从事网络行业的小伙伴或者是走上职场的友友们经常会VPN使用的问题，或者是IPsec VPN或者SSL VPN，但若不了解VPN的原理出现问题难免有点抓狂这里我就带大家一起来学习VPN，让我们以后在VPN的道路上不迷路，有感兴趣的小伙伴可点赞加关注。

1、MPLS VPN 基本概念

（1）RD和VPN-IPv4地址

RD用于区分使用相同地址空间的IPv4前缀，增加了RD的IPv4地址称为VPN-IPv4地址（即VPNv4地址）。PE从CE接收到IPv4路由后，转换为全局唯一的VPN-IPv4路由，并在公网上发布。RD的结构使得每个服务供应商可以独立地分配RD，但为了在CE双归属的情况下保证路由正常，必须保证PE上的RD全局唯一。

VPN-IPv4地址共有12个字节，包括8字节的路由标识符RD（Route Distinguisher）和4字节的IPv4地址前缀。

VPNv4地址结构

（2）RT值（VPN Target）

BGP/MPLS IP VPN使用BGP扩展团体属性－VPN Target（也称Route Target）来控制VPN路由信息的发布。每个VPN实例关联一个或多个VPN Target属性。

Export Target：本地PE从直接相连Site学到IPv4路由后，转换为VPN-IPv4路由，并为这些路由设置Export Target属性。Export Target属性作为BGP的扩展团体属性随路由发布。

Import Target：PE收到其它PE发布的VPN-IPv4路由时，检查其Export Target属性。当此属性与PE上某个VPN实例的Import Target匹配时，PE就把路由加入到该VPN实例中。

跨域VPN

跨域VPN-Option A（Inter-Provider Backbones Option A）方式：

需要跨域的VPN在ASBR间通过专用的接口管理自己的VPN路由；

跨域VPN-Option B（Inter-Provider Backbones Option B）方式：

ASBR间通过MP EBGP发布标签VPN-IPv4路由；

跨域VPN-Option C（Inter-Provider Backbones Option C）方式：

PE间通过Multi-hop MP-EBGP发布标签VPN-IPv4路由。

1）跨域VPN-Option A方式:

2）跨域VPN-Option B方式:

3）跨域VPN-Option C方式:

跨域VPN-OptionA是基本BGP/MPLS IP VPN在跨域环境下的应用，ASBR之间不需要运行MPLS，也不需要为跨域进行特殊配置。这种方式下，两个AS的边界ASBR直接相连，ASBR同时也是各自所在自治系统的PE。两个ASBR都把对端ASBR看作自己的CE设备，将会为每一个VPN创建VPN实例，使用EBGP方式向对端发布IPv4路由。

Option-A的路由发布：

在PE和ASBR之间运行MP-IBGP协议交换VPN-IPv4路由信息。两个ASBR之间可以运行普通的PE-CE路由协议（BGP或IGP多实例）或静态路由来交互VPN信息；但这是不同AS之间的交互，建议使用EBGP

特点：

优点是配置简单：由于ASBR之间不需要运行MPLS，也不需要为跨域进行特殊配置。

缺点是可扩展性差：由于ASBR需要管理所有VPN路由，为每个VPN创建VPN实例。这将导致ASBR上的VPN-IPv4路由数量过大。并且由于ASBR间是普通的IP转发，要求为每个跨域的VPN使用不同的接口，从而提高了对PE设备的要求。如果跨越多个自治域，中间域必须支持VPN业务，不仅配置量大，而且对中间域影响大。在需要跨域的VPN数量比较少的情况，可以优先考虑使用。

配置思路：

1.配置接口IP:（其他接口类似）

[CE1]inter gig 0/0/1

[CE1-GigabitEthernet0/0/1]ip addre 10.1.1.1 30

[CE1-GigabitEthernet0/0/1]inter l0

[CE1-LoopBack0]ip addre 11.11.11.11 32

[CE1-LoopBack0]quit

2.在公网PE、P、ASBR上配置OSPF

[PE1]ospf 1 router-id 1.1.1.1

[PE1-ospf-1]area 0

[PE1-ospf-1-area-0.0.0.0]net 1.1.1.1 0.0.0.0

[PE1-ospf-1-area-0.0.0.0]net 12.12.12.0 0.0.0.3

[PE1-ospf-1-area-0.0.0.0]quit

[PE1-ospf-1]quit

[P1]ospf 1 router-id 2.2.2.2

[P1-ospf-1]area 0

[P1-ospf-1-area-0.0.0.0]net 2.2.2.2 0.0.0.0

[P1-ospf-1-area-0.0.0.0]net 12.12.12.0 0.0.0.3

[P1-ospf-1-area-0.0.0.0]net 23.23.23.0 0.0.0.3

[P1-ospf-1-area-0.0.0.0]quit

[ASBR1]ospf 1 router-id 3.3.3.3

[ASBR1-ospf-1]area 0

[ASBR1-ospf-1-area-0.0.0.0]net 3.3.3.3 0.0.0.0

[ASBR1-ospf-1-area-0.0.0.0]net 23.23.23.0 0.0.0.3

[ASBR1-ospf-1-area-0.0.0.0]quit

[ASBR1-ospf-1]quit

[ASBR2]ospf 1 router-id 4.4.4.4

[ASBR2-ospf-1]area 0

[ASBR2-ospf-1-area-0.0.0.0]net 4.4.4.4 0.0.0.0

[ASBR2-ospf-1-area-0.0.0.0]net 45.45.45.0 0.0.0.3

[ASBR2-ospf-1-area-0.0.0.0]quit

[ASBR2-ospf-1]quit

[P2]ospf 1 router-id 5.5.5.5

[P2-ospf-1]area 0

[P2-ospf-1-area-0.0.0.0]net 5.5.5.5 0.0.0.0

[P2-ospf-1-area-0.0.0.0]net 45.45.45.0 0.0.0.3

[P2-ospf-1-area-0.0.0.0]net 56.56.56.0 0.0.0.3

[P2-ospf-1-area-0.0.0.0]qui

[P2-ospf-1]quit

[PE2]ospf 1 router-id 6.6.6.6

[PE2-ospf-1]area 0

[PE2-ospf-1-area-0.0.0.0]net 6.6.6.6 0.0.0.0

[PE2-ospf-1-area-0.0.0.0]net 56.56.56.0 0.0.0.3

[PE2-ospf-1-area-0.0.0.0]quit

[PE2-ospf-1]quit

3.在公网PE、P、ASBR上配置MPLS和MPLS ldp协议

[PE1]mpls lsr-id 1.1.1.1

[PE1]mpls

[PE1-mpls]mpls ldp

[PE1-mpls-ldp]quit

[PE1]inter gig 0/0/0

[PE1-GigabitEthernet0/0/0]mpls

[PE1-GigabitEthernet0/0/0]mpls ldp

[PE1-GigabitEthernet0/0/0]quit

[P1]mpls lsr-id 2.2.2.2

[P1]mpls

[P1-mpls]mpls ldp

[P1-mpls-ldp]quit

[P1]inter gig 0/0/0

[P1-GigabitEthernet0/0/0]mpls

[P1-GigabitEthernet0/0/0]mpls ldp

[P1-GigabitEthernet0/0/0]quit

[P1]inter gig 0/0/1

[P1-GigabitEthernet0/0/1]mpls

[P1-GigabitEthernet0/0/1]mpls ldp

[P1-GigabitEthernet0/0/1]quit

[ASBR1]mpls lsr-id 3.3.3.3

[ASBR1]mpls

[ASBR1-mpls]mpls ldp

[ASBR1-mpls-ldp]quit

[ASBR1]inter gig 0/0/1

[ASBR1-GigabitEthernet0/0/1]mpls

[ASBR1-GigabitEthernet0/0/1]mpls ldp

[ASBR1-GigabitEthernet0/0/1]quit

[ASBR2]mpls lsr-id 4.4.4.4

[ASBR2]mpls

[ASBR2-mpls]mpls ldp

[ASBR2-mpls-ldp]quit

[ASBR2]inter gig 0/0/1

[ASBR2-GigabitEthernet0/0/1]mpls

[ASBR2-GigabitEthernet0/0/1]mpls ldp

[ASBR2-GigabitEthernet0/0/1]quit

[P2]mpls lsr-id 5.5.5.5

[P2]mpls

[P2-mpls]mpls ldp

[P2-mpls-ldp]quit

[P2]inter gig 0/0/1

[P2-GigabitEthernet0/0/1]mpls

[P2-GigabitEthernet0/0/1]mpls ldp

[P2-GigabitEthernet0/0/1]quit

[P2]inter gig 0/0/0

[P2-GigabitEthernet0/0/0]mpls

[P2-GigabitEthernet0/0/0]mpls ldp

[P2-GigabitEthernet0/0/0]quit

[PE2]mpls lsr-id 6.6.6.6

[PE2]mpls

[PE2-mpls]mpls ldp

[PE2-mpls-ldp]quit

[PE2]inter gig 0/0/0

[PE2-GigabitEthernet0/0/0]mpls

[PE2-GigabitEthernet0/0/0]mpls ldp

[PE2-GigabitEthernet0/0/0]quit

4.配置IBGP并使能MP-IBGP

[PE1]bgp 100

[PE1-bgp]peer 3.3.3.3 as 100

[PE1-bgp]peer 3.3.3.3 connect-interface LoopBack 0

[PE1-bgp]ipv4-family vpnv4

[PE1-bgp-af-vpnv4]peer 3.3.3.3 enable

[PE1-bgp-af-vpnv4]quit

[PE1-bgp]quit

[ASBR1]bgp 100

[ASBR1-bgp]peer 1.1.1.1 as 100

[ASBR1-bgp]peer 1.1.1.1 conn loo 0

[ASBR1-bgp]ipv4-family vpnv4

[ASBR1-bgp-af-vpnv4]peer 1.1.1.1 enable

[ASBR1-bgp-af-vpnv4]quit

[ASBR1-bgp]quit

[PE2]bgp 200

[PE2-bgp]peer 4.4.4.4 as 200

[PE2-bgp]peer 4.4.4.4 conn loo 0

[PE2-bgp]ipv4-fam vpnv4

[PE2-bgp-af-vpnv4]peer 4.4.4.4 enable

[PE2-bgp-af-vpnv4]quit

[PE2-bgp]quit

[ASBR2]bgp 200

[ASBR2-bgp]peer 6.6.6.6 as 200

[ASBR2-bgp]peer 6.6.6.6 conn loo 0

[ASBR2-bgp]ipv4-fam

[ASBR2-bgp]ipv4-family vpnv4

[ASBR2-bgp-af-vpnv4]peer 6.6.6.6 enable

[ASBR2-bgp-af-vpnv4]quit

[ASBR2-bgp]quit

5.配置vpn实例并配置RD和RT值

[PE1]ip vpn-instance hcie

route-distinguisher 100:1

vpn-target 100:1 both

quit

quit

inter gig 0/0/1

ip binding vpn-instance hcie

ip addre 10.1.1.2 30

quit

[ASBR1]ip vpn-instance hcie

[ASBR1-vpn-instance-hcie]

[ASBR1-vpn-instance-hcie]route-distinguisher 100:1

vpn-target 100:1 both

quit

[ASBR1-vpn-instance-hcie]quit

[ASBR1]inter gig 0/0/0

ip binding vpn-instance hcie

ip addre 34.34.34.1 30

quit

[PE2]ip vpn-instance hcie

[PE2-vpn-instance-hcie]route-distinguisher 100:1

[PE2-vpn-instance-hcie-af-ipv4]vpn-target 100:1 both

[PE2-vpn-instance-hcie-af-ipv4]quit

[PE2-vpn-instance-hcie]quit

[PE2]inter gig 0/0/1

[PE2-GigabitEthernet0/0/1]ip binding vpn-instance hcie

[PE2-GigabitEthernet0/0/1]ip addre 20.1.1.2 30

[PE2-GigabitEthernet0/0/1]quit

[ASBR2]ip vpn-instance hcie

[ASBR2-vpn-instance-hcie]route-distinguisher 100:1

[ASBR2-vpn-instance-hcie-af-ipv4]vpn-target 100:1 both

[ASBR2-vpn-instance-hcie-af-ipv4]quit

[ASBR2-vpn-instance-hcie]quit

[ASBR2]inter gig 0/0/0

[ASBR2-GigabitEthernet0/0/0]ip binding vpn-instance hcie

[ASBR2-GigabitEthernet0/0/0]ip addre 34.34.34.2 30

[ASBR2-GigabitEthernet0/0/0]quit

6.配置EBGP

[ASBR1]bgp 100

[ASBR1-bgp]ipv4-family vpn-instance hcie

[ASBR1-bgp-hcie]peer 34.34.34.2 as 200

[ASBR1-bgp-hcie]quit

[ASBR1-bgp]quit

[PE1]bgp 100

[PE1-bgp]ipv4-family vpn-instance hcie

[PE1-bgp-hcie]peer 10.1.1.1 as 65001

[CE1]bgp 65001

[CE1-bgp]peer 10.1.1.2 as 100

[CE1-bgp]net 11.11.11.11 32

[CE1-bgp]quit

[ASBR2]bgp 200

[ASBR2-bgp]ipv4-family vpn-instance hcie

[ASBR2-bgp-hcie]peer 34.34.34.1 as 100

[ASBR2-bgp-hcie]quit

[ASBR2-bgp]quit

[PE2]bgp 200

[PE2-bgp]ipv4-family vpn-instance hcie

[PE2-bgp-hcie]peer 20.1.1.1 as 65002

[PE2-bgp-hcie]quit

[PE2-bgp]quit

[CE2]bgp 65002

[CE2-bgp]peer 20.1.1.2 as 200

[CE2-bgp]net 22.22.22.22 32

[CE2-bgp]quit

检查配置结果：

测试CE2到CE1连通性