【正文】 治系統(tǒng)號(hào) :32位 用戶自定義 號(hào) ，例如： 100:1。 6 MPBGP MPBGP 在 PE 路由之間傳播 VPN 組成信息和路由。 使用 MPBGP 能保證私人 VPN 路由是被廣播只在 VPN 和在 MPLS VPN 成員之間實(shí)施會(huì)話。 入方向路由策略根據(jù)路由的 VPN Target 屬性進(jìn)一步過(guò)濾可引入到 VPN 實(shí)例的路由，它可以拒絕接收引入列表中的團(tuán)體選定的路由，而出方向路由策略則可以拒絕發(fā)布輸出列表中的團(tuán)體選定的路由。 8 隧道策略 隧道策略用于選擇給特定 VPN 實(shí)例的 數(shù)據(jù)包使用 的隧道。默認(rèn) LSP 作為隧道和不進(jìn)行負(fù)載分擔(dān)。另外，一個(gè)隧道策略只有在同一個(gè) AS 區(qū)域內(nèi)生效。它們表明來(lái)自本地 PE 給遙遠(yuǎn) PE的 LSP。 一個(gè) 對(duì)端 PE 根據(jù)內(nèi)層標(biāo)簽可以找到轉(zhuǎn)發(fā)報(bào)文的接口。 下面的圖 3是一個(gè)例子來(lái)闡明 VPN 數(shù)據(jù)包轉(zhuǎn)發(fā)程序。 MPLS 網(wǎng)絡(luò)利用報(bào)文的外層標(biāo)簽，將報(bào)文傳送到 PE 2。 CE 2根據(jù)正常的 IP 轉(zhuǎn)發(fā)過(guò)程將報(bào)文傳送到目的地。 VPN Export Target 和 Import Target 的設(shè)置相互獨(dú)立，并且都可以設(shè)置多個(gè)值，能夠?qū)崿F(xiàn)靈活的 VPN 訪問(wèn)控制 ，從而實(shí)現(xiàn)多種 VPN 組網(wǎng)方案。他們能互相轉(zhuǎn)發(fā)流量來(lái)但是不能傳達(dá)任何一個(gè)外網(wǎng) VPN 的用戶。此外，這個(gè) VPN Target 不能被其他 VPN 使用。 VPN 1的兩個(gè) 站點(diǎn) 之間可以互訪， VPN 2的兩個(gè) 站點(diǎn) 之間也可以互訪，但 VPN 1和 VPN 2的 Site 之間不能互訪。Spoke 組網(wǎng)方案，從而實(shí)現(xiàn)中心設(shè)備對(duì)兩端設(shè)備之間的互訪進(jìn)行監(jiān)控和過(guò)濾等功能。 各 Site 在 PE 上的 VPN 實(shí)例的 VPN Target 設(shè)置規(guī)則為： 連接 Spoke 站點(diǎn)（ Site 1和 Site 2）的 SpokePE： Export Target 為 “Spoke” ，Import Target 為 “Hub” ； 連接 Hub 站點(diǎn)（ Site 3）的 HubPE： HubPE 上需要使用兩個(gè)接口或子接口，一個(gè)用于接收 SpokePE 發(fā)來(lái)的路由，其 VPN 實(shí)例的 Import Target 為 “Spoke” ；另一個(gè)用于向 SpokePE 發(fā)布路由，其 VPN 實(shí)例的 Export Target 為 “Hub” 。Spoke 組網(wǎng)方案 在圖 5中， Spoke 站點(diǎn)之間的通信通過(guò) Hub 站點(diǎn)進(jìn)行（圖中箭頭所示為 Site 2的路由向 Site 1的發(fā)布過(guò)程）： HubPE 能夠接收所有 SpokePE 發(fā)布的 VPNIPv4路由； HubPE 發(fā)布的 VPNIPv4路由能夠?yàn)樗?SpokePE 接收； HubPE 將從 SpokePE 學(xué)到的路由發(fā)布給其他 SpokePE，因此， Spoke 站點(diǎn)之間可以通過(guò) Hub 站點(diǎn)互訪。因此，任意兩個(gè) SpokePE 之間不直接 發(fā)布 VPNIPv4路由， Spoke 站點(diǎn)之間不能直 接互訪。 對(duì)于這種組網(wǎng)，如果某個(gè) VPN 需要訪問(wèn)共享站點(diǎn)，則該 VPN 的 Export Target 必須包含在共享站點(diǎn)的 VPN 實(shí)例的 Import Target 中，而其 Import Target 必須包含在共享站點(diǎn) VPN 實(shí)例的 Export Target 中。 ? PE 3不把從 PE 1接收的 VPNIPv4路由發(fā)布給 PE 2，也不把從 PE 2接收的VPNIPv4路由發(fā)布給 PE 1（ IBGP 鄰居學(xué)來(lái)的條目是不會(huì)再發(fā)送給別的 IBGP 鄰居），因此， VPN 1的 Site 1和 VPN 2的 Site 2之間不能互訪。 PE 路由器也只維護(hù)與它直接相連的 VPN的路由信息，不維護(hù)所有 VPN 路由。 VPN 路由信息的發(fā)布過(guò)程包括三部分： 本地 CE 到入口 PE. 入口 PE 到出口 PE. 出口 PE 到遠(yuǎn)端 CE。 下面分別對(duì)這三部分進(jìn)行介紹。 CE 與 PE 之間可以使用靜態(tài)路由、 RIP、 OSPF、 ISIS 或 EBGP。 、 入口 PE 到出口 PE 的路由信息交換 PE 從 CE 學(xué)到 VPN 路由信息后，為這些標(biāo)準(zhǔn) IPv4路由增加 RD 和 VPN Target 屬性，形成 VPNIPv4路由，存放到為 CE 創(chuàng)建的 VPN 實(shí)例中。出口 PE 根據(jù) VPNIPv4路由的Export Target 屬性與自己維護(hù)的 VPN 實(shí)例的 Import Target 屬性，決定是否將該路由加入到 VPN 實(shí)例的路由表。 、 出口 PE 到遠(yuǎn)端 CE 的路由信息交換 遠(yuǎn)端 CE 有多種方式可以從出口 PE 學(xué)習(xí) VPN 路由，包括靜態(tài)路由、 RIP、 OSPF、 ISIS和 EBGP，與本地 CE 到入口 PE 的路由信息交換相同。這種 VPN 跨越多個(gè)自治系統(tǒng)的應(yīng)用方式被稱為跨域 VPN（ MultiAS VPN）。 下面逐一對(duì)這些方案進(jìn)行介紹。 作為 ASBR 的 PE 之間通過(guò)多個(gè)子接口相連，兩個(gè) PE 都把對(duì)方作為自己的 CE 設(shè)備對(duì)待 ，使用傳統(tǒng)的 EBGP 方式向?qū)Χ税l(fā)布 IPv4路由。 理想情況下，每個(gè)跨域的 VPN 都有一對(duì)子接口與之對(duì)應(yīng)，用來(lái)交換 VPN 路由信息。 缺點(diǎn)是可擴(kuò)展性差：作為 ASBR 的 PE 需要管理所有 VPN 路由，為每個(gè) VPN 創(chuàng)建 VPN實(shí)例。并且 ，為每個(gè) VPN 單獨(dú)創(chuàng)建子接口也提高了對(duì) PE 設(shè)備的要求。 路由發(fā)布過(guò)程可分為以下步驟： AS 100內(nèi)的 PE 先通過(guò) MPIBGP 方式把標(biāo)簽 VPNIPv4路由發(fā)布給 AS 100的邊界路由器 PE，或發(fā)布給為 ASBR PE 反射路由的路由反射器； 作為 ASBR 的 PE 通過(guò) MPEBGP 方式把標(biāo)簽 VPNIPv4路由發(fā)布給 AS 200的 PE（也是AS 200的邊界路由器）； AS 200的 ASBR PE 再通過(guò) MPIBGP 方式把標(biāo)簽 VPNIPv4路由發(fā)布給 AS 200內(nèi)的 PE，或發(fā)布給為 PE 反射路由的路由反射器。 圖 8 ASBR 間通過(guò) MPEBGP 發(fā)布標(biāo)簽 VPNIPv4路由組網(wǎng)圖 在可擴(kuò)展性方面，通過(guò) MPEBGP 發(fā)布標(biāo)簽 VPNIPv4路由優(yōu)于 ASBR 間通過(guò)子接口管理 VPN。 、 PE 間通過(guò) MPEBGP 發(fā)布標(biāo)簽 VPNIPv4路由 前面介紹的兩種方式都能夠滿足跨域 VPN 的組網(wǎng)需求，但這兩種方式也都需要 ASBR參與 VPNIPv4路由的維護(hù)和發(fā)布。 解決上述可擴(kuò)展性問(wèn)題的方案是： ASBR 不維護(hù)或發(fā)布 VPNIPv4路由， PE 之間直接交換 VPNIPv4路由。 ASBR 上不保存 VPNIPv4路由，相互之間也不通告 VPNIPv4路由。另一個(gè)自治系統(tǒng)中的 ASBR 也通告帶標(biāo)簽的 IPv4路由。 不同 AS 的 PE 之間建立 Multihop 方式的 EBGP 連接，交換 VPNIPv4路由。兩個(gè) AS 的 RR 之間建立跨域 VPNv4連接，通告 VPNIPv4路由。 圖 10 采用 RR 的跨域 VPN OptionC 方式組網(wǎng)圖 13 運(yùn)營(yíng)商的運(yùn)營(yíng)商 、 簡(jiǎn)介 MPLS L3VPN 服務(wù)提供商的用戶可能也是一個(gè)服務(wù)提供商。這種組網(wǎng)模型稱為運(yùn)營(yíng)商的運(yùn)營(yíng)商（ Carriers’ carriers ），低級(jí)別的 SP 作為更高級(jí)別 SP 的 CE。二級(jí)運(yùn)營(yíng)商維護(hù)的外部路由通過(guò)在相關(guān)二級(jí)運(yùn)營(yíng)商路由器間建立 BGP會(huì)話交換。 、 實(shí)現(xiàn) 與普通 MPLS L3VPN 相比，配置運(yùn)營(yíng)商的運(yùn)營(yíng)商的主要區(qū)別在于一級(jí)運(yùn)營(yíng)商 PE 接入二級(jí)運(yùn)營(yíng)商 CE 這一部分： 如果一級(jí)運(yùn)營(yíng)商 PE與二級(jí)運(yùn)營(yíng)商 CE位于同一個(gè) AS內(nèi)，則它們之間配置 IGP和 LDP； 如果一級(jí)運(yùn)營(yíng)商 PE 與二級(jí)運(yùn)營(yíng)商 CE 位于不同的 AS，則它們之間配置 MPEBGP。 無(wú)論哪種情況， CE 上都需要使能 MPLS。 二級(jí)運(yùn)營(yíng)商可能只是普通 ISP，也可能是 MPLS L3VPN 服務(wù)提供商。 PE 3和 PE 4之間通過(guò) IBGP 會(huì)話交換二級(jí)運(yùn)營(yíng)商的 VPN 路由。 圖 11 二級(jí)運(yùn)營(yíng)商是 ISP 二級(jí)運(yùn)營(yíng)商是 MPLS L3VPN 服務(wù)提供商時(shí)，其 PE 也需要運(yùn)行 MPLS，與 CE 之間運(yùn)行IGP 和 LDP。如圖 12所示。 1 嵌套 VPN 14． 產(chǎn)生背景 在基本的 MPLS L3VPN 模型中，由運(yùn)營(yíng)商經(jīng)營(yíng) MPLS VPN 骨干網(wǎng)，通過(guò) PE 設(shè)備提供VPN 服務(wù)。在這種情況下，用戶網(wǎng)絡(luò)是普通的 IP 網(wǎng)絡(luò)， VPN用戶不能再劃分子 VPN。當(dāng) VPN 用戶內(nèi)部需要進(jìn)一步劃分多個(gè) VPN 時(shí)，傳統(tǒng)的解決方案是直接在運(yùn)營(yíng)商的 PE 設(shè)備上配置用戶內(nèi)部的 VPN。這不僅增加了網(wǎng)絡(luò)的運(yùn)營(yíng)成本，也帶來(lái)了管理和安全方面的問(wèn)題。如圖 13所示，用戶在運(yùn)營(yíng)商 MPLS VPN 網(wǎng)絡(luò)上所屬的 VPN 為 VPN A，在用戶網(wǎng)絡(luò)內(nèi)部劃分子 VPN： VPN A1和 VPN A2。 VPN 用戶的 CE 設(shè)備（ CE CE CE 7和 CE 8）和運(yùn)營(yíng)商 PE 設(shè)備之間傳遞包括子