防火墙大多不支持

手册：

https://www.h3c.com/cn/d_202602/2751745_30005_0.htm#_Toc220434889

MPLS VPN 是一种利用运营商骨干网，为企业构建虚拟专用网络的技术。它能像“网络隔离舱”一样，在公共网络上为不同企业或部门划分出逻辑上完全独立的专用通道。

关于防火墙是否支持，答案是：部分支持，但取决于具体型号和功能定位。并非所有防火墙都能像路由器那样作为 MPLS VPN 的核心设备，其支持程度有很大差异。

MPLS VPN 是什么？

MPLS VPN 基于 MPLS（多协议标签交换） 技术。它的核心思想是为数据包打上简短的“标签”，网络设备只需根据标签进行转发，而无需每次都去查看冗长的 IP 地址，从而大大提高了转发效率，并能更好地支持流量工程和服务质量（QoS）。

在 MPLS VPN 的组网中，主要有三种角色：

• CE (Customer Edge)：用户侧边缘设备，通常是企业的路由器或交换机。

• PE (Provider Edge)：运营商侧边缘设备，是 MPLS VPN 的核心，负责连接用户网络和骨干网。

• P (Provider)：运营商骨干网设备，负责高速转发带标签的数据包。

 H3C 防火墙对 MPLS VPN 的支持情况

H3C 防火墙对 MPLS VPN 的支持并非“一刀切”，关键要看设备在 MPLS VPN 网络中扮演什么角色。

场景一：作为 MPLS VPN 的 CE 设备（直接接入）

在这种情况下，防火墙作为用户侧设备，支持程度普遍较低。

• 高端型号支持：一些高端防火墙，如 H3C SecPath M9000 系列，明确支持 MPLS VPN 功能，可以作为 CE 接入运营商的 MPLS 网络。

• 中低端型号通常不支持：许多主流的中低端防火墙型号，例如 SecPath F100-C-A5，其官方文档明确指出不支持 MPLS VPN，仅支持 L2TP、IPSec、GRE、SSL 等常见 VPN 类型。

• “基础 VRF”不等于“MPLS VPN 的 CE”：以 F1000-9330-AI 为例，它虽然支持基础的 VRF（VPN 路由转发实例），可以用于实现简单的多租户网络隔离，但不支持 MPLS 转发，无法作为标准 CE 接入 MPLS VPN 骨干网。你需要区分“多 VRF 隔离”和“接入 MPLS VPN”这两个概念。

场景二：作为 MPLS VPN 的 P/PE 设备（核心转发）

绝大多数防火墙都无法胜任此角色。P/PE 设备需要运行 MPLS 标签分发协议（如 LDP、RSVP-TE）并维护庞大的标签转发表，这通常是路由器或高端交换机的专长。防火墙的核心是安全策略控制，而非高速 MPLS 标签转发。

场景三：作为二层透明设备“穿针引线”

这是一种变通方案。你可以将防火墙以二层桥接模式部署在 CE 和 PE 之间。此时，防火墙会“透传” MPLS 标签报文，安全策略可能无法对带标签的内层流量生效，但可以通过桥接口配置来实现基本的访问控制。

一、MPLS‑VPN 通俗解释

MPLS‑VPN（主流是MPLS L3VPN），一般是运营商广域网业务。

运营商骨干跑 MPLS 标签转发，给不同企业 / 部门逻辑隔离出独立私网，各地分公司站点如同在同一个内网互相访问；多个客户共用运营商物理网络，但各个 VPN 之间逻辑完全隔离，互不互通。

组网角色：

• CE：用户侧边缘设备（防火墙、路由器），对接运营商；CE 本身不需要跑 MPLS 标签。
• PE：运营商设备，完成 MPLS 标签、VPN 实例处理。
• P：运营商中间骨干设备。

⚠️区分：MPLS‑VPN 是运营商 MPLS 骨干的三层 VPN 业务；而 IPSec/SSL/GRE 是用户自己建立隧道的 VPN，二者不一样。

二、H3C 防火墙支持情况

1. 作为 CE（用户侧边缘，对接运营商 PE，绝大多数场景）：全部 V7 防火墙都支持 防火墙创建ip vpn‑instanceVPN 实例，把对接运营商的接口加入实例，和 PE 交换路由，做跨站点业务，不需要防火墙开启 mpls 标签转发，普通 F100‑G5、F1000 系列都支持该 CE 模式。
2. 作为 PE 设备（防火墙自身做 MPLS 标签转发、跑 MPLS L3VPN 完整功能）：只有高端多业务安全网关支持，如 M9000 系列；中低端 NGFW（F100、F1000‑AI 系列不支持做 PE，不能处理 MPLS 标签转发）H3C。

重点：企业 99% 现场只需要防火墙当 CE，这个中低端防火墙全部可以实现，不要把防火墙配置成 PE。

三、常见误区

1. 以为用 MPLS‑VPN，防火墙就要开 mpls 标签：做 CE 不需要，标签处理全部由运营商 PE 完成。
2. 把 MPLS‑VPN 和 IPSec 搞混：MPLS‑VPN 靠运营商隔离；IPSec 是用户自己加密隧道。

简短总结

1. MPLS‑VPN 是运营商提供的广域网逻辑隔离专网，实现多地分支机构内网互通。
2. H3C 普通中低端防火墙（F100/F1000‑AI）支持作为 CE 对接运营商 MPLS‑VPN（企业最常用场景）；不支持作为 PE 处理 MPLS 标签转发；只有 M9000 这类高端防火墙才支持完整 PE 的 MPLS L3VPN。
3. 做 CE 仅需要配置 vpn‑instance，接口绑定实例，和对端 PE 交互路由，防火墙本身不用启用 mpls。

一、MPLS VPN（BGP/MPLS L3VPN）是什么

MPLS VPN 是运营商广域三层 VPN，用来在运营商公网骨干上，给多个企业客户划出互相隔离的私有网络，实现企业异地多站点互通。

简单一句话：运营商的 MPLS 骨干网，用标签 + VRF 虚拟出多张独立路由表，不同客户流量隔离，不用加密隧道，靠路由隔离

角色划分

1. CE（用户边缘）：客户侧设备（你的防火墙 / 路由器），正常作为 CE 时，不需要开启 MPLS，只和运营商 PE 跑静态 / OSPF/BGP 交换私网路由。✅ F100-C-G5 可以做 CE
2. PE（运营商边缘）：运营商路由器，核心！创建 VRF（VPN 实例）、MPLS 标签、MP-BGP 传递 VPNv4 路由。F100-C-G5 不能做 PE
3. P（运营商核心）：运营商骨干转发路由器，只做标签转发，不感知客户 VPN

和 IPsec/SSL/GRE 区别：

• MPLS VPN：运营商承载，三层路由互通，适合多分支大规模组网，本身不加密
• IPsec/GRE/SSL VPN：客户自建隧道，报文加密，跑在互联网上 F100-C-G5 自带：IPSec、SSL、L2TP、GRE，不带 MPLS PE 功能

二、重点：你的 F100-C-G5 防火墙支持吗

✅ 可以作为 CE（客户侧接入设备）对接运营商 MPLS VPN（最常用场景，企业分支出口） ❌ 不能作为 PE，不能开启 MPLS 标签转发、LDP、MP-BGP VPNv4，不能当运营商边缘设备（官方规格里 F100-G5 系列不支持 MPLS 转发功能）H3C

官方产品清单：F100-C-G5 支持 VPN 列表只有：L2TP、IPSec、GRE、SSL VPN，没有 MPLS VPN（PE 侧）H3C

两种场景区分

1. 场景 A【企业常用】运营商给你开 MPLS 专线，防火墙当 CE
   • 防火墙不需要 mpls enable，不需要 LDP
   • 只配置普通接口 + 静态路由 / OSPF/BGP，对接运营商 PE
   • 内网网段通过路由发布给运营商，多个分公司通过运营商 MPLS 互通
   • ✅ F100-C-G5 完全支持，还能在上面做域间策略、ACL、NAT 做安全控制
2. 场景 B【自建 MPLS 骨干，防火墙充当 PE】
   • 需要配置 mpls lsr-id、mpls enable、ldp、ip vpn-instance、MP-BGP VPNv4
   • ❌ F100-C-G5 不支持；要做 PE 需要 F1000 系列、M 系列高端防火墙或者 H3C 路由器

三、组网最简说明（你大概率是场景 A）

F100 只负责把私网路由传给运营商 PE，MPLS 标签封装、VRF 隔离全部由运营商 PE 完成，防火墙不需要参与 MPLS 标签处理。

四、补充提醒

1. 运营商 MPLS VPN本身没有加密，如果业务需要加密，可以在 CE 之间叠加 IPsec；
2. 私网 IP 规划：MPLS 允许不同客户内网 IP 段重复，依靠运营商 PE 的 VRF 隔离；
3. 配置上 F100 只需要基础路由，不用敲任何 mpls 命令。