技术方案模板(华为)

1、.MPLS BGP VPN技术方案模板华为技术有限公司2003 年 2 月.目 录前言 .1第 1章 概述 .21.1 MPLS VPN 简介 .21.2网络概述 .3第 2章 原有网络分析.42.1信息采集 .42.1.1网络信息 .42.1.2用户需求 .42.2组网分析 .52.3综述 .7第 3章 MPLS-VPN 解决方案 .83.1组网 .83.2 IP 地址规划 .103.2.1PE 的管理地址（ Loopback地址）. 113.2.2S3526/S3026 的管理地址 .113.2.3PE-PE的互连地址 .133.2.4PE-CE的互连地址（计费）.143.2.5 PE-C

2、E的互连地址（ OA ） .143.2.6PE-CE的互连地址（ 168 ）.153.2.7PE-CE的互连地址（网管）.153.3路由协议 .163.3.1BGP 协议规划 .163.3.2IGP 协议规划 .173.3.3静态路由规划 .173.4 MPLS VPN规划 .183.4.1VRF 规则 .183.4.2RD 规则 .183.4.3Route-Target 规则 .183.5设备命名和描述规则 .193.5.1设备命名规则 .193.5.2接口描述命名规则 .193.6网络的备份和流量分担 .193.6.1网络的备份 .20.3.6.2 流量的分担. 203.7网络的管理 .2

3、03.8网络的安全 .22第 4章 设备配置 .234.1硬件配置清单 .234.2软件配置清单 .23第 5章 测试和验收 .25.前言本方案模板的目的，是给MPLS VPN技术方案的制定提供一个模板，作为一个借鉴，一个引导，分章节论述制定一个MPLS VPN技术方案需要考虑的各个方面。由于 MPLS VPN 技术方案和业务联系紧密，为了更好的对方案的各部分作充分的阐述，本文用了一个实际方案作为例子，在每章节说明的后面，就是具体方案的描述， 描述的内容可以作为制定其他 MPL VPN 方案的参考， 但具体的细节还需根据实际网络的情况作相应的调整。.第 1 章 概述说明：该章主要介绍MPLS

4、VPN技术和网络的概况，给人以整体的印象，作为技术方案的开篇，引申出后续的方案的细节。1.1 MPLS VPN简介说明：该节主要用简洁、易懂的文字，对技术方案所依托的MPLS VPN技术作简单介绍。随着社会的发展，企业日益扩张，客户分布日益广泛，合作伙伴日益增多，这种情况也使传统企业网络的功能缺陷越来越凸现：传统企业网基于固定物理地点的专线连接方式已难以适应现代企业的需求。于是用户对于自身的网络建设提出了更高的需求，主要表现在网络的灵活性、安全性、经济性、扩展性等方面。在这样的背景下，基于MPLS 技术平台实现的 MPLS VPN ，以其独具特色的优势赢得了越来越多的企业的青睐，令企业可以较少

5、地关注网络的运行与维护，而更多地致力于企业的商业目标的实现。MPLS 是多协议标签交换协议的简称。MPLS VPN网络中， 有三种设备： CE 、PE 和 P 路由器， CE 是用户直接与服务提供商相连的边缘设备，可以是路由器、交换机或者终端； PE 是骨干网中的边缘设备，它直接与用户的 CE 相连；P 路由器是骨干网中不与CE 直接相连的设备。 P 路由器并也不知道有VPN的存在，仅仅负责骨干网内部的数据传输，但其必须能够支持MPLS协议，并使能该协议； PE 位于服务提供商网络的边缘，所有的VPN 的构建、连接和管理工作都是在PE 上进行的。采用 MPLS VPN技术可以把物理上单一的IP

6、 网络分解成逻辑上隔离的网络，并且每个 VPN 单独构成一个独立的地址空间，即VPN 之间可以重用地址，在分配地址时不必考虑是否会与其他的VPN 发生冲突，只需要考虑在本VPN之内不冲突即可，这样可以解决IP 网络地址不足的问题，也方便网络的扩展和变更。.MPLS VPN 的网络构造由服务提供商来完成。在这种网络构造中，由服务提供商向用户提供 VPN 服务，用户感觉不到公共网络的存在，就好像拥有独立的网络资源一样。为了实现 MPLS VPN 功能，除了新建网络之外，更多的需求是在已有的传统 IP 网络上实现 MPLS VPN 的功能。这样，既保护了原有网络投资，又适应了企业用户的新的需求，实现

7、业务的增值。本次工程就是在已有网络上进行改造，实现MPLS VPN功能。1.2 网络概述说明：该节简单的介绍网络的概况，业务运行的情况，以及存在的问题，然后描述采用 MPLS VPN实现用户需求的优点。J 省原有三个业务网络：运营、计费和网管，这三种业务在地市和省之间的广域网的范围内，物理设备和运行的路由协议都是相互分离的，这样给全网的统一管理和维护带来了相当的不便，并且某些旧有的设备和广域网带宽已经不能满足当前的业务发展的需求，因此有必要建设一个统一的、高效的、可运营、可维护的数据网络。在原有网络中，每个地市的运营、计费和网管共用一个或两个B 网段。运营和计费的上行到省公司的路由设备共用或者

8、分别在两台出口路由器上；网管是单独的出口路由器。在各地市间的骨干网络上，运营网配置的是静态路由；计费网络运行的是EIGRP动态路由协议；网管网络运行的是OSPF协议，本地网的 OSPF与计费的 EIGRP 之间没有相互引入，本地网的 OSPF 也没有引入静态路由。本次 DCN工程采用 MPLS VPN的方案，在同一物理拓扑的基础上，MPLSVPN能够按照用户需求实现多种业务的隔离，并且管理和控制VPN 的业务，只是在数据上作相应的配置，物理设备和链路都不用作改动，这样为各种VPN 业务的管理和维护提供了很大的方便，所以MPLS VPN具有很好的业务扩展性。.第 2 章 原有网络分析说明：实施

9、MPLS VPN的前提，就是对原有网络进行全面准确的调研和分析，收集实际运行的网络信息。然后在此基础上给出网络的建设建议。2.1 信息采集说明：该节对客户原有网络信息和用户的需求进行采集，作为方案规划和实施的基础。2.1.1 网络信息在实际工程中，需要采集的网络信息包括：组网图、数据配置、IP 网段规划、业务流向、路由协议、业务间互访和隔离的需求等。（详细的信息这里省略，可以根据实际情况，写在技术方案中或者作为技术方案的附件附后。）2.1.2 用户需求在 J 省全省范围内，目前主要有网管、计费、OA 、 168 业务。基本原则是：各业务之间是隔离的；每种业务在全省各地市之间是能够互相访问的；省

10、公司的各种业务还有访问国家骨干的需求。特别的：省公司的网管业务能够访问其他地市的各种业务。.2.2 组网分析说明：用户的原有网络结构一般会有两种：一种是将所有的业务承载在一个网络上，通过 GRE 、 IPSEC 等技术建立隧道来隔离不同的业务，或者根本不作隔离；另一种是对于每种业务单独建设一个网络；如在运营商的DCN 网络中，为计费，运营，网管各建一个网络。对第一种情况，附一个总的组网图即可；而对第二种需要对每种业务附一个组网图，再对原有网络的整体情况，用途，所承载的业务类型分别进行分析。本方案就是第二种情况。下面对 J 省的运营和网管组网进行分析：原运营网络组网分析A市省公司省公司B市C市D

11、市I 市H市G市E市F市1、设备：各地设备的型号比较统一，Cisco 的 72或者 75 系列的路由器，部分路由器能提供空闲的以太网口，能够支持BGP ，不能提供空闲以太网口的路由器需要支持 802.1Q ，如果不支持，可以通过升级软件版本解决该问题。2、链路：广域网链路是E1 线路，带宽为2M 。3、路由协议：骨干网络运行的是静态路由，A 市路由器 Cisco75 为省中心，上面配置指向分配给各地市和省公司路由器的精确的C 网段（或更明细）的.静态路由，下一跳指向相应的路由器的下一跳，而在各地市路由器上配置指向省公司的精确的C 网段（或更明细）的静态路由，下一跳指向Cisco 75 。4 、

12、业务的流向：纵向流，即各地市与省局之间的数据交互。原网管网络组网分析国家骨干网 DCN-1国家骨干网 DCN-2省中心ETH（主用）ETH（备用）省中心ETH省中心省中心A市E市I 市C市H市B市网管1G市F市D市D市B市网管21 、设备：由于省公司的 NetBuilder的端口不够了， 另外配置了两台 Cisco 2621路由器，分别接入E 市、 C 市和 B 市网管1 ，省公司的这三台路由器再通过Lanswitch 4003连通，然后通过NetBuilder作为统一的出口。2 、链路：广域网链路是E1 线路，带宽为 2M ，特殊的， C 市作了链路捆绑。综合多方面考虑，并针对网络的实际情况

13、，我们建议采用方案3。3 、路由协议：原网管网的骨干网络运行的是OSPF 协议， AREA 为 0，在各地市的本地网络，有些是静态路由，有些也运行OSPF ， AREA 不为 0，但没有聚合区域间路由。这里我们建议各地市向Area 0 发布路由的时候进行聚合，聚合成本地网管正在使用的几个C 网段（也不应该聚合成包含计费、运营的 B 网段），利于管理和控制。4 、业务流向：主要以纵向流为主，即各地市与省局之间的数据交互。.2.3 综述说明：该节根据客户网络结构以及采集的数据对网络现状和问题进行分析，得出结论。并提出我们的解决方案。对于每种业务单独建立一个网络这种情况，存在以下弊病：由于是每种业务

14、都建立一个网络，网络设备的重复投入，而且在新上一种业务的时候都要新建一套网络，工程量比较大。而且如果存在某些设备是多个业务共用的设备时，业务间的隔离和互访实现起来也不方便。对于将各个业务使用同一个网络这种情况，存在以下弊病：各个业务使用同一个网络，如果各个业务之间不进行隔离，那么存在安全隐患，如果使用 GRE 、IPSEC 等隧道技术来进行隔离的话，由于这些隧道技术都是点对点的，因此节点比较多的时候，要配置较多的隧道，在新增一个点的时候，需要修改所有配置了隧道的路由器的配置。而 MPLS VPN 方案能很好的实现用户的需求，提升网络的性能，满足用户业务扩展和易于管理的要求。由于所有的 VPN数

15、据只是在 PE 上作相应的配置，控制也是在 PE 上实现的，所以对原有网络的影响很小，这样能最大限度的减小对原来的各种业务的影响。增加了PE 设备以后，每个地市的CE设备就通过本地的PE 设备与省公司或者其他地市相连了，而原有的网络作为 DCN网络的备份网络，当 DCN网络出现问题时，可以切换到旧有网络上，保证业务的正常运行。要做到各地市的VPN 业务的分离，每种VPN 业务必须采用独立的逻辑端口与 PE 设备相连，端口上向 PE 发布的也是本业务所占用的网段，而不应该是本地所有 VPN 业务的总的 B 网段。针对实际的情况，我们采用业务逐步分离的方案。如果某些地市能做到业务网段的分离，就为每

16、个VPN 业务提供独立的逻辑端口， 并只发布本业务的网段，采用 N 个业务 N 个 VPN 的方案； 其他地市短期内还做不到业务网段的分离，那么就采用暂时只有一个VPN 的方案，当这些地市的网段做到分离的时候，再将这些地市调整成多个VPN 就可以了。这样，网段分离的地市能够做到业务分离，而暂时不能分离的地市只是本地业务不能分离，不会影响到其他的城市。.第 3 章 MPLS-VPN 解决方案说明：该章针对客户的现状和需求，提出具体的MPLS VPN解决方案， 包括组网图、IP 地址规划、路由协议等技术细节，作为工程实施的依据。3.1 组网说明：该节附具体解决方案的系统组网图，即采用MPLS VP

17、N方案的网络结构图。并对网络设计的方针、规划、思路做出详细的分析。MPLS-VPN 并不要求网络结构上有什么特殊之处，传统的树形结构、网状结构、单星型结构、双星形结构都可以满足要求。如果是旧网改造，只需要对原有网上设备进行升级，使之支持 LDP ，配合新增的 PE 设备即可组成 MPLS-VPN 的核心 MPLS 域；而 CE 设备则不需要任何改动，可以直接作为 MPLS-VPN 的各专业网络业务汇聚设备。对于本次工程，我们建议采用双星形结构，这样在骨干中心节点消除单点故障，提高了网络的可靠性和安全性。.A1A1BCDEFGHI双星形网络结构图A 市中心放置两台骨干路由器NE16 和 Cisc

18、o 75 ，两者通过 FE 互连，负责其他地市的业务汇聚，互为备份。2 、 除 A 市外的其他地市，由一台高端路由器组成， 负责本地业务系统的接入。 原来各业务网络的出口路由器作为CE 设备。针对运营和计费网络，如果原来的出口路由器存在空闲的以太网口，则直接将该路由器连接到PE 上；如果没有多余的端口，则PE 和 CE 之间通过交换机相连， 然后在原出口路由器上配置子接口，划分 VLAN （这需要路由器支持802.1Q 协议，如果不支持，可以通过升级软件版本解决）；如果即没有多余的端口，而且难以支持802.1Q ，那么只能采用另外一台三层交换机作为CE设备，但这样本地网络的路由需要调整：原出口

19、路由器接在三层交换机的下面，将该三层设备作为本地的出口。针对网管网络，部分地市是CISCO 的设备，有空闲的端口，则直接连接到PE 设备，如果没有空闲端口，就在原来的以太网上配置子接口（这需要路由器支持 802.1Q 协议，如果不支持，可以通过升级软件版本解决），另外一些地市采用的设备是NBII ，由于没有空闲端口，也不能支持BGP ，就用另外的三层交换机作为CE，这样需要调整本地的网络， 使三层交换机作为本地出口。每一地市路由器通过POS 链路双归属方式接入到省核心层。.3.2 IP 地址规划说明：该节讨论IP 地址的规划。 MPLS-VPN网络中， IP 地址的划分主要分为“公网”和“私网

20、”两个部分。“公网” IP 地址主要包括 PE-PE 设备互联地址、 各设备管理地址。 对于设备互联地址没有特殊的要求，一般是整个地址空间在同一个“大”的网段中获取，并且要为今后网络的扩充留有余地。互联的广域网接口尽量采用 30 位掩码的网段， 互联的 Ethernet 接口地址， 可以采用 29 位掩码的网段， 这样在今后应用 HSRP 或者 VRRP 的时候有足够的地址可以使用。“私网” IP 地址指 PE-CE 设备互联地址、 CE 下带的 VPN 用户的地址。分配根据不同的应用有不同的原则，一般可以分为两类：网络为ISP 所有，为不同的集团用户提供地域间的企业网互连；网络为集团用户所有

21、，为本集团内各个不同业务提供不同的私网。对于网络为 ISP 所有的情况。各个 VPN 物理设备之间是完全隔离的，同一个PE 所连接的不同 CE 内部，网络不会有交织，针对这种应用，IP 地址采用按照地域分配的方案对工程实施比较有利。采用按照地域分配IP 地址的方案，在 PE上每个 VPN的路由信息可以聚合成简单的一条或几条，这样整个公网上的路由条目较少。采用这样的方案无论对设备本身还是网络的维护管理都有较大的益处。首先，设备的负荷较小，可以保证长期稳定运行；其次，路由条目较少，维护人员可以方便的控制，并且每一个比较规整的网段对应一个固定的地域，一旦出现问题，对于缩小问题范围有很大的益处。对于网

22、络为集团用户所有的情况。一些规模比较大的集团用户，为了方便管理，将企业内部的多个业务划分开。对于这种客户，在网络汇聚层（一般位于地市一级的节点）以上应用MPLS，汇聚层以下应用传统的路由转发。针对这种情况， 比较好的 IP 地址规划就是在地市一级按照业务来划分IP ，首先将IP 地址根据业务进行划分，再对于某种业务在地市以下的节点再进行更细致的划分。通过这样的IP 地址规划，在接入层应用MPLS的时候，每个业务相关的路由信息可以聚合成简单的几条，甚至是一条，而且各业务之间路由信息没有交集。这样的路由信息在骨干层传播路由条目较少，局部的路由动荡不会引起骨干层的路由动荡，网络信息比较稳定，如果出现

23、问题可以迅速的定位到是哪个业务网络的问题。更大的优点还是表现在新业务的扩充上，只要每个新增加的业务IP 地址都依据这样的原则来规划， 那么与原有业务的IP网段可以是完全隔离的，不会对原有的路由信息产生任何影响，为网络的维护带来很大的方便。对于本次工程来说，需要新增的IP 地址是 PE/CE 的管理地址、 PE-PE互连地址、 PE-CE 互连地址。用途IP 地址段.PE/CE 的管理地址PE-PE 互连地址PE-CE互连地址 ( 计费 )PE-CE互连地址 (OA 网络 )PE-CE互连地址 (168 业务 )PE-CE互连地址 ( 网管 )172.168.253.0/24172.168.25

24、2.0/24172.168.251.0/24172.168.250.0/24172.168.249.0/24172.168.248.0/243.2.1 PE 的管理地址（ Loopback 地址）给各地市的 PE 路由器分配一个 Loopback 地址，该地址可作为 OSPF 的 Router ID ， 并 作 为 telnet 管 理 或 ping 测 试 的 目 的 地 址 。 整 网 分 配 172.168.253.0/24 的网段的作为各地市的 loopback 地址，未使用的保留。各地市 PE 设备的 Loopback地址分配如下：A 市 NE16 ：172.168.253.1A 市

25、 Cisco75： 172.168.253.2B 市：172.168.253.3C 市：172.168.253.4D 市：172.168.253.5E 市：172.168.253.6F 市：172.168.253.7G 市：172.168.253.8H 市：172.168.253.9I 市：172.168.253.103.2.2 S3526/S3026的管理地址省公司 S3526-1：172.168.253.31省公司 S3526-2：172.168.253.32省公司 S3526-3：172.168.253.33省公司 S3526-4：172.168.253.34省公司 S3526-5：17

26、2.168.253.35A 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.129/29.S3025-1： 172.168.253.130/29S3025-2： 172.168.253.131/29B 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.137/29S3025-1： 172.168.253.138/29S3025-2： 172.168.253.139/29C 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.145/29S3025-1： 172.168.253.146/29S3025-2：

27、 172.168.253.147/29D 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.153/29S3025-1： 172.168.253.154/29S3025-2： 172.168.253.155/29E 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.161/29S3025-1： 172.168.253.162/29S3025-2： 172.168.253.163/29F 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.169/29S3025-1： 172.168.253.170/29S3

28、025-2： 172.168.253.171/29G 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.177/29S3025-1： 172.168.253.178/29.S3025-2： 172.168.253.179/29H 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.185/29S3025-1： 172.168.253.181/29S3025-2： 172.168.253.182/29I 市： 管理 Vlan： 50NE16E 接口（网关）： 172.168.253.193/29S3025-1： 172.168.253.1

29、94/29S3025-2： 172.168.253.195/293.2.3 PE-PE 的互连地址A 市的 NE16和 Cisco75 作为 DCN网络的汇聚节点，各地市通过两条POS链路分别接入到 NE16和 Cisco 75 。各地市 PE间互连接口 IP 分配：A 市 NE16A 市 Cisco75172.168.252.253/30172.168.252.254/30A 市 NE16B 市172.168.252.1/30172.168.252.2/30A 市 Cisco75B 市172.168.252.5/30172.168.252.6/30A 市 NE16E 市172.168.252

30、.9/30172.168.252.10/30A 市 Cisco75E 市172.168.252.13/30172.168.252.14/30A 市 NE16C 市172.168.252.17/30172.168.252.18/30A 市 Cisco75C 市172.168.252.21/30172.168.252.22/30A 市 NE16F 市172.168.252.25/30172.168.252.26/30A 市 Cisco75F 市172.168.252.29/30172.168.252.30/30A 市 NE16G市172.168.252.33/30172.168.252.34/30

31、A 市 Cisco75G市172.168.252.37/30172.168.252.38/30A 市 NE16D 市172.168.252.41/30172.168.252.42/30A 市 Cisco75D 市172.168.252.45/30172.168.252.46/30A 市 NE16H 市172.168.252.49/30172.168.252.50/30A 市 Cisco75H 市172.168.252.53/30172.168.252.54/30.A 市 NE16I市172.168.252.57/30172.168.252.58/30A 市 Cisco75I市172.168.2

32、52.61/30172.168.252.62/303.2.4 PE-CE 的互连地址（计费）本次工程初期规划有四种VPN 业务： 168 、OA 、计费、网管，给每种 VPN业务分配一个C 网段，作为各地市相应业务的CE 设备与 PE 的互连接口地址，如果有其他的VPN 业务，则再划分新的IP 网段即可。本次工程有9 个节点，因此每种业务占用了本C 网段 192 个 IP 地址 ，其中，一个地市占用16 个 IP 地址。地址分配方案如下：省公司（ NE16）172.168.251.1/28（ PE侧地址）（ CISCO） 172.168.251.17/28A 市（ NE16）172.168.251.33/28（ CISCO）172.168.251.49/28B 市172.168.251.65/28E 市172.168.251.81/28C 市172.168.251.97/28F 市172.168.251.113/28G市172.168.251.129/28D 市172.168.251.145/28H 市172.168.251.161/28I 市172.168.251.177/283.2.5 PE-CE 的互连地址（ OA ）省公司(NE16)172.168.2