CN101557334B - Mpls vpn、其vpn多实例用户边缘设备及其实现方法 - Google Patents

Abstract

本发明提供了MPLS VPN、其VPN多实例用户边缘设备及其实现方法，方法包括以下步骤：在MPLS VPN中的用户边缘设备上设置多个VLAN接口；用户边缘设备在每个VLAN接口通过各自的虚拟路由转发表连接用户设备，用户边缘设备通过内外层标签连接供应商边缘设备，多个供应商边缘设备通过供应商网络设备连接；以及每个虚拟路由转发表内的用户边缘设备、供应商边缘设备、供应商网络设备和用户设备构成一个VPN。本发明实现了多个VPN实例只需要一个用户边缘设备就可转发，安全性好，减少了管理的复杂度和CE设备的成本。

Description

MPLS VPN、其VPN多实例用户边缘设备及其实现方法

技术领域

本发明涉及通信领域，具体而言，涉及一种MPLS VPN(Multi-Protocol Label Switching，多协议标签交换/Virtual PrivateNetwork，虚拟专用网)、一种MPLS VPN中的VLAN多实例用户边缘设备，以及一种MPLS VPN中的VLAN多实例用户边缘设备的实现方法。 

背景技术

随着网络通信技术的发展，MPLS VPN技术已经越来越广泛的应用到现有的网络中，成为一种趋势。 

传统的MPLS VPN网络中的网络设备大致可分为如下角色： 

供应商网络设备，以下简称P(Provider)设备，是在运营商网络核心的设备，没有和任何用户站点的设备连接。P设备支持MPLSLSP(Label Switched Path，标签交换路径)或者LDP(LabelDistribution Protocol，标签分发协议)功能，但不需要支持VPN功能。 

供应商边缘设备，以下简称PE(Provider Edge)设备，是在运营商网络中连接用户站点中CE(Client Edge，用户边缘)设备的路由器。PE设备支持VPN和标记功能(标记功能可以由RSVP (Resource Reservation Protocol，资源预留协议)、LDP或者CR-LDP(Constrain based Routing LDP，基于约束路由的LDP)来提供)。 

用户边缘设备，以下简称CE设备：用户站点中连接运营商网络的路由器或者交换机。CE设备通常是IP路由器或者交换机，通常没有特别的VPN配置要求。 

在实现本发明过程中，发明人发现现有技术中，一台CE设备只能配置一个VPN实例，而如果MPLS VPN中需要配置多个VPN实例的话，每个VPN实例都需要一个单独的CE设备，增加了设备成本和管理的复杂度。 

发明内容

本发明旨在提供一种MPLS VPN、其VPN多实例用户边缘设备及其实现方法，以解决现有技术中每个VPN实例都需要一个单独的CE设备的问题。 

在本发明的实施例中，提供了一种MPLS VPN中的VPN多实例CE设备的实现方法，包括以下步骤：在MPLS VPN中的CE设备上设置多个VLAN接口；CE设备在每个VLAN接口通过各自的VRF连接UE(User Equipment，用户设备)，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及每个VRF(Virtual Routing Forwarding，虚拟路由转发实例)内的CE设备、PE设备、P设备和UE构成一个VPN。 

优选的，CE设备通过内外层标签连接PE设备具体包括：CE设备使用静态路由、内部网关协议或边界网关协议连接PE设备。 

优选的，还包括：同一VPN内的多个UE相互访问。 

优选的，CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备具体包括：第一UE和第二UE分别通过一个VLAN接口连接第一CE设备，第三UE通过一个VLAN接口连接第二CE设备，第一CE设备通过内外层标签连接第一PE设备，第二CE设备通过内外层标签连接第二PE设备，第一PE设备与第二PE设备通过P设备互连；其中，第一UE、第二UE、第三UE、第一CE设备、第二CE设备、第一PE设备、第二PE设备、P设备属于同一个VRF。 

优选的，还包括：第二CE设备将路由发布给第二PE设备，第二PE设备为这些路由分配内层标签，然后发布给第一PE设备，第一PE设备通告路由到第一CE设备；第一UE的报文到达第一CE设备后，第一CE设备根据报文所属VLAN接口获取报文的VRF的标识，使用报文的目的地址和标识查询VRF的路由表；如果发现目的地址指向第二UE，那么第一CE设备直接将报文转发给第二UE；如果发现目的地址指向第三UE，那么将报文匹配到第一CE设备上的第一PE设备通告过来的路由，然后转发到第一PE设备，第一PE设备收到报文后，按照标识对应的VRF查询VRF的路由表，增加内外层标签，然后转发给到P设备，P设备弹出外层标签转发到第二PE设备，第二PE设备弹出内层标签，转发给第二用户边缘设备，最后转发给第三UE。 

在本发明的实施例中，还提供了一种MPLS VPN，包括：CE设备，PE设备、UE，CE设备包括多个VLAN接口；CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及每个VRF内的CE设备、PE设备、P设备和UE构成一个VPN。 

优选的，CE设备通过内外层标签连接PE设备具体包括：CE设备使用静态路由、内部网关协议或边界网关协议连接PE设备。 

优选的，还包括：同一VPN内的多个UE相互访问。 

优选的，CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备具体包括：第一UE和第二UE分别通过一个VLAN接口连接第一CE设备，第三UE通过一个VLAN接口连接第二CE设备，第一CE设备通过内外层标签连接第一PE设备，第二CE设备通过内外层标签连接第二PE设备，第一PE设备与第二PE设备通过P设备互连；其中，第一UE、第二UE、第三UE、第一CE设备、第二CE设备、第一PE设备、第二PE设备、P设备属于同一个VRF。 

在本发明的实施例中，还提供了一种MPLS VPN中的VPN多实例CE设备，包括：多个VLAN接口；VPN多实例CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及每个VRF内的CE设备、PE设备、P设备和UE构成一个VPN。 

上述实施例的MPLS VPN、其VPN多实例用户边缘设备及其实现方法因为在一个CE设备上启用多个VRF，所以克服了现有技术中每个VPN实例都需要一个单独的CE设备的问题，实现了多个VPN实例只需要一个用户边缘设备就可转发，安全性好，减少了管理的复杂度和CE设备的成本。 

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中： 

图1示出了根据本发明是实施例的VPN多实例CE设备的实现方法的流程图； 

图2示出了根据本发明的实施例的MPLS VPN的示意图； 

图3示出了根据本发明实施例的VPN多实例CE设备和PE设备的配置示意图。 

具体实施方式

下面将参考附图并结合实施例，来详细说明本发明。 

图1示出了根据本发明是实施例的VPN多实例CE设备的实现方法的流程图，包括以下步骤： 

步骤S10，在MPLS VPN中的CE设备上设置多个VLAN接口； 

步骤S20，CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及 

步骤S30，每个VRF内的CE设备、PE设备、P设备和UE构成一个VPN。 

该VPN多实例CE设备的实现方法目的是对CE设备的功能进行改进，在CE设备的VLAN接口上实现VPN多实例，以下简称MCE(Multi-CE，多用户边缘)。该实现方法因为在一个CE设备上启用多个VRF，所以克服了现有技术中每个VPN实例都需要一个单独的CE设备的问题，实现了多个VPN实例只需要一个用户边缘设备就可转发，安全性好，减少了管理的复杂度和CE设备的成本。 

优选的，CE设备通过内外层标签连接PE设备具体包括：CE设备使用静态路由、内部网关协议或边界网关协议连接PE设备。 

优选的，还包括：同一VPN内的多个UE相互访问。 

优选的，CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备具体包括：第一UE和第二UE分别通过一个VLAN接口连接第一CE设备，第三UE通过一个VLAN接口连接第二CE设备，第一CE设备通过内外层标签连接第一PE设备，第二CE设备通过内外层标签连接第二PE设备，第一PE设备与第二PE设备通过P设备互连；其中，第一UE、第二UE、第三UE、第一CE设备、第二CE设备、第一PE设备、第二PE设备、P设备属于同一个VRF。 

优选的，还包括：第二CE设备将路由发布给第二PE设备，第二PE设备为这些路由分配内层标签，然后发布给第一PE设备，第一PE设备通告路由(例如聚合路由或者缺省路由)到第一CE设备；第一UE的报文到达第一CE设备后，第一CE设备根据报文所属VLAN接口获取报文的VRF的标识，使用报文的目的地址和标识查询VRF的路由表；如果发现目的地址指向第二UE，那么第一CE设备直接将报文转发给第二UE；如果发现目的地址指向第三UE，那么将报文匹配到第一CE设备上的第一PE设备通告过来的路由，然后转发到第一PE设备，第一PE设备收到报文后，按照标识对应的VRF查询VRF的路由表，增加内外层标签，然后转发给到P设备，P设备弹出外层标签转发到第二PE设备，第二PE设备弹出内层标签，转发给第二用户边缘设备，最后转发给第三UE。 

本发明的一个实施例提供了一种MPLS VPN，包括： 

CE设备，PE设备、UE，CE设备包括多个VLAN接口； 

CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及 

每个VRF内的CE设备、PE设备、P设备和UE构成一个VPN。 

该MPLS VPN因为在一个CE设备上启用多个VRF，所以克服了现有技术中每个VPN实例都需要一个单独的CE设备的问题，实现了多个VPN实例只需要一个用户边缘设备就可转发，安全性好，减少了管理的复杂度和CE设备的成本。 

优选的，CE设备通过内外层标签连接PE设备具体包括：CE设备使用静态路由、内部网关协议或边界网关协议连接PE设备。 

优选的，还包括：同一VPN内的多个UE相互访问。 

优选的，CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备具体包括：第一UE和第二UE分别通过一个VLAN接口连接第一CE设备，第三UE通过一个VLAN接口连接第二CE设备，第一CE设备通过内外层标签连接第一PE设备，第二CE设备通过内外层标签连接第二PE设备，第一PE设备与第二PE设备通过P设备互连；其中，第一UE、第二UE、第三UE、第一CE设备、第二CE设备、第一PE设备、第二PE设备、P设备属于同一个VRF。 

图2示出了根据本发明的实施例的MPLS VPN的示意图，其中的点线箭头表示HostA到HostB的数据流，点横线箭头表示HostA到HostD的数据流，实线箭头表示HostC到HostE的数据流。 

从图中，可以看到HostA、HostB、HostD属于同一个VRF_A，构成一个VPN；HostC、HostE属于同一个VRF_B，构成一个VPN。这里的HostA、HostB、HostD可以认为是优选实施例中的第一UE、第二UE、第三UE。其中，CE设备上可以在每个VLAN接口上配置一个虚拟转发实例，这些接口再与用户设备相连。CE设备与PE设备通过多个VLAN接口互联，可以使用静态路由或者启用IGP (Interior Gateway Protocol，内部网关协议)、BGP(Border GatewayProtocol，边界网关协议)。 

其数据流转发包括以下各步骤： 

site1中的HostA需要访问site1中的HostB和site2中的HostD。首先，CE2将site2中的路由通过静态路由/IGP/BGP等方法发布给PE2，PE2为这些路由分配一个内层标签，通过IBGP(Interior BGP，内部边界网关协议)发布给PE1，PE1通告聚合路由或者缺省路由到MCE1，MCE1和PE之间可以通过静态路由/IGP/BGP等方法交换IPv4路由信息。 

转发时，HostA的报文到达MCE1后，MCE1先根据报文所属VLAN接口获取报文的VRF_ID，然后使用报文的目的IP和VRF_ID查询VRF_A的路由表，如果发现是本地的路由，比如site1中的HOSTA访问site1中的HostB，那么MCE1直接将报文转发给HostB，这样报文不需要从PE转发，减轻了PE的负担；如果不是本地路由而是远端，比如site1中的HOSTA访问site2中的HostD，那么报文到达MCE1上将匹配到PE1通告过来的IGP/BGP/静态路由，被转发到PE1上，PE1收到报文后，按照报文所属的VRF查询VRF路由表，增加内外层标签，然后转发给P，P是倒数第2跳，弹出外层标签到PE2上，PE2弹出内层标签，转发给CE2，最后到达site2的HostD。 

HostC访问HostE时，在MCE1上查询的是VRF_B的路由表，后续转发流程与HostA访问HostD类似，这里不再赘述。 

可以看到多个VPN实例只需要一个MCE即可实现转发，如前所述，安全性好，也大大减少了管理的复杂度和CE设备的成本。 

某交换机设备中应用了本发明方法，总的来说，本发明方法的原理就是将VPN多实例应用在CE设备中，实现MCE的功能，其包括： 

多个VLAN接口； 

VPN多实例CE设备在每个VLAN接口通过各自的VRF连接UE，CE设备通过内外层标签连接PE设备，多个PE设备通过P设备连接；以及 

每个VRF内的CE设备、PE设备、P设备和UE构成一个VPN。 

图3示出了根据本发明实施例的VPN多实例CE设备和PE设备的配置示意图，下面结合图3，说明本发明的应用和配置方法： 

首先说明PE与MCE侧相连接口的配置： 

第一步，在PE上创建VRF实例： 

zxr10#con t 

zxr10(config)#ip vrf vrf1 

zxr10(config-vrf)#rd 1∶100 

zxr10(config-vrf)#route target both 1∶100 

第二步，将PE与MCE相连的三层VLAN接口与VRF关联： 

zxr10#con t 

zxr10(config)#int vlan 3000 

zxr10(config-if)ip vrf forwarding vrf1 

第三步，在PE上启用IGP/BGP协议的VRF实例，以OSPF为例： 

zxr10#con t 

zxr10(config)#router ospf 100 vrf vrf1 

zxr10(config)#network 0.0.0.0 255.255.255.255 area 0 

MCE的配置如下： 

第四步，MCE创建VRF实例，与PE上第一步类似。 

zxr10#con t 

zxr10(config)#ip vrf vrf1 

zxr10(config-vrf)#rd 1∶100 

zxr10(config-vrf)#route target both 1∶100 

第五步，与PE侧的接口绑定VRF属性： 

zxr10#con t 

zxr10(config)#int vlan 3000 

zxr10(config-if)ip vrf forwarding vrf1 

并且启用IGP或者BGP协议，或者直接配置静态VRF路由指向PE，假设PE与MCE相连的三层VLAN接口IP地址为22.1.1.1，以静态路由为例： 

zxr10#con t 

zxr10(config)#ip route vrf vrf1 0.0.0.0 0.0.0.0 22.1.1.1 

第五步，MCE与HOST侧在VLAN接口上定义与VRF关联： 

zxr10# 

zxr10(config)#int vlan 100 

zxr10(config)#ip vrf forwarding vrf1 

从以上的描述中，可以看出与传统CE相比，MCE有如下优点： 

1)安全性好，不需要使用复杂的加密技术就可以使用不同的VPN实例让需要隔离的用户相互隔离。 

2)节省用户边缘设备，简化管理的复杂度。传统的MPLS VPN为了实现用户隔离，每个VPN实例都需要一个单独的CE设备，增加了设备成本和管理的复杂度，而使用可本发明可以大大减少传统CE设备的数量，管理复杂度也随之降低。 

3)可以支持用户地址重叠，如果不访问公网，可以不需要使用NAT技术对重叠地址进行转换。 

4)减轻PE设备的负担。支持VPN多实例的CE可以完成一部分本地转发，不需要将所有的流量都通过PE设备。 

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。 

Claims (10)

1.一种多协议标签交换虚拟专用网中的虚拟专用网多实例用户边缘设备的实现方法，其特征在于，包括以下步骤：

在所述多协议标签交换虚拟专用网中的用户边缘设备上设置多个虚拟局域网接口；

所述用户边缘设备在每个所述虚拟局域网接口通过各自的虚拟路由转发实例VRF连接用户设备，所述用户边缘设备通过内外层标签连接供应商边缘设备，多个所述供应商边缘设备通过供应商网络设备连接；以及

每个所述VRF内的所述用户边缘设备、所述供应商边缘设备、所述供应商网络设备和所述用户设备构成一个虚拟专用网。

2.根据权利要求1所述的实现方法，其特征在于，所述用户边缘设备通过内外层标签连接供应商边缘设备具体包括：

所述用户边缘设备使用静态路由、内部网关协议或边界网关协议连接所述供应商边缘设备。

3.根据权利要求1所述的实现方法，其特征在于，还包括：同一所述虚拟专用网内的多个所述用户设备相互访问。

4.根据权利要求1所述的实现方法，其特征在于，所述用户边缘设备在每个所述虚拟局域网接口通过各自的VRF连接用户设备，所述用户边缘设备通过内外层标签连接供应商边缘设备具体包括：

第一用户设备和第二用户设备分别通过一个所述虚拟局域网接口连接第一用户边缘设备，第三用户设备通过一个所述虚拟局域网接口连接第二用户边缘设备，所述第一用户边缘设备通过内外层标签连接第一供应商边缘设备，所述第二用户边缘设备通过内外层标签连接第二供应商边缘设备，所述第一供应商边缘设备与所述第二供应商边缘设备通过所述供应商网络设备互连；

其中，所述第一用户设备、第二用户设备、第三用户设备、第一用户边缘设备、第二用户边缘设备、第一供应商边缘设备、第二供应商边缘设备、所述供应商网络设备属于同一个所述VRF。

5.根据权利要求4所述的实现方法，其特征在于，还包括：

所述第二用户边缘设备将路由发布给所述第二供应商边缘设备，所述第二供应商边缘设备为这些路由分配内层标签，然后发布给所述第一供应商边缘设备，所述第一供应商边缘设备通告路由到所述第一用户边缘设备；

所述第一用户设备的报文到达所述第一用户边缘设备后，所述第一用户边缘设备根据报文所属虚拟局域网接口获取报文的VRF的标识，使用报文的目的地址和所述标识查询所述VRF的路由表；

如果发现所述目的地址指向所述第二用户设备，那么所述第一用户边缘设备直接将报文转发给所述第二用户设备；

如果发现所述目的地址指向所述第三用户设备，那么将报文匹配到所述第一用户边缘设备上的所述第一供应商边缘设备通告过来的路由，然后转发到所述第一供应商边缘设备，所述第一供应商边缘设备收到报文后，按照所述标识对应的VRF查询所述VRF的路由表，增加内外层标签，然后转发给到所述供应商网络设备，所述供应商网络设备弹出外层标签转发到所述第二供应商边缘设备，所述第二供应商边缘设备弹出内层标签，转发给所述第二用户边缘设备，最后转发给所述第三用户设备。

6.一种多协议标签交换虚拟专用网，其特征在于，包括：用户边缘设备，供应商边缘设备、用户设备，

所述用户边缘设备包括多个虚拟局域网接口；

所述用户边缘设备在每个所述虚拟局域网接口通过各自的VRF连接用户设备，所述用户边缘设备通过内外层标签连接供应商边缘设备，多个所述供应商边缘设备通过供应商网络设备连接；以及

每个所述VRF内的所述用户边缘设备、所述供应商边缘设备、所述供应商网络设备和所述用户设备构成一个虚拟专用网。

7.根据权利要求6所述的多协议标签交换虚拟专用网，其特征在于，所述用户边缘设备通过内外层标签连接供应商边缘设备具体包括：

所述用户边缘设备使用静态路由、内部网关协议或边界网关协议连接所述供应商边缘设备。

8.根据权利要求6所述的多协议标签交换虚拟专用网，其特征在于，还包括：同一所述虚拟专用网内的多个所述用户设备相互访问。

9.根据权利要求6所述的多协议标签交换虚拟专用网，其特征在于，所述用户边缘设备在每个所述虚拟局域网接口通过各自的VRF连接用户设备，所述用户边缘设备通过内外层标签连接供应商边缘设备具体包括：

第一用户设备和第二用户设备分别通过一个所述虚拟局域网接口连接第一用户边缘设备，第三用户设备通过一个所述虚拟局域网接口连接第二用户边缘设备，所述第一用户边缘设备通过内外层标签连接第一供应商边缘设备，所述第二用户边缘设备通过内外层标签连接第二供应商边缘设备，所述第一供应商边缘设备与所述第二供应商边缘设备通过所述供应商网络设备互连；

其中，所述第一用户设备、第二用户设备、第三用户设备、第一用户边缘设备、第二用户边缘设备、第一供应商边缘设备、第二供应商边缘设备、所述供应商网络设备属于同一个所述VRF。

10.一种多协议标签交换虚拟专用网中的虚拟专用网多实例用户边缘设备，其特征在于，包括：

多个虚拟局域网接口；

所述虚拟专用网多实例用户边缘设备在每个所述虚拟局域网接口通过各自的VRF连接用户设备，所述用户边缘设备通过内外层标签连接供应商边缘设备，多个所述供应商边缘设备通过供应商网络设备连接；以及

每个所述VRF内的所述用户边缘设备、所述供应商边缘设备、所述供应商网络设备和所述用户设备构成一个虚拟专用网。

Images