虚拟路由域技术 在IP城域网中组建VPN的应用
发布时间：2024-06-20 点击：62
目前，大多数城市都已经建设了ip宽带城域网，许多城市的城域网还进行了二次或三次扩容。其比较流行的建设方式是利用路由器加交换机组成骨干通信网络，再配置一些宽带接入服务器来终结宽带用户。而城域网上用户的需求各种各样，vpn就是其中的一个热点问题。
实现vpn的技术比较多，目前业界比较看好的是mpls vpn，但是，应该看到，mplsvpn还没有完全标准化，而且各个厂家之间的互通还有一些问题，同时，实现mpls的造价也比较昂贵，很多城市的城域网还没有完全支持mpls，因此，充分利用现有宽带接入服务器，利用虚拟路由域技术实现vpn是一个比较切合实际和可行的方法。
一、虚拟路由域技术简介
虚拟路由域技术是大多数远程宽带接入服务器(bras)都支持的技术，其主要的原理是在一个bras上开辟多个路由域，每个路由域可以独立运行各自路由协议，进行ip包寻径和转发，路由域之间互不干扰，就好像是多个独立的路由器在运行一样。每个bras上支持的虚拟路由域数量从几百到上千不等，可以很好地满足实际需要。
二、利用虚拟路由域技术实现vpn
利用虚拟路由方式实现vpn，实际上是基于bras的功能，业界比较流行的bras如redbak、unisphere、shasta等都支持虚拟路由域的功能。在实际环境中，应根据用户的不同情况合理配置路由域。
1. 路由域的配置
一般来说，一个vpn用户分配一个虚拟路由域，域名需要能明显标识该路由域的所属关系。为了尽量节省宝贵的路由域资源，可根据用户的不同情况灵活分配路由域。
如果用户位于一个bras覆盖区域，那么只在该bras上分配一个路由域即可，用户的接入可以采取多种形式，比如pppoe、专线等。
如果用户位于不是一个bras能覆盖的区域，则可在凡是用户涉及的bras上都分配一个路由域，不同的bras上域名可以一样。但是，在这种情况下，不同的bras之间需要用隧道技术相连。一般采用bras能支持的技术，比如gre和ipsec等。
2. ip 地址的规划
ip地址一般使用私有地址，可由用户自行分配。
3. vpn出口的位置
对于组建vpn的用户来说，采用的拓扑大多是星型结构，即总部是一个集中点，所有用户均通过vpn与总部相连，对于要求还可以上公网的用户，则设置一个上公网的出口。在实际环境中，这样的出口方式可以有两种：
(1)总部所连接的bras上，为该机构的vpn域设置一个出口。这样做，也就是在bras上为该域配置地址转换功能，用户流量由bras转换为公网地址后出去。这种方式对于用户来说，其优点是比较简单，免去了用户维护，但是该方式对于运营商来说，却不是一个好的方案。因为：
①该方式涉及地址转换，极大耗费了bras的可用资源，会极大影响bras的性能;
②会引起一些不必要的纠纷，一旦用户发现一些网络故障，可能首先想到的就是运营商的设备出了问题，运营商将会面临较大的维护压力。
(2)用户总部端设置两条线路，一条上公网，另外一条连接vpn。地址转换由用户自行完成(可以通过使用路由器或代理)。对于运营商来说，bras仍旧完成既有任务，不再耗费宝贵的资源来完成不必要的地址转换功能。而对于用户来讲，进行地址控制的力度更强，能够更好地完成vpn功能。
4. 电话拨号用户的接入
对于电话拨号用户接入vpn，可以采用拨号服务器和bras配合的方式，通过l2tp隧道来完成。可以在某个bras的vpn路由域上配置lns，电话拨号服务器配置为lac，在用户总部架设aaa服务器。用户欲访问vpn时，通过拨号服务器与配置在brasvpn路由域上的lns建立隧道，用户信息通过隧道送到用户总部的aaa服务器进行认证，通过后，由bras和aaaserver分配私有地址。这样，拨号用户就已经连入vpn中，可以访问vpn中的内容，并通过vpn出口访问公网。
5. 专线用户的接入
一般来说，如果用户的某个站点是以租用专线方式接入vpn的话，运营商端的接口会有两种方式，一种是直接接在bras上，这种情况下可以将该端口直接划入vpn域即可，但是这种情况太浪费宝贵的bras接口，实际中很少采用;另一种方式是接在运营商的接入层交换机端口上，这种方式就存在如何将该交换机端口划入bras域的问题。实践中可以采用如下办法：将该交换机端口划入某个vlan，然后一直将该vlan透过交换机透传至bras，在bras上则将该vlan划入vpn域，用户的三层网关地址配置在bras上。这样，对于bras来说，就好像该用户直接接在了bras端口上一样，可以较好地完成vpn功能。
6. pppoe用户的接入
对于pppoe用户来说，用户上网是在用户端运行pppoe拨号软件，输入固定的帐号和密码上网。帐号的形式一般为username@domainname。bras设备会根据@号后的域名，区分应接入哪个路由域，并由bras分配私有地址。这样，pppoe用户就可以接入vpn中了。但是，在实际的网络环境中，这样做还不能达到vpn的要求。原因是虽然用户使用了域名后缀为vpn域的帐号，也确实接入了vpn的路由域，进行了成功的vpn访问，可是因为pppoe技术本质上是一个二层技术，因此该私网用户往往和许多其他的用户在同一个pppoevlan中，在二层上可以互通，达不到vpn的要求。因此，在实际环境中往往采用vlan技术将该用户划入一个单独的vlan，使vlan透传至bras上，这样，路由域和vlan技术结合，完成pppoe用户的vpn接入。
pppoe用户的vpn接入采用的方式说明，其它一些二层接入技术，如802.1x、dhcp等实现vpn的接入，也可以采取类似的路由域加vlan的方式，因实现方式相同，在此不在赘述。
三、更进一步地探讨
以上探讨了在ip城域网中利用路由域完成用户vpn的实现方式。但是，应该注意到，为了更好地利用虚拟路由域技术，在网络规划中还要注意一些问题：
虚拟路由域：因为在一个bras上支持的虚拟路由域数目有限，为了使资源利用率最大化，应对虚拟路由域的使用数量做一个较好的规划，同时，在采购设备时，应把路由域数量或支持的vpn隧道方式做为比较重要的指标;
vlan：在采用路由域加vlan的方式中，要求vlan有一个比较好的规划，这样才能更好地组网;另外一方面，对于一些业界逐渐出现的新技术，如嵌套vlan等应给予足够的关注。
总之，充分挖掘现有设备的能力，利用虚拟路由域技术组建vpn，不失为运营商一个较好的选择。
别名解析不通-域名及账户问题
如何下载企业邮箱
万彩动画大师怎么制作动画 万彩动画大师简易动画制作流程
html怎么设置粗体
账号注册邮箱激活设计
红牛系列商标被判归属泰国天丝 红牛还有机会吗？
尊云服务器一个月多少钱
登录不上去FTP-云服务器问题
实现vpn的技术比较多，目前业界比较看好的是mpls vpn，但是，应该看到，mplsvpn还没有完全标准化，而且各个厂家之间的互通还有一些问题，同时，实现mpls的造价也比较昂贵，很多城市的城域网还没有完全支持mpls，因此，充分利用现有宽带接入服务器，利用虚拟路由域技术实现vpn是一个比较切合实际和可行的方法。
一、虚拟路由域技术简介
虚拟路由域技术是大多数远程宽带接入服务器(bras)都支持的技术，其主要的原理是在一个bras上开辟多个路由域，每个路由域可以独立运行各自路由协议，进行ip包寻径和转发，路由域之间互不干扰，就好像是多个独立的路由器在运行一样。每个bras上支持的虚拟路由域数量从几百到上千不等，可以很好地满足实际需要。
二、利用虚拟路由域技术实现vpn
利用虚拟路由方式实现vpn，实际上是基于bras的功能，业界比较流行的bras如redbak、unisphere、shasta等都支持虚拟路由域的功能。在实际环境中，应根据用户的不同情况合理配置路由域。
1. 路由域的配置
一般来说，一个vpn用户分配一个虚拟路由域，域名需要能明显标识该路由域的所属关系。为了尽量节省宝贵的路由域资源，可根据用户的不同情况灵活分配路由域。
如果用户位于一个bras覆盖区域，那么只在该bras上分配一个路由域即可，用户的接入可以采取多种形式，比如pppoe、专线等。
如果用户位于不是一个bras能覆盖的区域，则可在凡是用户涉及的bras上都分配一个路由域，不同的bras上域名可以一样。但是，在这种情况下，不同的bras之间需要用隧道技术相连。一般采用bras能支持的技术，比如gre和ipsec等。
2. ip 地址的规划
ip地址一般使用私有地址，可由用户自行分配。
3. vpn出口的位置
对于组建vpn的用户来说，采用的拓扑大多是星型结构，即总部是一个集中点，所有用户均通过vpn与总部相连，对于要求还可以上公网的用户，则设置一个上公网的出口。在实际环境中，这样的出口方式可以有两种：
(1)总部所连接的bras上，为该机构的vpn域设置一个出口。这样做，也就是在bras上为该域配置地址转换功能，用户流量由bras转换为公网地址后出去。这种方式对于用户来说，其优点是比较简单，免去了用户维护，但是该方式对于运营商来说，却不是一个好的方案。因为：
①该方式涉及地址转换，极大耗费了bras的可用资源，会极大影响bras的性能;
②会引起一些不必要的纠纷，一旦用户发现一些网络故障，可能首先想到的就是运营商的设备出了问题，运营商将会面临较大的维护压力。
(2)用户总部端设置两条线路，一条上公网，另外一条连接vpn。地址转换由用户自行完成(可以通过使用路由器或代理)。对于运营商来说，bras仍旧完成既有任务，不再耗费宝贵的资源来完成不必要的地址转换功能。而对于用户来讲，进行地址控制的力度更强，能够更好地完成vpn功能。
4. 电话拨号用户的接入
对于电话拨号用户接入vpn，可以采用拨号服务器和bras配合的方式，通过l2tp隧道来完成。可以在某个bras的vpn路由域上配置lns，电话拨号服务器配置为lac，在用户总部架设aaa服务器。用户欲访问vpn时，通过拨号服务器与配置在brasvpn路由域上的lns建立隧道，用户信息通过隧道送到用户总部的aaa服务器进行认证，通过后，由bras和aaaserver分配私有地址。这样，拨号用户就已经连入vpn中，可以访问vpn中的内容，并通过vpn出口访问公网。
5. 专线用户的接入
一般来说，如果用户的某个站点是以租用专线方式接入vpn的话，运营商端的接口会有两种方式，一种是直接接在bras上，这种情况下可以将该端口直接划入vpn域即可，但是这种情况太浪费宝贵的bras接口，实际中很少采用;另一种方式是接在运营商的接入层交换机端口上，这种方式就存在如何将该交换机端口划入bras域的问题。实践中可以采用如下办法：将该交换机端口划入某个vlan，然后一直将该vlan透过交换机透传至bras，在bras上则将该vlan划入vpn域，用户的三层网关地址配置在bras上。这样，对于bras来说，就好像该用户直接接在了bras端口上一样，可以较好地完成vpn功能。
6. pppoe用户的接入
对于pppoe用户来说，用户上网是在用户端运行pppoe拨号软件，输入固定的帐号和密码上网。帐号的形式一般为username@domainname。bras设备会根据@号后的域名，区分应接入哪个路由域，并由bras分配私有地址。这样，pppoe用户就可以接入vpn中了。但是，在实际的网络环境中，这样做还不能达到vpn的要求。原因是虽然用户使用了域名后缀为vpn域的帐号，也确实接入了vpn的路由域，进行了成功的vpn访问，可是因为pppoe技术本质上是一个二层技术，因此该私网用户往往和许多其他的用户在同一个pppoevlan中，在二层上可以互通，达不到vpn的要求。因此，在实际环境中往往采用vlan技术将该用户划入一个单独的vlan，使vlan透传至bras上，这样，路由域和vlan技术结合，完成pppoe用户的vpn接入。
pppoe用户的vpn接入采用的方式说明，其它一些二层接入技术，如802.1x、dhcp等实现vpn的接入，也可以采取类似的路由域加vlan的方式，因实现方式相同，在此不在赘述。
三、更进一步地探讨
以上探讨了在ip城域网中利用路由域完成用户vpn的实现方式。但是，应该注意到，为了更好地利用虚拟路由域技术，在网络规划中还要注意一些问题：
虚拟路由域：因为在一个bras上支持的虚拟路由域数目有限，为了使资源利用率最大化，应对虚拟路由域的使用数量做一个较好的规划，同时，在采购设备时，应把路由域数量或支持的vpn隧道方式做为比较重要的指标;
vlan：在采用路由域加vlan的方式中，要求vlan有一个比较好的规划，这样才能更好地组网;另外一方面，对于一些业界逐渐出现的新技术，如嵌套vlan等应给予足够的关注。
总之，充分挖掘现有设备的能力，利用虚拟路由域技术组建vpn，不失为运营商一个较好的选择。
别名解析不通-域名及账户问题
如何下载企业邮箱
万彩动画大师怎么制作动画 万彩动画大师简易动画制作流程
html怎么设置粗体
账号注册邮箱激活设计
红牛系列商标被判归属泰国天丝 红牛还有机会吗？
尊云服务器一个月多少钱
登录不上去FTP-云服务器问题