【正文】 注意的是，在這種方式中， 可以訪問 INTERNET的 VPN站點是不允許出現(xiàn)地址或路由重疊的。 PE路由器的 VRF路由表包含 Inter路由。為了實現(xiàn) Inter主機回訪 VPN站點，需要在 PE全局路由表創(chuàng)建一條特殊的靜態(tài)路由，該路由的目的網(wǎng)段為 VPN站點內(nèi)全球注冊的 IP地址子網(wǎng)，出接口為指向 VPN站點的私網(wǎng)接 口，下一跳為 CE路由器，這條靜態(tài)路由通過PE發(fā)布到 Inter網(wǎng)關(guān)，經(jīng)過 Inter網(wǎng)關(guān)發(fā)布到 Inter。在這種方式中， PE路由器的全局路由表和 VRF路由表之間完全隔離， VPN路由分發(fā)和 Inter路由分發(fā)過程完全獨立。具有訪問 Inter功能的 CE路由器與 PE路由器存在兩條連接，一條連接與 PE的公網(wǎng)接口相連（公網(wǎng)連接），另一條連接與 PE的私網(wǎng)接口相連（私網(wǎng)連接）。 對于這種組網(wǎng)，如果某 個 VPN 需要訪問共享站點，則該 VPN 的 Export Target 必須包含在共享站點的 VPN 實例的 Import Target 中，而其 Import Target 必須包含在共享站點 VPN實例的 Export Target 中。Spoke 組網(wǎng)解決方案 site2 VPN1 site3 CESpoke CEHub HubPE VPN1 CE VPN1 site1 CE SpokePE VPN1: Import: Hub Export: Spoke SpokePE VPN1: Import: Hub Export: Spoke VPN1Spoke: Import: Spoke VPN1Hub: Export: Hub site4 site2 VPN1 site3 CE VPN2 CE PE VPN2 CE VPN1 site1 CE PE P VPN1: Import: 1:1 Export: 1:1 VPN2: Import: 2:1 Export: 2:1 VPN1: Import: 1:1 Export: 1:1 VPN2: Import: 2:1 Export: 2:1 神州數(shù)碼網(wǎng)絡(luò)有限公司 在上圖中， Spoke 站點之間的通信通過 Hub 站點進行（圖中箭頭所示為 site2 的路由向site1 的發(fā)布過程）： ? HubPE能夠接收所有 SpokePE 發(fā)布的 VPNIPv4 路由； ? HubPE發(fā)布的 VPNIPv4 路由能夠為所有 SpokePE 接收； ? HubPE將從 SpokePE 學(xué)到的路由發(fā)布給其他 SpokePE，因此， Spoke 站點之間可以通過 Hub 站點互訪。Spoke 組網(wǎng)方 案，從而實現(xiàn)中心設(shè)備對兩端設(shè)備之間的互訪進行監(jiān)控和過濾等功能。 神州數(shù)碼網(wǎng)絡(luò)有限公司 基本的 VPN 組網(wǎng)解決方案 在上圖中， PE上為 VPN1分配的 VPN Target 值為 100:1，為 VPN2分配的 VPN Target值為 200:1。 MPLS VPN網(wǎng)絡(luò)中的路由傳播步驟 BGP/MPLS VPN組網(wǎng)解決方案 在 BGP/MPLS VPN 網(wǎng)絡(luò)中，通過 VPN Target 屬性來控制 VPN路由信息在各 site 之間的發(fā)布和接收。 BGP/MPLS VPN中的 VPNv4路由轉(zhuǎn)發(fā) CE和 PE之間通過 IGP(靜態(tài)路由 /rip/ospf等 )或 EBGP進行 IPv4路由交換。 神州數(shù)碼網(wǎng)絡(luò)有限公司 RT 也是 BGP 的擴展，它能標(biāo)明哪些路由需要從 MPBGP 中注入到 VRF， PE 路由器上的VPN 實例有兩類 RT 屬性： ? Export Target 屬性：本地 PE在把從與自己直接相連的 Site 學(xué)到的 VPNIPv4路由發(fā)布給其它 PE前，為這些路由設(shè)置 Export Target 屬性； ? Import Target 屬性： PE在接收到其它 PE路由器發(fā)布的 VPNIPv4 路由時，檢查其Export Target 屬性，只有當(dāng)此屬性與 PE上 VPN實例的 Import Target 屬性匹配時，才把路由加入到相應(yīng)的 VPN 路由表中。在 PE發(fā)布路由時添加，在 PE接收路由后放在本地路由表中，用來與后來接收到的路由進行比較 。 在 IPv4地址加上 RD之后，就變成 VPNIPv4地址族了。在 MPLS VPN網(wǎng)絡(luò)中一個 PE通常包含有多個獨立運作的 VRF，一個 PE維護了一張 IP路 由表，同時由于在 PE上的路由需要被相互隔離，以確保隊每一個用戶 VPN的私有性，所以為每一個連到 PE的 VPN維護了一張 VRF表，在 PE上，指向 CE的接口只屬于一個 VRF，同樣地，所有在 VRF接口上收到的 IP報文都應(yīng)該毫無疑問地屬于這個 VRF，如下圖所示： PE上的 VRF圖示 路由區(qū)分器 RD 由于 BGP/MPLS VPN提供私密性，支持不同用戶之間使用重疊的 IP地址，如果沒有保障機制來區(qū)分的話，那樣會亂套了，路由肯定會產(chǎn)生錯誤，為了解決這個問題， RD的構(gòu)想被定義來讓 IPv4前綴唯一。所以選擇 BGP來承載 MPLS L3 VPN的路由。 P 路由器只維護到 PE 的路由，不需要了解任何 VPN 路由信息。 當(dāng) CE 與直接相連的 PE建立鄰接關(guān)系后， CE 把本站點的 VPN路由發(fā)布給 PE，并從 PE 學(xué)到遠端 VPN 的路由。 PE 路由器上，與其它 P 路由器或者 PE 路由器連接的端口被稱為“公網(wǎng)端口”，配置公網(wǎng) IP 地址；與 CE 路由器連接的端口被稱為“私網(wǎng)端口”，配置私網(wǎng) IP 地址。 P 路由器接收 MPLS 報文，交換標(biāo)簽后，輸出 MPLS報文。 MPLS VPN網(wǎng)絡(luò)構(gòu)成： MPLS VPN 中 由三部分組成： CE、 PE 和 P。 神州數(shù)碼網(wǎng)絡(luò)有限公司 所謂虛擬，是指用戶不再需要擁有實際的長途數(shù)據(jù)線路，而是使用 Inter公眾數(shù)據(jù)網(wǎng)絡(luò)的長途數(shù)據(jù)線路。 標(biāo)簽上下游簡圖 2. MPLS VPN 在目前 MPLS網(wǎng)絡(luò)中最為流行和最為廣泛的是 MPLS VPN(MPLS虛擬私有網(wǎng)絡(luò) )技術(shù)，對于 MPLS VPN技術(shù)的應(yīng)用從它誕生到現(xiàn)在一直以來都是成指數(shù)級的增長。 上游 LSR 一般是根據(jù)其路由表中的信息來選擇下游 LSR。 神州數(shù)碼網(wǎng)絡(luò)有限公司 標(biāo)簽的分發(fā)過程有兩種模式，主要區(qū)別就在于標(biāo)簽映射的發(fā)布是上游請求（ DoD）還是下游主動發(fā)布（ DU） ，下面分別詳細描述這兩種模式的標(biāo)簽分發(fā)過程： DoD（ downstreamondemand）模式 上游 LSR向下游 LSR 發(fā)送標(biāo)簽請求消息（ Label Request Message），其中包含 FEC 的描述信息。然后，它們會通過 TCP連接建立一個會話。但是必須所有直連的 LSR之間必須建立 LDP會話或者 LDP對等關(guān)系。 LFIB是一張帶標(biāo)簽報文的轉(zhuǎn)發(fā)表，這張表是通 過 LFIB中的部分綁定標(biāo)簽所構(gòu)成的。例如，在傳統(tǒng)的采用最長匹配算法的 IP 轉(zhuǎn)發(fā)中，到同一個目的地址的所有報文就是一個 FEC。 FEC 可以包含一個或多個 FEC 單元，每個 FEC 單元是一組可以映射到相同 LSP 的三層報文。相同 FEC 的分組在 MPLS 網(wǎng)絡(luò)中將獲得完全相同的處理。 標(biāo)簽交換路徑 標(biāo)簽交換路徑 (LSP)是 LSR 在 MPLS 網(wǎng)絡(luò)中轉(zhuǎn)發(fā)所經(jīng)過的路徑，在一條 LSP 上，沿數(shù)據(jù)傳送的方向，相鄰的 LSR 分別稱為上游 LSR 和下游 LSR。 LSR 是可以基于分組中的標(biāo)簽值來轉(zhuǎn)發(fā)分組的設(shè)備，它對 IP 報文添加標(biāo)簽，