L2TPv2, L2TPv3, GRE et VPWS : choisir selon la charge utile

La plupart des débats L2TP contre GRE s’effondrent pour la même raison : les noms se situent à des couches différentes du problème. Deux d’entre eux décrivent une encapsulation que vous configurez sur vos propres routeurs. L’un décrit un service que quelqu’un d’autre vous vend. Partez de la charge utile que les extrémités doivent transporter et la comparaison devient une courte liste de conséquences plutôt qu’un combat de fonctionnalités.

D’abord la charge utile, ensuite le protocole

En pratique, la charge utile est l’une de quatre choses : une session PPP, une trame Ethernet brute, un paquet IP ou une trame MPLS remise à un fournisseur. Chacune impose des exigences différentes en matière d’adressage, de traitement de la diffusion et de détection des pannes. Si cette liste est fausse, aucun réglage d’encapsulation ne sauvera la conception.

Tout ce qui sort de ces lignes s’ajoute plus tard, comme le chiffrement, la compression ou la mise en forme du trafic. Choisissez d’abord la ligne.

L2TPv2 et L2TPv3 partagent un nom et peu de chose

L2TPv2 existe pour transporter des sessions PPP sur un réseau IP, ce qui explique qu’il se lise comme un protocole d’accès distant plutôt que comme un transport de trames générique. L2TPv3 généralise cette idée : une connexion de contrôle négocie des sessions, et chaque session transporte une connexion de couche 2 définie entre deux extrémités IP. Même nom de famille, protocole de contrôle différent, modèle de session différent. Une exigence qui ne mentionne que L2TP est incomplète, et un modèle copié de la mauvaise version ne négociera même pas.

Si vous avez besoin de PPP, L2TPv2 est le seul membre réaliste de la famille ; si vous avez besoin de trames Ethernet à travers un cœur routé, vous êtes sur le territoire de L2TPv3.

Les détails de transport diffèrent d’une manière qui apparaît lors d’une revue de pare-feu. L2TPv3 peut voyager directement sur le protocole IP 115 ou à l’intérieur d’UDP, généralement sur le port 1701, tandis que L2TPv2 reste sur UDP 1701 avec PPP à l’intérieur. Une règle écrite pour une version peut sembler parfaitement correcte et rejeter malgré tout l’autre.

GRE est un en-tête, pas un service

GRE enveloppe une charge utile dans un en-tête de quatre octets avec un champ de clé et de séquence facultatif, puis remet le résultat à IP pour la livraison. Il n’affirme rien sur la signification de la charge utile, si bien que les implémentations peuvent tunneliser IPv4, IPv6 ou Ethernet si ces types de protocole sont pris en charge. Générique n’est pas synonyme d’universel : vérifiez le type de protocole et le comportement de fragmentation sur l’appareil réel.

Le champ de clé est ce qui rend GRE utile lorsque plusieurs tunnels partagent une paire d’adresses d’extrémité, car le récepteur démultiplexe sur cette valeur. GRE sur IPv4 coûte environ 24 octets avant toute option supplémentaire, ce qui commence à compter sur des liens déjà dimensionnés pour des trames de 1500 octets. À lui seul, GRE n’offre aucune confidentialité, aussi le schéma habituel l’associe-t-il à IPsec et laisse IPsec posséder la frontière cryptographique. Cette association fonctionne, mais le budget MTU doit alors couvrir les deux en-têtes.

GRE transporte aussi le multicast et la diffusion à travers le tunnel lorsque la charge utile est Ethernet, ce qu’un simple tunnel IP unicast ne peut pas faire. C’est cette propriété, plutôt que l’acronyme, qui pousse généralement une conception à le choisir.

VPWS s’achète, ne se configure pas

Un service de ligne privée virtuelle fournit un circuit point à point de couche 2 sur le réseau d’un fournisseur. Votre circuit de raccordement se termine sur un équipement de bordure du fournisseur, et le pseudowire à travers le cœur appartient au fournisseur. Les questions qui comptent sont opérationnelles : où se situe la démarcation, qui possède le premier et le dernier kilomètre, et ce que le fournisseur fait des trames surdimensionnées.

C’est ici que la comparaison bascule. L2TPv3 et GRE sont des choses que vous exploitez de bout en bout, donc vous les déboguez avec vos propres identifiants et vos propres captures. VPWS est un contrat avec une remise, donc une panne commence par un ticket plutôt que par une capture de paquets. Aucun modèle ne gagne absolument ; ils échouent à des endroits différents, et le choix dépend de si vous voulez posséder le dernier kilomètre.

La pile d’étiquettes du pseudowire reste à l’intérieur du réseau du fournisseur, elle ne modifie donc pas votre arithmétique MTU comme le ferait un en-tête de tunnel visible.

Choisissez une ligne et écrivez-la

Consignez la décision sous forme d’une phrase en trois parties : charge utile, encapsulation et propriétaire du transport. Ajoutez ensuite les chiffres qui la rendent vérifiable.

Pour chaque candidat, notez la surcharge sur le fil, la plus grande trame acceptée par le chemin et le premier saut qui signalerait un problème de MTU. Confirmez que les deux extrémités prennent en charge le type de protocole ou de session choisi, et pas seulement le terme marketing de la fiche technique. Décidez à quoi ressemblerait le multiplexage si un second circuit apparaît l’an prochain, car les clés GRE et les identifiants de session L2TPv3 ne sont pas des solutions interchangeables à ce problème. Envoyez ensuite une trame surdimensionnée et une trame normale ; cette paire attrape la plupart des conceptions qui semblaient bonnes sur le papier.

Comparer les tunnels par leur nom continue de produire des disputes que personne ne peut trancher. Les comparer par charge utile, surcharge et propriété produit une décision en un après-midi, plus les preuves nécessaires pour la défendre plus tard.