深入講解VPN配置實(shí)例中關(guān)于虛擬站點(diǎn)屬性，向大家介紹VPN配置實(shí)例的方法，可能好多人還不了解VPN配置實(shí)例是如何的，沒(méi)有關(guān)系，看完本文你肯定有不少收獲，希望本文能教會(huì)你更多東西。

控制路由分發(fā)

在這一部分，我們討論控制VPN-IPv4路由分發(fā)的方法。

目標(biāo)VPN配置實(shí)例屬性

每個(gè)站點(diǎn)轉(zhuǎn)發(fā)表都與一個(gè)或多個(gè)“目標(biāo)VPN”屬性相關(guān)。當(dāng)一個(gè)PE路由器產(chǎn)生一個(gè)VPN-IPv4路由時(shí)，該路由就與一個(gè)或多個(gè)“目標(biāo)VPN配置實(shí)例”屬性相關(guān)。這些信息作為路由屬性由BGP攜帶。任何與目標(biāo)VPN配置實(shí)例　T有關(guān)的路由都必須分發(fā)到每一個(gè)存有與目標(biāo)VPN配置實(shí)例有關(guān)的轉(zhuǎn)發(fā)表的PE路由器上。

當(dāng)一個(gè)PE路由器收到這樣一個(gè)路由時(shí)，應(yīng)當(dāng)將其安裝到每個(gè)與目標(biāo)VPN配置實(shí)例有關(guān)的站點(diǎn)轉(zhuǎn)發(fā)表中（實(shí)際是否安裝取決于BGP決定處理的結(jié)果）。一般來(lái)說(shuō)，目標(biāo)VPN配置實(shí)例屬性代表一系列站點(diǎn)。因?yàn)槁酚膳c某一目標(biāo)VPN配置實(shí)例屬性相關(guān)，路由可置于站點(diǎn)轉(zhuǎn)發(fā)表中，為來(lái)自相應(yīng)站點(diǎn)的業(yè)務(wù)流尋路。

PE路由器用一個(gè)目標(biāo)VPN配置實(shí)例屬性集合表明來(lái)自站點(diǎn)S的路由，用另一個(gè)目標(biāo)VPN配置實(shí)例屬性集合來(lái)決定是否將一個(gè)從其它PE路由器接收到的路由信息加入到與站點(diǎn)S有關(guān)的轉(zhuǎn)發(fā)表中。這兩個(gè)集合是不一樣的，也無(wú)需相同。目標(biāo)VPN屬性的功能類似于BGP群體屬性。

不過(guò)，因?yàn)楹笳咧挥袃勺止?jié)的編號(hào)空間，格式不夠多。擴(kuò)展BGP群體屬性以提供一個(gè)更大的編號(hào)空間相當(dāng)簡(jiǎn)單，也是可能的，類似于我們對(duì)RD的描述（見(jiàn)4.1節(jié)），因此類別域定義了管理者域的長(zhǎng)度，屬性的其余部分是一個(gè)從指定管理者的編號(hào)空間得到的編號(hào)。

當(dāng)一個(gè)BGP傳播者收到對(duì)同一VPN-IPv4地址前綴的兩條路由時(shí)，它根據(jù)BGP關(guān)于路由優(yōu)先級(jí)的規(guī)則選擇其中的一個(gè)。注意一個(gè)路由只能有一個(gè)RD，但它可以有多個(gè)目標(biāo)VPN配置實(shí)例。在BGP中，如果單一路由有多個(gè)屬性，可擴(kuò)展性就得到了提高。

可以通過(guò)產(chǎn)生更多路由（用更多的RD）的方法去掉目標(biāo)VPN配置實(shí)例，但擴(kuò)展性就差了。PE如何確定哪個(gè)目標(biāo)VPN屬性與一路由相關(guān)呢？有許多可能的方法。PE可以配置通向某一站點(diǎn)的所有路由都與某一目標(biāo)VPN屬性相關(guān)，也可以配置通向某一站點(diǎn)的部分路由與一目標(biāo)VPN屬性相關(guān)，其余的與另一目標(biāo)VPN屬性相關(guān)。

還可以由CE路由器在向PE分發(fā)路由時(shí)（見(jiàn)第6節(jié)），為每一路由指定一個(gè)或多個(gè)目標(biāo)VPN屬性。后一方法把VPN策略執(zhí)行機(jī)制的控制權(quán)從SP轉(zhuǎn)移到了客戶方。即使使用這種方法，也希望PE能根據(jù)自身的配置減少目標(biāo)VPN配置實(shí)例。

或者/并且強(qiáng)制性地添加一些目標(biāo)VPN屬性。更確切地說(shuō)，應(yīng)該稱這種屬性為“路由目標(biāo)”屬性而不是“VPN目標(biāo)”屬性。它只確定一些能使用該路由的站點(diǎn)，而并不關(guān)心這些站點(diǎn)是否組成了一個(gè)VPN配置實(shí)例。

用BGP在PE中分發(fā)路由

如果一個(gè)VPN的兩個(gè)站點(diǎn)所連接的PE在同一自治系統(tǒng)中，PE可以通過(guò)它們之間的IBGP連接分發(fā)VPN-IPv4路由。或者，它們可以分別與一個(gè)路由反射器RR有一個(gè)IBGP連接。如果VPN的兩個(gè)站點(diǎn)在不同的自治系統(tǒng)中（例如他們連接到不同的SP）。

那么一個(gè)PE路由器要使用IBGP把VPN-IPv4路由重新分發(fā)到一個(gè)自治系統(tǒng)邊界路由器ASBR或是以一ASBR為客戶的路由反射器RR上。ASBR使用EBGP把路由重新分發(fā)到另一自治系統(tǒng)的ASBR上。這樣，就可以連接到不同SP的不同VPN站點(diǎn)。

不過(guò)，作為SP間互相信任協(xié)議的一部分，VPN-IPv4路由只能被專用對(duì)等點(diǎn)間的EBGP連接所接受。VPN-IPv4路由不能在公共Internet上分發(fā)或被公共Internet接受。如果許多VPN配置實(shí)例的站點(diǎn)連接在不同的自治系統(tǒng)中，不同自治系統(tǒng)間并不需要有一個(gè)存有所有VPN路由的ASBR，可以有多個(gè)ASBR，每個(gè)ASBR只保存VPN的部分路由。

當(dāng)一個(gè)PE路由器用BGP分發(fā)一個(gè)VPN-IPv4路由時(shí)，它使用自己的地址作為“BGP下一跳”地址，并指定和分發(fā)一個(gè)MPLS標(biāo)簽(事實(shí)上，PE路由器分發(fā)的并不是VPN-IPv4路由，而是帶標(biāo)簽的VPN-IPv4路由，參見(jiàn)[8])。

當(dāng)PE接收到一個(gè)標(biāo)簽棧頂是MPLS標(biāo)簽的包時(shí)，PE會(huì)彈出該標(biāo)簽，直接把該包發(fā)送到路由指定的站點(diǎn)。這意味著它只把包發(fā)送到它學(xué)習(xí)路由的那個(gè)CE路由器。標(biāo)簽也可以決定數(shù)據(jù)鏈路的封裝。一般，接收帶標(biāo)簽的包的PE并不在轉(zhuǎn)發(fā)表中查找包的目的地址，而是利用另一PE指定的標(biāo)簽把包直接發(fā)送到CE。

當(dāng)然PE指定的標(biāo)簽也可能隱含地指定了某轉(zhuǎn)發(fā)表。這種情況下，PE接收到這個(gè)包后，會(huì)根據(jù)標(biāo)簽到該轉(zhuǎn)發(fā)表中查找包的目的地址。在某些情況下這種方法很有用，但我們?cè)诒疚闹胁蛔鲈斒觥Ｗ⒁猓@種方法分發(fā)的MPLS標(biāo)簽只在安裝該路由的路由器和該路由的BGP下一跳之間存在標(biāo)簽交換路徑LSP時(shí)才有用。

我們不對(duì)標(biāo)簽交換路徑LSP的建立過(guò)程做任何假定，LSP可能是預(yù)先建立，或是在需要時(shí)才建立。它可能是個(gè)“盡力而為”路由，也可能是個(gè)經(jīng)過(guò)流量工程的路由。在某路由的一個(gè)PE路由器和它的BGP下一跳之間可能有一個(gè)或多個(gè)具有不同QoS特性的LSP。

與VPN配置實(shí)例體系結(jié)構(gòu)有關(guān)的是路由器及其BGP下一跳之間的一些LSP。使用路由反射器一般是為了提高可擴(kuò)展性，如利用路由反射器的層次結(jié)構(gòu)。使用時(shí)并不需要某個(gè)路由反射器掌握由主干網(wǎng)所支持的所有VPN的全部VPN-IPv4路由，可以使用若干分離的彼此間無(wú)通信的路由反射器，每個(gè)都只支持部分VPN。

如果一個(gè)PE路由器不連接到一路由的任何一個(gè)目標(biāo)VPN，它就不必接收那個(gè)路由。發(fā)送該路由給它的PE或路由反射器應(yīng)該采取出口過(guò)濾措施以免繼續(xù)發(fā)送給它無(wú)用的路由。當(dāng)然，如果一個(gè)PE路由器通過(guò)BGP接收了一個(gè)路由，但它并不連接到該路由的任何一個(gè)目標(biāo)VPN，PE也應(yīng)該對(duì)該路由采取入口過(guò)濾措施，不安裝也不進(jìn)行重新分發(fā)。

一個(gè)不連接到任何VPN配置實(shí)例的路由器，如一個(gè)P路由器，無(wú)需安裝任何VPN-IPv4路由。這樣的分發(fā)規(guī)則確保了沒(méi)有一個(gè)設(shè)備需要掌握主干網(wǎng)所支持的所有VPN-IPv4路由。因此，主干網(wǎng)支持的VPN-IPv4路由總數(shù)不受任何一個(gè)設(shè)備容量所限，也就可以不受限地增加。