童 樣，張水平，李有峰，張鳳琴，梁 棟

（空軍工程大學 信息與導航學院，陜西 西安710077）

0 引 言

虛擬專用網(wǎng) （virtual private network，VPN）互訪解決多個獨立的VPN 之間互通的問題［1］。目前實現(xiàn)VPN 互訪主要有以下方法：①Hub－and－Spoke方法。所有VPN 都通過IPSec協(xié)議連接到Hub－GW，通過Hub－GW 轉(zhuǎn)發(fā)數(shù)據(jù)包實現(xiàn)互訪。該方法的缺點：所有數(shù)據(jù)傳輸都要經(jīng)過Hub－GW，當數(shù)據(jù)流量很大時，Hub－GW 負載增大，易造成數(shù)據(jù)包丟失。②Full－Mesh方法。各VPN 之間通過IPSec協(xié)議相互連接。這種方法要求各VPN 對每條連接都要有相應的密鑰交換策略，開銷很大。③K.Ishimura 等人在文獻［2］中提出的動態(tài)IPSec－VPN 方法。它是Hub－and－Spoke和Full－Mesh方法的結(jié)合，當VPN 之間數(shù)據(jù)流量較小時，VPN 之間利用Hub－and－Spoke方法傳輸數(shù)據(jù)；當VPN 之間數(shù)據(jù)流量較大時，它們之間將動態(tài)建立一條直接鏈路。這種方法要求進行互訪的VPN 都是IPSec－VPN，適用范圍較窄，而且直接鏈路的建立需要在VPN 的用戶邊緣路由器（customer edge router，CE）和服務提供商邊緣路由器（provider edge router，PE）之間多次建立VLAN 連接。

本文提出了一種基于多協(xié)議標簽交換 （multi－protocol label switching，MPLS）的動態(tài)VPN 方法，詳細敘述了動態(tài)MPLS－VPN （dynamic MPLS－VPN，DMVPN）方法的步驟以及優(yōu)點。

1 主要VPN 互訪方法分析

目前常用的VPN 互訪方法是IPSec－VPN 方法。IPSec－VPN 方法分為3種：Hub－and－Spoke方法、Full－Mesh方法以及動態(tài)IPSec－VPN 方法。

1.1 Hub－and－Spoke方法

Hub－and－Spoke方法中，每個VPN 通過IPSec協(xié)議連接到Hub－GW 上，各VPN 通過Hub－GW 實現(xiàn)互訪，達到與其他的VPN 通信的目的。因此，連接到Hub－GW 的任意2個VPN 之間都能互訪。該方法中，各VPN 的CE 路由器只需要一條IKE／IPSec策略就能與其他VPN 通信。然而，由于所有流量都要通過Hub－GW，這種方法有2點不足：一是數(shù)據(jù)包可能因為鏈路較長而出現(xiàn)較大時延；二是Hub－GW 不斷增加的負擔可能導致數(shù)據(jù)包丟失。Hub－and－Spoke方法如圖1所示。

圖1 Hub－and－Spoke方法

1.2 Full－Mesh方法

Full－Mesh方法中，各VPN 之間通過IPSec協(xié)議直接相連，以此達到互訪的目的。這種結(jié)構(gòu)的優(yōu)點是所有VPN之間能直接通信，且較大的通信流量對于網(wǎng)絡(luò)性能的影響較小。其缺點是：對于每個VPN 的網(wǎng)關(guān) （CE 路由器），它必須要為其他每一個VPN 網(wǎng)關(guān)制定一條IKE／IPSec策略，包括加密算法、認證算法、通信流量選擇載荷信息等。Full－Mesh方法如圖2所示。

圖2 Full－Mesh方法

1.3 動態(tài)IPSec－VPN方法

這種方法是Hub－and－Spoke和Full－Mesh的結(jié)合。如圖3所示，所有VPN 都與Hub－GW 相連，VPN1和VPN3有互訪需求。當數(shù)據(jù)流量較小時，VPN1和VPN2通過Hub－GW 轉(zhuǎn)發(fā)數(shù)據(jù)包實現(xiàn)互訪；當數(shù)據(jù)流量很大，或是VPN1和VPN3不允許數(shù)據(jù)包有較長時延時，就利用移動多宿主協(xié)議 （mobility and multi－h(huán)oming protocol，MOBIKE）［3，4］在VPN1和VPN3 之間建立直接鏈路。該方法只能用于IPSec－VPN 之間的互訪，適用范圍窄。

圖3 動態(tài)IPSec－VPN 方法

2 動態(tài)MPLS－VPN方法

2.1 技術(shù)基礎(chǔ)

多協(xié)議標簽交換 （multi－protocol label switching，MPLS）技術(shù)是動態(tài)MPLS－VPN 方法的技術(shù)基礎(chǔ)。

MPLS－VPN 依靠虛擬路由轉(zhuǎn)發(fā) （virtual routing forwarding，VRF）表和數(shù)據(jù)包的標記來創(chuàng)建一個安全的VPN，不但具有安全性及客戶隔離的優(yōu)點，同時也具有簡化路由工作的優(yōu)點［5］。MPLS技術(shù)的工作原理總的來說就是：核心交換，邊緣路由［6］。當未被標記的數(shù)據(jù)分組 （IP包、幀中繼或ATM 信元）到達入口標簽邊緣路由器 （label edge router，LER）時，LER 根據(jù)數(shù)據(jù)分組的頭信息查找標簽信息庫LIB，確定并在包頭加上該數(shù)據(jù)包的標簽。之后數(shù)據(jù)包進行轉(zhuǎn)發(fā)時，標簽交換路由器 （label switching router，LSR）只需查找LIB，根據(jù)標簽信息確定轉(zhuǎn)發(fā)出口，并用新標簽取代舊標簽。當數(shù)據(jù)包到達出口LER 時，出口LER去除標簽信息并按傳統(tǒng)IP方式轉(zhuǎn)發(fā)數(shù)據(jù)包。當數(shù)據(jù)分組的標簽給定時，標簽交換路徑 （label switching path，LSP）由標簽分發(fā)協(xié)議LDP［7］確定。

MPLS在解決網(wǎng)絡(luò)的擴展性、實時流量工程、同時支持多種要求特定QoS保障的IP 業(yè)務等諸多方面具備技術(shù)優(yōu)勢。

2.2 方法原理

有互訪需求的VPN 節(jié)點需要向管理服務器注冊身份信息。只有注冊了身份信息的節(jié)點才能進行VPN 互訪。當VPN 內(nèi)的節(jié)點請求與另一VPN 內(nèi)節(jié)點互訪時，該節(jié)點將向管理服務器發(fā)送連接申請。管理服務器接收到連接申請后，將查詢互訪規(guī)則集，判斷申請能否通過。若連接申請不通過，則不會建立連接；若連接申請通過，將在互訪節(jié)點之間建立連接。

當節(jié)點之間的連接申請被允許時，管理服務器分配新的標簽，利用MPLS技術(shù)，在需要互訪的節(jié)點所在VPN 之間建立一條標簽交換路徑 （LSP）。管理服務器根據(jù)節(jié)點信息，依據(jù)互訪規(guī)則集制定過濾規(guī)則，并下發(fā)至節(jié)點所在VPN 的用戶邊緣路由器CE。VPN 中節(jié)點數(shù)據(jù)的傳輸嚴格遵守過濾規(guī)則，當數(shù)據(jù)包經(jīng)CE過濾后，將到達PE 路由器（入口LER），PE 在數(shù)據(jù)包上加上新標簽，然后通過LSP傳輸。

當設(shè)定的傳輸時長到達或是在傳輸時長內(nèi)數(shù)據(jù)傳輸結(jié)束，互訪節(jié)點的規(guī)則就被刪除，節(jié)點之間不能互訪。當互訪節(jié)點所在的VPN 之間無任何節(jié)點連接時，標簽信息和LSP被刪除。

根據(jù)方法原理，使用動態(tài)MPLS－VPN 方法實現(xiàn)互訪的工作流程如圖4所示。

圖4 動態(tài)MPLS－VPN 方法工作流程

2.3 方法特點

現(xiàn)有主要VPN 互聯(lián)方法只能做到VPN 與VPN 之間的連接控制，無法實現(xiàn)不同VPN 內(nèi)節(jié)點與節(jié)點之間的連接控制。DMVPN 互訪方法可以實現(xiàn)節(jié)點與節(jié)點之間的連接控制，即當VPN1內(nèi)的節(jié)點i與VPN2內(nèi)的節(jié)點j有數(shù)據(jù)傳輸需求時，DMVPN 方法可以實現(xiàn)節(jié)點i與節(jié)點j之間的連接控制。DMVPN 方法能滿足VPN 互訪的細粒度控制要求，即按節(jié)點、按方向、按時間實現(xiàn)互訪需求。同時，節(jié)點之間的數(shù)據(jù)傳輸嚴格按照規(guī)則實行，不會導致其他節(jié)點之間的路由導通。

3 動態(tài)MPLS－VPN方法實現(xiàn)

3.1 節(jié)點身份注冊

加入互訪系統(tǒng)的節(jié)點都要向管理服務器注冊身份信息。身份注冊的過程實際上是管理服務器制定互訪規(guī)則集的過程。各節(jié)點通過所在VPN 的用戶邊緣路由器CE 向管理服務器發(fā)送注冊信息。注冊信息包括以下內(nèi)容：節(jié)點所在VPN、IP和MAC地址、目的節(jié)點所在VPN、目的節(jié)點IP和MAC、數(shù)據(jù)流向 （流入或流出）、端口號、預計的傳輸時長。管理服務器收到注冊信息后，將其填入互訪規(guī)則集的相應位置。

互訪規(guī)則集如圖5所示?；ピL規(guī)則集由兩級構(gòu)成：一級互訪規(guī)則和二級互訪規(guī)則。一級互訪規(guī)則由VPN 連接方、能否連接、標簽信息、二級互訪規(guī)則表標識構(gòu)成，二級互訪規(guī)則表標識用來快速查找連接方對應的二級互訪規(guī)則；二級互訪規(guī)則由節(jié)點i所屬VPN、節(jié)點j所屬VPN、節(jié)點i的IP和MAC地址、節(jié)點j的IP和MAC地址、數(shù)據(jù)流向、端口號以及傳輸時長構(gòu)成。

圖5 互訪規(guī)則集

互訪規(guī)則集有2個作用。一個作用是判斷節(jié)點的互訪申請是否允許。一級互訪規(guī)則判斷節(jié)點所在VPN 之間能否連接，二級互訪規(guī)則判斷節(jié)點之間能否連接，只有一級判斷通過才會進行二級判斷。當兩級判斷都通過時，節(jié)點的互訪申請才會通過。另一個作用是制定CE 的過濾規(guī)則。當VPN1中的節(jié)點i申請與VPN2中的節(jié)點j互訪，并且互訪申請通過時，管理服務器根據(jù)互訪規(guī)則集制定VPN1、VPN2的用戶邊緣路由器CE1、CE2的過濾規(guī)則。其過程如圖6所示。

圖6 用戶邊緣路由器過濾規(guī)則制定及下發(fā)

3.2 連接建立

2個節(jié)點之間使用DMVPN 方法建立連接包含3 個階段：申請階段、建立階段以及傳輸階段 （如圖7所示）。連接建立過程如下：

圖7 連接建立過程

3.2.1 申請階段

（1）當VPN1內(nèi)節(jié)點i有業(yè)務需求，需要與VPN2 內(nèi)節(jié)點j進行數(shù)據(jù)傳輸時，節(jié)點i將通過VPN1的邊緣路由器CE1向管理服務器發(fā)送Connect＿Request消息，申請與節(jié)點j建立連接。Connect＿Request消息包括節(jié)點i的IP 和MAC地址、VPN1 的標識、節(jié)點j的IP 和MAC 地址、VPN2的標識。

（2）管理服務器收到Connect＿Request消息后，分析、提取信息，并與互訪規(guī)則集進行比對，檢查申請是否允許，并將結(jié)果消息Connect＿Response通過CE1 發(fā)送給節(jié)點i。Connect＿Response消息包括2種：當允許建立連接時，返回申請成功消息以及設(shè)定的數(shù)據(jù)傳輸時長；當拒絕建立連接時，返回申請失敗消息。

（3）若節(jié)點i的申請被允許，管理服務器將通過VPN2的邊緣路由器CE2向節(jié)點j發(fā)送建立連接通知消息：Connect＿Notifying。Connect＿Notifying消息包括節(jié)點i的IP和MAC地址、VPN1的標識。若節(jié)點i申請不允許，則向i返回申請失敗消息，同時停止建立連接。

3.2.2 建立階段

（1）管理服務器通過解析Connect＿Request消息獲得VPN1和VPN2的標識信息，查找互訪規(guī)則集中的一級互訪規(guī)則表，通過比對，查找對應的標簽信息是否為空。若為空，說明CE1與CE2之間未連接；若不為空，則CE1與CE2之間已連接。

（2）若標簽信息不為空，則直接使用該標簽進行傳輸，管理服務器根據(jù)二級互訪規(guī)則表生成相應的過濾規(guī)則 （如圖6所示）。若標簽信息為空，則管理服務器隨機生成新的標簽并填入一級過濾規(guī)則表中相應位置，并按圖6方法生成對應的過濾規(guī)則，將標簽信息下發(fā)至PE1和PE2，PE之間依照LDP協(xié)議建立標簽交換路徑 （LSP）。

（3）管理服務器將過濾規(guī)則對應下發(fā)至CE1 和CE2。CE1、CE2分別通知節(jié)點i、節(jié)點j連接已建立。

3.2.3 傳輸階段LSP建立成功后，節(jié)點i和節(jié)點j之間通過CE1和CE2進行連接。此時節(jié)點之間可進行數(shù)據(jù)傳輸。

3.3 連接刪除

在傳輸時長內(nèi)節(jié)點數(shù)據(jù)傳輸結(jié)束、或是設(shè)定的傳輸時長到達時，節(jié)點之間的連接即被刪除。根據(jù)連接刪除的原因，可將節(jié)點之間連接刪除的方式分為2 種：Terminate－Request型和Out－Time型。

3.3.1 Terminate－Request型

（1）當節(jié)點i和節(jié)點j之間的數(shù)據(jù)傳輸結(jié)束并且未超過傳輸時長時，CE1、CE2刪除關(guān)于節(jié)點i與節(jié)點j數(shù)據(jù)傳輸?shù)倪^濾規(guī)則，并檢查VPN1、VPN2內(nèi)節(jié)點是否還有連接。若沒有，CE1 或CE2 向管理服務器發(fā)送Connect＿Terminate消息，請求刪除連接。Connect＿Terminate消息包括VPN1的標識和VPN2的標識。

（2）管理服務器收到Connect＿Terminate消息后，提取信息，刪除一級過濾規(guī)則表中對應的動態(tài)標簽信息。同時通知PE1和PE2刪除相應的虛擬路由轉(zhuǎn)發(fā) （VRF）表。

Terminate－Request型刪除方式如圖8所示。

圖8 Terminate－Request型刪除方式

3.3.2 Out－Time型

節(jié)點i與節(jié)點j之間在設(shè)定的傳輸時長內(nèi)未完成數(shù)據(jù)傳輸，或是在傳輸時長內(nèi)數(shù)據(jù)傳輸結(jié)束，卻未向管理服務器發(fā)送刪除連接消息時，管理服務器將刪除連接，其具體過程如下：

（1）傳輸時長到達后，管理服務器向CE1和CE2發(fā)送Out＿of＿Time消息，CE1、CE2刪除對應規(guī)則并將超時消息分別通知節(jié)點i、節(jié)點j。

（2）CE1、CE2檢查規(guī)則列表中關(guān)于VPN1、VPN2內(nèi)節(jié)點之間連接的規(guī)則是否為空。若為空，CE1或CE2向管理服務器發(fā)送刪除標簽信息的消息。管理服務器刪除一級互訪規(guī)則表中對應的動態(tài)標簽信息，同時通知PE1和PE2刪除相應的虛擬路由轉(zhuǎn)發(fā) （VRF）表。

Out－Time型刪除方式如圖9所示。

圖9 Out－Time型刪除方式

4 動態(tài)MPLS－VPN 方法分析

相比于章節(jié)1所述IPSec－VPN 互訪方法，DMVPN 方法具有以下優(yōu)點：

（1）能夠?qū)崿F(xiàn)細粒度控制。IPSec－VPN 互訪方法只能實現(xiàn) “面到面”的控制，即整個VPN 之間的控制，無法細化到VPN 內(nèi)各節(jié)點。使用DMVPN 方法，可以由VPN 內(nèi)的節(jié)點發(fā)起連接請求、實現(xiàn)節(jié)點與節(jié)點之間的連接，根據(jù)過濾規(guī)則控制數(shù)據(jù)包的流向，根據(jù)設(shè)定的傳輸時長控制節(jié)點數(shù)據(jù)的傳輸時間，做到按節(jié)點、按方向、按時間的細粒度控制。

（2）適用范圍更廣。IPSec－VPN 方法只適用于IPSec－VPN 網(wǎng)絡(luò)之間的互訪，對于非IPSec協(xié)議的VPN 的互訪需求，該方法不適用。DMVPN 方法的互訪路徑采用MPLS技術(shù)建立，MPLS技術(shù)具有很好的兼容性，支持任意網(wǎng)絡(luò)層協(xié)議 （如IP、IPv6、IPX 等）和數(shù)據(jù)鏈路層協(xié)議 （如ATM、FR、PPP 等）［8］。因此，DMVPN 方法對有互訪需求節(jié)點所在VPN 的類型沒有限制，適用范圍更廣。

（3）數(shù)據(jù)傳輸更高效安全。動態(tài)IPSec－VPN 的創(chuàng)建需要進行3次VLAN 創(chuàng)建［9］，VLAN 中所有設(shè)備位于同一廣播域，利用相關(guān)軟件工具很容易獲取其他主機的通信信息，安全性不高［10］。此外，IPSec協(xié)議也無法滿足數(shù)據(jù)傳輸?shù)母咝?、快速性和QoS。DMVPN 方法采用MPLS 技術(shù)，能滿足數(shù)據(jù)傳輸?shù)母咝?、快速性和QoS。MPLS能兼容多種協(xié)議，因此DMVPN 也能滿足數(shù)據(jù)的安全性要求，如與IPSec混合使用［11］，即在CE 端對數(shù)據(jù)進行加密，使用標簽在PE之間轉(zhuǎn)發(fā)數(shù)據(jù)包。DMVPN 方法中的標簽是動態(tài)隨機分配的、并不固定，從而有效保證通信傳輸?shù)陌踩?/p>

（4）連接刪除方法更加全面。動態(tài)IPSec－VPN 的刪除機制只有一種，即管理服務器先刪除數(shù)據(jù)庫中CE1的MAC地址，然后通知PE1刪除PE表 （包含源IP和MAC地址、目的IP、端口）中的相關(guān)內(nèi)容，從而刪除連接，VPN 下一次連接申請前仍需進行身份注冊。該方法只能由服務器發(fā)起刪除操作，不能確保及時刪除鏈路，容易導致鏈路的長期占用。DMVPN 方法有2種刪除機制，即Terminate－Request型和Out－Time型。Terminate－Request型由用戶主動申請刪除連接；Out－Time型引入時間域概念，設(shè)定傳輸時長來限制數(shù)據(jù)傳輸?shù)臅r間，當傳輸時長到來即由管理服務器刪除連接并通過CE通知節(jié)點。2種機制結(jié)合使用，節(jié)點和管理服務器都能發(fā)起刪除操作，確保鏈路資源不被長期占用、節(jié)點之間的路由不會一直導通。DMVPN 連接的刪除只是刪除節(jié)點的過濾規(guī)則，當VPN 之間無節(jié)點連接時再刪除標簽信息和虛擬路由轉(zhuǎn)發(fā)VRF表，節(jié)點下一次申請連接之前無需進行身份注冊。

5 結(jié)束語

本文針對VPN 互訪需求，提出了動態(tài)MPLS－VPN 方法。該方法使用隨機分配的標簽，在有VPN 互訪需求的2個節(jié)點所在VPN 之間創(chuàng)建MPLS通道，利用互訪規(guī)則集和過濾規(guī)則實現(xiàn)節(jié)點到節(jié)點的數(shù)據(jù)傳輸控制。DMVPN 方法具有細粒度控制、適用于大多數(shù)VPN 之間的節(jié)點互訪、刪除機制更加全面以及數(shù)據(jù)傳輸可控的優(yōu)點。該方法對于管理服務器的要求較高，適合于VPN 互訪需求較少的情況。下一步研究將著重于改善服務器性能，包括優(yōu)化DMVPN方法連接建立方式和標簽分配方法、增強DMVPN 方法的數(shù)據(jù)傳輸可控性，使DMVPN 方法能在更大范圍、更廣地域內(nèi)可靠實施。

［1］DING Yi.The research and implementation of Layer3 MPLS VPN ［D］.Shanghai：Fudan University，2010 （in Chinese）.［丁一.Layer3 MPLS VPN 技術(shù)的研究和實現(xiàn) ［D］.上海：復旦大學，2010.］

［2］Ishimura K，Tamura T，Mizuno S，et al.Dynamic IP－VPN architecture with secure IPsec tunnels ［C］／／8th Asia－Pacific Symposium on Information and Telecommunication Technologies.IEEE，2010：1－5.

［3］Karbasioun MM，Berenjkub M，Taji B.Securing mobile IP communications using MOBIKE protocol ［C］／／International Conference on Telecommunications.IEEE，2008：1－5.

［4］Devarapalli V，Eronen P.Secure connectivity and mobility using mobile IPv4and IKEv2 mobility and multihoming （MOBIKE） ［EB／OL］. ［2013－03－02／2013－12－20］.http／／tools.ietf.org／html／rfc5266.

［5］NI Yanbiao.The research and implementation of applying MPLS VPN in the telecommunications supporting networks［D］.Beijing：Beijing University of Posts and Telecommunications，2010 （in Chinese）.［倪彥彪.MPLS VPN 在電信支撐網(wǎng)中的研究與實現(xiàn) ［D］.北京：北京郵電大學，2010.］

［6］LANG He.Programming and application of MPLS VPN technology in Tianjin power integrated services digital networks［D］.Tianjin：Tianjin University，2010 （in Chinese）.［郎赫.MPLS VPN 技術(shù)在天津電力綜合業(yè)務數(shù)據(jù)網(wǎng)中的規(guī)劃應用［D］.天津：天津大學，2010.］

［7］Lasserre M， Kompella V. Virtual private LAN service（VPLS）using label distribution protocol signaling ［R］.RFC 4762，2007.

［8］HAN Likun.The design and practice on IP bearer network CDMA of Ningxia telecom ［D］.Beijing：Beijing University of Posts and Telecommunications，2011 （in Chinese）.［韓立琨.寧夏電信CDMA IP承載網(wǎng)絡(luò)方案設(shè)計與實踐 ［D］.北京：北京郵電大學，2011.］

［9］Liao WH，Su SC.A dynamic VPN architecture for private cloud computing ［C］／／Fourth IEEE International Conference on Utility and Cloud Computing.IEEE，2011：409－414.

［10］WANG Liping.Applications of MPLS VPN technologies in remotecontrol monitoring ［D］.Beijing：Beijing University of Posts and Telecommunications，2010（in Chinese）. ［王莉萍.MPLS VPN技術(shù)在遙控監(jiān)測中的應用［D］.北京：北京郵電大學，2010.］

［11］FAN Yaqin，ZHANG Licui，MA Qiang.Application of IPSec technology for MPLS VPN security solution ［J］.Journal of Jilin University （Information Science Edition），2008，26（1）：6－9 （in Chinese）. ［范亞芹，張麗翠，馬強.IPSec技術(shù)在MPLS VPN 安全保障中的應用 ［J］.吉林大學學報 （信息科學版），2008，26 （1）：6－9.］