虚拟专网VPN(Virtual Private Network)是指在公用网络上建立专用网络的技术。整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台（如Internet、ATM、Frame Relay等）之上的逻辑网络，用户数据在逻辑链路中传输。VPN通过隧道或虚电路等实现网络互联，支持用户安全管理，能够进行网络监控、故障诊断。
　　目前，在VPN应用领域有两种主要架构：(1)融边界网关协议BGP（Border Gateway Protocol）和多协议标签交换MPLS（Multi-Protocol Label Switch）技术的VPN；(2)基于IPSec的VPN。本文主要讨论的是BGP/MPLS VPN的技术和实现。
1 MPLS VPN简介
　　MPLS是由IETF提出的新一代IP骨干网" title="骨干网">骨干网络交换标准，是一种集成式的IP Over ATM技术。它融合了IP路由技术的灵活性和ATM交换技术的简洁性，在面向无连接的IP网络中引入了MPLS面向连接的属性，提供了类似于虚电路的标签交换业务。一个标签是一个短的、长度固定的数值，由报文的头部携带，不含拓扑信息，只有局部意义。MPLS包头的结构如图1所示。其中20bit的标签字段用来表示标签值；3bit的EXP用来实现CoS(Class of Service)；1bit S值用来表示标签栈是否到底了，对于VPN、TE等应用将在第二层和第三层头之间插入两个以上的标签，形成标签栈；8bit TTL值用来防止数据在网上形成环路。

　　RFC2547定义了允许ISP使用其IP骨干网为用户提供VPN服务的一种机制。RFC2547也被称为BGP/MPLS VPN，因为BGP被用来在提供商骨干网中发布VPN路由信息，而MPLS被用来将VPN业务从一个VPN站点转发至另一个站点。BGP/MPLS VPN又称为三层MPLS VPN，是一种基于路由方式的VPN解决方案。该技术不仅可以提供一种动态建立的隧道技术，还能够利用公用骨干网络强大的传输能力，极大地提高用户网络运营和管理的灵活性，同时能够满足用户对信息传输安全性、实时性、宽频带和方便性的需要。
2 BGP/MPLS VPN中几个重要的概念
2.1 VPN路由/转发
　　BGP/MPLS VPN的安全举措之一就是路由隔离和信息隔离。它通过VRF(VPN Routing /Forwarding)表和MPLS中的LSP来实现。PE路由器上有多个VRF表。这些VRF表与PE路由器上的一个或多个子接口相对应，用于存放这些子接口所属VPN的路由信息。通常情况下，VRF表中只包含一个VPN的路由信息，但是当子接口属于多个VPN时，其对应的VRF表中则包含子接口所属的所有VPN的路由信息。对于每一个VRF表，都具有路由区分符RD(Route Distinguisher）和路由目标RT（Route Target）两大属性。
2.2 路由识别符
　　VPN中IP地址的规划是由客户自行制订的，因而有可能会出现客户选择在RFC1918中定义的私有地址作为他们的站点地址或者不同的VPN使用相同的地址域。这会在路由解析时出现冲突，BGP/MPLS VPN使用VPN-IPv4地址族和多协议扩展BGP（MP-BGP）解决该问题。一个VPN-IPv4地址（12字节）由8字节的RD和4字节的IPv4地址组成，如图2所示。这样就可以把相同的地址前缀翻译成不同的VPN-IPv4地址，也就可以分别为每个VPN站点生成与该VPN-IPv4地址对应的不同路由。
　　RD和VRF表之间建立了一一对应的关系。通常情况下每个VPN分配惟一的RD。但是对于重叠VPN，即某个站点属于多个VPN的情况，由于PE路由器上的某个子接口属于多个VPN，此时，该子接口所对应的VRF表只能被分配一个RD，从而多个VPN共享一个RD。

2.3 路由目标
　　RT的本质就是BGP的community属性的扩展，扩展的community有两种格式，如图3所示。其中type字段为0x0002或者0x0102时表示RT。RT用于路由信息的分发，具有全局惟一性，且只能被一个VPN使用。它分成Import RT和Export RT，分别用于路由信息的导入和导出策略。当从VRF表中导出VPN路由时，要用Export RT对VPN路由进行标记；当向VRF表中导入VPN路由时，只有所带RT标记与VRF表中任意一个Import RT相符的路由才会被导入VRF表中。RT使得PE路由器只包含与其直接相连的VPN的路由，而不是全网所有VPN的路由，从而节省了PE路由器的资源，提高了网络拓展性。
3 BGP/MPLS VPN体系结构
3.1 BGP/MPLS VPN模型介绍
　　BGP/MPLS VPN示意图如图4所示。在RFC2547中定义了三种类型的路由器：用户网边缘路由器CE在用户侧为用户所有，接收和分发用户网络路由，CE连接到提供商的骨干网边缘路由器PE；PE处理VPN-IPv4路由，是BGP/MPLS VPN的核心；位于骨干网核心的P路由器负责MPLS包的转发。

　　VPN是若干个用户站点的集合，而站点是VPN中一个孤立的IP网络，例如可以是公司总部或分支机构等。用户接入BGP/MPLS VPN的方式是每个站点提供一个或多个CE同骨干网PE的连接，每个站点在PE中由各个VRF来表示，它包含了与一个站点相关的路由表、转发表、接口、路由实例以及路由策略等。PE上的接口可以绑定" title="绑定">绑定到惟一的VRF上，一个VRF也可以被绑定到多个接口上，但PE之间不能交换VRF信息。
　　BGP/MPLS VPN中有两种重要的数据流：一种是进行路由分发和LSP（标记转发路径）确定的控制流；另一种是用户的VPN业务流。存在两种控制机制：一种负责不同PE间路由信息的交换；另一种负责建立通过提供商骨干网的LSP。
3.2 数据转发过程
　　在MPLS网络中传输的VPN数据采用隧道标签（外标签）和VPN标签（内标签）两层标签栈结构，它们分别对应于两个层面的路由：域内路由和VPN路由。域内路由即MPLS中的LSP，是由PE和P路由器通过运行标签分发协议LDP（Label Distribution Protocol）或资源预留协议RSVP（Resource Reservation Protocol）建立的。它所产生的标签转发表用于VPN分组外层标签的交换。VPN路由是由PE路由器之间通过运行MP-iBGP建立的。该协议跨越骨干网的P路由器分发VPN标签形成VPN路由。在PE路由器上除了VRF表外，还有MPLS路由表。该表用于存放VPN标签和子接口的对应关系，为出口PE路由器到CE路由器之间的数据转发提供依据。
　　具体数据转发过程如下：当CE路由器通过某个子接口将一个VPN分组发给入口PE路由器后，PE路由器查找该子接口对应的VRF表，从VRF表中得到VPN标签、初始外层标签以及到出口PE路由器的输出接口。当VPN分组被打上两层标签之后，就通过输出接口发送到相应LSP上的第一个P路由器。骨干网中P路由器根据外层标签逐跳转发VPN分组，直至最后一个P路由器弹出外层标签，将只含有VPN标签的分组转发给出口PE路由器。出口PE路由器根据VPN标签，查找MPLS路由表得到对应的输出接口，在弹出VPN标签后通过该接口将VPN分组发送给正确的CE路由器，从而实现整个数据转发过程。特别地，当出口PE路由器和入口PE路由器是同一个路由器时，PE路由器对收到的VPN分组将不经过任何处理直接转发给目的CE路由器。
3.3 路由信息分发过程
　　在MPLS VPN中，因为采用了两层标签栈结构，所以P路由器并不参与VPN路由信息的交互。客户路由器通过CE和PE路由器之间、PE路由器之间的路由交互知道属于某个VPN的网络拓扑信息。
　　(1)CE-PE之间的路由信息分发。CE-PE之间通过采用静态/缺省路由、IGP（RIPv2、OSPF）等动态路由协议，或建立EBGP连接等方式进行路由信息的交互。当入口PE路由器从某个子接口接收到来自CE路由器的路由信息时，除了将该路由导入对应的VRF表，PE路由器还要为该路由分配一个VPN标签。该VPN标签用以识别接收路由信息的子接口。因此从同一个子接口接收到的路由信息将被分配同样的VPN标签，从而PE路由器可以将收到的VPN分组转发到合适的子接口。
　　(2)PE-PE之间的路由信息分发。PE-PE之间通过采用MP-iBGP进行路由信息的交互。PE路由器通过维持iBGP网状连接或使用路由反射器来确保路由信息被分发给所有的PE路由器。当入口PE路由器分发路由信息时，将同时携带路由所在VRF表的RD，即将路由的IPv4地址转化为VPN-IPv4地址。分发的具体路由信息包括该路由的VPN-IPv4地址前缀、下一跳BGP即入口PE路由器的VPN-IPv4地址（其中RD=0）、分配给该路由的VPN标签和该路由所在VRF表的Export RT。该路由信息被称为带有标签的VPN-IPv4路由信息。
　　当出口PE路由器收到路由信息时，将查看该路由的RT，如果RT与其任意VRF表中任意一个Import RT相符，就将该路由存入VPN-IPv4的RIB表。在路由选择之后，将最优路由中的VPN-IPv4地址转化成IPv4地址，即去掉地址中的RD，导入到相应的VRF表中。
4 基于Cicso产品的BGP/MPLS VPN实例介绍
　　目前支持MPLS的设备不少，而Cicso路由器在网络建设的高端产品中使用最广，其中26、72等系列均支持MPLS功能。杭州师范学院于2004年建设了一个基于Cisco路由器和交换机的网络通信实验室，现有Cisco路由器10台。下面以Cisco路由器为例，介绍相关路由器的配置。