MPLS VPN在企业通信网络中的应用

随着公司的不断发展，DCN网上承载的业务系统不断增多，如网管集中监控系统、电源监控系统、客服系统、OA等，有些应用系统对安全性要求较高比如OA和财务，有些系统对带宽和网络质量(QoS)要求较高。现有的网络不能满足“分而治之”的企业运作管理需要。由于信息系统集中整合的需要，实施此次MPLS升级改造。

通过本次改造工程的实施，优化网络结构，提高网络的安全性、可靠性及整个DCN网的服务质量。由一张实体物理网实现虚拟多业务网，采用MPLS VPN隔离各类业务系统，骨干以现有DCN骨干网为基础构建，接入网采用灵活的方式到终端，满足企业内部应用的承载和安全需求。最终，DCN网络中的终端与主机须划入至各自所属的MPLS VPN域中，实现各个VPN域之间的通信隔离，同时在各个VPN间建立数据通道，部署防火墙对经过数据通道的流量进行访问控制，实现对不同VPN域的通信数据的有效安全控制。

MPLS VPN技术简介

MPLS VPN是由若干不同的site组成的集合，一个site可以属于不同的VPN，属于同一VPN的site具有IP连通性，不同VPN间可以有控制地实现互访与隔离。

骨干迁移的三个关键问题

1)在IP环境下，各域间路由的互通问题。实现方法是先将组成DCN的各个IP网络单元以地市为单位逐个改造为MPLS VPN 网络单元，然后逐个与省公司建立MP BGP邻居实现全网MPLS VPN化。

2)受控互访的实现，即做到市公司在同一VPN区域内部互相之间不可见;市公司在同一VPN区域内部可以访问省公司;市公司访问处于不同VPN区域的省公司业务。方案设计中采用HUB-SPOKE方式和对PE.CE层面实施控制来实现。

3)DCN网络建设前期并未考虑各个应用系统的MPLS VPN划分，因此大多系统混杂在一起，或者接在同一台设备，或者干脆就在同一个网段中，同时还存在生产与管理地址段混用的问题。具体系统混接的问题可以分为三类，地址混用、设备支持能力不足以及第二地址问题。

DCN网络改造升级的设计

DCN网络改造解决方案是融合MPLS、VPN和QOS技术的统一解决方案。方案采用MPLS作为承载数据传输的新协议，使用EIGRP作为主干IGP协议，MPLS VPN路由使用MP-IBGP以及路由反射器进行域内传送，省公司采用背对背VRF方式与集团对接。

MPLS需要建立在IGP路由的基础上，IGP协议对MPLS的主要作用就是保证MPLS邻居之间的可达性和MBGP邻居之间的可达性，省骨干网使用的EIGRP协议，地市网络根据自己网络环境使用EIGRP或OSPF协议。所有协议在省网和市网之间重分发。整个网络IGP协议互通。根据整体方案，各PE-CE路由协议保持原OSPF动态路由协议，在PE设备将OSPF路由重分发至MP-BGP.

MPLS VPN对DCN网络的重要意义

由于应用系统整合方向是集团公司集中和省公司集中。集团、省集中应用系统通过DCN网络进行信息交互，而应用系统整合除功能整合外，其物理整合和集中的形势则表现为集中的企业数据中心，MPLS升级的重要意义体现在：

1)全网络覆盖：应用系统整合后，系统集中统一部署服务器，满足地市、县客户端远程访问省级应用系统服务器，集团公司级应用系统和省级应用系统之间有信息交互的应用需求。

2)系统受控安全互访需求：企业运作需要，不同应用系统间又有互访的要求。例如：营帐综合客户端，处于办公网，兼顾办公和营帐工作，需访问营帐系统;网管综合客户端，兼顾网管工作和办公管理、资源管理、工单、故障单工作，经常在两网间切换;因此需要DCN网络进行安全隔离的同时，支持系统间受控互访，通过用户身份识别、访问授权、隧道加密、安全策略部署等技术保证被访系统的安全。

3)可用性要求：随着信息化建设的深入，系统功能将逐步得到完善，传送的信息内容将日趋丰富，VPN颗粒将趋向细化，VPN拓扑将日益复杂，对现有企业网络的交换容量、处理能力、链路连接能力以及VPN支持能力是网络规划建设中必需着重考虑的问题。

4)可靠性要求：DCN网络承载着企业运作所需的重要应用和数据，在整个信息化系统中起到中枢神经的作用，网络故障将影响企业正常运作。信息系统整合将导致地域性和功能性集中化程度的提高，从而增加了对DCN网络的依赖。必需充分考虑网络高可靠性，避免网络设备和链路的单点故障，保证关键应用系统的访问和接入，保证作为应用系统核心的企业数据中心的高效可靠的连接。

5)服务质量要求：DCN网络是在同一物理网络上承载多个相对独立的业务系统，各业务系统为不同的职能部门开展业务提供服务，其数据流程和管理方式都存在差异，不同业务系统，需要网络平台提供差别服务，如对带宽、实时性有不同的要求，网络必须具备带宽管理、资源预留、服务等级设置的能力。

在保证DCN网络安全运行的前提下，有步骤、分阶段实施MPLS改造，并按照规划设计应用RT策略实现各系统互访受控与隔离。目前，改造后的DCN网络运行状况良好。

在实现MPLS VPN后，受控互访则变得相对轻松，仅仅需要在各个MPLS VPN路由环境之间的数据通道上部署防火墙即可对各VPN间也就是各应用系统间的访问进行控制。随着受控互访的实现，全覆盖、可用、可靠、优化传输以及可管理等周边需求的实现也变得比较容易。一张实体物理网、虚拟多业务网，采用MPLS VPN隔离各类业务系统，骨干以现有DCN骨干网为基础构建，接入网采用灵活的方式到终端。独立统一的一张实体物理网，满足企业内部应用的承载需求。虚拟多业务网，统一的业务隔离、受控互访机制和统一的VPN业务接入机制。

MPLS VPN网络改造的实现，极大的提高的DCN网络的安全性，为前台营业、办公OA.运维网络监控等各项不同的业务网络应用提供可靠地保证。