Đồ án tích hợp MPLS Layer 3 VPN với AWS trong mạng doanh nghiệp - PTIT

Hướng dẫn tích hợp kênh truyền MPLS Layer 3 VPN với Amazon Web Services giúp tối ưu hiệu năng và nâng cao bảo mật mạng doanh nghiệp.

• Tác giả: Võ Anh Duy
• Người hướng dẫn: ThS. Trần Đình Thuần
• Trường học: Học viện Công nghệ Bưu chính Viễn thông Cơ sở tại Thành phố Hồ Chí Minh
• Chuyên ngành: Điện tử - Truyền thông
• Đề tài: Tích hợp kênh truyền MPLS Layer 3 VPN với Amazon Web Services trong mạng doanh nghiệp
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hồ Chí Minh

Tóm tắt

I. Tổng quan tích hợp kênh truyền MPLS Layer 3 VPN với AWS

MPLS Layer 3 VPN là công nghệ mạng riêng ảo chuyển mạch nhãn đa giao thức phổ biến. Công nghệ này hoạt động tại tầng mạng của mô hình OSI. Các nhà cung cấp dịch vụ viễn thông sử dụng MPLS L3VPN để phân tách lưu lượng của các doanh nghiệp độc lập. Khi doanh nghiệp chuyển đổi số, hạ tầng lai Hybrid Cloud trở thành xu hướng tất yếu. Nhu cầu kết nối mạng nội bộ on-premises với nền tảng điện toán đám mây Amazon Web Services tăng cao. Việc tích hợp kênh truyền MPLS Layer 3 VPN với Amazon Web Services mang lại đường truyền chuyên dụng, ổn định và an toàn. Kiến trúc này kết hợp sức mạnh định tuyến linh hoạt của BGP đa giao thức và hạ tầng điện toán co giãn của AWS VPC. Doanh nghiệp duy trì toàn quyền kiểm soát địa chỉ IP nội bộ. Độ trễ mạng được giảm thiểu rõ rệt so với kết nối Internet thông thường. Băng thông được cam kết qua các thỏa thuận mức dịch vụ SLA khắt khe. Mô hình đáp ứng hoàn hảo các yêu cầu truyền tải dữ liệu dung lượng lớn và hệ thống core thời gian thực.

1.1. Bản chất kỹ thuật của mạng MPLS Layer 3 VPN

Mạng MPLS Layer 3 VPN sử dụng cơ chế định tuyến ảo hóa VRF trên các router biên PE. Mỗi khách hàng sở hữu một bảng định tuyến riêng biệt, chống trùng lặp dải IP. Giao thức MP-BGP đóng vai trò phân phối thông tin định tuyến VPNv4 giữa các điểm đầu cuối. Kỹ thuật chuyển mạch nhãn hai lớp gồm nhãn IGP bên ngoài và nhãn VPN bên trong tối ưu hóa tốc độ chuyển tiếp gói tin. Router lõi P chỉ thực hiện chuyển mạch nhãn đơn giản mà không cần lưu giữ thông tin định tuyến khách hàng. Cấu trúc này đảm bảo tính bảo mật tương đương kênh thuê riêng truyền thống. Doanh nghiệp có thể mở rộng quy mô chi nhánh dễ dàng và linh hoạt.

1.2. Nền tảng mạng AWS và mô hình đám mây lai

Amazon Web Services cung cấp dịch vụ mạng ảo VPC tạo môi trường cô lập cho các tài nguyên đám mây. Doanh nghiệp cấu hình dải mạng CIDR, chia subnet public và subnet private theo nhu cầu. Cổng kết nối Direct Connect Gateway và Virtual Private Gateway cho phép liên kết trực tiếp với mạng doanh nghiệp. Việc thiết lập đám mây lai giúp doanh nghiệp tận dụng hạ tầng hiện hữu và tài nguyên điện toán vô hạn từ AWS. Dữ liệu nhạy cảm được xử lý an toàn qua các tuyến truyền tin bảo mật. Hệ thống tự động cân bằng tải và mở rộng linh hoạt theo lưu lượng thực tế.

II. Thách thức khi tích hợp MPLS Layer 3 VPN với AWS doanh nghiệp

Quá trình kết nối trung tâm dữ liệu MPLS Layer 3 VPN truyền thống với Amazon Web Services đối mặt nhiều rào cản kỹ thuật. Hạ tầng on-premises và môi trường đám mây sử dụng các mô hình định tuyến và cơ chế kiểm soát khác nhau. Sự không đồng nhất về quản lý chính sách bảo mật tạo ra nhiều lỗ hổng tiềm ẩn. Chi phí triển khai kênh thuê riêng chuyên dụng AWS Direct Connect khá tốn kém và phụ thuộc đối tác viễn thông vi mô. Nếu lựa chọn đường truyền IPsec VPN qua Internet công cộng, băng thông thường không ổn định và biến thiên độ trễ cao. Ngoài ra, việc duy trì cấu hình định tuyến động BGP giữa mạng MPLS nhà mạng và các dịch vụ cổng ảo AWS đòi hỏi quy trình chuẩn hóa nghiêm ngặt. Xung đột không gian địa chỉ IPv4 riêng giữa các chi nhánh và VPC thường xuyên xảy ra. Khả năng giám sát lưu lượng tập trung qua biên mạng lai gặp nhiều khó khăn. Doanh nghiệp cần giải pháp thiết kế toàn diện để khắc phục triệt để các tồn tại này.

2.1. Rào cản định tuyến động và tương thích giao thức

Mạng MPLS doanh nghiệp phụ thuộc vào giao thức định tuyến BGP và OSPF với cấu trúc phân cấp phức tạp. Khi tích hợp với AWS, việc phân phối thuộc tính nhãn BGP_LU và VPNv4 qua các ranh giới IGP đòi hỏi cơ chế chuyển tiếp nhãn chính xác. Nếu cấu hình AS-Path hoặc Route Distinguisher không chuẩn xác, hiện tượng routing loop hoặc rò rỉ tuyến đường sẽ xuất hiện. Sự giới hạn về số lượng route quảng bá tối đa trên AWS Virtual Private Gateway cũng gây gián đoạn hoạt động định tuyến. Đội ngũ kỹ sư mạng cần tính toán quy hoạch tuyến đường và lọc route chi tiết nhằm duy trì liên lạc thông suốt.

2.2. Vấn đề bảo mật và kiểm soát phân vùng dữ liệu

Bảo vệ dữ liệu truyền tải trên biên mạng lai là thách thức cấp bách. Mặc dù MPLS phân tách lưu lượng ở tầng 3, dữ liệu truyền đi không được mã hóa mặc định. Khi lưu lượng đi qua các điểm kết nối Direct Connect hoặc Internet Gateway, nguy cơ nghe lén vẫn tồn tại. Việc đồng bộ hóa các quy tắc tường lửa giữa Security Group trên AWS và Access Control List tại thiết bị biên on-premises rất phức tạp. Bất kỳ sai sót nào trong cấu hình Network ACL cũng dẫn đến nguy cơ lộ lọt dữ liệu nội bộ nghiêm trọng.

III. Phương pháp tích hợp kênh truyền MPLS Layer 3 VPN với AWS

Giải pháp tích hợp kênh truyền MPLS Layer 3 VPN với Amazon Web Services kết hợp triển khai AWS Direct Connect và IPsec VPN dự phòng. Kiến trúc thiết lập phiên BGP đa giao thức giữa Router PE hoặc CE của nhà mạng với AWS Direct Connect Gateway. Tại trung tâm dữ liệu, thiết bị định tuyến phân định bảng VRF tương ứng với từng VPC trên AWS. BGP_LU và OSPF được tinh chỉnh để chuyển tiếp nhãn MPLS qua ranh giới mạng nội bộ. Trên hạ tầng AWS, mô hình đa VPC được cấu hình với các subnet public và private rõ ràng, kết nối qua AWS Transit Gateway. Tuyến dự phòng IPsec VPN hoạt động song song với BGP path prepending đảm bảo tính sẵn sàng cao cấp độ viễn thông. Khi đường truyền chính gặp sự cố vật lý, lưu lượng tự động chuyển đổi trong vài mili-giây. Toàn bộ thông lượng mạng được giám sát tập trung thông qua CloudWatch và các công cụ quản trị mạng chuyên dụng.

3.1. Thiết lập hạ tầng AWS VPC và cấu hình kết nối mạng

Kỹ sư mạng khởi tạo các VPC với dải địa chỉ CIDR không trùng lặp với mạng on-premises. Phân chia subnet gồm public subnet cho cổng truy cập và private subnet cho máy chủ ứng dụng EC2. Triển khai Virtual Private Gateway hoặc Transit Gateway làm điểm tập trung định tuyến. Cấu hình bảng định tuyến Route Table để trỏ lưu lượng nội bộ về cổng kết nối chuyên dụng. Thiết lập các Security Group và Network ACL nhằm thắt chặt quyền truy cập theo từng cổng dịch vụ. Mọi tài nguyên đám mây được cách ly an toàn và sẵn sàng kết nối trực tiếp với mạng MPLS.

3.2. Cấu hình chuyển mạch nhãn MPLS và định tuyến BGP

Thiết bị biên CE thiết lập phiên eBGP trực tiếp với AWS Gateway để trao đổi thông tin định tuyến IPv4. Router PE gán nhãn MPLS cho gói tin nội bộ và duy trì bảng VRF độc lập. Kỹ thuật SWAP nhãn LDP và BGP_LU được thực thi chuẩn xác qua từng trạm chuyển tiếp LSR. Các thuộc tính BGP như Local Preference và MED được áp dụng nhằm điều phối lưu lượng tối ưu. Giải pháp đảm bảo đường truyền có băng thông chuyên dụng, độ trễ thấp và độ tin cậy đạt chuẩn doanh nghiệp.

IV. Ứng dụng và tương lai tích hợp MPLS Layer 3 VPN cùng AWS

Tích hợp kênh truyền MPLS Layer 3 VPN với Amazon Web Services là bước tiến quan trọng trong hiện đại hóa hạ tầng mạng doanh nghiệp. Mô hình giải quyết bài toán mở rộng tài nguyên điện toán linh hoạt mà vẫn bảo toàn độ tin cậy truyền thống. Các tổ chức tài chính, ngân hàng và tập đoàn đa chi nhánh ứng dụng thành công kiến trúc này để vận hành hệ thống core-banking và ERP trên nền tảng lai. Dữ liệu giao dịch được truyền tải tức thời với cam kết chất lượng dịch vụ QoS cao nhất. Trong tương lai, việc kết hợp công nghệ SD-WAN và mạng đám mây định nghĩa bằng phần mềm Cloud WAN sẽ tiếp tục tối ưu hóa chi phí vận hành. Quá trình tự động hóa cấu hình định tuyến thông qua hạ tầng dưới dạng mã IaC giúp triển khai nhanh chóng. Đây là nền tảng mạng vững chắc thúc đẩy doanh nghiệp phát triển bền vững trong kỷ nguyên số.

4.1. Giá trị thực tiễn đối với hệ thống mạng doanh nghiệp

Giải pháp đem lại hiệu quả vượt trội trong việc tối ưu hóa chi phí đường truyền và nâng cao năng suất vận hành. Doanh nghiệp dễ dàng liên kết hàng trăm chi nhánh từ xa về cụm máy chủ AWS tập trung mà không cần đầu tư máy chủ vật lý tốn kém. Hệ thống đảm bảo tính liên tục trong kinh doanh nhờ khả năng phục hồi thảm họa tức thì giữa DC nội bộ và AWS Region. Trải nghiệm người dùng đối với các phần mềm nội bộ đạt mức mượt mà và ổn định cao.

4.2. Xu hướng phát triển công nghệ mạng đám mây lai

Xu hướng tích hợp mạng trong tương lai tập trung vào mô hình điều khiển tập trung bằng phần mềm SD-WAN qua liên kết MPLS và AWS. Trí tuệ nhân tạo và máy học sẽ hỗ trợ dự đoán tắc nghẽn và tự động điều hướng lưu lượng thông minh. Mạng đám mây thế hệ mới hướng tới bảo mật Zero Trust trên từng kết nối riêng biệt. Doanh nghiệp sẽ làm chủ hạ tầng kết nối lai linh hoạt, an toàn và tối ưu tài nguyên tối đa.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong xu thế của cuộc Cách mạng công nghiệp lần thứ tư (Cách mạng công nghiệp 4.0), sự hội tụ của Internet vạn vật (IoT), tự động hóa, trí tuệ nhân tạo (AI), dữ liệu lớn (Big Data) và phân tích dữ liệu (Analytics) đang thúc đẩy mạnh mẽ quá trình chuyển đổi số trong mọi lĩnh vực. Theo kết quả nghiên cứu của tổ chức Harvard Business Review (HBR) Analytic Services được tác giả trích dẫn, có tới 74% doanh nghiệp tin rằng điện toán đám mây mang lại nhiều lợi thế cạnh tranh cốt lõi; quy mô thị trường điện toán đám mây toàn cầu được dự báo tăng trưởng nhanh chóng từ 272 tỉ USD vào năm 2018 lên 623 tỉ USD vào năm 2023. Đồng thời, 60% lãnh đạo doanh nghiệp nhận định việc tích hợp đám mây là tiền đề quyết định để khai mở tiềm năng cho các công nghệ mang tính đột phá. Đại diện Newgen Software, ông Diwakar Nigam, cũng nhấn mạnh tầm quan trọng của việc ứng dụng các mô hình vận hành linh hoạt, nhanh nhạy, dễ mở rộng nhằm tối ưu hóa chi phí phân phối và triển khai hạ tầng.

Trên thực tế, phần lớn các doanh nghiệp có quy mô vừa và lớn hiện nay đều đang sử dụng dịch vụ Chuyển mạch nhãn đa giao thức (MPLS Layer 3 VPN) cho hệ thống mạng diện rộng (WAN) kết nối giữa trụ sở chính, các chi nhánh, nhà xưởng và trung tâm dữ liệu nội bộ (On-Premises Data Center). Khi nhu cầu dịch chuyển khối lượng công việc lên nền tảng đám mây công cộng (cụ thể là Amazon Web Services - AWS) gia tăng, các tổ chức đối mặt với bài toán kỹ thuật phức tạp: làm thế nào để tích hợp AWS vào kiến trúc mạng MPLS hiện hữu một cách an toàn, linh hoạt, có khả năng mở rộng cao và tiết kiệm chi phí mà không phải tái cấu trúc toàn bộ mô hình mạng WAN đang vận hành ổn định.

Mục tiêu và nhiệm vụ nghiên cứu của đồ án được xác định cụ thể như sau:

1. Nghiên cứu cơ sở lý luận và hoạt động chuyên sâu của kênh truyền mạng riêng ảo Chuyển mạch nhãn đa giao thức lớp 3 (MPLS Layer 3 VPN).
2. Tìm hiểu và phân tích tổng quan kiến trúc, các dịch vụ mạng nòng cốt của nền tảng đám mây Amazon Web Services (AWS Networking Services).
3. Đề xuất các giải pháp kỹ thuật tích hợp hạ tầng MPLS L3VPN của doanh nghiệp với môi trường đám mây AWS.
4. Xây dựng mô hình mô phỏng kênh truyền MPLS L3VPN phân tách lưu lượng đa khách hàng trên mạng nhà cung cấp dịch vụ, đồng thời triển khai mô phỏng hạ tầng kết nối lai (Hybrid Cloud) giữa mạng On-Premises và AWS thông qua công nghệ AWS VPN.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Kỹ thuật chuyển mạch nhãn MPLS Layer 3 VPN, kiến trúc định tuyến nâng cao (MP-BGP, VRF, LDP) và các dịch vụ mạng đám mây của AWS bao gồm Amazon VPC, AWS Site-to-Site VPN, AWS Client VPN và AWS Direct Connect.
• Phạm vi nghiên cứu: Về không gian, đề tài thực nghiệm mô phỏng hệ thống mạng lõi của nhà cung cấp dịch vụ (ISP) phục vụ hai khách hàng độc lập, kết hợp triển khai hạ tầng VPC và mạng riêng ảo kết nối đa điểm trên nền tảng AWS toàn cầu. Về thời gian, các tài liệu kỹ thuật, số liệu thị trường và chuẩn công nghệ được tác giả tổng hợp, khảo sát đến thời điểm tháng 12 năm 2022.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng khung lý thuyết dựa trên các chuẩn giao thức mạng viễn thông của IETF và tài liệu kỹ thuật chuyên sâu của AWS:

• Khung lý thuyết mạng riêng ảo MPLS L3VPN: Dựa trên mô hình mạng ngang cấp (Peer-to-peer model). Cơ chế phân tách lưu lượng và quản lý không gian địa chỉ trùng lặp (overlapping address spaces) được thực hiện thông qua bảng định tuyến và chuyển tiếp ảo (Virtual Routing and Forwarding - VRF). Định danh phân biệt tuyến (Route Distinguisher - RD) có độ dài 64-bit kết hợp với địa chỉ IPv4 32-bit để tạo thành tiền tố địa chỉ VPNv4 96-bit duy nhất chuyển vận trong mạng lõi. Thuộc tính BGP mở rộng Route Target (RT) độ dài 64-bit kiểm soát việc nhập (Import RT) và xuất (Export RT) các tuyến nhằm thiết lập mạng nội bộ (Intranet VPN) hoặc mạng mở rộng giữa các đối tác (Extranet VPN). Hệ thống sử dụng giao thức Multiprotocol BGP (MP-BGP) để trao đổi tuyến VPNv4, giao thức phân phối nhãn LDP (Label Distribution Protocol), chuẩn BGP-LU (BGP Labeled Unicast theo RFC 3107) và nhãn Explicit-null để duy trì giá trị trường EXP phục vụ chất lượng dịch vụ (QoS).
• Khung lý thuyết dịch vụ mạng AWS: Hệ thống phân vùng địa lý gồm các Region và Vùng khả dụng (Availability Zones - AZ); mạng ảo Amazon Virtual Private Cloud (VPC); các phân đoạn mạng con (Public Subnet, Private Subnet, VPN-Only Subnet); cổng kết nối Internet Gateway (IGW); thiết bị biên dịch địa chỉ mạng NAT Gateway; bảng định tuyến Route Table; nhóm bảo mật Security Group; máy chủ ảo Amazon EC2; cổng riêng ảo Virtual Private Gateway (VGW); cổng khách hàng Customer Gateway (CGW); giải pháp kết nối chuyên dụng AWS Direct Connect và hệ thống giám sát Amazon CloudWatch.

Phương pháp nghiên cứu được triển khai kết hợp:

• Phương pháp phân tích - tổng hợp lý thuyết: Nghiên cứu cấu trúc ngăn xếp giao thức, cơ chế đóng gói nhãn, cơ chế định tuyến qua các tài liệu chuẩn quốc tế và ấn phẩm kỹ thuật chính thống.
• Phương pháp thực nghiệm mô phỏng (Simulation): Thiết lập sơ đồ mạng ISP với 3 bộ định tuyến mạng lõi và 4 bộ định tuyến biên khách hàng; sử dụng công nghệ chuyển mạch nhãn trên nền tảng Cisco IOS hỗ trợ Cisco Express Forwarding (CEF); triển khai cấu hình hạ tầng mạng thực tế trên đám mây AWS với 2 VPC, 5 Subnet, 2 Internet Gateway, 1 NAT Gateway, 3 máy chủ EC2 Amazon Linux 2, thiết lập kết nối đường hầm bảo mật IPSec và xác thực bằng chứng chỉ số cho máy khách OpenVPN.

Nguồn dữ liệu sử dụng:

• Dữ liệu khảo sát từ các báo cáo thị trường của HBR Analytic Services.
• Tài liệu kỹ thuật từ chuẩn RFC 3107 (IETF) và thư viện tài liệu chính thức của Amazon Web Services (AWS Documentation).
• Dữ liệu tham số cấu hình, bảng chuyển tiếp CEF, bảng nhãn LFIB, thông số định tuyến MP-BGP và nhật ký giám sát hiệu năng trích xuất trực tiếp từ môi trường lab và dịch vụ AWS CloudWatch.

Thiết kế và triển khai

Hệ thống kỹ thuật trong đồ án được thiết kế thành hai phân hệ liên kết chặt chẽ: phân hệ mạng diện rộng MPLS L3VPN và phân hệ kết nối đám mây AWS.

Phân hệ / Thành phần	Chi tiết thiết kế và công nghệ triển khai	Vai trò và thông số kỹ thuật
Mạng lõi ISP	03 Router: 02 Router PE (R2, R4) và 01 Router P (R3)	Kích hoạt CEF, chạy IGP OSPFv2, phân phối nhãn qua LDP; chạy MP-iBGP trao đổi VPNv4 giữa R2 và R4.
Mạng khách hàng	04 Router CE: Khách hàng A (R1A, R5A), Khách hàng B (R1B, R5B)	Khách hàng A sử dụng Static Route kết nối PE; Khách hàng B sử dụng định tuyến động RIPv2 kết nối PE.
Hạ tầng đám mây AWS	02 VPC: VPC ASG (chứa tải ứng dụng) và VPC ASG VPN (trung gian kết nối)	Quản lý không gian địa chỉ mạng ảo độc lập; triển khai 05 Subnet phân chia Public/Private.
Cổng kết nối AWS	02 Internet Gateway (IGW) và 01 NAT Gateway	IGW định tuyến lưu lượng Internet công cộng; NAT Gateway cấp quyền truy cập Internet một chiều cho Private Subnet.
Điểm cuối máy chủ	03 máy chủ EC2 Amazon Linux 2	EC2 Public (kiểm tra truy cập ngoài), EC2 Private (máy chủ ứng dụng nội bộ), EC2 Customer Gateway (đầu cuối VPN).
Kết nối mạng riêng ảo	AWS Site-to-Site VPN và AWS Client VPN	Site-to-Site VPN thiết lập 02 đường hầm IPSec; Client VPN cấp phát dải IP 30.x cho máy khách sử dụng OpenVPN.

Quy trình triển khai kỹ thuật được thực hiện tuần tự:

1. Cấu hình mạng chuyển mạch nhãn frame-mode trong mạng lõi ISP: Bật tính năng chuyển mạch nhanh toàn cục ip cef, thiết lập định tuyến nội vùng OSPF giữa các cổng vật lý của R2, R3, R4, chỉ định địa chỉ giao diện Loopback làm LDP Router ID và kích hoạt chuyển tiếp nhãn trên các giao diện bằng lệnh mpls ip.
2. Cấu hình MPLS L3VPN trên các bộ định tuyến biên PE: Khởi tạo các thể hiện bảng định tuyến VRF (ip vrf CustomerA, ip vrf CustomerB), thiết lập chỉ số phân biệt tuyến RD duy nhất cho từng VRF, gán giá trị RT Import/Export để lọc cộng đồng định tuyến BGP; liên kết các giao diện vật lý Serial nối tới CE vào từng VRF cụ thể; cấu hình tiến trình BGP mang số hiệu AS quy định, kích hoạt phiên MP-iBGP trao đổi họ địa chỉ address-family vpnv4, thiết lập thuộc tính send-community extended và thực hiện tái phân phối (redistribute) định tuyến tĩnh/RIPv2 từ các VRF vào MP-BGP.
3. Thiết lập hạ tầng VPC và tài nguyên điện toán trên AWS: Khởi tạo 2 VPC, tạo 5 Subnet tại các Vùng khả dụng, đính kèm 2 Internet Gateway và triển khai 1 NAT Gateway sử dụng địa chỉ Elastic IP tĩnh; tạo các bảng định tuyến Route Table trỏ luồng dữ liệu thích hợp; thiết lập các nhóm bảo mật Security Group cho phép lưu lượng SSH, ICMP và cổng kết nối chuyên dụng; khởi chạy 3 phiên bản EC2 chạy hệ điều hành Amazon Linux 2.
4. Triển khai tích hợp VPN: Tạo Virtual Private Gateway (VGW) đính kèm vào VPC đích; khởi tạo Customer Gateway (CGW) cấu hình địa chỉ IP tương ứng với máy chủ On-Premises/EC2 đóng vai trò gateway; kích hoạt kết nối AWS Site-to-Site VPN với 2 tunnel IPSec độc lập; tạo Client VPN Endpoint, liên kết mạng mục tiêu (Target network association) vào Private Subnet 2, phân quyền thông qua Authorization Rules và nhập cấu hình kèm cặp khóa Client Certificate/Key vào phần mềm OpenVPN trên máy khách.

RouterPE(config)# ip cef
RouterPE(config)# mpls ip
RouterPE(config)# ip vrf CustomerA
RouterPE(config-vrf)# rd 1:100
RouterPE(config-vrf)# route-target both 100:1
RouterPE(config)# interface Serial2/1
RouterPE(config-if)# ip vrf forwarding CustomerA
RouterPE(config-if)# ip address 192.168.1.2 255.255.255.0
RouterPE(config)# router bgp 234
RouterPE(config-router)# neighbor 10.0.0.4 remote-as 234
RouterPE(config-router)# neighbor 10.0.0.4 update-source loopback0
RouterPE(config-router)# address-family vpnv4
RouterPE(config-router-af)# neighbor 10.0.0.4 activate
RouterPE(config-router-af)# neighbor 10.0.0.4 send-community extended
RouterPE(config-router)# address-family ipv4 vrf CustomerA
RouterPE(config-router-af)# redistribute static

Nội dung chính theo từng chương

Chương I: Giới thiệu chung về kênh truyền MPLS Layer 3 VPN

Chương I phân tích nền tảng lý thuyết của kỹ thuật chuyển mạch nhãn MPLS và mô hình mạng riêng ảo VPN. Tác giả chỉ ra hạn chế của mạng IP truyền thống khi mỗi bộ định tuyến phải thực hiện tra cứu độc lập bảng định tuyến để tìm bước nhảy kế tiếp (next-hop), trong khi MPLS thiết lập trước đường dẫn chuyển mạch nhãn (LSP) và điều hướng lưu lượng dựa vào việc gắn, hoán đổi và gỡ bỏ nhãn.

So sánh giữa hai mô hình VPN:

• Mô hình Overlay (như Frame Relay, ATM): Nhà cung cấp dịch vụ chỉ truyền tải dữ liệu qua các liên kết ảo lớp 2 điểm-điểm, không tham gia vào quá trình định tuyến của khách hàng; khi số lượng điểm kết nối tăng theo dạng lưới đầy đủ (full-mesh), chi phí sẽ gia tăng theo cấp số nhân.
• Mô hình Peer-to-peer: Nhà cung cấp tham gia trực tiếp vào việc trao đổi thông tin định tuyến với khách hàng, cho phép tối ưu hóa đường truyền qua mạng trục chia sẻ.

MPLS L3VPN là hiện thân hoàn chỉnh của mô hình mạng ngang cấp. Các thực thể chính trong mạng bao gồm: bộ định tuyến biên khách hàng (CE), bộ định tuyến biên nhà cung cấp (PE) và bộ định tuyến lõi nhà cung cấp (P). Router P chỉ thực hiện chuyển mạch nhãn trong mạng trục mà hoàn toàn không mang thông tin định tuyến của khách hàng, đảm bảo cấu trúc mạng ISP trong suốt đối với người dùng cuối.

Để duy trì các không gian địa chỉ IP độc lập và cho phép trùng lặp dải mạng giữa các khách hàng khác nhau, router PE áp dụng công nghệ bảng định tuyến ảo VRF. Giá trị RD (64-bit, định dạng ASN:nn hoặc IP-address:nn) được ghép nối với tiền tố IPv4 để tạo thành địa chỉ VPNv4 96-bit duy nhất mang qua phiên MP-iBGP. Thuộc tính Route Target (RT) thuộc nhóm BGP Extended Community chịu trách nhiệm nhập và xuất các tuyến VPNv4 vào đúng bảng VRF của từng khách hàng.

Ngăn xếp nhãn (Label Stack) trong kênh truyền MPLS L3VPN được phân tầng chặt chẽ:

1. Nhãn LDP: Nhãn ngoài cùng (top label), được hoán đổi liên tục tại các bộ định tuyến chuyển mạch nhãn trung gian (Transit LSR) để dẫn đường qua mạng lõi. Nhãn Explicit-null (giá trị 0) được áp dụng khi gói tin đi đến ranh giới kết thúc của một vùng IGP OSPF nhằm giữ nguyên trường EXP phục vụ chính sách chất lượng dịch vụ (QoS).
2. Nhãn BGP-LU (RFC 3107): Được gắn thêm vào ngăn xếp nhãn nhằm vận chuyển lưu lượng MPLS vượt qua ranh giới giữa các vùng IGP khác nhau bằng cách quảng bá nhãn cho địa chỉ Loopback.
3. Nhãn VPNv4: Nhãn bên trong (bottom label), do MP-BGP chỉ định tại ingress PE nhằm phân biệt bảng VRF của khách hàng tại egress PE. Nhãn này được giữ nguyên vẹn trong suốt hành trình qua mạng trục ISP và chỉ được gỡ bỏ tại PE đích trước khi chuyển tiếp gói tin IPv4 nguyên bản sang router CE.

Văn bản mô tả tường tận chuỗi xử lý nhãn qua 8 chặng trung gian từ Site 1 đến Site 2 (SP1 -> S1 -> H1 -> T1 -> CRS1 -> T2 -> H2 -> S2 -> SP2), minh chứng cho sự phối hợp nhịp nhàng giữa mặt phẳng điều khiển (Control Plane - quản lý định tuyến, NLRI, LDP, MP-BGP) và mặt phẳng dữ liệu (Data Plane - thực hiện PUSH, SWAP, POP nhãn trong bảng LFIB và bảng CEF).

Chương II: Tổng quan về AWS Networking Services

Chương II tổng thuật các thành phần mạng hạ tầng trọng yếu của nhà cung cấp dịch vụ đám mây Amazon Web Services:

• Quy mô hạ tầng toàn cầu: Hệ thống AWS được xây dựng dựa trên các Region và Availability Zones (AZ). Tại thời điểm ghi nhận, AWS đã vận hành 87 AZ phân bổ trên 27 Region toàn cầu, đồng thời công bố kế hoạch mở rộng thêm 21 AZ và 7 Region mới tại Úc, Canada, Ấn Độ, Israel, New Zealand, Tây Ban Nha và Thụy Sĩ. Mỗi AZ là một cụm trung tâm dữ liệu độc lập về nguồn điện, làm mát, kết nối dự phòng băng thông cao với độ trễ cực thấp và cách ly vật lý dưới 100 km (60 dặm).
• Amazon VPC và các cấu phần liên kết: Cho phép doanh nghiệp khởi tạo không gian mạng ảo cô lập. Các phân đoạn Subnet được phân loại: Public Subnet (định tuyến ra ngoài qua Internet Gateway - IGW), Private Subnet (không có tuyến trực tiếp ra Internet, phải thông qua NAT Gateway), và VPN-Only Subnet (chỉ trao đổi dữ liệu với mạng On-Premises thông qua Virtual Private Gateway). Tác giả so sánh NAT Gateway với giải pháp NAT Instance truyền thống, khẳng định NAT Gateway vượt trội về tính sẵn sàng cao, băng thông tự co giãn và giảm thiểu tải quản trị hệ thống. Nền tảng tính toán Amazon EC2 cung cấp hơn 500 cấu hình máy chủ, hỗ trợ đa kiến trúc vi xử lý (Intel, AMD, Arm) và băng thông mạng Ethernet lên tới 400 Gbps.
• Dịch vụ AWS Site-to-Site VPN: Thiết lập đường truyền bảo mật sử dụng giao thức IP Security (IPSec) giữa mạng On-Premises và VPC. Một kết nối VPN tiêu chuẩn luôn tự động khởi tạo 2 đường hầm IPSec (tunnels) độc lập đặt tại các AZ khác nhau để đảm bảo khả năng dự phòng lỗi ở mức cao nhất. Các cấu phần chính gồm Customer Gateway (thiết bị phía khách hàng) và Virtual Private Gateway hoặc Transit Gateway (phía AWS).
• Dịch vụ AWS Direct Connect: Giải pháp kết nối vật lý bằng cáp quang chuyên dụng Ethernet chuẩn kết nối trực tiếp từ trung tâm dữ liệu khách hàng đến các điểm tiếp cận mạng của AWS (Point of Presence - PoP). Hệ thống AWS sở hữu hơn 230 PoP (gồm 218 Edge Locations và 13 Regional Edge Caches). Tại Việt Nam, do chưa có PoP nội địa, các doanh nghiệp phải kết nối qua các PoP khu vực đặt tại Singapore hoặc Hồng Kông thông qua các nhà mạng đối tác (Viettel, CMC, FPT), dẫn đến nguy cơ độ trễ cao và ảnh hưởng băng thông quốc tế khi xảy ra sự cố cáp biển. Direct Connect phân chia kết nối vật lý thành Dedicated Connection và Hosted Connection, hỗ trợ 3 loại giao diện ảo (Private VIF, Public VIF, Transit VIF) với tốc độ 1 Gbps đến 10 Gbps. Mô hình thanh toán dựa trên thời gian duy trì cổng kết nối (Port Hours) và dung lượng dữ liệu truyền ra ngoài (Outbound Data Transfer - DTO).

Chương III: Tích hợp MPLS Layer 3 VPN với Amazon Web Services trong mạng doanh nghiệp

Chương III phân tích các phương án kiến trúc nhằm tích hợp mạng diện rộng MPLS L3VPN hiện có của doanh nghiệp với môi trường đám mây AWS:

1. Phương án tích hợp sử dụng AWS Direct Connect:

• Kiến trúc triển khai: Doanh nghiệp thiết lập đường truyền chuyên dụng từ router đặt tại trụ sở/trung tâm dữ liệu đến một địa điểm AWS Direct Connect Location. Tại đây, thiết bị khách hàng kết nối vật lý chuẩn 802.1Q với thiết bị Direct Connect Endpoint của AWS. Doanh nghiệp tạo Private Virtual Interface (Private VIF) để truy cập thẳng vào VPC hoặc tạo Public Virtual Interface (Public VIF) để truy xuất các dịch vụ công cộng như Amazon S3 mà không cần đi qua mạng Internet.
• Ưu thế kỹ thuật: Cắt giảm chi phí truyền dữ liệu ra ngoài so với Internet công cộng; cung cấp băng thông lớn ổn định (1 Gbps - 10 Gbps); độ trễ mạng nhất quán, triệt tiêu hiện tượng biến động trễ (jitter), tối ưu hóa tuyệt đối cho các ứng dụng thời gian thực như truyền hình hội nghị, thoại IP (VoIP) và khối lượng công việc mô hình Hybrid Cloud.

2. Phương án tích hợp sử dụng AWS Site-to-Site VPN:

• Kiến trúc triển khai: Tận dụng tường lửa (Datacenter Firewall) hoặc bộ định tuyến biên sẵn có tại trung tâm dữ liệu nội bộ để thiết lập các phiên mã hóa IPSec qua mạng Internet công cộng đến Virtual Private Gateway của Amazon VPC.
• Ưu thế kỹ thuật: Chi phí triển khai thấp do không phải trả phí thuê đường truyền vật lý riêng biệt; tốc độ triển khai nhanh; đảm bảo tính dự phòng cao nhờ cơ chế tự động chuyển đổi giữa 2 tunnel IPSec trên các AZ khác nhau. Tác giả đề xuất giải pháp này phù hợp cho giai đoạn di chuyển ứng dụng (Application Migration), làm kênh kết nối chính cho doanh nghiệp vừa và nhỏ, hoặc đóng vai trò kênh truyền dự phòng (backup) song song cho đường truyền AWS Direct Connect chính.

3. Phương án tích hợp sử dụng AWS Client VPN:

• Kiến trúc triển khai: Giải pháp truy cập từ xa (Remote Access VPN) được quản lý toàn diện bởi AWS. Quản trị viên thiết lập Client VPN Endpoint, liên kết mạng mục tiêu tới Private Subnet trong VPC, cấu hình các quy tắc ủy quyền (Authorization Rules) và xuất tệp cấu hình chứa thông tin tên miền DNS. Người dùng cuối sử dụng phần mềm máy khách tương thích chuẩn OpenVPN trên máy tính hoặc thiết bị di động, cài đặt chứng chỉ bảo mật và khóa mã hóa để truy cập an toàn vào cả tài nguyên đám mây AWS lẫn tài nguyên mạng nội bộ On-Premises.

Chương IV: Mô phỏng

Chương IV trình bày chi tiết hai bài thực nghiệm kỹ thuật:

1. Mô phỏng kênh truyền MPLS Layer 3 VPN trên hệ thống Router

Mô hình thực nghiệm gồm 7 router: mạng lõi ISP do R2, R4 (đóng vai trò PE Router) và R3 (đóng vai trò P Router) đảm nhiệm; mạng khách hàng gồm Khách hàng A (R1A, R5A) và Khách hàng B (R1B, R5B) đóng vai trò CE Router.

• Mạng lõi ISP: Chạy giao thức định tuyến OSPFv2, kích hoạt chuyển mạch nhãn LDP và phân giải địa chỉ CEF. Phiên MP-iBGP được thiết lập trực tiếp giữa R2 và R4 để trao đổi tiền tố VPNv4.
• Mạng khách hàng: Cấu hình định tuyến giữa CE và PE bằng Static Route cho Khách hàng A và giao thức định tuyến động RIPv2 cho Khách hàng B.
• Cấu hình phân tách VRF: Trên R2 và R4, tác giả khởi tạo hai VRF độc lập CustomerA và CustomerB. Mỗi VRF được cấp phát chỉ số RD riêng biệt và thiết lập quy tắc lọc RT Import/Export. Các giao diện Serial kết nối trực tiếp với CE được đưa vào bảng VRF tương ứng.
• Kiểm thử và kết quả:
  • Kiểm tra trạng thái MP-iBGP qua lệnh show ip bgp summary và trạng thái phiên LDP qua show mpls ldp neighbor, xác nhận các phiên hoạt động bình thường.
  • Kiểm tra bảng định tuyến VRF bằng lệnh show ip route vrf CustomerA và show ip route vrf CustomerB, xác nhận các tuyến từ site đầu xa đã được học chính xác qua MP-BGP sau khi thực hiện tái phân phối (redistribute).
  • Thực hiện kiểm tra thông tuyến bằng lệnh ping: Các router R1A và R5A (Khách hàng A) phản hồi gói tin thành công 100%; các router R1B và R5B (Khách hàng B) phản hồi gói tin thành công 100%. Mặc dù hai khách hàng có thể thiết lập các dải địa chỉ IP trùng lặp nội bộ, lưu lượng dữ liệu giữa hai bên vẫn được cô lập hoàn toàn, không xảy ra xung đột hay rò rỉ thông tin định tuyến.

2. Tích hợp MPLS Layer 3 VPN với Amazon Web Services

Tác giả triển khai kịch bản mô phỏng kết nối trung tâm dữ liệu On-Premises lên đám mây AWS bằng giải pháp AWS VPN (do chính sách triển khai Direct Connect vật lý đòi hỏi phải thông qua các đối tác mạng APN viễn thông):

• Triển khai hạ tầng VPC: Khởi tạo 2 VPC bao gồm VPC ASG (dải mạng CIDR 10.x phục vụ ứng dụng) và VPC ASG VPN (dải mạng CIDR 10.x phục vụ kết nối VPN). Tạo tổng cộng 5 Subnet, 2 cổng Internet Gateway, 1 NAT Gateway với Elastic IP tĩnh, cùng các bảng định tuyến Route Table (Public, Private, VPN-Public) và Security Group tương ứng.
• Khởi tạo máy chủ: Tạo 3 phiên bản EC2 chạy hệ điều hành Amazon Linux 2, gồm máy chủ EC2 Public, máy chủ EC2 Private và máy chủ Customer Gateway đóng vai trò cổng biên phía khách hàng.
• Thiết lập Site-to-Site VPN: Khởi tạo Virtual Private Gateway trên AWS gắn với VPC, khai báo Customer Gateway với IP của máy chủ biên, cấu hình kết nối Site-to-Site VPN Connection. Sau khi áp dụng tệp cấu hình bảo mật vào cổng khách hàng, cả 2 đường hầm (Tunnel 1 và Tunnel 2) đều chuyển sang trạng thái hoạt động (Active).
• Thiết lập AWS Client VPN: Tạo Client VPN Endpoint với dải mạng cấp phát CIDR 30.x, thực hiện liên kết mạng mục tiêu (Target network association) vào Private Subnet 2, đính kèm Security Group, thiết lập quy tắc cấp quyền (Authorization rules) và bảng định tuyến (Route table). Tác giả tải tệp cấu hình VPN, nhúng tệp chứng chỉ số Client Certificate và khóa bí mật Client Key, sau đó nhập vào phần mềm OpenVPN trên máy tính cục bộ.
• Kết quả kiểm thử kết nối:
  • Giao diện OpenVPN trên máy khách chuyển sang trạng thái Active, nhận địa chỉ IP trong dải 30.x.
  • Thực hiện lệnh Ping kiểm tra từ máy tính cá nhân qua đường hầm Client VPN: Gửi gói tin ICMP đến địa chỉ IP nội bộ của máy chủ EC2 Private thành công; Ping đến máy chủ EC2 Public thành công; Ping đến máy chủ Customer Gateway thành công.
  • Giám sát hệ thống: Toàn bộ lưu lượng gói tin vào/ra, trạng thái hoạt động của 2 tunnel Site-to-Site VPN và các phiên truy cập của Client VPN đều được ghi nhận, biểu diễn trực quan trên bảng điều khiển giám sát thời gian thực của AWS CloudWatch.

Kết quả và đóng góp

Đồ án ghi nhận các kết quả thực nghiệm định lượng và cấu hình kỹ thuật cụ thể:

• Thiết lập hoàn chỉnh mô hình MPLS L3VPN mạng lõi gồm 3 router ISP (R2, R3, R4) và 4 router khách hàng; thực hiện thành công cơ chế chuyển mạch nhãn 2 lớp (LDP và VPNv4), loại bỏ hoàn toàn việc tra cứu bảng định tuyến IP toàn cục trên router P (R3), giúp giảm thiểu độ trễ xử lý gói tin. Hệ thống chứng minh khả năng cô lập tuyệt đối bảng định tuyến giữa Khách hàng A (sử dụng Static Route) và Khách hàng B (sử dụng RIPv2) thông qua VRF, RD và RT.
• Triển khai thành công trên hạ tầng đám mây AWS một kiến trúc mạng đa thành phần bao gồm: 2 VPC, 5 Subnet, 2 Internet Gateway, 1 NAT Gateway, 3 Route Tables, 3 Security Groups và 3 phiên bản máy chủ EC2 Amazon Linux 2.
• Cấu hình kích hoạt thành công dịch vụ AWS Site-to-Site VPN với 2 đường hầm IPSec hoạt động đồng thời (Active status).
• Cấu hình hoàn tất điểm cuối AWS Client VPN cấp phát dải IP 30.x; xác thực thành công phiên kết nối OpenVPN từ máy khách với địa chỉ IP gán động thuộc dải 30.x; thực hiện lệnh Ping truyền thông thành công 100% đến máy chủ EC2 Private, máy chủ EC2 Public và máy chủ Customer Gateway.
• Tích hợp và trích xuất thành công dữ liệu đo lường trạng thái kết nối đường hầm và lưu lượng dữ liệu truyền qua VPN bằng công cụ Amazon CloudWatch.

Các giải pháp và kiến nghị do tác giả đề xuất:

• Đối với các doanh nghiệp quy mô lớn, có lưu lượng dữ liệu luân chuyển liên tục, yêu cầu khắt khe về độ trễ và chất lượng dịch vụ (thoại, video), giải pháp tối ưu là sử dụng AWS Direct Connect thông qua các đối tác mạng chính thức tại Việt Nam (Viettel, CMC, FPT).
• Đối với các doanh nghiệp có ngân sách vừa phải hoặc cần giải pháp kết nối nhanh chóng, chi phí thấp trong quá trình di chuyển ứng dụng, nên lựa chọn giải pháp AWS Site-to-Site VPN sử dụng 2 đường hầm IPSec để duy trì tính sẵn sàng cao.
• Khuyến nghị sử dụng mô hình kết hợp (Hybrid architecture): Sử dụng AWS Direct Connect làm đường truyền dữ liệu chính cho các khối lượng công việc quan trọng, đồng thời cấu hình AWS Site-to-Site VPN làm kênh truyền dự phòng (failover) thông qua tường lửa trung tâm dữ liệu. Kết hợp AWS Client VPN với xác thực chứng chỉ số để quản lý truy cập từ xa linh hoạt cho nhân viên.

Đóng góp của đồ án:

• Hệ thống hóa chi tiết quy trình xử lý ngăn xếp nhãn trong mạng MPLS L3VPN qua từng chặng mạng lõi và mạng biên.
• Xây dựng tài liệu kỹ thuật hoàn chỉnh hướng dẫn từng bước cấu hình từ thiết bị mạng viễn thông truyền thống (router Cisco) đến triển khai tích hợp thực tế trên nền tảng điện toán đám mây hiện đại (AWS VPC, Site-to-Site VPN, Client VPN), cung cấp mô hình thực nghiệm trực quan cho bài toán kết nối mạng lai trong doanh nghiệp.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đồ án:

• Do chính sách cung cấp dịch vụ và yêu cầu chi phí hạ tầng thực tế, việc thiết lập kênh truyền vật lý AWS Direct Connect đòi hỏi phải thông qua các đối tác AWS Direct Connect Partner (Viettel, CMC, FPT) để kết nối trực tiếp đến các PoP đặt tại nước ngoài (Singapore, Hồng Kông); do đó tác giả chưa thể thực nghiệm kết nối vật lý Direct Connect trên môi trường lab mà chỉ dừng lại ở phân tích thiết kế trên lý thuyết.
• Phần mô phỏng tích hợp đám mây AWS tập trung chủ yếu vào giải pháp kết nối qua mạng công cộng (Site-to-Site VPN và Client VPN).
• Mô hình mạng MPLS L3VPN thực nghiệm trong phòng lab mới triển khai ở quy mô cơ bản với 3 router mạng lõi, 2 khách hàng và các giao thức định tuyến đơn giản (Static Route, RIPv2, OSPF).

Hướng nghiên cứu tiếp theo:

• Đăng ký và triển khai thử nghiệm thực tế kênh truyền chuyên dụng AWS Direct Connect thông qua đối tác mạng APN tại Việt Nam để đo lường, đối soát các thông số chất lượng dịch vụ (độ trễ, độ mất gói, thông lượng thực tế).
• Mở rộng kiến trúc mạng đám mây kết nối đa vùng (Multi-Region) và tích hợp trung tâm định tuyến AWS Transit Gateway quy mô lớn liên kết nhiều tài khoản AWS khác nhau.
• Nghiên cứu và triển khai cơ chế tự động chuyển mạch dự phòng (Automated Failover) và cân bằng tải đa đường bình đẳng (ECMP) giữa kênh truyền chính AWS Direct Connect và kênh truyền phụ AWS Site-to-Site VPN.

Giá trị tham khảo

Đồ án là nguồn tài liệu tham khảo giá trị cho các đối tượng:

• Sinh viên chuyên ngành Điện tử - Viễn thông, Kỹ thuật Mạng truyền thông, An toàn thông tin và Công nghệ thông tin đang thực hiện đồ án tốt nghiệp, bài tập lớn hoặc nghiên cứu chuyên đề về chuyển mạch nhãn MPLS, định tuyến BGP nâng cao và kiến trúc mạng điện toán đám mây.
• Kỹ sư mạng, chuyên viên quản trị hệ thống tại các doanh nghiệp đang tìm kiếm giải pháp kỹ thuật cụ thể để kết nối hạ tầng mạng diện rộng On-Premises sẵn có với nền tảng AWS nhằm phục vụ lộ trình di chuyển đám mây hoặc xây dựng mô hình mạng lai (Hybrid Cloud).

Các nội dung có giá trị tham chiếu cao nhất trong văn bản gồm:

• Toàn bộ quy trình câu lệnh cấu hình từng bước cho mạng MPLS L3VPN (kích hoạt CEF, OSPF, LDP, MP-iBGP họ vpnv4, cấu hình VRF, RD, RT và tái phân phối định tuyến PE-CE) trình bày tại Chương IV.
• Bảng mô tả chi tiết 8 bước xử lý và hoán đổi nhãn (LDP, BGP-LU RFC 3107, VPNv4, Explicit-null) giữa hai chi nhánh khách hàng qua mạng ISP tại Chương I.
• Hướng dẫn cấu hình thực tế hạ tầng AWS VPC, thiết lập 2 tunnel kết nối Site-to-Site VPN và các bước tạo Client VPN Endpoint tích hợp chứng chỉ số OpenVPN tại Chương IV.

Câu hỏi thường gặp

1. Tham số Route Distinguisher (RD) và Route Target (RT) trong kiến trúc MPLS L3VPN có đặc điểm kỹ thuật và chức năng khác nhau như thế nào? Trả lời: Route Distinguisher (RD) là một tiền tố định danh 64-bit (định dạng ASN:nn hoặc IP-address:nn) được bộ định tuyến PE gắn vào trước địa chỉ IPv4 32-bit của khách hàng để tạo thành địa chỉ VPNv4 96-bit duy nhất trong mạng trục ISP, giải quyết triệt để vấn đề xung đột dải địa chỉ IP trùng lặp giữa các khách hàng khác nhau. Trong khi đó, Route Target (RT) là một thuộc tính BGP Extended Community (độ dài 64-bit) dùng để kiểm soát chính sách định tuyến: Export RT quy định việc gắn nhãn định danh thành viên VPN khi gửi cập nhật MP-BGP, còn Import RT quy định việc chọn lọc và nhập các tuyến VPNv4 vào bảng VRF tương ứng, cho phép thiết lập linh hoạt các mô hình mạng Intranet VPN hoặc Extranet VPN.

2. Giao thức BGP Labeled Unicast (BGP-LU theo chuẩn RFC 3107) đóng vai trò gì trong quá trình xử lý ngăn xếp nhãn chuyển mạch? Trả lời: Chuẩn BGP-LU (RFC 3107) cho phép giao thức BGP quảng bá nhãn chuyển mạch kèm theo các tiền tố địa chỉ Unicast IPv4/IPv6. Trong sơ đồ mạng của đồ án, BGP-LU được sử dụng để vận chuyển lưu lượng MPLS vượt qua ranh giới giữa các vùng IGP (miền OSPF) khác nhau bằng cách quảng bá địa chỉ Loopback của bộ định tuyến và các ràng buộc nhãn tương ứng; thao tác này chỉ tác động tại các bộ định tuyến biên mà không làm thay đổi cấu trúc bảng chuyển tiếp của các bộ định tuyến vận chuyển trung gian.

3. Tại sao trong bài thực nghiệm tích hợp đám mây tại Chương IV, tác giả lựa chọn phương án triển khai AWS VPN thay vì AWS Direct Connect? Trả lời: Theo giải trình của tác giả trong văn bản, về mặt chính sách và yêu cầu hạ tầng viễn thông, việc triển khai dịch vụ AWS Direct Connect bắt buộc phải thông qua các đối tác mạng chính thức của AWS (AWS Direct Connect Partner) như Viettel, CMC, FPT để thiết lập đường truyền cáp quang vật lý chuyên dụng kết nối tới các điểm PoP gần nhất tại Singapore hoặc Hồng Kông. Do các ràng buộc về điều kiện thực tế trong khuôn khổ đồ án tốt nghiệp, tác giả lựa chọn giải pháp sử dụng AWS VPN (bao gồm Site-to-Site VPN và Client VPN) để xây dựng mô hình mô phỏng kiểm chứng kết nối giữa hạ tầng nội bộ và đám mây AWS.

4. Cấu trúc kết nối của dịch vụ AWS Site-to-Site VPN bao gồm những thành phần nào và cơ chế đảm bảo tính sẵn sàng cao được thực hiện ra sao? Trả lời: Một kết nối AWS Site-to-Site VPN tiêu chuẩn bao gồm hai thành phần đầu cuối chính: Customer Gateway (CGW) đại diện cho thiết bị mạng/máy chủ phía khách hàng và Virtual Private Gateway (VGW) hoặc Transit Gateway đặt tại phía đám mây AWS. Để đảm bảo tính sẵn sàng cao (High Availability), AWS luôn tự động cấu hình 2 đường hầm bảo mật IPSec (IPSec tunnels) độc lập chạy qua các Vùng khả dụng (Availability Zones) khác nhau. Lưu lượng dữ liệu chính được định tuyến qua đường hầm thứ nhất, trong khi đường hầm thứ hai đóng vai trò dự phòng nóng; khi một đường hầm gặp sự cố kỹ thuật, lưu lượng mạng sẽ tự động duy trì liên tục qua đường hầm còn lại.

5. Trong kịch bản mô phỏng mạng MPLS L3VPN ở Chương IV, tác giả đã cấu hình các giao thức định tuyến nào cho liên kết giữa router biên khách hàng (CE) và router biên nhà cung cấp (PE)? Trả lời: Tác giả đã triển khai hai cơ chế định tuyến khác nhau cho hai khách hàng độc lập: Khách hàng A (Customer A) sử dụng kỹ thuật định tuyến tĩnh (Static Route) trên các router R1A, R5A kết nối với R2, R4; Khách hàng B (Customer B) sử dụng giao thức định tuyến động RIPv2 trên các router R1B, R5B kết nối với R2, R4. Tại các router PE, các tuyến này được cấu hình đưa vào bảng định tuyến VRF tương ứng và thực hiện tái phân phối (redistribute) hai chiều với giao thức MP-BGP để truyền tải dữ liệu qua mạng trục ISP.

Kết luận

Đồ án tốt nghiệp của sinh viên Võ Anh Duy đã hệ thống hóa toàn diện cơ sở lý luận về kiến trúc chuyển mạch nhãn mạng riêng ảo MPLS Layer 3 VPN và các dịch vụ mạng trọng yếu trên nền tảng điện toán đám mây Amazon Web Services. Thông qua phương pháp thực nghiệm mô phỏng, tác giả đã chứng minh thành công khả năng cô lập lưu lượng và định tuyến tối ưu của công nghệ MPLS L3VPN trên hệ thống mạng lõi ISP đa khách hàng. Đồng thời, công trình đã hiện thực hóa giải pháp tích hợp mạng lai giữa trung tâm dữ liệu On-Premises và môi trường AWS bằng công nghệ AWS Site-to-Site VPN và AWS Client VPN có giám sát CloudWatch, khẳng định tính khả thi và giá trị thực tiễn đối với bài toán hiện đại hóa hạ tầng mạng doanh nghiệp.

Trích đoạn nội dung tài liệu

CHƯƠNG I: GIỚI THIỆU CHUNG VỀ KÊNH TRUYỀN MPLS LAYER 3 VPN 1. Ưu điểm dịch vụ kênh truyền L3VPN ❖ MPLS Layer 3 VPN đáp ứng được tất cả các mô hình kết nối: Kết nối điểm – điểm (Point to point); Kết nối điểm – đa điểm (Point to Multipoint); Kết nối full mesh. ❖ Tiết kiệm chi phí: Dịch vụ L3VPN giúp khách hàng thiết lập mạng riêng với chi phí thấp do chỉ tạo kết nối ảo. Tất cả các điểm có thể liên hệ trực tiếp với nhau với chỉ một kết nối vật lý duy nhất tại mỗi địa điểm.

❖ Tính linh hoạt: Sử dụng dịch vụ này khách hàng dễ dàng mở rộng mô hình, tăng thêm điểm kết nối, tăng tốc độ trong thời gian sử dụng mà không cần phải thay đổi mô hình hay kiến trúc mạng. ❖ Tính bảo mật cao: Kết nối giữa các điểm được mã hóa, gán nhãn và thiết lập đường hầm (tunnel) riêng trên hệ thống mạng lõi của ISP. Ứng dụng dịch vụ kênh truyền L3VPN Được sử dụng bởi các tổ chức, doanh nghiệp có nhiều chi nhánh, văn phòng, nhà xưởng sản xuất và làm việc trên toàn quốc cần kết nối kênh truyền riêng có tốc độ ổn định, bảo mật để thiết lập mạng riêng ảo (VPN) triển khai xây dựng và ứng dụng các dịch vụ yêu cầu chất lượng cao như: thoại, fax, data, video, phần mềm tài chính kế toán,vv… ❖ Các Bộ, sở ban ngành, ủy ban nhân dân Tỉnh/TP; ❖ Các doanh nghiệp lớn, tập đoàn, tổng công ty, liên doanh FDI; ❖ Các doanh nghiệp khối tài chính, ngân hàng, chứng khoán, bảo hiểm,.; ❖ Các khu công nghiệp, nhà xưởng sản xuất; ❖ Các trường cao đẳng, đại học; ❖ Các đại sứ quán, tổ chức quốc tế, văn phòng đại diện; ❖ Các công ty về lĩnh vực như: phần mềm, công nghệ thông tin, viễn thông, phát triển dịch vụ giá trị gia tăng trên internet và trên di động. ❖ Các doanh nghiệp viễn thông khác như: VNPT, FPT, CMC, SPT,… 1.

Hoạt động cơ bản của kênh truyền L3VPN 1. Các loại nhãn sử dụng trong kênh truyền L3VPN Việc chuyển tiếp trong mạng MPLS VPN đòi hỏi phải dùng chồng nhãn (label stack). Nhãn trên (top label) được gán và hoán đổi (swap) để chuyển tiếp gói dữ liệu đi trong lõi MPLS. Các loại nhãn được sắp xếp theo thứ tự từ trên xuống trong chồng nhãn [2]: 1/ Nhãn LDP: Để gói tin được truyền theo đường chuyển nhãn LSP qua mạng MPLS, tất cả các LSR phải sử dụng giao thức phân phối nhãn và trao đổi nhãn.

Khi tất cả LSR có nhãn cho FEC, gói tin có thể được chuyển đi theo đường chuyển nhãn LSP bằng cách đổi nhãn tại mỗi Transit LSR (LSR trung gian). Tất cả các LSR kết nối trực tiếp sử dụng giao thức LDP để thiết lập Neighbor và tạo các phiên trao đổi. * Nhãn Explicit-null: được gán để giữ giá trị EXP cho nhãn trên (top label) của gói đến. Nhãn trên được hoán đổi với giá trị 0 và chuyển tiếp như một gói MPLS tới trạm kế xuôi dòng.

Nhãn này sử dụng khi thực hiện QoS với MPLS. 2/ Nhãn BGP-LU: BGP Labeled Unicast được định nghĩa trong RFC 3107. BGP LU cho phép BGP quảng bá nhãn cho các tiền tố Unicast IPv4 và IPv6. BGP LU cung cấp cho việc vận chuyển MPLS qua các ranh giới IGP (miền OSPF…).

Bằng cách quảng bá loopback của router và các ràng buộc nhãn qua các ranh giới IGP. Quảng bá của BGP-LU chỉ tác động đến bộ định tuyến biên chứ không ảnh hưởng đến bộ định tuyến vận chuyển ở giữa chuỗi kết nối.