6. 维持 VPN 间的恰当隔离
6. 维持 VPN 间的恰当隔离 (Maintaining Proper Isolation of VPNs)
为了维持一个 VPN 与另一个 VPN 之间的恰当隔离（isolation），重要的是：骨干网中的任何路由器都不应接受一个来自骨干网之外的隧道化报文，除非它确信该隧道的两个端点都在骨干网之外。
如果 MPLS 被用作隧道技术（tunneling technology），这就意味着：骨干网中的一台路由器不得从一个相邻的非骨干网设备处接受一个带标签的报文，除非以下两个条件成立：
-
标签栈（label stack）顶部的标签确实是由该骨干网路由器分发给该非骨干网设备的；并且
-
该骨干网路由器能够判定：使用该标签将导致该报文在任何更底层的标签被检查之前、以及在 IP 头部被检查之前，离开该骨干网。
第一个条件确保：从非骨干网路由器收到的任何带标签报文，其标签栈顶部都有一个合法且被正确分配的标签。第二个条件确保：骨干网路由器永远不会查看到该栈顶标签之下的内容。当然，满足这两个条件最简单的方式，就是让骨干网设备干脆拒绝接受来自非骨干网设备的带标签报文。
如果 MPLS 没有被用作隧道技术，那么就必须进行过滤（filtering），以确保一个 MPLS-in-IP 或 MPLS-in-GRE 报文只有在以下情况下才能被接受进入骨干网：该报文的 IP 目的地址将导致它被发送到骨干网之外。