路由器技術(shù)綜述

作為一種高效的IP骨干網(wǎng)技術(shù)平臺(tái)，MPLS技術(shù)為下一代的IP網(wǎng)絡(luò)提供了一種靈活的而且具有可擴(kuò)展性的骨干網(wǎng)交換技術(shù)基礎(chǔ)。使用MPLS技術(shù)，將可以大大提高網(wǎng)絡(luò)的運(yùn)行效率，可以實(shí)現(xiàn)對(duì)IP網(wǎng)上業(yè)務(wù)的QoS劃分，并且可以通過流量工程對(duì)網(wǎng)絡(luò)的資源進(jìn)行合理的分配，實(shí)現(xiàn)約束路由。借助于這些能力，MPLS網(wǎng)絡(luò)還將能夠提供高效的VPN業(yè)務(wù)、實(shí)時(shí)業(yè)務(wù)等?？梢哉f，MPLS技術(shù)很有可能成為IP網(wǎng)絡(luò)向下一代的電信級(jí)的IP網(wǎng)絡(luò)演進(jìn)中的關(guān)鍵技術(shù)。所以MPLS技術(shù)也可能是路由器是否成為下一代IP網(wǎng)絡(luò)的核心設(shè)備的關(guān)鍵。

雖然MPLS擁有種種優(yōu)點(diǎn)，但是在大網(wǎng)上還沒有廣泛應(yīng)用。原因在于協(xié)議不成熟，多廠商互通性存在問題，MPLS跨AS甚至跨Area存在問題，VC Merge(VC合并)需要研究。然而在目前看來，MPLS是實(shí)現(xiàn)基于網(wǎng)絡(luò)VPN最理想的方案并且能夠?qū)崿F(xiàn)流量工程。未來IP網(wǎng)的研究必須探討采用MPLS的可能性。路由器設(shè)備必須考慮實(shí)現(xiàn)MPLS。

VPN技術(shù)

VPN是指在公用網(wǎng)絡(luò)上建立虛擬私有網(wǎng)?？梢詮牟煌慕嵌葘?duì)VPN進(jìn)行分類：

按接入方式劃分

專線VPN：為已經(jīng)通過專線接入ISP邊緣路由器的用戶提供的VPN實(shí)現(xiàn)方案。

撥號(hào)VPN(又稱VPDN)：指為利用撥號(hào)PSTN或ISDN接入 ISP的用戶提供的VPN業(yè)務(wù)。

按協(xié)議類型劃分

第二層隧道協(xié)議：點(diǎn)到點(diǎn)隧道協(xié)議(PPTP)、第二層轉(zhuǎn)發(fā)協(xié)議(L2F)、第二層隧道協(xié)議(L2TP)。

第三層隧道協(xié)議：通用路由封裝協(xié)議(GRE)、IP安全(IPSec)。

MPLS隧道協(xié)議可以看成在第二層和第三層之間。

按VPN的發(fā)起方式劃分

客戶發(fā)起(也稱基于客戶的)：VPN服務(wù)提供的起始點(diǎn)和終止點(diǎn)是面向客戶的，其內(nèi)部技術(shù)構(gòu)成、實(shí)施和管理對(duì)VPN客戶可見。

服務(wù)器發(fā)起(也稱客戶透明方式或基于網(wǎng)絡(luò)的)：在公司中心部門和ISP處(稱為POP)安裝VPN軟件，客戶無須安裝任何特殊軟件。

按目前運(yùn)營(yíng)商所開展的類型劃分

撥號(hào)VPN業(yè)務(wù)(VPDN)：就是第一種劃分方式中的VPDN。

虛擬租用線(VLL)：是對(duì)傳統(tǒng)的租用線業(yè)務(wù)的仿真，以IP網(wǎng)絡(luò)對(duì)租用線進(jìn)行模擬，而這樣一條虛擬租用線兩端的用戶看來，該虛擬租用線等價(jià)于過去的租用線。

虛擬專用路由網(wǎng)(VPRN)業(yè)務(wù)：包括兩類，一是使用傳統(tǒng)的VPN協(xié)議，如 IPSec、GRE等實(shí)現(xiàn)的VPRN。另外一種是MPLS方式的VPN。

路由器上的QoS

路由器上的QoS可以通過下面幾種手段獲得：

通過大帶寬得到。在路由器上除增加接口帶寬以外不作任何額外工作來保障QoS。

由于數(shù)據(jù)通信沒有相應(yīng)公認(rèn)的數(shù)學(xué)模型作保障，該方法只能粗略地使用經(jīng)驗(yàn)值作估計(jì)。通常認(rèn)為當(dāng)帶寬利用率到達(dá)50％以后就應(yīng)當(dāng)擴(kuò)容，保證接口帶寬利用率小于50％。

通過端到端帶寬預(yù)留實(shí)現(xiàn)。該方法通過使用RSVP或者類似協(xié)議在全網(wǎng)范圍內(nèi)通信的節(jié)點(diǎn)間端到端預(yù)留帶寬。該方法能保證QoS，但是代價(jià)太高，通常只在企業(yè)網(wǎng)或者私網(wǎng)上運(yùn)行，在大網(wǎng)公網(wǎng)上無法實(shí)現(xiàn)。

通過接入控制、擁塞控制和區(qū)分服務(wù)（Diff?Serv）等方式得到。該方式無法完全保證QoS。這能與增加接口帶寬等方式結(jié)合使用，在一定程度上提供相對(duì)的CoS。

通過MPLS流量工程得到。

路由器安全性

路由器的安全性分兩方面，一方面是路由器本身的安全，另一方面是數(shù)據(jù)的安全。

由于路由器是互聯(lián)網(wǎng)的核心，是網(wǎng)絡(luò)互連的關(guān)鍵設(shè)備。所以路由器的安全要求比其他設(shè)備的安全性要求更高。主機(jī)的安全漏洞最多導(dǎo)致該主機(jī)無法訪問，路由器的安全漏洞可能導(dǎo)致整個(gè)網(wǎng)絡(luò)不可訪問。

路由器的安全漏洞可能存在管理上原因和技術(shù)上原因。在管理上，對(duì)路由器口令糟糕的選擇、路由協(xié)議授權(quán)機(jī)制的不恰當(dāng)使用、錯(cuò)誤的路由配置都可能導(dǎo)致路由器工作出現(xiàn)問題。技術(shù)上路由器的安全漏洞可能有如下方面：

惡意攻擊。如竊聽、流量分析、假冒、重發(fā)、拒絕服務(wù)、資源非授權(quán)訪問、干擾、病毒等攻擊。

軟件漏洞。后門、操作系統(tǒng)漏洞、數(shù)據(jù)庫(kù)漏洞、TCP/IP協(xié)議漏洞、網(wǎng)絡(luò)服務(wù)等都可能會(huì)存在漏洞。

路由器所傳遞數(shù)據(jù)的安全可以由網(wǎng)絡(luò)提供或者用戶提供。如果由網(wǎng)絡(luò)提供則只與接入路由器相關(guān)。通常可以由接入路由器提供IPSec安全通道來保證安全。