L3VPN (Layer-3-VPN, auch BGP/MPLS IP VPN) verbindet Standorte eines Kunden auf der Routing-Ebene über das Netz eines Dienstanbieters. Die Grundlage ist RFC 4364: Kundenseitige Router (CE, Customer Edge) tauschen Routen mit den Provider-Randroutern (PE, Provider Edge) aus, während das Kernnetz (P-Router, Provider) die Daten per MPLS-Labels transportiert. Der Kunde sieht sein eigenes IP-Netz, als wäre es ein privates WAN.
VRF, RD und RT
Jeder Kunde bekommt am PE eine eigene VRF-Instanz. Damit sich gleiche IP-Netze verschiedener Kunden nicht in die Quere kommen, werden die Routen um einen Route Distinguisher (RD) erweitert — so entstehen global eindeutige VPNv4-Routen. Über MP-BGP (Multiprotocol BGP) tauschen die PEs diese Routen mit einem zusätzlichen Label aus; Route Targets (RT) bestimmen als Import-/Export-Regeln, welche Routen in welche VRF übernommen werden.
Zwei-Label-Stack
Beim Transport über das Kernnetz trägt jedes Paket zwei Labels: Das äußere Label stammt vom LDP- oder Segment-Routing-Pfad und führt durch das MPLS-Netz zum Ziel-PE, das innere Label (BGP-Label) verweist auf die richtige VRF des Empfängers. Zwischen CE und PE läuft entweder statisches Routing oder ein dynamisches Protokoll wie OSPF oder BGP.
Abgrenzung zu L2VPN
Während VPLS und EVPN als L2VPN eine Ethernet-Verbindung emulieren, entscheidet beim L3VPN der Kunde selbst über das Routing — der Provider liefert nur den transportierten Austausch von Routen. Moderne Alternativen wie SD-WAN ersetzen MPLS-L3VPN zunehmend durch Internet-basierte Overlays.
Verwandte Grundlagen: L3VPN-Befehle, VRF, SD-WAN, VPN.