企业专网 建方式探讨

何洪波 UT斯达康（杭州）通信公司

    由于采用FR/ATM等传统技术组网方式的成本比较高，导致无法为用户提供比较低的资费。同时，由于用户组网的需求非常强烈，因此研究与采用新的技术，对现有的网络资源作优化组合并改进，以期以更低的成本满足用户的需求。

    目前，主要有VLAN、VPN、MPLS VPN和LAN-ATM几种企业用户组网新技术，它们都有各自的特点和适用范围。

    本文主要讨论用户宽带专网，此类用户均要求带宽在2Mb/s以上，差别主要在通信质量，包括实时性、带宽保证、可靠性；通信费用；安全性等。

    如金融证券部门对于通信质量和安全性要求很高，而资费次之。政府部门则要求很高的安全性和低廉的通信费用，对于通信质量要求不是很高。企业的情况差别很大，小企业主要关心通信费用，大企业关心通信质量和安全性。以下对几种用户宽带组网技术进行讨论。

    VLAN

    最初推出VLAN主要是用于用户内部组网。随着宽带城域网的建设，人们发现VLAN在宽带城域网中有很大的用途。

    此组网方式有如下优点：

    * 单位带宽成本低：宽带城域网采用的都是以太网交换机，比ATM、帧中继等设备要廉价得多；另外，由于宽带城域网交换机之间采用GE口与光纤直连，比传统的传输网或ATM网单位带宽的造价低得多。

    * 用户设备投资少：用户设备只要有以太网端口即可，不需要昂贵的广域网接口。

    * 用户接入带宽高：用户通过10/100M接口接入，在骨干流量不拥挤的情况下可以获得10/100M的带宽。

正因为通过VLAN方式组建用户专网的成本低，因此可以制定较低的资费。但VLAN方式也存在不足：

    * 由于VLAN是第二层的协议，不能跨路由器，因此无法提供跨城域业务。

    * QoS能力弱：不能按需为不同的用户分配不同的带宽，并提供相应的保证。

    * 根据802.1q标准，VLAN编号只能是0～4095，因此在同一交换网络中最多只能分配4096个VLAN。

    * 安全性问题：由于宽带城域网主要是提供互联网的宽带接入，因此与互联网相连，这对于银行、政府等部门是不允许的。

    因此，VLAN方式适用于对资费比较敏感，对安全性和通信质量要求不是很高的用户。大多数企业属于此类用户。

基于隧道的VPN

    VPN（Virtual Private Network）是指在公用网络上（如互联网、帧中继、ATM等）构建用户的内部网络，其安全性、地址空间等和用户专用网络一样。伴随着互联网在全球的快速发展，特别是近一、两年以来VPN技术的成熟，使得VPN在互联网上获得了广泛的应用。

    基于隧道的VPN技术的优点如下：

* 由于VPN建立在共享的互联网上，其资费比较低。

* 通过建立隧道，对于用户来说，其网络的安全性、地址空间的分配、路由政策、网络管理和专网相同。

* 如网关设备采用用户提供的方式，由于隧道的发起和建立由用户设备实现，对于电信来说，VPN用户只是一个普通的专线上网用户，电信的工作量小，维护方便。

但此方式也存在缺点：

* QoS无法保证。互联网是一个“尽力”传输的网络。虽然有RSVP（资源预留协议）等协议可以保证带宽，但难以做到对所经过的所有路由器都支持，而且对于路由器的资源占用很大。目前比较可行的IP网上的QoS实现机制是采用CoS，即对业务流进行分类，不同业务量有不同的优先级，如对于实时业务的优先级比较高。但隧道式VPN将数据包通过加密的方式在网上传输，互联网设备不能了解当前传输的是哪种IP流量，因此，无法保证CoS。

* 由于隧道技术点对点的拓扑结构，如要保证所有VPN中的所有节点直连，网络拓扑将成为网状结构，网络链路的数量与节点数是平方的关系，网络结构复杂，难于管理，不适合大规模的VPN结构。

* 网络结构的调整不便，在VPN中增加一个新的节点，必须建立该节点与所有现有节点的点对点连接关系。更新整个流矩阵，更新每个节点的路由以适应新的拓扑关系。

* 采用网关设备由用户提供的方式，对于电信来说没有任何增值服务，不利于提高业务收入。如采用由ISP建立隧道的方式，由于VPN网络链路的数量与节点数的平方关系以及网络结构调整的不便，无论从设备性能和网络管理方面都无法支持大量的用户，而如果用户数量少，电信的成本将非常高。

由于隧道式VPN存在上述缺点，无法组建大规模VPN，不适合电信运营商使用，因此，出现了采用MPLS技术来组建VPN。

MPLS VPN

    采用MPLS技术来组建VPN是目前最适合于电信运营商使用的VPN技术。

    与基于隧道的VPN技术相比，服务提供商采用MPLS技术可以构建一种完全新型的VPN。基于IP路由技术的MPLS网络消除了开设PVC和配置CPE等的大量开销，同时又提供了端－端的QoS服务等级划分，使网络能够同时支持多种不同的业务需求。MPLS技术给予服务提供商以配置百万数量级、区分式商业VPN业务的能力，而服务商和用户的配置和管理却非常简单。

    MPLS VPN的组件包括CE（用户端设备）、服务提供商（Service Provider）边缘路由器PE（Provider Edge router）和骨干路由器P（图1）。

    一个PE可以和任意多个不同的CE相连，一个CE设备一般被看作属于一个独立的虚节点，每个PE维护一个或多个“虚节点转发表”。每一个和PE相连的虚节点CE都和其中一个转发表相关联。只有当每一个CE和某一转发表相关联时，来自该CE的数据包的目的IP地址才在相应的转发表中查询。

    SP的骨干网由PE路由器和其它未与CE直接相连的P路由器组成。某一VPN的路由信息仅需由与此VPN相连的PE维护，P路由器不需任何VPN的路由信息。

    CE需和SP交换路由信息。当CE使用MPLS设备时通过BGP分发路由信息，不使用MPLS设备时，可以通过设置静态路由或BGP来分发。

    VPN信息必须在SP网中分发到相关的PE，此分发可采用OSPF或BGP。

    和隧道式VPN相比，MPLS VPN有更强的安全性、QoS、可管理性、可靠性和可扩展性，非常适合VPN业务提供。MPLS将无连接的IP技术与面向连接的网络优势有机地结合起来，使网络的业务承载能力和数据交换能力明显增强。MPLS的最大特点是对QoS和VPN的支持。使用MPLS技术可以简化VPN的配置和管理，克服基于隧道技术的VPN的不足，大大提高VPN的可扩展性。同时，由于MPLS采用标签交换和面向连接的技术，对于QoS有较好的保证，因此，使服务提供商提供大规模、具有服务等级的VPN成为可能。

缺点：

* 技术还不成熟，相关协议还有待发展和完善。

* 由于服务提供商参与了VPN的路由过程，一些用户不愿使用。

* 目前的MPLS VPN一般都同时提供互联网接入，在能力有余的情况下提供VPN业务，因此，对于像政府、金融机构等单位不会采用这样的VPN业务。除非建一个和互联网在物理上隔离的MPLS网，但投资较大。

    因此，MPLS VPN适合于安全性要求不是很高，自身网络管理、维护力量比较弱的用户。

LAN-ATM技术

    从以上分析可以看出，对于安全性和质量要求高的用户，VLAN、隧道式VPN和MPLS VPN都不能满足其要求，而如果采用传统的ATM/FR方式则对电信资源的占用大，无法降低资费，同时，用户的设备投资也大。因此，需要采用其它技术。我们认为LAN-ATM技术非常合适。

    LAN-ATM方式是在ATM网络边缘采用LAN-ATM转换设备，该设备通过以太网端口联接用户，上行ATM端口接入ATM网，将每个用户映射到不同的ATM PVC中，相当于ATM网增加了LAN接入方式。这样，一方面能满足用户高速局域网10M/100M的互联需求，又与IP网络隔离，用户设备只要有以太网端口就足够了，设备投资少，另一方面能提供基于ATM网络的QoS保证，并能满足用户流量的突发型需求，LAN-ATM设备能将多个用户复用到一个上行的155M ATM电路上，只占用一个物理端口，节约了电信资源。再者，由于用户采用以太网端口接入，可通过以太网光纤收发器实现局端到用户端的传输，成本只有传统光端机的十分之一，因此，用户资费可以有较大幅度的下调空间。网络结构如图2所示。

    虽然一个ATM155M接口通过LAN-ATM设备被多个用户复用，由于一般用户对于CIR（承诺信息速率）的要求不会很高，因此，一个155M端口完全能满足多个用户的CIR要求。同时，利用ATM的流量控制能力，通过将每个用户的PVC设置ABR业务类型，可以在保证每个用户CIR的前提下，满足流量的突发，充分利用了带宽资源，使用户得到超值服务。

    
墒自《通讯世界》