【資料名稱】：L3 MPLS VPN 之Hub&Spoke 組網(wǎng)

【資料作者】：李懋

【資料日期】：201201

【資料語言】：中文

【資料格式】：PDF

【資料目錄和簡介】：

1、功能介紹
Hub&Spoke 組網(wǎng)是L3 VPN 的一種組網(wǎng)方案。如果需要基
于安全考慮，希望在VPN 中設置中心訪問控制設備，其他用戶
的互訪只能通過中心訪問控制設備進行，就可以使用Hub&Spoke
組網(wǎng)方案。它可以實現(xiàn)中心設備對兩端設備之間的互訪進行
監(jiān)控和過濾等功能。在Hub&Spoke 組網(wǎng)方案中，不能直接互訪
的設備稱為Spoke，中心設備稱為Hub，它們之間的通信方式是
通過設置L3VPN 的RT 屬性來實現(xiàn)的。圖1 為Hub&Spoke 組
網(wǎng)示意圖。VPN 組網(wǎng)中Hub-PE 需要配置2 個vrf，一個vrf 的
import 與Spoke-PE export 相同，另一個vrf 的export 與Spoke-
PE import 相同。（如圖1）
圖中，Spoke 節(jié)點之間的通信都需要通過Hub 節(jié)點，圖中箭
頭所示為Site2 的路由向Site1 發(fā)布的過程：（1）Hub-PE 能夠接
收所有Spoke-PE 發(fā)布的VPN-IPV4 路由；（2）Hub-PE 發(fā)布的
VPN-IPV4路由能夠為所有Spoke-PE接收；（3）Hub-PE將從Spoke-
PE 學到的路由發(fā)布給其他Sopke-PE，因此Spoke 站點之間
可以通過Hub 站點互訪；（4）任意Spoke-PE 的Import target 屬
性不與其他Spoke-PE 的export-Targret 屬性相同。因此，任意兩
個Spoke-PE 之間不直接發(fā)布VPN-IPV4 路由，Spoke 站點之間
不能直接互訪。
2、組網(wǎng)應用
Hub&Spoke 組網(wǎng)有以下幾種組網(wǎng)方案：（1）Hub-CE 與Hub-
PE，Spoke-PE 與Spoke-CE 使用EBGP；（2）Hub-CE 與Hub-PE，
Spoke-PE 與Spoke-CE 使用IGP；（3）Hub-CE 與Hub-PE 使用
EBGP、Spoke-PE 與Spoke-CE 使用IGP。
下面詳細介紹這幾種方案：
方案一：Hub-CE 與Hub-PE，Spoke-PE 與Spoke-CE 使用
EBGP。
在Hub&Spoke 中，來自Spoke-CE 的路由需要在Hub-CE 和
Hub-PE 上轉一圈再發(fā)給其他Spoke-PE。如果Hub-PE 與Hub-
CE 之間使用EBGP，Hub-PE 會對該路由進行AS-Loop 檢查。此
時，Hub-PE 發(fā)現(xiàn)該路由已包含自己的AS 號，于是丟棄此路由。
因此，如果Hub-PE 與Hub-CE 之間使用EBGP，為了實現(xiàn)
Hub&Spoke，Hub-PE 上必須手工配置允許本地AS 編號重復。
方案二：Hub-CE與Hub-PE，Spoke-PE與Spoke-CE使用IGP。
由于所有的PE-CE 之間都使用IGP 交換路由信息，而IGP
路由不攜帶AS_PATH 屬性，所以BGP VPNv4 路由的AS-Path
都為空。
方案三：Hub-CE 與Hub-PE 使用EBGP、Spoke-PE 與Spoke-
CE 使用IGP。
與方案一組網(wǎng)的實現(xiàn)方案類似，Hub-PE 從Hub-CE 接收來
自Spoke-CE 的路由時，路由的AS-Path 屬性已包含該Hub-PE
所在AS 的編號。因此，必須在Hub-PE 上手工配置允許本地AS
編號重復出現(xiàn)。
3、配置命令
Hub&Spoke 組網(wǎng)主要是通過在PE 上匹配RT 屬性來實
現(xiàn)的。
PE(config-vrf)#route-target import XXX:XXX
/*根據(jù)實際情況可配置一個或多個*/
PE(config-vrf)#route-target export XXX:XXX
/*根據(jù)實際情況可配置一個或多個*/
另外，由于BGP 的AS-Path 屬性具有環(huán)路檢測特性，當CE
側的AS 編號有重復時，需要增加AS 允許重復功能alow-as 和
AS 覆蓋功能as-override：
（1）BGP 路由模式vpnv4 地址族，ipv4 地址族下配置允許
AS 重復的命令：
PE(config-router-af)#neighbor <neibhbor-address> allowas-in
（2）BGP 路由模式ipv4 vrf 地址族下配置AS 覆蓋命令：
PE (config-router-af)#neighbor <neibhbor-address> as-override
注意：這些配置命令需結合實際情況靈活使用。