Tài liệu Xây dựng các dịch vụ IP VPN ngoài mạng xương sống của nhà cung cấp dịch vụ doc

1. Từ viết tắt 2. Giới thiệu Bản ghi nhớ này mô tả cách tiếp cận cho việc xây dựng các dịch vụ IP VPN ngoài mạng xơng sống của nhà cung cấp dịch vụ. Phổ biến có hai cách tiếp cận: mô hình overlay và cách tiếp cận bộ định tuyến ảo. Mô hình overlay dựa trên việc tải một vài các giao thức định tuyến hiện thời để mang thông tin. Trong tài liệu này, chúng tôi tập trung vào dịch vụ bộ định tuyến ảo. Cách tiếp cận đợc đa ra ở đây không phụ thuộc vào bất cứ sự thay đổi nào trong bất cứ giao thức định tuyến nào. Những phát kiến liên quan đợc nhắm tới trong quá trình sử dụng mạng LAN và đạt đợc nhờ sử dụn ARP. Bản ghi nhớ này cố gắng phân biệt giữa SP và PNA: SP thì sở hữu và quản lý các dịch vụ lớp 1 và 2 trong khi các dịch vụ lớp 3 thì chịu sự quản lý của PNA. Bằng việc cung cấp các miền định tuyến độc lập logic, PNA mang lại khả năng mềm dẻo trong việc sử dụng địa chỉ cá nhân và cha đợc đăng ký. Để sử dụng các LSP cá nhân và sử dụng tóm lợc VPNID sử dụng các tập nhãn qua các LSP dùng chung, bảo mật dữ liệu không còn là vấn đề. Cách tiếp cận trong bản ghi nhớ này khác với đợc mô tả trong RFC 2547, trong đó không có một giao thức định tuyến cụ thể nào đợc tải để mang các tuyến VPN. RFC2547 xác định một cách để thay đổi BGP để mang các tuyến unicast VPN qua mạng xơng sống SP. Để mang các tuyến multicast, cần có các công việc kiến trúc sâu hơn. 3. Các bộ định tuyến ảo ảo Một bộ định tuyến ảo là một tập các thread, cả tĩnh và động, trong thiết bị định tuyến, nó cung cấp các dịch vụ định tuyến và gửi chuyển tiếp giống các bộ định tuyến vật lý. Một bộ định tuyến ảo không nhất thiết là một tiến trình hệ thống vận hành riêng rẽ (mặc dầu nó có thể là nh vậy); nó chỉ đơn giản là cung cấp ảo giác mà một bộ định tuyến dành riêng sẵn sàng thoả mãn những nhu cầu của mạng mà nó kết nối vào. Một bộ định tuyến ảo, giống nh bản sao vật lý của nó, là một thành phần trong một miền định tuyến. Các bộ định tuyến khác trong miền này có thể là các bộ định tuyến vật lý hay ảo. Cho rằng bộ định tuyến ảo kết nối vào một miền định tuyến xác định và bộ định tuyến vật lý có thể hỗ trợ nhiều bộ định tuyến ảo, nó xảy ra hiện tợng một bộ định tuyến vật lý hỗ trợ nhiều miền định tuyến. Từ quan điểm của khách hàng VPN, đòi hỏi một bộ định tuyến ảo phải tơng đơng với một bộ định tuyến vật lý. Nói cách khác, với rất ít ngoại lệ và những thứ thứ yếu, bộ định tuyến ảo nên thiết kế cho nhiều mục đích (cấu hình, quản lý, giám sát, xử lý sự cố) giống nh các bộ định tuyến vật lý. Động cơ chính đằng sau những đòi hỏi này là để tránh việc nâng cấp hoặc cấu hình lại những cơ sở đã đợc cài đặt của các bộ định tuyến và để tránh phải đào tạo lại các nhà quản lý mạng. Các khía cạnh của bộ định tuyến mà một bộ định tuyến ảo cần có là: - Cấu hình bất cứ sự kết hợp của các giao thức định tuyến. - Giám sát mạng - Xử lý sự cố Tất cả các VPN đều có miền định tuyến độc lập logic. Điều này tăng cờng khả năng của SP để cung cấp dịch vụ bộ định tuyến ảo hoàn toàn mềm dẻo mà nó có thể phục vụ các khách hàng của SP mà không cần đòi hỏi các bộ định tuyến vật lý cho VPN. Điều này có nghĩa là các đầu t vào phần cứng của SP, đó là bộ định tuyến, các liên kết giữa chúng có thể đợc các khách hàng sử dụng lại. 4. Các mục tiêu 1. Cấu hình của các điểm cuối VPN đơn giản, có khả năng mở rộng trong mạng cung cấp dịch vụ. Tối đa, một bộ phận cấu hình là cần thiết khi một CE đợc thêm vào. 2. Không sử dụng các tài nguyên của SP điều này hoàn toàn là duy nhất và khó có thể thu đợc các địa chỉ và mạng con IP. 3. Các phát hiện động của VR trong đám mây SP. Điều này là tuỳ chọn, nhng là mục tiêu cực kỳ giá trị. 4. Các bộ định tuyến ảo nên đợc cấu hình đầy đủ và có khả năng giám sát bởi các nhà quản trị mạng VPN. Điều này mang lại cho PAN khả năng mềm dẻo trong cả việc cấu hình VPN và nhiệm vụ cấu hình tài nguyên bên ngoài cho SP. 5. Chất lợng của dữ liệu gửi đi nên đợc cấu hình trong các cơ sở VPN-by-VPN. Nó đợc biên dịch sang GoS liên tục (hoặc rời rạc). Một vài ví dụ bao gồm sự cố gắng, băng thông riêng, QOS, và cách chính sách dựa trên các dịch vụ gửi chuyển tiếp. 6. Các dịch vụ khác nhau nên đợc cấu hình trong các cơ sở VPN-by-VPN, có lẽ dựa trên các LSP thiết lập cho mục đích gửi chuyển tiếp dữ liệu trong VPN. 7. Bảo mật của các bộ định tuyến internet đợc mở rộng cho các bộ định tuyến ảo. Điều này có nghĩa là các chức năng định tuyến và gửi chuyển tiếp dữ liệu của bộ định tuyến ảo đợc bảo mật nh bộ định tuyến vật lý. ở đây có không có hiện tờng lộ thông tin từ một miền định tuyến sang miền khác. 8. Các giao thức định tuyến xác định không nên đợc áp dụng giữa các bộ định tuyến ảo. Điều này khó đảm bảo các khách hàng VPN có thể thiết lập mạng và các chính sách khi các khách hàng thấy thích hợp. Ví dụ, một vài giao thức mạnh trong công việc lọc, trong khi đó các loại khác lại mạnh trong việc xử lý lu lợng. Các khách hàng VPN có thể muốn khai thác cả hai để thu đợc chất lợng mạng tốt nhất. 9. Không có những mở rộng đặt biệt với các giao thức định tuyến nh BGP, RIP, OSPF, ISIS v.v Khó có thể cho phép những bổ xung cho các dịch vụ hiện có khác trong t- ơng lai nh NHRP và multicast. Thêm vào đó, sự tiến bộ và các phần bổ xung cho các giao thức hiện có (nh những mỏ rộng về xử lý lu lợng cho ISIS và OSPF), chúng có thể dễ dàng kết hợp vào một VPN implementation. 5. Những yêu cầu về kiến trúc Mạng cung cấp dịch vụ phải chạy một vài mô hình định tuyến multicast cho tất cả các nút sẽ có các kết nối VPN và cho các nút phải gửi chuyển tiếp các gói tin multicast cho việc phát hiện bộ định tuyến ảo. Một giao thức định tuyến multicast cụ thể không đợc uỷ thác. Một SP có thể chạy MOSPF hoặc DVMRP hoặc các giao thức định tuyến khác. 6. Phác thảo về kiến trúc 1. Tất cả ccs VPN đợc ấn định một VPNID nó là duy nhất trong mạng SP. Nhận dạng này xác định chính xác một VPN mà với nó một gói tin hoặc một kết nối đợc kết hợp. VPNID giá trị 0 đợc dự trữ; nó liên kết và đại diện cho mạng internet công cộng. Điều này đã đợc giới thiệu, nhng không yêu cầu các nhận dạng VPN này sẽ tuân theo RFC2685. 2. Dịch vụ VPN đợc đa ra theo dạng dịch vụ bộ định tuyến ảo. Những VR đặt tại SPED và đợc hạn chế tới biên của đám mây SP. Các VR sẽ sử dụng mạng SP cho dữ liệu và điều khiển gửi chuyển tiếp gói tin nhng mặt khác nó là vô hình phía ngoài các SPED. 3. Kích thớc củ VR giao ớc với VPN trong một SPED cho trớc đợc biểu diễn bằng số l- ợng tài nguyên IP nh các giao diện định tuyến, các bộ lọc tuyến, các lối vào định tuyến v.v Điều này hoàn toàn nằm dới sự điều khiển của SP và cung cấp granularity mà SP yêu cầu để cung cấp các lớp dịch vụ VR khởi đầu trong một mức SPED. (ví dụ: một SPED có thể là điểm tổng hợp cho một VPN và số các SPED khác cóthể là điểm truy cập) Trong trờng hợp này, SPED kết nối với sở chỉ huy có thể đợc giao kèo để cung cấp một VR lớn trong khi SPED kết nối với các đơn vị nhánh có thể nhỏ. Sự cung cấp này cũng cho phép SP thiết kế mạng với mục tiêu cuối cùng là phân phối tải giữa các bộ định tuyến trong mạng. 4. Một dấu hiệu chỉ thị cho kích thớc của VPN là số SPED trong mạng SP có kết nối tới các bộ định tuyến CPE trong VPN đó. Về khía cạnh này, một VPN với rất nhiều các vị trí cần đợc kết nối là một VPN lớn trong khi một VPN với một vài vị trí là VPN nhỏ. Cũng vậy, có thể hiểu đợc rằng VPN phát triển hay thu hẹp lại về kích thớc theo thời gian. Các VPN thậm chí có thể hợp nhất để kết hợp các nhà liên kết, khả năng lĩnh hội và các thoả thuận hợp tác. Những thay đổi này rất phù hợp trong kiến trúc này, khi các tài nguyên IP duy nhất không đợc ấn định cho các VPN. Số SPED không đợc giới hạn bởi bất cứ những giới hạn về cấu hình giả tạo nào. 5. SP sở hữu và quản lý các thực thể lớp 1 và lớp 2. Một cách chi tiết, SP điều khiểncác tổng đài chuyển mạch và các bộ định tuyến vật lý, các đờng liên kết vật lý, các kết nối logic lớp 2 (nh DLCI trong FrameRelay và VPI/VCI trong ATM) và LSP (và cả ấn định của chúng cho các VPN cụ thể). Trong phạm vi của VPN, SP có trách nhiệ, kết hợp và ấn định các thực thể lớp 2 cho các VPN cụ thể. 6. Các thực thể lớp 3 thuộc quyền quản lý của PNA. Các ví dụ về thực thể lớp 3 bao gồm các giao diện IP, sự lựa chọn các giao thức định tuyến động hoặc các tuyến tính, và các giao diện định tuyến. Chú ý rằng mặc dù cấu hình lớp 3 về mặt logic là đặt dới trách nhiệm của PNA, nhng không nhất thiết PNA phải thi hành nó. Điều này có thể thực hiện đợc cho PNA để outsource quản lý IP của các bộ định tuyến ảo tới các nhà cung cấp dịch vụ. Không chú ý tới ai chịu trách nhiệm cho việc cấu hình và giám sát, cách tiếp cận này cung cấp cái nhìn đầy đủ về miền định tuyến cho PNA và cho phép PNA thiết kế mạng để đạt đợc mục tiêu về intranet, extranet và xử lý lu lợng. 7. VPN có thể đợc quản lý nh các bộ định tuyến vật lý hơn là các bộ định tuyến ảo đợc triển khai. Do đó, việc quản lý có thể đợc thi hành sử dụng SNMP hoặc các phơng thức tơng tự khác hoặc trực tiếp tại VR console (VRC) 8. Các công cụ xử lý lỗi chuẩn công nghiệp nh ping, traceroute trong miền định tuyến bao gồm các bộ định tuyến vật lý dành riêng. Do đó, việc giám sát và xử lý lỗi có thể đợc thi hành sử dụng SNMP hoặc các phơng thức tơng tự, nhng có thể bao gồm việc sử dụng các công cụ chuẩn này. Một lần nữa, VRC có thể đợc sử dụng cho mục đích này giống nh bất cứ bộ định tuyến vật lý nào. 9. Từ khi VCR là hữu hình với ngời sử dụng, việc kiểm tra bảo mật bộ định tuyến cần phải đợc đặt đúng vị trí để đảm bảo ngời sử dụng VPN đợc cho phép truy cập vào các tài nguyên lớp 3 chỉ trong VPN đó và không đợc phép truy cập vào các tài nguyên vật lý trong bộ định tuyến. Hầu hết các bộ định tuyến đạt đợc điều này thông qua việc sử dụng các quan điểm về cơ sở dữ liệu. 10. VCR cũng luôn sẵn sàng với SP. Nếu cấu hình và giám sát bị outsourced tới SP, SP có thể sử dụng VRC để thực hiện các nhiệm vụ này nếu nó là PNA. 11. Các VR trong SPED hình thành SPN trong mạng SP. Đồng thời chúng đại diện cho miền định tuyến ảo. Chúng phát hiện các VR khác một cách tự động băng cách sử dụng LAN trong mạng SP. Mỗi VPN trong mạng SP đợc ấn định một và chỉ một địa chỉ multicast. Địa chỉ này đợc lựa chọn từ phạm vi áp dụng quản lý và yêu cầu duy nhất là địa chỉ multicast co thể đợc xắp xếp đơn nhất vào một VPN cụ thể. Điều này có thể thực hiện tự động một cách dễ dàng trong các bộ định tuyến nhờ việc sử dụng các chức năng đơn giản để xắp xếp chính xác một VPNID cho một địa chỉ multicast. Địa chỉ multicast này cho phép một VR có thể nhận biết các VR khác và đợc các VR khác nhận biết. Chú ý rằng địa chỉ multicast không nhất thiết phải đợc cấu hình. 12. Việc gửi chuyển tiếp dữ liệu có thể đợc thực hiện theo một trong các cách sau: Một LSP với các đặc tính hiệu quả nhẫn mà tất cả các VPN có thể sử dụng Một LSP dành riêng cho một VPN và lu lợng đợc xử lý nhờ các khách hàng VPN. Một LSP cá nhân với các đặc tính khác nhau. Chính sách dựa trên việc gửi chuyển tiếp trên kênh ảo L2 dành riêng. Lựa chọn phơng pháp tốt hơn có thể đợc dàn xếp giữa SP và khách hàng VPN, có thể là một phần của SLA giữa chúng. Điều này cho phép SP đa ra các mức dịch vụ khác nhau cho các khách hàng VPN khác nhau. Tất nhiên, việc gửi chuyển tiếp hop-by-hop cũng sẵn sàng để gửi các gói tin định tuyến và để gửi chuyển tiếp các gói tin dữ liệu ngời sử dụng trong các quá trình LSP thiết lập và hỏng. 13. Phơng pháp tiếp cận này không uỷ thác các nhiệm vụ hệ thống vận hành riêng rẽ cho mỗi giao thức định tuyến nào đợc chạy cho môĩ VR và SPED c trú. Các quá trình thực hiện cụ thể có thể đáp ứng nhu cầu của SPED cụ thể đang đợc sử dụng. Bảo dỡng các cơ sở dữ liệu định tuyến và các bảng gửi chuyển tiếp, mỗi một cơ sở dữ liệu và bảng cho một VR, là một cách để thu đợc chất lợng tốt nhất cho SPED cho trớc. 7. Cấu hình mở rộng Một VPN điển hình phải có hàng trăm tới hàng nghìn điểm cuối trong một đáp mây SP. Do đó, cấu hình nên mở rộng một cách tuyến tính về số lợng các điểm cuối. Một cách cụ thể, nhà quản trị mạng phải thêm một cặp các mục cấu hình khi một khách hàng mới gia nhập vào tập các VR cấu hình nên VPN. Bất cứ thứ gì kém hơn sẽ làm cho nhiệm vụ này trở nên khó khăn đối với nhà cung cấp dịch vụ. Trong kiến trúc này, tất cả những thứ mà các nhà cung cấp dịch vụ cần phải cấp phát và cấu hình là các đờng liên kết vật lý vào/ra (ví dụ nh Frame Relay DLCI hoặc ATM VPI/VCI) và các kết nối ảo giữa VR và mạng LAN. 8. Phơng pháp nhận biết các bộ định tuyến lân cận động. Các VR trong một VPN cho trớc thuộc về một số SPED trong mạng. Những VR này cần phải nhận biết về mỗi VR khác và phải đợc kết nối với các VR khác. Một cách để thực hiện điều này là yêu cầu cấu hình của các VR lân cận. Ví dụ, khi một vùng mới đợc thêm vào VPN, điều này đòi hỏi cấu hình của tất cả các VR khác nh là các VR lân cận. Điều này rõ ràng là không thể mở rộng trên quan điểm tài nguyên mạng và cấu hình. Nhu cầu tăng lên để cho phép những VR này nhận biết động mỗi VR khác. Phơng pháp nhận biết các bộ định tuyến lân cận đợc làm cho thuận tiện bằng việc cung cấp cho mỗi VPN một mạng LAN mô phỏng giới hạn. Mạng LAN mô phỏng này đợc sử dụng theo vài cách: 1. Giải quyết địa chỉ sử dụng mạng LAN này để quyết định các địa chỉ IP hop kế tiếp liên kết với các VR khác. 2. Các giao thức định tuyến nh RIP và OSPF sử dụng mạng LAN mô phỏng giới hạn cho việc nhận biết các VR lân cận và để gửi các cập nhật định tuyến. Mạng LAN (cho mỗi VPN) đợc mô phỏng sử dụng địa chỉ multicast IP. Trong tầm quan trọng của việc duy trì không gian địa chỉ công cộng và vì điều này mà địa chỉ multicast cần đợc xác định chỉ trong không gian mạng SP. Chúng ta sử dụng một địa chỉ từ các địa chỉ multicast trong phạm vi một tổ chức nh đợc mô tả trong [Meyer]. Mỗi VPN đợc cấp phát một địa chỉ từ tập địa chỉ đó. Để loại trừ hoàn toàn cấu hình trong phần xem xét này, địa chỉ này đợc tính toán từ VPNID. 9. Cấu hình miền VPN IP Hình 1: Miền định tuyến vật lý Miền định tuyến vật lý trong mạng SP đợc biểu diễn trong hình trên. Trong mạng này, các bộ định tuyến vật lý A, B và C đợc kết nối với nhau. Mỗi trong số các bộ định tuyến có một địa chỉ IP công cộng đợc ấn định cho nó. Những địa chỉ này xác định duy nhất mỗi trong số các bộ định tuyến trong mạng SP. Hình 2: Miền định tuyến ảo Mỗi bộ định tuyến ảo đợc cấu hình nhờ PNA khi đi qua nó là một bộ định tuyến vật lý cá nhân. Tất nhiên, SP giới hạn các tài nguyên mà bộ định tuyến ảo này có thể tiêu thụ trên các cơ sở SPED-by-SPED. Mỗi VPN có một số các kết nối vật lý (tới các bộ định tuyến CPE) và một số các kết nối logic (tới mạng LAN mô phỏng). Mỗi kết nối là kết nối IP và có thể đợc cấu hình để sử dụng bất cứ kết hợp giữa các giao thức định tuyến chuẩn và các chính sách định tuyến để đạt đợc mục tiêu mạng hợp nhất cụ thể. Để minh hoạ, trong hình 1, ba VR đặt trong ba SPED trong VPN1. Bộ định tuyến A nằm trong VR-A, bộ định tuyến B nằm trong VR-B và bộ định tuyến C nằm trong VR-C, VR- C và VR-B có một kết nối tới các thiết bị CPE, trong khi VR-A có hai kết nối vật lý. Mỗi trong số các VR có kết nối logic IP tới ban điều hành công ty và chạy OSPF qua các kết nối này. Do đó, nó có thể định tuyến các gói tin tới 172.150.0/18 và 172.150.128/18. VR- B chạy RIP tại văn phòng chi nhánh (qua kết nối vật lý) và sử dụng RIP (qua kết nối logic) để xuất 172.150.64/18 tới VR-A. VR-A thông báo một tuyến mặc định tới VR-B qua kết nối logic. Nhà cung cấp sử dụng VR-C nh kết nối extranet để kết nối tới cơ sở dữ liệu tại 172.150.128.1. Do đó, VR-C thông báo một tuyến mặc định tới VR-A qua đờng kết nối logic. VR-A chỉ xuất 175.150.128.1 tới VR-C. Điều này giữ phần còn lại của mạng khỏi những vấn đề về bảo mật. Nhà quản trị mạng sẽ cấu hình những thứ nh sau: 1. Các kết nối OSPF tới mạng 172.150.0/18 và mạng 172.150.128/18 trong VR-A 2. Các kết nối RIP tới VR-B và VR-C trong VR-A 3. Các chính sách định tuyến trong VR-A để thông báo chỉ một tuyến mặc định tới VR-B 4. Các chính sách định tuyến trong VR-A để thông báo chỉ 172.150.128.1 tới VR-C 5. RIP trong VR-B tới VR-A 6. RIP trong VR-C để thông báo một tuyến mặc định tới VR-A. 10. Ví dụ về phơng pháp nhận biết các bộ định tuyến lân cận Trong hình 1, SPED trong VR-A (SPED-A) sử dụng địa chỉ của 150.0.0.1/24, SPED-B sử dụng 150.0.0.2/24 và SPED-C sử dụng 150.0.0.3/24. Chú ý rằng kết nối giữa các VR là thông qua mạng LAN mô phỏng. Cho các địa chỉ giao diện trong kết nối mạng LAN mô phỏng, VR-A sử dụng 10.0.0.1/24, VR-B sử dụng 10.0.0.2/24 và VR-C sử dụng 10.0.0.3/24. Bây giờ quan tâm tới việc VR-A gửi gói tin tới VR-B. Để thu đợc địa chỉ của VR-B (Địa chỉ của SPED-B), VR-A gửi một gói tin yêu cầu ARP với địa chỉ của VR-B (10.0.0.2) nh địa chỉ logic. Địa chỉ logic nguồn là 10.0.0.1 và địa chỉ phần cứng là 151.0.0.1. Yêu cầu ARP này đợc tóm lợc trong địa chỉ multicast của VPN này và gửi ra. SPED-B và SPED-C nhận một bản sao của gói tin. SPED-B nhận 10.0.0.2 trong phạm vi VPN1 và đáp ứng với 152.0.0.2 nh địa chỉ phần cứng. Đáp ứng này đợc gửi tới địa chỉ multicast VPN để đề x- ớng cách sử dụng ARP không phân loại và kết quả suy giảm trong lu lợng mạng. Cấu hình thông thờng sẽ cần thiết nếu phơng pháp nhận biết bộ định tuyến lân cận không đợc sử dụng. Trong ví dụ này, VR-A sẽ đợc cấu hình với lối vào ARP tĩnh cho địa chỉ logic của VR-B (10.0.0.1) với địa chỉ phần cứng đợc đặt là 152.0.0.2. 11. Gửi chuyển tiếp Nh đợc đề cập trong phác thảo về kiến trúc, gửi chuyển tiếp dữ liệu có thể đợc thực hiện theo một vài cách. Trong tất cả các công nghệ ngoại trừ công nghệ Hop-by-Hop cho việc gửi chuyển tiếp các gói tin định tuyến/điều khiển, các phơng thức hiện thời đều có thể cấu hình đợc. Tại điểm cuối, giải quyết dựa trên việc gửi chuyển tiếp cho dịch vụ nhanh và tại điểm khác, việc gửi chuyển tiếp hiệu quả tốt nhất sử dụng LSP công cộng đợc sử dụng. Trật tự u tiên gửi chuyển tiếp nh sau: 1. Giải quyết dựa trên việc gửi chuyển tiếp 2. LSP cá nhân cấu hình tuỳ chọn 3. LSP công cộng hiệu quả cao. 11.1 LSP cá nhân LSP này đợc cấu hình tuỳ chọn trong các cơ sở VPN. LSP này thờng kết hợp với việc dự trữ trớc băng thông và với các dịch vụ khác nhau riêng biệt hoặc lớp QOS. Nếu LSP này sẵn sàng, nó đợc sử dụng cho dữ liệu ngời sử dụng và cho việc gửi chuyển tiếp dữ liệu điều khiển cá nhân VPN. 11.2 LSP công cộng hiệu quả cao Các gói tin VPN đợc gửi chuyển tiếp sử dụng LSP này nếu LSP cá nhân với băng thông xác định và các đặc tính QOS hoặc công đợc cấu hình hoặc hiện tại không sẵn sàng. LSP đợc sử dụng là một LSP đợc tính trớc cho bộ định tuyến lối ra trong VPN0. VPNID trong mào đầu chèn thêm đợc sử dụng để phân các gói dữ liệu từ các VPN khác nhau tại bộ định tuyến lối ra. 12. Các dịch vụ khác nhau Việc cấu hình các LSP cá nhân cho các VPN cho phép SP đa ra những dịch vụ khác nhau dành cho các khác hàng. Những LSP cá nhân này có thể đợc kết hợp với bất cứ lớp QOS L2 nào có sẵn hoặc với các điểm mã dịch vụ. Trong một VPN, nhiều LSP cá nhân với các lớp dịch vụ khác nhau có thể đợc cấu hình với các thông tin luồng cho việc sắp xếp các gói tin trong các LSP. Đặc tính này, cùng với khả năng thay đổi kích thớc các bộ định tuyến ảo, cho phép SP cung cấp các dịch vụ hoàn toàn khác nhau tới các khách hàng VPN. 13. Xem xét về vấn đề bảo mật 13.1 Bảo mật định tuyến Sử dụng các giao thức định tuyến chuẩn nh OSPF và BGP theo hình thức không đổi của chúng có nghĩa là tất cả các các phơng thức mã hoá và bảo mật (Nh xác nhận MD5 của các bộ định tuyến lân cận) là hoàn toàn có sẵn trong các VR. Đảm bảo rằng các tuyến này không bị rò rỉ thông tin từ một VPN tới các VPN khác là một vấn đề phải thi hành. Một cách để đạt đợc điều này là để duy trì các cơ sở dữ liệu định tuyến và gửi chuyển tiếp. 13.2 Bảo mật dữ liệu Điều này cho phép SP đảm bảo với các khách hàng VPN rằng tất cả các gói tin dữ liệu trong một VPN không bao giờ đi chệch đờng sang VPN khác. Từ quan điểm định tuyến, điều này có thể đạt đợc bằng việc duy trì các cơ sở dữ liệu định tuyến riêng biệt cho mỗi bộ định tuyến ảo. Từ quan điểm gửi chuyển dữ liệu, sử dụng các tập nhãn trong trờng hợp các LSP dùng chung [Rosen2][Callon] hoặc sử dụng các LSP cá nhân đảm bảo bảo mật dữ liệu. Các bộ lọc gói tin cũng có thể đợc cấu hình để giúp đỡ làm các vấn đề trở nên dễ dàng hơn. 13.3 Bảo mật cấu hình Các bộ định tuyến ảo xuất hiện nh các bộ định tuyến vật lý với PNA. Điều này có nghĩa là chúng có thể đợc PNA cấu hình để có đợc kết nối giữa các văn phòng của một tập đoàn. Rõ ràng, SP phải đảm bảo rằng chỉ có PNA và các nhà thiết kế của PNA, những ngời truy cập tới các VR trên SPED trong mạng cá nhân, là có đợc các kết nối tới chúng. Kể từ khi bộ định tuyến ảo cân bằng về mặt chức năng với bộ định tuyến vật lý, tất cả các phơng thức xác nhận có thể dùng trong physical console nh khẩu lệnh, RADIUS là dùng đợc trong PNA. 13.4 Bảo mật mạng vật lý Khi một PNA truy cập vào một SPED để cấu hình hoặc giám sát VPN, PNA đó đợc truy cập vào VR của VPN. PNA chỉ có quyền cấu hình và giám sát lớp 3 cho VR. Cụ thể PNA không có quyền cấu hình cho mạng vật lý. Điều này đảm bảo cho SP rằng nhà quản trị VPN sẽ không thể tác động đến mạng SP. 14. Giám sát bộ định tuyến ảo Tất cả các đặt tính giám sát bộ định tuyến dùng trong bộ định tuyến vật lý có thể dùng đ- ợc trong bộ định tuyến ảo. Điều này bao gồm các công cụ nh ping traceroute. Thêm vào đó, khả năng hiển thị bảng định tuyến cá nhân, cơ sở dữ liệu trạng thái liên kết, v.v cũng sử dụng đợc. 15. Xem xét về chất lợng Cho mục đích tranh luận về các vấn đề chất lợng và khả năng mở rộng, các bộ định tuyến ngày nay có thể đợc phân chia thành hai mặt bằng: mặt bằng định tuyến và mặt bằng gửi chuyển tiếp. Xem xét tại mặt bằng định tuyến, hầu hết các giao thức định tuyến hiện đại sử dụng một vài hình thức của phơng thức tính toán tối u để tính toán đờng đi ngắn nhất để tới đợc đích cuối cùng. Ví dụ, OSPF và ISIS sử dụng thuật toán Djikstra trong khi BGP sử dụng Decision Process. Những thuật toán này dựa trên việc phân tích cơ sở dữ liệu định tuyến và tính toán đờng đi tốt nhất tới đích cuối cùng. Các đặc tính chất lợng của những thuật toán này đợc dựa trên hoặc là đặc tính hình học topo (ISIS và OSPF) hoặc số AS trên đờng đi tới đích (BGP). Nhng chú ý rằng mào đầu trong việc thiết lập và khởi tạo những tính toán này là rất nhỏ cho hầu hết các bộ định tuyến ngày nay. Điều này bởi vì,mặc dầu chúng ta đề cập tới đầu vào tính toán định tuyến là cơ sở dữ liệu, những cơ sở dữ liệu này đợc nhớ trong các cấu trúc dữ liệu thờng trú. Do đó, những kết luận sau có thể đợc đa ra: 1. Việc bắt đầu tính toán định tuyến cho một miền định tuyến không nhiều hơn việc thiết lập những đăng ký để chỉ ra các đối tợng cơ sở dữ liệu đúng. 2. Dựa trên 1, chất lợng của một thuật toán đa ra hoàn toàn không tồi hơn nhờ mào đầu đợc yêu cầu để thiết lập thuật toán đó. 3. Dựa trên 2, tiếp theo, khi một số các công việc tính toán định tuyến cho một số các bộ định tuyến ảo phải đợc bộ định tuyến vật lý thi hành, sự phức tạp trong kết quả tính toán định tuyến không nhiều hơn tổng các phức tạp của việc tính toán định tuyến của các bộ định tuyến ảo riêng rẽ. 4. Dựa trên 3, tiếp theo liệu mô hình overlay đợc sử dụng hay một mô hình định tuyến ảo đợc áp dụng, các đặc tính chất lợng của một bộ định tuyến hoàn toàn phụ thuộc vào khả năng về phần cứng của nó và sự lựa chọn các cấu trúc dữ liệu và các thuật toán. Để minh hoạ, đặt một bộ định tuyến vật lý trong N VPN, tất cả chạy cùng một giao thức định tuyến gọi là RP. Cho rằng chất lợng trung bình trong thuật toán tính toán định tuyến của RP là f(X,Y) ở đây x và y là các tham số quyết định chất lợng của thuật toán cho giao thức định tuyến đó. Nh trong ví dụ, cho thuật toán Djikstra với giao thức OSPF, X có thể là số nút trong vùng trong khi Y có thể là số liên kết. Chất lợng của một VPN n tuỳ ý là f(Xn,Yn). Chất lợng của bộ định tuyến vật lý là tổng của f(Xi,Yi) cho các giá trị i chạy từ 0 tới N. Kết luận này độc lập với cách tiếp cận VPN lựa chọn (bộ định tuyến ảo hay mô hình overlay) Trong trờng hợp thông thờng, mặt bằng gửi chuyển tiếp co hai đầu vào: bảng gửi chuyển tiếp và mào đầu gói tin. Tham số chất lợng chính là thuật toán tìm kiếm. Chất lợng tốt nhất có thể có đợc cho việc tìm kiếm bảng định tuyến IP bằng cách tổ chức bảng dới một vài mô hình hình cây và sử dụng các phơng pháp tìm kiếm nhị phân để thi hành việc tìm kiếm. Chất lợng của thuật toán này là O (log n) Do đó, chỉ cần các bảng định tuyến của các bộ định tuyến ảo là riêng biệt, chi phí tìm kiếm là giá trị không đổi cho việc tìm kiếm bảng định tuyến và là O(log n) để tìm lối vào. Điều này không tồi hơn bất cứ bộ định tuyến nào và không khác so với bộ định tuyến mà áp dụng các công nghệ overlay để phân phối các dịch vụ VPN. Tuy nhiên, khi bộ định tuyến overlay sử dụng việc tích hợp nhiều bảng định tuyến VPN, chất lợng sẽ là O(log m*n) ở đay m là số VPN mà bản định tuyến giữ. . tả cách tiếp cận cho việc xây dựng các dịch vụ IP VPN ngoài mạng xơng sống của nhà cung cấp dịch vụ. Phổ biến có hai cách tiếp cận: mô hình overlay và cách. làm cho nhiệm vụ này trở nên khó khăn đối với nhà cung cấp dịch vụ. Trong kiến trúc này, tất cả những thứ mà các nhà cung cấp dịch vụ cần phải cấp phát và