2.2 MBGP測試方法

作為BGP4對MPLS VPN應用的擴展，根據(jù)RFC2858定義的BGP多協(xié)議擴展標準，BGP協(xié)議添加了支持發(fā)送VPNv4路由、在Update報文中攜帶標簽、RT和其他擴展團體屬性的能力（由于本文只針對MPLS測試方法，對BGP在IPv6和組播方面的擴展這里不作討論）。因此，測試MBGP時，除了可以使用BGP4基本測試方法對基本配置、路由發(fā)布、路由選路、BGP通用屬性、路由策略、路由反射等進行測試外，還應當對下面MBGP幾個特有方面進行測試：

2.2.1  能力協(xié)商

作為BGP4的一個擴展，在Open報文中將攜帶標示本地BGP所支持能力的參數(shù)，便于在對等體之間建立鄰居前協(xié)商雙方都支持的能力交集，建立對應能力的對等體關系。對能力協(xié)商的測試包括在兩臺PE間配置相應BGP能力后，他們之間的MBGP鄰居是否能夠正確協(xié)商建立對等體。我們不但需要測試普通PE間的I-MBGP鄰居，還需要測試ASBR之間和跨域方式種使用的E-MBGP鄰居關系，分別使用物理接口和LOOPBACK接口建立鄰居關系等各種情況。另外，我們還應該驗證在設備收到Open報文種攜帶了本地不支持和不能識別的能力參數(shù)時其處理是否正確。根據(jù)實現(xiàn)，我司設備在收到無法識別的能力參數(shù)后，應當主動發(fā)送一個Notification報文，并斷開TCP連接。

2.2.2 RD與RT

RD（Route-Distinguisher）用于標示PE設備上不同VPN實例，其主要作用也就是實現(xiàn)VPN實例之間地址復用，它與IP地址一起構成了12byte的VPNv4地址空間，RD與路由一起被攜帶在BGP Update報文中發(fā)布給對端。一方面我們需要驗證RD功能是否實現(xiàn)，PE設備是否能夠根據(jù)不同RD實現(xiàn)IP地址復用，攜帶不同RD的相同IP路由在PE上應該對應不同VPN實例路由。同時，RD不具有選路能力，不應影響路由接收和優(yōu)選，對于同一VPN攜帶不同RD的相同IP路由，PE設備不應根據(jù)RD優(yōu)選路由或當兩條不同路由進行處理。由于RD具有兩種賦值形式，在測試中也需要考慮到使用不同結構RD路由的傳遞，特別是對臨界值、非常規(guī)值（如AS號為65535，IP地址為廣播、組播地址等）的測試。

RT（Route-Target）是VPNv4路由攜帶的一個重要屬性，它決定VPN路由的收發(fā)和過濾，PE依靠RT屬性區(qū)分不同VPN之間路由，也成為MBGP測試中的一個重點。

利用RT屬性對VPN路由進行過濾。RT與RD屬性具有相同數(shù)據(jù)格式，但屬性分為Import和Export兩種。Export屬性跟隨對應VPN路由通過MBGP發(fā)送到對端，而Import屬性則用于與收到的VPNv4路由中攜帶的RT Export屬性進行比較過濾路由。對RT過濾路由功能可以從匹配、不匹配等多個狀態(tài)進行測試。

當PE設備上VPN實例中配置的RT export屬性發(fā)生變化時，該PE發(fā)布對應這個VPN路由中攜帶的RT屬性也應該同步變化，PE應該刷新這個VPN實例對應的VPNv4路由，更新其RT屬性。同樣，當VPN實例對應RT import屬性變化時，被改變PE設備應該主動發(fā)出BGP refresh報文刷新VPN路由，用新配置的RT屬性對路由進行過濾。

與RD不同，我們可以為一個VPN實例配置多個RT屬性，并且RT屬性被放置在BGP Update報文中的擴展團體屬性中發(fā)布，格式與普通團體屬性類似。那么當路由同時攜帶多個擴展團體屬性和RT屬性時，BGP協(xié)議、路由策略能否正確分析、處理這些不同屬性，不會產(chǎn)生相互影響。

2.2.3 路由轉發(fā)

作為一個路由協(xié)議，最基本最重要的功能就是必須保證路由傳遞正確，避免產(chǎn)生環(huán)路。作為BGP4的一個擴展，MBGP繼承了其幾乎所有特性，在路由測試方法上也與BGP大致相同，主要從選路、路由策略、環(huán)路檢測、BGP各種屬性等多個方面進行驗證，這里也不作詳細介紹。較BGP不同的一點是：PE設備在收到VPNv4路由后，只有當接收端PE與路由發(fā)送端PE之間的LSP隧道建立成功后，這些路由才變得有效，這也為路由優(yōu)選增加了一條規(guī)則。因此，我們可以利用這點，將路由發(fā)布、更新與PE間LSP反復切換、LDP鄰居關系改變、MPLS域內(nèi)部路由變化等其他測試手段相結合，驗證由于MPLS域引起的振蕩是否會影響VPNv4路由的傳遞和學習。

由于RD的存在實現(xiàn)了IP地址空間重疊，多個VPN之間可以使用相同的IP地址。那么，MBGP在轉發(fā)、處理VPNv4IP路由時能夠根據(jù)RD、RT屬性區(qū)分不同VPN空間路由。在測試中我們需要有意為不同VPN實例配置重疊的IP地址空間，驗證MBGP能否正確處理這些路由。

2.2.4 標簽分配

作為BGP協(xié)議另一個重要的功能擴展，MBGP具有為路由分配標簽能力，路由可以是IPv4路由、VPNv4路由和IPv6路由。測試MBGP為這三種路由分配標簽的功能需要搭建不同的測試環(huán)境，但其測試方法基本相同，都是驗證MBGP能否為各種路由分配標簽，為不同Site的VPNv4路由和IPv6路由以及不同IPv4路由分配的標簽應該各不相同。并且應該考慮同一PE設備同時為這幾種路由分配標簽，并且存在路由振蕩的情況，MBGP標簽是否分配正確，被釋放的標簽能否及時收回等。

然而，MBGP應用并不是孤立的，它需要跟LDP等其他協(xié)議一起實現(xiàn)MPLS各種應用。所以，MBGP大部分功能測試還需要借助應用、組網(wǎng)進行。所以，MBGP相同更多方面的測試方法將在后面章節(jié)中繼續(xù)討論。

2.3 路由協(xié)議多實例測試方法

路由協(xié)議多實例用于PE設備與CE設備之間交換VPN路由。各個VPN路由在PE設備之間以VPNv4路由形式利用MBGP交換。到達PE設備后，需要通過支持多實例的路由協(xié)議向CE設備發(fā)布這些路由。目前實現(xiàn)多實例的路由協(xié)議包括：靜態(tài)路由多實例、RIP多實例、OSPF多實例、ISIS多實例以及BGP多實例。需要說明的是：多實例只對PE設備而言，在CE設備沒有多實例概念，因此對路由協(xié)議多實例的大部分測試和操作都在PE設備上進行，同時路由協(xié)議多實例不存在網(wǎng)絡拓撲概念（OSPF除外，MBGP對支持OSPF路由傳遞進行了一些擴展，使多個Site的OSPF區(qū)域可以連接為一個整體），不必太多關注網(wǎng)絡拓撲變化對路由協(xié)議的影響。所以，在測試路由協(xié)議多實例時，主要還是關注PE和CE之間鄰居關系建立、路由交互，各個路由協(xié)議與MBGP互通、路由相互引入等方面。下面分別就各個協(xié)議具體一些測試方法進行討論。

正如上面所說，對路由協(xié)議多實例的測試重點不再放在通過構建復雜網(wǎng)絡結構，驗證路由發(fā)布、計算和防止路由環(huán)路，因為我們只需要關注PE和CE兩臺設備之間的路由交換。與普通路由協(xié)議不同之處在于，多實例路由協(xié)議與VPN實例相關，一臺PE設備上通常會存在多個VPN實例，一個VPN實例也會綁定多個接口，甚至同一個物理接口不同子接口下綁定的VPN實例也會不同。這種多類型接口、多VPN實例與多實例路由協(xié)議相結合成為我們測試多實例路由協(xié)議方法之一。相同VPN不同Site使用不同路由協(xié)議、他們之間路由相互引入、相同路由協(xié)議使用不用進程或不同VPN實例使用相同路由協(xié)議等都可以成為我們的測試手段。同一VPN實例可能會使用多種路由協(xié)議轉發(fā)路由，這就存在各種路由協(xié)議間路由相互引入、發(fā)布的問題。同一條路由被多次反復引入后就會產(chǎn)生重復路由、路由振蕩的問題。

當然，某些特殊的網(wǎng)絡拓撲結構同樣會引起路由環(huán)路：比如一臺CE同時與多臺不同PE連接使用相同或不同的路由協(xié)議發(fā)布路由，PE間又存在MBGP對等體關系。又如一臺CE與PE間存在多條鏈路相連，而不同鏈路間使用不同路由協(xié)議，或被綁定到不同VPN實例都有可能引起路由環(huán)路、路由選路錯誤和路由不能正確刷新等問題。前段時間德國IZB項目中出現(xiàn)多次MPLS網(wǎng)上問題就是由于用戶使用了CE連接到不同PE這種“雙歸屬”網(wǎng)絡結構，導致某些VPN路由無法及時刷新、路由產(chǎn)生環(huán)路甚至路由器定時重啟等很多嚴重問題。

另一個方面，由于VPN實例支持重疊的IP地址空間也可能導致設備之間鄰居關系建立不正常。相同路由協(xié)議多個VPN實例通過同一IP地址建立鄰居，交換路由。同時在MCE組網(wǎng)模式下，CE設備上也配置為多實例路由協(xié)議，PE、CE相互將對端看作自己CE設備，此時鄰居建立、路由交換又會有所不同。

對于RIP路由多實例，由于設備之間不需要建立鄰居關系，在測試中只需要考慮與其他路由協(xié)議之間相互引入路由、RIP協(xié)議不同版本之間相同版本不同目的IP之間是否能夠正常收發(fā)路由、帶驗證時路由收發(fā)等基本方面。

2.3.1 OSPF多實例

這里之所以將OSPF多實例單獨進行討論，是因為與其他路由協(xié)議不同，MBGP在PE設備直接傳遞OSPF多實例路由時為其作了一些擴展。在OSPF路由被引入到MBGP協(xié)議中發(fā)布給對端PE設備時，Update報文中不但攜帶了路由、RD、RT等通常VPNv4路由信息，還攜帶了關于原來OSPF路由中的Domain ID等擴展信息，使接收端PE設備再次將這些VPNv4路由重新引入到OSPF進程中時，能夠根據(jù)這些信息將其轉換為TYPE 3 LSA，而非通常的OSPF ASE路由。這樣對于VPN網(wǎng)絡而言，各個VPN Site網(wǎng)絡被連接為一個整體，連接各個VPN Site的服務商MPLS網(wǎng)絡成為一個大的骨干區(qū)，使OSPF多實例在PE上也有了網(wǎng)絡拓撲結構的概念。同時，為了防止由這種網(wǎng)絡結構帶來諸如路由環(huán)路的問題，OSPF多實例自身也進行了相應擴展，包括引入了Domain ID、VPN Tag和Sham Link等概念，這都是有別于普通OSPF協(xié)議和其他多實例路由協(xié)議的地方，也是我們重點測試OSPF多實例協(xié)議的幾個方面。針對VPN Tag屬性我們多采用“雙歸屬”網(wǎng)絡結構，在不同PE上將MBGP路由與OSPF實例路由相互引入，同時對應不同VPN Site之間或不同VPN實例采用不同或相同Tag值，驗證PE能否正確處理這些VPN路由。

由于OSPF多實例可以借助MBGP形成這樣一個特殊的網(wǎng)絡結構，在測試中我們通常會使用“雙歸屬”網(wǎng)絡結構，及同一CE設備和同一VPN Site不同CE設備同時連接到多個PE上，在PE上配置Sham Link以及相同或不同Domain ID，驗證路由計算是否正確，是否會在PE設備上形成路由環(huán)路等。LSA類型、對VPN Tag處理、VPN路由選路和VPN路由環(huán)路是在測試OSPF多實例時主要關注的幾個方面。在測試中，區(qū)域劃分策略對測試結構有很大影響，由于我們默認MPLS域為骨干區(qū)，那么我們在VPN網(wǎng)絡中部署骨干區(qū)時，如果沒有將骨干區(qū)與PE設備相連同樣會由于骨干區(qū)不連續(xù)而引起路由計算錯誤。所以，我們可以PE、CE之間的鏈路設置為非骨干區(qū)、骨干區(qū)和虛連接區(qū)域等幾種不同情況分別進行測試。

2.4  其他MPLS應用相關模塊測試方法

除了上面提到的路由協(xié)議多實例以外，還有兩個比較小的模塊容易被大家忽略：ARP多實例和NAT多實例。他們都不能算作一個完整的協(xié)議，只是為實現(xiàn)MPLS各種應用對原有功能進行了一些擴展。

ARP多實例其實是ARP表為了支持IP地址空間重疊而進行了相應擴展，為ARP各個表項添加了實例一項標識。因此測試時需要重點考慮重復地址空間時ARP表項建立情況，對應接口VPN綁定改變后，ARP表能否及時更新等。此外，當存在子接口時，不同子接口綁定到不同VPN實例時，很容易出現(xiàn)ARP表混亂的現(xiàn)象。反復變化接口和子接口綁定的VPN實例，可能會由于ARP表沒有及時更新而引起轉發(fā)問題。當然，頻繁ShutDown/Undo ShutDown接口、熱插拔網(wǎng)線和接口板等可靠性測試操作也是常用的測試手段。

NAT多實例是為解決VPN用戶訪問公網(wǎng)資源而提出的。其實質就是在選擇NAT被轉換IP時將VPN實例作為ACL一個限制條件，也就是ACL支持對指定VPN實例IP地址空間地址進行選擇。其測試方法與普通NAT類似，在配置多個VPN實例并存在地址空間重疊的PE設備上對特定VPN實例地址進行NAT轉換，不同VPN地址使用不同公網(wǎng)轉換地址等。

2.5 LSPM模塊測試方法

LSPM（Label Switch Path Management）不是一個獨立模塊，并不與某個協(xié)議對應。相比其他模塊，它運行在“后臺”，只有簡單的幾條配置和顯示命令。但是，它卻控制著整個MPLS標簽交換操作，維護MPLS各種表項，管理隧道映射關系和所有類型隧道。LSPM可以說是MPLS控制層面與轉發(fā)層面之間的一個接口，其功能主要包括：標簽管理和靜態(tài)LSP管理、MPLS表項維護和隧道管理三大基本功能。下面分別對這三個方面進行討論。

2.5.1 靜態(tài)LSP和標簽管理

LSP可以利用各種協(xié)議動態(tài)產(chǎn)生，也可以進行手動配置。LSPM為我們提供了創(chuàng)建、管理靜態(tài)LSP的功能。我們可以通過配置各種靜態(tài)LSP，LSR在LSP中所處位置不同（Ingress、Egress或中間路由器）分別進行測試。根據(jù)實現(xiàn)，在Ingress實現(xiàn)FEC與LSP綁定，此時，LSP出接口需要與路由下一跳的出接口保持一致，而在中間路由器和Egress路由器上則不再判斷LSP出入接口是否與路由保持一致，而僅僅通過手動分配的標簽是否正確，出入接口狀態(tài)是否正確來決定LSP的有效性。所以在測試中，我們可以采用標簽會聚、多出口LSP備份并通過改變接口狀態(tài)在配置的多條靜態(tài)LSP間相互切換等方法驗證對靜態(tài)路由管理。當一個FEC被綁定到一條靜態(tài)LSP的同時，LDP又為其分配了一條動態(tài)LSP，此時靜態(tài)LSP具有優(yōu)先有效性。

同樣的，我們可以選擇各種類型的接口作為靜態(tài)LSP出、入接口，并且和動態(tài)LSP相互作為備份，考慮在比較復雜的網(wǎng)絡振蕩環(huán)境下LSP是否能夠正確建立，MPLS是否正確轉發(fā)。

MPLS報文是否成功轉發(fā)是驗證靜態(tài)LSP是否配置成功的唯一有效方法，但是由于缺乏上層協(xié)議維護，LSP中任何一臺路由器上靜態(tài)LSP配置或工作發(fā)送錯誤都將導致整個LSP無法正常轉發(fā)，這為問題定位帶來一定困難。

為了更好、更可靠地管理標簽，我司設備為靜態(tài)LSP單獨分配了一個標簽空間（通常為16－1023），不與動態(tài)LSP、MBGP使用的標簽進行復用。

2.5.2  MPLS相關表項維護

MPLS主要表項包括：MPLS LSP、MPLS FTN（V5版本修改為FIB）、MPLS ILM和MPLS NHLFE等。這些表中記錄了FEC與MPLS標簽綁定關系、MPLS標簽出入接口信息、MPLS標簽操作類型、多個MPLS標簽對應關系等關系MPLS轉發(fā)層面的重要信息。路由變化、LDP鄰居關系變化、接口狀態(tài)變化、全局和接口下MPLS相關配置變化等很多因素都會引起設備重新創(chuàng)建、刷新、刪除這些表項，長時間、反復對這些表項進行操作，特別是在短時間內(nèi)多次刪除重建同一表項很可能會引起表項內(nèi)容錯誤、無法訪問等問題。因此，這些表項信息完整性和健壯性是我們測試的重點。很多MPLS轉發(fā)問題都是由于這些表項本身錯誤或表項之間映射關系錯誤導致的。在測試MPLS全過程中都需要經(jīng)常查看這些表項，特別是在路由經(jīng)常發(fā)生振蕩、接口狀態(tài)不穩(wěn)定時，MPLS表項是否能夠正確刷新，及時與路由等各種狀態(tài)同步是我們測試中的重點。

2.5.3  隧道管理

這里的隧道是指能夠為各種MPLS應用服務，特別地能夠為連接PE所使用的通道，主要包括LSP、GRE和MPLS TE Tunnel等。每一條隧道在創(chuàng)建和狀態(tài)改變后都會通知LSPM模塊，LSPM會根據(jù)LSP綁定FEC信息和Tunnel源、目的等信息自動將其與某個PE對應的VPN隧道相關聯(lián)，實現(xiàn)PE之間VPN報文正常轉發(fā)。

對LSPM隧道管理方面的測試主要需要考慮多條隧道備份、相互切換

2.6 異常、性能測試

提到異常、攻擊測試其本身就是一個很大的測試范疇，包括異常協(xié)議報文攻擊、攻擊報文攻擊和臨界狀態(tài)操作測試等等。對設備進行異常、攻擊測試通常會使用各種測試儀器和測試工具，通過構造非正常協(xié)議、狀態(tài)報文和狀態(tài)攻擊報文持續(xù)發(fā)送給設備，驗證設備是否會產(chǎn)生異常。異常攻擊測試的測試過程繁瑣，測試方法也自成體系，其測試理論也在不斷發(fā)展，本文就不對其進行詳細討論。這里只是就我們在測試中容易疏忽，而設備也容易出問題的兩個方面進行討論：

2.6.1  動態(tài)顯示各種表項

這是對設備內(nèi)存保護健壯性的測試。在設備對表項進行操作，特別是多進程同時訪問同一個表項時，如果對內(nèi)存保護不夠，很容易出現(xiàn)內(nèi)存訪問錯誤，其后果也是致命的。但是，對這種問題的測試方法相對比較簡單，向設備加入大量路由和刪除這些路由的同時，反復顯示路由表、LSP表、FTN、ILM等各種表項。特別是在進行刪除表項操作時查看這些表，很可能會由于保護不夠，使指針指向了一塊已經(jīng)釋放的內(nèi)存塊引起訪問錯誤。

2.6.2 攜帶超長屬性值的協(xié)議報文

前面提到過，MBGP在傳遞VPNv4路由時會攜帶RT等屬性，也會攜帶其他擴展團體屬性，根據(jù)我司設備實現(xiàn)，對Update報文中所攜帶團體屬性的個數(shù)（長度）是有所限制的，對于其他BGP屬性也有類似規(guī)格。但是友商設備就未必有相同的規(guī)格，我司設備如何處理這些攜帶超長屬性的報文是值得討論的，但是設備不應該因此產(chǎn)生異常。記得一個網(wǎng)上問題就是由于我司設備無法識別團體屬性長度大于32的Update報文，導致BGP鄰居反復振蕩，后來我們將規(guī)格修改到64以后，設備工作正常。以后是否還會遇到類似的問題，還需要我們仔細測試發(fā)現(xiàn)。

2.6.3  性能測試

性能測試包括對設備支持協(xié)議各種規(guī)格、配置、轉發(fā)性能方面的驗證。通常在進行性能測試時會使用到各種測試儀器和測試工具軟件，也具有自己的測試方法論，將有其他文章對如何使用儀器測試MPLS進行專門討論。這里我們主要從協(xié)議角度介紹歸納幾個主要測試方面。

首先是配置規(guī)格測試。MPLS配置規(guī)格主要包括：BGP、LDP等協(xié)議鄰居數(shù)目規(guī)格，VPN實例數(shù)目及其綁定接口數(shù)目規(guī)格，VPN實例支持RT數(shù)目規(guī)格，靜態(tài)LSP規(guī)格，L2VPN對等體規(guī)格等。測試配置規(guī)格時不應該只關注是否能夠完成配置，還應該驗證配置是否生效，配置生效后設備功能是否正常，是否能夠正確去掉這些配置，去掉配置后對應資源是否及時釋放，反復配置是否存在內(nèi)存泄漏等相關問題。并且設備在規(guī)格配置內(nèi)，正確配置的各種協(xié)議、鄰居是否能夠正常建立，同時存在一定流量時設備是否依然能正常工作。

其次是路由相關規(guī)格測試。雖然在路由協(xié)議層面上設備支持路由的規(guī)格沒有具體限制與內(nèi)存相關，但是對于MBGP，特別是對于MPLS L3VPN應用，PE不但要負責轉發(fā)路由，還需要為路由分配標簽，所以對應路由規(guī)格實際還會收到各種表項長度限制。同時，LSP表長度、NHLFE表等這些表的建立都與路由相關，也都是通過路由生成。對這些規(guī)格測試同樣需要驗證表項建立、刪除操作和內(nèi)存泄漏等方面。

最后是轉發(fā)性能測試。對于MPLS轉發(fā)性能測試，通常手段包括ping大包和利用測試儀器打入大流量報文。這里特別需要指出得是，我們在測試轉發(fā)性能時通常就只使用SMB一種儀器（如SmartWindow/SmartFlow等），還需要多使用如Chariot等狀態(tài)流測試工具。狀態(tài)流能更加真是反映實際網(wǎng)絡狀態(tài)，其結果也才更準確地反映設備的性能。

2.7 互通測試

提到互通測試，我們總會馬上想到與Cisco、Juniper等友商設備之間的互通、協(xié)同工作，其實這里還應該包括我司不同產(chǎn)品間、相同產(chǎn)品新老版本間以及我司與華為NE設備間的互通。。這些差異很可能會引起某些功能無法正常運行，這都需要我們能夠提前發(fā)現(xiàn)這些不同，修改或找

進行互通測試最基本的方法就是在測試環(huán)境中加入其他設備（包括其他廠商設備和允許其他版本的我司設備），共同構成測試網(wǎng)絡實現(xiàn)一個功能。由于MPLS互連協(xié)議眾多，各種應用網(wǎng)絡拓撲比較復雜，而且還存在PE、P、ASBR等不同角色，在互通測試過程中，需要不斷變化被測設備與互通設備之間關系、相對角色。