1、 东风 汽车电子商务集成平台 MPLS VPN 专 网 总体 规划 方案 武汉融讯通技术服务有限 公司 2014年 9月 东风通信 MPLS VPN 组网方案 ii 目录 第 1 章 概述 . 4 第 2 章 MPLS VPN 规划 . 5 2.1 网络架构设计 . 5 2.2 二层、三层 VPN 主要特点 . 6 2.3 路由模型设计 . 7 2.4 IP 地址规划 . 8 2.5 LDP 协议设计 . 9 2.6 VPLS 组网应用 . 9 2.6.1 VPLS 技术 . 9 2.6.2 VPLS PW 建立的两种信令方式 . 10 2.6.3 VPLS 典型接入方式 . 10 2.7 M
2、PLS VLL 组网应用 . 12 2.7.1 MPLS VLL 技术 . 12 2.7.2 MPLS VLL 实现方式 . 13 2.7.3 MPLS VLL 典型组网 . 14 2.8 VPN 相关参数规划 . 16 2.8.1 VRF 命名规则 . 16 2.8.2 BGP 的 AS 号 . 16 2.8.3 RD 和 RT 分配 . 16 2.8.4 VPLS VPN ID 分配 . 17 2.8.5 VLL Circuit ID 分配 . 17 2.9 路由安全性和稳定性方案 . 17 2.9.1 链路 Flapping 抑制 . 17 2.9.2 BGP Damping . 18
3、2.9.3 路由协议安全 . 18 2.9.4 VRF 路由表容量限制 . 18 2.9.5 VPN 路由的刷新 （ BGP Route Refresh） . 18 第 3 章 VPN 接入及应用 . 20 3.1 本地接入 . 20 3.1.1 单实例 CE 接入 . 20 3.1.2 多实例 CE 接入 . 20 3.1.3 PTN 传输网接入 . 21 3.2 远程接入 . 21 3.2.1 租用专线接入 . 22 3.2.2 VPDN 接入 . 22 3.2.3 互联网隧道接入 . 23 3.3 二层 VPN 互访 . 24 3.4 三层 VPN 互访 . 24 第 4 章 网络建设及
4、演进 . 25 4.1 MPLS VPN 骨干网搭建 . 25 4.2 VPN 业务开通及迁移 . 26 4.2.1 VPN 划分 . 26 东风通信 MPLS VPN 组网方案 iii 4.2.2 VPN 地址规划 . 26 4.2.3 业务接入及迁移 . 26 4.3 网络扩展 . 28 东风通信 MPLS VPN 组网方案 4 第 1章 概述 东风集团 目前筹备建设“ 东风汽车公司电子商务应用集成平台（ DNX） ”， 整合旗下 9 家整车事业板块，实现营销协同 。东风通信为集 团公司提供 IT 基础平台， 利用电信运营商的基础网络，建立一个 DNX 的虚拟专用网 ；主要通过 MPLS
5、VPN 技术实现二层、三层 VPN 增值服务。 DNX 虚拟网规划原则： 跟随总部发展，覆盖 4+2+4 基地，通过覆盖采购寻源、供应链协同、研发协同、整车销售协同、保养维修协同可实现整车单位、零部件供应商、物流公司等各类板块 ,形成东风广域网 统一安全策略（分级别：不同等级的服务采用不同的通信链路、应用不同的安全策略 ，例如：研发协同，高带宽 +高安全性 +高可靠性；供应链协同，高安全性 +高可靠性）， 支持数据、视频、音频的综合信 息传输 具备高可用、可管理、稳定、安全等特点 DNX 虚拟网 目标示意图： 东风通信 MPLS VPN 组网方案 5 第 2章 MPLS VPN规划 2.1 网
6、络架构设计 MPLS 网络可以提供二层、三层 VPN 功能，组网时需要考虑网络的冗余性，如上图所示为典型的组网结构。 三层 MPLS VPN 网络 采用星型网络结构：设置核心节点（根据维护管理确定），其他节点与核心节点互联；便于扩展及节省长途链路资源 每节点设置 2 台设备：增加网络的健壮性 其他节点与核心节点采用口子型互联：增加网络的冗余性，比双归属节省长途链路资源 核心节点设置 2 台 VRR 设备，作为 MBGP 反射器 ，便于 VPN 网络的扩展；VRR 设备可以单独设置，也可以与核心节点设备合设 CE 设备双归属至同节点 2 台 PE 设备，增加网络的冗余性 IGP 建议采用 ISI
7、S L2 协议：扩展性较好，收敛速度快，支持大型网络 EGP 采用 BGP 协议： BGP4+和 LDP 能很好提供三层 VPN 支持 PE 与 CE 间路由协议采用多实例 OSPF 或静态路由 二层 MPLS VPN 网络 东风通信 MPLS VPN 组网方案 6 复用三层 MPLS VPN 网络结构 PE 与 CE 为二层通道，运行二层协议 CE 设备仅接入 1 台 PE 设备，避免 二层环路出现； PE 与 CE 间无冗余 若需增加 PE 与 CE 间冗余性， CE 设 备双归属至同节点 2 台 PE 设备，需运行环路检测协议，如： STP 等；增加网络复杂度 2.2 二层、三层 VPN
8、主要特点 PE 与 CE 间 互联 二层 VPN：通过二层通道互联 三层 VPN：通过二层通道或三层通道互联，较灵活 网络扩展性 二层 VPN： PE 与其他 PE 需维持 邻居关系 ， 从而增加复杂度，规模受限 三层 VPN： PE 只需与其相连的 P/PE 维持邻居关系， 易于扩展 支持 多协议能力 二层 VPN： 使用 二层链路， 可以 支持 更多的 协议 三层 VPN： 有一定 的 限制 ， IP 协议 族支持性较好 如果 VPN 用户只传送 IP 包， 二层 VPN 的 此特点就不明显 支持组播能力 二层 VPN： 依靠 CE 实施组播 ， 无法使用 骨干 网的有关组播方面的能力 三
9、层 VPN： 依靠 PE， 实施组播较简单 网络管理 二层 VPN： 服务提供商只能对链路进行管理，无法对三层进行管理 三层 VPN： 服务提供商可参与三层的管理 无论是二层 VPN 还是三层 VPN，用户都可以对所属的 VPN 进行管理 东风通信 MPLS VPN 组网方案 7 2.3 路由模型设计 BGP 协议 采用独立的 AS 号，若无通过 BGP 与其他网络互联需求，可以使用私有 AS号，范围： 64512 65534 选取核心节点设备设置 BGP 的 RR 和 VRR 其他节点设备仅与 RR 和 VRR 建立 BGP 连接 LoopBack0 接口建立 BGP 连接， LoopBac
10、k1 接口建立 MBGP 连接 BGP 协议承载业务路由 ，引入静态路由、 OSPF 路由 ISIS 协议 采用 IS-IS 协议 ，只配置 Level 2 模式 所有互联的 GE 接口 设置成 P2P 模式 所有路由器 Loopback 端口设置为被动（ Silent/Passive）方式 ISIS 协议承载链路路由，用于 BGP 路由的选路 全网统一 Metric 设置 ， 链路两端 ISIS Metric 值需设置一致 metric 参考值 如下 互联链路类型 ISIS Metric值 核心节点 -核心节 点 80 普通节点 -普通 节点 100 核心节点 -普通节点 1000 核心节点
11、 -独立 VRR 20000 多实例 OSPF 协议 运行于 PE 的 VPN 实例内，与 CE 进行路由交互 每个 VPN 实例单独运行 1 个 OSPF 进程，不同 OSPF 进程路由隔离 引入静态和直连路由，一般不引入 BGP 路由 边缘接入点可以下发缺省路由引导流量上行 多实例 CE 设备需支持多实例 OSPF 协议 东风通信 MPLS VPN 组网方案 8 2.4 IP地址规划 IP 地址的合理分配是保证网络顺利运行和网络资源有效利用的关键。 IP 地址空间的分配与合理使用与网络拓扑结构、网络组 织及路由策略有非常密切的关系，将对全网的可用性、可靠性与有效性产生显著影响，应充分考虑不
12、同用户对 IP 地址的需求，以满足未来业务发展对 IP 地址的需求。 IP 地址分配原则 地址分配应考虑近期和远期的发展，减少在网络发展过程中因地址重新规划而对业务造成的影响 IP 地址的分配必须采用 VLSM 技术，保证 IP 地址的利用效率 采用 CIDR 技术，这样可以减小路由器路由表的大小，加快路由器路由的收敛速度，也可以减小网络中广播的路由信息的大小 为不同的业务分配一段连续的 IP 地址，便于业务的区分 IP 地址分配方案 Loopback 地址 ： 区分 Global 和 VPN 两种应用类型，各自 专门分配一段地址区间，同时做 充分预留 采用 掩码为 32 位 地址段 设备互联
13、地址 ： 所有互连地址 均使用专门分配一段地址区间，同时做 充分预留 采用 掩码为 30 位 地址段 VPN 用户地址 ： VPN 用户内部通信， 分配保留地址 不同 VPN 用户的 IP 地址空间 可以重复使用，考虑到不同 VPN 间可能出现的互访需求，建议分配不同的 保留地址 段，并满足 CIDR 要求 若 VPN 用户有 Internet 访问需求，可以为其分配一段合法 IP 地址， 或在 Internet 出口处做 NAT 东风通信 MPLS VPN 组网方案 9 2.5 LDP协议设计 LDP 协议运行范围 MPLS 网络内 P/PE 和 P/PE 设备互联的端口上运行 MPLS 和
14、 LDP 其他端口都不运行 LDP 标签分发策略 为避免非 VPN流量打上 Label，建议在所有 PE路由器上配置两个 Loopback地址： Loopback0 和 Loopback1 路由器在 Peer Global RR 时， update-source 用 Loopback0 路由器在 Peer VPN RR 时， update-source 用 Loopback1 配置 PE 路由器只为 PE 的 Loopback1 地址分配 Label IGP 对 loopback1 地址 不做汇总 2.6 VPLS组网应用 2.6.1 VPLS技术 VPLS 即 Virtual Private
15、 LAN Services（虚拟专用 LAN 业务），是一种在 MPLS 网络上提供类似 LAN 的一种业务，它可以使用户从多个地理位置分散的点同时接入网络，相互访问，就像这些点直接接入到 LAN 上一样。 VPLS 使用户延伸他们的 LAN 到 MAN，甚至 WAN 上。 VPLS 典型组网图如下： PE P - PEPESP BackboneU - PEVPLS - ACE - 1VPLS - BCE - 1U - PEL 2 ACCESS NETWORKVPLS - BCE - 2VPLS - BCE - 4VPLS - ACE - 3VPLS - BCE - 3VPLS - ACE -
16、 2东风通信 MPLS VPN 组网方案 10 2.6.2 VPLS PW 建立的两种信令方式 PW 隧道的建立常用有两种信令： LDP（ draft-ietf-l2vpn_vpls_ldp_xx）和 MP-BGP (draft-ietf-l2vpn_vpls_bgp_xx)。 VPLS 中两种信令方式的比较见下表： LDP方式 BGP方式 对 PE的能力要求 一般 高 支持自动发现 否 是 实现复杂度 低 高 可扩展性 差 好 标签利用率 高 低 配置工作量 大 小 跨域时的限制 大 小 综合上述特点， BGP 方式适合用在大型网络核心层， PE 本身运行 BGP 以及有跨域需求的情况。 L
17、DP 方式适合用在 VPLS 的 site 点比较少，不需要或很少跨域的情况 ，特别是 PE 不运行 BGP 的时候。当 VPLS 网络比较大时（节点多，地理范围大），可以采用两种方式结合的 HVPLS（分层 VPLS： hierarchical VPLS），核心层使用 BGP 方式，接入层使用 LDP 方式。 2.6.3 VPLS典型接入方式 HVPLS 的核心思想是通过把网络分级，每一级网络形成全连接，分级间的设备通过 QinQ 或者 PW 来连接，连接的两端，上端叫 SPE(Super PE) 或者 P-PE(Provider PE)，下端叫 UPE(User PE)，不同层次的 PE 之间没有全连接，所以 SPE 与 UPE 之间的数据转发不遵守水平分割，而是相互转发。 H-VPLS 的 LSP 方式接入： 信 令 方 式 属 性
