中心辐射型 VPN

配置 Hub CE1

按如下方式配置集线器 CE1：

配置集线器 PE1

按如下方式配置集线器 PE1：

配置 P 路由器

按以下步骤配置 P 路由器：

配置分支 PE2

按如下方式配置分支 PE2：

配置分支 PE3

按如下方式配置分支 PE3：

配置分支 CE2

按如下方式配置分支 CE2：

配置分支 CE3

按如下方式配置分支 CE3：

在此配置示例中，分支 CE2 和中枢 CE1 之间的流量转发如下所示：

1. 分支 CE2 使用从分支 PE2 到 BGP 获知的默认路由转发流量。

2. 分支 PE2 在分支 VRF 表中执行路由查找，并使用通过 BGP 获知的默认路由将流量转发至中枢 PE1（通过 P 路由器 — PE2 推送两个标签）。

3. Hub PE1 会在 mpls.0 表中查找 VPN 标签 100336的路由。

4. 集线器 PE1 将流量从接口 t3-0/0/0.0 转发到集线器 CE1。

在此配置示例中，中枢 CE1 和分支 CE2 之间的流量转发如下：

1. 中枢 CE1 使用通过 BGP 获知的路由将流量转发至中枢 PE1。

2. 集线器 PE1 在集线器 VRF 表中查找路由，并将流量转发至分支 PE2（通过 P 路由器 — PE1 推送两个标签）。

3. 分支 PE2 在 mpls.0 表中查找 VPN 标签 100352的路由。

4. 分支 PE2 将流量从接口 t1-0/1/2.0 转发到分支 CE2。

在此配置示例中，分支 CE2 和分支 CE3 之间的流量转发如下：

1. 分支 CE2 使用从分支 PE2 到 BGP 获知的默认路由转发流量。

2. 分支 PE2 在分支 VRF 表中查找路由，并使用通过 BGP 获知的默认路由将流量转发到中枢 PE1（通过 P 路由器 — PE2 推送两个标签）。

3. Hub PE1 会在 mpls.0 表中查找 VPN 标签 100336的路由。

4. 中枢 PE1 将流量从接口 t3-0/0/0.0 转发到中枢 CE1。

5. 集线器 CE1 使用通过 BGP 获知的路由器将流量转发至集线器 PE1。

6. 中心 PE1 在中心 VRF 表中查找路由，并将流量转发到分支 PE3（通过 P 路由器 — PE1 推送两个标签）。

7. 分支 PE3 会在 mpls.0 表中查找 VPN 标签 100128的路由。

8. 分支 PE3 将流量从接口 t3-0/0/0.0 转发到分支 CE3。

如果中枢 PE 上需要需要在中枢 VRF 路由表上进行 IP 转发查找的出口功能，请参阅在中枢 PE 路由器上启用出口功能。

在集线器 PE 路由器上启用出口功能

此示例与 配置中心辐射型 VPN 拓扑：一个接口一起提供。此示例还使用了 图 1 所示的拓扑。

如果中心 PE 上需要出口功能，且需要在中心 VRF 路由表上进行 IP 转发查找，则配置 中心辐射型 VPN 拓扑： 一个接口 将无法正常工作中详述的配置。对中心路由实例应用 vrf-table-label 语句会强制将来自远程分支 PE 的流量转发到中心 PE，并强制执行 IP 查找。由于特定分支路由位于中心 VRF 表中，因此流量将转发至分支 PE，而无需通过中心 CE。

中枢 PE 使用 VPN 标签 1028 按如下方式播发默认路由：

传入流量使用 VPN 标签 1028 进行转发。mpls.0 表显示需要在表 hub.inet.0 中进行 IP 查找：

但是，中心 VRF 表 hub.inet.0 包含特定的分支路由：

因此，流量会直接转发到分支 PE，而无需通过中枢 CE。为防止出现这种情况，您必须为中枢 PE1 中的下游流量配置辅助路由实例。

在中心辐射型 PE 路由器上启用 IGP

要允许中心辐射型 PE 路由器交换路由信息，您必须在所有这些路由器上配置 IGP，或者必须配置静态路由。您可以在路由协议进程 （rpd） 的主实例上（即在 [edit protocols] 层次结构级别上）上配置 IGP，而不在路由实例内（即，不在 [edit routing-instances] 层次结构级别上）。

以标准方式配置 IGP。此配置示例不包括此部分配置。

在中心辐射型拓扑的路由分布中，如果中枢站点的 CE 和 PE 路由器之间使用的协议是 BGP，则中心 CE 路由器会通告从中枢 PE 路由器和分支路由器接收到的中心 PE 路由器和所有分支路由器的所有路由。这意味着中心辐射型 PE 路由器接收的路由包含其 AS 编号。通常，当路由包含此信息时，表示发生了路由环路，路由器拒绝了路由。但是，要使 VPN 配置正常工作，中心 PE 路由器和分支路由器必须接受这些路由。要启用此功能，请在中心 PE 路由器和所有分支路由器上的[edit routing-options]层次结构级别配置 AS 时包含该loops选项。对于此示例配置，您指定值 1。您可以指定一个从 0 到 10 的数字。

在中心辐射型 PE 路由器上配置 LDP

在参与 VPN 的中心辐射型 PE 路由器之间的接口上配置 LDP。

在集线器 PE 路由器 D 上，配置 LDP：

在分支 PE 路由器 E 上，配置 LDP：

在辐射型 PE 路由器路由器 F 上，配置 LDP：

在 PE 路由器上配置 IBGP

在中心辐射型 PE 路由器上，使用以下属性配置 IBGP 会话：

• VPN 家族 - 要指示 IBGP 会话用于 VPN，请添加 family inet-vpn 语句。

• 环路地址 — 包括local-address语句，用于指定本地 PE 路由器的环路地址。VPN 的 IBGP 会话通过环路地址运行。您还必须在[edit interfaces]层次结构级别配置lo0接口。该示例不包括路由器配置的这一部分。

• 邻居地址 - 包括 neighbor 语句。在中心路由器上，指定每个分支 PE 路由器的 IP 地址，在分支路由器上，指定中心 PE 路由器的地址。

对于中心路由器，您针对每个分支路由器配置一个 IBGP 会话，对于每个分支路由器，您需要配置一个与中枢的 IBGP 会话。两个分支路由器之间没有 IBGP 会话。

在集线器路由器 D 上，配置 IBGP。第一条 neighbor 语句将 IBGP 会话配置到分支路由器 E，第二条语句将会话配置到分支路由器 F。

在分支路由器 E 上，配置到中枢路由器的 IBGP 会话：

在分支路由器 F 上，配置到中枢路由器的 IBGP 会话：

在中心辐射型 PE 路由器上配置 VPN 路由实例

要使中心 PE 路由器能够区分进出分支 PE 路由器的数据包，必须为其配置两个路由实例：

• 一个路由实例（在本例中为 Spokes-to-Hub-CE）与将数据包从中枢 PE 路由器传送到中枢 CE 路由器（此例中为 接口 ge-0/0/0.0）的接口相关联。其 VRF 表包含由分支 PE 路由器和中心 PE 路由器通告到中枢 CE 路由器的路由。

• 第二个路由实例（在本例中为 Hub-CE-to-Spokes）与将数据包从中枢 CE 路由器传送到中枢 PE 路由器（此例中为 接口 ge-0/0/1.0）的接口相关联。其 VRF 表包含从中枢 CE 路由器到中心辐射型 PE 路由器的通告路由。

在每个分支路由器上，必须配置一个路由实例。

您必须在路由实例中定义以下内容：

• 路由识别符，用于区分一个 VPN 中的地址和另一个 VPN 中的地址。

• 的实例类型 vrf，用于在 PE 路由器上创建 VRF 表。

• 属于 VPN 的接口，用于将 PE 路由器连接到其 CE 路由器。

• VRF 导入和导出策略。两个导入策略都必须包含对社区的引用。否则，当您尝试提交配置时，提交将失败。（例外情况是导入策略仅包含语 then reject 句。在 VRF 导出策略中，分支 PE 路由器附加分支目标社区。

• PE 和 CE 路由器之间的路由，这是 PE 路由器将 VPN 相关路由分发到连接的 CE 路由器和从连接的 CE 路由器分发 VPN 相关路由所必需的。您可以配置路由协议（BGP、OSPF 或 RIP），也可以配置静态路由。

对于中心辐射型拓扑，您必须在中心 CE 路由器上的每个路由实例中配置不同的策略。对于与将数据包从中枢 PE 路由器传输到中枢 CE 路由器的接口相关联的路由实例（在本例中为 Spokes-to-Hub-CE），导入策略必须接受在中心辐射型 PE 路由器之间的 IBGP 会话中接收的所有路由，并且导出策略必须拒绝从中枢 CE 路由器接收的所有路由。对于与将数据包从中枢 CE 路由器传输到中枢 PE 路由器的接口相关联的路由实例（在本例中为 Hub-CE-to-Spokes），导入策略必须拒绝从分支 PE 路由器接收的所有路由，并且导出策略必须导出到所有分支路由器。

在集线器 PE 路由器 D 上，配置以下路由实例。路由器 D 使用 OSPF 分配与中枢 CE 路由器之间的路由。

在分支 PE 路由器 E 上，配置以下路由实例。路由器 E 使用 OSPF 分配进出分支 CE 路由器 CE1 的路由。

在分支 PE 路由器 F 上，配置以下路由实例。路由器 F 使用 OSPF 分配与分支 CE 路由器 CE2 之间的路由。

在 PE 路由器上配置 VPN 策略

您必须在每台中心辐射型 PE 路由器上配置 VPN 导入和导出策略，以便它们在 VRF 表中安装相应的路由，用于在每个 VPN 中转发数据包。

在分支路由器上，您可以定义策略以与中枢路由器交换路由。

在中枢路由器上，您可以定义策略以接受来自分支 PE 路由器的路由并将其分发到中枢 CE 路由器，反之亦然。中心 PE 路由器有两个 VRF 表：

• 辐条到中心 VRF 表 — 处理从分支路由器接收的路由，并将这些路由通告到中心 CE 路由器。对于此 VRF 表，导入策略必须检查分支目标名称是否存在，以及路由是否是从中心 PE 和分支 PE 路由器之间的 IBGP 会话接收的。此 VRF 表不得导出任何路由，因此其导出策略应拒绝所有内容。

• 中心到分支 VRF 表 — 处理从中心 CE 路由器接收的路由，并将其通告给分支路由器。对于此 VRF 表，导出策略必须添加中心目标社区。此 VRF 表不得导入任何路由，因此其导入策略应拒绝所有内容。

在 VPN 策略中，您还可以配置 VPN 目标社区。

在集线器 PE 路由器 D 上，配置以下策略以应用于 VRF 表：

• spoke- 接受从 IBGP 会话与包含社区目标spoke的分支 PE 路由器之间的路由，并拒绝所有其他路由。

• hub- 将社区目标中枢添加到从 OSPF 接收的所有路由（即，从 OSPF 与中枢 CE 路由器之间的会话）。它拒绝所有其他路由。

• null- 拒绝所有路由。

• redistribute-vpn- 将 OSPF 路由重新分配给路由实例中的邻接方。

要在路由器 D 上应用 VRF 策略，请在配置路由实例时加入 vrf-export 和 vrf-import 语句：

在分支 PE 路由器 E 和路由器 F 上，配置以下策略以应用于 VRF 表：

• hub—接受从IBGP会话与包含社区目标hub的中枢PE路由器之间的路由接收的路由，并拒绝所有其他路由。

• spoke- 将社区目标分支添加到从 OSPF 接收的所有路由（即，从 OSPF 与中枢 CE 路由器之间的会话接收的路由）拒绝所有其他路由。

• redistribute-vpn- 将 OSPF 路由重新分配给路由实例中的邻接方。

在分支 PE 路由器 E 和路由器 F 上，配置以下 VPN 导入和导出策略：

要在分支路由器上应用 VRF 策略，请在配置路由实例时包括 vrf-export 和 vrf-import 语句：

按路由器汇总的中心辐射型 VPN 配置

• 路由器 D（集线器 PE 路由器）
• 路由器 E（辐射型 PE 路由器）
• 路由器 F（辐射型 PE 路由器）