L2TP+MPLSBGP技术在贵港教育网的应用.doc

《L2TP+MPLSBGP技术在贵港教育网的应用.doc》由会员分享，可在线阅读，更多相关《L2TP+MPLSBGP技术在贵港教育网的应用.doc（12页珍藏版）》请在三一办公上搜索。

1、L2TP+MPLS-BGP技术在贵港教育网的应用 L2TP+MPLS-BGP技术在贵港教育网的应用廖德星一、L2TP+MPLS-BGP改造前网络拓朴 2二、教育网存在问题 3三、网络改造方案设想 4四、L2TP+ MPLS-BGP改造优点 5五、具体部署 51.MPLS-VPN部署 52、具体业务部署 63、数据规划（参考） 6六、业务发展前景 9  教育、政府、电力、银行、地税等行业是各运营商激烈竞争的焦点。我们在整合现有网络资源的同时，根据用户业务需求，如何建设一个精品大客户宽带I

2、P城域网，为教育、政府、企业、金融等客户提供一个高速，稳定，可靠，安全的网络平台，全面提升贵港电信大客户服务质量，增加贵港电信的市场竞争力？是我们在维护中一个迫切关注与解决的问题。针对这个问题，自2003年起，我们充分利用当前网络覆盖范围广等特点，组成了贵港电信教育网、财政网等大客户VPN网络。从组建到投入运营的过程中，教育网规模经历了由小到大，由接入面由窄到宽的改造过程。在贵港教育网改造过程中，经历了两个过程：NAT增强网关改造及L2TP+ MPLS-BGP接入改造过程。本文主要对利用L2TP+ MPLS-BGP对教育网进行改造部分进行详述。一、L2TP+MPLS-BGP改造前网络拓朴&nb

3、sp;随着城域网的建设，教育网在接入手段、覆盖范围等方面都得到了较好的保证。经过建设，到2004年初，教育网网络发展已初具规模，其拓扑图如下所示：  教育网网络的VPN网关/NAT网关由NE40承担，为教育网用户提供较为安全可靠的VPN网关及NAT网关业务。对于ATM-DSLAM接入用户：通过ISN8850与NE40之间的622/ATM链路后，NE40把某条1483B协议的PVC用户数据透传到ATM接口，再由NE40通过ATM-VLAN(两个GE口实现)将用户数据作为VPN Site进行处理，纳入VPN中。ISN8850设备负责透传PVC的链路，PVC最终终结到NE40上。

4、对IP上行接入用户：用户CE设备通过城域网接入层、汇聚层的设备逐级汇聚，连接到PE设备。用户CE设备到PE设备之间的所有设备都必须支持802.1q VLAN，通过VLAN Trunking连接到城域网汇聚设备上，并最终终结到NE40的二层IP板上。教育网用户间实现互访，同时经过VPN/NAT网关-NE40访问互联网。二、教育网存在问题教育网在运营的过程中，存在着如下问题：1、用户无认证管理，存在一定的安全隐患。同时缺乏灵活的计费机制。2、在核心、汇聚层形成广播风暴 目前城域网内VPN的隔离主要依靠VLAN透传来解决，VLAN是一个纯二层的方案，适用于局域网，由于存在4096的限制，加

5、之安全性能(业务隔离及广播风暴)欠佳。 在网络上容易形成较大的广播风暴，严重浪费汇聚层带宽。3、可扩展性差 现有的VLAN（V-Switching）方式同城互连方式，在VLAN经过的通路上的所有设备都要保存大量VLAN穿透信息，一旦城域网设备割接调整，需要对所经过设备的数据大量修改，大大增加数据维护量，给城域网设备的维护带来极大的压力。4、病毒攻击导致教育网运行稳定1）、多用户共享VLAN，此时容易引起二层广播风暴，造成用户主机端口流量过大，当广播域内有部分用户感染了DOS类病毒时，情况尤其严重。2）、ARP病毒攻击严重，如ARP病毒或恶意软件利用ARP机制进行地址欺骗，网关或服务器

6、IP欺骗：IP盗用与强占等，故障频繁。这类故障发生尤为严重。三、网络改造方案设想 通过对以上业务发展需求的分析，结合实际网络状况，摸索出适应客户需求的网络改造方案。 在接入方式上，采用PPP拨号方式。接入方式灵活，更方便于教育网业务的推广与布署。 经过采用PPP隔离广播的特性，减少或避免用户间异常流量的影响。 在接入控制上，采用L2TP方式，实现与教育网内部服务器的互访及教育网用户间的互访，满足学校间信息共享的需求。 在路由转发上，采用MPLS-BGP路由策略，保证教育网私网路由仅在教育网VPN里发布，确保VPN路由与城域网路由的隔离。&nbs

7、p;经过以上分析，决定采用L2TP+MPLS-BGP方式对原来以二层接入为主的教育网进行改造，提高贵港教育网可运营性。四、L2TP+ MPLS-BGP改造优点1、PPP拨号接入方式灵活，用户侧均采用PPP帐号进行拨号，易于操作。2、减少网络割接调整对教育网接入的影响，网络割接时无需保留跨越众多设备的二层数据或大城域网同城穿透VLAN，用户使用VPDN宽带帐号进行拨号无需手工设置IP地址。3、减少广播域，减少同一广播域内病毒泛滥及攻击，大大减少故障发生率。经统计，改造前每天均有10次/个以上教育网业务故障发生，改造后故障发生率呈直线下降。特点为ARP病毒影响大为减少，用户满意度、感知度大幅度提高

8、。4、网络安全性高，既实现与公网隔离，又要保证访问公网的安全性，用户间的互访能保证。五、具体部署 将单设备实现的VPN改造为全网实现VPN业务，将用户终结在接入设备（MA5200G，NE40，ISN8850）上从而大大压缩二层网络减少故障的发生率。1.MPLS-VPN部署 根据城域网总体设备规划为接入层MA5200G/NE40作为PE设备，对私网VPN进行管理及路由发布接收；核心层、汇聚层各设备作为 P设备，进行基本MPLS转发。   网络划分为城域网核心汇接层和接入层两个层次。NE80及接入层AR、BAS启用MPLS功能，互联接口启用MPLS

9、 LDP。2、具体业务部署 在开展MPLS/VPN业务时，接入层NE40及BAS作为PE设备控制私网VPN的发布与互访。 开展MPLS/VPN业务时，接入层NE40 BAS作为PE设备对下层VLAN进行终结，并在子接口绑定对应VPN从而接入到MPLS域中；对于专线用户直接作为CE侧设备接入到MPLS域中。 对于ISN880及MA5200F接入，可以通过ISN880及MA5200F做LAC侧，NE40作为LNS侧建立二层VPN，然后接入到MPLS域中。3、数据规划（参考）1.Ne80上启用BGP路由反射器功能bgp xxxxxgroup GG_VPN &n

10、bsp;                                                 &n

11、bsp;                peer GG_VPN as-number xxxxx                             &nbs

12、p;                       peer GG_VPN reflect-client                       &

13、nbsp;                              peer GG_VPN connect-interface  LoopBack0            &nb

14、sp;                           peer （PE设备的loopback地址） group GG_VPN     2.在相应接口(与NE40,MA5200G对接接口)上启用MPLS 功能。Interface GigabitEthernet x/x/xMpls Mpls ld

15、pNE40：ip vpn-instance gg_jyw_vpn                                            &nbs

16、p;         route-distinguisher 64512:801                                    &nbs

17、p;             vpn-target 100:100 export-extcommunity                               &

18、nbsp;         vpn-target 100:100 import-extcommunitybgp xxxxx                                 &

19、nbsp;                                     ipv4-family vpn-instance gg_jyw_vpn       &

20、nbsp;                                    network 0.0.0.0           &nb

21、sp;                                                 &nb

22、sp;  import-route static                                             &

23、nbsp;              import-route direct                                 

24、;                           undo synchronization                    &n

25、bsp;                                      #            

26、                                                  

27、                 ipv4-family vpnv4                               

28、                                 peer x.x.x.1 enable               &nb

29、sp;                                       peer x.x.x.1 next-hop-local       &nbs

30、p;                                       peer x.x.x.1 advertise-community       

31、                                   peer x.x.x.2 enable             &nb

32、sp;                                         peer x.x.x.2 next-hop-local     &nbs

33、p;                                         peer x.x.x.2 advertise-community     

34、                                 2.在相应接口(与ne80对接接口)上启用MPLS 功能。 Interface GigabitEthernet x/x/x Mpls  Mpls ldpMA5200G:ip vpn-i

35、nstance gg_jyw_vpn                                               

36、        route-distinguisher 64512:801                                      

37、             vpn-target 100:100 export-extcommunity                               &nb

38、sp;          vpn-target 100:100 import-extcommunitybgp xxxxx                                &nb

39、sp;                                      undo synchronization         

40、                                                   

41、;group GG_VPN internal                                              &n

42、bsp;            peer GG _VPN next-hop-local                                 &nbs

43、p;                    peer GG _VPN connect-interface LoopBack0                        

44、;                 peer x.x.x.1 group GG _VPN                             &n

45、bsp;                   undo peer x.x.x.1 enable                           &

46、nbsp;                      peer x.x.x.2 group GG _VPN                       &nbs

47、p;                         undo peer x.x.x.2 enable                     &nb

48、sp;                            #                                                &