MPLS BGP-VPN網(wǎng)絡(luò)中PE-PE的認(rèn)證實(shí)現(xiàn).pdf

1、MPLS BGP/VPN技術(shù)成本低廉、組網(wǎng)靈活、便于實(shí)現(xiàn)流量工程、安全性較高，且可以達(dá)到二層VPN的安全性。其基本原理是通過(guò)CE-PE(Customer Edge-Provider Edge)運(yùn)行動(dòng)態(tài)或靜態(tài)路南協(xié)議，在PE端將學(xué)到的路由分發(fā)到多協(xié)議BGP MP-BGP(Multi-Protocol BGP)中；MP-BGP的路由表有多個(gè)：一個(gè)全局路由表和多個(gè)VPN虛擬路由轉(zhuǎn)發(fā)表VRF(Virtual Route Forwarding)，

2、MP-BGP根據(jù)CE綁定的VRF，將本地VPN路由和從對(duì)端鄰居PE學(xué)到的VPN路由放到對(duì)應(yīng)的VRF中，路由更新信息比BGP協(xié)議多加標(biāo)簽字段以融合MPLs、多加路由區(qū)分符RD(Route Distinguisher)以支持重疊路由、路由目標(biāo)RT(Route Target)以實(shí)現(xiàn)導(dǎo)入導(dǎo)出策略；最后PE將路由更新發(fā)送至其他的VPN站點(diǎn)中。 MPLS BGP/VPN路由的安全性很大程度上都在于MP-BGP多個(gè)VRF的隔離性，一旦配置錯(cuò)誤

3、，就會(huì)引起路由的泄漏，無(wú)論是客戶還是ISP(Internet Service Provider)都很難察覺(jué)，這樣，安全風(fēng)險(xiǎn)很大，因而，配置錯(cuò)誤引起的安全風(fēng)險(xiǎn)將是BGP MPLS/VPN面臨的一個(gè)重要課題。 RFC草案(Layer-3 VPN Import/Export Verification)對(duì)于上述配置錯(cuò)誤引起的安全風(fēng)險(xiǎn)，提出了增加PE-PE認(rèn)證和CE-CE認(rèn)證的方法。本論文主要是針對(duì)PE-PE認(rèn)證。RFC中的PE認(rèn)證方案為

4、：PE的MP-BGP更新包中增加一個(gè)RD認(rèn)證簽名，對(duì)方PE除了根據(jù)其他過(guò)濾條件判斷是否接收路由，還要根據(jù)RD簽名來(lái)判斷是否接收。由于PE分配給客戶的密鑰是唯一的，因此，通過(guò)此種方法可以避免配置引起的錯(cuò)誤。本論文使用zebra-0.95a開(kāi)源路由軟件實(shí)現(xiàn)MPLS BGP/VPN的控制層，并在此基礎(chǔ)上修改BGP源代碼來(lái)實(shí)現(xiàn)PE的認(rèn)證，即用一個(gè)可由VPN密鑰和RD唯一決定、本身可以代表VPN的字段來(lái)攜帶隨機(jī)數(shù)(tag字段)實(shí)現(xiàn)認(rèn)證。最后，實(shí)現(xiàn)