ИССЛЕДОВАНИЕ ТЕХНОЛОГИИ MPLS VPN

Виртуальная частная сеть (VPN) представляет собой набор узлов, совместно использующих информацию маршрутизации 3-го уровня. Хотя VPN-сети технологии MPLS не используют процедуру установления соединения, при их создании удается объединить преимущества коммутации 2-го уровня с принципами маршрутизации с установлением соединения 3-го уровня. VPN-сети MPLS позволяют также обеспечить безопасность связи за счет того, что обмен информацией о маршрутизации происхо­дит только между узлами, принадлежащими к данной VPN-сети. Функции VPN совместно с многопротокольной коммутацией по меткам (Multiprotocol Label Switching — MPLS) позволяют реализовать в сети провайдера расширяемые магистральные VPN-службы 3-го уровня на базе протокола IPv4. На рисунке 1 приведен пример VPN-сети, создаваемой провайдером.

Рисунок 1. Виртуальная частная сеть MPLS.

Ниже приведены различные компоненты технологии MPLS, используемые для создания VPN-сетей.

Базовые маршрутизаторы MPLS (Р). Базовые маршрутизаторы, также называемые маршрутизаторами провайдера (Р router), не содержат маршрутов VPN-сетей. Вместе с другими LSR-устройствами провайдера они обычно образуют полносвязную или частично-связную топологию и осуществляют интерфейс с граничными маршрутизаторами провайдера (provider edge — РЕ router). Р-маршрутизаторы никогда не подсоединяются непосредственно к маршрутизаторам пользователя.

Граничные маршрутизаторы сети MPLS (MPLS edge routers — РЕ). Маршрутизаторы точек присутствия, также известные как граничные маршрутизаторы провайдера (Provider Edge router — РЕ router), содержат VPN-маршруты для поддерживаемых ими сетей VPN. Они являются устройствами того же ранга, что и граничные маршрутизаторы пользователя (Customer Edge router — СЕ router) и поддерживают ин­терфейс с базовыми маршрутизаторами провайдера. РЕ-маршрутизаторы являются устройствами того же ранга, что и Р-маршрутизаторы, и соединены с ними или не­посредственно с другими РЕ- маршрутизаторами.

Граничные маршрутизаторы пользователя (Customer Edge router — СЕ router). Граничным маршрутизаторам пользователя не требуются функции MPLS, а для поддержки соединений они могут использовать обычные методы маршрутизации. Ранговая модель требует, чтобы узел пользователя поддерживал паритетную связь только с одним РЕ-маршрутизатором, в отличие от всех остальных СРЕ- или СЕ-маршрутизаторов, являющихся членами VPN-сети, которая построена на основе других технологий. СЕ-маршрутизаторы никогда непосредственно не подсоединяются к Р-маршрутизаторам.

Маршрутизаторы пользователя (Customer router — С-router). Принадлежащим пользователю внутренним маршрутизаторам, также называемым С-маршрутизаторами, не требуется поддерживать функции MPLS, а для поддержки соединений между собой и с СЕ-маршрутизаторами они могут использовать обычные методы мар­шрутизации.

VPN-сети включают в себя устройства пользователя, подсоединенные к СЕ-маршрутизаторам. СЕ-маршрутизаторы любой из VPN-сетей могут быть подсоединены к любому из РЕ-маршрутизаторов провайдера. РЕ-маршрутизаторы соединены между собой через базовую сеть Р-маршрутизаторов.

Маршрутизация и пересылка пакетов в сетях VPN

Каждая VPN-сеть логически связана с одним или более комплексов маршрутизации и пересылки (VPN Routing and Forwarding instance — VRF). Комплекс VRF определяет членство в VPN-сети узла пользователя, подсоединенного к РЕ-маршрутизатору. Экземпляр VRF состоит из таблицы IP-маршрутизации, полученной из нее таблицы экспресс-коммутации корпорации Cisco (Cisco Express Forwarding — CEF), набора интерфейсов, использующих такую таблицу, и набора правил и параметров протокола маршрутиза­ции, управляющих информацией таблицы маршрутизации.

Между узлами пользователя и VPN-сетями не обязательно существует однозначное соответствие. Узел может одновременно принадлежать к не­скольким VPN-сетям. Однако комплекс VRF может задавать только одну сеть VPN. VRF-комплекс узла пользователя содержит все маршруты, доступные этому узлу из VPN-сетей, членом которых он является. Для каждого комплекса VRF информация о пересылке пакетов хранится в таблице IP-маршрутизации и в таблице CEF. Для каждого экземпляра VRF поддерживается отдельный набор таблиц маршрутизации и таблиц CEF. Такие таблицы предотвращают выход маршрутной информации за границы VPN-сети и направление пакетов извне VPN-сети на маршрутизатор, находящийся внутри структуры VPN. Для взаимного обмена пакетами протокола IP версии 4 РЕ-маршрутизаторы используют глобальную IP-таблицу. VRF-таблицы IP-маршрутизации и пересылки используются для обмена информацией внутри VPN-сети.  Каждая комбинация VRF-таблиц IP-маршрутизации и пересылки содержит маршруты, принадлежащие к одной или более пользовательских VPN-сетей. Ограничение протокола маршрутизации, используемого внутри VPN-сети, одной VRF-таблицей позволяет осуществлять наложение нескольких VPN-сетей (например, поддержка внешних по отношению к сети пользователя структур VPN).

Интерфейсы РЕ-маршрутизаторов логически связаны с индивидуальными комплексами VRF. Ин­формация о маршрутизации, полученная через эти интерфейсы, логически связана с сконфигурированными экземплярами VRF и называется контекстом маршрутизации (routing context). Управление распространением информации о маршрутизации в VPN-сети осуще­ствляется путем использования сообществ целевых маршрутов VPN, реализуемых расширенным форматом сообществ протокола граничного шлюза (Border Gateway Protocol communities — BGP communities). Когда VPN-маршрут, полученный от СЕ-маршрутизатора, становится известным внутреннему многопротокольному IBGP (Multiprotocol IBGP — MP-IBGP), список атрибутов расширенного сообщества целевых маршрутов VPN логически связывается с ним в момент его экспорта из локального комплекса VRF для представления другим VRF-комплексам. Список импорта расширенных сообществ целевых маршрутов логически связан с каждым комплексом VRF. Список импорта определяет атрибуты расширенного сооб­щества целевых маршрутов, которые необходимы для того, чтобы маршрут мог быть импортирован в экземпляр VRF.

Пересылка пакетов в сети MPLS

При использовании коммутации MPLS пакеты направляются к пунктам назначения на основе маршрутной информации, содержащейся в таблице IP-маршрутизации и в CEF-таблице комплекса VRF. РЕ-маршрутизатор связывает метку с префиксом каждого пользователя, полученным от СЕ-маршрутизатора, и включает метку в информацию о достижимости сети для данного префикса, которую он сообщает другим РЕ-маршрутизаторам. Отправляя пакет, полученный от СЕ-маршрутизатора по сети провайдера, РЕ-маршрутизатор присваивает этому пакету метку, полученную от РЕ-маршрутизатора пункта назначения. Когда РЕ-маршрутизатор получает помеченный пакет, он удаляет метку и использует ее для направления пакета на требуемый СЕ-маршрутизатор.

Р-маршрутизаторы провайдера не принимают участия в процессе работы протокола MP-BGP и не передают VPN-маршруты. Они не нужны для принятия решений о мар­шрутизации, основанных на адресах VPN-сетей. Р-маршрутизаторы отправляют пакеты на основе значений меток, назначенных IP-пакетам. Эти маршрутизаторы участвуют в обмене метками коммутации MPLS, однако не являются оконечными устройствами VPN-сетей MPLS.

РЕ-маршрутизаторы обычно идентифицируются уникальными идентификаторами, такими как IP-адреса петлевого интерфейса с 32-битовыми масками (маршруты узлов — host routes). Такие адреса используются вместе с BGP-атрибутом следующего транзитного перехода для VPN-маршрутов, объявленных РЕ-маршрутизаторами. Маршрутам хостов метки назначаются Р-маршрутизаторами; эти метки затем передаются всем соседним устройствам. MPLS-протокол LDP обеспечивает получение всеми РЕ-маршрутизаторами метки, связанной с данным РЕ-маршрутизатором. Сеть MPLS готова к обмену VPN-пакетами в тот момент, когда входной РЕ-маршрутизатор получает метку для выходного РЕ-маршрутизатора. Пересылка на основании метки по магистрали провайдера базируется либо на технологии динамической коммутации по метке, либо на маршрутах перераспределения потоков. При пересечении магистрали пакет данных пользователя содержит два уровня меток. Первая метка направляет пакет к требуемому РЕ-маршрутизатору следующего транзитного перехода, а вторая — указывает комплекс VRF, логически связанный с выходным интерфейсом СЕ-маршрутизатора пункта назначения. Такой двухуровневый ме­ханизм обычно называется иерархическим тегом, или коммутацией по меткам. Получив через какой-либо интерфейс от СЕ-маршрутизатора IP-пакет, РЕ-маршрутизатор логически связывает его с комплексом VRF, в результате чего создается нижняя метка (bottom label), логически связанная с выходным РЕ- маршрутизатором (который идентифицирует VRF-комплекс адресата маршрута и выходной интерфейс вы­ходного РЕ-маршрутизатора). Из глобальной таблицы пересылки РЕ-маршрутизатор получает также другую метку, называемую верхней (top label), которая указывает РЕ-маршрутизатор следующего транзитного перехода; после этого РЕ-маршрутизатор помещает обе метки в стек меток MPLS. Этот стек меток присоединяется к VPN-пакету и направляется к следующему транзитному переходу. Р-маршрутизаторы в сети MPLS анализируют верхнюю метку и направляют пакет по сети к требуемому узлу. На выходном РЕ-маршрутизаторе верхняя метка удаляется и исследуется нижняя метка, указывающая VRF-комплекс адресата маршрута и выходной интерфейс. После этого нижняя метка также удаляется, и IP-пакет посылается на требуемый СЕ-маршрутизатор.

Список литературы:

1. Гольдштейн Ф.Б., Гольдштейн Б.С. Технология и протоколы MPLS. СПб.: БХВ- Петербург, 2005. 304 с.
2. Гучард Б. Архитектура MPLS и VPN. – Индианаполис: Cisco Press, 2006. –504 с.
3. Оливейн В. Структура и реализация современной технологии MPLS. М.: Вильямс, 2004. 480 с.
4. Ram Balakrishnan. Advanced QoS for Multi–Service IP/MPLS Networks. Indianapolis: Wiley Publishing, Inc, 2008.-464 с.