MPLS VPN在隔离中的优势

MPLS VPN与VLAN+ACL的对比分析

适用范围: VLAN本质上是一种局域网技术，适用于局域网范围内的隔离，但是依靠VLAN本身并不能保证IP业务的隔离，必须和ACL配合使用。由于这种方式下，所有业务系统处在一个IP地址空间，彼此可见，不是真正的隔离，为网络安全留下隐患。MPLS VPN是基于IP层信息及路由的隔离，不同VPN之间的IP地址彼此独立，VPN中的主机感觉不到其他VPN成员的存在，从而实现了真正的隔离。同时，由于MPLS VPN是基于三层的路由隔离，并且利用BGP扩展协议自动扩散VPN成员信息，所以MPLS VPN适用于广域网、城域网及其他规模比较大的网络。

灵活性: VLAN只能用于以太网组网，而MPLS VPN是基于IP的技术，具备IP技术特有的灵活性，可以支持各种链路。同时，由于VLAN是基于二层的网络技术，VLAN ID要求统一规划，所以很难满足复杂的业务隔离需求，在实际应用中，VLAN隔离技术也是用于局域/园区范围之内，无法满足复杂隔离需求。MPLS VPN中利用BGP的route target属性及BGP丰富的控制策略，可以很容易实现这些隔离需求。

可维护性: VLAN为了实现不同业务系统的IP层隔离，必须针对每个VLAN，配置大量的ACL条目，并且每个3层节点上，随着需要隔离的业务系统数目(N)的增加，配置工作以N(N-1)方式增加。MPLS VPN依靠路由转发实例自动实现隔离，不需要针对每个网段配置进行ACL配置，同时，不同VLAN+ ACL的手工配置方式，由于MPLS VPN的隔离及路由扩散都是通过动态路由协议实现，不存在配置N平方问题。在网络规模大时，极大的减轻了配置工作量。

可扩展性: 同ATM/FR VPN一样，VLAN + ACL方式由于存在配置N平方问题，每增加一个新的VLAN或是业务系统都要对以前所有业务系统的配置进行修改，存在严重的可扩展性问题。MPLS VPN中增加新的节点或VPN时，不影响原有的VPN配置，可扩展性极好。

安全性:由于VLAN中所有处在同一广播域中存在严重的安全问题，而MPLS VPN基于三层实现，广播报文被自然隔离，不存在上述安全问题。同时，VLAN+ACL要求所有主机处在同一地址空间，这本身就为网络攻击者提供了可能，采用MPLS VPN实现隔离，VPN之外的用户根本感觉不到VPN的存在，更无法攻击VPN内部的网络。MPLS VPN还可以和现有的各种安全技术(如IPSec等)无缝配合，实现数据传输安全。

网络稳定性: VLAN组网中，容易引起广播风暴，这也是VLAN技术无法应用于广域网或其他大型网络的原因。MPLS VPN基于3层隔离，并且有明确分级结构，不存在广播风暴问题。

QoS: VLAN采用802.1p表示业务的服务等级，同时通过队列技术支持拥塞管理，但是受ASIC芯片的限制，支持的队列数及种类有限，在复杂的业务应用情况下，QoS支持能力有限。MPLS QoS支持成熟的DiffServ QoS模型，可以和其他IP/MPLS QoS技术配合(如专门用于语音等实时业务的RTP实时队列，CBWFQ，LFI等)，可以很好的保证复杂应用的业务QoS。

网管实现: VLAN的网管实现简单，支持集群管理，易于实现设备级的管理，MPLS VPN在设备级管理方面比VLAN复杂，但是可以提供基于VPN拓扑的管理，利于网络的全局视图及网络规划。

MPLS VPN与IP Tunnel VPN的对比

以GRE代表的基于IP TUNNEL技术的IP VPN适合于组建规模有限，拓扑简单的VPN。

MPLS VPN采用自动建立LSP(标签转发隧道)实现VPN报文在公网中的转发，采用MP-BGP协议实现VPN私网路由信息的扩散，从而大大减少了单个节点的配置工作量。同时，由于采用了动态协议实现VPN隧道(即LSP)的建立及VPN私网路由的扩散，在增加新的节点时，不需要对原有节点的配置进行修改。所以，相对于其他VPN技术，采用MPLS技术组建的VPN具有更好的可维护性及可扩展性，MPLS VPN更适合于组建大规模的复杂的VPN网络。