2. 16.2. Виртуальная частная сеть mpls третьего уровня (mpls l3vpn)

В настоящем разделе рассмотрим построение виртуальных частных сетей на базе технологии MPLS (MPLS L3VPN). При этом доставка элемента данных протокола PDU от клиента до граничного маршрутизатора сети MPLS осуществляется с помощью пакета технологии IP (третий уровень согласно модели OSI).

1. 16.2.1. Общая модель mpls l3vpn

На рисунке 16.1 приведён пример общей модели MPLS L3VPN, состоящей из трёх виртуальных частных сетей VPN: VPN А, VPN В, VPN С. Ядро MPLS L3VPN состоит из внутренних маршрутизаторов провайдера P (Provider router) в магистральной сети (Backbone Network) MPLS и граничных маршрутизаторов провайдера PE (Provider Edge router). В общем случае в корпоративной сети может быть несколько территориально обособленных подсетей, которые принято называть сайтами. Например, о корпоративной сети с центральным отделением и тремя удалёнными филиалами можно сказать, что они состоят из четырёх сайтов. Маршрутизатор, с помощью которого сайт клиента подключается к граничному маршрутизатору провайдера РЕ, называется граничным маршрутизатором клиента CE (Customer Edge router). На рисунке 16.1 приведён пример VPN A с двумя сайтами, VPN В с тремя сайтами и VPN С с четырьмя сайтами.

Рис. 16.1. Пример общей модели MPLS L3VPN

2. 16.2.2. Таблицы маршрутизации в vpn

Маршрутизаторы CE и PE связаны обычным физическим каналом по протоколу канального уровня (например, PPP, Ethernet, FR, ATM). Магистральная сеть провайдера MPLS, состоящая из внутренних маршрутизаторов P, обеспечивает продвижение пакета с помощью меток. Граничные маршрутизаторы РЕ содержат VPN-маршрутизаторы для поддерживаемых сайтов VPN, а внутренние маршрутизаторы Р не содержат VPN-маршрутов. На каждом маршрутизаторе РЕ создается два типа таблиц маршрутизации:

39. глобальная таблица маршрутизации создаётся на основе сообщений из магистральной сети MPLS;

40. таблица маршрутизации VRF (VPN Routing and Forwarding table) создаётся на основе сообщений маршрутизации, поступающих от граничных маршрутизаторов СЕ и РЕ.

На рисунке 16.2 приведена общая схема формирования таблиц маршрутизации VPN в граничном маршрутизаторе.

Рис. 16.2. Общая схема формирования таблиц маршрутизации VPN в граничном маршрутизаторе

Для работы VPN с высокой степенью защиты от несанкционированного доступа необходимо, чтобы сведения о маршрутах не становились известными за пределами этих VPN. Глобальная таблица маршрутизации создаётся с помощью внутренних шлюзовых протоколов IGP (Interior Gateway Protocols) IP-сети, к которым относится протокол OSPF. Таблица маршрутизации создаётся этими протоколами на участке между РЕ и смежными с ним внутренними маршрутизаторами Р. Она включает метку для установки в исходящий информационный пакет из выходного маршрутизатора РЕ во входной маршрутизатор Р тракта LSP конкретной VPN. Эта метка устанавливается в исходящем пакете наверху стека. На рисунке 16.2 приведены три смежных с РЕ1 внутренних маршрутизатора Р. Таблица маршрутизации VRF создается протоколами маршрутизации IGP между РЕ и СЕ, а также протоколами BGP между граничными маршрутизаторами РЕ. Как показано на рисунке 16.1, граничный маршрутизатор РЕ может принадлежать одновременно нескольким VPN. Здесь РЕ2 принадлежит трём VPN (VPN А, VPN В, VPN С). Каждая таблица VRF в маршрутизаторе РЕ содержит необходимые данные маршрутизации для одного сайта (и, соответственно, одного маршрутизатора пользователя СЕ) одной VPN. Это обеспечивает эффективную изоляцию подсетей и позволяет разным предприятиям использовать перекрывающиеся множества частных IP-адресов. В таблице VRF маршрутизатора РЕ1 (рис. 16.2), подключенного к двум сайтам разных VPN (VPN А и VPN В), содержатся две таблицы – VRF А и VRF В. Если бы эти два сайта принадлежали одной и той же VPN, то число таблиц VRF также было бы две. В каждой VRF содержатся префикс подсети сайта, соседний СЕ и другие поля. Адреса подсетей (префиксы) могут совпадать. РЕ-маршрутизатор преобразует их в уникальные адреса.