1、VPN的网管放置在VPN内部,负责管理所在VPN的所有设备,包括其他Site的C 网设备(设置拓扑发现时,针对每一Site都需设一个Seed Address),网络拓扑图只显示其所在VPN 的拓扑图。可能会出现各个Site的拓扑图分离的现象,某些网管软件能手工添加虚拟链路,即把MPLS骨干网看做一条链路。这种方式不需对PE路由器的配置作任何修改,各网管系统有各自的管理范围,适合于管理分工明确、细化的客户。但客户需配置多台网管工作站和多套网管软件。 CE设备在骨干网管理系统之外,不需要从CE到骨干网的IP 可通达性。从骨干网管理中心不能通过SNMP,Telnet等访问到CE,不能通过VPN So
2、lution Center 来配置、管理CE,以及用SA代理来测试CE之间的响应时间等。 各CE设备IP地址空间独立。C网路由和骨干网路由完全分离。(2) 用同一网管平台对所有P网设备和C网设备进行管理 另一种方式是用同一网管平台对骨干网和客户网络设备进行管理,即CE也由骨干网网管来管理。 被管CE处于骨干网的管理域,因此,需要从CE到骨干网网管的IP联通性,能够从CE访问到网管所在的网段。 骨干网网管能管理到CE的IP地址、主机名、口令和SNMP strings。 骨干网网管能管理到: Fault management、configuration management(collecting,
3、 archiving, &restoring, audit)。 C网和P网的路由有交互。 可以从VPN Solution Center 对CE进行管理和配置,可以用SA代理来测试CE之间的响应时间,也可以用Netflow Collector。首先,要建立一个网络管理子网( Network Management Subnet)。网络管理子网连接MPLS VPN Solution Center工作站,和其他网络管理工作站(CW2000,Openview等)。一旦一台CE接入到一个VPN后,用传统的IPV4路由就无法到达这台设备。但网络管理子网要求必须能访问到被管理CE设备。因此,需要考虑以下问题:
4、 如何控制骨干网和CE路由器之间不必要的互通路由(除了网管信息)? 如何控制CE路由器和骨干网以及其他VPN CE之间的互通路由? 如何提供有效的安全性? 如何防止路由循环? 部署了MPLS/VPN之后的可通达性的改变?在把CE放入一个VPN之前,可能可以同Ipv4到达CE。一旦CE放入VPN之后,就不能以IPV4 到达CE。除非 经适当配置后 从网管子网。 在非帧中继/ATM链路上,服务请求不能到Deployed状态,除非有网管子网。网络管理子网实施技术:网络管理子网必须能访问到管理CE(MCE),PE,和NetFlow Collector。当需要带内(inband)管理CE时,网管子网是必
5、须的,这里带内是指客户的VPN 流量和网络管理流量使用同一条链路来传送。Management CE(MCE)网管子网连接到MCE,MCE作为网管中心的网关。MCE可以在MPLS VPN Solution Center网管软件中定义。Management PE (MPE)管理PE连接MCE到骨干网。MPE可以和连接其他VPN CE的PE 共用一台设备。目前,网管子网有三种部署方式: MPE-MCE 之间的链路使用一个网管VPN来连接所有需要管理的CE设备;而连接PE和Netflow Collector,MPE-MCE则使用并行的Ipv4链路。 Extranet Multiple VPN 技术MP
6、E-MCE的链路使用外联多VPN技术来连接所有被管理的CE; 带外管理带外管理,MCE和所有被管理的CE和PE之间都有Ipv4的连接,out-of-band 指PE之间用单独的链路来传送网管流量。(1) 当采用管理VPN 方式(即上面的第一种),如图所示:MPE-MCE使用一个management VPN来连接到被管理CE,VPN的每个需要被管理的CE也要加到管理VPN,这可以通过VPN Solution Center或者CLI来配置。只有需要管理的CE的路由(通常是CE上的loopback口的地址)才会进入management VPN的VRF,这通过定义route map来控制import
7、rt 和export rt来实现。网管子网和各被管CE采用Hub-Spoke方式部署,即被管CE只能和网管子网通信,网管也只能到达各被管设备(CE和PE相连的地址或者是CE的Loopback地址),而不能到达VPN里的其他地址。另外MPE和MCE还需要一条并行的non-MPLS VPN链路。(2) Extranet Multiple VPN这种方式的关键概念是: MPE-MCE是所有被管VPN的一部分,即网管子网实际上是一个所有被管VPN的交叠区域(overlapping site)。当你加一个新的VPN到这个交叠区时,必须把这个VPN 加到MPE-MCE。另外,MPE-MCE之间还需要并行的
8、Ipv4链路。在Extranet Multiple VPN(有时称为rainbow VPN)方式,需要考虑安全控制和访问列表,但所有这些考虑只集中在MPE和MCE。MPE包括了到所有被管理VPN的BGP路由。 只有MPE有所有VPN的路由,其他PE则不会。即所有客户网络的路由只在MPE的VRF中。 只需在MPE-MCE上用ACL控制安全。 如果必要,可以很容易创建另外一个MPE-MCE。(3) 带外管理(Out-of-Band)带外管理不需要management VPN来管理CE。带外的连接提供Ipv4链路,PE之间、PE-CE之间有另外的链路来传送网管信息。 带外管理技术相对简单,不需要设置
9、management VPN。但对每一需要管理的CE都要有Ipv4的连接,费用昂贵,同时实际实施起来比较复杂。建议采用P网和C网分离进行管理或者建立management VPN的方式。 (4) 保证管理网络的安全性尽管设置management VPN,在VRF中对路由进行了控制,为了网管子网和CE的安全性,仍需在CE上设置ACL来限制对CE的访问,设置对端口号的限制很重要,例如只允许来自网管的SNMP、TFTP。建议如下: 允许从网管到CE址的SNMP、TFTP等,拒绝其他 允许从CE到网管的已经建立的TCP (established),拒绝其他以上的ACL应用在CE连接PE的端口的输入列表(
10、input list)。这样VPN中的其他设备(未被管理的CE或者主机、服务器等)不能和网管建立连接。只有从合法地址(CE 上用于网络管理的地址)来的对网管的响应能进入网管子网。另一个选项是缩小网管子网,例如在MPE上建立32位掩码的静态路由:IP route vrf management MCE_addressCW2000/32为了防止不正确的路由的注入,可以加一条:ip route vrf management 0.0.0.0/0 null0为防止从CE访问到MCE,还可以在MPE上与MCE连接的端口上设置输出ACL:permit packet to MPLS VPN solution H
11、ost, CW2000 Host,CIPM Host etc.and deny everthing else网管安全总结:1. MPE上配置以下命令:ip route vrf management MPLS VPN Solution host ip/32 ip route vrf management cipm host ip/32 To dump unknowns, add this command:ip route vrf management 0.0.0.0/0 Null02. 在MCE、CE 上也尽可能使用静态路由如果必须使用动态路由,可以用RIP。只进行路由的单向重分发:从BGP重分
12、发到RIP,但不要反向分发。3. MCE上设置ACL :output access list: on link with access to the VPNs, make an output access list as follows: permit MPLS VPN Solution host, CIPM host to deny allThe input access list is as follows: permit to MPLS VPN Solution host, CIPM host with tcp-established4. 为保护 Management CE, 在MPE与
13、MCE相连的management VPN端口上设置ACL: permit to MPLS VPN Solution host, CIPM host5. 如果需要,在MPE与MCE之间Ipv4 链路上也可以设置ACL,这取决于从骨干网上访问网管子网的需要。附录:测试MPLS/VPN 环境下网络管理集中管理P、PE和CE路由器即从同一网管平台,能够对全网(包括P路由器、PE路由器、需集中管理的CE路由器和其他C网设备)进行管理。本测试即采用同一网管平台(CiscoWorks for Windows 6.0)对所有P网设备和C网设备进行管理 。 要求: 被管CE处于骨干网的管理域,因此,需要从CE到骨干网网管的IP联通性,能够从被管C
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1