RFC 2547-vpn

源CE路由器到入口PE路由器转发

在CE路由器收到从站点中一个系统发出的出局IPv4数据包时，CE路由器执行传统的最长匹配路由查找操作，把本机IPv4分组转发到与其直接相连的PE路由器上。

入口PE路由器转发

当PE路由器从CE路由器上收到一个IPv4数据包时，PE路由器根据分组的进入子接口，在站点的VRF中查找路由。分组的信宿地址要与IPv4前缀相符。如果在VRF中找到一个匹配，那么路由查找操作将返回一个下站及外发子接口。

如果分组的外发子接口关联的VRF与进入分组相同，那么下站要么是位于同一个站点上的另一台CE设备，要么是来自直接相连的不同站点、但隶属于同一个VPN的站点的CE。一台PE路由器中的一个VRF维护着从给定VPN上所有直接相连的站点收到的路由。

如果分组的外发子接口和进入子接口与两个不同的VRF相关，那么它们都是直接相连的站点，至少有一个共同的VPN，而且每个站点都有不同的转发表。为了转发分组，它可能需要在与外发接口相关的VRF中查找分组的信宿地址。

如果分组的外发子接口没有与一个VRF相关，那么分组必须流经供应商骨干上的至少一个站，才能到达远程PE路由器。如果分组必须跨越供应商的骨干，那么它有两个下站，即BGP下站和IGP下站。

? BGP下站是开始时广播VPN-IPv4路由的入口PE路由器。BGP下站通过MP-IBGP分配和

分发与路由一起使用的标记，然后它将使用这个标记确定广播路由的直接相连的站点。PE路由器把这个标记推送到分组的标记堆栈上，成为底部（或内部）标记。

? IGP下站是LSP中到BGP下站的第一站。IGP下站将为LSP分配一个标记(通过LDP或

RSVP)，这个LSP则指向BGP下站路由器。这个标记被推送到分组的标记堆栈上，成为顶部（或外部）标记。

在本例中，从CE上接收分组、并创建标记堆栈的PE路由器是入口LSR，BGP下站是服务供应商网络中LSP的入口LSR。如果BGP下站和IGP下站是相同的路由器，而且使用了倒数第二个站弹出功能，那么只能传输带有BGP提供的顶部（内部）标记的分组。

P路由器转发

MPLS骨干交换带标记的分组，在每一站转储顶部标记，直到它到达分组发送的PE路由器倒数第二台路由器。在倒数第二台路由器，顶部标记弹出，分组发送到目标PE路由器上。

PE路由器到信宿CE路由器转发

在PE路由器收到分组时，它会查找与底部标记相符的MPLS路由(标记、子接口)。如果存在匹配，那么底部标记弹出，本机IPv4分组直接发送到与标记相关的CE路由器上。注意，不必查询直接连接的站点使用的VRF。

实例#1：从站点1到站点4转发VPN Red流量

假设站点1的主机10.1.2.3希望把分组传输到站点4的服务器10.2.9.3 (图14)。

图14：从站点1到站点4转发VPN Red流量

在本机IPv4分组到达CE 1时，它在其IP转发表中执行最长匹配路由查表操作。在CE 1转发表中与分组的信宿地址最匹配的如下：

Destination Next-Hop Interface 10.2/16 PE 1 if_z

这一查表的结果是，CE 1把if_z上的本机IPv4分组转发到PE 1。

PE 1收到if_1上的本机IPv4分组。由于到达if_1的所有分组都与VRF Red相关，因此PE 1在VRF Red中执行最长匹配路由查找操作。VRF Red中与分组信宿地址最匹配的项目如下：

BGP Bottom Top

Destination Next-Hop Interface Label Label 10.2/16 PE 2 if_2 1004 11

由于分组的外发子接口(if_2)没有和本地VRF相关，因此分组必须流经供应商MPLS骨干上至少一站。PE 1为分组创建一个MPLS包头，然后把标记1004 (在开始把路由广播到10.2/16时由PE 2分配)推送到分组的标记堆栈上，使其成为底部标记。然后PE 1把从PE 1到PE 2的LSP使用的第一个标记(11)推送到分组的标记堆栈上，使其成为顶部标记。

然后分组转发到从PE 1到PE 2的LSP中第一台转接路由器上。MPLS骨干沿着LSP交换带标记的分组，在每一站转储顶部标记，直到其到达PE 2的倒数第二台路由器。在倒数第二台路由器上，顶部标记弹出，带有单个标记(1004)的分组发送到PE 2。

当PE 2在if_1上收到带标记的分组时，它在MPLS转发表中执行精确匹配查表操作。与分组的标记匹配的MPLS转发表项目如下： Input Output Interface Label Action Interface

if_1 1004 Pop if_2

这一查表的结果是，PE 2弹出标记，通过if_2把本机IPv4分组转发到CE 4。

在本机IPv4分组到达CE 4时，它在IP转发表中执行最长匹配路由查表操作。CE 4中与分组的信宿地址最匹配的项目如下：

Destination Next-Hop Interface 10.2/16 Direct if_x

这一查表的结果是，CE 4通过if_x把分组转发到站点4的服务器10.2.9.3上。

实例#2：把VPN Red流量从站点4转发到站点1

假设站点4的服务器10.2.9.3希望把响应分组转发到站点1的主机10.1.2.3 (图15)。

图15：把VPN Red流量从站点4转发到站点1

在本机IPv4分组到达CE 4时，它在IP转发表中执行最长匹配路由查表操作。CE 4中与分组的信宿地址最匹配的项目如下：

Destination Next-Hop Interface 10.1/16 PE 2 if_z

这一查表的结果是，CE 4把本机IPv4分组转发到PE 2。

PE 2在if_2上接收本机IPv4分组。由于到达if_2上的所有分组都与VRF Red相关，因此PE 2在VRF Red中执行最长匹配路由查表操作。VRF Red中与分组的信宿地址最匹配的项目如下：

BGP Bottom Top

Destination Next-Hop Interface Label Label 10.1/16 PE 1 if_1 1001 22

由于分组的外发子接口(if_1)没有和本地VRF相关，因此分组必须流经供应商MPLS骨干中至少一个站。PE 2为分组创建一个MPLS包头，然后把标记(在它最初把路由广播到10.1/16时由PE 1分配)推送到分组的标记堆栈上，使其成为底部标记。然后PE 2把从PE 2到PE 1的LSP使用的第一个标记(22)推送到分组的标记堆栈上，使其成为顶部标记。

然后分组转发到从PE 2到PE 1的LSP中第一台转接路由器上。MPLS骨干沿着LSP交换带标记的分组，在每一站转储顶部标记，直到其到达PE 1的倒数第二台路由器。在倒数第二台路由器上，顶部标记弹出，带有单个标记(1001)的分组发送到PE 1。

当PE 1在if_2上收到带标记的分组时，它在MPLS转发表中执行精确匹配查表操作。与分组的标记匹配的MPLS转发表项目如下：

Input Output Interface Label Action Interface

if_2 1001 Pop if_1

这一查表的结果是，PE 1弹出标记，通过if_1把本机IPv4分组转发到CE 1。

在本机IPv4分组到达CE 1时，它在IP转发表中执行最长匹配路由查表操作。CE 1中与分组的信宿地址最匹配的项目如下：

Destination Next-Hop Interface 10.1/16 Direct if_x

这一查表的结果是，CE 1通过if_x把分组转发到站点1的主机10.1.2.3上。

实例#3：把VPN Green流量从站点6转发到站点7

假设站点6的主机10.2.3.4希望把分组传输到站点7的主机10.3.2.5(图16)。

图16：把VPN Green流量从站点6转发到站点7

在本机IPv4分组到达CE 6的if_x子接口上时，它在IP转发表中执行最长匹配路由查表操作。CE 6中与分组的信宿地址最匹配的项目如下：

Destination Next-Hop Interface 10.3/16 PE 3 if_z