證券行業網絡系統技術白皮書-資料下載頁

　　

【正文】 Media IP L2TP PPP IP 用戶數據 圖 2 L2TP 數據報格式 第三層隧道協議是把各種網絡協議直接裝入隧道協議中，形成的數據包依靠第三層協議進行傳輸。第三層隧道協議有 VTP、 IPSec 等。 IPSec（ IP Security）是由一組 RFC 文檔組成，定義了一個系統來提供安全協議選擇、安全算法、確定服務所使用密鑰等服務，從而在 IP 層提供安全保障。 IPSec 由 IPSec 框架，AH 和 ESP、 IKE、 ISAKMP、 Oak1ey 及其他加密算法等幾部分組成。 IPSec 使用 AH（ Authentication Header）和 ESP（ Encapsulating Security Payload）兩個協議來提供數據流量的安全性。 AH 提供數據完整性、數據源認證以及可選的反重放服務； ESP 可提供數據的保密性，它同時也可提供類似 AH 的服務（如數據完整性、數據源認證等）。 AH 和 ESP 可單獨使用，也可以共同使用。 IPSec 的幀格式如圖 3 所示。 Media IP HEAD AH ESP 用戶數據 圖 2 IPSec 幀格式 MPLS VPN 的基本工作方式是采用第三層技術，每一個 VPN 具有獨自的 VPNID，每一個 VPN 的用戶只能與自己 VPN網絡中的成員進行通信，而也只有 VPN的成員才能有權進入該 VPN。 MPLS VPN的工作過程如下： 在基于 MPLS 的 VPN 中，服務提供商為每個 VPN 分配了一個標識符，稱作路由標識符 (RD)，這個標識符在服務提供商的網絡中是獨一無二的。轉發表中包括一個獨一無二的地址，叫作 VPNIP 地址，是由RD 和用戶的 IP 地址連接形成 ， VPNIP 地址在網絡中是獨一無二的，地址表存儲在轉發表中。 BGP 是一個 路由信息分布協議，它利用多協議擴展和共有屬性來定義 VPN 的連接性。在基于 MPLS的 VPN 中， BGP 只對同一個 VPN 的成員發布信息，通過流量分離來提供基本的安全性。因為數據是通過使用 LSPs 來轉發的， LSP 定義一條特定的路徑，不可以被改變 ， 以保證其安全性。這種基于標簽的模式可與幀中繼和 ATM 一樣提供保密性。服務提供商，而不是用戶，應用 VPN 時將一個特定的 VPN 與接口聯系起來，數據包的轉發是由用于入口的標簽決定的。既然不可能 spoof 端口， MPLS VPN 就不易受到 spoof的攻擊。 VPN 轉發表中包括與 VPNIP 地址相對應的標簽。通過這個標簽將數據傳送到相應地點。既然標簽代替了 IP 地址，用戶可以保持他們的專用地址結構，無需進行網絡地址翻譯 (NAT)來傳送數據。根據數據入口，交換機選擇一特定的轉發表，該表中只包括在 VPN 中有效的目的地址。為了創建 Extra，服務提供 目 錄 15 商在 VPN 之間要明確配置可達性。 這種解決方案的優勢在于服務提供商可以通過相同的網絡結構來支持許多種 VPN，并不需要為每一個用戶建立單獨的網絡。而且，這種方案將 IP VPN 的能力內置于網絡本身，所以，服務提供商可以為所有租用者配置一個網絡來提供 專用的 IP 網服務，如 Intra 和 Extra，而無需管理隧道或 VC mesh。 QoS可為每個 VPN提供特有的業務政策，而且 QoS 服務可與基于 MPLS 的 VPN無縫結合，因為兩者都是基于標記的技術。 基于 MPLS 的 IP VPN 網絡可以很容易地與基于 IP 的用戶網絡結合起來。租用者可與供應商提供的服務無縫結合，不必改變 Intra 應用，因為這些網絡具有應用通曉性、保密性且 QoS 內置于網絡中。用戶能夠使用他們專有的 IP 地址而無需 NAT(網絡地址翻譯 )。 這種網絡結構目前可支持許多種 VPN，可減輕每一個 新網絡實施工程的負擔。這種方案易于進行 VPN的添加、移動和改變。如果某個公司需要在自己的 VPN 中增加一站點，服務提供商只需告訴客戶端設備的路由器如何與網絡連接，并配置 LSR 來識別來自于 CPE 的 VPN 成員。 BGP 會自動更新 VPN 成員。與增加一臺設備需要大量操作的 overlay VPN相比，這種方案要簡單、迅速和便宜的多。在一個 overlay VPN中增加一臺新設備要涉及到更新流量 matrix，從新站點建立 VC 到所有現存的站點，更新每個站點的 OSPF設計，針對新的拓撲結構圖重新配置每臺 CPE 設備。 從以上工作過 程可見， MPLS VPN絲毫不改變 CE（ Customer Edge）和 PE（ Provider Edge）原有的配置，一旦有新的 CE 加入到網絡時，只需在 PE上作簡單配置，其余的改動信息由 IGP/BGP 自動通知到 CE和 PE。因此， MPLS VPN 擁有以下優點： (1)VPN 連接配置簡單，對現有骨干網絡沒有壓力； (2)對現有用戶的要求為 0，用戶不需要作任何改動，用戶加入 VPN 的配置也很簡單； (3)網絡可擴展能力很強； (4)VPN用戶可以延用原有的專用地址，不需要作任何修改，在骨干網絡采用 VPNID，可以保 持全網的唯一性； (5)易于提供增值業務，如不同的 CoS。 證券公司 MPLS VPN 設計方案描述 根據用戶的需求，虛擬專網需要覆蓋目前用戶業務比較集中的地區，各營業部均連入虛擬專網內，享受高速、快捷、方便、實時的網絡服務。 證券公司各地管理總部以就近原則，以 2M的本地數據專線連接到當地的骨干節點上，上海總部以 4M 目 錄 16 數字電路連接到中國電信上海節點。 其他營業部分別通過 ISDN或低速 DDN方式同該區域管理總部連通。 在 MPLS VPN 實現上，主要通過配置 PE 路由器和對 MPLS 協議的配置。主要過程如下： （ A）定義一 個 VPN 1． Router(config)ip vrf vrfname （通過分配 VRF名來定義一個 VPN環境） 2． Router(configvrf)rd routedistinguisher（建立一個 routing 和 forwarding表） 3． Router(configvrf)routetarget {import | export | both} routetargetextmunity（對于指定的 VRF，建立輸出和輸入到目標組織的路由列表） 4． Router(configvrf)import map routemap （ 可選項 ，將特定的路由映射到指定的 VRF上） 5． Router(configif)ip vrf forwarding vrfname （使 VRF和某個指定的接口或子接口綁定） （ B）設置 BGP中 PE到 PE的路由 1. Router(config)router bgp autonomoussystem (激活 IBGP路由 ) 2. Router(configrouter)neighbor {ipaddress | peergroupname} remoteas number (指定 BGP鄰居或對等系統，以和本自治系統區分 ) 3. Router(configrouter)neighbor ipaddress activate (在非廣播網上運行 BGP要指定激活鄰居路由器 ) （ C）設置 BGP網中 PE到 CE的路由會話 (EBGP、 OSPF、 RIP或靜態 ) (config)router bgp autonomoussystem (激活 EBGP路由 ) (configrouter)neighbor {ipaddress | peergroupname} remoteas number (指定 BGP鄰居或對等系統，以和本自治系統區分 ) (configrouter)neighbor ipaddress activate (在非廣播網上運行 BGP 要指定激活鄰居路由器 ) 采用 MPLS VPN 的好處是顯而易見的。它和傳統的 DDN 方案比較如下： MPLS VPN DDN 費用（月租金） 比 DDN 便宜 20％－ 30％ 高 QoS 保證 是 否 目 錄 17 流分類 是 否 流量整形和監管 是 否 擁塞管理和帶寬分配 是 否 迂回路由 是 否 網絡安全性 好 好 CoS 支持 不支持 網絡復雜度 低 高 網絡維護 /監控 專業維護 用戶自行維護 網絡擴展性 好 一般 網絡設備需求 同樣 同樣 備份線路 ISDN 備份 ISDN 備份 ISDN 撥號備份設計方案 備份線路建議使用 ISDN。 ISDN 技術成熟，覆蓋面廣。在總部 Cisco7206，各分中心 Cisco3640 上配置 ISDN 模塊， BRI 或 PRI（ 8Port ISDNBRI Network Module） ，各個節點的接入路由器上配置 ISDN 模塊。證券公司各個管理總部采用就近原則，在主鏈路失效時，自動啟動撥號備份功能，保障 WAN 的互連。 PRI支持 30B＋ D，統一的電話號碼。 BRI 則采用不同電話號碼。 在 ISDN 配置方面，主要利用 Cisco DDR按需撥號功能（ Dial On Demond），在主 DDN線路失效情況下，可以在規定的延時內啟用撥號備份線路。 總部與固定線路電信運營商節點采用 2 條 E1 線路互為備份，實現負載均衡。 主要配置過程： 一、 證券公司各地總部 CE 路由器配置 ISDN BRI 接口 主要是定義 ISDN BRI 接口參數：包括交換類型、 IP 地址等。例如： Router(configif) ip address 二、 證券公司各地總部 CE 路由器配置 DDR 主要是撥號參數：包括對方 IP 地址和電話號碼的關系、 PPP 協議等。 目 錄 18 Router(configif) dialer map ip name htzq 2463401 Router(configif)dialergroup 1 Router(configif)encapsulation ppp …… 三、 證券公司各地總部 CE 路由器配置撥號備份 主要是定義該接口是主干線路接口的備份接口。 Router(configif)backup interface interfacename IP 地址、路由規劃 一、證券公司 IP 規劃： 證券公司 IP 地址規劃建議采用一個 A類地址， 。在其中使用子網劃分的原則，每個總部使用一個 B 類子網，內部進行細分，原則上按照 C 類子網分配給其下屬營業部。 證券公司總部 IP： ， 內部使用 OSPF（或 RIP）路由協議， CE 路由器（ Cisco 7206）互連電信運營商接口 IP： ， PE 路由器（ Cisco 7206）互連接口 IP： 。 證券公司區域管理中心 IP： ， 內部使用 OSPF（或 RIP）路由協議， CE 路由器（ Cisco 3640）互連接口 IP： ， PE路由器（ Cisco 7206）互連接口 IP： 。 二、 證券公司 MPLS VPN 路由規劃 證券公司內部路由協議可以采用 OSPF 動態路由協議，實現證券公司網絡系統內部快速、統一的路由發現功能。 1．首先，各地 PE 路由器定義 vrf 唯一接口（名稱： vpnht）和 rd 號： 總部： router(config) ip vrf vpnht router(configvrf) rd 9818:20 區域中心： router(config)ip vrf vpnht router(configvrf)rd 9818:21 … … 2．其次，各地 PE 路由器建立彼此輸入輸出目標路由列表： 總部： 目 錄 19 router(configvrf) routetarget export 9818:21