基于MPLS的二层VPN

network

基于MPLS的二层VPN技术
摘要：本文主要介绍了基于Draft Martini技术的二层MPLS VPN的技术特点、在现有网络中的实现方式以及将如何将QOS技术无缝融合到二层MPLS VPN中的技术手段。

关键词：MPLS VPN、IGP、LDP、Target LDP、Draft Martini、MPLS PE、VC－ID、802.1Q、802.1P、DSCP

一. 引言
截止到2004年12月，上海电信的三层MPLS VPN业务已经在如火如荼的开展中。目前绝大多数终端用户采用路由器或者三层交换机，通过使用静态路由的方式，将缺省网关指向电信端的PE设备，从而实现三层MPLS VPN的互通。在业务开展的过程中，用户需要通知电信侧该用户的路由和IP地址段，电信工程师需要配合用户协同进行调试。随着用户IT水平的逐渐提高以及处于安全性方面的考虑，有些用户不希望电信参与其中的路由规划，希望只是租用电信的透明链路。目前的DDN和FR由于采用模拟线的方式以及速率相对较低，资费较高。而如果采用数字2M专线，用户端则需要投资昂贵的G.703接口的路由器，许多用户一直在等待一种能够使用以太网接口的，成本比较低廉，速度较高的透明通道的业务。

目前的二层MPLS VPN就可以满足这些企业用户的需求。相对于三层MPLS VPN的技术来说，二层MPLS VPN具有技术实现上较为简单、对设备要求低、用户投资小、配置简单、故障排除方法简单等特点。我们完全有理由相信，二层MPLS VPN将来一定拥有非常良好的市场空间。

二. 基于RFC 2547bis的三层MPLS VPN技术回顾

基于RFC 2547bis的三层MPLS VPN目前已经在上海电信普遍使用。三层MPLS VPN具有可扩展性好、可靠性高、速率快、冗余性好等等优势。下面先来回顾一下三层MPLS VPN的基本工作过程。
图1 基于RFC2547bis MPLS VPN的实现方式



1. 在运行商的每一个路由器（无论是P路由器还是PE路由器）上都启动IGP通常是OSPF或者是IS－IS，经过动态路由协议计算后，在每一台路由器上都生成一张路由转发表（FIB）。
2. 在每一个路由器的全局和端口上运行LDP协议或者是RSVP协议来交互相邻路由器之间的标签的信息
3. 经过与周围LSR交换消息后，每一台LSR上都会在本地生成一张标签转发表LFIB。从此只要是MPLS数据流，便根据MPLS 的标记标签进行转发，不再查看IP路由表
4. 在运营商的边缘路由器PE上，通过静态路由或者是动态路由的方式来获取用户端的路由信息，使用Router Distinguisher的方式来扩展用户端的IP地址，使得用户端的路由信息在整个网络上全局唯一。
5. PE路由器之间通过运行MPIBGP的方式把一个VPN的信息通告给所有的PE路由器，用户端路由与MPLS 标签进行绑定，此时的标签称为VPN 标签，也就是内层标签。
6. PE路由器在通告路由信息时将一个特定的BGP属性Router Target通告给其他的PE路由器
7. 只有配置了导入相同Router Target策略的PE路由器才会导入自己的VPN路由信息
8. 经过PE路由器和P路由器之间的动态路由计算后，两台PE路由器之间便会形成一条标签转发路径LSP，将VPN的数据流从该LSP中进行转发。在转发的过程中使用外层的标签进行转发，全然不知内部数据的内容。
9. 等数据到达目的PE后弹出外层标签，在目的端PE上进行内层标签的查找，转发到IP的下一跳地址，从而实现了三层MPLS VPN的功能。

经过上述的数据转发过程不难看出，采用三层的MPLS VPN用户需要将自己内部VPN的IP地址告诉运营商，与电信运营商一起配合用户来进行配置和管理。如果有用户增加了网络的IP网段或者进行网络的整合时，需要通知运营商一起进行配合和改动。

三. 二层MPLS VPN技术介绍

目前在全世界范围内，主流的二层MPLS VPN技术有基于Draft Matini、Draft Kompella和VPLS技术。这三种技术各有自身的优势，每一种技术也被不同的设备供应商所支持和积极推进，目前发展较为成熟，支持厂家最广泛的就是基于Draft Matini的二层MPLS VPN。raft Matini的最大特点就是方便、简单、快捷。


要使用基于Draft Matini的二层MPLS VPN，在边缘路由器PE上除了和MPLS核心路由器P之间运行标准的LDP协议之外，边缘路由器PE之间还要运行一种要Target LDP的协议。Target LDP的协议是对原有的LDP协议的增强与扩展。与三层MPLS VPN中的MPiBGP作用相类似，在MPLS边缘路由器PE之间运行的Target LDP是用来通告对端PE路由器本地VPN信息以及接收对端PE路由器通告过来的对端的VPN信息。与三层MPLS VPN不同的是，二层VPN信息并不关注IP层的信息。二层VPN的信息可以是物理端口端口号、VLAN id、ATM PVC id等等信息，在边缘的PE路由器上将上述端口号、VLAN id、ATM PVC id等等信息都映射到VPN 标签中去，然后将这些映射方式通过Target LDP的方式通告给对端的PE。这样，两端的PE上就都拥有双方VPN标签绑定的信息了。

但是如果在一对PE之间有多个2层VPN的会话将会怎么样呢？数据流会互相混淆起来吗？当然不会了，设计者使用了一个VC－id的方法来区分每一个会话过程。在一对PE之间允许有多个VC－id，也就是有多个Target LDP的会话，每一个VC－id代表的会话进程都互不影响。这样就可以实现在一对MPLS PE上同时开通多个二层的MPLS VPN。举个例子来说，VC－id就好比一座桥梁，把两端PE的二层信息都互相进行了沟通，但同时也严格限制了两端的沟通条件，只有PE两端设置的VC－id一致才能进行双向的沟通。

经过PE路由器和P路由器之间的动态路由计算后，两台PE路由器之间便会形成一条标签转发路径LSP，将VPN的数据流从该LSP中进行转发。在转发的过程中P路由器使用外层的标签进行转发，全然不知内部数据的内容。等数据到达目的PE后弹出外层标签，在目的端PE上进行内层标签的查找，转发到各种端口中去，其中可以是一个物理端口，也可以是某一个端口的vlan或者是ATM PVC等等，从而实现了二层MPLS VPN的通信。




四. 二层MPLS VPN的实现方式

目前有越来越多的高端用户都拥有有多个分支节点和一个中心节点，而且他们拥有雄厚的IT力量，这些用户往往比较倾向于自行建设网络，完全由自己来掌控路由，不希望电信方看到自己的网络IP层面的结构。但是这些客户又特别喜爱以太网的易用性、高速性和价格优势，所以这些客户特别倾向于使用二层的MPLS VPN网络。
下面介绍一个用户是怎样使用二层MPLS VPN技术来组建自己的中心――分支结构的网络，并简要分析一下数据流的流向。
1． 用户分支节点A、B、C……………通过路由器方式接入电信端二层以太网交换机网络，二层交换机的入口侧加入电信端vlan标记后送入电信局端入口PE设备。
2． 在入口PE设备上通过Target LDP的方式与对端PE进行交互，形成一条LSP。
3． 二层MPLS VPN数据流通过MPLS LSP送到目的地（出口）PE，在出口PE上重写vlan tag后送到出口侧的二层交换网络，最终到达出口侧二层以太网交换机网络。
4． 在电信出口侧以太网交换机上与用户中心节点的互连的端口上设置成vlan trunk端口，将带有vlan tag的数据流送入用户中心节点。
5． 在用户的中心节点使用带802.1Q子端口封装的路由器或者是三层交换机终结分支节点送过来的数据，实现以太网方式的互连。

典型的采用二层MPLS VPN技术互连的分支――中心点结构

五. 二层MPLS VPN的QOS实现方式

二层MPLS VPN从实现目标上来说就是要在数据链路层实现透明的传输，给用户的感觉就好像是类似于DDN的一根高速 以太网专线 。虽然MPLS技术实现了控制、转发平面的分离，但是就其转发平面来说，依然是采用先进先出的争夺带宽的方式，在网络流量高峰时段对于高优先级的VPN业务无法得到相应的保障。于是我们需要引入QOS技术来保障高优先级的用户得到优先的服务。

在目前的IP QOS的机制中，有InterServ和DifferServ两种体系结构。两种体系结构各有优势和不足，但是在运行商级别的QOS中使用的最多，最具有可扩展性的是Differ Serv 的体系结构。该体系结构的核心思想就是将IP数据流在边缘接入层进行优先级标记，在核心层流量可能产生拥塞的地方进行优先级的队列调度，将高优先级的流量优先转发，从而保障了高等级用户的服务质量。

在二层MPLS VPN实现QOS的过程中，关注的对象是数据链路层的以太网帧（Frame），所以在进行标记的时候需要二层以太网交换机在进行vlan标记的同时，将802.1Q位中的802.1P位进行优先级标记，有条件的话（需要交换机支持）可以在标记802.1P位的同时标记IP DSCP位。802.1P位可以伴随着这个以太网帧一直到达最终的目的－入口端的PE设备。

在传输的过程中，一路经过的二层以太网设备都可以根据802.1P位的值进行优先级的调度工作，确保高优先级用户的数据。在到达入口端PE侧后，局端PE设备会根据802.1P值进行优先级的调度，优先送出高优先级的数据流。在PE设备的出口端，由于已经是MPLS网络了，所以需要将原来的802.1P的优先级映射到MPLS网络中（也可以通过DSCP来映射），使得MPLS的转发过程中能够正确识别出这个数据帧是标有高优先级的数据帧，能够对其优先进行处理。在MPLS的转发标签标签中，其中有一个3bit的MPLS EXP位标识该MPLS数据帧的优先级。在入口PE设备的出口端（去往MPLS网络的方向）将原来802.1P位中的参数根据自定义或者自动的方式映射到MPLS EXP位，然后送入MPLS网络，这样在MPLS核心网络中的P路由器都可以识别出哪些数据流是高等级客户的，哪些数据流是低等级客户的，从而给予不用的处理方式，实现了对用户的区分服务。

六. 结束语

随着中国电信的不断的深化改革，上海电信始终将 用户至上、用心服务 的理念贯穿在产品开发的过程中。二层MPLS VPN的应用不仅是三层MPLS VPN业务的一个补充，更是为用户提供了一个基于二层以太网的高速平台，使用户能够广泛地开展更多的应用和业务。对于电信内部来说，二层MPLS VPN的开展有利于明确电信端和用户端的维护界面，提高了双方的工作效率。

我们完全有理由相信，在不久的将来，二层MPLS VPN将会以其易用性、方便性、高效性、可扩展性和可管理性等优势，慢慢地释放出她惊人的潜能，成为上海电信的又一项拳头产品。

MPLS VPN相关术语

·MPLS （multi protocol label switching）

-----多协议标签交换，是CISCO提出的结合ATM和IP特性的技术。

·PE（provider edge router）

-----运营商网络的一部分，是运营商网络和用户网络的接口。

·CE（customer edge router）

-----用户网络的一部分，是用户网络和运营商网络的接口。

·IP router

-----运营商的核心路由器，对VPN一无所知。

·LSR（label switching router）

-----能够转发带有标签的包的路由器。分为边界LSR(PE)和核心LSR（P）。

·LDP（label distribution protocol）

-----标签分发协议，用于标签信息在LSR之间的交换。

·LSP（label switching path）

-----包由入口LSR到出口LSR所经过的路径

network

普及与重温

network

在Cisco 7200、7400和7500路由器系列上提供MPLS任意传输

简介
目前，许多电信服务供应商都通过基于电路的基础设施向客户提供第2层传输服务，以便建立第2层虚拟专用网（VPN）。这些服务借助点到点数据链路层连接在ATM或帧中继虚拟电路上创建。为传输IP流量，这些电信服务供应商的客户都希望建立自己的第3层网络。但是，为第2层和第3层流量建立两个独立的网络不但维护成本高，还难于管理。
MPLS任意传输（AToM）是Cisco为通过IP或多协议标签交换（MPLS）骨干网传输第2层流量而开发的解决方案。AToM允许IP/MPLS骨干网同时提供第2层和第3层服务，因而能扩展IP/MPLS的用途。AToM产品集能满足多种第2层帧的要求，包括在Cisco 7200、7400和7500路由器系列上提供的以太网、帧中继、ATM、点到点协议（PPP）和高级数据链路控制（HDLC），因而能满足不同客户对性能、功能和带宽的要求。AToM的优点
为Cisco 7200、7400和7500系列设计的AToM解决方案能够为客户提供许多优势：

• 重新将借助Cisco 7200、7400和7500路由器建立的MPLS网络基础设施作为MPLS供应商边缘设备，提供新的第2层VPN服务，从而扩展原有/新部署的MPLS网络。
• 提高基于ATM的核心网络的扩展能力。MPLS AToM可以将任何一对供应商边缘路由器与一条标签交换路径（LSP）而非多条虚拟电路连接在一起。这条LSP可以通过标签堆叠的方式作为许多仿真虚拟电路的载体，从而提高扩展能力。
• 可以借助位于网络边缘的Cisco 7200、7400和7500路由器从传统的第2层VPN移植到基于MPLS的新型第2/3层VPN网络。
• 借助Cisco 7200、7400和7500路由器的相同组合为第2层和第3层VPN建立统一网络，降低基础设施和维护成本。
• 与服务质量（QoS）和流量设计结合在一起，建立能产生收入的新服务，例如无需降低MPLS网络的可扩展性和灵活性就能模拟第2层服务（ATM、帧中继）的虚拟租用线路。

AToM在Cisco 7200、Cisco 7400和7500上的工作方式
Cisco 7200、Cisco 7400和7500 AToM在各个平台上的工作方式类似（见图1）。进入的第2层包被封装在MPLS帧中，并借助使用基于标签分布协议（LDP）的信令机制发出信号的第2层虚拟电路通过MPLS群传输。第2层虚拟电路使用现有的MPLS LSP为通过MPLS核心的第2层流量建立通道。通俗地说，MPLS核心将作为第2层设备，例如以太网交换机或帧中继交换机等。

图1AToM在基于Cisco 7200、Cisco 7400和7500的MPLS核心上的工作方式

Cisco AToM按照互联网标准实施，以便以点到点（第1阶段--现已上市）和多点（第2阶段--未来版本）方式在两台供应商边缘设备间传输第2层流量，设备一般指Cisco 7200、7500或7400系列路由器。
在支持即将通过MPLS群传输的第2层帧的过程中，Cisco 7200、7400和7500系列路由器应用多种规则，以便在传输客户的第2层帧时，好象MPLS群只不过是第2层设备一样。这个过程需要从向内第2层流量（在入口供应商边缘）到向外第2层流量（出口供应商边缘）传输某些控制信息。这种信息交换方式按照各种互联网草案中规定的规则进行，欲知详情，请阅读后面的"为Cisco 7200、7400和7500系列开发的AToM的标准遵守情况"。
因此，MPLS群将作为仿真的第2层设备（见图1）。基于Cisco 7200、7400和7500的AToM服务则类似于客户非常熟悉的虚拟租用线路。支持的传输类型
借助为Cisco 7200、7400和7500开发的AToM，能够在MPLS骨干网上传输以下类型的第2层帧和信元：

• 以太网VLAN
• 帧中继
• ATM第5适应层（AAL5）
• ATM信元中继（单信元）
• PPP
• HDLC

在Cisco 7200、7400和7500系列上开发AToM的第一阶段支持"同类"连接，因而要求在网络的各端采用相同的传输类型。未来，AToM还将进一步增强，以便提供可以在每端连接不同传输类型的互连功能，如将一端的帧中继与另一端的以太网虚拟LAN（VLAN）连接在一起。
如果想了解Cisco 7200、7400和7500上为这种服务支持的端口适配器的详细情况，请访问www.cisco.com。
为Cisco 7200、7400和7500系列提供的AToM的标准遵守情况
AToM技术基于以下互联网工程任务小组（IETF）文档草案：
通过MPLS传输第2层帧：
http://search.ietf.org/internet-drafts/draft-martini-l2circuit-trans-mpls-xx.txt

通过MPLS传输第2层帧的封装方法：
http://search.ietf.org/internet-drafts/draft-martini-l2circuit-encap-mpls-xx.txt

第2层VPN的体系结构：
http://search.ietf.org/internet-drafts/draft-ietf-ppvpn-l2vpn-xx.txt
为Cisco 7200、7400和7500系列开发的AToM技术一般都遵守以下条款。
MPLS上的任意传输（AToM）--通过MPLS骨干网传输多种帧和信元的思科产品系列的名称。
标签交换路径（LSP）--从一台MPLS路由器到另一台MPLS路由器的路径。MPLS路由器之间的包通过LSP传输。LSP只在一个方向上传输。为提供双向流量，可以在两个方向上配置LSP。LSP可以根据常用路由机制或者通过配置动态建立。
加标签--指在包上加标签。供应商边缘路由器不要求加标签。在通过MPLS进行的第2层传输中，由路由器接收包，并用MPLS封装方法封装。
取消标签--指从包上取消标签。供应商边缘路由器执行这个功能。在通过MPLS进行的第2层传输中，由路由器接收MPLS封装的包，去除最后的标签，然后将第2层协议数据单元（PDU）送出相应的接口。
标签分布协议（LDP）--指MPLS型路由器之间的标准协议，作用是协商用于发送包的标签（地址）。
虚拟电路--可以保证在两种网络设备之间提供可靠通信的逻辑连接。虚拟电路表示网络上一台设备到另一台设备之间存在着逻辑双向路径。[table]
[tr][td]网站地图

• 中国
  • 产品与服务
    • 路由
      • 思科路由产品
        • 思科 7200 系列路由器
          • 在Cisco 7200、7400和7500路由器系列上提供MPLS任意传输

[/td][td][table]
[tr][td][table=98%]
[tr][td]Downloads

• 在Cisco 7200、7400和7500路由器系列上提供MPLS任意传输(PDF - 291KB)

简介
目前，许多电信服务供应商都通过基于电路的基础设施向客户提供第2层传输服务，以便建立第2层虚拟专用网（VPN）。这些服务借助点到点数据链路层连接在ATM或帧中继虚拟电路上创建。为传输IP流量，这些电信服务供应商的客户都希望建立自己的第3层网络。但是，为第2层和第3层流量建立两个独立的网络不但维护成本高，还难于管理。
MPLS任意传输（AToM）是Cisco为通过IP或多协议标签交换（MPLS）骨干网传输第2层流量而开发的解决方案。AToM允许IP/MPLS骨干网同时提供第2层和第3层服务，因而能扩展IP/MPLS的用途。AToM产品集能满足多种第2层帧的要求，包括在Cisco 7200、7400和7500路由器系列上提供的以太网、帧中继、ATM、点到点协议（PPP）和高级数据链路控制（HDLC），因而能满足不同客户对性能、功能和带宽的要求。AToM的优点
为Cisco 7200、7400和7500系列设计的AToM解决方案能够为客户提供许多优势：

• 重新将借助Cisco 7200、7400和7500路由器建立的MPLS网络基础设施作为MPLS供应商边缘设备，提供新的第2层VPN服务，从而扩展原有/新部署的MPLS网络。
• 提高基于ATM的核心网络的扩展能力。MPLS AToM可以将任何一对供应商边缘路由器与一条标签交换路径（LSP）而非多条虚拟电路连接在一起。这条LSP可以通过标签堆叠的方式作为许多仿真虚拟电路的载体，从而提高扩展能力。
• 可以借助位于网络边缘的Cisco 7200、7400和7500路由器从传统的第2层VPN移植到基于MPLS的新型第2/3层VPN网络。
• 借助Cisco 7200、7400和7500路由器的相同组合为第2层和第3层VPN建立统一网络，降低基础设施和维护成本。
• 与服务质量（QoS）和流量设计结合在一起，建立能产生收入的新服务，例如无需降低MPLS网络的可扩展性和灵活性就能模拟第2层服务（ATM、帧中继）的虚拟租用线路。

AToM在Cisco 7200、Cisco 7400和7500上的工作方式
Cisco 7200、Cisco 7400和7500 AToM在各个平台上的工作方式类似（见图1）。进入的第2层包被封装在MPLS帧中，并借助使用基于标签分布协议（LDP）的信令机制发出信号的第2层虚拟电路通过MPLS群传输。第2层虚拟电路使用现有的MPLS LSP为通过MPLS核心的第2层流量建立通道。通俗地说，MPLS核心将作为第2层设备，例如以太网交换机或帧中继交换机等。

图1AToM在基于Cisco 7200、Cisco 7400和7500的MPLS核心上的工作方式

Cisco AToM按照互联网标准实施，以便以点到点（第1阶段--现已上市）和多点（第2阶段--未来版本）方式在两台供应商边缘设备间传输第2层流量，设备一般指Cisco 7200、7500或7400系列路由器。
在支持即将通过MPLS群传输的第2层帧的过程中，Cisco 7200、7400和7500系列路由器应用多种规则，以便在传输客户的第2层帧时，好象MPLS群只不过是第2层设备一样。这个过程需要从向内第2层流量（在入口供应商边缘）到向外第2层流量（出口供应商边缘）传输某些控制信息。这种信息交换方式按照各种互联网草案中规定的规则进行，欲知详情，请阅读后面的"为Cisco 7200、7400和7500系列开发的AToM的标准遵守情况"。
因此，MPLS群将作为仿真的第2层设备（见图1）。基于Cisco 7200、7400和7500的AToM服务则类似于客户非常熟悉的虚拟租用线路。支持的传输类型
借助为Cisco 7200、7400和7500开发的AToM，能够在MPLS骨干网上传输以下类型的第2层帧和信元：

• 以太网VLAN
• 帧中继
• ATM第5适应层（AAL5）
• ATM信元中继（单信元）
• PPP
• HDLC

在Cisco 7200、7400和7500系列上开发AToM的第一阶段支持"同类"连接，因而要求在网络的各端采用相同的传输类型。未来，AToM还将进一步增强，以便提供可以在每端连接不同传输类型的互连功能，如将一端的帧中继与另一端的以太网虚拟LAN（VLAN）连接在一起。
如果想了解Cisco 7200、7400和7500上为这种服务支持的端口适配器的详细情况，请访问www.cisco.com。
为Cisco 7200、7400和7500系列提供的AToM的标准遵守情况
AToM技术基于以下互联网工程任务小组（IETF）文档草案：
通过MPLS传输第2层帧：
http://search.ietf.org/internet-drafts/draft-martini-l2circuit-trans-mpls-xx.txt

通过MPLS传输第2层帧的封装方法：
http://search.ietf.org/internet-drafts/draft-martini-l2circuit-encap-mpls-xx.txt

第2层VPN的体系结构：
http://search.ietf.org/internet-drafts/draft-ietf-ppvpn-l2vpn-xx.txt
为Cisco 7200、7400和7500系列开发的AToM技术一般都遵守以下条款。
MPLS上的任意传输（AToM）--通过MPLS骨干网传输多种帧和信元的思科产品系列的名称。
标签交换路径（LSP）--从一台MPLS路由器到另一台MPLS路由器的路径。MPLS路由器之间的包通过LSP传输。LSP只在一个方向上传输。为提供双向流量，可以在两个方向上配置LSP。LSP可以根据常用路由机制或者通过配置动态建立。
加标签--指在包上加标签。供应商边缘路由器不要求加标签。在通过MPLS进行的第2层传输中，由路由器接收包，并用MPLS封装方法封装。
取消标签--指从包上取消标签。供应