b. Bảo mật
2.1 Mô hình IntServ (Integrated Service)
2.1.1 Tổng quan
Dịch vụ tích hợp đi theo hƣớng hỗ trợ việc dành trƣớc tài nguyên cho các luồng lƣu lƣợng. Trái ngƣợc với kiến trúc chuyển phát datagram (các gói sẽ đi qua các tuyến khác nhau tại mọi thời điểm chúng đƣợc gửi), dịch vụ tích hợp cho phép dành toàn bộ một tuyến cho luồng dữ liệu. Điều này đƣợc thực hiện bởi việc thiết lập một tuyến dành trƣớc tài nguyên trƣớc khi gửi dữ liệu.
Thực chất của mô hình này là các bộ định tuyến và các thiết bị mạng phải dành trƣớc tài nguyên của nó để cung cấp các mức chất lƣợng dịch vụ tùy theo nhu cầu của ngƣời sử dụng. Điều này yêu cầu các bộ định tuyến phải có khả năng điều khiển các luồng lƣu lƣợng. Có hai dịch vụ đƣợc định nghĩa:
− Dịch vụ có đảm bảo - Guaranteed Service (GS) : GS cung cấp các dịch vụ chất lƣợng cao nhƣ: Dành riêng băng thông, giới hạn độ trễ tối đa và không bị mất gói tin trong hàng đợi. Các ứng dụng có thể kể đến: Hội nghị truyền hình chất lƣợng cao, thanh toán tài chính thời gian thực,...
− Dịch vụ kiểm soát tải - Controlled Service (CL): CL không đảm bảo về băng thông hay trễ, nhƣng khác với các dịch vụ kiểu “Best Effort” ở điểm không giảm chất lƣợng một cách đáng kể khi tải mạng tăng lên. Dịch vụ này phù hợp cho các ứng dụng không nhạy cảm lắm với độ trễ hay mất gói nhƣ truyền hình multicast audio/video chất lƣợng trung bình.
Trong IntServ, một luồng IP riêng biệt đƣợc nhận dạng bởi 5 thông số sau: − Nhận dạng giao thức
− Địa chỉ IP đích − Địa chỉ cổng đích − Địa chỉ IP nguồn − Địa chỉ cổng nguồn
IntServ sử dụng giao thức RSVP (Resource Reservation Protocol) cho việc đặt trƣớc tài nguyên cho một luồng, bao gồm một mô tả đặc trƣng lƣu lƣợng và các yêu cầu dịch vụ. Mô tả lƣu lƣợng bao gồm tốc độ đỉnh, tốc độ trung bình, kích cỡ lƣu
lƣợng bùng phát và các yêu cầu dịch vụ bao gồm băng thông nhỏ nhất đƣợc yêu cầu và các yêu cầu hiệu năng khác nhƣ trễ, jitter và tỷ lệ mất gói. Nếu có cam kết việc dự phòng, luồng đó đƣợc đƣa vào bảng dự phòng tài nguyên. Khi gói tin đến, khối nhận dạng luồng sẽ nhận dạng gói tin thuộc về luồng đặt trƣớc và đặt chúng vào trong hàng đợi phù hợp để nhận đƣợc dịch vụ yêu cầu.
Trong quá trình truyền từ nguồn tới đích gói tin phải đi qua nhiều chặng. Việc lựa chọn đƣờng dẫn phù hợp cho chặng kế tiếp tại một nút là nhiệm vụ khó khăn do các hạn chế trong định tuyến IP truyền thống. Đƣờng dẫn cần đƣợc lựa chọn có thể đã đáp ứng đƣợc yêu cầu định ra. Tuy nhiên, định tuyến IP thƣờng sử dụng các số đo nhƣ trễ, chặng (hop) hay một số thông số khác để tính toán đƣờng đi ngắn nhất. Do vậy đƣờng dẫn ngắn nhất có thể không có khả năng chấp nhận việc đặt trƣớc tài nguyên trong khi đó đƣờng dẫn dài hơn lại có khả năng đó. Vấn đề định tuyến có thể trở nên phức tạp bởi một số ứng dụng yêu cầu nhiều tham số QoS (ví dụ về băng thông và các yêu cầu về tỉ lệ mất gói tin). Tìm kiếm đƣờng dẫn phù hợp trong nhiều điều kiện ràng buộc rất phức tạp. Chính vì lí do đó mô hình đảm bảo QoS cho gói tin IP đầu tiên này không yêu cầu gắn các cơ chế định tuyến đảm bảo QoS trong kiến trúc IntServ. Kiến trúc này giả sử rằng khối chức năng định tuyến của bộ định tuyến sẽ thực hiện định tuyến từng bƣớc (hop by hop).
2.1.2 Kiến trúc IntServ
Intserv có 4 thành phần, thành phần điều khiển việc chấp nhận luồng mới, thành phần phân loại, lập lịch gói (3 thành phần này cung cấp việc điều khiển lƣu lƣợng) và giao thức dành trƣớc tài nguyên.
Hình 2.1 : Mô hình dịch vụ tích hợp IntServ
2.1.2.1 Điều khiển chấp nhận
Xử lí hai nhiệm vụ cơ bản là chấp nhận hay từ chối các yêu cầu dành trƣớc tài nguyên và giám sát việc sử dụng tài nguyên. Việc dành trƣớc tài nguyên cho một yêu cầu mới sẽ không thể đƣợc chấp nhận nếu không có sẵn tài nguyên theo yêu cầu. Có
hai hƣớng tiếp cận để giải quyết xem tài nguyên nào là sẵn sàng đó là dựa theo đo đạc và dựa theo tham số.
− Trong hƣớng tiếp cận dựa theo tham số, điều khiển chấp nhận sẽ tính toán các nguồn tài nguyên khả dụng dựa trên các chỉ tiêu kỹ thuật và yêu cầu dành trƣớc tài nguyên hiện tại.
− Trong hƣớng tiếp cận theo đo đạc, điều khiển chấp nhận đo lƣu lƣợng thực sự trong mạng và sử dụng các phƣơng pháp thống kê để quyết định xem tài nguyên nào khả dụng. Hƣớng tiếp cận này có ƣu điểm là tối ƣu hoá việc sử dụng mạng, mặc dù không đảm bảo chặt chẽ các cam kết tài nguyên.
2.1.2.2 Nhận dạng luồng
RSVP sử dụng 5 trƣờng trong tiêu đề trong gói tin IP để nhận dạng gói tin thuộc về các luồng dành trƣớc tài nguyên trong nút. Các trƣờng này bao gồm địa chỉ IP nguồn, địa chỉ IP đích, định danh giao thức, cổng nguồn và đích.
2.1.2.3 Lập lịch gói
Là bƣớc cuối cùng trong việc dành trƣớc tài nguyên. Bộ lập lịch gói tin thực hiện việc cấp phát tài nguyên. Nó quyết định gói tin nào sẽ gửi kế tiếp khi tuyến kết nối đi đã sẵn sàng. Do đó nó tác động đến trễ mà gói tin phải chịu trong bộ định tuyến và bộ định tuyến không trực tiếp loại bỏ gói tin.
2.1.2.4 Các dịch vụ của IntServ
Mô hình dịch vụ IntServ có thể sử dụng giao thức báo hiệu RSVP cung cấp nhiều loại hình dịch vụ khác nhau.
− Guaranteed Rate Service: loại hình này cho phép dành sẵn độ rộng băng thông
để phù hợp với những yêu cầu của chúng. Ví dụ ứng dụng VoIP có thể dành 32 Mbps từ đầu cuối đến đầu cuối sử dụng loại hình dịch vụ này. QoS sử dụng xếp hàng cân bằng trọng số (WFQ) kết hợp với giao thức dành sẵn tài nguyên (RSVP) để cung cấp loại hình dịch vụ này.
− Controlled Load Service: loại hình này cho phép các ứng dụng có độ trễ thấp và
tốc độ lƣu lƣợng cao thậm trí ngay cả khi tắc nghẽn. Ví dụ các ứng dụng không nhạy cảm với thời gian thực nhƣ khi phát lại băng ghi âm cuộc hội thoại có thể sử dụng loại hình dịch vụ này. QoS sử dụng RSVP kết hợp với Weighted Random early Detect (WRED) cung cấp loại hình dịch vụ này.
2.1.3 Giao thức dành trước tài nguyên - RSVP 2.1.3.1 Tổng quan
RSVP đƣợc định nghĩa trong chuẩn RFC 2205. RSVP là một giao thức thiết lập dành riêng cho IP QoS. Nó hỗ trợ cả IPv4 và IPv6 và thích hợp cho cả multicast và unicast IP. Trong RSVP, tài nguyên đƣợc dành riêng cho mỗi một định hƣớng cụ thể.
Các trạm nguồn và đích trao đổi bản tin RSVP để thành lập phân lớp dịch vụ và trạng thái chuyển tiếp tại mỗi nút. Nguồn khởi tạo yêu cầu dành riêng nhƣng việc xác
định các tài nguyên sẵn sàng và sự dành riêng thực tế bắt đầu từ đầu cuối thu. Trạng thái của tài nguyên dành riêng tại các node RSVP không cố định và đƣợc thay đổi một cách định kỳ.
RSVP không phải là một giao thức định tuyến. Các bản tin RSVP có hƣớng giống với hƣớng các gói IP đƣợc xác định bởi các bảng định tuyến trong các router IP. RSVP cung cấp một vài kiểu dành riêng. RSVP là một giao thức phức tạp. Do mỗi một nút trên tuyến phải giữ trạng thái dành riêng, với các mạng lớn, RSVP trở thành không thực tế, bởi không có khả năng mở rộng tùy ý.
2.1.3.2 Hoạt động của RSVP
Một phiên RSVP thƣờng đƣợc định nghĩa bởi ba tham số sau: − Địa chỉ đích
− Nhận dạng giao thức − Cổng đích
Hình2.2 Hoạt động của RSVP
Hình trên chỉ ra hoạt động của RSVP. Phía trạm phát (Host nguồn) gửi đi một bản tin PATH tới trạm đích với một luồng hay một “phiên”. Bản tin PATH bao gồm một chỉ thị luồng xác định cho luồng đó Khi bản tin PATH đi qua các router trên một tuyến, các router đăng ký nhận dạng luồng và chỉ thị luồng này. Khi bản tin PATH đến trạm đích, nó sẽ gửi trở lại bản tin RESV mang thông tin về các tài nguyên đƣợc các router chấp nhận đặt trƣớc. Các gói IP của luồng gửi đi theo hƣớng của bản tin PATH.
2.1.3.3 Các kiểu RSVP dành trước tài nguyên
Có ba loại kiểu dành riêng đƣợc định nghĩa trong chuẩn RFC 2205 nhƣ đã chỉ ra trong bảng dƣới đây.
Lựa chọn ngƣời gửi Sự dành riêng
Riêng biệt Chia sẻ
Toàn bộ Bộ lọc cố định (FF) Chia sẻ rõ ràng (SE) Lựa chọn Không định nghĩa Bộ lọc kí tự đại diện(WF)
Điều khiển ngƣời gửi sẽ điều khiển lựa chọn những ngƣời gửi. Hai kiểu điều khiển ngƣời gửi đã đƣợc định nghĩa. Trong kiểu lựa chọn cụ thể, một dãy “cụ thể” tất cả những ngƣời gửi đƣợc lựa chọn đƣợc chỉ ra. Trong lựa chọn bất kỳ, tất cả những ngƣời gửi đến phiên đều đƣợc lựa chọn. Điều khiển chia sẻ điều khiển việc xử lý dành riêng cho những ngƣời gửi khác nhau trong cùng một phiên. Hai kiểu điều khiển chia sẻ đƣợc định nghĩa. Trong kiểu dành riêng riêng biệt, việc dành riêng đƣợc thực hiện cho mỗi đƣờng lên của ngƣời gửi. Trong kiểu dành riêng đƣợc chia sẻ, tài nguyên dành riêng đƣợc chia sẻ bởi nhiều đƣờng lên của các ngƣời gửi.
Hình 2.3 Các ống chia sẽ được dành riêng
Nhƣ đã chỉ ra trong bảng Các kiểu dành riêng của RSVP, có bốn sự kết hợp chia sẻ điều khiển và điều khiển lựa chọn ngƣời gửi có thể xảy ra. Tuy nhiên, một trong bốn sự kết hợp này chƣa đƣợc định nghĩa. Ba kiểu còn lại là kiểu Fixed – Filter, kiểu Shared – Explicit (SE) và kiểu Wildcard – Filter (WF).
Hình Các ống chia sẽ được dành riêng chỉ ra một băng thông “pipe” đƣợc dành riêng đƣợc chia sẻ bởi nhiều ngƣời gửi.
2.2 Mô hình DifServ (Differentiated Service)
Việc đƣa ra mô hình IntServ có vẻ nhƣ giải quyết đƣợc nhiều vấn đề liên quan đến QoS trong mạng IP. Tuy nhiên trong thực tế mô hình này đã không đảm bảo đƣợc QoS xuyên suốt (end to end), do tính khả mở (Scalability) kém. Đã có nhiều cố gắng nhằm thay đổi điều này nhằm đạt một mức QoS cao hơn cho mạng IP, và một trong những cố gắng đó là sự ra đời của DiffServ (xem mô hình Differentiated Service)
Phần này trình bày các vấn đề sau:
− Kiến trúc các dịch vụ phân biệt (DiffServ) − Đánh dấu gói trong mô hình DiffServ
− Các điểm mã DiffServ (DSCP’s) − Thực hiện theo từng chặng (PBH)
2.2.1 Tổng quan
Ở DiffServ, các luồng lƣu lƣợng riêng biệt không đƣợc tách biệt mà đƣợc tổ hợp lại thành một số lớp lƣu lƣợng. Trong DiffServ, băng thông và các tài nguyên mạng khác đƣợc cấp phát cho các lớp lƣu lƣợng mà không dành cho các luồng riêng biệt. Trọng tâm chính của DiffServ là dựa trên miền DS mà không phải là các đƣờng đi end to end của gói tin.
Thuật ngữ “DiffServ” mô tả toàn bộ việc xử lý lƣu lƣợng của khách hàng cùng với một mạng của nhà cung cấp dịch vụ và định nghĩa dịch vụ mà khách hàng có thể trông đợi từ nhà cung cấp dịch vụ, ví dụ một nhà cung cấp Internet – ISP (Internet Service Provider). Một dịch vụ DiffServ đƣợc định nghĩa dựa theo thỏa thuận mức dịch vụ - SLA (Service Level Agreement) giữa một khách hàng (ví dụ, một ứng dụng khách hàng có thể là VoIP, TCP, vv…) và một mạng của nhà cung cấp dịch vụ DiffServ.
Hình 2.4 Các bước của DiffServ
Một DiffServ đƣợc định nghĩa bằng thuật ngữ của các tham số mà khách hàng hiểu nhƣ thỏa thuận điều kiện lƣu lƣợng -TCA (Traffic Condition Ageement), các hồ sơ lƣu lƣợng (ví dụ, các tham số gáo rò – Licky Bucket), thông số hiệu năng (ví dụ thông lƣợng, trễ, ƣu tiên loại bỏ), bằng cách đó các gói không đƣợc cấu hình sẽ bị xử lý, và thêm vào đánh dấu và định dạng của lƣu lƣợng.
Hình 2.4 chỉ ra các bƣớc cơ bản trong việc cung cấp các dịch vụ DiffServ. Các gói khách hàng đến tại router có đánh dấu (hoặc không) DSCP. Router kiểm tra DSCP của các gói và phân lớp các gói bằng phƣơng thức kết hợp hành vi – BA (Behavior Aggregation).
2.2.2 Cấu trúc DiffServ
Nhìn chung, một miền trong mạng IP thƣờng tƣơng ứng với một khu vực địa lý có ranh giới xung quanh và có một chính sách nhất định hoặc khả năng có thể thực hiện đƣợc. Một miền IP là một mạng IP chịu sự điều khiển của một nhà quản lý có thẩm quyền. Một miền IP có thể bao gồm một vài mạng, có thể phân tán về mặt địa lý nhƣng cùng đƣợc quản lý bởi một nhà quản trị.
Hình 2.5 Miền IP
Hình 2.6 Một miền DS và các mạng con
Một mạng IP có thể coi là một DS, nếu nó có khả năng cung cấp dịch vụ DiffServ. Một miền IP có thể có một phần là DS và một phần không phải DS. Một miền DS là một phần có chức năng DS của miền IP. Hình 2.5 minh họa một miền IP mà bao gồm cả miền DS và không phải miền DS
Hình 2.7 Miền DiffServ
Hình 2.8 Vùng DS
Hình 2.7 chỉ ra một miền DS và các phần tử chính của nó. Miền DS gồm các nút ở biên và các nút bên trong. Các nút ở biên lại bao gồm các “Node vào” và các “Node ra”. Các nút ở biên thực hiện chức năng giám sát lƣu lƣợng đƣa vào miền DS... Thuật ngữ khóa đƣợc sử dụng trong việc mô tả cấu trúc DS đã đƣợc định nghĩa trong chuẩn RFC 2457. Một node IP hay thiết bị đƣợc gọi là “DS–compliant” nếu nó hỗ trợ DifServ.
Hình 2.8 chỉ ra một vùng DS, bao gồm một hoặc nhiều hơn các miền DS tiếp giáp phụ thuộc các quyền hạn hành chính khác. Vì thế, một vùng DS có thể cung cấp DiffServ qua các tuyến IP mở rộng qua các mạng dƣới nhiều quyền hạn.
Nhìn chung, các miền DS riêng biệt hoạt động với chính sự giám sát của chúng và PHB, mỗi miền DS có thể sử dụng DSCP của riêng nó. Để cung cấp DiffServ qua một số vùng DS, các miền DS phải thiết lập một SLA tại giao diện giữa các miền DS này.
2.2.3 Đánh dấu gói DiffServ
DiffServ sử dụng trƣờng Kiểu dịch vụ (ToS) của tiêu đề Ipv4 và trƣờng lớp lƣu lƣợng (TC) của tiêu đề IPv6 cho đánh dấu các gói. Khi các router IPv4 và IPv6 hoạt động theo phƣơng thức thông thƣờng và không nhận ra các thông tin DiffServ trong phần tiêu đề gói tin, các trƣờng ToS và TC đƣợc sử dụng nhƣ đối với các gói tin bình thƣờng khác.
Bảng 2.2 IPv4 Header 24 byte
2.2.3.1. Đánh dấu gói trong các router thông thường.
Bảng 2.2 là cấu trúc gói tin IPv4, trong đó có thể thấy trƣờng ToS 8 bit có thể đƣợc sử dụng cho các thông tin DiffServ. Trong một router thông thƣờng (router không hỗ trợ DiffServ) 8 bit của trƣờng ToS đƣợc định nghĩa theo chuẩn RFC 791. Ba bit đầu tiên (bit 0, 1, 2) đƣợc dành cho việc xác lập mức ƣu tiên của gói tin IP, nhƣ mô tả trên Bảng 2.5. Thí dụ RFC 791 chỉ rõ rằng gói tin điều khiển mạng, với 3 bit đầu của trƣờng ToS bằng 111 chỉ đƣợc sử dụng với một mạng riêng; và gói tin với 3 bit đầu của trƣờng ToS bằng 110 chỉ đƣợc thiết lập bởi ngƣời quản trị gateway.
Precedence D T R 0 0
3 bit 1 bit 1 bit 1 bit 1 bit 1 bit
Bảng 2.3 Trường TOS trong IPv4 header
Ba bit tiếp theo (bit 3, 4, 5) đƣợc mô tả trên Bảng 2.6, định nghĩa các đặc điểm liên quan đến hiệu năng và QoS. Bảng 2.6 chỉ ra cách thiết lập D-bit, T-bit, và R-bit của trƣờng ToS và các ý nghĩa tƣơng ứng. Hai bit cuối cùng (bit 6 và 7) của trƣờng ToS đƣợc dành cho tƣơng lai.
Các bit IP Precedence Kiểu lƣu lƣợng
111 Điều khiển mạng
110 Điểu khiển kết nối liên mạng 101 Khẩn cấp 100 Ghi đè Flash 011 Flash 010 Trung bình 001 Ƣu tiên 000 Thông thwờng Bảng 2.5 Các bit IP precedence
Thiết lập Bit Bit D Bit T Bit R
0 Trễ thƣờng Lƣu lƣợng thƣờng Độ tin cậy thƣờng 1 Trễ nhỏ Lƣu lƣợng cao Độ tin cậyc cao
Bảng 2.6 Các chỉ thị về hiệu năng