姜金智 中海油信息科技有限公司

MPLS網(wǎng)絡(luò)在企業(yè)中的應(yīng)用

姜金智 中海油信息科技有限公司

建設(shè)滿足“物理共享，邏輯獨立”需求的MPLS（Multi-Protocol Label Switching，多協(xié)議標記交換）云狀網(wǎng)絡(luò)，讓企業(yè)共享一個物理網(wǎng)絡(luò)平臺，不同的下屬公司具有自己邏輯上獨立的網(wǎng)絡(luò)，不同的應(yīng)用系統(tǒng)也可以做到網(wǎng)絡(luò)訪問的邏輯隔離。因此MPLS云狀網(wǎng)絡(luò)可以從根本上解決基礎(chǔ)網(wǎng)絡(luò)和安全方面所面臨的問題和挑戰(zhàn)。

MPLS 物理共享 邏輯隔離

1 MPLS網(wǎng)絡(luò)改造背景

隨著企業(yè)信息化建設(shè)的推進，信息技術(shù)的應(yīng)用對企業(yè)業(yè)務(wù)支撐的作用越來越大，各級組織對信息系統(tǒng)的依賴性也日益提高，尤其對網(wǎng)絡(luò)安全更加重視，同一集團下的各公司之間也有網(wǎng)絡(luò)隔離防護需求，“物理共享，邏輯獨立”的網(wǎng)絡(luò)結(jié)構(gòu)成為在當前網(wǎng)絡(luò)上進行改造最佳性價比方案。

2 MPLS技術(shù)

2.1 MPLS網(wǎng)絡(luò)意義

傳統(tǒng)的IP數(shù)據(jù)轉(zhuǎn)發(fā)是基于逐跳式的，每個轉(zhuǎn)發(fā)數(shù)據(jù)的路由器都要根據(jù)IP包頭的目的地址查找路由表來獲得下一跳的出口，這是個繁瑣又效率低下的工作，主要的原因是兩個：①有些路由的查詢必須對路由表進行多次查找，這就是所謂的遞歸搜索；②由于路由匹配遵循最長匹配原則，所以迫使幾乎所有的路由器的交換引擎必須用軟件來實現(xiàn)，用軟件實現(xiàn)的交換引擎和ATM交換機上用硬件來實現(xiàn)的交換引擎在效率上無法相抗衡。

IP和ATM曾經(jīng)是兩個互相對立的技術(shù)，各個IP設(shè)備制造商和ATM設(shè)備制造商都曾努力想吃掉對方，想IP一統(tǒng)天下，或者ATM一家獨秀！但是最終是這兩種技術(shù)的融合，那就是MPLS(Multi-Protocol Label Switching，多協(xié)議標記交換)技術(shù)的誕生！MPLS技術(shù)結(jié)合和IP技術(shù)信令簡單和ATM交換引擎高效的優(yōu)點！

2.2 MPLS VPN工作原理

MPLS VPN是一種基于MPLS技術(shù)的IP VPN，是在網(wǎng)絡(luò)路由和交換設(shè)備上應(yīng)用MPLS技術(shù)，簡化核心路由器的路由選擇方式，利用結(jié)合傳統(tǒng)路由技術(shù)的標記交換實現(xiàn)的IP虛擬專用網(wǎng)絡(luò)（IP VPN），可用來構(gòu)造寬帶的Intranet、Extranet，滿足多種靈活的業(yè)務(wù)需求。

MPLS是基于標記的IP路由選擇方法。這些標記可以被用來代表逐跳式或者顯式路由，并指明服務(wù)質(zhì)量（QoS）、虛擬專網(wǎng)以及影響一種特定類型的流量（或一個特殊用戶的流量）在網(wǎng)絡(luò)上的傳輸方式等各類信息。MPLS采用簡化了的技術(shù)，來完成第三層和第二層的轉(zhuǎn)換。它可以提供每個IP數(shù)據(jù)包一個標記，將之與IP數(shù)據(jù)包封裝于新的MPLS數(shù)據(jù)包，由此決定IP數(shù)據(jù)包的傳輸路徑以及優(yōu)先順序，而與MPLS兼容的路由器會在將IP數(shù)據(jù)包按相應(yīng)路徑轉(zhuǎn)發(fā)之前僅讀取該MPLS數(shù)據(jù)包的包頭標記，無須再去讀取每個IP數(shù)據(jù)包中的IP地址位等信息，因此數(shù)據(jù)包的交換轉(zhuǎn)發(fā)速度大大加快。

目前的路由協(xié)議都是在一個指定源和目的地之間選擇最短路徑，而不論該路徑的帶寬、載荷等鏈路狀態(tài)，對于缺乏安全保障的鏈路也沒有一種顯式方法來繞過它。利用顯式路由選擇，就可以靈活選擇一條低延遲、安全的路徑來傳輸數(shù)據(jù)。

MPLS協(xié)議實現(xiàn)了第三層的路由到第二層的交換的轉(zhuǎn)換。MPLS可以使用各種第二層協(xié)議。MPLS工作組到目前為止已經(jīng)把在幀中繼、ATM和PPP鏈路以及IEEE802．3局域網(wǎng)上使用的標記實現(xiàn)了標準化。MPLS在幀中繼和ATM上運行的一個好處是它為這些面向連接的技術(shù)帶來了IP的任意連通性。

IP包進入網(wǎng)絡(luò)核心時，邊界路由器給它分配一個標記。自此，MPLS設(shè)備就會自始至終查看這些標記信息，將這些有標記的包交換至其目的地。由于路由處理減少，網(wǎng)絡(luò)的等待時間也就隨之縮短，而可伸縮性卻有所增加。MPLS數(shù)據(jù)包的服務(wù)質(zhì)量類型可以由MPLS邊界路由器根據(jù)IP包的各種參數(shù)來確定，如IP的源地址、目的地址、端口號、TOS值等參數(shù)。

3 MPLS在企業(yè)中的應(yīng)用

通過MPLS云狀網(wǎng)絡(luò)，讓企業(yè)中所有的公司共享一個物理網(wǎng)絡(luò)平臺，不同的二級公司具有自己邏輯上獨立的網(wǎng)絡(luò)，不同的應(yīng)用系統(tǒng)也可以做到網(wǎng)絡(luò)訪問的邏輯隔離，甚至使用同一應(yīng)用系統(tǒng)的不同公司也可以在傳輸層面做到邏輯上的獨立。以此做到“物理共享、邏輯獨立”。

MPLS VPN是在大型網(wǎng)絡(luò)中被廣泛使用的一種邏輯獨立技術(shù)，是在網(wǎng)絡(luò)設(shè)備上應(yīng)用MPLS技術(shù)，在公共網(wǎng)絡(luò)上建立一個邏輯的、點到點的或多點間連接，以保證數(shù)據(jù)僅被指定的發(fā)送者和接收者獲取，從而保證了數(shù)據(jù)的私有性和安全性。VPN邏輯層次設(shè)計的目標，就是要體現(xiàn)企業(yè)信息網(wǎng)在物理共享、邏輯獨立的總體原則下，滿足業(yè)務(wù)屬性、管理屬性等諸多方面的要求。在典型的MPLS VPN的設(shè)計中，一旦劃分出不同的VPN，則這些VPN內(nèi)的數(shù)據(jù)默認情況下是相互隔離，無法互訪的，從而真正保障數(shù)據(jù)的邏輯獨立性。

VPN的劃分原則上以二級單位為界，所有該單位共享應(yīng)用劃分一個共享VPN，所有辦公用戶和下級應(yīng)用劃分縱向VPN，這樣每個二級單位有一個二級共享VPN＋一個縱向VPN（1+1模式）。對部分二級單位提出進一步區(qū)隔要求的，例如需要根據(jù)業(yè)務(wù)板塊或三級機構(gòu)類別進行區(qū)隔，可以劃分多個縱向VPN，分別容納各板塊或各機構(gòu)用戶，即二級單位有一個二級共享VPN＋N個縱向VPN（1+N模式）。

如圖所示，同一單位的共享VPN和縱向VPN互通；有隸屬關(guān)系的上、下級單位的共享VPN可以互通；平級單位之間禁止直接的橫向數(shù)據(jù)交互，如有業(yè)務(wù)交互需求可通過總公司共享VPN的應(yīng)用跨接；無隸屬關(guān)系的上、下級單位禁止斜向數(shù)據(jù)訪問。特殊訪問環(huán)境下可酌情增加特殊共享VPN，實現(xiàn)跨VPN間的交互。所有下屬公司均需要訪問的應(yīng)用服務(wù)器放入總公司共享VPN中，方便各二級公司用戶正常辦公。