L2TPv2, L2TPv3, GRE a VPWS: výběr podle užitečného zatížení

Většina sporů L2TP proti GRE se hroutí ze stejného důvodu: názvy stojí na různých vrstvách problému. Dva z nich popisují zapouzdření, které konfigurujete na svých vlastních routerech. Jeden popisuje službu, kterou vám prodává někdo jiný. Začněte zatížením, které musí koncové body přenášet, a srovnání se změní v krátký seznam důsledků místo souboje o funkce.

Nejprve zatížení, potom protokol

V praxi je zatížení jedna ze čtyř věcí: relace PPP, surový ethernetový rámec, IP paket nebo rámec MPLS předaný poskytovateli. Každý klade jiné nároky na adresování, zpracování broadcastu a detekci poruch. Spletete-li tento seznam, žádné ladění zapouzdření design nezachrání.

Cokoli mimo tyto řádky se přidává později, například šifrování, komprese nebo tvarování provozu. Nejprve vyberte řádek.

L2TPv2 a L2TPv3 sdílejí název a téměř nic jiného

L2TPv2 existuje, aby přenášel relace PPP přes síť IP, proto se čte jako protokol vzdáleného přístupu, nikoli jako obecný transport rámců. L2TPv3 tuto myšlenku zobecňuje: řídicí spojení vyjednává relace a každá relace nese definované spojení vrstvy 2 mezi dvěma koncovými body IP. Stejné rodinné jméno, jiný řídicí protokol, jiný model relace. Požadavek, který uvádí jen L2TP, je neúplný a šablona zkopírovaná ze špatné verze ani nevyjedná.

Pokud potřebujete PPP, L2TPv2 je jediný realistický člen rodiny; pokud potřebujete ethernetové rámce přes routované jádro, jste na území L2TPv3.

Detaily transportu se liší způsoby, které vyjdou najevo při kontrole firewallu. L2TPv3 může cestovat přímo přes IP protokol 115 nebo uvnitř UDP, obvykle na portu 1701, zatímco L2TPv2 zůstává na UDP 1701 s PPP uvnitř. Politika napsaná pro jednu verzi může vypadat zcela správně a přesto tu druhou zahodit.

GRE je hlavička, ne služba

GRE zabalí zatížení do čtyřbajtové hlavičky s volitelným polem klíče a sekvence a výsledek předá IP k doručení. Netvrdí nic o tom, co zatížení znamená, takže implementace mohou tunelovat IPv4, IPv6 nebo Ethernet, pokud jsou tyto typy protokolů podporovány. Obecné není totéž jako univerzální: ověřte typ protokolu a chování fragmentace na skutečném zařízení.

Pole klíče dělá GRE užitečným, když několik tunelů sdílí jednu dvojici adres koncových bodů, protože přijímač demultiplexuje podle této hodnoty. GRE přes IPv4 stojí asi 24 bajtů před jakýmikoli dalšími volbami, což začíná být důležité na linkách už dimenzovaných pro rámce 1500 bajtů. Samotné GRE nenabízí důvěrnost, proto ho obvyklý vzor páruje s IPsec a nechává IPsec vlastnit kryptografickou hranici. Tato kombinace funguje, ale rozpočet MTU pak musí pokrýt obě hlavičky.

GRE také přenáší multicast a broadcast tunelem, když je zatížením Ethernet, což obyčejný unicastový IP tunel nedokáže. Právě tato vlastnost, nikoli zkratka, bývá důvodem, proč design volí GRE.

VPWS se kupuje, nekonfiguruje

Služba virtuálního soukromého okruhu doručuje bod-bod spojení vrstvy 2 přes síť poskytovatele. Váš připojovací okruh končí na zařízení na hraně poskytovatele a pseudookruh přes jádro patří poskytovateli. Důležité otázky jsou provozní: kde je demarkační bod, kdo vlastní první a poslední míli a co poskytovatel dělá s příliš velkými rámci.

Tady se srovnání obrací. L2TPv3 a GRE jsou věci, které provozujete od konce ke konci, takže je ladíte vlastními přihlašovacími údaji a vlastními odchyty. VPWS je smlouva s předáním, takže výpadek začíná tiketem, nikoli odchytem paketů. Ani jeden model nevyhraje úplně; selhávají na různých místech a volba závisí na tom, zda chcete vlastnit poslední míli.

Zásobník značek pseudookruhu zůstává uvnitř sítě poskytovatele, takže nemění vaši aritmetiku MTU tak jako viditelná hlavička tunelu.

Vyberte jeden řádek a zapište ho

Zaznamenejte rozhodnutí jako jednu větu se třemi částmi: zatížení, zapouzdření a vlastník transportu. Potom připojte čísla, která ho činí ověřitelným.

U každého kandidáta zapište režii na lince, největší rámec, který cesta přijme, a první skok, který by ohlásil problém s MTU. Ověřte, že oba koncové body podporují zvolený typ protokolu nebo typ relace, ne jen marketingový termín v datovém listu. Rozhodněte, jak by vypadal multiplex, kdyby příští rok přibyl druhý okruh, protože klíče GRE a identifikátory relací L2TPv3 nejsou vzájemně zaměnitelná řešení tohoto problému. Potom pošlete jeden příliš velký a jeden normální rámec; tato dvojice zachytí většinu návrhů, které vypadaly na papíře dobře.

Srovnávání tunelů podle názvu stále plodí spory, které nikdo nedokáže uzavřít. Srovnání podle zatížení, režie a vlastnictví přináší rozhodnutí za jedno odpoledne, plus důkazy potřebné k jeho pozdější obhajobě.