詳細(xì)講解接入主干網(wǎng)的VPN配置實(shí)例，向大家介紹VPN配置實(shí)例的方法，可能好多人還不了解怎么對(duì)VPN配置實(shí)例進(jìn)行優(yōu)化，沒(méi)有關(guān)系，看完本文你肯定有不少收獲，希望本文能教會(huì)你更多東西。

站點(diǎn)和CE

從主干網(wǎng)的角度看，如果一系列IP系統(tǒng)相互連接且它們之間的通信無(wú)需主干網(wǎng)參與，則這些IP系統(tǒng)組成了一個(gè)站點(diǎn)。一般來(lái)說(shuō)，一個(gè)站點(diǎn)由一些地理位置相近的系統(tǒng)組成，當(dāng)然并非總是這樣。如果地理位置較遠(yuǎn)的兩地間用一根運(yùn)行OSPF的專線相連，也可以組成一個(gè)站點(diǎn)，因?yàn)閮傻亻g的通信無(wú)須主干網(wǎng)的參與。

一個(gè)CE設(shè)備常被視為在一個(gè)單獨(dú)的站點(diǎn)上(但一個(gè)站點(diǎn)可能由多個(gè)“虛擬站點(diǎn)”組成)。而一個(gè)站點(diǎn)可能在多個(gè)VPN配置實(shí)例中。一個(gè)PE路由器可能與多個(gè)站點(diǎn)中的CE設(shè)備相連，無(wú)論它們是否在同一個(gè)VPN配置實(shí)例中。出于魯棒性的考慮，一個(gè)CE設(shè)備也可能與多個(gè)PE路由器相連，這些路由器可能屬于同一個(gè)或不同的服務(wù)提供商。

如果這個(gè)CE設(shè)備是路由器，則它與相連的PE路由器互為鄰接路由器。如果互連的基本單元是站點(diǎn)，這里描述的體系結(jié)構(gòu)可以實(shí)現(xiàn)更為精細(xì)的互連控制粒度。例如，一個(gè)站點(diǎn)上的某個(gè)系統(tǒng)可能是一個(gè)內(nèi)聯(lián)網(wǎng)的成員，同時(shí)也是一個(gè)或多個(gè)外聯(lián)網(wǎng)的成員，而該站點(diǎn)上的其它系統(tǒng)卻只限于是內(nèi)聯(lián)網(wǎng)的成員。

PE中基于站點(diǎn)的轉(zhuǎn)發(fā)表

每個(gè)PE路由器維護(hù)一個(gè)或多個(gè)“站點(diǎn)轉(zhuǎn)發(fā)表”，與PE相連的每個(gè)站點(diǎn)都對(duì)應(yīng)于其中的一個(gè)表。當(dāng)從某站點(diǎn)接收到一個(gè)包時(shí)，從與該站點(diǎn)相應(yīng)的轉(zhuǎn)發(fā)表中查找該包的目的地址。站點(diǎn)轉(zhuǎn)發(fā)表是如何產(chǎn)生的呢？如，PE1，PE2，PE3是三個(gè)PE路由器，CE1，CE2，CE3是三個(gè)CE路由器。

PE1從CE1了解站點(diǎn)CE1可達(dá)的路由信息。如果PE2和PE3分別與CE2、CE3相連，且VPN配置實(shí)例V包括CE1、CE2、CE3，PE1用BGP向PE2、PE3分發(fā)它從CE1得到的路由信息。PE2，PE3使用這些路由信息產(chǎn)生與CE2、CE3相應(yīng)的轉(zhuǎn)發(fā)表。來(lái)源于VPN配置實(shí)例V以外站點(diǎn)的路由不出現(xiàn)在這些轉(zhuǎn)發(fā)表中，也就是說(shuō)，CE2，CE3發(fā)出的包不會(huì)發(fā)送到VPN配置實(shí)例以外的站點(diǎn)。

如果一個(gè)站點(diǎn)在多個(gè)VPN配置實(shí)例中，其對(duì)應(yīng)的轉(zhuǎn)發(fā)表將包含其在所有VPN配置實(shí)例中的路由信息。一般，一個(gè)PE只為每個(gè)站點(diǎn)維護(hù)一個(gè)轉(zhuǎn)發(fā)表，即使它與該站點(diǎn)間有多個(gè)連接。如果幾個(gè)不同的站點(diǎn)共用相同的路由，它們共享同一個(gè)轉(zhuǎn)發(fā)表。假設(shè)一個(gè)PE路由器從一直接相連的站點(diǎn)收到一個(gè)包，但在相應(yīng)的站點(diǎn)轉(zhuǎn)發(fā)表中找不到這個(gè)包的目的地址。

如果SP在該站點(diǎn)處并不提供Internet接入服務(wù)，那么該包因?yàn)闊o(wú)法發(fā)送而被丟棄。否則，將會(huì)查詢PE的Internet轉(zhuǎn)發(fā)表。也就是說(shuō)，即使提供Internet接入，一般每個(gè)PE也只需要維護(hù)一個(gè)Internet路由轉(zhuǎn)發(fā)表。要保持VPN配置實(shí)例間的隔離，重要的一點(diǎn)就是主干網(wǎng)中的路由器不接收來(lái)自于鄰接的非主干設(shè)備的帶標(biāo)簽的包，除非：
◆標(biāo)簽棧頂?shù)臉?biāo)簽是主干網(wǎng)路由器分配給該設(shè)備的；
◆主干網(wǎng)路由器能確定由于該標(biāo)簽的使用，這個(gè)包在離開主干網(wǎng)之前，不會(huì)檢查IP包頭和標(biāo)簽棧中的其余標(biāo)簽。

這些限制對(duì)于防止包進(jìn)入其它VPN配置實(shí)例相當(dāng)有必要。PE中的站點(diǎn)轉(zhuǎn)發(fā)表只用于那些從PE直接相連的站點(diǎn)發(fā)來(lái)的包，而不用于來(lái)自于SP主干網(wǎng)的包。因此，到同一系統(tǒng)可能有多個(gè)不同的路由。

包從哪一個(gè)站點(diǎn)接入主干網(wǎng)，就由哪一個(gè)站點(diǎn)決定選用何種路由。如，你可以為由外聯(lián)網(wǎng)發(fā)往指定系統(tǒng)的包指定一個(gè)路由（通向防火墻），為內(nèi)聯(lián)網(wǎng)發(fā)往同一系統(tǒng)的包（包括那些已經(jīng)通過(guò)防火墻的包）指定另一路由。