孫琳 徐海峰 南京江浦海軍指揮學(xué)院浦口分院網(wǎng)絡(luò)中心 南京科融數(shù)據(jù)系統(tǒng)有限公司系統(tǒng)集成部
[摘 要]本文主要簡(jiǎn)述了MPLS VPN技術(shù)的工作原理和先進(jìn)優(yōu)點(diǎn)，并結(jié)合電力數(shù)據(jù)網(wǎng)的特殊應(yīng)用，闡述了MPLS VPN 技術(shù)應(yīng)用于電力調(diào)度數(shù)據(jù)網(wǎng)中的優(yōu)勢(shì)所在，最后詳細(xì)闡述了如何在電力這個(gè)特殊應(yīng)用的網(wǎng)絡(luò)中部署MPLS VPN的接入服務(wù)。
[關(guān)鍵詞] 電力調(diào)度數(shù)據(jù)網(wǎng) MPLS VPN 特殊應(yīng)用
隨著經(jīng)濟(jì)體制改革的進(jìn)一步深化及”十一五”的到來(lái)，我們國(guó)家正發(fā)生著日新月異的變化，對(duì)電量的需求也年年增加，電荒最近幾年也幾乎年年出現(xiàn)，這就對(duì)提供電能服務(wù)的電力行業(yè)提出了全新的任務(wù)和挑戰(zhàn)。但由于種種原因，目前我們國(guó)家絕大部分地區(qū)級(jí)調(diào)度數(shù)據(jù)網(wǎng)還不太健全，對(duì)該系統(tǒng)也不夠重視，但事實(shí)上，調(diào)度數(shù)據(jù)網(wǎng)的重要性是不言而喻的，它可以充分發(fā)揮調(diào)度自動(dòng)化系統(tǒng)的各種功能，全國(guó)調(diào)度電能的合理分配，保證電力正常供應(yīng)，服務(wù)于社會(huì)。
電力數(shù)據(jù)網(wǎng)特點(diǎn)
在調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中，應(yīng)用數(shù)據(jù)類型可分為兩大類：
（1）實(shí)時(shí)業(yè)務(wù)（監(jiān)控）：
EMS與RTU或變電所自動(dòng)化系統(tǒng)的實(shí)時(shí)數(shù)據(jù)
地/縣級(jí)調(diào)度、縣級(jí)市/縣級(jí)調(diào)度EMS之間交換的實(shí)時(shí)數(shù)據(jù)
電力系統(tǒng)動(dòng)態(tài)測(cè)量數(shù)據(jù)
（2）非實(shí)時(shí)業(yè)務(wù)（調(diào)度生產(chǎn)直接相關(guān)業(yè)務(wù)）
發(fā)電、用電及聯(lián)絡(luò)線交換計(jì)劃、聯(lián)絡(luò)線考核
調(diào)度票、操作票、檢修票等
調(diào)度生產(chǎn)運(yùn)行報(bào)表（日?qǐng)?bào)、月報(bào)、季報(bào)）
電能量計(jì)量計(jì)費(fèi)信息
故障錄波、保護(hù)和安全自動(dòng)裝置有關(guān)管理數(shù)據(jù)
不同類型的數(shù)據(jù)應(yīng)用對(duì)網(wǎng)絡(luò)的安全和可靠性有不同的特殊要求，如調(diào)度實(shí)時(shí)業(yè)務(wù)是對(duì)服務(wù)質(zhì)量有特殊要求。而電量計(jì)費(fèi)信息則是對(duì)數(shù)據(jù)的私密性有較高要求，應(yīng)與其它數(shù)據(jù)隔離，以達(dá)到在整個(gè)數(shù)據(jù)網(wǎng)絡(luò)中傳輸數(shù)據(jù)就像在專用的網(wǎng)絡(luò)中傳輸數(shù)據(jù)一樣。
基于以上原因，如果依照我們傳統(tǒng)的組網(wǎng)方式，我們將需要建造二套或多套物理完全隔離的網(wǎng)絡(luò)才能滿足電力系統(tǒng)的特殊的高安全、高可靠性的要求，這樣的規(guī)劃設(shè)計(jì)不但需要花費(fèi)大量的資金購(gòu)買所需的網(wǎng)絡(luò)設(shè)備，同時(shí)還給我們維護(hù)多個(gè)網(wǎng)絡(luò)帶來(lái)了不便，所以我們需要一種全新的技術(shù)來(lái)組建一個(gè)網(wǎng)絡(luò)，即能多網(wǎng)合一，又能滿足電力系統(tǒng)的多個(gè)不同業(yè)務(wù)的特殊要求，而最近幾年新發(fā)展的MPLS VPN技術(shù)就能夠滿足電力系統(tǒng)特殊的應(yīng)用要求。因此，如何部署MPLS VPN網(wǎng)絡(luò)，建立一個(gè)“專用網(wǎng)中的專用網(wǎng)”，將會(huì)是一個(gè)令眾人關(guān)注的新的研究領(lǐng)域。
MPLS工作原理及在電力組網(wǎng)中的優(yōu)點(diǎn)
MPLS的一些主要組成包括Edge LSR (edge label switch router)，LSR(label switch router)和標(biāo)記(label)。
Edge LSR 擔(dān)負(fù)從非MPLS設(shè)備接收IP包和向這些設(shè)備傳遞標(biāo)準(zhǔn)IP包的雙重任務(wù)。它負(fù)責(zé)開始的包處理和分類，并分配第一個(gè)label等。簡(jiǎn)單的說(shuō)，Edge LSR 的角色是把非標(biāo)記包轉(zhuǎn)換成標(biāo)記的包。
LSR是根據(jù)預(yù)先計(jì)算出的交換表來(lái)交換標(biāo)記包的核心設(shè)備。這種設(shè)備可以是一臺(tái)交換機(jī)或一臺(tái)路由器，一臺(tái)ATM交換機(jī)也可以具有MPLS能力，如果它可以交換基于標(biāo)記的包，該標(biāo)記在ATM VPI/VCI域中將作為正常的ATM流量被攜帶。
標(biāo)記是LSR用于轉(zhuǎn)發(fā)包的頭。該頭格式取決于網(wǎng)絡(luò)的特點(diǎn)。在路由網(wǎng)絡(luò)中，標(biāo)記是單獨(dú)的32位頭。在ATM網(wǎng)絡(luò)中，LSR只讀取標(biāo)記，而不讀網(wǎng)絡(luò)層的包頭。
觀察MPLS 如何運(yùn)作的最簡(jiǎn)單辦法是跟蹤一個(gè)穿過(guò)調(diào)度數(shù)據(jù)網(wǎng)MPLS網(wǎng)絡(luò)的包。
圖1:跟蹤數(shù)據(jù)包過(guò)程
第一步：網(wǎng)絡(luò)自動(dòng)建立路由選擇表，整個(gè)調(diào)度數(shù)據(jù)網(wǎng)絡(luò)上的路由器或交換機(jī)使用內(nèi)部網(wǎng)關(guān)協(xié)議，如OSPF、EIFGRP或IS-IS。LDP使用表中的路由選擇拓?fù)�，在相鄰兩個(gè)設(shè)備之間建立標(biāo)記值。這個(gè)操作將在目的端點(diǎn)之間創(chuàng)建LSP或預(yù)先配置的指示圖。與ATM永久虛擬電路(PVC)不同的是，標(biāo)記是自動(dòng)分配的，而永久虛擬電路需要人工分配VPI/VCI。
第二步：一個(gè)入局?jǐn)?shù)據(jù)包進(jìn)入邊沿LSR，它在LSR經(jīng)過(guò)處理，確定它需要哪一種第三層業(yè)務(wù)，諸如QoS和帶寬管理。根據(jù)路由選擇和策略的要求，邊沿LSR選擇并給數(shù)據(jù)包報(bào)頭貼上標(biāo)記，并轉(zhuǎn)發(fā)這個(gè)數(shù)據(jù)包。
第三步：核心中的LSR解讀每個(gè)數(shù)據(jù)包上的標(biāo)記，并用表中所列的新標(biāo)記進(jìn)行替換。這個(gè)操作在核心中的所有中繼段上(hops in the core) 重復(fù)。
第四步：入口邊沿交換機(jī)去除標(biāo)記，解讀數(shù)據(jù)包報(bào)頭，并轉(zhuǎn)發(fā)到它的最終目的地。
MPLS的VPN技術(shù)是專門為VPN所設(shè)計(jì)的，即所謂VPN Aware網(wǎng)絡(luò)。在這種技術(shù)中，采用32位長(zhǎng)的VPN標(biāo)識(shí)符嵌入到IP包中，形成一個(gè)VPNIP地址。BGP(BorderGatewayProtocol) 路由協(xié)議可以對(duì)VPN-IP地址進(jìn)行路由尋址，但轉(zhuǎn)發(fā)數(shù)據(jù)包則要求多協(xié)議標(biāo)簽交換技術(shù)MPLS (Multi-Protocal Label Switching)。
MPLS VPN在規(guī)�；疺PN應(yīng)用中具有得天獨(dú)厚的優(yōu)勢(shì)，其原因就在于它的如下特點(diǎn)：
安全性高。路由信息分發(fā)限制和MD5路由認(rèn)證技術(shù)，使用戶所依賴的公網(wǎng)成為可以信任的網(wǎng)絡(luò)。MPLS還同時(shí)支持防火墻技術(shù)，及高層應(yīng)用加密。
可管理性。由于其工作機(jī)理并不進(jìn)行協(xié)議封裝，用網(wǎng)管軟件可以得到很好的管理。
可擴(kuò)展性。BGP和MPLS支持極好的網(wǎng)絡(luò)擴(kuò)展性。其他的VPN解決方案則由于對(duì)CPU的耗費(fèi)很高，或者連接數(shù)太多，在擴(kuò)展性方面存在不足。QoS保障。MPLS支持?jǐn)?shù)據(jù)流的分類、流量控制、掉包控制、擁塞控制等，具備完全的保障QoS的能力。
根據(jù)電力應(yīng)用系統(tǒng)的具體應(yīng)用及要求，采用了以RFC 2547規(guī)定的BGP/MPLS VPN方案實(shí)施。BGP/MPLS VPN概念中，把整個(gè)網(wǎng)絡(luò)中的路由器分為三類：CE（用戶邊緣路由器）、PE（運(yùn)營(yíng)商邊緣路由器）和P（運(yùn)營(yíng)商骨干路由器）；其中，PE充當(dāng)IP VPN接入路由器。由于BGP/MPLS VPN采用PE之間通過(guò)擴(kuò)展后的BGP協(xié)議（MP-BGP）來(lái)承載VPN成員關(guān)系和VPN網(wǎng)絡(luò)可達(dá)性，所以使MPLS VPN網(wǎng)絡(luò)具有良好的擴(kuò)展性、靈活性和可靠性。
MPLS VPN的工作過(guò)程如下圖：
圖2: MPLS VPN的工作過(guò)程
CE到PE間通過(guò)IGP路由或BGP將用戶網(wǎng)絡(luò)中的路由信息通知運(yùn)營(yíng)商路由器(PE)，在PE上有對(duì)應(yīng)于每個(gè)VPN的虛擬路由表（VRF），類似有一臺(tái)獨(dú)立的路由器與CE進(jìn)行連接。
PE之間采用MP-BGP傳送VPN內(nèi)的路由信息以及相應(yīng)的標(biāo)記(VPN的標(biāo)記，以下簡(jiǎn)稱為內(nèi)層標(biāo)簽)，而在PE與P路由器之間則采用傳統(tǒng)的IGP協(xié)議相互學(xué)習(xí)路由信息，采用LDP協(xié)議進(jìn)行路由信息與標(biāo)記(用于MPLS標(biāo)簽轉(zhuǎn)發(fā)，以下稱為外層標(biāo)簽)的綁定。到此時(shí)，CE，PE以及P路由器中基本的網(wǎng)絡(luò)拓?fù)湟约奥酚尚畔⒁呀?jīng)形成。PE路由器擁有了骨干網(wǎng)絡(luò)的路由信息以及每一個(gè)VPN的路由信息（VRF）。
當(dāng)屬于某一VPN用戶端路由器(CE)有數(shù)據(jù)進(jìn)入時(shí)，在CE與PE連接的接口上可以識(shí)別出該CE屬于哪一個(gè)VPN，進(jìn)而到該VPN的VRF路由表中去讀取下一跳的地址信息，同時(shí)，在前傳的數(shù)據(jù)包中打上VPN標(biāo)記(內(nèi)層標(biāo)簽)。下一跳地址為與該P(yáng)E作Peer的PE的地址，為了到達(dá)這個(gè)目的端的PE，在起始端PE中需讀取MPLS骨干網(wǎng)絡(luò)的路由信息，從而得到下一個(gè)P路由器的地址，同時(shí)采用LDP在用戶前傳數(shù)據(jù)包中打上用于MPLS標(biāo)簽交換的標(biāo)簽(外層標(biāo)簽)。
在MPLS骨干網(wǎng)絡(luò)中，初始PE之后的P均只讀取外層標(biāo)記的信息來(lái)決定下一跳，因此骨干網(wǎng)絡(luò)中只是簡(jiǎn)單的標(biāo)簽交換。
在達(dá)到目的端PE之前的最后一個(gè)P路由器時(shí)，將把外層標(biāo)簽去掉，讀取內(nèi)層標(biāo)記，找到VPN，并送到相關(guān)的接口上，進(jìn)而將數(shù)據(jù)傳送到VPN的目的地址處P路由器即MPLS LSR。它完全依據(jù)MPLS的標(biāo)簽來(lái)作出轉(zhuǎn)發(fā)決定。由于P路由器完全不需要讀取原始的數(shù)據(jù)包信息來(lái)作出轉(zhuǎn)發(fā)決定，P路由器不需要擁有VPN的路由信息。因此P只需要參與骨干IGP的路由，不需要參加MP-BGP的路由。
MPLS VPN在電力系統(tǒng)中的實(shí)現(xiàn)
在電力數(shù)據(jù)網(wǎng)絡(luò)中，有某些節(jié)點(diǎn)可能部署了對(duì)網(wǎng)絡(luò)的私密性和服務(wù)質(zhì)量有特殊要求的應(yīng)用，可在這些節(jié)點(diǎn)部署MPLS VPN的接入服務(wù)。
如下圖所示：
圖3:MPLS VPN 網(wǎng)絡(luò)示意圖
MPLS用戶（應(yīng)用）的接入方式有很多。由于本網(wǎng)絡(luò)MPLS VPN的使用者是局內(nèi)調(diào)度系統(tǒng)的內(nèi)部應(yīng)用，這些內(nèi)部應(yīng)用將可以通過(guò)電力調(diào)度系統(tǒng)的內(nèi)部網(wǎng)絡(luò)以局域網(wǎng)方式接入到各地區(qū)調(diào)度數(shù)據(jù)網(wǎng)絡(luò)。其接入方式如下圖所示：
圖4:MPLS VPN接入方式示意圖
圖4中，實(shí)時(shí)EMS和電量計(jì)費(fèi)需要在地區(qū)調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中傳輸數(shù)據(jù)，并且因?yàn)榘踩托阅艿奶厥庖�，必須與其它數(shù)據(jù)隔離，所以，在網(wǎng)絡(luò)中，為這2個(gè)應(yīng)用開設(shè)了2個(gè)MPLS VPN：VPN10和VPN20。2個(gè)應(yīng)用通過(guò)交換機(jī)的不同VLAN――10和20，接入到網(wǎng)絡(luò)中。
網(wǎng)絡(luò)中的路由器，可能是骨干路由器或核心路由器，負(fù)責(zé)MPLS VPN用戶（應(yīng)用）的接入，即PE路由器。PE路由器與交換機(jī)之間以VLAN truck連接。在PE路由器的連接端口上，劃分了與各個(gè)VLAN對(duì)應(yīng)的子端口，如與VLAN10對(duì)應(yīng)的子端口10，與VLAN20對(duì)應(yīng)的子端口20。實(shí)時(shí)EMS和電量計(jì)費(fèi)的數(shù)據(jù)通過(guò)交換機(jī)的VLAN10和VLAN20和VLAN truck，分別流出到PE路由器上的子端口10和20。由于這兩個(gè)子端口都配置了MPLS VPN屬性，分屬于VPN10和VPN20，所以流入的數(shù)據(jù)就被分別導(dǎo)入到各自的VPN中。然后，PE路由器將根據(jù)各自VPN的VRF路由表加入VPN標(biāo)識(shí)符后，再通過(guò)MPLS標(biāo)簽轉(zhuǎn)發(fā)的方式將數(shù)據(jù)進(jìn)行傳輸。如果使用VPN的應(yīng)用對(duì)網(wǎng)絡(luò)性能有特殊要求，可以分別在各自的VPN中設(shè)置。
這樣，實(shí)時(shí)EMS和電量計(jì)費(fèi)的數(shù)據(jù)，就可以得到很高的安全性和服務(wù)質(zhì)量，就像是使用專用的網(wǎng)絡(luò)進(jìn)行傳輸一樣。
依次類推，我們可以更加細(xì)化不同應(yīng)用，為它們定義不同的VPN。
參考文獻(xiàn)：
Mark S. Merkow: Virtual Private Networks For Dummies, Hungry Minds, 2000, Indianapolis, IN. ISBN: 0-7645-0590-4.
Dennis Fowler: Virtual Private Networks: Making the Right Connection, Morgan Kaufmann, 1999, San Francisco, CA. ISBN: 1-55860-575-4.
