首先針對VPN領(lǐng)域中MPLS網(wǎng)絡(luò)的基本構(gòu)架做出必要分析，并且給出MPLSVPN的典型結(jié)構(gòu)圖，進而就MPLS網(wǎng)絡(luò)特征提出相應(yīng)的網(wǎng)絡(luò)安全手段，對于深入了解相應(yīng)技術(shù)原理有著積極幫助作用。

關(guān)鍵詞：MPLS;VPN;安全：備份;路由

多協(xié)議標(biāo)簽交換(Multi-ProtocolLabelSwitching，MPLS)，是一種用于快速數(shù)據(jù)包交換和路由的體系，它為網(wǎng)絡(luò)數(shù)據(jù)流量提供了目標(biāo)、路由、轉(zhuǎn)發(fā)和交換等能力。MPLS曾經(jīng)以其數(shù)據(jù)的快速傳輸著稱，這主要是源于其僅需要對數(shù)據(jù)包外層標(biāo)簽進行處理即可實現(xiàn)轉(zhuǎn)發(fā)，這種快速傳輸?shù)奶卣髟诤艽蟪潭壬贤七M了MPLS技術(shù)的發(fā)展。但是就目前的狀況看，路由器CPU已經(jīng)不再忙于處理報文交換，而是專注于處理控制層面如路由表、路由協(xié)議方面的工作;而轉(zhuǎn)發(fā)層面的工作，現(xiàn)在基本都由硬件，如ASIC來實現(xiàn)。然而雖然MPLS在速度上的優(yōu)勢已經(jīng)不再為人稱道，但是其安全性仍然是MPLS技術(shù)的一大優(yōu)勢，由于其數(shù)據(jù)包無需拆開就能夠在其外部的MPLS標(biāo)簽上獲取相關(guān)地址信息，因此相對安全可靠;此外，MPLS還能夠更好的集成IP，使得MPLS可以在現(xiàn)有的IP架構(gòu)上被廣泛使用，在各域之間完成流轉(zhuǎn)發(fā)時，不需要承載BGP的核心路由器，因而目前廣泛在虛擬專用網(wǎng)(VirtualPrivateNetwork，VPN)領(lǐng)域中應(yīng)用。

1VPN領(lǐng)域中MPLS網(wǎng)絡(luò)的基本構(gòu)架

在VPN領(lǐng)域中，利用MPLS技術(shù)構(gòu)建起的網(wǎng)絡(luò)具有很多其他技術(shù)無法比擬的性能。除了安全性以外，在組網(wǎng)方面具有良好的延展性，這也是促使VPN網(wǎng)絡(luò)體現(xiàn)出良好經(jīng)濟特征的有力保證。

首先從整體上對MPLSVPN網(wǎng)絡(luò)進行必要的分析。MPLS技術(shù)，允許在已有的公用數(shù)據(jù)網(wǎng)絡(luò)之上，構(gòu)建起對用戶透明的數(shù)據(jù)傳輸隧道。每一個處于不同VPN中的用戶，并不需要了解自己發(fā)出的數(shù)據(jù)包如何送達對應(yīng)的目標(biāo)，只需要將相應(yīng)的MPLSVPN網(wǎng)絡(luò)當(dāng)做一個內(nèi)部的專用數(shù)據(jù)網(wǎng)對待即可，相關(guān)的安全問題和傳輸路徑問題交由MPLS負責(zé)。圖中CE(CustomEdge)為客戶端，負責(zé)與用戶直接相連，提供網(wǎng)絡(luò)服務(wù)。不同的CE處于不同的VPNx中，而不同的VPNx則隸屬于不同VPN網(wǎng)絡(luò)，附著在公共數(shù)據(jù)交換網(wǎng)上，借MPLS技術(shù)實現(xiàn)安全的信息傳輸。對于MPLS骨干網(wǎng)絡(luò)而言，則由標(biāo)記邊界路由器(LabelEdgeRouter，LER)和標(biāo)記交換路由器(LSR，LabelSwitchRouter)共同構(gòu)成。其中LER位于整個骨干網(wǎng)的邊緣，負責(zé)保持VPN網(wǎng)絡(luò)和由LSR組成的核心網(wǎng)絡(luò)之間的連通性，它負責(zé)將由VPN中的IP路由器發(fā)來的數(shù)據(jù)包根據(jù)其相應(yīng)的要求添加上對應(yīng)的MPLS標(biāo)簽，并報送相應(yīng)的LSR進行處理;同時還要負責(zé)將LSR傳輸過來的數(shù)據(jù)包上的MPLS標(biāo)簽拆除，交由相應(yīng)VPN中的IP路由器送達用戶端。而LSR處于MPLS網(wǎng)絡(luò)的核心部分，主要負責(zé)掉接收報文的接收標(biāo)簽并添加上新標(biāo)簽，從而完成MPLS數(shù)據(jù)報的轉(zhuǎn)發(fā)。

當(dāng)數(shù)據(jù)包從VPN送達到LER后，LER將從數(shù)據(jù)包中讀取相應(yīng)的目標(biāo)地址并通過存儲在路由器上的標(biāo)簽映射表，執(zhí)行PUSH操作對數(shù)據(jù)包添加相應(yīng)的MPLS標(biāo)簽，而后從相應(yīng)端口發(fā)送給MPLS核心網(wǎng)絡(luò)中的一個LSR。當(dāng)LSR接收到該數(shù)據(jù)包后，執(zhí)行SWAP操作，實現(xiàn)數(shù)據(jù)包的傳輸。當(dāng)送達到對應(yīng)于目標(biāo)地址的LSR后，結(jié)束在核心網(wǎng)絡(luò)中的傳輸，將數(shù)據(jù)包遞交相應(yīng)的LER，并且對MPLS標(biāo)簽進行剝離，并最終發(fā)送給相應(yīng)的客戶端，實現(xiàn)整個數(shù)據(jù)傳輸過程。

2基于MPLS環(huán)境的網(wǎng)絡(luò)備份實現(xiàn)

對于任何一個數(shù)據(jù)傳輸網(wǎng)絡(luò)而言，安全和穩(wěn)定性是永遠不變的追求，對于MPLS技術(shù)網(wǎng)絡(luò)也不例外。通常而言，網(wǎng)絡(luò)的安全性都通過一定量的冗余實現(xiàn)，有的網(wǎng)絡(luò)在對數(shù)據(jù)包進行轉(zhuǎn)發(fā)的時候為數(shù)據(jù)包進行備份，對于MPLS網(wǎng)絡(luò)而言，通常是對網(wǎng)絡(luò)傳輸路徑設(shè)定相應(yīng)的冗余，從而保證數(shù)據(jù)送達。

想要深入理解MPLS環(huán)境下網(wǎng)絡(luò)備份的實現(xiàn)，首先需要了解MPLS技術(shù)的基本傳輸方式。對于網(wǎng)絡(luò)通訊而言，存在有單播、廣播以及組播三種工作方式，其中單播指的是點對點的數(shù)據(jù)傳輸，而廣播則指一點對多點的數(shù)據(jù)傳輸，在MPLSVPN環(huán)境中，多點對多點的組播是典型的數(shù)據(jù)傳輸方式。組播傳輸方式在數(shù)據(jù)傳輸?shù)倪^程中，只有中間某一個節(jié)點將數(shù)據(jù)進行復(fù)制，所以在很大程度上節(jié)約了帶寬資源，對于網(wǎng)游、電視會議等群組應(yīng)用極為適用。組播路由可以大體分為有源樹和共享樹兩種，前者以信息源為根，目標(biāo)節(jié)點為末梢，具有最短路徑的特點，但是此種邏輯結(jié)構(gòu)難以拓展，并不適用于VPN環(huán)境;后者則是指以一簇匯聚點(RP，RendezvousPoint)作為共享根，不同的組播組要共同利用這些匯聚點作為組播樹的一部分來組建各自的組播樹，這種方式具有很強的邏輯彈性，利用率極高。

對于組播樹的建立，應(yīng)當(dāng)保持必要的冗余態(tài)度，通常采用冗余樹算法，具體是指為一個特定的組播組構(gòu)建兩個相互保護的組播樹，其一為主路徑樹，另一個則是備份樹。兩個不同的物理樹需要保持網(wǎng)絡(luò)中的兩點之間必須有超過一條經(jīng)過不同節(jié)點的路由存在。在計算冗余樹的時候，通常先確定一個包含有信息源節(jié)點的環(huán)，然后按照逆時針和順時針兩個方向剔除與信息源節(jié)點相連的最后一條鏈路，分別形成兩棵樹。而后，分別以這兩棵樹作為基礎(chǔ)，開始向外實現(xiàn)拓展，仍然以環(huán)的形式將新的節(jié)點納入到已有的樹結(jié)構(gòu)中，具體做法是以現(xiàn)有樹中的兩個相鄰節(jié)點作為拓展部分中的基礎(chǔ)，納入新的若干節(jié)點，并且與現(xiàn)有的兩個節(jié)點構(gòu)成一個環(huán)，同樣針對不同的樹，將閉合成環(huán)的最后一根鏈路去掉形成相應(yīng)的樹。如此反復(fù)一直到整個物理網(wǎng)絡(luò)節(jié)點納入到主路徑樹和備份樹中。對于此種方式生成的冗余樹而言，能夠保證在任何一個節(jié)點發(fā)生故障的時候，都能夠借由切換到備份樹的手段實現(xiàn)數(shù)據(jù)傳輸。

雖然上述對于冗余樹的建立能夠在很大程度上提升MPLSVPN網(wǎng)絡(luò)的安全性，但是這僅僅是基于IP角度進行的思考，并未對MPLS網(wǎng)絡(luò)實現(xiàn)全面顧及。在實踐過程中，MPLS的轉(zhuǎn)發(fā)路徑由多條綁定特定轉(zhuǎn)發(fā)等價類的有方向的標(biāo)簽交換路徑(LSP，LabelSwitchingPath)組成，這與IP能夠向認識方向傳播有著本質(zhì)的不同。

基于對MPLS網(wǎng)絡(luò)現(xiàn)實狀況的考慮，可以進一步根據(jù)其工作特征來確定更為實際的安全數(shù)據(jù)傳輸方式。根據(jù)組播工作特征，可以將一個組播用一個匯聚點路由器即RP分為多個單播，由多條LSP來實現(xiàn)MPLS的組播工作。這種做法的核心在于在常規(guī)的組播樹中增加匯聚點RP層面，使得原樹形成一種二級狀態(tài)，第一級從數(shù)據(jù)源為組播樹源點，以RP簇作為樹的末梢，而第二級則以RP簇作為新的組播樹源點，數(shù)據(jù)送達目標(biāo)作為樹的末梢。通過RP節(jié)點對數(shù)據(jù)進行轉(zhuǎn)發(fā)備份，從而在保持樹形結(jié)構(gòu)冗余的基礎(chǔ)上實現(xiàn)對數(shù)據(jù)存儲的冗余管理。通常增加的RP節(jié)點為兩個即可滿足使用，兩級結(jié)構(gòu)的數(shù)據(jù)傳輸樹分別計算出相應(yīng)的冗余樹，確保在數(shù)據(jù)傳輸路徑層面的安全管理。隨著對網(wǎng)絡(luò)安全性能要求的提升，選取的RP簇中的節(jié)點個數(shù)可以進行調(diào)整。

3結(jié)論

就目前的情況看，MPLS技術(shù)在傳輸效率方面的優(yōu)勢已經(jīng)不再存在，因此其存在的意義基本上完全轉(zhuǎn)到了網(wǎng)絡(luò)安全層面。通過上文的討論，MPLSVPN網(wǎng)絡(luò)已經(jīng)能夠?qū)崿F(xiàn)在網(wǎng)絡(luò)結(jié)構(gòu)和數(shù)據(jù)備份兩個層面的冗余，其性能相對可靠。除此以外，目前常見的出現(xiàn)在MPLS網(wǎng)絡(luò)中的安全技術(shù)還有很多種，包括分布式路由、動態(tài)計算備份路徑等多個方面。其中分布式路由改變了一貫以來將路由信息存放于一臺核心路由器，并且整個網(wǎng)絡(luò)的路由選擇都將依賴于此路由器的狀況，而是將路由信息分布放置在多個路由器上，一方面實現(xiàn)路由信息的備份，另一方面也有益于提升路由效率。動態(tài)計算備份路徑則能夠保證在節(jié)點損壞的時候，對現(xiàn)有網(wǎng)絡(luò)實現(xiàn)重新計算，求解出最優(yōu)的路徑，提升網(wǎng)絡(luò)的自愈性能。

總之，對于MPLS網(wǎng)絡(luò)的提升是一個漫長的過程，只有不斷深入考證其技術(shù)特征，跟進軟硬件發(fā)展步伐，才能提出新的安全方案，滿足用戶數(shù)據(jù)傳輸需求。