基于MPLS與BGP的VPN構(gòu)建與應(yīng)用研究

鐘燦雄

(湖南郵電職業(yè)技術(shù)學(xué)院，湖南長沙 410015）

基于MPLS與BGP的VPN構(gòu)建與應(yīng)用研究

鐘燦雄

(湖南郵電職業(yè)技術(shù)學(xué)院，湖南長沙 410015）

針對GRE、IPSEC構(gòu)建的虛擬私有網(wǎng)絡(luò)存在數(shù)據(jù)隔離、互訪控制難于實現(xiàn)等問題。文章分析了產(chǎn)生這些問題的根源，提出采用MPLS和BGP技術(shù)構(gòu)建虛擬私有網(wǎng)絡(luò)的設(shè)計思想，并通過仿真平臺加以驗證。實踐證明，采用這種方法在解決路由沖突、數(shù)據(jù)隔離、站點間訪問控制等方面要優(yōu)于傳統(tǒng)的VPN技術(shù)。

路由沖突；MPLS和BGP技術(shù)；數(shù)據(jù)隔離

隨著企業(yè)業(yè)務(wù)拓展的需要，需在各地區(qū)設(shè)置分支機(jī)構(gòu)，各分支機(jī)構(gòu)與企業(yè)間的通信，一般采用兩種技術(shù)來實現(xiàn)。一種是采用GRE技術(shù)，一種是采用IPSEC[1]技術(shù)。隨著企業(yè)網(wǎng)絡(luò)的不斷擴(kuò)大，企業(yè)間與分支機(jī)構(gòu)的通信采用這種靜態(tài)隧道的方式滿足不了企業(yè)網(wǎng)絡(luò)發(fā)展的需要，同時，這兩種構(gòu)建企業(yè)網(wǎng)絡(luò)由于成本高、靈活性差，受到嚴(yán)峻挑戰(zhàn)。

多協(xié)議標(biāo)簽交換（Multiprotocol Label Switching，MPLS）[2]技術(shù)的誕生旨在解決報文轉(zhuǎn)發(fā)的效率，其協(xié)議工作在數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層之間，可以承載其它數(shù)據(jù)的發(fā)送，是一種天然的隧道技術(shù)。邊界網(wǎng)關(guān)路由協(xié)議（Border Gateway Protocol,BGP）[3]包含有豐富的路由屬性，通過其路由屬性給數(shù)據(jù)打上相對應(yīng)的標(biāo)記，有效的實現(xiàn)數(shù)據(jù)的識別和訪問控制[4-5]。

本文針對某企業(yè)中采用傳統(tǒng)VPN技術(shù)構(gòu)建的網(wǎng)絡(luò)平臺，存在擴(kuò)展性、靈活性差，以及數(shù)據(jù)訪問控制難于實現(xiàn)等問題。分析了產(chǎn)生這些問題的原因，提出使用MPLS和BGP兩種技術(shù)融合對接來構(gòu)建的虛擬私有網(wǎng)絡(luò)，并通過仿真平臺對方案進(jìn)行了測試，測試結(jié)果說明采用MPLS和BGP構(gòu)建的VPN網(wǎng)絡(luò)，在數(shù)據(jù)隔離、訪問控制方面要優(yōu)于傳統(tǒng)的VPN技術(shù)。

1 MPLS和BGP工作原理概述

VPN技術(shù)里要實現(xiàn)私網(wǎng)數(shù)據(jù)成功穿透公網(wǎng)，關(guān)鍵在于把私網(wǎng)數(shù)據(jù)報文封裝在公網(wǎng)數(shù)據(jù)報文里，通過公網(wǎng)報文承載并進(jìn)行傳輸，當(dāng)報文到達(dá)目的網(wǎng)絡(luò)時，再剝離外層的公網(wǎng)數(shù)據(jù)報文，剩下私網(wǎng)數(shù)據(jù)報文。在數(shù)據(jù)傳輸過程中，公網(wǎng)中的網(wǎng)絡(luò)設(shè)備完全感知不了私網(wǎng)報文的存在，私網(wǎng)報文成功

地穿透了公網(wǎng)。MPLS的數(shù)據(jù)封裝如圖1所示。

圖1中IP報文的前面封裝了MPLS標(biāo)簽，在數(shù)據(jù)傳輸過程中，通過查找標(biāo)簽轉(zhuǎn)發(fā)表實現(xiàn)報文的轉(zhuǎn)發(fā)。在傳輸過程中，由于私網(wǎng)IP報文封裝在MPLS標(biāo)簽里面，收到該數(shù)據(jù)報文的設(shè)備完全不知其私網(wǎng)報文的存在，因此說MPLS技術(shù)實際上是一種天然的隧道技術(shù)。

MPLS隧道的建立，給私網(wǎng)數(shù)據(jù)穿越公網(wǎng)架設(shè)了一座“橋梁”。但不同用戶的分支機(jī)構(gòu)采用相同地址導(dǎo)致連接不同用戶分支機(jī)構(gòu)的設(shè)備學(xué)習(xí)相同路由，產(chǎn)生路由沖突的問題，通過MPLS技術(shù)無法解決。該問題的解決通過虛擬路由技術(shù)（Virtual Routing and Forwarding, VRF）與OSPF(Open Shortest Path First ，開放最短路徑優(yōu)先)的多進(jìn)程技術(shù)來解決，通過這兩種技術(shù)的結(jié)合，使不同用戶的分支機(jī)構(gòu)的路由信息有其自己單獨的OSPF路由表，各自單獨的路由表，各自的OSPF路由表與IP路由表相互隔離，互不干擾，進(jìn)而解決不同用戶分支機(jī)構(gòu)使用相同的地址，導(dǎo)致的地址沖突問題。

VRF與OSPF的多進(jìn)程技術(shù)解決了連接不同用戶分支機(jī)構(gòu)設(shè)備路由沖突問題，當(dāng)該設(shè)備把不同用戶的相同路由信息發(fā)送給其它的網(wǎng)絡(luò)設(shè)備時，這些網(wǎng)絡(luò)設(shè)備會學(xué)習(xí)到多條相同的路由信息，同樣會產(chǎn)生路由沖突。相同路由信息在傳播過程中導(dǎo)致的路由沖突問題想得到解決，關(guān)鍵取決于路由協(xié)議。在眾多路由協(xié)議中，唯有BGP路由協(xié)議，該路由協(xié)議有幾個方面的優(yōu)勢來解決傳播時的路由沖突問題。

1）BGP路由協(xié)議可以跨設(shè)備來建立設(shè)備之間的鄰居關(guān)系，該功能使兩設(shè)備之間的中間設(shè)備不需要處理這些相同私網(wǎng)路由信息。

2）BGP路由協(xié)議它的RT （Route Target）屬性不但可以給發(fā)送的路由信息打上路由標(biāo)記，而且用戶分支機(jī)構(gòu)還可以選擇自己所需要的路由。RT屬性分為兩部分：Export Target與import Target；前面參數(shù)表示自身發(fā)出的路由的屬性，而后面參數(shù)表示自身對哪些路由感興趣。當(dāng)收到的路由信息中Export Targe值與自己本地VPN中的import Target值存在交集時，該路由就會被該本地VPN接收。

3）BGP路由協(xié)議的RD（Route Distinguisher）屬性在不同的VPN用戶采用相同的地址空間，當(dāng)某設(shè)備出現(xiàn)故障時，根據(jù)該屬性就可以判斷要撤銷哪個VPN用戶路由。

4）BGP路由協(xié)議私網(wǎng)標(biāo)簽屬性在設(shè)備收到不同用戶分支機(jī)構(gòu)相同路由時，分別打上不同的“標(biāo)記”，在數(shù)據(jù)轉(zhuǎn)發(fā)時，根據(jù)該“標(biāo)記”來判斷轉(zhuǎn)發(fā)給與之對應(yīng)的VPN用戶。

通過MPLS技術(shù)為私網(wǎng)數(shù)據(jù)成功穿越公網(wǎng)提供了一條邏輯隧道；VRF與OSPF多進(jìn)程技術(shù)的結(jié)合解決其設(shè)備收到相同地址信息，引起的路由沖突的問題；BGP路由協(xié)議解決了私網(wǎng)路由在傳播時的學(xué)習(xí)、撤銷、轉(zhuǎn)發(fā)、訪問控制等問題。因此，MPLS和BGP構(gòu)建的VPN網(wǎng)絡(luò)在隧道建立、站點間互訪控制、數(shù)據(jù)隔離方面都優(yōu)于傳統(tǒng)的VPN技術(shù)。

2 基于MPLS和BGP的VPN方案設(shè)計

2.1 初始設(shè)計

隨著幾大運營商重組完成后，運營商把公司業(yè)務(wù)的重心轉(zhuǎn)移到為用戶提供更多的增值業(yè)務(wù)上，針對企業(yè)分支機(jī)構(gòu)需接入企業(yè)內(nèi)網(wǎng)的要求，某運營商采用IPSEC技術(shù)為企業(yè)提供分機(jī)機(jī)構(gòu)訪問企業(yè)內(nèi)網(wǎng)的服務(wù)，為企業(yè)提供信息共享與安全互聯(lián)，如圖2所示。

圖2 運營商連接用戶的網(wǎng)絡(luò)拓?fù)鋱D

在圖2中，只描述了兩個企業(yè)總部和一個分支機(jī)構(gòu)，其它的企業(yè)組網(wǎng)方式連接方法相同，在此不一一描述。圖中的VPN1與VPN2分別表示不同的企業(yè)網(wǎng)絡(luò)站點，運營商的PE1設(shè)備分別連接企業(yè)A與企業(yè)B總部的設(shè)備CE1、CE2，PE2連接企業(yè)A與企業(yè)B分支機(jī)構(gòu)的CE3、CE4。隨著企業(yè)的需求量不斷增大，現(xiàn)有的組網(wǎng)方式面臨以下問題。

1）配置繁瑣：IPSEC這種技術(shù)要實現(xiàn)兩站點間的通信，需手動的配置靜態(tài)隧道，隨著用戶的不斷遞增，采用該技術(shù)對于網(wǎng)絡(luò)維護(hù)人員來說，工作量相當(dāng)大，且容易出錯。

2）路由沖突：連接PE設(shè)備的不同企業(yè)不能采用相同的地址信息，否則引起PE設(shè)備學(xué)習(xí)到兩個相同的路由信息，產(chǎn)生路由沖突。

3）擴(kuò)展性與靈活性差：新增與修改一個站點，隧道的配置都是呈平方的遞增。

2.2 改進(jìn)設(shè)計

針對當(dāng)前組網(wǎng)方式面臨的問題，一種設(shè)計思想是，采用MPLS技術(shù)來構(gòu)建動態(tài)隧道，為私網(wǎng)數(shù)據(jù)穿越公網(wǎng)提供通道，采用OSPF多進(jìn)程與VRF技術(shù)來解決PE設(shè)備的本地路由沖突問題，采用BGP來解決傳播時的路由沖突以及站點間的訪問控制問題，該設(shè)計思想實現(xiàn)如下：

1）在運營商的網(wǎng)絡(luò)中的設(shè)備上運行MPLS的LDP協(xié)議，通過LDP來給相對應(yīng)的路由信息分配標(biāo)簽，進(jìn)而在設(shè)備上形成標(biāo)簽轉(zhuǎn)發(fā)表，使用標(biāo)簽來封裝私網(wǎng)數(shù)據(jù)，并為私網(wǎng)數(shù)據(jù)穿越運營商的網(wǎng)絡(luò)提供通路。

2）在運營商連接用戶的PE設(shè)備上使用OSPF多進(jìn)程技術(shù)，分別與不同的企業(yè)交互路由信息，進(jìn)而學(xué)習(xí)到的企業(yè)路由信息分別導(dǎo)入不同的OSPF路由表。同時，使用VRF技術(shù)，讓VRF技術(shù)與OSPF多進(jìn)程做綁定，不同OSPF進(jìn)程路由表中的路由信息，導(dǎo)入不同的IP路由表中，實現(xiàn)企業(yè)間路由信息的相互隔離，互不影響。

3）在運營商連接用戶的PE設(shè)備上運行邊界網(wǎng)關(guān)路由協(xié)議BGP，利用BGP路由協(xié)議的RT、RD、LABLE屬性解決路由傳播時，引起的路由沖突，以及數(shù)據(jù)的訪問控制問題。

該運營商的主要是給各企業(yè)提供虛擬私有網(wǎng)服務(wù)，其對每個企業(yè)采用的組網(wǎng)方式與實現(xiàn)方法都相同。本文通過利用仿真平臺，模擬出該平臺的組網(wǎng)方式，具體的實現(xiàn)過程如圖3所示。

在該仿真平臺測試中，在PE1設(shè)備創(chuàng)建LOOPBACK4、LOOPBACK5接口替代 CE1、CE2，在PE2設(shè)備創(chuàng)建LOOPBACK6、LOOPBACK7接口替 代 CE3、CE4，LOOPBACK4、LOOPBACK6接口 與 VPN1綁 定，LOOPBACK5、LOOPBACK7與VPN2綁定。實驗各設(shè)備接口的IP地址和子網(wǎng)掩碼如表1所示。

表1 設(shè)備接口地址分配表

要實現(xiàn)總部與分支機(jī)構(gòu)的通信，通過以下三個步驟完成。

1）隧道的配置

在該仿真平臺上，針對公網(wǎng)的設(shè)備，采用OSPF路由協(xié)議來交互路由信息，各公網(wǎng)設(shè)備之間建立鄰居關(guān)系并交互路由信息后。在所有公網(wǎng)設(shè)備的接口上運行MPLS，并啟動LDP協(xié)議，為相關(guān)的路由信息分配標(biāo)簽，并形成與之對應(yīng)的標(biāo)簽表，進(jìn)而建立隧道。使用此方法隧道的建立是動態(tài)的，相比傳統(tǒng)的VPN技術(shù)來說，配置簡單、便捷，方便管理與維護(hù)。具體的配置如表2所示。

表2 MPLS配置

在P、PE2設(shè)備作上述表2中PE1的相同配置，各設(shè)備建立鄰居關(guān)系，交互MPLS報文，形成標(biāo)簽轉(zhuǎn)發(fā)表，進(jìn)而可以通過標(biāo)簽來封裝私有數(shù)據(jù)，設(shè)備通過查找標(biāo)簽轉(zhuǎn)發(fā)表來轉(zhuǎn)發(fā)數(shù)據(jù)，到達(dá)目的地時再拆封裝，把私有數(shù)據(jù)轉(zhuǎn)發(fā)給對應(yīng)的分支機(jī)構(gòu)。

2）PE的VPN配置

完成公網(wǎng)設(shè)備的MPLS配置后，相當(dāng)于在公網(wǎng)設(shè)備上建立好了一條“隧道”，為私網(wǎng)數(shù)據(jù)的傳輸提供了通路。對于不同企業(yè)采用相同的私有地址，導(dǎo)致PE設(shè)備學(xué)習(xí)到相同的路由信息，引起的路由學(xué)習(xí)錯誤的問題，傳統(tǒng)的解決方案是采用路由策略的方式來解決，這種方案實現(xiàn)復(fù)雜。在該平臺中采用VRF技術(shù)來解決，通過把LOOPBACK接口的地址綁定到不同的VPN中，每個LOOPBACK接口有它自己的IP路由表，IP路由表間互不影響。具體的實現(xiàn)如表3所示。

表3 PE的VPN配置

在PE2作上述表3中相同的配置，把不同企業(yè)的路由信息在PE上創(chuàng)建各自的IP路由表，各IP路由表相互隔離，進(jìn)而解決PE設(shè)備學(xué)習(xí)到不同企業(yè)的相同私網(wǎng)路由時，引起的路由沖突問題。

3）BGP配置

VRF技術(shù)只是解決了本地PE設(shè)備的路由沖突問題，而對于在傳播過程當(dāng)中引起的路由沖突無法得到解決。在此方案中采用BGP路由協(xié)議來解決在路由傳播過程中引起的路由沖突問題。通過利用BGP路由協(xié)議的RD、RT、LABLE屬性來解決傳播過程中引起的路由沖突，以及站點間的訪問控制問題。具體的配置如表4所示。

表4 PE設(shè)備的BGP配置

上述PE1的配置應(yīng)用到PE2后，當(dāng)PE1通過BGP路由協(xié)議給PE2發(fā)送私網(wǎng)路由時，分別給不同企業(yè)的私網(wǎng)路由打上不同的RD、RT、LABLE標(biāo)記，對方收到私網(wǎng)路由時，根據(jù)這些標(biāo)記來區(qū)分不同企業(yè)的私網(wǎng)路由，進(jìn)而轉(zhuǎn)發(fā)給與之對應(yīng)的分支機(jī)構(gòu)。通過上述三個步驟的配置，實現(xiàn)了不同企業(yè)私網(wǎng)數(shù)據(jù)的交互。

2.3 性能測試與分析

上述規(guī)劃與配置，已完成MPLS與BGP技術(shù)VPN網(wǎng)絡(luò)的構(gòu)建。采用該技術(shù)構(gòu)建的網(wǎng)絡(luò)是否連通，是否解決了路由沖突與訪問控制的問題，下面對該仿真平臺構(gòu)建的網(wǎng)絡(luò)進(jìn)行性能測試與性能對比。

1）性能測試

該仿真平臺的VPN的構(gòu)建是建立動態(tài)的隧道，并解決不同企業(yè)采用相同的私有地址，引起的路由沖突，以及站點間互訪控制問題。通過在PE1設(shè)備上運行dis ip routing-table vpn-instance vpn1與dis ip routingtable vpn-instance vpn2，得到的結(jié)果如圖4所示。

圖4 查看VPN1與VPN2路由表的結(jié)果

通過圖4的訪問結(jié)果,表明了企業(yè)總部與分支機(jī)構(gòu)已學(xué)習(xí)到對方的私網(wǎng)路由信息，且不同VPN用戶的私網(wǎng)路由信息導(dǎo)入了不同的IP路由表中，相互之間互不影響對方。不同VPN用戶路由表相互隔離，說明即使它們采用了相同的地址信息，也不會引起路由沖突的問題。相同VPN用戶是否能互訪，通過在仿真平臺實驗的PE1上運行ping -vpn-instance vpn1 6.6.6.6與ping -vpn-instance vpn1 7.7.7.7，得到的結(jié)果如圖5所示。

上述訪問結(jié)果證明了通過該方案的配置，實現(xiàn)了企業(yè)總部與分支機(jī)構(gòu)的互訪，圖4、圖5的結(jié)果表明，不同企業(yè)的VPN站點是相互隔離的，即使采用了相同的私網(wǎng)信息，也不會引起路由沖突問題，同時，對于站點間的數(shù)據(jù)的訪問控制與隔離通過該仿真平臺，得以實現(xiàn)。

2）性能對比

上述的理論研究與實踐給性能對比提供了依據(jù)，下面從擴(kuò)展性、訪問控制等方面來分析傳統(tǒng)VPN技術(shù)與該VPN技術(shù)性能差別。

表5 兩種VPN技術(shù)性能對比

通過上述對比分析，得出該技術(shù)在可管理性、訪問控制、路由沖突等問題的上都要優(yōu)于傳統(tǒng)的VPN技術(shù)。正由于MPLS和BGP技術(shù)構(gòu)建的VPN有上述這么多的優(yōu)點，使該技術(shù)的應(yīng)用也越來越廣。

3 結(jié)束語

傳統(tǒng)VPN技術(shù)構(gòu)建的虛擬私有網(wǎng)絡(luò)擴(kuò)展性、靈活性差，對于站點的路由沖突、訪問控制難于實現(xiàn)。本文針對上述問題，分析了產(chǎn)生這些問題的根源。針對上述問題，提出采用MPLS來建立動態(tài)隧道，使用BGP來解決訪問控制、路由沖突等問題。通過仿真平臺應(yīng)用該設(shè)計思想，實踐證明，MPLS與BGP技術(shù)的融合在擴(kuò)展性、靈活性、訪問控制等方面要優(yōu)于傳統(tǒng)的VPN技術(shù)，為企業(yè)構(gòu)建虛擬私有網(wǎng)絡(luò)提供了一套解決方案。

[1] 劉化君. 基于IPSec的VPN技術(shù)應(yīng)用與實現(xiàn)[J]. 電腦開發(fā)與應(yīng)用, 2010, 23(3）: 65-67.

{2] 楊彥彬, 馮久超. 基于VPN技術(shù)的組網(wǎng)方案探討[J]. 計算機(jī)科學(xué), 2008, 35(9）: 110-112.

[3] 侯劍鋒, 馬明凱, 李向紅. MPLS VPN中動態(tài)服務(wù)質(zhì)量機(jī)制的應(yīng)用[J]. 計算機(jī)工程, 2010, 36(3）: 106-108.

[4] 侯劍鋒, 馬明. MPLS VPN中PE-CE互連仿真研究[J]. 計算機(jī)工程, 2010, 36(12）: 123-125.

[5] 盧眾寧, 蘇厚勤. MPLS-VPN在企業(yè)ERP實施過程中的應(yīng)用研究[J]. 計算機(jī)應(yīng)用與軟件, 2012（29）：90-93.

VPN construction and application research based on MPLS and BGP

ZHONG Can-xiong
(Hunan Post and Telecommunication College, Changsha, Hunan, China 410015）

There are data isolation and difficulty in realizing exchange visit control in terms of virtual private network of GRE,IPSEC construction .This paper analyzes the origins of these problems, puts forward the design of the MPLS and BGP technology to construct virtual private network, and applies the technology through the simulation platform. It proves that using this method is superior to the traditional VPN technology in solving routing conflict, data isolation, inter-site access control and other aspects.

routing conflict; MPLS and BGP technology; data isolation

10.3969/j.issn.2095-7661.2014.02.014】

TP393.1

A

2095-7661(2014)02-0058-06

2014-04-10

鐘燦雄（1975-），女，湖南瀏陽人，湖南郵電職業(yè)技術(shù)學(xué)院學(xué)籍管理員，碩士，研究方向：計算機(jī)科學(xué)與應(yīng)用。