MỞ ĐẦU Với sự phát triển nhanh chóng của công nghệ tin học và viễn thông, thế giới ngày càng thu nhỏ và trở nên gần gũi. Nhiều công ty đang vƣợt qua ranh giới quốc gia, vƣơn ra thị trƣờng thế giới, nhiều doanh nghiệp có tổ chức trải rộng khắp toàn quốc thậm chí có văn phòng đại diện ở nhiều nƣớc trên thế giới, và tất cả họ đều đối mặt với một nhu cầu thiết thực: Một cách thức nhằm duy trì những kết nối thông tin kịp thời, an toàn và hiệu quả cho dù văn phòng đặt tại bất cứ nơi đâu. Sự ra đời của mạng riêng ảo đã thay đổi cung cách làm việc của con ngƣời, nó rút ngắn khoảng cách giữa các chi nhánh của một công ty trong nƣớc và trên thế giới. Với mạng riêng ảo ngƣời ta không cần thiết phải đến văn phòng của công ty mới có thể truy nhập đƣợc vào cơ sở dữ liệu của mạng nội bộ, mà chỉ cần một chiếc máy tính cá nhân hay xách tay là có thể truy nhập vào mạng nội bộ công ty bằng cách quay số, hoặc truy nhập không dây, hay không cần thiết phải tốn kinh phí cho nhân viên di chuyển từ nơi này đến nơi khác để hội họpvà còn nhiều ích lợi khác mà mạng riêng ảo có thể đem lại.
Với các yêu cầu về an toàn hệ thống và dữ liệu cho các dịch vụ hoạt động trên nền mạng riêng ảo VPN (Virtual Private Network) ngày càng cao trong khi nguy cơ bị tấn công mạng ngày một gia tăng về số lƣợng cũng nhƣ cấp độ nguy hiểm, vấn đề bảo mật của dịch vụ VPN trở nên cấp thiết và đƣợc cả nhà cung cấp dịch vụ và khách hàng sử dụng quan tâm. Luận văn này nghiên cứu về bảo mật của mạng riêng ảo VPN/MPLS trên nền mạng NGN, nội dung chia làm 4 chƣơng. Giới thiệu tổng quan về công nghệ mạng riêng ảo; giới thiệu về VPN/MPLS trong mạng NGN Chƣơng 2. Mô tả các khái niệm, phân tích, đánh giá vấn đề bảo mật trong mạng riêng ảo VPN/MPLS.Thực hiện mô phỏng bảo mật trong MPLS VPN và phân tích, đánh giá kết quả Chƣơng 3.
Mô tả, mô phỏng phân tích, đánh gia bảo mật dựa trên công nghệ IP Sec. Tác giả gửi lời cảm ơn sâu sắc tới PGS. Vƣơng Đạo Vy đã hƣớng dẫn và giúp đỡ tôi nghiên cứu khoa học trong suốt quá trình thực hiện luận văn, đồng thời xin gửi lời cảm ơn tới các thầy, cô trong khoa Điện Tử - Viễn Thông Đại học Công Nghệ - Đại học Quốc Gia Hà Nội đã cung cấp cho tôi những kiến thức quý báu trong thời gian học tập, nghiên cứu tại trƣờng. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com --10 CHƢƠNG 1 - CÔNG NGHỆ MẠNG RIÊNG ẢO VÀ CÔNG NGHỆ MPLS VPN TRÊN NỀN MẠNG NGN 1.
Công nghệ mạng riêng ảo 1. Các định nghĩa, khái niệm Định nghĩa mạng: Mạng máy tính là sự kết nối của máy tính với các hệ thống truyền thông nhằm khai thác tài nguyên chung từ những vị trí địa lý khác nhau. Mạng máy tính tạo ra môi trƣờng làm việc với nhiều ngƣời sử dụng phân tán, cho phép nâng cao hiệu quả khai thác tài nguyên chung lên rất nhiều so với khi từng máy hoạt động đơn lẻ. Định nghĩa mạng riêng: Mạng riêng là một mạng được xây dựng để phục vụ nhu cầu thông tin liên lạc của một nhóm người sử dụng nhất định với những yêu cầu nhất định về chất lượng và dịch vụ.
So sánh với mạng công cộng (Public Network), mạng riêng có một số đặc thù riêng cụ thể nhƣ sau: Cấu trúc mạng riêng thƣờng mỏng hơn so với mạng công cộng, bao gồm hai lớp, đó là lớp lõi và lớp truy nhập. Đôi khi có thêm lớp biên. Mạng riêng thƣờng không sử dụng mạng truyền dẫn riêng mà sử dụng các kênh thuê cố định của mạng công cộng để kết nối các nút mạng của mình. Thiết bị sử dụng trên mạng riêng tƣơng đối đồng nhất và do thƣờng chỉ có một nhà khai thác mạng duy nhất nên nó mạnh về tính linh động của mạng, các dịch vụ là đồng nhất, dễ dàng đối với các công việc nâng cấp, mở rộng cũng nhƣ khả năng quản lý tập trung.
Môi trƣờng mạng riêng tƣơng đối trong suốt nếu so sánh với mạng công cộng. Mạng riêng thƣờng đƣợc thiết kế để hỗ trợ các dịch vụ gia tăng chuyên biệt cho nhu cầu của một nhóm sử dụng nhất định, vì thế ngoài mục đích hỗ trợ các dịch vụ cơ bản nó còn đƣợc thiết kế để phục vụ các mục đích về kết nối dữ liệu (WAN, Intranet/Internet Access). Khái niệm mạng riêng ảo: Mạng riêng ảo (VPN – Virtual Private Network): Là mạng riêng được xây dựng trên cơ sở hạ tầng chung, sử dụng tính chất chia sẻ giống như mạng riêng. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com --11 Cơ sở hạ tầng chung ở đây có thể là mạng IP của nhà cung cấp dịch vụ (Service Provider - SP), mạng ATM hoặc Frame Relay.
Có thể nói VPN giống nhƣ WAN nhƣng không dùng kênh thuê riêng để nối các mạng cục bộ. Trong VPN, mạng ở những địa điểm khác nhau đƣợc liên kết với nhau. Ngƣời ta gọi mỗi mạng riêng biệt ấy là điểm (site).Trƣớc đây, các điểm (site) khách hàng đƣợc kết nối với nhau thông qua kênh riêng (leased line) thuê của nhà cung cấp sử dụng công nghệ ATM hoặc Frame ReLay. Hiện nay các nhà cung cấp dịch vụ thƣờng sử dụng cấu trúc mạng IP hoặc IP/MPLS.
Do đó họ cung cấp dịch vụ VPN sử dụng cơ sở hạ tầng IP có sẵn của nhà cung cấp. Chúng ta gọi đó là IP VPN. Các IP VPN có thể tạo ra bằng cách tạo ra đƣờng hầm dữ liệu nhƣ IPsec hoặc L2TP để kết nối các điểm (site) khách hàng. Có nhiều công nghệ mới cho phép nhà cung cấp thiết kế nhiều dịch vụ VPN khác nhau trên nền mạng IP/MPLS của họ.
Sơ đồ mạng riêng ảo Hình 1-1: Cấu trúc mạng riêng ảo Mạng của nhà cung cấp (Provider Network): đó là mạng đƣờng trục (có thể là mạng IP hoặc ATM/Frame Relay .) đặt dƣới sự quản lý và điều hành của một nhà cung cấp dịch vụ nào đó. Điểm khách hàng (customer site): là một tập các mạng (LAN) và là một phần của mạng khách hàng. Các điểm khách hàng này đƣợc kết nối với nhau tạo thành VPN. Một điểm khách hàng đƣợc kết nối với mạng backbone thông qua liên kết CE-PE.
CE (Customer Edge): Là thiết bị của khách hàng trƣớc khi nối với mạng của nhà cung cấp, cho phép mạng của khách hàng liên kết với mạng nhà cung cấp qua một vài router PE. Thiết bị CE có thể là một host hoặc một router. PE (Provider Edge): CE kết nối với mạng của nhà cung cấp thông qua thiết bị biên mạng nhà cung cấp viết tắt là PE. Thiết bị PE thƣờng là các router và nó hỗ trợ, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com --12 duy trì cơ sở dữ liệu định tuyến của mỗi VPN.
Cơ sở dữ liệu định tuyến này bao gồm các thông tin về cấu hình mạng của mỗi VPN P(ProviderRouter):làrouterlõitrong mạng đƣờng trục của nhà cung cấp dịch vụ. Router P không liên hệ trực tiếp với CE, nó lƣu giữ những thông tin về các router P khác trong mạng lõi để chuyển các dữ liệu bao gồm cả dữ liệu VPN. Trao đổi thông tin định tuyến giữa CE-PE: CE-PE sử dụng giao thức định tuyến BGP để trao đổi thông tin định tuyến VPN. CE có thể quảng bá thông tin định tuyến nội trong mạng của nó tới PE kết nối trực tiếp và thông tin định tuyến mà PE đó học đƣợc từ các PE khác trong VPN.
Thông tin định tuyến trên CE và PE có thể đƣợc cấu hình bằng tay trên các router. Kết nối giữa CE và PE có thể đƣợc xây dựng bằng bất kì liên kết dữ liệu nào. Nó có thể là ATM, Frame Relay, Ethernet, PPP, đƣờng hầm GRE v. Trao đổi thông tin định tuyến giữa các PE: PE sử dụng giao thức định tuyến động để trao đổi thông tin định tuyến VPN với nhau.
Điều này đảm bảo mỗi PE sẽ có thông tin định tuyến đúng để chuyển gói dữ liệu đến đúng đích cần thiết trong VPN. Bảng chuyển tiếp VPN (per-VPN forwarding table): trong tất cả các giải pháp VPN lớp 3 dựa trên PE, các router PE cần thiết có chức năng định tuyến gói IP từ điểm này đến điểm khác trong một VPN hoặc từ CE đến PE. Điều này khá phức tạp bởi mỗi VPN là một mạng riêng mà ƣu điểm của nó là các VPN có thể dùng chung một dải địa chỉ, nhƣng khi đi vào trong mạng công cộng của nhà cung cấp thì việc có cùng địa chỉ lại gây khó khăn vì tạo ra lỗi trùng địa chỉ. Các router của nhà cung cấp và router rìa mạng sẽ không biết phải chuyển gói dữ liệu đi đâu hoặc chuyển sai.
Do đó mỗi router PE cần có một bảng chuyển tiếp dữ liệu riêng cho mỗi VPN gọi là bảng chuyển tiếp dữ liệu và định tuyến ảo VRF. Cũng tƣơng tự nhƣ vậy đối với VPN lớp 2 dựa trên PE. Trong trƣờng hợp này dữ liệu đƣợc thiết bị PE chuyển đi dựa trên thông tin lớp 2 chứ không phải địa chỉ IP. Bảng chuyển tiếp dữ liệu lớp 2 cũng đƣợc lƣu trong cơ sở dữ liệu của mỗi VPN.
Đƣờng hầm Đƣờng hầm (tunnel) là đƣờng chuyển dữ liệu từ nút này đến nút khác xuyên qua mạng lõi của nhà cung cấp dịch vụ. Tức là hai nút đƣợc nối trực tiếp với nhau bằng đƣờng hầm. Điều này có thể đạt đƣợc bằng cách đóng gói dữ liệu. Một mào đầu đƣợc thêm vào phần dữ liệu rồi gửi đi từ đầu phát của đƣờng hầm.
Dữ liệu này đƣợc gửi ngay tới các nút kế tiếp trên đƣờng đi dựa trên thông tin trong mào đầu mà không cần mở gói xem nội dung bên trong. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com --13 Hình 1-2 là một ví dụ, dữ liệu gửi đi từ A đến B bằng cách tạo ra đƣờng hầm từ X đến Z. Thực hiện việc này ngƣời ta gán thêm một mào đầu lên gói dữ liệu tại X. Mào đầu này nói rằng chuyển gói tin đến Z.
Các nút mạng tiếp theo nhìn vào mào đầu và biết cần chuyển gói tin đến Z mà không cần bóc gói tin ra xem nội dung bên trong. Đến điểm cuối của đƣờng hầm (điểm Z) mào đầu đó đƣợc gỡ ra và định tuyến bình thƣờng tới B. Nói cách khác mào đầu của đƣờng nhƣ là biển chỉ dẫn, chỉ cần nhìn vào đó các P biết ngay cần chuyển gói tin đi theo hƣớng nào không cần phải mất thời gian kiểm tra địa chỉ đích và nguồn.