L3 vpn что это

Каналы передачи данных VPN

Виртуальные частные сети VPN (IP Virtual Private Network), организуются при помощи IPVPN или L2VPN, и позволяют объединить офисы и точки присутствия клиента в единую защищенную от несанкционированного доступа, сеть.

Решение VPN является оптимальным для:

Объединения филиалов территориально разнесенных по городу или в масштабах страну
повышения безопасности сети
оптимизации расходов
удовлетворения особых требований к каналам передачи данных (уровень L2, L3, MTU)
Обеспечения различных уровней сервиса (классов обслуживания), что позволяет интегрировать передачу голосового трафика с данными локальных сетей, и качественную передачу видео.

Сеть VPN базируется на высокоскоростной волоконно-оптической сети SMARTNET. Подключение осуществляется на скоростях до 1 Гбит/с по технологии Ethernet.

Преимущества VPN

Ключевой особенностью построения виртуальных частных сетей является отсутствие необходимости использовать выделенные каналы для объединения офисов и технических центров Заказчика в единую сеть передачи данных. При этом Заказчик получает следующие преимущества:

Заказать услугу: «Каналы передачи данных VPN»

Основные преимущества

Экономичность

Отсутствие высоких затрат на организацию выделенных каналов

Безопасность

Трафик клиента полностью защищен от несанкционированного доступа

Оперативность

Оперативное увеличение пропускной способности порта

применение L2 VPN

возможность использовать различные сетевые протоколы в корпоративных сетях, которые предъявляют повышенные требования к собственной безопасности и производительности.

IP VPN (L3 VPN)

VPN уровня 3 (VPN/L3) проще в реализации и осуществляет взаимодействие на уровне IP-подсетей, но требует при переезде из офиса в офис организации новой подсети.
Возможно не только соединить головной офис с филиалами, но и, например, организовать связь POS-терминалов или банкоматов с главным компьютером.

Как это работает?

Количество точек включения в VPN не ограничено. При необходимости любая из точек включенных в VPN может быть также обеспечена доступом в Интернет через тот же физический канал связи.

IP VPN (L3 VPN)

SMARTNET осуществляет формирование и обслуживание виртуальной частной сети (VPN) с использованием технологии IP/MPLS, связывая в единую защищенную логическую сеть географически распределенные офисы клиента. Таким образом, сеть передачи данных оператора для клиента является абсолютно «прозрачной» средой.

L2 VPN (Виртуальная частная сеть второго уровня)

Виртуальная частная сеть второго уровня L2 VPN (VPLS Virtual Private LAN Service) — способ объединения нескольких географически удаленных офисов в единую высокоскоростную многопротокольную безопасную сеть в масштабе города.

Уникальность решений по созданию виртуальных частных сетей второго уровня L2 VPN (Layer 2 Virtual Private Network, MPLS VPLS VPN, Ethernet VPN) состоит в возможности использовать различные сетевые протоколы в корпоративных сетях, которые предъявляют повышенные требования к собственной безопасности и производительности. L2 VPN не привязан к конкретным IP-сетям и работает на уровне Ethernet. Например, находясь за пределами офиса, при помощи ноутбука возможно свободно подключиться к корпоративной сети компании.

Преимущества использования технологии VPLS:

возможность использования всего спектра протоколов передачи данных;
высокий уровень безопасности за счет того, что внутренняя структура сети клиента (даже на уровне IP-подсетей) доступна и управляется только заказчиком;
возможность пропуска по сети любых типов данных, в том числе и зашифрованных на канальном уровне.

Таким образом, применение L2 VPN дает возможность полноценного использования существующей сетевой инфраструктуры, а также интеграции виртуальных частных сетей с другими услугами SMARTNET: высокоскоростным доступом в интернет на скорости до 100 Мбит/с, высококачественной пакетной телефонией нового поколения (Voice-Over-IP) и т. д. Решение актуально для компаний, работа сотрудников в которых связана с разъездами и им необходим доступ в локальную сеть компании.

Другие услуги

Заказать обратный звонок

Использование материалов только
с письменного согласия
правообладателя.

Подписаться на новости

Мы в сетях

+7 (727) 356 01 11
+7 (727) 356 01 77
Техническая поддержка

Заказать vpn канал между офисами

Организация vpn каналов между офисами – это новое усовершенствование, которое было введено в нашу жизнь совсем недавно. Это очень удобная функция, которая позволяет обезопасить себя и свой интернет от взломов. Это очень важно на многих предприятиях, особенно на тех, которые обладают некой секретной информацией, которая не должна быть разглашена. Ведь многая информация была раскрыта именно путем взломов ил подслушиваний, что принесло вред многим компаниям. Сейчас появилась такая возможность, чтобы защитить и обезопасить свое предприятие от подобных случаев и неприятностей. Организация vpn каналов между офисами стоит относительно недорого, но зато привносит очень много удобств и является качественным средством защиты. Можно в любое время заказать такую услугу, которая в дальнейшем поможет вам работать в интернете анонимно, чтобы никто не смог взломать ваш аккаунт. Поэтому такая услуга считается очень хорошей и востребованной на многих предприятиях. Если вы занимаетесь бизнесом и ваши дела пошли в рост, то вам особенно необходима такая защита, чтобы сохранить информацию в пределах своего офиса и предупредить огласку. Ведь у каждого предпринимателя имеются свои секреты, благодаря которым он смог выйти на должный уровень. Поэтому огласка такой важной информации просто невозможна, чтобы это не принесло вам вред и плохие последствия, которых потом просто будет невозможно избежать.
Организация vpn каналов между офисами – это:

масса удобств при подключении;
высокое качество защиты;
высокая скорость соединения без всяческих сбоев, которые мы часто наблюдаем в обычном интернет соединении;
защита от взломов.

Заказать vpn канал между офисами

Если вы хотите провести vpn канал между офисами, то вы на верном пути. Теперь ваше интернет соединение будет полностью защищено от посягательств и от всякого рода неприятностей, которые могут возникнуть совершенно внезапно. Не стоит доверять только антивирусу и своему защищенномубраузеру, так как опытные хакеры могут все это очень быстро взломать, а вам потом расхлебывать эти проблемы. Лучше с самого начала обезопасить свой компьютер от такого рода опасности, чтобы не было даже никакой возможности взломать и забрать вашу информацию.

Объединение офисов vpn

Объединение офисов vpn – это очень важное дело, так как благодаря такому объединению все ваши рабочие компьютеры будут защищены от взломов. Вы можете в таком случае быть полностью спокойным за свою информацию, а также сможете смело передавать любые сообщения свои сотрудникам, не боясь, что очень скоро это все может быть прочитано посторонними лицами. С такой степенью защиты это просто невозможно.

MPLS L3 VPN EcoRouter Documentation / MPLS L3 VPN

Требования
MPLS VPN терминология
Процесс маршрутизации сетей VPN
Конфигурирование MPLS Layer-3 VPN
- Топология
- Включение коммутации по меткам
- Включение IGP
- Включение протокола коммутации меток
- Настройка BGP-соседства между PE-маршрутизаторами
- Создание VRF
- Подключение интерфейсов к VRF
- Настройка VRF-RD и целевых маршрутов
  - Настройка различителей маршрутов
  - Настройка целевых маршрутов
  - Настройка eBGP между PE и ASBR
    - Топология
    - Настройка CE-маршрутизаторов
    - Настройка PE-маршрутизаторов
    - Настройка ASBR1 и ASBR2
    - Топология
    - Настройка CE-маршрутизаторов
    - Настройка PE-маршрутизаторов
    - Настройка Route Reflectors
    - Настройка ASBR
    - Топология
    - Настройка CE-маршрутизаторов
    - Настройка PE-маршрутизаторов
    - Топология
    - Настройка CE-маршрутизаторов
    - Настройка PE-маршрутизаторов
    - Настройка Route Reflectors
    Технология L3-VPN позволяет организовывать изолированные виртуальные частные сети с индивидуальными таблицами маршрутизации (VRF) на базе MPLS сети оператора. Пользовательская информация о маршрутах импортируется в VRF, используя цель маршрута (Route Target, RT). Данная информация идентифицируется по различителю маршрута (Route Distinguisher, RD) и распространяется между PE-маршрутизаторами, используя расширенную версию протокола MP-BGP.
    
    Требования
    
    Для того чтобы данная технология полностью работала, необходимо задействовать поддержку следующих протоколов:
    
    MPLS VPN терминология
    
    На рисунке ниже показана сеть оператора Connector с частными виртуальными сетями клиентов ComA и ComB.
    
    Пограничное устройство клиента (Customer Edge Router, CE) — маршрутизатор на стороне клиента, который подсоединен к сети оператора связи (к PE-маршрутизатору). На рисунке это CE1, CE2, CE3 и CE4.
    Пограничное устройство оператора (Provider Edge Router, PE) — операторский маршрутизатор, к которому подключен CE-маршрутизатор. На рисунке это маршрутизаторы PE1 и PE2, которые соединяют клиентское оборудование с сетью оператора Connector.
    Маршрутизаторы сети оператора (Provider Core Router, P) — устройства внутри сети оператора, не являющиеся пограничными. На рисунке это маршрутизатор P, не соединенный с клиентскими устройствами, и принадлежащий сети оператора Connector.
    Клиентские маршрутизаторы (Customer Router, R) — устройства внутри клиентской сети, не подключенные напрямую к сети оператора. На рисунке выше R1 и R2 — это клиентские маршрутизаторы.
    
    Процесс маршрутизации сетей VPN
    
    Процесс маршрутизации MPLS-VPN включает следующие этапы:
    1. Оператор предоставляет услугу VPN через PE-маршрутизаторы, которые подсоединены напрямую к клиентским CE-маршрутизаторам по Ethernet.
    2. Каждый PE-маршрутизатор содержит таблицу маршрутизации (VRF) для каждого клиента. Это гарантирует изоляцию клиентских сетей и позволяет использовать частные адреса независимо от адресации сети оператора и других клиентов. Когда приходит пакет от CE, используется таблица VRF, которая назначена для данной сети, и по ней определяется маршрут передачи данных. Если PE-маршрутизатор связан с сетью несколькими линками, то для всех этих подключений используется одна таблица VRF.
    3. После того как PE-маршрутизатор определил IP-префикс, он конвертирует его в VPN-IPv4 префикс, предваряя его 8-байтовым (64 бит) различителем маршрута (RD). RD гарантирует, что даже если у двух клиентов одинаковые адреса, к ним будут установлены два разных маршрута. Эти VPN-IPv4-адреса анонсируются среди PE-маршрутизаторов по MP-BGP.
    4. Для определения MPLS-метки и передачи VPN-пакета через сеть оператора используется уникальный идентификатор маршрутизатора (как правило, его loopback-адрес).
    5. Пакеты передаются в точку назначения по MPLS, ориентируясь на информацию из таблицы маршрутизации. Каждый PE-маршрутизатор определяет уникальную метку для каждого маршрута в таблицах маршрутизации (даже если у них один и тот же next hop) и объявляет эту метку вместе с 12-байтовым VPN-IPv4 адресом по MP-BGP.
    6. PE-маршрутизаторы на входе (ingress) прикрепляют к VPN-пакету, отправляющемуся по сети оператора, стек из двух меток. В него входят: сервисная метка — BGP-метка, определенная из таблицы маршрутизации (ассоциированной с входящим интерфейсом), которая указывает на BGP next hop; транспортная метка — LDP-метка из глобальной FTN таблицы, определяющая IP next hop.
    7. Операторск ий (P) маршрутизатор в сети перекидывает VPN-пакет в зависимости от транспортной метки. Эта метка используется как ключ для поиска входного интерфейса в таблице Incoming Labels Mapping (ILM). Если у пакета две метки, верхняя меняется, и пакет отправляется н а следующий узел. Если нет, то маршрутизатор является предпоследним в цепочке, и он снимает транспортную метку и отправляет пакет только с сервисной меткой на PE-маршрутизатор на выходе. Каждый раз, когда пакет проходит очередной маршрутизатор P вдоль туннеля, транспортная метка анализируется и заменяется новым значением. Предпоследний маршрутизатор в цепочке снимает транспортную метку и на конечную точку туннеля — маршрутизатор PE2 — пакет приходит с одной меткой. В случае если включена опция mpls explicit-null, предпоследний маршрутизатор отправляет пакет с двумя метками, где значение верхней метки — 0.
    8. Выходной PE-маршрутизатор снимает BGP-метку, производит поиск по ней на исходящих интерфейсах и отправляет пакет соответствующему клиентскому CE-маршрутизатору.
    Конфигурирование MPLS Layer-3 VPN
    
    Процесс конфигурирования MPLS Layer-3 VPN можно разделить на следующие этапы:
    1. Установка соединения между PE-маршрутизаторами.
    2. Настройка iBGP соседства между PE1 и PE2.
    3. Создание VRF.
    4. Подключение интерфейсов к VRF.
    5. Настройка для таблиц VRF различителей маршрутов (RD) и целей маршрутов (RT).
    6. Настройка соседей CE для VPN.
    7. Проверка конфигурации перехода от MPLS к VPN.
    Топология
    
    В приведенном примере к опорной MPLS-VPN сети оператора Connector подключены для клиента: ComA и ComB. Сайты обоих клиентов находятся в Москве и Санкт-Петербурге. На рисунке ниже приведена топология сети, показывающая распределение BGP4-адресов между PE и CE маршрутизаторами. Далее описана последовательность действий по настройке клиентских виртуальных сетей поверх опорной MPLS-VPN.
    
    Для установки соединения между маршрутизаторами требуется осуществить действия, описанные ниже.
    
    Включение коммутации по меткам
    
    Ниже приведена примерная конфигурация для включения коммутации по меткам (Labeled Switched Path, LSP) между маршрутизаторами PE1 и PE2.
    PE1
```
PE1(config)#interface e1
```
```
PE1(config-if)#ip address 10.10.12.10/24
```
```
PE1(config-if)#label-switching
```
```
PE1(config-if)#ex
```
```
PE1(config)#port te1
```
```
PE1(config-port)#service-instance se1
```
```
PE1(config-service-instance)#encapsulation untagged
```
```
PE1(config-service-instance)#connect ip interface e1
```
    P
```
P(config)#interface e1
```
```
P(config-if)#ip address 10.10.12.50/24
```
```
P(config-if)#label-switching
```
```
P(config-if)#ex
```
```
P(config)#port te1
```
```
P(config-port)#service-instance se1
```
```
P(config-service-instance)#encapsulation untagged
```
```
P(config-service-instance)#connect ip interface e1
```
```
P(config-service-instance)#ex
```
```
P(config-port)#ex
```
```
P(config)#interface e2
```
```
P(config-if)#ip address 10.10.13.50/24
```
```
P(config-if)#label-switching
```
```
P(config-if)#ex
```
```
P(config)#port te2
```
```
P(config-port)#service-instance se2
```
```
P(config-service-instance)#encapsulation untagged
```
```
P(config-service-instance)#connect ip interface e2
```
    PE2
```
PE2(config)#interface e2
```
```
PE2(config-if)#ip address 10.10.13.10/24
```
```
PE2(config-if)#label-switching
```
```
PE2(config-if)#ex
```
```
PE2(config)#port te2
```
```
PE2(config-port)#service-instance se2
```
```
PE2(config-service-instance)#encapsulation untagged
```
```
PE2(config-service-instance)#connect ip interface e2
```
    Включение IGP
    
    Ниже приведен пример конфигурации для установки соединения между двумя PE-маршрутизаторами PE1 и PE2.
    
    Подробнее о настройке OSPF можно прочитать в соответствующем разделе «Open Shortest Path First».
    PE1
```
PE1(config)#router ospf 100
```
```
PE1(config-router)#network 10.10.12.0/24 area 0
```
    P
```
P(config)#router ospf 100
```
```
P(config-router)#network 10.10.12.0/24 area 0
```
```
P(config-router)#network 10.10.13.0/24 area 0
```
    PE2
```
PE2(config)#router ospf 100
```
```
PE2(config-router)#network 10.10.13.0/24 area 0
```
    Включение протокола коммутации меток
    
    Данный протокол используется для построения путей коммутации по меткам (LSP) между PE-маршрутизаторами. В EcoRouterOS поддерживается протокол LDP.
    Ниже приведен пример конфигурации для включения LDP на всем пути между PE1 и PE2. В конфигурации PE-маршрутизаторов присутствует настройка loopback-интерфейса, необходимая для работы LDP и BGP (см. ниже).
    Подробнее о настройке LDP можно прочитать в соответствующем разделе «Label Distribution Protocol».
    PE1
```
PE1(config)#interface loopback.0
```
```
PE1(config-lo)#ip address 2.2.2.2/32
```
```
PE1(config-lo)#ex
```
```
PE1(config)#router ldp
```
```
PE1(config-router)#exit
```
```
PE1(config)#interface e1
```
```
PE1(config-if)#ldp enable ipv4
```
```
PE1(config-if)#ex
```
```
PE1(config)#router ldp
```
```
PE1(config-router)#advertisement-mode downstream-on-demand
```
```
PE1(config-router)#multicast-hellos
```
    P
```
P(config)#interface e1
```
```
P(config-if)#ldp enable ipv4
```
```
P(config-if)#ex
```
```
P(config)#interface e2
```
```
P(config-if)#ldp enable ipv4
```
```
P(config-if)#ex
```
```
P(config)#router ldp
```
```
P(config-router)#advertisement-mode downstream-on-demand
```
```
P(config-router)#multicast-hellos
```
    PE2
```
PE2(config)#interface loopback.0
```
```
PE2(config-lo)#ip address 3.3.3.3/32
```
```
PE2(config-lo)#ex
```
```
PE2(config)#router ldp
```
```
PE2(config-router)#exit
```
```
PE2(config)#interface e2
```
```
PE2(config-if)#ldp enable ipv4
```
```
PE2(config-if)#ex
```
```
PE2(config)#router ldp
```
```
PE2(config-router)#advertisement-mode downstream-on-demand
```
```
PE2(config-router)#multicast-hellos
```
    Настройка BGP-соседства между PE-маршрутизаторами
    
    Для передачи маршрутной информации частных сетей через сеть оператора используется протокол BGP и его многопротокольное расширение MP-BGP. Это позволяет обмениваться информацией между опосредованно соединенными маршрутизаторами, а также передавать маршрутную информацию сетей VPN, минуя маршрутизаторы опорной сети оператора (P). Через P-маршрутизаторы информация передается прозрачно, как дополнительный BGP атрибут. В MPLS-VPN модели нет необходимости в том, чтобы P-маршрутизаторы принимали решения о маршрутах, основываясь на внутренней адресации сетей VPN. Они просто передают пакеты в соответствии со значениями прикрепленных меток. Таким образом, на P-маршрутизаторы не требуется добавлять конфигурацию сетей VPN.
    Подробнее о настройке BGP можно прочитать в соответствующем разделе «Border Gateway Protocol».
    PE1
```
PE1(config)#router bgp 100
```
```
PE1(config-router)#neighbor 3.3.3.3 remote-as 100
```
```
PE1(config-router)#neighbor 3.3.3.3 update-source 2.2.2.2
```
```
PE1(config-router)#address-family vpnv4 unicast
```
```
PE1(config-router-af)#neighbor 3.3.3.3 activate
```
    PE2
```
P2(config)#router bgp 100
```
```
P2(config-router)#neighbor 2.2.2.2 remote-as 100
```
```
P2(config-router)#neighbor 2.2.2.2 update-source 3.3.3.3
```
```
P2(config-router)#address-family vpnv4 unicast
```
```
P2(config-router-af)#neighbor 2.2.2.2 activate
```
    Создание VRF
    
    Каждый PE-маршрутизатор в опорной сети MPLS-VPN подсоединен к сайтам, входящим в виртуальные частные сети клиентов. Для каждого сайта действуют маршруты соответствующей сети VPN. Поэтому на PE-маршрутизаторе должны содержаться таблицы VRF для тех сетей VPN, к сайтам которых он подключен. В приведенном примере — это обе сети VPN.
    
    Для создания таблицы VRF введите команду конфигурационного режима ip vrf . На каждом PE-маршрутизаторе должны быть созданы таблицы VRF с именами ComA и ComB. При вводе данной команды создается таблица маршрутизации VRF RIB (Routing Information Base), назначается VRF-ID, и консоль переключается в контекстный режим конфигурирования VRF.
```
PE1(config)#ip vrf ComB
```
```
PE1(config-vrf)#
```
    Подключение интерфейсов к VRF
    
    После того как на каждом PE-маршрутизаторе определены таблицы VRF, необходимо указать, какой интерфейс маршрутизатора принадлежит к какой таблице VRF. VRF заполняются маршрутами с подсоединенных сайтов. К одной таблице VRF могут быть подключены несколько интерфейсов. Для подключения интерфейса (подсоединенного к CE-маршрутизатору) используется команда контекстного режима конфигурации интерфейса ip vrf forwarding .
    
    В приведенном ниже примере интерфейс e2 маршрутизатора PE1 подключается к созданной ранее таблице VRF ComB.
```
PE1(config)#interface e2
```
```
PE1(config-if)#ip vrf forwarding ComB
```
    Настройка VRF-RD и целевых маршрутов
    
    После того как таблицы VRF созданы, настраиваются различители маршрутов и цели маршрутов.
    
    Настройка различителей маршрутов
    
    Различители маршрутов (Route Distinguishers, RDs) обеспечивают уникальность каждого маршрута. Таким образом, в случае одинаковых маршрутов в разных сетях VPN, MP-BGP будет воспринимать их как уникальные. Для этого к каждому IPv4-адресу из виртуальной сети добавляется префикс длиной 64 бит (RD), преобразуя его в формат VPN-IPv4. BGP считает два IPv4-адреса с разными RD уникальными (несравнимыми), даже если у них совпадают и адрес, и маска.
    
    RD состоит из номера автономной системы и присвоеного номера (ASN:nn) или IP-адреса и присвоеного номера (IP:nn), записанных через двоеточие ‘:‘.
    
    Для того чтобы назначить RD каждой таблице VRF на PE-маршрутизаторе используется команда контекстного режима конфигурирования VRF rd .
    
    В приведенном ниже примере назначается RD для VRF ComB на маршрутизаторе PE1.
```
PE1(config)#ip vrf ComB
```
```
PE1(config-vrf)#rd 168.12.2.1:1
```
    Для просмотра таблицы маршрутизации данной таблицы VRF используется команда административного режима show ip route vrf или команда административного режима show ip route vrf all для всех VRF.
    
    Настройка целевых маршрутов
    
    Все полученные от клиентов маршруты анонсируются по всей сети по протоколу MP-BGP. Все маршруты, узнанные по MP-BGP, добавляются в соответствующую таблицу VRF. Цель маршрута (RT) помогает PE-маршрутизаторам идентифицировать, к какой таблице VRF относится маршрут.
    Для того чтобы назначить RT каждой таблице VRF на PE-маршрутизаторе, используется команда контекстного режима конфигурирования VRF route-target .
    
    Команда route-target создает списки импорта и экспорта расширенных атрибутов сообщества (в том числе, RT) для VRF. RT идентифицирует целевую сеть VPN. Данную команду необходимо вводить отдельно для каждого сообщества. Все маршруты с указанными расширенными атрибутами сообщества импортируются во все VRF, относящиеся к тем же сообществам в качестве целевого маршрута импорта.
    
    В команде route-target также задается политика экспорта маршрутных объявлений:
    
    export — добавить RT к экспортируемой маршрутной информации VRF;
    
    import — импортировать маршрутную информацию с указанным RT;
    
    both — указать сразу и импорт, и экспорт.
    
    Указанные политики задаются в зависимости от планируемой топологии сети. Например, задание одного и того же значения для политики экспорта и импорта для всех таблиц VRF определенной сети VPN приводит к полносвязной топологии — каждый сайт может посылать пакеты непосредственно тому сайту, в котором находится сеть назначения.
    
    В приведенном ниже примере назначается RT для VRF ComB на маршрутизаторе PE1. Для остальных маршрутизаторов и сетей в рассматриваемой топологии задается то же значение политики экспорта.
    
    PE1(config)#ip vrf ComB
    
    PE1(config-vrf)#route-target both 100:1
    
    Конфигурация CE-соседей для VPN (с использованием BGP / OSPF / RIP)
    
    Для предоставления услуги VPN, PE-маршрутизаторы должны быть сконфигурированы таким образом, чтобы любая маршрутная информация, приходящая с интерфейса клиентской сети VPN могла быть соотнесена с соответствующей таблицей VRF. Это достигается за счет распространения по сети маршрутной информации протоколами маршрутизации, такими как BGP, OSPF, IS-IS, RIP. Для настройки CE-соседства используются приведенные ниже действия, в зависимости от используемого протокола (BGP, OSPF или RIP).
    BGP
    BGP-сессия между PE и CE-маршрутизаторами может включать разные типы маршрутов (VPN-IPv4, IPv4 маршруты). Соответственно, от используемого семейства адресов зависит тип BGP-сессии. Таким образом, необходимо настроить семейство адресов BGP для каждой таблицы VRF на PE-маршрутизаторах и отдельно адресное семейство для VPN-IPv4-маршрутов между PE-маршрутизаторами. Все не-VPN BGP-соседи определяются при помощи режима IPv4-адресов. Каждое VPN BGP-соседство определяется связанным с ним режимом семейства адресов. Для того чтобы задать семейство адресов, используется команда режима конфигурации маршрутизации BGP address-family ipv4 vrf .
    Отдельная запись о семействе адресов должна быть в каждой таблице VRF, в каждой записи о семействе адресов может значиться несколько CE-маршрутизаторов с VRF.
    PE и CE-маршрутизаторы должны быть напрямую подключены для BGP4-сессий; BGP multihop между ними не поддерживается.
    В приведенном ниже примере маршрутизатор переключается в режим семейства адресов и указываются имена компаний-клиентов ComA и ComB в качестве названий VRF, для того чтобы проассоциировать их с подмножеством команд, соответствующим IPv4 семейству адресов. Подобная конфигурация используется, когда между PE и CE-маршрутизаторами настроен BGP.
    PE1
    
    PE1(config)#router bgp 100
    
    PE1(config-router)#address-family ipv4 vrf ComA
    
    PE1(config-router-af)#neighbor 192.16.3.3 remote-as 65001
    
    PE1(config-router-af)#exit
    
    PE1(config-router)#address-family ipv4 vrf ComB
    
    PE1(config-router-af)#neighbor 168.12.0.2 remote-as 65003
    
    OSPF
    В отличие от BGP и RIP, OSPF не поддерживает разные контексты маршрутизации в одном процессе. Для запуска OSPF между PE и CE-маршрутизаторами настраивается отдельный OSPF-процесс для каждой VRF, который получает маршруты сети VPN по OSPF. PE-маршрутизатор различает принадлежность маршрутизаторов к определенной VRF, связывая конкретный клиентский интерфейс с таблицей VRF и с определенным процессом OSPF.
    Чтобы распространить OSPF-маршруты таблицы VRF в BGP, необходимо включить редистрибуцию OSPF в контексте конфигурирования маршрутизации BGP для семейства адресов, связанного с VRF.
    PE1
    
    PE1(config)#router ospf 101 ComA
    
    PE1(config-router)#network 192.16.3.0/24 area 0
    
    PE1(config-router)#redistribute bgp
    
    PE1(config-router)#ex
    
    PE1(config)#router ospf 102 ComB
    
    PE1(config-router)#network 192.12.0.0/24 area 0
    
    PE1(config-router)#redistribute bgp
    
    PE1
    
    PE1(config)#router bgp 100
    
    PE1(config-router)#address-family ipv4 vrf ComA
    
    PE1(config-router-af)#redistribute ospf
    
    PE1(config-router-af)#ex
    
    PE1(config-router)#address-family ipv4 vrf ComB
    
    PE1(config-router-af)#redistribute ospf
    
    Проверка настройки MPLS-VPN
    
    Для того чтобы проверить соседство между CE и PE-маршрутизаторами используется команда административного режима show ip bgp neighbor. Для просмотра всех созданных VRF и маршрутов в них используется команда show ip bgp vpnv4 all. Ниже приведен пример вывода команды show running-config для маршрутизаторов PE1, CE1 и P, сконфигурированных в соответствии с топологией рассматриваемого примера. Для связи PE с CE используется OSPF.
    
    PE1
    
    PE1#show running-config
    
    !
    hostname PE1
    !
    ip vrf management
    !
    ip vrf ComA
    rd 168.12.2.1:1
    route-target both 100:1
    !
    ip vrf ComB
    rd 192.16.2.1:1
    route-target both 100:1
    !
    mpls propagate-ttl
    !
    !
    ip pim register-rp-reachability
    !
    router ldp
    targeted-peer ipv4 10.10.21.50
    exit-targeted-peer-mode
    advertisement-mode downstream-on-demand
    !
    router ospf 100
    network 10.10.12.0/24 area 0.0.0.0
    !
    router ospf 101 ComA
    redistribute bgp
    network 192.16.3.0/24 area 0.0.0.0
    !
    router ospf 102 ComB
    redistribute bgp
    network 192.12.0.0/24 area 0.0.0.0
    !
    router bgp 100
    neighbor 3.3.3.3 remote-as 100
    neighbor 3.3.3.3 update-source 2.2.2.2
    address-family vpnv4 unicast
    neighbor 3.3.3.3 activate
    exit-address-family
    
    address-family ipv4 vrf ComA
    
    redistribute ospf
    exit-address-family
    
    address-family ipv4 vrf ComB
    
    redistribute ospf
    
    exit-address-family
    
    !
    interface loopback.0
    ip mtu 1500
    ip address 2.2.2.2/32
    !
    interface e1
    ip mtu 1500
    label-switching connect port te1 service-instance se1
    ip address 10.10.21.10/24
    ldp enable ipv4
    !
    interface e2
    ip mtu 1500
    ip vrf forwarding ComB
    !
    interface e3
    ip mtu 1500
    ip vrf forwarding ComA
    !
    
    P
    
    hostname P
    
    ip vrf management
    
    mpls propagate-ttl
    
    ip pim register-rp-reachability
    
    router ldp
    
    pw-status-tlv
    
    advertisement-mode downstream-on-demand
    
    interface e1
    
    ip mtu 1500
    
    label-switching
    
    connect port te1 service-instance se1
    
    ip address 10.10.21.50/24
    
    enable-ldp ipv4
    
    interface e2
    
    ip mtu 1500
    
    label-switching
    
    connect port te1 service-instance se1
    
    ip address 10.10.13.50/24
    
    enable-ldp ipv4
    
    MPLS Layer-3 eBGP VPN Configuration
    
    В данном разделе приведены примеры конфигурации для организации сети VPN при помощи eBGP в случае, когда PE-маршрутизаторы находятся в разных автономных системах (AS).
    Возможности сети VPN расширены для того чтобы была возможна реализация сценариев, когда PE-маршрутизаторы находятся в разных AS. Во всех рассмотренных случаях соединение между PE-маршрутизаторами устанавливается по eBGP. По умолчанию EBGP-VPN не разрешены.
    
    Настройка eBGP между PE и ASBR
    
    В этом примере eBGP сконфигурирован между CE и PE-маршрутизаторами. PE-маршрутизаторы по iBGP соединены с пограничными маршрутизаторами автономной системы (Autonomous System Border Router, ASBR). ASBR соединены между собой по eBGP.
    
    Топология
    
    На рисунке ниже приведена топология сети для данного примера.
    
    В таблицах ниже представлены команды конфигурирования маршрутизаторов CE, PE и ASBR в соответствии с топологией сети.
    
    Настройка CE-маршрутизаторов
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#interface e1
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip address 172.6.7.117/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 65001
    
    Определение процесса BGP маршрутизации для AS 65001
    
    (config-router)#neighbor 172.6.7.116 remote-
    as 1
    
    Определение PE-маршрутизатора как соседа. Где
    172.6.7.116 — IP-адрес PE-маршрутизатора, 1 — номер AS
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp.
    
    Настройка PE-маршрутизаторов
    
    #configure terminal
    
    (config)#ip vrf IPI
    
    Создание VRF под названием IPI
    
    (config-vrf)#rd 1:100
    
    Назначение RD 1:100
    
    (config-vrf)#route-target both 100:200
    
    Настройка импорта маршрутов между RT расширенных сообществ 100 и 200
    
    (config-vrf)#exit
    
    Выход из конфигурирования VRF
    
    (config)#interface e3
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip vrf forwarding IPI
    
    Привязка VRF под названием IPI к интерфейсу, к которому подключен CE-маршрутизатор
    
    (config-if)#ip address 172.6.7.116/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 1
    
    Определение процесса BGP маршрутизации для AS 1
    
    (config-router)#neighbor 172.5.6.115 remote-
    as 1
    
    Добавление ASBR в качестве однорангового iBGP устройства с IP-адресом 172.5.6.115 и AS 1
    
    (config-router)#address-family vpnv4 unicast
    
    Вход в режим конфигурирования семейства адресов VPNv4
    
    (config-router-af)#neighbor 172.5.6.115
    activate
    
    Активация ASBR-соседства, чтобы ASBR мог принимать маршруты сети VPN
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов VPNv4
    
    (config-router)#address-family ipv4 vrf IPI
    
    Вход в режим конфигурирования семейства адресов IPv4 для VRF IPI
    
    (config-router-af)#neighbor 172.6.7.117
    remote-as 65001
    
    Добавление CE-маршрутизатора в качестве однорангового eBGP устройства с IP-адресом 172.6.7.117 и AS 65001
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов IPv4
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp vpnv4 all.
    
    Настройка ASBR1 и ASBR2
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#ip vrf IPI
    
    Создание VRF под названием IPI
    
    (config-vrf)#rd 1:100
    
    Назначение RD 1:100
    
    (config-vrf)#route-target both 100:200
    
    Настройка импорта маршрутов между RT расширенных сообществ 100 и 200
    
    (config-vrf)#exit
    
    Выход из конфигурирования VRF
    
    (config)#interface e1
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip address 172.5.6.115/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 1
    
    Определение процесса BGP маршрутизации для AS 1
    
    (config-router)#neighbor 172.5.6.116 remote-
    as 1
    
    Добавление ASBR в качестве однорангового iBGP устройства с IP-адресом 172.5.6.116 и AS 1
    
    (config-router)#neighbor 172.4.5.114 remote-
    as 2
    
    Добавление удаленного ASBR в качестве однорангового eBGP устройства с IP-адресом 172.4.5.114 и AS 2
    
    (config-router)#address-family vpnv4 unicast
    
    Вход в режим конфигурирования семейства адресов VPNv4
    
    (config-router-af)#neighbor 172.5.6.116
    activate
    
    Активация ASBR-соседства, чтобы ASBR мог принимать маршруты сети VPN
    
    (config-router-af)#neighbor 172.4.5.114
    allow-ebgp-vpn
    
    Включение в CLI возможности установления eBGP сети VPN между двумя ASBR
    
    (config-router-af)#neighbor 172.4.5.114
    activate
    
    Активация eBGP ASBR для обработки маршрутов сети VPN
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов VPNv4
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp vpnv4 all.
    
    Настройка eBGP между PE и RR и между ASBR
    
    В данном примере PE-маршрутизатор соединен с Route-Reflector (RR), одним из клиентов которого является ASBR, соединенный с другими ASBR по eBGP. Конфигурация аналогична предыдущему примеру «Настройка eBGP между PE и ASBR», кроме конфигурации PE-маршрутизаторов и клиентов RR, одним из которых является ASBR. Между собой ASBR соединены по eBGP.
    
    Топология
    
    На рисунке ниже приведена топология сети для данного примера.
    
    Ниже представлены команды конфигурирования маршрутизаторов CE, PE, RR и ASBR в соответствии с топологией сети.
    
    Настройка CE-маршрутизаторов
    
    Используются те же команды, что и в примере «Настройка eBGP между PE и ASBR».
    
    Настройка PE-маршрутизаторов
    
    Используются те же команды, что и в примере «Настройка eBGP между PE и ASBR» , кроме того, что RR конфигурируется как одноранговое iGBP устройство, вместо ASBR.
    
    Настройка Route Reflectors
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#ip vrf IPI
    
    Создание VRF под названием IPI
    
    (config-vrf)#rd 1:100
    
    Назначение RD 1:100
    
    (config-vrf)#route-target both 100:200
    
    Настройка импорта маршрутов между RT расширенных сообществ 100 и 200
    
    (config-vrf)#exit
    
    Выход из конфигурирования VRF
    
    (config)#interface eth1
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip address 172.4.5.114/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 1
    
    Определение процесса BGP маршрутизации для AS 1
    
    (config-router)#neighbor 172.5.6.116 remote-
    as 1
    
    Добавление ASBR в качестве однорангового iBGP устройства с IP-адресом 172.5.6.116 и AS 1
    
    (config-router)#neighbor 172.4.5.114 remote-
    as 1
    
    Добавление ASBR в качестве однорангового iBGP устройства с IP-адресом 172.4.5.114 и AS 1
    
    (config-router)#address-family vpnv4 unicast
    
    Вход в режим конфигурирования семейства адресов VPNv4
    
    (config-router-af)#neighbor 172.5.6.116
    activate
    
    Активировать PE-маршрутизатор для обработки маршрутов сети VPN
    
    (config-router-af)#neighbor 172.5.6.116
    route-reflector-client
    
    Добавить PE-маршрутизатор, как route-reflector-client
    
    (config-router-af)#neighbor 172.4.5.114
    activate
    
    Активация ASBR-соседства, чтобы ASBR мог принимать маршруты сети VPN
    
    (config-router-af)#neighbor 172.4.5.114
    route-reflector-client
    
    Добавить ASBR, как route-reflector-client
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов VPNv4
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp vpnv4 all.
    
    Настройка ASBR
    
    Используются те же команды, что и в примере «Настройка eBGP между PE и ASBR» , кроме того, что ASBR конфигурируется как одноранговое iGBP устройство, вместо RR.
    
    Соединение PE-маршрутизаторов с использованием eBGP Multi-hop
    
    В данном примере PE-маршрутизаторы подключены друг к другу напрямую с использованием eBGP multi-hop.
    Между CE и PE-маршрутизатораминастроен eBGP. PE-маршрутизаторы настроены таким образом, чтобы между ними было соединение eBGP multi-hop. Для того чтобы соединение multi-hop работало, между PE1, P и PE2 должен быть запущен протокол IGP.
    
    Топология
    
    На рисунке ниже приведена топология сети для данного примера.
    
    Ниже представлены команды конфигурирования маршрутизаторов CE и PE в соответствии с топологией сети.
    
    На P-маршрутизаторах должен быть настроен только протокол IGP (в данном примере OSPF).
    
    Настройка CE-маршрутизаторов
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#interface eth1
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip address 172.6.7.117/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 65001
    
    Определение процесса BGP маршрутизации для AS 65001
    
    (config-router)#neighbor 172.6.7.116 remote-
    as 1
    
    Определение PE-маршрутизатора как соседа. Где
    172.6.7.116 — IP-адрес PE-маршрутизатора, 1 — номер AS
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp.
    
    Настройка PE-маршрутизаторов
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#ip vrf IPI
    
    Создание VRF под названием IPI
    
    (config-vrf)#rd 1:100
    
    Назначение RD 1:100
    
    (config-vrf)#route-target both 100:200
    
    Настройка импорта маршрутов между RT расширенных сообществ 100 и 200
    
    (config-vrf)#exit
    
    Выход из конфигурирования VRF
    
    (config)#interface eth3
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip vrf forwarding IPI
    
    Bind the interface connected to the CE router with VRF IPI.
    
    (config-if)#ip address 172.6.7.116/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router ospf 1
    
    Определение процесса маршрутизации OSPF
    
    (config-router)#network 172.5.6.0/24 area 0
    
    Рекламировать сеть между PE и P-маршрутизатором для того, чтобы обеспечить multi-hop
    
    (config-router)#exit
    
    Выход из режима конфигурации маршрутизации OSPF
    
    (config)#router bgp 1
    
    Определение процесса BGP маршрутизации для AS 1
    
    (config-router)#neighbor 172.4.5.114 remote-
    as 2
    
    Определение PE-маршрутизатора, как соседа. Здесь 172.4.5.114 — IP-адрес удаленного PE-маршрутизатора, 2 — номер AS
    
    (config-router)#neighbor 172.4.5.114 ebgp-
    multi-hop 255
    
    Установление PE-маршрутизатора в качестве однорангового устройства eBGP
    
    (config-router)#address-family vpnv4 unicast
    
    Вход в режим конфигурирования семейства адресов VPNv4
    
    (config-router-af)#neighbor 172.4.5.114
    allow-ebgp-vpn
    
    Настройка удаленного PE-маршрутизатора для разрешения eBGP сетей VPN
    
    (config-router-af)#neighbor 172.4.5.114
    activate
    
    Активация удаленного PE-маршрутизатора, чтобы он мог получать маршруты сети VPN
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов VPNv4
    
    (config-router)#address-family ipv4 vrf IPI
    
    Вход в режим конфигурирования семейства адресов IPv4 для VRF IPI
    
    (config-router-af)#neighbor 172.6.7.117
    remote-as 65001
    
    Определение CE-маршрутизатора, как соседа с IP-адресом 172.6.7.117 и номером AS 65001
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов IPv4
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp vpnv4 all.
    
    Соединение PE-маршрутизаторов с RR через RR, используя eBGP multi-hop
    
    В данном примере PE-маршрутизаторы подсоединены к Route-Reflector (RR), которые подсоединены к другим RR, используя eBGP-multi-hop.
    Конфигурация аналогична предыдущему примеру «Соединение PE-маршрутизаторов с использованием eBGP Multi-hop» , кроме того, что PE-маршрутизаторы подсоединены к RR по iBGP. EBGP multi-hop соединения остаются только между RR.
    
    Топология
    
    На рисунке ниже приведена топология сети для данного примера.
    
    Ниже представлены команды конфигурирования маршрутизаторов CE, PE и RR в соответствии с топологией сети.
    
    На P-маршрутизаторах должен быть настроен только протокол IGP (в данном примере OSPF).
    
    Настройка CE-маршрутизаторов
    
    Настраивается аналогично примеру «Соединение PE-маршрутизаторов с использованием eBGP Multi-hop».
    
    Настройка PE-маршрутизаторов
    
    Настраивается аналогично примеру «Соединение PE-маршрутизаторов с использованием eBGP Multi-hop» , кроме того, что у PE-маршрутизаторов есть только одно iBGP соединение с RR.
    
    Настройка Route Reflectors
    
    #configure terminal
    
    Вход в конфигурационный режим
    
    (config)#ip vrf IPI
    
    Создание VRF под названием IPI
    
    (config-vrf)#rd 1:100
    
    Назначение RD 1:100
    
    (config-vrf)#route-target both 100:200
    
    Настройка импорта маршрутов между RT расширенных сообществ 100 и 200
    
    (config-vrf)#exit
    
    Выход из конфигурирования VRF
    
    (config)#interface eth1
    
    Вход в режим конфигурирования интерфейса
    
    (config-if)#ip address 172.5.6.115/24
    
    (config-if)#exit
    
    Выход из режима конфигурирования интерфейса
    
    (config)#router bgp 1
    
    Определение процесса BGP маршрутизации для AS 1
    
    (config-router)#neighbor 172.5.6.116 remote-
    as 1
    
    Добавление ASBR в качестве однорангового iBGP устройства с IP-адресом 172.5.6.116 и AS 1
    
    (config-router)#neighbor 172.3.4.113 remote-
    as 2
    
    Добавление удаленного RR в качестве однорангового iBGP устройства с IP-адресом 172.3.4.113 и AS 2
    
    (config-router)#neighbor 172.3.4.113 ebgp-
    multi-hop 255
    
    Назначение удаленного RR-маршрутизатора в качестве однорангового устройства eBGP-multi-hop
    
    (config-router)#address-family vpnv4 unicast
    
    Вход в режим конфигурирования семейства адресов VPNv4
    
    (config-router-af)#neighbor 172.3.4.113
    allow-ebgp-vpn
    
    Настройка удаленного RR, чтобы разрешить EBGP сети VPN
    
    (config-router-af)#neighbor 72.3.4.113
    activate
    
    Активация соседства, чтобы удаленный RR мог принимать маршруты сети VPN
    
    (config-router-af)#neighbor 172.5.6.116
    activate
    
    Активация PE-маршрутизатора для обработки маршрутов сети VPN
    
    (config-router-af)#neighbor 172.5.6.116
    route-reflector-client
    
    Добавление PE-маршрутизатора в качестве route-reflector-client
    
    (config-router-af)#exit-address-family
    
    Выход из режима конфигурирования семейства адресов VPNv4
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    (config)#router ospf 1
    
    Определение процесса маршрутизации OSPF
    
    (config-router)#network 172.4.5.0/24 area 0
    
    Рекламировать сеть между PE и P-маршрутизатором для того, чтобы обеспечить multi-hop
    
    (config-router)#exit
    
    Выход из режима конфигурирования маршрутизации
    
    Для проверки настроенной конфигурации используются команды административного режима show ip bgp neighbors, show ip bgp vpnv4 all.
    
    Каналы связи L2 и L3 VPN — Отличия физических и виртуальных каналов разного уровня
    
    С доброй улыбкой теперь вспоминается, как человечество с тревогой ожидало в 2000 году конца света. Тогда этого не случилось, но зато произошло совсем другое событие и тоже очень значимое.
    
    Исторически, в то время мир вошел в настоящую компьютерную революцию v. 3.0. – старт облачных технологий распределенного хранения и обработки данных. Причем, если предыдущей «второй революцией» был массовый переход к технологиям «клиент-сервер» в 80-х годах, то первой можно считать начало одновременной работы пользователей с использованием отдельных терминалов, подключенных к т.н. «мейнфреймам» (в 60-х прошлого столетия). Эти революционные перемены произошли мирно и незаметно для пользователей, но затронули весь мир бизнеса вместе с информационными технологиями.
    
    При переносе IT-инфраструктуры на облачные платформы и удаленные ЦОД (центры обработки данных) ключевым вопросом сразу же становится организация надежных каналов связи от клиента к дата-центрам. В Сети нередко встречаются предложения провайдеров: «физическая выделенная линия, оптоволокно», «канал L2», «VPN» и так далее… Попробуем разобраться, что за этим стоит на практике.
    
    Каналы связи – физические и виртуальные
    
    1. Организацией «физической линии» или «канала второго уровня, L2» принято называть услугу предоставления провайдером выделенного кабеля (медного или оптоволоконного), либо радиоканала между офисами и теми площадками, где развернуто оборудование дата-центров. Заказывая эту услугу, на практике скорее всего вы получите в аренду выделенный оптоволоконный канал. Это решение привлекательно тем, что за надежную связь отвечает провайдер (а в случае повреждения кабеля самостоятельно восстанавливает работоспособность канала). Однако, в реальной жизни кабель на всем протяжении не бывает цельным – он состоит из множества соединенных (сваренных) между собой фрагментов, что несколько снижает его надежность. На пути прокладки оптоволоконного кабеля провайдеру приходится применять усилители, разветвители, а на оконечных точках – модемы.
    
    В маркетинговых материалах к уровню L2 (Data-Link) сетевой модели OSI или TCP/IP это решение относят условно – оно позволяет работать как бы на уровне коммутации фреймов Ethernet в LAN, не заботясь о многих проблемах маршрутизации пакетов на следующем, сетевом уровне IP. Есть, например, возможность продолжать использовать в клиентских виртуальных сетях свои, так называемые «частные», IP-адреса вместо зарегистрированных уникальных публичных адресов. Поскольку использовать частные IP-адреса в локальных сетях очень удобно, пользователям были выделены специальные диапазоны из основных классов адресации:
    
    10.0.0.0 – 10.255.255.255 в классе A (с маской 255.0.0.0 или /8 в альтернативном формате записи маски);
    
    100.64.0.0 – 100.127.255.255 в классе A (с маской 255.192.0.0 или /10);
    
    172.16.0.0 – 172.31.255.255 в классе B (с маской 255.240.0.0 или /12);
    
    192.168.0.0 – 192.168.255.255 в классе C (с маской 255.255.0.0 или /16).
    
    Примечание: NAT – Network Address Translation (механизм замены сетевых адресов транзитных пакетов в сетях TCP/IP, применяется для маршрутизации пакетов из локальной сети клиента в другие сети/Интернет и в обратном направлении – вовнутрь LAN клиента, к адресату).
    
    У этого подхода (а мы говорим о выделенном канале) есть и очевидный недостаток – в случае переезда офиса клиента, могут быть серьезные сложности с подключением на новом месте и возможна потребность в смене провайдера.
    
    Утверждение, что такой канал значительно безопаснее, лучше защищен от атак злоумышленников и ошибок низкоквалифицированного технического персонала при близком рассмотрении оказывается мифом. На практике проблемы безопасности чаще возникают (или создаются хакером умышленно) прямо на стороне клиента, при участии человеческого фактора.
    
    2. Виртуальные каналы и построенные на них частные сети VPN (Virtual Private Network) распространены широко и позволяют решить большинство задач клиента.
    
    Предоставление провайдером «L2 VPN» предполагает выбор из нескольких возможных услуг «второго уровня», L2:
    
    VLAN – клиент получает виртуальную сеть между своими офисами, филиалами (в действительности, трафик клиента идет через активное оборудование провайдера, что ограничивает скорость);
    
    Соединение «точка-точка» PWE3 (другими словами, «эмуляция сквозного псевдопровода» в сетях с коммутацией пакетов) позволяет передавать фреймы Ethernet между двумя узлами так, как если бы они были соединены кабелем напрямую. Для клиента в такой технологии существенно, что все переданные фреймы доставляются до удалённой точки без изменений. То же самое происходит и в обратном направлении. Это возможно благодаря тому, что фрейм клиента приходя на маршрутизатор провайдера далее инкапсулируется (добавляется) в блок данных вышестоящего уровня (пакет MPLS), а в конечной точке извлекается;
    
    Примечание: PWE3 – Pseudo-Wire Emulation Edge to Edge (механизм, при котором с точки зрения пользователя, он получает выделенное соединение).
    
    MPLS – MultiProtocol Label Switching (технология передачи данных, при которой пакетам присваиваются транспортные/сервисные метки и путь передачи пакетов данных в сетях определяется только на основании значения меток, независимо от среды передачи, используя любой протокол. Во время маршрутизации новые метки могут добавляться (при необходимости) либо удаляться, когда их функция завершилась. Содержимое пакетов при этом не анализируется и не изменяется).
    
    VPLS – технология симуляции локальной сети с многоточечными соединениями. В этом случае сеть провайдера выглядит со стороны клиента подобной одному коммутатору, хранящему таблицу MAC-адресов сетевых устройств. Такой виртуальный «коммутатор» распределяет фрейм Ethernet пришедший из сети клиента, по назначению – для этого фрейм инкапсулируется в пакет MPLS, а после извлекается.
    
    Примечание: VPLS – Virtual Private LAN Service (механизм, при котором с точки зрения пользователя, его разнесенные географически сети соединены виртуальными L2 соединениями).
    
    MAC – Media Access Control (способ управления доступом к среде – уникальный 6-байтовый адрес-идентификатор сетевого устройства (или его интерфейсов) в сетях Ethernet).
    
    3. В случае развертывания «L3 VPN» сеть провайдера в глазах клиента выглядит подобно одному маршрутизатору с несколькими интерфейсами. Поэтому, стык локальной сети клиента с сетью провайдера происходит на уровне L3 сетевой модели OSI или TCP/IP.
    
    Публичные IP-адреса для точек стыка сетей могут определяться по согласованию с провайдером (принадлежать клиенту либо быть полученными от провайдера). IP-адреса настраиваются клиентом на своих маршрутизаторах с обеих сторон (частные – со стороны своей локальной сети, публичные – со стороны провайдера), дальнейшую маршрутизацию пакетов данных обеспечивает провайдер. Технически, для реализации такого решения используется MPLS (см. выше), а также технологии GRE и IPSec.
    
    Примечание: GRE – Generic Routing Encapsulation (протокол тунеллирования, упаковки сетевых пакетов, который позволяет установить защищенное логическое соединение между двумя конечными точками – с помощью инкапсуляции протоколов на сетевом уровне L3).
    
    IPSec – IP Security (набор протоколов защиты данных, которые передаются с помощью IP. Используется подтверждение подлинности, шифрование и проверка целостности пакетов).
    
    Важно понимать, что современная сетевая инфраструктура построена так, что клиент видит только ту ее часть, которая определена договором. Выделенные ресурсы (виртуальные серверы, маршрутизаторы, хранилища оперативных данных и резервного копирования), а также работающие программы и содержимое памяти полностью изолированы от других пользователей. Несколько физических серверов могут согласованно и одновременно работать для одного клиента, с точки зрения которого они будут выглядеть одним мощным серверным пулом. И наоборот, на одном физическом сервере могут быть одновременно созданы множество виртуальных машин (каждая будет выглядеть для пользователя подобно отдельному компьютеру с операционной системой). Кроме стандартных, предлагаются индивидуальные решения, которые также соответствует принятым требованиям относительно безопасности обработки и хранения данных клиента.
    
    При этом, конфигурация развернутой в облаке сети «уровня L3» позволяет масштабирование до практически неограниченных размеров (по такому принципу построен Интернет и крупные дата-центры). Протоколы динамической маршрутизации, например OSPF, и другие в облачных сетях L3, позволяют выбрать кратчайшие пути маршрутизации пакетов данных, отправлять пакеты одновременно несколькими путями для наилучшей загрузки и расширения пропускной способности каналов.
    
    В то же время, есть возможность развернуть виртуальную сеть и на «уровне L2», что типично для небольших дата-центров и устаревших (либо узко-специфических) приложений клиента. В некоторых таких случаях, применяют даже технологию «L2 over L3», чтобы обеспечить совместимость сетей и работоспособность приложений.
    
    Подведем итоги
    
    На сегодняшний день задачи пользователя/клиента в большинстве случаев могут быть эффективно решены путём организации виртуальных частных сетей VPN c использованием технологий GRE и IPSec для безопасности.
    
    Нет особого смысла противопоставлять L2 и L3, равно как нет смысла считать предложение канала L2 лучшим решением для построения надёжной коммуникации в своей сети, панацеей. Современные каналы связи и оборудование провайдеров позволяют пропускать громадное количество информации, а многие выделенные каналы, арендуемые пользователями, на самом деле – даже недогружены. Разумно использовать L2 только в особенных случаях, когда этого требует специфика задачи, учитывать ограничения возможности будущего расширения такой сети и проконсультироваться со специалистом. С другой стороны, виртуальные сети L3 VPN, при прочих равных условиях, более универсальны и просты в эксплуатации.
    
    В этом обзоре кратко перечислены современные типовые решения, которые используют при переносе локальной IT-инфраструктуры в удаленные центры обработки данных. Каждое из них имеет своего потребителя, достоинства и недостатки, правильность выбора решения зависит от конкретной задачи.
    
    В реальной жизни, оба уровня сетевой модели L2 и L3 работают вместе, каждый отвечает за свою задачу и противопоставляя их в рекламе, провайдеры откровенно лукавят.
    
    Высокая производительность
    
    Хостинг
    
    IT-инфраструктура
    
    Виртуализация
    
    Терминология IT
    
    L3 VPN
    
    Гарантирует полносвязную топологию сети,
    обеспечивая максимальную доступность всех филиалов компании.
    
    L3 VPN позволяет подключать физически распределенные филиалы организации через сеть Jusan Mobile, обеспечивая надёжное IP соединение территориально распределённых офисов.
    
    MPLS L3 VPN сети ориентированные на уровень приложений, это современная основа для цифровых коммуникаций, которые обеспечивают инновационное развитие вашего бизнеса.
    
    В мире цифрового бизнеса всё зависит от вашей способности подключать сотрудников, партнеров или клиентов к вашим данным и корпоративным приложениям. В качестве основы вашей цифровой стратегии развития бизнеса должна выступать интеллектуальная и автоматизированная сеть, оперативно реагирующая на требования и запросы ИТ приложений.
    
    L3 VPN сети от Jusan Mobile являются идеальным решением отвечающим всем запросам современного бизнеса. Услуга организовывается через IP/MPLS сеть Jusan Mobile с использованием протокола MP-BGP.
    
    Услуга решает следующие задачи:
    
    Обеспечение стабильной работы корпоративных приложений и систем (ERP, CRM, E-mail Server)
    
    8 тарифных планов, гибкая функциональность QoS и инжиниринг трафика, гарантируют качество сервисов IP-телефонии и видеоконференцсвязи
    
    L3 VPN сети: «точка-точка» (point-to-point), распределённая сеть (full-mesh), централизованная сеть (hub-and-spoke)
    
    Возможность подключения к платформе облачных услуг kCloud
    
    Поддержка IPV4, IPV6
    
    Самостоятельная установка и регулировка приоритетности трафика бизнес приложений
    
    Как работает
    
    Подключив ваше оборудование к сети Jusan Mobile вы осуществляете передачу ваших данных, голоса, видео и всей важной информации внутри единой сети. Использование протокола BGP или статической маршрутизации между вашим оборудованием и сетью Jusan Mobile обеспечивает полный контроль на движением трафика.
    
    Дополнительные сервисы
    
    Выгоды клиента
    
    SLA
    
    Обеспечение надёжного IP соединения филиалов. Гарантированная доступность услуги 99,5%.
    
    Приоритетная техническая поддержка 24/7
    
    Персональные менеджеры, сертифицированные технические специалисты, круглосуточный мониторинг сети, техническая и информационная поддержка.
    
    Гибкость
    
    Простота настройки и удобство эксплуатации, скорость от 512 Кбит/с до 10 Гбит/с.
    
    Лёгкость интеграции
    
    Полная интеграция с Internet, VoIP, и облачными услугами kCloud.
    
    Удобство
    
    При подключении услуги нет необходимости менять адресный план.
    
    Стоимость
    
    Стоимость рассчитывается индивидуально в зависимости от тарифного плана и дополнительных услуг.
    
    Читать:
    Как убрать надпись активация windows 8 в правом нижнем углу навсегда