относительно дешевую пропускную способность. Еще одной причиной снижения интере< к ATM стала сложность этой технологии. В частности, некоторые проблемы возникак из-за использования ячеек маленького размера —на высоких скоростях оборудовані с трудом справляется с обработкой таких интенсивных потоков ячеек (сравните колич ство кадров Ethernet максимальной длины с количеством ячеек ATM, необходимых щ передачи одного и того же объема информации с той же самой скоростью).

Как и в случае Frame Relay, появление технологии MPLS, которая, с одной стороны, о! ладает некоторыми свойствами ATM, например поддерживает детерминированное! маршрутов (это общее свойство технологий, основанных на технике виртуальных путей а с другой —использует кадры любого формата и тесно интегрирована с IP, усугубш положение ATM. Одной из областей, где ATM по-прежнему удерживает позиции, явл; ется широкополосный доступ в Интернет. Если вы посмотрите на конфигурацию ваше] домашнего маршрутизатора ADSL, то, скорее всего, увидите там записи, относящие( к стеку ATM.

Более подробную информацию вы можете найти на сайте www.olifer.co.uk в разделе «Технология АТМк

Виртуальные частные сети

Услуга виртуальных частных сетей является одной из основных услуг, которую предостаї ляют сети FR и ATM. Вооруженные знанием основных принципов работы технологий F и ATM, мы теперь можем более подробно рассмотреть и классифицировать эти услуг) Любая систематизация знаний полезна сама по себе, кроме того, она нам понадобится пр изучении технологий MPLS и Carrier Ethernet, которые формировались во многом дл реализации услуг VPN.

Из самого названия —виртуальная частная сеть —следует, что она каким-то образо воспроизводит свойства реальной частной сети. Без всяких натяжек назвать сеть часп ной можно только в том случае, если предприятие единолично владеет и управляет все сетевой инфраструктурой —кабелями, кроссовым оборудованием, каналообразующе аппаратурой, коммутаторами, маршрутизаторами и другим коммуникационным обор> дованием.

Перечислим, в чем выражается эта изолированность.

□Независимый выбор сетевых технологий. Выбор ограничивается только возможностям производителей оборудования.

□Независимая система адресации. В частных сетях нет ограничений на выбор адресов - они могут быть любыми.

□Предсказуемая производительность. Собственные линии связи гарантируют заране известную пропускную способность между узлами предприятия (для глобальны соединений) или коммуникационными устройствами (для локальных соединений

□Максимально возможная безопасность. Отсутствие связей с внешним миром ограждает сеть от атак извне и существенно снижает вероятность «прослушивания» трафика по пути следования.

Однако частная сеть —решение крайне неэкономичное! Такие сети, особенно в националь­ ном или международном масштабах, могут себе позволить только очень крупные и бога­ тые предприятия. Создание частной сети —привилегия тех, кто имеет производственные предпосылки для разработки собственной сетевой инфраструктуры. Например, нефтяные или газовые компании способны с относительно невысокими издержками прокладывать собственные технологические кабели связи вдоль трубопроводов. Частные сети были по­ пулярны в относительно далеком прошлом, когда общедоступные сети передачи данных были развиты очень слабо. Сегодня же их почти повсеместно вытеснили сети VPN, которые представляют собой компромисс между качеством услуг и их стоимостью.

В зависимости от того, кто реализует сети VPN, они подразделяются на два вида.

□Поддерживаемая клиентом виртуальная частная сеть (Customer Provided Virtual Private Network, CPVPN) отражает тот факт, что все тяготы по поддержке сети VPN ложатся на плечи потребителя. Поставщик предоставляет только «простые» тради­ ционные услуги общедоступной сети по объединению узлов клиента, а специалисты предприятия самостоятельно конфигурируют средства VPN и управляют ими.

□В случае поддерживаемой поставщиком виртуальной частной сети (Provider Provisioned Virtual Private Network, PPVPN) поставщик услуг на основе собственной сети воспроизводит частную сеть для каждого своего клиента, изолируя и защищая ее от остальных. Такой способ организации VPN сравнительно нов и не столь широко распространен, как первый.

В последние год-два популярность сетей PPVPN растет —заботы по созданию и управ­ лению VPN довольно обременительны и специфичны, поэтому многие предприятия предпочитают переложить их на плечи надежного поставщика. Реализация услуг VPN по­ зволяет поставщику оказывать и ряд дополнительных услуг, включая контроль за работой клиентской сети, веб-хостинг и хостинг почтовых служб, хостинг специализированных приложений клиентов.

Помимо деления сетей VPN на CPVPN и PPVPN существует еще и другая классифика­ ция —в зависимости от места расположения устройств, выполняющих функции VPN. Виртуальная частная сеть может строиться:

□на базе оборудования, установленного на территории потребителя (Customer Premises Equipment based VPN, CPE-based VPN, или Customer Edge based VPN, CE-based VPN);

□на базе собственной инфраструктуры поставщика (Network-based VPN, или Provider Edge based VPN, PE-based VPN).

Влюбом случае основную часть функций (или даже все) по поддержанию VPN выполняют пограничные устройства сети —либо потребителя, либо поставщика.

Сети, поддерживаемые поставщиком, могут строиться как на базе инфраструктуры постав­ щика, так и на базе оборудования, установленного на территории потребителя. Первый ва­ риант наиболее понятен: поставщик управляет расположенным в его сети оборудованием. Во втором случае оборудование VPN расположено на территории клиента, но поставщик управляет им удаленно, что освобождает специалистов предприятия-клиента от достаточно сложных и специфических обязанностей.

Защита данных достигается благодаря тому, что несанкционированный пользователь не может подключиться к постоянному виртуальному каналу, не изменив таблицы коммутации устройств поставщика услуг, а значит, ему не удастся провести атаку или прочитать данные. Свойство защищенности трафика является естественным свойством техники виртуальных каналов, поэтому сервисы ATM VPN и Frame Relay VPN являются на самом деле не чем иным, как обычными сервисами PVC сетей ATM или Frame Relay. Любой пользователь ATM или Frame Relay, использующий инфраструктуру PVC для связи своих локальных сетей, потребляет услугу VPN даже в том случае, когда он это явно не осознает. Это одно из «родовых» преимуществ техники виртуальных каналов по сравнению с дейтаграммной техникой, так как при применении последней без дополни­ тельных средств VPN пользователь оказывается не защищенным от атак любого другого пользователя сети.

Так как в технологиях ATM и Frame Relay при передаче данных используются только два уровня стека протоколов, варианты VPN, построенные на их основе, называют также сетями VPN уровня 2 (Layer 2 VPN, L2VPN). Наличие в технологиях ATM и Frame Relay механизмов поддержания параметров QoS позволяет ATM VPN и Frame Relay VPN достаточно хорошо приближаться к частным сетям на выделенных каналах.

Информация третьего уровня никогда не анализируется и не меняется в этих сетях —это одновременно и достоинство, и недостаток. Преимущество в том, что клиент может переда­ вать по такому виртуальному каналу трафик любых протоколов, а не только IP. Кроме того, IP-адреса клиентов и поставщика услуг изолированы и независимы друг от друга —они могут выбираться произвольным образом, так как не используются при передаче трафика через магистраль поставщика. Никаких других знаний о сети поставщика услуг, помимо значений меток виртуальных каналов, клиенту не требуется. Недостаток этого подхода состоит в том, что поставщик не оперирует IP-трафиком клиента и, следовательно, не может оказывать дополнительные услуги, связанные с сервисами IP, а это сегодня очень перспективное направление бизнеса поставщиков услуг.

Главным недостатком сети L2VPN является ее сложность и достаточно высокая стоимость. При организации полносвязной топологии сайтов клиента зависимость операций конфи­ гурирования от числа сайтов имеет квадратичный характер (рис. 19.13, а).

Действительно, для соединения N сайтов необходимо создать N* (N - 1)/2 двунаправлен­ ных виртуальных каналов или N* (N - 1) однонаправленных. В частности, при значении N, равном 100, потребуется 5000 операций конфигурирования. И хотя они и выполняются с помощью автоматизированных систем администрирования, ручной труд и вероятность ошибки все равно сохраняются. При поддержке только услуг интранет общее количество конфигурируемых соединений прямо пропорционально количеству клиентов —и это хорошо! Но оказание услуг экстранет ухудшает ситуацию, так как подразумевает необхо­ димость обеспечить связь сайтов разных клиентов. Масштабируемость сети ATM/FR VPN можно улучшить, если клиент откажется от полносвязной топологии и организует связи типа «звезда» через один или несколько выделенных транзитных сайтов (рис. 19.13, 6). Конечно, производительность сети клиента при этом снизится, так как увеличится число транзитных передач информации. Однако экономия средств будет налицо —поставщики услуг взимают деньги за свои виртуальные каналы, как правило, «поштучно».

Сайты клиента

Рис. 19.13. Масштабируемость сети L2VPN

Клиенты сети ATM/FR VPN не могут нанести ущерб друг другу, а также атаковать 1Р-сеть поставщика. Сегодня поставщик услуг всегда располагает IP-сетью, даже если он оказывает только услуги ATM/FR VPN. Без IP-сети и ее сервисов администрирования он просто не сможет управлять своей сетью ATM/FR. IP-сеть является оверлейной (наложенной) по отношению к сетям ATM или FR, поэтому клиенты ATM/FR ничего не знают о ее струк­ туре и даже о ее наличии (рис. 19.14).

Сети клиента

Рис. 19.14. Оверлейная (а) и одноранговая (б) модели VPN

Сети MPLS VPN могут строиться как по схеме L2VPN, так и по другой схеме, исполь­ зующей протоколы трех уровней. Такие сети называют сетями VPN уровня 3 (Layer 3 VPN, L3VPN). В технологии L3VPN также применяется техника LSP для разграничения трафика клиентов внутри сети поставщика услуг, поддерживающей технологию MPLS.

Сеть L3VPN взаимодействует с сетями клиентов на основе ІР-адресов, a L2VPN —на осно­ ве адресной информации второго уровня, например МАС-адресов или идентификаторов виртуальных каналов Frame Relay.