【正文】 到多臺主機的網(wǎng)絡訪問介入裝置實現(xiàn)時使用，隧道模式處理整個 IP數(shù)據(jù)包 ——包括全部 TCP/IP或 UDP/IP頭和數(shù)據(jù)，它用自己的地址做為源地址加入到新的 IP頭。當隧道模式用在用戶終端設置時，它可以提供更多的便利來隱藏內(nèi)部服務器主機和客戶機的地址。 基于 MPLS的 VPN方案 針對運行 商模式的 VPN方案， Riverstone 路由器也能提供基于 MPLS的 VPN。 Riverstone 交換式路由器支持所有的 MPLS特性來實現(xiàn) QoS及流量工程能力，更重要是的， Riverstone MPLS提供現(xiàn)有城域網(wǎng)特性和 MPLS集成的擴展，使得運營商能夠輕易擴展它們現(xiàn)有的服務。 虛擬專線（ VLL）及二層 VPN服務 當用戶和網(wǎng)絡不斷增長時，運營商提供 VLAN 基于的 VPN 服務面臨嚴重的擴展性問題，首先， VLAN 的總數(shù)被限制在 4096 個，第二，核心路由器所需處理的 MAC 地址的總數(shù)可能變得很大 ，除非限制最大可用的 MAC 地址的數(shù)量。第三，用戶的 VLAN 不易管理除非核心 VLAN 被映射到每個用戶 VLAN，并且 VLAN 標符識在 VLAN 用戶之間不沖突。因此標準的 方式已不再是運營商 VPN 解決方案的好方法。 北京瑞斯康達科技發(fā)展有限公司 22 Riverstone 通過使用 MPLS 支持采用了虛擬專線及層二 VPN 功能和第三層 IP VPN 來解決運營商的 VPN 服務。 虛擬專線服務 Riverstone MPLS 基于的虛擬專線服務解決了這些擴展性問題，使得城域網(wǎng)運營商能通過兩條相反方向的 MPLS LSP 提供一個邏輯的管道。這 些LSP 可以帶上指定的 Qos 特性， Qos 可以是靜態(tài)預配置的或者使用 MPLS 信號動態(tài)建立的。一個 LSP 所走的路由可按流量要求而指定。 服務供應商能夠為一個特定用戶的流量指定一個策略，比如，如果為具體某一個用戶分配了一個物理端口 P1，運營商能夠定義一個策略指定所有來自物理端口 P1 的流量流向一個預定義的 LSP L1 ，而該 LSP L1 位于端口 P2。 Riverstone MPLS 支持基于每 LSP 進行速率限制，保證用戶的服務等級水平（ SLA）?；诿?LSP 的流量統(tǒng)計使得 MSP 能夠監(jiān)測流量情況以便適時作調(diào)整。這 個基于 MPLS LSP 的虛擬專線（ VLL）服務模型使得運營商有很大的擴展性，最終用戶的網(wǎng)絡信息如， MAC 地址， VLNAIds, 都保持對運營商網(wǎng)絡透明，因為只有 MPLS 標簽被檢查，此外，基于 MPLS 標簽堆棧特性，邊緣得 LSP 能被組合成少量的 LSP 隧道。 MPLS L2 VPN 功能 通過 Riverstone 的 MPLS，當超過兩個以上的用戶網(wǎng)絡必需要透明互連時，運營商能夠擴展 VLL 功能以提供透明的以太網(wǎng)服務（ TLS） ，Riverstone MPLS 支持虛擬 LAN 的擴展需要以及地址學習能力。下列的圖指 明 Riverstone 如何實施二層 VPN 功能。 北京瑞斯康達科技發(fā)展有限公司 23 圖 1，用戶的 VLAN 被映射到指定的 VLAN LSP，在 POP 點之間的隧道 LSP 將 VLAN LSP 進行隧道化，核心的 LSP 必須被限制在一個較小的數(shù)量。這些隧道的 LSP 通常經(jīng)由 RSVPTE 進行信令化，因為核心的 LSP 通常要求有嚴格的 Qos 保證。而 POP 點之間的攜帶用戶 VLAN 流量的 LSP 不要求流量工程因為帶寬基本不是問題，所以這些 LSP 通常由 LDP 信令建立。當 LAN LSP 被指定給具體某個用戶后，就不再需要作額外的供應操作。事實上，單個 VLAN LSP 能夠攜帶用戶的所有流量而不管用戶端的 VLAN 拓撲結構。通過 VLAN 到 MPLS LSP 隧道的映射，事實上可以建立基于第二層的 BGP VPN。整個 VPN 用戶可以使用第二層隧道。這樣整個 VPN 的用戶可以使用同一個子網(wǎng)的地址，也可以使用除了 IP 之外的其他協(xié)議。 MPLS IP 三層 VPNs (MPLS/BGP VPN) 按照 Frost 及 Sullivan 的預測，到 2020 年， IP VPN 服務將從 1998的 200$百萬上升到 13 個億， VPN 的必需的要求是安全，可擴展性及服務等級水平，以前服務供應 商通過面向連接的 ATM 及 Frame Relay 或使用加密的 IP sec 提供 VPN 主要的問題是現(xiàn)基于隧道的技術不具有擴展性的?；蚺渲脧碗s， Riverstone MPLS VPN 基于 RFC 2547bis 使用 BGP 擴展實現(xiàn)具 北京瑞斯康達科技發(fā)展有限公司 24 有高度擴展能力的 VPN。通過使用 MPLS VPN，運營商通過分配 VPNID 給用戶。然后組合 VPNID 和 IP 地址來進行轉送，使得用戶的 IP 地址成為唯一的標識，在 MPLS VPN 中， VPN 信息由 BGP 協(xié)議分布到同樣的 VPN成員中去，不同的 VPN 成員之間流量完 全 分開，流量通過 MPLS LSP 來進行轉送， MPLS LSP 能提供 ATM 或幀中繼級別的安全和可靠性。轉發(fā)表中包含相對應于 VPNIP地址的標簽信息。 Riverstone 提供的 MPLS VPN 能夠利用基于 MPLS 的 QOS 功能為不同用戶提供不同層次的 IP 服務是，這些簡單有效的 VPN 服務能夠滿足用戶的 VPN 要求并能提供額外的強大的服務分發(fā)機制。 MPLS VPN 的 實現(xiàn)過程 MPLS的應用導致 VPN技術產(chǎn)生了質(zhì)的變化，他保證了 VPN的極高的可擴 展性 ，并 為服務 供應 商和最 終用 戶同 時提供 了簡 單配置 和可 管理 性。MPLS同時可以提供 跨越 IP路由網(wǎng)絡和 ATM交換網(wǎng)絡的 VPN，從而保護用戶的現(xiàn)有投資。 MPLS VP N的基本工作方式是采用三層技術，每一個 VPN具有獨自的VPNID，每一個 VPN的用戶只能與自己 VPN網(wǎng)絡中的成員進行通信，而也只有 VPN的成員才能有權進入該 VPN。如下圖所示： 圖： MPLSVPN示意 北京瑞斯康達科技發(fā)展有限公司 25 圖中有兩個 VPN： A公司以及 B公司， A公司的 VPN中的用戶有權進入黃色的 VPN，并且與該 VPN的用戶進行通信，而 B 公司 VPN不可見。 MPLS VPN的工作過程如下： 在基于 MPLS的 VPN中，服務提 供商為每個 VPN分配了一個標識符，稱作路由標識符 (RD)，這個標識符在服務提供商的網(wǎng)絡中是獨一無二的。轉發(fā)表中包括一個獨一無二的地址，叫作 VPNIP地址，是由 RD和用戶的 IP地址連接形成。 VPNIP地址在網(wǎng)絡中是獨一無二的，地址表存儲在轉發(fā)表中。每個 VPN保持一個轉發(fā)表。 BGP是一個路由信息分布協(xié)議，它利用多協(xié)議擴展和 BGP Community 屬性來定義 VPN的連接性。在基于 MPLS的 VPN中， BGP只對同一個 VPN的成員發(fā)布信息，通過流量分隔來提供基本的安全性。因為數(shù)據(jù)是通過使用 LSPs來轉發(fā)的， LSP定義一條特定的路徑，不可以被改變，這樣對安全性也有保證。這種基于標簽的模式可與幀中繼和 ATM一樣提供保密性。服務提供商，而不是用戶，應用 VPN時將一個特定的 VPN與接口聯(lián)系起來，數(shù)據(jù)包的轉發(fā)是由用于入口的標簽決定的。既然不可能 spoof端口， MPL SVPN就不易受到 spoof的攻擊。 VPN轉發(fā)表中包括與 VPNIP地址相對應的標簽。通過這個標簽將數(shù)據(jù)傳送到相應地點。既然標簽代替了 IP地址，用戶可以保持他們的專用地址結構，無需進行網(wǎng)絡地址翻譯 (NAT)來傳送數(shù)據(jù)。根據(jù)數(shù)據(jù)入口，交換機選擇一 特 定 的 轉 發(fā) 表 ， 該 表 中 只 包 括 在 VPN中 有 效 的 目 的 地 址 。 為 了 創(chuàng) 建extr，服務提供商在 VPN之間要明確配置可達性。 北京瑞斯康達科技發(fā)展有限公司 26 這種解決方案的優(yōu)勢在于服務提供商可以通過相同的網(wǎng)絡結構來支持許多種 VPN，并不需要為每一個用戶建立單獨的網(wǎng)絡。而且，這種方案將 IP VPN的能力內(nèi)置于網(wǎng)絡本身，所以，服務提供商可以為所有租用者配置一個網(wǎng)絡來提供專用的 IP網(wǎng)服務，如 intra和 extra，而無需復雜的管理，隧道或 VC mesh。 QoS可為每個 VPN提供特有的業(yè)務政策， QoS服務可與基于MPLS的 VPN無縫結合，因為兩者都是基于標記的技術。 基于 MPLS 的 IPVPN網(wǎng)絡可以很容易地與基于 IP的用戶網(wǎng)絡結合起來。租用者可與供應商提供的服務無縫結合，不必改變 intra應用，因為這些網(wǎng)絡具有應用通曉性、保密性和 QoS內(nèi)置于網(wǎng)絡中。用戶能夠使用他們專有的 IP地址而無需 NAT(網(wǎng)絡地址翻譯 )。 這同一種網(wǎng)絡結構目前可支持許多種 VPN，可減輕為每一個新網(wǎng)絡實施工程的負擔。這種方案易于進行 VPN的添加、移動和改變。如果某個公司需要在自己的 VPN中增加一站點，服務提供商只需告訴客戶 端設備的路由器如何與網(wǎng)絡連接，并配置 LSR來識別來自于 CPE的 VPN成員。 BGP會自動更新 VPN成員。與增加一臺設備需要大量操作的 overlay VPN相比，這種方案要簡單、迅速和便宜的多。在一個 overlay VPN中增加一臺新設備要涉及到更新流量matrix，從新站點建立 VC到所有現(xiàn)存的站點，更新每個站點的 OSPF設計，針對新的拓撲結構圖重新配置每臺 CPE設備。 北京瑞斯康達科技發(fā)展有限公司 27 可 靠性 通過 Riverstone 的 MPLS 解決方案，備份的 LSP能夠被配置以提供快速的故障恢復。備份的 LSP可以是已經(jīng)被預配置的，也可以是 當主 LSP失效時運態(tài)建立的。另外也可以通過 MPLS 快速重路由功能實現(xiàn)熱容錯，快速重路由功能能快速建立一個繞過故障點的 LSP隧道。如果一個結點或鏈路失效，這條繞過故障點的 LSP將過使用并通知入口路由器，入口路由器然后決定建立一個新的 LSP。 當故障點恢復正常時，流量可以按照配置恢復從原路徑通過。 故障的檢測必須要盡可能快地被檢測到， Riverstone 緊密地集成了物理層以檢測本地故障，可以通過定義 RSVP HELLO的定時器來完成 SDH 級時的 50 毫秒的故障恢復時間。 Qos/Cos 在今天的城域網(wǎng)中 ，帶寬已經(jīng)成為象日用品一樣簡單，供應商僅僅供應純帶寬已不再足夠。它們需要針對不同的用戶需求，有區(qū)分地提代帶寬及服務質(zhì)量，用戶可以選擇不同級別的服務，而不僅僅是帶寬。 Riverstone MPLS 為應用這種服務提供了必要的工具，使用用戶能夠選擇有 QOS及可靠保證的服務。 Riverstone MPLS 既能夠映射 或 IP Tos/DSCP 位到 MPLS Exp/Cos位，也能夠到也經(jīng)保留了足夠資源的 LSP。 MPLS 頭中的 Exp 位攜帶分組的優(yōu)先級，每個標簽交換路由器將按照這些標識進行優(yōu)先級識 別，并映射到不同的優(yōu)先級隊列，當一個分組被映射到一個 LSP，則僅需在 MPLS 網(wǎng)絡的入口點做一次映射決策。然后分組將按照指定的 LSP進行傳輸。在一個層次服務模型中， LSP能夠被指定不同的優(yōu)先級。如果一個高優(yōu)先級的 LSP失效并且沒有可用的資源 去建立新的 LSP，那么低優(yōu)先級的 MPLS LSP 資源將被搶用。這保證了有高 優(yōu)先 級服 務等級 合同 的用戶 獲得 可靠 ，保證 的服 務。而 普通 盡力 而為（ Besteffort） 服務級別的用戶則沒有保證。 當一個 MPLS LSP 不是最優(yōu)化時，在后臺自動重新優(yōu)化一個 LSP是重要的。 北京瑞斯康達科技發(fā)展有限公司 28 例 如在資源不可用時，一個高優(yōu)先級的 LSP占用一條中優(yōu)先級 LSP的資源，那么這先高優(yōu)先級是 LSP將不再是最優(yōu)化的。當資源重新可用時， LSP自動重優(yōu)化可能讓該 LSP重新成為一個最優(yōu)化的 LSP。 流量工程 MPLS 通過顯式的路由能力給 IP網(wǎng)絡帶來的了強大的流量工程能力。在普通的 IGP路由中， IGP協(xié)議不考慮帶寬的可用性及鏈路狀態(tài)信息。這可能會產(chǎn)生某些鏈路的過度使用而某些鏈路則利用率不足。在一個全面范圍的IP網(wǎng)絡中，服務供應商可以使用 MPLS 解決這引起問題。為了將城域網(wǎng)的流量 擁 塞 降 到 最 低 ， Riverstone MPLS 支持 IGP 協(xié) 議 的 流 量 工 程 擴 展 ，OSPFTE， ISISTE。這些擴展在路由更新口提供了額外的鏈路狀態(tài)信息如保留的帶寬，可用的帶寬及新和力。 Riverstone也支持在線的 CSPF算法動態(tài)地計算一個顯式路由的 LSP。 結論 利用瑞斯康達公司提供的 RS系列交換路由器組建銀川城域網(wǎng) ， 有能力 完全滿足需求書中所提到的各種業(yè)務的開展， 精確地切合 運營商的需要；有能力 為城域網(wǎng)提供一個先進的 MPLS技術 為基礎的骨干 ，使得運營商能夠為用戶提供各種價值的服務。 Riverstone 的交換式路由式已被證明是城域網(wǎng)的領先