Đồ án: Nghiên cứu Chuyển mạch Nhãn MPLS và Ứng dụng vào VPN

• Tác giả: Nguyễn Thiện Vỹ
• Người hướng dẫn: Dương Hữu Ái
• Chuyên ngành: Tin Học Ứng Dụng
• Đề tài: Nghiên Cứu Chuyển Mạch Nhãn Đa Giao Thức MPLS Và Ứng Dụng Vào VPN
• Loại tài liệu: Đồ án tốt nghiệp

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC HÌNH
• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ CÔNG NGHỆ MPLS
• 1.1. Giới thiệu về chuyển mạch đa giao thức (MPLS)
• 1.2. Lợi ích của MPLS
• 1.3. Một số ứng dụng của MPLS
• 2. CHƯƠNG 2: CÔNG NGHỆ CHUYỂN MẠCH MPLS
• 2.1. Sơ lược về công nghệ IP và công nghệ ATM
• 2.2. Công nghệ IP
• 2.3. Công nghệ ATM
• 2.4. Khái niệm cơ bản về MPLS
• 2.5. Các thành phần trong MPLS
• 2.6. Cấu trúc của nút MPLS
• 2.7. Các loại nhãn đặc biệt
• 2.8. Ngăn xếp nhãn
• 2.9. Cơ sở thông tin chuyển tiếp nhãn (LFIB)
• 2.10. Phân phối nhãn bằng giao thức phân phối nhãn LDP
• 2.11. Chế độ duy trì nhãn:
• 2.12. Mặt phẳng điều khiển (Control Plane)
• 2.13. Mặt phẳng dữ liệu.Các thiết bị chính của MPLS
• 2.14. Thiết bị LSR (label switch Router)
• 2.15. Thiết bị LER (label edge Router)
• 2.16. Các hình thức hoạt động của MPLS
• 3. CHƯƠNG 3: MẠNG RIÊNG ẢO MPLS VPN
• 3.1. Giới thiệu về MPLS VPN
• 3.2. Định nghĩa VPN
• 3.3. Mô hình Overlay VPN và Peer to Peer VPN
• 3.4. Mô hình Overlay VPN
• 3.5. Mô hình Peer – to – Peer
• 3.6. Mô hình mạng MPLS VPN
• 3.7. Kiến trúc và thuật ngữ trong MPLS VPN
• 3.8. Mô hình định tuyến MPLS VPN
• 3.9. VRF - Virtual Routing and Forwarding Table
• 3.10. Route Distinguisher, Route Targets, MP-BGP, và Address Families
• 3.11. Chuyển tiếp gói trong mạng MPLS VPN
• 3.12. So sánh VPN truyền thống và MPLS VPN
• TÀI LIỆU THAM KHẢO
• NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN

Tóm tắt

I. MPLS VPN là gì Khám phá tổng quan về công nghệ mạng ảo

Trong bối cảnh phát triển của Internet, nhu cầu kết nối các văn phòng chi nhánh của doanh nghiệp một cách an toàn và hiệu quả ngày càng trở nên cấp thiết. Mạng riêng ảo (VPN) ra đời như một giải pháp không thể thiếu, cho phép truy cập dữ liệu nội bộ từ xa và xây dựng kết nối an toàn với đối tác. Tuy nhiên, các công nghệ VPN truyền thống dựa trên nền tảng ATM, Frame Relay hay IPsec tunnel bộc lộ nhiều nhược điểm về khả năng quản lý, chi phí và chất lượng dịch vụ (QoS). Để giải quyết những thách thức này, công nghệ chuyển mạch nhãn đa giao thức (MPLS) đã được phát triển, mang lại một cuộc cách mạng trong việc xây dựng mạng riêng ảo. MPLS VPN là một ứng dụng của MPLS, kết hợp tốc độ chuyển mạch của Lớp 2 với khả năng định tuyến thông minh của Lớp 3 để tạo ra các mạng VPN hiệu suất cao, linh hoạt và có khả năng mở rộng vượt trội. Công nghệ này cho phép các nhà cung cấp dịch vụ (SP) tận dụng cơ sở hạ tầng mạng lõi chung để cung cấp dịch vụ kết nối riêng biệt cho nhiều khách hàng khác nhau. Thay vì phải thiết lập các đường hầm điểm-điểm phức tạp, MPLS VPN sử dụng cơ chế gán nhãn để phân tách và định tuyến lưu lượng của từng khách hàng. Điều này không chỉ giúp tối ưu hóa tài nguyên mạng mà còn đơn giản hóa việc quản lý và triển khai. Một trong những ưu điểm cốt lõi của MPLS VPN là khả năng hỗ trợ các dịch vụ giá trị gia tăng như Chất lượng dịch vụ (QoS) và Kỹ thuật lưu lượng (Traffic Engineering), đảm bảo các ứng dụng quan trọng như thoại và video luôn được ưu tiên với độ trễ thấp và băng thông ổn định. Nhờ đó, doanh nghiệp có thể dễ dàng tiếp cận công nghệ mới, giảm chi phí vận hành và nâng cao hiệu quả hoạt động trên nền tảng mạng viễn thông hiện đại.

1.1. Định nghĩa mạng riêng ảo và vai trò trong doanh nghiệp

Mạng riêng ảo (VPN) được định nghĩa là một mạng riêng được xây dựng trên cơ sở hạ tầng mạng công cộng, ví dụ như Internet. Nó được gọi là 'ảo' vì các kết nối không phải là các đường truyền vật lý riêng biệt mà là các kết nối logic được tạo ra thông qua các cơ chế đóng gói và mã hóa. Vai trò chính của VPN là mở rộng phạm vi của một mạng nội bộ (Intranet) một cách an toàn. Nó cho phép các nhân viên làm việc từ xa, các chi nhánh ở nhiều địa điểm địa lý khác nhau có thể kết nối vào mạng trung tâm của công ty như thể họ đang ngồi trong cùng một văn phòng. Điều này đảm bảo tính riêng tư và toàn vẹn dữ liệu khi thông tin được truyền qua môi trường mạng không tin cậy. Sự tách biệt lưu lượng là đặc tính cốt lõi, bao gồm tách biệt về topology (cho phép khách hàng sử dụng không gian địa chỉ IP riêng, thậm chí trùng lặp) và tách biệt về thời gian (hiệu năng của một VPN không bị ảnh hưởng bởi lưu lượng của VPN khác).

1.2. Sự ra đời của MPLS như một giải pháp kết nối đột phá

Công nghệ chuyển mạch nhãn đa giao thức (MPLS) ra đời để khắc phục những hạn chế của định tuyến IP truyền thống. Trong mạng IP, mỗi router phải thực hiện tra cứu phức tạp trong bảng định tuyến dựa trên địa chỉ IP đích của gói tin. Quá trình này tốn thời gian và tài nguyên xử lý. MPLS đề xuất một phương pháp hiệu quả hơn: “Định tuyến một lần ở biên, chuyển mạch nhanh ở lõi”. Khi một gói tin IP đi vào mạng MPLS, router biên ngõ vào (Ingress LER) sẽ phân loại nó vào một Lớp chuyển tiếp tương đương (FEC), gán một nhãn (label) ngắn có độ dài cố định và đẩy gói tin vào mạng lõi. Các router chuyển mạch nhãn (LSR) bên trong mạng lõi chỉ cần đọc nhãn này để chuyển tiếp gói tin, một quá trình nhanh hơn nhiều so với định tuyến IP. Điều này giúp tăng tốc độ truyền tải, giảm độ trễ và tận dụng hiệu quả cơ sở hạ tầng mạng sẵn có.

II. Thách thức của VPN truyền thống Tại sao cần đến MPLS VPN

Các giải pháp VPN truyền thống, dù đã đáp ứng được nhu cầu kết nối cơ bản, vẫn tồn tại nhiều thách thức lớn, đặc biệt khi quy mô doanh nghiệp mở rộng. Mô hình Overlay VPN, một trong những mô hình phổ biến nhất, yêu cầu khách hàng phải tự quản lý định tuyến giữa các site của mình. Nhà cung cấp dịch vụ chỉ cung cấp các kết nối điểm-điểm ảo (virtual circuits) thông qua Frame Relay, ATM hoặc các đường hầm IPsec/GRE. Vấn đề lớn nhất của mô hình này là khả năng mở rộng. Để tối ưu định tuyến, các site cần được kết nối theo mô hình lưới đầy đủ (full mesh). Theo tài liệu nghiên cứu, với N site, số lượng mạch ảo cần thiết là N(N-1)/2. Khi số lượng site tăng lên, việc cấu hình và quản lý mạng lưới kết nối này trở nên cực kỳ phức tạp và tốn kém. Mỗi khi có một site mới được thêm vào, quản trị viên phải cấu hình lại kết nối trên tất cả các site hiện có. Hơn nữa, mô hình Overlay VPN không cho phép nhà cung cấp dịch vụ tham gia vào việc tối ưu định tuyến, dẫn đến việc lưu lượng có thể không đi theo con đường ngắn nhất trong mạng lõi. Các vấn đề về chất lượng dịch vụ (QoS) cũng khó được đảm bảo một cách nhất quán trên toàn mạng. Những hạn chế này thúc đẩy sự ra đời của một mô hình ưu việt hơn, và MPLS VPN chính là câu trả lời. Bằng cách chuyển sang mô hình Peer-to-Peer, MPLS VPN cho phép các router của khách hàng và nhà cung cấp dịch vụ trao đổi thông tin định tuyến trực tiếp, từ đó giải quyết triệt để các bài toán về khả năng mở rộng, quản lý và tối ưu hóa hiệu suất.

2.1. Phân tích hạn chế của mô hình Overlay VPN truyền thống

Mô hình Overlay VPN hoạt động bằng cách tạo ra một lớp mạng ảo chồng lên trên cơ sở hạ tầng của nhà cung cấp dịch vụ. Các router của khách hàng (CE) thiết lập các kết nối ngang hàng trực tiếp với nhau thông qua các mạch ảo. Hạn chế chính của mô hình này là sự thiếu tương tác giữa mạng của khách hàng và mạng của nhà cung cấp. Nhà cung cấp chỉ đóng vai trò vận chuyển dữ liệu mà không có thông tin gì về cấu trúc định tuyến của khách hàng. Điều này dẫn đến định tuyến không tối ưu. Ví dụ, hai site của cùng một khách hàng có thể ở gần nhau về mặt địa lý nhưng lại phải đi một đường vòng rất xa trong mạng lõi của nhà cung cấp. Thêm vào đó, việc bảo trì và khắc phục sự cố rất phức tạp vì cả khách hàng và nhà cung cấp đều thiếu cái nhìn toàn diện về toàn bộ đường đi của gói tin.

2.2. Vấn đề về khả năng mở rộng và quản lý định tuyến phức tạp

Khả năng mở rộng là gót chân Achilles của mô hình Overlay VPN. Như đã đề cập, công thức N(N-1)/2 cho thấy sự bùng nổ về số lượng kết nối khi mạng phát triển. Việc quản lý hàng trăm, thậm chí hàng nghìn mạch ảo và các phiên định tuyến tương ứng là một gánh nặng khổng lồ cho đội ngũ IT của doanh nghiệp. Ngoài ra, do khách hàng phải tự quản lý định tuyến end-to-end, họ cần có kiến thức chuyên sâu về các giao thức định tuyến phức tạp. Điều này làm tăng chi phí nhân sự và rủi ro cấu hình sai. Mọi thay đổi trong mạng, dù là nhỏ nhất, đều đòi hỏi sự phối hợp và cập nhật trên nhiều thiết bị, làm giảm tính linh hoạt và khả năng đáp ứng của doanh nghiệp.

III. Hướng dẫn kiến trúc MPLS VPN Mô hình Peer to Peer ưu việt

MPLS VPN được xây dựng dựa trên mô hình Peer-to-Peer (Ngang hàng), một kiến trúc khắc phục hoàn toàn những nhược điểm của mô hình Overlay. Trong mô hình này, các router của nhà cung cấp dịch vụ không chỉ vận chuyển dữ liệu mà còn tham gia trực tiếp vào quá trình định tuyến của khách hàng. Điều này tạo ra một mối quan hệ định tuyến ngang hàng giữa thiết bị của khách hàng và nhà cung cấp, mang lại hiệu quả vượt trội. Kiến trúc của một mạng MPLS VPN bao gồm ba thành phần chính. Router CE (Customer Edge) là thiết bị đặt tại site của khách hàng, giao tiếp trực tiếp với mạng của nhà cung cấp. Router PE (Provider Edge) là thiết bị biên của nhà cung cấp, kết nối với các router CE. Đây là thành phần thông minh nhất, chịu trách nhiệm quản lý các VPN của khách hàng, phân tách lưu lượng và gán nhãn. Cuối cùng, Router P (Provider) là các router trong mạng lõi của nhà cung cấp, chỉ thực hiện chức năng chuyển mạch nhãn tốc độ cao mà không cần biết thông tin định tuyến của khách hàng. Sự phân chia vai trò rõ ràng này giúp tối ưu hóa hoạt động của toàn mạng. Các router P không bị quá tải bởi hàng nghìn tuyến đường của khách hàng, giúp mạng lõi luôn ổn định và hiệu suất cao. Trong khi đó, toàn bộ logic phức tạp của VPN được xử lý tại các router PE ở vùng biên. Mô hình này giúp loại bỏ hoàn toàn nhu cầu thiết lập mạng lưới kết nối full-mesh phức tạp từ phía khách hàng. Khách hàng chỉ cần một kết nối duy nhất từ mỗi site đến router PE gần nhất, và nhà cung cấp dịch vụ sẽ đảm bảo kết nối tối ưu giữa tất cả các site.

3.1. Vai trò của router PE P và CE trong mạng lõi MPLS

Trong kiến trúc MPLS VPN, mỗi loại router có một vai trò chuyên biệt. Router CE (Customer Edge) là điểm cuối của khách hàng, chạy các giao thức định tuyến tiêu chuẩn (như OSPF, EIGRP, BGP) để trao đổi tuyến với router PE. Router PE (Provider Edge) là bộ não của hệ thống. Nó duy trì các bảng định tuyến riêng biệt cho mỗi khách hàng, học các tuyến từ CE, thêm các định danh VPN, gán nhãn và quảng bá chúng tới các PE khác thông qua giao thức MP-BGP. Router P (Provider), hay router lõi, chỉ thực hiện một nhiệm vụ duy nhất: chuyển mạch các gói tin đã được gán nhãn dựa trên thông tin trong nhãn ngoài cùng. Chúng không chứa thông tin định tuyến của khách hàng, giúp cho mạng lõi (backbone) trở nên đơn giản, tốc độ và dễ mở rộng. Mô hình này được gọi là "BGP-free core".

3.2. Ưu điểm của mô hình Peer to Peer so với mô hình Overlay

Mô hình Peer-to-Peer trong MPLS VPN mang lại nhiều lợi ích đáng kể. Đầu tiên, nó đơn giản hóa việc quản lý cho khách hàng. Thay vì phải quản lý N(N-1)/2 kết nối, khách hàng chỉ cần quản lý N kết nối tới nhà cung cấp. Thứ hai, định tuyến trở nên tối ưu hơn vì nhà cung cấp dịch vụ có đầy đủ thông tin để chọn đường đi ngắn nhất trong mạng lõi. Thứ ba, khả năng mở rộng được cải thiện đáng kể. Việc thêm một site mới chỉ yêu cầu cấu hình trên router CE của site đó và router PE tương ứng, không ảnh hưởng đến các site khác. Cuối cùng, mô hình này tạo nền tảng vững chắc để triển khai các dịch vụ nâng cao như QoS và Traffic Engineering một cách hiệu quả.

IV. Bí quyết của MPLS VPN Cơ chế tách biệt và định tuyến lưu lượng

Sự kỳ diệu của MPLS VPN nằm ở các cơ chế tinh vi cho phép một cơ sở hạ tầng mạng chung phục vụ nhiều khách hàng một cách an toàn và riêng biệt, ngay cả khi họ sử dụng cùng một dải địa chỉ IP. Công nghệ cốt lõi đằng sau khả năng này là VRF (Virtual Routing and Forwarding). Mỗi router PE tạo ra các bảng định tuyến và chuyển tiếp ảo riêng biệt cho từng khách hàng kết nối vào nó. Một VRF hoạt động giống như một router ảo độc lập bên trong router PE vật lý, đảm bảo rằng thông tin định tuyến của khách hàng này hoàn toàn tách biệt với khách hàng khác. Tuy nhiên, khi các tuyến đường này cần được quảng bá qua mạng lõi, một vấn đề nảy sinh: làm thế nào để phân biệt các địa chỉ IP trùng lặp từ các khách hàng khác nhau? Đây là lúc Route Distinguisher (RD) phát huy tác dụng. RD là một giá trị 64-bit duy nhất được thêm vào trước địa chỉ IPv4 32-bit của khách hàng, tạo ra một địa chỉ 96-bit mới gọi là địa chỉ VPNv4. Địa chỉ này là duy nhất trên toàn mạng của nhà cung cấp, giải quyết triệt để vấn đề trùng lặp địa chỉ. Để kiểm soát việc trao đổi tuyến giữa các VPN, MPLS VPN sử dụng Route Targets (RT), một thuộc tính BGP mở rộng. Mỗi VRF được cấu hình với các RT để 'export' (xuất) các tuyến của mình và 'import' (nhập) các tuyến từ các VRF khác. Cơ chế này cho phép tạo ra các topo mạng phức tạp như extranet hay central services. Toàn bộ thông tin này—địa chỉ VPNv4 và RT—được trao đổi giữa các router PE bằng Multiprotocol BGP (MP-BGP), một phiên bản mở rộng của BGP có khả năng mang nhiều loại thông tin định tuyến khác nhau.

4.1. VRF Cách tạo bảng định tuyến ảo cho mỗi khách hàng

VRF (Virtual Routing and Forwarding) là cơ chế nền tảng để đảm bảo tính riêng tư trong MPLS VPN. Trên một router PE, mỗi khách hàng được gán cho một VRF riêng. VRF này bao gồm một bảng định tuyến IP, một bảng chuyển tiếp CEF và các giao diện vật lý/logic kết nối tới khách hàng đó. Khi một gói tin từ router CE đến, router PE sẽ xác định nó thuộc VRF nào dựa trên giao diện đầu vào. Mọi quyết định định tuyến và chuyển tiếp cho gói tin đó sau đó sẽ được thực hiện hoàn toàn trong phạm vi của VRF đó. Điều này đảm bảo lưu lượng của khách hàng A không thể bị rò rỉ hay định tuyến nhầm vào mạng của khách hàng B.

4.2. Sức mạnh của Route Distinguisher RD và Route Targets RT

Route Distinguisher (RD) và Route Targets (RT) là hai công cụ mạnh mẽ để quản lý định tuyến trong MPLS VPN. RD chỉ có một mục đích duy nhất: làm cho các tiền tố địa chỉ của khách hàng trở nên duy nhất trên toàn mạng lõi của nhà cung cấp. Nó không ảnh hưởng đến quyết định định tuyến. Ngược lại, RT là công cụ quyết định chính sách định tuyến. Bằng cách gắn các giá trị RT 'export' và 'import' cho các VRF, quản trị viên có thể kiểm soát chính xác những tuyến đường nào được chia sẻ giữa các VPN khác nhau. Ví dụ, một công ty có thể cho phép VPN của phòng kế toán truy cập vào VPN của phòng nhân sự, nhưng không cho phép chiều ngược lại. Đây là chìa khóa để xây dựng các kịch bản kết nối linh hoạt và phức tạp.

4.3. Giao thức MP BGP và việc trao đổi địa chỉ VPNv4

Để vận chuyển thông tin định tuyến phức tạp của VPN qua mạng lõi, MPLS VPN sử dụng MP-BGP (Multiprotocol BGP). BGP truyền thống chỉ được thiết kế để mang các tuyến IPv4. MP-BGP mở rộng khả năng này, cho phép nó mang các loại thông tin định tuyến khác, trong đó có địa chỉ VPNv4. Các router PE thiết lập các phiên MP-iBGP với nhau để trao đổi các tuyến VPNv4. Trong các bản tin cập nhật MP-BGP, không chỉ có thông tin về tuyến đường mà còn có cả nhãn VPN và các thuộc tính RT đi kèm. Nhờ MP-BGP, thông tin định tuyến của tất cả các khách hàng có thể được trao đổi hiệu quả và an toàn trên cùng một cơ sở hạ tầng mạng lõi.

V. Phân tích ứng dụng MPLS VPN Quy trình chuyển tiếp gói tin

Việc hiểu rõ quy trình một gói tin di chuyển trong mạng MPLS VPN giúp làm sáng tỏ hiệu quả của công nghệ này. Quá trình bắt đầu khi một gói tin IP thông thường từ mạng của khách hàng đi vào router CE và được chuyển tiếp đến router PE. Tại đây, router PE thực hiện tra cứu trong bảng VRF tương ứng của khách hàng đó để tìm ra router PE đích. Sau đó, một quá trình gán nhãn kép diễn ra. Router PE đẩy lên gói tin một ngăn xếp gồm hai nhãn. Nhãn bên trong, được gọi là nhãn VPN, do router PE đích gán và quảng bá qua MP-BGP. Nhãn này giúp router PE đích xác định gói tin thuộc về VRF nào (hoặc giao diện ra nào). Nhãn bên ngoài, gọi là nhãn IGP (hoặc nhãn vận chuyển), được gán bởi giao thức phân phối nhãn như LDP (Label Distribution Protocol). Nhãn này được các router P trong mạng lõi sử dụng để chuyển mạch gói tin đến router PE đích. Khi gói tin mang hai nhãn này di chuyển trong mạng lõi, các router P chỉ xem xét nhãn ngoài cùng (nhãn IGP). Chúng thực hiện hoán đổi nhãn (label swapping) tại mỗi chặng và chuyển tiếp gói tin một cách nhanh chóng mà không cần đọc đến phần header IP. Khi gói tin đến router PE ngay trước router PE đích, nhãn IGP sẽ được gỡ bỏ (một kỹ thuật gọi là Penultimate Hop Popping). Cuối cùng, khi gói tin đến router PE đích, nó chỉ còn lại nhãn VPN. Router PE đích dùng nhãn này để biết phải chuyển gói tin ra giao diện nào, kết nối tới router CE nào. Nhãn VPN được gỡ bỏ, và gói tin IP gốc được chuyển tiếp đến mạng đích của khách hàng.

5.1. Quá trình gán nhãn kép Nhãn IGP và nhãn VPN trong MPLS

Cơ chế gán nhãn kép là chìa khóa để MPLS VPN hoạt động hiệu quả. Nhãn VPN (nhãn BGP) có vai trò định tuyến ở cấp độ dịch vụ, giúp router PE đích phân biệt lưu lượng của các VPN khác nhau. Nó được phân phối giữa các router PE thông qua MP-BGP. Nhãn IGP (nhãn LDP) có vai trò vận chuyển, giúp các router P trong lõi chuyển tiếp gói tin nhanh chóng từ PE này đến PE khác mà không cần biết đến sự tồn tại của các VPN. Sự kết hợp của hai lớp nhãn này tạo ra một cơ chế phân cấp rõ ràng: lớp vận chuyển (transport layer) và lớp dịch vụ (service layer), cho phép mạng mở rộng quy mô một cách dễ dàng.

5.2. So sánh hiệu quả giữa MPLS VPN và các mô hình VPN khác

So với VPN truyền thống, MPLS VPN mang lại hiệu quả vượt trội trên nhiều phương diện. Về hiệu suất, việc chuyển mạch dựa trên nhãn nhanh hơn đáng kể so với định tuyến IP, giúp giảm độ trễ và tăng thông lượng. Về khả năng mở rộng, mô hình Peer-to-Peer đơn giản hóa việc thêm các site mới và giảm gánh nặng quản lý cho khách hàng. Về bảo mật, việc phân tách lưu lượng bằng VRF ở Lớp 3 được coi là rất an toàn, tương đương với việc sử dụng các đường truyền riêng biệt. Hơn nữa, MPLS VPN tích hợp sẵn các cơ chế QoS và Traffic Engineering, điều mà các giải pháp VPN dựa trên đường hầm IPsec qua Internet công cộng rất khó thực hiện một cách đáng tin cậy.