Chương 1 TỔNG QUAN VỀ MẠNG RIÊNG ẢO 1.1 Khái niệm chung về mạng riêng ảo Phương án truyền thông nhanh, an toàn và tin cậy đang trở thành mối quan tâm của nhiều công ty, tổ chức đặc biệt là các công ty, tổ chức có các địa điểm phân tán về mặt địa lý, công ty đa quốc gia. Giải pháp thông thường được áp dụng bởi đa số các công ty là thuê các đường truyền riêng (leased lines) để duy trì một mạng WAN (Wide Area Network). Các đường truyền này, được giới hạn từ ISDN (Integrated Services Digital Network, 128 Kbps) đến đường cáp quang OC3 (Optical Carrier-3, 155 Mbps). Mỗi mạng WAN đều có điểm thuận lợi về độ tin cậy, hiệu năng, tính an toàn và bảo mật.
Nhưng để bảo trì một mạng WAN, đặc biệt là sử dụng các đường truyền riêng, khi công ty muốn mở rộng các văn phòng đại diện, hoặc mở mối quan hệ qua mạng với các đối tác thì chi phí có thể sẽ rất đắt. Ngày nay, khi Internet trở nên phổ biến, các công ty thương mại rất trú trọng đầu tư vào Internet nhằm quảng bá công ty của họ và đồng thời cũng để mở rộng các mạng mà họ sở hữu. Ban đầu là các mạng nội bộ được thiết kế riêng cho các thành viên trong công ty sử dụng và sau này là các VPN để điều tiết và quản lý các nhân viên hay các văn phòng đại diện từ xa. Mạng riêng ảo là gì? Về căn bản, mỗi VPN là sự mở rộng của một mạng riêng của các công ty, tổ chức thông qua sử dụng các kết nối mạng công cộng hoặc mạng chia sẻ, chẳng hạn như Internet.
Mục đích chính của VPN là cung cấp cho khách hàng tất cả các tính năng mà một kênh thuê riêng có được nhưng với một giá thành rẻ hơn rất nhiều trên cơ sở tận dụng hạ tầng cơ sở mạng công cộng. Để duy trì được tính riêng tư trên cơ sở hạ tầng mạng công cộng, các VPN hiện nay đều sử dụng các giao thức để tạo đường hầm truyền tin và các biện pháp an ninh để bảo vệ dữ liệu trên đường truyền như mã hoá, xác thực, hàm băm….1 thể hiện mô hình tổng thể của một mạng riêng ảo kết nối các văn phòng của công ty với nhau và giữa văn phòng công ty với các đối tác thương mại ([19], [20], [21], [22]). Một số thuật ngữ liên quan tới VPN Trước khi đi sâu vào tìm hiểu, phân tích các khía cạnh trong một mạng riêng ảo tác giả xin điểm qua một số thuật ngữ thường được dùng trong mạng VPN.10 TIEU LUAN MOI download : skknchat@gmail.10 11 Provider network (P- Network): là mạng của nhà cung cấp dịch vụ, dựa trên mạng này mà các VPN được hình thành. Nhân viên di động Văn phòng chính Chi nhánh của công ty của công ty ở xa Internet Đối tác Văn phòng gia thương mại đình Hình 1.1 Mô hình một VPN Customer network (C- Network): phần mạng thuộc sự kiểm soát của khách hàng.
Customer site: Một phần tiếp giáp của C - Network, bao gồm nhiều vị trí tự nhiên. Provider (P) device: là thiết bị trong mạng của nhà cung cấp dịch vụ, thường là một P Router. Provider edge (PE) device: là thiết bị trong mạng của nhà cung cấp dịch vụ, thiết bị này được nối với thiết bị bên mạng của khách hàng và nó thường là một PE router. Customer edge (CE) device: là thiết bị trong mạng của khách hàng được kết nối với PE trong mạng của nhà cung cấp, nó thường là một CE Router.
Virtual circuit (VC): là một kết nối logic điểm tới điểm được thiết lập qua việc chia sẻ hạ tầng lớp 2.2 mô tả mối quan hệ giữa các thiết bị của nhà cung cấp dịch vụ với các thiết bị của khách hàng (LUAN.10 TIEU LUAN MOI download : skknchat@gmail.10 12 Customer Edge VPN C Router Provider Router Provider Edge Router PE Router CE Router VPN D P Router P Router CE Router PE Router PE Router CE Router CE Router VPN B VPN A Hình 1.2 Mối quan hệ giữa các Router 1.2 Phân loại mạng riêng ảo Hiện nay, có nhiều tiêu chí để phân loại VPN, tùy theo mục đích sử dụng, công nghệ tạo VPN…Dựa vào các tiêu chí đó, tác giả xin trình bày một số cách phân loại VPN như sau: 1.1 Phân loại VPN theo việc cung cấp dịch vụ Những dịch vụ VPN cung cấp dựa trên 2 loại chính: 1. VPN chồng lấp (overlay VPN) tức là nhà cung cấp dịch vụ cung cấp những kết nối điểm-tới-điểm giữa các vị trí khác nhau của khách hàng. VPN ngang hàng (peer-to-peer VPN) tức là nhà cung cấp dịch vụ tham gia vào đường dẫn của khách hàng ([21]). VPN kiểu chồng lấp (OVERLAY MODEL): Kiểu Overlay VPN được triển khai dựa trên mạng chung của nhà cung cấp dịch vụ.
VPN này có thể được thực hiện tại tầng 1 qua việc sử dụng kênh thuê riêng hoặc đường quay số, tại tầng 2 qua việc sử dụng mạng X.25, frame relay hay kênh ảo ATM hoặc tại tầng 3 sử dụng đường hầm IP. Trong trường hợp này, mạng của nhà cung cấp dịch vụ là một sự kết hợp giữa các kết nối điểm - điểm hay các kênh ảo. Việc định tuyến trong mạng khách hàng là trong suốt đối với mạng cung cấp dịch vụ, các giao thức định tuyến hoạt động trực tiếp giữa các Router của khách hàng và nhà cung cấp dịch vụ chỉ đơn giản chịu trách nhiệm cung cấp sự truyền thông tin điểm - điểm giữa các vị trí khác nhau của khách hàng. Trong hệ thống này, sự chuyển tiếp, tìm đường lớp 3 đ- (LUAN.10 TIEU LUAN MOI download : skknchat@gmail.10 13 ược thiết lập giữa các router CE tại các vị trí khác nhau và nhà cung cấp dịch vụ không cần phải biết hết thông tin đường truyền này.
Kiểu overlay VPN có 2 han chế: một là rất khó đánh giá độ lớn của dung lượng giữa các kết nối điểm - điểm, hai là yêu cầu về triển khai một mạng lưới đầy đủ (fully meshed) giữa các kết nối điểm-điểm hay các kênh ảo trên mạng trục của nhà cung cấp dịch vụ để tối ưu đư- ờng truyền.3 thể hiện cách thức triển khai các VPN chồng lấp: Triển khai tại tầng 1: nhà cung cấp dịch vụ thiết lập các đường kết nối vật lý (tầng l) để liên kết các site của khách hàng thông qua ISDN, DS0, T1, E1, SONET hoặc SDH. Khách hàng triển khai ở các mức cao hơn như: PPP, HDLC hoặc IP. IP PPP HDLC ISDN DS0, T1, E1 SONET, SDH Hình 1.3 Triển khai Overlay VPN tầng 1 Triển khai tại tầng 2: sử dụng giải pháp chuyển mạch WAN truyền thống. Nhà cung cấp dịch vụ thiết lập kết nối giữa các site của khách hàng thông qua mạng X.25, Frame Relay, hay ATM; khách hàng triển khai tiếp tầng IP và các tầng cao hơn.25 Frame Relay ATM Hinh 1.4 Triển khai Overlay VPN tầng 2 Triển khai tại tầng 3: các VPN được hình thành thông qua các đường hầm IP điểm - điểm.
Các điểm cuối đường hầm là trong suốt với nhau, không cần biết cấu trúc topo mạng cụ thể là gì. Ngoài ra, các đường hầm còn cho phép sử dụng các địa chỉ mạng riêng thông qua mạng xương sống (backbone) của nhà cung cấp dịch vụ mà không cần cơ chế phiên dịch địa chỉ mạng (NAT). Đường hầm được thiết lập với cơ chế đóng gói định tuyến chung - GRE hoặc với giao thức bảo mật IP (IP Sec), giao thức SSL. Quá trình cài đặt GRE thường đơn giản và nhanh, tuy nhiên độ an toàn không cao, trong khi đó việc triển khai IPSec mặc dù phức tạp hơn, dùng nhiều nguồn lực hơn (CPU cycle) nhưng cơ chế bảo mật tốt hơn.
IP Generic Routing IP security (IPSec) Encapsulation (GRE) IP Hình 1.5 Triển khai Overlay VPN tầng 3 (LUAN.10 TIEU LUAN MOI download : skknchat@gmail.10 14 Các đường hầm GRE cung cấp một đường dẫn riêng qua mạng WAN, chia sẻ và đóng gói lưu lượng truyền thông với phần tiêu đề mới để đảm bảo chắc chắn các gói tin được chuyển đến đích. Các đường hầm GRE tự nó không bao hàm tính bí mật dữ liệu nhưng có thể chuyển các lưu lượng đã được mã hoá. Để tăng cường an ninh, GRE có thể dùng kết hợp với IPSec. Khi triển khai VPN lớp 3 qua một mạng công cộng, các đường hầm VPN được xây dựng dựa trên hạ tầng chia sẻ không tin cậy.
IPSec cung cấp các dịch vụ tổng thể như tính bảo mật, tính toàn vẹn, tính xác thực để đảm bảo các thông tin nhạy cảm được truyền một cách an toàn qua các đường hầm này mà không bị can thiệp bởi người khác. Mặt khác, một hạn chế của IPSec là quá trình mã hoá chỉ làm việc với các khung tin unicast và chính sự kết hợp với GRE đã khắc phục được hạn chế này, bởi vì GRE có thể hoạt động với truyền thông đa giao thức và multicast IP giữa hai site. VPN kiểu ngang hàng (Peer-to-Peer VPN) Kiểu VPN ngang hàng là một phương pháp định tuyến đơn giản cho khách hàng. Khách hàng và nhà cung cấp dịch vụ đều sử dụng cùng một giao thức trong mạng của mình.
Tuyến đường lưu lượng của khách hàng được thực hiện qua một mạng lõi (mạng của nhà cung cấp dịch vụ). Các router PE của nhà cung cấp dịch vụ trao đổi thông tin tìm đường với router CE của khách hàng và việc chuyển tiếp lớp 3 được thiết lập giữa các Router PE và CE tại mỗi phía. Do việc định tuyến ngang hàng đã được cài đặt cho nên việc tìm đường giữa hai site là tối ưu. MPLS VPN Có thể nói VPN là một trong những ứng dụng quan trọng nhất của công nghệ chuyển mạch nhãn đa giao thức MPLS.
Điểm nổi bật của công nghệ này là chuyển tiếp lưu lượng nhanh, khả năng linh hoạt trong các dịch vụ định tuyến, đơn giản trong điều khiển phân luồng và tận dụng được đường truyền giúp giảm chi phí. Kỹ thuật MPLS VPN đã đưa ra một thay đổi cơ bản trong công nghệ VPN đó là sử dụng khái niệm Virtual Router thay cho Dedicated Router và Shared Router.6 mô tả cấu trúc tổng thể của mạng MPLS VPN ([24]). MPLS VPN được cấu tạo bởi các thành phần sau: • MPLS domain: là tập hợp của các node mạng MPLS được quản lý và điều khiển bởi cùng một quản trị mạng, hay nói một cách đơn giản hơn, MPLS domain có thể coi như hệ thống mạng của một tổ chức nào đó (chẳng hạn nhà cung cấp dịch vụ). • LSR (Label Switching Router): là node mạng MPLS.
Có hai loại LSR chính: - LSR cạnh (gồm LSR hướng vào, LSR hướng ra): LSR nằm ở biên của MPLS domain và kết nối trực tiếp với mạng người dùng.10 TIEU LUAN MOI download : skknchat@gmail.