MPLS VPN的构成:路由器和交换机的作用
在MPLS VPN中，服务商的骨干网络由边缘和核心标签交换路由器(LSR)组成。边缘路由器与客户端路由器相连。客户端路由器运行标准路由软件。两台设备使用IP相互通信。路由器使用外部边界网关协议(EBGP)、路由信息协议版本2(RIPv2)和静态路由来交换路由信息。此外，思科MPLS支持的设备将很快能够支持开放最短路径优先(OSPF)协议。
在服务商的网络中，边缘路由器使用MPLS和MP-IBGP相互通信，传播VPN信息。服务商MPLS网络中的核心路由器和边缘路由器都使用通用内部网关协议(IGP)，但核心路由器上并不运行BGP，也没有区分不同的VPN。因为核心路由器不需要寻址VPN，所以服务商的网络可以扩展到支持更多更大的VPN。
服务商的边缘路由器分别为全局路由和VPN路由维护相应的路由表。全局路由表包括所有边缘路由和核心路由，由运行在骨干网上的IGP提供。每个虚拟专用网都有一个虚拟专用网路由和转发(VRF)表，其中包括一个或多个直接连接的用户站点的信息。IP VPN寻址方案确保即使IP地址重叠，全局IP地址仍然是唯一的。边缘路由器可以隔离不同VPN的路由信息，从而支持多用户VPN。
MPLS VPN的构成
MPLS VPN模式支持网络中所有站点之间的完全互连通信。当多个用户共享同一个IP骨干网时，可以用BGP的归属社区(community-of-interest) 属性指定属于同一个VPN的路由器。服务供应商可以设置策略来规定VPN网内的路由信息的传播只限于网内的路由器。
客户端路由器只和服务商本地POP的路由器连接，而不是VPN的每隔一个地方。与POP相连的路由器只接收和保存与其直接相连的VPN的路由信息。所以当用户管理自己的VPN时，会发现使用MPLS模式时，路由配置非常简单。他们可以把服务供应商的骨干网当作到他们所有地点的缺省路由来使用，而不需要与非常复杂的、包括了大量第二层PVC或第三层路由表的网络打交道
编址方面的考虑
许多用户愿意使用专用的IP编址方案而不是全局IP编址方案，因此服务商需要有效处理地址不唯一和相互重叠的问题。思科的解决方案是给每个用户的IP地址添加路由区分码(RD)。
服务商可以独立分配研发，但需要将自己的自治系统(as)号作为研发的一部分，以确保每个研发的全局唯一性。这样，用户就不必对自己的节点重新编号，服务商也不必使用地址翻译。
分组的生存期
在MPLS VPN中，当用户站点的路由器收到分组时，会在本地查找表。如果找不到匹配，它会将分组转发到它唯一能看到的路由器:服务商本地POP的路由器。用户不必运行MPLS软件。
该分组通过本地连接传输到服务商的网络，并在接入路由器接口上终止。由该接口配置的研发用于识别用户特定的虚拟专用网络及其相关的VRF表。
有两个标签与VPNIP地址相关:内部标签用于识别VPN，而外部标签指示服务商核心网络中的下一跳应该遵循哪个合适的IGP路由。在核心网中，分组转发都使用跳对跳(MPLS)，类似于普通的跳对跳(IP)转发，但是查找表是基于标签而不是IP地址。因此，可以使用任何类型的支持标签分发协议的路由器或自动柜员机交换机。
当接入路由器收到分组时，它会使用外部标签将其转发给另一台接入路由器。当分组到达出口路由器时，路由器会移除外部标签，并使用内部标签来决定分组应该发送到哪个输出接口(即哪个VPN)。
通过使用两级标签提高了MPLS VPN的可扩展性。内部标签只承载IGP路由，不承载VPN路由。只有边缘路由器携带VPN路由，它们只携带它们所属VPN的路由。
连接到Internet
用户也许会希望把他们的VPN连到公众Internet。在MPLS VPN里，Internet路由表是单独处理的。Internet路由在服务供应商的边缘路由器的全局路由表里维护，外部路由不分配标记。
指向某个Internet网关的缺省路由装在某个地点的VRF表里。这个缺省路由不是任何VPN的一部分。根据这个缺省路由转发的分组使用一个单独的标记，即使用IGP找到的对应Internet网关IP地址的路由。
全局路由表不知道用户路由、边缘路由器或用户路由器，但全局路由表包含指向该接口的静态路由。该路由被重新传播到BGP4全局表，并被通知给Internet网关。默认路由指定的Internet网关不需要与路由器直接相连，不同的VRF表可以对应不同的Internet网关。
用户站点可以使用另一个接口上的专用EBGP会话来接收或通知Internet路由。服务商的边缘路由器将用户位置的路由导入全局路由表，并将其报告给互联网。它还告诉客户端路由器默认路由或Internet路由。
面向未来的可靠网络
随着企业对VPN连接需求的增长，企业网络管理人员和服务商都将寻求更简单、更经济的方法来应对网络的增长。思科MPLS VPN解决方案由已经成为或将成为标准的软件构件组成。
这些解决方案的独特之处在于这些组件如何协同工作，从而创建一个提供QoS的大规模VPN。
提供保密性:MPLS限制路由信息向属于同一个VPN的路由器传播，从而将第二层虚拟电路的保密性与第三层网络的完全互连结合起来。
