Технология VPN-MPLS

Лекция 11

Какие новые возможности дает использование стека меток MPLS?

В сетях VPN основным требованием является защита пользовательской информации. Для выполнения этого требуется, чтобы информация о маршрутах VPN через магистральную сеть поставщика услуг не распространялась за ее пределы и не становилась известной за границей сети.

Барьеры на пути распространения маршрутных объявлений устанавливаются путем соответствующего конфигурирования маршрутизаторов РЕ. Разграничение маршрутов разных клиентов обеспечивается путем установки отдельного протокола маршрутизации на каждый интерфейс РЕ, к которому подключена сеть клиента. Можно считать, что на каждом маршрутизаторе РЕ создается столько таблиц VRF, сколько сетей клиентов к нему подключено. Фактически, на РЕ организуется несколько виртуальных маршрутизаторов, каждый из которых работает со своей таблицей VRF.

Механизмом, с помощью которого сети, принадлежащие к одной и той же сети VPN обмениваются маршрутной информацией, является многопротокольное расширение для протокола BGP (Multiprotocol extension for BGP, MP-BGP). С его помощью пограничные маршрутизаторы организуют сеансы связи, в рамках которых обмениваются маршрутной информацией из своих таблиц VRF. Подробное описание этого протокола можно найти в спецификации RFC 2858.

Особенность протокола BGP и его расширений заключается в том, что он получает и передает свои маршрутные объявления не всем непосредственно связанным с ним маршрутизаторам, как протоколы IGP, а только тем, которые указаны в его конфигурационных параметрах в качестве соседей. Причем соседями могут быть «назначены» маршрутизаторы, находящиеся на расстоянии многих хопов. Маршрутизатор РЕ сконфигурирован так, что все получаемые от клиентских сетей маршрутные объявления он с помощью MP-BGP пересылает только определенным в качестве соседей другим пограничным маршрутизаторам РЕ. Целенаправленное распространение маршрутов между маршрутизаторами РЕ обеспечивается надлежащим выбором атрибутов протокола MP-BGP.

Вопрос о том, кому отправлять маршрутные объявления, а кому нет, целиком зависит от топологии виртуальных частных сетей, поддерживаемых данным поставщиком услуг. Полученные маршруты заносятся в таблицы VRF соответствующих сетей.

Термин «виртуальная частная сеть» (VPN) применяется только тогда, когда «собственные» физические каналы виртуальных сетей имитируются средствами пакетных технологий IP, АТМ, FR, X.25 или IP/MPLS. Если частные сети строятся с использованием арендованных каналов TDM или каналов других технологий физического уровня, то такие сети по определению не относятся к «виртуальным». Можно считать, что VPN имитирует выделенные физические каналы, создающие частные сети. При этом степень приближения виртуальных каналов к каналам TDM по многим параметрам, например, по выделяемым ресурсам, всегда неполная и носит вероятностный характер. Тем не менее, преимущества VPN по стоимости перед частными сетями с использованием арендованных физических каналов являются настолько весомыми, что аренду каналов в настоящее время могут позволить себе только очень крупные корпоративные операторы.

В данном отчете рассматривается вариант создания VPN только в сетях IP/MPLS. Организация VPN в сетях второго уровня модели ВОС таких как АТМ, FR, Ethernet, X.25 в данном отчете не рассматриваются.

Сети VPN MPLS организуются на базе сетевой аппаратуры оператора услуг (провайдера), реализующей сеть 3-го уровня (по классификации модели ВОС) с протоколом IP и IP/MPLS. В сетях провайдеров национального или регионального уровня, которые имеют маршрутизаторы и линии большой мощности, может быть обеспечено значительное снижение стоимости VPN по сравнению с другими технологиями, также организующими VPN. Снижение стоимости обеспечивается за счет больших мощностей систем в сетях провайдеров (известный эффект масштаба), а также за счет наиболее полной реализации принципа виртуальности в технологии VPN MPLS по сравнению с другими технологиями.

Организация VPN требует, прежде всего, обеспечения провайдером транспортного обслуживания с определенным качеством и определенными гарантиями пропускной способности для трафика клиента, к которым могут добавляться другие параметры QoS (например, максимальные задержки или процент потерянных данных). В пакетных сетях переменные задержки и потери пакетов с некоторой вероятностью – принципиальное, неизбежное зло. При этом, если в сетях АТМ или FR механизмы поддержания QoS достаточно хорошо отработаны, то в IP-сетях они только начинают внедряться. Исключение составляют сети IP/MPLS, где принципы обеспечения QoS практически совпадают с принципами в АТМ или FR. Кроме того, VPN в сетях IP/MPLS дополнительно могут обладать всеми преимуществами, которыми имеет протокол IP c его более развитой функциональностью 3-го уровня по сравнению с технологиями 2-го уровня.

Таким образом, VPN в сетях IP/MPLS в настоящее время получили наибольшее распространение ввиду существенных преимуществ этой технологии по сравнению с другими технологиями построения виртуальных частных сетей. От других технологий построения VPN, таких как, например, VPN на базе АТМ/FR технологию VPN MPLS отличает хорошая масштабируемость, возможность автоматического конфигурирования сети, а также возможность использования одинакового адресного пространства в различных клиентских сетях.

Масштабируемость достигается за счет архитектуры сети IP/MPLS, когда подключение нового клиентского узла СЕ в существующую VPN производится только перенастройкой одного граничного узла PE[1], к которому подключается данный клиентский узел, не затрагивая всю сеть.

В технологии VPN MPLS адресные пространства различных VPN могут пересекаться, что не нарушает разделения данных этих VPN в сети провайдера. Это может быть чрезвычайно полезным, если оператору необходимо предоставить VPN нескольким клиентам, использующим одинаковое адресное пространство, например, стандартные для корпоративных сетей адреса 10.x.x.x/8.

Автоматическое конфигурирование VPN MPLS обеспечивается с одной стороны организацией обмена между узлами СЕ и РЕ по протоколам IGP с целью создания VRF таблиц, а затем переносом между узлами РЕ маршрутной информации по многопротокольному расширению МР-BGP протокола BGP. VPN поддерживают разнородный пользовательский трафик, разделяемый с помощью уникальной идентификации каждого потока VPN и настройки соединений, что функционально практически соответствуют выделенным каналам. Использование в технологии MPLS коммутации по меткам позволяет, не затрагивая заголовков и содержимого данных в каждой VPN, разделить маршруты различных VPN на уровне коммутации, т.е. на канальном уровне. Этот механизм разделения трафика является прозрачным для оконечных пользователей в пределах сети VPN.

VPN MPLS обеспечивают безопасность, делая, по существу, протокол IP таким же безопасным, как FR или ATM, сокращая потребности в шифровании.

В технологии VPN MPLS также может обеспечиваться естественная интеграция обработки VPN с другими сервисами протокола IP, которые сегодня входят в обязательный набор услуг любого провайдера, включая услуги доступа в Интернет, почтовые службы, электронную торговля, мультимедийные службы и т.п., позволяющие провайдеру получить дополнительный доход и повысить конкурентоспособность. Несмотря на то, что в настоящее время услуга VPN MPLS прежде всего требует организации безопасного канала, а IP-сервисы обычно реализуются в клиентской сети, можно прогнозировать в ближайшее время развитие также таких услуг для VPN в сетях провайдера.

Таким образом, к основным достоинствам организации VPN на базе MPLS можно отнести:

- масштабируемость;

- возможность пересечения адресных пространств узлов, подключенных в различные VPN;

- изолирование трафика различных VPN друг от друга на втором уровне модели ВОС;

- возможность предоставления IP-сервисов.

Дата добавления: 2014-01-05