和路由。既可以支持传统的IPv4地址族，又可以支持其他地址族（比如VPN-IPv4地址族）。确保VPN的私网路由只在VPN内发布，又实现了MPLSVPN成员间的通信。路由策略（RoutingPolicy）用于精确地控制VPN路由的引入和发布，可以配置在入方向或出方向隧道策略（TunnelingPolicy）隧道策略用于选择给特定VPN实例的报文使用的隧道。3.MPLSL3VPN的报文转发任务五：MPLSL3VPN技术MPLSL3VPN应用中（不包括跨域的情况），VPN报文转发采用两层标签方式：第一层（外层）标签在骨干网内部进行交换，指示从PE到对端PE的一条LSP。VPN报文利用这层标签，可以沿LSP到达对端PE；第二层（内层）标签在从对端PE到达CE时使用，指示报文应被送到哪个Site，或者更具体一些，到达哪一个CE。这样，对端PE根据内层标签可以找到转发报文的接口。3.MPLSL3VPN的报文转发任务五：MPLSL3VPN技术Site1发出一个目的地址为1.1.1.2的IP报文，由CE1将报文发送至PE1。PE1根据报文到达的接口及目的地址查找VPN实例表项，匹配后将报文转发出去，同时打上内层和外层两个标签。MPLS网络利用报文的外层标签，将报文传送到PE2（报文在到达PE2前一跳时已经被剥离外层标签，仅含内层标签）。PE2根据内层标签和目的地址查找VPN实例表项，确定报文的出接口，将报文转发至CE2。CE2根据正常的IP转发过程将报文传送到目的地。MPLSL3VPN网络架构4.1基本VPN组网方案任务五：MPLSL3VPN技术相同VPN内用户可以通信，不同VPN之间用户不可通信PE为每个VPN分配一个VPNTarget，作为该VPN的ExportTarget和ImportTarget，并且，此VPNTarget不能被其他VPN使用。MPLSL3VPN网络架构4.2Hub&Spoke组网方案任务五：MPLSL3VPN技术用于VPN中设置中心访问控制设备，其它用户的互访都通过中心访问控制设备进行1、Hub-PE能够接收所有Spoke-PE发布的VPN-IPv4路由；2、Hub-PE发布的VPN-IPv4路由能够为所有Spoke-PE接收；3、Hub-PE将从Spoke-PE学到的路由发布给其他Spoke-PE，Spoke站点之间可以通过Hub站点互访。4、Spoke-PE的ImportTarget属性不与其它Spoke-PE的ExportTarget属性相同。Spoke-PE之间不直接发布VPN-IPv4路由，Spoke站点之间不能直接互访。MPLSL3VPN网络架构4.3Extranet组网方案任务五：MPLSL3VPN技术用于VPN用户提供部分站点资源给非本VPN的用户访问。访问VPN的ExportTarget必须包含在共享站点的VPN实例的ImportTarget中，且ImportTarget必须包含在共享站点VPN实例的ExportTarget中。VPN1的Site3能够被VPN1和VPN2访问PE3能够接受PE1和PE2发布的VPN-IPv4路由；PE3发布的VPN-IPv4路由能够为PE1和PE2接受；VPN1的Site1和Site3之间能够互访，VPN2的Site2和VPN1的Site3之间能够互访。5.MPLSL3VPN路由信息发布任务五：MPLSL3VPN技术VPN路由信息的发布涉及CE和PE，P路由器只维护骨干网的路由，VPN路由信息的发布过程包括三部分：本地CE到入口PE的路由信息交换CE与直连PE建立邻接关系后，把本站点的VPN路由发布给PE。支持所有IPV4路由信息。入口PE到出口PE的路由信息交换PE为学习到的路由增加RD和VPNTarget属性，形