VPN原理基础

浏览:
字体:
发布时间:2013-12-10 00:03:28
来源:东方联盟
VPN原理基础
 
无连接的IP与面向连接的服务
无连接的IP如何提供类似面向连接的服务?
       众所周知,“全IP”已经到来,但是“尽最大努力的”服务的特点,使得IP和面向连接的ATM、X.25等协议而言,在QoS上面要解决很多问题。
       从IP本身而言,数据链路层的ARQ(自动重发请求)、传输层TCP的流量、拥塞控制和重传机制,以及各个层次的校验功能在一定程度上解决了一些可靠性问题。但是要使得IP能和实时性要求较高的语音、图像等应用结合,上面的机制还不能完全满足,并且上面的机制基本上没有能够解决全网(这里的全网一般是局部的)、端到端的QoS问题。
       IP技术中如何提供Qos的保证成为了最重要的问题之一。QoS相关的基本思想:分类(如何讲流分类)、管制(平均速率、峰值速率、突发长度等控制)、调度(调整流的优先权)以及呼叫接纳(哪些用户可以接入资源,接入的优先权控制)。
QoS相关的两个模型
如何解决全网、端到端的QoS问题?
综合服务(集成服务)InteServ模型
【道路戒严】:国家领导人视察的时候一些道路往往戒严—“预留了一些行车道”。
区分服务DiffServ模型
【警车开道】:区别与综合服务模型,区分服务模型在领导视察的时候,仅仅在车辆上“打了标记”,车牌号往往O或者红色字面打头以0001结尾,并且前面有拉警报的警车开道,告诉相关部门“这是特殊的流量”,需要优先通过。
综合服务InteServ模型
    IETF提出了RSVP协议,具体的表现为MPLS中的RSVP隧道。核心思想是预留资源,一般从局部网络中实现,需要改变网络的结构,实现复杂,难以大规模实现。但是能达到的效果理想,并且使可控的。
区分服务DiffServ模型
    IETF提出了DS(Differential Services)。核心思想是利用IPV4和IPV6(这个字段进行了扩展)中服务字段总的DS字段值来标记,边界路由器进行分类或者通信量调节。与InteServ相比实施简单,但是不能像RSVP那样提供相对“面向连接”的服务。
MPLS技术
MPLS产生背景——ATM和IP结合
ATM保证QoS,但是硬件昂贵、实施复杂;基于IP的应用广泛,但是QoS问题突出,因此ATM和IP结合,IP Over ATM(覆盖模型:IPOA、LANE、MPOA)。
IP和ATM结合的典型的网络。
IP和ATM结合的主要问题
由复杂的时候转发逻辑复杂。
报文要分析到IP层,时间、空间开销满足不了高速网络;
【更多】发现一个很有趣的事情:开始IP在ATM之上,后面IP MPLS中IP反过来可以承载ATM。又证明了通信界中的“潜规则”:先进的技术未必能广泛应用。
MPLS技术(多协议标记交换)
        MPLS是一种技术,更确切的说是一种思想。核心思想:使用很简单的转发算法对打算固定长度“标记”的分组用硬件进行转发,而避免了每个节点的三层路由(转发上升到三层),这些转发都是在二层。由于MPLS不局限于ATM,也可用于IPX、PPP、以太等二层协议,因此这种标记是“多协议”的。【更多】TMPLS可以视作是MPLS的一个扩展子集,数据是基于MPLS标签进行转发的,是面向连接的MPLS,对MPLS某些复杂的功能进行了简化,去掉了数据面中不必要的转发处理,用于传输网。
VPN分类
在VPN中创建隧道的方式多种多样,我们以此对VPN进行了划分,主要包括:
传统VPN
           帧中继(二层)
           ATM(二层)
基于客户端实施(CPE)VPN
           L2TP(二层)
           GRE(三层)
基于运营商实施VPN
           基于MPLS的二层VPN
           BGP/MPLS VPN
这里说的VPN都是基于MPLS的VPN,采用了MPLS技术。
VPN原理基本上包括控制和转发两个方面
控制(控制平面)
    控制平面主要是解决如何分配标签、维护路由信息、检测、切换等等问题。
转发(转发平面)
    转发平面主要是解决在路由信息、标签等信息确定的情况下如何识别报文、转发包括等等问题。
L2VPN概述
这里说的L2VPN都是基于MPLS的L2VPN,采用了MPLS技术
VPWS:Virtual Private Wire Service虚拟专线服务
   点到点连接。核心思想:提供点到点的服务,即透明的将报文一点“透明”传输到另外一点。这里的接入可以是以太、以太VLAN,也可以是PPP、HDLC等等
VPLS:Virtual Private LAN Service虚拟LAN服务
   点到多点连接。这个网络对用户而言是一个LAN,而且对用户而言是“透明”的。
通信、计算机中“透明”这个概念经常用到,而且很重要!
VPWS原理
1、用户侧如何识别?
由本端的接入点(AC)的绑定来解决如何识别该业务的报文——流匹配规则
2、网络侧如何识别?
由远端节点地址和vc-id(VCID)号构造全网唯一的PW标识。
vc-id:虚拟链路标志
vc-id在本地节点必须是唯一的,远端节点对应接口需分配同样的vc-id号
3、如何转发?(转发平面)通过内、外层标签转发表
外层标记,又称隧道标记, 由LDP或者RSVP协议分配,指示从该PE路由器到目的PE路由器的路径 。 PE之间创建公共通道(LSP)。
内层标记,又称虚拟链路标记,由扩展的LDP协议或者BGP分配,用以标签识别不同的VPN信息 。是通过VCID和对端信息来协商或者指定的。 PE之间建立的点到点的子隧道称之为伪线PW。【更多】两个模型Martini、Kompella。
4、如何分配标签(标签的形成)?(控制平面)
上面的转发逻辑是建立在内外层标签建立的基础之上,那么通过什么来分配,如何分配?
PE和P设备或者PE和PE之间需运行路由协议,并通过LDP或者RSVP分配标签创建LSP
PE之间用扩展LDP或者BGP协商分配内层标签(也可以手动指定内层标签,即静态伪线)。
VPWS原理—总结
VPWS的工作模式:点到点
VPWS的VC建立过程:
LSP建立:通过MPLS网络建立LSP隧道
VC分配:PE配置VCID分发VC Label并和远端PE交互
PW建立:两台PE之间通过mapping消息协商交互,建立PW
VPWS的数据转发过程:
CE1通过AC发送数据包给PE
PE1通过VCID封装VC Label和LSP Label转发
P根据LSP Label转发(只处理公网LSP标签)
PE2根据VC Label识别将报文传发送给对应CE2
VPLS原理
VPLS基本原理和VPWS一致,比VPWS多了如下一些基本概念:
1、虚拟转发实例VFI(Virtual forwarding Instance)VFI即PE路由器上的一个VPLS实例 ,不同PE上相同vc-id的VPLS实例属于同一个VPLS域,可以相互通信。创建VFI后就将连接VPN的接口添加到此VFI中,当PE从此接口收到报文就会根据接口对应VFI信息区分VPN。这个是ROS设备中的逻辑,而ROSNG中没有明显的VFI的概念,只要求伪线两端的VCID一致。
2、执行MAC学习、MAC交换等
3、伪线的Hub/Spoke属性、GroupID和接入接口(AC)的Client/Server属性、GroupID属性。
VPLS基本原理和VPWS一致,也包括上面提到的四个问题:
1、用户侧如何识别?
2、网络测如何识别?
3、如何转发?
4、如何分配标签?
除此之外,VPLS还涉及如下问题:
1、执行MAC学习、MAC交换等
2、伪线的Hub/Spoke属性、GroupID
3、接入接口(AC)的Client/Server属性、GroupID属性
等等
VPLS网络中,相对于一台PE设备,我们把其下挂的CE设备称为本地成员,配置的PE peer称为远端成员,ZXR10 VPLS成员可以归为以下属性:
本地成员(Local CE):Client属性和Server属性
远端成员(PW Peer):Hub属性和Spoke属性
为便于理解和记忆,我们做如下约定:
Hub_pw和 Client_interface      归纳为H属性成员;
Spoke_pw和 Server_interface 归纳为S属性成员。
VPLS工作机制中,PE路由器对于广播(Broadcast)、组播(Multicast)和未知(Unknown)包(Frames)要进行广播(或称洪泛)给其他成员
ZXR10 VPLS  “广播定律” 表述如下:
从H属性成员收到的广播包要向S属性成员广播,不得再向H属性成员广播
从S属性成员收到的广播包要向其他S属性成员及其所有的H属性成员广播
广播定律是对PE路由器的一个VFI内部而言的,广播定律对单播转发同样适用。
VPLS原理-总结
VPLS:服务提供商ISP通过可扩展的IP/MPLS网络提供城域内和城域间的多点到多点二层连接,对于用户而言,遍布各地的站点就好像连接到一个简单的以太网LAN。
用户可以通过MAN(Metropolitan Area Network,城域网)或WAN(WideArea Network,广域网)来实现自己的LAN(Local Area Network,局域网)
L3VPN
L3VPN:Layer 3 Virtual Private Network,三层虚拟专用网。
   L3VPN主要提供一种三层的透明传输业务,对用户而言,这个业务逻辑上就是一个路由器,并且是透明的。
L3VPN的基本原理、数据包转发过程与L2VPN一致,同样也是利用了MPLS的核心思想,通过标签交换实现业务的透明传输。
相同点:
1、都是采用了MPLS技术;2、外层标签都可以通过LDP和RSVP分配
差异:
1、传输内容L2VPN是以太报文,而L3VPN是IP报文;2、内层标签分配上,L2VPN用的是扩展LDP或者BGP(MPBGP),而L3VPN则是BGP(MPBGP)。
      除此之外,L3VPN还需要解决其自身特殊的问题。
L3 VPN中关键要实现两个目标:
VPN的路由信息仅能由本VPN的设备学习而不能被P设备及其他VPN设备学习——通过PE两点间运行BGP决办法:可以通过在PE两点间运行BGP协议来实现
PE设备上需保存各组VPN及公共网络的相关路由信息,但相互之间不能影响——提出VRF概念 
VRF:VPNRouting&Forwarding VPN路由转发
作用:隔离、识别不同的VPN
每个VRF存储的路由信息包括:
与此VRF有关的直连从CE站点接收到的路由
从其他PE路由器接收到的具有可接受的BGP属性的路由
只有来自与VRF相关的站点的数据包才会被查询
提供不同VPN间的隔离
1、如何识别VPN—本地识别
当PE收到报文后如何判断这是VPN的用户信息还是公网信息?如何分辨VPN呢?
在PE上配置不同的VRF,将不同的接口指定到对应的VRF中。
2、如何识别VPN——跨公网识别
PE发送VPN路由信息时如何标识他们的VPN属性呢?
不同的VPN可能使用相同的地址空间,又如何标志路由信息属于哪个VPN呢?
VRF中包含两种属性:RD和RT,BGP/MPLS VPN就是通过这两个属性解决以上问题的
1、RD:路由标识符(Route Distinguisher):用来解决用户地址复用问题
2、RT:路由目标(route-target):用来识别不同VPN的路由信
       作用:RT为路由实例VRF配置输入输出的路由策略,指定PE路由器能够接收、发送哪些路由信息,通过这些路由策略定义VPN的连接性。实质:RT实质上是BGP的扩展团体属性,用来标识每条路由信息的所属关系。格式:AS号:分配号或IP地址:分配号
VPN-IPV4地址仅用于公共网络,CE并不接收
入口PE在发送路由信息进入公共网络时,将Ipv4路由格式变为VPN-ipv4格式
出口PE在发送给CE路由信息时将Vpn-ipv4地址变为Ipv4地址发送
VPN-IPV4地址仅用于控制层面,即在BGP传递路由消息时使用,而数据报文转发时不会使用
RT实际由两部分组成:
import target:用于输入策略,只有当输入路由信息属性与PE上VRF的import target属性相匹配才能学习保存
export target:用于输出策略,PE发送路由信息时携带对应VRF的export target属性,用来标识发送VPN
>更多相关文章
24小时热门资讯
24小时回复排行
资讯 | QQ | 安全 | 编程 | 数据库 | 系统 | 网络 | 考试 | 站长 | 下载 | 关于东盟 | 安全雇佣 | 搞笑视频大全 | 微信学院 |
关于我们 | 联系我们 | 广告服务 | 人才招聘 | 服务条款 | 免责申明 | 帮助中心 | 作品发布 | 网站地图 | 技术培训
Copyright © 2007 - 2018 Vm888.Com. All Rights Reserved
东方联盟 版权所有