プロバイダー提供のVPN

プロバイダープロビジョニング VPN (PPVPN) は、接続サービス プロバイダーまたは大企業が独自に運用するネットワーク上で実装する仮想プライベート ネットワーク(VPN) です。これに対して、「顧客プロビジョニング VPN」では、プロバイダーの技術的な特性に基づいて接続サービスを取得する顧客が VPN を実装します。

インターネット サービス プロバイダーが自社のネットワークに PPVPN を実装する場合、一般的な PPVPN プロトコルのセキュリティ モデルは、顧客が提供する VPN で使用されるトンネリング プロトコルに比べて弱くなります。特に機密性に関しては、データのプライバシーが必要ない場合があるためです。

プロバイダーがプロビジョニングする VPN (PPVPN) がレイヤー 2 (L2) で動作するかレイヤー 3 (L3) で動作するかに応じて、以下に説明する構成要素は L2 のみ、L3 のみ、または両方の組み合わせになります。マルチプロトコル ラベル スイッチング(MPLS) 機能により、L2 と L3 のアイデンティティがあいまいになります。^{[1] [オリジナル研究? ]}

RFC 4026では、L2 MPLS VPNとL3（BGP ）VPNを カバーするために以下の用語が一般化されましたが、これらはRFC  2547で導入されました。 ^{[2] [3]}

顧客デバイス

顧客のネットワーク内にあり、サービス プロバイダーのネットワークに直接接続されていないデバイス。顧客のデバイスは VPN を認識しません。

顧客エッジデバイス

PPVPN へのアクセスを提供する、顧客ネットワークのエッジにあるデバイス。プロバイダーと顧客の責任の境界点に過ぎない場合もあります。他のプロバイダーでは、顧客がこれを構成できます。

プロバイダーエッジデバイス

プロバイダー ネットワークのエッジにあるデバイスまたはデバイス セット。顧客エッジ デバイスを介して顧客ネットワークに接続し、顧客サイトのプロバイダー ビューを表示します。PE は、それらを介して接続される VPN を認識し、VPN 状態を維持します。

プロバイダーデバイス

プロバイダーのコア ネットワーク内で動作し、顧客のエンドポイントに直接インターフェイスしないデバイス。たとえば、さまざまな顧客の PPVPN に属するプロバイダーが運営する多数のトンネルのルーティングを提供する場合があります。P デバイスは PPVPN 実装の重要な部分ですが、それ自体は VPN に対応しておらず、VPN 状態を維持しません。その主な役割は、たとえば複数の PE の集約ポイントとして機能することにより、サービス プロバイダーが PPVPN サービスを拡張できるようにすることです。このような役割における P-to-P 接続は、多くの場合、プロバイダーの主要な場所間の大容量の光リンクです。

VLAN は、 IEEE 802.1Qトランキング プロトコルを使用してトランク経由で相互接続された複数のローカル エリア ネットワーク(LAN) ブロードキャスト ドメインの共存を可能にするレイヤー 2 技術です。他のトランキング プロトコルも使用されてきましたが、廃止されています。これには、Inter-Switch Link (ISL)、IEEE 802.10 (元々はセキュリティ プロトコルでしたが、サブセットがトランキング用に導入されました)、ATM LAN Emulation (LANE) などがあります。

Institute of Electrical and Electronics Engineersによって開発されたVLAN を使用すると、複数のタグ付き LAN が共通のトランキングを共有できます。VLAN は、多くの場合、顧客所有の設備のみで構成されます。上記のセクション (OSI レイヤー 1 サービス) で説明した VPLS は、ポイントツーポイント トポロジとポイントツーマルチポイント トポロジの両方のエミュレーションをサポートしていますが、ここで説明する方法は、802.1dや802.1q LAN トランキングなどのレイヤー 2 テクノロジを拡張して、メトロ イーサネットなどのトランスポート上で実行します。

この文脈で使用されるVPLSは、従来のLANの完全な機能をエミュレートするレイヤー2 PPVPNです。ユーザーの観点から見ると、VPLSは、ユーザーに透過的な方法で複数のLANセグメントを相互接続することを可能にし、個別のLANセグメントを1つのLANとして動作させます。^[4]

VPLS では、プロバイダー ネットワークは学習ブリッジをエミュレートします。学習ブリッジにはオプションで VLAN サービスが含まれる場合があります。

PW は VPLS に似ていますが、両端で異なる L2 プロトコルを提供できます。通常、そのインターフェイスは、非同期転送モードやフレーム リレーなどの WAN プロトコルです。対照的に、2 つ以上の場所間で連続した LAN の外観を提供することを目的とする場合は、仮想プライベート LAN サービスまたは IPLS が適切です。

EtherIP（RFC  3378）^[5]は、Ethernet-over-IPトンネリングプロトコル仕様です。EtherIPにはパケットカプセル化メカニズムのみがあり、機密性やメッセージの整合性保護はありません。EtherIPは、FreeBSDネットワークスタック^[6]とSoftEther VPN ^[7]サーバープログラムで導入されました。

VPLS のサブセットである CE デバイスにはレイヤー 3 機能が必要です。IPLS はフレームではなくパケットを提示します。IPv4 または IPv6 をサポートする場合があります。

イーサネット VPN (EVPN) は、IP-MPLS ネットワーク上でイーサネット サービスを提供する高度なソリューションです。VPLS アーキテクチャとは対照的に、EVPN はネットワーク内でコントロール プレーン ベースの MAC (および MAC、IP) 学習を可能にします。EVPN インスタンスに参加している PE は、MP-BGP プロトコルを使用して、コントロール プレーン内の顧客の MAC (MAC、IP) ルートを学習します。コントロール プレーン MAC 学習には、フローごとのロード バランシングによるマルチホーミングのサポートや、P2MP/MP2MP L2VPN に参加している複数の PE への MPLS コア ネットワーク経由の不要なフラッディングの回避 (ARP クエリの発生時など) など、VPLS の欠点を EVPN が解決できるようにする多くの利点があります。これはRFC  7432 で定義されています。

このセクションでは、PPVPN の主なアーキテクチャについて説明します。1 つは、PE が単一のルーティング インスタンスで重複アドレスを明確にするアーキテクチャ、もう 1 つは、PE に VPN ごとに仮想ルーター インスタンスが含まれる仮想ルーターです。前者のアプローチとそのバリエーションが最も注目を集めています。

PPVPNの課題の1つは、異なる顧客が同じアドレス空間、特にIPv4プライベートアドレス空間を使用することです。^[8]プロバイダーは、複数の顧客のPPVPNで重複するアドレスを明確に区別できなければなりません。

BGP/MPLS PPVPN

RFC 2547で定義された方法では 、BGP 拡張機能は IPv4 VPN アドレス ファミリ内のルートをアドバタイズします。このルートは 12 バイトの文字列の形式で、8 バイトのルート識別子(RD) で始まり、4 バイトの IPv4 アドレスで終わります。RD は、同じ PE 内の重複するアドレスを区別します。^{[引用が必要]}

PE は、MPLS トンネルに直接または P ルータ経由で相互接続された各 VPN のトポロジを認識します。MPLS 用語では、P ルータはVPN を認識しないラベル スイッチ ルータです。 ^{[引用が必要]}

仮想ルーター PPVPN

仮想ルータアーキテクチャ^{[9] [10]}は、 BGP/MPLS技術とは異なり、BGPなどの既存のルーティングプロトコルを変更する必要がありません。論理的に独立したルーティングドメインをプロビジョニングすることで、VPNを運用する顧客はアドレス空間に対して完全に責任を負います。さまざまなMPLSトンネルでは、異なるPPVPNはラベルによって区別されますが、ルーティング識別子は必要ありません。^{[引用が必要]}

一部の仮想ネットワークでは、データのプライバシーを保護するために暗号化なしのトンネリングプロトコルを使用しています。VPNは多くの場合セキュリティを提供しますが、暗号化されていないオーバーレイネットワークは、安全または信頼できるカテゴリには当てはまりません。^[11]たとえば、Generic Routing Encapsulation（GRE）を使用して2つのホスト間に設定されたトンネルは、仮想プライベートネットワークですが、安全でも信頼できません。^{[12] [13]}

ネイティブプレーンテキストトンネリングプロトコルには、 IPsecなしで設定されたレイヤー2トンネリングプロトコル（L2TP）、ポイントツーポイントトンネリングプロトコル（PPTP）、またはMicrosoftポイントツーポイント暗号化（MPPE）が含まれます。^[14]

• 「大規模企業における統合アクセスのための ISP ネットワーク展開」。support.huawei.com。2024年 7 月 12 日閲覧。