企业运作管理需要。由于信息系统集中整合的需要，实施此次mpls升级改造。通过本次改造工程的实施，优化网络结构，提高网络的安全性、可靠性及整个dcn网的服务质量。由一张实体物理网实现虚拟多业务网，采用mpls vpn隔离各类业务系统，骨干以现有dcn骨干网为基础构建，接入网采用灵活的方式到终端，满足企业内部应用的承载和安全需求。最终，dcn网络中的终端与主机须划入至各自所属的mpls vpn域中，实现各个vpn域之间的通信隔离，同时在各个vpn间建立数据通道，部署防火墙对经过数据通道的流量进行访问控制，实现对不同vpn域的通信数据的有效安全控制。
1 mpls vpn技术简介
mpls vpn是由若干不同的site组成的集合，一个site可以属于不同的vpn，属于同一vpn的site具有ip连通性，不同vpn间可以有控制地实现互访与隔离。
mpls vpn网络主要由ce、pe和p等3部分组成：ce(custom edge router，用户网络边缘路由器)设备直接与服务提供商网络。设备与用户的ce直接相连，负责vpn业务接入，处理vpn-ipv4路由，是mpls三层vpn的主要实现者：p(provider router，骨干网核心路由器)负责快速转发数据，不与ce直接相连。在整个mpls vpn中，p、pe设备需要支持mpls的基本功能，ce设备不必支持mpls。
pe是mpls vpn网络的关键设备，根据pe路由器是否参与客户的路由，mpls vpn分成layer3 mpls vpn和layer2 mpls vpn。LocalHost其中layer3 mpls vpn遵循rfc 2547bis标准，使用mbgp在pe路由器之间分发路由信息，使用mpls技术在vpn站点之间传送数据，因而又称为bgp/mpls vpn。在mpls vpn网络中，对vpn的所有处理都发生在pe路由器上，为此，pe路由器上起用了vpnv4地址族，引入了rd(route distinguisher)和rt(route target)等属性。rd具有全局惟一性，通过将8byte的rd作为ipv4地址前缀的扩展，使不惟一的ipv4地址转化为惟一的vpnv4地址。vpnv4地址对客户端设备来说是不可见的，它只用于骨干网络上路由信息的分发。rt使用了bgp中扩展团体属性，用于路由信息的分发，具有全局惟一性，同一个rt只能被一个vpn使用，它分成import rt和export rt，分别用于路由信息的导入和导出策略。在pe路由器上针对每个site都创建了一个虚拟路由转发表vrf(vpn routing & forwarding)，vrf为每个site维护逻辑上分离的路由表，每个vrf都有import rt和export rt属性。通过对import rt和export rt的合理配置，运营商可以构建不同拓扑类型的vpn，如重叠式vpn和hub-and-spoke vpn。
整个mpls vpn体系结构可以分成控制面和数据面，控制面定义了lsp的建立和vpn路由信息的分发过程，数据面则定义了vpn数据的转发过程。在控制层面，p路由器并不参与vpn路由信息的交互，客户路由器是通过ce和pe路由器之间、pe路由器之间的路由协议交互知道属于某个vpn的网络拓扑信息。除了路由协议外，在控制层面工作的还有ldp，它在整个mpls网络中进行标签的分发，形成数据转发的逻辑通道lsp。在数据转发层面，mpls vpn网络中传输的vpn业务数据采用外标签(又称隧道标签)和内标签(又称vpn标签)两层标签栈结构。当一个vpn业务分组由ce路由器发给入口pe路由器后，pe路由器查找该子接口对应的vrf表，从vrf表中得到vpn标签、初始外层标签以及到出口pe路由器的输出接口。当vpn分组被打上两层标签之后，就通过pe输出接口转发出去，然后在mpls骨干网中沿着lsp被逐级转发。在出口pe之前的最后一个p路由器上，外层标签被弹出，p路由器将只含有vpn标签的分组转发给出口pe路由器。出口pe路由器根据内层标签查找对应的输出接口，在弹出vpn标签后通过该接口将vpn分组发送给正确的ce路由器，从而实现了整个数据转发过程。
2 骨干迁移的三个关键问题
由于dcn网络建设时间比较久，网络结构比较复杂，如何从全部使用ip环境的dcn过渡到全部使用mpls vpn环境的dcn成了此次网络升级改造的重点。网络改造期间，网络的平稳运行无论对于市场还是对于业务系统都是至关重要的，由于mpls vpn技术是对全省dcn网络传输技术的彻底改变，如何在改变网络协议结构的同时让网络仍然健康地运行成为实现mpls vpn改造的首要问题。
过渡期间最应该考虑的关键三个问题是：
1）在ip环境下，各域间路由的互通问题。实现方法是先将组成dcn的各个ip网络单元以地市为单位逐个改造为mpls vpn 网络单元，然后逐个与省公司建立mp bgp邻居实现全网mpls vpn化。
2）受控互访的实现，即做到市公司在同一vpn区域内部互相之间不可见；市公司在同一vpn区域内部可以访问省公司；市公司访问处于不同vpn区域的省公司业务。方案设计中采用hub-spoke方式和对pe、ce层面实施控制来实现。
3）vpn划分与ip地址整理，dcn网络建设前期并未考虑各个应用系统的mpls vpn划分，因此大多系统混杂在一起，或者接在同一台设备，或者干脆就在同一个网段中，同时还存在生产与管理地址段混用的问题。具体系统混接的问题可以分为三类，地址混用、设备支持能力不足以及第二地址问题。
3 dcn网络改造升级的设计
dcn网络改造解决方案是融合mpls、vpn和qos技术的统一解决方案。方案采用mpls作为承载数据传输的新协议，

[1] [2] 下一页