vpls续

2.3 PW的创建

PW是VPLS在公网上的通信隧道，它建立在MPLS（包括普通LSP和CR-LSP）或GRE等隧道之上。创建PW需要：

(1)        首先在本端和对端PE之间建立MPLS或GRE等隧道。

(2)        确定对端PE的地址。对于同一个VSI内的PE设备，可以通过手工配置来指定对端PE地址，也可以通过信令协议自动发现对端PE。

(3)        利用LDP或BGP信令协议为PW分配多路复用分离标记（VC标签），并将分配的VC标签通告给对端PE，建立单向的VC，从而创建PW。如果PW建立在MPLS隧道之上，则PW上传输的报文将包括两层标签：内层标签为VC标签，用来判断报文属于的VC，从而将报文转发给正确的CE；外层标签为公网MPLS隧道标签，用来保证报文在MPLS隧道上的正确传输。

下面将分别介绍通过两种信令协议（LDP和BGP）创建PW的过程。

2.3.1   LDP信令协议

采用扩展LDP（远端LDP会话）作为PW信令协议的VPLS，称为Martini方式的VPLS。

 

图3 利用LDP信令协议建立PW

如图3所示，利用LDP信令协议建立PW的过程为：

(1)        PE和特定的VSI关联后，采用LDP的DU（Downstream unsolicited，下游自主）方式主动向对端PE发送标签映射消息，该消息中包含PWID FEC和与该PWID FEC绑定的VC标签，以及接口参数（如最大传输单元等）。

(2)        如果对端PE和这个特定的PWID关联，它将接受标签映射消息，并回应自己的标签映射消息。

(3)        一对单向的VC建立成功后，它们组合起来形成双向的PW，这个双向的PW可以看作是VSI上的一个虚拟以太网接口。

Martini方式实现简单。但是LDP不能提供VPLS成员的自动发现机制，需要手工指定PE的各个对等体。新的PE加入时，每个PE上都要修改配置。

2.3.2  BGP信令协议

采用扩展BGP作为PW信令协议的VPLS，称为Kompella方式的VPLS。

如图4所示，利用BGP信令协议建立PW的过程为：

(1)        PE利用BGP的Update消息向所有对端PE设备发送VE ID和标签块信息。其中，VE ID为与PE相连的每个Site在VPN内的唯一编号，由服务供应商统一规划；标签块包含一组连续的标签。

(2)        接收到Update消息的PE设备，根据自己的VE ID和报文中的标签块，计算出唯一的一个标签值，作为VC标签。同时，接收Update消息的PE设备，根据报文中的VE ID和本地的标签块，也可以得知对端PE的VC标签值等信息。

(3)        两个PE设备互相发送Update消息，并计算出VC标签后，两台设备间的PW创建成功。

Kompella方式中，通过配置VPN Target实现了VPLS成员的自动发现，增加或删除PE时，无需手工配置，具有较好的可扩展性，但BGP协议本身比较复杂。

2.4  报文封装方式

2.4.1  AC上的报文封装方式

AC上的报文封装方式分为两种：VLAN接入和Ethernet接入。其含义如下：

l              VLAN接入：CE发送给PE或PE发送给CE的以太网帧头带有一个VLAN TAG，该TAG是一个服务提供商网络为了区分用户而压入的“服务界定符”。服务界定符一般是服务提供商设备添加的，我们把这个作为服务界定符的TAG称为P-TAG。

l              Ethernet接入：CE发送给PE或PE发送给CE的以太网帧头中没有服务界定符，如果此时帧头中有VLAN TAG，则说明它只是用户报文的内部VLAN TAG，对于PE设备没有意义。这种用户内部VLAN的TAG称为U-TAG。

2.4.2  PW上的报文封装方式

PW由PWID和PW封装类型唯一标识。两端PE设备通告的PWID和PW封装类型必须相同。

PW上的报文封装方式分为两种：Raw模式和Tagged模式。

l              Raw模式下，PW上传输的帧不能带P-TAG：对于CE侧的报文，如果收到带有服务界定符的报文，则将其去除后再压入PW标签和隧道标签后转发；如果收到不带服务界定符的报文，则直接压入PW标签和隧道标签后转发。对于PE侧的下行报文，根据实际配置选择添加或不添加服务界定符后转发给CE，但是它不允许重写或去除已经存在的任何TAG。

l              Tagged模式下，PW上传输的帧必须带P-TAG：对于CE侧的报文，如果收到带有服务界定符的报文，保留P-TAG，或者将P-TAG改写为对端PE期望的VLAN TAG或者空TAG（TAG值为0），再压入PW标签和隧道标签后转发；如果收到不带服务界定符的报文，则添加一个对端PE期望的VLAN TAG或空TAG后，再压入PW标签和隧道标签后转发。对于PE侧的下行报文，根据实际配置选择重写、去除或保留服务界定符后转发给CE。

2.5  MAC地址管理

VPLS为用户网络模拟了一个以太网桥，基于MAC地址或者MAC地址加VLAN TAG来做出转发决策。跟一个特定的VPLS服务关联的每个PE设备都为该VPLS实例建立一个VSI，每个VSI维护一张MAC地址表，并具有泛洪和转发、MAC地址学习和老化的功能，以便实现报文的转发。

2.5.1  泛洪和转发

VPLS中的数据转发是通过查找VSI的MAC地址表来完成的。

如果PE从VSI的一个AC上收到目的MAC未知的单播报文（在VSI的MAC地址表中未找到匹配的MAC地址的单播报文）、组播报文或广播报文时，PE将向该VSI内所有连接本地CE的AC和连接远端VSI的PW泛洪。

如果PE从PW上收到目的MAC未知的单播报文、组播报文或广播报文时，则只向该VSI内的连接本地CE的AC泛洪，而不再向连接其他远端VSI的PW泛洪。

2.5.2  MAC地址学习

MAC地址学习过程包含两部分：

l              与PW关联的远程MAC地址学习

PW是由一对单向的VC LSP组成（只有两个方向的VC LSP都up才被认为PW是up的）。当在入方向的VC LSP上学习到一个原来未知的源MAC地址后，PE设备将源MAC地址学习到收到该报文的PW（虚拟的以太网接口）上，也就是将MAC地址与出方向的VC LSP建立对应关系。

l              与用户直接相连端口的本地MAC地址学习

对于从CE上收到的报文，需要将报文中的源MAC地址学习到与CE直连的以太网接口上。

PE的MAC地址学习与泛洪过程如图5所示。

 

2.5.3  MAC地址老化

PE学习到的MAC地址转发表项如果不再使用，需要有老化机制来移除。老化机制根据报文中的源MAC地址进行处理：PE收到报文时，除了学习源MAC地址外，对于已经生成的MAC表项，还需要设置“激活”或者“有效”标记，一定时间内未被设置“激活”或者“有效”标记的MAC表项，将从MAC转发表中移除。

 

2. MAC地址学习与泛洪

VPLS通过MAC地址学习来提供可达性。每个PE设备会维护一张桥MAC地址表。

(1)        源MAC地址学习

MAC地址学习过程包含两部分：

l              与PW关联的远程MAC地址学习

PW是由一对单向的VC LSP组成（只有两个方向的VC LSP都up才被认为PW是up的）。当在入方向的VC LSP上学习到一个原来未知的MAC地址后，需要PW将此MAC地址与出方向的VC LSP形成映射关系。

l              与用户直接相连端口的本地MAC地址学习

对于CE上传送的报文，需要将报文中的源MAC地址学习到VSI的对应端口上。

PE的MAC地址学习与泛洪过程如图 2所示。

图 2 PE的MAC地址学习与泛洪过程

 

(2)        MAC地址回收

动态学习到的MAC地址必须有刷新和重学习的机制。在VPLS相关草案中提供一种动态学习的方法，即使用地址回收消息。地址回收消息中携带MAC TLV，收到这个消息的设备根据TLV中指定的参数进行MAC地址的删除或者重新学习这些MAC地址。如果TLV中指定的MAC地址为NULL，则删除此VSI下所有MAC地址，但不删除收到这个消息的PW上学习到的MAC地址。

在拓扑结构改变时为了能快速移除MAC地址，可以使用地址回收消息。地址回收消息分为两类：带有MAC地址列表的和不带MAC地址列表的。

如果在一条备份链路变为活动状态后，收到带有重学习MAC表项的通知消息，PE将更新VPLS实例的FIB表中对应的MAC表项，并将此消息发送给其他相关的LDP会话直连的PE。如果通知消息中包含空的MAC地址TLV列表，表示告知PE移除指定VSI中的所有MAC地址（从发送此消息的PE处学习到的MAC地址除外）。

(3)        MAC地址老化

PE学习到的与VC标签相关但是不再使用的远程MAC地址需要有老化机制来移除。老化机制使用了MAC地址对应的老化定时器。在接收到报文并处理时，根据报文中的源MAC地址，如果这个源地址启动了相应的老化定时器，则PE重置该老化定时器

2.6  环路避免

为了避免环路，一般的二层网络都要求使能STP协议。但是对使用VPLS的用户来说，不会感知到ISP的网络，因此在私网侧使能STP的时候，不能把ISP的网络考虑进来。因而，VPLS中使用PW全连接和水平分割转发来避免环路。

VPLS环路避免的方法如下：

l              PE之间逻辑上全连接（PW全连接），也就是每个PE必须为每一个VPLS转发实例创建一棵到该实例下的所有其他PE的树。

l              每个PE设备必须支持水平分割转发来避免环路。如果从PW上收到报文，那么这个报文将不再向这个VSI关联的其它PW上转发，也就是说要求任意两个PE之间通过直接相连的PW通信，而不能通过第三个PE设备中转报文，这也就是VPLS的VSI实例之间要求建立全连接PW的原因。

2.7  报文转发过程

根据AC接入方式和PW上报文封装模式的不同，报文转发分为以下四种：

l              Ethernet接入Raw模式的报文转发

l              Ethernet接入Tagged模式的报文转发

l              VLAN接入Raw模式的报文转发

l              VLAN接入Tagged模式的报文转发

2.7.1  Ethernet接入Raw模式的报文转发

 

图6 Ethernet接入Raw模式的报文转发过程

如图6所示，AC采用Ethernet接入方式，PW上的报文封装模式为Raw模式时，报文的转发过程为：

(1)        CE 1将携带用户所属VLAN信息（U-Tag）的报文发送给PE 1。

(2)        PE 1根据用户目的MAC地址（或用户所属的VLAN和目的MAC地址），选择合适的PW，并在报文中添加PW对应的VC标签。

(3)        为了在公网上利用MPLS隧道转发报文，PE 1在报文中添加公网隧道标签，通过公网隧道将报文传递给PE 2。

(4)        PE 2收到报文后，根据VC标签找到报文所属的VSI，并将携带U-TAG的报文发送给CE 2。

2.7.2  Ethernet接入Tagged模式的报文转发

 

图7 Ethernet接入Tagged模式的报文转发

如图7所示，AC采用Ethernet接入方式，PW上的报文封装模式为Tagged模式时，报文的转发过程与Ethernet接入方式、Raw模式的报文转发过程类似。所不同的是，PW上传输的帧必须带P-TAG。PE 1从CE 1收到不带P-TAG的报文后，首先添加一个对端PE期望的VLAN TAG或空TAG，再压入两层MPLS标签转发。PE 2接收到报文后，去除MPLS两层标签和P-TAG，再将报文转发给CE 2。

2.7.3  VLAN接入Raw模式的报文转发

 

图8 VLAN接入Raw模式的报文转发

如图8所示，AC采用VLAN接入方式，PW上的报文封装模式为Raw模式时，报文的转发过程为：

(1)        CE 1发送的报文携带服务界定符P-TAG；

(2)        PE 1接收到报文后去除P-TAG，并添加两层MPLS标签，通过公网MPLS隧道，将报文发送给PE 2；

(3)        PE 2去除接收到报文中的两层MPLS标签，增加P-TAG后，将报文转发给CE 2。

2.7.4  VLAN接入Tagged模式的报文转发

 

图9 VLAN接入Tagged模式的报文转发

如图9所示，AC采用VLAN接入方式，PW上的报文封装模式为Tagged模式时，报文的转发过程与VLAN接入方式Raw模式的报文转发过程类似。二者的区别是，PW上传输的帧携带P-TAG，PE接收到报文后，修改或保留报文中的P-TAG。

2.8  H-VPLS实现方式

如上文所述，VPLS要求PE之间全连接，因此一个VPLS实例的PW的条数跟PE设备的个数之间的关系是：PW的条数＝PE的个数×（PE的个数－1）/2。在VPLS网络规模比较大的情况下，PW的数目非常庞大，PW信令开销很大，网络的管理和扩展都将变得复杂。为了简化网络管理和提高网络的扩展性，引出了H-VPLS（Hierarchical VPLS，分层VPLS）的组网方式。

H-VPLS将PE划分为UPE和NPE。UPE主要作为用户接入VPN的MTU，用于连接CE和服务商网络；NPE处于VPLS网络的核心域边缘，提供用户报文在核心网上的透明传输服务。UPE不需要与所有的NPE建立全连接，只需在NPE之间建立全连接。H-VPLS通过分级，减少了PW的数目和PW信令的负担。

2.8.1  H-VPLS的接入方式

根据UPE和NPE之间连接方式的不同，H-VPLS分为：

l              LSP接入方式

l              QinQ接入方式

1. LSP接入方式

 

图10 LSP接入方式

如图10所示，UPE作为汇聚设备MTU，它只跟NPE 1建立一条虚连接接入链路U-PW（建立U-PW需要在NPE和UPE设备上创建VSI实例，指定对等体，并要求两台设备上的PWID必须相同），跟其他所有的对端都不建立虚连接。

数据转发流程如下：

(1)        UPE负责将CE上送的报文发给NPE 1，同时打上U-PW对应的VC标签（NPE 1分配的VC标签，作为多路PW复用分离标记）；

(2)        NPE 1收到报文后，先根据VC标签判断报文所属的VSI，再根据该报文的目的MAC压入N-PW对应的VC标签，然后转发该报文；

(3)        NPE 1从N-PW侧收到报文后，打上U-PW对应的VC标签，将报文发送给UPE，UPE再将报文转发给CE。

CE 1与CE 2之间的数据交换为本地CE之间交换时，如果UPE本身具有桥接功能，UPE将直接完成两者间的报文转发，而无需将报文上送给NPE 1。不过对于目的MAC未知的第一个数据报文或广播报文，UPE在将数据通过桥广播到CE 2的同时，仍然会通过U-PW转发给NPE 1，由NPE 1来完成报文的复制并转发到各个对端CE。

2. QinQ接入方式

 

图11 QinQ接入方式

如图11所示，MTU（也可以称为UPE）为标准的桥接设备，在MTU和PE 1之间建立点到点的以太网QinQ连接（即在MTU面向CE的接口上使能QinQ，在与MTU直连的PE 1上使用VLAN接入方式）。MTU从CE上收到的报文都将被打上一层外层VLAN标记，报文转发到PE 1时，根据配置的VLAN接入方式，外层VLAN标记被解释为服务提供商VLAN标记，也就是服务提供商为用户分配的服务界定符，根据这个界定符，报文被映射到相应的VSI实例，由这个VSI实例决策出报文如何转发（单播或广播）。

数据转发流程如下：

(1)        在CE接入端口使能QinQ，为收到的报文添加压入VLAN TAG作为多路复用分离标记，在MTU与PE 1之间通过QinQ隧道将报文透明传输到PE 1；

(2)        PE 1先根据报文携带的VLAN TAG判断所属的VSI，再根据该报文的目的MAC为其压入PW对应的PW标签，然后将其转发；

(3)        PE 1从PW侧收到报文后，根据PW标签，判断报文所属的VSI，再根据用户报文的目的MAC打上VLAN TAG通过QinQ隧道将报文转发给MTU，由MTU将报文转发给CE。

如果CE 1与CE 2之间的数据交换为本地CE之间交换，由于MTU本身具有桥接功能，MTU将直接完成两者间的报文转发，而无需将报文上送给PE 1。不过对于目的MAC未知的第一个数据报文或广播报文，MTU在通过桥广播到CE 2的同时，仍然会通过QinQ隧道转发给PE 1，由PE 1来完成报文的复制并转发到各个对端CE。

2.8.2  冗余保护

UPE与NPE（或MTU与PE）之间只有单条链路连接的方案具有明显的弱点，一旦该接入链路出现故障，汇聚设备连接的所有VPN都将丧失连通性。所以，对于H-VPLS的两种接入模式，都需要有冗余备份链路存在。在正常情况下，设备只使用一条链路（主链路）接入，一旦VPLS系统检测到接入链路失败，它将启用备用链路继续提供VPN业务。

对于LSP接入方式的H-VPLS，由于UPE与NPE之间运行LDP会话，可以根据LDP会话的活动状态来判断主PW是否失效；对于QinQ接入方式的H-VPLS，需要在MTU与它相连的PE设备之间运行STP，保证在一条链路失败以后启用另一条链路。

 

图12 LSP接入方式的冗余保护

 

图13 QinQ接入方式的冗余保护

2.8.3  环路避免方法

H-VPLS中环路避免方法需要做如下调整：

l              只需要在NPE之间建立全连接（PW全连接），UPE和NPE之间不需要全连接。

l              每个NPE设备上，从与NPE连接的PW上收到的报文，不再向这个VSI关联的、与其它NPE连接的PW转发，但可以向与UPE连接的PW转发。

l              每个NPE设备上，从与UPE连接的PW上收到的报文，可以向这个VSI关联的所有与其它NPE连接的PW转发。

 

二.  MPLSVPN跨域方法概述

同在单个AS内建立VPN的过程一样，跨域VPN的建立过程也同样关注两个方面，一是VPN信息的传递方法，一是VPN隧道的建立方法，经过近几年的实践和快速发展，业界提出了几种VPN跨域方法，即OPTIONA/B/C三种，不同方法采用不同的VPN信息传递模式和VPN隧道构建方法，具有鲜明的特点和适合不同的应用场景。

另外，MPLSVPN可以分为MPLS/BGP三层VPN和MPLSL2VPN，两种VPN都支持上述的三种跨域方法，采用相同的跨域理念，只不过MPLS/BGPVPN由于使用较早和部署较广，其对应的跨域方法已经标准化，MPLSL2VPN目前在标准化进程上稍微落后，其对应的跨域标准还没有正式发布，但一些主流厂家对此已有部分或全部支持。

3.MPLS/BGP跨域

3.1OPTIONA跨域实现方法

OPTIONA跨域也叫做背靠背跨域，即两个AS的边界路由器ASBR互相作为PE和CE，如上图所示，ASBR1作为AS1的PE设备，ASBR2在此看作ASBR1连接的CE设备，反之亦然。

VPN信息传递

同一AS的PE和ASBR之间通过正常的MBGP协议传递VPN路由信息，ASBR之间通过正常的PE和CE之间的路由传递方法传送VPN路由信息，如上图，VPNA2通过IGP协议把路由信息传递给PE2，PE2通过MBGP协议把VPNA2的信息传递给ASBR2，ASBR2作为ASBR1的CE设备，通过IGP协议把VPNA2的信息传递给ASBR1，ASBR1再通过MBGP协议把VPNA2的信息传递给PE1，PE1再通过IGP协议把VPNA2的信息传递到VPNA1，至此，VPN信息传递完毕。

VPN隧道构建

在OPTIONA跨域方法中，VPN隧道构建比较简单，各个AS单独构建PE到ASBR的LSP双层隧道，内层标签代表VPN信息，外层标签代表到达VPN路由下一跳PE的公网标签，和在单个AS内LSP隧道的建立过程和方式一样，ASBR和ASBR之间通过裸IP转发，没有LSP隧道。

特点

ASBR需要处理VPN路由信息，并且需要配置VRF实例

ASBR需要为每个VPN分配一个物理或逻辑链路

每个AS内单独建立双层LSP隧道，ASBR之间依靠IP连接

适用于VPN业务开展初期，VPN数量较少的情况下

3.2OPTIONB跨域实现方法

OPTIONB跨域也叫单跳MP-EBGP跨域，AS内通过正常的MPLS/BGP传递VPN信息和构建LSP隧道，AS之间通过单跳的MP-EBGP协议传递VPN信息并构建LSP隧道。

VPN信息传递

如上图所示，CE2通过IGP传递私网信息给PE2，PE2通过MP-IBGP传递VPN信息到ASBR2，ASBR2通过单跳的MP-EBGP传递VPN路由信息给ASBR1，然后，ASBR1再通过MP-IBGP传递VPN信息给PE1，PE1再通过IGP协议把私网信息传递给CE1，至此，CE1拥有到达CE2的路由信息。如果中间跨域多个AS，AS内部全部按照MP-IBGP协议传递，ASBR之间全部按照单跳的MP-EBGP传递。

LSP隧道构建

当使用BGP传递路由时，如果是EBGP传递，下一跳必定改变为自己，如果通过IBGP传递，下一跳可以改变为自己也可以不改变，另外，当采用MP-BGP传递VPN路由信息，下一跳更改时，那么就需要为VPN重新分配标签。

如上图所示，在OPTIONB跨域中，ASBR2向ASBR1传递VPN路由时，下一跳必定改变为自己，同时ASBR2重新为VPN分配标签，ASBR1向PE1传递VPN路由信息时，分两种情况考虑，一是ASBR1向PE1传递VPN路由信息时，下一跳改变为自己，一是ASBR1向PE1传递私网路由信息时，下一跳不改变，也就是下一跳仍然为ASBR2。

在改变路由下一跳为ASBR1的情况下，ASBR1重新为VPN分配标签，VPN从PE1到达PE2的路径为PE1→ASBR1→ASBR2→PE2，在AS1内，构建PE1到ASBR1的双层LSP隧道，内层为VPN标签（ASBR1分配的），外层为PE1到ASBR1的公网隧道，在ASBR之间构建单层LSP隧道，只携带VPN标签（ASBR2分配的），在AS2内构建双层LSP隧道，内层为VPN标签，PE2分配的，外层为ASBR2到PE2的公网隧道。在两个ASBR处由于VPN标签都重新分配，所以最底层的标签在两个ASBR处都会有SWAP操作，也正是通过VPN标签的SWAP，把两个AS的VPN隧道连接起来。

如果不改变VPN路由的下一跳，那么PE1接收的VPN路由的下一跳就是AS2域内的ASBR2，则VPN从PE1到PE2的路径为PE1→ASBR2→PE2，那么就需要构建一条从PE1一直到ASBR2的双层LSP隧道，内层为VPN标签（ASBR2分配的），外层为PE1到ASBR2的公网隧道，ASBR2到PE2也构建双层LSP隧道，内层为VPN标签（PE2分配的），外层为ASBR2到PE2的公网隧道。在这种情况下，ASBR2和ASBR1之间需要运行某种标签分发协议，目的是分发ASBR2的公网标签，另外，在ASBR2处LSP的内外层标签都会进行SWAP操作，从而把两条LSP粘结成一个端到端的LSP隧道。

特点

ASBR需要处理VPN信息，但不需要配置VRF实例

ASBR之间一条链路传递所有VPN信息

根据不同的情况，ASBR之间构建单层或双层LSP隧道

当VPN业务发展到一定阶段，ASBR之间的链路受限时，可以考虑OPTIONB跨域方法

3.3OPTIONC跨域实现方法

OPTIONC跨域也叫多跳MP-EBGP跨域，由于BGP只要能建立TCP连接，就能成为BGP邻居并传递路由信息，因此，OPTIONC通过多跳的MP-EBGP直接在源、宿端PE之间传递VPN路由信息，然后在源、宿端PE之间构建LSP公网隧道。

VPN信息传递

OPTIONC跨域时VPN信息传递比较简单，即直接在源和宿端PE间通过多跳MP-EBGP传递，如上图，PE2和PE1之间建立多跳的MP-EBGP连接，VPN信息直接从PE2传递到PE1。

LSP隧道构建

从VPN信息传递的方式可以看出，VPN从PE1到PE2之间只有一跳，VPN的下一跳为PE2，PE2为VPN分配标签，并且一直不会改变。

现在重要的是确定PE1到PE2的外层LSP怎样建立，首先，PE2和ASBR2在一个AS，通过IGP协议，ASBR2会有PE2的路由信息，通过正常的LDP协议，ASBR2和PE2会构建一个LSP隧道，ASBR1和PE2不在一个AS，ASBR1没有PE2的路由信息，此时可以通过EBGP协议把PE2的路由信息传递给ASBR1，另外，对BGP协议进行扩展（RFC3107）,让BGP在传递路由时同时分配标签，这样，ASBR1和ASBR2之间的LSP形成，并在ASBR2处形成标签SWAP，同样，ASBR1和PE1之间也通过扩展的IBGP传送PE2的路由信息，同时分配标签，并在ASBR1处形成标签SWAP，但这一段LSP的建立和ASBR之间LSP的建立不一样，ASBR之间是直连的，下一跳直接可达，PE1和ASBR1之间不是直连的，但PE1和ASBR1位于同一个AS，通过LDP可以构建一个LSP隧道，这样，在PE1到ASBR1之间的LSP隧道最终包括三层标签，最底层VPN标签（PE2分配），中间一层为到PE2的标签（ASBR1通过扩展BGP分配）,最外层为到ASBR1的标签（LDP分配），ASBR之间构建一个双层LSP隧道，底层为VPN标签（PE2分配），外层为到PE2的标签（ASBR2通过扩展BGP分配），ASBR2到PE2之间为双层LSP隧道，内层为VPN标签（PE2分配），外层为到PE2的标签（LDP分配）这三段隧道通过在ASBR处的标签SWAP粘结起来，最终形成端到端的LSP隧道。

特点

ASBR不需要处理VPN信息，最符合VPN的要求，即中间设备不感知VPN信息

使用BGP扩展来传递公网标签

在宿端AS之外的AS出现三层标签的LSP隧道。

当VPN业务大规模发展时，可以使用OPTIONC跨域方法