论文部分内容阅读
摘要：在研究了基于MPLS的VPN技术的原理和工作的基础上，比较了传统VPN连接技术和MPLS VPN技术的应用特点和技术分析，最后研究了MPLS VPN的技术优势及其应用前景。
关键词：VPN；MPLS；多协议标记交换
中图法分类号：TP309文献标识码：A文章编号：1009-3044(2008)08-10ppp-0c
随着Internet的VPN连接蓬勃发展，人们对其连接质量提出了更高的要求。但常规的VPN连接方法缺乏高效的连接手段，网络经常会发生阻塞，许多应用对于目前的IP技术(如语音和视频等)显得力不从心，并且实现成本也很高。而新兴的多协议标记交换技术(MPLS:MultiProtocol Label Switching)有望解决这一问题。
1 VPN简介
首先引入现实中的一个例子，经常在外地出差的公司用户希望能从外地的网络访问公司的内网办公，而访问的结果就像在公司内网一样，不会有对资源、权限的限制，就好像在内网里面一样，我们可以利用VPN技术实现这个目的。
由以上来看，究竟什么是VPN呢？虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2 常规VPN技术
以往常规的VPN连接技术是在PPTP或者L2TP协议的控制下进行隧道封装加密传输，其中，PPTP协议将控制包与数据包分开，控制包采用TCP控制，用于严格的状态查询及信令信息；数据包部分先封装在PPP协议中，然后封装到GRE V2协议中。目前，PPTP协议基本已被淘汰。L2TP是国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点，能以隧道方式使PPP包通过各种网络协议，包括ATM、SONET和帧中继。但是L2TP没有任何加密措施，更多是和IPSec协议结合使用，提供隧道验证。
但是，IPsec协议首要的和最明显的缺点就是性能的下降，其次，在实现成本上非常不利，低端的设备通常用软件实现所有的IPsec功能，因而其速度最慢。价格贵些的用硬件实现IPsec功能。一般来说，性能越好，其价格越贵。
3 基于MPLS的VPN的新技术
同传统的VPN不同，MPLS VPN不依靠封装和加密技术，MPLS VPN依靠转发表和数据包的标记来创建一个安全的VPN，MPLS VPN的所有技术产生于InternetConnect网络。
CPE被称为客户边缘路由器（CE）。在InternetConnect网络中，同CE相连的路由器称为供应商边缘路由器(PE)。一个VPN数据包括一组CE路由器，以及同其相连的InternetConnect网中的PE路由器。只有PE路由器理解VPN。CE路由器并不理解潜在的网络。
CE可以感觉到同一个专用网相连。每个VPN对应一个VPN路由/转发实例（VRF）。一个VRF定义了同PE路由器相连的客户站点的VPN成员资格。一个VRF数据包括IP路由表，一个派生的Cisco Express Forwarding (CEF)表，一套使用转发表的接口，一套控制路由表中信息的规则和路由协议参数。一个站点可以且仅能同一个VRF相联系。客户站点的VRF中的数据包含了其所在的VPN中，所有的可能连到该站点的路由。
对于每个VRF，数据包转发信息存储在IP路由表和CEF表中。每个VRF维护一个单独的路由表和CEF表。这些表各可以防止转发信息被传输到VPN之外，同时也能阻止VPN之外的数据包转发到VPN内不的路由器中。这个机制使得VPN具有安全性。
在每个VPN内部，可以建立任何连接：每个站点可以直接发送IP数据包到VPN中另外一个站点，无需穿越中心站点。一个路由识别器(RD)可以识别每一个单独的VPN。一个MPLS网络可以支持成千上万个VPN。每个MPLS VPN网络的内部是由供应商(P)设备组成。这些设备构成了MPLS核，且不直接同CE路由器相连。围绕在P设备周围的供应商边缘路由器(PE)可以让MPLS VPN网络发挥VPN的作用。P和PE路由器称为标记交换路由器(LSR)。LSR设备基于标记来交换数据包。
客户站点可以通过不同的方式连接到PE路由器，例如帧中继，ATM，DSL和T1方式等等。
三种不同的VPN，分别用Route Distinguishers 10，20和30来表示。
MPLS VPN中，客户站点运行的是通常的IP协议。它们并不需要运行MPLS，IPSec或者其他特殊的VPN功能。在PE路由器中，路由识别器对应同每个客户站点的连接。这些连接可以是诸如T1，单一的帧中继，ATM虚电路，DSL等这样的物理连接。路由识别器在PE路由器中被配置，是设置VPN站点工作的一部分，它并不在客户设备上进行配置，对于客户来说是透明的。
每个MPLS VPN具有自己的路由表，这样客户可以重叠使用地址且互不影响。对用RFC 1918建议进行寻址的多种客户来说，上述特点很有用处。例如，任何数量的客户都可以在其MPLS VPN中，使用地址为10.1.1.X的网络。MPLS VPN的一个最大的优点是CPE设备不需要智能化。因为所有的VPN功能是在InternetConnect的核心网络中实现的，且对CPE是透明的。CPE并不需要理解VPN，同时也不需要支持IPSec。这意味着客户可以使用价格便宜的CPE，或者甚至可以继续使用已有的CPE。
4 基于MPLS VPN的优点
时延被降到最低，因为数据包不再经过封装或者加密。加密之所以不再需要，是因为MPLS VPN可以创建一个专用网，它同帧中继网络具备的安全性很相似。因为不需要隧道，所以要创建一个全网状的VPN网也将变得很容易。事实上，缺省的配置是全网状布局。站点直接连到PE，之后可以到达VPN中的任何其他站点。如果不能连通到中心站点，远程站点之间仍然能够相互通信。
配置MPLS VPN网络的设备也变得容易了，仅需配置核心网络，不需访问CPE。一旦配置好一个站点，在配置其他站点时无需重新配置。因为添加新的站点时，仅需改变所连到的PE的配置。
在MPLS VPN中，安全性可以得到容易地实现。一个封闭的VPN具有内在的安全性，因为它不同Public Internet相连。如果需要访问Internet，则可以建立一个通道，在该通道上，可放置一个防火墙，这样就对整个VPN提供安全的连接。管理起来也很容易，因为对于整个VPN来说，只需要维护一种安全策略。
MPLS VPN的另外一个好处是对于一个远程站点，仅需要一个连接即可。想象一下，带有一个中心站点和10个远程站点的传统帧中继网，每个远程站点需要一个帧中继PVC(永久性虚电路)，这意味者需要10个PVC。而在MPLS VPN网中，仅需要在中心站点位置建立一个PVC，这就降低了网络的成本。
5 总结
MPLS是一种结合了链路层和IP层优势的新技术。在MPLS网络上不仅仅能提供VPN业务，也能够开展QoS、TE、组播等等的业务。随着MPLS应用的不断升温，不论是产品还是网络，对MPLS的支持已不再是额外的要求。VPN虽然是一项刚刚兴起的综合性的网络新技术，但却已经显示了其强大的生命力。在我国网络基础薄弱，政府和企业对IP虚拟专用网的需求不高，但相信随着政府上网、特别是在电子商务的推动下，基本MPLS的IP虚拟专用网技术的解决方案必将有不可估量的市场前景。
参考文献：
[1]王达.虚拟专用网（VPN）精解[J].清华大学出版社,2004,173-7.
[2]Ivan Pepelnjak, Jim Guichard, MPLS和VPN体系结构CCIP版（英文版）[J].人民邮电出版社,2003.
[3]咸廷伟,孙仁祥,毛琦.VPN技术综述及其应用[D].成都西南石油学院电子信息工程学院.
关键词：VPN；MPLS；多协议标记交换
中图法分类号：TP309文献标识码：A文章编号：1009-3044(2008)08-10ppp-0c
随着Internet的VPN连接蓬勃发展，人们对其连接质量提出了更高的要求。但常规的VPN连接方法缺乏高效的连接手段，网络经常会发生阻塞，许多应用对于目前的IP技术(如语音和视频等)显得力不从心，并且实现成本也很高。而新兴的多协议标记交换技术(MPLS:MultiProtocol Label Switching)有望解决这一问题。
1 VPN简介
首先引入现实中的一个例子，经常在外地出差的公司用户希望能从外地的网络访问公司的内网办公，而访问的结果就像在公司内网一样，不会有对资源、权限的限制，就好像在内网里面一样，我们可以利用VPN技术实现这个目的。
由以上来看，究竟什么是VPN呢？虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2 常规VPN技术
以往常规的VPN连接技术是在PPTP或者L2TP协议的控制下进行隧道封装加密传输，其中，PPTP协议将控制包与数据包分开，控制包采用TCP控制，用于严格的状态查询及信令信息；数据包部分先封装在PPP协议中，然后封装到GRE V2协议中。目前，PPTP协议基本已被淘汰。L2TP是国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点，能以隧道方式使PPP包通过各种网络协议，包括ATM、SONET和帧中继。但是L2TP没有任何加密措施，更多是和IPSec协议结合使用，提供隧道验证。
但是，IPsec协议首要的和最明显的缺点就是性能的下降，其次，在实现成本上非常不利，低端的设备通常用软件实现所有的IPsec功能，因而其速度最慢。价格贵些的用硬件实现IPsec功能。一般来说，性能越好，其价格越贵。
3 基于MPLS的VPN的新技术
同传统的VPN不同，MPLS VPN不依靠封装和加密技术，MPLS VPN依靠转发表和数据包的标记来创建一个安全的VPN，MPLS VPN的所有技术产生于InternetConnect网络。
CPE被称为客户边缘路由器（CE）。在InternetConnect网络中，同CE相连的路由器称为供应商边缘路由器(PE)。一个VPN数据包括一组CE路由器，以及同其相连的InternetConnect网中的PE路由器。只有PE路由器理解VPN。CE路由器并不理解潜在的网络。
CE可以感觉到同一个专用网相连。每个VPN对应一个VPN路由/转发实例（VRF）。一个VRF定义了同PE路由器相连的客户站点的VPN成员资格。一个VRF数据包括IP路由表，一个派生的Cisco Express Forwarding (CEF)表，一套使用转发表的接口，一套控制路由表中信息的规则和路由协议参数。一个站点可以且仅能同一个VRF相联系。客户站点的VRF中的数据包含了其所在的VPN中，所有的可能连到该站点的路由。
对于每个VRF，数据包转发信息存储在IP路由表和CEF表中。每个VRF维护一个单独的路由表和CEF表。这些表各可以防止转发信息被传输到VPN之外，同时也能阻止VPN之外的数据包转发到VPN内不的路由器中。这个机制使得VPN具有安全性。
在每个VPN内部，可以建立任何连接：每个站点可以直接发送IP数据包到VPN中另外一个站点，无需穿越中心站点。一个路由识别器(RD)可以识别每一个单独的VPN。一个MPLS网络可以支持成千上万个VPN。每个MPLS VPN网络的内部是由供应商(P)设备组成。这些设备构成了MPLS核，且不直接同CE路由器相连。围绕在P设备周围的供应商边缘路由器(PE)可以让MPLS VPN网络发挥VPN的作用。P和PE路由器称为标记交换路由器(LSR)。LSR设备基于标记来交换数据包。
客户站点可以通过不同的方式连接到PE路由器，例如帧中继，ATM，DSL和T1方式等等。
三种不同的VPN，分别用Route Distinguishers 10，20和30来表示。
MPLS VPN中，客户站点运行的是通常的IP协议。它们并不需要运行MPLS，IPSec或者其他特殊的VPN功能。在PE路由器中，路由识别器对应同每个客户站点的连接。这些连接可以是诸如T1，单一的帧中继，ATM虚电路，DSL等这样的物理连接。路由识别器在PE路由器中被配置，是设置VPN站点工作的一部分，它并不在客户设备上进行配置，对于客户来说是透明的。
每个MPLS VPN具有自己的路由表，这样客户可以重叠使用地址且互不影响。对用RFC 1918建议进行寻址的多种客户来说，上述特点很有用处。例如，任何数量的客户都可以在其MPLS VPN中，使用地址为10.1.1.X的网络。MPLS VPN的一个最大的优点是CPE设备不需要智能化。因为所有的VPN功能是在InternetConnect的核心网络中实现的，且对CPE是透明的。CPE并不需要理解VPN，同时也不需要支持IPSec。这意味着客户可以使用价格便宜的CPE，或者甚至可以继续使用已有的CPE。
4 基于MPLS VPN的优点
时延被降到最低，因为数据包不再经过封装或者加密。加密之所以不再需要，是因为MPLS VPN可以创建一个专用网，它同帧中继网络具备的安全性很相似。因为不需要隧道，所以要创建一个全网状的VPN网也将变得很容易。事实上，缺省的配置是全网状布局。站点直接连到PE，之后可以到达VPN中的任何其他站点。如果不能连通到中心站点，远程站点之间仍然能够相互通信。
配置MPLS VPN网络的设备也变得容易了，仅需配置核心网络，不需访问CPE。一旦配置好一个站点，在配置其他站点时无需重新配置。因为添加新的站点时，仅需改变所连到的PE的配置。
在MPLS VPN中，安全性可以得到容易地实现。一个封闭的VPN具有内在的安全性，因为它不同Public Internet相连。如果需要访问Internet，则可以建立一个通道，在该通道上，可放置一个防火墙，这样就对整个VPN提供安全的连接。管理起来也很容易，因为对于整个VPN来说，只需要维护一种安全策略。
MPLS VPN的另外一个好处是对于一个远程站点，仅需要一个连接即可。想象一下，带有一个中心站点和10个远程站点的传统帧中继网，每个远程站点需要一个帧中继PVC(永久性虚电路)，这意味者需要10个PVC。而在MPLS VPN网中，仅需要在中心站点位置建立一个PVC，这就降低了网络的成本。
5 总结
MPLS是一种结合了链路层和IP层优势的新技术。在MPLS网络上不仅仅能提供VPN业务，也能够开展QoS、TE、组播等等的业务。随着MPLS应用的不断升温，不论是产品还是网络，对MPLS的支持已不再是额外的要求。VPN虽然是一项刚刚兴起的综合性的网络新技术，但却已经显示了其强大的生命力。在我国网络基础薄弱，政府和企业对IP虚拟专用网的需求不高，但相信随着政府上网、特别是在电子商务的推动下，基本MPLS的IP虚拟专用网技术的解决方案必将有不可估量的市场前景。
参考文献：
[1]王达.虚拟专用网（VPN）精解[J].清华大学出版社,2004,173-7.
[2]Ivan Pepelnjak, Jim Guichard, MPLS和VPN体系结构CCIP版（英文版）[J].人民邮电出版社,2003.
[3]咸廷伟,孙仁祥,毛琦.VPN技术综述及其应用[D].成都西南石油学院电子信息工程学院.