MPLS_VPN_原理(联通内部培训胶片)

单击此处编辑母版标题样式,中国联合通信有限公司 山东分公司 培训中心,.,Page,*,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,China,unicom,Page,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright 2006 Huawei Technologies Co., Ltd. All rights reserved.,Page,*,谢谢,单击此处编辑母版标题样式,HUAWEI TECHNOLOGIES CO., LTD.,Page,*,All rights reserved,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,谢谢,山东联通培训中心,单击此处编辑母版标题样式,HUAWEI TECHNOLOGIES CO., LTD.,Page,*,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,HUAWEI Confidential,谢谢,谢谢,中国联合通信有限公司 山东分公司 培训中心,单击此处编辑母版标题样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,Copyright 2006 Huawei Technologies Co., Ltd. All rights reserved.,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,HUAWEI TECHNOLOGIES CO., LTD.,All rights reserved,Internal,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,HUAWEI TECHNOLOGIES CO., LTD.,HUAWEI Confidential,Security Level:,单击此处编辑母版标题样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,MPLS VPN,原理,Page,2,课程内容,VPN,定义、分类,MPLS VPN,工作原理,Page,3,VPN,背景,总公司,租用专线,我们有很多分公司，如果用,租用专线,的方式把他们和总公司连起来，需要花很多钱,想节约成本的话，可以用,VPN,来连接,分公司,分公司,分公司,Page,4,VPN,简介,IP VPN (Virtual Private Network,，虚拟专用网,),就是利用开放的公众,IP/MPLS,网络建立,专用数据传输通道,，将远程的分支机构、移动办公人员等连接起来。,IP/MPLS,网,中心站点,分支机构,移动办公人员,Page,5,隧道机制,IP VPN,可以理解为：通过隧道技术在公众,IP/MPLS,网络上仿真一条点到点的专线 。,隧道是利用一种协议来传输另外一种协议的技术，共涉及三种协议，包括：乘客协议、隧道协议和承载协议,。,被封装的原始,IP,包,新增加的,IP,头,IPSec,头,乘客协议,隧道协,议,承载协,议,原始,IP,包,经过,IPSec,封装后,Page,6,隧道带来的好处,隧道保证了,VPN,中分组的封装方式及使用的地址与承载网络的封装方式及使用地址无关,Internet,被封装的原始,IP,包,新增加的,IP,头,IPSec,头,私网地址,公网地址,中心站点,分支机构,Internet,根据这个地址路由,可以使用私网地址，感觉双方是用专用通道连接起来的，而不是,Internet,隧道,Page,7,按隧道类型对,VPN,分类,隧道协议如下：,第二层隧道协议，如,L2TP,第三层隧道协议，如,IPSec,介于第二层和第三层之间的隧道协议，如,MPLS VPN,Page,8,L2TP,L2TP,封装的乘客协议是位于第二层的,PPP,协议。,原始数据包,新增加的,IP,头,L2TP,头,可以是,IP,、,IPX,和,AppleTalk,PPP,封装,原始数据包,PPP,头,L2TP,封装,原始数据包,PPP,头,可以是,IP,、,ATM,和帧中继,L2TP,没有对数据进行加密。,Page,9,L2TP,的典型应用,-VPDN,L2TP,连接,PPP,连接,用户发起,PPP,连接到接入服务器,接入服务器封装用户的,PPP,会话到,L2TP,隧道，,L2TP,隧道穿过公共,IP,网络，终止于电信,VPDN,机房的,LNS,用户的,PPP session,经企业内部的认证服务器认证通过后即可访问企业内部网络资源,Page,10,IPSec,IPSec,只能工作在,IP,层，要求乘客协议和承载协议都是,IP,协议,被封装的原始,IP,包,新增加的,IP,头,IPSec,头,必须是,IP,协,议,必须是,IP,协,议,IPSec,可以对被封装的数据包进行加密和摘要等，以进一步提高数据传输的安全性,Page,11,MPLS VPN,的基本工作模式,在入口边缘路由器为每个包加上,MPLS,标签，核心路由器根据标签值进行转发，出口边缘路由器再去掉标签，恢复原来的,IP,包 。,MPLS,网,P1,P2,PE1,PE2,CE1,CE2,10.1.1.1,MPLS,标签,10.1.1.1,10.1.1.1,Page,12,MPLS VPN,的特点,MPLS,标签位于二层和三层之间,三层包头,MPLS,标签,二层包头,二层包头,三层包头,MPLS,封装,Page,13,三种,VPN,的比较,L2TP,IPSec,MPLS VPN,隧道协议类型,第二层,第三层,第二层和第三层之间,是否支持数据加密,不支持,支持,不支持,对设备的要求,只要求边缘设备支持,L2TP,只要求边缘设备支持,IPSec,要求边缘设备和核心设备都支持,MPLS,Page,14,课程内容,VPN,定义、分类,MPLS VPN,工作原理,Page,15,VPN,中的角色,CE,CE,CE,CE,PE,PE,P,P,运营商网络,用户网络,用户网络,CE (,Custom Edge,Router),，,用户边缘路由器,，直接与运营商网络相连,PE (Provider,Edge,Router),，,运营商边缘路由器,，与,CE,相连，主要负责,VPN,业务的接入。,P (Provider Router),：,运营商核心,路由器，主要完成路由和快速转发功能。,Page,16,BGP/MPLS VPN,要达到的目标,CE,CE,CE,CE,PE,PE,P,P,隧道在,PE,与,PE,之间建立，用户不需要自己维护,VPN,把,VPN,隧道的部署及路由发布变为动态实现,VPN_A,VPN_A,VPN_B,VPN_B,10.1.0.0,10.1.0.0,10.3.0.0,10.3.0.0,VPN tunnel,Page,17,要解决的主要问题,CE,CE,CE,CE,PE,PE,P,P,提供一种,动态建立的隧道,技术,解决不同VPN共享,相同地址空间,的问题,VPN_A,VPN_A,VPN_B,VPN_B,10.1.0.0,10.1.0.0,10.3.0.0,10.3.0.0,MPLS,BGP,VPN tunnel,Page,18,动态隧道,-MPLS,Page,19,MPLS,与动态隧道,MPLS,（,MultiProtocol label Switch,，多协议标签交换）是,根据标签对数据包进行转发,，因此在三层数据包中可以使用私有地址，从而形成了一种天然的隧道。,MPLS,标签的分发可以通过,LDP,等协议动态完成，所以,MPLS,能够提供动态的隧道。,三层包头,MPLS,标签,二层包头,Page,20,MPLS,包头结构,MPLS,包头通常有,32Bit:,20Bit,用作标签（,Label,）,3,个,Bit,的,EXP,协议中没有明确，通常用作,COS,1,个,Bit的S,用于标识是否是栈底,，表明MPLS的标签可以嵌套。,理论上，标记栈可以无限嵌套，从而提供无限的业务支持能力。,8,个,Bit,的,TTL,2,层头部,MPLS,头部,IP,头部,数据,标签,EXP,S,TTL,32Bit,0,20,23,24,32,Page,21,MPLS,标签的生成,1,R1,R2,R3,R4,172.16.1/24,路由器,发现有直连路由时,就会向外发送标签,172.16.1/24,Label 20,In 20,Page,22,MPLS,标签的生成,2,R1,R2,R3,R4,172.16.1/24,路由器发现自己有直连路由时就会向外发送标签,收到下游,到某条路由的标签,并且该路由生效（也就是说，在本地已经存在该条路由，并且路由的下一跳和标签的下一跳相同）时会发送标签。,172.16.1/24,Label 20,In 20,172.16.1/24,In 20,out 20,172.16.1/24,In 30,out 20,Label 30,Label 40,Label 50,172.16.1/24,out 30,Page,23,MPLS,标签生成的要点,R1,R2,R3,R4,172.16.1/24,运行,MPLS,的路由器中必须同时运行普通路由协议,通过标签形成的路经，与查找路由表形成的路径是相同的,In,标签是由本地路由器发给其他路由器的，,Out,标签是由其他路由器发给自己的。,172.16.1/24,Label 20,In 20,172.16.1/24,In 20,out 20,172.16.1/24,In 30,out 20,Label 30,Label 40,Label 50,172.16.1/24,out 30,Page,24,MPLS,数据包转发,R1,R2,R3,R4,172.16.1/24,172.16.1/24,In 20,172.16.1/24,In 30,out 20,172.16.1/24,out 30,172.16.1.2,1,30,2,172.16.1.2,30,3,172.16.1.2,20,4,172.16.1.2,20,5,172.16.1.2,6,172.16.1.2,Page,25,MPLS,的优化,1,R1,R2,R3,R4,172.16.1/24,172.16.1/24,In 20,172.16.1/24,In 30,out 20,172.16.1/24,out 30,172.16.1.2,1,30,2,172.16.1.2,30,3,172.16.1.2,20,4,172.16.1.2,20,5,172.16.1.2,6,172.16.1.2,最后一跳路由器收到数据包后，并不需要进行标签转发，所做的只是去掉标签，然后送交,IP,层。,最好在倒数第二跳路由器就去掉标签，直接把,IP,报文发送给最后一跳路由器。,问题：路由器怎么知道自己是倒数第二跳？,Page,26,MPLS,的优化,2,R1,R2,R3,R4,172.16.1/24,172.16.1/24,In 3,172.16.1/24,In 30,out 3,172.16.1/24,out 30,172.16.1.2,1,30,2,172.16.1.2,30,3,172.16.1.2,4,172.16.1.2,5,172.16.1.2,最后一跳路由器向倒数第二跳分配一个特殊的标签,3,。,路由器查看标签转发表，如果发现,out,标签是,3,，就认为自己是倒数第二跳路由器。,标签分配方式,（优化前）,标签分配方式,（优化后）,转发方式,(,优化前,),转发方式,(,优化后,),倒数第一跳,随机分配,分配特定的标签,3,标签弹出，,IP,路由转发,IP,路由转发,倒数第二跳,随机分配,随机分配,标签交换,标签弹出,Page,27,地址冲突,-BGP,Page,28,地址冲突的细分,CE,CE,CE,CE,PE,PE,P,P,本地路由冲突问题，即在同一台PE上,如何区分不同VPN的相同路由,。,（,PE,发时）,路由在网络中的传播问题，即在,PE,上接收到,来自不同,VPN,的两条相同路由,时，如何进行辨别（,PE,收时）,数据包的转发问题，即使成功解决了路由表的冲突，但在,PE,接收到一个,IP,数据包时，怎么知道该发给那个,VPN,？因为,IP,数据包头中唯一可用的信息就是目的地址，而很多,VPN,中都可能存在这个地址。,VPN_A,VPN_A,VPN_B,VPN_B,10.1.0.0,10.1.0.0,10.3.0.0,10.3.0.0,Page,29,解决本地路由冲突的思路,CE,CE,PE,在PE上同时维护多张相互独立路由表,一张全局路由表（公网路由表）,为每个,VPN,建立一个路由表,由于每个,VPN,使用自己独立的路由表，因此可以有效地解决本地路由冲突。,VPN_A,VPN_B,10.1.0.0,10.1.0.0,Global Routing Table,VRF for VPN-A,VRF for VPN-B,VPN Routing Table,IGP &/or BGP,Page,30,VRF,VRF(VPN Routing & Forwarding Instance,，,VPN路由转发实例,),可以看作,虚拟的路由器,，该虚拟路由器包括以下元素：,一张独立的路由表，从而包括了独立的地址空间；,一组归属于这个,VRF,的路由器接口的集合；,一组只用于本,VRF,的路由协议,。,问题：,VRF,实现了不同,VPN,之间路由的隔离,，这并不够，如何实现,VRF,之间的路由发布和交互呢？,Page,31,RT,（,Route target,）,PE2,PE1,Vrf1,：,export red,import red,Vrf2,：,export yellow,import yellow,Vrf3,：,export red,import red,Vrf4,：,export yellow,import yellow,VPN-A,VPN-B,RT,的本质是每个,VRF,表达自己的路由取舍及喜好的方式 ，分为两部分：,export target,，表示发出路由的属性,import target,，表示愿意接收什么路由,Page,32,RT,的灵活应用,每个,VRF,中都可以配置多个,export target,和,import target,属性，接收时采用“,或,”操作，从而实现灵活的,VPN,访问控制,Page,33,问题：如何在,PE,之间传递各,VRF,中的路由以及相应的,RT,？,BGP,的引入,解决办法：使用,BGP,路由协议,Page,34,BGP,简介,AS100,AS200,AS300,BGP是外部路由协议，用在自治系统AS之间传递路由信息，属于增强型的距离矢量路由协议。,BGP邻居分为两类：,IBGP,（同一个,AS,内的邻居）和,EBGP,（不同,AS,间的邻居）,BGP邻居之间通过TCP协议相连，因此,可以在不直接相连的路由器间交换路由信息,Page,35,用,BGP,传递,VPN,路由的好处,CE,CE,CE,CE,PE,PE,P,P,VPN路由信息可以直接在PE之间传递，所以P路由器中不会包含任何VPN路由信息。,VPN_A,VPN_A,VPN_B,VPN_B,10.1.0.0,10.1.0.0,10.3.0.0,10.3.0.0,BGP,连接,Page,36,BGP,报文的种类,Open:,用于建立,BGP,邻居关系，是,BGP,路由器之间的初始握手信息,Keepalive:,定期检测,BGP,邻居是否存活,Update:,发送路由更新信息,Notification:,检测到差错时发送该报文,Page,37,Update,报文的格式,不可达路由长度,(2byte),不可达路由,withdrawn routes(,变长,),路由属性长度,(2byte),路由属性,(,变长,),可达路由信息,NLRI (,变长,),不可达路由中不携带路由属性，可达路由同时携带路由属性,一个update报文中可以携带多条不可达路由信息，可携带多条具有相同路由属性的可达路由信息,Page,38,常见的路由属性,Origin,As-path,Next-hop,Community:,团体属性，可用来对入路由和出路由进行过滤。,Community:20:101,Community:20:102,只接收,Community,为,20:102,的路由,R1,R2,R3,Page,39,RT,的表示,可以用扩展的,community,来表示,RT,，,type,字段为,0x0002,或者,0x0102,时是,RT,。,Type,（,0x0002,）,AS#,（,16bit,）,Value,（,32bit,）,Type,（,0x0102,）,IP address,（,32bit,）,Value,（,16bit,）,可见,RT,有两种表示方法：,AS:nn,和,ipaddress:nn,。通常建议使用,AS:nn,表示法,Page,40,路由传播的冲突问题,CE,CE,CE,CE,PE,PE,RT,属于,BGP,的路由属性,，而在,BGP,的不可达路由信息中不包含路由属性。所以在收到,来自不同,vpn,、具有相同网段的不可达路由信息时,，路由器将无法根据,RT,来分辨。,VPN_A,VPN_A,VPN_B,VPN_B,10.1.0.0,10.1.0.0,10.3.0.0,10.3.0.0,10.3.0.0/16,10.3.0.0/16,问题：,RT,能否解决路由传播的冲突问题？,Page,41,RD (,Route Distinguisher,),每个,VRF,中分别配置一个标识，称为,RD,。在,PE,发布,VRF,中的路由信息时，会在地址前面加上,RD,，以便接收方,PE,区分来自不同,VRF,的路由信息。,RD,的长度为,8,个字节，格式与,RT,相似。,在,IPv4,地址前加上,RD,之后，就称为,VPN-IPv4,地址族,。,Page,42,RD,的本质,通常建议为一个,VPN,中的,VRF,都配置相同的,RD,，不同的,VPN,配置不同的,RD,。事实上分配,RD,只需遵循以下原则,:,保证存在,相同地址的两个,VRF,的,RD,不同,。,RD,并不会影响不同,VRF,之间的路由选择以及,VPN,的形成，这些事情由,RT,完成。,PE,与,CE,之间传递的是,IPv4,路由,，,PE,与,PE,之间传递的是,VPN-IPv4,路由,。,Page,43,数据包转发的冲突问题,解决本地路由和路由传播的冲突问题后，如果一个,PE,的两个,VRF,中同时存在,10.1.0.0/16,的路由，当接收到一个目的地址为,10.1.0.1,的数据包时，,PE,如何知道该把这个数据包发给与哪个,VRF,相连的,CE,？,既然路由发布时已经携带了,RD,，能否在发送数据包时也在地址前面加上,RD,呢？,理论上可以，但是,RD,太长，会导致转发效率的降低，所以只需要一个短小、定长的标记即可。由于公网的隧道已经由,MPLS,来提供，而且,MPLS,支持多层标签的嵌套，因此这个标记可定义成,MPLS,标签的格式。,Page,44,对,BGP,的要求,要求支持,VPN-IPv4,路由，而原有的,BGP,只支持,IPv4,路由。,要求路由信息中包含私网,MPLS,标签。,Page,45,BGP,的多协议扩展,-MP-BGP,BGP,增加了两个扩展属性,MP_REACH_NLRI,和,MP_UNREACH_NLRI,。,使用了这两种属性的,BGP,称为,MP-BGP,Address-family:,指明使用了,VPN-IPV4,地址族,Next-hop:,路由的下一跳地址,Label:24bit,，与,MPLS,标签一样，但没有,TTL,字段,Prefix:64bit,的,RD,IP,前缀,MP_REACH_NLRI,的结构,Page,46,BGP/MPLS VPN,的关键流程,Page,47,CE,与,PE,之间交换路由,CE,CE,PE,PE,维护独立的路由表，包括公网和,VRF,路由表：,公网路由表：包含,全部,PE,和,P,路由器之间的路由,，由骨干网,IGP,产生,VRF,路由表：包含,本,VPN,内的路由信息,。,PE,和,CE,通过标准的,EBGP,、,OSPF,、,RIP,或者静态路由交换,VRF,路由信息,VPN_A,VPN_B,10.1.0.0,10.1.0.0,PE,私网路由,公网路由,Page,48,VRF,路由注入,MP-iBGP,CE,向,PE,发送的是标准,IPv4,路由，,PE,接收到路由后会进行以下操作：,加上,RD,（,RD,为手工配置,），变为一条,VPN-IPv4,路由,更改下一跳属性为本,PE,的,Loopback,地址,加上私网标签（随机自动生成，无需配置）,加上,RT,属性（,RT,需手工配置,）,发给所有的,PE,邻居,MP-iBGP,BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=CE-1,VPN-v4 update:RD:1:27:149.27.2.0/24, Next-hop=PE-1RT=VPN-A, Label=(28),CE1,CE2,PE1,PE2,149.27.2.0/24,Page,49,MP-iBGP,路由注入,VRF,PE,接收到,MP-iBGP,路由后，首先剥离,RD,成为,IPv4,路由，然后根据本地,VRF,的,import RT,属性把路由加入到相应的,VRF,中，私网标签保留，留做转发时使用。,通过本,VRF,的路由协议引入上述路由并转发给相应的,CE,。,MP-iBGP,BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=CE-1,VPN-v4 update:RD:1:27:149.27.2.0/24, Next-hop=PE-1RT=VPN-A, Label=(28),CE1,CE2,PE1,PE2,149.27.2.0/24,BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=PE-2,Page,50,分配,PE,之间的公网标签,PE,和,P,路由器通过骨干网,IGP,学习到,BGP,邻居下一跳的地址,通过运行,LDP,协议，分配标签，建立标签转发通道,标签栈用于报文转发，,外层标签用来指示如何到达,BGP,下一跳 ，内层标签表示报文属于哪个,VRF,MPLS,节点转发是基于外层标签，而不管内层标签是多少,P router,In Label FEC Out Label,- 197.26.15.1/32 -,In Label FEC Out Label,41,197.26.15.1/32,3,In Label FEC Out Label,-,197.26.15.1/32,41,Use label 3 for destination 197.26.15.1/32,Use label 41 for destination 197.26.15.1/32,VPN-v4 update:RD:1:27:149.27.2.0/24, NH=197.26.15.1 RT=VPN-A, Label=(28),PE-1,CE1,149.27.2.0/24,CE2,Page,51,数据包转发从,CE,到入口,PE,CE,将报文发给与其相连的,VRF,接口。,PE,在本,VRF,的路由表中进行查找，得到该路由的公网下一跳地址（即对端,PE,的,Loopback,地址）和私网标签。,将该报文,封装一层私网标签,后，在公网的标签转发表中查找下一跳地址，再,封装一层公网标签,，然后交给,MPLS,转发。,P router,In Label FEC Out Label,-,197.26.15.1/32,41,PE-1,CE1,149.27.2.0/24,CE2,149.27.2.27,VPN-A VRF149.27.2.0/24, NH=197.26.15.1Label=(28),28,41,149.27.2.27,Page,52,入口,PE-,出口,PE- CE,该报文在公网上沿着,LSP,转发，并根据途径的每一台设备的标签转发表进行标签交换。,在倒数第二跳处，将外层的公网标签弹出，交给目的,PE,。,PE,根据内层的私网标签判断该报文的出接口和下一跳。,去掉私网标签后，请报文转发给相应的,VRF,中的,CE,。,P router,PE-1,CE1,149.27.2.0/24,CE2,149.27.2.27,VPN-A VRF149.27.2.0/24, NH=197.26.15.1Label=(28),28,41,149.27.2.27,28,149.27.2.27,In Label FEC Out Label,41,197.26.15.1/32,3,In Label FEC Out Label,28(V),149.27.2.0/24,-,VPN-A VRF149.27.2.0/24, NH=CE-1,149.27.2.27,Page,53,控制流程私网路由及标签传递,MPLS,PE,A,P,B,PE,C,MP-BGP IBGP Peer,CE A1,CE B1,CE A2,CE B2,VPN-v4 update:RD:1:27:149.27.2.0/24, Next-hop=PE-CRT=VPN-A, Label=(28),VPN-v4 update:RD:1:27:149.27.2.0/24, Next-hop=PE-CRT=VPN-A, Label=(28),BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=PE-A,BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=CE-A2,149.27.2.0/24,IN 28,NH: A2,149.27.2.0/24,Out 28,NH: PEC,Page,54,控制流程公网,LSP,的建立,MPLS,PE,A,P,B,PE,C,20,1.1.1.1/32,1.1.1.1/32,1.1.1.1/32,IGP,IGP,PE C,的,loopback,地址为,1.1.1.1,In 20,out 3,3,out 20,149.27.2.0/24,Out 28,NH: PEC,149.27.2.0/24,IN 28,NH: A2,为何在,PE C,上没有公网路由的,IN,标签和,OUT,标签呢？,Page,55,数据流程私网数据包的转发,MPLS,PE,A,P,B,PE,C,CE A1,CE B1,CE A2,CE B2,Ping 149.27.2.1,20,28,3,1.1.1.1/32,out 20,1.1.1.1/32,In 20,out 3,1.1.1.1/32,149.27.2.0/24,IN 28,NH: A2,149.27.2.0/24,Out 28,NH: PEC,BGP, OSPF, RIPv2 update for 149.27.2.0/24,NH=PE-A,Page,56,谢谢！,