1 В данном случае vpn рассматривается как имитация частной сети предприятия.

несанкционированных пользователей. Так как ни один способ защиты не дает абсолютных гарантий, то средства безопасности могут комбинироваться для создания эшелонирован­ ной обороны.

Во-вторых,желательно, чтобы сервисы VPN приближались к сервисам частной сетипо качеству обслуживания. Качество транспортного обслуживания подразумевает, в первую очередь, гарантии пропускной способности для трафика клиента, к которым могут добав­ ляться и другие параметры QoS—максимальныезадержки и процент потерянных данных.

Впакетных сетях пульсации трафика, переменные задержки и потери пакетов—неиз­бежное зло, поэтому степень приближения виртуальных каналов к каналам TDM всегда неполная и вероятностная (в среднем, но никаких гарантий для отдельно взятого пакета). Разные пакетные технологии отличаются различным уровнем поддержки параметров QoS.

ВATM, например, механизмы качества обслуживания наиболее совершенны и отработаны,

ав IP-сетяхони только начинают внедряться. Поэтому далеко не каждая сеть VPN пытает­ ся воссоздать эти особенности частной сети. Считается, что безопасность—обязательноесвойство VPN, а качество транспортного обслуживания—толькожелательное.

В-третьих,сеть VPN приближается к реальной частной сети, если она обеспечивает для кли­ ентанезависимость адресного пространства. Это дает клиенту одновременно и удобство кон­ фигурирования, и способ поддержания безопасности. Причем желательно, чтобы не только клиенты ничего не знали об адресных пространствах друг друга, но и магистраль поставщи­ каимела собственное адресное пространство, неизвестное пользователям. В этом случае сеть поставщика услуг будет надежнее защищена от умышленных атак или неумышленных дей­ ствий своих клиентов, а значит, более высоким будет качество предоставляемых услуг VPN.

Существенное влияние на свойства виртуальных частных сетей оказывают технологии, спомощью которых эти сети строятся. Все технологии VPN можно разделить на два класса

взависимости от того, каким образом они обеспечивают безопасность передачи данных:

□технологии разграничения трафика;

□технологии шифрования.

Сети VPN на основе техники шифрования рассматриваются в главе 24.

В технологиях разграничения трафика используется техника постоянных виртуальных каналов, обеспечивающая надежную защиту трафика каждого клиента от намеренного или ненамеренного доступа к нему других клиентов публичной сети. К этому типу технологий относятся:

□ATM VPN;

□Frame Relay VPN;

□MPLS VPN;

□Carrier Ethernet VPN.

Двухточечные виртуальные каналы этих технологий имитируют сервис выделенных ка­ налов, проходя от пограничного устройства (Client Edge, СЕ) одного сайта клиента через поставщика к СЕ другого сайта клиента.

ВНИМАНИЕ-------------------------------------------------------------------------------------------------------------------

Под термином «сайт» здесь понимается территориально обособленный фрагмент сети клиента. Н а ­ пример, о корпоративной сети, в которой сеть центрального отделения связывается с тремя удален­ н ы м и филиалами, м о ж н о сказать, что она состоит из четырех сайтов.

Защита данных достигается благодаря тому, что несанкционированный пользователь не может подключиться к постоянному виртуальному каналу, не изменив таблицы коммутации устройств поставщика услуг, а значит, ему не удастся провести атаку или прочитать данные. Свойство защищенности трафика является естественным свойствомтехники виртуальных каналов, поэтому сервисы ATM VPN и Frame Relay VPN являются на самом деле не чем иным, как обычными сервисами PVC сетей ATM или Frame Relay. Любой пользователь ATM или Frame Relay, использующий инфраструктуру PVC для связи своих локальных сетей, потребляет услугу VPN даже в том случае, когда он это явно не осознает. Это одно из «родовых» преимуществ техники виртуальных каналов по сравнению с дейтаграммной техникой, так как при применении последней без дополни­ тельных средств VPN пользователь оказывается не защищенным от атак любого другого пользователя сети.

Так как в технологиях ATM и Frame Relay при передаче данных используются только два уровня стека протоколов, варианты VPN, построенные на их основе, называют также сетями VPN уровня 2 (Layer 2 VPN, L2VPN). Наличие в технологиях ATM и Frame Relay механизмов поддержания параметров QoS позволяет ATM VPN и Frame Relay VPN достаточно хорошо приближаться к частным сетям на выделенных каналах.

Информация третьего уровня никогда не анализируется и не меняется в этих сетях—этоодновременно и достоинство, и недостаток. Преимущество в том, что клиент может переда­ вать по такому виртуальному каналу трафик любых протоколов, а не только IP. Кроме того,IP-адресаклиентов и поставщика услуг изолированы и независимы друг от друга—онимогут выбираться произвольным образом, так как не используются при передаче трафика через магистраль поставщика. Никаких других знаний о сети поставщика услуг, помимо значений меток виртуальных каналов, клиенту не требуется. Недостаток этого подхода состоит в том, что поставщик не оперируетIP-трафикомклиента и, следовательно, не может оказывать дополнительные услуги, связанные с сервисами IP, а это сегодня очень перспективное направление бизнеса поставщиков услуг.

Главным недостатком сети L2VPN является ее сложность и достаточно высокая стоимость. При организации полносвязной топологии сайтов клиента зависимость операций конфи­ гурирования от числа сайтов имеет квадратичный характер (рис. 19.13, а).

Действительно, для соединения N сайтов необходимо создатьN* (N - 1)/2 двунаправлен­ ных виртуальных каналов илиN* (N - 1) однонаправленных. В частности, при значенииN,равном 100, потребуется 5000 операций конфигурирования. И хотя они и выполняются с помощью автоматизированных систем администрирования, ручной труд и вероятность ошибки все равно сохраняются. При поддержке только услугинтранет общее количество конфигурируемых соединений прямо пропорционально количеству клиентов—иэто хорошо! Но оказание услугэкстранет ухудшает ситуацию, так как подразумевает необхо­ димость обеспечить связь сайтов разных клиентов. Масштабируемость сети ATM/FR VPN можно улучшить, если клиент откажется от полносвязной топологии и организует связи типа «звезда» через один или несколько выделенных транзитных сайтов (рис. 19.13, 6).Конечно, производительность сети клиента при этом снизится, так как увеличится число транзитных передач информации. Однако экономия средств будет налицо—поставщикиуслуг взимают деньги за свои виртуальные каналы, как правило, «поштучно».

Рис. 19.13. Масштабируемость сети L2VPN

Клиенты сети ATM/FR VPN не могут нанести ущерб друг другу, а также атаковать1Р-сетьпоставщика. Сегодня поставщик услуг всегда располагаетIP-сетью,даже если он оказывает только услуги ATM/FR VPN. БезIP-сетии ее сервисов администрирования он просто не сможет управлять своей сетью ATM/FR.IP-сетьявляется оверлейной (наложенной) по отношению к сетям ATM или FR, поэтому клиенты ATM/FR ничего не знают о ее струк­ туре и даже о ее наличии (рис. 19.14).

Рис. 19.14. Оверлейная (а) и одноранговая (б) модели VPN

Сети MPLS VPN могут строиться как по схеме L2VPN, так и по другой схеме, исполь­ зующей протоколы трех уровней. Такие сети называют сетями VPN уровня 3 (Layer 3 VPN, L3VPN). В технологии L3VPN также применяется техника LSP для разграничения трафика клиентов внутри сети поставщика услуг, поддерживающей технологию MPLS.

Сеть L3VPN взаимодействует с сетями клиентов на основе ІР-адресов,a L2VPN—наосно­ ве адресной информации второго уровня, напримерМАС-адресовили идентификаторов виртуальных каналов Frame Relay.