شبکه‌های مخابراتی پیشرفته و مراکز داده ابری، ترافیک صدها سازمان مستقل را بر روی یک زیرساخت فیزیکی مشترک جابه‌جا می‌کنند. در مدل مسیریابی سنتی IP، هر مسیریاب تنها یک جدول کلی نگهداری می‌کند. اگر دو شرکت به یک مسیریاب متصل شوند و هم‌زمان از زیرشبکه‌های خصوصی یکسان منطبق بر RFC 1918 استفاده کنند، تداخل مسیریابی رخ داده و سبب قطع ارتباط و افشای اطلاعات می‌گردد.

برای رفع این محدودیت، کارگروه IETF معماری شبکه‌های خصوصی مجازی BGP/MPLS IP را در استاندارد RFC 4364 (که پیش‌تر RFC 2547 نام داشت) تدوین نمود. این ساختار که در صنعت با نام BGP L3VPN شناخته می‌شود، دامنه‌های مسیریابی مشترکین را در لایه ۳ به کمک نمونه‌های مسیریابی و هدایت مجازی (VRF)، پروتکل چندپروتکلی MP-BGP (RFC 4760) و فناوری برچسب‌گذاری دو‌سطحی MPLS تفکیک می‌نماید.

چالش مسیریابی چندمستاجری در شبکه‌های سازمانی

هنگامی که سازمان‌ها شبکه‌های گسترده چندنقطه‌ای ایجاد کرده یا به ابرهای عمومی متصل می‌شوند، ترافیک آنها ناگزیر از خطوط ارتباطی اشتراکی عبور می‌کند.

رویکرد سنتی متکی بر تفکیک فیزیکی یا ایجاد تونل‌های نقطه به نقطه میان شعب است. اما برقراری تونل‌های انفرادی میان صدها نقطه پایانی، یک گلوگاه با پیچیدگی تصاعدی $O(N^2)$ ایجاد می‌کند: ۱. مسیریاب‌های هسته شبکه ناچار به ثبت میلیون‌ها مسیر شده که ظرفیت حافظه سخت‌افزاری TCAM را پر می‌کند. ۲. آدرس‌های خصوصی در صورت استفاده هم‌زمان از دامنه‌هایی مانند 10.0.0.0/8 یا 192.168.1.0/24 با یکدیگر تداخل پیدا می‌کنند. ۳. پیچیدگی پیکربندی با افزودن هر شعبه تازه افزایش چشمگیری می‌یابد.

استاندارد RFC 4364 این چالش‌ها را برطرف ساخته است. با انتقال تمام منطق پردازش شبکه مجازی به مسیریاب‌های لبه ارائه‌دهنده (Provider Edge یا PE) و حفظ عملکرد ساده هسته بر پایه برچسب‌گذاری، امکان ارتباط امن و بدون تداخل فراهم می‌گردد.

+-----------------------------------------------------------------------------+
|                      ساختار شبکه BGP L3VPN طبق RFC 4364                     |
+-----------------------------------------------------------------------------+
[ CE-A1 ] ---> [ PE 1 ] ======================== [ PE 2 ] ---> [ CE-A2 ] (مشترک A)
                  ||       (هسته P: تعویض برچسب)    ||
[ CE-B1 ] ---> [ PE 1 ] ======================== [ PE 2 ] ---> [ CE-B2 ] (مشترک B)

جدول مسیریابی مجازی (VRF): تفکیک حافظه و جداول مسیریابی

پایه اصلی تفکیک مشترکین در لایه ۳، فناوری Virtual Routing and Forwarding (VRF) است. مسیریاب PE به جای یک جدول یکپارچه، لایه‌های کنترل و داده خود را به چندین مسیریاب مجازی مستقل تقسیم می‌کند.

هر نمونه VRF دارای پایگاه اطلاعات مسیریابی (RIB) و پایگاه اطلاعات هدایت بسته (FIB) اختصاصی است. پورت‌های فیزیکی یا رابط‌های منطقی با شناسه VLAN مستقیما به یک VRF خاص متصل می‌شوند.

جداسازی لایه کنترل و پایگاه اطلاعات هدایت بسته (FIB)

هنگامی که مسیریاب لبه مشتری (Customer Edge یا CE) مسیرها را از طریق BGP، OSPF یا استاتیک به PE 1 اعلام می‌کند:

  • به‌روزرسانی تنها در جدول RIB مربوط به همان VRF قرار می‌گیرد.
  • پروتکل‌های فعال در یک VRF هیچ دیدی نسبت به سایر VRFهای موجود روی همان دستگاه ندارند.
  • جستجوی بسته‌های ورودی تنها در جدول FIB مربوط به همان کاربر انجام می‌شود.

به این ترتیب، بسته متعلق به کاربر A هرگز به سمت کاربر B هدایت نمی‌شود، حتی اگر نشانی مقصد با آدرس ثبت‌شده در جدول کاربر B مطابقت داشته باشد.

مدیریت تداخل بازه‌های آدرس خصوصی استاندارد RFC 1918

به دلیل تفکیک جداول در هسته سیستم‌عامل، سازمان‌های مختلف می‌توانند از آدرس‌های خصوصی کاملا یکسان بدون هیچ تداخلی بهره گیرند.

برای نمونه، کاربران A و B هر دو می‌توانند ترافیک خود را در شبکه 10.50.0.0/24 جاری سازند:

  • داده کاربر A با جستجو در جدول VRF-Alpha به CE-A2 ارسال می‌شود.
  • داده کاربر B با جستجو در جدول VRF-Beta به CE-B2 ارسال می‌شود.

با این حال، پس از خروج داده‌ها از PE به سمت هسته شبکه از طریق MP-BGP، قالب آدرس‌دهی سنتی IPv4 قادر به تشخیص دو پیشوند یکسان نیست. سند RFC 4364 این معضل را با معرفی تمایزدهنده مسیر حل نموده است.

تمایزدهنده مسیر (RD): ایجاد شناسه‌های یکتای جهانی برای پیشوندها

تمایزدهنده مسیر (Route Distinguisher یا RD) مقداری عددی به طول ۸ بایت (۶۴ بیت) است که برای هر VRF تعیین می‌شود. هنگامی که PE یک مسیر را از جدول اختصاصی کاربر وارد MP-BGP می‌کند، شناسه RD را به ابتدای نشانی ۴ بایتی IPv4 می‌افزاید.

ترکیب ۱۲ بایتی (۹۶ بیتی) حاصل، نشانی VPN-IPv4 نامیده می‌شود (AFI=1, SAFI=128):

+-----------------------------------------------------------------------------+
|                 ساختار نشانی پیشوند VPN-IPV4 بر اساس RFC 4364               |
+-----------------------------------------------------------------------------+
|     تمایزدهنده مسیر RD (۶۴ بیت)     |            پیشوند IPv4 (۳۲ بیت)       |
+-------------------------------------+---------------------------------------+

سند RFC 4364 سه ساختار استاندارد برای فیلد RD تعیین کرده است:

  • نوع ۰: شماره سیستم خودمختار (ASN) دو بایتی به همراه مقدار ۴ بایتی (مانند 65001:100).
  • نوع ۱: نشانی IPv4 چهار بایتی به همراه مقدار ۲ بایتی (مانند 198.51.100.1:100).
  • نوع ۲: شماره ASN چهار بایتی به همراه مقدار ۲ بایتی (مانند 4200000001:100).

با الصاق 65001:100 به پیشوند کاربر A و 65001:200 به پیشوند کاربر B، دو آدرس به صورت 65001:100:10.50.0.0/24 و 65001:200:10.50.0.0/24 درمی‌آیند. این دو مقدار برای پروتکل MP-BGP کاملا مجزا بوده و هم‌زمان در یک جدول ذخیره می‌گردند.

اهداف مسیر (RT): اجتماع‌های گسترش‌یافته BGP و سیاست‌های توزیع

یک تصور نادرست این است که تمایزدهنده مسیر مشخص می‌کند کدام VRF مسیر را دریافت کند. در واقع، مقدار RD طبق RFC 4364 حاوی هیچ قاعده سیاستی نبوده و فقط آدرس را یکتا می‌سازد.

توزیع و فیلتر کردن مسیرها میان جداول مختلف توسط اهداف مسیر (Route Target یا RT) کنترل می‌شود که از طریق اجتماع‌های گسترش‌یافته BGP (RFC 4360) پیاده‌سازی می‌گردند.

[ VRF Alpha PE 1 ] ---> صادرات RT 65001:101 ---> [ هسته MP-BGP ]
                                                        |
[ VRF Alpha PE 2 ] <--- واردات RT 65001:101 <-----------+

هر VRF دو فهرست مجزا را پیکربندی می‌کند:

  • اهداف مسیر صادراتی (Export RT): هنگام ارسال مسیرها به MP-BGP به آنها الصاق می‌شود.
  • اهداف مسیر وارداتی (Import RT): هنگام دریافت پیام‌های VPN-IPv4 ارزیابی می‌گردد. اگر پیام شامل RT منطبق باشد، شناسه RD حذف شده و مسیر در جدول محلی VRF درج می‌شود.

کنترل الگوهای اتصال: ساختار ستاره‌ای در برابر اتصال کامل

تفکیک مقادیر واردات و صادرات، طراحی الگوهای متنوع ارتباطی را بدون دستکاری فیزیکی شبکه میسر می‌سازد:

  • الگوی اتصال کامل (Full-Mesh): تمام نقاط مقدار RT یکسانی را صادر و وارد می‌کنند (export 65001:100 و import 65001:100) تا ارتباط مستقیم میان همه برقرار گردد.
  • الگوی ستاره‌ای (Hub-and-Spoke): شعب مقدار RT-Spoke را صادر و RT-Hub را دریافت می‌کنند. نقطه مرکزی RT-Hub را صادر و RT-Spoke را دریافت می‌کند. شعب امکان تبادل مستقیم نداشته و ترافیک از فایروال مرکزی عبور می‌کند.
  • سرویس‌های مشترک برون‌شبکه‌ای (Extranet): یک VRF اداری علاوه بر مسیرهای خود، RT مربوط به سرویس‌های اشتراکی (مانند DNS و اکتیودایرکتوری) را وارد کرده و دسترسی کنترل‌شده ایجاد می‌کند.

پشته برچسب دو‌سطحی: سازوکار هدایت بسته‌های MPLS و VPN

پس از تبادل مسیرها، انتقال واقعی بسته‌ها در هسته شبکه بر پایه یک پشته برچسب دو‌سطحی MPLS صورت می‌پذیرد.

مسیریاب لبه ورودی هنگام ارسال داده، دو برچسب ۳۲ بیتی مجزا الصاق می‌نماید (RFC 3031):

+-----------------------------------------------------------------------------+
|                  پشته برچسب‌های دو‌سطحی هدایت ترافیک MPLS                    |
+-----------------------------------------------------------------------------+
| فریم لایه ۲ | برچسب انتقال بیرونی | برچسب خدمات VPN داخلی | محتوای بسته IP  |
+-----------------------------------------------------------------------------+

۱. برچسب داخلی (برچسب VPN یا سرویس): توسط PE خروجی از طریق MP-BGP تعیین می‌شود و مشخص می‌کند بسته پس از رسیدن به مقصد به کدام VRF تحویل داده شود. ۲. برچسب بیرونی (برچسب انتقال یا IGP): توسط پروتکل‌های LDP، RSVP-TE یا Segment Routing مدیریت شده و بسته را در طول مسیر به سمت PE خروجی هدایت می‌کند.

برچسب‌های انتقال بیرونی و مقیاس‌پذیری هسته شبکه

این شیوه برچسب‌گذاری، پایداری و مقیاس‌پذیری شبکه را تضمین می‌کند:

  • مسیریاب‌های میانی هسته (P) تنها برچسب بیرونی را بررسی و تعویض می‌کنند.
  • تجهیزات هسته کاری به نشانی‌های مشتریان یا برچسب داخلی ندارند.
  • بار ثبت میلیون‌ها مسیر از روی هسته برداشته شده و صرفا نشانی‌های اصلی حفظ می‌گردد.

در یک گام مانده به مقصد، مکانیزم Penultimate Hop Popping (PHP) برچسب بیرونی را جدا می‌کند. مسیریاب PE خروجی بسته را تنها با برچسب داخلی دریافت کرده و فورا بسته IP را به پورت کاربر هدایت می‌نماید.

امنیت لایه داده و خطرات نشت ترافیک VRF در اتصالات ابری

با وجود امنیت بالای BGP L3VPN، خطاهای پیکربندی می‌تواند مخاطراتی ایجاد کند:

۱. اشتباه در تطبیق Route Target: اشتباه در وارد کردن مقادیر (مانند وارد کردن 65001:200 در VRF-Alpha) باعث نشت مسیرها میان دو مشترک مجزا شده و دسترسی غیرمجاز به بار می‌آورد. ۲. حملات منع سرویس با تزریق مسیر: یک سیستم آسیب‌دیده ممکن است هزاران مسیر جعلی ارسال کرده و حافظه سخت‌افزاری دستگاه PE را پر کند. ۳. نشت مسیر در ارتباطات چندابری: در اتصالات ترکیبی ابری با درگاه‌های AWS Direct Connect یا Azure ExpressRoute، خطاهای هدایت بسته ممکن است مسیرهای پیش‌فرض را خارج از حریم مجاز پخش کند.

کارشناسان می‌توانند وضعیت اتصالات بیرونی خود را از طریق ابزار بررسی نشانی آی‌پی ارزیابی نمایند.

ایمن‌سازی و مقاوم‌سازی MP-BGP و مسیریاب‌های لبه در محیط عملیاتی

پایداری شبکه L3VPN نیازمند وضع سیاست‌های سخت‌گیرانه در لایه دسترسی است.

در سیستم‌های مدرن شبکه (مانند FRRouting، Cisco IOS-XR و Junos)، محدودیت‌های ترافیکی دقیقی اعمال می‌شود. نمونه‌ای از تنظیمات FRRouting برای تفکیک VRF و توزیع مسیرها:

# ایجاد VRF و اتصال درگاه مشتری
ip link add dev vrf-tenant-a type vrf table 1001
ip link set dev eth2 master vrf-tenant-a
ip link set dev vrf-tenant-a up

# پیکربندی پردازش BGP در FRR
router bgp 65001
 address-family ipv4 vpn
  neighbor 198.51.100.2 activate
 exit-address-family
 !
 router bgp 65001 vrf vrf-tenant-a
  rd 65001:100
  address-family ipv4 unicast
   route-target export 65001:100
   route-target import 65001:100
   maximum-prefix 5000 80 warning-only
  exit-address-family

اقدامات ضروری برای حفظ امنیت شامل موارد زیر است:

  • تعیین سقف تعداد پیشوندها: فعال‌سازی ویژگی maximum-prefix در تمامی نشست‌های ارتباطی با مشتری برای قطع خودکار نشست در صورت ارسال مسیرهای غیرمجاز.
  • پالایش مسیرهای AS-path: بهره‌گیری از لیست‌های کنترل دسترسی برای مسدودسازی شناسه‌های خودمختار خصوصی یا نامعتبر ارسالی از سمت کاربر.
  • احراز هویت TCP: حفاظت از ارتباطات MP-BGP میان مسیریاب‌های PE به وسیله TCP-AO (RFC 5925) یا امضای MD5 (RFC 2385) جهت مقابله با جعل مسیرها.

پیاده‌سازی جداسازی رمزشده کاربران در بستر شتاب‌دهنده RiceGuard

شبکه جهانی VPNRice قابلیت اختصاصی RiceGuard را در کلیه گره‌های لبه به کار گرفته است. برخلاف شبکه‌های سنتی که برچسب‌های MPLS را بدون رمزگذاری در خطوط عمومی ارسال می‌کنند، RiceGuard جداسازی منطقی RFC 4364 را با رمزنگاری مدرن ترکیب کرده است.

[ دستگاه مشترک ] ---> [ دروازه ارتباطی لبه RiceGuard ]
                                     |
    +--------------------------------+--------------------------------+
    | تفکیک منطقی جداول VRF و مسیریابی هوشمند جریان‌ها                 |
    | برچسب‌گذاری رمزشده داخلی (تفکیک کلیدهای متقارن اختصاصی)         |
    +--------------------------------+--------------------------------+
                                     |
                   [ بستر سراسری Anycast ایمن شبکه ]
                                     |
                                     v
                  [ دروازه خروجی: تحویل داده بدون نشت ]

۱. تفکیک رمزشده محیط‌های VRF: شتاب‌دهنده RiceGuard ترافیک هر کاربر را به بخش‌های سخت‌افزاری مجزا نگاشت کرده و با کلیدهای متقارن اختصاصی محافظت می‌نماید. ۲. پردازش داده در سرعت خط: دسته‌بندی و تطبیق داده‌ها در هسته سیستم‌عامل بدون درگیری با قفل‌های سیستمی صورت می‌پذیرد تا تاخیر شبکه به حداقل برسد. ۳. محافظت در خطوط انتقال عمومی: در حالی که بستر قدیمی داده‌ها را بدون محافظت عبور می‌دهد، این سیستم کلیه ارتباطات میان‌منطقه‌ای را درون تونل‌های تاییدشده WireGuard بسته‌بندی می‌کند تا شنود فیبر نوری ناممکن گردد.

جهت برقراری اتصالی امن، پایدار و یکپارچه در رایانه‌ها و تلفن‌های هوشمند، می‌توانید نسخه رسمی را دریافت کنید.

دریافت VPNRice.

متخصصان شبکه می‌توانند برای مطالعه تکمیلی به مبحث قابلیت چندمقصدی فعال BGP EVPN و بررسی سازوکار تشخیص سریع اختلالات با BFD مراجعه کنند. همچنین راهنمای بهینه‌سازی پنجره ضد بازپخش IPsec RFC 4303 در دسترس است.

چک‌لیست عملیاتی برای استقرار پایدار معماری BGP L3VPN

راه‌اندازی ساختار BGP L3VPN در زیرساخت‌های سازمانی مستلزم رعایت این مراحل است:

  • استانداردسازی نام‌گذاری RD و RT: تعیین فرمت مشخص (مانند ASN:TenantID برای RD و ASN:ServiceProfile برای RT) جهت جلوگیری از اشتباهات پیکربندی.
  • اعمال سقف مسیرهای مشتری: تنظیم مقدار maximum-prefix روی کلیه درگاه‌های مشترکین به منظور محافظت از حافظه سخت‌افزاری دستگاه‌ها.
  • آزمایش مسیرهای برچسب‌گذاری‌شده (LSP): اطمینان از عملکرد صحیح پروتکل‌های IGP و LDP/SR در ایجاد مسیرهای برچسب‌دار میان تمامی نشانی‌های Loopback.
  • مدیریت دقیق منابع اشتراکی: در صورت اتصال چند VRF به سرویس‌های عمومی، تنظیم محدوده‌های مشخص در اهداف مسیر وارداتی جهت پیشگیری از نشت ترافیک پیش‌فرض.
  • رمزگذاری بستر انتقال داده: در اتصالات ابری یا عبور از شبکه‌های عمومی، بسته‌بندی ترافیک MPLS در بستر IPsec یا WireGuard جهت تضمین محرمانگی اطلاعات.
  • پایش تغییرات در لایه کنترل: نظارت پیوسته بر تعداد پیام‌های VPN-IPv4 در سیستم Prometheus جهت شناسایی حلقه‌های احتمالی پیش از بروز اختلال.