Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

示例：配置基于 MPLS 的第 2 层 VPN

此示例说明如何在运行 Junos OS 的路由器或交换机上配置和验证基于 MPLS 的第 2 层 VPN。

注意：

我们的内容测试团队已验证并更新了此示例。

您可以使用运行 Junos OS 的路由器和交换机部署基于 MPLS 的第 2 层虚拟专用网，从而将客户站点与第 2 层连接互连。第 2 层 VPN 让客户可以完全控制他们选择的传输和路由协议。

基于 MPLS 的 VPN 需要提供商网络中的基准 MPLS 功能。基本 MPLS 正常运行后，您就可以配置使用标签交换路径 （LSP） 通过提供商核心进行传输的 VPN。

添加 VPN 服务不会影响提供商网络中的基本 MPLS 交换作。事实上，提供商 （P） 设备不需要基准 MPLS 配置，因为它们不支持 VPN。VPN 状态仅在 PE 设备上维护。这也是基于 MPLS 的 VPN 具有可扩展性的关键原因。

要求

此示例使用以下硬件和软件组件：

  • Junos OS 15.1 或更高版本

    • 在 Junos OS 20.1R1 版上重新验证

  • 两个提供商边缘 （PE） 设备

  • 一个提供商 （P） 设备

  • 两台客户边缘 （客户边缘） 设备

此示例重点介绍如何将第 2 层 VPN 添加到预先存在的 MPLS 基准。如果您的网络尚未部署 MPLS，将提供基本 MPLS 配置。

要支持基于 MPLS 的 VPN，底层 MPLS 基准必须提供以下功能：

  • 面向核心和环路接口，支持 MPLS 系列

  • 一种内部网关协议，例如 OSPF 或 IS-IS，用于在提供商（P 和 PE）设备的环路地址之间提供可达性

  • 一种 MPLS 信令协议，例如 LDP 或 RSVP，用于向 LSP 发出信号

  • 在 PE 设备环路地址之间建立的 LSP

在加入给定 VPN 的每对 PE 设备之间都需要 LSP。最好在所有 PE 设备之间构建 LSP，以适应未来的 VPN 增长。您在层次结构级别配置 [edit protocols mpls] LSP。与电路交叉连接 （CCC） 的 MPLS 配置不同，您无需手动将 LSP 与 PE 设备的面向客户（边缘）接口相关联。相反，第 2 层 VPN 使用 BGP 信令来传达第 2 层站点可达性。此 BGP 信令可自动将远程第 2 层 VPN 站点映射到 LSP 转发下一跃点。这意味着，使用 L2 VPN 时，不需要将 LSP 显式映射到 PE 设备面向边缘的接口。

有关 CCC 的详细信息，请参阅 使用第 2 层电路配置基于 MPLS 的 VLAN CCC。

概述和拓扑

第 2 层 VPN 可以在提供商网络和客户网络之间实现完全隔离。第 2 层 VPN 的优势包括支持非标准传输协议，以及隔离客户和提供商网络之间的链路寻址和路由协议作。

VPN 的定义仅涉及对本地和远程 PE 设备的更改。提供商设备不需要进行其他配置（除了基准 MPLS 支持），因为这些设备仅提供基本的 MPLS 交换功能。客户边缘设备不使用 MPLS。它们只需要一个基本接口，并根据需要进行协议配置，即可通过第 2 层 VPN 运行。对于第 2 层 VPN，您可以将客户边缘设备作为连接到共享链路一样进行配置。

建立 MPLS 基准后，您必须在 PE 设备上配置以下功能，以建立基于 MPLS 的第 2 层 VPN：

  • 一个 BGP 组 family l2vpn signaling

  • 实例类型为 l2vpn

  • PE 设备上面向客户的接口必须按如下方式配置：

    • 指定或vlan-ccc物理ethernet-ccc层封装，具体取决于是否使用 VLAN 标记。

    • 在路由实例配置中配置匹配的封装类型。

    • 使用 family ccc配置用于第 2 层 VPN 的逻辑接口（单元）。

图 1 提供了此基于 MPLS 的第 2 层 VPN 示例的拓扑结构。该图详细介绍了提供商网络中使用的接口名称、IP 寻址和协议。报告还强调了客户边缘设备寻址和协议堆栈作的端到端性质。与第 3 层 VPN 不同，客户边缘设备作对第 2 层 VPN 中的提供商网络不透明。客户边缘设备与提供商网络之间没有对等关系。因此，您希望客户边缘设备跨提供商网络（而不是提供商网络）形成 OSPF 邻接。

图 1：基于 MPLS 的第 2 层 VPN An MPLS-Based Layer 2 VPN

快速配置

使用本部分中的配置快速启动并运行基于 MPLS 的第 2 层 VPN。这些配置包括一个有效的 MPLS 基准，可支持您的第 2 层 VPN。此示例重点介绍配置的 VPN 方面。有关此示例中使用的基准 MPLS 功能的更多信息，请参阅以下链接：

CLI 快速配置

注意：

设备配置省略了管理接口、静态路由、系统日志记录、系统服务和用户登录信息。配置的这些部分因位置而异，并且与 MPLS 或 VPN 功能没有直接关系。

根据环境的具体情况编辑以下命令，并将其粘贴到本地客户边缘 （CE1） 设备终端窗口中：

CE1 设备的完整配置。

根据环境细节编辑以下命令，并将其粘贴到本地 PE （PE1） 设备终端窗口中：

PE1 设备的完整配置。

P 设备的完整配置。

PE2 设备的完整配置。

CE2 设备的完整配置。

在对工作感到满意时，请务必提交所有设备上的配置更改。恭喜您拥有全新的基于 MPLS 的第 2 层 VPN！请参阅 验证 部分，了解确认您的 VPN 是否按预期工作所需的步骤。

为基于 MPLS 的第 2 层 VPN 配置本地 PE （PE1） 设备

本节介绍为此示例配置 PE1 设备所需的步骤。有关此示例中使用的客户边缘设备和 P 设备配置，请参阅 示例：配置基于 MPLS 的第 2 层 VPN 部分。

配置 MPLS 基准（如果需要）

配置第 2 层 VPN 之前，请确保 PE 设备具有有效的 MPLS 基准。如果您已经有了 MPLS 基准，则可以跳到将第 2 层 VPN 添加到本地 PE 设备的分步过程。

  • 配置主机名。

  • 配置接口。

    注意：

    第 2 层 VPN 不支持提供商网络中的分段。提供商网络必须支持 PE 设备添加MPLS和虚拟路由和转发 （VRF） 标签 后 客户边缘设备可生成的最大帧，这一点至关重要。此示例将客户边缘设备保留为默认的 1500 字节最大传输单元 （MTU），同时将提供商核心配置为支持 4000 字节 MTU。此配置可确保客户边缘设备不会超过提供商网络中的 MTU，从而避免丢弃。

  • 配置协议。

    注意：

    RSVP 信号 LSP 支持流量工程，但基本 MPLS 交换或 VPN 部署不需要流量工程。提供的 MPLS 基准使用 RSVP 向 LSP 发出信号，并支持 OSPF 的流量工程。但是，未配置任何路径约束，因此您希望 LSP 通过内部网关协议的最短路径进行路由。

  • 将 LSP 定义到远程 PE 设备的环路地址。

过程

分步程序

请按照以下步骤为第 2 层 VPN 配置 PE1 设备。

  1. 配置面向边缘的接口。在单元 0 上指定物理 ethernet-ccc 封装类型 with family ccc 。这是未标记以太网接口的唯一有效单元号。如果使用 VLAN 标记，请指定 vlan-ccc 封装并将 CCC 系列添加到所需单元。

    提示：

    您可以在同一 PE 设备上配置基于 MPLS 的第 2 层 VPN 和基于 MPLS 的第 3 层 VPN。但是，您不能将同一个面向边缘的客户接口配置为同时支持第 2 层 VPN 和第 3 层 VPN。
    注意：

    第 2 层 VPN 要求 PE 设备的面向边缘的接口在物理设备级别配置 CCC 封装，并在单元级别配置 CCC 系列。无论您是部署 CCC、基于 MPLS 的第 2 层 VPN 还是基于 MPLS 的第 3 层 VPN，提供商设备的配置方式都相同。这是因为它们没有面向边缘的接口或 VPN 感知功能。

  2. 为本地和远程 PE 设备之间的对等关系配置 BGP 组。使用 PE 设备的环路地址作为本地地址并启用 family l2vpn signaling。

  3. 将 BGP 组类型配置为内部。

  4. 将远程 PE 设备的环路地址配置为 BGP 邻接方。

  5. 配置 BGP 自治系统编号。

  6. 配置路由实例。首先指定实例名称 l2vpn1，并带有 instance-type 的 l2vpn。

  7. 将 PE 设备的面向客户的接口配置为属于路由实例。

  8. 配置路由实例的路由识别符。此设置用于区分从特定 PE 设备上的特定 VRF 发送的路由。对于每个 PE 设备上的每个路由实例，它应该是唯一的。

  9. 配置实例的虚拟路由和转发 （VRF） 表路由目标。该 vrf-target 语句会将指定的社区标记添加到所有播发的路由，同时自动匹配相同的值以进行路由导入。为了实现正确的路由交换，需要在共享给定 VPN 的 PE 设备上配置匹配的路由目标。

    注意：

    您可以使用导入和导出选项显式配置 VRF 导入和导出策略，从而创建更复杂的策略。有关详细信息，请参阅 vrf-import 和 vrf-export 。

  10. 在实例中配置 l2vpn 协议并指定在面向边缘的链路上使用的封装。如果 Edge 接口已标记 VLAN，请务必指定 ethernet-vlan。

  11. 在实例的 l2vpn 节下添加面向边缘的接口以及描述。

  12. 配置第 2 层 VPN 站点信息，并将面向边缘的接口与本地客户站点相关联。

    注意：

    在此示例中，PE1 设备的站点 ID 为 1，PE2 设备的站点 ID 为 2。对于本地 PE 设备 （PE1），远程站点已正确配置remote-site-id为值 2。

  13. 在 PE1 设备上提交更改并返回到 CLI作模式。

结果

显示 PE1 设备上的配置结果。输出仅反映此示例中添加的功能配置。

为基于 MPLS 的第 2 层 VPN 配置远程 PE （PE2） 设备

本节介绍为此示例配置 PE2 设备所需的步骤。有关此示例中使用的客户边缘设备和 P 设备配置，请参阅 示例：配置基于 MPLS 的第 2 层 VPN 部分。

配置 MPLS 基准（如果需要）

配置第 2 层 VPN 之前，请确保 PE 设备具有有效的 MPLS 基准。如果您已经有了 MPLS 基准，则可以跳到将第 2 层 VPN 添加到本地 PE 设备的分步过程。

  • 配置主机名。

  • 配置接口。

    注意：

    第 2 层 VPN 不支持提供商网络中的分段。提供商网络必须支持 PE 设备添加MPLS和虚拟路由和转发 （VRF） 标签 后 客户边缘设备可生成的最大帧，这一点至关重要。此示例将客户边缘设备保留为默认的 1500 字节最大传输单元 （MTU），同时将提供商核心配置为支持 4000 字节 MTU。此配置可确保客户边缘设备不会超过提供商网络中的 MTU，从而避免丢弃。

  • 配置协议。

    注意：

    RSVP 信号 LSP 支持流量工程，但基本 MPLS 交换或 VPN 部署不需要流量工程。提供的 MPLS 基准使用 RSVP 向 LSP 发出信号，并支持 OSPF 的流量工程。但是，未配置任何路径约束，因此您希望 LSP 通过内部网关协议的最短路径进行路由。

  • 将 LSP 定义到远程 PE 设备的环路地址。

过程

分步程序

请按照以下步骤为第 2 层 VPN 配置 PE2 设备。

  1. 配置面向边缘的接口封装和家族。回想一下，这是一个未标记的接口，因此只有单元 0 对 ccc 家族有效。

  2. 配置 BGP 组。将 PE 设备的环路地址指定为本地地址并启用 family l2vpn signaling。

  3. 将 BGP 组类型配置为内部。

  4. 将 PE1 设备配置为 BGP 邻接方。请务必将 PE1 的环路地址指定为 BGP 邻接方。

  5. 配置 BGP 自治系统编号。

  6. 配置路由实例。首先使用 of l2vpn指定实例名称。l2vpn1 instance-type

  7. 将 PE 设备的面向客户边缘的接口配置为属于路由实例。

  8. 配置实例的路由识别符。

  9. 配置实例的 VPN 虚拟路由和转发 （VRF） 表路由目标。分配的目标必须与在 PE1 设备上配置的目标匹配。

  10. 为协议配置 l2vpn 实例并指定在面向边缘的链路上使用的封装。

  11. 在实例的 l2vpn 层次结构下添加 PE 设备的面向边缘的接口以及说明。

  12. 配置实例的第 2 层 VPN 站点信息，并在本地站点下列出 PE 设备的面向边缘的接口。PE2 设备上配置的本地站点 ID 必须与您在 PE1 设备上配置的远程站点 ID 匹配，反之亦然。

    注意：

    在此示例中，PE2 设备的站点 ID 为 2，PE1 设备的站点 ID 为 1。对于 PE2 设备，远程站点已正确配置remote-site-id为值 1。

  13. 在 PE2 设备上提交更改并返回到 CLI作模式。

结果

显示 PE2 设备上的配置结果。

验证

执行以下任务以验证基于 MPLS 的第 2 层 VPN 是否正常工作：

验证提供商 OSPF 邻接和路由交换

目的

通过验证邻接状态和 OSPF 获知到远程提供商设备环路地址的路由，确认 OSPF 协议在提供商网络中正常工作。正确的 IGP作对于成功建立 MPLS LSP 至关重要。

行动

意义

输出显示 PE1 设备已建立与 P 设备 （192.168.0.2） 的 OSPF 邻接关系。它还显示，P 和远程 PE 设备环路地址 （192.168.0.2） 和 （192.168.0.3） 是通过本地 PE 设备上的 OSPF 获知的。

验证 MPLS 和 RSVP 接口设置

目的

验证是否配置了 RSVP 和 MPLS 协议，以便在 PE 设备面向内核的接口上运行。此步骤还会验证是否 family mpls 在面向核心的接口的单元级别上配置是否正确。

行动

意义

输出显示，在本地 PE 设备的面向核心和环路接口上正确配置了 MPLS 和 RSVP。

验证 RSVP 信号 LSP

目的

验证 PE 设备之间是否已正确建立 RSVP 会话（入口和出口）。

行动

意义

输出显示，入口和出口 RSVP 会话均已在 PE 设备之间正确建立。成功建立 LSP 表示 MPLS 基准可运行。

验证 BGP 会话状态

目的

验证是否在支持 2 层 VPN 网络层可达性信息 （NLRI） 的情况下正确建立 PE 设备之间的 BGP 会话。

行动

意义

输出显示与远程 PE 设备 （192.168.0.3） 的 BGP 会话已正确建立 （Establ），并通过该 Up/Dwn 字段显示会话处于当前状态的时间 （1:34）。它还显示发送到 （5） 和从远程 PE 设备 （6） 接收的 BGP 数据包数。该 flaps 字段确认未发生状态转换 （），0表示会话是稳定的。另请注意，第 2 层 VPN NLRI 可在 PE 设备之间正确交换。此输出确认 PE 设备之间的 BGP 对等已准备好支持第 2 层 VPN。

验证路由表中的第 2 层 VPN 路由

目的

验证 PE1 设备上的路由表是否填充了用于在客户边缘设备之间转发流量的第 2 层 VPN 路由。

行动

意义

该命令 show route table bgp.l2vpn.0 显示 PE 设备上已接收的所有第 2 层 VPN 路由。该命令 show route table l2vpn1.l2vpn.0 显示由于路由目标匹配而导入到路由实例中的 l2vpn1 第 2 层 VPN 路由。该 l2vpn1.l2vpn.0 表包含本地 PE 设备的第 2 层 VPN 路由，以及通过远程 PE 设备的 BGP 对等互连获知的远程路由。两个表都显示，远程第 2 层 VPN 路由作为转发下一跃点与 LSP 正确 lsp_to_pe2 关联。输出确认本地 PE 设备已从 PE2 设备获知了远程客户站点。它还表明，它可以通过提供商网络使用 MPLS 传输将第 2 层 VPN 流量转发到 PE2 设备。

验证第 2 层 VPN 连接状态

目的

验证第 2 层 VPN 连接的状态。

行动

意义

St输出中的字段显示与 的2connection-site第 2 层 VPN 连接Remote PE192.168.0.3为 Up。输出还确认 PE 设备的面向边缘的接口名称ge-0/0/0.0和作状态为 up。还要验证是否在 PE 设备面向客户的接口上配置了以太网封装。这是此示例中使用的未标记以太网接口的正确封装。到目前为止执行的验证步骤表明，第 2 层 VPN 的控制平面可以正常运行。在以下步骤中验证第 2 层 VPN 的数据平面。

使用第 2 层 VPN 连接对远程 PE 设备 Ping

目的

验证本地和远程 PE 设备之间的第 2 层 VPN 连接。显示了命令的 ping mpls l2vpn 两种形式。两者都测试 PE 设备之间的第 2 层 VPN 路由和 MPLS 转发。第一个命令假定一个远程站点，而第二个命令指定本地和远程站点标识符，这在测试多站点第 2 层 VPN 时非常有用。这是因为远程站点 ID 可用于面向所需的远程 PE 设备。

注意：

该 ping mpls l2vpn 命令可验证 PE 设备之间的第 2 层 VPN 路由交换和 MPLS 转发。方法是生成从本地 PE 的第 2 层 VPN 路由实例到远程 PE 设备的 127.0.0.1 环路地址的流量。此命令不会验证客户边缘设备接口的作或其配置。这是因为客户边缘设备作对第 2 层 VPN 中的提供商网络不透明。

行动

意义

输出确认第 2 层 VPN 转发平面在 PE 设备之间工作正常。

验证客户边缘设备通过第 2 层 VPN 的端到端作

目的

验证客户边缘设备之间的第 2 层 VPN 连接。此步骤将确认客户边缘设备具有作接口，并已正确配置用于第 2 层连接。方法是验证客户边缘设备是否已建立 OSPF 邻接关系，并且能够在其环路地址之间端到端传递流量。

行动

意义

输出显示，第 2 层 VPN 连接在客户边缘设备之间工作正常。它确认本地客户边缘设备已通过提供商核心与远程客户边缘设备 172.16.1.2建立了 OSPF 邻接关系，并且本地客户边缘设备已通过 OSPF 获知到远程客户边缘设备环路地址 172.16.255.2 的路由。输出还显示，客户边缘设备能够传递 1500 字节的 IP 数据包，而不会引起本地分段。成功的 ping 还会验证帧是否超过提供商网络支持的 MTU。

注意：

size添加到命令的ping参数生成 1472 字节的回显数据。额外添加了 8 个字节的互联网控制消息协议 （ICMP） 和 20 个字节的 IP 报头，使数据包总大小达到 1500 字节。添加交换机可do-not-fragment确保客户边缘设备无法基于其本地 MTU 执行分段。此方法可确认在客户边缘设备之间发送标准长度的以太网帧时，不可能或不需要分段。

相关文档