摘 要 本文在简要介绍MPLS VPN技术及特点基础上，讲述了如何在公共网络基础设施上利用MPLS VPN技术构建合肥市电子政务专网，有效地将合肥市政府各部门的局域网连成一个整体，并实现信息的安全传输。
关键词 电子政务 MPLS VPN
随着政府信息化步伐的加快，电子政务专网的构建正在全国上下迅速地铺开，各地各级政府部门陆续都在进行着电子政务专网的规划设计、建设实施和运行管理。当今政府机关、事业部门管理方式正朝着越来越扁平化的方向发展，同时其内部机构的分布地域也越来越广泛，与其他部门和广大平民百姓的相互关联性越来越紧密、相互影响度越来越强烈，这就使得政府部门迫切需要把原有的各自孤立的局域网互联为一个整体，为电子政务系统构筑一个畅通、可靠、安全的网络信息传输的统一平台。本文探索利用MPLS VPN技术在地市和区县部门之间构建电子政务专网，以确保网络上数据的安全传输。
1 MPLS的概念
MPLS（Multiprotocol Label Switching）即多协议标签交换是兼有基于第二层交换的分组转发技术和第三层路由选择技术的优点，利用绑定在IP包中的标签通过网络进行数据包转发的技术。IP包在进入第一个MPLS设备时，MPLS边缘路由器就用标签封装起来。MPLS边缘路由器分析IP包的内容并且为这些IP包选择合适的标签，尔后所有MPLS网络中节点都是依据这个简短标签来作为转发判决依据。在随后的转发过程中，数据包的网络层包头将不再被进一步的分析。
2 MPLS VPN 的构件及原理
MPLS VPN 包括以下组件：骨干路由器（P）、边缘路由器（PE）、用户边缘路由器（CE）以及站点（Site）。P是核心路由器，作为标签交换路由器（LSR），它根据分组的外层标签对VPN数据进行透明转发，P路由器只维护到PE路由器的路由信息而不维护VPN相关的路由信息。PE作为标签边缘路由器（LER），它们为VPN成员保持着VPN路由，与CE以及连到P的接口对等交换路由。P与PE路由器之间将使用IP路由协议，建立MPLS核心网络中的路径，并且使用标签控制协议（如LDP）实现路由器之间的标记分发。CE使用传统的路由选择方法实现网络连接。CE与PE、PE与PE之间使用BGP协议作为标签控制协议，这其中CE与PE之间属于BGP自治区域之间的会话，即EBGP，PE与PE之间属于BGP自治区域内的会话，即IBGP。Site是用户的一个连通的IP 系统，每一个site通过CE与PE相连，site 是构成VPN的基本单元。一个VPN是由多个site组成的，一个site 也可以同时属于不同的VPN。
每个PE都直接和属于相应VPN的Site相连，这些VPN都直接映射到每个PE的各自的虚拟路由中。通过使用BGP协议PE路由器之间自动的交换特定VPN的MPLS标记，并且自动的在内部VPN站点之间建立MPLS隧道，这些MPLS隧道能够传输一个或多个特定VPN，每个VPN标签交换通道都直接与隧道两端点的站点连接。目前基于MPLS的VPN方案中，以RFC2547中规定的MPLS VPN得到了大多数厂家的支持，如Cisco，Juniper等。
现在看看如何转发用户数据的。
（1）CE1接收到发往172.21.1.1的IP数据包，查询路由表，把该IP数据包发送到PE1。
（2）PE1从S1口上收到IP数据包后，根据S1所在的VRF，查询对应的CEF表，数据包打上标签6，注意该标签就是通过MP-BGP协议传来的。PE1继续查询全局CEF表，获知要把数据发往172.21.1.1，必须先发送到PE2，而要发送到PE2，则必须打上由P1告知的标签3。所以该IP包被打上了两个标签。
（3）P1接收到标签包后，分析顶层的标签，把顶层标签换成4，继续发送的P2。
（4）P2和P1一样做同样的操作，由于次末中继弹出机制，P2去掉标签4，直接把只带有一个标签的标签包发送到PE2。
（5）PE2收到标签包后，分析标签头，由于该标签6是它本地产生的，而且是本地唯一的，所以PE2很容易查出带有标签8的标签包应该去掉标签，恢复IP包原貌，从S1端口发出。
（6）CE2获得IP数据包后，进行路由查找，把数据发送到172.21.1.0/24网段上。
3 基于MPLS VPN构建合肥市电子政务专网
合肥市电子政务专网需要为全市近200个单位（包括党群口）建立市、区县二级横向网络，同时为省、市、区县三级党政部门建立纵向网络，满足各部门间资源共享的需要，其逻辑结构是一个复杂的立体架构。
3．1 主干设计
合肥电子政务网络从整体结构上可以分为核心层、汇聚层和接入层等三个层次，其中核心层和汇聚层是网络中心主体，也就是政务网的骨干部分，骨干网是指市、区县各职能部门上连设备以上部分，市级骨干网作为全市数据交换平台，由运营商进行管理，是三网合一的骨干网络承载部分，包括核心层和汇聚层。骨干网主要使用千兆以太网技术、MPLS VPN技术，组建高速的宽带IP网。
合肥市电子政务骨干网的市级核心层由4台核心路由交换设备组成环网构成，分别放置于政务文化新区、宿州路电信分局、大钟楼电信分局和五里墩电信机房，是MPLS的PE（P）设备，节点间组成双环网可以提供路由保护及提高可靠性。
电子政务专网基础网络拓扑图
在合肥电子政务专网骨干网中，核心层的4台路由器作为MPLS VPN的PE设备，同时起P的作用，核心层节点处于网络的核心位置，核心层功能主要是完成全网业务的高速交换和路由转发，对网络的可靠性、业务的支持能力和数据的转发性能都有较高的要求，从设备的处理能力考虑，核心节点设备采用“交换式分布处理体系骨干高端三层路由器”，对所有端口提供线速支持能力，之间采用双GE光纤互联，形成环状结构。汇聚层节点作为每个区域的业
务汇接中心起着承上启下的作用，上连骨干节点设备，下接各政府部门的局域网，实现流量的汇聚。这里它主要用于连接一般的市直属部门、以及一些区县一级的直属部门、区县，包括政务文化新区、高新开发区、经济技术开发区、新站开发区等单位及城市信息化的主要信息节点，我们部署共17个汇聚节点，其中市区部署15台（包括三县），政务文化新区2台汇聚设备。每个汇聚节点都通过双GE分别就近平均地上联到核心层不同的核心节点上，消除骨干单点故障。
全网的Internet出口位于核心层，同时与两家服务提供高速、安全互联，并预留政府网站接口。同时与省电子政务网平滑地接入。
在核心层部署一台高端路由设备作为电子政务专网的VPDN网关（远程接入服务器），出口考虑与多家运营商百兆或千兆接入Internet，允许街道、乡镇、远程办公机关等超小型单位灵活地通过Internet 建立L2TP /IPsec VPN接入专网。
3．2 MPLS VPN纵横互联
各级政府部门和直属机构需要实现横向互联同时上下级之间需要实现纵向互联，通过MPLS VPN方式可以完全实现横向和纵向互联，横向可实现市、县（区）二级政府的区域性互连，纵向可实现覆盖省市县三级单位的政府或行业的纵向虚拟网络。
具体的实现方式
局域网：不同部门划分为不同的VLAN。
城域网：完成VLAN 到MPLS 的标签之间的映射，完成政府横向和纵向的虚拟网。
合肥基础网络纵横互联示意图
下面分别从两个方面分别说明：
（1）横向VPN构建：
在电子政务专网中，使用VPN技术来进行各系统的网络隔离及特殊应用的横向访问互通，保证网络安全。专网内，对在本地有访问要求的系统及应用，在本单位可与其他机器位于不同的VLAN，实现了本地安全隔离，保证本地其它机器的安全。在专网不同的网络节点，需要横向互访的主机设备分属于不同VLAN，这样避免了在一个VLAN内有太多的主机。如果VPN内没有太多的主机，则可以将这些主机在城域网内设置在一个VLAN内，直接在二层互通，可以提高网络效率。
在汇聚层PE处，利用MPLS技术，将这些需要相互访问的主机的VLAN，引入到同一个VPN内进行路由，从而实现在网内主机的互连互通。而其它没有被引入的VLAN，不能访问这个VPN的成员的主机。从而实现了专网内的跨部门主机访问，又防止对各单位内部不需要横向访问主机的安全性。
（2）纵向VPN构建：
横向VPN解决了城域网内的互通及安全隔离，在专网广域网上，则要利用MPLS VPN组网实现各系统间纵向网络的互联，以及相互之间的安全隔离互联等。
在专网中，不同部门主机，位于不同的VLAN中，这些网关与其它部门主机相互隔离，确保不被非法访问。在VLAN统一的出口处，政务专网骨干网的PE设备，将各主机所在的VLAN引入到相应的VPN中，通过骨干网实现VPN内的互通。
4 网络的安全
合肥市电子政务专网建立一个专用、公共的网络平台，统一实现纵向网及横向网的信息交互，达到每个政府部门只需建设一个局域网络，通过一条通信线路，就可以实现纵向及横向全部通信的需要，非常好地满足了政府对网络的灵活机动性以及any --to--any连接等的广泛需求。
这个系统的安全性体现在：（1）转发透明。采用MPLS作为通道机制实现透明分组传输，MPLS的标签交换路径(LSP)具有与FR和ATM的VC相类似的安全性；（2）路由分离。PE路由器为每一个VPN保持一个分离的路由表（VRF）彼此独立，与全局路由表独立。即使有两个政府部门的纵向网络使用相同的地址空间，彼此之间也是完全隔离的。（3）核心隐藏。在MPLS内部连接到VPN的接口是BGP，没有必要透露关于核心的任何信息给用户，如果在PE和CE之间使用动态路由协议，CE惟一知道的信息是PE路由器的地址，如果在CE和PE之间配置静态路由，则可以彻底隐藏MPLS核心。
系统具有相当强的灵活性及可扩展性，MPLS核心采用VPN-IPV4地址路由使得不用更改单位的局域网中的私有IP地址，就能使建设后的VPN中的地址在MPLS VPN中是独一无二的。如果要在单位的VPN中增加站点，在大多数情况下只需把新站点连接到本地的MPLS网络骨干节点PE路由器上。
5 结束语
合肥市电子政务专网采用了集中力量建设一个统一的政务信息网络平台的方式, 通过MPLS VPN技术在这个统一的网络平台上为各个行业和部门的应用系统划分各自独立的VPN隧道, 这种建设模式避免了各个行业和部门各自为政所造成的重复建设和资源浪费，同时又保证了各个应用系统的保密性、安全性和独立性，产生了较好的经济和社会效益。平台为各单位开展各种应用提供了良好的网络基础。目前, 该平台连接单位130多个, 上网用户4000多。该平台还为50多个单位提供网站托管或者建立虚拟主机服务。合肥市电子政务专网已投入使用,到目前为止运行稳定可靠。随着接入单位和用户不断增加, 带动了市直单位的局域网建设和应用, 取得良好的社会效益。下一步, 在扩大接入单位的同时, 实现与全市所有市级连网, 并开发更多应用, 为各级合肥市党政部门提供更好的服务。
