＼ ＼＼＼ 兰 基于Ｍ Ｐ ＬＳ技术的 二、三层．ＶＰ Ｎ比较 ★ 罗恒洋 ， 张 海 ， 陈 涛 （安徽财经大学信息工程学院计算机系，蚌埠２３３０４１） 摘 要：描述ＭＰＬＳ隧道技术的主要思想，分析基于ＭＰＬＳ技术的二、三层ＶＰＮ工作机制，比较 ＭＰＬＳ二、三层ＶＰＮ的工作特点，提出要根据ＶＰＮ网络设计性能和目标，合理选择基于 ＭＰＬＳ技术的ＶＰＮ方案组建所需要的ＶＰＮ。 关键词：ＭＰＬＳ；隧道技术；二层ＶＰＮ；三层ＶＰＮ ０ 引言 早期的ＶＰＮ使用某种专门的隧道协议完成ＶＰＮ 功能．使用的是传统的ＩＰ交换技术．制约了ＶＰＮ的 性能、随着ＭＰＬＳ技术在ＩＰ骨干网上的应用，其与生 俱来的对ＶＰＮ支持能力充分显示出来．目前成为首 选的组建ＶＰＮ技术 ＣＥ接人ＰＥ的方式必须相同．接人方式可以采用 Ｅｔｈｅｍｅｔ、ＰＰＰ、ＡＴＭ、帧中继和ＳＤＨ／ＳＯＮＥＴ，本文以帧 中继接人方式进行分析 如果ＶＰＮ Ａ中的ＣＥ１用帧 中继接口接人ＰＥ１．则ＶＰＮ Ａ中的ＣＥ２也必须通过 帧中继接口接入本地的ＰＥ２．在ＭＰＬＳ域中ＰＥ１和 ＰＥ２之间必须建立ＬＳＰ．这些ＬＳＰ的建立和ＶＰＮ没 有关系，仍然通过ＬＤＰ或ＲＳＶＰ建立ＬＳＰ。图１中 １ ＭＰＬＳ技术思想 ＭＰＬＳ技术最初产生的原因就是要解决分组转 发速率问题．ＭＰＬＳ技术把传统的三层路由选择技术 和二层虚电路交换技术结合起来．提高了路由器的能 力．引进ＭＰＬＳ技术的路由器内分为两个相互的 功能模块．即控制模块和转发模块．控制模块主要完 成路由选择、标签绑定与分发功能，转发模块主要实 现根据标签指定的输出信息转发分组．可以由硬件实 现分组的转发．能够实现分组的线速转发 ＬＡＮ１通过ＣＥ１用帧中继接口接人本地ＰＥ１．ＰＥ１就 时在ＣＥ１中建立路由表，如表１所示。 ＶＰＮＡ １９２ ｌ１．１．０ 必须为帧中继接人电路分配数据链路连接标识符．同 ２ ＭＰＬＳ二层ＶＰＮ工作机制 传统ＩＰ ＶＰＮ中．虚拟点对点连接通过隧道实 现．一旦在两个ＩＰ端点之间建立隧道．报文就可以安 全地从隧道一端传送到另一端 在ＭＰＬＳ域中．任意 现 两个端点之间可以建立标签交换路径（ＬＳＰ）．这个 代 ＬＳＰ就称作ＬＳＰ隧道 由此．引申出ＭＰＬＳ二层隧道 计 的ＶＰＮ拓扑结构．如图１所示 算 图１中．ＣＥ为用户边缘路由器．ＰＥ为ＭＰＬＳ域 机 ＾ ＶＰＮ Ａ ｌ９２．１１．２．０ 图１基于ＭＰＬＳ第二层ＶＰＮ 总 二 的提供者边缘路由器．ＣＥ必须通过ＰＥ接入ＭＰＬＳ 对于ＣＥ１来说，ＭＰＬＳ域就像一个帧中继网络， 对于同一ＶＰＮ，各个 第 域。一个ＰＥ可以接人多个ＶＰＮ．通过ＤＬＣＩ＝１００的虚电路和ＶＰＮ Ａ ＣＥ２点对点相连． 九 五 ★基金项目：安徽省高等学校自然科学研究项目（Ｎｏ．ＫＪ２００７Ｃ３０２ＺＣ） 收稿日期：２００８—０５—０８修稿日期：２００８一１０—２７ 期 、， 作者简介：罗恒洋（１９７０一），男，山东滕州人，硕－ｘｔ－，讲师，研究方向为计算机网络与信息安全 ＠ＭＯＤ ＥＲＮ ０ＭＰＵＴＥＲ ２００８．１１ ／ 硒究与开发 ／ 只要把送往１９２．１１．２．０子网的ＩＰ报文封装成ＬＡＰＦ 帧封装成ＭＰＬＳ分组从端口２转发出去．ＭＰＬＳ标签 （核心）帧．帧首部ＤＬＣＩ字段值置为１００。然后将封装 堆栈栈底标签为２０２．栈顶标签为５０５．中间路由器Ｐ 后的ＬＡＰＦ（核心）帧从相应帧中继接口（ＦＲ１）输出． 根据栈顶标签进行标签交换转发．图１中的Ｐ已是 就一定能够到达ＶＰＮ Ａ ＣＥ２ ＬｓＰ上倒数第二跳【ｓＲ，只进行弹出、交换操作．不再 由于ＭＰＬＳ域中的ＬＳＰ隧道是单向隧道．为了在 压入输出标签．到达ＰＥ２的ＭＰＬＳ分组所携带的标签 ＶＰＮ Ａ中实现各个子网的双向数据传输．要在ＰＥ１ 只是栈底ＶＰＮ标识标签．不是ＬｓＰ输入标签．ＰＥ２根 和ＰＥ２上建立两条不同方向的ＬＳＰ隧道 表２给出 据栈底ＶＰＮ标识标签．查找ＰＥ２转发表．确定帧中继 ＰＥ１中．ＰＥＩ—Ｐ—ＰＥ２ ＬＳＰ隧道转发表．表３给出 输出端口和输出ＤＬＣＩ．对ＬＡＰＦ帧的ＤＬＣＩ字段进行 ＰＥ２中．ＰＥＩ—Ｐ—ＰＥ２ ＬｓＰ隧道转发表．ＰＥ１和ＰＥ２ 置换，ＤＬＣＩ＝３００．将ＩＡＰＦ帧转发给ＣＥ２，ＣＥ２从 中逆方向的ＬｓＰ隧道转发表本文略去．不影响分组在 ＩＡＰＦ帧中剥离出ＩＰ报文．根据ＩＰ报文的目的ＩＰ地 隧道中的转发分析 址．将ＩＰ报文转发给ＩＰ子网地址为１９２．１１．２．０的 从表２中可以看出．ＰＥ１必须根据接收到的 ＬＡＮ２ 从ＣＥ角度看．ＭＰＬＳ域很像一个提供二层连 ＬＡＰＦ（核心）帧首部ＤＬＣＩ字段值确定ＶＰＮ标识标 接的公共传输网络 签．选定对应的ＬＳＰ．这个ＬｓＰ可以通过ＰＥ１ ＬｓＰ的 输出标签和输出接口确定 ＬｓＰ的ＶＰＮ标识标签和 ３ ＭＰｋＳ三层ＶＰＮ工作机制 输出标签是不同的．输出标签是隧道标签．ＰＥ１的 基于ＭＰＬＳ第三层ＶＰＮ的网络拓扑结构如图２ ＬＳＰ输出标签和ＬｓＰ输出接口确定了【ｓＰ隧道．保证 所示 能够经过指定的Ｉ５Ｐ隧道将ＭＰＬＳ分组送到ＰＥ２ 如 ＶＰＮＡ ｌ９２．１ １．１．Ｏ 果ＰＥ２接入了多个不同ＶＰＮ时．无法从标识ＬＳＰ的 标签字段中确定对应的ＣＥ来转发ＬＡＰＦ（核心）帧． 因此使用ＶＰＮ标识标签．作为内层标签．让ＬＳＰ末端 ＰＥ２用ＶＰＮ标识标签确定ＬＡＰＦ（核心）帧的目的ＣＥ １２．２．２ 及相应的ＤＬＣＩ ＩＰ报文从ＶＰＮ Ａ中的ＩＰ子网地址为１９２．１１．１．０ 的ＬＡＮ１中终端发送到ＶＰＮ Ａ中ＩＰ子网地址为 １９２．１ １．２．０的Ｌ Ｎ２中终端，传送过程如下：ＬＡＮ１中 ２．１ 终端首先把ＩＰ报文转发给用户边缘路由器ＣＥ１．ＣＥ１ 根据报文目的ＩＰ地址确定下一跳路由器的ＩＰ地址 为１９２．１１．１．２，连接方式为帧中继．ＤＬＣＩ＝１００，输出端 口为帧中继端口２（ＦＲ２）．ＣＥ１将ＩＰ报文封装成 ＶＰＮＡ １９２．１１．２．０ ｌ９２．１２．２．５ ＬＡＰＦ帧．帧首部ＤＬＣＩ字段值为１０ｏ．从指定输出端 图２基于ＭＰＬＳ第三层ＶＰＮ 口将ＬＡＰＦ帧转发出去．ＰＥ１收到ＬＡＰＦ帧．根据ＤＬ— ＣＩ：ｌ００．查找ＰＥ１转发表．确定ＶＰＮ标识标签２０２和 图２中．ＣＥ１和ＣＥ２不需要知道属于同一ＶＰＮ ＬＳＰ，【５Ｐ输出标签５ｏ５．ＬＳＰ输出端口为２，将ＬＡＰＦ 的其他子网的分布情况．ＣＥ１和ＣＥ２只需配置直接 表１ ＣＥ１中有关１９２．１１．２．０子网的路由项 目的ＩＰ地址ｌ目的地址掩码Ｉ输出接口 Ｉ输出接口类型ｌ虚电路ＤＬｃＩ ｌ下—疏路由地址 １９２．１１．２．０ ｌ ２５５．２５５．２５５．０ Ｊ ＦＲ１ Ｊ ＦＲ ｌ １０Ｏ Ｊ １９２，１２．１．２ 表２ ＰＥ１中ＰＥ１一Ｐ—ＰＥ２ ＬＳＰ转发表 ＭｏＤＥＲＮ ｃｏＭＰｕ ＴＥＲ ２ｏ０＆ｌ】 ＠ ＼、研究与开发 、、、、。＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿Ｊ． ．———— 和其相连的ＬＡＮ的路由情况 将ＰＥ１和ＰＥ２设置为 ＢＧＰ的邻接路由器，同时，ＰＥ１和ＶＰＮ Ａ ＣＥ１，ＰＥ２和 所有从端口１接收到的报文均去检索为ＶＰＮ Ａ生成 的路南表 由于ＰＥ１的端ＶＩ ２使能了ＭＰＬＳ．可以确 ＶＰＮ Ａ ＣＥ２可以设置为ＲＩＰ、ＯＳＰＦ、或ＢＧＰ的邻接路 由器 ＭＰＬＳ域通过ＬＤＰ或ＲＳＶＰ在ＰＥ１和ＰＥ２之间 建立ＰＥ１一ＰＥ２和ＰＥ２一ＰＥ１的ＬＳＰ．ＰＥ１和ＶＰＮ Ａ ＣＥ１交换路由信息．ＰＥ２和ＶＰＮ Ａ ＣＥ２交换路由信 息 ＰＥ１和ＰＥ２通过ＢＧＰ公告信息，ＰＥ１和ＰＥ２为 ＶＰＮ Ａ最终建立的路由表如表４和表５所示 对于ＰＥ１．目的地址１９２．１ １．２．０／２５５．２５５．２５５．０的 下一跳路由器为ＰＥ２．给出的ＰＥ２ ＩＰ地址为ＭＰＬＳ域 定从ＰＥ１到ＰＥ２的传输路径是ＬＳＰ．ＰＥＩ—Ｐ—ＰＥ２ 的ＬＳＰ如表６所示．ＰＥ１将ＩＰ报文封装成ＭＰＬＳ分 组．在标签堆栈中压入ＶＰＮ标识标签后．将ＭＰＬＳ分 组交转发部件转发。转发部件根据ＦＥＣ（１０．２．３．８／ ２５５．２５５．２５５．２５５）去匹配转发表．确定ＭＰＩ．Ｓ分组的输 出标签为１００．输出端口为２．ＰＥ１在ＭＰＬＳ报文的标 签堆栈中压人用于指定ＬＳＰ的输出标签１００．从端口 ２转发出ＭＰＬＳ分组 当Ｐ从端口１接收到ＭＰＬＳ分 内的全局ＩＰ地址．对于ＰＥ２．目的地址１９２．１ｌ＿１．Ｏ／ ２５５．２５５．２５５．０的下一跳路由器为ＰＥ１．给出的ＰＥ１ ＩＰ 地址同样为ＭＰＬＳ域内的全局ＩＰ地址 ＶＰＮ标识标 签是用来标识ＩＰ报文所属ＶＰＮ的．由于ＰＥ可能连 接多个属于不同ＶＰＮ的ＬＡＮ．这些属于不同ＶＰＮ的 ＬＡＮ所分配的ＩＰ地址可以相同（专用地址１，因此．ＰＥ 必须为属于不同ＶＰＮ的ＬＡＮ建立单独的路由表 当 有到达ＰＥ的报文时．ＰＥ无法从ＩＰ报文的目的ＩＰ地 组．根据输入端Ｅｌ １和输入标签（ＭＰＬＳ分组栈顶标签 １００）匹配转发表，找到输出端口２和输出标签２００． 但由于Ｐ已是ＬＳＰ的倒数第二跳ＬＳＲ．Ｐ不再将输出 标签２００压人标签堆栈．而是直接将弹出栈顶标签后 的ＭＰＬＳ分组转发给ＰＥ２．ＰＥ２根据ＭＰＩ＿Ｓ分组所携 带的标识标签２００２确定ＩＰ报文属于ＶＰＮ Ａ．从 ＭＰＬＳ分组中剥离出ＩＰ报文．根据ＩＰ报文的目的地 址查找ＰＥ２为ＶＰＮ Ａ所生成的路由表．找到路由项． 由表将ＩＰ报文转发给ＩＰ地址为１９２．１１．２．５的终端 ＣＥ１和ＶＰＮ Ａ ＣＥ２接入ＭＰＬＳ域的方式可以不同 址确定ＩＰ报文所属ＶＰＮ．必须给报文携带用于区分 报文所属ＶＰＮ的标识标签．ＰＥ１和ＰＥ２通过ＢＧＰ公 并根据路由项将ＩＰ报文转发给ＣＥ２．ＣＥ２再根据路 告消息将ＶＰＮ标识标签公告给对方 ＰＥ１一ＰＥ２的 ＬＳＰ路径如表６所示 ＩＰ地址为１９２．１１．１．５的终端．向ＩＰ地址为 由此可以看出．在基于ＭＰＬｓ第三层ＶＰＮ中．ＶＰＮ Ａ １９２．１１．２．５的终端传输ＩＰ报文．传输过程如下：目的 地址为１９２．１１．２．５的ＩＰ报文首先被传送到ＣＥ１．ＣＥ１ 通过检索路由表发现ＩＰ报文的下一跳路由为ＰＥ１． 通过输出端口２将ＩＰ报文转发给ＰＥ１．ＰＥ１通过检索 路由表．发现ＩＰ报文的下一跳路由器为ＰＥ２．同时指 定该报文的ＶＰＮ标识标签为２００２．ＰＥ１为ＶＰＮ Ａ生 ４两种方式的比较 （１）基于ＭＰＬＳ第二层ＶＰＮ把ＭＰＬＳ域作为提供 第二层连接的公共传输网络．作为第二层连接两端的 用户设备．要采用同一种方式接入ＭＰＬＳ域．ＭＰＬＳ域 不参与用户ＶＰＮ的路由过程．由用户负责解决同一 ＶＰＮ内各ＬＡＮ之间的路由问题．这就要求用户全面 成的路由表．必须指定ＰＥ１端Ｅｌ １连接ＶＰＮ Ａ． 了解ＶＰＮ中各ＬＡＮ的分布及配置．对用户的网络设 表４ ＰＥ１为ＶＰＮＡ最终建立的路由表 现 代 计 算 机 ＾ 表５ ＰＥ２为ＶＰＮ Ａ最终建立的路由表 总 第 二 ＰＢｌ 表６ ＰＥ１— Ｐ＋ＰＥ２的ＬＳＰ Ｐ Ｉ Ｐ珏２ 九 五 ＦＥＣ ｌ输入标签夏端口 输 出标签 端口 输入标签夏端口ｌ翰出标签芨端口ｌ输入标签夏端口 膏出标签夏端口 １０．２．３．８／３２ Ｉ 一 １００，２ １００，ｌ Ｉ ２００，２ ｌ ２００，ｌ 期 ｖ ＭＯＤＥＲ Ｎ Ｃ ＯＭ ＰＵＴＥＲ ２００８．１ １ 计及配置知识有较高的要求：基于ＭＰＬＳ第三层的 ＶＰＮ只要求用户配置有关直接相连的ＬＡＮ路由信息 和接入ＭＰＬＳ域的ＰＥ．并不需要知道属于同一ＶＰＮ 息．无法保证用户路由的专用性： （６）基于ＭＰＬＳ二层ＶＰＮ用户其网络层以上可以 运行多种协议．而ＭＰＬＳ三层ＶＰＮ用户的网络层以 上要运行相同的协议 的其他ＩＪＡＮ的情况．这就降低了对用户网络设计、配 置知识的要求．ＶＰＮ的管理由网络服务提供者来进 行管理．方便了ＶＰＮ用户： ５结语 采用基于ＭＰＬＳ第二层组建的ＶＰＮ对用户要求 （２）基于ＭＰＬＳ第二层ＶＰＮ．ＰＥ只需要和ＣＥ建 立链路层连接．一旦某个ＣＥ故障 只影响ＰＥ连接的 故障ＣＥ接１３．而在基于ＭＰＬＳ第三层ＶＰＮ中．某个 ＣＥ故障可能导致错误的路由信息．因而影响ＰＥ甚至 整个服务提供者的稳定性： （３）基于ＭＰＬＳ二层的ＶＰＮ中．每个ＰＥ仅保持 较高．但从安全的角度来看，只使用骨干网提供的链 路层服务．ＶＰＮ的专用性较强．因为服务提供者并不 了解用户的ＶＰＮ结构．而ＭＰＬＳ第三层ＶＰＮ组网中． 服务提供者的ＰＥ了解所有ＶＰＮ信息．容易造成ＶＰＮ 专用信息的泄漏 ＭＰＬＳ三层ＶＰＮ是ＲＦＣ２５４７提出 的ＶＰＮ结构，从网络服务提供者角度来看易于管理、 ＣＥ有关的信息．并不保存ＣＥ所连接的多个ＶＰＮ信 息．即多个ＶＰＮ能够复用ＭＰＬＳ域内的一条隧道．在 基于ＭＰＬＳ的三层ＶＰＮ中．ＰＥ要为一个ＣＥ连接的 扩充性好、有ＱｏＳ保证、安全性较好。ＭＰＬＳ二、三层 ＶＰＮ各有特点．网络实施者可以根据网络设计目标选 择一种合适方案．创建所需要的ＶＰＮ 参考文献 多个ＶＰＮ都要保留单独的ＶＰＮ路由信息．这对 ＭＰＬＳ域内的ＰＥ性能要求有某些： （４）从用户角度看，ＭＰＬＳ二层ＶＰＮ和传统的二层 ＶＰＮ很相似．组建ＶＰＮ时容易从传统的二层ＶＰＮ升 级到基于ＭＰＬＳ的二层ＶＰＮ 采用ＭＰ【ＪＳ组建三层 社．２００３ 【１】沈鑫剡．ＩＰ交换网原理、技术及实现．北京：人民邮电出版 【２］何宝宏．ＩＰ虚拟专用网技术．北京：人民邮电出版社，２００２ ＶＰＮ时．难度较大一些．对网络服务提供者有更高的 要求： ［３］Ｗｉｌｌａｍ Ｓｔａｌｌｉｎｇｓ．Ｄａｔａ ａｎｄ Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎ，５ｔｈ Ｅｄｉｔｉｏｎ．北京：清华大学出版社．１９９７ （５）ＭＰＩ＿Ｓ二层ＶＰＮ中．网络服务提供者不参与 用户路由信息．保证了用户路由的专用性．而ＭＰＬＳ 三层ＶＰＮ中．ＣＥ和ＰＥ是两个对等的网络设备．相互 交换路由信息．ＰＥ中要保留所有用户ＶＰＮ的路由信 【４ｌＭａｔｔｈｅｗ Ｆｉｎｌａｙｓｏｎ，Ｊｏｎ Ｈｅｒｒｉｓｏｎ，Ｒｉｃｈａｒｄ Ｓｕｇａｒｍａｎ．ＶＰＮ Ｔｅｃｈｎｏｌｏｇｉｅｓ ａ Ｃｏｍｐａｒｉｓｏｎ．Ｄａｔａ Ｃｏｎｎｅｃｔｉｏｎ Ｌｉｍｉｔｅｄ，Ｆｅｂ— ｍａｒｙ ２００３ Ｃｏｍｐａｒｉｓｉｏｎ ｏｆ Ｌ２ ａｎｄ Ｌ３ ＶＰＮ Ｂａｓｅｄ ｏｎ Ｍ ＰＬＳ Ｔｅｃｈｎｏｌｏｇｙ ＬＵＯ Ｈｅｎｇ－ｙａｎｇ，ＺＨＡＮＧ Ｈａｉ ， ＣＨＥＮ Ｔａｏ 现 （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ，Ｓｃｈｏｏｌ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ，Ａｎｈｕｉ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｆｉｎａｎｃｅ＆Ｅｃｏｎｏｍｉｃｓ，Ｂｅｎｇｂｕ ２３３０４１） Ａｂｓｔｒａｃｔ：Ｄｅｓｃｒｉｂｅｓ ｔｈｅ ｍａｉｎ ｉｄｅａ ｏｆ ＭＰＬＳ ｔｕｎｎｅｌ ｔｅｃｈｎｏｌｏｇｙ，ａｎａｌｙｚｅｓ ｔｈｅ ｍｅｃｈａｎｉｓｍ ｏｆ Ｌ２ ａｎｄ Ｉ３ ＶＰＮ ｂａｓｅｄ ｏｎ ＭＰＬＳ．Ｃｏｍｐａｒｅｓ ｔｈｅ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｗｈｉｃｈ ａｒｅ ｐｏｓｓｅｓｄ ｂｙ Ｌ２ ａｎｄ １３ ＶＰＮ， ｐｒｏｐｏｓｅｓ ｔｈａｔ ｏｎ ｔｈｅ ｂａｓｉｓ ｏｆ ｔｈｅ ｐｒｏｐｅｒｔｙ ａｎｄ ｔａｒｇｅｔ ｏｆ ｎｅｔｗｏｒｋ ｄｅｓｉｇｎ ａ ｐｌａｎ ｍａｙ ｂｅ ｒｅａ— ｓｏｎａｂｌｙ ｃｈｏｏｓｅｄ ｔｏ ｃｏｎｓｔｒｕｃｔ ｔｈｅ ＭＰＬＳ ＶＰＮ ｎｅｅｄｅｄ ｂｙ ｃｕｓｔｏｍｅｒｓ． 代 计 算 机 ＾ 总 第 二 Ｋｅｙｗｏｒｄｓ：ＭＰＬＳ；Ｔｕｎｎｅｌ Ｔｅｃｈｎｏｌｏｇｙ；Ｌ２ ＶＰＮ；Ｌ３ ＶＰＮ 九 五 期 Ｍ０ＤＥＲＮ ｃｏＭＰｕＴＥＲ ２㈣ｌ＠
