MPLS VPN ppt

MPLS VPN
Tác giả : Nguyễn Văn Phương
Mạng riêng ảo (VPN–Virtual Private Network) là một mạng mà các kết nối của khách hàng
trên các vùng được dùng trên một cơ sở hạ tầng chung . Mạng này đối với người dùng là
mạng riêng, cung cấp khả năng và chính sách như một mạng riêng. Một mạng riêng ảo có
thể xây dựng dựa trên kỹ thuật lớp 2 truyền thống như frame relay hay ATM.
Các công nghệ IP VPN khác hiện có, như IPSec, L2TP, L2F và GRE – tất cả đều hoạt động tốt
với cấu hình mạng sao (hub–and–spoke). Tuy nhiên, mạng ngày nay cần liên lạc nhiều chiều
(any–to–any). Để hỗ trợ điều này sử dụng frame relay hay giao thức đường hầm thì cần phải
có cấu hình dạng kết nối đầy đủ (full mesh) các PVC hay đường hầm giữa các vùng là thành
viên. Mạng không thể cung cấp và quản lý một cấu hình đầy đủ (full mesh topology) sử
dụng các công nghệ truyền thống với hàng ngàn hay chục ngàn VPN.
MPLS/VPN cho phép thực hiện và quản lý cấu hình đầy đủ VPN trên mạng xương sống IP.
MPLS/VPN cung cấp lưu lượng tách biệt giữa các thuê bao bằng cách gán một VPF riêng biệt
cho mỗi VPN của khách hàng. Khi đó người sử dụng trong một VPN không biết được người
khác ở VPN khác, mức độ tách biệt người dùng có thể đạt được bằng các công nghệ VPN lớp
2 truyền thống như frame relay hay ATM.
Có bốn kỹ thuật lớn cung cấp khả năng xây dựng MPLS–VPN:
- BGP đa giao thức (M-BGP),
- Router filtering (lọc tuyến đường) dựa trên đích đến (route target) là thuộc tính BGP
community mở rộng,
- chuyển tiếp MPLS để mang các gói qua mạng xương sống,
- sự can thiệp về định tuyến và chuyển tiếp của các router biên của nhà cung cấp.
BGP đa giao thức (MP-BGP) chạy giữa các router biên nhà cung cấp để trao đổi thông tin
tiền tố VPN. BGP đa giao thức là mở rộng của giao thức BGP hiện tại. Giao thức này cho
phép mang tiền tố địa chỉ VPN-IPv4 của khách hàng. Địa chỉ VPN–IPv4 khách hàng là một
địa chỉ 12 byte, kết hợp của địa chỉ IPv4 và số phân biệt tuyến đường (RD–route
distinguisher). 8 byte đầu là RD; 4 byte tiếp theo là địa chỉ IPv4.
RD có 64 bit gồm trường Type dài 2 byte và trường Value dài 6 byte. RD được thêm vào
trước địa chỉ IPv4 của khách hàng để thay đổi chúng thành tiền tố VPN-IPv4 duy nhất toàn
cầu. Một RD có liên quan với ASN (Autonomous System Number), gồm số hệ thống tự trị và

một số bắt buộc, và liên quan tới địa chỉ IP, chứa địa chỉ IP và một số bắt buộc. Điều này
cần thiết để VPN này không trùng với VPN khác. Sự kết hợp của RD với địa chỉ IP đảm bảo
rằng địa chỉ VPN–IPv4 mới là duy nhất.
Bảng định tuyến/chuyển tiếp VPN (VRF– VPN Routing/Forwarding) được xác định trên
mỗi router PE cho mỗi VPN. VRF xác định thành viên của một mạng khách hàng nối với
router PE. Mỗi VPN có chứa VRF riêng, như vậy khách hàng thuộc một VPN chỉ có thể tới các
tuyến chứa trong VRF đó.
Mỗi VRF chứa một bảng định tuyến IP, một tập các giao tiếp dùng bảng chuyển tiếp, và một
tập các quy tắt và giao thức định tuyến cho một khách hàng. VRF của khách hàng chứa tất
cả các tuyến có thể tới trong mạng VPN mà nó là thành viên. Chuyển tiếp IP thường được sử
dụng giữa router PE và CE. PE liên kết với mỗi CE bằng bảng chuyển tiếp trên mỗi mạng,
bảng này chỉ chứa các tuyến có thể tới router CE đó. Giữa CE và PE, có thể dùng định tuyến
tĩnh hay dùng định tuyến động để thông báo bảng chuyển tiếp VRF. Giữa các router PE, BGP
đa giao thức được dùng để quảng cáo tiền tố VPN. Khi một router PE quảng cáo địa chỉ VPN–
IPv4 tới PE khác, nó dùng một địa chỉ 32 bit (thường là địa chỉ loopback) của địa chỉ BGP
chặng kế. Cũng vậy, PE bắt nguồn từ một tuyến VPN gán nhãn cho tuyến đó. Nhãn được
thông qua trong cập nhật BGP đa giao thức. Nhãn này được dùng bởi PE vào để hướng gói
tin tới đúng CE.
Chuyển tiếp MPLS được dùng trong mạng xương sống nhà cung cấp. Mỗi router PE có một
nhãn gắn với địa chỉ BGP đa giao thức chặng kế cho mỗi PE khác. Khi một gói tin chuyển
tiếp qua mạng xương sống, hai nhãn được sử dụng. Nhãn phía trên dẫn gói tới router PE vào
thích hợp. Nhãn thứ hai, được gán bởi PE nguồn, chỉ cách thức PE vào sẽ chuyển tiếp gói.
Hoạt động MPLS/VPN
Ví dụ trên hình 7 diễn tả cách tạo MPLS/VPN:
Hình 7 MPLS VPN (1)
1. MPLS chạy trên lõi. Mỗi router PE quảng cáo địa chỉ loopback của nó: PE1 quảng cáo
1.1.1.1/32 và PE2 quảng cáo 2.2.2.2/32. TDP hay LDP dùng để phân phối thông tin gắn
nhãn giữa các router chạy MPLS. Trên mỗi router PE, LFIB chứa một nhãn gắn với địa chỉ
loopback 33–bit của router PE khác. Khi PE1 chuyển tiếp gói từ 2.2.2.2 trên PE2, nó sẽ gắn
thêm nhãn 20 cho gói và khi PE2 chuyển tiếp một gói từ 1.1.1.1, nó sẽ đặt nhãn 10 cho gói

(xem hình 7).
2. Định tuyến và chuyển tiếp VPN được tạo trên PE1 và PE2, gọi là VPNA.
3. PE1 dùng giao tiếp S0/0 trong VPN này và PE2 dùng giao tiếp S0/1.
4. OSPF chạy giữa các PE1và CE1; PE2 và CE2.
5. Khi PE1 nhận tuyến đường tới mạng 10.1.1.0 từ CE1, router đặt nó trong bảng định tuyến
của VPNA. Lúc này, nó gán nhãn (5) cho tiền tố. Khi PE2 nhận tuyến đường tới mạng
10.1.2.0 từ CE2, nó đặt vào bảng định tuyến của VPNA. Lúc này nhãn (6) được gán cho tiền
tố (hình
6. PE1 sau đó gởi cập nhật MP-iBGP đa giao thức tới PE2 quảng cáo mạng 10.1.1.0. Cập
nhật cũng chứa nhãn (5) mà PE1 gắn cho tiền tố 10.1.1.0, và PE2 gắn thêm vào bất kỳ gói
nào tới mạng 10.1.1.0 trước khi nó chuyển tiếp gói. Khi PE1 quảng cáo tuyến, nó đặt địa chỉ
BGP chặng kế là 1.1.1.1/32, là địa chỉ loopback của nó.
7. PE2 sau đó gởi cập nhật iBGP đa giao thức cho PE1 quảng cáo mạng 10.1.2.0. Cập nhật
cũng chứa nhãn (6), mà PE2 gán cho tiền tố 10.1.2.0 và PE1 phải gắn thêm vào các gói tới
mạng 10.1.2.0 trước khi chuyển tiếp nó. Khi PE2 quảng cáo tuyến đường, nó đặt địa chỉ BGP
chặng kế là 2.2.2.2/32 là địa chỉ loopback của nó.
8. PE1 đưa tiền tố 10.1.2.0 vào bảng định tuyến của VPNA và PE2 đưa tiền tố 10.1.1.0 vào
bảng định tuyến của VPNA.
Hình 8 MPLS VPN (2)
9. Lúc này, nếu xem bảng định tuyến của VPNA trên router PE1, sẽ thấy thông tin 10.1.2.0
có thể tới được qua 2.2.2.2. Tương tự như vậy trên bảng định tuyến của PE2, sẽ chứa thông
tin mạng 10.1.1.0 có thể tới được thông qua 1.1.1.1
10. Các tuyến đường được truyền xuống các router CE dùng OSPF, lúc này mạng đã hội tụ.
11. CE1 bây giờ gởi một gói tới máy 10.1.2.1. Gói được chuyển tiếp tới PE1. PE1 đặt nhãn
trong cho gói là 6. Sau đó nó xem xét đích tới trong bảng định tuyến của VPNA. Nó xác định
rằng địa chỉ IP chặng kế là 2.2.2.2. Nó xem trong LFIB của nó để xác định nhãn ra nào. Lúc
này, PE1 đặt nhãn ngoài cho gói là 20 và chuyển ra giao tiếp serial hướng tới PE2. Nhãn
ngoài là 20 và nhãn trong là 6 (xem hình 9).
12. Khi PE2 nhận gói nhãn, nó gở bỏ nhãn ngoài 20 và kiểm tra nhãn trong. Nhãn trong (6)
cho router biết giao tiếp nào nó sẽ chuyển tiếp gói ra. Gói sau đó được chuyển tới CE2.

Hình 9