一文概述：VPN的基本模型及业务类型

VPN是依靠ISP（Internet Service Provider，因特网服务提供商）在公共网络中建立的虚拟专用通信网络，也就是我们常说的私网。VPN具有专用和虚拟的特征，可以在底层承载网上创建出逻辑隔离的网络。VPN可以实现跨域站点之间的安全互联，同时支持不同VPN之间的隔离。所以VPN可以用于解决企业内部的互联问题，如总部和分部的互联；也可以用来隔离不同部门、不同业务的网络，如全部员工可以访问E-mail业务，但只有开发员工可以访问代码开发环境。

在SRv6之前，VPN一般承载在MPLS网络上，被称为MPLS VPN。MPLS VPN里的VPN实例由MPLS标签标识，这个标签也叫作VPN标签。基于VPN标签可以实现业务数据的隔离，保证VPN资源不被网络中其他不属于本VPN的用户使用。在SRv6网络中，VPN实例可以由SRv6 SID标识。

一、VPN的基本模型

VPN由如下3部分组成。

•  
  CE
  :CE是用户网络的边缘设备，与SP（Service Provider，服务提供商）相连。CE可以是路由器或交换机，也可以是一台主机。CE感知不到VPN的存在，也不需要支持VPN的承载协议，如MPLS或SRv6。

•  PE
  :PE是服务提供商网络的边缘设备，与用户的CE直接相连。在VPN中，对VPN的所有处理都发生在PE上。

•  P（Provider）
  :P是服务提供商网络中的骨干设备，不与CE直接相连。P设备不感知VPN，只需要具备基本的网络转发能力（MPLS转发或IPv6转发能力）即可。

二、VPN的业务类型

根据VPN承载的业务类型和网络特征，可将VPN分为L3VPN和L2VPN两类。

• L3VPN
  ：承载三层业务的VPN为L3VPN，L3VPN通过VPN实例实现业务隔离。

• L2VPN
  ：承载二层业务的VPN为L2VPN，主要有VPWS和VPLS, L2VPN通过PW（Pseudo Wire，伪线）实现业务隔离。

当网络IP化之后，一般的网络业务都是三层IP业务，比如3G/4G/5G业务、互联网和VoIP（Voice over IP，互联网电话）业务，所以VPN的部署大多为L3VPN。当然，对于传统2G的TDM接口，只能通过L2VPN去承载。此外，在企业网或数据中心中，如果低速接口或交换机较多，也可以部署L2VPN。

1、L3VPN

承载三层业务的VPN为L3VPN。由于VPN是一种虚拟私有网络，不同的VPN独立管理自己使用的地址空间，所以不同VPN的地址空间可能会发生重合。比如，在L3VPN中，VPN1和VPN2都使用了地址空间10.110.10.0/24。为实现这两个VPN的正常通信，需要隔离这两个VPN的流量。

在MPLS L3VPN中，不同VPN之间的隔离通过VPN实例实现，并由MPLS分配的VPN标签标识。PE为每个直接相连的站点建立并维护专门的VPN实例。VPN实例中包含对应站点的VPN成员关系和路由规则。

为保证VPN数据的独立性和安全性，PE上每个VPN实例都有相对独立的路由表和LFIB（Label Forwarding Information Base，标签转发表）。整体上，一个VPN实例包括LFIB、IP路由表、与VPN实例绑定的接口，以及VPN实例的管理信息，包括RD（Route Distinguisher，路由标识）、 RT（Route Target，路由目标）、成员接口列表等。

L3VPN利用BGP在运营商骨干网上传播VPN站点的私网路由信息，使用MPLS或SRv6来承载VPN业务流量，实现运营商网络及用户网络的隔离。

2、L2VPN

承载二层业务的VPN被称为L2VPN。传统的L2VPN主要包含

VPLS

和

VPWS

两种。

• VPLS
  是一种多点到多点的L2VPN业务，支持在地域上隔离的用户站点通过中间网络相连，连成一个局域网。VPLS是对传统局域网功能的仿真，使它们像一个局域网那样工作。

• VPWS
  是一种点到点的L2VPN业务，是对传统租用线业务的仿真，使用IP网络模拟租用线，提供非对称、低成本的密集数据业务。

但是随着网络规模越来越大，业务需求越来越多，传统的L2VPN技术遇到了瓶颈，表现在以下几个方面。

• 业务部署复杂
  ：尤其是对于基于LDP的VPLS业务而言，每新增一个业务接入点，都需要与其他PE新建Remote LDP会话来建立PW。

• 网络规模受限
  ：不管哪种L2VPN技术，都是在PW的基础上实现的，PW的本质是一种点到点的虚拟连接，为了实现任意两点间的业务互通，需要在任意两点间都建立PW,N个节点两两互通就需要N2个PW。网络规模越大，PW全连接的问题就越严重。另外，传统VPLS采用交换机的模型，基于数据平面学习MAC地址信息，当网络发生故障时，只能先清除所有相关的MAC地址，然后泛洪流量重新学习MAC地址信息，导致网络发生故障之后收敛速度很慢。

• 带宽利用效率低
  ：在CE双归场景，所有的L2VPN技术都只能支持业务以Active-Standby的方式接入网络，不支持业务以Active-Active的方式接入网络，这就无法实现基于流的负载分担，无法高效利用网络带宽。

3、EVPN

EVPN最初被设计为一个基于BGP和MPLS的L2VPN技术。EVPN结合了BGP VPLS和BGP L3VPN的优势，通过使用扩展的BGP发布MAC可达信息，实现L2VPN业务的控制平面与转发平面分离。

EVPN凭借其部署灵活、高效利用带宽、二三层业务共部署、快速收敛等优势，广泛应用于WAN（Wide Area Network，广域网）和DC等多个场景，业界也形成了将EVPN作为统一的业务层协议的趋势。使用EVPN作为业务层协议，可以提供以下优势。

• 统一业务协议
  ：使用扩展EVPN作为统一的业务信令协议，可支持E-Line、E-LAN、E-Tree等多种L2VPN业务，可发布IP路由承载L3VPN业务，还可以支持二三层业务共部署，实现IRB（Integrated Routing and Bridging，集成路由和桥接）。EVPN L2VPN/L3VPN已大量部署在DC和DCI（Data Center Interworking，数据中心互联）的场景，可以统一承载以“云”为中心的所有业务。

• 简洁灵活部署
  ：利用BGP RR特性，所有PE只需与RR建立BGP邻居，实现网络设备天然连接，无PW全连接的困扰。通过RT可实现L2VPN PE自动发现，无须建立额外的Remote LDP会话。使用BGP学习远端MAC地址信息，再利用BGP的路由属性，可以实现灵活的策略控制。

• 高效带宽利用
  ：支持二三层所有业务通过Active-Active模式接入网络，实现基于流的负载分担。

• 流量路径优化
  ：通过ARP（Address Resolution Protocol，地址解析协议）/ND（Neighbor Discovery，邻居发现）代理减少广播流量泛洪。支持分布式网关，跨子网流量可循最优路径转发，不需要都到集中式网关绕行。

• 故障快速收敛
  ：通过BGP学习MAC/IP地址，可实现下一跳分离，故障场景流量快速切换，业务恢复时间与MAC/IP地址数量无关。EVPN内置ARP/ND/IGMP（Internet Group Management Protocol，因特网组管理协议）同步机制，可以在双归PE之间共享信息，故障场景下不需要PE重新学习。

EVPN设计之初使用MPLS作为转发平面。由于EVPN实现了控制平面与转发平面的分离，所以当转发平面从MPLS切换为SRv6时，EVPN业务的关键技术与优势仍旧可以由SRv6天然继承，并在SRv6本身的技术优势加持下放大，比如更强大的云网协同能力、更高的可靠性等。