L3VPN (Layer 3 VPN)

L3VPN (Layer 3 VPN) — услуга виртуальной частной сети, в которой оператор маршрутизирует IP-трафик клиента между его площадками и изолирует его от трафика других клиентов. Основная реализация — BGP/MPLS IP VPN, описанная в RFC 4364.

Архитектура: CE, PE и P

Маршрутизатор клиента (CE) подключается к граничному маршрутизатору оператора (PE) и передаёт ему свои префиксы — статически либо по OSPF (протокол динамической маршрутизации, автоматически ищущий оптимальные пути передачи данных в компьютерных сетях) или BGP. На PE для каждого клиента создаётся отдельный экземпляр VRF (изоляция сетей на уровне маршрутизации) с собственной таблицей маршрутизации. Магистральные маршрутизаторы (P) клиентских маршрутов не знают: они лишь коммутируют пакеты по меткам MPLS. Благодаря этому ядро сети не перегружается, а адресные пространства клиентов могут пересекаться.

Роль MP-BGP, RD и RT

Маршруты клиентов PE-узлы передают друг другу по MP-BGP (расширение протокола BGP, позволяющее одновременно работать с несколькими «семействами адресов»). К каждому префиксу добавляется Route Distinguisher (RD) — 64-битный идентификатор, делающий одинаковые адреса разных клиентов уникальными. Вместе с RD префикс образует адрес семейства VPNv4. Атрибут Route Target (RT) определяет, в какие VRF маршрут будет импортирован. Значения RD и RT назначает оператор. Сочетая RT, строят полносвязные топологии, схемы «звезда» и общие сервисные зоны. Пакет несёт две метки: транспортную до удалённого PE и сервисную, указывающую VRF.

Преимущества и ограничения

L3VPN хорошо масштабируется: новая площадка подключается к ближайшему PE и сразу получает связность со всеми остальными. Широковещательный трафик между площадками не передаётся, оператор может обеспечить классы обслуживания (QoS) для голоса и видео. Ограничения: сервис переносит только IP, а клиент зависит от маршрутизации оператора и согласует с ним адресацию стыков. Трафик не шифруется, поэтому для защиты данных добавляют криптографические средства.