16.2.2. Таблицы маршрутизации в vprn
Маршрутизаторы CE и PE связаны обычным физическим каналом по протоколу канального уровня (например, PPP, Ethernet, FR, ATM). Магистральная сеть провайдера MPLS, состоящая из внутренних маршрутизаторов P, обеспечивает продвижение пакета с помощью меток. Граничные маршрутизаторы РЕ содержат VPN-маршрутизаторы для поддерживаемых сайтов VPN, а внутренние маршрутизаторы Р не содержат VPN-маршрутов. На каждом маршрутизаторе РЕ создается два типа таблиц маршрутизации:
глобальная таблица маршрутизации создаётся на основе сообщений из магистральной сети MPLS;
таблица маршрутизации VRF (VPN Routing and Forwarding table) создаётся на основе сообщений маршрутизации, поступающих от граничных маршрутизаторов СЕ и РЕ.
На рисунке 16.2 приведена общая схема формирования таблиц маршрутизации VPN в граничном маршрутизаторе.
Рис. 16.2. Общая схема формирования таблиц маршрутизации VPN в граничном маршрутизаторе
Для работы VPN с высокой степенью защиты от несанкционированного доступа необходимо, чтобы сведения о маршрутах не становились известными за пределами этих VPN. Глобальная таблица маршрутизации создаётся с помощью внутренних шлюзовых протоколов IGP (Interior Gateway Protocols) IP-сети, к которым относится протокол OSPF. Таблица маршрутизации создаётся этими протоколами на участке между РЕ и смежными с ним внутренними маршрутизаторами Р. Она включает метку для установки в исходящий информационный пакет из выходного маршрутизатора РЕ во входной маршрутизатор Р тракта LSP конкретной VPN. Эта метка устанавливается в исходящем пакете наверху стека. На рисунке 16.2 приведены три смежных с РЕ1 внутренних маршрутизатора Р. Таблица маршрутизации VRF создается протоколами маршрутизации IGP между РЕ и СЕ, а также протоколами BGP между граничными маршрутизаторами РЕ. Как показано на рисунке 16.1, граничный маршрутизатор РЕ может принадлежать одновременно нескольким VPN. Здесь РЕ2 принадлежит трём VPN (VPN А, VPN В, VPN С). Каждая таблица VRF в маршрутизаторе РЕ содержит необходимые данные маршрутизации для одного сайта (и, соответственно, одного маршрутизатора пользователя СЕ) одной VPN. Это обеспечивает эффективную изоляцию подсетей и позволяет разным предприятиям использовать перекрывающиеся множества частных IP-адресов. В таблице VRF маршрутизатора РЕ1 (рис. 16.2), подключенного к двум сайтам разных VPN (VPN А и VPN В), содержатся две таблицы – VRF А и VRF В. Если бы эти два сайта принадлежали одной и той же VPN, то число таблиц VRF также было бы две. В каждой VRF содержатся данные сайта, которому принадлежит эта таблица: префикс сайта, интерфейс СЕ и другие поля. Адреса подсетей (префиксы) могут совпадать. РЕ-маршрутизатор преобразует их в уникальные адреса.
16.2.3. Формирование таблицы маршрутизации сообщениями mp-bgp
Помимо указанных в VRF данных маршрутов от подсоединённых сайтов, каждая таблица дополняется маршрутами, получаемыми от других сайтов зтой VPN. Механизмом, с помощью которого сайты обмениваются маршрутной информацией, является многопротокольное расширение для протокола BGP (MP-BGP, MultiProtocol extention for BGP). С помощью MP-BGP граничные маршрутизаторы РЕ обмениваются маршрутной информацией из своих таблиц VRF, при этом дополняя их необходимыми для VPN определёнными значениями. К ним относятся метки, обеспечивающие туннелирование в VPN. При этом сообщения MP-BGP отправляются только тем маршрутизаторам РЕ, к которым подключены сайты конкретной VPN. Протокол MP-BGP передаёт из РЕ преобразованный IP-префикс подсети (адрес подсети) в VPN-префикс, добавляя к нему 64 битовый признак (разделитель) маршрута RD (Route Distinguisher). В результате на маршрутизаторе РЕ все адреса, относящиеся к разным VPN, будут отличаться, даже если они имеют одинаковые префиксы IP-сети. Значения RD задаются администратором сети.
Рис. 16.3. Формирование таблицы маршрутизации сообщениями MP-BGP
На рисунке 16.3 показано формирование таблицы маршрутизации VRF с помощью сообщений протокола MP-BGP. Здесь показана передача сообщений от РЕ1 в РЕ2. К каждому из этих PE подключен сайт, принадлежащий одной и той же VPN А. В состав этих сообщений включены приведенные на рис. 16.3 следующие характеристики, необходимые для передачи сообщений из РЕ 2 в РЕ 1.
Формируется VPN-профиль в РЕ1 для передачи маршрутизатору РЕ2, включающий префикс IP-сети сайта 1 VPN А и признак маршрута RD.
Указывается РЕ1 и адрес выходного внешнего интерфейса РЕ1, через который проходит тракт LSP к адресу назначения.
Назначается метка LVPN, указывающая на таблицу VRF1 А и интерфейс маршрутизатора РЕ1, к которому подключен сайт 1 VPN А.
Задаётся расширенный атрибут сообщества – маршрутная цель RT (Rout Target). Этот атрибут идентифицирует набор сайтов (и соответствующих таблиц VRF), входящих в данную VPN А, которые формируют топологию VPN.
Эти сообщения протокол MP-BGP посылает только своим соседям, которые указаны в атрибуте RT. Когда входной маршрутизатор РЕ2 получает сообщение, он отбрасывает признак маршрута RD, а затем помещает в VRF2 А значение LVPN и префикса IP-сети сайта 1 VPN А. Это показано на рис. 16.4 следующего подраздела.