摘要：常规的BGP/MPLS IP VPN是一种平面网络模型，对网络中的所有PE（Provider Edge，网络边缘设备）的性能要求相同，如果部分PE设备的性能不高，将影响整个网络的性能，限制接入用户的规模。

号主：老杨丨11年资深网络工程师，更多网工提升干货，

下午好，我的网工朋友

HVPN是应用在分层结构网络中的VPN技术。

常规的BGP/MPLS IP VPN是一种平面网络模型，对网络中的所有PE（Provider Edge，网络边缘设备）的性能要求相同，如果部分PE设备的性能不高，将影响整个网络的性能，限制接入用户的规模。

为解决此类问题，HVPN技术应用而生，它可以将平面网络模型转变为分层网络模型，从而逐级降低对设备的性能要求，同时提高网络的可扩展性，有利于大规模网络的规划和设计。

今天就来讲讲什么是HVPN？为什么需要HVPN？老司机发车，哪些网工还没跟上？

今日文章阅读福利：《 VPN技术思维导图 》

HVPN作为应用在分层结构网络中的VPN技术，今天给大家盘点清楚，另外再分析一份VPN相关的好资源给你，私信发送暗号“VPN”，即可获取技术之路一把好武器。

01 HVPN产生的背景

BGP/MPLS IP VPN网络是一种平面网络模型，它使用BGP在服务提供商骨干网上发布VPN路由，使用MPLS在服务提供商骨干网上转发VPN报文。

如下图所示，PE（Provider Edge，网络边缘设备）设备是服务提供商网络的边缘设备，所有的PE均处于同一平面。

BGP/MPLS IP VPN模型

BGP/MPLS IP VPN网络中的VPN业务部署的压力集中在PE设备上，对PE性能要求较高，并且对PE的性能要求都是相同的。而随着网络规模的不断扩大，业务种类的不断增加，部分PE设备的接入能力无法满足需求。

而在平面型的网络结构中，如果某些PE设备存在性能问题，可能会导致整个网络的性能和可扩展性受到影响，不利于大规模部署VPN。

同时，现在的网络设计大多采用分层结构，例如，城域网的典型结构是三层模型：核心层、汇聚层、接入层。为了在分层结构的网络中部署VPN功能，产生了HVPN技术。

为了解决部分PE设备的性能不高，影响整个网络的性能，限制接入用户规模的问题，BGP/MPLS IP VPN需从平面模型转变成分层模型，即配置HVPN（Hierarchy VPN，简称为HVPN）功能。

02 HVPN的组网结构及优点

HVPN的基本结构

03 HVPN网络中的设备分类

UPE：

直接连接用户的设备称为下层PE（Under-layer PE）或用户侧PE（User-end PE），简称UPE。UPE主要完成用户接入功能。

SPE：

接入UPE并位于网络内部的设备称为上层PE（Superstratum PE）或运营商侧PE（Service Provider-end PE），简称SPE。SPE主要完成VPN路由的管理和发布。

NPE：

连接SPE并面向网络侧的PE称为网络侧PE（Network Provider-end PE），简称NPE。

SPE和UPE的分工体现了不同层次PE的特点。这里的UPE和SPE实际上是相对的概念，在多个层次的PE的结构中，上层相对于下层就是SPE，下层相对于上层就是UPE。

04 HVPN网络中的设备作用

UPE的作用主要是负责用户的接入，只需要维护与其直接连接的VPN站点路由，所有远端路由都用一条缺省或聚合路由替代。UPE为其直接连接的站点的路由分配内层私网标签，并通过MP-BGP协议随VPN路由发布这个标签给SPE。

SPE的作用主要是VPN路由的维护及扩散，需要维护VPN的所有路由，包括本地和远程站点中的路由。

NPE的作用主要是连接SPE，并学习来自UPE的路由。

UPE和SPE之间采用标签转发，只需要一个接口连接，SPE不需要使用大量接口来接入用户。UPE和SPE之间的接口可以是物理接口、子接口（如VLAN子接口）或隧道接口（如LSP接口）。

当SPE和UPE之间相隔一个IP网络或MPLS网络时，可以采用隧道接口连接SPE和UPE，UPE或SPE发出的标签报文经过隧道传递。由于分工的不同，对SPE和UPE的要求也不同：SPE的路由表容量大，转发性能强，但接口资源较少；UPE的路由容量和转发性能较低，但接入能力强。

HVPN形成了层次结构，充分利用网络层次的优势，如上层设备的性能，下层设备的接入能力，共同完成一个PE的功能，因此，这种解决方案有时也被称为分层PE（Hierarchy of PE/Hierarchical Provider Edge，简称HoPE）。

05 部署HVPN组网方案的优点

有良好的可扩展性。可以为性能不够的下层PE添加上层PE，使得底层PE位置下移；或者为接入能力不足的上层PE添加下层PE。

节约有限的接口资源。下层PE和上层PE之间采用标签转发，因而只需要一个接口或子接口相互连接。

减轻了下层PE的负担。下层PE上只需维护本地接入的VPN路由，所有远端路由都用一条缺省或聚合路由替代。

配置工作量小。上层PE和下层PE通过动态路由协议MP-BGP交换路由、发布标签，每一个下层PE只需建立一个MP-BGP对等体。

HVPN可以分为HoVPN与H-VPN两种模式。

HoVPN：

SPE仅向UPE发布缺省路由。UPE没有到达NPE的明细路由，仅能通过缺省路由将VPN业务的数据发送给SPE，从而达到路由隔离的目的。因此HoVPN组网中的UPE设备可以采用路由管理能力较低的设备，节约了网络部署的成本。

H-VPN：

SPE可以向UPE发布明细路由。UPE作为反射器SPE的客户端，接收SPE反射的明细路由，这样更加便于对路由管理和流量转发进行控制。

02 HoVPN或H-VPN的路由发布过程

如下图所示，HoVPN与H-VPN组网中CE1向CE2发布路由的过程相同。

其具体过程如下：

【1】CE1通过路由协议发布IPv4路由给UPE。

【2】UPE为IPv4路由申请标签L1，并将IPv4路由转换为VPNv4路由，然后将VPNv4路由和内层私网标签L1发布给SPE，下一跳修改为UPE。

【3】SPE收到带标签的VPNv4路由后，保存标签L1并重新申请标签L2，然后将VPNv4路由和内层私网标签L2发布给NPE，下一跳修改为SPE。

【4】NPE收到带标签的VPNv4路由后，将VPNv4路由转换为IPv4路由，在下一跳可达的情况下将路由引入私网IPv4路由表。同时NPE将保留内层私网标签L2和隧道迭代成功后的Tunnel ID以供后续转发报文时使用。

【5】NPE通过路由协议发布IPv4路由给CE2。

03 HoVPN路由发布过程（CE2向CE1发布路由）

如下图所示，HoVPN模式的组网中CE2向CE1发布路由的具体过程如下。

【1】CE2通过路由协议发布IPv4路由给NPE。

【2】NPE为IPv4路由申请内层私网标签L3，将IPv4路由转换为VPNv4路由，将VPNv4路由和内层私网标签L3发布给SPE，下一跳修改为NPE。

【3】SPE收到带标签的VPNv4路由，保存标签L3并将VPNv4路由转换为IPv4路由，在下一跳可达的情况下将IPv4路由引入私网IPv4路由表。

【4】SPE向私网IPv4路由表引入缺省路由或聚合私网路由，并申请标签L4，然后将缺省路由或聚合私网路由转换为VPNv4路由发布给UPE，下一跳修改为SPE。

【5】UPE收到带标签的VPNv4路由后，将VPNv4路由转换为IPv4路由，在下一跳可达的情况下将IPv4路由引入私网IPv4路由表。

【6】UPE通过路由协议发布IPv4路由给CE1。

04 H-VPN路由发布过程（CE2向CE1发布路由）

如下图所示，H-VPN模式的组网中CE2向CE1发布路由的具体过程如下。

【1】CE2通过路由协议发布IPv4路由给NPE；

【2】NPE为IPv4路由申请内层私网标签L3，将IPv4路由转换为VPNv4路由，然后将VPNv4路由和内层私网标签L3发布给SPE，下一跳修改为NPE。

【3】SPE收到带标签的VPNv4路由后，保存标签L3并重新申请标签L4，然后将VPNv4路由和内层私网标签L4发布给UPE，下一跳修改为SPE。

【4】UPE收到带标签的VPNv4路由后，将VPNv4路由转换为IPv4路由，在下一跳可达的情况下将IPv4路由引入私网IPv4路由表。

【5】UPE通过路由协议发布IPv4路由给CE1。

05 HoVPN或H-VPN的报文转发过程（CE2向CE1发送报文）

如下图所示，HoVPN与H-VPN组网中CE2向CE1发送报文的过程相同，其具体过程如下。

【1】CE2向NPE发送一个VPN报文。

【2】NPE收到报文后，查询私网转发表，通过匹配报文目的地址，查找到用于转发报文的隧道，然后给报文打上内层私网标签L2和外层隧道标签Lu，通过隧道将报文发给SPE，标签栈为L2/Lu；

【3】SPE收到报文后，弹出外层隧道标签Lu，交换内层私网标签为L1，压入隧道标签Lv，沿隧道将报文转发给UPE，标签栈为L1/Lv；

【4】UPE收到报文，弹出外层隧道标签Lv，然后根据内层私网标签L1查找到对应的VPN实例，之后弹出内层私网标签L1，根据报文目的地址在该VPN实例的私网转发表中查找到出接口。UPE将报文从对应出接口发送给CE1。此时报文为纯IP报文。

06 HoVPN的报文转发过程（CE1向CE2发送报文）

如下图所示，HoVPN组网中CE1向CE2发送报文的过程如下。

【1】CE1向UPE发送一个VPN报文。

【2】UPE收到报文后，查询私网转发表，通过匹配报文目的地址（匹配缺省路由或聚合路由下发的转发表项），查找到用于转发报文的隧道，然后给报文打上内层私网标签L4和外层隧道标签Lv，通过隧道将报文发给SPE，标签栈为L4/Lv。

【3】SPE收到报文后，弹出外层隧道标签Lv，根据内层私网标签L4找到对应的VPN实例，弹出内层私网标签L4，查询私网转发表，通过匹配报文目的地址，查找到用于转发报文的隧道，然后在报文中打上内层私网标签L3和外层隧道标签Lu，通过隧道将报文发给NPE，标签栈L3/Lu。

【4】NPE收到报文后，弹出外层隧道标签Lu，根据内层私网标签L3找到对应的VPN实例，之后弹出内层私网标签L3，根据报文目的地址在该VPN实例的私网转发表中查找到出接口。NPE将报文从对应出接口发送给CE2。此时报文为纯IP报文。

07 H-VPN的报文转发过程（CE1向CE2发送报文）

如下图所示，H-VPN组网中CE1向CE2发送报文的过程如下。

【1】CE1向UPE发送一个VPN报文。

【2】UPE收到报文后，查询私网转发表，通过匹配报文目的地址（UPE从SPE收到的明细路由下发的转发表项），查找到用于转发报文的隧道，然后给报文打上内层私网标签L4和外层隧道标签Lv，通过隧道将报文发给SPE，标签栈为L4/Lv。

【3】SPE收到报文后，弹出外层隧道标签Lv，交换内层私网标签为L3，打上外层隧道标签Lu，沿隧道将报文转发给NPE，标签栈为L3/Lu。

【4】NPE收到报文后，弹出外层隧道标签Lu，根据内层私网标签L3找到对应的VPN实例，之后弹出内层私网标签L3，根据报文目的地址在该VPN实例的私网转发表中查找到出接口。NPE将报文从对应出接口发送给CE2。此时报文为纯IP报文。

在IPRAN网络中，使用HVPN技术构建的无线接入网，具备优秀FMC（Fixed-Mobile Convergence）承载能力和简单灵活的组网形式。

01 HVPN技术在IPRAN网络中的应用

IPRAN移动承载网具有接入方式丰富，网络规模庞大，业务实现机制灵活等特点。

整体架构采用分层方式，从核心层到接入层，对设备的性能要求依次降低，网络规模则依次扩大。HVPN技术在IPRAN网络中广泛使用，通常从汇聚层覆盖到接入层，以实现路由隔离、故障隔离，同时降低对接入层设备的要求。

HVPN采用分层的L3VPN方式，实现故障相互隔离，整网的可靠性和安全性较高。

在IPRAN网络中，根据网络层级：接入层，汇聚层，核心层，将PE设备划分为UPE、SPE、NPE，其中，UPE对应CSG（Cell Site Gateway，基站侧网关）、SPE对应ASG（Aggregation，汇聚侧网关）、NPE对应RSG（Radio Service Gateway，无线业务侧网关）。

CSG（基站侧网关）：在HVPN组网中，CSG将被部署成UPE，用于接入多种业务基站。

ASG（汇聚侧网关）：在HVPN组网中，ASG将被部署成SPE，用于接入UPE。

RSG（无线业务侧网关）：在HVPN组网中，RSG将被部署成NPE，用于接入基站控制器（RNC）。

HVPN承载方案具备大规模动态组网能力，同时能够分担顶端汇聚设备压力。

02 跨域Seamless MPLS+HVPN在IPRAN网络中的应用

虽然HVPN方案考虑到不同网络层次设备能力不一样，把业务也进行了分层，但是对于业务扩展还是不够灵活。

因而，HVPN方案经常与Seamless MPLS方案一起使用，Seamless MPLS方案可以通过端到端的跨域LSP隧道解决了接入点业务的扩展性问题。跨域Seamless MPLS+HVPN功能不仅可以实现基站和基站控制器间相互通信，而且具备HVPN技术的降低组网成本的优点。

跨域Seamless MPLS+HVPN组网图如下所示。接入层、汇聚层处于AS 100内，核心层网络处于AS 200内，为了提供VPN服务，因此部署跨域Seamless MPLS+HVPN功能。

在Seamless MPLS + HVPN方案中，以移动承载业务为例，CSG与AGG之间部署HVPN，同时在AGG（Aggregation，汇聚层设备）到MASG（Mobile Aggregate Service Gateway，移动汇聚业务网关）之间部署跨域Seamless MPLS。L3VPN业务在AGG节点处上进行分层。

Seamless MPLS + HVPN组网方案兼具了Seamless MPLS和HVPN两种组网的优势，对于接入网、汇聚网、核心网跨多个域时，任意两个节点间可以使用LSP连通，从而解决业务扩展性问题；同时HVPN方案可以根据网络设备的业务能力要求，定制不同层次的设备容量，从而降低组网成本。

来源：网络工程师俱乐部一点号