MPLS VPN ppt

MPLS VPN Tác giả : Nguyễn Văn Phương Mạng riêng ảo (VPN–Virtual Private Network) là một mạng mà các kết nối của khách hàng trên các vùng được dùng trên một cơ sở hạ tầng chung . Mạng này đối với người dùng là mạng riêng, cung cấp khả năng và chính sách như một mạng riêng. Một mạng riêng ảo có thể xây dựng dựa trên kỹ thuật lớp 2 truyền thống như frame relay hay ATM. Các công nghệ IP VPN khác hiện có, như IPSec, L2TP, L2F và GRE – tất cả đều hoạt động tốt với cấu hình mạng sao (hub–and–spoke). Tuy nhiên, mạng ngày nay cần liên lạc nhiều chiều (any–to–any). Để hỗ trợ điều này sử dụng frame relay hay giao thức đường hầm thì cần phải có cấu hình dạng kết nối đầy đủ (full mesh) các PVC hay đường hầm giữa các vùng là thành viên. Mạng không thể cung cấp và quản lý một cấu hình đầy đủ (full mesh topology) sử dụng các công nghệ truyền thống với hàng ngàn hay chục ngàn VPN. MPLS/VPN cho phép thực hiện và quản lý cấu hình đầy đủ VPN trên mạng xương sống IP. MPLS/VPN cung cấp lưu lượng tách biệt giữa các thuê bao bằng cách gán một VPF riêng biệt cho mỗi VPN của khách hàng. Khi đó người sử dụng trong một VPN không biết được người khác ở VPN khác, mức độ tách biệt người dùng có thể đạt được bằng các công nghệ VPN lớp 2 truyền thống như frame relay hay ATM. Có bốn kỹ thuật lớn cung cấp khả năng xây dựng MPLS–VPN: - BGP đa giao thức (M-BGP), - Router filtering (lọc tuyến đường) dựa trên đích đến (route target) là thuộc tính BGP community mở rộng, - chuyển tiếp MPLS để mang các gói qua mạng xương sống, - sự can thiệp về định tuyến và chuyển tiếp của các router biên của nhà cung cấp. BGP đa giao thức (MP-BGP) chạy giữa các router biên nhà cung cấp để trao đổi thông tin tiền tố VPN. BGP đa giao thức là mở rộng của giao thức BGP hiện tại. Giao thức này cho phép mang tiền tố địa chỉ VPN-IPv4 của khách hàng. Địa chỉ VPN–IPv4 khách hàng là một địa chỉ 12 byte, kết hợp của địa chỉ IPv4 và số phân biệt tuyến đường (RD–route distinguisher). 8 byte đầu là RD; 4 byte tiếp theo là địa chỉ IPv4. RD có 64 bit gồm trường Type dài 2 byte và trường Value dài 6 byte. RD được thêm vào trước địa chỉ IPv4 của khách hàng để thay đổi chúng thành tiền tố VPN-IPv4 duy nhất toàn cầu. Một RD có liên quan với ASN (Autonomous System Number), gồm số hệ thống tự trị và một số bắt buộc, và liên quan tới địa chỉ IP, chứa địa chỉ IP và một số bắt buộc. Điều này cần thiết để VPN này không trùng với VPN khác. Sự kết hợp của RD với địa chỉ IP đảm bảo rằng địa chỉ VPN–IPv4 mới là duy nhất. Bảng định tuyến/chuyển tiếp VPN (VRF– VPN Routing/Forwarding) được xác định trên mỗi router PE cho mỗi VPN. VRF xác định thành viên của một mạng khách hàng nối với router PE. Mỗi VPN có chứa VRF riêng, như vậy khách hàng thuộc một VPN chỉ có thể tới các tuyến chứa trong VRF đó. Mỗi VRF chứa một bảng định tuyến IP, một tập các giao tiếp dùng bảng chuyển tiếp, và một tập các quy tắt và giao thức định tuyến cho một khách hàng. VRF của khách hàng chứa tất cả các tuyến có thể tới trong mạng VPN mà nó là thành viên. Chuyển tiếp IP thường được sử dụng giữa router PE và CE. PE liên kết với mỗi CE bằng bảng chuyển tiếp trên mỗi mạng, bảng này chỉ chứa các tuyến có thể tới router CE đó. Giữa CE và PE, có thể dùng định tuyến tĩnh hay dùng định tuyến động để thông báo bảng chuyển tiếp VRF. Giữa các router PE, BGP đa giao thức được dùng để quảng cáo tiền tố VPN. Khi một router PE quảng cáo địa chỉ VPN– IPv4 tới PE khác, nó dùng một địa chỉ 32 bit (thường là địa chỉ loopback) của địa chỉ BGP chặng kế. Cũng vậy, PE bắt nguồn từ một tuyến VPN gán nhãn cho tuyến đó. Nhãn được thông qua trong cập nhật BGP đa giao thức. Nhãn này được dùng bởi PE vào để hướng gói tin tới đúng CE. Chuyển tiếp MPLS được dùng trong mạng xương sống nhà cung cấp. Mỗi router PE có một nhãn gắn với địa chỉ BGP đa giao thức chặng kế cho mỗi PE khác. Khi một gói tin chuyển tiếp qua mạng xương sống, hai nhãn được sử dụng. Nhãn phía trên dẫn gói tới router PE vào thích hợp. Nhãn thứ hai, được gán bởi PE nguồn, chỉ cách thức PE vào sẽ chuyển tiếp gói. Hoạt động MPLS/VPN Ví dụ trên hình 7 diễn tả cách tạo MPLS/VPN: Hình 7 MPLS VPN (1) 1. MPLS chạy trên lõi. Mỗi router PE quảng cáo địa chỉ loopback của nó: PE1 quảng cáo 1.1.1.1/32 và PE2 quảng cáo 2.2.2.2/32. TDP hay LDP dùng để phân phối thông tin gắn nhãn giữa các router chạy MPLS. Trên mỗi router PE, LFIB chứa một nhãn gắn với địa chỉ loopback 33–bit của router PE khác. Khi PE1 chuyển tiếp gói từ 2.2.2.2 trên PE2, nó sẽ gắn thêm nhãn 20 cho gói và khi PE2 chuyển tiếp một gói từ 1.1.1.1, nó sẽ đặt nhãn 10 cho gói (xem hình 7). 2. Định tuyến và chuyển tiếp VPN được tạo trên PE1 và PE2, gọi là VPNA. 3. PE1 dùng giao tiếp S0/0 trong VPN này và PE2 dùng giao tiếp S0/1. 4. OSPF chạy giữa các PE1và CE1; PE2 và CE2. 5. Khi PE1 nhận tuyến đường tới mạng 10.1.1.0 từ CE1, router đặt nó trong bảng định tuyến của VPNA. Lúc này, nó gán nhãn (5) cho tiền tố. Khi PE2 nhận tuyến đường tới mạng 10.1.2.0 từ CE2, nó đặt vào bảng định tuyến của VPNA. Lúc này nhãn (6) được gán cho tiền tố (hình 6. PE1 sau đó gởi cập nhật MP-iBGP đa giao thức tới PE2 quảng cáo mạng 10.1.1.0. Cập nhật cũng chứa nhãn (5) mà PE1 gắn cho tiền tố 10.1.1.0, và PE2 gắn thêm vào bất kỳ gói nào tới mạng 10.1.1.0 trước khi nó chuyển tiếp gói. Khi PE1 quảng cáo tuyến, nó đặt địa chỉ BGP chặng kế là 1.1.1.1/32, là địa chỉ loopback của nó. 7. PE2 sau đó gởi cập nhật iBGP đa giao thức cho PE1 quảng cáo mạng 10.1.2.0. Cập nhật cũng chứa nhãn (6), mà PE2 gán cho tiền tố 10.1.2.0 và PE1 phải gắn thêm vào các gói tới mạng 10.1.2.0 trước khi chuyển tiếp nó. Khi PE2 quảng cáo tuyến đường, nó đặt địa chỉ BGP chặng kế là 2.2.2.2/32 là địa chỉ loopback của nó. 8. PE1 đưa tiền tố 10.1.2.0 vào bảng định tuyến của VPNA và PE2 đưa tiền tố 10.1.1.0 vào bảng định tuyến của VPNA. Hình 8 MPLS VPN (2) 9. Lúc này, nếu xem bảng định tuyến của VPNA trên router PE1, sẽ thấy thông tin 10.1.2.0 có thể tới được qua 2.2.2.2. Tương tự như vậy trên bảng định tuyến của PE2, sẽ chứa thông tin mạng 10.1.1.0 có thể tới được thông qua 1.1.1.1 10. Các tuyến đường được truyền xuống các router CE dùng OSPF, lúc này mạng đã hội tụ. 11. CE1 bây giờ gởi một gói tới máy 10.1.2.1. Gói được chuyển tiếp tới PE1. PE1 đặt nhãn trong cho gói là 6. Sau đó nó xem xét đích tới trong bảng định tuyến của VPNA. Nó xác định rằng địa chỉ IP chặng kế là 2.2.2.2. Nó xem trong LFIB của nó để xác định nhãn ra nào. Lúc này, PE1 đặt nhãn ngoài cho gói là 20 và chuyển ra giao tiếp serial hướng tới PE2. Nhãn ngoài là 20 và nhãn trong là 6 (xem hình 9). 12. Khi PE2 nhận gói nhãn, nó gở bỏ nhãn ngoài 20 và kiểm tra nhãn trong. Nhãn trong (6) cho router biết giao tiếp nào nó sẽ chuyển tiếp gói ra. Gói sau đó được chuyển tới CE2. Hình 9 . ngàn VPN. MPLS/ VPN cho phép thực hiện và quản lý cấu hình đầy đủ VPN trên mạng xương sống IP. MPLS/ VPN cung cấp lưu lượng tách biệt giữa các thuê bao bằng cách gán một VPF riêng biệt cho mỗi VPN. nguồn, chỉ cách thức PE vào sẽ chuyển tiếp gói. Hoạt động MPLS/ VPN Ví dụ trên hình 7 diễn tả cách tạo MPLS/ VPN: Hình 7 MPLS VPN (1) 1. MPLS chạy trên lõi. Mỗi router PE quảng cáo địa chỉ loopback. Điều này cần thiết để VPN này không trùng với VPN khác. Sự kết hợp của RD với địa chỉ IP đảm bảo rằng địa chỉ VPN IPv4 mới là duy nhất. Bảng định tuyến/chuyển tiếp VPN (VRF– VPN Routing/Forwarding)