Comparatif des VPN site à site : L2TP, GRE, DSVPN, IPSec et MPLS

Sept façons de connecter une agence — et pourquoi ce choix compte

Un mauvais choix ici, et vous recâblez le WAN dans six mois.

Chacune de ces sept technologies peut relier une agence au siège via un WAN. Ce qui diffère, c'est le chiffrement, la tolérance aux IP dynamiques, le support du multicast, ou le nombre de sites jusqu'auquel la configuration reste gérable avant de devenir un travail à plein temps. Un mauvais choix n'échoue généralement pas d'emblée — il devient discrètement pénible vers la douzième agence, ou le jour où un régulateur demande pourquoi les données ne sont pas chiffrées.

Cette note est une référence de planification pour le choix de la technologie d'interconnexion des agences, construite à partir du chapitre VPN site à site du guide de configuration des routeurs AR de Huawei. Elle couvre L2TP, GRE, DSVPN, IPSec, BGP/MPLS IP VPN, VLL et PWE3 — une section par technologie, chacune avec son scénario d'application réel, ses avantages et inconvénients réels, et un squelette de configuration de base textuel. Pour les détails sur l'exécution d'IPSec au-dessus de l'une d'elles, le passage d'IPSec à travers un NAT, ou la conception d'une interface de tunnel virtuel IPSec, ce sont des notes distinctes : DSVPN sur IPSec, Interface de tunnel virtuel IPSec, et Traversée NAT IPSec.

De laquelle avez-vous vraiment besoin

Partez des besoins du trafic, pas de la technologie que vous connaissez déjà.

Points clés de configuration, technologie par technologie

Scénario, compromis réels et squelette CLI de base — pour chacune des sept.

L2TP — VPN d'accès distant et multi-utilisateurs par accès commuté

L2TP trouve naturellement sa place dans l'accès distant et l'accès commuté : un LAC (souvent la passerelle propre de l'agence, ou un utilisateur distant terminé en PPPoE) tunnelise des sessions PPP vers un LNS au siège, qui authentifie l'utilisateur et attribue une adresse depuis un pool local. C'est le bon choix lorsque le côté agence est une population nombreuse et changeante d'utilisateurs individuels en accès commuté plutôt qu'une liaison site à site fixe — l'authentification appuyée sur RADIUS et l'attribution d'IP par utilisateur viennent presque gratuitement. Ce que L2TP ne fournit pas, c'est le chiffrement : le tunnel est une encapsulation PPP-sur-UDP en clair, donc tout ce qui est sensible nécessite un L2TP sur IPSec par-dessus. Avantages : authentification au niveau utilisateur, adressage par utilisateur, fonctionne sur n'importe quel chemin IP, support RADIUS. Inconvénients : pas de chiffrement natif, le mot de passe d'authentification du tunnel doit correspondre exactement aux deux extrémités, ce n'est pas une technologie de maillage complet d'agences.

-- LAC side --
l2tp enable
#
interface Virtual-Template1
 ppp authentication-mode chap
#
l2tp-group 1
 tunnel password cipher %@%@AbCd1234%@%@
 tunnel name lac1
 start l2tp ip 202.1.1.1 domain aaa.com

-- LNS side --
l2tp enable
#
ip pool 1
 gateway-list 10.1.1.1
 network 10.1.1.0 mask 255.255.255.0
#
interface Virtual-Template1
 ppp authentication-mode chap
 remote address pool 1
 ip address 10.1.1.1 255.255.255.0
#
l2tp-group 1
 allow l2tp virtual-template 1 remote lac1
 tunnel password cipher %@%@AbCd1234%@%@
 tunnel name lns

GRE — le tunnel le plus simple, avec le moins de garanties

GRE est le plus simple des sept : il encapsule un paquet IP dans un autre paquet IP entre deux extrémités de tunnel fixes, et c'est essentiellement tout son jeu de fonctionnalités. Sa vraie valeur est de transformer deux LAN distants en ce qui ressemble à une liaison directement connectée, ce qui permet à un protocole de routage dynamique comme OSPF de fonctionner directement dessus — utile lorsque les tables de routage de l'agence et du siège doivent rester synchronisées automatiquement plutôt que via des routes statiques. GRE ne transporte aucun chiffrement ni authentification propre ; sur l'internet public, il est normalement associé à IPSec (IPSec sur GRE), et les adresses source/destination de GRE doivent être joignables et, dans la plupart des conceptions, statiques. Avantages : extrêmement simple, prend en charge le multicast et le routage dynamique sur le tunnel, fonctionne sur presque tout réseau IP. Inconvénients : pas de chiffrement ni d'authentification, mieux adapté au point à point, l'adressage source/destination doit être stable.

interface Tunnel0/0/1
 ip address 10.3.1.1 255.255.255.0
 tunnel-protocol gre
 source 20.1.1.1
 destination 30.1.1.2
#
ip route-static 10.2.1.0 255.255.255.0 Tunnel0/0/1

DSVPN — hub-and-spoke qui évolue vers le spoke-to-spoke

DSVPN (Dynamic Smart VPN) est ce que devient GRE lorsqu'un hub doit dialoguer avec des dizaines de spokes dont les adresses IP publiques changent : une interface tunnel mGRE au hub accepte les enregistrements des spokes via NHRP, de sorte que chaque spoke peut apparaître et réapparaître à une nouvelle adresse IP sans que personne ne touche à la configuration du hub. Avec nhrp shortcut et nhrp redirect, le trafic spoke-à-spoke peut même établir un tunnel direct entre deux agences au lieu de repasser systématiquement par le hub. Un second hub peut être ajouté purement pour la résilience, différencié par le coût OSPF afin que les spokes préfèrent le hub principal et basculent automatiquement. Comme le GRE simple, DSVPN ne transporte aucun chiffrement par lui-même ; les conceptions en production font presque toujours tourner IPSec sur DSVPN — voir la note dédiée DSVPN sur IPSec pour cette liaison. Avantages : s'adapte à un grand nombre d'agences avec une seule configuration de hub, tolère l'adressage dynamique des spokes, résilience à double hub, le raccourci spoke-à-spoke évite le goulot d'étranglement du hub. Inconvénients : toujours pas de chiffrement natif, exige que chaque appareil soit joignable sur le réseau public, les conceptions à double hub ne doivent pas partager un sous-réseau.

-- Hub --
interface Tunnel0/0/0
 ip address 172.16.1.1 255.255.255.0
 tunnel-protocol gre p2mp
 source Ethernet1/0/0
 nhrp entry multicast dynamic
 ospf network-type broadcast

-- Spoke --
interface Tunnel0/0/0
 ip address 172.16.1.101 255.255.255.0
 tunnel-protocol gre p2mp
 source Ethernet1/0/0
 nhrp entry 172.16.1.1 1.1.1.1 register
 ospf network-type broadcast

IPSec — celui qui offre un vrai chiffrement

IPSec est la technologie de cette liste réellement conçue pour la confidentialité et l'intégrité : une négociation IKE établit une clé partagée, et la SA IPSec qui en résulte chiffre et authentifie le trafic correspondant à une ACL définie. Elle fonctionne avec des adresses de pair statiques ou dynamiques (mode agressif), tolère le NAT grâce au NAT-T, et peut protéger soit une correspondance ACL basée sur une stratégie, soit tout le trafic d'une interface de tunnel virtuel. C'est la réponse par défaut chaque fois que les deux extrémités traversent un réseau public et que les données comptent vraiment — mais ce n'est pas une technologie de routage en soi : sans interface de tunnel, les protocoles de routage dynamique ne peuvent pas fonctionner sur une stratégie IPSec comme ils le peuvent sur GRE ou DSVPN, ce qui explique pourquoi IPSec est si souvent associé à l'un de ces deux plutôt qu'utilisé seul. Avantages : chiffrement et authentification réels, traversée NAT, fonctionne avec des adresses de pair dynamiques, les modèles de stratégie permettent à une passerelle hub d'accepter de nombreux pairs d'agence sans configuration par agence. Inconvénients : IPSec basé uniquement sur une stratégie ne transporte pas de protocole de routage, les définitions d'ACL des deux côtés doivent être des miroirs exacts, les incompatibilités de DPD et de suite de chiffrement sont les échecs d'interopérabilité les plus courants.

acl number 3101
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
#
ike proposal 1
 encryption-algorithm aes-cbc-128
 dh group14
 authentication-algorithm sha2-256
#
ike peer spub v1
 exchange-mode aggressive
 pre-shared-key cipher %^%#AbCd1234%^%#
 ike-proposal 1
 local-id-type name
 remote-name huawei02
 local-address 1.1.1.1
 remote-address 2.1.1.1
#
ipsec policy map1 10 isakmp
 security acl 3101
 ike-peer spub
 proposal tran1

BGP/MPLS IP VPN — ce que l'opérateur exploite, pas ce que vous exploitez

C'est l'exception de cette liste : BGP/MPLS IP VPN est ce que le backbone d'un opérateur exploite pour maintenir des centaines de VPN clients logiquement séparés sur un seul réseau MPLS partagé, en utilisant des route-distinguishers et des route-targets pour garder les routes de chaque client privées tandis qu'une seule infrastructure physique les transporte toutes. Une agence ne déploie pas BGP/MPLS IP VPN elle-même ; elle devient un routeur CE (customer edge) qui transmet des routes au routeur PE (provider edge) de l'opérateur, typiquement via BGP, OSPF, des routes statiques ou ISIS. Cela figure dans cette liste car beaucoup de discussions « que devrions-nous utiliser pour connecter nos agences » demandent en réalité s'il faut construire IPSec/DSVPN sur l'internet public, ou souscrire à un service MPLS L3VPN d'un opérateur — et la réponse honnête est que ces options répondent à des budgets et des modèles de confiance différents, pas au même problème avec une syntaxe différente. Avantages : séparation et échelle de niveau opérateur, ne nécessite pas que le client gère le chiffrement ou l'état du tunnel, les options de routage PE-CE sont flexibles. Inconvénients : nécessite une relation avec un opérateur et un accès au backbone MPLS, c'est un service que l'on achète plutôt qu'une infrastructure que l'on construit, les conceptions inter-domaines se compliquent rapidement lorsque plusieurs AS d'opérateurs sont impliqués.

ip vpn-instance vpna
 ipv4-family
 route-distinguisher 100:1
 vpn-target 111:1 export-extcommunity
 vpn-target 111:1 import-extcommunity
#
mpls lsr-id 1.1.1.9
mpls
mpls ldp
#
interface Ethernet1/0/0
 ip binding vpn-instance vpna
 ip address 10.1.1.2 255.255.255.0
#
bgp 100
 peer 3.3.3.9 as-number 100
 peer 3.3.3.9 connect-interface LoopBack1
 ipv4-family vpnv4
 policy vpn-target
 peer 3.3.3.9 enable
 ipv4-family vpn-instance vpna
 peer 10.1.1.1 as-number 65410
 import-route direct

VLL — une ligne louée, reconstruite sur MPLS

La ligne louée virtuelle (VLL de style Martini) accomplit une tâche précise : elle fait en sorte que deux interfaces Ethernet (ou autre couche 2) sur deux routeurs différents se comportent comme si elles étaient reliées par un fil dédié, tunnelisées à travers un cœur MPLS via des pseudo-fils signalés par LDP. Aucune décision de routage IP n'est impliquée — c'est une interconnexion de couche 2, ce qui en fait précisément le bon outil lorsque le routage propre du client doit rester totalement intact face au réseau de l'opérateur intermédiaire. Elle ne s'étend pas au-delà du point à point : chaque VLL relie exactement deux circuits d'accès, donc un réseau de nombreuses agences nécessite de nombreux VLL, pas un VLL partagé. Avantages : émulation de couche 2 entièrement transparente, le routage du client est invisible pour le cœur de l'opérateur, peut fonctionner sur un tunnel GRE via tunnel-policy lorsque le cœur ne prend pas en charge le MPLS natif. Inconvénients : strictement point à point, pas de chiffrement, nécessite une infrastructure MPLS LDP de bout en bout (ou un substitut GRE).

mpls lsr-id 10.10.10.1
mpls
mpls l2vpn
mpls ldp
#
mpls ldp remote-peer 10.10.10.3
 remote-ip 10.10.10.3
#
interface GigabitEthernet1/0/0
 mpls l2vc 10.10.10.3 101

PWE3 — émulation de circuit pour le trafic qui n'est pas du tout IP

PWE3 (Pseudo-Wire Emulation Edge-to-Edge) est ce que devient le VLL lorsque le circuit transporté n'est pas du tout de l'Ethernet — TDM, E1, ou d'autres interfaces héritées bien antérieures à l'IP. L'exemple dont s'inspire cette note est véritablement de niche mais instructif : une interface radio vocale héritée de type E&M, transportée sur un tunnel MPLS TE avec sauvegarde à chaud et basculement déclenché par BFD, de sorte qu'une panne de liaison ne produise aucune interruption audible du trafic transporté. Si une agence dispose d'un équipement hérité véritablement non-IP qui doit continuer à fonctionner malgré une mise à niveau du WAN, l'émulation de circuit PWE3 est la technologie qui lui permet de continuer à se comporter exactement comme avant. Avantages : transporte de manière transparente des circuits hérités non-IP, peut être combiné avec la sauvegarde à chaud MPLS TE et BFD pour un basculement à quasi zéro perte. Inconvénients : hautement spécialisé, uniquement point à point, nécessite un support matériel/d'interface pour le type de circuit hérité spécifique, la plupart des réseaux d'agences d'entreprise n'en auront jamais besoin.

interface Serial4/0/0
 link-protocol tdm
 em passthrough enable
 mpls l2vc pw-template pe2pe 300 tunnel-policy te
#
pw-template pe2pe
 peer-address 2.2.2.9
 jitter-buffer depth 8
 tdm-encapsulation-number 8
#
interface Tunnel1/0/0
 tunnel-protocol mpls te
 mpls te backup hot-standby mode revertive wtr 15

Cinq pièges du choix technologique

Cinq questions fréquentes

Conceptions de solutions associées

Lectures associées