【正文】 FC 2547bis的補(bǔ)充 ?在相同的核心網(wǎng)上運(yùn)行，使用相同的出境 LSP ? L2 VPN（幀中繼， ATM及 VLAN） 可被合并至一個(gè)IP/MPLS基礎(chǔ)設(shè)施平臺(tái)上 ? 與 CCC相比，標(biāo)記堆棧減少了 LSP的數(shù)量 29 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential ATM（ 或幀中繼） ATM（ 或幀中繼） DraftMartini 基于 MPLS的二層 VPN ? 繼承使用 CCC及 MPLS的經(jīng)驗(yàn) ? 在傳統(tǒng)實(shí)現(xiàn)方式的基礎(chǔ)上提高數(shù)據(jù)層面的可擴(kuò)展性 ? 標(biāo)記堆棧將多條 DLCI、 PVC， 或 VLAN合并到一條 LSP上去 ? 增加一個(gè)站點(diǎn)時(shí)，需在每條鏈路的兩端進(jìn)行實(shí)施 ? 專網(wǎng)路由為 CPE至 CPE PE PE LSP LSP 2 LSP 6 LSP 5 DLCI 600 DLCI 610 DLCI 506 DLCI 408 (MPLS 核心 ) CPE CPE 27 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 輸入 輸出 LSP 1 DLCI 600 LSP 2 DLCI 610 輸入 輸出 DLCI 600 10/8 DLCI 610 20/8 線路交叉連接（ CCC） ? 為基于 MPLS的二層 VPN提供基礎(chǔ) ? CPE與 PE間使用 FR/ATM接口 ? 服務(wù)提供商管理 PE間的 LSP全網(wǎng)狀互聯(lián) ? CPE基于子網(wǎng) /PVC映射對(duì) VPN業(yè)務(wù)進(jìn)行路由 ? 入口 PE將每條入境 PVC映射至一條專用 LSP ? 出口 PE將進(jìn)來(lái)的 LSP映射至出境 PVC CE CE DLCI 600 DLCI 610 LSP 1 LSP 2 DLCI 608 DLCI 605 PE PE CE 源 路由表 CCC 表 “好服務(wù)提供商” (美國(guó)區(qū)域 ) “好服務(wù)提供商” (歐洲區(qū)域 ) “好服務(wù)提供商” (亞洲區(qū)域 ) CCC 表 CCC 表 輸入 輸出 DLCI 605 LSP1 大型 IP/MPLS網(wǎng)絡(luò) CCC = 線路交叉連接 輸入 輸出 DLCI 608 LSP2 PE 25 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 3層 PPVPN缺點(diǎn) ? 基于策略的控制增加了提供商管理負(fù)擔(dān) ? 一些客戶希望維持控制他們的路由體系 23 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 虛擬路由器的問(wèn)題 ? VPN端點(diǎn)發(fā)現(xiàn) ? 多種選擇（ BGP， 組播， LDAP及其它） ? 路由可擴(kuò)展性 ? 必須在公網(wǎng)上運(yùn)行 多個(gè) 路由進(jìn)程 ? 互通性 ? 多種 VR實(shí)現(xiàn)方式 ? 沒(méi)有任何一個(gè)獲得“領(lǐng)導(dǎo)地位” ? 網(wǎng)間互聯(lián) ? 不像 2547bis那樣普通 21 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 三層 PPVPN： RFC 2547bis ? 使用 LDP或 RSVP建立 PE至 PE的標(biāo)記交換路徑（LSP） ? BGP用于發(fā)布 ? VPN相關(guān)信息（發(fā)現(xiàn)） ? VPN路由及可達(dá)信息 ? 每條 VPN LSP的標(biāo)記 （ 封裝在 PEPE LSP隧道中） ? 通過(guò)路由過(guò)濾進(jìn)行連接的限制 ? 靈活的、基于策略的控制機(jī)制 19 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 由提供商實(shí)施的 VPN： 三層與二層比較 ? 提供商路由器參與客戶三層路由 ? 提供商路由器管理與 VPN相關(guān)的路由表，將路由發(fā)布給遠(yuǎn)端站點(diǎn) ? CPE路由器將其路由廣播給提供商 ? 客戶將其三層路由映射至鏈路網(wǎng)絡(luò) ? 提供商為用戶的每個(gè)遠(yuǎn)端站點(diǎn)提供一條二層鏈路 ? 客戶路由對(duì)提供商透明 三層 二層 17 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential IPsec特點(diǎn) ? 從服務(wù)提供商處獲得普通 IP服務(wù) ? 使用現(xiàn)有路由器對(duì)受保護(hù)的數(shù)據(jù)包進(jìn)行轉(zhuǎn)發(fā) ? 自身不參與 QoS/SLA ? 提供商機(jī)會(huì)較小 ? 客戶管理自己的路由 ? 美國(guó)正逐步放寬對(duì)加密技術(shù)的出口限制 公司總部 分支辦公室 CPE CPE IPsec ESP 隧道模型 公共 Inter 15 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential CPEVPN： IPsec隧道模式 ? IPsec定義了 IETF三層安全性體系結(jié)構(gòu) ? 應(yīng)用 ? 高安全性要求，跨越一個(gè)或多個(gè)服務(wù)提供商 ? 用戶負(fù)責(zé)密匙管理 ? 安全性服務(wù)包括 ? 訪問(wèn)控制 ? 數(shù)據(jù)起源認(rèn)證 ? 重放保護(hù) ? 數(shù)據(jù)完整性 ? 數(shù)據(jù)私密性（加密） ? 密匙管理 13 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 日程： VPN 介紹 ? VPN概況 ? 基于 CPE的 VPN ? 由提供商實(shí)施的 VPN ? IETF標(biāo)準(zhǔn)更新 11 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 一個(gè) VPN模型 不能 滿足所有用戶 ！ ? 挑戰(zhàn)：客戶具有多種 VPN需求 ? 解決方案：建立靈活的、支持多業(yè)務(wù)的核心網(wǎng) ? 集成公共、半公共及專有業(yè)務(wù) ? 支持多種 VPN業(yè)務(wù)模式 站點(diǎn)數(shù) 用戶數(shù) 業(yè)務(wù)量 希望托管程度 職員專業(yè)技術(shù) 0 100 0 100 0 100 0 100 0 100 0 100 安全要求 9 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 90年代實(shí)施的 VPN ? 運(yùn)營(yíng)模式 ? PVC覆蓋在共享基礎(chǔ)設(shè)施（ ATM/幀中繼）之上 ? 用戶路由（或橋接）在用戶處實(shí)施 ? 優(yōu)點(diǎn) ? 更低的開(kāi)銷(xiāo)（相對(duì)于專線來(lái)講） ? 相對(duì)“安全” ? 局限 ? 可擴(kuò)展性及管理 ? 并不是一個(gè)完全集成的 IP解決方案 提供商幀中繼網(wǎng)絡(luò) CE CE DLCI 幀中繼交換機(jī) DLCI DLCI 幀中繼交換機(jī) 幀中繼交換機(jī) 7 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 日程： VPN介紹 ? VPN概況 ? 基于 CPE的 VPN ? 由提供商實(shí)施的 VPN ? IETF標(biāo)準(zhǔn)更新 5 Juniper Networks, Inc. Copyright 169。制勝的 VPN策略 日程安排 ? 虛擬專網(wǎng)（ VPN） 介紹 ? 運(yùn)營(yíng)模式： BGP/MPLS VPN （RFC 2547bis） ? 運(yùn)營(yíng)模式：二層 MPLS VPN ? 總結(jié) 2 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 第一部分 VPN介紹 日程： VPN介紹 ? VPN概況 ? 基于 CPE的 VPN ? 由服務(wù)商實(shí)施的 VPN ? IETF標(biāo)準(zhǔn)更新 4 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 什么是 VPN？ ? 專網(wǎng)是建立在共享基礎(chǔ)設(shè)施之上的 ? 虛擬：并不是一個(gè)獨(dú)立的物理網(wǎng)絡(luò) ? 專有：獨(dú)立的地址使用及路由 ? 網(wǎng)絡(luò)：一組能夠相互通信的設(shè)備的集合 ? 約束是關(guān)鍵 – 無(wú)限制的連通性并不是目的 共享 基礎(chǔ)設(shè)施 移動(dòng)用戶及遠(yuǎn)程用戶 遠(yuǎn)程接入 分支辦公室 公司總部 供應(yīng)商，合作伙伴及客戶 企業(yè)內(nèi)部互聯(lián)網(wǎng) 企業(yè)間互聯(lián)網(wǎng) 6 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 21世紀(jì)實(shí)施的 VPN ? 使用 IP基礎(chǔ)設(shè)施 ? 可以與 Inter業(yè)務(wù)共享 ? IP/MPLS（ 并不是 ATM/FR） 變得越來(lái)越為重要 ? 用戶需求 ? 更低的運(yùn)營(yíng)成本 ? 一個(gè)網(wǎng)絡(luò)為所有服務(wù)提供連接 ? 提供商需求 ? 可支持所有業(yè)務(wù)的多業(yè)務(wù)基礎(chǔ)設(shè)施 ? 創(chuàng)造更多盈利機(jī)會(huì) Inter 遠(yuǎn)程接入 企業(yè)內(nèi)部互聯(lián)網(wǎng) 企業(yè)間互聯(lián)網(wǎng) 移動(dòng)用戶及遠(yuǎn)程用戶 分支辦公室 公司總部 供應(yīng)商，合作伙伴及 客戶 8 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential VPN分類模型 ? 用戶管理的 VPN解決方案 （ CPEVPN） ? L2TP及 PPTP ? IPsec隧道模式 ? 提供商實(shí)施的 VPN解決方案 （ PPVPN） ? 基于 BGP/MPLS的 VPN （ RFC 2547bis） ? 虛擬路由器 ? 二層 MPLS VPN PE PE CPE CPE 用戶 站點(diǎn) 3 PPVPN 用戶 站點(diǎn) 2 CPE PE CPE PE PE PE CPE CPE CPEVPN VPN 隧道 用戶 站點(diǎn) 1 用戶 站點(diǎn) 3 用戶 站點(diǎn) 2 VPN 用戶 站點(diǎn) 1 10 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential CPEVPN： L2TP及 PPTP ? 應(yīng)用：遠(yuǎn)程用戶撥號(hào)接入 ? 二層隧道協(xié)議（ L2TP） ? RFC 2661 ? L2F及點(diǎn)到點(diǎn)隧道協(xié)議的組合 ? 點(diǎn)到點(diǎn)隧道協(xié)議（ PPTP） ? 與 Windows及 Windows NT捆綁 ? 在建立過(guò)程中進(jìn)行認(rèn)證 ? IPsec可在 PPP上運(yùn)行以提供更高的安全性 撥號(hào)接入提供商 調(diào)制解調(diào)器 PPP 撥號(hào) 服務(wù)提供商或 VPN L2TP 接入服務(wù)器 撥號(hào)接入 服務(wù)器 L2TP 隧道 撥號(hào)接入 服務(wù)器 PPTP 接入服務(wù)器 PPTP 隧道 12 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential CPEVPN： IPsec – 例子 ? 路由必須在 CPE處執(zhí)行 ? 隧道在用戶處終結(jié) ? 只有 CPE設(shè)備需要支持 IPsec ? 不需要對(duì)共享 /公共資源進(jìn)行修改 ? 封裝安全有效載荷（ ESP） 隧道模型 ? 認(rèn)證確保完整（ CPE至 CPE） ? 加密原有的報(bào)頭 /有效載荷通過(guò) Inter ? 支持私有地址空間 公司總部 分支辦公室 CPE CPE IPsec ESP 隧道模型 公共 Inter 14 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 日程： VPN 介紹 ? VPN概況 ? 基于 CPE的 VPN ? 由提供商實(shí)施的 VPN ? IETF標(biāo)準(zhǔn)更新 16 Juniper Networks, Inc. Copyright 169。 2023 Proprietary Confidential 三層 PPVPN： RFC 2547bis ? 應(yīng)用：外包 VPN ? PE為每個(gè)直連的 VPN站點(diǎn)維護(hù)與該站點(diǎn)相關(guān)的轉(zhuǎn)發(fā)表 ? 客戶與提供商間運(yùn)行傳統(tǒng) IP路由 ? 使用 BGP發(fā)布 VPN路由 ? 使用 MPLS在提供商骨干網(wǎng)中對(duì) VPN業(yè)務(wù)進(jìn)行轉(zhuǎn)發(fā) 服務(wù)提供商網(wǎng)絡(luò) 站點(diǎn) 1 站點(diǎn) 1 站點(diǎn) 2 站點(diǎn) 3 站點(diǎn) 2 站點(diǎn) 3 CE CE CE VRF VRF VRF VRF VRF PE PE PE P P PE P P P CE CE CE VR