MPLS之嵌套VPN技术

小乔

思科知识点汇总贴
http://bbs.hh010.com/thread-529979-1-1.html
(出处: 鸿鹄论坛)





需求分析
1.举例
一个VPN用户内部有大量用户设备，而这些用户设备又可以分成不同的管理域，这时，用户可能希望在自己的网络内部再划分不同的VPN，对不同的管理域进行VPN隔离。
VPN用户网络本身也可能是一个MPLS VPN网络，或它的某个Site是一个MPLS VPN网络。分布于不同Site的属于同一VPN的用户需要通过运营商的MPLS VPN骨干网络互访。而运营商的MPLS VPN网络必须能够把用户内部的VPN属性划分透明传输到不同Site。
2.需求分析
①用户整体作为运营商MPLS VPN网络上的一个VPN用户；
②用户有自己的内部VPN网络，并且，内部VPN网络分布是不规则的，可能在所有的Site上都有内部VPN网络，也可能只是某些Site有，而另一些Site的内部VPN直接连接到运营商的PE设备上；
③用户分布在不同Site上的内部VPN之间可以互访；
④用户不希望把自己的所有内部VPN都直接部署到运营商的PE设备上，因为涉及到成本和管理问题；
⑤运营商不管理用户内部的VPN划分，只维护运营商PE上的VPN；用户内部VPN划分由用户自己管理；
3.实现技术
嵌套VPN技术可以满足用户的上述需求。嵌套VPN能够提供大、小VPN两个层次组网，大VPN和小VPN之间可以互访，但小VPN之间不能互访，这个可以对应一些有层次访问权限的网络，比如子部门和一些服务器网络之间等应用。

二、技术特点
嵌套VPN技术的主要特点：
1.嵌套VPN实现VPN聚合功能，可以把用户的多个内部VPN聚合成一个用户VPN，接入运营商的MPLS VPN网络；
2.嵌套VPN是一种一个Site接入运营商PE设备的VPN接入技术，独立于同一个VPN的其他Site的接入方式；
3.嵌套VPN支持对称组网方式和非对称组网方式。
注：嵌套VPN技术简化了用户接入VPN网络的复杂度和成本，为用户提供多样化的VPN组网方式，可以实现用户内部VPN之间的互访、实现用户的两层VPN关系以及两层VPN之间的灵活互访。嵌套VPN组网在直属分支机构等的VPN组网应用中具有组网复杂度低、应用灵活的优点。并且，嵌套VPN技术支持多层嵌套。

三、典型组网
1.用户的一个Site具有内部VPN

2.用户多个Site具有内部VPN
如下图，VPN信息的传播过程可以描述如下：
①运营商的PE设备与用户的PE设备交互VPNv4路由，VPNv4路由携带这些用户内部的VPN信息；
②运营商的PE设备收到VPNv4路由后，保持用户内部的小VPN信息不变，并附加用户的大VPN属性，用户的大VPN信息在运营商的PE设备上维护；
③运营商的PE设备向其他运营商PE设备发布这些携带综合VPN信息的VPN路由；
④其他运营商的PE设备收到VPNv4路由后，与本地的VPN进行VPN关系匹配，每个VPN接收属于自己路由，然后将路由向自己连接的CE设备扩散：如果和CE之间是IPv4连接，直接扩散IPv4路由；如果和CE设备之间是VPNv4连接，表示通过私网连接的是一个MPLS VPN用户网络，向CE扩散VPNv4路由。
⑤这样，就实现了整个运营商网络上的用户之间的大VPN关系、用户内部小VPN之间的关系、以及用户内部小VPN和用户本身之间的大VPN关系。

3.嵌套VPN形成用户两级VPN互访的组网

采用嵌套VPN技术后，VPN用户将具有两级VPN关系：用户级VPN和用户内部VPN，也称为大、小VPN。大、小VPN可以互访。
在实际组网中，这种两级VPN用途非常广。例如，可以把能够被所有小VPN访问的服务器等设备直接作为大VPN的CE设备连接到运营商的PE设备上；或将一些具有特殊角色的主机，比如领导主机等，作为大VPN的客户直接连接到运营商的PE设备上，以确保这些主机能够访问所有部门的网络。
如上图所示，大VPN为VPN_A，小VPN为A_VPN1、A_VPN2和A_VPN3。服务器群直接作为大VPN的CE设备连接到运营商PE1设备上，能够被所有小VPN访问；一些具有特殊角色的主机，比如领导主机等，作为大VPN的客户直接连接到运营商PE3设备上，从而确保这些特权主机能够访问所有部门的网络。

q466265670

学习

IT小白888

谢谢

wjlovezzd

思科华为考试报名全国优惠，报名请联系鸿鹄全国区客服
QQ 613523101
QQ 613523103
QQ 613523105
QQ 613523107
QQ 613523108
QQ 613523109
鸿鹄论坛官方淘宝双冠店铺：http://hh010.taobao.com/

matt6116

感謝分享~

淼渺淼渺

感谢楼主分享