Visão geral do L2TP para acesso ao assinante

O protocolo de tunelamento de camada 2 (L2TP) é um protocolo cliente-servidor que permite que o protocolo ponto a ponto (PPP) seja tunelado em uma rede. O L2TP encapsula pacotes de Camada 2, como PPP, para transmissão em uma rede. Um concentrador de acesso L2TP (LAC), configurado em um dispositivo de acesso, recebe pacotes de um cliente remoto e os encaminha para um servidor de rede L2TP (LNS) em uma rede remota. O LNS funciona como o ponto de terminação lógico da sessão PPP tunelada pelo LAC a partir do cliente remoto. A Figura 1 mostra uma topologia L2TP simples.

O L2TP separa a terminação de tecnologias de acesso, como cabo ou xDSL, da terminação de PPP e subsequente acesso a uma rede. Essa separação permite que os ISPs públicos terceirizem suas tecnologias de acesso para operadoras de intercâmbio local (CLECs) competitivas. O L2TP fornece aos ISPs a capacidade de fornecer serviço VPN; As empresas privadas podem reduzir ou evitar investimentos em tecnologias de acesso para trabalhadores remotos.

Você pode configurar seu roteador para atuar como o LAC no modo de passagem PPP, no qual o LAC recebe pacotes de um cliente remoto e os encaminha na Camada 2 diretamente para o LNS. A sessão PPP é encerrada no LNS. Essa implementação do LAC oferece suporte apenas a assinantes PPPoE (Point-to-Point Protocol over Ethernet) em interfaces lógicas dinâmicas ou estáticas. A Figura 2 mostra o empilhamento da camada de protocolo para uma conexão de passagem L2TP.

Observação:

Nos roteadores da Série MX, as funções LAC e LNS são suportadas apenas em MPCs; eles não são suportados em nenhum PIC de serviços ou MS-DPC. Para obter detalhes sobre o suporte MPC para L2TP, consulte a Referência do módulo de interface da Série MX

Certos roteadores da Série M oferecem suporte a funções LNS em PICs de serviços. Para obter mais informações sobre a implementação L2TP em roteadores da Série M, consulte a visão geral da configuração dos serviços L2TP.

O LAC cria túneis dinamicamente com base em parâmetros de autenticação AAA e transmite pacotes L2TP para o LNS por meio do IP/Protocolo de datagrama de usuário (UDP). O tráfego viaja em um L2TP session; um túnel é uma agregação de uma ou mais sessões. Você também pode provisionar um mapa de domínio que é usado pela AAA para determinar se o túnel ou o assinante PPPoE deve ser encerrado no LAC. Existe um mapeamento um-para-um entre cada assinante PPP tunelado para o LNS e uma sessão L2TP.

Quando o LNS é um roteador da Série MX, uma interface peer voltada para LAC em um MPC fornece um endereço IP para a troca de pacotes IP entre os endpoints do túnel; o Mecanismo de Roteamento mantém os túneis L2TP. O Mecanismo de Encaminhamento de Pacotes hospeda uma ou mais interfaces de serviços em linha (si). Essas interfaces funcionam como uma interface física virtual e ancoram as sessões L2TP no LNS. A si interface permite serviços L2TP sem exigir um PIC de serviços especiais. Por fim, outra interface é usada para transmitir os dados do assinante de e para a Internet.

As características do túnel podem se originar de um perfil de túnel que você configura ou de atributos de túnel RADIUS e atributos específicos do fornecedor (VSAs) do servidor AAA acessível no LAC. Você pode incluir um perfil de túnel em um mapa de domínio, que aplica o perfil de túnel antes que a autenticação RADIUS ocorra. Você pode usar atributos padrão RADIUS e VSAs para substituir qualquer ou todas as características configuradas pelo perfil de túnel em um mapa de domínio. Como alternativa, o próprio RADIUS pode aplicar um perfil de túnel quando o VSA do grupo de túneis RADIUS [26-64] é especificado no login do RADIUS.

Observação:

Não há suporte para L2TP em túneis GRE.

O VSA do roteador virtual [26-1] no perfil do assinante no servidor AAA do provedor de serviços (acessível a partir do LNS) determina a instância de roteamento na qual a sessão L2TP é ativada no LNS. Quando esse VSA não está presente, a sessão do assinante surge na mesma instância de roteamento que o túnel, porque o servidor AAA só pode ser acessado a partir da instância de roteamento na qual o túnel termina no LNS.

Esse comportamento é diferente do dos assinantes DHCP e PPPoE não encapsulados, que aparecem na instância de roteamento padrão na ausência do VSA do roteador virtual. Para assinantes L2TP, você deve incluir esse VSA no perfil do assinante quando quiser que a sessão do assinante apareça em uma instância de roteamento diferente da instância de roteamento de túnel.

A partir do Junos OS Release 17.4R1, o LNS inclui os seguintes atributos RADIUS quando envia uma mensagem de solicitação de acesso ao servidor RADIUS:

• Tipo de túnel (64)

• tipo túnel médio (65)

• endpoint de cliente de túnel (66)

• ponto de extremidade do servidor de túnel (67)

• Conexão de túnel de conta (68)

• ID da atribuição de túnel (82)

• ID de autenticação do cliente de túnel (90)

• ID de autenticação do servidor de túnel (91)

Em releases anteriores, o LNS inclui esses atributos somente nos registros contábeis enviados ao servidor RADIUS. Nas mensagens de solicitação de acesso, elas podem ser usadas para correlacionar no servidor RADIUS a sessão do LAC para o LNS.

O LAC oferece suporte ao espelhamento iniciado pelo RADIUS, que cria políticas seguras com base em determinados VSAs RADIUS e usa atributos RADIUS para identificar um assinante cujo tráfego deve ser espelhado. (Esse recurso não é suportado para um LNS configurado em um roteador da Série MX.)

O LAC e o LNS oferecem suporte ao ISSU unificado. Quando uma atualização é iniciada, o LAC conclui todas as negociações L2TP que estão em andamento, mas rejeita todas as novas negociações até que a atualização seja concluída. Nenhum novo túnel ou sessão é estabelecido durante a atualização. Os logouts do assinante são registrados durante a atualização e são concluídos após a conclusão da atualização.

A Tabela 1 descreve os termos básicos para L2TP.

Tabela 1: Termos L2TP

Prazo	Descrição
AVP	Par de valores de atributo (AVP) — Combinação de um atributo exclusivo — representado por um inteiro — e um valor que contém o valor real identificado pelo atributo.
Ligar	Uma conexão (ou tentativa de conexão) entre um sistema remoto e o LAC.
LAC	Concentrador de acesso L2TP (LAC) — um nó que atua como um lado de um endpoint de túnel L2TP e é um peer para o LNS. O LAC fica entre um LNS e um sistema remoto e encaminha pacotes de e para cada um.
LNS	Servidor de rede L2TP (LNS) — um nó que atua como um lado de um endpoint de túnel L2TP e é um par para o LAC. O LNS é o ponto de terminação lógico de uma conexão PPP que está sendo tunelada do sistema remoto pelo LAC.
Par	No contexto L2TP, o LAC ou o LNS. O par do LAC é um LNS e vice-versa.
Autenticação de proxy	Pré-autenticação de PPP realizada pelo LAC em nome do LNS. Os dados de proxy são enviados pelo LAC para o LNS contendo atributos como tipo de autenticação, nome de autenticação e desafio de autenticação. O LNS responde com os resultados da autenticação.
Proxy LCP	Negociação do Protocolo de Controle de Enlaces (LCP) realizada pelo LAC em nome do LNS. O proxy é enviado pelo LAC para o LNS contendo atributos como os últimos atributos de configuração enviados e recebidos do cliente.
Sistema remoto	Um sistema final ou roteador conectado a uma rede de acesso remoto, que é o iniciador ou o destinatário de uma chamada.
Sessão	Uma conexão lógica criada entre o LAC e o LNS quando uma conexão PPP de ponta a ponta é estabelecida entre um sistema remoto e o LNS. Observação: Há uma relação um-para-um entre as sessões L2TP estabelecidas e suas conexões PPP associadas.
Túnel	Uma conexão entre o par LAC-LNS que consiste em uma conexão de controle e 0 ou mais sessões L2TP.

O L2TP é implementado em quatro níveis:

• Origem — o roteador local que atua como o LAC.

• Destino — o roteador remoto que atua como LNS.

• Túnel — Um caminho direto entre o LAC e o LNS.

• Sessão — Uma conexão PPP em um túnel.

Quando o roteador tiver estabelecido destinos, túneis e sessões, você poderá controlar o tráfego L2TP. Fazer uma mudança em um destino afeta todos os túneis e sessões para esse destino; Fazer uma alteração em um túnel afeta todas as sessões nesse túnel. Por exemplo, fechar um destino fecha todos os túneis e sessões para esse destino.

• Sequência de eventos na ALC
• Sequência de eventos no LNS

Os peers L2TP mantêm uma fila de mensagens de controle que devem ser enviadas ao dispositivo peer. Depois que o peer local (LAC ou LNS) envia uma mensagem, ele aguarda uma resposta do peer remoto. Se uma resposta não for recebida, o peer local retransmite a mensagem. Esse comportamento permite que o peer remoto tenha mais tempo para responder à mensagem.

Você pode controlar o comportamento de retransmissão das duas maneiras a seguir:

• Contagem de retransmissão — você pode configurar quantas vezes uma mensagem não confirmada é retransmitida pelo peer local. Aumentar a contagem oferece mais oportunidades para o peer remoto responder, mas também aumenta a quantidade de tráfego de controle. Para túneis que foram estabelecidos, inclua a retransmission-count-established declaração no nível da [edit services l2tp tunnel] hierarquia. Para túneis que ainda não foram estabelecidos, inclua a retransmission-count-not-established declaração.

• Intervalo de retransmissão — você pode configurar quanto tempo o peer local aguarda pela primeira resposta a uma mensagem de controle. Se uma resposta não for recebida dentro do primeiro intervalo de tempo limite, o temporizador de retransmissão dobrará o intervalo entre cada retransmissão sucessiva até um máximo de 16 segundos. Aumentar o intervalo dá ao peer remoto mais tempo para responder, mas também gasta mais recursos em um peer potencialmente indisponível. Inclua a minimum-retransmission-interval instrução no nível da [edit services l2tp tunnel] hierarquia.

O peer local continua retransmitindo a mensagem de controle até que ocorra uma das seguintes situações:

• Uma resposta é recebida dentro do período de espera atual.

• A contagem máxima de retransmissão é atingida.

Se a contagem máxima for atingida e nenhuma resposta tiver sido recebida, o túnel e todas as suas sessões serão limpos.

Observação:

Atingir o intervalo máximo de 16 segundos não interrompe as retransmissões. O peer local continua a aguardar 16 segundos após cada retransmissão subsequente.

Os exemplos a seguir descrevem o comportamento de retransmissão em diferentes circunstâncias:

• Exemplo 1 — A contagem de retransmissão é três e o intervalo mínimo de retransmissão é de 1 segundo.

  1. O peer local envia uma mensagem de controle.

  2. O peer local aguarda 1 segundo, mas não recebe resposta.

  3. O peer local retransmite a mensagem de controle. Esta é a primeira retransmissão.

  4. O peer local aguarda 2 segundos, mas recebe uma resposta antes que o intervalo expire.

  5. A retransmissão é interrompida porque uma resposta é recebida dentro do intervalo.

• Exemplo 2 — A contagem de retransmissão é dois e o intervalo mínimo de retransmissão é de 8 segundos.

  1. O peer local envia uma mensagem de controle.

  2. O peer local aguarda 8 segundos, mas não recebe resposta.

  3. O peer local retransmite a mensagem de controle. Esta é a primeira retransmissão.

  4. O peer local aguarda 16 segundos, mas não recebe resposta.

  5. O peer local retransmite a mensagem de controle. Esta é a segunda retransmissão.

  6. O peer local aguarda novamente 16 segundos, porque o intervalo não pode aumentar além de 16, mas não recebe resposta.

  7. A retransmissão é interrompida porque a contagem máxima de retransmissão de dois foi atingida.

  8. O túnel e todas as suas sessões são limpos.

• Finalidade
• Ação