路由器技術綜述

作為一種高效的IP骨干網(wǎng)技術平臺，MPLS技術為下一代的IP網(wǎng)絡提供了一種靈活的而且具有可擴展性的骨干網(wǎng)交換技術基礎。使用MPLS技術，將可以大大提高網(wǎng)絡的運行效率，可以實現(xiàn)對IP網(wǎng)上業(yè)務的QoS劃分，并且可以通過流量工程對網(wǎng)絡的資源進行合理的分配，實現(xiàn)約束路由。借助于這些能力，MPLS網(wǎng)絡還將能夠提供高效的VPN業(yè)務、實時業(yè)務等?？梢哉f，MPLS技術很有可能成為IP網(wǎng)絡向下一代的電信級的IP網(wǎng)絡演進中的關鍵技術。所以MPLS技術也可能是路由器是否成為下一代IP網(wǎng)絡的核心設備的關鍵。

雖然MPLS擁有種種優(yōu)點，但是在大網(wǎng)上還沒有廣泛應用。原因在于協(xié)議不成熟，多廠商互通性存在問題，MPLS跨AS甚至跨Area存在問題，VC Merge(VC合并)需要研究。然而在目前看來，MPLS是實現(xiàn)基于網(wǎng)絡VPN最理想的方案并且能夠實現(xiàn)流量工程。未來IP網(wǎng)的研究必須探討采用MPLS的可能性。路由器設備必須考慮實現(xiàn)MPLS。

VPN技術

VPN是指在公用網(wǎng)絡上建立虛擬私有網(wǎng)?？梢詮牟煌慕嵌葘PN進行分類：

按接入方式劃分

專線VPN：為已經(jīng)通過專線接入ISP邊緣路由器的用戶提供的VPN實現(xiàn)方案。

撥號VPN(又稱VPDN)：指為利用撥號PSTN或ISDN接入 ISP的用戶提供的VPN業(yè)務。

按協(xié)議類型劃分

第二層隧道協(xié)議：點到點隧道協(xié)議(PPTP)、第二層轉發(fā)協(xié)議(L2F)、第二層隧道協(xié)議(L2TP)。

第三層隧道協(xié)議：通用路由封裝協(xié)議(GRE)、IP安全(IPSec)。

MPLS隧道協(xié)議可以看成在第二層和第三層之間。

按VPN的發(fā)起方式劃分

客戶發(fā)起(也稱基于客戶的)：VPN服務提供的起始點和終止點是面向客戶的，其內部技術構成、實施和管理對VPN客戶可見。

服務器發(fā)起(也稱客戶透明方式或基于網(wǎng)絡的)：在公司中心部門和ISP處(稱為POP)安裝VPN軟件，客戶無須安裝任何特殊軟件。

按目前運營商所開展的類型劃分

撥號VPN業(yè)務(VPDN)：就是第一種劃分方式中的VPDN。

虛擬租用線(VLL)：是對傳統(tǒng)的租用線業(yè)務的仿真，以IP網(wǎng)絡對租用線進行模擬，而這樣一條虛擬租用線兩端的用戶看來，該虛擬租用線等價于過去的租用線。

虛擬專用路由網(wǎng)(VPRN)業(yè)務：包括兩類，一是使用傳統(tǒng)的VPN協(xié)議，如 IPSec、GRE等實現(xiàn)的VPRN。另外一種是MPLS方式的VPN。

路由器上的QoS

路由器上的QoS可以通過下面幾種手段獲得：

通過大帶寬得到。在路由器上除增加接口帶寬以外不作任何額外工作來保障QoS。

由于數(shù)據(jù)通信沒有相應公認的數(shù)學模型作保障，該方法只能粗略地使用經(jīng)驗值作估計。通常認為當帶寬利用率到達50％以后就應當擴容，保證接口帶寬利用率小于50％。

通過端到端帶寬預留實現(xiàn)。該方法通過使用RSVP或者類似協(xié)議在全網(wǎng)范圍內通信的節(jié)點間端到端預留帶寬。該方法能保證QoS，但是代價太高，通常只在企業(yè)網(wǎng)或者私網(wǎng)上運行，在大網(wǎng)公網(wǎng)上無法實現(xiàn)。

通過接入控制、擁塞控制和區(qū)分服務（Diff?Serv）等方式得到。該方式無法完全保證QoS。這能與增加接口帶寬等方式結合使用，在一定程度上提供相對的CoS。

通過MPLS流量工程得到。

路由器安全性

路由器的安全性分兩方面，一方面是路由器本身的安全，另一方面是數(shù)據(jù)的安全。

由于路由器是互聯(lián)網(wǎng)的核心，是網(wǎng)絡互連的關鍵設備。所以路由器的安全要求比其他設備的安全性要求更高。主機的安全漏洞最多導致該主機無法訪問，路由器的安全漏洞可能導致整個網(wǎng)絡不可訪問。

路由器的安全漏洞可能存在管理上原因和技術上原因。在管理上，對路由器口令糟糕的選擇、路由協(xié)議授權機制的不恰當使用、錯誤的路由配置都可能導致路由器工作出現(xiàn)問題。技術上路由器的安全漏洞可能有如下方面：

惡意攻擊。如竊聽、流量分析、假冒、重發(fā)、拒絕服務、資源非授權訪問、干擾、病毒等攻擊。

軟件漏洞。后門、操作系統(tǒng)漏洞、數(shù)據(jù)庫漏洞、TCP/IP協(xié)議漏洞、網(wǎng)絡服務等都可能會存在漏洞。

路由器所傳遞數(shù)據(jù)的安全可以由網(wǎng)絡提供或者用戶提供。如果由網(wǎng)絡提供則只與接入路由器相關。通常可以由接入路由器提供IPSec安全通道來保證安全。