城域VPN融合业务平台

随着VPN技术在企业网中应用的日益广泛，各种VPN技术也随之成为人们关注的焦点。目前应用比较广泛的VPN技术包括MPLS VPN和L2TP、GRE、IPSec等IP VPN，其中MPLS VPN主要应用在网络的核心层和汇聚层，实现相关网络资源的逻辑划分和资源隔离，而IP VPN主要应用在网络的边缘将远程分支机构或移动办公用户安全的接入企业网内部。虽然目前两种VPN技术都已经应用得比较普遍，但是两种VPN技术仍然是各自为政。通过城域电信级以太网解决方案中可以顺利的实现两种VPN技术无缝衔接，融合二者的优势，在网络边缘就可以实现网络资源的逻辑划分与安全隔离，将企业网中最边缘的接入网络与核心网融合为一个全程全网的VPN网络(注：这里以及下文所出现的城域电信级以太网解决方案均以H3C CE方案为例说明)。

一、 VPN技术的融合

针对分支机构及出差员工需远程接入企业内网的需求，中国电信推出了"e通VPN"品牌业务，提供多种类型的VPN组网解决方案，帮助企业以较低的成本、较少的人力投入安全地远程访问企业内部资源。中国电信"e通VPN"业务，授权的合法客户无论在何时何地，只需安装客户端软件，接入到互联网(如ChinaNet)，即可享受安全、快捷的服务，安全地访问内部办公系统，方便的进行移动办公、信息共享和安全互联。

1. 融合的优点

E通VPN和MPLS融合技术可以实现企业融合的VPN网络。全网VPN结构可以分为两个层面。其中MPLS VPN用于实现企业网络资源逻辑划分和安全隔离，通常用于网络结构的核心层与汇聚层，为VPN结构的第一层面;另外，IP VPN技术使远程分支、合作伙伴和移动办公用户安全高效地接入到企业网，通常应用于网络结构的边缘，为VPN结构的第二个层面。通过连接两个VPN结构层面，一方面实现作为VPN网关接入大量远程分支以及合作伙伴和移动办公用户;另一方面作为核心网的PE节点，可以为企业提供一个可扩展、高安全、低成本、灵活的VPN融合解决方案。

l 可扩展

一方面可以利用MPLS VPN固有的可扩展性，另一方面可以随时增加VPE设备，满足企业分支机构、合作伙伴、移动用户数量增加的要求。

l 高安全

企业核心网络的安全可以通过MPLS 面向连接的特性来提供，另外对于远程分支机构、合作伙伴、以及远程移动用户可以通过隧道技术以及IPSec加密技术保证用户数据的机密性和完整性。

l 低成本

通过Internet的传输资源可以大大降低远程分支机构、合作伙伴以及远程移动用户的接入成本。这也是VPE解决方案的最大特色。

l 灵活性

无论用户在何时何地，都可以通过Internet接入到企业核心的MPLS VPN网络中，真正实现随时随地接入。

2. 融合的关键技术

E通VPN和MPLS融合涉及到的关键技术包括：IP VPN隧道与MPLS VPN 之间的映射、ACL与MPLS VPN映射、HOPE(MPLS VPN中的PE分层体系结构)、MPLS Over IP VPN等。

方案中CE可以通过L2TP、GRE、IPSEC等多种隧道接入。对于IPSEC接入，可以将VRF直接与隧道接口相关联，完成隧道与MPLS VPN的映射;对于L2TP用户，可以根据域名将不同的远程用户分配到不同的虚拟接口，不同虚拟接口已经映射到不同的MPLS VPN。这样就可以根据远程移动用户的域名将其分配到不同的MPLS VPN，访问不同的网络资源。

此外对于分层HOPE技术用于实现MPLS VPN的分层架构。HOPE架构针对两种的融合仍然适用，VPE也可以分解为多个层次。MPLS Over IP VPN技术用于解决MPLS VPN对公网的穿越，这样就可以将MPLS隧道延伸到IP VPN接入设备，使边缘网络节点可以承载多个VPN业务。

同时，考虑到边缘网络通常处于多厂商多协议的应用环境，ACL与MPLS VPN映射技术可以使VPE通过ACL(访问控制列表)来匹配不同VPN数据流，实现多厂商多协议的融合。

3. 融合的实现方式

图1.传统VPN融合

如图1所示，不影响企业网原有的核心层及汇聚层网络，IP VPN与MPLS VPN的映射和衔接在PE设备上完成。对于IPSEC和GRE方式的接入可以直接将VRF与相应的隧道接口绑定，完成隧道与MPLS VPN的映射;对于L2TP方式的接入可以根据用户名或域名将不同的远程终端分配到不同的虚拟接口，再通过虚拟接口完成与MPLS VPN的映射。

二、 ATM、SDH、MSTP技术的融合

上世纪90年代早中期出现的FR、ATM在局域和广域范围内提供从64kbps到155M等速率传输服务，具有大吞吐量、高可靠性和QoS保障。这些技术经过多年的发展，标准已非常完善，相关设备在各运营商也有非常广泛的应用，各厂家设备互连互通都已经非常成熟，利用ATM的QoS能够很好地满足用户安全、稳定、带宽独享的需求，同时可以通过ATM的统计复用功能，有效节约中继资源。随着一些实时性强的业务，如远程医疗、远程教学、远程办公、WebTV、远程监控等信息化应用的普及，以及终端数量的增加和对高速率的要求提高，对于带宽提出了更高(100M以上)的要求，而ATM、SDH和MSTP等传统传输技术效率低下，不能有效满足分组业务的突发特性，不区分业务的优先级，已经力不从心，无法实现带宽复用，同时这些ATM设备不再生产，许多已过保，备件消耗殆尽，满足不了新的业务需求。