最近由于工作原因，按照客户的需求需要将防火墙旁挂，并将部门流量引流到防火墙上。本文章将讲述基本术语、原理、实验（可下载）
基础介绍：
PE和CE
BGP/MPLS IP VPN的基本模型由三部分组成：CE、PE和P。
- CE（Customer Edge）：用户网络边缘设备，有接口直接与服务提供商网络相连。CE可以是路由器或交换机，也可以是一台主机。通常情况下，CE"感知"不到VPN的存在，也不需要支持MPLS。
- PE（Provider Edge）：是服务提供商网络的边缘设备，与CE直接相连。在MPLS网络中，对VPN的所有处理都发生在PE上，对PE性能要求较高。
- P（Provider）：服务提供商网络中的骨干设备，不与CE直接相连。P设备只需要具备基本MPLS转发能力，不维护VPN信息。
RD和VPN-IPv4地址
传统BGP无法正确处理地址空间重叠的VPN的路由。假设VPN1和VPN2都使用了10.110.10.0/24网段的地址，并各自发布了一条去往此网段的路由。虽然本端PE通过不同的VPN实例可以区分地址空间重叠的VPN的路由，但是这些路由发往对端PE后，由于不同VPN的路由之间不进行负载分担，因此对端PE将根据BGP选路规则只选择其中一条VPN路由，从而导致去往另一个VPN的路由丢失。
PE之间使用MP-BGP（Multiprotocol Extensions for BGP-4，BGP-4的多协议扩展）来发布VPN路由，并使用VPN-IPv4地址来解决上述问题。
VPN-IPv4地址共有12个字节，包括8字节的路由标识符RD（Route Distinguisher）和4字节的IPv4地址前缀，如图4所示。
RD用于区分使用相同地址空间的IPv4前缀，增加了RD的IPv4地址称为VPN-IPv4地址（即VPNv4地址）。PE从CE接收到IPv4路由后，转换为全局唯一的VPN-IPv4路由，并在公网上发布。
RD的结构使得每个服务供应商可以独立地分配RD，但为了在CE双归属的情况下保证路由正常，必须保证PE上的RD全局唯一。如图5所示，CE以双归属方式接入到PE1和PE2。PE1同时作为路由反射器RR（Route Reflector）。
说白了：就是区分路由条目使用的
VPN Target
BGP/MPLS IP VPN使用BGP扩展团体属性－VPN Target（也称为Route Target）来控制VPN路由信息的发布。
每个VPN实例关联一个或多个VPN Target属性。有两类VPN Target属性：
- Export Target：本地PE从直接相连Site学到IPv4路由后，转换为VPN-IPv4路由，并为这些路由设置Export Target属性。Export Target属性作为BGP的扩展团体属性随路由发布。
- Import Target：PE收到其它PE发布的VPN-IPv4路由时，检查其Export Target属性。当此属性与PE上某个VPN实例的Import Target匹配时，PE就把路由加入到该VPN实例中。
说白了：就是PE设备控制路由的收发
原理说明：
引流前：
我们先来说说没有做引流的时候，数据的流向。如下图所示，
- 路由器访问服务器走的是红色线标
- 服务器访问路由器走的是蓝色线标
由于现在需要添加防火墙，又不想直接对网络拓扑进行变更，此时选择旁挂防火墙，将来回的数据流都引到防火墙，然后防火墙使用自身的策略进行访问控制。
引流后：
- 路由器访问服务器走的是红色线标
- 服务器访问路由器走的是蓝色线标
原理说明：
将核心交换机（HX-SW）虚拟化成2台小的核心交换机，姑且成为vrf1和vrf2.
vrf2说明：在核心交换机上将vlan4/vlan2都加入vpn-instance vrf2.当收到路由器方向来的流量后，会进入vrf2的vpn-instance,然后我们在vpn-instance vrf2中配置路由，下一跳指向防火墙vlan2，防火墙再写下一跳指向HX-SW的vlan3.
vrf1说明：在核心交换机上将vlan100、vlan200、vlan2加入vpn-instance vrf1中。当内部服务器需要访问路由器时，在核心交换机的vpn-instance vrf1中写路由下一跳指向fw的vlan3.在fw中写路由下一跳指向核心交换机vlan2。在核心交换机的vpn-instance vrf2中写一条默认路由去往路由器。
实验说明：
注：附实验的拓扑资料，需要使用华为模拟器ensp打开
链接：https://pan.baidu.com/s/18_MegvDRlZiZpUW2H4ADEQ 提取码：ox19