L2TPv2, L2TPv3, GRE и VPWS: избор според полезния товар

Повечето спорове L2TP срещу GRE се сриват по една и съща причина: имената стоят на различни нива на проблема. Две от тях описват капсулиране, което конфигурирате на собствените си маршрутизатори. Едно описва услуга, която някой друг ви продава. Започнете с товара, който крайните точки трябва да пренасят, и сравнението се превръща в кратък списък от последствия, а не в битка за функции.

Първо товарът, после протоколът

На практика товарът е едно от четири неща: PPP сесия, суров Ethernet кадър, IP пакет или MPLS кадър, предаден на доставчик. Всяко от тях налага различни изисквания към адресирането, обработката на broadcast и откриването на откази. Сбъркате ли този списък, никакво настройване на капсулирането няма да спаси дизайна.

Всичко извън тези редове се добавя по-късно, например криптиране, компресия или shaping на трафика. Първо изберете реда.

L2TPv2 и L2TPv3 споделят име и почти нищо друго

L2TPv2 съществува, за да пренася PPP сесии през IP мрежа, затова се чете като протокол за отдалечен достъп, а не като универсален транспорт на кадри. L2TPv3 обобщава тази идея: контролна връзка договаря сесии и всяка сесия носи определена връзка от ниво 2 между две IP крайни точки. Същото фамилно име, различен контролен протокол, различен модел на сесиите. Изискване, което казва само L2TP, е непълно, а шаблон, копиран от грешната версия, дори няма да преговаря.

Ако ви трябва PPP, L2TPv2 е единственият реалистичен член на семейството; ако ви трябват Ethernet кадри през маршрутизирано ядро, вие сте в територията на L2TPv3.

Детайлите по транспорта се различават по начин, който излиза наяве при преглед на защитната стена. L2TPv3 може да пътува директно по IP протокол 115 или в UDP, обикновено на порт 1701, докато L2TPv2 остава на UDP 1701 с PPP отвътре. Политика, написана за едната версия, може да изглежда напълно правилна и пак да отхвърли другата.

GRE е заглавка, а не услуга

GRE обвива товара в четирибайтова заглавка с опционално поле за ключ и последователност и след това предава резултата на IP за доставяне. Той не твърди какво означава товарът, затова реализациите могат да тунелират IPv4, IPv6 или Ethernet, ако тези типове протоколи се поддържат. Общото не е същото като универсалното: проверете типа на протокола и поведението при фрагментация на действителното устройство.

Полето за ключ прави GRE полезен, когато няколко тунела споделят една двойка адреси на крайни точки, защото получателят демултиплексира по тази стойност. GRE върху IPv4 струва около 24 байта преди всякакви допълнителни опции и това започва да има значение по връзки, вече осигурени за кадри от 1500 байта. Сам по себе си GRE не предлага поверителност, затова обичайният модел го съчетава с IPsec и оставя IPsec да притежава криптографската граница. Тази комбинация работи, но бюджетът за MTU тогава трябва да покрие и двете заглавки.

GRE също пренася multicast и broadcast през тунела, когато товарът е Ethernet, което обикновен едноадресен IP тунел не може. Именно това свойство, а не абревиатурата, обикновено кара един дизайн да го избере.

VPWS се купува, а не се конфигурира

Услугата за виртуален частен проводник доставя точка-до-точка връзка от ниво 2 през мрежата на доставчик. Вашата свързваща верига завършва на устройство на ръба на доставчика, а псевдопроводът през ядрото принадлежи на доставчика. Въпросите, които имат значение, са оперативни: къде стои демаркацията, кой притежава първата и последната миля и какво прави доставчикът с прекалено големи кадри.

Тук сравнението се обръща. L2TPv3 и GRE са неща, които управлявате от край до край, затова ги отстранявате с вашите собствени идентификационни данни и вашите собствени улавяния. VPWS е договор с предаване, затова прекъсването започва с тикет, а не с улавяне на пакети. Нито един модел не печели безусловно; те се провалят на различни места и изборът зависи от това дали искате да притежавате последната миля.

Стекът от етикети на псевдопровода остава вътре в мрежата на доставчика, затова не променя вашата MTU аритметика така, както го прави видима заглавка на тунел.

Изберете един ред и го запишете

Запишете решението като едно изречение с три части: товар, капсулиране и собственик на транспорта. След това прикачете числата, които го правят проверимо.

За всеки кандидат запишете разходите по линията, най-големия кадър, който пътят приема, и първия хоп, който би съобщил за проблем с MTU. Уверете се, че двете крайни точки поддържат избрания тип протокол или тип сесия, а не само маркетинговия термин в информационния лист. Решете как би изглеждало мултиплексирането, ако следващата година се появи втора връзка, защото GRE ключовете и L2TPv3 идентификаторите на сесии не са взаимозаменяеми решения на този проблем. След това изпратете един прекалено голям кадър и един нормален кадър; тази двойка хваща повечето дизайни, които са изглеждали добре на хартия.

Сравняването на тунели по име продължава да поражда спорове, които никой не може да реши. Сравняването им по товар, разходи и собственост дава решение за един следобед, плюс доказателствата, нужни, за да го защитите по-късно.