L2VPN与L3VPN介绍与对比

来源：作者：出处：巧巧读书 2006-10-06 进入讨论组

VPN是运营商通过其公网向用户提供的虚拟专有网络，即在用户的角度VPN是用户的一个专有网络。对于运营商来说公网包括公共的骨干网和公共的运营商边界设备。地理上彼此分离的VPN成员站点通过客户端设备（CPE）连接到对应的运营商边界设备（PE），通过运营商的公网组成客户的VPN网络。

2. 传统的VPN组网方式

传统的VPN主要采取两种组网的方式：专线VPN和基于客户端设备的安全VPN。

专线VPN使用静态的虚电路（如ATM PVC、FR PVC 等）连接客户的站点，形成一个二层的VPN骨干网。VPN成员站点连接到运营商的边界设备（PE），由运营商负责建立VPN成员站点之间的虚电路连接，客户对属于自己VPN的站点的路由进行自主的控制和管理。采用这种方式组建VPN无论对运营商或者是对客户来说成本都是很高的，而且二层虚电路的业务提供的周期长，网络管理人员需要进行大量的手工配置工作。

对于基于客户端设备的（CE Based）VPN，VPN的功能全部在客户端的设备中实现。运营商的设备对客户的VPN来说是完全透明的。客户可以通过购买相应的VPN设备或者在现有的路由器、网关或者甚至是PC机上安装相应的VPN功能软件就可以开始独立构建基于客户端设备的VPN。由于VPN的成员站点之间通常是通过非信任的Internet实现互连的，所以一般基于客户端设备的VPN在实现时都引入某些安全机制保护站点之间跨Internet的客户私有流量。这个解决方案的最大缺点就是客户需要购买、配置和维护昂贵的VPN网关设备，同时也意味着需要高素质的网络管理人员对VPN网关设备和整个VPN网络进行有效的管理和维护，相应也会带来企业网络成本的上升。

3. MPLS VPN

MPLS技术提供了类似于虚电路的标签交换业务，这种基于标签的交换可以提供类似于帧中继、ATM的网络安全性。同时相对于传统的VPN技术来说，MPLS VPN可以实现底层标签自动的分配，在业务的提供上比传统的VPN技术更廉价，更快速。同时MPLS VPN可以充分的利用MPLS技术的一些先进的特性，比如说MPLS 流量工程能力，MPLS的服务质量保证，结合这些能力，MPLS VPN可以向客户提供不同服务质量等级的服务，也更容易实现跨运营商骨干网服务质量的保证。同时MPLS VPN还可以向客户提供传统基于路由技术VPN无法提供的业务种类，比如像支持VPN地址空间复用。对于MPLS的客户来说，运营商的MPLS网络可以提供客户需要的安全机制，以及组网的能力，VPN底层连接的建立、管理和维护主要由运营商负责，客户运营其VPN的维护和管理都将比传统的VPN解决方案简单，也减低了企业在人员和设备维护上的投资和成本。基于MPLS的VPN可以作为传统的基于二层专线的VPN、纯三层的IP VPN和隧道方式的VPN的替代技术，在现阶段可以作为传统VPN技术的有效补充。

具体到MPLS VPN的实现方式，根据运营商边界设备PE是否参与客户的路由，运营商在建立基于IP/MPLS的VPN时有两种选择：

l 第三层的解决方案, 通常称作是Layer3 MPLS VPNs

l 第二层的解决方案，通常称作是Layer2 MPLS VPNs

衡量一个VPN解决方案的优劣主要基于以下几点的考虑：

l 支持的业务种类；

l 可以向用户提供的连接的种类；

l 扩展性；

l 部署的复杂度；

l 业务开展的复杂度；

l 管理和维护的复杂度；

l 部署的成本；

l 管理和维护的成本。

当然这些因素并不是绝对的，实际的应用中很难简单的说这两个方案谁优谁劣。两个方案都有其优缺点，有其特定的业务模式，也都还处在不断完善发展的阶段，选择一个方案的关键是运营商实际的网络运营环境，和运营商自身的业务定位，要向客户提供什么样的服务模式。

4. Layer3 MPLS VPN

Layer3 MPLS VPN是一种基于路由方式的MPLS VPN解决方案，ITEF RFC2547中对这种VPN技术进行了描述，MPLS Layer3 VPN也被称作是BGP/MPLS VPNs。BGP/MPLS VPN使用类似传统路由的方式进行IP分组的转发，在路由器接收到IP数据包以后，通过在转发表查找IP数据包的目的地址，然后使用预先建立的LSP进行IP数据跨运营商骨干的传送。为了使运营商的路由器可以感知客户网络的可达性信息，运营商的边界路由器（PE）和客户端路由器（CE）进行路由信息的交互。PE和CE之间的路由交换可以采用静态路由，也可以采用RIP、OSPF、ISIS和BGP等动态的路由协议。BGP/MPLS VPN的解决方案支持对等方式的VPN网络结构。PE之间属于同一MPLS VPN的路由信息通过BGP协议承载进行交互。PE路由器使用LSP进行路由转发，对于运营商路由器P并不需要知道客户VPN网络的信息，这种透明可以有效的减小P路由器的负担，提高网络的扩展性和业务开展的灵活性。通过PE之间、PE和CE之间的路由交互，客户的路由器可以知道属于同一个VPN的网络拓扑信息。

BGP/MPLS VPNs 可以解决基于纯IP Layer3 VPN无法实现的一些功能，主要有：

支持地址重叠，即同时支持使用公有地址的客户端设备和私有地址的客户端设备，或者多个VPN使用同一个地址空间；

支持重叠VPN，即一个站点可以同时属于多个VPN。

对于传统基于路由的VPN来说，要解保留地址 http://www.qqread.com/net-protocol/y226543.html 更多内容请看VPN技术、SSL VPN详细知识介绍专题、VPN基础知识专题，或进入讨论组讨论。