MPLS-VPN技术在校园网中规范化部署研究

('MPLSVPN技术在校园网中规范化部署研究肖永钦;王怡;陈嵩【摘要】结合高校对网络的需求,提出了MPLSVPN技术在高校校园网中部署规范设计和实施.通过功能区的划分、路由协议的设计及网络参数设计等方面进行详细分析MPLSVPN技术在校园网中规划、设计和部署,从而实现一网共用,资源共享,实现多业务统一部署.本文的研究的成果有助于规范化部署基于MPLSVPN校园网,为校园网中大规模部署MPLSVPN提供理论与实践指导,同时提高网络故障排查的速度,最大限度保障虚拟专用网的可用性、有效管理性和安全可靠运行的要求,从而节省了投资.【期刊名称】《武夷学院学报》【年(卷),期】2016(035)012【总页数】6页(P53-58)【关键词】MPLSVPN;LDP;BGP;校园网;规范化【作者】肖永钦;王怡;陈嵩【作者单位】福建师范大学现代教育技术中心,福建福州350117;福建师范大学现代教育技术中心,福建福州350117;福建师范大学现代教育技术中心,福建福州350117【正文语种】中文【中图分类】TP393.1随着国家提倡集约型社会，提倡节约资源，那么是否有一种技术能够实现在一张物理网络上承载多张逻辑网呢？答案是肯定的，我们可以通过MPLSVPN[1]虚拟技术实现在一张校园网上承载多个专网，满足学校教学、办公、平安校园的需求。MPLSVPN是指采用MPLS（多协议标记转换）技术在IP网络上构建虚拟专用IP专网，实现跨地域、安全、高速、可靠的数据、语音、图像多业务通信，并结合差别服务、流量工程等相关技术，将公众网可靠的性能、良好的扩展性、丰富的功能与专用网的安全、灵活、高效结合在一起。目前大家讨论比较多是MPLSVPN技术或某个具体案例，还比较少从学校实际需求层面来谈MPLSVPN技术的规范化部署。本文将以高校的实际需求出发，探讨在校园网中进行规范化部署MPLSVPN技术。数字化校园业务对校园网络需求从大的方面来看，主要有如下八大类组成，具体如下。1)教学与科研专网在教学应用这块，主要包括在线视频授课、教学录像及课件的在线浏览和下载、学生和老师通过网络互动、远程答辩以及传统的学习信息查询等。在科研这块，主要包括课题报送与验收、远程网上协同工作、科研资源的共享、网格计算等。2)办公网办公自动化OA系统和各部门的管理系统的基础上建立统一的学校管理平台和信息平台。VOIP、视频会议系统和网络电视、网上直播系统等在学校内可以更好的、更便捷的进行沟通和信息交流。3)视频监控专网为了加强人身和财产安全，需要建立专项视频监控网，保障学校广大师生安全。4)招生专网为了保障招生网络信息系统的安全，通过专网与互联网隔离。5)院系、部处专网为了保障各个院系、部处专网的安全，使其只能内部互访而与其他部门隔离。6)实验专网为了保障各个学院实验设备的安全，通过专网与互联网隔离。7)托管服务器每个院系、部处的内部应用服务器，不需要上互联网，供每个院系、部处自己内部访问和一部分师生访问。8)网站发布服务器所有院系、部处的对公网发布的服务器，主要网站进行发布。综上所述，我们建设的目的是能够通过构建一个统一、高效、可靠、安全的信息化平台，有效实现校园网各个院系、部处纵向专网隔离、横向授权访问和校园资源共享，形成统一的校园网络和资源共享平台。2.1MPLSVPN网络架构总体设计根据数字化校园业务对校园网络需求，我们将以高校网络实际需求为出发点，设计MPLSVPN网络拓扑，详见图1。高校的所有院系、部处的接入单位统一接入进校园网中，通过MPLS/VPN技术实现统一出口、统一管理、业务隔离等业务功能需求。为了实现业务隔离，在校园网络中划分出四个功能区，每个功能区实现不同的业务需求。在中心端也存在相应的服务器功能区。每个接入单位可选4个功能区，各功能区介绍如下所示：1)互联网区它包括校园办公网，各接入院系、部处的互联网区是唯一具有Internet访问权限的区域，由校园网平台统一实现Interne的高速访问和安全控制；该功能区同时可以访问数据中心的互联共享区。2)内联网区它包括招生专网、视频监控专网、实验专网和院系、部处内部专网，内联网区即纵向访问区，同一院系、部处的各接入单位内联网区及其托管服务器区处于一个VPN中，实现各接入单位的互联互通，并与其他接入单位安全隔离。3)互访区它包括教学科研专网，互访区即横向访问区，按照不同学院、部处间特殊应用的互访要求，可通过互访区实现不同接入单位的横向受控访问。4)共享区各接入单位的共享区是唯一具有信息中心共享服务器访问权限的区域。上述四个功能区为每个接入单位可选配置的四个功能区，除此之外数据中心划分如下服务器区：5)公众服务器区所有院系、部处的对公网发布的服务器都放置在该区域中，由网站管理中心统一管理。6)托管服务器区每个院系、部处的内部服务器（只能被该属于该接入单位的内联区访问）都放置在该区域中，由网站管理中心统一管理。7)共享服务器区所有学院、部处的接入单位的共享区都可以访问共享服务器区内的服务器，主要是一些内网资源。8)互联共享区该功能区对接入单位互联网区用户开放。2.2路由协议规划设计核心P[1]（Provider）设备与汇聚PE[1]（ProviderEdge）设备之间运行OSPF、LDP[2]、MP-BGP等协议，构成基于MPLS体系[3]的VPN骨干网络，所有接入单位下的用户数据在校园网中以标签包的形式进行传输。汇聚PE设备同接入CE（customeredge）设备之间运行静态路由，PE设备上为每个接入单位的四个功能区创建相应的VRF[4]（virtualroutingforwarding），将VRF下的静态路由重发布进MP-BGP并通告进MPLS/VPN骨干网络。CE设备上运行策略路由，将不同接入单位的不同功能区的数据向上转发进PE设备上相对应的VRF接口中。2.2.1骨干IGP设计OSPF协议作为核心IGP[5]（interiorgatewayprotocol）协议在项目中应用较为简单，仅仅是用来保证BGP[5]、LDP（labeldistributionprotocol）的邻居关系建立，承载BGP会话、LDP会话以及发布CE设备管理网段路由。OSPF协议的最主要的作用就是保证所有P/PE设备的Loopback地址能够通告出去并通过OSPF路由可达。为了加快OSPF邻接关系的形成，将骨干网络中接口的OSPF网络类型统一修改为pointto-topoint。通过修改接口的OSPFCost参数以影响OSPF选路。2.2.2MP-BGP设计BGP对等关系设计，如果汇聚PE设备是单链路上联，则只与自己上联的核心P设备建立IBGP对等关系，如果汇聚PE设备是双链路上联（包括连接到其他汇聚PE设备），则与两个核心P设备都建立IBGP对等关系。所有的MP-IBGP对等体均采用Loopback地址做为更新源（update-source）。2.2.3路由反射器设计（RR）两台核心P设备上需要将其做连接的汇聚PE指为反射器的客户端，同时两台核心P设备之间也必须互指为各自的客户端。2.2.4PE-CE路由协议设计PE设备和CE设备间的互联方式如图3所示。在PE设备上为每个接入单位的4个功能区创建4个互联SVI，并且这4个用于互联的SVI，分别关联进不同的VRF，然后在这4个VRF下分别配置该接入单位的各个功能区的静态回指路由，如图4所示：2.2.5互联网和共享区路由设计在核心交换机上做连接的互联网和共享区，供接入单位互联网区内的用户既可以访问互联网也能够访问互联共享区内的服务器资源，这就要求接入单位互联区的VRF既能学习到访问互联网的默认路由，也能学习到互联共享区的明细路由，但是共享区内的服务器是不容许访问Internet。MPLS/VPN网络中路由的学习与发布是通过对VRF的ExportRT[6]、ImportRT进行配置来实现的，即需要对接入单位的互联网区VRF的RT值、核心交换机上出口VRF的RT值以及核心交换机上连接互联共享区VRF的RT值进行配置，以实现上述需求。2.3网络参数设计2.3.1设备管理地址设计核心P、汇聚PE设备采用Loopback0地址作为管理地址。接入CE设备及CEX设备的管理IP地址采用172.31.xxx.nnn/24，其中xxx为汇聚PE设备的Loopback0地址的最后一个字节数100-131，nnn为CE设备的编号。CE设备及CEX设备的管理VLAN采用VLAN9，网关地址为172.31.xxx.254,该地址在其所连接的PE设备上，如图5所示：说明：CE设备管理网段不属于任何VRF，通过OSPF通告进骨干网络，属于骨干网络路由表的一部分。2.3.2功能区编号设计互联网区：1；内联网区：2；互访区：3；共享区：4。2.3.3校区编号设计针对目前大部分高校都有1至多个校区，如果在不同地市内，就按电话区号来命名，比如福州市的电话区号为0591，厦门市的电话区号为0592；如果在同一地市内有多个校区，就按电话区号+附加码，附加码取值范围为100～110。2.3.4接入单位编号设计IP地址通常用“点分十进制”表示成（A.B.C.D）的形式，接入单位编号可取接入单位IP网段的“C”作为编号，比如：接入单位IP地址段为10.106.102.0/24，那么接入单位编号取102，以此类推。2.3.5PE编号设计PE设备一般是一个楼群的汇聚设备，PE设备的编号取值范围为00～30，如果不够扩充PE，新增PE的编号将从31开始向后取。2.3.6接入单位命名设计接入单位命名采用“校区编号_PE编号_接入单位编号”的方式。2.3.7VRF命名设计需要在PE上面为每一个接入单位的每一个功能区创建一个VRF，VRF的命名规则采用“接入单位命名_功能区编号”方式。2.3.8设备命名设计为便于日后运维，所有物理设备都应该有统一明确定义的命名规范，建议设备的命名应有如下信息组成：物理位置+设备层次+设备管理IP地址+对端设备端口号，其中物理位置取其简称，比如：理工楼群，对应的编码为lglq；设备层次取值为“P、PE、CE”。2.3.9各接入单位功能区IP地址及VLAN设计为各院系、部处在每个接入单位分配的IP地址，从10.0.0.0/8这个地址段中选取，分配原则如下所示接入单位地址采用“校区编号+功能区编号+院系编号”的分配方式，通过IP地址可以直观并唯一的确定接入用户的归属，该方式是将10.0.0.0/8这个地址空间的第2个字节进行拆分，前5个比特PE编号，后3个比特标识功能区编号，第三个字节标识接入单位编号，如图6所示。考虑到互联网区内的用户数量较多，为互联网区分配两个地址段，将第二个字节的后3bits为全0的IP地址也分配给了互联网区作为预留。VLAN号的分配方法采用“接入单位编号+功能区编号”方法进行定义。2.3.10RouteDistinguisher设计各接入单位的各功能区VRF的RD[7-8]的设计规则采用：“65500：1+PE编号+接入单位编号+功能区编号”这样的格式，如图7所示。数据中心PE上的各服务器区及Internet接入区的VRF的RD设计如下：Internet接入区：65500：10000服务器托管区：65500：2+接入单位编号+2共享服务器区：65500：300002.3.11RouteTarget设计接入单位各功能区VRF以及数据中心的服务器区VRF的RouteTarget[9-10]设计规则如下：1)接入单位互联网区VRFRT设计ExportRouteTarget：65500:10001ImportRouteTarget：65500:10000在数据中心P上连接Internet的互联网接入区VRF的RouteTarget如下：ExportRouteTarget：65500:10000ImportRouteTarget：65500:10001根据如上的设计规则，各接入单位的互联网区VRF之间无法学习到互相的路由，各接入单位的互联网区VRF能够学习到Internet互联网接入区VRF的默认路由，Internet互联网接入区VRF也能够学习到各接入单位的互联网区VRF路由，从而实现了各接入单位的互联网区可以访问Internet，但相互之间无法访问。2)接入单位内联网区VRFRT设计ExportRouteTarget：65500:2+接入单位编号+2ImportRouteTarget：65500:2+接入单位编号+2数据中心PE的托管服务器区VRF的RouteTarget如下：ExportRouteTarget：65500:2+接入单位编号+2按照如上规则，处于不同PE下的同一院系、部处的接入单位的内联网区VRF以及该院系、部处放在数据中心托管区的服务器所处的VRF就可以相互学习路由，从而实现同一院系、部处以及该院系、部处的托管服务器间的纵向访问。3)接入单位互访区VRFRT设计ExportRouteTarget：等于该功能区VRF所对应的RD值ImportRouteTarget：根据实际需求进行配置根据如上规则，当两个不同接入单位之间需要互相访问时，只需要互相导入对方互访区VRF的ExportRouteTarget即可，从而实现不同接入单位的横向互访。4)接入单位共享区VRFRT设计ExportRouteTarget：65500：30001ImportRouteTarget：65500：30000数据中心PE上的共享服务器区的VRF的RouterTarget如下：ExportRouteTarget：65500：30000ImportRouteTarget：65500：30001同互联网区的VRF的RT规则相同，从而实现各接入单位的共享区VRF之间不能互相访问，只能访问数据中心PE上的共享服务器区VRF。主要针对高校对网络需求，引入了MPLSVPN技术，基于理论与实践基础上，提出了MPLSVPN技术在校园网中规范化部署设计思路和实现机理，为MPLSVPN在校园网中大规模部署提供理论与实践指导。【相关文献】[1]RosenE，RekhterY.BGP/MPLSIPVirtualPrivateNetworks(VPNs)[M].IETFRFC4364,2006.[2]闫勇.MPLS技术研究及其应用.同煤科技,2010(4):16-19.[3]JimG，IvanP.MPLS和VPN体系结构（修订版）[M].田果,刘丹宁,沈铮，译.北京:人民邮电出版社,2015.[4]IvanP,JimG.MPLSandVPNarchitectures[M].Indianapolis:CiscoPress,2012.[5]ZaheerA,LiuJ,AbeM,etal.TroubleshootingIProutingprotocols[M].Indianapolis:CiscoPress,2002.[6]裴郁.MPLSVPN组网研究与实现[D].上海:复旦大学,2007.[7]尹光成.IP路由技术详解与配置实践[M].北京：清华大学出版社,2012:98-102.[8]王达.虚拟专用网(VPN)精解[M].北京:清华大学出版社,2009.[9]符冰.MPLSVPN技术在校园网的研究和实现[D].上海:上海交通大学，2011.[10]JimG,FrancoisLF,Jean-PhilippeV.MPLS网络设计权威指南[M].陈武,译.北京:人民邮电出版社,2007.',)