假定用于IGP的是RIP，其實(shí)也可以是其他IGP。ISP邊緣路由器將插入VPRN路由RIP的實(shí)例，該實(shí)
例就是通過(guò)5.3.4描述的內(nèi)聯(lián)VPRN可達(dá)性機(jī)制學(xué)習(xí)獲得的。注意運(yùn)行載CPE的RIP實(shí)例以及任何用
于學(xué)習(xí)內(nèi)聯(lián)VPRN可達(dá)性（甚至RIP）的路由協(xié)議實(shí)例都是獨(dú)立的，由ISP邊緣路由器從一個(gè)實(shí)例
把路由重發(fā)布到另一個(gè)邊緣路由器。
5.3.3.1.3 多宿連接
    CPE路由器對(duì)于ISP網(wǎng)絡(luò)來(lái)說(shuō)是多宿的，提供VPRN連接性。
    這種情況下，所有的ISP邊緣路由器可以把相同的VPRN路由廣播到CPE路由器，后者便可以
通過(guò)所有鏈路認(rèn)知所有可達(dá)VPRN前綴。當(dāng)然還有其他特殊的重發(fā)布，ISP邊緣路由器對(duì)CPE路由
器廣播不同的前綴集。
5.3.3.1.4 后門連接
    CPE路由器連接到ISP網(wǎng)絡(luò)上，后者提供VPRN連接，但也可以由一個(gè)后門鏈接直接通往客戶
站點(diǎn)。
    這種情況下，ISP邊緣路由器將廣播VPRN路由到CPE設(shè)備上。然而現(xiàn)在相同的目的地是如何
通過(guò)ISP邊緣路由器和后門鏈接達(dá)到的呢？如果連接到后門鏈路上的CPE路由器運(yùn)行了客戶IGP，
那么后門鏈路總是作為優(yōu)先鏈路，就像一個(gè)內(nèi)部鏈路一樣，而通過(guò)ISP邊緣路由器插入的目的地
就好像是外部通道（對(duì)于客戶IGP來(lái)說(shuō)），為了避免這種情況，假設(shè)客戶希望自己的數(shù)據(jù)流量通
過(guò)ISP網(wǎng)絡(luò)，就需要一個(gè)獨(dú)立的RIP運(yùn)行在后門鏈路兩端的CPE路由器上，就如RIP運(yùn)行在樁鏈路
或者備份鏈路（在CPE路由器和ISP邊緣路由器之間）一樣，這便使得后門鏈路像向外部通路一
樣，通過(guò)適當(dāng)調(diào)整該鏈路的費(fèi)用，ISP通道可以總是可以優(yōu)先，除非它關(guān)閉，后門鏈路才啟用。
    上面就等于描述了ISP邊緣路由器和CPE路由器各自的可達(dá)性信息要求，以及傳送這些信息
的機(jī)制。下面的小節(jié)將詳細(xì)介紹這些機(jī)制。
5.3.3.2 路由協(xié)議實(shí)例
    路由協(xié)議可以運(yùn)行在CPE邊緣路由器和ISP邊緣路由器之間，交換可達(dá)性信息，這樣可以使
ISP邊緣路由器在客戶站點(diǎn)學(xué)習(xí)可達(dá)VPRN前綴，以及讓CPE路由器通過(guò)業(yè)務(wù)提供商網(wǎng)絡(luò)學(xué)習(xí)可達(dá)
目的地。
    雖然客戶也運(yùn)行相同的協(xié)議，就像它的IGP，但是這個(gè)協(xié)議路由域的只擴(kuò)展到ISP邊緣路由
器和CPE路由器，域可以擴(kuò)展到客戶站點(diǎn)，如果客戶站點(diǎn)正在運(yùn)行一個(gè)不同的路由協(xié)議，CPE在
ISP邊緣路由器實(shí)例和客戶站點(diǎn)實(shí)例之間重發(fā)布路由。
    考慮到這個(gè)路由實(shí)例的限制，一個(gè)簡(jiǎn)單的協(xié)議就足夠了，RIP可能是最普通的協(xié)議，其他也
可，如OSPF或者BGP運(yùn)行在內(nèi)部模式（IBGP）。
    注意樁鏈路路由協(xié)議的實(shí)例是不同于內(nèi)聯(lián)VPRN可達(dá)性路由協(xié)議實(shí)例的，例如，如果ISP邊緣
路由器用路由協(xié)議背載操作，通過(guò)內(nèi)核發(fā)布VPRN成員資格和可達(dá)性信息，那么它就可以由CPE
路由實(shí)例到核心路由協(xié)議實(shí)例重發(fā)布合適標(biāo)簽的路由，用于每個(gè)實(shí)例的路協(xié)議弱化了，任何合
適的協(xié)議可以用在每個(gè)場(chǎng)合。不需要相同的協(xié)議，甚至不需要相同的樁鏈路可達(dá)性信息收集機(jī)
制，不需要它運(yùn)行在CPE路由器和某一VPRN關(guān)聯(lián)的ISP邊緣路由器之間，因?yàn)檫@純粹是本地事務(wù)。
    這種弱化允許ISP使用一種普通的內(nèi)聯(lián)VPRN機(jī)制，通過(guò)這些機(jī)制，各個(gè)VPRN互相隔離，也隔
離于客戶網(wǎng)絡(luò)的IGP。在第一種情況中，ISP可以不和樁鏈路操作，就能獲得和內(nèi)聯(lián)VPRN可達(dá)性
機(jī)制的隔離；第二種情況，ISP不需要知道客戶站點(diǎn)的IGP。還有其他一些情況，如ISP邊緣路由
器和客戶站點(diǎn)運(yùn)行相同的IGP，但這很不實(shí)際，因?yàn)檫@樣便失去了VPRN簡(jiǎn)化CPE路由器配置的目
的。如果要讓客戶在多站點(diǎn)上運(yùn)行IGP，VPLS方案比較合適。
    注意，如果某一客戶站點(diǎn)同時(shí)屬于幾個(gè)VPRN（或者希望同時(shí)與VPRN和Internet通信），ISP
邊緣路由器必須映射樁鏈路地址前綴到特定的VPRN。簡(jiǎn)單一點(diǎn)，可以在每個(gè)VPRN中使用多條樁
鏈路，通過(guò)確保（或者，通過(guò)配置ISP邊緣路由器，使其知道）某一非結(jié)合的地址前綴映射到單
個(gè)的VPRN，或者由用合適的VPN標(biāo)識(shí)標(biāo)記來(lái)自于CPE路由器的路由廣播，從而可以在同一條樁鏈
路上運(yùn)行多個(gè)VPRN。如，MPLS傳送樁鏈路可達(dá)性信息，不同的MPLS標(biāo)記將用來(lái)區(qū)別不同的VPRN
所分配的前綴。不論如何，這種協(xié)同都需要一些管理規(guī)程。
5.3.3.3 配置
    跨過(guò)每一個(gè)樁鏈路的可達(dá)性信息可以手工配置，當(dāng)?shù)刂芳颓熬Y集很小或者為靜態(tài)時(shí)比較
合適。
5.3.3.4 ISP管理的地址
    每一個(gè)樁站點(diǎn)的地址集可以由VPRN的邊緣路由器管理和分配，當(dāng)客戶站點(diǎn)比較小的時(shí)候比
較合適，特別是包含單主機(jī)或者單子集。地址分配可以由PPP或者DHCP【37】來(lái)完成，如，邊緣
路由器作為一個(gè)Radius客戶，檢索客戶IP地址，或者作為一個(gè)DHCP中繼，檢查DHCP消息，中繼
給客戶站點(diǎn)，這時(shí)的邊緣路由器需要建立樁鏈路可達(dá)性信息表。雖然這些IP地址分配機(jī)制一般
用于分配給單個(gè)的主機(jī)，一些銷售商加了一些擴(kuò)展，使其可以分配地址前綴。在某些情況下，
讓CPE設(shè)備可以作為一個(gè)小型DHCP服務(wù)器，在客戶站點(diǎn)為主機(jī)分配地址。
    注意在這些方案下，地址分配服務(wù)器有責(zé)任保證VPN的每個(gè)站點(diǎn)收到不同的地址空間，也要
注意，ISP通常只為小的樁站點(diǎn)使用這種機(jī)制，小站點(diǎn)不太可能有后門鏈路。
5.3.3.5 MPLS LDP
    CPE路由器運(yùn)行MPLS時(shí)，LDP可以在樁站點(diǎn)傳送前綴集給VPRN邊緣路由器。用下行標(biāo)記發(fā)布
的主動(dòng)模式，CPE可以從頭站點(diǎn)的每個(gè)路由器發(fā)布一個(gè)標(biāo)記。然而需要注意的是，由于是LDP學(xué)
習(xí)新路由，而不是從存在的路由器學(xué)習(xí)標(biāo)記－－通過(guò)標(biāo)準(zhǔn)路由機(jī)制學(xué)習(xí)，邊緣路由器執(zhí)行的處
理就不僅僅是普通的LDP處理過(guò)程。
5.3.4 內(nèi)聯(lián)VPN可達(dá)性信息
    一旦邊緣路由器確定了聯(lián)結(jié)每個(gè)樁鏈路的前綴集，這個(gè)信息便必須馬上發(fā)布到每個(gè)邊緣路
由器。這里也有一個(gè)隱含的要求，那就是可達(dá)地址集本地唯一，也就是說(shuō)，每個(gè)VPRN樁鏈路（不
執(zhí)行負(fù)載共享）維護(hù)與任何其他地址空間無(wú)關(guān)的一個(gè)地址空間。實(shí)際中雖然不是要求這樣，但
至少希望這樣，這個(gè)地址空間要很好的分割開，如，每個(gè)邊緣路由器用一個(gè)特殊的地址前綴，
以便消除維護(hù)發(fā)布大數(shù)量主機(jī)路由的必要。
    內(nèi)聯(lián)VPN可達(dá)性信息的發(fā)布可以通過(guò)許多途徑解決，下面將分別敘述一下它們其中的幾個(gè)。
5.3.4.1 直接查找
    和VPRN成員信息一起，中心目錄可以維護(hù)連接每一個(gè)客戶站點(diǎn)的地址前綴列表，這樣的信
息可以由服務(wù)器通過(guò)邊緣路由器協(xié)議的交互作用獲得，注意5.3.2討論到的目錄同步問(wèn)題也可以
應(yīng)用在這個(gè)場(chǎng)合。
5.3.4.2 顯式配置
    地址空間可以顯式配置，但是這樣不容易升級(jí)，特別是當(dāng)使用隨機(jī)拓?fù)鋾r(shí)，同時(shí)這也提出
了管理系統(tǒng)如何學(xué)習(xí)這些信息的問(wèn)題。
5.3.4.3 本地內(nèi)聯(lián)VPRN路由實(shí)例化
    在這種方法中，每個(gè)邊緣路由器運(yùn)行一個(gè)路由協(xié)議（一個(gè)"虛路由"）的實(shí)例，通過(guò)VPRN
隧道到每個(gè)對(duì)端邊緣路由器，發(fā)布內(nèi)聯(lián)VPRN可達(dá)性信息。由于路由協(xié)議自身可以運(yùn)行在任何拓
撲上，全網(wǎng)拓?fù)浜碗S機(jī)拓?fù)涠伎梢院苋菀椎牡玫街С帧?nèi)聯(lián)VPRN路由廣播可能不同于普通的隧
道數(shù)據(jù)包，它可以直接定址對(duì)端邊緣路由器，或者使用隧道特殊機(jī)制。
    注意這里的內(nèi)聯(lián)VPRN路由協(xié)議可以和任何客戶站點(diǎn)的IGP協(xié)議以及ISP在IP骨干網(wǎng)的其他路
由協(xié)議不發(fā)生任何關(guān)系。根據(jù)VPRN尺寸的大小和規(guī)模，不論是簡(jiǎn)單的RIP協(xié)議還是復(fù)雜的OSPF
協(xié)議都可以使用。由于內(nèi)聯(lián)VPRN路由協(xié)議運(yùn)行在IP骨干網(wǎng)之上，對(duì)于任何中間路由器完全透明，
對(duì)于不在VPRN內(nèi)的任何其他邊緣路由器也完全透明，這也暗示了這樣的路由信息可以對(duì)這樣的
路由器保持不透明，在一些場(chǎng)合下這提供了必要的安全要求。也要注意，如果路由協(xié)議象數(shù)據(jù)
一樣直接運(yùn)行在同一個(gè)隧道上，那么它和數(shù)據(jù)流量有同等水平的安全，例如強(qiáng)加密或者認(rèn)證。
    如果內(nèi)聯(lián)VPRN路由協(xié)議所運(yùn)行的隧道對(duì)于特定VPN（如，一個(gè)不同的復(fù)接域）是專用的，那
么就不需要改變路由協(xié)議自身；另一方面，如果使用了共享隧道，那么就很有必要擴(kuò)展路由協(xié)
議，以允許VPN－ID包含在路由更新包中，允許前綴集連接到特定的VPN上。
5.3.4.4 鏈路可達(dá)性協(xié)議
    鏈路可達(dá)性協(xié)議就是允許兩個(gè)節(jié)點(diǎn)通過(guò)點(diǎn)到點(diǎn)鏈路連接，相互交換可達(dá)性信息，對(duì)于全網(wǎng)
拓?fù)洌總€(gè)邊緣路由器可以運(yùn)行鏈路可達(dá)性協(xié)議，例如MPLS CR－LDP的一些變種，通過(guò)隧道到
每個(gè)對(duì)端邊緣路由器，在兩個(gè)邊緣路由器之間通過(guò)隧道運(yùn)載VPN－ID和可達(dá)性信息。如果VPRN
成員信息已經(jīng)發(fā)布到邊緣路由器，那么就不再需要傳統(tǒng)的鄰路由發(fā)現(xiàn)協(xié)議，因?yàn)猷徆?jié)點(diǎn)集已經(jīng)
知道了。TCP連接可以用來(lái)互聯(lián)鄰接點(diǎn)，提供可達(dá)性。這個(gè)方法可以減少每個(gè)VPRN的路由協(xié)議實(shí)
例的處理負(fù)擔(dān)，可以支持多VPRN使用共享隧道機(jī)制連接邊緣路由器時(shí)。
    另一個(gè)鏈路可達(dá)性協(xié)議的方法可以基于IBGP，這時(shí)鏈路可達(dá)性協(xié)議需要解決的問(wèn)題與IBGP
非常相似－－在邊緣路由器之間可靠傳送地址前綴。
    用鏈路可達(dá)性協(xié)議可以直接支持全網(wǎng)拓?fù)洌總€(gè)邊緣路由器傳送它的本地可達(dá)性信息到
其他所有的路由器上，但是卻決不把從其他路由器接收來(lái)的信息重發(fā)布。然而，一旦需要支持
隨機(jī)拓?fù)洌溌房蛇_(dá)性協(xié)議需要開發(fā)成一個(gè)全路由協(xié)議，由于需要避免死環(huán)，重新發(fā)明一種路
由協(xié)議沒(méi)有什么好處。為什么在一個(gè)隧道環(huán)境中也需要部分連接網(wǎng)已經(jīng)在5.1.1中討論過(guò)。
5.3.4.5 IP骨干網(wǎng)路由協(xié)議的背載操作
    VPRN成員資格和關(guān)聯(lián)于每個(gè)頭接口的地址前綴也背載在從每個(gè)邊緣路由器的路由廣播和網(wǎng)
絡(luò)的傳播中。其他路由器就像它們獲得VPRN成員資格信息那樣（隱含在每個(gè)路由廣播源的標(biāo)識(shí)
中）抽取該信息。注意，由于所設(shè)計(jì)路由協(xié)議的特性，這個(gè)方案可能要求中間路由器－－如邊
緣路由器，緩存內(nèi)聯(lián)VPRN路由信息，以便重發(fā)；同時(shí)，這也隱含了安全要求，提出了內(nèi)聯(lián)VPRN
路由信息可能的安全水平。
    注意，上面所說(shuō)的任何情況，邊緣路由器都要以某種方式發(fā)布樁鏈路前綴，以允許從遠(yuǎn)端
邊緣路由器直接流出樁鏈路的隧道傳輸。它也可以發(fā)布這些信息，以便讓邊緣路由器關(guān)聯(lián)所有
的前綴，而不是特定的樁鏈路。這種情況下，邊緣路由器需要實(shí)現(xiàn)一個(gè)VPN特殊轉(zhuǎn)發(fā)機(jī)制以導(dǎo)出
流量，確定正確的樁鏈路。這樣做的一個(gè)好處就是可以很大程度上減少不同隧道的數(shù)目以及需
要?jiǎng)?chuàng)建和維護(hù)隧道的標(biāo)簽信息。注意，這個(gè)選擇只是本地事件，對(duì)于遠(yuǎn)端邊緣路由器是不可見
的。
5.3.5 隧道機(jī)制
    一旦VPRN成員資格信息得到發(fā)布，包含VPRN內(nèi)核的隧道就可以構(gòu)建了。
    建立隧道網(wǎng)的一種方法是用點(diǎn)到點(diǎn)IP隧道，這種隧道的要求和存在的問(wèn)題已經(jīng)在3.0節(jié)中討
論過(guò)了，例如，雖然隧道的建立可以通過(guò)手工配置，但是卻不容易升級(jí)，（數(shù)量級(jí)O（n^2））。
象這樣的話，隧道的建立需要用某些形式的信令協(xié)議，以允許兩個(gè)節(jié)點(diǎn)構(gòu)建隧道，能夠知道雙
方的身份。
    另一種方法是用多點(diǎn)到點(diǎn)的隧道，如MPLS。如【38】所提到的，MPLS可以視為某種形式的
IP隧道，由于MPLS包的標(biāo)記允許路由，弱化了數(shù)據(jù)包本身地址信息的作用。MPLS標(biāo)記發(fā)布機(jī)制
可以用來(lái)關(guān)聯(lián)MPLS標(biāo)記集和出口點(diǎn)（如樁鏈路和邊緣路由器)的VPRN地址前綴，因而允許其他路
由器顯式地標(biāo)記和路由，把流量導(dǎo)向特定的VPRN頭鏈路。
    MPLS的引人之處在于，作為一種隧道機(jī)制，它僅僅要求很少的處理，這主要是因?yàn)镸PLS網(wǎng)
絡(luò)的數(shù)據(jù)安全隱含在顯式的標(biāo)記綁定中，而不象面向網(wǎng)絡(luò)的連接，如幀中繼。因而使得用戶不
必為數(shù)據(jù)安全的處理做過(guò)多考慮，比如IPSec。然而，MPLS卻有其他潛在的安全問(wèn)題，它沒(méi)有直
接的認(rèn)證、機(jī)密性和完整性這樣的安全特性，MPLS的信任模型意味著需要通過(guò)中間路由器，（可
能屬于不同管理域）來(lái)傳送成員資格和前綴可達(dá)性信息，因而中間路由器必須得到信任，而不
僅是邊緣路由器本身。

5.4 多宿樁路由器
    這里假定樁路由器僅僅連在一個(gè)VPRN邊緣路由器，總起說(shuō)來(lái)，如果市場(chǎng)因?yàn)榭煽啃曰蛘咂?他原因，這個(gè)限制可以減少VPRN操作。特別是如果樁路由器支持多宿冗余鏈路，一次只有一個(gè)
運(yùn)行，鏈路連在同一個(gè)VPRN邊緣路由器上，或者兩個(gè)或多個(gè)不同VPRN邊緣路由器上，那么樁鏈
路可達(dá)性機(jī)制既要能夠發(fā)現(xiàn)活動(dòng)鏈路的丟失，又要主要備份鏈路的活動(dòng)。在前一種情況，前一
個(gè)連接的VPRN邊緣路由器將停止廣播可達(dá)性信息，而帶有活動(dòng)鏈路地VPRN邊緣路由器將開始廣
播可達(dá)性，然后存儲(chǔ)連接