MPLS

Im klassischen IP-Netz trifft jeder Router für jedes Paket eine eigene Routing-Entscheidung anhand der Zieladresse. MPLS verlagert diese Entscheidung an den Rand: Der Eingangsrouter ordnet das Paket einer Forwarding Equivalence Class (FEC) zu, also einer Gruppe von Paketen, die gleich behandelt werden, und kodiert das Ergebnis als Label. Im Kern wird dann nur noch das Label getauscht, ein schneller, einfacher Lookup.

MPLS trennt dabei sauber zwischen Control Plane (welche Labels gelten und wohin sie zeigen, gestützt auf ein IGP wie OSPF/IS-IS plus ein Label-Verteilungsverfahren) und Data Plane (das eigentliche Label-Switching). Ein wichtiger Effekt: Die Kernrouter (P-Router) müssen die Routing-Tabellen der Kunden nicht kennen, sie schalten nur Labels. Das hält den Kern schlank und skalierbar.

Ein MPLS-Label ist ein 32 Bit langer Eintrag, der vor die Nutzlast gesetzt wird. Mehrere Labels lassen sich stapeln (Label-Stack), was die Grundlage für VPNs und Tunnel ist: ein äußeres Transport-Label bringt das Paket durch den Kern, ein inneres Label ordnet es am Ziel dem richtigen Dienst zu.

Der Weg, den ein Paket durch das MPLS-Netz nimmt, heißt LSP (Label Switched Path) und ist gerichtet. An jedem Knoten wird das oberste Label getauscht (swap), neu aufgelegt (push) oder entfernt (pop). Verbreitet ist das Penultimate Hop Popping: Schon der vorletzte Router entfernt das Transport-Label, sodass der Ausgangsrouter direkt die Nutzlast bzw. das innere Label sieht.

Die Rollen im Provider-Netz: LER bzw. PE-Router am Rand legen Labels auf und entfernen sie, LSR bzw. P-Router im Kern schalten nur Labels, der CE-Router beim Kunden spricht selbst kein MPLS.

Die Label-Bindungen müssen netzweit bekannt gemacht werden. Dafür gibt es mehrere Verfahren, die sich in Funktionsumfang und Komplexität unterscheiden:

Segment Routing (SR-MPLS) ist die aktuelle Antwort auf die Komplexität von LDP und RSVP-TE. Statt Pfad-Zustand in jedem Router zu pflegen, kodiert der Eingangsrouter den gewünschten Weg als geordnete Liste von Segment-IDs direkt in den Label-Stack. Verteilt werden diese Segmente über Erweiterungen des vorhandenen IGP (OSPF/IS-IS), ein separates LDP oder RSVP entfällt also.

Es gibt im Wesentlichen zwei Segmenttypen: die global gültige Prefix-/Node-SID, die einen Router adressiert, und die lokale Adjacency-SID, die eine bestimmte Verbindung erzwingt. Aus ihnen lässt sich jeder Pfad zusammensetzen. Für Traffic Engineering bündelt eine SR-Policy einen Pfad unter einer einzigen Binding-SID, sodass vorgelagerte Knoten den Weg nicht kennen müssen.

Der eigentliche Wert von MPLS liegt in den Diensten, die es trägt, alle über denselben Backbone:

Standard-Routing folgt immer dem kürzesten Pfad, auch wenn der überlastet ist. Traffic Engineering bricht das auf. Klassisch legt RSVP-TE dafür explizite Tunnel mit reservierter Bandbreite an, hält aber auf jedem Transit-Knoten Zustand pro Tunnel. Moderner erledigt das eine SR-Policy zustandslos: Der Pfad steckt als Segment-Liste im Paket, die Kernrouter müssen nichts darüber wissen.

Für Dienstgüte trägt jedes Label drei Traffic-Class-Bits, womit sich bis zu acht Verkehrsklassen unterscheiden lassen (DiffServ über MPLS). So wird Sprach- oder Echtzeitverkehr bevorzugt behandelt, ohne dass der Kern in die IP-Header schauen muss.

Fällt eine Verbindung aus, soll der Verkehr in Millisekunden umgeleitet werden, nicht erst nach der Neuberechnung des Routings. MPLS Fast ReRoute (RFC 4090) hält dafür vorab Backup-Pfade bereit (Bypass- oder Detour-Tunnel), auf die der erkennende Router sofort umschaltet.

Mit Segment Routing kommt TI-LFA (Topology-Independent Loop-Free Alternate) hinzu: Es berechnet für nahezu jede Topologie einen schleifenfreien Ausweichpfad vorab und kodiert ihn als kurze Segment-Liste. Anders als ältere LFA-Verfahren deckt es praktisch alle Ausfallszenarien ab.

Jedes Label kostet 4 Byte, und der Stack wächst in der Praxis schnell: das Transport-Label, bei LDP über RSVP-TE oder aktivem Fast ReRoute weitere, dazu das VPN-Service-Label und gegebenenfalls ein Entropy-Label-Paar. So liegen real rasch mehrere Labels übereinander:

MPLS trennt Kunden sauber über Labels und VRFs, verschlüsselt den Verkehr aber nicht. Die VPN-Isolation ist kein Vertraulichkeitsschutz; wer beides gleichsetzt, irrt. Für Vertraulichkeit kommen MACsec hop-by-hop auf den Strecken, IPsec als Overlay oder TLS auf Anwendungsebene hinzu.

Dazu gehört der Schutz der Steuerebene: Die Sitzungen von LDP und BGP sollten abgesichert sein (heute TCP-AO statt des veralteten TCP-MD5), und der Zugriff über reservierte Labels und LSP-Ping gehört rate-limitiert und gefiltert, damit niemand gezielt die Control Plane belastet.

MPLS ist ausgereift, aber nicht stehen geblieben. Für neue Netze ist SR-MPLS der Standardweg und löst LDP und RSVP-TE zunehmend ab, meist per Software-Upgrade auf vorhandener Hardware.

Parallel setzt SRv6 (RFC 8986) Segment Routing direkt auf IPv6 statt auf MPLS-Labels. Es wächst vor allem in Greenfield-, 5G- und KI-Rechenzentrumsnetzen, während klassisches SR-MPLS in bestehenden Carrier-Backbones dominiert; beide werden noch lange koexistieren.

Im Unternehmens-WAN übernimmt zunehmend SD-WAN über günstige Internetleitungen Aufgaben, für die früher ein eingekauftes MPLS-L3VPN nötig war. Gefragt bleibt MPLS dort, wo zugesicherte Güte, niedrige Latenz und saubere Mandantentrennung über viele Standorte zählen. Im modernen Rechenzentrum hingegen dominiert EVPN-VXLAN, nicht MPLS.