【正文】 ks (L2VPNs) [J].IETF RFC ]。 VPLSVPLS解決了用戶設(shè)備為點到多點的以太網(wǎng)絡(luò)的組網(wǎng)環(huán)境，將整個MPLS網(wǎng)絡(luò)仿真為以太網(wǎng)交換機(jī)，也是一種第二層VPN的方式。VPLS將整個用戶的以太報文（可以是包括IP的任何以太網(wǎng)封裝的數(shù)據(jù)報文）完成二層透傳而不關(guān)心CE和PE間的網(wǎng)絡(luò)連接類型。但是它最大缺陷就是只能基于以太網(wǎng)絡(luò)。VPLS技術(shù)的重點關(guān)注對象是：如何將用戶數(shù)據(jù)正確傳輸?shù)綄Χ讼鄳?yīng)的用戶端設(shè)備。普通以太網(wǎng)交換機(jī)的MAC地址學(xué)習(xí)和轉(zhuǎn)發(fā)機(jī)制能夠很好的解決這個難題。 L3VPN第三層VPN解決了用戶設(shè)備是點到多點接入的IP網(wǎng)絡(luò)的組網(wǎng)環(huán)境。它將整個MPLS網(wǎng)絡(luò)仿真為IP路由器，把用戶的IP報文進(jìn)行路由轉(zhuǎn)發(fā)。第三層VPN優(yōu)勢很明顯，它不但基于非常成熟的IP路由技術(shù)而且能夠完成點到多點的連接，而且還忽略CE和PE間的鏈路協(xié)議。目前對于很多運營商來說，第三層VPN仍然是市場份額最大的一部分，但是它的缺陷就是PE設(shè)備需要維護(hù)大量的CE路由，安全性較差，且只能基于IP網(wǎng)絡(luò)。 三種MPLS VPN的比較如上所述，此三種MPLS VPN方式各有優(yōu)劣，為適用于不同組網(wǎng)環(huán)境部署，其比較如下：表2. 1 三種MPLS VPN的比較指標(biāo)\技術(shù)MPLS/BGP VPNVPLSVLL針對用戶的復(fù)雜性比較簡單，CE不維護(hù)路由，PE維護(hù)提供點到多點服務(wù)提供點到點通道對運營商的復(fù)雜性較復(fù)雜，需要管理VPN路由較簡單提供MAC學(xué)習(xí)和交換較簡單只需提供通道承載協(xié)議層次三層二層二層PE資源占用對PE節(jié)點內(nèi)有資源消耗較多，對CE無要求同L3VPN內(nèi)存開銷小，接口資源消耗大，信令協(xié)議消耗開銷大CE接入方式各種鏈路層，任何2層連接、2層隧道和3層隧道，同一個VPN中不同站點接入方式可以不相同只有以太網(wǎng)多種鏈路層，ATM、FR、PPP、HDLC、Ethernet（VLAN）不同封裝之間不能互通N方問題不存在不存在存在使用環(huán)境不需要客戶維護(hù)路由多點以太網(wǎng)環(huán)境QoS要求較高，要求替換傳統(tǒng)專線的環(huán)境VPN拓?fù)鋽U(kuò)散方式BGP自動發(fā)現(xiàn)Martini方式手動配置，Kompella方式通L3VPNMartini方式手動配置，Kompella方式通L3VPNVPN路由擴(kuò)散方式通過PE設(shè)備擴(kuò)散，收斂慢在CE之間直接擴(kuò)散，收斂快在CE之間直接擴(kuò)散，收斂快MPLS L3VPN與L2VPN的網(wǎng)絡(luò)性能的優(yōu)缺點主要有以下幾個方面[[]李昌群. 基于VPLS二層VPN技術(shù)的研究及實現(xiàn)[D].,2010.]。1. 支持服務(wù)的上層協(xié)議類型。L2VPN技術(shù)在公網(wǎng)傳輸時采用了二層透傳的技術(shù)，這樣使用戶側(cè)的很多三層協(xié)議在傳輸中并不受影響，所有L2VPN可以支持IPv4，IPv6，OSI和SNA等三層協(xié)議。這使L2VPN技術(shù)在將來網(wǎng)絡(luò)融合與發(fā)展中處于十分有利的位置，可以為各種不同網(wǎng)絡(luò)的用戶提供VPN服務(wù)。L3VPN技術(shù)由于受路由協(xié)議和路由信令的限制，其在對上層協(xié)議的支持上十分單一，目前只能提供IP業(yè)務(wù)服務(wù)。而且如果要將IPv4升級到IPv6需要對當(dāng)前的MPBGP技術(shù)進(jìn)行擴(kuò)展，生成新的IPv6地址族。2. 網(wǎng)絡(luò)實現(xiàn)的難度。在L3VPN中邊緣路由器由于要處理大量的路由信息和維護(hù)多張?zhí)摂M轉(zhuǎn)發(fā)表，所以對邊緣路由器的性能要求比較高。在網(wǎng)絡(luò)傳輸時，利用MPBGP進(jìn)行標(biāo)簽的分發(fā)，通過標(biāo)簽交換實現(xiàn)報文的轉(zhuǎn)發(fā)。對配置大量BGP協(xié)議的大型IP網(wǎng)絡(luò)來說運營商更加偏向于L3VPN。L2VPN由于采用了二層透傳的技術(shù)，在邊緣路由器處不需要處理大量的路由信息，這樣PE設(shè)備的要求就相對較低。而且大部分的L2VPN技術(shù)中不需要采用BGP協(xié)議進(jìn)行標(biāo)簽分發(fā)，所以在沒有配置BGP的網(wǎng)絡(luò)中，運營商偏向于使用L2VPN技術(shù)。3. 網(wǎng)絡(luò)維護(hù)難度。在L3VPN中，運營商在維護(hù)管理VPN網(wǎng)絡(luò)時，所做的各種配置或者故障檢測和修復(fù)，事實上就是對網(wǎng)絡(luò)中的BGP會話進(jìn)行維護(hù)。L3VPN中完成網(wǎng)絡(luò)的正常運行，需要為各個用戶創(chuàng)建虛擬專用表項，為其路由指定EZD和RT等路由屬性，解決在不同VPN中的路由重疊的問題；運營商還要維護(hù)PE設(shè)備與CE設(shè)備的路由，這些措施在提高了網(wǎng)絡(luò)擴(kuò)展性的同時，也增加了網(wǎng)絡(luò)的復(fù)雜性，隨著VPN用戶數(shù)量的增加，在邊緣設(shè)備的配置文件將迅速增加，給運營商的設(shè)備性能和管理造成極大的考驗。L2VPN在這方面就要簡單很多，它采用的二層透傳功能可以避免考慮網(wǎng)絡(luò)路由重疊的問題，同時大部分L2VPN也不需要采用BGP對標(biāo)簽進(jìn)行分發(fā)。L2VPN只需要處理簡單VC概念和VPN與路由端口間的映射關(guān)系。不過L2VPN與L3VPN同樣面臨著隨著VPN站點的增加，其在邊緣設(shè)備的配置文件將迅猛增加的問題。不過總體來說，在同等規(guī)模的VPN網(wǎng)絡(luò)中，L2VPN的維護(hù)代價比L3VPN的維護(hù)代價低[[]何寶宏，[M].人民郵電出版社，2008.][[][J]., 6:42~44.][[] [M].人民郵電出版社，2002.]。L3VPN作為一種已經(jīng)在現(xiàn)實環(huán)境中應(yīng)用多年的虛擬專用網(wǎng)技術(shù)相對于L2VPN技術(shù)更加成熟和完善，在運營商中的應(yīng)用更加廣泛。但L2VPN作為一種新興的虛擬專用網(wǎng)技術(shù)其優(yōu)越的網(wǎng)絡(luò)性能，低開銷的網(wǎng)絡(luò)維護(hù)，必將越來越多的替代L3VPN在運營商網(wǎng)絡(luò)中扮演的角色。 本章小結(jié)本章主要介紹MPLS的基本概念，發(fā)展及應(yīng)用。主要講解了MPLS域中各個設(shè)備如何通過LDP協(xié)議建立會話、LSP的過程。從協(xié)議報文入手細(xì)分LDP的各種消息及其工作過程，為本文利用LDP Address消息實現(xiàn)VPLS網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)機(jī)制做了鋪墊。然后闡述MPLS技術(shù)在VPN網(wǎng)絡(luò)中的具體應(yīng)用，最后將MPLS VPN分為L2VPN與L3VPN兩類，同時對兩類MPLS VPN技術(shù)進(jìn)行了全方面的比較，明確了L2VPN技術(shù)的優(yōu)勢。25浙江大學(xué)碩士學(xué)位論文 第3章 VPLS技術(shù)第3章 VPLS技術(shù) VPLS簡介 產(chǎn)生背景隨著社會發(fā)展，經(jīng)濟(jì)全球化的趨勢越來越明顯，越來越多的企業(yè)分布范圍日益擴(kuò)大，公司員工的移動性也不斷增加。這就迫切需要電信運營商提供鏈路連接，以便企業(yè)將各分支機(jī)構(gòu)囊括進(jìn)來，組成自己的企業(yè)網(wǎng)，以方便公司員工在企業(yè)以外的地方很方便地訪問企業(yè)內(nèi)部網(wǎng)絡(luò)。最初，電信運營商是以租賃專線的方式為企業(yè)提供鏈路，這種方式的主要缺點是：不適應(yīng)當(dāng)前企業(yè)分支多、增加快的特點，且價格相對昂貴，難以管理。此后，隨著ATM和FR技術(shù)的興起，電信運營商轉(zhuǎn)而使用虛電路方式為客戶提供點到點的二層連接，客戶在其上建立自己的三層網(wǎng)絡(luò)以承載IP、IPX等數(shù)據(jù)流。但是這些技術(shù)提供的都是點到點的二層連接，配置比較復(fù)雜，尤其當(dāng)增加一個站點時，管理員需要進(jìn)行大量的配置工作[[]劉峰. VPLS的研究與實現(xiàn)[D].,2006.]。當(dāng)今IP網(wǎng)絡(luò)已經(jīng)遍布全球，利用現(xiàn)有IP網(wǎng)絡(luò)為企業(yè)提供低成本專網(wǎng)逐漸成為各大運營商的關(guān)注點。因此，一種在IP網(wǎng)上提供VPN服務(wù)、可方便設(shè)定速率、配置簡單的技術(shù)應(yīng)運而生，這種技術(shù)即MPLS VPN技術(shù)?；贛PLS的VPN技術(shù)有兩種，分別是MPLS L3VPN和MPLS L2VPN。MPLS L3VPN需要介入用戶的內(nèi)部路由管理，運營商的管理比較復(fù)雜。傳統(tǒng)VLL方式的MPLS L2VPN，在公網(wǎng)中提供一種點到點的L2VPN業(yè)務(wù)，可以讓兩個站點之間的連接效果像直接用鏈路連接一樣，但它不能直接在服務(wù)提供者處進(jìn)行多點間的交換。VPLS在傳統(tǒng)MPLS L2VPN方案的基礎(chǔ)上發(fā)展而成，它可以實現(xiàn)多點到多點的VPN組網(wǎng)。VPLS為運營商提供了一種更加完備的解決方案。 VPLS的技術(shù)優(yōu)點VPLS結(jié)合了以太網(wǎng)技術(shù)和MPLS技術(shù)的優(yōu)勢，是對傳統(tǒng)LAN全部功能的仿真，其主要目的是通過運營商提供的IP/MPLS網(wǎng)絡(luò)連接地域上隔離的多個由以太網(wǎng)構(gòu)成的LAN，使它們像一個LAN那樣工作[[]甘朝欽. VPN 向下一代網(wǎng)絡(luò)演進(jìn)最現(xiàn)實合理的選擇——MPLS L2 VPN. 電信技術(shù), 2004(3):57~60]。服務(wù)提供商利用VPLS技術(shù)在MPLS骨干網(wǎng)絡(luò)上為用戶網(wǎng)絡(luò)模擬了一個以太網(wǎng)橋，基于MAC地址或者M(jìn)AC地址加VLAN標(biāo)識來做出轉(zhuǎn)發(fā)決策。在最簡單的情況下，一個VPLS實例包括連接到多個PE的多個站點，允許CE設(shè)備直接跟所有與該VPLS實例關(guān)聯(lián)的其它CE通信。在CE設(shè)備看來，服務(wù)提供商網(wǎng)絡(luò)是一個以太網(wǎng)橋（以太網(wǎng)交換機(jī)）[[]張輝. 基于 MPLS L2 VPN 的 VPLS 應(yīng)用技術(shù). 計算機(jī)系統(tǒng)應(yīng)用, 2004(1):48~50]。圖3. 1 VPLS組網(wǎng)圖VPLS具有以下優(yōu)點：1. VPLS在面向用戶網(wǎng)一側(cè)使用以太網(wǎng)接口，簡化了LAN/WAN邊界，可以支持快速和靈活的服務(wù)部署；2. VPLS將用戶網(wǎng)絡(luò)的路由策略控制和維護(hù)權(quán)利交給了用戶，簡化了運營商網(wǎng)絡(luò)的管理；3. VPLS服務(wù)內(nèi)的所有用戶路由器CE是相同子網(wǎng)的一部分，簡化了IP尋址規(guī)劃；4. VPLS服務(wù)既不需要感知，又不需要參與IP尋址和路由。 VPLS技術(shù)實現(xiàn) 概念介紹1. CE：直接與服務(wù)提供商相連的用戶邊緣設(shè)備。2. PE：服務(wù)提供商網(wǎng)絡(luò)上的邊緣設(shè)備，與CE相連，主要負(fù)責(zé)VPN業(yè)務(wù)的接入。它完成報文從私網(wǎng)到公網(wǎng)隧道和報文從公網(wǎng)隧道到私網(wǎng)的映射與轉(zhuǎn)發(fā)。在分層VPLS（HVPLS）體系結(jié)構(gòu)下，PE可以細(xì)分為UPE和NPE。3. UPE：面向用戶網(wǎng)絡(luò)的PE設(shè)備，用于連接CE設(shè)備與服務(wù)商網(wǎng)絡(luò)，主要作為用戶接入VPN的匯聚設(shè)備，為用戶提供接入服務(wù)。4. NPE：處于VPLS網(wǎng)絡(luò)的核心域邊緣，在核心網(wǎng)上提供VPLS透明傳輸服務(wù)。5. 服務(wù)界定符：服務(wù)提供商加在用戶數(shù)據(jù)幀前用來標(biāo)識特定VPN的報文標(biāo)識符，服務(wù)界定符只具有本地意義，服務(wù)界定符的典型例子是QinQ的外層TAG。6. QinQ（ in ）：，能夠提供點到多點的L2VPN服務(wù)機(jī)制。它將用戶網(wǎng)絡(luò)的VLAN TAG封裝在公網(wǎng)VLAN TAG中，最終報文帶著兩層TAG穿越服務(wù)提供商的骨干網(wǎng)絡(luò)，從而為用戶提供一種較為簡單的二層VPN隧道。 VPLS網(wǎng)絡(luò)架構(gòu)圖3. 2 VPLS網(wǎng)絡(luò)架構(gòu)VPLS網(wǎng)絡(luò)的基本傳輸構(gòu)件及作用如下：1. 接入鏈路（Attachment Circuit，AC）：CE到PE之間的連接鏈路或虛鏈路。AC上的所有用戶報文一般都要求原封不動的轉(zhuǎn)發(fā)到對端SITE去，包括用戶的二三層協(xié)議報文。2. 虛鏈路（Pseudo Wire，PW）：簡單的說，虛連接就是VC加隧道，隧道可以是LSP，L2TPV3，或者是TE。虛連接是有方向的，VPLS中虛連接的建立是需要通過信令（LDP或者BGP）來傳遞VC信息，然后通過VSI管理來將VC信息和隧道管理，形成一個PW。PW對于VPLS系統(tǒng)來說，就像是一條本地AC到對端AC之間的一條直連通道，完成用戶的二層數(shù)據(jù)透傳。3. 轉(zhuǎn)發(fā)器（Forwarders）：PE收到AC上送的數(shù)據(jù)幀，由轉(zhuǎn)發(fā)器選定轉(zhuǎn)發(fā)報文使用的PW，轉(zhuǎn)發(fā)器事實上就是VPLS的轉(zhuǎn)發(fā)表。4. 隧道（Tunnels）：用于承載PW，一條隧道上可以承載多條PW，一般情況下為MPLS隧道。隧道是一條本地PE與對端PE之間的直連通道，完成PE之間的數(shù)據(jù)透傳。5. 封裝（Encapsulation）：PW上傳輸?shù)膱笪氖褂脴?biāo)準(zhǔn)的PW封裝格式和技術(shù)。PW上的VPLS報文封裝有兩種模式：Tagged和Raw模式。6. PW信令協(xié)議（Pseudo Wire Signaling）：PW信令協(xié)議是VPLS的實現(xiàn)基礎(chǔ)，用于創(chuàng)建和維護(hù)PW。PW信令協(xié)議還可用于自動發(fā)現(xiàn)VSI的對端PE設(shè)備。目前，PW信令協(xié)議主要有LDP和BGP。7. 服務(wù)質(zhì)量（Quality of Service）：根據(jù)用戶二層報文頭的優(yōu)先級信息，映射成在公用網(wǎng)絡(luò)上傳輸?shù)腝oS優(yōu)先級來轉(zhuǎn)發(fā)，這個一般需要應(yīng)用支持MPLS QOS。 MAC地址管理VPLS為用戶網(wǎng)絡(luò)模擬了一個以太網(wǎng)橋，基于MAC地址或者M(jìn)AC地址加VLAN TAG來做出轉(zhuǎn)發(fā)決策。跟一個特定的VPLS服務(wù)關(guān)聯(lián)的每個PE設(shè)備都為該VPLS實例建立一個VSI，每個VSI維護(hù)一張MAC地址表，并具有泛洪和轉(zhuǎn)發(fā)、MAC地址學(xué)習(xí)和老化的功能，以便實現(xiàn)報文的轉(zhuǎn)發(fā)。 泛洪和轉(zhuǎn)發(fā)VPLS中的數(shù)據(jù)轉(zhuǎn)發(fā)是通過查找VSI的MAC地址表來完成的。如果PE從VSI的一個AC上收到目的MAC未知的單播報文（在VSI的MAC地址表中未找到匹配的MAC地址的單播報文）、組播報文或廣播報文時，PE將向該VSI內(nèi)所有連接本地CE的AC和連接遠(yuǎn)端VSI的PW泛洪。如果PE從PW上收到目的MAC未知的單播報文、組播報文或廣播報文時，則只向該VSI內(nèi)的連接本地CE的AC泛洪，而不再向連接其他遠(yuǎn)端VSI的PW泛洪。 MAC地址學(xué)習(xí)MAC地址學(xué)習(xí)過程包含兩部分：1. 與PW關(guān)聯(lián)的遠(yuǎn)程MAC地址學(xué)習(xí)PW是由一對單向的VC LSP組成（只有兩個方向的VC LSP都up才被認(rèn)為PW是up的）。當(dāng)在入方向的VC LSP上學(xué)習(xí)到一個原來未知的源MAC地址后，PE設(shè)備將源MAC地址學(xué)習(xí)到收到該報文的PW（虛擬的以太網(wǎng)接口）上，也就是將MAC地址與出方向的VC LSP建立對應(yīng)關(guān)系。2. 與用戶直接相連端口的本地MAC地址學(xué)習(xí)對于從CE上收到的報文，需要將報文中的源MAC地址學(xué)習(xí)到與CE直連的以太網(wǎng)接口上。PE的MAC地址學(xué)習(xí)與泛洪過程如下圖所示。圖3. 3 MAC地址學(xué)習(xí) MAC地址老化PE學(xué)習(xí)到的MAC地址轉(zhuǎn)發(fā)表項如果不再使用，需要有老化機(jī)制來移除。老化機(jī)制根據(jù)報文中的源MAC地址進(jìn)行處理：PE收到報文時，除了學(xué)習(xí)源MAC地址外，對于已經(jīng)生成的MAC表項，還需要設(shè)置“激活”或者“有效”標(biāo)記，一定時間內(nèi)未被設(shè)置“激活”或者“有效”標(biāo)記的MAC表項，將從MAC轉(zhuǎn)發(fā)表中移除。 環(huán)路避免為了避免環(huán)路，一般的二層網(wǎng)絡(luò)都要求使能STP協(xié)議。但是對使用VPLS的用戶來說，不會感知到ISP的網(wǎng)絡(luò)，因此在私網(wǎng)側(cè)使能STP的時候，不能把ISP的網(wǎng)絡(luò)考慮進(jìn)來。因而，VPLS中使用