Dự kiến kết quả
1.1 Giới thiệu công nghệ VPN
1.2 Lịch sử hình thành và phát triển của mạng VPN
1.4 Nguyên tắc hoạt động của VPN
1.5 Các chức năng, ưu và nhược điểm của VPN
II Chương 2: Công nghệ Dynamic Multipoint Virtual Private Network (DMVPN) 2.1 Công nghệ DMVPN
2.2 Các thành phần của DMVPN
2.4 Cách thức hoạt động DMVPN
2.5 Công nghệ sử dụng trong DMVPN
3 Chương 3: Thiết kế mạng DMVPN
3.1 Tìm hiểu các yêu cầu thực tế
3.2 Yêu cầu của đối tượng
3.3 Thiêt kê sơ đồ vật lý
3.4 Thiêt kê sơ đồ IP
3.5 Cấu hình DMVPN kêt nối trụ sở chính với các chi nhánh
Trương Trọng Ân Lưu Văn Cụi Ý kiến giáo viên hướng dẫn
PHIẾU NHẬN XÉT CỦA GIÁO VIÊN HƯỚNG DẪN 2
PHIẾU NHẬN XÉT CỦA GIÁO VIÊN PHẢN BIỆN 3
LỜI CẢM ƠN 4 ĐỀ CƯƠNG LUẬN VĂN TỐT NGHIỆP 5
DANH MỤC TỪ VIẾT TẮT 14
1 Tính cấp thiết của đề tài 15
2 Mục tiêu và nhiệm vụ nghiên cứu 15
3 Cách tiếp cận và phương pháp nghiên cứu 15
4 Những phương tiện công cụ để có thể triển khai 16
I CHƯƠNG 1: GIỚI THIỆU CÔNG NGHỆ VPN 17
Mạng VPN đã trải qua một lịch sử hình thành và phát triển đáng kể, đóng vai trò quan trọng trong việc bảo mật thông tin trực tuyến Định nghĩa VPN là một công nghệ cho phép kết nối mạng riêng ảo, giúp người dùng truy cập internet một cách an toàn và riêng tư Nguyên tắc hoạt động của VPN dựa trên việc mã hóa dữ liệu và tạo ra một đường hầm an toàn giữa người dùng và máy chủ Ngoài ra, mạng hybrid kết hợp các yếu tố của mạng riêng và mạng công cộng, mang lại lợi ích cho doanh nghiệp Doanh nghiệp sử dụng VPN để bảo vệ dữ liệu nhạy cảm và đảm bảo an toàn cho các giao dịch trực tuyến.
1.4.3 Các dạng và kỹ thuật VPN khác nhau 21
1.5 Các chức năng, ưu và nhược điểm của VPN 23
1.6 Các kiểu VPN trên router Cisco, Fix, Asa 23 1.6.1 VPN truy cập từ xa (Remote-Access) 24
1.6.2 VPN điểm-nối-điểm (Site-to-Site) 25
1.7 Mạng VPN mở rộng (extranet-based VPN) 27 II CHƯƠNG 2: CÔNG NGHỆ DYNAMIC MULTIPOINT VIRTUAL PRIVATE
1.1 Công nghệ DMVPN 29 1.2 Các thành phần của DMVPN 29 1.2.1 Đa điểm GRE (mGRE) 29
1.2.2 NHRP (Giao thức phân giải Next Hop) 33
1.3 Ưu điểm DMVPN 40 1.4 Cách thức hoạt động DMVPN 41 1.4.1 DMVPN Phase I, II, III 48
1.5 Cơ chế Tunnel và địa chỉ IP 51 1.6 Định tuyến trong DMVPN 52 1.6.1 Giới thiệu 52
1.6.7 Phân phối giữa các giao thức định tuyến 70
III CHƯƠNG 3: THIẾT KẾ MẠNG DMVPN 73
Để thực hiện một dự án hiệu quả, cần tìm hiểu các yêu cầu thực tế và yêu cầu của đối tượng liên quan Sơ đồ vật lý và mô hình triển khai cũng rất quan trọng trong quá trình thiết kế hệ thống Đặc biệt, cấu hình DMVPN sẽ giúp kết nối trụ sở chính với các chi nhánh một cách hiệu quả Cuối cùng, việc cấu hình IP trên các giao diện của các thiết bị như R1, R2, R3 và ISP là bước cần thiết để đảm bảo hệ thống hoạt động trơn tru.
2.5.2 Cấu hình IP tunnel, NHRP trên R1, R2 và R3 77
2.5.3 Cấu hình định tuyến OSPF 78
2.5.4 Cấu hình bảo mật IPSec 79
Hình 1 Mô hình VPN thông thường 14
Hình 2 Mô hình Hybrid Network 15
Hình 3 Mô hình VPN truy cập từ xa (Remote-Access) 19
Hình 4 Mô hình VPN Site-to-Site (Intranet Based) 20
Hình 5 Mô hình VPN Site-to-Site (Extranet-Based VPN) 22
Hình 6 Định dạng packet được đóng gói với GRE 23
Hình 7 Những tùy chọn của GRE header 24
Hình 8 Định dạng tùy chọn trong GRE header 24
Hình 9 Mô hình Point-to-Point GRE 25
Hình 10 Mô hình Point-to-Multipoint GRE (mGRE) 25
Hình 12 Mô hình các HQ và Branch 26
Hình 13 Mô hình các đường tunnel giữa các chi nhánh 26
Hình 15 Tunnel chi nhánh 1/2 hoặc 3/4 33
Hình 17 Gói IP đóng gói GRE 34
Hình 18 Cách hoạt động của NHRP với GRE đa điểm 35
Hình 19 Cách hoạt động của NHRP với GRE đa điểm 35
Hình 20 Cách hoạt động của NHRP với GRE đa điểm 36
Hình 21 Cách hoạt động của NHRP với GRE đa điểm 36
Hình 22 Cách hoạt động của NHRP với GRE đa điểm 37
Hình 23 Mô hình VPN với cơ chế Tunnel 38
Hình 25 Mô hình hệ thống mạng 40
Hình 26 Bảng định tuyến trên router 40
Hình 27 minh họa quá trình trao đổi thông tin định tuyến theo phương pháp distance-vector, trong khi Hình 28 thể hiện cách thức trao đổi thông tin định tuyến theo phương pháp link-state Cuối cùng, Hình 29 cung cấp một mô hình mạng ví dụ cho cấu hình định tuyến tĩnh.
Hình 30 Cấu hình default route 44
Hình 31 Mạng không liên tục 45
Hình 33 Cấu hình định tuyến OSPF 48
Hình 34 Mô hình mạng quảng bá thông tin định tuyến 49
Hình 35 Mô hình định tuyến động OSPF 50
Hình 36 Cách tính metric của EIGRP 51
Hình 38 Cấu hình chứng thực cho giao thức định tuyến EIGRP 53
Hình 39 Phân phối giữa các giao thức định tuyến 54
Hình 40 Phân phối định tuyến giữa RIP và OSPF 54
Hình 41 Sơ đồ vật lý 55
Hình 42 Mô hình triển khai 58
Hình 43 Cấu hình IP trên R1 59
Hình 44 Cấu hình IP trên R2 59
Hình 45 Cấu hình IP trên R3 59
Hình 46 Cấu hình IP trên ISP 59
Hình 47 Cấu hình IP tunnel và NHRP trên R1 59
Hình 48 Cấu hình IP tunnel và NHRP trên R2 60
Hình 49 Cấu hình IP tunnel và NHRP trên R3 60
Hình 50 Cấu hình thiết lập môi trường Multicast cho R1 60 Hình 51 Cấu hình thiết lập môi trường Multicast cho R2 60 Hình 52 Cấu hình thiết lập môi trường Multicast cho R3 60
Hình 53 Cấu hình định tuyến OSPF cho R1 60
Hình 54 Cấu hình định tuyến OSPF cho R2 61
Hình 55 Cấu hình định tuyến OSPF cho R3 61
Hình 57 Kết quả cấu hình NHRP 62
Hình 58 Kiểm tra trạng thái DMVPN 62
Hình 59 Bảng định tuyến trên R1 62
Hình 60 Kết quả cấu hình IPSec 62
Hình 61 Kiểm tra đường đi của gói tin 63
DANH MỤC TỪ VIẾT TẮT
Dynamic Multipoint Virtual Private Network(DMVPN)
Hash-based Message Authentication Code (HMAC)
Rivest, Shamir, and Adelman (RSA) Digital Signatures
Next Hop Resolution Protocol (NHRP)
Non-broadcast Multiple Access (NBMA)
Open Shortest Path First (OSPF)
Internet Security Association and Key Management Protocol (ISAKMP) Virtual Private Network(VPN)
1 Tính cấp thiết của đề tài
Ngày nay, sự bùng nổ của công nghệ thông tin và internet đã mang lại nhiều tiện ích mới, giúp mối quan hệ công việc trở nên thuận lợi hơn Nhân viên có thể làm việc hiệu quả tại nhà, trong khi các doanh nghiệp kết nối an toàn với đại lý và các đối tác hợp tác.
Công nghệ Virtual Private Network (VPN) đang ngày càng được các doanh nghiệp và công ty thương mại áp dụng rộng rãi Với VPN, việc truy cập tài nguyên nội bộ không còn bị giới hạn bởi khoảng cách địa lý, đồng thời giúp tiết kiệm chi phí và thời gian hiệu quả.
Khi triển khai công nghệ DMVPN, việc đảm bảo an ninh giữa các mạng là yếu tố quan trọng hàng đầu Giải pháp bảo mật cho mạng DMVPN cần được chú trọng, mặc dù công nghệ này không còn mới nhưng vẫn được ứng dụng rộng rãi.
Với những lý do đã nêu, tôi đã quyết định chọn đề tài “Nghiên cứu công nghệ Dynamic Multipoint Virtual Private Network” làm chủ đề nghiên cứu thực tập của mình.
2 Mục tiêu và nhiệm vụ nghiên cứu
Mục tiêu: giúp cho người đọc có thể nắm bắt được cách thức hoạt động và tầm quan trọng của công nghệ Dynamic Multipoint Virtual Private Network
- Tìm hiểu lý thuyết về VPN, DMVPN
- Xây dựng mô hình mạng DMVPN
- Thực hiện triển khai mô hình mạng EVE-NG (dự kiến)
3 Cách tiếp cận và phương pháp nghiên cứu
- Đối tượng: Nghiên cứu về DMVPN
- Phạm vi nghiên cứu: Nghiên cứu áp dụng cho mô hình mạng của doanh nghiệp vừa và nhỏ
+ Tìm hiểu trên các tài liệu học tập và tài liệu trên mạng
+ Tổng hợp và viết báo cáo
4 Những phương tiện công cụ để có thể triển khai
- Phần mềm EVE-NG (Dự kiến)
- Triển khai được các mô hình mạng DMVPN
- Ý nghĩa khoa học và thực tiễn Ý nghĩa khoa học
Tài liệu này hỗ trợ quản trị viên hệ thống mạng trong việc thiết lập các kết nối mạng an toàn với người dùng từ xa hoặc các chi nhánh công ty ở xa, mang lại ý nghĩa thiết thực cho việc bảo mật thông tin và duy trì hiệu quả hoạt động của doanh nghiệp.
Hệ thống mạng của doanh nghiệp hoặc tổ chức cần kết nối an toàn và hiệu quả với các mạng và người dùng từ xa, nhằm tối ưu hóa tài nguyên và giảm thiểu lãng phí Điều này không chỉ giúp tăng cường hiệu suất làm việc mà còn bảo vệ dữ liệu, tránh được nguy cơ mất mát thông tin quan trọng.
CHƯƠNG 1: GIỚI THIỆU CÔNG NGHỆ VPN
Lịch sử hình thành và phát triển của mạng VPN 17 1.2 Định nghĩa VPN 17 1.3 Nguyên tắc hoạt động của VPN 18 1.4 Hybrid network 19 1.4.1 Vì sao các doanh nghiệp lại sử dụng VPN
VPN không phải là công nghệ mới, mà đã tồn tại từ nhiều năm trước và trải qua nhiều giai đoạn phát triển VPN đầu tiên được phát triển bởi AT&T vào cuối những năm 80, được gọi là Software Defined Networks (SDN) Thế hệ thứ hai của VPN xuất hiện với sự ra đời của công nghệ X.25 và mạng dịch vụ tích hợp kỹ thuật số ISDN vào đầu những năm 90, cho phép truyền tải các gói dữ liệu qua các mạng chia sẻ chung.
Sau sự ra đời của thế hệ thứ hai của VPN, thị trường này đã trải qua giai đoạn tạm lắng cho đến khi công nghệ Frame Relay (FR) và Asynchronous Transfer Mode (ATM) xuất hiện Thế hệ thứ ba của VPN được phát triển dựa trên hai công nghệ này, tập trung vào khái niệm chuyển mạch kênh ảo Trong mô hình này, các gói dữ liệu không chứa địa chỉ nguồn và đích, mà thay vào đó, chúng sử dụng các con trỏ để chỉ đến các mạch ảo, nơi mà dữ liệu nguồn và đích sẽ được xử lý.
VPN là một công nghệ mạng riêng cho phép kết nối an toàn giữa các địa điểm hoặc người dùng từ xa với mạng LAN tại trụ sở chính thông qua Internet Thay vì sử dụng các kết nối vật lý phức tạp như đường dây thuê bao số, VPN tạo ra các kết nối ảo, giúp bảo mật thông tin và tối ưu hóa việc truy cập từ xa.
Mạng riêng ảo (VPN) là công nghệ giúp bảo mật và bảo vệ quyền riêng tư khi trao đổi dữ liệu trên mạng không an toàn VPN thực hiện việc này bằng cách đóng gói và mã hóa dữ liệu, đảm bảo thông tin được truyền đi một cách an toàn.
Hình 1 Mô hình VPN thông thường
1.3 Nguyên tắc hoạt động của VPN
Mạng riêng ảo (VPN) là một giải pháp mở rộng mạng nội bộ, cho phép kết nối qua các mạng chia sẻ hoặc công cộng như Internet Với VPN, người dùng có thể trao đổi dữ liệu an toàn giữa hai máy tính thông qua một liên kết điểm tới điểm Các gói tin được gửi qua VPN được mã hóa, giúp bảo vệ thông tin khỏi việc bị giải mã nếu bị chặn VPN sử dụng hạ tầng truyền thông công cộng nhưng vẫn duy trì tính riêng tư nhờ vào giao thức đường hầm và các thủ tục bảo mật Nó có thể kết nối một máy tính đến mạng riêng hoặc kết nối giữa hai mạng riêng với nhau.
Bảo mật trong VPN được đảm bảo thông qua quá trình "đường hầm" (tunneling), trong đó thông tin được đóng gói trong một gói IP khi truyền qua Internet Tại điểm đến, thông tin sẽ được giải mã bằng cách loại bỏ gói IP để khôi phục lại dữ liệu gốc.
Có bốn giao thức đường hầm phổ biến trong VPN, mỗi giao thức đều có những ưu điểm và nhược điểm riêng Bài viết này sẽ xem xét và so sánh các giao thức này dựa trên mục đích sử dụng của chúng.
● Point-to-Point Tunneling Protocol (PPTP)
Mô hình Hybrid Network khác biệt với Private Network, được thiết kế cho các trụ sở và văn phòng chính của công ty, cho phép truy cập và xử lý dữ liệu trên diện rộng Nó kết hợp đặc tính kỹ thuật của cả Private và Public Network, đảm bảo tính bảo mật cho doanh nghiệp trong khi vẫn giao tiếp với môi trường bên ngoài Hybrid Network điều hướng tất cả các kết nối và chia sẻ dữ liệu qua Private Network, trong khi phần còn lại của hệ thống, bao gồm việc gửi và xử lý thông tin, sử dụng Public Network Giống như Private Network, việc triển khai mô hình này yêu cầu người sử dụng có một đường truyền cố định – Dedicate để đảm bảo quy trình giao tiếp và quản lý thông tin ổn định.
Hình 2 Mô hình Hybrid Network
1.4.1 Vì sao các doanh nghiệp lại sử dụng VPN
Private Network có khả năng đảm bảo an toàn cho dữ liệu truyền tải và tốc độ truyền cao Hệ thống mạng này chỉ cần một đường truyền cố định để gửi và nhận thông tin đã được kiểm tra, mang lại hiệu quả và bảo mật tối ưu.
Hybrid Network kết hợp các ưu điểm của Private và Public Network, cho phép giao tiếp hiệu quả với môi trường bên ngoài Để đảm bảo an toàn, Hybrid Network sử dụng hai đường truyền cố định cho kết nối Public và Private riêng biệt Ví dụ, một tổ chức với bốn chi nhánh cần có đường truyền bảo mật để kết nối và truy cập qua hệ thống mạng WAN Để giải quyết vấn đề này, nhiều doanh nghiệp đã chọn sử dụng Virtual Private Network (VPN).
Hệ thống mạng Private và Hybrid thường có chi phí cao và yêu cầu đường truyền riêng để kết nối các node Công nghệ VPN giúp giảm đáng kể chi phí ban đầu và phát sinh so với mạng Public và Private, đồng thời cho phép doanh nghiệp sử dụng giao tiếp WAN để kết nối với các hệ thống tương ứng Mô hình này được gọi là hệ thống ảo vì không cần thiết bị vật lý để bảo mật dữ liệu VPN sử dụng nhiều chế độ mã hóa khác nhau để ngăn chặn xâm nhập từ hacker và các mối đe dọa khác, trong đó kỹ thuật tunneling đảm bảo an ninh cho dữ liệu và tương thích với nhiều hệ thống kỹ thuật khác.
Cơ chế hoạt động của VPN:
VPN hoạt động theo mô hình server-client tương tự như các hệ thống thông thường, trong đó server chịu trách nhiệm lưu trữ, chia sẻ dữ liệu đã mã hóa và quản lý kết nối với các client Client VPN gửi yêu cầu tới server để nhận thông tin dữ liệu chia sẻ, kết nối với các client khác trong cùng hệ thống và đảm bảo bảo mật dữ liệu thông qua ứng dụng được cung cấp.
VPN Tunneling: Đây chính là điểm khác biệt cơ bản nhất của VPN so với mạng LAN thông
21 thường Các bạn có thể hình dung đây là 1 dạng đường hầm trong đám mây Internet mà qua đó, các yêu cầu gửi và nhận dữ liệu hoạt động
Khái niệm Tunnel đóng vai trò quan trọng trong việc giải thích mô hình hoạt động của hệ thống mạng VPN Khi người dùng kết nối hoặc gửi dữ liệu qua VPN, giao thức Tunneling như PPTP, L2TP, và IPSec sẽ được mạng VPN sử dụng để bảo vệ và mã hóa thông tin.
Toàn bộ thông tin được gói vào một package, mã hóa và gửi qua tunnel Tại điểm nhận, các giao thức tunneling sẽ giải mã các package, lọc nội dung gốc và kiểm tra nguồn gốc cùng các thông tin, dữ liệu phân loại khác.
Việc phân loại Tunneling dựa trên nguồn gốc bắt đầu các kết nối Và qua đó, có
2 loại chính, đó là Compulsory và Voluntary Tunneling
Compulsory Tunneling được khởi tạo bởi Network Access Server mà không cần thông tin từ người sử dụng Các client VPN không được phép truy cập thông tin trên server VPN, vì chúng không chịu trách nhiệm kiểm soát các kết nối mới Compulsory Tunneling hoạt động ngay lập tức giữa server và client VPN, đảm bảo tính hợp pháp của tài khoản client với server VPN.
Các kiểu VPN trên router Cisco, Fix, Asa 23 1 VPN truy cập từ xa (Remote-Access)
VPN nhằm hướng vào 3 yêu cầu cơ bản sau đây:
Người dùng có thể dễ dàng truy cập vào các tài nguyên mạng của tổ chức mọi lúc mọi nơi thông qua máy tính để bàn hoặc máy tính xách tay, hỗ trợ hiệu quả cho việc giao tiếp giữa các nhân viên.
- Nối kết thông tin liên lạc giữa các chi nhánh văn phòng từ xa
VPN được sử dụng để kiểm soát quyền truy cập vào tài nguyên mạng của khách hàng, nhà cung cấp và các đối tượng quan trọng trong công ty, nhằm phục vụ cho việc hợp tác kinh doanh Dựa trên nhu cầu này, VPN hiện nay đã phát triển và được chia thành hai loại chính.
● VPN truy cập từ xa (Remote-Access)
● VPN điểm-nối-điểm (Site-to-Site)
1.6.1 VPN truy cập từ xa (Remote-Access)
VPN truy cập từ xa cho phép người dùng kết nối đến mạng LAN của tổ chức từ bất kỳ đâu, sử dụng máy tính để bàn, máy tính xách tay hoặc thiết bị di động Điều này đặc biệt hữu ích cho những nhân viên thường xuyên di chuyển hoặc các văn phòng chi nhánh nhỏ không có kết nối ổn định đến mạng Intranet.
Hình 3 Mô hình VPN truy cập từ xa (Remote-Access)
Các ưu điểm của mạng VPN truy nhập từ xa so với các phương pháp truy nhập từ xa truyền thống như:
- Mạng VPN truy nhập từ xa không cần sự hỗ trợ của nhân viên mạng bởi vì quá trình kết nối từ xa được các ISP thực hiện
Việc sử dụng mạng Internet giúp giảm chi phí kết nối từ khoảng cách xa, khi mà các kết nối xa được thay thế bằng các kết nối cục bộ.
- Cung cấp dịch vụ kết nối giá rẻ cho những người sử dụng ở xa
- Bởi vì các kết nối truy nhập là nội bộ nên các Modem kết nối hoạt động ở tốc độ cao hơn so với các truy nhập khoảng cách xa
- VPN cung cấp khả năng truy nhập tốt hơn đến các site của công ty bởi vì chúng hỗ trợ mức thấp nhất của dịch vụ kết nối
Mặc dù có nhiều ưu điểm nhưng mạng VPN truy nhập từ xa vẫn còn những nhược điểm cố hữu đi cùng như:
- Mạng VPN truy nhập từ xa không hỗ trợ các dịch vụ đảm bảo QoS
- Nguy cơ bị mất dữ liệu cao Hơn nữa, nguy cơ các gói có thể bị phân phát không đến nơi hoặc mất gói
- Bởi vì thuật toán mã hóa phức tạp, nên tiêu đề giao thức tăng một cách đáng kể
1.6.2 VPN điểm-nối-điểm (Site-to-Site)
Site-to-Site VPN là phương pháp kết nối nhiều văn phòng trụ sở xa nhau thông qua thiết bị chuyên dụng và đường truyền được mã hóa trên Internet Nó bao gồm hai loại chính, cho phép doanh nghiệp thiết lập mạng lưới an toàn và hiệu quả giữa các địa điểm khác nhau.
Nếu công ty có nhiều trụ sở xa nhau và muốn kết nối chúng thành một mạng riêng duy nhất, việc tạo ra một intranet VPN và thiết lập kết nối Lan-to-Lan là giải pháp hiệu quả.
Khi một công ty có mối quan hệ chặt chẽ với các đối tác, nhà cung cấp hoặc khách hàng, họ có thể thiết lập một mạng extranet VPN Điều này cho phép kết nối Lan-to-Lan, tạo ra một môi trường chia sẻ riêng biệt trên nền tảng Internet, giúp các công ty dễ dàng hợp tác và trao đổi thông tin.
VPN có thể được triển khai trên nhiều nền tảng khác nhau như X.25, Frame Relay, ATM và Internet Mỗi môi trường này mang đến những đặc điểm kỹ thuật riêng biệt và khả năng đáp ứng nhu cầu của khách hàng cũng khác nhau.
Mạng VPN cục bộ (Intranet-based VPN)
Các VPN cục bộ bảo mật kết nối giữa các địa điểm khác nhau của công ty, liên kết trụ sở chính, văn phòng và chi nhánh qua một hạ tầng chung Với các kết nối mã hóa, VPN cho phép tất cả các địa điểm truy cập an toàn vào các nguồn dữ liệu được phép trong toàn bộ mạng công ty.
Những VPN này mang lại các đặc điểm của mạng WAN, bao gồm khả năng mở rộng, độ tin cậy và hỗ trợ nhiều giao thức khác nhau với chi phí thấp, đồng thời vẫn giữ được tính linh hoạt Thường thì, kiểu VPN này được cấu hình dưới dạng VPN Site-to-Site.
Những ưu điểm chính của mạng cục bộ dựa trên giải pháp VPN bao gồm:
- Các mạng lưới cục bộ hay toàn bộ có thể được thiết lập (với điều kiện mạng thông qua một hay nhiều nhà cung cấp dịch vụ)
- Giảm được số nhân viên kỹ thuật hỗ trợ trên mạng đối với những nơi xa
- Bởi vì những kết nối trung gian được thực hiện thông qua mạng Internet, nên nó có thể dễ dàng thiết lập thêm một liên kết ngang cấp mới
Tiết kiệm chi phí nhờ vào lợi ích của việc sử dụng đường ngầm VPN qua Internet kết hợp với công nghệ chuyển mạch tốc độ cao như Frame Relay và ATM.
Tuy nhiên mạng cục bộ dựa trên giải pháp VPN cũng có những nhược điểm đi cùng như:
Dữ liệu được truyền qua mạng công cộng như Internet, dẫn đến những mối đe dọa về bảo mật dữ liệu và chất lượng dịch vụ (QoS).
- Khả năng các gói dữ liệu bị mất trong khi truyền dẫn vẫn còn khá cao
Truyền dẫn khối lượng lớn dữ liệu đa phương tiện với yêu cầu tốc độ cao và đảm bảo thời gian thực là một thách thức lớn trong môi trường Internet.
Mạng VPN mở rộng (extranet-based VPN) 27 II CHƯƠNG 2: CÔNG NGHỆ DYNAMIC MULTIPOINT VIRTUAL PRIVATE
Mạng VPN mở rộng cung cấp khả năng kiểm soát truy cập tới các nguồn tài nguyên cần thiết cho các đối tượng kinh doanh như đối tác, khách hàng và nhà cung cấp Nó tạo ra một đường hầm bảo mật giữa các bên thông qua hạ tầng công cộng, sử dụng kết nối được bảo mật và cấu hình như một VPN Site-to-Site Sự khác biệt giữa VPN cục bộ và VPN mở rộng nằm ở việc truy cập mạng được công nhận tại một trong hai đầu cuối của VPN.
Hình 5 Mô hình VPN Site-to-Site (Extranet-Based VPN)
- Chi phí cho mạng VPN mở rộng thấp hơn rất nhiều so với mạng truyền thống
- Dễ dàng thiết lập, bảo trì và dễ dàng thay đổi đối với mạng đang hoạt động
Mạng VPN mở rộng, dựa trên nền tảng Internet, mang lại nhiều cơ hội cho việc cung cấp dịch vụ và lựa chọn giải pháp phù hợp với nhu cầu đa dạng của từng công ty.
Việc nhà cung cấp dịch vụ Internet bảo trì các kết nối Internet giúp giảm số lượng nhân viên kỹ thuật hỗ trợ mạng, từ đó làm giảm chi phí vận hành toàn bộ hệ thống mạng.
Bên cạnh những ưu điểm ở trên giải pháp mạng VPN mở rộng cũng còn những nhược điểm đi cùng như:
- Khả năng bảo mật thông tin, mất dữ liệu trong khi truyền qua mạng công cộng vẫn tồn tại
Truyền dẫn khối lượng lớn dữ liệu đa phương tiện với tốc độ cao và đảm bảo thời gian thực là một thách thức lớn trong môi trường Internet hiện nay.
- Làm tăng khả năng rủi ro đối với các mạng cục bộ của công ty
II CHƯƠNG 2: CÔNG NGHỆ DYNAMIC MULTIPOINT VIRTUAL
Công nghệ DMVPN 29 1.2 Các thành phần của DMVPN 29 1.2.1 Đa điểm GRE (mGRE)
Dynamic Multipoint Virtual Private Network (DMVPN) là sự kết hợp của các công nghệ: IPSec, mGRE và NHRP
IPSec: Mã hóa dữ liệu, cung cấp những tính năng chứng thực và toàn vẹn dữ liệu
GRE: Thiết lập những “đường hầm” (tunnel) cho phép đóng gói bất kì gói tin nào của lớp network Ngoài ra GRE còn có thể định tuyến trên tunnel
NHRP là giao thức cho phép ánh xạ địa chỉ tunnel sang địa chỉ trên cổng vật lý của Router, giúp giải quyết vấn đề khi các spoke có thể sử dụng địa chỉ IP động được cấp bởi ISP.
Các công nghệ này kết hợp lại cho phép triển khai IPSec trong DMVPN một cách dễ dàng, linh động và an toàn
1.2 Các thành phần của DMVPN
GRE (Generic Routing Encapsulation) là giao thức do Cisco phát triển, cho phép đóng gói nhiều loại gói tin vào các IP tunnels, tạo nên các kết nối điểm-điểm ảo Các IP tunnel này hoạt động trên hạ tầng mạng công cộng.
GRE bổ sung tối thiểu 24 byte vào gói tin, bao gồm 20 byte cho header IP mới và 4 byte cho header GRE Ngoài ra, GRE có thể thêm 12 byte mở rộng tùy chọn để cung cấp các tính năng tin cậy như checksum, khóa xác thực và số thứ tự.
Hình 6 Định dạng packet được đóng gói với GRE
GRE là một công cụ tạo tunnel đơn giản nhưng hiệu quả, có khả năng tạo tunnel cho bất kỳ giao thức lớp 3 nào Nó cho phép các giao thức định tuyến hoạt động trên kênh truyền của mình, mặc dù không có cơ chế bảo mật tốt.
IPSec mang lại độ tin cậy cao, vì vậy các quản trị viên thường kết hợp GRE với IPSec để nâng cao tính bảo mật Sự kết hợp này không chỉ tăng cường an ninh mà còn hỗ trợ IPSec trong việc định tuyến và truyền tải các gói tin có địa chỉ IP Multicast.
GRE header có kích thước tối thiểu là 4 byte, không bao gồm các tùy chọn bổ sung Hai byte đầu tiên chứa các cờ (flags) để xác định các tùy chọn GRE Nếu các tùy chọn này được kích hoạt, chúng sẽ được thêm vào GRE header Bảng dưới đây sẽ mô tả chi tiết các tùy chọn của GRE header.
Hình 7 Những tùy chọn của GRE header
Trong GRE, 2 byte còn lại được sử dụng để chỉ định trường giao thức, với 16 bits xác định kiểu gói tin trong GRE tunnel Hình ảnh minh họa cách một gói tin GRE với tất cả tùy chọn được gán vào header IP và dữ liệu.
Hình 8 Định dạng tùy chọn trong GRE header Phân loại GRE
GRE là giao thức có thể đóng gói bất kì gói tin nào của lớp network
GRE cung cấp khả năng có thể định tuyến giữa những mạng riêng (private network) thông qua môi trường
Internet bằng cách sử dụng các địa chỉ
IP đã được định tuyến GRE truyền thống là point-to-point, còn mGRE là
Mô hình Point-to-Point GRE mở rộng khái niệm bằng cách cho phép một tunnel kết nối đến nhiều điểm đích Tunnel mGRE là thành phần cơ bản nhất trong DMVPN.
Trong cấu hình tunnel GRE point-to-point, mỗi router nhánh (R2 và R3) sẽ thiết lập một tunnel kết nối trực tiếp đến router HUB (R1) Ngược lại, router HUB cần cấu hình hai tunnel, một đến R2 và một đến R3 Mỗi tunnel yêu cầu một địa chỉ IP riêng biệt.
Giả sử mô hình trên được mở rộng thành nhiều spoke, thì trên R1 cần phải cấu hình phức tạp và tốn không gian địa chỉ IP.
Trong tunnel GRE point-to-point, dữ liệu chỉ được truyền khi điểm đầu và cuối đã được xác định Tuy nhiên, nếu địa chỉ đích là multicast (ví dụ: 224.0.0.5), thì GRE point-to-point sẽ không hoạt động Để giải quyết vấn đề này, cần sử dụng mGRE.
Point-to-Multipoint GRE (mGRE)
mGRE giải quyết vấn đề địa chỉ multicast, là tính năng chính để thực hiện Multicast VPN trong Cisco IOS Do điểm cuối chưa được xác định, mGRE cần một giao thức để ánh xạ địa chỉ tunnel sang địa chỉ cổng vật lý, được gọi là NHRP (Next Hop Resolution Protocol).
Hình 10 Mô hình Point-to-Multipoint GRE (mGRE)
1.2.2 NHRP (Giao thức phân giải Next Hop)
Hình 11 Mô hình NHRP Đầu tiên, chúng ta cùng tìm hiểu Next Hop Resolution Protocol là gì?
The Next Hop Resolution Protocol (NHRP) facilitates automatic registration of Next Hop Clients (NHC) with Next Hop Servers (NHS) In the context of a dynamic multipoint virtual private network (DMVPN), the NHC functions as a spoke router while the NHS serves as a hub router Once all clients are registered, spoke routers can identify other spoke routers within the same Non-broadcast Multiple Access (NBMA) network.
Một cách để hiểu về NHRP là so sánh nó với các cuộc gọi điện thoại Trong một mạng sử dụng NHRP, mọi người như có điện thoại di động, có thể giao tiếp trực tiếp với nhau Ngược lại, một mạng cần phải định tuyến tất cả các liên lạc giữa các client và server thông qua nhà cung cấp dịch vụ internet (ISP), giống như một thị trấn với tổng đài kiểu cũ.
Khi một tổng đài điện thoại tại một thị trấn phải xử lý quá nhiều cuộc gọi cùng lúc, người điều hành có thể bị quá tải với công việc lặp đi lặp lại như cắm và rút cáp Tương tự, nhà cung cấp dịch vụ Internet (ISP) hoạt động như một trung tâm chính cho mọi thông tin liên lạc, có thể gặp tình trạng quá tải khi nhận và chuyển tiếp liên tục các yêu cầu.
Với lệnh NHRP, mạng của bạn trở nên linh hoạt như một thị trấn, cho phép các khách hàng tương tác trực tiếp thông qua địa chỉ IP Public của họ Điều này tạo điều kiện cho việc kết nối và giao tiếp hiệu quả giữa các client trong mạng next-hop.
Ưu điểm DMVPN 40 1.4 Cách thức hoạt động DMVPN 41 1.4.1 DMVPN Phase I, II, III
DMVPN cho phép mở rộng những mạng IPSec VPN Ngoài ra nó còn có một số thuận lợi như sau:
Giảm độ phức tạp trong việc cấu hình trên router hub, cho phép tự động thêm nhiều kênh mà không cần can thiệp vào cấu hình của hub.
- Bảo đảm các packet được mã hóa khi truyền đi
- Hỗ trợ nhiều giao thức định tuyến động chạy trên DMVPN tunnels
- Khả năng thiết lập động và trực tiếp giữa các kênh spoke-to-spoke IPSec giữa các site mà không cần thông qua hub (nhờ mGRE và NHRP)
- Hỗ trợ các spoke router với những địa chỉ IP vật lý động (được cấp bởi ISP)
DMVPN là công nghệ mạng ảo riêng ảo, mang lại nhiều lợi ích vượt trội so với VPN truyền thống Bài viết này sẽ giới thiệu tổng quan về DMVPN, nêu rõ những ưu điểm của nó và trong các phần tiếp theo, sẽ đi sâu vào các công nghệ liên quan và cách thức hoạt động của DMVPN.
1.4 Cách thức hoạt động DMVPN
Các đường hầm GRE thông thường không mở rộng quy mô hiệu quả cho mạng công ty Ví dụ, khi kết nối nhiều trang web qua Internet, một bộ định tuyến đại diện cho trụ sở chính và bốn văn phòng chi nhánh có thể gặp khó khăn trong việc đáp ứng các yêu cầu kết nối.
- Mỗi văn phòng chi nhánh phải được kết nối với HQ
- Giao thông giữa Nhánh 1 và Nhánh 2 phải được đào hầm trực tiếp
Để kết nối Chi nhánh 3 và Chi nhánh 4, việc đào hầm trực tiếp là cần thiết Chúng ta sẽ tiến hành cấu hình một loạt các đường hầm GRE để thực hiện điều này.
Mọi thứ có thể trở nên hỗn loạn nhanh chóng khi chúng ta cần tạo nhiều giao diện đường hầm và thiết lập địa chỉ IP nguồn và đích Dù hệ thống vẫn hoạt động, nhưng sự phức tạp này không phải là điều lý tưởng.
Hình 12 Mô hình các HQ và Branch
Mô hình các đường tunnel giữa các chi nhánh là một giải pháp mở rộng hiệu quả Multipoint GRE cho phép kết nối nhiều điểm đến, mang lại sự linh hoạt trong việc thiết lập mạng lưới Khi áp dụng công nghệ này, hình ảnh mạng của chúng ta có thể được cải thiện đáng kể.
Khi sử dụng GRE Multipoint, mỗi bộ định tuyến chỉ có một giao diện đường hầm duy nhất Chẳng hạn, trụ sở chính (HQ) sẽ thiết lập một đường hầm tới từng văn phòng chi nhánh Vậy nếu văn phòng chi nhánh 1/2 và 3/4 cần có đường hầm trực tiếp, thì vấn đề này sẽ được giải quyết như thế nào?
DMVPN sử dụng GRE đa điểm để kết nối nhiều điểm đến, cho phép tự động xây dựng các đường hầm mới giữa các văn phòng chi nhánh khi cần thiết Điều này tạo ra một cấu trúc liên kết linh hoạt và hiệu quả cho việc truyền tải dữ liệu.
Hình 15 Tunnel chi nhánh 1/2 hoặc 3/4
Khi có lưu lượng truy cập giữa các văn phòng chi nhánh, việc gửi dữ liệu qua đường hầm trực tiếp thay vì thông qua bộ định tuyến tại trụ sở chính có thể mang lại lợi ích Tuy nhiên, phương pháp này cũng tiềm ẩn một số vấn đề cần được xem xét.
Khi cấu hình đường hầm GRE điểm-điểm, việc thiết lập địa chỉ IP nguồn và đích là rất quan trọng để tạo ra đường hầm Để hai bộ định tuyến nhánh có thể thiết lập đường hầm cho lưu lượng, cần xác định địa chỉ IP sẽ được sử dụng.
Hình 16 Địa chỉ Destination Ở trên chúng ta có HQ của chúng ta và hai bộ định tuyến nhánh, nhánh 1 và nhánh
2 Mỗi bộ định tuyến được kết nối với Internet và có địa chỉ IP công cộng:
Trên giao diện đường hầm đa điểm GRE, chúng tôi sử dụng một mạng con duy nhất với các địa chỉ IP riêng sau:
Khi chúng ta thực hiện việc gửi một ping từ giao diện đường hầm của branch1 đến giao diện đường hầm của branch2, gói IP được đóng gói trong GRE sẽ có cấu trúc cụ thể.
Gói IP đóng gói GRE chứa địa chỉ IP nguồn và đích "bên trong" của các giao diện đường hầm Chúng tôi thêm tiêu đề GRE vào gói IP và cần điền địa chỉ IP nguồn và đích "bên ngoài" để gói tin có thể được định tuyến trên Internet Bộ định tuyến nhánh1 biết địa chỉ IP công cộng của mình nhưng không biết địa chỉ IP công cộng của nhánh2 Để giải quyết vấn đề này, chúng tôi cần sự hỗ trợ từ một giao thức khác.
NHRP (Giao thức phân giải Next Hop)
Chúng tôi sử dụng giao thức NHRP (Next Hop Resolution Protocol) để giúp bộ định tuyến nhánh 1 xác định địa chỉ IP công cộng của bộ định tuyến nhánh 2 Dưới đây là cách thức hoạt động của NHRP.
- Một bộ định tuyến sẽ là máy chủ NHRP
- Tất cả các bộ định tuyến khác sẽ là máy khách NHRP
- Máy khách NHRP tự đăng ký với máy chủ NHRP và báo cáo địa chỉ IP công cộng của họ
- Máy chủ NHRP theo dõi tất cả các địa chỉ IP công cộng trong bộ nhớ cache của nó
Khi một bộ định tuyến cần gửi thông tin đến một bộ định tuyến khác, nó sẽ yêu cầu máy chủ NHRP cung cấp địa chỉ IP công cộng của bộ định tuyến đích.
NHRP áp dụng mô hình máy chủ và máy khách, do đó việc sử dụng cấu trúc liên kết và cấu trúc liên kết đa điểm cho GRE đa điểm là hợp lý Trong đó, máy chủ NHRP đóng vai trò là bộ định tuyến trung tâm, trong khi tất cả các bộ định tuyến khác sẽ hoạt động như nan hoa.
Cơ chế Tunnel và địa chỉ IP 51 1.6 Định tuyến trong DMVPN 52 1.6.1 Giới thiệu
VPN tạo ra một đường hầm để kết nối và bảo mật giao tiếp trực tuyến Hình minh họa dưới đây sẽ giúp bạn hình dung rõ hơn về cách mà VPN hoạt động trong việc bảo vệ thông tin cá nhân và duy trì quyền riêng tư khi lướt web.
Hình 23 Mô hình VPN với cơ chế Tunnel
Tunnel là một cơ chế, hay còn gọi là đường ống, có chức năng ẩn giấu dữ liệu A bằng cách bao bọc nó trong một lớp dữ liệu khác.
Mô hình truyền thông được thiết kế để dễ hiểu, thực tế công việc này liên quan đến việc gắn thêm một header riêng vào dữ liệu, nhằm xác định rằng gói dữ liệu đó thuộc định dạng của B.
Mô hình minh họa này nhấn mạnh tầm quan trọng của địa chỉ IP trong việc truyền tải gói dữ liệu Địa chỉ IP đóng vai trò thiết yếu trong việc xác định nguồn gốc và đích đến của thông tin được gửi đi.
A, đã có địa chỉ ip của riêng nó và của đích mà
Khi được tunnel hóa, dữ liệu sẽ bao gồm địa chỉ IP nguồn và đích, được gọi là IP tunnel Giao tiếp giữa hai địa chỉ IP tunnel này được gọi là Tunnel Interface Về mặt lý thuyết, giữa hai đầu của tunnel có thể hiểu như một sợi cáp mạng kết nối hai điểm cần giao tiếp.
Mục đích của việc tạo tunnel là che giấu địa chỉ IP private bằng địa chỉ IP public, giúp hai hệ thống mạng private giao tiếp với nhau Tại đầu gửi, địa chỉ IP private được gói trong một gói dữ liệu mới với header chứa địa chỉ IP public, và thông qua tunnel, gói dữ liệu này được gửi đến đầu nhận có địa chỉ IP public Tại đầu nhận, gói dữ liệu được tháo ra để lấy thông tin bên trong và trả về cho mạng private.
1.6.1 Giới thiệu Định tuyến là chức năng của router giúp xác định đường đi cho các gói tin từ nguồn tới đích thông qua hệ thống mạng
Hình 25 Mô hình hệ thống mạng
Router dựa vào địa chỉ IP đích (destination IP) trong các gói tin và sứ dụng bảng định tuyến (routing table) đề xác định đường đi cho chúng
Hình 26 Bảng định tuyến trên router
Trong bảng định tuyến, mỗi mạng mà router có khả năng chuyển tiếp (mạng đích) được thể hiện bằng một dòng Mạng này có thể là mạng mà router đang kết nối trực tiếp hoặc mạng mà router đã học được thông qua cấu hình định tuyến.
Có hai loại định tuyến chính: định tuyến tĩnh và định tuyến động Định tuyến tĩnh là phương pháp mà router sử dụng các tuyến đường cố định để truyền dữ liệu, với các tuyến đường này được cấu hình thủ công bởi người quản trị Ngược lại, định tuyến động cho phép router sử dụng các tuyến đường thay đổi, nhờ vào việc trao đổi thông tin qua các giao thức định tuyến động, giúp tối ưu hóa quá trình vận chuyển dữ liệu.
Một số giao thức định tuyến động phổ biến: RIP, OSPF, BGP,
Trong định tuyến động, người ta chia ra thành 2 loại: distance- vector và link- state
Hình 27 Trao đổi thông tin định tuyến dạng distance-vector
Distance vector routing routers periodically send their entire routing table to directly connected neighboring routers.
Các router này hoạt động mà không có thông tin cụ thể về lộ trình đến đích, không nhận biết được các router trung gian và cấu trúc kết nối giữa chúng.
Bảng định tuyến lưu trữ kết quả của các tuyến đường tối ưu mà mỗi router đã chọn Khi các router trao đổi bảng định tuyến, chúng sẽ lựa chọn tuyến đường dựa trên thông tin từ các router lân cận Mỗi router hiểu hệ thống mạng dưới sự ảnh hưởng của các router xung quanh.
Router định tuyến theo "distance vector" thường cập nhật thông tin định tuyến theo chu kỳ, dẫn đến việc tiêu tốn băng thông Khi có sự thay đổi, router phát hiện đầu tiên sẽ cập nhật bảng định tuyến của mình trước và sau đó chia sẻ bảng cập nhật này với các router lân cận.
Giao thức định tuyến thuộc loại này: RIP
Hình 28 Trao đổi thông tin định tuyến dạng link-state
Trong các giao thức định loại link-state, router trao đổi LSA (link state advertisement) để xây dựng và duy trì cơ sở dữ liệu về trạng thái đường liên kết, hay còn gọi là cơ sở dữ liệu cấu trúc mạng (topology database) Thông tin này được gửi dưới dạng multicast.
Mỗi router trong hệ thống mạng có khả năng hiểu rõ cấu trúc mạng, từ đó áp dụng thuật toán Shortest Path First (SPF) để xác định và chọn lựa đường đi ngắn nhất đến các mạng đích.
Khi các router định tuyến theo link state hoàn tất quá trình hội tụ, chúng không thực hiện cập nhật định tuyến định kỳ mà chỉ cập nhật khi có sự thay đổi Điều này giúp thời gian hội tụ diễn ra nhanh chóng và tiết kiệm băng thông.
