MPLS VPN用户组网分析及解决方案

中国电信股份有限公司厦门分公司 林 慰

MPLS VPN用户组网分析及解决方案

中国电信股份有限公司厦门分公司 林 慰

电信目前为客户提供的MPLS VPN组网解决方案是一种基于PE的L3 VPN技术，使用BGP协议在城域网上发布VPN路由，使用MPLS在城域网上转发VPN报文，实现用户组建私网需求。MPLS VPN用户的网络组网模型与实际业务配置需求存在互相影响，容易导致部分分支点业务需求出现异常。

MPLS VPN；组网；PE；CE；中心点；分支点

一、现状分析

用户采用的基本组网模型主要为如下两种：

1.全网状模型（any-to-any）

全网状组网强调网络的互通性，确保VPN所有站点互联互通，适合不同部门或分支机构有频繁业务来往的企业组网需要。

2.星型组网（Hub-Spoke）

适合主从架构的机构组网需要，目前大部分企业和政府部门属于这种架构，在这种架构中，保证分支机构和总部直接通性，而防止分支机构直接访问，实现VPN访问的安全性。

具备一定技术力量的大型私网组成的客户，一般采用星型组网的方式，依托电信配合，组建适合自身结构的VPN网型。

二、VPN用户组网异常分析

某卫生系统几家MPLS VPN组网用户申诉，分支点访问其他分支点有要求通过中心点或不通过中心点的问题，影响业务使用。经进一步调查研究，发现此类用户组网均为星型结构并且中心点配置有默认0.0.0.0的路由发布，在该种配置情况下即会出现如下两种情况：

1.始发、末端分支点电路与中心点在不同PE

当始发分支点和末端分支点电路均于中心点不在相同PE时，分支点之间可利用中心点所在PE的路由转发实现直接访问，而不经过中心点用户内网CE设备。具体如图1所示（图示为举例说明，非实际网络配置，下同）：

图1 始发、末端分支点电路与中心点在不同PE

（1）A分支点学习不到电信云平台（分支点）内10.200.0.73的路由，但能学习到中心点V000004发布的默认0.0.0.0路由，下一跳为中心点PE设备IP。

（2）当A分支点预访问电信云平台，客户端的数据IP报文依照学习到的默认路由，转发到中心点所在的PE设备。

（3）当数据报文正常达到中心点所在的PE设备，因中心点的VPN电路上有所有分支点的接入路由，所以中心点PE直接基于数据报文中的目的IP和标签，转发至云平台的PE。

（4）数据报文达到云平台所在的PE，基于MPLS 标签，正常寻址到云平台的VPN网内的10.200.0.73设备，实现了正常访问。

在星型VPN组网内，当配置了中心点的默认路由发布，在其他PE设备上的同VPN网分支点电路，均能通过学到的中心点默认路由，数据报文送达中心点所在PE设备后，直接选路到达其他分支点的网络。如此配置失去了原星型组网中心点安全管控、分支点无法互访的目的。

2.始发分支点电路与中心点在相同PE

当始发分支点与中心点电路在相同PE时，分支点利用学习到的默认路由访问其他分支点，但因学到的默认路由下一条是明确的中心点电路接入端口，因此必须经过中心点用户内网CE设备来实现访问目的。具体如图2所示。

图2 始发分支点电路与中心点在相同PE

图3 混杂型组网

（1）B分支点学习不到电信云平台（分支点）内10.200.0.73的路由，但能学习到中心点V000004发布的默认0.0.0.0路由，下一跳为PE设备上中心点电路的接入端口和用户CE配置IP。

（2）当B分支点预访问电信的云平台，客户端数据报文依照学习到的默认路由，在PE设备上直接转发到中心点电路的CE设备上。

（3）如果中心点VPN内网内可放通相关路由访问，则存在之后的步骤；如中心点VPN内网配有安全设置，则数据报文被丢弃或不转发。

（4）数据报文经过中心点VPN的CE设备后，回到中心点所在PE设备，中心点PE设备上拥有所有分支点的明细路由，直接基于数据报文中的目的IP和标签，转发至云平台的PE。

（5）数据报文达到云平台所在的PE，基于MPLS 标签和IP报文，正常寻址到云平台的VPN网内的10.200.0.73设备，实现了正常访问。

在星型VPN组网内，当配置了中心点的默认路由发布，相同PE设备上VPN网内分支点电路可利用中心点发布的默认路由，实现访问其他分支点目的。但数据报文必须经过中心点VPN的CE设备转发，方能实现星型组网需求。

三、解决方案

针对以上的网络分析，建议用户明确业务需求，确定组网类型。笔者依据不同的需求，提供如下组网方案：

1.全网状模型

改成此网络结构，每个分支点可互相访问，无处不可达。

2.星型组网

维持原有VPN网的配置，取消中心点的默认路由发布，还原原有星型网结构；为解决分支点互访的需求，可通过中心点内网进行NAT转换的方式实现。例如：分支点A访问中心点的IP，经过中心点转换后指向访问分支点B。

3.混杂型组网（Hub and Spoke），如图3所示

该方案适用于：

（1）网络形状为星型组网。

（2）中心点发布默认路由，可方便实现进行分支点的访问规划及路由部署。

（3）分支点网络应用，流量一定需通过中心点网络进行安全过滤。