《运营商MPLS VPN网络业务部署实战》

内容分享1周前发布

0 2 0

一、引入：运营商MPLS VPN的商业价值

“对于运营商而言，MPLS VPN业务：

收入贡献：占企业专线收入的60%以上
客户粘性：大型企业一旦部署很难迁移
技术壁垒：构建竞争优势的技术门槛
扩展性：基于同一网络提供多种增值服务

掌握MPLS VPN业务部署能力，是运营商核心竞争力的体现。”

二、运营商MPLS VPN业务架构

1. 运营商MPLS VPN参考架构

《运营商MPLS VPN网络业务部署实战》

2. 运营商网络角色定义

# 网络设备角色和功能
| **设备角色** | **功能描述** | **典型设备** | **配置重点** |
| :--- | :--- | :--- | :--- |
| **PE** | 提供商边缘路由器 | NE40E/NE5000E | VPN实例，MP-BGP |
| **P** | 提供商核心路由器 | NE5000E/CR16000 | MPLS转发，快速重路由 |
| **ASBR** | 自治系统边界路由器 | NE40E/ASR9000 | 跨域互联，路由交换 |
| **RR** | 路由反射器 | NE40E/ASR9000 | VPNv4路由反射 |
| **CE** | 客户边缘设备 | 客户自有设备 | 路由协议对接 |

三、业务开通流程标准化

1. 运营商业务开通SOP

《运营商MPLS VPN网络业务部署实战》

2. 业务开通工单模板

# MPLS VPN业务开通工单
工单编号: VPN-2024-00198
客户名称: ABC集团
业务类型: MPLS VPN专线

## 站点信息：
站点1: 北京总部
- CE设备: Huawei AR6120
- 接入方式: 100M以太网专线
- 接入端口: GE0/0/1
- IP地址: 219.142.10.1/30

站点2: 上海分公司  
- CE设备: Cisco ISR4331
- 接入方式: 50M以太网专线
- 接入端口: GE0/0/1
- IP地址: 219.142.10.5/30

## VPN参数：
VPN名称: ABC-CORP
RD值: 100:1001
RT值: 100:1001（双向）
路由协议: EBGP
QoS等级: 白金级（保证带宽）

四、 PE设备配置实战

1. PE基础MPLS配置

# PE设备MPLS基础配置
sysname PE-BJ-NE40E-01

# 启用MPLS和LDP
mpls lsr-id 1.1.1.1    # 设置LSR ID为Loopback0地址
mpls
mpls ldp

# 在核心接口启用MPLS
interface GigabitEthernet1/0/0
 description To-P-Core-01
 ip address 10.1.1.1 255.255.255.252
 mpls
 mpls ldp

# 配置Loopback接口
interface LoopBack0
 ip address 1.1.1.1 255.255.255.255

2. VPN实例配置

# 创建VPN实例（VRF）
ip vpn-instance ABC-CORP
 vpn-target 100:1001 export-extcommunity    # 导出RT
 vpn-target 100:1001 import-extcommunity    # 导入RT
 route-distinguisher 100:1001    # 设置RD

# 将客户接口绑定到VPN实例
interface GigabitEthernet2/0/0
 description To-ABC-Corp-BJ-CE
 ip binding vpn-instance ABC-CORP    # 绑定VPN实例
 ip address 219.142.10.2 255.255.255.252

3. MP-BGP配置

# 配置MP-BGP VPNv4地址族
bgp 100    # 运营商AS号
 router-id 1.1.1.1
 peer 2.2.2.2 as-number 100    # 其他PE设备
 peer 2.2.2.2 connect-interface LoopBack0
 
 # 启用VPNv4地址族
 ipv4-family vpnv4
  policy vpn-target    # 启用VPN-Target过滤
  peer 2.2.2.2 enable    # 使能VPNv4邻居
 
 # 将VPN实例引入BGP
 ipv4-family vpn-instance ABC-CORP
  import-route direct    # 引入直连路由
  import-route static    # 引入静态路由

4. PE设备配置对比

PE配置示例
hostname PE-SH-ASR9K-01

! 配置VRF
vrf definition ABC-CORP
 rd 100:1001
 route-target export 100:1001
 route-target import 100:1001

! 接口绑定VRF
interface GigabitEthernet0/0/0
 description To-ABC-Corp-SH-CE
 vrf forwarding ABC-CORP
 ip address 219.142.10.6 255.255.255.252

! MP-BGP配置
router bgp 100
 bgp router-id 2.2.2.2
 neighbor 1.1.1.1 remote-as 100
 neighbor 1.1.1.1 update-source Loopback0
 
 address-family vpnv4
  neighbor 1.1.1.1 activate
 
 address-family ipv4 vrf ABC-CORP
  redistribute connected
  redistribute static

五、 PE-CE路由协议配置

1. EBGP对接方案（最常用）

# 华为PE侧EBGP配置
bgp 100
 peer 219.142.10.1 as-number 200    # 客户AS号
 peer 219.142.10.1 ebgp-max-hop 2    # 允许非直连EBGP
 
 ipv4-family vpn-instance ABC-CORP
  peer 219.142.10.1 enable
  peer 219.142.10.1 route-policy IMPORT-from-CE in    # 入方向策略
  peer 219.142.10.1 route-policy EXPORT-to-CE out    # 出方向策略

# 路由策略配置
route-policy IMPORT-from-CE permit node 10
 if-match ip-prefix CUSTOMER-ROUTES
 apply community 100:1001 additive    # 添加社区属性

route-policy EXPORT-to-CE permit node 10
 if-match community-filter 1    # 匹配特定社区
 apply extcommunity rt 100:1001 additive

ip ip-prefix CUSTOMER-ROUTES index 10 permit 192.168.0.0 16 greater-equal 16 less-equal 24

2. OSPF对接方案

# 华为PE侧OSPF配置
ospf 100 vpn-instance ABC-CORP    # VPN实例OSPF进程
 area 0.0.0.0
  network 219.142.10.0 0.0.0.3
 
# 配置OSPF Sham-Link（如果需要）
ospf
 area 0.0.0.0
  sham-link 1.1.1.1 2.2.2.2    # PE之间的虚拟链路

3. 静态路由对接方案

# 华为PE侧静态路由配置
ip route-static vpn-instance ABC-CORP 192.168.1.0 255.255.255.0 219.142.10.1
ip route-static vpn-instance ABC-CORP 192.168.2.0 255.255.255.0 219.142.10.1 tag 1000

# 静态路由引入BGP
bgp 100
 ipv4-family vpn-instance ABC-CORP
  import-route static

六、跨域VPN解决方案

1. Option A：背靠背VRF

# ASBR1配置（运营商A）
interface GigabitEthernet3/0/0
 description To-ASBR2-OperatorB
 ip binding vpn-instance ABC-CORP    # 绑定一样VPN实例
 ip address 100.1.1.1 255.255.255.252

# 路由协议对接（使用EBGP）
bgp 100
 peer 100.1.1.2 as-number 200    # 运营商B的AS号
 peer 100.1.1.2 ebgp-max-hop 2
 
 ipv4-family vpn-instance ABC-CORP
  peer 100.1.1.2 enable

2. Option B：ASBR间MP-EBGP

# ASBR1配置（运营商A）
bgp 100
 peer 100.1.1.2 as-number 200    # 对端ASBR
 peer 100.1.1.2 connect-interface GigabitEthernet3/0/0
 
 # 启用VPNv4地址族
 ipv4-family vpnv4
  peer 100.1.1.2 enable
  peer 100.1.1.2 next-hop-invariable    # 保持下一跳不变

3. Option C：RR间MP-EBGP（推荐）

# RR1配置（运营商A）
bgp 100
 peer 200.1.1.1 as-number 200    # 运营商B的RR
 peer 200.1.1.1 connect-interface LoopBack0
 peer 200.1.1.1 ebgp-max-hop 255
 
 ipv4-family vpnv4
  peer 200.1.1.1 enable
  peer 200.1.1.1 next-hop-invariable
  peer 200.1.1.1 reflect-client    # 作为反射客户端

七、 QoS策略配置

1. 运营商级QoS架构

# 差分服务配置
diffserv domain default
 ip-dscp-inbound  ef phb ef green    # EF类映射
 ip-dscp-inbound  af1 phb af green    # AF1类映射
 ip-dscp-inbound  be phb be green    # BE类映射

# 流量分类
traffic classifier VOICE operator or
 if-match dscp ef    # 语音流量
traffic classifier VIDEO operator or  
 if-match dscp af41    # 视频流量
traffic classifier CRITICAL operator or
 if-match dscp af31    # 关键业务流量

# 流量行为
traffic behavior VOICE
 car cir 5120 cbs 51200    # 5M带宽保证
traffic behavior VIDEO
 car cir 10240 cbs 102400    # 10M带宽保证
traffic behavior CRITICAL
 car cir 20480 cbs 204800    # 20M带宽保证

# 流量策略
traffic policy VPN-QOS
 classifier VOICE behavior VOICE
 classifier VIDEO behavior VIDEO  
 classifier CRITICAL behavior CRITICAL

# 应用策略到接口
interface GigabitEthernet2/0/0
 traffic-policy VPN-QOS inbound
 traffic-policy VPN-QOS outbound

八、业务调测与验证

1. 端到端连通性测试

# 在PE上检查VPN路由
display bgp vpnv4 vpn-instance ABC-CORP routing-table

# 预期输出：
# Route Distinguisher: 100:1001
# Total Number of Routes: 10
# 
# *>  192.168.1.0/24   219.142.10.1        0  200      ?
# *>i 192.168.2.0/24   2.2.2.2              0  100      100:1001

# 检查MPLS LSP连通性
ping lsp ip 2.2.2.2 32    # 测试到对端PE的LSP

# 在PE上测试到CE的连通性
ping vpn-instance ABC-CORP 192.168.1.1

2. 路由泄露检查

# 检查VPN路由是否正确传播
display bgp vpnv4 all routing-table peer 2.2.2.2 advertised-routes
display bgp vpnv4 all routing-table peer 2.2.2.2 received-routes

# 检查RT过滤是否正确
display bgp vpnv4 all routing-table statistics vpn-target

3. 性能测试

# 带宽测试（使用iperf等工具）
iperf -c 192.168.2.1 -t 60 -i 10    # 从站点1测试到站点2

# 延迟和抖动测试
ping -c 100 -i 0.1 192.168.2.1    # 测试基础网络质量

# QoS策略验证
display traffic-policy statistics interface GigabitEthernet2/0/0

九、运维监控设计

1. 网络监控配置

# SNMP配置用于网管监控
snmp-agent
snmp-agent community read cipher Monitor@2024
snmp-agent sys-info version all
snmp-agent trap enable
snmp-agent target-host trap-hostname NMS address 192.168.100.100
snmp-agent target-host trap-hostname NMS params securityname MonitorUser

# 关键监控指标：
# - PE设备CPU/内存使用率
# - MPLS LSP状态和流量
# - VPN路由数量变化
# - QoS策略命中统计

2. 告警阈值设置

# 设置性能告警阈值
threshold enable
threshold-set cpu-usage 80    # CPU使用率告警
threshold-set memory-usage 85    # 内存使用率告警
threshold-set route-number 50000 vpn-instance ABC-CORP    # VPN路由数告警

# 配置Syslog服务器
info-center enable
info-center loghost 192.168.100.100
info-center source default channel loghost log level informational

十、故障排查实战

1. 常见故障排查流程

《运营商MPLS VPN网络业务部署实战》

2. 典型故障案例

# 案例：路由泄露导致不同客户互通
# 故障现象：客户A能访问客户B的内部服务器

# 排查步骤：
display bgp vpnv4 vpn-instance CustomerA routing-table
# 发现存在192.168.100.0/24路由（应为客户B的网络）

# 缘由分析：RT配置错误
display ip vpn-instance CustomerA
# 输出：vpn-target 100:1001 import-extcommunity
#       vpn-target 100:1002 import-extcommunity    # 错误导入了客户B的RT

# 解决方案：修正RT配置
ip vpn-instance CustomerA
 undo vpn-target 100:1002 import-extcommunity

十一、业务扩展与优化

1. 大规模VPN优化

# 路由反射器部署优化
bgp 100
 peer 3.3.3.3 as-number 100    # RR设备
 peer 3.3.3.3 reflect-client    # 作为反射客户端
 peer 3.3.3.3 next-hop-local    # 修改下一跳

# VPN路由聚合减少路由数量
bgp 100
 ipv4-family vpn-instance ABC-CORP
  aggregate 192.168.0.0 255.255.0.0 detail-suppressed    # 路由聚合

2. 增值业务部署

# 互联网访问服务（Internet Access）
ip vpn-instance ABC-CORP
 vpn-target 100:2001 import-extcommunity    # 导入互联网RT

# 安全服务链（Service Chaining）
service-chain path INTERNET-SECURITY
  next-hop 192.168.200.1    # 防火墙
  next-hop 192.168.200.2    # 入侵检测

十二、自动化运维实战

1. Python自动化配置脚本

#!/usr/bin/env python3
"""
运营商MPLS VPN业务自动化开通脚本
"""
from netmiko import ConnectHandler
import yaml

class VPNProvisioning:
    def __init__(self, device_params):
        self.device_params = device_params
        
    def create_vpn_instance(self, vpn_name, rd, rt):
        """创建VPN实例"""
        commands = [
            f'ip vpn-instance {vpn_name}',
            f'route-distinguisher {rd}',
            f'vpn-target {rt} export-extcommunity',
            f'vpn-target {rt} import-extcommunity'
        ]
        return self._send_commands(commands)
    
    def configure_pe_interface(self, interface, ip_address, vpn_name):
        """配置PE接口"""
        commands = [
            f'interface {interface}',
            f'ip binding vpn-instance {vpn_name}',
            f'ip address {ip_address}',
            'undo shutdown'
        ]
        return self._send_commands(commands)
    
    def _send_commands(self, commands):
        """发送配置命令"""
        connection = ConnectHandler(**self.device_params)
        output = connection.send_config_set(commands)
        connection.disconnect()
        return output

# 使用示例
if __name__ == "__main__":
    pe_device = {
        'device_type': 'huawei',
        'host': '10.1.1.1',
        'username': 'admin',
        'password': 'password'
    }
    
    vpn_tool = VPNProvisioning(pe_device)
    result = vpn_tool.create_vpn_instance('ABC-CORP', '100:1001', '100:1001')
    print("VPN实例创建结果:", result)

2. Ansible自动化部署剧本

---
- name: 部署MPLS VPN业务配置
  hosts: pe_devices
  gather_facts: false
  
  vars:
    vpn_name: "ABC-CORP"
    rd: "100:1001"
    rt: "100:1001"
  
  tasks:
    - name: 创建VPN实例
      huawei.ce.huawei_ce_config:
        lines:
          - "ip vpn-instance {{ vpn_name }}"
          - "route-distinguisher {{ rd }}"
          - "vpn-target {{ rt }} export-extcommunity"
          - "vpn-target {{ rt }} import-extcommunity"
      
    - name: 配置PE-CE接口
      huawei.ce.huawei_ce_config:
        lines:
          - "interface GigabitEthernet2/0/0"
          - "ip binding vpn-instance {{ vpn_name }}"
          - "ip address 219.142.10.2 255.255.255.252"
          - "undo shutdown"