целостности данных. Для построения больших сетей IPsec с взаимодействием узлов через Интернет для различных компаний, нужна возможность масштабирования сети IPsec. IPsec шифрует трафик между двумя адресуемыми конечными точками вызова, и шифрование выполняется между этими двумя конечными точками с использованием общего "секрета". Так как секрет разделен только между этими двумя конечными точками, шифрованные сети изначально являются набором двухточечных каналов связи. Поэтому IPsec, в сущности, является двухточечной туннельной сетью.
Наиболее подходящим способом является масштабирование больших двухточечных сетей для организации их в сеть с топологией "звезда" или полную (частичную) объединенную сеть. В большинстве сетей почти весь трафик IP приходится на обмен данными между конечными узлами и концентратором, и лишь самая малая его часть - на трафик между самими конечными узлами, поэтому звездообразная топология, как правило, оказывается оптимальным вариантом. Кроме того, такая архитектура соответствует топологии старых сетей Frame Relay, в которых ее применение объяснялось недопустимо высокой стоимостью установки прямых линий между всеми узлами сетей.
При использовании Интернета в качестве посредника между концентратором и лучами, лучи также имеют прямой доступ друг к другу без дополнительных материальных затрат, но до настоящего времени было практически невозможно установить и/или управлять полной (частичной) объединенной сетью. Сети с полностью или частично ячеистой структурой часто являются более предпочтительными, так как они позволяют сэкономить средства, если трафик между двумя лучами можно передать напрямую, а не через концентратор. Трафик между двумя лучами, проходящий через концентратор, использует ресурсы концентратора и может вызвать дополнительную задержку, особенно при использовании шифрования IPsec, т.к.
концентратору придется расшифровывать приходящие пакеты от посылающих лучей, а затем вновь шифровать трафик для передачи его на получающий луч. Еще один пример, когда прямой трафик между лучами более предпочтителен, - ситуация, когда два конца луча находятся в одном городе, а концентратор – на другом конце страны. Из-за развертывания и увеличения в размерах звездообразных сетей IPsec все чаще возникает необходимость в максимально динамичной маршрутизации IP-пакетов. В старых звездообразных сетях Frame Relay это достигалось с помощью протоколов динамической маршрутизации, таких как OSPF или EIGRP, работающих через каналы Frame Relay.
Это использовалось для динамического объявления доступности конечных сетей и обеспечения резервирования сетей с IP-маршрутизацией. Если в сети потерян центральный маршрутизатор, резервный центральный маршрутизатор может автоматически занять его место, чтобы сохранить сетевые подключения к конечным сетям. Это основная проблема с туннелями IPsec и протоколами динамической маршрутизации. Протоколы динамической маршрутизации рассчитаны на использование многоадресных или широковещательных пакетов, но IPsec не поддерживает шифрование этих пакетов. В настоящее время эта проблема решается с помощью использования туннелей общей маршрутной инкапсуляции GRE в комбинации с шифрованием IPsec.
Туннели GRE поддерживают передачу многоадресных и широковещательных IP-пакетов на другой конец туннеля GRE. Туннельный пакет GRE представляет собой однонаправленный пакет IP, поэтому пакет GRE может шифроваться посредством IPsec. В этом сценарии для поддержки сети VPN GRE выполняет тоннелирование, а IPsec - шифрование. Когда туннели GRE настроены, IP-адреса для конечных точек туннеля ( tunnel source ... , tunnel destination ... ) должны быть известны на другом конце туннеля и иметь возможность передачи через Интернет. Это означает, что концентратор и маршрутизаторы всех лучей в этой сети должны иметь статические, не частные IP-адреса.
Для подсоединения к Интернету небольших узлов внешний IP-адрес луча обычно меняется при каждом подключении к Интернету, т.к. каждый раз, когда в канале появляется луч (асимметричная цифровая абонентская линия (ADSL) и абонентский кабельный ввод), поставщик Интернет-услуг (ISP) динамично предоставляет адрес внешнего интерфейса (через протокол динамической настройки узла (DHCP)). Такое динамическое выделение "внешнего адреса" маршрутизатора позволяет ISP реализовывать избыточную подписку для адресного пространства в Интернете, так как одновременно не все пользователи будет подключены к сети. Выделение статического адреса для конечного маршрутизатора может стоить значительно дороже.
Для использования протокола динамической маршрутизации поверх IPsec VPN необходимы туннели GRE, однако при этом теряется возможность использования периферийных серверов с динамически выделяемыми IP-адресами на внешних физических интерфейсах. Все упомянутые, а также дополнительные ограничения, сводятся к следующим пунктам: IPsec использует список контроля доступа (ACL) для определения данных, которые должны быть зашифрованы. Каждый раз, когда добавляется новая сеть (подсеть) после луча или концентратора, необходимо изменить список управления доступом и на центральном маршрутизаторе и на маршрутизаторе на конце луча.
Если SP управляет маршрутизатором, то пользователь должен уведомить SP, чтобы получить список ACL IPsec. Это список изменен таким образом, чтобы новый трафик стал зашифрованным. В больших звездообразных сетях размер настройки на маршрутизаторе концентратора можеть достигнуть такой величины, что его уже нельзя будет использовать. Например, центральному маршрутизатору понадобится около 3900 строк настройки для поддержки 300 конечных маршрутизаторов. При таком большом количестве трудно отобразить всю настройку и найти ее раздел, относящийся к текущей проблеме, отладка которой выполняется.
Кроме того, это настройка размера может быть слишком большой, чтобы уместиться в энергонезависимом ЗУПВ, поэтому ее следует сохранить во флеш-памяти.