宽带网络课程设计

宽带网络基础课程实习——

MPLS VPN与IPSec VPN混合组网研究

专业：电子信息工程

班级：电信07-3班

姓名：李杨

学号： 0706110313

指导教师：刘超

摘要

MPLS VPN构建在专用网络上，能够保证很好的服务质量，但价格与传统专线在同一水平。IPSec/SSL VPN承载在公众互联网上，服务质量基本无法保证，但成本相对比较低。

服务供应商当然可以部署一种或者同时部署多种VPN架构来支持其新型增值服务，但是，如果它们能够把各类VPN融合起来更可以获得优势互补所带来的巨大利益。提供设计优良、运行正常和综合性的VPN服务可以同时提升IPsec和MPLS的应用层次。服务供应商可以对那些需要较高认证和私密性、而对服务质量要求不高的数据流实行IPsec解决方案，而对网络的带宽和服务质量(QoS)要求较高的需求采用MPLS解决方案。

关键词：MPLS VPN、IPSec VPN、混合组网

MPLS VPN与IPSec VPN混合组网研究

一、综述

VPN是一种逻辑上的专用网络，能够向用户提供专用网络所具有的功能，但本身却不是一个独立的物理网络。为适应全球经济一体化的格局与发展，利用IP协议和现有的Internet来建立企业的安全的专有网络，成为主要VPN发展趋势。

VPN(虚拟专用网络，Virtual Private Network)，是一种通过对网络数据的封包或加密传输，在公众网络上传输私有数据、达到私有网络的安全级别，从而利用公众网络构筑企业专网的组网技术。VPN 是一种逻辑上的专用网络，能够向用户提供专用网络所具有的功能，但本身却不是一个独立的物理网络。

VPN的技术实现方式

VPN是一种广义的概念，即在公众网络上实现私有网络。有多种技术可以实现VPN的功能，一般来说，虚拟专用网络(VPN)可分为如下几种:

1.传统的专线虚拟专用网络

传统的虚拟专用网络主要包括帧中继和A TM，是传统的电信专线业务，是电信运营商通过帧中继或A TM的专用交换设备建立覆盖一定区域的公用交换平台，并通过在此公用交换平台上建立虚电路连接，为用户提供专用网络。

帧中继(Frame Relay，简称FR)，是一种面向连接的快速分组交换技术。它使用一组规程将数据信息以帧的形式有效地进行传送，在一个物理连接上可复用多个逻辑连接(即可建立多条逻辑信道)，可实现带宽的复用和动态分配。帧中继适合于封装局域网的数据单元，适合传送突发业务(如压缩视频业

务、WWW业务等)。

A TM(Asynchronous Transfer Mode)，异步传输模式。A TM是面向连接的服务,它摒弃了电路交换中采用的同步时分复用，改用异步时分复用，收发双方的时钟可以不同，可以更有效地利用带宽。它是一种高速分组交换，在协议上它将OSI第三层的纠错、流控功能转移到智能终端上完成，降低了网络时延，提高了交换速度。

2.基于用户端设备的虚拟专用网络

基于用户端设备的虚拟专用网络是指用户端设备使用封装或加密技术，在公众网络上建立安全的隧道连接，实现安全的专用网络。VPN功能都集成在各种各样的CPE设备之中，运营商的公网为客户提供透明的数据传输。这种方式的VPN，其最大缺点就在于需要客户投入较大的人力、物力去管理和维护VPN，同时加密机制也会对设备的转发性能和网络的拓展性产生很大的影响。

IPSec，即Internet安全协议，是被采用得最广泛的VPN技术，是由Internet工程任务组(IETF)开发的一组身份验证和加密的协议，通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。IPSec实际上是一套协议包而不是一个单个的协议，这一点对于我们认识IPSec是很重要的。

3.网络提供商指配的虚拟专用网络

网络提供商指配的虚拟专用网络是指利用虚拟路由技术和隧道技术，由网络提供商管理的网络端设备为不同用户建立独立的路由表和传输隧道，实现虚拟专用网络。BGP/MPLS VPN技术就是属于此类VPN。

MPLS VPN是一种基于MPLS技术的IP VPN，是在网络路由和交换设备上应用MPLS(Multiprotocol Label Switching，多协议标记交换)技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络(IP VPN)。MPLS VPN体系中包含三种类型的路由器，CE路由器、PE路由器和P路由器。其中，CE路由器是客户端路由器，为用户提供到PE 路由器的连接;PE路由器是运营商边缘路由器，也就是MPLS网络中的标签边缘路由器(LER);P路由器是运营商网络主干路由器，也就是MPLS网络中的标签交换路由器(LSR)。

4.基于会话的虚拟专用网络

基于会话的虚拟专用网络是指利用工作在第四层协议，即传输层协议及以上的安全协议，实现的虚拟专用网络。目前，主要是指SSL VPN。、

SSL VPN产品采用标准的安全套接层(SSL)对传输中的数据包进行加密。SSL (Secure Socket Layer)又称套接字，是一个运行在原TCP/IP协议栈Transport(传输层，第4层)和其上应用层(5-7层)之间的安全协议。

IP VPN市场发展前景

为适应全球经济一体化的格局与发展，利用IP协议和现有的Internet来建立企业的安全的专有网络，成为主要VPN发展趋势，此类VPN通称为IP VPN。目前，IP VPN主要包括MPLS VPN、IPSec VPN和SSL VPN。

1. MPLS VPN与ATM/FR VPN的比较

MPLS VPN与A TM/FR VPN在价格和服务质量上看，是同质化的产品，但MPLS VPN有更多的优势(见表)。

MPLS VPN相比传统专线VPN而言更具高性价比，MPLS VPN技术已经逐渐成为企业进行广域互联的主流技术，已经越来越多的企业把MPLS VPN作为他们建立企业专网的首选广域网技术，同时越来越多的企业正在逐渐考虑把他们的网络从传统的专线VPN网络迁移到MPLS VPN上。

2. MPLS VPN与IPSec/SSL VPN的比较与融合

MPLS VPN构建在专用网络上，能够保证很好的服务质量，但价格与传统专线在同一水平。IPSec/SSL VPN承载在公众互联网上，服务质量基本无法保证，但成本相对比较低。

服务供应商当然可以部署一种或者同时部署多种VPN架构来支持其新型增值服务，但是，如果它们能够把各类VPN融合起来更可以获得优势互补所带来的巨大利益。提供设计优良、运行正常和综合性的VPN服务可以同时提升IPsec和MPLS的应用层次。服务供应商可以对那些需要较高认证和私密性、而对服务质量要求不高的数据流实行IPsec解决方案，而对网络的带宽和服务质量(QoS)要求较高的需求采用MPLS解决方案。

IPSec VPN与MPLS VPN混合组网的注意事项

有的公司通过一个服务供应商配置了一个MPLS VPN，但是由于该公司在国外的站点附近没有MPLS接入点，因此客户建立了一个混合VPN。这样，就可在Internet上建立安全的连接，并利用IPSec 设备来保护这些连接。但是，在IPSec VPN和MPLS VPN之间，存在一些差异，对于考虑使用这两种产品的用户来说，必须分清它们之间的这些差异。

IPSec VPN和MPLS VPN之间的一个关键差异是MPLS厂商在性能、可用性以及服务等级上提供了SLA（Service Level Agreement）。而它对于建立在IPSec设备上的VPN来说则是不可用的，因为IPSec设备利用Internet接入服务直接挂接在Internet上。

MPLS VPN要求所有的站点都与同一服务供应商相关联。如果连接到VPN的所有站点都是由一个公司所有的，这当然不存在什么问题，但是需要在VPN上增加商业合作伙伴时，可能就会出现一些问题了。如果合作伙伴使用的是其它一些服务供应商的服务，而且它还需要加入这个连接的话，那么它就必须将连接转到MPLS VPN供应商。另外，MPLS VPN并没有为自己的远程拨号用户提供远

程接入。

还有的公司使用了VPN管理服务，服务供应商可为其安装、管理、监测和维护VPN设备，这就减少了公司在设备上的投资，公司只需考虑设备的正常运转和不落伍就可以了。但是它的缺点就是，当技术、设备需要更新时，这些公司只能等待服务供应商来作出决定。

所有连接到VPN的站点现在都拥有了自己的Internet接入。这意味着它们的Internet流量不再通过传统的远程接入和Internet连接进行传输，这就减少了利用Internet连接进行传输的流量总量，但是同时也意味着公司必须管理所有站点的防火墙而不是处于中心位置的一个防火墙。

二、设计举例

面临的问题

某集团的原网络系统核心与各分部之间通过公共的Internet IPsec VPN方式连接。由于该集团在全国都有分店，各地区使用基础运营商的线路不统一，电信和网通之间存在的互联互通问题，使得总部与分店之间的数据传输非常慢。该集团的ERP系统，管理系统、OA系统等其他应用对现有的网络基础设施提出了更高要求。随着公司的发展，将来需要建立的内部VOIP系统、视频会议系统、远程培训系统。也需要重新规划集团内部的信息网络系统，以满足公司长远业务发展需要。

原网络拓扑图如下所示：

解决方案

根据目前网络系统的应用情况，以及将来集团扩展的需要，现将该集团信息网络设计成以下几部分：

一、深圳总部：

1、深圳总部设计1条10Mbps上网线路接入互联网平台，开通10M VPN端口，同时路由电信IP和

网通IP，实现负载均衡，解决南北电信互联互通问题。

2、深圳总部在已有的电信10M上网线路上面建立与深圳节点之间的IPsec VPN互联，做为对MPLS VPN的备份，当本地线路发生故障时，自动调整到电信线路上面，两条线路互为备份，保证总部上网稳定运行。

二、北京花园店：

由于北京花园店现在已有4M的网通专线，规划在不改变现有网络结构的基础上，在北京花园店建立与北京VPN平台上面的IPsec VPN,通过MPLS VPN网络，实现北京花园店与深圳总部快速互联。三、其他分店：

其他分店分步建立与各自节点间的互联，实现全网集团的MPLS VPN网络互联。

网络方案示意图如下所示：

利用NOV A MPLS VPN搭建的企业专网可以采用非常灵活的接入方式，用户端的设备可以是任何厂商、任何档次的路由器或具有路由能力的交换机，接入NOV A MPLS可以采用DDN、FR、A TM 等任何专线，CE与PE之间可以运行任何IP路由协议，包括BGP、OSPF、RIP、静态路由等。

基于这个网络平台，可以实现集团内部ERP、业务系统、OA、语音、视频会议、电子邮件等应用系统的数据传输。同时也可以提供ERP系统、业务系统、语音数据、视频数据的QoS的保证，即

当有ERP、业务系统、语音、视频、数据需要同时传输时，ERP系统、业务系统比普通数据具有较高的优先级，首先确保ERP系统、业务系统数据传输的带宽，在保证ERP等关键应用带宽质量的前提下，再把剩余的带宽供普通数据传输使用。在没有ERP、业务系统数据传输时，所有的带宽可以提供普通数据使用。并且，根据用户的要求，可以对普通数据也进行分类，对不同类别设定不同的优先级别，提供不同的QoS/CoS服务。

三、方案综合评价与结论

由于网络的扩展性与稳定性，保障了该集团的信息系统跟随公司业务不断发展的不断扩容升级。在信息系统的扩展中，本设计方案提供了强有力的基础设施保障。

1、快速响应，有效降低网络故障率。

2、有效的QoS设置，确保ERP、语音、数据流量可靠传输；

3、网络进行统一的管理，大大减少网络维护的工作量；

4、总部设备无需更换，且分支机构只需申请低端的接入设备就足以完成网络改造，大幅节约成本。

四、实习体会

经过近两周的努力，在老师和同学们的帮助下，我完成了本次设计任务，通过本次课程设计，我加深了自己对理论知识的理解，强化了对知识的应用能力，同时也锻炼了分析、解决问题的能力，更锻炼了自己的动手能力，能够根据需要去读一些相关文献，学会如何使用相关软件等，为以后的学习、工作打下了坚实的基础。

通过这次实习，还有一个收获就是感受到同学之间的温暖和相互协作的力量。尽管我们各自设计要求不同，思路也不相同，但是我们能够互相帮助，遇到问题一起探讨，共同解决，别人有什么不懂得也尽量帮忙。相互学习，共同进步，这种团结协作精神正是当代大学生所要求的基本素质与修养。

由于知识水平的局限，设计中可能会存在一些不足。但我真诚的希望老师和同学们的批评指正。最后衷心感谢老师的悉心指导和同学们的热情帮助！

参考文献

[1]史忠植《高级计算机网络》电子工业出版社，2002

[2]冯径《多协议标签交换技术》人民邮电出版社，2002

[3]王达《虚拟专用网精解》清华大学出版社，2004

[4]蔡思飞、彭新光《基于VPN的安全网关研究》太原理工大学学报，2006.1