एचपी डायनेमिक वीपीएन टेक्नोलॉजी। भाग 1

परिचय

सभी पाठकों को हमारे ब्लॉग पर बधाई।

लेखों की यह श्रृंखला एचपी डायनेमिक वीपीएन (या एचपी डीवीपीएन) नामक हमारे अद्भुत समाधान के लिए समर्पित होगी।

यह एक श्रृंखला का पहला लेख है, और इसमें मैं बात करने की कोशिश करूंगा कि एचपी डीवीपीएन समाधान क्या है, साथ ही साथ इसकी विशेषताओं और एप्लिकेशन परिदृश्यों का वर्णन करें। इस श्रृंखला के निम्नलिखित लेख DVPN क्षमताओं के व्यावहारिक कार्यान्वयन और उपकरणों के विन्यास पर ध्यान केंद्रित करेंगे।

DVPN क्या है?

संक्षेप में, DVPN एक वास्तुकला है जो केंद्रीय कार्यालय या डेटा सेंटर (हब) से कनेक्ट करने के लिए किसी भी आईपी परिवहन पर सुरक्षित IPsec वीपीएन सुरंगों को गतिशील रूप से बनाने के लिए कई शाखाओं या क्षेत्रीय कार्यालयों (स्पोक) को अनुमति देता है।

यह किसके लिए और कैसे उपयोगी हो सकता है?

मान लीजिए कि एक निश्चित संगठन है, जिसकी पूरे शहर में या यहाँ तक कि पूरे देश में कई शाखाएँ या दूरस्थ कार्यालय हैं (उदाहरण के लिए, एक बैंक या दुकानों का नेटवर्क, ऐसे संगठनों के बहुत सारे उदाहरण हैं)। हमें एक परिवहन नेटवर्क का उपयोग करने के साथ-साथ इन सभी शाखाओं को एक-दूसरे के साथ जोड़ने के कार्य के साथ सामना करना पड़ता है, साथ ही उन्हें केंद्रीय कार्यालय या डेटा सेंटर से जोड़ने की क्षमता प्रदान करता है, जो इस उद्यम के मुख्य आईटी संसाधनों को होस्ट करता है।

ऐसा लगता है कि यह कार्य काफी तुच्छ है, लेकिन कुछ बारीकियां हो सकती हैं:

1. कुछ शाखाओं में उनके निपटान में बाहरी दुनिया से जुड़ने का केवल एक ही तरीका हो सकता है - प्रदाता से इंटरनेट चैनल (विकल्प या उनके आर्थिक गैर-उद्देश्य की प्रतिबंधात्मक कमी के कारण)। इसलिए, टेलीकॉम ऑपरेटरों से वीपीएन सेवाओं को किराए पर लेने का विकल्प इस मामले में एक बार में सभी शाखाओं को एक "वैन" क्लाउड से जोड़ने के लिए गायब हो जाता है।
2. परिवहन नेटवर्क में संचरित डेटा की सुरक्षा सुनिश्चित करने के मुद्दे हैं। जैसा कि आप जानते हैं, इंटरनेट के माध्यम से सीधे गोपनीय जानकारी को स्थानांतरित करना बिल्कुल सुरक्षित नहीं है, और हर कोई वीपीएन किराये के विकल्प में दूरसंचार ऑपरेटर पर पूरी तरह से भरोसा नहीं करना चाहेगा।
3. ऐसे नेटवर्क को तैनात करने में कितना समय लग सकता है? दिन? सप्ताह? और अगर हजारों शाखाएँ हैं? क्या मुझे प्रत्येक शाखा में उपकरण कॉन्फ़िगर करने की आवश्यकता है? क्या मुझे नई शाखा जोड़ते समय मौजूदा उपकरणों को नेटवर्क पर कॉन्फ़िगर करने की आवश्यकता है? अगर कुछ शाखाएं सीधे केंद्र को दरकिनार करते हुए डेटा को अपने बीच स्थानांतरित करने में सक्षम हों, तो मुझे क्या करना चाहिए?

इस तरह की बारीकियों और नुकसान की उपस्थिति के मद्देनजर यह ठीक है कि इस समस्या के समाधान के रूप में एक दूरसंचार ऑपरेटर से एक समर्पित वीपीएन नेटवर्क को किराए पर लेने की संभावना है, या इंटरनेट के माध्यम से केंद्र से सीधे शाखाओं को जोड़ने का विकल्प हमें सूट नहीं करता है।

इस समस्या को हल करने के लिए स्वीकार्य विकल्प क्या हैं? पहली बात जो दिमाग में आती है वह है केंद्र में सुरक्षित शाखाओं के बीच IPsec VPN सुरंगों का उपयोग और इंटरनेट पर स्टार टोपोलॉजी में (यानी, जब प्रत्येक शाखा केंद्र के लिए एक IPsec सुरंग बनाती है, तो केंद्र VPN सुरंगों के लिए केंद्र के रूप में कार्य करता है) शाखाओं से (उसी समय, शाखाओं का समाचार यातायात केंद्र से होकर गुजरता है)।

इस समाधान का उपयोग कई वर्षों से कई संगठनों द्वारा किया गया है और कई निर्माताओं के उपकरणों पर भी समर्थित है (क्योंकि IPsec एक आम तौर पर मान्यता प्राप्त मानक है), हालांकि, हमारे कार्य के हिस्से के रूप में, यह कुछ बहुत महत्वपूर्ण कमियों के बिना नहीं है:

1. यह तथ्य कि केंद्र में प्रत्येक नई शाखा के लिए एक अलग IPsec सुरंग को कॉन्फ़िगर करना आवश्यक है, ऐसे समाधान की मापनीयता को नकारात्मक रूप से प्रभावित करता है, और परिवहन नेटवर्क से जुड़ने के लिए नए नोड्स में लगने वाले समय को भी बढ़ाता है। केंद्र में एक नई IPsec सुरंग को कॉन्फ़िगर करने में कितना समय लगता है, फिर शाखा में समान सुरंग सेटिंग्स करें? और अगर हमने अचानक सेटिंग्स में गलती की है? कहाँ एक समस्या के लिए देखो और कब तक के लिए?
2. यदि कार्य सीधे शाखाओं के बीच संवाद करने की क्षमता प्रदान करना है, तो केंद्र को दरकिनार (देरी को कम करने और संचार चैनलों पर लोड का अनुकूलन करने के लिए), परिवहन नेटवर्क में एन नोड्स के लिए हमें एन * (एन -1) / 2 सुरंगों (तथाकथित टोपोलॉजी) को कॉन्फ़िगर करना होगा। पूर्ण मेष ")। कम से कम कुछ दर्जन नोड्स वाले नेटवर्क के लिए काम की मात्रा की कल्पना करें?
3. लेकिन क्या होगा अगर भविष्य में नेटवर्क नोड्स (उदाहरण के लिए, क्षेत्रीय कार्यालयों में नोड्स) को एक अधिक विश्वसनीय परिवहन में जाना चाहिए और एक दूरसंचार ऑपरेटर से सेवा की गुणवत्ता की गारंटी के साथ समर्पित चैनलों का उपयोग करते हुए एक दूसरे से जुड़ना चाहिए? क्या शेष नोड्स अभी भी इंटरनेट पर कनेक्ट होते हैं? अब इन नोड्स पर कॉन्फ़िगरेशन को पूरी तरह से फिर से कॉन्फ़िगर करें?

DVPN वास्तुकला को लागू करने की अनुमति क्या है?

ऐसी समस्याओं और कमियों को हल करने के लिए, हमने एचपी डायनेमिक वीपीएन (एचपी डीवीपीएन) आर्किटेक्चर विकसित किया है, जो आपको एक ही सुरक्षित परिवहन नेटवर्क (या डीवीपीएन डोमेन) में 3,000 नोड तक कनेक्ट करने की अनुमति देता है।

इस वास्तुकला की मुख्य विशेषताएं:

1. DVPN आपको किसी भी IP परिवहन (इंटरनेट या WAN) पर DVPN डोमेन के नोड्स के बीच IPsec VPN सुरंगों को गतिशील रूप से बढ़ाने की अनुमति देता है।
2. जब आप ऐसे नेटवर्क से एक नया नोड कनेक्ट करते हैं, तो आप पहले से कनेक्ट किए गए नेटवर्क नोड से डिवाइस कॉन्फ़िगरेशन ले सकते हैं, केवल नेटवर्क के आईपी पते को इसमें प्रत्येक शाखा के लिए अद्वितीय रूप से बदल सकते हैं और इसे नए डिवाइस पर अपलोड कर सकते हैं। केंद्र के लिए IPsec वीपीएन सुरंग स्वचालित रूप से बढ़ेगी, और नई शाखा और केंद्र के बीच संबंध स्थापित किया जाएगा।
3. DVPN स्टार टोपोलॉजी (या हब-एंड-स्पोक) के लिए अनुकूलित है। बस हमारा मामला।
4. इसके अलावा, DVPN को पूर्ण मेष मोड (Full Mesh) में काम करने के लिए कॉन्फ़िगर किया जा सकता है। इस मोड में, IPsec VPN सुरंगों को गतिशील रूप से शाखाओं के बीच सीधे बनाया जाता है, जैसे ही वे नेटवर्क पर एक दूसरे को डेटा संचारित करना शुरू करते हैं।
5. DVPN सुरंग बनाने के लिए मानक IPsec प्रोटोकॉल का उपयोग करता है, इसके सभी फायदे (मानक का खुलापन, कई एन्क्रिप्शन और प्रमाणीकरण विकल्प, गतिशील कुंजी परिवर्तन आदि)।
6. केंद्रीय साइट (हब) पर कॉन्फ़िगरेशन गतिशील रूप से अपडेट किया जाता है जब एक नया स्पोक नोड नेटवर्क में जोड़ा जाता है। उसी समय, अन्य स्पोक नोड्स स्वचालित रूप से नए नोड के बारे में जानकारी प्राप्त करते हैं और इसके साथ डेटा का आदान-प्रदान करने का अवसर प्राप्त करते हैं।
7. केंद्र और अन्य शाखाओं में उपकरणों का विन्यास प्रभावित नहीं होता है।
8. सारांश में, डीवीपीएन एक स्वचालित, सुरक्षित परिवहन वास्तुकला प्रदान करता है जो इंटरनेट सहित मौजूदा आईपी नेटवर्क पर "ओवरले" (या "ओवरले") के रूप में कार्य करता है।

DVPN आर्किटेक्चर घटक

DVPN में पांच मुख्य घटक होते हैं:

• VAM सर्वर (गलती सहिष्णुता के लिए प्रति डोमेन 2 टुकड़े तक)
  
  • VAM - वीपीएन एड्रेस मैनेजमेंट या वीपीएन एड्रेस मैनेजमेंट।
  • यह केंद्र में स्थापित है, VAM ग्राहकों को पंजीकृत करता है और DVPN डोमेन के सभी नोड्स से पते की जानकारी प्राप्त करता है।
  • सार्वजनिक आईपी पते (अंतर्निहित परिवहन नेटवर्क से) प्रत्येक नोड के निजी आईपी पते (ओवरलेड ओवरले नेटवर्क से) को मैप करना और अनुरोध पर यह जानकारी उन्हें स्थानांतरित करता है। वास्तव में, यह एक तरह का एड्रेस रेजोल्यूशन सर्वर है, जो DNS की समानता पर काम कर रहा है।
  • यह हब के साथ मिलकर एक डिवाइस पर काम कर सकता है।
• VAM क्लाइंट
  
  • सार्वजनिक IP पते, निजी IP पते, VAM सर्वर पर VAM नोड पहचानकर्ता को पंजीकृत करता है।
  • VAM सर्वर से जानकारी का अनुरोध करके अन्य नोड के पते निर्धारित करता है।
  • हब और स्पोक डिवाइस VAM क्लाइंट हैं।
• हब (गलती सहिष्णुता के लिए प्रति डोमेन 2 टुकड़े तक की राशि में)
  
  • डिवाइस (राउटर), जो केंद्र में स्थित है और स्पोक से हब IPsec वीपीएन सुरंग के रूप में कार्य करता है।
  • सक्रिय / सक्रिय मोड में दो हब के बीच स्पोक कनेक्शन को संतुलित करने की अनुमति देता है।
• स्पोक
  
  • शाखा में स्थापित एक उपकरण (राउटर) जो हब के साथ एक IPsec सुरंग बनाता है और केंद्र की ओर यातायात को सुरंग करता है।
  • यह गतिशील रूप से पूर्ण जाल मोड में अन्य स्पोक के साथ IPsec सुरंगों का निर्माण भी कर सकता है।
• प्रमाणीकरण सर्वर (RADIUS / TACACS)
  
  • एक VAM सर्वर पर केंद्र रूप से VAM क्लाइंट को प्रमाणित करने की अनुमति देता है।
  • वैकल्पिक, VAM सर्वर स्थानीय रूप से VAM क्लाइंट्स को प्रमाणित करने की क्षमता का भी समर्थन करता है।

यह कैसा दिखता है?

निम्नलिखित क्रमशः हब-एंड-स्पोक और पूर्ण मेष टोपोलॉजी में एक विशिष्ट डीवीपीएन नेटवर्क का एक सरल आरेख है।



हब-एंड-स्पोक टोपोलॉजी निम्नलिखित विशेषताओं की विशेषता है:

• डीवीपीएन एक ओवरले नॉन-ब्रॉडकास्ट मल्टीपल-एक्सेस (एनबीएमए) इन्फ्रास्ट्रक्चर है जो मौजूदा आईपी परिवहन नेटवर्क के शीर्ष पर चलता है और डीवीपीएन नोड्स को उसी ओवरले नेटवर्क खंड के भीतर निजी आईपी पते से संबोधित करता है।
• स्पोक नोड्स का एक दूसरे के साथ सीधा संचार नहीं होता है, उनके बीच का सारा ट्रैफिक सेंट्रल हब नोड से होकर गुजरता है।
• DVPN हब-एंड-स्पोक परिवहन टोपोलॉजी के लिए अनुकूलित है, क्योंकि यह डिफ़ॉल्ट रूप से एक ही ओवरले नेटवर्क टोपोलॉजी को लागू करता है।
• हब-एंड-स्पोक टोपोलॉजी में, एक DVPN डोमेन में नोड्स के बीच डायनेमिक BGP रूटिंग के साथ हब प्रति 3000 Spoke नोड्स हो सकते हैं।

पूर्ण जाल टोपोलॉजी की अपनी विशेषताएं हैं:

• हब और स्पोक टोपोलॉजी की तरह, फुल मेश DVPN किसी भी IP ट्रांसपोर्ट के शीर्ष पर एक NBMA ओवरले इंफ्रास्ट्रक्चर सपोर्टिंग काम है।
• पूर्ण जाल या आंशिक मेष टोपोलॉजी (जहां सभी नोड्स के केवल एक दूसरे से सीधे संबंध हैं) में, ट्रैफ़िक को सीधे डायन रूप से निर्मित IPsec सुरंगों में स्पोक नोड्स के बीच प्रसारित किया जा सकता है, जबकि केंद्रीय हब नोड पर चैनलों को उतार दिया जाता है।
• फुल मेश टोपोलॉजी में हब-एंड-स्पोक टोपोलॉजी की तुलना में कम मापनीयता है। अंतिम संख्या कई कारकों पर निर्भर करती है, जिसमें नोड्स पर DVPN राउटर्स का प्रदर्शन शामिल है।

DVPN सपोर्ट वाला HP हार्डवेयर

नीचे दी गई तालिका उन उपकरणों की एक सूची प्रदान करती है जो डीवीपीएन का समर्थन करती हैं, और डीवीपीएन आर्किटेक्चर के किस घटक का उपयोग करने के लिए वांछनीय है।



तालिका से पता चलता है कि DVPN, HP 8800 श्रृंखला को छोड़कर लगभग सभी HP रूटर श्रृंखला (HP MSR और HP 6600) पर समर्थित है।
HP के DVPN- सक्षम उत्पाद पोर्टफोलियो के बारे में अधिक जानकारी यहाँ उपलब्ध है ।

DVPN और डायनामिक रूटिंग

नोड्स के बीच गतिशील रूटिंग के बिना, DVPN वास्तुकला के विन्यास और स्केलिंग की सादगी के सभी फायदे शून्य पर आ जाते। जाहिर है, नेटवर्क में बड़ी संख्या में नोड्स के साथ, स्थिर रूटिंग लागू नहीं है, इसलिए DVPN निम्नलिखित डायनामिक रूटिंग प्रोटोकॉल का समर्थन करता है:

• बड़े पैमाने पर नेटवर्क के लिए बीजीपी (50-100 से अधिक नोड्स, अधिकतम 3000 प्रति डोमेन)
• NBMA मोड में OSPF
• पूर्ण जाल टोपोलॉजी के लिए प्रसारण OSPF

DVPN स्केलिंग और रिसीबिलिटी

जैसा कि पहले ही उल्लेख किया गया है, DVPN आपको प्रति डोमेन 3000 स्पोक नोड्स तक स्केल करने की अनुमति देता है। यदि आवश्यक हो, तो डोमेन की संख्या 10 तक बढ़ सकती है (हब के रूप में काम करने वाले एचपी 6600 राउटर पर), जिससे 30,000 तक पहुंचने वाले नोड्स की संख्या के साथ नेटवर्क बनाने के लिए समर्थन प्रदान किया जाता है!

दोष सहिष्णुता सुनिश्चित करने के लिए, DVPN नेटवर्क VAN सर्वर, हब राउटर और एक प्रमाणीकरण सर्वर (यदि उपलब्ध हो) के रूप में काम करने वाले उपकरणों के दोहराव का उपयोग करते हैं।

उसी समय, स्पोक नोड्स पर VAM क्लाइंट दोनों VAM सर्वरों पर पंजीकृत होता है, और इन नोड्स के राउटर पर दो स्वतंत्र DVPN डोमेन बनाए जाते हैं, जिसके अंदर IPsec VPN सुरंगों को एक ही समय में प्राथमिक और बैकअप हब राउटर के लिए बनाया जाता है।

इस दृष्टिकोण के साथ, डायनेमिक रूटिंग प्रोटोकॉल का उपयोग करके, DVPN डोमेन (प्राथमिक और बैकअप) दोनों के IPsec VPN सुरंगों के बीच यातायात को संतुलित करना संभव है।

नीचे अतिरेक का उपयोग करते हुए एक DVPN नेटवर्क के निर्माण का अधिक विस्तृत आरेख है।

प्रबंधन तंत्र

डीवीपीएन वास्तुकला के साथ नेटवर्क का प्रबंधन और निगरानी करने के लिए और भी अधिक कुशल और आसान, एचपी इंटेलिजेंट मैनेजमेंट सेंटर (आईएमसी) प्रबंधन प्रणाली मदद करेगी।

उदाहरण के लिए, इस शाखा इंटेलिजेंट मैनेजमेंट सिस्टम (BIMS) सिस्टम के लिए विशेष मॉड्यूल का उपयोग करके, TR-069 प्रोटोकॉल के सब्सक्राइबर उपकरणों के स्वचालित कॉन्फ़िगरेशन का उपयोग करके शाखाओं में स्पोक राउटर के मैनुअल कॉन्फ़िगरेशन को पूरी तरह से छोड़ना संभव है।

आप हमारी कंपनी के ब्लॉग में HP नेटवर्किंग पर निम्नलिखित लेखों में IMC और BIMC मॉड्यूल के बारे में अधिक पढ़ सकते हैं।

निष्कर्ष

DVPN आर्किटेक्चर आपको किसी भी मौजूदा L3 ट्रांसपोर्ट (इंटरनेट, डेडिकेटेडAN चैनल, इत्यादि) सहित भौगोलिक रूप से वितरित इकाइयों (शाखाओं) के विकसित बुनियादी ढांचे के साथ उद्यमों के लिए लगभग किसी भी आकार और विभिन्न टोपोलॉजी के अत्यधिक स्केलेबल और सुरक्षित कॉर्पोरेट डेटा नेटवर्क (डीएसपी) को जल्दी से तैनात करने की अनुमति देता है। )।

आगे क्या है?

डीवीपीएन वास्तुकला पर श्रृंखला से अगले लेख में, एक विशिष्ट डीवीपीएन नेटवर्क स्थापित करने का एक उदाहरण विस्तार से वर्णित किया जाएगा।

हमारे ब्लॉग के अपडेट के लिए बने रहें!