当前位置：首页 > TCP/IP > 正文

【NE探秘】一个报文的路由器之旅-(11) MPLS转发流程

TCP/IP
2022-10-14
2251
更新：2022-10-14 09:29:57

> 为了更好的理解路由器内部的MPLS转发处理流程，需要了解一定的MPLS基础知识，所以本帖先介绍下MPLS基础知识点。
>
> 介绍完MPLS基础之后，分节点介绍MPLS转发流程，因为MPLS网络的节点有三类，入口节点（Ingress）、中间节点（Transit）和出口节点（Egress），不同节点处理不同。
>

# **MPLS基础（for 新手）**

## **MPLS简介及产生背景**

90年代中期，基于IP技术的Internet快速普及。但由于当时硬件技术存在限制，基于最长匹配算法的IP技术必须使用软件查找路由，转发性能低下。因此IP技术的转发性能成为当时限制网络发展的瓶颈。为了适应网络的发展，ATM（Asynchronous Transfer Mode）技术应运而生。ATM采用定长标签（即信元），并且只需要维护比路由表规模小得多的标签表，能够提供比IP路由方式高得多的转发性能。然而，ATM协议相对复杂，且ATM网络部署成本高，这使ATM技术很难普及。

传统的IP技术简单，且部署成本低。如何结合IP与ATM的优点成为当时热门话题。多协议标签交换技术MPLS（Multiprotocol Label Switching）就是在这种背景下产生的。

MPLS最初是为了提高路由器的转发速度而提出的。与传统IP路由方式相比，它在数据转发时，只在网络边缘分析IP报文头，而不用在每一跳都分析IP报文头，节约了处理时间。

随着技术的发展，路由查找速度已经不是阻碍网络发展的瓶颈，这使得MPLS在提高转发速度方面不再具备明显的优势。但是，MPLS支持多层标签和转发平面面向连接的特性，使其在VPN（Virtual Private Network）、流量工程、QoS（Quality of Service）等方面得到广泛应用。

## **MPLS网络典型结构**

MPLS网络的典型结构如下图所示，其基本组成单元是标签交换路由器LSR（Label Switching Router）。从数据包转发方向看，位于MPLS域边缘、连接其它网络的入口LSR称为Ingress LSR，位于MPLS域的LSR称为Transit LSR，出口LSR称为Egress LSR。

MPLS网络基于标签进行转发。数据包进入MPLS网络时，Ingress LSR分析数据包的内容并且为这些数据包添加合适的标签，后续MPLS网络中的节点都是依据标签来转发数据包的。当该数据包离开MPLS网络时，标签由出口边缘路由器删除。

## **MPLS标签**

标签长度为4个字节，其结构如下图所示。

## **标签分发过程**

数据包在MPLS网络中经过的路径称为标签交换路径LSP（Label Switched Path）。LSP是一个单向路径，与数据流的方向一致。MPLS转发也是属于“先铺路，后通车”的方式，在MPLS转发之前，要先进行标签分发，建立标签交换路径LSP。

标签由下游分配（假设一条LSP，其数据流方向是A->B->C，那么我们称C为B的下游，B为C的上游，同理B为A的下游，A为B的上游），按从下游到上游的方向分发，如下图所示。

为什么标签是由下游分配呢？答案很简单：因为标签是给下游转发时用的，谁用谁来分配。如果某个LSR自己分配标签给下游转发用，那下游是不知道这个标签代表什么含义呢，除非它们事先进行了协商/约定，这做法还不如下游自己分配来得简单。

## **报文转发过程**

步骤1、Ingress节点收到目的地址为10.1.1.1的IP报文，添加标签Z并转发。

步骤2、Transit-1节点收到该标签报文，进行标签交换，将报文Z标签弹出，换成标签Y。

步骤3、Transit-2节点收到该标签报文，进行标签交换，将报文Y标签弹出，换成标签X。

步骤4、Egress节点收到该报文，将标签X弹出，并进行IP转发，将其发送给目的地10.1.1.1。

### **标签操作――PUSH、SWAP和POP**

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">当报文离开MPLS域时，将MPLS报文的标签去掉的操作，称为“POP”，如上述步骤4；另外，在MPLS倒数第二跳节点处去掉栈顶标签（下文马上要介绍的PHP机制）的操作，也称为“POP”。
</span>

### **倒数第二跳弹出(PHP)机制与隐式空标签**

先假设一个场景：MPLS数据包到了最后一跳（Egress）节点，Egress查找MPLS转发表，弹出该标签，弹出后发现是个IP包，于是查找IP转发表将报文转发出去。Egress进行了2次查表，这显然降低了转发效率。因此，人们发明了倒数第二跳弹出PHP（Penultimate Hop Popping）机制，**在倒数第二跳节点处将标签弹出，最后一跳节点直接进行IP转发或者下一层标签转发**，减少最后一跳的负担。

支持PHP的Egress节点分配给倒数第二跳节点的标签只有一种：值为3的标签，称为隐式空标签，这个值**不会出现在数据包的标签栈中**。当一个LSR发现自己被分配了隐式空标签时，它并不用这个值替代栈顶原来的标签，而是直接执行Pop操作。

# **MPLS VPN简介**

上文介绍MPLS产生背景时说过，MPLS在VPN得到了广泛应用，那什么是VPN呢？

最初，电信运营商是以**租赁专线**的方式为企业提供二层链路，这条专线所经过的链路是企业独占的。增加一条专线，都要搭建新的物理链路，不仅建设时间长，而且价格昂贵。后来，出现了ATM（Asynchronous Transfer Mode）和帧中继FR（Frame Relay）技术，使得运营商可以在同一个网络上**使用虚电路方式**为客户提供点到点的专线。这种专线建设时间短、价格低。但虚电路依赖于专用的传输介质：为提供基于ATM的专线服务，运营商需要建立覆盖全部服务范围的ATM网络；为提供基于FR的专线服务，又需要建立覆盖全部服务范围的FR网络。不仅网络建设成本高，而且速率较慢，不能满足当前Internet应用对于速率的要求。

于是，一种新的替代方案产生了：**在现有IP网络上模拟传统专网**，这种新的方案就是虚拟专用网VPN（Virtual Private Network）。VPN的一个重要本质是使用共享的网络（**共享的网络被称为“公网”**）提供虚拟的专线业务。于是问题来了，毕竟每个企业都不希望自己在网络上传输的数据随意暴露在大庭广众之下，现在让他们共享同一个网络，那么不同的企业所使用的VPN应该是互相隔离的，因此，这些企业私有报文必须对其他VPN不可见，必须进行**透明传输**。为此，VPN使用“**隧道技术**”来传输数据。

“隧道技术”是指在两个网络节点之间提供一条通道（被称为“隧道”），使数据报能够在这个通路上透明传输。隧道的建立需要使用到隧道协议。隧道协议又很多种，比如GRE（Generic Routing Encapsulation）、L2TP（Layer 2 Tunneling Protocol），还有上文介绍的MPLS。建立好隧道之后，便可以使用隧道来传输报文：通过在隧道的一端给数据加上隧道协议首部字段，在隧道的另一端去掉该数据携带的隧道协议头。**隧道是构建VPN不可或缺的部分**。在众多类型的隧道中，运营商网络最常用的当属MPLS LSP。**使用MPLS LSP作为隧道的VPN就被称为MPLS VPN**。

MPLS VPN按实现层次分，可分为MPLS L3VPN、MPLS L2VPN，其中MPLS L2VPN可分为VPLS和VLL/PWE3。

**MPLS L3VPN**：从L3VPN的用户角度看，共享网络（公网）**就像一台路由器**，将VPN各站点连接起来。公网为每个VPN建立专用的路由表和转发表。

**VPLS**：VPLS（VirtualPrivate LAN Service）实现了局域网之间通过虚拟专用网段互连。从VPLS的用户角度看，公网就**像一台以太网交换机**，将用户各站点连接起来。VPLS又称为E-LAN。

**VLL/PWE3**：VLL（Virtual Leased Line）是对传统租用线业务的仿真，使用IP网络模拟租用线，从用户角度看，公网就**像一条点到点的链路**，将VPN站点连接起来。VLL又称为VPWS（Virtual Private Wire Service）或者E-Line。PWE3（Pseudo Wire Emulation Edge-to-Edge）是VLL的一种扩展。

关于L2VPN的分类的更多信息，请参考[《MPLS L2VPN分类及比较》。

## **MPLS标签的位置**

**标签封装在链路层和网络层之间**，标签在数据包中的位置如下图所示。

MPLS报文支持同时携带多个标签，靠近L2首部的标签称为栈顶标签或外层标签；靠近L3首部的标签称为栈底标签，或内层标签。理论上，MPLS标签可以无限嵌套。

在MPLS VPN中，最内层的标签被称为VPN标签或**私网标签**，外层标签被称为隧道标签或**公网标签**。

##  **Ingress节点的处理**

报文进入MPLS网络时，Ingress节点分析报文的内容并且为这些报文添加合适的标签，后续所有MPLS网络中的节点都是依据标签来转发数据的。当该报文离开MPLS网络时，标签由出口边缘路由器删除。

对应于路由器内部处理，Ingress节点的处理是：

步骤1、上行包转发引擎PFE上解析报文，确定转发类型，此过程和普通的二层转发和三层 IP转发流程的上行处理完全一致。如果是VPLS、VLL和PWE3场景，上行做的是二层转发；如果是MPLS L3VPN场景，上行做的是三层IP转发。

**MPLS L3VPN场景**：如果是MPLS L3VPN场景，则上行做的是三层IP转发。三层IP转发时，查找FIB，对应的Tunnel ID如果是0x0，表示做普通IP转发；如果是非0x0，表示MPLS L3VPN转发。

VPN报文在MPLS域中是通过LSP隧道中进行透明传输，VPN报文在Ingress节点上的出接口是一条LSP隧道。为了给使用隧道的上层应用（如VPN、路由管理）提供统一的接口，系统自动为每条隧道分配了一个ID，即Tunnel ID。该Tunnel ID只是本地有效。 Tunnel ID的格式如下图。

其中，LSP Token字段用于在MPLS转发表中查找指定的MPLS转发信息。LSP Token只是一个查找MPLS转发信息的索引号。

**VPLS场景**： 如果是VPLS场景，上行做的是二层桥接转发。根据目的MAC和VLAN ID查MAC表，可获得出接口信息和LSP Token。

**VLL/PWE3场景**： 如果是VLL或PWE3场景，上行做的是二层VPN转发，查L2VPN表，可获得控制字标识、出接口信息和LSP Token。

步骤2、进行上行后续的公共处理，并通过交换网板到下行。

步骤3、到了下行的转发引擎PFE，根据对应的Token查找下一跳标签转发表项NHLFE（Next Hop Label Forwarding Entry），此表用于指导MPLS转发。

查看NHLFE表项，可以得到内、外层标签及其标签操作类型，以及出接口和下一跳。

步骤4、进行后续的下行公共处理。

步骤5、到了出口处理模块，根据获得的封装信息进行报文封装。在报文中压入2层标签（其中内层标签的S位置1，表示栈底标签，外层标签的S位置0。如果是VLL/PWE3，根据控制字标识决定是否在内层标签和负荷之间添加控制字），并封装链路层信息（如果链路层为以太类型，则Eth-Type值封装为0x8847）。之后将数据送到接口卡，转换为光/电信号发送出去。

##  **Transit节点的处理**

无论是MPLS L3VPN、VPLS、VLL还是PWE3场景，在Transit节点上的处理都相同。

步骤1、在上行解析报文发现报文协议类型是MPLS，则用报文携带的最外层（栈顶）的MPLS标签查入标签映射表ILM（Incoming Label Mapping），获得对应的Tunnel ID和出接口信息。出接口信息含目的单板和目的接口。

如果是负载分担，会查到多份这样的信息，于是根据负载分担哈希算法选取其中的一份。

如果是FRR（Fast Reroute）状态，则会根据LSP状态和出端口状态做主备路由选择，如果主LSP和对应出端口正常工作，则会选择主LSP；否则选择FRR LSP（即备份LSP）。

步骤2、如果出接口为Trunk接口，会再根据Trunk负载分担哈希算法，选择Trunk成员口中的其中一个作为最终的出接口。

步骤3、进行后续的公共处理，并经过交换网（交换网根据上行获得的目的单板信息做交换）交换到下行。

步骤4、到了下行的转发引擎PFE，根据对应的Tunnel ID的LSP Token值查找下一跳标签转发表项NHLFE。得到出接口、下一跳、出标签和标签操作类型。其中，标签操作类型为SWAP或者POP（如果标签值为3则为POP，其他值则为SWAP）。

步骤5、如果出标签值不是3（3表示隐式空标签），则进行SWAP操作，将最外层的入标签值换成出标签值（且TTL值减一），并封装链路层信息（如果链路层为以太类型，则Eth-Type值封装为0x8847）。如果出标签值是3，则弹出最外层标签，将内层标签头的MPLS TTL重新赋值等于外层MPLS TTL减1，然后再封装链路层信息。

步骤6、进行后续的CAR等公共处理。

步骤7、在下行流分类时根据QoS策略重新设置MPLS头部的EXP，并在出口做检查，之后将数据送到接口卡，转换为光/电信号发送出去。

##  **Egress节点的处理**

步骤1、根据最外层标签查入标签映射表ILM（Incoming Label Mapping），获得对应的标签操作是POP，则进行弹出标签操作。

步骤2、检查弹出的标签中S字段是否置1。如果S位置0，表示非栈底，需要继续进行标签转发，则重复步骤1操作。如果S位置1，表示栈底标签，则根据负荷做L2转发或L3转发。关于L2转发和L3转发的详细介绍请参见章节“L2桥接转发流程”和“IP单播转发流程”。

## **MPLS对TLL的处理**

RFC3443中定义了两种MPLS对TTL的处理模式：Uniform和Pipe。

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">Uniform模式：IP包经过MPLS网络时，在Ingress点，IP TTL减1映射到MPLS TTL字段，此后报文在MPLS网络中TTL减1，IP TTL保持不变。在Egress点将MPLS TTL减1后映射到IP TTL字段。
</span>

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">Pipe模式：在入节点，IP TTL值减1，MPLS TTL字段为固定值（一般设为255），此后报文在MPLS网络中TTL减1，IP TTL保持不变。在出节点会将IP TTL字段的值减1。即IP分组经过MPLS网络时，无论经过多少跳，IP TTL只在入节点和出节点分别减1。
</span>

在华为高端路由器上，可通过配置，分别设置外层标签（公网隧道）和内层标签（L3VPN）中的TTL模式，即有4种组合：

不同模式的组合，处理方式不同。

### **Ingress的处理**

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">无论如何，IP TTL先减一；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">内层 TTL模式为Uniform时，内层MPLS TTL复制IP TTL；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">内层 TTL模式为pipe时，内层MPLS TTL=255；
</span>

### **Transit的处理**

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">通常情况：外层MPLS TTL减1，内层MPLS TTL不变；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">倒数第二跳隐式空标签弹出的情况：外层MPLS TTL不减1，内层MPLS TTL复制外层MPLS TTL（此时复制外层MPLS TTL后再减1）。
</span>

### **支持PHP的倒数第二跳的处理**

### **Egress的处理**

<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">外层TTL模式为Uniform时，如果有外层标签，则内层MPLS TTL复制外层MPLS TTL，否则内层MPLS TTL不变（不复制外层的，也不减一）；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">外层TTL模式为Pipe时，内层MPLS TTL不变（不复制外层的，也不减一）；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">内层TTL模式为Uniform时，IP TTL复制内层MPLS TTL，并减1；
</span>
<span style="font-family: Wingdings;color: #222222;letter-spacing: 1px;font-size: 16px;background: #FFFFFF">l <span style="color: #222222; letter-spacing: 1px; font-size: 16px; background: #FFFFFF; font-family: 微软雅黑;">内层TTL模式为Pipe时，IP TTL减1。
</span>

### **MPLS对COS的处理**

QoS DiffServ体系结构允许差分域内的中间节点检查并修改IP Preference、DSCP或Exp值，统称COS（Class of Service）值，这会导致报文的COS值在IP网络和MPLS网络传输过程中都可能发生变化。

因此，在报文进入MPLS网络或从MPLS网络离开进入IP网络时，运营商需要在MPLS边缘路由器对COS（Class of Service）处理做出选择：是否信任IP/MPLS报文已经携带的COS信息。

RFC3270中定义了三种COS处理模式：Uniform、Pipe和Short Pipe。

**Uniform 模式**

当运营商认为可以完全信任IP网络流量携带过来的COS（IP Preference / DSCP）时，可以采用Uniform模式：MPLS入节点将报文携带上来的COS直接复制到MPLS外层标签的EXP字段中，从而保证在MPLS中给予同样的QoS保证。报文离开MPLS网络时，出口节点再将EXP字段值复制回IP报文的IP Preference/DSCP。

Uniform模式，顾名思义，报文在IP网和MPLS网中的优先级标识是统一的，即报文进入MPLS域和出MPLS域都作优先级映射。但这样做的缺点是，如果报文在MPLS网络中改变了EXP字段的值，会导致报文离开MPLS网络后采用的PHB也发生改变，无法保留用户初始设置的COS值。

**Pipe 模式**

当运营商认为IP网络流量携带过来的COS不可信任时，可以采用Pipe模式：忽略用户携带的COS，在MPLS域入节点为MPLS外层标签的EXP字段重新赋值，从MPLS入节点到出节点，流量都按照运营商的意愿进行QoS调度，直到流量出MPLS域之后再根据其原来携带的COS值转发。

在Pipe模式中，报文在进入MPLS域时，入节点不拷贝IP Precedence/DSCP到Exp。报文出MPLS域时，出节点也不拷贝Exp到IP Precedence/DSCP。如果报文在MPLS网络中改变了EXP字段的值，只在MPLS网络中有效。当报文离开MPLS网络后，报文之前携带的COS继续有效。

**Short-Pipe 模式**

Short Pipe模式是对Pipe模式的改进，报文在MPLS入节点的处理和Pipe模式相同，但在MPLS网络的出节点上，出节点先执行标签弹出操作，再进行QoS调度。即，在MPLS出节点上按照报文之前携带的初始的COS值进行调度，而从报文进入MPLS开始到MPLS倒数第二跳按照运营商的意愿进行QoS调度。

使用Pipe或Short Pipe模式，在运营商内部网络，运营商可以根据自己的自身情况来规划QoS，而不改变客户侧的QoS。
Pipe模式和Short Pipe模式的区别在于：PE上CE侧出方向的QoS调度，Pipe模式运营商用自己的QoS标记，Short Pipe则采用用户的QoS标记。

> 声明：本文素材来源于网络，仅供学习使用，如有侵权请联系网站删除(ngdcn_admin@163.com)。

TCP/IP