Chương 1: Nghiên cứu tổng quan về mạng riêng ảo, các loại mạng riêng ảo hiện nay. Chương 2: Nghiên cứu về mạng riêng ảo trên nền công nghệ MPLS Chương 3: Nghiên cứu về hệ thống mạng truyền thông hiện nay của Tổng cục thuế trên cơ sở phân tích, khảo sát hiện trạng hệ thống mạng của Bộ tài chính và đưa ra các giải pháp và mô hình thiết kế mới mang tính ứng dụng khả thi về kỹ thuật công nghệ và kinh tế. Chương 4: Kết luận và hướng phát triển Ngoài ra, luận văn còn có thêm các danh mục các thuật ngữ, các từ viết tắt, danh mục bảng biểu, hình vẽ và danh mục các tài liệu tham khảo để thuận tiện cho việc tìm hiểu và tra cứu nội dung của luận văn. z 9 CHƢƠNG 1 TỔNG QUAN VỀ MẠNG RIÊNG ẢO Trong chương này, báo cáo luận văn sẽ giới thiệu tổng quan về mạng riêng ảo, khái niệm VPN, khái niệm đường hầm, phân loại VPN.
Đi sâu vào hai loại VPN chính đó là: mô hình Overlay VPN và site to site VPN. Trên cơ sở phân tích nội dung của từng loại cho ta thấy rõ được những ưu, nhược còn tồn tại trong mỗi mô hình.1 Tổng quan VPN là một thuật ngữ quen thuộc hiện nay, nó là một sự lựa chọn gần như tối ưu đối với một công ty có từ 2 chi nhánh trở lên có nhu cầu kết nối mạng với nhau, hoặc có nhu cầu thiết lập một mối quan hệ thân thiết với khách hàng, đối tác, hoặc đặc thù công việc là có nhiều nhân viên làm việc từ xa. Ai cũng biết VPN không còn là một thuật ngữ mới, tuy nhiên không phải ai cũng biết VPN đã được đề cập và xây dựng từ cuối thập kỷ 80 của thế kỷ trước, và nó cũng trải qua nhiều giai đoạn phát triển. Thế hệ VPN thứ nhất do AT&T phát triển có tên là SDNs (Software Defined Networks) Thế hệ thứ 2 là ISDN và X25 Thế hệ thứ 3 là FR và ATM Và thế hệ hiện nay, thế hệ thứ 4 là VPN trên nền mạng IP Thế hệ tiếp theo sẽ là VPN trên nền mạng MPLS.2 Khái niệm VPN VPN là công nghệ cung cấp một phương thức giao tiếp an toàn giữa các mạng riêng dựa vào kỹ thuật đường hầm để tạo ra một mạng riêng trên cơ sở hạ tầng mạng dùng chung (mạng Internet).
Về bản chất đây là quá trình đặt toàn bộ gói tin vào trong một lớp tiêu đề chứa thông tin định tuyến có thể truyền an toàn qua mạng công cộng. VPN là một mạng riêng sử dụng để kết nối các mạng riêng lẻ hay nhiều người sử dụng ở xa thông qua các kết nối ảo dẫn qua đường Internet thay cho một kết nối thực, chuyên dụng như đường leased line. VPN bao gồm hai phần: mạng của nhà cung cấp dịch vụ và mạng của khách hàng trong đó mạng của nhà cung cấp dịch vụ chạy dọc cơ sở hạ tầng mạng công cộng, bao gồm các bộ định tuyến cung cấp dịch vụ cho mạng của khách hàng.3 Khái niệm đường hầm Đường hầm là một cách thức mà ở đó dữ liệu có thể truyền đi giữa hai mạng một cách an toàn. Toàn bộ dữ liệu truyền đi được phân mảnh thành các gói nhỏ hơn hoặc thành các khung sau đó được đẩy vào trong đường hầm.
Cách thức này khác với cách vận chuyển dữ liệu thông thường giữa các điểm. Ở đây các gói dữ liệu di chuyển trong đường hầm sẽ được đóng gói và mã hoá với thông tin định tuyến tới một địa chỉ xác định. Sau khi tới được địa chỉ mong muốn thì dữ liệu được khôi phục nhờ việc giải mã. Một đường hầm là một con đường logic được thiết lập giữa điểm nguồn và điểm đích của hai mạng.
Các gói dữ liệu được đóng gói tại nguồn và mở gói tại điểm đích. Đường hầm logic giữa hai mạng này được duy trì trong suốt tiến trình gửi dữ liệu. Đường hầm dùng để vận chuyển dữ liệu cho mục đích riêng tư, thông thường là hệ thống mạng của một tập đoàn thông qua hệ thống mạng công cộng. Với cách hiểu đó các nút định tuyến trong hệ thống mạng công cộng không biết rằng luồng vận chuyển đó là của hệ thống mạng riêng hay chung.
Có nhiều loại đường hầm được thực thi trên các tầng khác nhau của mô hình OSI. Ví dụ hai loại đường hầm PPTP và L2TP thực thi trên tầng 2. Hai loại đường hầm này sẽ không kích hoạt tại các phiên làm việc nội mạng, trong trường hợp có sự kết nối hai mạng thì loại đường hầm sẽ được xác định hoặc PPTP hoặc L2TP sau khi lựa chọn được loại đường hầm thì các tham số như mã hóa, cách đăng ký địa chỉ, nén …vv. Được cấu hình để đạt được sự an toàn ở mức cao nhất khi đi qua mạng Internet dựa trên sự kết nối đường hầm logic địa phương.
Kết nối được tạo ra duy trì và kết thúc sử dụng giao thức quản lý đường hầm.4 Phân loại VPN Mạng riêng ảo có thể là hệ thống mạng ảo giữa hai đầu cuối hệ thống hay giữa hai hay nhiều mạng riêng. Do đó ta có thể chia mạng mạng riêng ảo thành hai loại chính đó là: Customer – based VPN ( hay còn gọi là Overlay VPN): là mạng riêng ảo được cấu hình trên các thiết bị của khách hàng sử dụng các giao thức đường hầm xuyên qua mạng công cộng. Nhà cung cấp dịch vụ sẽ cung cấp các kênh ảo, kết nối ảo giữa các mạng của khách hàng. Network – based VPN ( hay còn gọi là site to site VPN): là mạng riêng ảo được cấu hình trên các thiết bị của nhà cung cấp dịch vụ và được quản lý bởi nhà cung z 11 cấp dịch vụ.
Ở đây nhà cung cấp trao đổi thông tin định tuyến với khách hàng và sắp đặt dữ liệu của khách hàng vào các đường đi tối ưu nhất.1 Overlay VPN Mô hình Overlay VPN được triển khai dưới nhiều công nghệ khác nhau. Ban đầu VPN được xây dựng bằng cách sử dụng các đường kết nối leased line để cung cấp kết nối giữa các khách hàng ở nhiều vị trí khác nhau. Khách hàng mua các dịch vụ đường kết nối của nhà cung cấp. Đường kết nối này được thiết lập giữa các mạng của khách hàng và đường này là đường riêng cho khách hàng.
Cho đến những năm 1990, Frame Relay được giới thiệu. Frame Relay được xem như là một công nghệ VPN vì nó đáp ứng kết nối cho khách hàng như dịch vụ leased line, chỉ khác ở chỗ là khách hàng không được cung cấp các đường dành riêng cho mỗi khách hàng mà các khách hàng sử dụng một đường chung nhưng được chỉ định các kênh ảo, các kênh ảo này sẽ đảm bảo lưu lượng cho mỗi khách hàng riêng biệt. Khi cung cấp kênh ảo cho khách hàng nghĩa là nhà cung cấp dịch vụ đã xây dựng một đường hầm riêng cho lưu lượng khách hàng chảy qua mạng dùng chung của nhà cung cấp dịch vụ. Sau này công nghệ ATM ra đời về cơ bản ATM cũng giống như Frame Relay nhưng đáp ứng được tốc độ chuyền dẫn cao hơn.
Khách hàng thiết lập việc liên lạc giữa các thiết bị đầu phía khách hàng với nhau thông qua kênh ảo. Giao thức định tuyến chạy trực tiếp giữa các bộ định tuyến khách hàng thiết lập các mối quan hệ cận kề và trao đổi thông tin định tuyến với nhau. Nhà cung cấp dịch vụ không hề biết đến thông tin định tuyến của khách hàng và nhiệm vụ của nhà cung cấp trong mô hình này chỉ là đảm bảo vận chuyển dữ liệu từ điểm tới điểm giữa các mạng của khách hàng mà thôi. Mô hình Overlay VPN được triển khai theo các rãnh riêng thông qua cơ sở hạ tầng của nhà cung cấp dịch vụ.
Hệ thống này có thể được thi hành tại lớp 1 sử dụng đường leased line/dialup line, tại lớp 2 sử dụng X25/Frame Relay/ ATM kênh ảo hoặc tại lớp 3 sử dụng đường hầm IP (GRE) Với mô hình VPN triển khai ở lớp 1, mô hình này kế thừa giải pháp ghép kênh theo thời gian truyền thống - thời gian sử dụng đường truyền được chia ra làm nhiều khung, mỗi khung được chia thành nhiều khe thời gian và mỗi người sử dụng một khe cho mình để phục vụ việc truyền tin. Ở đây nhà cung cấp ấn định nhiều dòng bit và thiết lập các kết nối vật lý giữa các site khách hàng thông qua ISDN, DSO, T1, E1, SONET hoặc SDH và khách hàng chịu trách nhiệm thi hành ở tất cả các lớp cao hơn ví như PPP, HDLC, IP z 12 Hình 1.1 Mô hình Overlay VPN triển khai ở lớp 1 Với mô hình Overlay VPN thực hiện ở lớp 2, mô hình này kế thừa giải pháp chuyển mạch trong mạng WAN. Ở đây nhà cung cấp dịch vụ chịu trách nhiệm thiết lập các kênh ảo ở lớp 2 giữa các sites khách hàng thông qua X.25, Frame Relay hoặc ATM và khách hàng có nhiệm vụ ở lớp IP và các lớp cao hơn.2 Over lay VPN triển khai ở lớp 2 Với mô hình Overlay triển khai ở lớp 3, mô hình này được thực hiện các kết nối điểm tới điểm thông qua đường hầm IP. Thông qua đường hầm IP thì việc lưu thông là trong suốt đối với đích và nguồn song vấn đề là ta phải biết rõ ràng topo mạng.
Chính vì vậy hệ thống mạng ảo có thể được tạo ra bởi sự phối hợp các các thiết bị không kết nối hoặc máy chủ với nhau thông qua một đường hầm. Việc triển khai đường hầm đảm bảo được tính riêng tư của hệ thống địa chỉ mạng dọc theo mạng xương sống của nhà cung cấp dịch vụ mà không cần chuyển đổi địa chỉ mạng. Đường hầm được thiết lập với hai công nghệ phổ biến là GRE - generic routing encapsulation - và IPSec – IP secrity. Triển khai theo GRE đơn giản và nhanh hơn song độ an toàn kém trái lại triển khai theo IPSec phức tạp và tốn tài nguyên hơn nhưng tính an toàn lại cao.3 Mô hình Overlay VPN triển khai ở lớp 3 Đường hầm GRE cung cấp một ống cố định dọc theo hệ thống chia sẻ mạng diện rộng ở đây các gói tin được bọc bởi một tiêu đề đầu sau đó được truyền đi tới những đích cố định.
Vì vậy hệ thống mạng đảm bảo tính riêng tư nhờ đưa lộ trình vào trong đường hầm tới một điểm đến. Hệ thống đường hầm GRE không có khả năng đảm bảo tính an toàn, để hệ thống được tốt hơn thì có thể kết hợp GRE và IPSec. Khi ta triển khai VPN trên lớp 3 thông qua hệ thống mạng công cộng thì hệ thống đường hầm được thiết lập.