Các thành phần trong MPLS-VPN

[zai911]

Tổngquanvề VPN


VPN được giới thiệu để cho phép các nhà cung cấp dịch vụ sử dụng cơ sở hạ tầng công cộng có sẵn để thực thi các kết nối point-to-point giữa các site khách hàng. Một mạng khách hàng thực thi với bất kỳ công nghệ VPN nào nằm trong vùng điều khiển của khách hàng gọi là site khách hàng, các site này được kết nối với nhau thông qua mạng của nhà cung cấp dịch vụ (SP-Service Provider). Trong các mạng dựa trên bộ định tuyến truyền thống (traditional router-based network ) các site khác nhau của cùng khách hàng được kết nối với nhau bằng các kết nối point-to-point chuyên dụng (lease line, Frame Relay…). Chi phí thực hiện phụ thuộc vào số lượng site khách hàng. Các site kết nối dạng full mesh sẽ làm gia tăng chi phí theo cấp số mũ. Frame Relay và ATM là những công nghệ đi đầu thích hợp thực thi VPN. Các mạng này bao gồm các thiết bị khác nhau thuộc về khách hàng hoặc nhà cung cấp dịch vụ, đó là các thành phần của giải pháp VPN.

Tổng quát, VPN gồm các vùng sau:

Mạngkháchhàng(CustomerNetwork):Gồm các router tại các site khách hàng khác nhau. Các router kết nối các site cá nhân với mạng của nhà cung cấp dịch vụ được gọi là các router biên phía khách hàng (CE- Customer Edge).

Mạngnhàcungcấp (Provider Network): Được dùng để cung cấp các kết nối point-to-point qua hạ tầng mạng của nhà cung cấp dịch vụ. Các thiết bị của nhà cung cấp dịch vụ mà nối trực tiếp với CE router được gọi là router biên phía nhà cung cấp(PE-Provider Edge). Mạng của nhà cung cấp còn có các thiết bị dùng để chuyển tiếp dữ liệu trong mạng trục(SP backbone) được gọi là các router nhà cung cấp (P- Provider). Dựa trên sự tham gia của nhà cung cấp dịch vụ trong việc định tuyến cho khách hàng, VPN có thể chia thành hai loại mô hình: Overlay và Peer-to-Peer.

Khi Frame Relay và ATM cung cấp cho khách hàng các mạng riêng, nhà cung cấp không thể tham gia vào việc định tuyến khách hàng. Nhà cung cấp dịch vụ chỉ chuyển dữ liệu qua các kết nối point-to-point ảo. Như vậy, nhà cung cấp chỉ cung cấp cho khách hàng kết nối ảo tại lớp 2; đó là mô hình Overlay. Nếu mạch ảo là cố định,
sẵn sàng cho khách hàng sử dụng mọi lúc thì được gọi là mạch ảo cố định (PVC- Permanent Virtual Circuit). Nếu mạch ảo được thiết lập theo yêu cầu (on-demand) thì được gọi là mạch ảo chuyển đổi (SVC- Switch Virtual Circuit). Hạn chế chính của mô hình Overlay là các mạch ảo của các site khách hàng kết nối dạng full mesh (ngoại trừ triển khai dạng hub-and-spoke hay partial hub-and-spoke). Nếu có N site khách hàng
thì tổng số lượng mạch ảo cần thiết cho việc tối ưu định tuyến là N(N-1)/2.

Ban đầu Overlay VPN được thực thi bởi SP để cung cấp các kết nối lớp 1 (physical layer 1) hoặc mạch chuyển vận lớp 2(dữ liệu dạng frame hoặc cell) giữa các site khách hàng bằng cách sử dụng các thiết bị Frame Relay hoặc ATM switch làm PE.
Do đó, nhà cung cấp dịch vụ không thể nhận biết được việc định tuyến ở phía khách hàng. Sau đó, Overlay VPN thực thi các dịch vụ qua IP (lớp 3) với các giao thức định đường hầm như L2TP, GRE, và IPSEC. Tuy nhiên, trong trường hợp nào thì mạng của nhà cung cấp vẫn trong suốt đối với khách hàng, và các giao thức định tuyến chạy trực tiếp giữa các router khách hàng







Mô hình ngang cấp(Peer-to-Peer) được phát triển để khắc phục nhược điểm của mô hình Overlay và cung cấp cho khách hàng cơ chế vận chuyển tối ưu qua SP backbone. Do đó, nhà cung cấp dịch vụ có thể tham gia vào việc định tuyến của khách hàng. Trong mô hình Peer-to-Peer, thông tin định tuyến được trao đổi giữa các router khách hàng và các router của nhà cung cấp dịch vụ, dữ liệu của khách hàng được vận chuyển qua mạng lõi của nhà cung cấp. Thông tin định tuyến của khách hàng được mang giữa các router trong mạng của nhà cung cấp (P và PE), và mạng khách hàng(các CE router). Mô hình này không yêu cầu tạo ra mạch ảo. Quan sát hình 3.1ta thấy, các CE router trao đổi tuyến với các router PE trong SP domain. Thông tin định tuyến của khách hàng được quảng bá qua SP backbone giữa các PE và P và xác định được đường đi tối ưu từ một site khách hàng đến một site khác. Việc phát hiện các thông tin định tuyến riêng của khách hàng đạt được bằng cách thực hiện lọc gói tại các router kết nối với mạng khách hàng. Hình 3.2 mô tả việc triển khai mô hình Peer-to- Peer

[zai911]

Các thuât ngữ trong MPLS VPN

Kiến trúc và thuật ngữ trong MPLS VPN

Trong kiến trúc mạng MPLS VPN, các router biên mang thông tin định tuyến khách hàng, cung cấp định tuyến tối ưu cho lưu lượng giữa các site của khách hàng. Mô hình MPLS-based VPN cũng giúp cho khách hàng sử dụng không gian địa chỉ trùng lắp(overlapping address spaces), không giống như mô hình peer-to-peer truyền thống trong việc định tuyến lưu lượng khách hàng yêu cầu nhà cung cấp phải gán địa
chỉ IP riêng cho mỗi khách hàng(hoặc khách hàng phải thực hiện NAT) để tránh trùng
lắp không gian địa chỉ. MPLS VPN là một dạng thực thi đầy đủ của mô hình peer-to- peer, MPLS VPN backbone và các site khách hàng trao đổi thông tin định tuyến lớp 3,
và dữ liệu được chuyển tiếp giữa các site khách hàng sử dụng MPLS-enable SP IP
backbone.

Miền MPLS, giống như VPN truyền thống, gồm mạng của khách hàng và mạng của nhà cung cấp. Mô hình MPLS VPN giống với mô hình router PE dành riêng (dedicated PE router model) trong các dạng thực thi VPN ngang cấp peer-to-peer VPN. Tuy nhiên, thay vì triển khai các router PE khác nhau cho từng khách hàng, lưu lượng khách hàng được tách riêng trên cùng router PE nhằm cung cấp khả năng kết
nối vào mạng của nhà cung cấp cho nhiều khách hàng. Các thành phần của một MPLS VPN được trình bày trong hình sau:

Các thành phần chính của kiến trúc MPLS-VPN

· Mạng khách hàng (customer network): thường là miền điều khiển của khách hàng gồm các thiết bị hay các router trải rộng trên nhiều site của cùng một khách hàng. Các router CE- là những router trong mạng khách hàng giao tiếp với mạng của nhà cung cấp. ở hình trên, mạng khách hàng của Customer A gồm các router CE1-A, CE2-A và các thiết bị trong Site1 và Site2 của Customer A. Các router CE của Customer A là CE1-A, CE2-A, router CE của Customer B là CE1-B, CE2-B.
· Mạng của nhà cung cấp (provider network): miền thuộc điều khiển của nhà cung cấp gồm các router biên (edge) và lõi (core) để kết nối các site thuộc vào các khách hàng trong một hạ tầng mạng chia sẻ. Các router PE là các router trong mạng của nhà cung cấp giao tiếp với router biên của khách hàng. Các router P là router trong lõi của mạng, giao tiếp với router lõi khác hoặc router biên của nhà cung cấp. Trong hình 3.3, mạng của nhà cung cấp gồm các router PE1, PE2, P1, P2, P3, P4. Trong đó, PE1 và PE2 là router biên của nhà cung cấp trong miền MPLS VPN cho khách hàng A và B. Router P1, P2, P3, P4 là router nhà cung cấp (provider router)

[zai911]

Mô hình định tuyến MPLS-VPN

MPLS VPN giống như mô hình mạng ngang cấp với router dành riêng. Từ một router CE, chỉ cập nhật IPv4, dữ liệu được chuyển tiếp đến router PE. CE không cần
bất kỳ một cấu hình riêng biệt nào cho phép nó tham gia vào miền MPLS VPN. Yêu cầu duy nhất trên CE là một giao thức định tuyến (hay định tuyến tĩnh(static)/tuyến
ngầm định(default)) cho phép nó trao đổi thông tin định tuyến IPv4 với các router PE. Trong mô hình MPLS VPN, router PE thực hiện rất nhiều chức năng. Trước tiên, nó
phải phân tách lưu lượng khách hàng nếu có nhiều hơn một khách hàng kết nối với nó.
Vì thế, mỗi khách hàng được gắn với mỗi định tuyến độc lập. Định tuyến qua SP
backbone thực hiện bằng một tiến trình định tuyến trong bảng định tuyến toàn cục.

RouterPcungcấpchuyểnmạchnhãngiữacácrouterbiêncủanhàcungcấpvà khôngbiếtđếncáctuyếnVPN.CácrouterCEtrongmạngkháchhàngkhôngnhậnbiết được các router P và do đó cấu trúc mạng nội bộ của mạng SP trong suốt đối với khách hàng. Hình sau mô tả chức năng của router PE


VRF- Virtual Routing and Forwarding Table

Khách hàng được phân biệt trên router PE bằng các bảng định tuyến ảo (virtual routing tables) hoặc các instance, còn được gọi là VRF (Virtual Routing and Forwarding table/instances). Thực chất nó giống như duy trì nhiều router riêng biệt cho các khách hàng kết nối vào mạng của nhà cung cấp. Chức năng của VRF giống như một bản tin định tuyến toàn cục, ngoại trừ việc nó chứa mọi tuyến liên quan đến một VPN cụ thể. VRF cũng chứa một bảng chuyển tiếp CEF cho VRF riêng biệt (VRF-specific CEF forwarding table) tương ứng với bản CEF toàn cục xác định các yêu cầu kết nối và các giao thức cho mỗi site khách hàng kết nối trên một router PE. VRF xác định giao thức định tuyến tham gia vào một VPN cụ thể cũng như giao tiếp trên router PE cục bộ tham gia vào VPN. Giao tiếp tham gia vào VRF phải hỗ trợ chuyển mạch CEF. Một VRF có thể gồm một giao tiếp (logical hay physical) hoặc nhiều giao tiếp trên một router.

VRF chứa một bảng định tuyến IP tương ứng với bảng định tuyến IP toàn cục, một bảng CEF, liệt kê các giao tiếp tham gia vào VRF, và một tập hợp các nguyên tắc xác định giao thức định tuyến trao đổi với các router CE (routing protocol contexts). VRF còn chứa các định danh VPN (VPN identifier) như thông tin thành viên VPN (RD và RT). Hình sau cho thấy chức năng của VRF trên một router PE thực hiện tách tuyến khách hàng.

Quan sát hình dưới, Cisco IOS hỗ trợ các giao thức định tuyến khác nhau như những tiến trình định tuyến riêng biệt (OSPF, EIGRP…) trên router. Tuy nhiên, một
số giao thức như RIP và BGP, IOS chỉ hỗ trợ một instance của giao thức định tuyến.
Do đó, thực thi định tuyến VRF bằng các giao thức này phải tách riêng hoàn toàn các
VRF với nhau. Bối cảnh định tuyến (routing context) được thiết kế để hỗ trợ các bản
sao của cùng giao thức định tuyến VPN PE-CE. Các bối cảnh định tuyến này có thể được thực thi như các tiến trình riêng biệt (OSPF), hay như nhiều instance của cùng một giao thức định tuyến (BGP, RIP,…). Nếu nhiều instance của cùng một giao thức định tuyến được sử dụng thì mỗi instance có một tập các tham số của riêng nó.

Hiện tại, Cisco IOS hỗ trợ RIPv2, EIGRP, BGPv4 (nhiều instance), và OSPFv2 (nhiều tiến trình) được dùng cho VRF để trao đổi thông tin định tuyến giữa CE và PE.

Chú ý rằng: các giao tiếp VRF có thể là luận lý (logical) hoặc vật lí (physical) nhưngmỗi giao tiếp chỉ được gán với một VRF.

[zai911]

Khi thực thi các cấu trúc mạng VPN phức tạp (như: Extranet VPN, Internet access
VPNs, network management VPN,…) sử dụng công nghệ MPLS VPN thì RT giữ vai
trò nòng cốt. Một địa chỉ mạng có thể được kết hợp với một hoặc nhiều export RT khi quảng bá qua mạng MPLS VPN. Như vậy, RT có thể kết hợp với nhiều site thành viên của nhiều VPN.

Tiến trình xảy ra trong suốt quá trình quảng bá tuyến trong MPLS VPN ở hình trên như sau:

1. Mạng 172.16.10.0/24 nhận được từ CE1-A, tham gia vào VRF Customer A
trên PE1-AS1.
2. PE1 kết hợp một giá trị RD 1:100 và một giá trị export RT 1:100 khi cấu hình cho VRF trên router PE1-AS1.
3. Các tuyến học từ CE1-A được phân phối vào tiến trình PE1-AS1 với prefix
172.16.10.0/24 và thêm vào đầu giá trị RD 1:100 và nối thêm export RT 1:100
để gửi đi địa chỉ VPNv4 khi tham gia cập nhật MP-iBGP giữa các PE. Nhãn VPN (3byte) được gán cho mỗi địa chỉ học từ các tiến trình của CE kết nối trong một VRF từ tiến trình MP-BGP của PE. MP-BGP chạy trong miền MPLS của nhà cung cấp dịch vụ nên mang theo địa chỉ VPNv4 (Ipv4+RD) và BGP
RT.ChúýrằngRTlàcấuhìnhbắtbuộctrongmộtMPLSVPNchomọiVRF

trên một router, giá trị RT có thể được dùng để thực thi trên cấu trúc mạng
VPN phức tạp, trong đó một site có thể tham gia vào nhiều VPN. Hơn nữa, giá
trị RT còn có thể dùng để chọn tuyến nhập vào VRF khi các tuyến VPNv4 được học trong các cập nhật MP-iBGP. Nhãn VPN chỉ được hiểu bởi egress PE (mặt phẳng dữ liệu) kết nối trực tiếp với CE quảng bá mạng đó. Chú ý rằng các trạm
kế trên PE không phải quảng bá từ tiến trình BGP nhưng phải học từ IGP khi thực thi MPLS VPN. Trong hình trên nhãn VPN được mô tả bằng trường V1 và V2.
4. Cập nhật MP-BGP được nhận bởi PE2 và tuyến được lưu trữ trong bảng VRF
tương ứng cho Customer A dựa trên nhãn VPN.
5. Các tuyến MP-BGP nhận được được phân phối vào các tiến trình định tuyến
VRF PE-CE, và tuyến được quảng bá tới CE2-A.

Các thuộc tính community BGP mở rộng khác như SoO (Site of Origin) có thể dùng chủ yếu trong quảng bá cập nhật MP-iBGP. Thuộc tính SoO được dùng để xác định site cụ thể từ tuyến học được của PE và ứng dụng trong việc chống vòng lặp tuyến (routing loop) vì nó xác định được nguồn của site nên có thể ngăn việc quảng cáo lại mạng cho site đã gửi quảng báo đó. SoO xác định duy nhất một site từ một tuyến mà PE học được.

Khi thực thi một MPLS VPN, mọi VPN site thuộc vào một khách hàng có thể liên
lạc với mọi site trong cùng miền của khách hàng đó được gọi là VPN đơn giản hay intranet VPN. RT có thể được sử dụng để thực hiện cấu trúc VPN phức tạp, các site của một khách hàng có thể truy cập đến site của các khách hàng khác. Dạng thực thi này được gọi là extranet VPN. Các biến thể của extranet VPN như network management VPN, central services VPN và Internet access VPN có thể được triển khai.

Address family là một khái niệm quan trọng trong hoạt động của MP-BGP cho phép chuyển vận các tuyến VPNv4 với các thuộc tính community mở rộng. Theo RFC
2283 “Multiprotocol Extensions for BGP-4”, BGPv4 chỉ có khả năng mang thông tin định tuyến thuộc vào Ipv4. BGP-4 có thể mang thông tin của nhiều giao thức lớp mạng. BGP-4 hỗ trợ định tuyến cho nhiều giao thức lớp mạng, BGP-4 phải đăng ký (account) một giao thức lớp mạng cụ thể liên quan đến một trạm kế (next hop) như NLRI (network layer reachability information). Hai thuộc tính mới được thêm vào của BGP là MP_REACH_NLRI (Multiprotocol Reachable NLRI) và MP_UNREACH_NLRI (Multiprotocol Unreachable NLRI). MP_REACH_NLRI mang một tập các đích đến được (reachable destination) với thông tin trạm kế được dùng để chuyển tiếp cho các đích đến này. MP_UNREACH_NLRI mang một tập các đích không đến được. Cả hai thuộc tính này là optional và nontransitive. Vì thế, một BGP speaker không hỗ trợ tính năng đa giao thức này sẽ bỏ qua thông tin được mang
trong các thuộc tính này và sẽ không chuyển nó đến các BGP speaker khác Một address family là một giao thức lớp mạng được định nghĩa. Một định danh họ
địa chỉ (AFI-Address Family Identifier) mang một định danh của giao thức lớp mạng kết hợp với địa chỉ mạng trong thuộc tính đa giao thức của BGP.

PE thực chất là một LER biên (Edge LSR) và thực hiện tất cả chức năng của một
Edge LSR. PE yêu cầu LDP cho việc gán và phân phối nhãn cũng như chuyển tiếp
các gói được gắn nhãn. Cộng thêm các chức năng của một Edge LSR, PE thực thi một giao thức định tuyến (hay định tuyến tĩnh) với các CE trong một bảng định tuyến ảo (Virtual routing table) và yêu cầu MP_BGP quảng bá các mạng học được từ CE như
các VPNv4 trong MP-iBGP đến các PE khác bằng nhãn VPN.

Router P cần chạy một IGP (OSPF hoặc IS-IS) khi MPLS cho phép chuyển tiếp
cácgóiđượcgánnhãn(mặtphẳngdữliệu-dataplane)giữacácPE.IGPquảngbácác NLRIđếncácPvàPEđểthựcthimộtMP-iBGPsession giữa các PE (mặt phẳng điều khiển-control plane). LDP chạy trên các router P để gán và phân phối nhãn

[zai911]

Hoạt động của mặt phẳng điều khiển MPLS VPN



Mặt phẳng điều khiển trong MPLS VPN chứa mọi thông tin định tuyến lớp 3 và các tiến trình trao đổi thông tin của các IP prefix được gán và phân phối nhãn bằng LDP. Mặt phẳng dữ liệu thực hiện chức năng chuyển tiếp gói IP được gán nhãn đến
trạm kế để về đích. Hình sau cho thấy sự tương tác của các giao thức trong mặt phẳng điều khiển của MPLS VPN.

Các router CE được kết nối với các PE, và một IGP, BGP, hay định tuyến tĩnh(static route) được yêu cầu trên các CE cùng với các PE để thu thập và quảng cáo thông tin NLRI. Trong MPLS VPN backbone gồm các router P và PE, một IGP kết hợp với LDP được sử dụng giữa các PE và P. LDP dùng để phân phối trong một MPLS domain. IGP dùng để trao đổi thông tin NLRI, ánh xạ(map) các NLRI này vào
MP-BGP. MP-BGP được duy trì giữa các PE trong một miền MPLS VPN và trao đổi cập nhật MP-BGP.

CácgóitừCEđếnPEluônđượcquảngbánhưcácgóiIpv4.Hoạtđộngcủamặt phẳng điều khiển MPLS VPN như hình sau:



Sau đây là các bước hoạt động của mặt phẳng điều khiển MPLS VPN

Bước1:Cập nhật Ipv4 cho mạng 172.16.10.0 được nhận bởi egress PE(mặt phẳng
dữ liệu).

Bước 2: PE1-AS1 nhận và vận chuyển tiếp Ipv4, 172.16.10.0/24, đến một tuyến
VPNv4 gắn với RD 1:100, SoO, và RT 1:100 dựa trên cấu hình VRF trên PE1-AS1.
Nó định vị một nhãn VPNv4 V1 tới cập nhật 172.16.10.0/24 và viết lại thuộc tính trạm
kế cho địa chỉ 10.10.10.101 của loopback0 trên PE1-AS1. Sự quảng bá nhãn cho
10.10.10.101/32 từ PE1-AS1 tới PE2-AS2 nhanh chóng được thay thế ngay khi mạng MPLS VPN của nhà cung cấp thiết lập và thực hiện quảng bá VPNv4 trong mạng. Các bước sau thực hiện tiến trình quảng bá nhãn cho 10.10.10.101/32:

· Router PE2-AS1 yêu cầu một nhãn cho 10.10.10.101/32 sử dụng LDP ánh xạ nhãn yêu cầu từ láng giềng xuôi dòng (downstream neighbor) của nó. P1-AS1 xác định một nhãn implicit-null cho 10.10.10.101/32 và gửi đến P1-AS1 bằng LDP reply.
· P1-AS1 sử dụng nhãn implicit-null nhận được từ PE1-AS1 làm giá trị nhãn xuất (outbound label) của nó, xác định một nhãn (L1) cho 10.10.10.101/32, và sửa mục trong LFIB cho 10.10.10.101/32. Sau đó, P1-AS1 gửi giá trị nhãn này đến P2-AS1 bằng LDP reply
P2-AS1 sử dụng nhãn L1 làm giá trị xuất, xác định nhãn L2 cho
10.10.10.101/32 và sửa mục trong LFIB cho 10.10.10.101/32. Sau đó, P2- AS1gửi giá trị nhãn này đến PE2-AS1 bằng LDP reply

Bước3:PE1-AS1 có cấu hình VRF để chấp nhận tuyến với RT 1:100 nên chuyển cập nhật VPNv4 thành Ipv4 và chèn tuyến trong VRF cho Customer A. Sau đó, nó quảng
bá tuyến này đến CE2-A

[zai911]

Hoạt động của mặt phẳng dữ liệu MPLS VPN

Việc chuyển tiếp trong mạng MPLS VPN đòi hỏi phải dùng chồng nhãn (label stack). Nhãn trên (top label) được gán và hoán đổi (swap) để chuyển tiếp gói dữ liệu
đi trong lõi MPLS. Nhãn thứ hai (nhãn VPN) được kết hợp với VRF ở router PE để
chuyển tiếp gói đến các CE. Hình sau mô tả các bước trong chuyển tiếp dữ liệu khách hàng của mặt phẳng dữ liệu từ một site khách hàng CE2-A tới CE1-A trong hạ tầng mạng của SP.






Khi dữ liệu được chuyển tiếp tới một mạng cụ thể dọc theo mạng VPN qua lõi MPLS, chỉ có nhãn trên (top label) trong chồng nhãn bị hoán đổi (swap) khi gói đi qua backbone. Nhãn VPN vẫn giữ nguyên và được bóc ra khi đến router PE ngõ ra (egress) xuôi dòng (downstream). Mạng gắn với một giao tiếp ngõ ra thuộc vào một VRF cụ
thể trên router phụ thuộc vào giá trị của nhãn VPN.

Sau đây là các bước trong việc chuyển tiếp của mặt phẳng dữ liệu minh họa cho hình trên:

Bước 1: CE2-A tạo ra một gói dữ liệu với địa chỉ nguồn 172.16.20.1 và đích là 17.16.10.1
Bước 2: PE2-AS1 nhận gói dữ liệu, thêm vào nhãn VPN V1 và nhãn LDP L2 rồi
chuyển tiếp gói đến P2-AS1.

Bước 3: P2-AS1 nhận gói dữ liệu và chuyển đổi (swap) nhãn LDP L2 thành L1.

Bước4:P1-AS1 nhận gói dữ liệu và bóc (pop) nhãn trên (top label) ra vì nó nhận một ánh xạ nhãn implicit-null cho 10.10.10.101/32 từ PE1-AS1. Kết quả, gói được gán nhãn (nhãn VPN là V1) được chuyển tiếp đến PE1-AS1.

Bước5:PE1-AS1 bóc nhãn VPN V1 ra và chuyển tiếp gói dữ liệu đến CE1-A nơi có địa chỉ mạng 172.16.10.0 được định vị.

[quangtungc]

xin hỏi Zai911. thiết bị định tuyến ở biên và mạng lõi là gì ạ