L2TPv2, L2TPv3, GRE і VPWS: выбар па карыснай нагрузцы
Параўнайце L2TPv2, L2TPv3, GRE і MPLS VPWS па нагрузцы, якую яны перадаюць, дадатковых накладных выдатках і тым, хто фактычна кіруе транспартам.
Большасць спрэчак L2TP супраць GRE развальваецца з адной прычыны: назвы знаходзяцца на розных узроўнях праблемы. Дзве з іх апісваюць інкапсуляцыю, якую вы наладжваеце на сваіх маршрутызатарах. Адна апісвае паслугу, якую вам прадае хтосьці іншы. Пачніце з нагрузкі, якую павінны несці канчатковыя пункты, і параўнанне ператвараецца ў кароткі спіс наступстваў замест бітвы за функцыі.
Спачатку нагрузка, потым пратакол
На практыцы нагрузка — адно з чатырох: сеанс PPP, неапрацаваны кадр Ethernet, пакет IP або кадр MPLS, перададзены пастаўшчыку. Кожны з іх ставіць розныя патрабаванні да адрасацыі, апрацоўкі шырокавяшчання і выяўлення збояў. Памыліцеся ў гэтым спісе — і ніякае наладжванне інкапсуляцыі не ўратуе праект.
| Payload | Natural fit | What it needs |
|---|---|---|
| PPP session | L2TPv2 | UDP reachability, PPP negotiation on both ends |
| Ethernet frame | L2TPv3 or VPWS | Pseudowire signalling, matched MTU on both sides |
| IP packet | GRE, with IPsec alongside | Routed underlay, protocol type supported by both devices |
| MPLS frame | VPWS | Provider attachment circuits and demarcation points |
Усё, што па-за гэтымі радкамі, дадаецца пазней: шыфраванне, сцісканне або фарміраванне трафіку. Спачатку выберыце радок.
L2TPv2 і L2TPv3 дзеляць назву і амаль нічога больш
L2TPv2 існуе, каб перадаваць сеансы PPP праз сетку IP, таму ён чытаецца як пратакол аддаленага доступу, а не як універсальны транспарт кадраў. L2TPv3 абагульняе гэтую ідэю: кіруючае злучэнне дамаўляецца пра сеансы, і кожны сеанс нясе пэўнае злучэнне ўзроўню 2 паміж двума канцавымі пунктамі IP. Тая ж сямейная назва, іншы пратакол кіравання, іншая мадэль сеансаў. Патрабаванне, у якім сказана толькі L2TP, няпоўнае, а шаблон, скапіяваны з няправільнай версіі, нават не дамовіцца.
Калі вам патрэбны PPP, L2TPv2 — адзіны рэалістычны член сямейства; калі вам патрэбны кадры Ethernet праз маршрутызаванае ядро, вы ў тэрыторыі L2TPv3.
Дэталі транспарту адрозніваюцца так, што выяўляецца падчас праверкі брандмаўэра. L2TPv3 можа ісці непасрэдна праз пратакол IP 115 або ўнутры UDP, звычайна на порце 1701, тады як L2TPv2 застаецца на UDP 1701 з PPP унутры. Палітыка, напісаная для адной версіі, можа выглядаць цалкам правільнай і ўсё ж адкідваць другую.
GRE — гэта загаловак, а не паслуга
GRE загортвае нагрузку ў чатырохбайтавы загаловак з неабавязковым полем ключа і паслядоўнасці, а затым перадае вынік IP для дастаўкі. Ён не сцвярджае, што значыць нагрузка, таму рэалізацыі могуць тунэляваць IPv4, IPv6 або Ethernet, калі гэтыя тыпы пратаколаў падтрымліваюцца. Універсальнасць не тое самае, што ўсюдыіснасць: праверце тып пратакола і паводзіны фрагментацыі на рэальнай прыладзе.
Поле ключа робіць GRE карысным, калі некалькі тунэляў дзеляць адну пару адрасоў канцавых пунктаў, бо атрымальнік дэмультыплексуе па гэтым значэнні. GRE паверх IPv4 каштуе каля 24 байтаў да любых дадатковых опцый, і гэта пачынае мець значэнне на каналах, ужо разлічаных на кадры ў 1500 байтаў. Сам па сабе GRE не дае канфідэнцыйнасці, таму звычайная схема спалучае яго з IPsec і дазваляе IPsec валодаць крыптаграфічнай мяжой. Такое спалучэнне працуе, але бюджэт MTU тады павінен пакрываць абодва загалоўкі.
GRE таксама перадае шматвяшчанне і шырокавяшчанне праз тунэль, калі нагрузка — Ethernet, чаго звычайны аднавяшчальны тунэль IP не можа. Менавіта гэтая ўласцівасць, а не абрэвіятура, звычайна схіляе праект да яго.
VPWS купляюць, а не наладжваюць
Паслуга віртуальнага прыватнага провада дастаўляе двухкропкавае злучэнне ўзроўню 2 праз сетку пастаўшчыка. Ваша злучэнне далучэння заканчваецца на прыладзе краю пастаўшчыка, а псеўдадрат праз ядро належыць пастаўшчыку. Важныя пытанні аперацыйныя: дзе знаходзіцца дэмаркацыя, хто валодае першай і апошняй міляй і што пастаўшчык робіць з завялікімі кадрамі.
Тут параўнанне пераламляецца. L2TPv3 і GRE — гэта тое, што вы запускаеце ад канца да канца, таму адладжваеце іх сваімі ўліковымі дадзенымі і сваімі здымкамі. VPWS — гэта кантракт з перадачай, таму збой пачынаецца з заяўкі, а не з здымку пакетаў. Ні адна мадэль не перамагае канчаткова; яны адмаўляюць у розных месцах, і выбар залежыць ад таго, ці хочаце вы валодаць апошняй міляй.
Стэк метак псеўдадрата застаецца ўнутры сеткі пастаўшчыка, таму ён не змяняе вашу арыфметыку MTU так, як бачны загаловак тунэля.
Выберыце адзін радок і запішыце яго
Запішыце рашэнне адным сказам з трох частак: нагрузка, інкапсуляцыя і ўладальнік транспарту. Затым далучыце лічбы, якія робяць яго правераным.
Для кожнага кандыдата запішыце накладныя выдаткі на лініі, найбольшы кадр, які прымае шлях, і першы хоп, які паведаміў бы пра праблему MTU. Пацвердзіце, што абодва канцавыя пункты падтрымліваюць абраны тып пратакола або тып сеансу, а не толькі маркетынгавы тэрмін у спецыфікацыі. Вырашыце, як выглядала б мультыплексаванне, калі наступным годам з’явіцца другое злучэнне, бо ключы GRE і ідэнтыфікатары сеансаў L2TPv3 не з’яўляюцца ўзаемазаменнымі рашэннямі гэтай праблемы. Затым адпраўце адзін завялікі кадр і адзін звычайны; гэтая пара ловіць большасць праектаў, якія добра выглядалі на паперы.
Параўнанне тунэляў па назве працягвае спараджаць спрэчкі, якія ніхто не можа закрыць. Параўнанне па нагрузцы, выдатках і ўладанні дае рашэнне за адзін паўдзень, а таксама доказы, патрэбныя, каб адстаяць яго потым.