【正文】 在 IBGP 部署中，目前采用兩級(jí) RR 的方式來實(shí)現(xiàn)，將省網(wǎng)鄭州、洛陽(yáng)放置的 7301 配置為一級(jí) RR，各地市核心路由器 GSR 作為該 RR 的路由反射器客戶端，同時(shí)又作全省 IP 網(wǎng)的二級(jí) RR，各地市匯聚層路由交換機(jī) 6509/7609 均配置成當(dāng)?shù)?GSR 的路由反射器客戶端。 當(dāng)入口 PE 路由器從某個(gè)子接口接收到來自 CE 路由器的路由信息時(shí)，除了將該路由導(dǎo)入對(duì)應(yīng)的 VRF 表， PE 路由器還要為該路由分配一個(gè) VPN 標(biāo)簽。 RT 具有全局唯一性，并且只能被一個(gè) VPN 使用。 Forwarding： VRF）表和 MPLS 中的 LSP 來實(shí)現(xiàn)的。 根據(jù) PE 路由器是否參與客戶的路由， MPLS VPN 分成 Layer3 MPLS VPN和 Layer2 MPLS VPN。其中 Layer3 MPLS VPN 遵循 RFC2547bis 標(biāo)準(zhǔn)，使用BGP 在 PE 路由器之間分發(fā)路由信息，使用 MPLS 技術(shù)在 VPN 站點(diǎn)之間傳送數(shù)據(jù)，因而又稱為 BGP/MPLS VPN。在 PE 路由器上，存在有多個(gè) VRF 表，這些 VRF 表是和 PE 路由器上的一個(gè)或多個(gè)子接口相對(duì)應(yīng)的，用于存放這些子接口所屬 VPN 的路由信息。通過對(duì) Import RT 和 Export RT 的合理配置，運(yùn)營(yíng)商可以構(gòu)建不同拓?fù)漕愋偷?VPN，如重疊式 VPN 和Hubandspoke VPN。該VPN 標(biāo)簽用以 識(shí)別接收路由信息的子接口，因此從同一個(gè)子接口接收到的路由信息將被分配同樣的 VPN 標(biāo)簽，從而 PE 路由器可以將收到的 VPN 分組轉(zhuǎn)發(fā)到合適的子接口。 3． MPLS VPN 網(wǎng)絡(luò)結(jié)構(gòu) ? 全省 GSR 作為 P，各地市 (除鄭州 )7609 作為 PE，各 地市 SE 800 也作為 PE； ? 新上線的 CISCO 7301 作為全網(wǎng)普通 IP 的 RR 和 MPLS VPN 的一級(jí) RR； ? 地市 GSR 做為 MPLS VPN 的二級(jí) RR。 目前，中國(guó)網(wǎng)通河南省內(nèi) IP 骨干網(wǎng)采用一個(gè)私有 BGP 自治域 65130，與國(guó)家骨干網(wǎng)間采用 EBGP 互聯(lián)，由于鄭州和洛陽(yáng)的省網(wǎng)出 口路由器 12816 與國(guó)家骨干網(wǎng)間采用多條 10G POS 鏈路互聯(lián)方式，為了實(shí)現(xiàn)流量的冗余和負(fù)載均衡，均采用 loopback 地址并以 eBGPmultihop 的方式進(jìn)行互聯(lián)。 （ 1） CEPE 路由器之間通過采用靜態(tài) /缺省路由，或采用 IGP（ RIPv OSPF）等動(dòng)態(tài)路由協(xié)議，或建立 EBGP 連接等方式進(jìn)行路由信息的交互。 RT 使得 PE 路由器只包含和其直接相連的 VPN 的路由，而不是全網(wǎng)所有 VPN 的路由，從而節(jié)省了 PE 路由器的資源，提高了網(wǎng)絡(luò)拓展性。amp。其中， CE 路由器是客戶端路由器，為用戶提供到 PE 路由器的連接； PE 路由器是運(yùn)營(yíng)商邊緣路由器，也就是 MPLS 網(wǎng)絡(luò)中的標(biāo)簽邊緣路由器 （ LER），它根據(jù)存放的路由信息將來自 CE 路由器或標(biāo)簽交換路徑（ LSP）的 VPN 數(shù)據(jù)處理后進(jìn)行轉(zhuǎn)發(fā)，同時(shí)負(fù)責(zé)和其他 PE 路由器交換路由信息； P 路由器是運(yùn)營(yíng)商網(wǎng)絡(luò)主干路由器，也就是 MPLS 網(wǎng)絡(luò)中的標(biāo)簽交換路由器（ LSR），它根據(jù)分組的外層標(biāo)簽對(duì) VPN 數(shù)據(jù)進(jìn)行透明轉(zhuǎn)發(fā)， P 路由器只維護(hù)到 PE 路由器的路由信息而不維護(hù) VPN 相關(guān)的路由信息。 4． MPLS 術(shù)語： ? PNetwork: 服務(wù)供應(yīng)商網(wǎng)絡(luò) ， 主干由局端自己控制 ? CNetwork: 客戶端網(wǎng)絡(luò) ， 客戶自己管理的網(wǎng)絡(luò) ? P : 核心設(shè)備，不需要懂得 VPN. ? PE：供應(yīng)商邊緣設(shè)備 . 屬于 P網(wǎng)絡(luò)，連接 CE ? CE: 客戶邊緣設(shè)備，位于 P 網(wǎng)絡(luò)和 C 網(wǎng)絡(luò)之間，連接 PE。通常情況下， VRF 表中只包含一個(gè) VPN 的路由信息，但是當(dāng)子接口屬于多 個(gè) VPN 時(shí)，其所對(duì)應(yīng)的 VRF 表中就包含了子接口所屬的所有 VPN 的路由信息。 三 、 BGP/MPLS VPN的體系結(jié)構(gòu) 1. BGP/MPLS VPN 的 體系結(jié)構(gòu) 體系結(jié)構(gòu)主要分成數(shù)據(jù)面和控制面。 （ 2） PEPE 之間通過采用 MPiBGP 進(jìn)行路由信息的交互。 4．路由原則 ? 各地市 loopback10 接口地址化入本地 ospf area。 2．路由協(xié)議分析 中國(guó)網(wǎng)通河南省內(nèi) IP 骨干網(wǎng)運(yùn)行 BGP 路由協(xié)議和 OSPF IGP 路由協(xié)議，其中IGP 只承載城域網(wǎng)路由器或交換機(jī)的 loopback 和互聯(lián)接口 IP 路由，用戶業(yè)務(wù)路由和 Inter 路由用 BGP 承載。 3. 路由信 息分發(fā)過程 在 MPLS VPN 中，因?yàn)椴捎昧藘蓪訕?biāo)簽棧結(jié)構(gòu)，所以 P 路由器并不參與VPN 路由信息的交互，客戶路由器是通過 CE 和 PE 路由器之間、 PE 路由器之間的路由交互知道屬于某個(gè) VPN 的網(wǎng)絡(luò)拓?fù)湫畔?。?dāng)從 VRF 表中導(dǎo)出 VPN 路由時(shí)，要用 Export RT 對(duì) VPN 路由進(jìn)行標(biāo)記；在往 VRF 表中導(dǎo)入VPN 路由時(shí)，只有所帶 RT 標(biāo)記與 VRF 表中任意一個(gè) Import RT 相符的路由才會(huì)被導(dǎo)入到 VRF 表 中。 二 、 BGP/MPLS VPN中幾個(gè)重要的概念 1. VRF BGP/MPLS VPN 的安全舉措之一就是路由隔離和信息隔離，它是通過 VPN路由轉(zhuǎn)發(fā)（ VPN Routing amp。 3． MPLS VPN 的網(wǎng)絡(luò)結(jié)構(gòu)： MPLS網(wǎng) P1 P2 PE1 PE2 CE1 CE2 .1 MPLS標(biāo)簽 .1 . 1 2層頭部 MPLS頭部 IP頭部 數(shù)據(jù) 標(biāo)簽 EXP S TTL 32Bit 0 20 23 24 32 MPLS VPN 有三種