Hoạt động của mặt phẳng dữ liệu MPLS VPN bao gồm sự sử dụng label stack (chồng nhãn). Label stack trong MPLS VPN có hai nhãn, nhãn trên cùng (top label) được gán và hoán đổi (swap) để chuyển tiếp gói dữ liệu đi trong lõi MPLS. Nhãn thứ hai (VPN label) được kết hợp với VRF ở router egress PE để chuyển tiếp gói đến các CE.
Khi dữ liệu được gửi đến một mạng cụ thể thuộc một VPN thông qua mạng core dựa trên MPLS, chỉ có nhãn trên cùng trong label stack là được hoán đổi khi gói tin đi qua từng node mạng. Nhãn VPN còn nguyên vẹn và chỉ được bóc khi qua router egress/downstream PE. Kết quả là gói tin sẽ được chuyển tiếp đến đúng outgoing interface, DesIP trong gói tin được tra cứu trong bảng VRF tương ứng nào trên router PE là phụ thuộc vào giá trị của nhãn VPN.
Thực sự thì khái niệm có một nhãn VPN chỉ ra gói nào thuộc VRF nào cũng không thực sự đúng. Nó có thể đúng trong vài trường hợp, nhưng đa số là không. Nhãn VPN thường chỉ ra trên exgress PE nút tiếp theo mà gói phải được chuyển tiếp tới. Do đó, mục đích của nó là để chỉ bộ định tuyến CE đúng như bước tiếp theo của gói.
Tất cả các gói của khách hàng được chuyển tiếp với 2 nhãn: nhãn IGP như là nhãn trên cùng và nhãn VPN như là nhãn dưới cùng. Nhãn IGP được phân phối bởi LDP giữa tất cả các bộ định tuyến P và PE hop by hop. Nhãn VPN được quảng bá bởi MP–iBGP từ PE đến PE. Những bộ định tuyến P sử dụng nhãn IGP để chuyển tiếp gói tới bộ định tuyến PE ra tương ứng. Bộ định tuyến PE ra sử dụng nhãn VPN để chuyển tiếp gói IP tới bộ định tuyến CE tương ứng.
Hình 2.16 Hoạt động của mặt phẳng dữ liệu
• Bước 2: PE2-AS1 nhận gói và gán nhãn VPN V1 và nhãn LDP V2, sau đó gửi gói đến cho P2-AS1.
• Bước 3: P2-AS1 nhận gói tin, hoán đổi nhãn LDP L2 vào vị trí của L1.
• Bước 4: P1-AS1 nhận gói tin, bóc nhãn trên cùng đi vì nó nhận một nhãn implicit-null cho 10.10.10.101/32 từ PE1-AS1. Kết quả là gói tin với nhãn VPN được gửi cho PE1-AS1.
• Bước 5: PE1-AS1 bóc nhãn VPN, gửi gói cho CE1-A nơi mà mạng 172.16.10.0 được định vị.