Протокол туннелирования уровня 2 - Layer 2 Tunneling Protocol

В компьютерная сеть, Протокол туннелирования уровня 2 (L2TP) это протокол туннелирования используется для поддержки виртуальные частные сети (VPN) или как часть предоставления услуг интернет-провайдерами. Он использует шифрование («скрытие») только для своих собственных управляющих сообщений (с использованием необязательного предварительного общего секрета) и не предоставляет никаких шифрование или же конфиденциальность содержания само по себе. Скорее, он обеспечивает туннель для уровня 2 (который может быть зашифрован), а сам туннель может проходить через уровень 3. протокол шифрования например IPsec [1]

Набор интернет-протоколов
Уровень приложения
Транспортный уровень
Интернет-уровень
Связующий слой

История

Опубликован в 2000 г. как предлагаемый стандарт RFC 2661, L2TP берет свое начало в двух старых протоколах туннелирования для связи точка-точка: Cisco с Протокол пересылки уровня 2 (L2F) и Microsoft с[2]Туннельный протокол точка-точка (PPTP). Новая версия этого протокола, L2TPv3, появился как предлагаемый стандарт RFC 3931 в 2005 году. L2TPv3 обеспечивает дополнительные функции безопасности, улучшенную инкапсуляцию и возможность передачи каналов данных помимо простого Протокол точка-точка (PPP) через IP сеть (Например: Ретрансляция кадров, Ethernet, Банкомат, так далее.).

Описание

Весь пакет L2TP, включая полезную нагрузку и заголовок L2TP, отправляется в Протокол пользовательских датаграмм (UDP) дейтаграмма. Достоинством передачи по UDP (а не по TCP) является то, что она позволяет избежать «проблемы срыва TCP».[3][4] Обычно сеансы PPP проходят в туннеле L2TP. L2TP сам по себе не обеспечивает конфиденциальности или строгой аутентификации. IPsec часто используется для защиты пакетов L2TP, обеспечивая конфиденциальность, аутентификацию и целостность. Комбинация этих двух протоколов обычно известна как L2TP / IPsec (обсуждается ниже).

Две конечные точки туннеля L2TP называются LAC (Концентратор доступа L2TP) и LNS (Сетевой сервер L2TP). LNS ждет новых туннелей. Как только туннель установлен, сетевой трафик между одноранговыми узлами становится двунаправленным. Чтобы быть полезными для работы в сети, протоколы более высокого уровня затем проходят через туннель L2TP. Чтобы облегчить это, L2TP сессия (или же 'вызов') устанавливается в туннеле для каждого протокола более высокого уровня, такого как PPP. Либо LAC, либо LNS могут инициировать сеансы. Трафик для каждого сеанса изолирован L2TP, поэтому можно настроить несколько виртуальных сетей через один туннель. MTU следует учитывать при реализации L2TP.

Пакеты, которыми обмениваются в туннеле L2TP, относятся к одной из следующих категорий: контрольные пакеты или же пакеты данных. L2TP обеспечивает функции надежности для пакетов управления, но не обеспечивает надежность для пакетов данных. При желании надежность должна быть обеспечена вложенными протоколами, работающими в каждом сеансе туннеля L2TP.

L2TP позволяет создавать виртуальную частную коммутируемую сеть (VPDN)[5] для подключения удаленного клиента к своей корпоративной сети с помощью общей инфраструктуры, которой может быть Интернет или сеть поставщика услуг.

Туннельные модели

Туннель L2TP может проходить через весь сеанс PPP или только через один сегмент двухсегментного сеанса. Это может быть представлено четырьмя различными моделями туннелирования, а именно:

  • добровольный туннель
  • принудительный туннель - входящий звонок
  • принудительный туннель - удаленный набор
  • L2TP multihop связь[6]

Структура пакета L2TP

Пакет L2TP состоит из:

Биты 0–15Биты 16–31
Флаги и информация о версииДлина (опция)
ID туннеляИдентификатор сессии
Ns (опт.)№ (опция)
Размер смещения (опция)Смещенная площадка (опция) ......
Данные полезной нагрузки

Значения полей:

Флаги и версия
флаги управления, указывающие пакет данных / управления и наличие полей длины, последовательности и смещения.
Длина (необязательно)
Общая длина сообщения в байтах, присутствует, только если установлен флаг длины.
ID туннеля
Указывает идентификатор управляющего соединения.
Идентификатор сессии
Указывает идентификатор сеанса в туннеле.
Ns (необязательно)
порядковый номер для этого сообщения данных или управления, начинающийся с нуля и увеличивающийся на единицу (по модулю 216) для каждого отправленного сообщения. Присутствует только при установленном флаге последовательности.
Nr (необязательно)
порядковый номер ожидаемого сообщения, которое будет получено. Nr устанавливается равным Ns последнего полученного сообщения по порядку плюс один (по модулю 216). В сообщениях данных Nr зарезервирован и, если он присутствует (как указано битом S), ДОЛЖЕН игнорироваться при получении.
Размер смещения (необязательно)
Указывает, где находятся данные полезной нагрузки после заголовка L2TP. Если поле смещения присутствует, заголовок L2TP заканчивается после последнего байта заполнения смещения. Это поле существует, если установлен флаг смещения.
Смещенная площадка (необязательно)
Переменная длина, определяемая размером смещения. Содержание этого поля не определено.
Данные полезной нагрузки
Переменная длина (максимальный размер полезной нагрузки = максимальный размер пакета UDP - размер заголовка L2TP)

Обмен пакетами L2TP

Во время настройки L2TP-соединения между сервером и клиентом происходит обмен множеством управляющих пакетов для установления туннеля и сеанса для каждого направления. Один одноранговый узел запрашивает другого однорангового узла назначить определенный туннель и идентификатор сеанса через эти управляющие пакеты. Затем с использованием этого туннеля и идентификатора сеанса происходит обмен пакетами данных со сжатыми кадрами PPP в качестве полезной нагрузки.

Список сообщений управления L2TP, которыми обмениваются LAC и LNS, для установления связи перед установлением туннеля и сеанса в методе добровольного туннелирования:

L2tp pkt exchg.PNG

L2TP / IPsec

Из-за отсутствия конфиденциальности, присущей протоколу L2TP, он часто реализуется вместе с IPsec. Это называется L2TP / IPsec и стандартизировано в IETF RFC 3193. Процесс настройки L2TP / IPsec VPN выглядит следующим образом:

  1. Согласование IPsec ассоциация безопасности (SA), обычно через Обмен ключами в Интернете (АЙК). Это выполняется через порт UDP 500 и обычно использует общий пароль (так называемый "предварительные общие ключи "), открытые ключи или X.509 сертификаты на обоих концах, хотя существуют и другие методы ввода ключей.
  2. Создание Инкапсуляция полезной нагрузки безопасности (ESP) связь в транспортном режиме. Номер IP-протокола для ESP - 50 (сравните TCP 6 и UDP 17). На данный момент безопасный канал установлен, но туннелирования не происходит.
  3. Согласование и установление туннеля L2TP между конечными точками SA. Фактическое согласование параметров происходит по безопасному каналу SA в рамках шифрования IPsec. L2TP использует порт UDP 1701.

Когда процесс завершен, пакеты L2TP между конечными точками инкапсулируются IPsec. Поскольку сам пакет L2TP заключен в оболочку и скрыт в пакете IPsec, исходный IP-адрес источника и назначения зашифрован внутри пакета. Кроме того, нет необходимости открывать порт 1701 UDP на межсетевых экранах между конечными точками, так как внутренние пакеты не обрабатываются до тех пор, пока данные IPsec не будут расшифрованы и удалены, что происходит только на конечных точках.

Возможная путаница в L2TP / IPsec - это использование терминов туннель и безопасный канал. Период, термин туннельный режим относится к каналу, который позволяет нетронутым пакетам одной сети передаваться по другой сети. В случае L2TP / PPP он позволяет передавать пакеты L2TP / PPP по IP. А безопасный канал относится к соединению, в рамках которого гарантируется конфиденциальность всех данных. В L2TP / IPsec сначала IPsec обеспечивает безопасный канал, а затем L2TP предоставляет туннель. IPsec также определяет протокол туннеля: он не используется при использовании туннеля L2TP.

Реализация Windows

Windows имеет встроенную поддержку (настраивается в панели управления) для L2TP с тех пор, как Windows 2000. Виндоус виста добавлены 2 альтернативных инструмента, Оснастка MMC называется "Брандмауэр Windows в режиме повышенной безопасности" (WFwAS) и "сетка Утилита командной строки advfirewall ". Одно ограничение для команд WFwAS и netsh состоит в том, что серверы должны быть указаны по IP-адресу. Windows 10 добавил "Add-VpnConnection " и "Set-VpnConnectionIPsecConfiguration " PowerShell команды. Раздел реестра должен быть создан на клиенте и сервере, если сервер находится за устройством NAT-T. [1]

L2TP в сетях интернет-провайдеров

L2TP часто используется интернет-провайдерами, когда интернет-сервис закрыт, например ADSL или кабель идет перепродан. От конечного пользователя пакеты проходят через сеть оптового поставщика сетевых услуг на сервер, называемый сервером широкополосного удаленного доступа (BRAS ), конвертер протоколов и маршрутизатор вместе. В устаревших сетях путь от оборудования конечных пользователей до BRAS может проходить через Банкомат сеть. С этого момента по IP-сети туннель L2TP проходит от BRAS (действующего как LAC) к LNS, который является граничным маршрутизатором на границе IP-сети конечного поставщика услуг Интернета. Видеть пример реселлеров ISP, использующих L2TP.

Смотрите также

Рекомендации

  1. ^ IETF (1999), RFC 2661, Протокол туннелирования второго уровня "L2TP"
  2. ^ "Туннельный протокол точка-точка (PPTP)". TheNetworkEncyclopedia.com. 2013. Получено 2014-07-28. Туннельный протокол точка-точка (PPTP) [:] Протокол уровня канала передачи данных для глобальных сетей (WAN), основанный на протоколе точка-точка (PPP) и разработанный Microsoft, который позволяет инкапсулировать сетевой трафик и маршрутизируется через незащищенную сеть общего пользования, такую ​​как Интернет.[постоянная мертвая ссылка ]
  3. ^ Титц, Олаф (2001-04-23). «Почему TCP поверх TCP - плохая идея». Получено 2015-10-17.
  4. ^ Хонда, Осаму; Осаки, Хироюки; Имасе, Макото; Ишизука, Мика; Мураяма, Джуничи (октябрь 2005 г.). Атикуззаман, Мохаммед; Баландин Сергей I (ред.). «Производительность, качество обслуживания и управление коммуникационными и сенсорными сетями нового поколения III». 6011: 60110H. Bibcode:2005SPIE.6011..138H. Дои:10.1117/12.630496. S2CID  8945952. Цитировать журнал требует | журнал = (помощь); | chapter = игнорируется (помощь)
  5. ^ Поддержка Cisco: общие сведения о VPDN - обновлено 29 января 2008 г.
  6. ^ Центр знаний IBM: многопоточное соединение L2TP

внешняя ссылка

Реализации

Стандарты и расширения Интернета

  • RFC 2341 Пересылка Cisco второго уровня (протокол) "L2F" (предшественник L2TP)
  • RFC 2637 Туннельный протокол точка-точка (PPTP)
  • RFC 2661 Протокол туннелирования второго уровня "L2TP"
  • RFC 2809 Реализация принудительного туннелирования L2TP через RADIUS
  • RFC 2888 Безопасный удаленный доступ с L2TP
  • RFC 3070 Протокол туннелирования второго уровня (L2TP) через Frame Relay
  • RFC 3145 Информация о причинах отключения L2TP
  • RFC 3193 Защита L2TP с помощью IPsec
  • RFC 3301 Протокол туннелирования второго уровня (L2TP): сеть доступа ATM
  • RFC 3308 Дифференцированные услуги по протоколу туннелирования второго уровня (L2TP)
  • RFC 3355 Протокол туннелирования второго уровня (L2TP) через уровень адаптации ATM 5 (AAL5)
  • RFC 3371 База информации управления туннельным протоколом второго уровня "L2TP"
  • RFC 3437 Расширения протокола туннелирования второго уровня для согласования протокола управления каналом PPP
  • RFC 3438 Протокол туннелирования второго уровня (L2TP), назначенные Интернет-номера: Обновление информации о полномочиях по присвоению номеров в Интернете (IANA)
  • RFC 3573 Сигнализация состояния удержания модема в протоколе туннелирования уровня 2 (L2TP)
  • RFC 3817 Протокол туннелирования уровня 2 (L2TP) Ретранслятор активного обнаружения для PPP через Ethernet (PPPoE)
  • RFC 3931 Протокол туннелирования второго уровня - версия 3 (L2TPv3)
  • RFC 4045 Расширения для поддержки эффективной передачи многоадресного трафика в протоколе туннелирования уровня 2 (L2TP)
  • RFC 4951 Расширения аварийного переключения для протокола туннелирования уровня 2 (L2TP) «аварийное переключение»

Другой