Descripción general de L2TP para el acceso de suscriptores

El protocolo de túnel de capa 2 (L2TP) es un protocolo cliente-servidor que permite que el protocolo punto a punto (PPP) se tunelice a través de una red. L2TP encapsula paquetes de capa 2, como PPP, para su transmisión a través de una red. Un concentrador de acceso L2TP (LAC), configurado en un dispositivo de acceso, recibe paquetes de un cliente remoto y los reenvía a un servidor de red L2TP (LNS) en una red remota. El LNS funciona como el punto de terminación lógico de la sesión PPP tunelizada por el LAC desde el cliente remoto. La figura 1 muestra una topología L2TP simple.

L2TP separa la terminación de las tecnologías de acceso, como el cable o xDSL, de la terminación de PPP y el acceso posterior a una red. Esta separación permite a los ISP públicos externalizar sus tecnologías de acceso a operadores de intercambio local (CLEC) competitivos. L2TP proporciona a los ISP la capacidad de proporcionar el servicio VPN; Las empresas privadas pueden reducir o evitar la inversión en tecnologías de acceso para trabajadores remotos.

Puede configurar el enrutador para que actúe como LAC en modo de paso a través de PPP, en el que el LAC recibe paquetes de un cliente remoto y luego los reenvía en la capa 2 directamente al LNS. La sesión PPP finaliza en el LNS. Esta implementación de LAC solo admite suscriptores de Protocolo punto a punto sobre Ethernet (PPPoE) en interfaces lógicas dinámicas o estáticas. La figura 2 muestra el apilamiento de la capa de protocolo para una conexión de paso a través de L2TP.

Nota:

En los enrutadores de la serie MX, las funciones LAC y LNS solo se admiten en MPC; no se admiten en ningún servicio PIC o MS-DPC. Para obtener más información sobre la compatibilidad de MPC con L2TP, consulte la Referencia del módulo de interfaz de la serie MX

Algunos enrutadores de la serie M admiten funciones LNS en PIC de servicios. Para obtener más información acerca de la implementación de L2TP en enrutadores de la serie M, consulte Descripción general de la configuración de servicios de L2TP.

El LAC crea dinámicamente túneles basados en parámetros de autenticación AAA y transmite paquetes L2TP al LNS por medio del IP/Protocolo de datagramas de usuario (UDP). El tráfico viaja en un L2TP session; un túnel es una agregación de una o más sesiones. También puede aprovisionar un mapa de dominio utilizado por AAA para determinar si se debe tunelizar o terminar el suscriptor PPPoE en la LAC. Existe una asignación uno a uno entre cada suscriptor PPP tunelizado al LNS y una sesión L2TP.

Cuando el LNS es un enrutador de la serie MX, una interfaz par orientada hacia ALC en un MPC proporciona una dirección IP para el intercambio de paquetes IP entre los puntos finales del túnel; el motor de enrutamiento mantiene los túneles L2TP. El motor de reenvío de paquetes aloja una o más interfaces de servicios en línea (si). Estas interfaces funcionan como una interfaz física virtual y anclan las sesiones L2TP en el LNS. La si interfaz habilita los servicios L2TP sin necesidad de una PIC de servicios especiales. Finalmente, se utiliza otra interfaz para transmitir los datos del suscriptor hacia y desde Internet.

Las características del túnel pueden originarse en un perfil de túnel que configure o en atributos de túnel RADIUS y atributos específicos del proveedor (VSA) del servidor AAA accesible en LAC. Puede incluir un perfil de túnel en un mapa de dominio, que aplica el perfil de túnel antes de que tenga lugar la autenticación RADIUS. Puede utilizar atributos estándar RADIUS y VSA para reemplazar cualquiera o todas las características configuradas por el perfil de túnel en un mapa de dominio. Como alternativa, RADIUS puede aplicar un perfil de túnel cuando se especifica el grupo de túneles RADIUS VSA [26-64] en el inicio de sesión de RADIUS.

Nota:

L2TP no es compatible con túneles GRE.

El VSA del enrutador virtual [26-1] en el perfil de suscriptor en el servidor AAA del proveedor de servicios (accesible desde el LNS) determina la instancia de enrutamiento en la que se inicia la sesión L2TP en el LNS. Cuando este VSA no está presente, la sesión del suscriptor aparece en la misma instancia de enrutamiento que el túnel, ya que solo se puede tener acceso al servidor AAA desde la instancia de enrutamiento en la que termina el túnel en el LNS.

Este comportamiento es diferente al de los suscriptores de DHCP y PPPoE sin tunelización, que aparecen en la instancia de enrutamiento predeterminada en ausencia del VSA del enrutador virtual. Para los suscriptores de L2TP, debe incluir este VSA en el perfil de suscriptor cuando desee que la sesión del suscriptor se produzca en una instancia de enrutamiento diferente a la instancia de enrutamiento de túnel.

A partir de Junos OS versión 17.4R1, el LNS incluye los siguientes atributos RADIUS cuando envía un mensaje de solicitud de acceso al servidor RADIUS:

• Tipo túnel (64)

• Túnel de tipo medio (65)

• Túnel-cliente-punto de conexión (66)

• Tunnel-Server-Endpoint (67)

• Conexión de túnel ACCT (68)

• ID de asignación de túnel (82)

• Tunnel-Client-Auth-ID (90)

• Tunnel-Server-Auth-ID (91)

En versiones anteriores, el LNS incluye esos atributos solo en los registros contables que envía al servidor RADIUS. En los mensajes de solicitud de acceso, se pueden usar para correlacionar en el servidor RADIUS la sesión del LAC al LNS.

LAC admite la creación de reflejo iniciada por RADIUS, que crea políticas seguras basadas en ciertos VSA de RADIUS y utiliza atributos RADIUS para identificar a un suscriptor cuyo tráfico se va a reflejar. (Esta función no es compatible con un LNS configurado en un enrutador de la serie MX).

El LAC y el LNS admiten ISSU unificado. Cuando se inicia una actualización, LAC completa cualquier negociación L2TP que esté en curso, pero rechaza cualquier negociación nueva hasta que la actualización se haya completado. No se establecen nuevos túneles ni sesiones durante la actualización. Los cierres de sesión de suscriptor se registran durante la actualización y se completan después de que se haya completado la actualización.

La Tabla 1 describe los términos básicos para L2TP.

Tabla 1: Términos de L2TP

Término	Descripción
AVP	Par de valor de atributo (AVP): combinación de un atributo único, representado por un entero, y un valor que contiene el valor real identificado por el atributo.
Llamar	Una conexión (o intento de conexión) entre un sistema remoto y el LAC.
LAC	Concentrador de acceso L2TP (LAC): nodo que actúa como un lado de un extremo de túnel L2TP y es un par del LNS. El LAC se encuentra entre un LNS y un sistema remoto y reenvía paquetes hacia y desde cada uno.
LNS	Servidor de red L2TP (LNS): un nodo que actúa como un lado de un punto de conexión de túnel L2TP y es un par del LAC. El LNS es el punto de terminación lógica de una conexión PPP que el LAC está siendo tunelizada desde el sistema remoto.
Par	En el contexto L2TP, ya sea LAC o LNS. El par de ALC es un LNS, y viceversa.
Autenticación de proxy	Preautenticación PPP realizada por la LAC en nombre de la LNS. El LAC envía los datos proxy al LNS que contiene atributos como el tipo de autenticación, el nombre de autenticación y el desafío de autenticación. El LNS responde con los resultados de autenticación.
Proxy LCP	Negociación del Protocolo de control de vínculos (LCP) que realiza LAC en nombre del LNS. El LAC envía el proxy al LNS que contiene atributos como los últimos atributos de configuración enviados y recibidos del cliente.
Sistema remoto	Un sistema final o enrutador conectado a una red de acceso remoto, que es el iniciador o el destinatario de una llamada.
Sesión	Una conexión lógica creada entre el LAC y el LNS cuando se establece una conexión PPP de extremo a extremo entre un sistema remoto y el LNS. Nota: Existe una relación uno a uno entre las sesiones L2TP establecidas y sus conexiones PPP asociadas.
Túnel	Una conexión entre el par LAC-LNS que consiste en una conexión de control y 0 o más sesiones L2TP.

L2TP se implementa en cuatro niveles:

• Fuente: el enrutador local que actúa como LAC.

• Destino: el enrutador remoto que actúa como LNS.

• Túnel: una ruta directa entre LAC y LNS.

• Sesión: una conexión PPP en un túnel.

Cuando el enrutador ha establecido destinos, túneles y sesiones, puede controlar el tráfico L2TP. Realizar un cambio en un destino afecta a todos los túneles y sesiones a ese destino; Realizar un cambio en un túnel afecta a todas las sesiones de ese túnel. Por ejemplo, al cerrar un destino, se cierran todos los túneles y sesiones de ese destino.

• Secuencia de eventos en ALC
• Secuencia de eventos en el LNS

Los pares L2TP mantienen una cola de mensajes de control que deben enviarse al dispositivo del mismo nivel. Después de que el par local (LAC o LNS) envía un mensaje, espera una respuesta del par remoto. Si no se recibe una respuesta, el par local retransmite el mensaje. Este comportamiento permite al par remoto más tiempo para responder al mensaje.

Puede controlar el comportamiento de retransmisión de las dos maneras siguientes:

• Recuento de retransmisión: puede configurar cuántas veces el par local retransmite un mensaje no confirmado. El aumento del recuento brinda más oportunidades para que el par remoto responda, pero también aumenta la cantidad de tráfico de control. Para los túneles que se han establecido, incluya la retransmission-count-established instrucción en el nivel de [edit services l2tp tunnel] jerarquía. En el caso de los túneles que aún no se han establecido, incluya la retransmission-count-not-established instrucción.

• Intervalo de retransmisión: puede configurar cuánto tiempo espera el par local la primera respuesta a un mensaje de control. Si no se recibe una respuesta dentro del primer intervalo de tiempo de espera, el temporizador de retransmisión duplica el intervalo entre cada retransmisión sucesiva hasta un máximo de 16 segundos. Aumentar el intervalo le da al par remoto más tiempo para responder, pero también gasta más recursos en un par potencialmente no disponible. Incluya la minimum-retransmission-interval instrucción en el [edit services l2tp tunnel] nivel jerárquico.

El par local continúa retransmitiendo el mensaje de control hasta que se produce una de las siguientes situaciones:

• Se recibe una respuesta dentro del período de espera actual.

• Se alcanza el recuento máximo de retransmisión.

Si se alcanza el recuento máximo y no se ha recibido respuesta, el túnel y todas sus sesiones se borrarán.

Nota:

Alcanzar el intervalo máximo de 16 segundos no detiene las retransmisiones. El par local sigue esperando 16 segundos después de cada retransmisión subsiguiente.

Los siguientes ejemplos describen el comportamiento de retransmisión en diferentes circunstancias:

• Ejemplo 1: el recuento de retransmisiones es tres y el intervalo mínimo de retransmisión es de 1 segundo.

  1. El par local envía un mensaje de control.

  2. El par local espera 1 segundo, pero no recibe respuesta.

  3. El par local retransmite el mensaje de control. Esta es la primera retransmisión.

  4. El par local espera 2 segundos, pero recibe una respuesta antes de que expire el intervalo.

  5. La retransmisión se detiene porque se recibe una respuesta dentro del intervalo.

• Ejemplo 2: El recuento de retransmisiones es de dos y el intervalo mínimo de retransmisión es de 8 segundos.

  1. El par local envía un mensaje de control.

  2. El par local espera 8 segundos, pero no recibe respuesta.

  3. El par local retransmite el mensaje de control. Esta es la primera retransmisión.

  4. El par local espera 16 segundos, pero no recibe respuesta.

  5. El par local retransmite el mensaje de control. Esta es la segunda retransmisión.

  6. El par local vuelve a esperar 16 segundos, porque el intervalo no puede aumentar más allá de 16, pero no recibe respuesta.

  7. La retransmisión se detiene porque se alcanzó el recuento máximo de dos retransmisión.

  8. El túnel y todas sus sesiones se despejan.

• Propósito
• Acción