Comparativa de VPN sitio a sitio: L2TP, GRE, DSVPN, IPSec y MPLS

Siete formas de conectar una sucursal — y por qué la elección importa

Si te equivocas en esta decisión, recableas la WAN en seis meses.

Cada una de estas siete tecnologías puede conectar una sucursal con la sede a través de una WAN. Lo que no tienen en común es el cifrado, la tolerancia a IP dinámicas, el soporte de multicast, o cuántas sucursales soportan antes de que la configuración se convierta en un trabajo de tiempo completo. Elegir mal normalmente no falla de inmediato: simplemente se vuelve silenciosamente doloroso en la sucursal número doce, o el día en que un regulador pregunta por qué los datos no están cifrados.

Esta nota es una referencia de planificación para la selección de tecnología de interconexión de sucursales, elaborada a partir del capítulo de VPN sitio a sitio de la guía de configuración de routers AR de Huawei. Cubre L2TP, GRE, DSVPN, IPSec, BGP/MPLS IP VPN, VLL y PWE3 — una sección por tecnología, cada una con su escenario de aplicación real, sus pros y contras reales, y un esqueleto de configuración básica textual. Si necesita detalles sobre ejecutar IPSec encima de alguna de estas, hacer que IPSec atraviese NAT, o construir un diseño IPSec de interfaz de túnel virtual, esas son notas aparte: DSVPN sobre IPSec, Interfaz de túnel virtual IPSec, y Traversía NAT de IPSec.

Cuál necesita realmente

Empiece por lo que necesita el tráfico, no por la tecnología que ya conoce.

Puntos clave de configuración, tecnología por tecnología

Escenario, ventajas y desventajas reales, y el esqueleto CLI básico — para cada una de las siete.

L2TP — VPN de acceso remoto y multiusuario por marcación

El hábitat natural de L2TP es el acceso remoto y por marcación: un LAC (a menudo la propia puerta de enlace de la sucursal, o un usuario remoto terminado en PPPoE) tuneliza sesiones PPP hacia un LNS en la sede, que autentica al usuario y asigna una dirección de un pool local. Es la opción correcta cuando el lado de la sucursal es una población grande y cambiante de usuarios individuales de marcación, en lugar de un enlace sitio a sitio fijo — la autenticación respaldada por RADIUS y la asignación de IP por usuario vienen casi gratis. Lo que L2TP no ofrece es cifrado: el túnel es una encapsulación PPP sobre UDP en claro, por lo que cualquier dato sensible necesita L2TP sobre IPSec por encima. Ventajas: autenticación a nivel de usuario, direccionamiento por usuario, funciona sobre cualquier ruta IP, soporte RADIUS. Desventajas: sin cifrado nativo, la contraseña de autenticación del túnel debe coincidir exactamente en ambos extremos, no es una tecnología de malla completa entre sucursales.

-- LAC side --
l2tp enable
#
interface Virtual-Template1
 ppp authentication-mode chap
#
l2tp-group 1
 tunnel password cipher %@%@AbCd1234%@%@
 tunnel name lac1
 start l2tp ip 202.1.1.1 domain aaa.com

-- LNS side --
l2tp enable
#
ip pool 1
 gateway-list 10.1.1.1
 network 10.1.1.0 mask 255.255.255.0
#
interface Virtual-Template1
 ppp authentication-mode chap
 remote address pool 1
 ip address 10.1.1.1 255.255.255.0
#
l2tp-group 1
 allow l2tp virtual-template 1 remote lac1
 tunnel password cipher %@%@AbCd1234%@%@
 tunnel name lns

GRE — el túnel más simple, con menos garantías

GRE es el más sencillo de los siete: envuelve un paquete IP dentro de otro paquete IP entre dos extremos de túnel fijos, y eso es esencialmente todo su conjunto de funciones. Su verdadero valor es que convierte dos LAN remotas en lo que parece un enlace directamente conectado, lo que permite que un protocolo de enrutamiento dinámico como OSPF funcione directamente sobre él — útil cuando las tablas de enrutamiento de la sucursal y la sede deben mantenerse sincronizadas automáticamente en lugar de mediante rutas estáticas. GRE no lleva cifrado ni autenticación propios; en internet público normalmente se combina con IPSec (IPSec sobre GRE), y las direcciones origen/destino del propio GRE deben ser alcanzables y, en la mayoría de los diseños, estáticas. Ventajas: extremadamente simple, admite multicast y enrutamiento dinámico sobre el túnel, funciona en casi cualquier red IP. Desventajas: sin cifrado ni autenticación, mejor adaptado a punto a punto, el direccionamiento origen/destino debe ser estable.

interface Tunnel0/0/1
 ip address 10.3.1.1 255.255.255.0
 tunnel-protocol gre
 source 20.1.1.1
 destination 30.1.1.2
#
ip route-static 10.2.1.0 255.255.255.0 Tunnel0/0/1

DSVPN — hub-and-spoke que evoluciona a spoke-to-spoke

DSVPN (Dynamic Smart VPN) es en lo que se convierte GRE cuando un hub necesita comunicarse con docenas de spokes cuyas direcciones IP públicas cambian: una interfaz de túnel mGRE en el hub acepta registros de los spokes vía NHRP, de modo que cada spoke puede aparecer y reaparecer con una nueva dirección IP sin que nadie toque la configuración del hub. Con nhrp shortcut y nhrp redirect, el tráfico spoke a spoke puede incluso construir un túnel directo entre dos sucursales en lugar de pasar siempre por el hub. Se puede añadir un segundo hub puramente por resiliencia, diferenciado por el costo de OSPF para que los spokes prefieran el hub principal y conmuten automáticamente. Al igual que el GRE simple, DSVPN no lleva cifrado por sí mismo; los diseños en producción casi siempre ejecutan IPSec sobre DSVPN — véase la nota dedicada DSVPN sobre IPSec para ese enlace. Ventajas: escala a grandes cantidades de sucursales con una sola configuración de hub, tolera direccionamiento dinámico de spokes, resiliencia de doble hub, el atajo spoke a spoke evita el cuello de botella del hub. Desventajas: sigue sin cifrado nativo, requiere que todos los dispositivos tengan alcanzabilidad en la red pública, los diseños de doble hub no deben compartir subred.

-- Hub --
interface Tunnel0/0/0
 ip address 172.16.1.1 255.255.255.0
 tunnel-protocol gre p2mp
 source Ethernet1/0/0
 nhrp entry multicast dynamic
 ospf network-type broadcast

-- Spoke --
interface Tunnel0/0/0
 ip address 172.16.1.101 255.255.255.0
 tunnel-protocol gre p2mp
 source Ethernet1/0/0
 nhrp entry 172.16.1.1 1.1.1.1 register
 ospf network-type broadcast

IPSec — el que ofrece cifrado real

IPSec es la tecnología de esta lista realmente construida para la confidencialidad e integridad: una negociación IKE establece una clave compartida, y la SA de IPSec resultante cifra y autentica el tráfico que coincide con una ACL definida. Funciona con direcciones de par estáticas o dinámicas (modo agresivo), tolera NAT con NAT-T, y puede proteger tanto una coincidencia de ACL basada en políticas como todo el tráfico de una interfaz de túnel virtual. Es la respuesta por defecto siempre que los dos extremos crucen una red pública y los datos realmente importen — pero no es una tecnología de enrutamiento por sí misma: sin una interfaz de túnel, los protocolos de enrutamiento dinámico no pueden funcionar sobre una política de IPSec como sí pueden hacerlo sobre GRE o DSVPN, precisamente por eso IPSec se combina tan a menudo con uno de esos dos en lugar de usarse solo. Ventajas: cifrado y autenticación reales, traversía NAT, funciona con direcciones de par dinámicas, las plantillas de política permiten que una puerta de enlace hub acepte muchos pares de sucursales sin configuración por sucursal. Desventajas: el IPSec basado solo en políticas no transporta un protocolo de enrutamiento, las definiciones de ACL en ambos extremos deben reflejarse exactamente, los desajustes de DPD y conjunto de cifrado son los fallos de interoperabilidad más comunes.

acl number 3101
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
#
ike proposal 1
 encryption-algorithm aes-cbc-128
 dh group14
 authentication-algorithm sha2-256
#
ike peer spub v1
 exchange-mode aggressive
 pre-shared-key cipher %^%#AbCd1234%^%#
 ike-proposal 1
 local-id-type name
 remote-name huawei02
 local-address 1.1.1.1
 remote-address 2.1.1.1
#
ipsec policy map1 10 isakmp
 security acl 3101
 ike-peer spub
 proposal tran1

BGP/MPLS IP VPN — lo que opera el operador, no lo que usted opera

Esta es la excepción de la lista: BGP/MPLS IP VPN es lo que ejecuta el backbone de un operador para mantener cientos de VPN de clientes lógicamente separadas sobre una única red MPLS compartida, usando route-distinguishers y route-targets para mantener privadas las rutas de cada cliente mientras una sola infraestructura física las transporta todas. Una sucursal no despliega BGP/MPLS IP VPN por sí misma; se convierte en un router CE (customer edge) que entrega rutas al router PE (provider edge) del operador, típicamente mediante BGP, OSPF, rutas estáticas o ISIS. Aparece en esta lista porque muchas conversaciones sobre "qué deberíamos usar para conectar nuestras sucursales" en realidad preguntan si construir IPSec/DSVPN sobre internet público, o suscribirse a un servicio MPLS L3VPN de un operador — y la respuesta honesta es que esas opciones resuelven presupuestos y modelos de confianza distintos, no el mismo problema con sintaxis diferente. Ventajas: separación y escala de nivel operador, no requiere que el cliente gestione el cifrado o el estado del túnel, las opciones de enrutamiento PE-CE son flexibles. Desventajas: requiere una relación con un operador y acceso al backbone MPLS, es un servicio que se compra en lugar de infraestructura que se construye, los diseños entre dominios se complican rápidamente cuando participan varios AS de operadores.

ip vpn-instance vpna
 ipv4-family
 route-distinguisher 100:1
 vpn-target 111:1 export-extcommunity
 vpn-target 111:1 import-extcommunity
#
mpls lsr-id 1.1.1.9
mpls
mpls ldp
#
interface Ethernet1/0/0
 ip binding vpn-instance vpna
 ip address 10.1.1.2 255.255.255.0
#
bgp 100
 peer 3.3.3.9 as-number 100
 peer 3.3.3.9 connect-interface LoopBack1
 ipv4-family vpnv4
 policy vpn-target
 peer 3.3.3.9 enable
 ipv4-family vpn-instance vpna
 peer 10.1.1.1 as-number 65410
 import-route direct

VLL — una línea arrendada, reconstruida sobre MPLS

La línea arrendada virtual (VLL estilo Martini) hace un trabajo específico: hace que dos interfaces Ethernet (u otra capa 2) en dos routers diferentes se comporten como si estuvieran conectadas por un cable dedicado, tunelizadas a través de un núcleo MPLS mediante pseudocables señalizados por LDP. No hay ninguna decisión de enrutamiento IP involucrada — es una interconexión cruzada de capa 2, precisamente por eso es la herramienta correcta cuando el enrutamiento propio del cliente debe permanecer completamente intacto frente a la red del operador intermedio. No escala más allá de punto a punto: cada VLL conecta exactamente dos circuitos de acceso, por lo que una red de muchas sucursales necesita muchas VLL, no una VLL compartida. Ventajas: emulación de capa 2 totalmente transparente, el enrutamiento del cliente es invisible para el núcleo del operador, puede funcionar sobre un túnel GRE mediante tunnel-policy cuando el núcleo no admite MPLS nativo. Desventajas: estrictamente punto a punto, sin cifrado, requiere infraestructura MPLS LDP de extremo a extremo (o un sustituto GRE).

mpls lsr-id 10.10.10.1
mpls
mpls l2vpn
mpls ldp
#
mpls ldp remote-peer 10.10.10.3
 remote-ip 10.10.10.3
#
interface GigabitEthernet1/0/0
 mpls l2vc 10.10.10.3 101

PWE3 — emulación de circuito para el tráfico que no es IP en absoluto

PWE3 (Pseudo-Wire Emulation Edge-to-Edge) es en lo que se convierte VLL cuando el circuito transportado no es Ethernet en absoluto — TDM, E1, u otras interfaces heredadas muy anteriores al IP. El ejemplo del que parte esta nota es genuinamente de nicho pero instructivo: una interfaz de radio de voz heredada tipo E&M, transportada a través de un túnel MPLS TE con respaldo en caliente y conmutación por error activada por BFD, de modo que una falla de enlace no produce ninguna interrupción audible en el tráfico transportado. Si una sucursal tiene algún equipo heredado genuinamente no IP que debe seguir funcionando durante una actualización de la WAN, la emulación de circuito PWE3 es la tecnología que le permite seguir comportándose exactamente como siempre. Ventajas: transporta de forma transparente circuitos heredados no IP, se puede combinar con respaldo en caliente MPLS TE y BFD para una conmutación con pérdida casi nula. Desventajas: altamente especializado, solo punto a punto, requiere soporte de hardware/interfaz para el tipo específico de circuito heredado, la mayoría de las redes empresariales de sucursales nunca lo necesitarán.

interface Serial4/0/0
 link-protocol tdm
 em passthrough enable
 mpls l2vc pw-template pe2pe 300 tunnel-policy te
#
pw-template pe2pe
 peer-address 2.2.2.9
 jitter-buffer depth 8
 tdm-encapsulation-number 8
#
interface Tunnel1/0/0
 tunnel-protocol mpls te
 mpls te backup hot-standby mode revertive wtr 15

Cinco trampas en la selección

Cinco preguntas frecuentes

Diseños de soluciones relacionadas

Lecturas relacionadas