概要

レイヤー2 VPN

ルーターへのレイヤ2 VPNの実装は、ATMやフレームリレーなどのレイヤ2技術を使用したVPNの実装と類似しています。ただし、ルーター上のレイヤー2 VPNの場合、トラフィックはレイヤー2形式でルーターに転送されます。MPLSによってサービスプロバイダのネットワーク経由で伝送され、受信サイトでレイヤー2形式に変換されます。送信サイトと受信サイトで異なるレイヤー 2 形式を設定できます。MPLS レイヤ 2 VPN のセキュリティとプライバシは、ATM やフレーム リレー VPN と同等です。

レイヤー2 VPNでは、ルーティングは顧客のルーター(通常はCEルーター)で行われます。レイヤー2 VPN上のサービスプロバイダに接続されたCEルーターは、トラフィックを送信する適切な回線を選択する必要があります。トラフィックを受信した PE ルーターは、サービス プロバイダーのネットワークを介して、受信サイトに接続された PE ルーターにトラフィックを送信します。PE ルーターは、顧客のルートを保存または処理する必要はありません。必要なのは、適切なトンネルにデータを送信することだけです。

レイヤー2VPNの場合、お客様はすべてのレイヤー3トラフィックを伝送するように独自のルーターを構成する必要があります。サービス プロバイダが把握する必要があるのは、レイヤー2 VPNが伝送する必要があるトラフィック量だけです。サービス プロバイダのルーターは、レイヤー 2 VPN インターフェイスを使用して、お客様のサイト間でトラフィックを伝送します。VPN トポロジーは、PE ルーターに設定されたポリシーによって決定されます。

レイヤー3 VPN

レイヤー3 VPNでは、ルーティングはサービスプロバイダのルーターで行われます。そのため、レイヤー3VPNでは、サービスプロバイダのPEルーターが顧客のルートを保存して処理する必要があるため、サービスプロバイダ側でより多くの設定が必要になります。

Junos OSでは、レイヤー3 VPNはRFC 4364、 BGP/MPLS IP仮想プライベートネットワーク(VPN)に基づいています。この RFC は、サービス プロバイダーが自社の IP バックボーンを使用して、レイヤー 3 VPN サービスを顧客に提供できるメカニズムを定義しています。レイヤー3VPNを構成するサイトは、プロバイダーの既存のパブリックインターネットバックボーンを介して接続されています。

RFC 4364に基づくVPNは、BGPがプロバイダのバックボーンにVPNルーティング情報を配布するために使用され、MPLSがバックボーンを介してリモートVPNサイトにVPNトラフィックを転送するために使用されるため、BGP/MPLSとも呼ばれます。

顧客ネットワークはプライベートであるため、RFC 1918「 Address Allocation for Private Internets」で定義されているように、パブリックアドレスまたはプライベートアドレスのいずれかを使用できます。プライベート・アドレスを使用する顧客ネットワークがパブリック・インターネット・インフラストラクチャに接続する場合、プライベート・アドレスは、他のネットワーク・ユーザーが使用するプライベート・アドレスと重複する可能性があります。BGP/MPLS VPN は、特定の VPN サイトの各アドレスに VPN 識別子をプレフィックス付加することで、VPN 内とパブリック インターネット内で一意のアドレスを作成することで、この問題を解決します。また、各 VPN には、その VPN のルーティング情報のみを含む、独自の VPN 固有のルーティングテーブルがあります。

VPLS

VPLS(仮想プライベートLANサービス)により、地理的に分散した顧客サイトを、あたかも同じLANに接続されているかのように接続できます。多くの点で、レイヤー2VPNのように機能します。VPLSとレイヤー2VPNは、同じネットワークトポロジーを使用し、同様に機能します。顧客のネットワーク内で発信されたパケットは、まずCEデバイスに送信されます。その後、サービス プロバイダーのネットワーク内の PE ルーターに送信されます。パケットは、MPLS LSP を介してサービス プロバイダーのネットワークを通過します。それはエグレスPEルーターに到着し、その後、宛先のカスタマーサイトのCEデバイスにトラフィックを転送します。

VPLSの主な違いは、パケットがポイントツーマルチポイント方式でサービスプロバイダのネットワークを通過できること、つまり、CEデバイスから発信されたパケットをVPLSのPEルーターにブロードキャストできることです。これに対して、レイヤー2VPNはポイントツーポイント方式でのみパケットを転送します。レイヤー2 VPNが正常に機能するためには、PEルーターがCEデバイスから受信したパケットの宛先が認識されている必要があります。

レイヤー3ネットワークにおいてのみ、仮想プライベートLANサービス(VPLS)を設定して、地理的に分散したイーサネットローカルエリアネットワーク(LAN)サイトをMPLSバックボーンを介して相互に接続できます。VPLSを実装しているISPのお客様の場合、トラフィックがサービスプロバイダのネットワーク上を移動する場合でも、すべてのサイトが同じイーサネットLAN内にあるように見えます。VPLSは、MPLS対応のサービスプロバイダネットワークでイーサネットトラフィックを伝送するように設計されています。VPLSは、ある意味ではイーサネットネットワークの動作を模倣しています。VPLSルーティング インスタンスで構成されたPEルーターがCEデバイスからパケットを受信すると、まずVPLSパケットの宛先の適切なルーティングテーブルを確認します。ルーターに宛先がある場合、適切なPEルーターに転送します。宛先がない場合は、同じVPLSルーティング インスタンスのメンバーである他のすべてのPEルーターにパケットをブロードキャストします。PE ルーターは、パケットを CE デバイスに転送します。パケットの意図された受信者である CE デバイスは、パケットを最終宛先に転送します。他のCEデバイスはこれを破棄します。

仮想ルーター ルーティング インスタンス

VPNルーティングおよび転送(VRF)ルーティング インスタンスなどの仮想ルータールーティング インスタンスは、インスタンスごとに個別のルーティングおよび転送テーブルを維持します。ただし、VRF ルーティング インスタンスに必要な多くの設定手順は、仮想ルーター ルーティング インスタンスには必要ありません。具体的には、ルート識別子、ルーティングテーブルポリシー( vrf-export、 vrf-import、 route-distinguisher ステートメント)、または P ルーター間の MPLS を設定する必要はありません。

ただし、仮想ルーター ルーティング インスタンスに参加している各サービス プロバイダー ルーター間では、個別の論理インターフェイスを設定する必要があります。また、各ルーティング インスタンスに参加しているサービス プロバイダのルーターとカスタマー ルーターとの間に、個別の論理インターフェイスを設定する必要があります。各仮想ルーターインスタンスには、参加するすべてのルーターに対する独自の論理インターフェイスのセットが必要です。

図 1 は、これがどのように機能するかを示しています。サービス プロバイダ ルーター G と H は、仮想ルーター ルーティング インスタンス red と green に設定されています。各サービス プロバイダ ルーターは、各ルーティング インスタンスに 1 つずつ、2 台のローカル顧客ルーターに直接接続されています。また、サービス プロバイダのルーターは、サービス プロバイダ ネットワークを介して相互に接続されています。これらのルーターには、ローカルに接続された各カスタマールーターへの 論理インターフェイス と、各仮想ルーターインスタンスの2つのサービスプロバイダルーター間でトラフィックを伝送する論理インターフェイスの4つの論理インターフェイスが必要です。

図 1:仮想ルーター ルーティング インスタンスのルーターあたりの論理インターフェース

レイヤー 3 VPN には、この構成要件はありません。1 つの PE ルーター上で複数のレイヤー 3 VPN ルーティング インスタンスを設定すると、すべてのインスタンスが同じ論理インターフェイスを使用して別の PE ルーターに到達できます。これが可能なのは、レイヤー3 VPNが、さまざまなルーティングインスタンスを行き来するトラフィックを区別するMPLS(VPN)ラベルを使用しているからです。MPLSやVPNラベルを使用しない場合、仮想ルータールーティング インスタンスのように、異なるインスタンスからトラフィックを分離するために個別の論理インターフェイスが必要になります。

サービス プロバイダのルーター間にこの論理インターフェイスを提供する方法の 1 つは、ルーター間にトンネルを設定することです。サービス プロバイダのルーター間で IP セキュリティ(IPsec)、GRE(Generic Routing Encapsulation)、または IP-IP トンネルを設定し、仮想ルーター インスタンスでトンネルを終端できます。

レイヤー 3 VPN のコンポーネント

MPLS VPNには、レイヤー2 VPN、レイヤー2回線、レイヤー3 VPNの3つの主要なタイプがあります。すべてのタイプのMPLSは、特定のコンポーネントを共有します。

• CEデバイス—プロバイダーのネットワークに接続する、顧客構内にあるカスタマーエッジ(CE)デバイス。一部のモデルでは、これらのデバイスをカスタマー構内機器(CPE)デバイスと呼びます。

• カスタマーネットワーク—VPNに属するCEデバイスを持つカスタマーサイト。

• プロバイダーネットワーク—MPLSバックボーンを実行しているサービスプロバイダのバックボーンネットワーク。

• P デバイス—プロバイダーのネットワークのコア内にあるプロバイダー(P)デバイス。プロバイダー デバイスは、カスタマー サイトのどのデバイスにも接続されておらず、PE デバイスのペア間のトンネルの一部です。プロバイダデバイスは、トンネルサポートの一環としてラベルスイッチパス(LSP)機能をサポートしますが、VPN機能はサポートしません。

• PEデバイス—サービスプロバイダコアネットワーク内の、お客様のサイトのCEデバイスに直接接続するプロバイダエッジ(PE)デバイス。

• MP-BGP— PE デバイスは MP-BGP を使用して、MPLS バックボーン全体の適切な PE デバイスにカスタマー ルートを配布します。

レイヤー 3 VPN の用語

VPN は、ネットワークのコンポーネントを識別するために、異なる用語を使用します。

• IP ルーティングテーブル(グローバル ルーティングテーブルとも呼ばれる)—このテーブルには、VRF に含まれないサービス プロバイダー ルートが含まれています。プロバイダ デバイスは相互に到達できるようにこのテーブルを必要とし、VRF テーブルは特定の VPN 上のすべての顧客デバイスに到達するために必要です。例えば、CE ルーターへのインターフェイス A とバックボーン P ルーターへのインターフェイス B を持つ PE ルーターは、インターフェイス A のアドレスを VRF に配置し、インターフェイス B のアドレスをグローバル IP ルーティングテーブルに配置します。

• ルート識別子—IPアドレスの先頭に付加される64ビット値。この一意のタグは、同じサービスプロバイダのトンネルを通過するパケットとして、さまざまな顧客のルートを識別するのに役立ちます。

  一般的なトランジットネットワークは複数のVPNを処理するように設定されているため、プロバイダルーターには複数のVRFインスタンスが設定されている可能性があります。その結果、トラフィックの発信元や、トラフィックに適用されるフィルタリングルールによっては、BGP ルーティングテーブルに特定の宛先アドレスに対する複数のルートが含まれることがあります。BGP では、宛先ごとに 1 つの BGP ルートを転送転送テーブルにインポートする必要があるため、BGP は、異なる VPN から受信した潜在的に同一のネットワーク層到達可能性情報(NLRI)メッセージを区別する方法を備えている必要があります。

  ルート識別とは、特定のVPNのすべてのルート情報を識別するローカルに固有の番号です。一意の数値識別子により、BGPは、それ以外は同一のルートを区別できます。

  PEルーターで設定する各ルーティング インスタンスには、固有のルート識別者が必要です。次の 2 つの形式が考えられます。

  • as-number:number—ここで、as-number は 1 から 65,535 の範囲の自律システム(AS)番号(2 バイト値)で、number は任意の 4 バイト値です。IANA Assigned Numbers Authority(IANA)によって割り当てられた非プライベートのAS番号を使用することが推奨されます。好ましいのは、ISPまたはカスタマーのAS番号です。

  • ip-address:number—ここで、ip-address は IP アドレス(4 バイト値)で、number は任意の 2 バイト値です。IP アドレスには、グローバルに一意なユニキャスト アドレスを指定できます。割り当てられたプレフィックス範囲内のパブリック IP アドレスである、router-id ステートメントで設定するアドレスを使用することをお勧めします。

• ルートターゲット(RT)—ルートの複雑な共有を可能にするために、特定の VRF 内の顧客ルートの最終的なエグレス PE デバイスを特定するために使用される 64 ビット値。ルートターゲットは、どのルートがVPNの一部であるかを定義します。一意のルートターゲットは、同じルーター上の異なるVPNサービスを区別するのに役立ちます。各 VPN には、ルーターの VRF テーブルにルートをインポートする方法を定義するポリシーもあります。レイヤー2 VPNは、インポートおよびエクスポートポリシーで設定されます。レイヤー3 VPNは、一意のルートターゲットを使用してVPNルートを区別します。たとえば、RTを使用すると、共有サービスネットワーク内のルートを複数の顧客に共有できます。各 VPN ルートには、1 つ以上の RT を含めることができます。PE デバイスは、RT を拡張 BGP コミュニティ値として扱い、RT を使用してカスタマー ルートをインストールします。

• VPN-IPv4 ルート - 32 ビット IPv4 アドレスの前に付加された 64 ビットの RD タグで構成される 96 ビットのシーケンスで構成されるルート。PE デバイスは、IBGP セッションの VPN-IPv4 ルートを他のプロバイダー デバイスにエクスポートします。これらのルートは、iBGP を使用して MPLS バックボーン間で交換されます。アウトバウンドPEデバイスは、ルートを受信すると、ルートの識別を取り除き、通常、標準のBGP IPv4ルートアドバタイズメントを介して、接続されたCEデバイスにルートをアドバタイズします。

• VRF—仮想ルーティングおよび転送(VRF)テーブルは、PE デバイス上のさまざまな顧客のルート、およびカスタマー ルートとプロバイダー ルートを区別します。これらのルートには、重複するプライベートネットワークアドレス空間、顧客固有のパブリックルート、および顧客にとって有用なPEデバイス上のプロバイダールートが含まれる場合があります。

  VRF インスタンスは、1 つ以上のルーティング テーブル、派生転送テーブル、転送テーブルを使用するインターフェイス、転送テーブルに何を入れるかを決定するポリシーとルーティング プロトコルで構成されます。各インスタンスは特定のVPN用に設定されるため、各VPNには、その動作を制御する個別のテーブル、ルール、およびポリシーがあります。

  CE ルータに接続している VPN ごとに、個別の VRF テーブルが作成されます。VRF テーブルには、VRF インスタンスに関連付けられた直接接続された CE サイトから受信したルートと、同じ VPN 内の他の PE ルーターから受信したルートが入力されます。

レイヤー 3 VPN アーキテクチャ

レイヤー3 VPNは、カスタマーエッジルーター(CEルーター)をサービスプロバイダネットワークのエッジにあるルーター(PEルーター)にリンクします。レイヤー 3 VPN は、ローカル PE ルーターと直接接続する CE ルーター間でピア ルーティング モデルを使用します。つまり、PE と CE のルーターペアを接続するために、プロバイダーのバックボーンに複数のホップは必要ありません。PEルーターは、BGPルート識別子に基づいて、同じVPNに属するすべてのCEルーターにルーティング情報をローカルおよびプロバイダーネットワーク全体に配布します。各VPNには、そのVPNに対する独自のルーティングテーブルがあり、CEおよびPEピアルーターのルーティングテーブルと連携しています。CE ルーターと PE ルーターでは、VRF テーブルが異なります。他の VPN は CE から見えないため、各 CE ルーターには VRF テーブルが 1 つしかありません。PE ルーターは複数の CE ルーターに接続できるため、PE ルーターには、VPN で接続された各 CE の一般的な IP ルーティングテーブルと VRF テーブルがあります。

図 2 は、レイヤー 3 VPN の一般的なアーキテクチャを示しています。

図2:一般的なレイヤー3VPNアーキテクチャ。

すべての VRF テーブルには hit に関連付けられた 1 つ以上の拡張コミュニティ属性があるため、PE ルーターはリモート VPN サイトから到着するパケットに使用する VRF テーブルを認識します。コミュニティ属性は、ルーターの特定の集合に属するものとしてルートを識別します。ルートターゲットコミュニティ属性は、PEルーターがルートを配布するサイトの集合体(より正確には、VRFテーブルの集合体)を識別します。PE ルーターは、ルート ターゲットを使用して、正しいリモート VPN ルートを VRF テーブルにインポートします。

VPN サイト間の VPN ルートのインポートとエクスポートは自動的には行われません。このプロセスは、BPGルーティング・ポリシーによって制御されます。ルーティングポリシーは、サービスプロバイダのMPLSネットワーク全体でルーティング情報を交換するためのルールを確立するものであり、ネットワークトポロジーが変更されたときには、正しく設定され、維持されなければなりません。

PE ルーターは、ピア CE ルーターによって通知され、PE ルーターによって受信された IPv4 ルートを VPN-IPv4 ルートとして分類します。イングレス PE ルーターが、直接接続されたピア CE ルーターからアドバタイズされたルートを受信すると、イングレス PE ルーターは、受信したルートをその VPN の VRF エクスポート ポリシーと照合します。つまり、イングレス PE ルーターは、アドバタイズされたルートについて知る必要があるリモート PE ルーターを決定します。これは 2 段階のプロセスです。

• 確立されたエクスポート ポリシーがルートを受け入れる場合、PE ルーターは IPv4 アドレスにルート識別子を追加することで、情報を VPN-IPv4 形式に変換します。その後、PE ルーターはリモート PE ルーターに VPN-IPv4 ルートを通知します。VRF テーブルの設定されたエクスポート ターゲット ポリシーによって、アタッチされたルート ターゲットの値が決まります。IBGP セッションは、サービス プロバイダーのコア ネットワークに VNP-IPv4 ルートを配信します。

• 確立されたエクスポート ポリシーがルートを受け入れない場合、PE ルーターはルートを他の PE ルーターにエクスポートしませんが、PE ルーターはルートをローカルで使用します。これは、たとえば、同じ VPN 内の 2 つの CE ルーターが同じ PE ルーターに直接接続するため、一般的なトラフィックが 1 つの CE サイトから別の CE サイトに流れる場合に発生します。

サービス プロバイダー ネットワークの反対側にあるエグレス PE ルーターがルートを受信すると、エグレス PE ルーターは PE ルーター間で実施されている IBGP インポート ポリシーと照らし合わせてルートをチェックします。エグレスPEルーターがルートを受け入れる場合、エグレスPEルーターはbgp.l3vpn.0ルーティングテーブルにルートを追加します。また、ルーターは、VPN の VRF インポート ポリシーと照らし合わせてルートをチェックします。ルートが受け入れられた場合、エグレス PE ルーターはルート識別子を削除し、ルートを正しい VRF テーブルに配置します。VRF テーブルは routing-instance-name.inet.0 命名規則を使用するため、「VPN A」は通常、テーブルを vpna.inet.0 として設定します。