- 1 -
中国科技论文在线
基于 MPLS 协议的 VPN 技术研究
王泽泽，廖述剑*
作者简介：王泽泽（1984-），男，在读研究生，主要研究方向：计算机网络
（太原理工大学信息工程学院，太原 030024）
摘要：MPLS 是一种在开放的通信网上利用标签引导数据高速、高效传输的新技术。它的价
值在于能够在一个无连接的网络中引入连接模式的特性；其主要优点是减少了网络复杂性，
兼容现有各种主流网络技术，能降低网络成本，在提供 IP 业务时能确保 QoS 和安全性，具
有流量工程能力。本文介绍了 MPLS的工作原理，研究了 MPLS VPN 的安全性及其特点，并针
对 MPLS VPN 存在的安全局限性，提出了采用基于 PKI 的 VPN 访问组密钥加密认证确保 VPN
路由和连接的安全性。
关键词：MPLS；VPN；PKI
中图分类号：TP393
Research of VPN Technology Based on MPLS
Wang Zeze, Liao Shujian
(School of Information Engineering,Taiyuan University of Technology,TaiYuan 030024)
Abstract: MPLS uses labels guide the new technology of high speed, efficient data transmission on
open communication network. Its value is introduce connection mode characteristics in a
connectionless networks; its main advantage are to reduce network complexity, compatibility with
existing mainstream Web technologies that can reduce the cost of the network, in providing IP services
to ensure QoS and security, with traffic engineering paper introduces the theory of
MPLS VPN, then it discusses the security and characteristic of MPLS VPN. The scheme, with MPLS
VPN consist in security limitations，uses VPN access group encryption and authentication based on the
PKI to ensure the safety of VPN connection and routing.
Keywords:MPLS;VPN;PKI
0 引言
VPN（虚拟专用网）是一门网络技术，它为我们提供了一种通过公用网络安全地对企业
内部专用网络进行远程访问的连接方式。该技术采用认证、存取控制、数据完整性等措施，
以保证信息在传输过程中的机密性、完整性和可用性[1][2]。随着 MPLS（多协议标签交换）
技术的成熟，其对 IP 数据传送的安全性和较强的流量工程能力，以及对业务灵活的、针对
性的 QoS 保证能力，使得该技术在运营商和大型企业的 IP 网络上广泛使用。在这样的背
景下，基于 MPLS 的 VPN 具有提供无连接服务、建立在第三层上、可扩展性强、VPN 之间
的数据不会干扰、易构建、灵活的地址空间等特点，使得它以独特的优势赢得了越来越多的
企业的青睐[3]。MPLS VPN 能够利用公用骨干网络的广泛而强大的传输能力，降低企业内
部网络的建设成本，极大地提高用户网络运营和管理的灵活性，同时能够满足用户对信息传
输安全性、实时性、高带宽、方便性的需要。
1 MPLS VPN 基本原理
MPLS VPN 采用隧道协议为 MPLS 技术，利用标签交换，通过 LSP(标签交换路径)将私
有网络的不同分支联结起来，并结合传统的路由技术，构建一种站点到站点(LAN-to-LAN)
的 VPN 技术。它能够比较完善的实现有关 QoS 服务，因而能满足各种企业互联和应用的需
- 2 -
中国科技论文在线
求，使 VPN 可以成为专线的替代业务。MPLS VPN 使用双层标签技术实现隧道，内层标签
表示分组去往的目标用户站点，外层标签表示分组去往与目标用户站点直连的出口 LER(标
签边缘路由器)的 MPLS 域路径。当 IP 分组到达入口 LER，入口 LER 查找 LFIB(标签转发
信息数据库)给分组打上双层标签，封装后的标签分组在 MPLS 域中沿着 LSP(标签交换路径)
路径转发，核心 LSR(标签交换路由器)不需要也不知道内层标签的存在，只知交换标签分组
的外层标签，当标签分组到达倒数第二跳 LSR 时弹出顶层标签，将只含有内层标签的分组
发往出口 LER，出口 LER 弹出内层标签，并查找内层标签关联的 IP 路由，然后按照 IP 包
的路由方式到达目的地。
MPLS VPN 网络通常由 CE、PE、P 三类设备组成，其中 CE 为用户边缘路由器，为用
户提供到 PE 路由器的连接，一般不需要支持 MPLS 协议；PE 为提供商边缘路由器，它根
据存放路由信息将来自 CE 路由器或 LSP 的 VPN 数据处理后进行转发，同时负责和其他 PE
路由器交换路由信息；P 为提供商核心路由器，它根据分组的外层标签对 VPN 数据进行透
明转发，P 路由器只维护到 PE 路由器的路由信息而不维护 VPN 相关的路由信息，PE 和
P 都需要支持 MPLS 协议，其网络结构如图 1 所示。
图 1 MPLS VPN 网络结构
2 MPLS VPN 的安全性
MPLS VPN 的安全性是通过地址独立、路由隔离、攻击防范、拒绝标记哄骗等方法实
现的[5]。
·地址独立。运营商网络核心使用路由区分符RD扩展VPN用户的 IPv4地址族为VPNv4
地址族，确保VPN用户的地址空间在跨越运营商网络核心时保持全局唯一性，即不同的VPN
用户、核心网络都可采用相同的地址空间，它们之间不会存在任何冲突，彼此地址不可见，
网络不可达。
·路由隔离。每个 PE 路由器为每个所连接的 VPN 都维护一个独立的虚拟路由转发实
例(VFI)，每个 VFI 驻留来自同一 VPN 的路由（静态配置或在 PE 和 CE 之间运行路由协议）。
因为每个 VPN 都产生一个独立的 VFI，因此不会受到该 PE 路由器上其它 VPN 的影响。
·攻击防范。运营商隐藏自己的核心网络信息以及 VPN 实现信息，对任何 VPN 用户透
明。这使得 VPN 用户最多只能攻击其所在 VPN 网络的其他成员，而无法探测核心网络以及
其他 VPN 网络的信息，理论上阻止了来自 VPN 用户网络对核心和其他 VPN 的渗透攻击。
·拒绝标记哄骗。在 MPLS 网络中，数据包转发是依据 PE 路由器所附加的标记来完成
的，而非目标 IP 地址。与 IP 地址哄骗攻击相类似，攻击者也可能对 MPLS 数据包实施标记
- 3 -
中国科技论文在线
哄骗。但 PE 路由器不可以接受来自 CE 路由器带有标记的数据包，任何此类数据包都将会
被丢弃，因此在 MPLS 网络，通过标记哄骗来实施攻击是不可能的。
3 MPLS VPN 的特点
与普通的 IP 业务和专网业务相比，VPN 业务具有安全通信、可扩展性、易于管理、低
成本、服务质量保证等方面的特点。
·安全性：MPLS VPN 采用地址隔离、路由隔离、信息隐藏和双标签等多种手段来抗
攻击和标记欺骗，但是它没有解决所有管理型的共享网络普遍存在的非法访问受保护的网络
元、错误配置以及内部(包括核心)攻击等安全问题，也不提供加密、认证等安全服务，传输
的数据是明文的，故其安全性一般。
·可扩展性：MPLS VPN 采用了对等模式和第三层的无连接结构，支持多协议封装和
单一的转发机制，因而可在同一网络内同时支持多种业务类型的转发，可扩展性强。
·易管理性：对于 MPLS VPN，由于在同一 VPN 的成员间不需要建立和维护连接，当
有新成员加入，Internet 服务提供商将告诉用户端的设备如何与网络连接，并配置 PE 来识别
来自 CE 的 VPN 成员，BGP(边界网关协议)便会自动更新相关配置，用户不需要改变自己的
边缘设备。这种集中管理的方式，业务配置和调度统一平台，减轻了用户的负担。
· 成本：主要由 Internet 服务提供商和通信运营商实施管理与维护，用户不需要为 MPLS
VPN 网络组建提供技术和设备支持，仅需提供少量用户网络信息。一次性投入较低，但长
期投入资金比较高。
·QoS：通过集成链路层(ATM、帧中继)交换技术与网络层路由技术，将第 3 层的路由
与第 2 层的交换完美结合，解决了 Internet 的扩展性问题，确保了数据传输的 QoS 性能。通
过这种 QoS 机制，服务提供商可为用户提供满足服务等级协定的多种增值业务。
4 分析与解决
根据 PE 路由器是否参与客户的路由，MPLS VPN 分成 Layer3 MPLS VPN 和 Layer2
MPLS VPN。其中 Layer3 MPLS VPN 遵循 RFC2547bis 标准，使用 BGP(边界网关协议)在 PE
路由器之间分发路由信息，使用 MPLS技术在 VPN 站点之间传送数据，因而又称为
BGP/MPLS VPN。在这种三层 MPLS BGP VPN 中，PE 对等体间通过采用 MP-iBGP 进行路
由信息的交互。PE 路由器通过维持 iBGP 网状连接或使用路由反射器来确保把路由信息分
发给所有的 PE 路由器。当入口 PE 路由器分发路由信息时，将同时携带路由所在 VRF 表的
RD，即将路由的 IPv4 地址转化为 VPN-IPv4 地址，VPN-IPv4 的地址编码如图 2 所示。分发
的具体路由信息包括该路由的 VPN-IPv4 地址前缀、下一跳 BGP 即入口 PE 路由器的
VPN-IPv4 地址（其中 RD=0）、分配给该路由的 VPN 标签和该路由所在 VRF 表的 Export RT。
该路由信息我们称为带有标签的 VPN-IPv4 路由信息。鉴于前述分析，BGP/MPLS VPN 在
PE 对等体之间交换的 VPNv4 路由信息只是基于到达目标路由器，而没有得到相应的安全
保护，特别是 MP-BGP 携带的扩展共同体属性需要对核心网络除 PE 对等体之外的任何第
三方透明[6]。
- 4 -
中国科技论文在线
图 2 VPN-IPv4 地址编码
针对这种情况可以利用 PKI(公钥基础设施)公钥体系，为每个 VPN 申请证书和配置公钥
-私钥对，使用该 VPN 的私钥对 VPN 每个成员 VRF 输出的 VPNv4 路由进行加密，PE 对等
体接收到 VPNv4 路由后再使用该 VPN 的公钥进行解密，此时 VPNv4 路由在 PE 对等体间
属于加密传输，也提供了 VPNv4 路由的验证功能，确保了该 VPNv4 路由来自正确的 VPN
成员。若没有该 VPN 的公钥，PE 对等体将无法解密这条 VPNv4 路由。该 PKI 体系为每一
个 VPN 组生成一对公钥和私钥，拥有本组公钥和私钥的组内成员默认为互访，跨组访问的
成员可以分发访问的 VPN 组公钥。这种基于公钥密码体系的加密认证功能实现的 VPN 路由
信息增强了 BGP/MPLS VPN 的安全性。
该方法用到的数据结构为：
typedef struct Key_Table
{
int key_pub[4]; //VPN 组的公钥，128 位密钥长度
int key_pri[4]; //VPN 组的私钥，128 位密钥长度
}Key_Table;
5 结论
虽然发展前景比较乐观，不过 MPLS VPN 技术要想有更大的发展，目前 QoS 问题还有
待进一提高，安全问题需加强，另外需要进一步提高标准化程度，解决多厂家设备的互通性
问题。相信经过 MPLS VPN 技术的不断完善和发展，未来必将和 IP 网络达到完美结合，为
用户提供更加满意的服务和更加丰富的业务，成为 VPN 技术的主流。
[参考文献] (References)
[1] 高海英，薛元星，辛阳. VPN 技术[M]. 北京：机械工业出版社，2004.
[2] 王达. 虚拟专用网(VPN)精解[M]. 北京：清华大学出版社，2006.
[3] 卢泽新，朱培栋，齐宁. MPLS 和 VPN 体系结构(第 2 卷)[M]. 北京：人民邮电出版社，2004.
[4] 田魏. 基于 MPLS 和 IPSec 的虚拟专用网的研究与比较[J]. 计算机时代，2004,(6):11～13.
[5] 何宝宏，田辉. IP 虚拟专用网技术(第 2 版)[M]. 北京：人民邮电出版社，2008.
[6] 冯径. 多协议标记交换技术[M]. 北京：人民邮电出版社，2002.
[7] Orman H. The OAKLEY Key Determination Protocol[S]. RFC2401,1998-11.
