Visão geral do L2TP para assinantes

O protocolo de tunelamento de camada 2 (L2TP) é um protocolo de servidor do cliente que permite que o protocolo ponto a ponto (PPP) seja tunelado em uma rede. O L2TP encapsula pacotes de Camada 2, como PPP, para transmissão em uma rede. Um concentrador de acesso L2TP (LAC), configurado em um dispositivo de acesso, recebe pacotes de um cliente remoto e os encaminha para um servidor de rede L2TP (LNS) em uma rede remota. O LNS funciona como o ponto de terminação lógica da sessão de PPP tunelada pelo LAC a partir do cliente remoto. A Figura 1 mostra uma topologia L2TP simples.

A L2TP separa o término de tecnologias de acesso, como cabo ou xDSL, da rescisão do PPP e posterior acesso a uma rede. Essa separação permite que os ISPs públicos tenham terceirizado suas tecnologias de acesso para operadoras de intercâmbio locais (CLECs) competitivas. O L2TP oferece aos ISPs a capacidade de fornecer serviços VPN; as empresas privadas podem reduzir ou evitar o investimento em tecnologias de acesso para trabalhadores remotos.

Você pode configurar seu roteador para agir como o LAC no modo de passagem de PPP no qual o LAC recebe pacotes de um cliente remoto e depois os encaminha na Camada 2 diretamente para a LNS. A sessão de PPP foi terminada no LNS. Essa implementação LAC oferece suporte apenas aos assinantes do protocolo ponto a ponto sobre ethernet (PPPoE) em interfaces lógicas dinâmicas ou estáticas. A Figura 2 mostra o empilhamento de camada de protocolo para uma conexão de passagem L2TP.

Nota:

Nos roteadores da Série MX, as funções LAC e LNS são suportadas apenas em MPCs; eles não são suportados em nenhum serviço PIC ou MS-DPC. Para obter mais informações sobre o suporte de MPC para L2TP, veja a referência do módulo de interface da Série MX

Certos roteadores da Série M oferecem suporte a funções LNS em PICs de serviços. Para obter mais informações sobre a implementação de L2TP em roteadores da Série M, veja a visão geral da configuração de serviços L2TP.

O LAC cria túneis dinamicamente com base em parâmetros de autenticação AAA e transmite pacotes L2TP para a LNS por meio do protocolo de datagram IP/usuário (UDP). O tráfego viaja em um L2TP session; um túnel é uma agregação de uma ou mais sessões. Você também pode provisionar um mapa de domínio que é usado pela AAA para determinar se deve tunelar ou encerrar o assinante PPPoE no LAC. Existe um mapeamento de um a um entre cada assinante PPP em tunelamento para a LNS e uma sessão L2TP.

Quando o LNS é um roteador da Série MX, uma interface de peer voltada para LAC em um MPC fornece um endereço IP para a troca de pacotes IP entre os endpoints do túnel; o mecanismo de roteamento mantém os túneis L2TP. O Mecanismo de encaminhamento de pacotes hospeda uma ou mais interfaces de serviços (siem linha). Essas interfaces funcionam como uma interface física virtual e ancoram as sessões L2TP no LNS. A si interface permite serviços L2TP sem exigir um PIC de serviços especiais. Por fim, outra interface é usada para transmitir dados do assinante de e para a Internet.

As características do túnel podem se originar a partir de um perfil de túnel que você configura ou a partir de atributos de túnel RADIUS e atributos específicos do fornecedor (VSAs) do servidor AAA acessível no LAC. Você pode incluir um perfil de túnel em um mapa de domínio, que aplica o perfil do túnel antes que a autenticação RADIUS ocorra. Você pode usar atributos padrão RADIUS e VSAs para substituir qualquer ou todas as características configuradas pelo perfil do túnel em um mapa de domínio. Como alternativa, o RADIUS pode aplicar um perfil de túnel quando o RADIUS Tunnel-Group VSA [26-64] é especificado no login RADIUS.

Nota:

O L2TP não é suportado em túneis GRE.

O Virtual-Router VSA [26-1] no perfil de assinante no servidor AAA do provedor de serviços (acessível a partir da LNS) determina a instância de roteamento na qual a sessão L2TP é trazida à LNS. Quando este VSA não está presente, a sessão de assinantes surge na mesma instância de roteamento que o túnel, porque o servidor AAA só pode ser acessado a partir da instância de roteamento em que o túnel termina no LNS.

Esse comportamento é diferente do que para assinantes DEP e PPPoE não tunelados, que surgem na instância de roteamento padrão na ausência do Virtual-Router VSA. Para assinantes L2TP, você deve incluir esse VSA no perfil do assinante quando quiser que a sessão do assinante seja criada em uma instância de roteamento diferente da instância de roteamento de túnel.

A partir da versão 17.4R1 do Junos OS, a LNS inclui os seguintes atributos RADIUS quando envia uma mensagem de solicitação de acesso ao servidor RADIUS:

• Tipo de túnel (64)

• Tipo médio de túnel (65)

• Endpoint do cliente do túnel (66)

• Endpoint de servidor de túnel (67)

• Conexão de túnel acct (68)

• Id de atribuição de túnel (82)

• Tunnel-Client-Auth-Id (90)

• Tunnel-Server-Auth-Id (91)

Em versões anteriores, o LNS inclui esses atributos apenas nos registros contábeis que envia para o servidor RADIUS. Nas mensagens de solicitação de acesso, elas podem ser usadas para correlacionar no servidor RADIUS a sessão do LAC para o LNS.

O LAC oferece suporte ao espelhamento iniciado pelo RADIUS, que cria políticas seguras com base em certos VSAs RADIUS e usa atributos RADIUS para identificar um assinante cujo tráfego deve ser espelhado. (Este recurso não é suportado para uma LNS configurada em um roteador da Série MX.)

O LAC e o LNS oferecem suporte a ISSU unificada. Quando uma atualização é iniciada, o LAC conclui quaisquer negociações L2TP que estejam em andamento, mas rejeita qualquer nova negociação até que a atualização seja concluída. Nenhum novo túnel ou sessões são estabelecidos durante a atualização. Os logotipos dos assinantes são registrados durante a atualização e são concluídos após a conclusão da atualização.

A Tabela 1 descreve os termos básicos para L2TP.

Tabela 1: Termos L2TP

Termo	Descrição
AVP	Par de valor de atributo (AVP) — Combinação de um atributo único — representado por um inteiro — e um valor que contém o valor real identificado pelo atributo.
Chamar	Uma conexão (ou tentativa de conexão) entre um sistema remoto e o LAC.
LAC	Concentrador de acesso L2TP (LAC)— um nó que atua como um lado de um endpoint de túnel L2TP e é um peer para a LNS. O LAC fica entre um LNS e um sistema remoto e encaminha pacotes de e para cada um.
LNS	Servidor de rede L2TP (LNS)— um nó que atua como um lado de um endpoint de túnel L2TP e é um peer para o LAC. O LNS é o ponto de terminação lógica de uma conexão PPP que está sendo tunelada do sistema remoto pelo LAC.
Peer	No contexto L2TP, seja o LAC ou o LNS. O peer do LAC é um LNS, e vice-versa.
Autenticação por proxy	Pré-autenticação de PPP realizada pelo LAC em nome da LNS. Os dados de proxy são enviados pelo LAC para a LNS contendo atributos como tipo de autenticação, nome de autenticação e desafio de autenticação. O LNS responde com os resultados da autenticação.
Proxy LCP	Negociação do Link Control Protocol (LCP) realizada pelo LAC em nome da LNS. O proxy é enviado pelo LAC para a LNS contendo atributos como os últimos atributos de configuração enviados e recebidos do cliente.
Sistema remoto	Um sistema final ou roteador conectado a uma rede de acesso remoto, que é o iniciador ou o destinatário de uma chamada.
Sessão	Uma conexão lógica criada entre o LAC e o LNS quando uma conexão PPP de ponta a ponta é estabelecida entre um sistema remoto e o LNS. Nota: Há uma relação de um a um entre sessões L2TP estabelecidas e suas conexões PPP associadas.
Túnel	Uma conexão entre o par LAC-LNS consiste em uma conexão de controle e 0 ou mais sessões L2TP.

O L2TP é implementado em quatro níveis:

• Fonte — o roteador local atuando como LAC.

• Destino — o roteador remoto atuando como LNS.

• Túnel — um caminho direto entre o LAC e o LNS.

• Sessão — uma conexão PPP em um túnel.

Quando o roteador tiver destinos, túneis e sessões estabelecidos, você pode controlar o tráfego L2TP. Fazer uma mudança para um destino afeta todos os túneis e sessões para esse destino; fazer uma mudança para um túnel afeta todas as sessões nesse túnel. Por exemplo, fechar um destino fecha todos os túneis e sessões para esse destino.

• Sequência de eventos no LAC
• Sequência de eventos no LNS

Os pares L2TP mantêm uma fila de mensagens de controle que devem ser enviadas ao dispositivo peer. Após o peer local (LAC ou LNS) enviar uma mensagem, ele aguarda uma resposta do peer remoto. Se uma resposta não for recebida, o peer local retransmite a mensagem. Esse comportamento permite ao peer remoto mais tempo para responder à mensagem.

Você pode controlar o comportamento de retransmissão das seguintes duas maneiras:

• Contagem de retransmissões — você pode configurar quantas vezes uma mensagem não reconhecida é retransmitida pelo peer local. Aumentar a contagem oferece mais oportunidades para o peer remoto responder, mas também aumenta a quantidade de tráfego de controle. Para túneis que foram estabelecidos, inclua a retransmission-count-established declaração no nível de [edit services l2tp tunnel] hierarquia. Para túneis que ainda não estão estabelecidos, inclua a retransmission-count-not-established declaração.

• Intervalo de retransmissão — você pode configurar quanto tempo o peer local espera pela primeira resposta a uma mensagem de controle. Se uma resposta não for recebida no primeiro intervalo de intervalo, o temporizante de retransmissão dobra o intervalo entre cada retransmissão sucessiva até um máximo de 16 segundos. Aumentar o intervalo dá ao peer remoto mais tempo para responder, mas também gasta mais recursos em um peer potencialmente indisponível. Inclua a minimum-retransmission-interval declaração no nível hierárquica [edit services l2tp tunnel] .

O peer local continua transmitindo novamente a mensagem de controle até que um dos seguintes ocorra:

• Uma resposta é recebida dentro do período de espera atual.

• A contagem máxima de retransmissão é alcançada.

Se a contagem máxima for alcançada e nenhuma resposta tiver sido recebida, o túnel e todas as suas sessões serão liberados.

Nota:

Alcançar o intervalo máximo de 16 segundos não interrompe as retransmissões. O peer local continua a esperar 16 segundos após cada retransmissão subsequente.

Os exemplos a seguir descrevem o comportamento de retransmissão em diferentes circunstâncias:

• Exemplo 1 — A contagem de retransmissões é de três e o intervalo mínimo de retransmissão é de 1 segundo.

  1. O peer local envia uma mensagem de controle.

  2. O peer local espera 1 segundo, mas não recebe resposta.

  3. O peer local retransmite a mensagem de controle. Esta é a primeira retransmissão.

  4. O peer local espera 2 segundos, mas recebe uma resposta antes do intervalo expirar.

  5. A retransmissão para porque uma resposta é recebida no intervalo.

• Exemplo 2 — A contagem de retransmissão é de dois e o intervalo mínimo de retransmissão é de 8 segundos.

  1. O peer local envia uma mensagem de controle.

  2. O peer local espera 8 segundos, mas não recebe resposta.

  3. O peer local retransmite a mensagem de controle. Esta é a primeira retransmissão.

  4. O peer local espera 16 segundos, mas não recebe resposta.

  5. O peer local retransmite a mensagem de controle. Esta é a segunda retransmissão.

  6. O peer local novamente espera 16 segundos, porque o intervalo não pode aumentar além de 16, mas não recebe resposta.

  7. A retransmissão para porque a contagem máxima de retransmissão de dois foi alcançada.

  8. O túnel e todas as suas sessões estão liberados.

• Propósito
• Ação