IPVPN技术概述.ppt

* VPN组网方案（/2） 　　　　 　　　P-Network PE3 PE1 PE2 CE2 CE1 CE4 CE3 公司总部 分支机构２ 分支机构３ 分支机构１ * VPN组网方案（2/2） 星形拓扑：这种方案适合企业总部＋各地分支机构组建企业VPN。与前面方案不同的是各分支机构主要访问企业总部，分支机构间不直接进行访问，而是通过总部实现互访。 * 跨AS的VPN互联 * 跨AS的VPN互联 目前跨AS的VPN互联主要采用以下两种方式： VRF-to-VRF:两个AS域各自运行自己的VPN。对于每个跨域的VPN，需要在本端的ASBR上配置相应的VRF，把对端的PE看成CE。这种方式的优点是ASBR之间不需要运行MPLS，而且易于对带宽进行控制，但缺点是每新建一个VPN需要与一个子接口绑定，扩展性不好。 MP-EBGP:通过直连的ASBR广播VPN路由。这种方法的优点是不需要在ASBR上为每个VPN用户分配一个子接口，但缺点是需要在ASBR上维护VPN路由，ASBR间需要相互信任。 * 跨AS的VPN互联 * 内容概要 什么是MPLS VPN技术 MPLS VPN产品概述 MPLS VPN Security * 结构安全 网络构建的安全性 链路性能安全性 流量控制 * PE#c1 CPE-a CPE-b JT responsibility CT responsibility JT- MPLS-VPN CT- MPLS-VPN boundary PE#j1 ATM PVC Transmission /ATM Transmission /ATM PE#j2 PE#c2 11 32 21 22 31 51 41 42 Both to confirm ip connectivity by, for example; 1) To confirm normality between PE and CPE a) check interface status of connected CPE, UP or DOWN (JT confirm interface of PE#j2 towards CPE-a) b) ping to cpe wan interface OK or NG (JT perform vrf ping to vpn-address “21” of CPE-a) c) ping to cpe LAN side interface OK or NG, if you know this vpn-address (vrf ping to “11” of CPE-a) 2) To confirm normality at own mpls-vpn a) check interface status and alarm status of underlining network as SDH or ATM under routers configuring mpls-vpn b) check ip routing table of vpn/vrf, mp-bgp peering , own IGP, Label path c) ping to other vpn-site at other PE one of whose CPE is in the same vpn (vrf ping from PE#j2 to “62” or “61” of PE#j3) 3) To confirm inter network ip connectivity a) check interface status, UP or DOWN, and ping both interfacing PEs, OK or NG (vrf ping PEj1 to “32” of PE#c1) b) ping to CPE or PE in the other network, OK or NG (vrf ping from PE#j to “41”,”42”,”51”) c) re-check VPN configuration in own PE, then ask the other carrier to check other side PE configuration PE#j3 CPE-b 61 62 Double Routing * 链路状态安全 通过建立冗余备份线路，可以实现跨域的MPLS VPN互联的冗余线路管理 路由控制：是指实现线路和路由的备份选择功能。 Example for ci