VPWS培訓(xùn)膠片

1、測試一部 董繼強/26979 2 3 按照業(yè)務(wù)用途 access vpn，intranet vpn，extranet vpn 按照運營模式分類 cpe-based vpn，network-based vpn 按照組網(wǎng)模型分類 vpdn，vprn，vll，vpls 按照網(wǎng)絡(luò)層次 一層vpn，二層vpn，三層vpn 4 vll （vpws） vprnvpdnvpls 5 mpls l2vpn就是在mpls網(wǎng)絡(luò)上透明傳遞用戶 的二層數(shù)據(jù)。從用戶的角度來看，這個mpls網(wǎng) 絡(luò)就是一個二層的交換網(wǎng)絡(luò)，通過這個網(wǎng)絡(luò)， 可以在不同站點之間建立二層的連接。 pe pe tunnel pseudo wires

2、customer site customer site customer site customer site 6 租賃專線（leased line）方式 主要缺點是：建設(shè)時間長，價格昂貴， 難于管理。 虛電路方式 虛電路方式與租賃專線相比，建設(shè)時間 短、價格低 在不同類型的網(wǎng)絡(luò)（如atm、fr）上提 供業(yè)務(wù)，需要建設(shè)并維護(hù)獨立的網(wǎng)絡(luò) 其速率較慢 配置較復(fù)雜 7 access ip / ipsec fr / atm broadband ethernet access ip / ipsec fr / atm broadband ethernet only partial integration

3、different core solutions different access technologies 8 access ip / ipsec fr / atm broadband ethernet access ip / ipsec fr / atm broadband ethernet complete integration unified core solutions different access technologies 9 擴展了運營商的網(wǎng)絡(luò)功能和服務(wù)能力 具有更高的可擴展性 管理責(zé)任分工明確 路由私有、安全 易配置（n方解決？主要體現(xiàn)在隧道復(fù)用） 多協(xié)議支持 網(wǎng)絡(luò)平滑升

4、級 10 martini：遵循草案draft-martini-l2circuit- trans-mpls，使用ldp作為傳遞vc信息的 信令。 kompella：遵循草案draft-kompella-ppvpn- l2vpn-xx，與rfc2547定義的bgp/mpls vpn相似。 ccc：在兩條pe-ce連接之間配置透明的 連接，獨占隧道，一層標(biāo)簽。 static vc：martini的一種靜態(tài)實現(xiàn) 11 vpn的分類 l2vpn的發(fā)展歷程 l2vpn的優(yōu)點 l2vpn（vpws部分）的vrp實現(xiàn) 12 13 總體結(jié)構(gòu) ccc martini static vc kompella 14 t

5、unnel header (tunnel label) to get pdu from ingress to egress pe; mpls label gre tunnel demultiplexer field (vc label) to identify individual circuits within a tunnel; could be an mpls label. emulated vc encapsulation (control word) information on enclosed layer-2 pdu; implemented as a 32-bit contro

6、l word tunneling component l2 pdu (emulated) transport component control connection 連接控制（連接控制（ldp、bgp、static-lsp） used for vc-label negotiation, withdrawal, error notification emulated circuits have 3 layers of encapsulation 15 有些情況下，在網(wǎng)絡(luò)上傳輸l2vpn報文的時候沒有必要傳 送整個的二層幀，而是在入口端把二層頭給剝離，然后 在出口端重新添加。但是如果二層頭中有些

7、信息需要攜 帶，這種方式就不可取了，因此提出了控制字的方法來 解決這個問題，控制字里攜帶的信息都是ingress端 和egress端協(xié)商好的。 控制字主要有三個功能： 1、報文轉(zhuǎn)發(fā)是需要的序列號 2、當(dāng)最小的mtu大于實際的傳輸報文時需要進(jìn)行 填充 3、二層幀頭中需要攜帶的控制位 16 frame relay幀在轉(zhuǎn)發(fā)的時候不攜帶frame relay header和和fcs，控制字是必須使用的，控制字是必須使用的 becn、fecn、 de和和c/r位使用控制字來位使用控制字來 攜帶。攜帶。 17 ccc是circuit cross connect（電路 交叉連接）的縮寫，是通過靜態(tài)配 置來實

8、現(xiàn)l2vpn的一種方式。 18 tunnel header (tunnel label) to get pdu from ingress to egress pe; mpls label demultiplexer field (vc label) 無無 emulated vc encapsulation (control word) information on enclosed layer-2 pdu; implemented as a 32-bit control word tunneling component l2 pdu (emulated) transport component

9、 control connection 連接控制連接控制 static lsp（專門為（專門為l2vpn定制的定制的lsp，不生成，不生成ftn項）項） emulated circuits have 3 layers of encapsulation 19 ccc方式分為本地ccc連接和遠(yuǎn)程ccc 連接。 對于本地ccc連接， 這兩個ce連接到同一 個pe設(shè)備上，pe設(shè)備相當(dāng)于一個二層交換 機。 對于遠(yuǎn)程ccc連接，兩個ce連接到不同的 pe上，使用pe之間獨享的靜態(tài)lsp作為隧道， 不需要任何信令協(xié)議傳遞二層vpn信息。 20 與其他的mpls l2vpn不同的是 ccc采用一層標(biāo)記一層標(biāo)記

10、來傳送用戶數(shù)據(jù)，因此它 對lsp的使用是獨占性（不能用于其他 l2vpn連接，也不能用于bgp/mpls vpn或承載普通的ip報文）的，用戶必 須單獨為每一個ccc連接手工配置兩條手工配置兩條 l2vpn lsp（兩個方向各一條），這兩條 l2vpn lsp將只能用于傳遞這個ccc連接的 數(shù)據(jù)。 p節(jié)點也要進(jìn)行static lsp的配置 21 mpls網(wǎng)絡(luò)網(wǎng)絡(luò) a公司 分支機構(gòu)2 pe lsp lsp pe pe a公司 分支機構(gòu)1 a公司 分支機構(gòu)3 a公司 總部 tunnel標(biāo)簽2層頭部數(shù)據(jù) 本地本地 連接連接 遠(yuǎn)程遠(yuǎn)程 連接連接 22 遵循草案draft-martini-l2circu

11、it-trans-mpls，使用 ldp作為傳遞vc信息的信令。 pe之間建立ldp的remote session，pe為ce之 間的每條連接分配一個vc標(biāo)簽。二層vpn信 息將攜帶著vc標(biāo)簽，通過ldp建立的lsp轉(zhuǎn)發(fā) 到remote session的對端pe。 這種方式不能提供象ccc方式的本地交換功能， 但是不象ccc遠(yuǎn)程連接那樣，一條lsp只能被 一條遠(yuǎn)程ccc連接獨享，服務(wù)運行商網(wǎng)絡(luò)中的 一條隧道可以被多條vc共享使用。 23 tunnel header (tunnel label) to get pdu from ingress to egress pe; mpls label g

12、re tunnel demultiplexer field (vc label) to identify individual circuits within a tunnel; could be an mpls label emulated vc encapsulation (control word) information on enclosed layer-2 pdu; implemented as a 32-bit control word tunneling component l2 pdu (emulated) transport component control connec

13、tion directed ldp used for vc-label negotiation, withdrawal, error notification emulated circuits have 3 layers of encapsulation ldpldp 24 vc labels通過ldp remote session交換 label還是放在以前的label tlv中，在mapping 中發(fā)送 定義了新的ldp fec用來攜帶vc信息 fec element type 128 virtual circuit fec element:carried within ldp labe

14、l mapping message vc信息的交換是通過du方式進(jìn)行的，cisco不 支持dod described in draft-martini-l2circuit-trans-mpls dod 25 26 27 28 c: control word (1 bit) 1表示需要控制字；0為不需要 vc-type (15 bits) vc類型， e.g fr, atm, vlan, ethernet, ppp, hdlc vc info length (8 bits) vcid field和interface parameters的長度 group id (32 bits) 一些vc組成一

15、個組，主要用來批量撤消相應(yīng) 的vc信息。 vc id (32 bits) 一個vc是由vc id和vc type來唯一確定 interface parameters (不定) 一些接口參數(shù)，目前用的有mtu 29 在這種martini方式中，由于在運營商網(wǎng)絡(luò)中， 只有pe設(shè)備需要保存少量的vc label mpls label gre tunnel demultiplexer field (vc label) to identify individual circuits within a tunnel; could be an mpls label emulated vc encapsula

16、tion (control word) information on enclosed layer-2 pdu; implemented as a 32-bit control word tunneling component l2 pdu (emulated) transport component control connection mbgp used for vc-label negotiation, withdrawal, error notification emulated circuits have 3 layers of encapsulation 34 與mpls bgp

17、vpn實現(xiàn)機理類似，特別 是ce、pe、route-target、rd、 site的定義以及用途 區(qū)別是kompella傳送的是二層信息，而 mpls bgp vpn傳送的是三層路由信息， 為此kompella進(jìn)行了相應(yīng)的bgp nlri擴 展 處理的信息不同了，那么發(fā)送接受二層 信息的流程也發(fā)生了相應(yīng)的變化。 35 label block label base label range label-block offset ce id connection l2vpn instance 36 label block1、 label block2、 label block3組成一個label b

18、lock； lb：label base lr：label range lbo：label block offset label block 1 102400/10/0 lb/lr/lbo label block 2 102410/10/10 lb/lr/lbo label block 3 102420/10/20 lb/lr/lbo 37 l3vpn傳遞fec和單個label的方式； bgp方式l2vpn采取標(biāo)記塊的方式，一次為多 個連接分配標(biāo)記。用戶可以指定一個本地ce的 范圍（ce range），表明這個ce能與多少個ce 建立連接。系統(tǒng)會一次為這個ce分配一個標(biāo)記 塊，標(biāo)記塊的大小等于c

19、e range。這種方式允 許用戶為vpn分配一些額外的標(biāo)記，留待以后 使用。這樣會造成標(biāo)記資源的浪費，但是同時 帶來一個很大的好處：減少vpn部署和擴容時 的配置工作量。 38 假設(shè)pe a、pe b為同屬于vpn x的cem和cek建立一條vc。 為了敘述方便，我們稱pea為ce m分配的label block為lm；稱 lm的block offset為lom；稱lm的label-base為lbm；稱lm的label- range為lrm 為了敘述方便，我們稱peb為ce k分配的label block為lk；稱lk 的block offset為lok；稱lk的label-base為lbk

20、；稱lk的label-range 為lrk 那么peb收到pea發(fā)送過來的信息會做如下工作： lsp peapebcemcek 39 首先檢查從pea收到ce的封裝類型，如果不一致，棄之且停止處 理； 檢查是否 k=m，如果是，報錯“ce id k has been allocated to two ces in vpn x (check ce at pe a)”，然后停止處理； 檢查和ce m相關(guān)的所有的label-blocks是否滿足lom = k lom + lrm，如果任何一個都不滿足，報錯 “cannot communicate with ce m (pe a) of vpn x:o

21、utside range”然后停止處理； 檢查和ce k相關(guān)的所有的label-blocks是否滿足lok = m lok + lrk，如果任何一個都不滿足，報錯 “cannot communicate with ce m (pe a) of vpn x:outside range”然后停止處理； 檢查pea和peb之間的通道是否正常建立，如果沒有就停止處理， 這里假設(shè)為lsp隧道，標(biāo)簽為z； peb為ce-m分配內(nèi)層標(biāo)簽為(lbm + k - lom) ，pea為ce-k分配 內(nèi)層標(biāo)簽為(lbk + m - lok)； peb到pea的外層隧道的標(biāo)簽為z； 內(nèi)外層標(biāo)簽兼?zhèn)洌梢愿苫盍?，any

22、 question? 40 引入了新的sub-tlv circuit status vector lbel range tunnel status length (2 octets) route distinguisher (8 octets) ce id (2 octets) label-block offset (2 octets) label base (3 octets) variable tlvs (0 to n octets). 還有什么字段沒有定義？ 41 extended community type (2 octets) encaps type (1 octet) cntrl

23、 flags (1 octet) layer-2 mtu (2 octet) reserved (2 octets) extended community type tbd encapsulation type 標(biāo)識二層封裝類型, e.g., atm, frame relay etc. control flags mbz：must be zero c：1表示需要控制字；0為不需要 s：1表示需要序列號；0為不需要 q&f：保留 layer-2 mtu mbz qfcs 42 0reserved7ppp 1frame relay8cem 8 2atm aal5 vcc transport 9at

24、m vcc cell transport 3atm transparent cell transport 10atm vpc cell transport 4ethernet vlan11mpls 5ethernet12vpls 6cisco-hdlc64ip-interworking 43 tunnel encapvpn labell2 frame ip-only layer 2 interworking 在ingress端，二層幀頭全部剝離取出ip報文進(jìn)行轉(zhuǎn)發(fā)； 此時轉(zhuǎn)發(fā)是用到的二層信息依然基于接收幀的二層信息。 在egress端，報文被重新封裝成二層幀然后發(fā)送給ce， 此時二層轉(zhuǎn)發(fā)信息是

25、依靠vc label來獲得的。 ingress端和相應(yīng)ce端的鏈路類型獨立于egress端和相 應(yīng)ce端的鏈路類型，因此這種情況下l2vpn獨立于鏈路類 型 目前這一塊只有理論，并沒有實現(xiàn) tunnel encapvpn labelip packet 44 自動拓?fù)浒l(fā)現(xiàn)以mp-bgp為信令傳播相 應(yīng)信息 組網(wǎng)靈活，部署方案成熟route-target 部分解決配置的n方問題余額配置 同時支持本地、遠(yuǎn)程虛擬鏈路 支持不同接入方式ip interworking 跨域的解決方式與mpls l3 vpn類似 45 46 比較項目比較項目kompellamartinicccsvc 信令協(xié)議信令協(xié)議 bg

26、pldp否否否否 隧道情況隧道情況 gre、lsp， 共用共用 gre、lsp， 共用共用 專門的靜態(tài)專門的靜態(tài) lsp，獨占，獨占 gre、lsp， 共用共用 應(yīng)用場景應(yīng)用場景 密集模式密集模式稀疏模式稀疏模式nana 擴展性擴展性 支持過量配支持過量配 置，較好置，較好 差差很差很差差差 本地連接本地連接 是是否否是是否否 47 項目項目bgp/mpls vpnbgp/mpls vpnkompellakompella l2 vpn l2 vpnmartinnimartinni l2 vpn l2 vpn pepe設(shè)備開銷設(shè)備開銷內(nèi)存開銷大，接口內(nèi)存開銷大，接口 資源消耗小，信令資源消耗小，

27、信令 協(xié)議開銷小協(xié)議開銷小 內(nèi)存開銷小，接口內(nèi)存開銷小，接口 資源消耗大，信令資源消耗大，信令 協(xié)議開銷小協(xié)議開銷小 內(nèi)存開銷小，接口內(nèi)存開銷小，接口 資源消耗大，信令資源消耗大，信令 協(xié)議開銷大協(xié)議開銷大 vpnvpn拓?fù)鋽U散方式拓?fù)鋽U散方式bgpbgp自動發(fā)現(xiàn)自動發(fā)現(xiàn)bgpbgp自動發(fā)現(xiàn)自動發(fā)現(xiàn)手工配置手工配置 vpnvpn路由擴散方式路由擴散方式通過通過pepe設(shè)備擴散，設(shè)備擴散， 收斂慢收斂慢 在在cece之間直接擴散，之間直接擴散， 收斂快收斂快 在在cece之間直接擴散，之間直接擴散， 收斂快收斂快 cece的接入方式的接入方式任何任何2 2層連接、層連接、2 2層層 隧道和隧道和

28、3 3層隧道，同層隧道，同 一個一個vpnvpn中不同站點中不同站點 接入方式可以不相接入方式可以不相 同同 atmatm、frfr、pppppp、 hdlchdlc、ethernetethernet （vlan)vlan) 不同封裝之間不能不同封裝之間不能 互通互通 pure ippure ip atmatm、frfr、pppppp、 hdlchdlc、ethernetethernet （vlan)vlan) 不不同封裝之間不能同封裝之間不能 互通互通 48 項目項目bgp/mpls vpnbgp/mpls vpnkompellakompella l2 vpn l2 vpnmartinnim

29、artinni l2 vpn l2 vpn vpnvpn嵌套能力嵌套能力支持支持不支持不支持不支持不支持 多播支持能力多播支持能力協(xié)議開銷大，轉(zhuǎn)發(fā)協(xié)議開銷大，轉(zhuǎn)發(fā) 開銷小開銷小 協(xié)議開銷小，轉(zhuǎn)發(fā)協(xié)議開銷小，轉(zhuǎn)發(fā) 開銷大開銷大 協(xié)議開銷小，轉(zhuǎn)發(fā)協(xié)議開銷小，轉(zhuǎn)發(fā) 開銷大開銷大 協(xié)議獨立性協(xié)議獨立性只能承載只能承載ipip承載任何承載任何3 3層協(xié)議層協(xié)議承載任何承載任何3 3層協(xié)議層協(xié)議 隧道的多樣性隧道的多樣性支持支持lsp/gre/ipseclsp/gre/ipsec支持支持lsp/grelsp/gre支持支持lsplsp 對傳統(tǒng)對傳統(tǒng)vpnvpn的繼承性的繼承性對傳統(tǒng)對傳統(tǒng)2 2層層vpnv

30、pn的揚的揚 棄棄 改進(jìn)繼承傳統(tǒng)改進(jìn)繼承傳統(tǒng)2 2層層 vpnvpn 改進(jìn)繼承傳統(tǒng)改進(jìn)繼承傳統(tǒng)2 2層層 vpnvpn 標(biāo)準(zhǔn)的成熟度標(biāo)準(zhǔn)的成熟度成熟成熟較成熟較成熟不成熟不成熟 易用性易用性簡單簡單較復(fù)雜較復(fù)雜復(fù)雜復(fù)雜 可管理性可管理性外包路由、分權(quán)管外包路由、分權(quán)管 理理 外包拓?fù)洹⒓泄芡獍負(fù)?、集中?理理 外包拓?fù)洹⒓泄芡獍負(fù)?、集中?理理 49 ccc使用的satic-lsp和普通的static- lsp是一樣的嗎？ ccc和svc都是靜態(tài)配置的l2vpn，他 們有什么區(qū)別？ martini和svc的關(guān)系？ kompella和l3vpn的異同？ 50 51 lsp peapebc

31、e1ce2 ce3 p ce1、ce2建立遠(yuǎn)程連接 ce1、ce3建立本地連接 配置步驟 配置虛電路 使能mpls 配置靜態(tài)l2vpn lsp 注意配置l2vpn類型的static-lsp的時候下一跳為嚴(yán) 格的下一跳，其他的部分和開發(fā)交流過，以后會做。 使能mpls l2vpn 創(chuàng)建ccc連接 52 pea mpls static-lsp ingress 1-2 l2vpn nexthop 10.2.7.2 out-label 100 static-lsp egress 2-1 l2vpn incoming-interface serial3/1/2 in-label 201 mpls l2v

32、pn ccc 1-2 interface ethernet3/0/0.1 transmit-lsp 1-2 receive-lsp 2-1 ccc 1-3 interface e3/0/0.2 out-interface e4/2/0.2 p mpls static-lsp transit 1-2 l2vpn incoming-interface serial1/2 in-label 100 nexthop 10.3.7.1 out-label 101 static-lsp transit 2-1 l2vpn incoming-interface serial1/1 in-label 200

33、nexthop 10.2.7.1 out-label 201 peb mpls static-lsp egress 1-2 l2vpn incoming-interface serial1/1 in-label 101 static-lsp ingress 2-1 l2vpn nexthop 10.3.7.2 out-label 200 mpls l2vpn ccc 2-1 interface ethernet2/0.1 transmit-lsp 2-1 receive-lsp 1-2 53 peadis ccc total connections : 2 local connections

34、: 1, 1 up remote connections : 1, 1 up name: 1-2, type: remote, state: up, intf: ethernet3/0/0.1 (up), tran-lsp: 1-2 (up), rcv-lsp: 2- 1 (up) name: 1-3, type: local, state: up, intf1: ethernet3/0/0.2 (up), intf2: ethernet4/2/0.2 (up) 54 lsp peapebce1ce2p 配置步驟 配置虛電路 使能mpls 使能mpls l2vpn 配置兩個pe之間的隧道（ld

35、p|gre） 創(chuàng)建svc方式l2vpn連接 55 pea interface serial3/1/0.1 fr dlci 100 mpls static-l2vc destination 202.202.202.3 transmit-vpn-label 100 receive-vpn-label 100 p 無 peb interface serial1/0.1 fr dlci 100 mpls static-l2vc destination 202.202.202.2 transmit-vpn-label 100 receive-vpn-label 100 pebdis mpls stati

36、c-l2vc total connections: 1, 1 up, 0 down ce-intf state destination tr-label rcv-label tnl-type tnl-index serial1/0.1 up 202.202.202.2 100 100 lsp 7 56 lsp peapebce1ce2p 配置步驟 配置虛電路 使能mpls 使能mpls l2vpn 配置兩個pe之間的隧道（ldp|gre） 配置ldp remote peer 創(chuàng)建ldp方式l2vpn連接 57 pea mpls ldp remote 0 remote-ip 202.202.20

37、2.7 interface ethernet3/0/0.1 vlan-type dot1q vid 10 mpls l2vc 202.202.202.7 101 p無 peb mpls ldp remote 0 remote-ip 202.202.202.2 interface ethernet2/0.1 vlan-type dot1q vid 10 mpls l2vc 202.202.202.2 101 peadis mpls l2vc vc-id destination state lcl-label/rmt-label tunnel/index interface: ethernet3/

38、0/0.1, encapsulation: vlan, service: vll 101 202.202.202.7 up 1024/1024 lsp/4 58 lsp peapebce1ce2 ce8 p ce1、ce2建立遠(yuǎn)程連接 ce1、ce8建立本地連接 配置步驟 配置虛電路 使能mpls 使能mpls l2vpn 配置各個pe間的隧道 配置bgp參數(shù) 創(chuàng)建和配置vpn 創(chuàng)建ce 創(chuàng)建連接 59 peampls l2vpn vpntest encapsulation vlan route-distinguisher 1:1 vpn-target 1:1 import-extcommun

39、ity vpn-target 1:1 export-extcommunity mtu 0 ce ce1 id 1 range 10 default-offset 0 connection ce-offset 2 interface ethernet2/0.1 connection ce-offset 8 interface ethernet2/0.100 ce ce8 id 8 range 10 default-offset 0 connection ce-offset 1 interface ethernet5/1.100 bgp 30000 undo synchronization gro

40、up djq1 internal peer 202.202.202.2 group djq1 peer 202.202.202.2 connect-interface loopback0 l2vpn-family peer djq1 enable 60 p 無 peb mpls l2vpn vpntest encapsulation vlan route-distinguisher 1:1 vpn-target 1:1 import-extcommunity vpn-target 1:1 export-extcommunity mtu 0 ce ce2 id 2 range 10 defaul

41、t-offset 0 connection ce-offset 1 interface ethernet3/0/0.1 bgp 30000 undo synchronization group djq1 internal peer 202.202.202.3 group djq1 peer 202.202.202.3 connect-interface loopback0 l2vpn-family peer djq1 enable 61 peadis mpls l2vpn conn total connections: 3, connections: 3 up, 0 down, 2 local

42、, 1 remote, 0 unknown vpn-instance name: vpntest, total connections: 3, connections: 3 up, 0 down, 2 local, 1 remote, 0 unknown ce name: ce2, id: 2, rid type status peer-id route-distinguisher intf 1 rmt up 202.202.202.2 1:1 ethernet2/0.1 8 loc up - - ethernet2/0.100 ce name: ce8, id: 8, rid type status peer-id route-distinguisher intf 2 loc up - - ethernet5/1.100 62 常見錯誤 vc狀態(tài)是down的 可能錯誤 隧道沒有up fr封裝時dte、dce要配對 fr封裝時dlci要一致 vlan封裝時vid要一致 marini的ceid不一致 kompella的ceid不匹配或者存在沖突或者超出 label range 63 ？ 冗余備份 即時啟動 驗證計費 服務(wù)質(zhì)量 cisco動向 64 draft-martini-l2cir