网络笔记：MPLS 与 MPLS VPN

┌──────────────────────┬──────┬───┬────────┐
│    Label（20 bit）    │ EXP  │ S │  TTL   │
│     标签值            │ 3bit │1bit│ 8 bit │
└──────────────────────┴──────┴───┴────────┘
   │                     │      │      └── 每跳减 1，到 0 丢弃
   │                     │      └───────── 栈底标志：1 = 最后一层
   │                     └──────────────── 优先级（类似 802.1p，QoS 用）
   └────────────────────────────────────── 标签值：0~15 是保留值

关键保留标签：
  0    IPv4 显式空标签（PHP 用，告诉上游"弹出标签再转发"）
  3    Implicit Null（隐式空标签，直接不压标签）
  7    Router Alert（给路由器自己看的）
  14   OAM Alert

A 客户：192.168.1.0/24  →  RD 100:1 + 192.168.1.0/24  =  100:1:192.168.1.0/24
B 客户：192.168.1.0/24  →  RD 100:2 + 192.168.1.0/24  =  100:2:192.168.1.0/24

★ 两条路由现在【不一样了】，可以共存于 MP-BGP 表里
★ RD 是 8 字节，两种写法：
    ASN:nn    （如 100:1，AS 号 2 字节 + 编号 4 字节）
    IP:nn     （如 1.1.1.1:1，IP 4 字节 + 编号 2 字节）
★ RD 只负责【让前缀唯一】，不控制谁能收——那是 RT 的事

场景：A、B 两个客户各自独立，但都需要访问同一个"公共服务 VRF"

VPN_A   export RT 1:1     import RT 1:1
VPN_B   export RT 1:2     import RT 1:2
VPN_SRV export RT 1:100   import RT 1:1, 1:2

效果：
  · SRV 把路由打上 RT 1:100 发出去
  · A 和 B 的 import 列表里【都没有 1:100】，所以收不到 SRV 的路由
  · A 发的路由带 RT 1:1，SRV 的 import 里有 1:1 → SRV 能收到
  · 想反过来也通，就要在 A/B 的 import 里加上 1:100

★ Hub-Spoke 组网就是靠 RT 单向性实现的：
  Hub 的 import 包含所有 Spoke 的 RT，export 只有一个 RT；
  Spoke 的 import 只包含 Hub 的 RT → Spoke 之间不能直接互通，必须过 Hub

CE-A ── PE-1 ── P1 ── P2 ── PE-2 ── CE-B

① CE-A 发普通 IP 包 → PE-1
② PE-1（Ingress LER）：
   · 在 VRF-A 里查到目的地址，下一跳是 PE-2
   · 压【内层私网标签】（MP-BGP 分配的，标识这个 VRF）
   · 再压【外层公网标签】（LDP 分配的，指向 PE-2 的 LSP）
   → 变成「公网标签 | 私网标签 | IP 包」

③ P1、P2（LSR）：
   · 只看【外层标签】，做 Swap
   · 完全不看私网标签，也不知道有 VPN 存在
   → 这就是 MPLS VPN 的"透明承载"

④ PE-2（Egress LER）：
   · 弹出外层标签（PHP 可能让 P2 就弹了）
   · 看到私网标签 → 知道属于哪个 VRF
   · 弹掉私网标签，在对应 VRF 里查表 → 转发给 CE-B

★ 关键：P 设备不需要任何 VPN 配置，只跑 IGP + LDP 就行

mpls lsr-id 1.1.1.1
mpls
 mpls ldp
#
interface GigabitEthernet0/0/1
 mpls
 mpls ldp

# 用 LDP 给 IGP 路由分配标签，形成 LSP

ip vpn-instance VPN_A
 ipv4-family
  route-distinguisher 100:1                              # RD
  vpn-target 1:1 export-extcommunity                      # Export RT
  vpn-target 1:1 import-extcommunity                      # Import RT

interface GigabitEthernet0/0/2
 ip binding vpn-instance VPN_A
 ip address 192.168.1.1 255.255.255.0

bgp 100
 peer 2.2.2.2 as-number 100
 peer 2.2.2.2 connect-interface LoopBack0

 ipv4-family vpnv4                                       # ★ 关键：VPNv4 地址族
  peer 2.2.2.2 enable
  peer 2.2.2.2 advertise-community                       # 要带 RT，必须开

 ipv4-family vpn-instance VPN_A
  import-route direct
  import-route static

★ 顺序不能错：先建 VPN 实例、再配 MP-BGP，
  否则 vpn-instance 地址族下会找不到实例

# 公网侧
display mpls lsp                      # ★ 所有 LSP
display mpls ldp session              # LDP 会话状态（Oper 才算正常）
display mpls ldp peer
display mpls lsp verbose              # 看某条 LSP 的入/出标签和下一跳

# VPN 侧
display ip vpn-instance               # VPN 实例列表
display ip vpn-instance VPN_A         # ★ RD、RT、绑定接口
display ip routing-table vpn-instance VPN_A   # ★ VRF 里的路由
display bgp vpnv4 all peer            # MP-BGP 邻居
display bgp vpnv4 vpn-instance VPN_A routing-table   # VRF 的 BGP 路由
display bgp vpnv4 all routing-table   # ★ 所有 VPNv4 路由（含 RD）

# 端到端
ping -vpn-instance VPN_A 192.168.2.2  # 在指定 VRF 里 ping