论文部分内容阅读
摘要:在企业的MPLS VPN中可能存在一些特殊的主机,出于某种目的,它们需要与多个VPN进行通信。使用多角色主机的思想,通过在骨干网边缘路由器PE上配置策略路由和静态路由的方法,不但能够解决上述问题,而且配置容易,灵活性和可管理性更好。
关键词:MPLS VPN;VRF;RT;多角色主机
分类号:TP393.06文献标识码:A
1 MPLS VPN基础知识
MPLS(Multi-Protocol Label Switching,多协议标签交换)是一种将具有相同转发处理方式的分组归为一类的分类转发技术[1]。其诸多优秀的组网特性非常适合组建VPN(Virtual Private Network,虚拟专网),在MPLS VPN中有CE(Custom Edge,用户接入设备)、PE(Provider Edge Router,骨干网边缘路由器)和P(Provider Router,骨干网核心路由器)三种路由器。
VRF(VPN Routing/Forwarding Instance,路由转发实例):综合了各Site的VPN成员关系和路由规则,包含了到达所有与本Site属于同一个VPN的Site路由信息,每个PE可以维护一个或多个逻辑上分离的VRF和一个公网的路由表。
RT(Route Target,路由目标):用于表明一个VRF的路由属性,以实现不同VRF间的路由互通。PE中有两个RT属性集合:一个用于附加到从某个Site接收的路由上,即Export Target;另一个用于决定哪些路由可以引入此Site的路由表中,即Import Target。通过匹配路由所携带的RT属性,可以过滤PE接收的路由信息,获得VPN的成员关系。
2 多角色主机的实现
2.1 多角色主机
在MPLS VPN网络中,通常情况下CE是通过特定的接口与相应的VRF相关联的,这就决定了由同一个入接口接入PE的所有CE都属于同一个VPN。但在实际组网中,存在一些特殊的主机需要通过CE的一个物理接口访问多个VPN的需求(例如一些权限比较高的用户),或者被多个VPN用户访问的需求(例如一些被多个VPN用户访问的服务器)。利用多角色主机解决方案可以解决上述需求,其网络拓扑结构如图1所示:
![](https://www.soolun.com/img/pic.php?url=http://img.resource.qikan.cn/qkimages/wlxx/wlxx200704/wlxx20070464-1-l.jpg)
在图中的MPLS VPN中,CE1通过Serial0/0/0接口接入PE1并与VPN1绑定,CE2通过Serial0/0/0接口接入PE2并与VPN2绑定,多角色主机PC1通过CE1接入,能够与VPN1和VPN2通信,而其它主机只能与所在VPN进行通信。
2.2 多角色主机的实现
在MPLS骨干网PE之间的基本路由交换配置完成后,以图1为例,实现多角色主机的基本思想是:一方面,为了使PE1(入口PE)能够将PC1(多角色主机)发来的报文转发给相应VPN的目的地址,需要在PE1上配置两个VRF,并为这两个VRF配置不同的RT属性,还需要配置针对PC1的IP地址的策略路由,并使用ACL(Access Control List,访问控制列表)规则对报文进行匹配,来区分报文对不同VPN的访问。这样,当PE1接收到来自VPN1中主机(包括多角色主机或其它主机)的报文后,首先根据报文的源地址识别发出报文的主机身份,如果是PC1,则根据配置的路由策略,使PC1访问不同VPN的报文同时在两个VRF中查找私网路由,获取要访问的目的VPN的信息并使用相应的VRF转发表转发该报文,最后该报文通过MPLS骨干网被送达相应VPN的目的地址。否则,根据主机所接入接口的VRF的RT属性来转发报文。需要注意的是,由于多角色主机需要访问多个VPN,因此在地址规划中要求多角色主机以及这些VPN中的地址都不能重叠。另一方面,为了使PE1下行到CE1的VPN2中主机发出的报文能够在PE1上VPN1的VRF中找到到达PC1正确的路由,需要将其路由引入到VPN1的VRF中(即在PE1上配置一条到达PC1的静态路由)。需要注意的是,多角色主机情况下的静态路由不同于普通静态路由,是通过一个VPN里面的静态路由指定其他VPN中的接口作为出接口来实现的。相应地在PE2中引入VPN2的直连路由,以便通过MP-EBGP(Multiprotocol Extensions BGP,多协议扩展BGP)向整个VPN2发布这条路由。
2.3 性能
使用通常做法(即在PE上设置不同的逻辑接口,然后通过对VRF属性的配置来实现特殊主机与多个VPN的通信)的缺点是:配置麻烦,会过多占用PE的资源,对使用者来说也很不方便。而利用多角色主机解决方案只需要配置一些策略路由和静态路由,具有较强的灵活性,同时对于ISP来说更容易管理。
参考文献
[1]王达,等.虚拟专用网(VPN)精解[M].北京:清华大学出版社,2004.58.
作者简介:王柱(1973-),男,辽宁阜新市人,辽宁工程技术大学技术与经济学院讲师,天津大学计算机科学与技术学院硕士,研究方向:计算机网络应用。
关键词:MPLS VPN;VRF;RT;多角色主机
分类号:TP393.06文献标识码:A
1 MPLS VPN基础知识
MPLS(Multi-Protocol Label Switching,多协议标签交换)是一种将具有相同转发处理方式的分组归为一类的分类转发技术[1]。其诸多优秀的组网特性非常适合组建VPN(Virtual Private Network,虚拟专网),在MPLS VPN中有CE(Custom Edge,用户接入设备)、PE(Provider Edge Router,骨干网边缘路由器)和P(Provider Router,骨干网核心路由器)三种路由器。
VRF(VPN Routing/Forwarding Instance,路由转发实例):综合了各Site的VPN成员关系和路由规则,包含了到达所有与本Site属于同一个VPN的Site路由信息,每个PE可以维护一个或多个逻辑上分离的VRF和一个公网的路由表。
RT(Route Target,路由目标):用于表明一个VRF的路由属性,以实现不同VRF间的路由互通。PE中有两个RT属性集合:一个用于附加到从某个Site接收的路由上,即Export Target;另一个用于决定哪些路由可以引入此Site的路由表中,即Import Target。通过匹配路由所携带的RT属性,可以过滤PE接收的路由信息,获得VPN的成员关系。
2 多角色主机的实现
2.1 多角色主机
在MPLS VPN网络中,通常情况下CE是通过特定的接口与相应的VRF相关联的,这就决定了由同一个入接口接入PE的所有CE都属于同一个VPN。但在实际组网中,存在一些特殊的主机需要通过CE的一个物理接口访问多个VPN的需求(例如一些权限比较高的用户),或者被多个VPN用户访问的需求(例如一些被多个VPN用户访问的服务器)。利用多角色主机解决方案可以解决上述需求,其网络拓扑结构如图1所示:
![](https://www.soolun.com/img/pic.php?url=http://img.resource.qikan.cn/qkimages/wlxx/wlxx200704/wlxx20070464-1-l.jpg)
在图中的MPLS VPN中,CE1通过Serial0/0/0接口接入PE1并与VPN1绑定,CE2通过Serial0/0/0接口接入PE2并与VPN2绑定,多角色主机PC1通过CE1接入,能够与VPN1和VPN2通信,而其它主机只能与所在VPN进行通信。
2.2 多角色主机的实现
在MPLS骨干网PE之间的基本路由交换配置完成后,以图1为例,实现多角色主机的基本思想是:一方面,为了使PE1(入口PE)能够将PC1(多角色主机)发来的报文转发给相应VPN的目的地址,需要在PE1上配置两个VRF,并为这两个VRF配置不同的RT属性,还需要配置针对PC1的IP地址的策略路由,并使用ACL(Access Control List,访问控制列表)规则对报文进行匹配,来区分报文对不同VPN的访问。这样,当PE1接收到来自VPN1中主机(包括多角色主机或其它主机)的报文后,首先根据报文的源地址识别发出报文的主机身份,如果是PC1,则根据配置的路由策略,使PC1访问不同VPN的报文同时在两个VRF中查找私网路由,获取要访问的目的VPN的信息并使用相应的VRF转发表转发该报文,最后该报文通过MPLS骨干网被送达相应VPN的目的地址。否则,根据主机所接入接口的VRF的RT属性来转发报文。需要注意的是,由于多角色主机需要访问多个VPN,因此在地址规划中要求多角色主机以及这些VPN中的地址都不能重叠。另一方面,为了使PE1下行到CE1的VPN2中主机发出的报文能够在PE1上VPN1的VRF中找到到达PC1正确的路由,需要将其路由引入到VPN1的VRF中(即在PE1上配置一条到达PC1的静态路由)。需要注意的是,多角色主机情况下的静态路由不同于普通静态路由,是通过一个VPN里面的静态路由指定其他VPN中的接口作为出接口来实现的。相应地在PE2中引入VPN2的直连路由,以便通过MP-EBGP(Multiprotocol Extensions BGP,多协议扩展BGP)向整个VPN2发布这条路由。
2.3 性能
使用通常做法(即在PE上设置不同的逻辑接口,然后通过对VRF属性的配置来实现特殊主机与多个VPN的通信)的缺点是:配置麻烦,会过多占用PE的资源,对使用者来说也很不方便。而利用多角色主机解决方案只需要配置一些策略路由和静态路由,具有较强的灵活性,同时对于ISP来说更容易管理。
参考文献
[1]王达,等.虚拟专用网(VPN)精解[M].北京:清华大学出版社,2004.58.
作者简介:王柱(1973-),男,辽宁阜新市人,辽宁工程技术大学技术与经济学院讲师,天津大学计算机科学与技术学院硕士,研究方向:计算机网络应用。