Tổng quan nghiên cứu

Sự bùng nổ của lưu lượng Internet đầu thập niên 2000 đặt ra thách thức lớn cho các nhà cung cấp dịch vụ mạng khi bảng định tuyến toàn cầu vượt ngưỡng 70.000 tuyến, làm tiêu tốn từ 20MB đến 40MB bộ nhớ trên mỗi bộ định tuyến lõi. Cùng với đó, định hướng phát triển mạng thế hệ mới NGN của Tập đoàn Bưu chính Viễn thông Việt Nam giai đoạn 2004-2010 đòi hỏi một hạ tầng chuyển mạch tốc độ cao, tích hợp đa dịch vụ gồm thoại, video và dữ liệu với độ bảo mật tuyệt đối.

Các công nghệ mạng riêng ảo VPN truyền thống lớp 2 như ATM và Frame Relay tuy đảm bảo tính an toàn cao nhờ mạch ảo PVC nhưng lại có chi phí vận hành đắt đỏ và cấu trúc quản lý phức tạp. Ngược lại, định tuyến IP lớp 3 tuy linh hoạt nhưng tiềm ẩn nhiều nguy cơ an ninh trước các cuộc tấn công từ chối dịch vụ DoS, giả mạo địa chỉ IP và không đảm bảo chất lượng dịch vụ CoS.

Trước yêu cầu cấp thiết đó, luận văn thạc sĩ chuyên ngành Kỹ thuật Vô tuyến – Điện tử (mã số ngành 02.01) của tác giả Đặng Huy Thành, do Tiến sĩ Phạm Hồng Liên hướng dẫn tại Trường Đại học Bách Khoa – Đại học Quốc gia TP. Hồ Chí Minh (hoàn thành tháng 12/2004, bảo vệ tháng 02/2005), đã tập trung nghiên cứu toàn diện công nghệ chuyển mạch nhãn đa giao thức MPLS. Đề tài khảo sát kiến trúc MPLS ở cả hai chế độ khung và tế bào, phân tích sâu các lỗ hổng bảo mật và đề xuất giải pháp ứng dụng MPLS/VPN kết hợp IPsec, Firewall. Kết quả nghiên cứu mang lại ý nghĩa thực tiễn to lớn khi giúp giảm tải hơn 80% bộ nhớ router mạng lõi, duy trì khả năng cách ly lưu lượng đạt mức 100% tương đương mạng ATM và phân định 3 cấp độ dịch vụ ưu tiên chất lượng cao.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Công nghệ MPLS vận hành tại lớp 2.5 trong mô hình OSI, kết hợp tính năng định tuyến thông minh của lớp 3 với tốc độ chuyển tiếp siêu tốc của lớp 2. Cấu trúc nhãn chuyển mạch MPLS gồm 32 bit được chèn giữa tiêu đề lớp 2 và lớp 3, bao gồm trường giá trị nhãn 20 bit, trường thực nghiệm EXP 3 bit mang thông tin phân lớp dịch vụ CoS, trường báo hiệu đáy ngăn xếp S 1 bit và trường thời gian sống TTL 8 bit chống lặp gói tin.

Hệ thống lý thuyết của luận văn tập trung vào 4 trụ cột công nghệ chính:

  1. Bảng chuyển tiếp và định tuyến ảo VRF: Thiết lập các bảng định tuyến độc lập trên bộ định tuyến biên LER, cho phép nhiều doanh nghiệp sử dụng trùng lặp dải địa chỉ IP riêng theo chuẩn RFC 1918 mà không gây xung đột định tuyến.
  2. Giao thức phân phối nhãn LDP: Thiết lập các phiên trao đổi thông tin kết hợp nhãn qua cổng TCP 646 và định vị láng giềng tự động qua cổng UDP 646.
  3. Giao thức MP-BGP: Mở rộng không gian địa chỉ IPv4 32 bit bằng cách gắn thêm 64 bit tiền tố phân biệt tuyến RD để tạo thành địa chỉ VPN-IPv4 96 bit duy nhất toàn cầu, kết hợp thuộc tính Route Target để kiểm soát chính xác việc xuất nhập tuyến giữa các mạng ảo.
  4. Cơ chế phòng thủ đa tầng: Tích hợp bộ giao thức bảo mật IPsec (chế độ AH xác thực và ESP mã hóa bảo mật) cùng hệ thống tường lửa kiểm tra trạng thái để ngăn chặn các hiểm họa mạng như DoS, DDoS, DRDoS và tấn công giả mạo nhãn.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm mô phỏng trên phần mềm chuyên dụng Boson NetSim nhằm tái lập chính xác hạ tầng mạng nhà cung cấp dịch vụ và các khách hàng doanh nghiệp.

Về cỡ mẫu và quy mô topo, mô hình thực nghiệm được xây dựng với hệ thống gồm 6 bộ định tuyến đại diện (bao gồm các bộ định tuyến biên PER, bộ định tuyến lõi PR và các thiết bị khách hàng CER) kết nối 4 site phân tán thuộc 2 tổ chức độc lập là EuroBank và FastFood, cùng 1 cổng kết nối dịch vụ thoại VoIP liên mạng.

Phương pháp chọn mẫu mạng dựa trên các cấu hình mạng tiêu chuẩn (Hub-and-Spoke và Full-Mesh) phản ánh đầy đủ các tình huống định tuyến phức tạp của các nhà cung cấp dịch vụ Internet ISP. Lý do lựa chọn phương pháp mô phỏng này là nhằm phân tích chi tiết cơ chế ngăn xếp nhãn đa tầng, kiểm chứng kỹ thuật tháo nhãn tại điểm kế cuối PHP và đánh giá khả năng cách ly tuyệt đối của bảng VRF khi chạy đồng thời các giao thức định tuyến OSPF, RIP và BGP trong suốt thời gian nghiên cứu từ tháng 07/2004 đến tháng 12/2004.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

  1. Giải phóng tài nguyên và tối ưu hóa bộ nhớ mạng lõi: Ứng dụng MPLS giúp các bộ định tuyến lõi LSR không cần phải duy trì bảng định tuyến BGP toàn cầu chứa hơn 70.000 tuyến Internet, giúp tiết kiệm từ 20MB đến 40MB RAM trên mỗi thiết bị và giảm hơn 80% tải xử lý của CPU.
  2. Tiết kiệm tài nguyên mạch ảo trên nền ATM: Trong chế độ chuyển mạch tế bào qua miền ATM-LSR, kỹ thuật nhúng mạch ảo VC Merging giúp gom các luồng dữ liệu cùng đích đến vào một kênh duy nhất. Nhờ đó, trong mô hình 100 bộ định tuyến LER quảng bá 10 mạng con, số lượng mạch ảo cần thiết giảm từ 1.000 VC xuống chỉ còn 10 VC, giải quyết triệt để nguy cơ cạn kiệt giới hạn 4.000 VC trên cổng giao tiếp LC-ATM.
  3. Cô lập hoàn toàn không gian địa chỉ và luồng dữ liệu: Cơ chế gán nhãn 2 lớp (nhãn IGP bên ngoài định tuyến qua mạng lõi và nhãn VPN bên trong xác định bảng VRF đích) đảm bảo cách ly 100% dữ liệu giữa các mạng VPN khác nhau, ngăn chặn triệt để nguy cơ nghe lén hoặc xâm nhập trái phép giữa các doanh nghiệp dùng chung đường truyền.
  4. Che giấu cấu trúc mạng trục nhà cung cấp dịch vụ: Bằng việc hủy phản hồi gói tin ICMP TTL Expired trên các router P trong vùng chuyển mạch nhãn, cấu trúc mạng lõi được bảo vệ ẩn danh hoàn toàn trước các lệnh dò quét mạng như Traceroute, giảm thiểu 95% nguy cơ bị tấn công định hướng DoS hoặc SYN Flood vào hạ tầng lõi.

Thảo luận kết quả

Hiệu năng vượt trội của mạng MPLS/VPN bắt nguồn từ việc phân tách triệt để giữa mặt phẳng điều khiển và mặt phẳng dữ liệu. Thay vì phải tra cứu địa chỉ IP lớp 3 phức tạp ở từng chặng, các router lõi chỉ thực hiện hoán đổi nhãn 20 bit tại lớp 2.5 với tốc độ tương đương chuyển mạch phần cứng của ATM và Frame Relay.

So với giải pháp mạng riêng ảo IPsec thuần túy vốn làm tăng độ trễ gói tin từ 15% đến 25% do quá trình mã hóa toàn bộ dữ liệu, mô hình MPLS/VPN duy trì băng thông tối đa và hỗ trợ hoàn hảo 3 cấp độ phân lớp dịch vụ CoS (ưu tiên mức 1 cho thoại, mức 2 và 3 cho dữ liệu thông thường). Khi kết hợp IPsec trên nền hạ tầng MPLS, hệ thống vừa đạt được tính bảo mật cấp cao, vừa giữ vững khả năng định tuyến tối ưu.

Các kết quả thực nghiệm có thể được trình bày rõ ràng qua Bảng so sánh đa tiêu chí giữa ATM VPN, IP VPN thuần túy và MPLS/VPN về dung lượng bảng định tuyến, thời gian hội tụ và mức độ cô lập dữ liệu; kết hợp Biểu đồ luồng mô tả chi tiết tiến trình bao bọc và tháo gỡ nhãn 2 lớp xuyên suốt từ Ingress LER, qua các chặng LSR, tới Egress LER.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu và thực nghiệm, luận văn đề xuất 4 nhóm giải pháp kỹ thuật cụ thể nhằm củng cố an ninh và nâng cao hiệu năng mạng MPLS:

  1. Chuẩn hóa cơ chế xác thực mặt phẳng điều khiển: Kích hoạt thuật toán mã hóa xác thực MD5 cho toàn bộ các phiên trao đổi thông tin LDP qua cổng TCP 646 và các phiên định tuyến MP-BGP giữa các router biên PE. Giải pháp này giúp loại bỏ 100% rủi ro bị tấn công chèn nhãn giả mạo Label Spoofing và đánh cắp phiên Session Hijacking, cần được đội ngũ kỹ sư vận hành mạng lõi của các ISP triển khai trong thời gian từ 3 đến 6 tháng.
  2. Thiết lập quy tắc lọc gói và ẩn danh router lõi: Áp dụng triệt để chính sách lọc gói tại biên Ingress Filtering theo chuẩn RFC 2827 trên các giao diện CE-PE để ngăn chặn tấn công giả mạo nguồn gốc IP Spoofing, đồng thời vô hiệu hóa tính năng phản hồi gói tin ICMP Time Exceeded trên toàn bộ router P nhằm che giấu 100% topo mạng lõi. Bộ phận an ninh mạng của nhà cung cấp dịch vụ chịu trách nhiệm thực thi trong vòng 2 tháng.
  3. Triển khai mô hình an ninh lai tích hợp IPsec trên MPLS: Khuyến nghị các tổ chức tài chính và ngân hàng áp dụng đường hầm bảo mật IPsec (sử dụng giao thức ESP với thuật toán 3DES hoặc AES) bên trong các đường dẫn MPLS/VPN đối với các dữ liệu đặc biệt nhạy cảm. Giải pháp này đảm bảo tính bí mật tuyệt đối của thông tin nhưng vẫn giữ nguyên khả năng phân lớp 3 mức độ dịch vụ CoS, thực hiện theo từng dự án chi nhánh trong lộ trình từ 6 đến 12 tháng.
  4. Nâng cấp bộ điều khiển nhúng mạch ảo trên hạ tầng ATM: Đối với các mạng viễn thông đang khai thác hạ tầng chuyển mạch tế bào ATM, các cấp quản lý kỹ thuật cần đầu tư nâng cấp firmware hoặc bổ sung bộ điều khiển chuyển mạch nhãn ngoài hỗ trợ tính năng VC Merging. Mục tiêu giảm từ 90% đến 99% số lượng kênh ảo VC cần cấp phát, hoàn tất trước năm 2010 theo định hướng phát triển mạng thế hệ mới NGN.

Đối tượng nên tham khảo luận văn

  1. Kỹ sư thiết kế và quy hoạch mạng viễn thông: Tài liệu cung cấp hướng dẫn chuyên sâu về cấu trúc ngăn xếp nhãn, phân phối nhãn LDP, tích hợp giao thức định tuyến liên vùng MP-BGP và giải pháp tối ưu hóa kênh ảo VC Merging, phục vụ trực tiếp cho các dự án nâng cấp mạng trục IP/MPLS dung lượng lớn.
  2. Chuyên gia an toàn thông tin và quản trị an ninh mạng: Cung cấp phân tích chi tiết về cơ chế phòng thủ trước các đợt tấn công DoS, DDoS, DRDoS, kỹ thuật thiết lập tường lửa kiểm tra trạng thái và giải pháp phân tách bảng định tuyến VRF nhằm xây dựng kiến trúc bảo mật đa lớp cho trung tâm dữ liệu.
  3. Đội ngũ quản trị hạ tầng mạng doanh nghiệp và ngân hàng: Giúp nắm vững phương pháp thiết lập mạng riêng ảo Intranet, Extranet an toàn, hỗ trợ không gian địa chỉ IP riêng theo RFC 1918 và chính sách ưu tiên 3 mức dịch vụ CoS nhằm tối ưu hóa chi phí thuê kênh truyền dẫn.
  4. Giảng viên, học viên cao học và sinh viên ngành Điện tử - Viễn thông: Luận văn là nguồn tư liệu học thuật giá trị thuộc mã ngành 02.01, cung cấp hệ thống lý thuyết chuẩn mực cùng các bài thực hành mô phỏng chi tiết trên phần mềm Boson NetSim với đầy đủ thông số kiểm thử thực tế.

Câu hỏi thường gặp

  1. Công nghệ MPLS VPN khác biệt gì so với các mạng VPN truyền thống trên nền ATM hoặc Frame Relay? MPLS VPN thay thế các mạch ảo cố định PVC đắt đỏ bằng cơ chế chuyển mạch nhãn tại lớp 2.5. Thay vì phải quản trị hàng nghìn kết nối phức tạp trên mạng ATM vốn bị giới hạn 4.000 VC mỗi thiết bị, MPLS sử dụng nhãn 32 bit và bảng VRF để duy trì độ cô lập lưu lượng tương đương nhưng giảm hơn 80% độ phức tạp quản trị.

  2. Bảng chuyển tiếp và định tuyến ảo VRF bảo vệ dữ liệu khách hàng như thế nào? Mỗi mạng VPN khách hàng được gán một bảng VRF độc lập trên bộ định tuyến biên PER, hoàn toàn tách biệt với bảng định tuyến Internet toàn cầu. Ngay cả khi 2 doanh nghiệp khác nhau cùng sử dụng dải địa chỉ IP riêng 10.0.0.0/16, lưu lượng của từng đơn vị vẫn được định tuyến riêng rẽ và an toàn 100%.

  3. Giao thức MP-BGP giải quyết vấn đề trùng lặp không gian địa chỉ ra sao? MP-BGP kết hợp 32 bit địa chỉ IPv4 của khách hàng với 64 bit tiền tố phân biệt tuyến RD để tạo thành địa chỉ VPN-IPv4 96 bit duy nhất trên toàn mạng. Nhờ cơ chế này, nhà cung cấp dịch vụ có thể truyền tải hàng chục nghìn tuyến độc lập mà không xảy ra hiện tượng xung đột địa chỉ.

  4. Vì sao MPLS giúp router mạng lõi giảm tải bộ nhớ và tăng tốc độ xử lý? Thay vì lưu trữ toàn bộ hơn 70.000 tuyến Internet tiêu tốn từ 20MB đến 40MB RAM, các router lõi chỉ cần tra cứu nhãn 20 bit trong bảng LFIB. Tiến trình chuyển tiếp diễn ra nhanh chóng thông qua cơ chế hoán đổi nhãn ở tầng phần cứng, giải phóng hoàn toàn năng lực xử lý của CPU.

  5. Khi nào doanh nghiệp nên triển khai mã hóa IPsec lồng trong mạng MPLS VPN? Mặc dù MPLS VPN đảm bảo cô lập dữ liệu tuyệt đối giữa các khách hàng, thông tin lưu chuyển trong mạng lõi vẫn ở dạng nguyên bản. Đối với các đơn vị tài chính yêu cầu bảo mật cấp cao, việc thiết lập đường hầm IPsec (dùng giao thức ESP) trên MPLS sẽ vừa bảo mật mã hóa thông tin, vừa duy trì 3 mức phân lớp dịch vụ CoS.

Kết luận

  • Luận văn thạc sĩ của tác giả Đặng Huy Thành đã giải quyết trọn vẹn bài toán tích hợp công nghệ chuyển mạch nhãn đa giao thức MPLS với các yêu cầu bảo mật mạng khắt khe.
  • Công trình chứng minh tính hiệu quả của kiến trúc MPLS/VPN thông qua việc cô lập không gian địa chỉ bằng bảng VRF và truyền tải tuyến 96 bit qua giao thức MP-BGP.
  • Nghiên cứu chỉ ra giải pháp giảm tải triệt để cho router mạng lõi, loại bỏ 70.000 tuyến Internet khỏi bộ nhớ và ứng dụng kỹ thuật nhúng VC giúp giảm nhu cầu kênh ảo từ 1.000 VC xuống 10 VC.
  • Mô hình kiểm thử trên Boson NetSim khẳng định tính khả thi của việc thiết lập 3 cấp độ phân lớp dịch vụ CoS và che giấu cấu trúc mạng lõi trước nguy cơ tấn công DoS.
  • Trong giai đoạn tiếp theo, các doanh nghiệp viễn thông cần hoàn thiện chính sách xác thực LDP, tích hợp IPsec đa tầng và chuẩn hóa quy trình vận hành mạng thế hệ mới NGN.

Để tiếp cận toàn bộ các cấu hình mẫu, sơ đồ mạng chi tiết và số liệu kiểm thử thực nghiệm chuyên sâu, độc giả có thể tra cứu toàn văn luận văn tại thư viện Trường Đại học Bách Khoa – Đại học Quốc gia TP. Hồ Chí Minh.