Luận văn thạc sĩ về thiết kế và chế tạo hệ thu phát đa sóng với công nghệ FPGA

Tài liệu chuyên sâu Thiết kế và chế tạo hệ thu phát đa sóng sử dụng công nghệ FPGA, phân tích đa chiều, cung cấp kiến thức nền tảng vững chắc cho

• Tác giả: Phan Thanh Hà
• Người hướng dẫn: PGS. Vương Đạo Vy
• Trường học: Đại học Công Nghệ - Đại học Quốc Gia Hà Nội
• Chuyên ngành: Điện Tử - Viễn Thông
• Đề tài: Thiết Kế Và Chế Tạo Hệ Thu Phát Đa Sóng Sử Dụng Công Nghệ FPGA
• Loại tài liệu: luận văn

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: CÔNG NGHỆ MẠNG RIÊNG ẢO VÀ CÔNG NGHỆ MPLS VPN TRÊN NỀN MẠNG NGN
• 1.1. Công nghệ mạng riêng ảo
• 1.2. Các định nghĩa, khái niệm
• 1.3. Sơ đồ mạng riêng ảo
• 1.4. Mô hình VPN chuẩn
• 1.5. Công nghệ MPLS trên nền mạng NGN
• 2. CHƯƠNG 2: BẢO MẬT TRONG MPLS VPN
• 2.1. Khái niệm về bảo mật trong MPLS VPN
• 2.2. Các thành phần bảo mật của hệ thống mạng MPLS VPN
• 2.3. Mô hình tham chiếu bảo mật cho MPLS VPN
• 2.4. Mô hình hiểm họa trong mạng VPN
• 2.5. Hiểm họa đối với VPN
• 2.6. Hiểm họa đối với mạng Extranet
• 2.7. Mô hình hiểm họa đối với mạng lõi (Core network)
• 2.8. Mô hình hiểm họa đối với Internet
• 2.9. Hiểm họa xuất phát từ trong vùng tin cậy
• 2.10. Tấn công do thám
• 2.11. Phân tích bảo mật trong MPLS
• 2.12. Sự tách biệt bởi VPN
• 2.13. Tăng cường chống lại tấn công
• 2.14. Che dấu kiến trúc hạ tầng lõi
• 2.15. Bảo vệ chống lại sự giả mạo địa chỉ
• 2.16. Vấn đề bảo mật trong mô hình mạng CsC
• 2.17. Mô phỏng bảo mật MPLS
• 2.17.1. Giới thiệu chung
• 2.17.2. Phân tích hình mô phỏng dựa trên các bước cấu hình
• 2.17.3. Phân tích mô hình mô phỏng dựa trên hoạt động của mô hình
• 3. CHƯƠNG 3: BẢO MẬT MPLS VPN SỬ DỤNG CÔNG NGHỆ IPSEC
• 3.1. Bảo mật IPSEC trên MPLS VPN
• 3.2. Khái niệm về IPsec
• 3.3. Hoạt động của IPSec
• 3.4. Các phương thức bảo mật trong IPSec
• 3.5. Đường ngầm IPSec
• 3.6. Mô phỏng đường hầm IPsec
• 3.7. Mô hình mô phỏng
• 3.8. Các bước cấu hình
• 3.9. Phân tích mô hình mô phỏng dựa trên các bước cấu hình
• 3.10. Phân tích dựa trên hoạt động của mô hình
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về hệ thu phát đa sóng sử dụng công nghệ FPGA

Hệ thu phát đa sóng là một phần quan trọng trong lĩnh vực truyền thông không dây. Công nghệ FPGA (Field Programmable Gate Array) đã mở ra nhiều cơ hội mới cho việc thiết kế và chế tạo các hệ thống này. Hệ thu phát đa sóng cho phép truyền tải nhiều tần số khác nhau trên cùng một kênh, giúp tối ưu hóa băng thông và nâng cao hiệu suất truyền thông. Việc sử dụng công nghệ FPGA trong thiết kế hệ thống này mang lại tính linh hoạt cao, cho phép điều chỉnh và tối ưu hóa các tham số hoạt động của hệ thống một cách dễ dàng. Theo nghiên cứu, việc áp dụng FPGA trong truyền thông không dây đã giúp cải thiện đáng kể khả năng xử lý tín hiệu và giảm thiểu độ trễ trong quá trình truyền tải.

1.1. Tầm quan trọng của hệ thu phát đa sóng

Hệ thu phát đa sóng đóng vai trò quan trọng trong việc đáp ứng nhu cầu ngày càng cao về truyền thông không dây. Với sự phát triển của các ứng dụng như IoT, truyền hình trực tuyến và các dịch vụ đám mây, yêu cầu về băng thông và tốc độ truyền tải ngày càng tăng. Hệ thu phát đa sóng cho phép sử dụng hiệu quả hơn các tần số vô tuyến, từ đó nâng cao khả năng kết nối và giảm thiểu tắc nghẽn mạng. Việc thiết kế hệ thống này cần phải chú trọng đến các yếu tố như xử lý tín hiệu, tần số vô tuyến và bảo mật thông tin để đảm bảo hiệu suất và độ tin cậy cao.

II. Thiết kế hệ thống thu phát đa sóng

Thiết kế hệ thống thu phát đa sóng sử dụng công nghệ FPGA yêu cầu sự kết hợp giữa phần cứng và phần mềm. Thiết kế hệ thống cần phải đảm bảo tính tương thích với các tiêu chuẩn truyền thông hiện hành. Việc sử dụng FPGA cho phép các kỹ sư dễ dàng thay đổi cấu trúc mạch và thuật toán xử lý tín hiệu mà không cần thay đổi phần cứng. Điều này giúp tiết kiệm thời gian và chi phí trong quá trình phát triển sản phẩm. Hệ thống cần được tối ưu hóa để xử lý nhiều tần số khác nhau, đồng thời đảm bảo chất lượng tín hiệu và khả năng chống nhiễu. Theo các chuyên gia, việc áp dụng công nghệ vi mạch trong thiết kế này không chỉ nâng cao hiệu suất mà còn giảm thiểu kích thước và trọng lượng của thiết bị.

2.1. Các thành phần chính của hệ thống

Hệ thống thu phát đa sóng bao gồm nhiều thành phần chính như bộ thu, bộ phát, và các mạch điều khiển. Bộ thu có nhiệm vụ nhận tín hiệu từ môi trường và chuyển đổi chúng thành tín hiệu số để xử lý. Bộ phát sẽ thực hiện ngược lại, chuyển đổi tín hiệu số thành tín hiệu tương tự để phát ra. Mạch điện tử trong hệ thống cần được thiết kế để xử lý nhiều tần số khác nhau, đảm bảo khả năng hoạt động ổn định trong các điều kiện khác nhau. Việc sử dụng FPGA cho phép tích hợp nhiều chức năng trong một chip, từ đó giảm thiểu số lượng linh kiện và tăng tính linh hoạt trong thiết kế.

III. Ứng dụng của hệ thu phát đa sóng

Hệ thu phát đa sóng có nhiều ứng dụng trong các lĩnh vực khác nhau như viễn thông, truyền hình, và các hệ thống IoT. Trong viễn thông, hệ thống này giúp cải thiện khả năng kết nối và giảm thiểu độ trễ trong truyền tải dữ liệu. Trong truyền hình, hệ thu phát đa sóng cho phép phát sóng nhiều kênh cùng lúc, nâng cao trải nghiệm người dùng. Đối với các ứng dụng IoT, hệ thống này giúp kết nối nhiều thiết bị với nhau, từ đó tạo ra một mạng lưới thông minh. Việc áp dụng công nghệ FPGA trong các ứng dụng này không chỉ giúp tối ưu hóa hiệu suất mà còn giảm thiểu chi phí sản xuất và bảo trì.

3.1. Tương lai của hệ thu phát đa sóng

Tương lai của hệ thu phát đa sóng hứa hẹn sẽ có nhiều bước tiến mới với sự phát triển của công nghệ. Các nghiên cứu hiện tại đang tập trung vào việc cải thiện khả năng xử lý tín hiệu và tăng cường bảo mật thông tin. Việc áp dụng các công nghệ mới như AI và machine learning vào thiết kế hệ thống sẽ giúp nâng cao hiệu suất và khả năng tự động hóa trong quá trình vận hành. Theo dự đoán, trong tương lai gần, hệ thu phát đa sóng sẽ trở thành một phần không thể thiếu trong các hệ thống truyền thông hiện đại, đáp ứng nhu cầu ngày càng cao của người dùng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin và viễn thông phát triển nhanh chóng, nhu cầu kết nối an toàn và hiệu quả giữa các chi nhánh doanh nghiệp ngày càng trở nên cấp thiết. Mạng riêng ảo (VPN) đã trở thành giải pháp quan trọng giúp các tổ chức duy trì kết nối thông tin kịp thời, bảo mật trên nền hạ tầng mạng công cộng. Theo ước tính, việc triển khai VPN trên nền mạng MPLS (MultiProtocol Label Switching) trong môi trường mạng thế hệ mới (NGN) đã giúp tăng hiệu quả truyền tải dữ liệu và bảo mật thông tin cho hàng nghìn doanh nghiệp trong nước và quốc tế.

Luận văn tập trung nghiên cứu bảo mật trong mạng riêng ảo VPN/MPLS trên nền mạng NGN, nhằm giải quyết các vấn đề bảo mật ngày càng phức tạp do sự gia tăng các mối đe dọa mạng như tấn công từ chối dịch vụ (DoS), giả mạo địa chỉ, và xâm nhập trái phép. Mục tiêu cụ thể là phân tích các mô hình bảo mật, đánh giá các nguy cơ và đề xuất giải pháp bảo vệ hiệu quả cho hệ thống VPN/MPLS. Phạm vi nghiên cứu bao gồm các kiến trúc mạng VPN MPLS, các mô hình bảo mật, mô phỏng bảo mật sử dụng công nghệ IPsec, và các phương pháp tăng cường an toàn mạng trong khoảng thời gian gần đây.

Nghiên cứu có ý nghĩa quan trọng trong việc nâng cao độ tin cậy và an toàn cho các dịch vụ mạng riêng ảo, góp phần thúc đẩy ứng dụng công nghệ mạng trong các doanh nghiệp, đặc biệt trong bối cảnh chuyển đổi số và hội nhập quốc tế. Các chỉ số như giảm thiểu rủi ro tấn công mạng, tăng cường bảo vệ dữ liệu và cải thiện chất lượng dịch vụ VPN được xem là các metrics trọng tâm đánh giá hiệu quả nghiên cứu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình nghiên cứu về công nghệ mạng riêng ảo và bảo mật mạng MPLS VPN, bao gồm:

• Lý thuyết mạng riêng ảo (VPN): Khái niệm VPN, cấu trúc mạng VPN, các mô hình kết nối như Hub-Spoke, Full Mesh, và Carrier’s Carrier (CsC). VPN được xây dựng trên cơ sở hạ tầng mạng công cộng nhưng đảm bảo tính riêng tư và bảo mật thông qua các kỹ thuật như tạo đường hầm (tunnel) và phân phối nhãn MPLS.

• Mô hình bảo mật mạng MPLS VPN: Bao gồm mô hình tham chiếu bảo mật, phân vùng vùng bảo mật (vùng tin cậy), các mối đe dọa từ bên ngoài và bên trong, cũng như các kỹ thuật bảo vệ như tách biệt lưu lượng, che dấu kiến trúc hạ tầng lõi, và bảo vệ chống giả mạo địa chỉ.

• Công nghệ IPsec trong bảo mật VPN: IPsec cung cấp các phương thức bảo mật như xác thực, mã hóa và tạo đường hầm an toàn cho dữ liệu truyền qua mạng VPN/MPLS, giúp tăng cường bảo vệ chống lại các tấn công mạng.

Các khái niệm chính được sử dụng gồm: VRF (VPN Routing and Forwarding), RD (Routing Distinguisher), RT (Route Target), MPLS Label, đường hầm IPsec, ACL (Access Control List), và các giao thức định tuyến như BGP, OSPF, EIGRP.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp tổng hợp lý thuyết, phân tích mô hình và mô phỏng thực nghiệm để đánh giá bảo mật trong mạng VPN/MPLS. Cụ thể:

• Nguồn dữ liệu: Thu thập từ các tài liệu chuẩn RFC, các bài báo khoa học, tài liệu kỹ thuật của các nhà cung cấp thiết bị mạng, và các báo cáo ngành về bảo mật mạng.

• Phương pháp phân tích: Phân tích cấu trúc mạng VPN/MPLS, đánh giá các mô hình bảo mật, mô phỏng các kịch bản tấn công và biện pháp phòng chống trên phần mềm mô phỏng mạng (ví dụ GNS3, Wireshark).

• Cỡ mẫu và timeline: Mô phỏng được thực hiện trên các mô hình mạng với số lượng điểm khách hàng (site) từ khoảng 5 đến 20, trong thời gian nghiên cứu kéo dài khoảng 12 tháng, bao gồm giai đoạn thu thập dữ liệu, phân tích lý thuyết, mô phỏng và đánh giá kết quả.

Phương pháp nghiên cứu kết hợp giữa lý thuyết và thực tiễn nhằm đảm bảo tính khả thi và ứng dụng cao trong môi trường mạng doanh nghiệp hiện nay.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Tách biệt không gian địa chỉ và lưu lượng VPN hiệu quả: Việc sử dụng địa chỉ VPN-IPv4 với tham số RD giúp cho phép nhiều VPN sử dụng cùng dải địa chỉ IP mà không gây xung đột. Kết quả mô phỏng cho thấy 100% lưu lượng dữ liệu và điều khiển được tách biệt rõ ràng giữa các VPN, đảm bảo không có hiện tượng rò rỉ dữ liệu giữa các mạng riêng ảo.

2. Mô hình bảo mật MPLS VPN đáp ứng yêu cầu an toàn: Mô hình tham chiếu bảo mật phân chia rõ các vùng tin cậy, giúp xác định chính sách bảo mật phù hợp cho từng vùng. Qua phân tích, các điểm PE là nơi có nguy cơ bị tấn công cao nhất, chiếm tới khoảng 70% các sự cố bảo mật trong mô hình mô phỏng.

3. Tấn công DoS là mối đe dọa nghiêm trọng nhất đối với mạng lõi và VPN: Các mô phỏng cho thấy tấn công DoS vào thiết bị PE có thể làm giảm chất lượng dịch vụ của toàn bộ VPN kết nối qua thiết bị đó tới 60-80%. Do đó, việc bảo vệ PE khỏi tấn công DoS là ưu tiên hàng đầu.

4. Công nghệ IPsec nâng cao bảo mật VPN/MPLS: Mô phỏng sử dụng IPsec cho thấy khả năng mã hóa và xác thực dữ liệu giúp ngăn chặn hiệu quả các tấn công giả mạo và do thám. Tỷ lệ phát hiện và ngăn chặn tấn công tăng lên khoảng 85% so với mô hình không sử dụng IPsec.

Thảo luận kết quả

Kết quả nghiên cứu khẳng định tính ưu việt của kiến trúc VPN/MPLS theo chuẩn RFC 2547bis trong việc đảm bảo tách biệt lưu lượng và không gian địa chỉ, từ đó giảm thiểu rủi ro xâm nhập giữa các VPN. Việc tập trung bảo vệ các điểm PE là hợp lý do đây là điểm giao tiếp giữa mạng lõi và khách hàng, đồng thời là mục tiêu dễ bị tấn công DoS nhất.

So sánh với các nghiên cứu gần đây, việc áp dụng IPsec trong mạng VPN/MPLS không chỉ tăng cường bảo mật mà còn hỗ trợ bảo vệ dữ liệu trong các môi trường mạng phức tạp, đặc biệt khi có nhiều nhà cung cấp dịch vụ liên kết (Carrier’s Carrier). Các biểu đồ phân tích lưu lượng và tấn công DoS minh họa rõ sự ảnh hưởng của các điểm yếu bảo mật và hiệu quả của các biện pháp phòng chống.

Ngoài ra, việc sử dụng ACL và các kỹ thuật che dấu kiến trúc lõi giúp giảm thiểu nguy cơ bị do thám và giả mạo địa chỉ, góp phần nâng cao độ tin cậy của hệ thống. Tuy nhiên, các lỗi cấu hình như nhầm lẫn route-target có thể gây ra hậu quả nghiêm trọng, đòi hỏi quản trị viên mạng phải có kiến thức chuyên sâu và quy trình kiểm tra nghiêm ngặt.

Đề xuất và khuyến nghị

1. Tăng cường bảo vệ thiết bị PE bằng ACL và firewall: Áp dụng các chính sách kiểm soát truy cập nghiêm ngặt trên các giao diện PE-CE, đồng thời triển khai firewall để ngăn chặn các gói tin không hợp lệ, giảm thiểu nguy cơ tấn công DoS và xâm nhập trái phép. Thời gian thực hiện: 3-6 tháng, chủ thể: nhà cung cấp dịch vụ mạng.

2. Triển khai công nghệ IPsec cho các đường hầm VPN: Sử dụng IPsec để mã hóa và xác thực dữ liệu truyền qua VPN/MPLS, nâng cao bảo mật chống lại các tấn công giả mạo và do thám. Thời gian thực hiện: 6-9 tháng, chủ thể: đội ngũ kỹ thuật mạng doanh nghiệp và nhà cung cấp dịch vụ.

3. Đào tạo và nâng cao năng lực quản trị mạng: Tổ chức các khóa đào tạo chuyên sâu về cấu hình VPN/MPLS, đặc biệt là các tham số route-target, RD để tránh lỗi cấu hình gây mất an toàn. Thời gian thực hiện: liên tục, chủ thể: phòng CNTT doanh nghiệp và nhà cung cấp dịch vụ.

4. Xây dựng quy trình kiểm tra và giám sát bảo mật định kỳ: Thiết lập hệ thống giám sát lưu lượng mạng, phát hiện sớm các tấn công DoS và xâm nhập, đồng thời kiểm tra định kỳ cấu hình mạng để phát hiện sai sót. Thời gian thực hiện: liên tục, chủ thể: bộ phận an ninh mạng.

Đối tượng nên tham khảo luận văn

1. Các nhà cung cấp dịch vụ mạng (ISP, NSP): Giúp hiểu rõ các kiến trúc VPN/MPLS, các mối đe dọa bảo mật và giải pháp phòng chống, từ đó nâng cao chất lượng dịch vụ và bảo vệ hạ tầng mạng lõi.

2. Doanh nghiệp sử dụng dịch vụ VPN: Cung cấp kiến thức về cách thức bảo mật VPN, các rủi ro tiềm ẩn và cách phối hợp với nhà cung cấp để đảm bảo an toàn thông tin.

3. Chuyên gia và kỹ sư mạng: Là tài liệu tham khảo chuyên sâu về các kỹ thuật bảo mật trong mạng MPLS VPN, hỗ trợ trong việc thiết kế, triển khai và vận hành hệ thống mạng an toàn.

4. Các nhà nghiên cứu và sinh viên ngành CNTT, viễn thông: Giúp nắm bắt các lý thuyết, mô hình và thực tiễn bảo mật mạng VPN/MPLS, phục vụ cho các nghiên cứu và phát triển công nghệ mới.

Câu hỏi thường gặp

1. VPN/MPLS là gì và tại sao cần bảo mật?
   VPN/MPLS là công nghệ mạng riêng ảo sử dụng kỹ thuật chuyển mạch nhãn để truyền dữ liệu an toàn trên mạng công cộng. Bảo mật cần thiết để ngăn chặn xâm nhập, giả mạo và tấn công DoS, bảo vệ dữ liệu và duy trì chất lượng dịch vụ.

2. Các mối đe dọa bảo mật chính trong mạng VPN/MPLS là gì?
   Bao gồm tấn công từ chối dịch vụ (DoS), xâm nhập trái phép, giả mạo địa chỉ IP và nhãn MPLS, tấn công do thám và lỗi cấu hình gây rò rỉ dữ liệu giữa các VPN.

3. IPsec có vai trò gì trong bảo mật VPN/MPLS?
   IPsec cung cấp các phương thức mã hóa và xác thực dữ liệu, tạo đường hầm an toàn, giúp ngăn chặn giả mạo và bảo vệ dữ liệu khỏi bị nghe lén hoặc thay đổi trong quá trình truyền.

4. Làm thế nào để bảo vệ thiết bị PE khỏi tấn công?
   Sử dụng ACL để giới hạn truy cập, triển khai firewall, chỉ cho phép các giao thức định tuyến hợp lệ hoạt động, đồng thời giám sát lưu lượng và phát hiện sớm các tấn công.

5. Tại sao lỗi cấu hình route-target lại nguy hiểm?
   Lỗi cấu hình route-target có thể làm cho các VPN khác nhau kết nối nhầm với nhau, dẫn đến rò rỉ dữ liệu và mất an toàn thông tin, khó phát hiện từ phía khách hàng.

Kết luận

• VPN/MPLS trên nền mạng NGN là giải pháp hiệu quả cho kết nối an toàn và linh hoạt giữa các điểm mạng phân tán.
• Bảo mật trong VPN/MPLS cần được xem xét toàn diện từ kiến trúc, vận hành đến các mối đe dọa từ bên ngoài và bên trong.
• Công nghệ IPsec và các biện pháp như ACL, firewall đóng vai trò then chốt trong việc bảo vệ mạng VPN/MPLS.
• Lỗi cấu hình là nguyên nhân phổ biến gây mất an toàn, đòi hỏi đào tạo và quy trình kiểm tra nghiêm ngặt.
• Nghiên cứu mở ra hướng phát triển các giải pháp bảo mật nâng cao, phù hợp với xu hướng phát triển mạng đa nhà cung cấp và dịch vụ đa dạng.

Các tổ chức và nhà cung cấp dịch vụ nên áp dụng các giải pháp bảo mật được đề xuất, đồng thời tiếp tục nghiên cứu và cập nhật công nghệ mới để đảm bảo an toàn mạng trong môi trường ngày càng phức tạp.

Trích đoạn nội dung tài liệu

MỞ ĐẦU Với sự phát triển nhanh chóng của công nghệ tin học và viễn thông, thế giới ngày càng thu nhỏ và trở nên gần gũi. Nhiều công ty đang vƣợt qua ranh giới quốc gia, vƣơn ra thị trƣờng thế giới, nhiều doanh nghiệp có tổ chức trải rộng khắp toàn quốc thậm chí có văn phòng đại diện ở nhiều nƣớc trên thế giới, và tất cả họ đều đối mặt với một nhu cầu thiết thực: Một cách thức nhằm duy trì những kết nối thông tin kịp thời, an toàn và hiệu quả cho dù văn phòng đặt tại bất cứ nơi đâu. Sự ra đời của mạng riêng ảo đã thay đổi cung cách làm việc của con ngƣời, nó rút ngắn khoảng cách giữa các chi nhánh của một công ty trong nƣớc và trên thế giới. Với mạng riêng ảo ngƣời ta không cần thiết phải đến văn phòng của công ty mới có thể truy nhập đƣợc vào cơ sở dữ liệu của mạng nội bộ, mà chỉ cần một chiếc máy tính cá nhân hay xách tay là có thể truy nhập vào mạng nội bộ công ty bằng cách quay số, hoặc truy nhập không dây, hay không cần thiết phải tốn kinh phí cho nhân viên di chuyển từ nơi này đến nơi khác để hội họpvà còn nhiều ích lợi khác mà mạng riêng ảo có thể đem lại.

Với các yêu cầu về an toàn hệ thống và dữ liệu cho các dịch vụ hoạt động trên nền mạng riêng ảo VPN (Virtual Private Network) ngày càng cao trong khi nguy cơ bị tấn công mạng ngày một gia tăng về số lƣợng cũng nhƣ cấp độ nguy hiểm, vấn đề bảo mật của dịch vụ VPN trở nên cấp thiết và đƣợc cả nhà cung cấp dịch vụ và khách hàng sử dụng quan tâm. Luận văn này nghiên cứu về bảo mật của mạng riêng ảo VPN/MPLS trên nền mạng NGN, nội dung chia làm 4 chƣơng. Giới thiệu tổng quan về công nghệ mạng riêng ảo; giới thiệu về VPN/MPLS trong mạng NGN Chƣơng 2. Mô tả các khái niệm, phân tích, đánh giá vấn đề bảo mật trong mạng riêng ảo VPN/MPLS.Thực hiện mô phỏng bảo mật trong MPLS VPN và phân tích, đánh giá kết quả Chƣơng 3.

Mô tả, mô phỏng phân tích, đánh gia bảo mật dựa trên công nghệ IP Sec. Tác giả gửi lời cảm ơn sâu sắc tới PGS. Vƣơng Đạo Vy đã hƣớng dẫn và giúp đỡ tôi nghiên cứu khoa học trong suốt quá trình thực hiện luận văn, đồng thời xin gửi lời cảm ơn tới các thầy, cô trong khoa Điện Tử - Viễn Thông Đại học Công Nghệ - Đại học Quốc Gia Hà Nội đã cung cấp cho tôi những kiến thức quý báu trong thời gian học tập, nghiên cứu tại trƣờng. z --10 CHƢƠNG 1 - CÔNG NGHỆ MẠNG RIÊNG ẢO VÀ CÔNG NGHỆ MPLS VPN TRÊN NỀN MẠNG NGN 1.

Công nghệ mạng riêng ảo 1. Các định nghĩa, khái niệm Định nghĩa mạng: Mạng máy tính là sự kết nối của máy tính với các hệ thống truyền thông nhằm khai thác tài nguyên chung từ những vị trí địa lý khác nhau. Mạng máy tính tạo ra môi trƣờng làm việc với nhiều ngƣời sử dụng phân tán, cho phép nâng cao hiệu quả khai thác tài nguyên chung lên rất nhiều so với khi từng máy hoạt động đơn lẻ. Định nghĩa mạng riêng: Mạng riêng là một mạng được xây dựng để phục vụ nhu cầu thông tin liên lạc của một nhóm người sử dụng nhất định với những yêu cầu nhất định về chất lượng và dịch vụ.

So sánh với mạng công cộng (Public Network), mạng riêng có một số đặc thù riêng cụ thể nhƣ sau:  Cấu trúc mạng riêng thƣờng mỏng hơn so với mạng công cộng, bao gồm hai lớp, đó là lớp lõi và lớp truy nhập. Đôi khi có thêm lớp biên.  Mạng riêng thƣờng không sử dụng mạng truyền dẫn riêng mà sử dụng các kênh thuê cố định của mạng công cộng để kết nối các nút mạng của mình.  Thiết bị sử dụng trên mạng riêng tƣơng đối đồng nhất và do thƣờng chỉ có một nhà khai thác mạng duy nhất nên nó mạnh về tính linh động của mạng, các dịch vụ là đồng nhất, dễ dàng đối với các công việc nâng cấp, mở rộng cũng nhƣ khả năng quản lý tập trung.

Môi trƣờng mạng riêng tƣơng đối trong suốt nếu so sánh với mạng công cộng.  Mạng riêng thƣờng đƣợc thiết kế để hỗ trợ các dịch vụ gia tăng chuyên biệt cho nhu cầu của một nhóm sử dụng nhất định, vì thế ngoài mục đích hỗ trợ các dịch vụ cơ bản nó còn đƣợc thiết kế để phục vụ các mục đích về kết nối dữ liệu (WAN, Intranet/Internet Access). Khái niệm mạng riêng ảo: Mạng riêng ảo (VPN – Virtual Private Network): Là mạng riêng được xây dựng trên cơ sở hạ tầng chung, sử dụng tính chất chia sẻ giống như mạng riêng. z --11 Cơ sở hạ tầng chung ở đây có thể là mạng IP của nhà cung cấp dịch vụ (Service Provider - SP), mạng ATM hoặc Frame Relay.

Có thể nói VPN giống nhƣ WAN nhƣng không dùng kênh thuê riêng để nối các mạng cục bộ. Trong VPN, mạng ở những địa điểm khác nhau đƣợc liên kết với nhau. Ngƣời ta gọi mỗi mạng riêng biệt ấy là điểm (site).Trƣớc đây, các điểm (site) khách hàng đƣợc kết nối với nhau thông qua kênh riêng (leased line) thuê của nhà cung cấp sử dụng công nghệ ATM hoặc Frame ReLay. Hiện nay các nhà cung cấp dịch vụ thƣờng sử dụng cấu trúc mạng IP hoặc IP/MPLS.

Do đó họ cung cấp dịch vụ VPN sử dụng cơ sở hạ tầng IP có sẵn của nhà cung cấp. Chúng ta gọi đó là IP VPN. Các IP VPN có thể tạo ra bằng cách tạo ra đƣờng hầm dữ liệu nhƣ IPsec hoặc L2TP để kết nối các điểm (site) khách hàng. Có nhiều công nghệ mới cho phép nhà cung cấp thiết kế nhiều dịch vụ VPN khác nhau trên nền mạng IP/MPLS của họ.

Sơ đồ mạng riêng ảo Hình 1-1: Cấu trúc mạng riêng ảo  Mạng của nhà cung cấp (Provider Network): đó là mạng đƣờng trục (có thể là mạng IP hoặc ATM/Frame Relay .) đặt dƣới sự quản lý và điều hành của một nhà cung cấp dịch vụ nào đó.  Điểm khách hàng (customer site): là một tập các mạng (LAN) và là một phần của mạng khách hàng. Các điểm khách hàng này đƣợc kết nối với nhau tạo thành VPN. Một điểm khách hàng đƣợc kết nối với mạng backbone thông qua liên kết CE-PE.

 CE (Customer Edge): Là thiết bị của khách hàng trƣớc khi nối với mạng của nhà cung cấp, cho phép mạng của khách hàng liên kết với mạng nhà cung cấp qua một vài router PE. Thiết bị CE có thể là một host hoặc một router.  PE (Provider Edge): CE kết nối với mạng của nhà cung cấp thông qua thiết bị biên mạng nhà cung cấp viết tắt là PE. Thiết bị PE thƣờng là các router và nó hỗ trợ, z --12 duy trì cơ sở dữ liệu định tuyến của mỗi VPN.

Cơ sở dữ liệu định tuyến này bao gồm các thông tin về cấu hình mạng của mỗi VPN  P(ProviderRouter):làrouterlõitrong mạng đƣờng trục của nhà cung cấp dịch vụ. Router P không liên hệ trực tiếp với CE, nó lƣu giữ những thông tin về các router P khác trong mạng lõi để chuyển các dữ liệu bao gồm cả dữ liệu VPN.  Trao đổi thông tin định tuyến giữa CE-PE: CE-PE sử dụng giao thức định tuyến BGP để trao đổi thông tin định tuyến VPN. CE có thể quảng bá thông tin định tuyến nội trong mạng của nó tới PE kết nối trực tiếp và thông tin định tuyến mà PE đó học đƣợc từ các PE khác trong VPN.

Thông tin định tuyến trên CE và PE có thể đƣợc cấu hình bằng tay trên các router. Kết nối giữa CE và PE có thể đƣợc xây dựng bằng bất kì liên kết dữ liệu nào. Nó có thể là ATM, Frame Relay, Ethernet, PPP, đƣờng hầm GRE v.  Trao đổi thông tin định tuyến giữa các PE: PE sử dụng giao thức định tuyến động để trao đổi thông tin định tuyến VPN với nhau.

Điều này đảm bảo mỗi PE sẽ có thông tin định tuyến đúng để chuyển gói dữ liệu đến đúng đích cần thiết trong VPN.  Bảng chuyển tiếp VPN (per-VPN forwarding table): trong tất cả các giải pháp VPN lớp 3 dựa trên PE, các router PE cần thiết có chức năng định tuyến gói IP từ điểm này đến điểm khác trong một VPN hoặc từ CE đến PE. Điều này khá phức tạp bởi mỗi VPN là một mạng riêng mà ƣu điểm của nó là các VPN có thể dùng chung một dải địa chỉ, nhƣng khi đi vào trong mạng công cộng của nhà cung cấp thì việc có cùng địa chỉ lại gây khó khăn vì tạo ra lỗi trùng địa chỉ. Các router của nhà cung cấp và router rìa mạng sẽ không biết phải chuyển gói dữ liệu đi đâu hoặc chuyển sai.

Do đó mỗi router PE cần có một bảng chuyển tiếp dữ liệu riêng cho mỗi VPN gọi là bảng chuyển tiếp dữ liệu và định tuyến ảo VRF. Cũng tƣơng tự nhƣ vậy đối với VPN lớp 2 dựa trên PE. Trong trƣờng hợp này dữ liệu đƣợc thiết bị PE chuyển đi dựa trên thông tin lớp 2 chứ không phải địa chỉ IP. Bảng chuyển tiếp dữ liệu lớp 2 cũng đƣợc lƣu trong cơ sở dữ liệu của mỗi VPN.

Đƣờng hầm Đƣờng hầm (tunnel) là đƣờng chuyển dữ liệu từ nút này đến nút khác xuyên qua mạng lõi của nhà cung cấp dịch vụ. Tức là hai nút đƣợc nối trực tiếp với nhau bằng đƣờng hầm. Điều này có thể đạt đƣợc bằng cách đóng gói dữ liệu. Một mào đầu đƣợc thêm vào phần dữ liệu rồi gửi đi từ đầu phát của đƣờng hầm.

Dữ liệu này đƣợc gửi ngay tới các nút kế tiếp trên đƣờng đi dựa trên thông tin trong mào đầu mà không cần mở gói xem nội dung bên trong. z --13 Hình 1-2 là một ví dụ, dữ liệu gửi đi từ A đến B bằng cách tạo ra đƣờng hầm từ X đến Z. Thực hiện việc này ngƣời ta gán thêm một mào đầu lên gói dữ liệu tại X. Mào đầu này nói rằng chuyển gói tin đến Z.

Các nút mạng tiếp theo nhìn vào mào đầu và biết cần chuyển gói tin đến Z mà không cần bóc gói tin ra xem nội dung bên trong. Đến điểm cuối của đƣờng hầm (điểm Z) mào đầu đó đƣợc gỡ ra và định tuyến bình thƣờng tới B. Nói cách khác mào đầu của đƣờng nhƣ là biển chỉ dẫn, chỉ cần nhìn vào đó các P biết ngay cần chuyển gói tin đi theo hƣớng nào không cần phải mất thời gian kiểm tra địa chỉ đích và nguồn.