Nâng cao khả năng bảo mật của hệ thống thông tin bằng giải pháp tích hợp mạng riêng ảo MPLS VPN và IPSEC

..

ĐẠI HỌC THÁI NGUYÊN

TRƢỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG

NGUYỄN XUÂN DUẨN

NÂNG CAO KHẢ NĂNG BẢO MẬT CỦA HỆ THỐNG
THƠNG TIN BẰNG GIẢI PHÁP TÍCH HỢP MẠNG RIÊNG ẢO
MPLS-VPN VÀ IPSEC

LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN
Chuyên ngành: Khoa học máy tính
Mã số: 60480101

NGƢỜI HƢỚNG DẪN KHOA HỌC:

PGS, TS. NGUYỄN VĂN TAM

Thái Nguyên - 2013
Số hóa bởi Trung tâm Học liệu

/>

2

LỜI CẢM ƠN
Trước hết, tôi xin gửi lời cảm ơn chân thành nhất tới PGS.TS Nguyễn
Văn Tam, người thầy đã cho tôi những định hướng và những ý kiến rất quý
báu về công nghệ VPN cũng như cách để triển khai ứng dụng trên nó.

Tơi cũng xin tỏ lịng biết ơn sâu sắc tới thầy cơ, bạn bè cùng khố đã
quan tâm, giúp đỡ tôi tiến bộ trong suốt thời gian qua. Tôi xin cảm ơn trường
Đại học Thái Nguyên cũng như trường Đại học Kinh Doanh và Công nghệ
Hà Nội đã hết sức tạo điều kiện cho tôi trong q trình học và làm luận văn
này.
Luận văn được hồn thành trong thời gian rất hạn hẹp, và chắc chắn
còn nhiều khiếm khuyết cần bổ sung thêm. Tôi xin cảm ơn các thầy cô, bạn
bè và người thân đã và sẽ có những góp ý chân tình cho nội dung của luận
văn này, để tơi có thể tiếp tục đi sâu tìm hiểu về VPN Security và hy vọng có
thể đưa vào ứng dụng thức tiễn công tác.

Nguyễn Xuân Duẩn

Số hóa bởi Trung tâm Học liệu

/>

3

LỜI CAM ĐOAN

Tôi xin cam đoan luận văn là kết quả nghiên cứu của tôi, không sao chép của
ai. Nội dung luận văn có tham khảo và sử dụng các tài liệu liên quan, các thông tin
trong tài liệu được đăng tải trên các tạp chí và các trang website theo danh mục tài
liệu của luận văn.

Tác giả luận văn

Nguyễn Xuân Duẩn

Số hóa bởi Trung tâm Học liệu

/>

4

MỤC LỤC
CHƢƠNG I: MẠNG RIÊNG ẢO VÀ NHU CẦU TÍCH HỢP .......................... 8
1.1 Giới thiệu về mạng VPN ..................................................................................... 8
1.2Phân loại mạng và các mơ hình VPN ................................................................ 12
1.2.1 Cơng nghệ mạng riêng ảo an tồn (Secure VPN) .......................................... 12
1.2.2Cơng nghệ mạng riêng ảo tin cậy (Trusted VPN) ........................................... 12
1.3.1 Giải pháp tích hợp VPN trong cùng nhóm cơng nghệ ................................... 13
1.3.2 Giải pháp tích hợp VPN khơng cùng nhóm cơng nghệ ................................. 15
CHƢƠNG II: GIẢI PHÁP TÍCH HỢP MẠNG RIÊNG ẢO MPLS-VPN và
IPSEC ..................................................................................................................... 18
2.1 Mạng riêng ảo MPLS-VPN ............................................................................... 18
2.1.1

Công nghệ chuyển mạch MPLS .................................................................. 18

2.1.2 Ứng dụng VPN trên mạng MPLS ................................................................. 25
2.2 Mạng riêng ảo IPSec ........................................................................................ 34
2.2.1 Kiến trúc IPSec.............................................................................................. 34
2.2.2 Mạng riêng ảo IPSec ..................................................................................... 41
2.3 MPLS- VPN kết hợp IPSec .............................................................................. 43
2.3.1 Vị trí các điểm kết thúc của IPSec ................................................................. 43
2.3.2 IPsec trên MPLS............................................................................................ 51
CHƢƠNG III: TRIỂN KHAI VÀ CÀI ĐẶT ..................................................... 53
3.1Điều kiện triển khai Ipsec VPN và MPLS-VPN: ................................................ 53

3.2 Cấu hình Ipsec VPN trên mạng lưới (Giải pháp dùng cho các điểm triển
khai kết nối cố định đòi hỏi tính liên tục trong kết nối như 2 cơ sở): ................. 54
3.3.Kết quả thực nghiệm : ........................................................................................ 56
KẾT LUẬN ............................................................................................................ 61

Số hóa bởi Trung tâm Học liệu

/>

5
BẢNG PHỤ LỤC
I. CÁC THUẬT NGỮ VIẾT TẮT
THUẬT NGỮ, VIẾT TẮT

SNMP
VPN
VPDN
ESP
NAS
LAN
PPTP
L2TP
IPSec
PIX
MPLS
GRE
L2F
PPTP
IPX
IP

CPE
ATM
ICT
LDP
LSP
FEC
LSR
LER
NHLFE
FTN
LIB
IGP
TDP
BGP
IETF
AH
CE
PE
DMVPN

Số hóa bởi Trung tâm Học liệu

MƠ TẢ Ý NGHĨA

Simple Network Management Protocol
Virtual Private Network
Virtual Private Data Network
Encapsulating Security Payload
Network Access Server
Local Area Network

Program Performance Test Procedure
Layer 2 Tunneling Protocol
Internet Protocol Security
Property Information Exchange
Multi-Protocol Label Switching
Generic Routing Encapsulation
Layer 2 Forwarding
Program Performance Test Procedure
Packet Exchange/Sequenced Packet Exchange
Internet Protocol
Customer Premises Equipment
Asynchronous Transfer Mode
Information Communication Technology
Label Distribution Protocol
Label Switched Path
Forwarding Equivalence Class
Label Switching Router
Label Edge Router
Next Hop Label Forwarding Entry
(FEC to NHLFE): Ánh xạ FEC sang NHLFE
Label Information Base
Interior Gateway Protocol
Tag Distribution Protocol
Border Gateway Protocol
Internet Engineering Task Force.
Authentication Header
customer edge
Provider Edge
Dynamic multipoint Virtual Private Network

/>

6
II. DANH MỤC CÁC HÌNH
STT
1
2
3
4
5
6
7
8
9
10
11
12
13
14

Tên hình

Trang

Hình 1.1: Mơ hình mạng VPN
Hình 1. 2: Bộ xử lý trung tâm VPN số hiệu 3000 của hãng
Cisco
Hình 1.3: Mơ hình Tunneling

9

Hình 2- 1 Cấu trúc một nút MPLS
Hình 2.2: LSP nested (ghép)
Hình 2.3: Kiến trúc MPLS- VPN
Hình 2.4: Vị trí nhãn MPLS trong khung lớp 2
Hình 2.5 Định dạng nhãn MPLS kiểu khung

23

Hình 2.6. Dùng OSPF để quảng cáo các mạng
Hình 2.7. Trao đổi nhãn bằng giao thức TDP
Hình 2.8: RouterA.
Hình 2 .9: Điểm kết thúc của IPsec trong mơi trường MPLS
VPN
Hình 2 .10: Mơ hình CE-CE IPsec
trƣờng MPLS VPN
Hình
2.11:
IPsecMPLS
từ PE đến
một mơi
trường
VPNPE.

34

12
15
26
31

32
32
34
35
44
45
48

15

Hình 2 .12: Đóng gói IPsec trong bảo mật PE-PE.

48

16

Hình 2.13: Truy cập từ xa IPsec vào MPLS VPN.
Hình 3.1: Sơ đồ mạng Đại học Kinh Doanh và Cơng Nghệ
Hà Nội
Hình 3.2.1: IP VPN server admin
Hình 3.2.2: Tạo domain controler
Hình 3.2.3: Đưa SRV-1 (VPN Server) vào domain
Hình 3.2.4: Cài đặt VPN Server trên SRV-1
Hình 3.2.5: Thiết lập VPN Client kết nối đến VPN Server
Hình 3.2.6: Yêu cầu cấp phát chứng chỉ điện tử
Hình 3.2.7: Thiết lập kết nối VPN
Hình 3.2.8: Các gói tin trong VPN khi khơng sử dụng IPSEC
Hình 3.2.9: Gói tin khi dùng Follow TCP Stream trong
Wireshark
Hình 3.2.10: Gói tin khi dùng Follow TCP Stream khi mã

hóa

50

17
18
19
20
21
15
16
17
18
19
19

Số hóa bởi Trung tâm Học liệu

/>
53
54
54
55
55
55
56
56
57
57
58

7
ĐẶT VẤN ĐỀ
Trong thời đại ngày nay, Internet đã phát triển mạnh về mặt mơ hình cho
đến cơng nghệ, đáp ứng các nhu cầu của người sử dụng. Internet đã được thiết kế
để kết nối nhiều mạng khác nhau và cho phép thông tin chuyển đến người sử dụng
một cách tự do và nhanh chóng mà khơng xem xét đến máy và mạng mà người sử
dụng đó đang dùng.
Tuy nhiên, do Internet có phạm vi tồn cầu và khơng một tổ chức, chính phủ
cụ thể nào quản lý nên rất khó khăn trong việc bảo mật và an tồn dữ liệu cũng như
trong việc quản lý các dịch vụ. Từ đó người ta đã đưa ra một mơ hình mạng mới
nhằm thoả mãn những yêu cầu trên mà vẫn có thể tận dụng lại những cơ sở hạ tầng
hiện có của Internet, đó chính là mơ hình mạng riêng ảo (Virtual Private Network VPN). Với mơ hình mới này, người ta không phải đầu tư thêm nhiều về cơ sở hạ
tầng mà các tính năng như bảo mật, độ tin cậy vẫn đảm bảo, đồng thời có thể quản
lý riêng được sự hoạt động của mạng này. VPN cho phép người sử dụng làm việc
tại các nơi khác nhau có thể kết nối an toàn đến máy chủ của tổ chức mình bằng cơ
sở hạ tầng được cung cấp bởi mạng cơng cộng. Nó có thể đảm bảo an tồn thông
tin giữa các đại lý, người cung cấp, và các đối tác kinh doanh với nhau trong môi
trường truyền thông rộng lớn.
Mạng VPN là một trong những ứng dụng rất quan trọng trong mạng MPLS.
MPLS-VPN đã đơn giản hóa quá trình tạo “đường hầm” trong mạng riêng ảo bằng
cơ chế gán nhãn gói tin (Label) trên thiết bị mạng của nhà cung cấp. Để nâng cao
tính bảo mật của thơng tin các nhà công nghệ đã và đang nghiên cứu triển khai
MPLS-VPN kết hợp với IPSEC.
Trong khuôn khổ kiến thức có được qua q trình được đào tạo tại trường và
công việc thực tế, tôi chọn hướng nghiên cứu đề tài này mong muốn đóng góp,
xây dựng thử nghiệm vào một mơ hình cụ thể và qua đó đánh giá khả năng triển
khai trong thực tế hệ thống quản trị mạng có độ an ninh cao.

Số hóa bởi Trung tâm Học liệu

/>

8
Tên đề tài: Nâng cao khả năng bảo mật của hệ thống thơng tin bằng giải
pháp tích hợp mạng riêng ảo MPLS-VPN và IPSec
CHƢƠNG I: MẠNG RIÊNG ẢO VÀ NHU CẦU TÍCH HỢP
1.1 Giới thiệu về mạng VPN
VPN là một mạng riêng sử dụng hệ thống mạng công cộng (thường là
Internet) để kết nối các địa điểm hoặc người sử dụng từ xa với một mạng LAN ở
trụ sở trung tâm. Thay vì dùng kết nối thật khá phức tạp như đường dây thuê bao
số, VPN tạo ra các liên kết ảo được truyền qua Internet giữa mạng riêng của một tổ
chức với địa điểm hoặc người sử dụng ở xa.

Hình 1.1: Mơ hình mạng VPN
Về cơ bản, VPN là một mạng riêng sử dụng hệ thống mạng công cộng
(thường là Internet) để kết nối các địa điểm hoặc người sử dụng từ xa với một
mạng LAN ở trụ sở trung tâm. Thay vì dùng kết nối thật khá phức tạp như đường
dây thuê bao số, VPN tạo ra các liên kết ảo được truyền qua Internet giữa mạng
riêng của một tổ chức với địa điểm hoặc người sử dụng ở xa.
Các loại VPN
Có hai loại phổ biến hiện nay là VPN truy cập từ xa (Remote-Access ) và
VPN điểm-nối-điểm (site-to-site)
VPN truy cập từ xa còn được gọi là mạng Dial-up riêng ảo (VPDN), là một
kết nối người dùng-đến-LAN, thường là nhu cầu của một tổ chức có nhiều nhân
viên cần liên hệ với mạng riêng của mình từ rất nhiều địa điểm ở xa. Ví dụ như
Số hóa bởi Trung tâm Học liệu

/>

9
công ty muốn thiết lập một VPN lớn phải cần đến một nhà cung cấp dịch vụ doanh
nghiệp (ESP). ESP này tạo ra một máy chủ truy cập mạng (NAS) và cung cấp cho
những người sử dụng từ xa một phần mềm máy khách cho máy tính của họ. Sau
đó, người sử dụng có thể gọi một số miễn phí để liên hệ với NAS và dùng phần
mềm VPN máy khách để truy cập vào mạng riêng của công ty. Loại VPN này cho
phép các kết nối an tồn, có mật mã.
Hình minh họa cho thấy kết nối giữa Văn phịng chính và "Văn phịng" tại gia
hoặc nhân viên di động là loại VPN truy cập từ xa).
VPN điểm-nối-điểm là việc sử dụng mật mã dành cho nhiều người để kết nối nhiều
điểm cố định với nhau thông qua một mạng cơng cộng như Internet. Loại này có thể
dựa trên Intranet hoặc Extranet. Loại dựa trên Intranet: Nếu một công ty có vài địa điểm
từ xa muốn tham gia vào một mạng riêng duy nhất, họ có thể tạo ra một VPN intranet
(VPN nội bộ) để nối LAN với LAN. Loại dựa trên Extranet: Khi một cơng ty có mối
quan hệ mật thiết với một cơng ty khác (ví dụ như đối tác cung cấp, khách hàng...), họ
có thể xây dựng một VPN extranet (VPN mở rộng) kết nối LAN với LAN để nhiều tổ
chức khác nhau có thể làm việc trên một mơi trường chung.
Trong hình minh họa trên, kết nối giữa Văn phịng chính và Văn phịng từ xa
là loại VPN Intranet, kết nối giữa Văn phịng chính với Đối tác kinh doanh là VPN
Extranet.
Bảo mật trong VPN
Tường lửa (firewall) là rào chắn vững chắc giữa mạng riêng và Internet. Bạn
có thể thiết lập các tường lửa để hạn chế số lượng cổng mở, loại gói tin và giao
thức được chuyển qua. Một số sản phẩm dùng cho VPN như router 1700 của Cisco
có thể nâng cấp để gộp những tính năng của tường lửa bằng cách chạy hệ điều
hành Internet Cisco IOS thích hợp. Tốt nhất là hãy cài tường lửa thật tốt trước khi
thiết lập VPN.
Mật mã truy cập là khi một máy tính mã hóa dữ liệu và gửi nó tới một máy
tính khác thì chỉ có máy đó mới giải mã được. Có hai loại là mật mã riêng và mật

mã chung.
Số hóa bởi Trung tâm Học liệu

/>

10
Mật mã riêng (Symmetric-Key Encryption): Mỗi máy tính đều có một mã bí
mật để mã hóa gói tin trước khi gửi tới máy tính khác trong mạng. Mã riêng yêu
cầu bạn phải biết mình đang liên hệ với những máy tính nào để có thể cài mã lên
đó, để máy tính của người nhận có thể giải mã được.
Mật mã chung (Public-Key Encryption) kết hợp mã riêng và một mã cơng
cộng. Mã riêng này chỉ có máy của bạn nhận biết, cịn mã chung thì do máy của
bạn cấp cho bất kỳ máy nào muốn liên hệ (một cách an tồn) với nó. Để giải mã
một message, máy tính phải dùng mã chung được máy tính nguồn cung cấp, đồng
thời cần đến mã riêng của nó nữa. Có một ứng dụng loại này được dùng rất phổ
biến là Pretty Good Privacy (PGP), cho phép bạn mã hóa hầu như bất cứ thứ gì.
Giao thức bảo mật giao thức Internet (IPSec) cung cấp những tính năng an ninh
cao cấp như các thuật tốn mã hóa tốt hơn, q trình thẩm định quyền đăng nhập
tồn diện hơn.
IPSec có hai cơ chế mã hóa là Tunnel và Transport. Tunnel mã hóa tiêu đề
(header) và kích thước của mỗi gói tin cịn Transport chỉ mã hóa kích thước. Chỉ
những hệ thống nào hỗ trợ IPSec mới có thể tận dụng được giao thức này. Ngoài
ra, tất cả các thiết bị phải sử dụng một mã khóa chung và các tường lửa trên mỗi hệ
thống phải có các thiết lập bảo mật giống nhau. IPSec có thể mã hóa dữ liệu giữa
nhiều thiết bị khác nhau như router với router, firewall với router, PC với router,
PC với máy chủ.
Máy chủ AAA
AAA là viết tắt của ba chữ Authentication (thẩm định quyền truy cập),
Authorization (cho phép) và Accounting (kiểm soát). Các server này được dùng để
đảm bảo truy cập an toàn hơn. Khi yêu cầu thiết lập một kết nối được gửi tới từ

máy khách, nó sẽ phải qua máy chủ AAA để kiểm tra. Các thông tin về những hoạt
động của người sử dụng là hết sức cần thiết để theo dõi vì mục đích an tồn.
Sản phẩm cơng nghệ dành cho VPN
Tùy vào loại VPN (truy cập từ xa hay điểm-nối-điểm), bạn sẽ cần phải cài đặt
những bộ phận hợp thành nào đó để thiết lập mạng riêng ảo. Đó có thể là:
Số hóa bởi Trung tâm Học liệu

/>

11
- Phần mềm cho desktop của máy khách dành cho người sử dụng từ xa.
- Phần cứng cao cấp như bộ xử lý trung tâm VPN hoặc firewall bảo mật PIX.
- Server VPN cao cấp dành cho dịch vụ Dial-up.
- NAS (máy chủ truy cập mạng) do nhà cung cấp sử dụng để phục vụ người sử
dụng từ xa.
- Mạng VPN và trung tâm quản lý.
Bộ xử lý trung tâm VPN
Có nhiều loại máy xử lý VPN của các hãng khác nhau, nhưng sản phẩm của
Cisco tỏ ra vượt trội ở một số tính năng. Tích hợp các kỹ thuật mã hóa và thẩm
định quyền truy cập cao cấp nhất hiện nay, máy xử lý VPN được thiết kế chuyên
biệt cho loại mạng này. Chúng chứa các module xử lý mã hóa SEP, cho phép
người sử dụng dễ dàng tăng dung lượng và số lượng gói tin truyền tải. Dịng sản
phẩm có các model thích hợp cho các mơ hình doanh nghiệp từ nhỏ đến lớn (từ100
cho đến 10.000 điểm kết nối từ xa truy cập cùng lúc).

Hình 1. 2: Bộ xử lý trung tâm VPN số hiệu
3000 của hãng Cisco
Router dùng cho VPN
Thiết bị này cung cấp các tính năng truyền dẫn, bảo mật. Dựa trên hệ điều
hành Internet IOS của mình, hãng Cisco phát triển loại router thích hợp cho mọi

trường hợp, từ truy cập nhà-tới-văn phòng cho đến nhu cầu của các doanh nghiệp
quy mô lớn.
Tường lửa PIX của Cisco

Số hóa bởi Trung tâm Học liệu

/>

12
Firewall trao đổi Internet riêng (Private Internet Exchange) bao gồm một cơ
chế dịch địa chỉ mạng rất mạnh, máy chủ proxy, bộ lọc gói tin, các tính năng VPN
và chặn truy cập bất hợp pháp.
1.2 Phân loại mạng và các mơ hình VPN
1.2.1 Cơng nghệ mạng riêng ảo an tồn (Secure VPN)
- Dựa trên môi trường truyền thông công cộng
Mạng riêng ảo an tồn là các mạng riêng ảo có sử dụng mật mã để bảo mật dữ
liệu. Dữ liệu ở đầu ra của một mạng được mật mã rồi chuyển vào mạng cơng cộng
(ví dụ: mạng Internet) như các dữ liệu khác để truyền tới đích và sau đó được giải
mã dữ liệu tại phía thu.
- Sử dụng kỹ thuật mã hố, xác thực
Dữ liệu đã mật mã có thể coi như được truyền trong một đường hầm (tunnel)
bảo mật từ nguồn tới đích. Cho dù một kẻ tấn cơng có thể nhìn thấy dữ liệu đó trên
đường truyền thì cũng khơng có khả năng đọc được vì dữ liệu đã được mật
mã.Mạng riêng ảo xây dựng dựa trên Internet là mạng riêng ảo kiểu an toàn, sử
dụng cơ sở hạ tầng mở và phân tán của Internet cho việc truyền dữ liệu giữa các
site của các công ty. Khi nói đến mạng riêng ảo VPN phải hiểu là mạng riêng ảo
dựa trên Internet.
- Ví dụ: PPTP, L2TP, IPSec
1.2.2 Công nghệ mạng riêng ảo tin cậy (Trusted VPN)
- Sử dụng kênh riêng (ảo), tin cậy của nhà cung cấp dịch vụ:

Mạng riêng ảo kiểu tin tưởng được xem như một số mạch thuê của một nhà
cung cấp dịch vụ viễn thông. Mỗi mạch thuê riêng hoạt động như một đường
dây trong một mạng cục bộ. Tính riêng tư của trusted VPN thể hiện ở chỗ nhà
cung cấp dịch vụ sẽ đảm bảo khơng có một ai sử dụng cùng mạch thuê riêng đó.
Khách hàng của mạng riêng ảo loại này tin tưởng vào nhà cung cấp dịch vụ để
duy trì tính tồn vẹn và bảo mật của dữ liệu truyền trên mạng. Các mạng riêng
xây dựng trên các đường dây th thuộc dạng “trusted VPN”.
-

Ví dụ: MPLS

Số hóa bởi Trung tâm Học liệu

/>

13
1.3. Các giải pháp tích hợp VPN trong cơng nghệ
1.3.1 Giải pháp tích hợp VPN trong cùng nhóm cơng nghệ
Hầu hết các VPN đều dựa vào kỹ thuật gọi là Tunneling để tạo ra một mạng riêng
trên nền Internet. Về bản chất, đây là q trình đặt tồn bộ gói tin vào trong một
lớp header (tiêu đề) chứa thông tin định tuyến có thể truyền qua hệ thống mạng
trung gian theo những "đường ống" riêng (tunnel).
Khi gói tin được truyền đến đích, chúng được tách lớp header và chuyển đến
các máy trạm cuối cùng cần nhận dữ liệu. Để thiết lập kết nối Tunnel, máy khách
và máy chủ phải sử dụng chung một giao thức (tunnel protocol).
Giao thức của gói tin bọc ngoài được cả mạng và hai điểm đầu cuối nhận biết.
Hai điểm đầu cuối này được gọi là giao diện Tunnel (tunnel interface), nơi gói tin
đi vào và đi ra trong mạng.
Kỹ thuật Tunneling yêu cầu 3 giao thức khác nhau:
- Giao thức truyền tải (Carrier Protocol) là giao thức được sử dụng bởi mạng

có thơng tin đang đi qua.
- Giao thức mã hóa dữ liệu (Encapsulating Protocol) là giao thức (như GRE,
IPSec, L2F, PPTP, L2TP) được bọc quanh gói dữ liệu gốc.
- Giao thức gói tin (Passenger Protocol) là giao thức của dữ liệu gốc được
truyền đi (như IPX, NetBeui, IP).
Người dùng có thể đặt một gói tin sử dụng giao thức không được hỗ trợ trên Internet
(như NetBeui) bên trong một gói IP và gửi nó an tồn qua Internet. Hoặc, họ có thể đặt
một gói tin dùng địa chỉ IP riêng (không định tuyến) bên trong một gói khác dùng địa
chỉ IP chung (định tuyến) để mở rộng một mạng riêng trên Internet.
Kỹ thuật Tunneling trong mạng VPN điểm-nối điểm
Trong VPN loại này, giao thức mã hóa định tuyến GRE (Generic Routing
Encapsulation) cung cấp cơ cấu "đóng gói" giao thức gói tin (Passenger Protocol)
để truyền đi trên giao thức truyền tải (Carier Protocol). Nó bao gồm thơng tin về
loại gói tin mà bạn đnag mã hóa và thơng tin về kết nối giữa máy chủ với máy
khách. Nhưng IPSec trong cơ chế Tunnel, thay vì dùng GRE, đơi khi lại đóng vai
Số hóa bởi Trung tâm Học liệu

/>

14
trị là giao thức mã hóa. IPSec hoạt động tốt trên cả hai loại mạng VPN truy cập từ
xa và điểm- nối-điểm. Tất nhiên, nó phải được hỗ trợ ở cả hai giao diện Tunnel.

Hình 1.3: Trong mơ hình này, gói tin được chuyển từ một máy tính ở
văn phịng chính qua máy chủ truy cập, tới router (tại đây giao thức
mã hóa GRE diễn ra), qua Tunnel để tới máy tính của văn phịng từ xa.
Kỹ thuật Tunneling trong mạng VPN truy cập từ xa
Với loại VPN này, Tunneling thường dùng giao thức điểm-nối-điểm PPP (Pointto-Point Protocol). Là một phần của TCP/IP, PPP đóng vai trị truyền tải cho các giao
thức IP khác khi liên hệ trên mạng giữa máy chủ và máy truy cập từ xa. Nói tóm lại,
kỹ thuật Tunneling cho mạng VPN truy cập từ xa phụ thuộc vào PPP.

Các giao thức dưới đây được thiết lập dựa trên cấu trúc cơ bản của PPP và
dùng trong mạng VPN truy cập từ xa.
L2F (Layer 2 Forwarding) được Cisco phát triển. L2 F dùng bất kỳ cơ chế
thẩm định quyền truy cập nào được PPP hỗ trợ.
PPTP (Point-to-Point Tunneling Protocol) được tập đoàn PPTP Forum phát
triển. Giao thức này hỗ trợ mã hóa 40 bit và 128 bit, dùng bất kỳ cơ chế thẩm định
quyền truy cập nào được PPP hỗ trợ.
L2TP (Layer 2 Tunneling Protocol) là sản phẩm của sự hợp tác giữa các thành
viên PPTP Forum, Cisco và IETF. Kết hợp các tính năng của cả PPTP và L2F,
L2TP cũng hỗ trợ đầy đủ IPSec. L2TP có thể được sử dụng làm giao thức
Số hóa bởi Trung tâm Học liệu

/>

15
Tunneling cho mạng VPN điểm-nối-điểm và VPN truy cập từ xa. Trên thực tế,
L2TP có thể tạo ra một tunnel giữa máy khách và router, NAS và router, router và
router. So với PPTP thì L2TP có nhiều đặc tính mạnh và an tồn hơn.
1.3.2 Giải pháp tích hợp VPN khơng cùng nhóm cơng nghệ
IPSec VPN
Các mạng VPN tuyền thống sử dụng 3 chức năng bảo mật như: tạo đường
hầm (Tunneling), mã hóa dữ liệu (Encryption) và chứng thực (Authentication).
Hạn chế đầu tiên và cũng là dễ nhận thấy nhất ở IPSec đó là làm giảm hiệu năng
của mạng. Khi xét đường đi giữa hai máy tính A và B ở hai chi nhánh khác nhau.
Khi A gởi gói tin cho B, gói tin sẽ được gởi đến VPN Server ở chi nhánh A, VPN
Server này sẽ kiểm tra gói tin xem liệu nó có cần thiết để chuyển đến VPN Server
bên kia khơng. Trong một mơi trường mạng khơng có VPN thì gói tin sẽ được
truyền ngay qua VPN Server bên kia. Tuy nhiên, với giao thức IPSec, đầu tiên, gói
tin phải được mã hóa, sau đó đóng gói vào các gói IP, hoạt động này tiêu tốn thời
gian và gây trễ cho gói tin. Khi gói tin đến được VPN Server bên kia, nó lại phải

được mở gói và giải mã, sau đó mới được chuyển đến máy B bằng gói IP, điều này
một lần nữa lại làm tăng thêm độ trễ của mạng. Để cải thiện điều này, nhiều thiết
bị phần cứng có tốc độ xử lý gói tin rất lớn được ra đời nhưng lại tỉ lệ thuận với giá
thành, điều này làm cho chi phí triển khai IPSec VPN rất lớn.
Lại nói về chi phí, một điểm chúng ta cần cân nhắc khi triển khai các mạng
VPN đó là các VPN Server – Customer Premise Equipment (CPE). Mỗi một CPE
phải đóng vai trị như là một Router và có khả năng hỗ trợ Tunneling. Những CPE
với chức năng này có giá thành rất cao, điều này lần nữa làm nổi bật yêu cầu chi
phí khi xây dựng mạng IPSec VPN. Để khắc phục điều này, cách duy nhất là tải
các phần mềm IPSec Client vào tất cả các PC, cách này giảm thiểu được chi phí
nhưng ngược lại địi hỏi sự hỗ trợ người dùng, khó khăn trong quản lý mạng và
hiệu năng thì khơng cao.
Khai thác và bảo dưỡng cũng là một vấn đề nữa của các mạng IPSec VPN vì
mỗi một đường hầm IPSec đều phải được thiết lập bằng tay. Cấu hình cho một
Số hóa bởi Trung tâm Học liệu

/>

16
đường hầm IPSec đơn lẻ không phải là vấn đề thế nhưng thời gian để thiết lập và
duy trì một mạng VPN với nhiều site sẽ tăng lên đáng kể khi kích thước mạng
được mở rộng. đặc biệt là với mạng VPN có cấu hình “full mesh” thì các nhà cung
cấp dịch vụ sẽ gặp nhiều khó khăn trong hỗ trợ và xử lý sự cố kỹ thuật.
Vấn đề bảo mật cũng cần được quan tâm trong các mạng VPN. Mỗi CPE có
thể truy nhập vào mạng Internet cơng cộng nhưng tin tức vẫn cần được bảo mật
trong quá trình truyền giữa các site. Vì vậy, mỗi thiết bị CPE phải có biện pháp bảo
mật nhất định (như Firewall). Và sự quản lý các firewall này sẽ trở nên rất khó
khăn nhất là khi kích thước của mạng rất lớn. Với một mạng VPN khoảng 100 nút
mạng, sẽ cần 100 firewall và mỗi khi cần một sự thay đổi nhỏ trong chính sách
(policy) của firewall, chúng ta phải tiếp cận cả 100 firewall này trong mạng. Rõ

ràng đây là một điểm hạn chế lớn của các mạng IPSec VPN về khía cạnh bảo mật.
MPLS VPN
Trễ trong mạng được giữ ở mức thấp nhất vì các gói tin lưu chuyển trong
mạng khơng phải thơng qua các hoạt động như đóng gói và mã hóa. Sở dĩ khơng
cần chức năng mã hóa là vì MPLS VPN tạo nên một mạng riêng. Phương pháp bảo
mật này gần giống như bảo mật trong mạng Frame Relay. Ngồi ra, cơ chế chuyển
mạch dựa vào thơng tin nhãn giúp MPLS VPN cải thiện tốc độ chuyển mạch và
cũng giảm độ trễ gói tin trong mạng so mới IPSec VPN.
Tồn bộ thơng tin định tuyến giữa các chi nhánh của khách hàng được ISP
quản lý trên các PE Router thơng qua các bảng VRF. Đó là một trong những ưu
điểm lớn nhất của MPLS VPN, khơng địi hỏi các thiết bị CPE thơng minh bởi vì
tồn bộ các chức năng VPN được thực hiện ở phía trong mạng lõi của nhà cung
cấp dịch vụ và hoàn toàn “trong suốt” đối với các CPE. Các CPE khơng địi hỏi
chức năng VPN và hỗ trợ IPSec. điều này có nghĩa là khách hàng khơng phải chi
phí q cao cho các thiết bị CPE.
Việc tạo một mạng đầy đủ (full mesh) VPN, hay sâu hơn là khả khả năng mở
rộng của mạng MPLS VPN hồn tồn đơn giản vì các MPLS VPN khơng sử dụng
cơ chế tạo đường hầm. Vì vậy, cấu hình mặc định cho các mạng MPLS VPN là full
Số hóa bởi Trung tâm Học liệu

/>

17
mesh, chỉ cần một kết nối duy nhất cho mỗi remote site. trong đó các site được nối
trực tiếp với PE vì vậy các site bất kỳ có thể trao đổi thơng tin với nhau trong
VPN. Và thậm chí, nếu site trung tâm gặp trục trặc, các site khác vẫn có thể liên
lạc với nhau.
Hoạt động khai thác và bảo dưỡng cũng đơn giản hơn trong mạng MPLSVPN. Hoạt động này chỉ cần thực hiện tại các thiết bị bên trong mạng core mà
không cần phải tiếp xúc đến các CPE. Một khi một site đã được cấu hình xong, ta
khơng cần đụng chạm đến nó nữa cho dù nếu muốn thêm một site mới vào mạng vì

những thay đổi về cấu hình lúc này chỉ cần thực hiện tại PE mà nó nối tới.
Vấn đề bảo mật thậm chí còn đơn giản hơn nhiều khi triển khai trong các
mạng MPLS VPN vì một VPN hồn tồn dựa trên mạng CORE của ISP khép kín
bản thân nó đã đạt được sự an tồn thơng tin do khơng có kết nối với mạng Internet
cơng cộng. Nếu có nhu cầu truy nhập Internet, một tuyến sẽ được thiết lập để cung
cấp khả năng truy nhập. Lúc này, một firewall sẽ được sử dụng trên tuyến này để
đảm bảo một kết nối bảo mật cho toàn bộ mạng VPN. Cơ chế hoạt động này rõ
ràng dễ dàng hơn nhiều cho hoạt động quản lý mạng vì chỉ cần duy trì các chính
sách bảo mật cho một firewall duy nhất mà vẫn đảm bảo an tồn cho tồn bộ VPN.

Số hóa bởi Trung tâm Học liệu

/>

18
CHƢƠNG II: GIẢI PHÁP TÍCH HỢP MẠNG RIÊNG ẢO MPLS-VPN và
IPSEC
2.1 Mạng riêng ảo MPLS-VPN
2.1.1 Công nghệ chuyển mạch MPLS
TỔNG QUAN VỀ MPLS
1) Sơ lƣợc lịch sử
Khi mạng Internet phát triển và mở rộng, lưu lượng Internet bùng nổ. Các ISP
xử lý bằng cách tăng dung lượng các kết nối và nâng cấp bộ định tuyến (router)
nhưng vẫn không tránh khỏi nghẽn mạch. Lý do là các giao thức định tuyến
thường hướng lưu lượng vào cùng một số các kết nối nhất định dẫn đến kết nối này
bị quá tải trong khi một số tài nguyên khác không được sử dụng. Đây là tình trạng
phân bố tải khơng đồng đều và sử dụng lãng phí tài nguyên mạng Internet
Vào thập niên 90, các ISP phát triển mạng của họ theo mơ hình chồng lớp
(overlay) bằng cách đưa ra giao thức IP ứng dụng trong ATM (IP over ATM).
ATM là công nghệ định hướng kết nối (connection-oriented), thiết lập các kênh ảo

(Virtual Circuit), tuyến ảo (Virtual Path) tạo thành một mạng logic nằm trên mạng
vật lý giúp định tuyến, phân bố tải đồng đều trên toàn mạng.
Tuy nhiên, IP và ATM là hai cơng nghệ hồn tồn khác nhau, được thiết kế
cho những môi trường mạng khác nhau, khác nhau về giao thức, cách đánh địa chỉ,
định tuyến, báo hiệu, phân bổ tài nguyên. Khi các ISP càng mở rộng mạng theo
hướng IP over ATM, họ càng nhận rõ nhược điểm của mơ hình này, đó là sự phức
tạp của mạng lưới do phải duy trì hoạt động của hai hệ thống thiết bị.
Sự bùng nổ của mạng Internet dẫn tới xu hướng hội tụ các mạng viễn thông khác
như mạng thoại, truyền hình dựa trên Internet, giao thức IP trở thành giao thức chủ
đạo trong lĩnh vực mạng.
Xu hướng của các ISP là thiết kế và sử dụng các bộ định tuyến chuyên dụng,
dung lượng chuyển tải lớn, hỗ trợ các giải pháp tích hợp, chuyển mạch đa lớp cho
mạng trục Internet. Nhu cầu cấp thiết trong bối cảnh này là phải ra đời một cơng

Số hóa bởi Trung tâm Học liệu

/>

19
nghệ có khả năng kết hợp những đặc điểm tốt của chuyển mạch kênh ATM và
chuyển mạch gói IP .
Cơng nghệ MPLS (Multiprotocol Label Switching) ra đời trong bối cảnh này
đáp ứng được nhu cầu của thị trường đúng theo tiêu chí phát triển của Internet đã
mang lại những lợi ích thiết thực, đánh dấu một bước phát triển mới của mạng
Internet trước xu thế tích hợp cơng nghệ thơng tin và viễn thông (ICT Information Communication Technology) trong thời kỳ mới.
2) MPLS và mơ hình tham chiếu OSI
MPLS được xem như là một công nghệ lớp đệm (shim layer), nó nằm trên lớp
2 nhưng dưới lớp 3, vì vậy đơi khi người ta cịn gọi nó là lớp 2,5.
Ngun lý của MPLS được thể hiện ở hình 1.2. Tất cả các gói IP sẽ được gắn
nhãn (label) và chuyển tiếp theo một đường dẫn LSP (Label Switched Path). Các bộ

định tuyến (router) trên đường dẫn chỉ căn cứ vào nội dung của nhãn để thực hiện
quyết định chuyển tiếp gói mà khơng cần phải kiểm tra phần đầu (header) của IP.
3) Các khái niệm trong MPLS
• LDP (Label Distribution Protocol): Giao thức phân bố nhãn.
• LSP (Label Switched Path): Đường dẫn chuyển mạch nhãn.
• FEC (Forwarding Equivalence Class): Lớp chuyển tiếp tương đương.
• LSR (Label Switching Router) Bộ định tuyến chuyển mạch nhãn.
• LER (Label Edge Router): Bộ định tuyến nhãn biên.
• NHLFE (Next Hop Label Forwarding Entry): Mục chuyển tiếp chặng tiếp theo.
• FTN (FEC to NHLFE): Aùnh xạ FEC sang NHLFE.
• LIB (Label Information Base): Cơ sở thông tin nhãn.
Miền MPLS (MPLS Domain)
Miền MPLS được chia thành hai phần: phần mạng lõi (core) và phần mạng
biên (edge). Các nút thuộc miền MPLS được gọi là bộ định tuyến (router) chuyển
mạch nhãn LSR (Label Switch Router). Các nút ở phần mạng lõi được gọi là LSR
chuyển tiếp (transit-LSR) hay LSR lõi (core-LSR) (thường được gọi tắt là LSR).
Các nút ở biên được gọi là bộ định tuyến nhãn biên LER (Label Edge Router). Nếu
Số hóa bởi Trung tâm Học liệu

/>

20
một LER là nút đầu tiên trên đường đi của một gói xun qua miền MPLS thì nó
được gọi là LER lối vào (ingress-LER), còn nếu là nút cuối cùng thì nó được gọi là
LER lối ra (egress-LER). Lưu ý là các thuật ngữ này được áp dụng tuỳ theo chiều
của luồng lưu lượng trong mạng, do vậy một LER có thể là LER lối vào vừa là
LER lối ra tuỳ theo các luồng lưu lượng đang xét.
Lớp chuyển tiếp tƣơng đƣơng FEC
Lớp chuyển tiếp tương đương FEC (Forwarding Equivalence Class) là một tập
hợp các gói được đối xử như nhau bởi một LSR. Như vậy, FEC là một nhóm các gói

IP được chuyển tiếp trên cùng một đường chuyển mạch nhãn LSP, được đối xử theo
cùng một cách thức và có thể ánh xạ vào một nhãn bởi một LSR cho dù chúng có thể
khác nhau về thơng tin đầu (header) lớp mạng. Hình 1.4 cho thấy cách xử lý này.
Hoán đổi nhãn (Label Swapping)
Hoán đổi nhãn là cách dùng các thủ tục để chuyển tiếp gói. Để chuyển tiếp gói
có nhãn, LSR kiểm tra nhãn trên đỉnh ngăn xếp và dùng ánh xạ ILM (Incoming
Label Map) để ánh xạ nhãn này tới một mục chuyển tiếp nhãn NHLFE (Next Hop
Label Forwarding Entry). Sử dụng thông tin trong NHLFE, LSR xác định ra nơi để
chuyển tiếp gói và thực hiện một tác vụ trên ngăn xếp nhãn. Rồi nó mã hố ngăn
xếp nhãn mới vào gói và chuyển gói đi.
Chuyển tiếp gói chưa có nhãn cũng tương tự nhưng xảy ra ở LER lối vào
(ingress-LER). LER phải phân tích đầu (header) lớp mạng để xác định FEC rồi sử
dụng ánh xạ FTN (FEC-to-NHLFE) để ánh xạ FEC vào một NHLFE.
Đường chuyển mạch nhãn LSP là một đường nối giữa bộ định tuyến ngõ vào và bộ
định tuyến ngõ ra, được thiết lập bởi các nút MPLS để chuyển các gói đi xuyên
qua mạng. Đường dẫn của một LSP qua mạng được định nghĩa bởi sự chuyển đổi
các giá trị nhãn ở các LSR dọc theo LSP bằng cách dùng thủ tục hốn đổi nhãn.
4) Hoạt động của MPLS
Chuyển gói qua miền MPLS
Hình dưới đây là một ví dụ đơn giản minh hoạ q trình truyền gói IP đi qua
miền MPLS. Gói tin IP khi đi từ ngồi mạng vào trong miền MPLS được bộ định
Số hóa bởi Trung tâm Học liệu

/>

21
tuyến (router) A đóng vai trị là một LER ngõ vào sẽ gán nhãn có giá trị là 6 cho
gói IP rồi chuyển tiếp đến bộ định tuyến B. Bộ định tuyến B dựa vào bảng hoán
đổi nhãn để kiểm tra nhãn của gói tin. Nó thay giá trị nhãn mới là 3 và chuyển tiếp
đến router C. Tại C, việc kiểm tra cũng tương tự như ở B và sẽ hốn đổi nhãn, gán

cho gói tin một nhãn mới là 9 và tiếp tục được đưa đến bộ định tuyến D.
Bộ định tuyến D đóng vai trị LER ngõ ra sẽ kiểm tra trong bảng hoán đổi nhãn và
gỡ bỏ nhãn 9 ra khỏi gói tin rồi định tuyến gói IP một cách bình thường đi ra khỏi
miền MPLS. Với kiểu làm việc này thì các LSR trung gian như bộ định tuyến B và
C sẽ không phải thực hiện kiểm tra toàn bộ phần đầu (header) IP của gói tin mà nó
chỉ việc kiểm tra các giá trị của nhãn, so sánh trong bảng và chuyển tiếp. Vì vậy
tốc độ xử lý trong miền MPLS sẽ nhanh hơn nhiều so với định tuyến IP truyền
thống. Đường đi từ bộ định tuyến A đến bộ định tuyến D được gọi là đường
chuyển mạch nhãn LSP (Label Switched Path).
Cấu trúc MPLS
Cấu trúc của một nút MPLS bao gồm 2 mặt thành phần:thành phần chuyển tiếp
(hay còn được gọi là mặt phẳng dữ liệu) và thành phần điều khiển (còn được gọi là
mặt phẳng điều khiển). Thành phần chuyển tiếp sử dụng một cơ sở dữ liệu chuyển
tiếp nhãn để chuyển tiếp dữ liệu dựa trên các nhãn đi kèm với gói tin. Thành phần
điều khiển chịu trách nhiệm tạo và duy trì các thơng tin chuyển tiếp nhãn (cịn
được gọi là bindings ) giữa nhóm các chuyển mạch nhãn với nhau. Tất cả các nút
MPLS phải chạy một hoặc nhiều giao thức định tuyến IP (hoặc dựa trên định tuyến
tĩnh) để có thể trao đổi thơng tin định tuyến với các nút MPLS khác trên mạng.
Theo đó, mỗi một nút MPLS (bao gồm cả chuyển mạch ATM) là một router trên
mặt phẳng điều khiển.

Số hóa bởi Trung tâm Học liệu

/>

22

mặt phẳng điều khiển.

Hình 2- 1 Cấu trúc một nút MPLS

Tương tự như các router truyền thống, các giao thức định tuyến IP sẽ dùng
để xây dựng nên bảng định tuyến. Bảng định tuyến IP được sử dụng để forward gói
tin. Tại một nút MPLS, bảng định tuyến được sử dụng để xác định việc trao đổi
thông tin nhãn chuyển tiếp, nơi mà các nút MPLS kề cận với nó trao đổi các nhãn
cho các mạng con subnets) cụ thể được chứa trong bảng định tuyến. Các quá trình
Điều khiển định tuyến MPLS IP (MPLS IP Routing Control) sử dụng các nhãn để
trao đổi với các nút MPLS cạnh nó để tạo ra Bảng chuyển tiếp nhãn (Label
Forwarding Table), bảng này là vùng cơ sở dữ liệu được sử dụng để chuyển tiếp
các gói được gán nhãn qua mạng MPLS.
Các phần tử chính của MPLS
LSR (label switch Router)
Thành phần cơbản của mạng MPLS là thiết bị định tuyến chuyển mạch nhãn
LSR. Thiết bịnày thực hiện chức năng chuyển tiếp gói thông tin trong phạm vi
mạng MPLS bằng thủtục phân phối nhãn. Đó là khảnăng cần thiết đểhiểu được
Số hóa bởi Trung tâm Học liệu

/>

23
nhãn MPLS, nhận và truyền gói được gán nhãn trên đường liên kết dữliệu. Có 3
loại LSR trong mạng MPLS:
o Ingress LSR – LSR vào nhận gói chưa có nhãn, chèn nhãn (ngăn xếp) vào
trước gói và truyền đi trên đường kết nối dữliệu.
o Egress LSR – LSR ra nhận các gói được gán nhãn, tách nhãn và truyền
chúng trên đường kết nối dữliệu. LSR ra và LSR vào là các LSR biên.
o LSR trung gian (intermediate LSR) – các LSR trung gian này sẽ nhận các
gói có nhãn tới, thực hiện các thao tác trên nó, chuyển mạch gói và truyền gói đến
đường kết nối dữ liệu đúng.
Bảng sau mơ tảcác hoạt động của nhãn:

LSR phải có khảnăng lấy ra một hoặc nhiều nhãn (tách một hoặc nhiều nhãn
từphía trên của ngăn xếp nhãn) trước khi chuyển mạch gói ra ngồi. Một LSR cũng
phải có khảnăng gắn một hoặc nhiều nhãn vào gói nhận được. Nếu gói nhận được
đã có sẵn nhãn, LSR đẩy một hoặc một vài nhãn lên trên ngăn xếp nhãn và chuyển
mạch gói ra ngồi. Nếu gói chưa có nhãn, LSR tạo một ngăn xếp nhãn và gán nhãn
lên gói. Một LSR phải có khảnăng trao đổi nhãn. Nó có ý nghĩa rất đơn giản khi nó
nhận được gói đã gán nhãn, nhãn trên cùng của ngăn xếp nhãn được trao đổi với
nhãn mới và gói được chuyển mạch trên đường kết nối dữliệu ra. LSR mà gắn
nhãn lên trên gói đầu tiên được gọi là LSR imposing (gắn) bởi vì nó là LSR đầu
tiên đặt nhãn lên trên gói. Đây là một việc bắt buộc đối với một LSR vào. Một
Số hóa bởi Trung tâm Học liệu

/>

24
LSR mà tách tất cảcác nhãn từgói có dán nhãn trước khi chuyển mạch gói là một
LSR Disposing (tách) hay là một LSR ra.
Trong MPLS VPN, các LSR ra và vào được biết đến nhưmột bộ định tuyến
cung cấp biên (PE). LSR trung gian được biết đến nhưlà bộ định tuyến của nhà
cung cấp. Bộ định tuyến PE và P trởlên phổbiến đến nỗi nó thường xuyên được
sửdụng khi mạng MPLS không chạy MPLS VPN.
LER (label edge Router)
Bộ định tuyến nhãn ởbiên mạng (LER) là thiết bịhoạt động ởranh giới giữa
mạng MPLS và mạng truy cập. LER hỗtrợnhiều cổng nối đến các mạng khác nhau
nhưATM, Frame Relay, Ethernet đểchuyển tiếp các lưu lượng
vào trong mạng MPLS và phân phối lưu lượng này trởlại các mạng truy cập ở
đầu ra.
LSP (label switch Path)
Đường chuyển mạch nhãn là một tập hợp các LSR mà chuyển mạch một gói có
nhãn qua mạng MPLS hoặc một phần của mạng MPLS. Vềcơbản, LSP là một

đường dẫn qua mạng MPLS hoặc một phần mạng mà gói đi qua. LSR đầu tiên của
LSP là một LSR vào, ngược lại LSR cuối cùng của LSP là một LSR ra. Tất cảcác
LSR ởgiữa LSR vào và ra chính là các LSR trung gian. Trong hình 2-5 dưới đây,
mũi tên ởtrên cùng chỉhường bởi vì đường chuyển mạch nhãn là đường theo một
phương hướng duy nhất. Luồng của các gói có nhãn trong một hướng khác –
từphải sang trái – giữa cùng các LSR biên sẽlà một LSP khác.
Hình 2- 7 Ví dụvềmột LSP qua mạng MPLS
LSR vào của một LSP không nhất thiết phải là bộ định tuyến đầu tiên gán nhãn
vào gói. Gói có thể đã được gán nhãn bởi các LSR trước đó. Đây là trường hợp này
là một LSP xếp lồng (ghép), hay là có một LSP trong một LSP khác.
Trong hình 2-8, ta có thểthấy LSP mà trải rộng toàn bộ độrộng mạng MPLS.
Một LSP khác bắt đầu tại LSR thứba và kết thúc ởtrước LSR cuối cùng.Do đó, khi
một gói đi vào LSP thứhai trên cổng LSR vào của nó (có nghĩa là LSR thứba), nó
đã thực sự được dán nhãn. LSR vào của LSP nested (ghép) sau đó gán một nhãn
Số hóa bởi Trung tâm Học liệu

/>

25
thứhai lên trên gói. Ngăn xếp nhãn của gói trên LSP thứhai bây giờ đã có 2 nhãn.
Nhãn trên cùng sẽphụthuộc vào LSP nested (ghép), và nhãn dưới cùng sẽphụthuộc
vào LSP mà trải rộng hết toàn bộmạng MPLS. Đường hầm điều khiển lưu lượng
dựphịng là một ví dụ cho

Hình 2.2: LSP nested (ghép)
2.1.2 Ứng dụng VPN trên mạng MPLS
- Giới thiệu về MPLS trong VPN
MPLS là một công nghệ kết hợp đặc điểm tốt nhất giữa định tuyến lớp ba
và chuyển mạch lớp hai cho phép chuyển tải các gói rất nhanh trong mạng lõi
(core) và định tuyến tốt mạng biên (edge) bằng cách dựa vào nhãn (label).

MPLS là một phương pháp cải tiến việc chuyển tiếp gói trên mạng bằng cách
gắn nhãn vào mỗi gói IP, tế bào ATM, hoặc frame lớp hai. Phương pháp
chuyển mạch nhãn giúp các Router và các bộ chuyển mạch MPLS-enable
ATM quyết định theo nội dung nhãn tốt hơn việc định tuyến phức tạp theo địa
chỉIP đích. MPLS cho phép các ISP cung cấp nhiều dịch vụkhác nhau mà
không cần phải bỏ đi cơ sở hạ tầng sẵn có. Cấu trúc MPLS có tính mềm dẻo
trong bất kỳ sự phối hợp với công nghệ lớp hai nào.
MPLS hỗ trợ mọi giao thức lớp hai, triển khai hiệu quả các dịch vụ IP trên
một mạng chuyển mạch IP. MPLS hỗ trợ việc tạo ra các tuyến khác nhau
giữa nguồn và đích trên một đường trục Internet. Bằng việc tích hợp MPLS
vào kiến trúc mạng, các ISP có thểgiảm chi phí, tăng lợi nhuận, cung cấp
Số hóa bởi Trung tâm Học liệu

/>