L2TPv2, L2TPv3, GRE și VPWS: alege după încărcătura utilă

Majoritatea dezbaterilor L2TP împotriva GRE se prăbușesc din același motiv: numele se află la niveluri diferite ale problemei. Două dintre ele descriu o încapsulare pe care o configurați pe propriile routere. Unul descrie un serviciu pe care vi-l vinde altcineva. Începeți cu încărcătura utilă pe care trebuie să o transporte capetele, iar comparația devine o listă scurtă de consecințe în loc de o luptă pe funcții.

Mai întâi încărcătura utilă, apoi protocolul

În practică, încărcătura utilă este unul din patru lucruri: o sesiune PPP, un cadru Ethernet brut, un pachet IP sau un cadru MPLS predat unui furnizor. Fiecare impune cerințe diferite pentru adresare, tratarea difuzării și detectarea defecțiunilor. Dacă această listă este greșită, nicio reglare a încapsulării nu va salva proiectul.

Tot ce se află în afara acestor rânduri se adaugă mai târziu, cum ar fi criptarea, compresia sau modelarea traficului. Alegeți mai întâi rândul.

L2TPv2 și L2TPv3 împart un nume și aproape nimic altceva

L2TPv2 există pentru a transporta sesiuni PPP printr-o rețea IP, de aceea se citește ca un protocol de acces de la distanță și nu ca un transport generic de cadre. L2TPv3 generalizează această idee: o conexiune de control negociază sesiuni, iar fiecare sesiune transportă o conexiune definită de nivel 2 între două extremități IP. Același nume de familie, alt protocol de control, alt model de sesiune. O cerință care spune doar L2TP este incompletă, iar un șablon copiat din versiunea greșită nici măcar nu va negocia.

Dacă aveți nevoie de PPP, L2TPv2 este singurul membru realist al familiei; dacă aveți nevoie de cadre Ethernet printr-un nucleu rutat, sunteți pe teritoriul L2TPv3.

Detaliile transportului diferă în moduri care ies la iveală în timpul unei revizuiri a firewall-ului. L2TPv3 poate călători direct peste protocolul IP 115 sau în interiorul UDP, de obicei pe portul 1701, în timp ce L2TPv2 rămâne pe UDP 1701 cu PPP înăuntru. O politică scrisă pentru o versiune poate părea complet corectă și totuși să o elimine pe cealaltă.

GRE este un antet, nu un serviciu

GRE împachetează o încărcătură utilă într-un antet de patru octeți cu câmp opțional de cheie și secvență, apoi predă rezultatul către IP pentru livrare. Nu afirmă nimic despre semnificația încărcăturii, așa că implementările pot tunela IPv4, IPv6 sau Ethernet dacă aceste tipuri de protocol sunt acceptate. Generic nu înseamnă universal: verificați tipul de protocol și comportamentul la fragmentare pe dispozitivul real.

Câmpul de cheie este ceea ce face GRE util atunci când mai multe tuneluri împart o pereche de adrese de extremitate, deoarece receptorul demultiplează după acea valoare. GRE peste IPv4 costă aproximativ 24 de octeți înainte de orice opțiune suplimentară, iar acest lucru începe să conteze pe legături deja dimensionate pentru cadre de 1500 de octeți. Singur, GRE nu oferă confidențialitate, așa că modelul obișnuit îl împerechează cu IPsec și lasă IPsec să dețină granița criptografică. Acea împerechere funcționează, dar bugetul MTU trebuie atunci să acopere ambele antete.

GRE transportă de asemenea multicast și difuzare prin tunel atunci când încărcătura utilă este Ethernet, ceea ce un tunel IP unicast simplu nu poate face. Această proprietate, nu acronimul, este de obicei motivul pentru care un proiect îl alege.

VPWS se cumpără, nu se configurează

Un serviciu de linie privată virtuală livrează un circuit punct-la-punct de nivel 2 prin rețeaua unui furnizor. Circuitul dumneavoastră de conectare se termină pe un echipament de margine al furnizorului, iar pseudofirul prin nucleu aparține furnizorului. Întrebările care contează sunt operaționale: unde se află demarcarea, cine deține primul și ultimul kilometru și ce face furnizorul cu cadrele supradimensionate.

Aici comparația se întoarce. L2TPv3 și GRE sunt lucruri pe care le operați cap la cap, așa că le depanați cu propriile acreditări și propriile capturi. VPWS este un contract cu o predare, așa că o întrerupere începe cu un tichet în loc de o captură de pachete. Niciun model nu câștigă absolut; ele eșuează în locuri diferite, iar alegerea depinde de dacă doriți să dețineți ultimul kilometru.

Stiva de etichete a pseudofirului rămâne în interiorul rețelei furnizorului, așa că nu vă schimbă aritmetica MTU așa cum face un antet de tunel vizibil.

Alegeți un rând și scrieți-l

Înregistrați decizia ca o singură frază cu trei părți: încărcătură utilă, încapsulare și proprietarul transportului. Apoi atașați numerele care o fac verificabilă.

Pentru fiecare candidat, notați suprasarcina pe fir, cel mai mare cadru pe care îl acceptă calea și primul salt care ar raporta o problemă de MTU. Confirmați că ambele extremități acceptă tipul de protocol sau de sesiune pe care l-ați ales, nu doar termenul de marketing din fișa tehnică. Decideți cum ar arăta multiplexarea dacă anul viitor ar apărea un al doilea circuit, deoarece cheile GRE și ID-urile de sesiune L2TPv3 nu sunt soluții interschimbabile pentru acea problemă. Apoi trimiteți un cadru supradimensionat și unul normal; acea pereche prinde majoritatea proiectelor care păreau bune pe hârtie.

Compararea tunelurilor după nume continuă să producă dispute pe care nimeni nu le poate soluționa. Compararea lor după încărcătură utilă, suprasarcină și proprietate produce o decizie într-o după-amiază, plus dovezile necesare pentru a o apăra mai târziu.