Please enable JavaScript.

Coggle requires JavaScript to display documents.

VPN (Review (VPN Classification - Mô hình phân loại (PP-VPN (Provider…

VPN

Review

CE router

Customer edge router

 Thiết bị vật lí tại site khách hàng. Kết nối với nhà mạng sử dụng công nghệ Layer 2 như Frame Relay, Ethernet.

PE router

Provider edge router

 - Thiết bị tại site nhà mạng, giao tiếp trực tiếp với CE.
 - Với L3 VPN, PE giao tiếp với nhau để update routing. Thông tin routing này được quảng bá tiếp cho PE tiếp theo mà kết nối với site kháchh hàng khác.
 - Route được học từ CE, sẽ được forward tới PE khác bằng MP-BGP.
 - PE sử dụng MPLS LSP khi forward lưu lượng VPN giữa các sites.

P router

Provider router

 Đặt trong mạng core, không carry bất cứ thông tin VPN của khách hàng. Chỉ forward MPLS packet từ PE này sang PE khác, tương tự LSR, swapping label.

VRF

VPN routing and forwarding table

 Mỗi site VPN được kết nối với ít nhất một router PE và có thể dual nhiều kết nối tới các router PE khác nhau. Mỗi PE duy trì một VRF riêng cho mỗi site VPN. Mỗi VRF table chứa thông tin routing cụ thể tới mạng khách cũng như là routes học từ PE khác

VFT

VPN forwarding table

 Sử dụng trong L2 VPN, mỗi PE tạo một VFT riêng cho mỗi CE. VFT duy trì thông tin mô tả kết nối local PE-CE, loại đóng gói, thôg tin MPLS label,...

VPN

Virtual Private Network

 Công nghệ giúp tạo một kết nối an toàn xuyên qua mạng Internet đến mạng riêng giữa hai site khác nhau.

VPN Classification - Mô hình phân loại

CPE-VPN

Customer premise edge - VPN

 - Là giải pháp chỉ dựa trên thiết bị của khách hàng, tạo và quản lí tunnel cho lưu lượng private IP.
 - Layer 2 Tunneling Protocol (L2TP), Point-to-Point Tunneling Protocol (PPTP), và IP Security (IPsec) là các giao thức được sử dụng bởi khách hàng => khi ISP nhận gói IP này từ khách, sẽ xem xét như gói IP bình thường và định tuyến rõ ràng.

L2TP & PPTP

 Ứng dụng: cung cấp truy cập quay số (dial access) cho remote users
 PPTP được phát triển bởi Microsoft, PPTP hoạt động ở lớp Data Link, sử dụng TCP để truyền, có sử dụng hệ thống chứng thực để tạo tunnel.
 L2TP là kết hợp giữa PPTP và L2F (Cisco), sử dụng UDP để truyền. Yêu cầu chứng thực khác PPTP, do kết hợp được với IPSec => more secure than PPTP

IPSec

 Là giao thức bảo mật ở Layer 3, dành cho các yêu cầu mạnh về bảo mật.
 Khi L2TP và PPTP sử dụng TCP hoặc UDP để transport ở Layer 2, còn IPSec sử dụng IP để delivery ở Layer 3.

PP-VPN

Provider-Provisioned VPN

 - Giải pháp dựa trên thiết bị của provider, tạo và quản lí tunnel cho lưu lượng private MPLS, bao gồm: 
 - BGP/MPLS-based VPNs (4364)
 - Layer 3 VPNs
 - Layer 2 MPLS-based VPNs
 - BGP Layer 2 VPNs
 - LDP Layer 2 circuits (4447)

BGP/MPLS-based VPNs

 - CE gửi route tới PE, provider sử dụng BGP để trao route với các PE khác. 

 - Mỗi router trong VPN được gán nhãn MPLS.Khi BGP distribute một VPN route thì cũng distribute nhãn MPLS cho route đó. Cũng như gói tin từ CE trước khi đi xuyên qua mạng ISP, cũng được đóng gói với nhãn MPLS tương ứng.

 - Như vậy, các router trong mạng core không cần biết các route VPN, đơn giản là forward đi.

Layer 3 PP-VPN

 - Đặc điểm: ở layer 3 vpn thì router của provider tham gia vào routing Layer 3 của khách, khi đó route của khách sẽ tới provider, sau đó thì provider chịu trách nhiệm quản lí và distribute route cho khách.
 - Dựa trên BGP/MPLS-base VPNs. Theo mô hình này, PE sẽ duy trì một bảng routing VPN cụ thể được gọi là VRF cho mỗi site VPN mà nó kết nối trực tiếp tới. Khi đó, để cập nhật bảng VRF thì CE sẽ quảng bá route tới PE bằng giao thức định tuyến đã được quy ước từ 2 phía (PE - CE) như OSPF, EBGP. Sau đó PE sẽ quảng bá tiếp cho các PE khác. Traffic được forward từ VPN này tới site khác được thông qua đường hầm xuyên qua mạng provider = MPLS
 - Thiết lập và duy trì Label-switch-paths giữa các router PE đòi hỏi một giao thức phân phối nhãn, LDP hoặc RSVP.
 - MP-BGP sử dụng để distribute thông tin VPN, bao gồm thông tin routing và khả năng kết nối cho VPN.
 - Provider hạn chế kết nối bằng route filtering: đảm bảo route sẵn sàng trên các site tham gia VNP riêng biệt. Site nào có route site đó. Hạn chế = policy (ví dụ: route filtering)
 - Virtual router: ??????????????????????

Layer 2 PP-VPN

 - Đặc điểm: khách Layer 2 VPN map rouing Layer 3 của nó vào Layer 2 curcuit. Khi đó provider cung cấp Layer 2 curcuit cho mỗi khách ?????????????

Layer 2 MPLS-Based PP-VPN

 - CCC: Curcuit Cross Connect. Hỗ trợ tunnel cho các frames Layer 2 over MPLS LSP. Hỗ trợ nhiều giao thức Layer 2: ATM, Frame Relay, VLANs, PPP,... Không hỗ trợ label stacking, provider phải cấu hình các LSP cho mỗi virtual curcuit. Ingress và Egress phải distribute giữa Inbound và Outbound.
 - Nhược điểm CCC: CE & PE phải được cấu hình tương đồng => phức tạp khi có sự thay đổi. Mỗi virtual curcuit đòi hỏi một LSP riêng => ko thể share LPS khi dùng CCC. 

 - BGP Layer 2 VPNs: hỗ trợ label stacking, LSP tự động map Layer 2 curcuit. Map vào VFT (VPNs forwarding table). Cho phép sử dụng một single LSP để hỗ trợ multi VPNs. Do provider cung cấp Layer curcuit cho khách nên mạng của khách là private.
 - LDP Layer 2 VPNs: hỗ trợ tạo curcuit hai chiều MPLS LSP, trường hợp map LSPs vào một interface trên PE, thì LSP được map vào bảng VFT. Rồi bảng VFT sẽ map data vào Layer 2 curcuit. Hỗ trợ nhiều VPNs trên một LSP tương tự BGP Layer 2 VPNs. 

 - Virtual Private LAN Service: là một single LAN segment. Nếu một des MAC chưa biết, sẽ broadcast ra các site khác. Nếu MAC đã biết thì sẽ forward trực tiếp cho site đó. VPLS cho phép bỏ qua mapping local curcuit tới remote site. Khi đó PE học MAC từ frames nhận được, sử dụng source và des để tạo bảng (vpn-name.vpls). Dựa trên bảng này, các frames sẽ được forward trực tiếp hoặc xuyên qua mạng MPLS của provider.

Layer 3 VPN

Overlapping Address Space

 - Site A và B sử dụng cùng route, PE1 có hai bảng VRF riêng, nhưng khi forward sang PE2 thì PE2 sẽ chọn best route như thế nào
 - Route Disinguisher: là một field được thêm vào trước field của IPv4 preflix để PE2 phân biệt route. Khi đó các route được thêm sẽ gọi là VPN-IPv4 và được trao đổi giữa các PE, nếu Egress router nhận được sẽ convert về IPv4.

 - Control Flow: trao đổi thông tin routing giữa các router PE-CE, PE-PE. Thiết lập LSP giữa các PE.
 - Data Flow: forward user traffic

Exchange of Routing Infomation

 - CE quảng bá route tới PE, = OSPF, RIP, BGP hoặc Static route. Giao thức định tuyến này chỉ có hiệu lực tại segment PE-CE.
 - Địa chỉ IPv4 được thêm vào bảng VRF
 - Bảng VRF được cấu hình để quảng bá route (export policy) bằng cách sử dụng MP-BGP. Nếu VRF export policy accept thì PE sẽ convert sang định dạng VPN-IPv4 + thêm trường Route Distinguisher.
 - Router nhận route sẽ sử dụng policy import VRF để quyết định route nhận được match với local VRF hay không. Nếu không match sẽ bỏ route. Nếu nhận được route match với local VRF, router sẽ copies VPN route vào bgp.l3vpn.0 table. Tiếp theo route sẽ được add vào các bảng VFT của từng site khi đã loại bỏ trường Route Distinguisher.
 - Khi các route VPN được quảng bá, VRF label được chọn bởi Router quảng bá, label này thường gọi là inner label (luôn nằm dưới cùng của label stack). Mục đích để liên kết các packets nhận được đúng với VRF table.

Traffic Forwarding

 - PE-to-PE LSP phải tồn tại trước khi forward dữ liệu qua vùng backbone MPLS. Có thể sử dụng giao thức gán nhãn như LDP hoặc RSVP.
 - CE lookup address và forward cho PE qua interface được liên kết
 - PE lookup VRF table, match thì sẽ gán label: MPLS label và MP-BGP label rồi forward.

Layer 2 VPN

Difference device roles

 - CE: Layer 2 và 3 độc lập vs provider. Sử dụng cùng công nghệ Layer 2 cả 2 đầu site
 - PE: Duy trì, trao đổi thông tin VPN cho PE khác. Dùng MPLS LSP để trao đổi
 - P: Forward VPN traffic, ko duy trì thông tin VPN

Provider Core

 - Thiết lập LSP: có thể dùng RSVP hoặc LDP
 - Thiết lập MP-BGP: để hỗ trợ layer 2 vpn signaling

VPN routing and forwarding

- Import/Export route target
- Site ID: giá trị duy nhất để xác định site
- Label range: Số lượng CE lớn nhất mà PE có thể kết nối

=> NLRI

Data Flow

 - CE gửi packet tới PE
 - PE lookup mpls.0. Gán VPN label + MPLS label
 - Sang các P sẽ swap MPLS Label
 - Đến penultimate hop sẽ remove MPLS Label
 - Egress router lookup để tìm giá trị  DLCI và gửi cho CE tương ứng