在公共骨干网上实施ＶＰＮ的方案已经提出了很多，并且能够保证不同水平的保密性。但是，这些方案中的大部分需要每一ＶＰＮ有独立转发能力，并且能够使用穿过骨干网的基于ＩＰ或ＭＰＬＳ的通道。
本文描述的使用ＶＲ的路由ＶＰＮ的结构和〔ＶＰＮ－ＲＦＣ２７６４〕中描述的ＩＰ ＶＰＮ的框架相兼容。但是，它可以提供基于每个ＶＰＮ的路由、转发、ＱｏＳ和业务治理能力。基于ＶＲ概念构建的ＶＰＮ和基于物理路由器的ＶＰＮ有完全一样的机制，并且继续了现存的配置、实施、运行、故障恢复、监测和计费的机制和工具。ＶＲ可以使用不同的方案实施，例如通过第二层直接的ＶＲ到ＶＲ的连接，或者把多个ＶＲ聚合成一个ＶＲ，然后用基于ＩＰ或ＭＰＬＳ的通道把它们连接起来。在ＶＰＮ域内，任何路由协议不需改变和扩展就可以获得以及分发ＶＰＮ可达信息。
现在，有两种基本的结构实现路由ＶＰＮ，即虚拟路由器ＶＲ模式和搭载模式。两种模式的主要不同在于获得ＶＰＮ可达信息和成员信息的功能模型不相同。在ＶＲ模型中，ＶＰＮ域中的每一个ＶＲ都运行路由协议，在它们之间分发ＶＰＮ可达信息。因此，ＶＰＮ成员信息和ＶＰＮ可达信息被认为是分离的，并且由分离的机制实现。在搭载模型中，ＶＰＮ的网络层在骨干网的边缘终结，并且由骨干路由协议（如ＢＧＰ－４）负责在所有被配置为某一ＶＰＮ的ＰＥ之间分发ＶＰＮ成员信息和可达信息。ＶＰＮ－ＲＦＣ２５４７ｂｉｓ就是一个搭载ＶＰＮ结构的例子。
１、ＶＲ的定义
ＶＲ是通过软件实现的模拟物理路由器。ＶＲ有独立的ＩＰ路由表和转发表，并且各ＶＲ相互独立。这就意味着ＶＰＮ的地址空间可以相同。但是，同一ＶＰＮ内的地址必须唯一。ＶＲ有以下两方面的主要功能：
（１） 能够使用任何路由协议（如静态配置、ＯＳＰＦ、ＲＩＰ或ＢＧＰ）构建描述ＶＰＮ节点之间连接特性的路由表。
（２）能够把数据包转发到ＶＰＮ域中的下一跳。
从ＶＰＮ用户的角度看，ＶＲ提供和物理路由器相同的功能。尽管各ＶＰＮ运行在共享转发和传输资源上，但是，路由和转发的分离似乎为每一ＶＰＮ ＣＥ链路提供了可以保证与其他的ＶＰＮ业务分离的专用路由器。
属于同一个ＶＰＮ的ＶＲ必须具有相同的ＶＰＮＩＤＶＰＮ－ＲＦＣ２６８５。对于ＣＥ接入设备来说，ＶＲ就似乎是ＣＥ设备的邻居路由器，ＣＥ把非本地的业务全部发送到ＶＲ。属于同一ＶＰＮ域的ＶＲ必须负责在它们之间学习和分发ＶＰＮ可达信息，并且一个ＶＲ仅仅拥有其所属ＶＰＮ的路由。
２、网络参考模型
ＶＰＮ用户节点是通过ＣＥ设备（可能是网桥或路由器）与ＶＲ之间的连接来连接到服务提供商骨干网的。ＣＥ设备可以通过任何的接入链路（如ＡＴＭ、ＦＲ、以太网、ＰＰＰ或ＩＰＳｅｃ、Ｌ２ＴＰ和ＧＲＥ等ＩＰ隧道）连接到ＶＲ，也可以通过专用线路或拨号链路静态地连接到服务提供商的网络上。另外，ＣＥ设备可以被配置为连接一个或多个ＶＲ，而多个ＶＲ也可以共存于同一个服务商网络边缘设备（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｄｅｖｉｃｅ，ＰＥ）中。图１给出网络的参考模型。
每一ＶＲ维护一个路由表，它定义了该ＶＲ所属ＶＰＮ中节点到节点的可达信息。对于网络的骨干路由器ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｑｕｉｐｍｅｎｔ）来说，它意识不到ＶＰＮ的存在，也不保存任何的ＶＰＮ的状态信息。所以网络的扩展性也就大大增强了。并且，ＶＲ对骨干网没有任何的要求，它可以使用ＡＴＭ、ＦＲ、ＩＰ或 ＭＰＬＳ等多种传输技术。
３、怎样使用ＶＲ构建和实施ＶＰＮ
使用ＶＲ实现ＶＰＮ有两种方案：
●通过第二层的ＶＲ到ＶＲ连接；
●多个ＶＲ聚合到一个ＶＲ上。
以上ＶＲ实现的情况可以在同一个ＰＥ中共存，并且互不影响。
３．１ 通过第二层的ＶＲ到ＶＲ连接构建ＶＰＮ
如图２所示，ＶＲ可以直接在ＦＲ或ＡＴＭ连接或第二层传输技术之上实现。这种类型ＶＲ的实施答应直接在每个ＶＰＮ连接上实现ＱｏＳ。第二层连接可以静态配置或动态建立。
3．２ 通过聚合ＶＲ构建ＶＰＮ
另一种典型的ＶＰＮ实施方案是把多个ＶＲ连接到一个ＶＲ（我们称这种ＶＲ为"骨干ＶＲ"）上，然后再连接到骨干网。骨干ＶＲ在功能上和其他的ＶＲ没有什么不同。它仅仅是一个被非凡配置和应用的ＶＲ，并且骨干ＶＲ不需要了解运行在每一专用ＶＲ上的路由。图３给出了使用骨干ＶＲ实现ＶＰＮ的模型图，图中ＶＲ－１与ＶＲ－２就是骨干ＶＲ。
骨干ＶＲ可以实施在ＡＴＭ、ＦＲ、ＩＰ或ＭＰＬＳ网络之上。由于骨干ＶＲ答应ＶＰＮ ＶＲ的聚合，所以当有新的ＶＰＮ节点加入时，骨干网的配置就可以保持不变。ＶＲ和骨干ＶＲ之间的关系只是简单的叠加，它们之间并不存在任何路由关系。通过聚合到骨干ＶＲ，ＶＰＮ内的每一ＶＲ都似乎直接连接起来（支持全连接或部分连接）。在ＶＰＮ内，ＶＲ之间直接交换路由信息，而骨干ＶＲ是与其他的骨干实体（Ｐ路由器或可能的其他骨干ＶＲ）交换路由信息。ＶＲ可以在自己的ＶＰＮ域内运行任何的路由协议，可以是静态路由或者动态路由协议，如ＲＩＰ、ＯＳＰＦ和ＢＧＰ－４。
ＶＰＮ的数据和路由信息通过ＩＰ或ＭＰＬＳ通道传送。但是，该方案也不排除使用其他的通道机制。通道可以静态配置或动态建立。对于ＶＲ来说，通道实际上就是点到点的链路。业务通过通道传送，由骨干ＶＲ转发。
图４说明了多个骨干网连接到同一ＰＥ的例子。当ＰＥ连接到多个服务提供商骨干网或当服务提供商为不同类型的骨干网提供不同的ＶＰＮ服务时，这种类型的配置就会提供更多的灵活性。
４、ＶＰＮ拓扑和成员的发现
基于ＶＲ的ＶＰＮ方案简洁地把分发可达信息和获得ＶＰＮ拓扑的机制分离开来。ＶＰＮ成员信息指的是拥有共同ＶＰＮ用户的一组ＰＥ。ＶＰＮ拓扑信息指的是该组ＰＥ以及它们之间的连接性。根据ＶＰＮ用户的需求，也可以处理动态拓扑。
ＶＰＮ成员发现可以通过不同的机制来得到，例如ＶＰＮ－ＩＴＵ：
●采用目录服务器，ＶＲ通过查询服务器来获得其邻居路由器；
●通过治理平台的显式配置；
●通过现存的路由协议搭载ＶＰＮ信息。
以上的机制可以被集成应用在一个ＰＥ中。例如，一些ＶＰＮ拓扑的发现可以仅仅通过治理平台来完成，也可以使用现存的路由协议搭载完成ＶＰＮ－ＢＧＰ。
５、结束语
ＶＰＮ能够充分地利用现有的网络资源，提供经济、灵活的联网方式，为客户节省设备、人员和治理所需的投资，降低用户的费用，所以必将得到广泛的利用。基于虚拟路由器的ＶＰＮ方案不但兼容原有的ＶＰＮ解决方案，具有其原有的优点，而且为构建ＶＰＮ提供了更好的扩展性和灵活性。因此，随着相关细节和技术的完善与标准化，基于ＶＲ的ＶＰＮ解决方案必将广泛地应用于将来的ＶＰＮ。的ＶＰＮ解决方案，具有其原有的优点，而且为构建ＶＰＮ提供了更好的扩展性和灵活性。因此，随着相关细节和技术的完善与标准化，基于ＶＲ的ＶＰＮ解决方案必将广泛地应用于将来的ＶＰＮ。
