MPLS（三层VPN，Layer 3 VPN）是一种通过MPLS（多协议标签交换）网络实现基于IP路由的虚拟专用网络技术。它结合了MPLS的高效转发和VPN的隔离特性，广泛应用于企业组网和服务提供商网络中。
一、原理
基础架构：
PE（Provider Edge）设备：服务提供商网络边缘设备，负责与客户网络交互。
CE（Customer Edge）设备：客户网络边缘设备，与服务提供商的PE设备对接。
P（Provider）设备：核心MPLS网络中的路由器，不与客户直接交互，仅负责标签交换。
数据隔离：MPLS三层VPN利用**VRF（Virtual Routing and Forwarding）**技术为每个客户分配独立的路由表，确保客户之间的数据隔离。PE设备根据VRF选择合适的路由表进行转发。
标签分发和路由协议：
在PE与PE之间，使用MPLS标签交换数据。
服务提供商内部使用**MP-BGP（Multiprotocol BGP）**分发VPN路由信息，包括客户的路由和相关VPN标签。
数据转发流程：
CE发送数据包到PE。
PE根据入接口的VRF查找路由表，选择出口。
PE在数据包上打两层标签（内层VPN标签标识目的VRF，外层MPLS标签用于在服务提供商网络中转发）。
中间P路由器根据外层标签转发数据。
目的PE解析标签，选择对应VRF路由表，将数据转发到CE。
二、应用场景
企业多分支互联：
跨地域企业需要安全、稳定地连接多个分支机构。
MPLS三层VPN支持通过服务提供商的骨干网络实现高效互联，无需企业自建网络。
云计算和数据中心连接：
企业需要与云服务提供商或多个数据中心实现安全互联。
MPLS三层VPN提供隔离和高效的通信机制，保证数据传输的安全性。
服务提供商托管VPN服务：
服务提供商为多个客户提供托管VPN服务，每个客户拥有独立的路由表和隔离的网络空间。
MPLS三层VPN支持动态扩展，适合大规模网络部署。
金融行业专用网络：
银行和证券公司需要高安全性、高可靠性的跨区域分支互联。
MPLS三层VPN结合QoS支持，为关键业务提供保障。
业务流量优化：
MPLS三层VPN与流量工程结合，可以实现流量优化和带宽管理。
企业通过MPLS可以保证不同应用流量的优先级。
政府和公共部门互联：
政府部门需要连接多个机构，MPLS三层VPN提供了灵活的网络隔离和高效的互联方式。
三、应用案例
1、需求分析
xx三级网主要用于连接区县一级的xx系统单位，并上联省xx二级网络，同时数据传输所需要的带宽较高，选用传统SDH 电路满足不了客户通信的要求。而增加接入线路带宽有多种方式:一种是MSTP方式接入，一种是采用多个 2M 捆绑，一种是利用 Intemnet 联网。前两种的链接可靠，但是费用高，只适合于大型分局接入;而 intemnet接入方式安全性不能达到要求。
根据网络标准化设计原则，结合a市xx局的实际网络需求，综合考虑网络的安全性、扩展性、经济性等因素，为本次网络建设提供了基于MPLS三层 VPN 的组网方案。
2、组网方案介绍
在同一个物理拓扑的基础上，MPLSVPN能够按照用户需求实现多种业务的隔离，并且管理和控制 VPN的业务，只是在数据上作相应的配置，物理设备和链路都不用作改动，这样为各种VPN 业务的管理和维护提供了很大的方便，所以 MPLS VPN 具有很好的业务扩展性。
承载网:利用覆盖市区的7台业务路由器7750SR，作为MPLS内的PE设备，所有的 VPN 数据在 PE 上作相应的配置，控制也是在 PE 上实现，这样每个接入节点的 CE 设备就通过就近的 PE 设备与骨干网和其他节点相连了。
网络分为两层，核心层和接入层:
核心层:市xx局 MSR50-40 作为核心节点设备:
接入层:由直属分局、公平交易局、www区分局、yyy分局、zzz区分局等节点构成，CE 设备采用华为AR2811。
所有的 PE 之间的 IGP 采用 OSPF 协议，各 PE 路由器只在内部互联端口运行 OSPF，骨干层的核心设备划分为骨干 Area 0。各 PE 之间同时还运行 BGP 协议，通过 MP-BGP 的扩展属性，实现 VPN 的标签的分发和传递。名 PE 与 CE之间通过静态路由协议交换路由信息。
3、方案特点
1)整个 MPLS VPN 专网，通过采用三层 MPLS VPN 技术实现整个xx三级网覆盖，业务有效隔离，确保业务私密性、稳定性;
2)各网点网络P地址规划由运营商与xx协商，统一分配:
3)核心路由器可以通过提供主备用冗余链路,防止一条 1000M 链路出现故障，从不同局向接入的另一条链路可以迅速切换为主用，确保业务不中断;
4)接入路由器、交换机具备可远程网管、支持 VLAN、端口限速等功能:5)光纤专线的稳定性和可靠性很高，可以充分保证传输质量:
四、MPLS 3层VPN优点与限制
优点
高效性：基于标签转发，避免复杂的路由查找。
安全性：不同客户的流量完全隔离。
灵活性：支持动态扩展和多种路由协议。
服务质量（QoS）：支持优先级流量管理。
限制
成本：相比传统VPN（如IPSec VPN），服务费用较高。
依赖服务提供商：网络部署需要服务提供商支持。
管理复杂性：对服务提供商的网络设计和运维能力有较高要求。
2025软考网络工程师培训来了，加入星球开始学习，只需要299
有疑问可以咨询微信
