| L2TP | |
|---|---|
| Nombre | Protocolo de tunelización de capa 2 |
| Nivel (según el modelo OSI ) | sesión |
| Familia | TCP/IP |
| Creado en | 1999 |
| Puerto/ID | 1701/ UDP , 500/ UDP (para IKE, para gestionar claves de cifrado), 4500/ UDP (para modo IPSEC NAT-Transversal), 50/ ESP (para IPSEC), 51/ AH (para IPSEC) |
| Propósito del protocolo | construir una VPN |
| Especificación | RFC 2661 |
L2TP ( Protocolo de tunelización de capa 2 en inglés , protocolo de tunelización de capa 2 ): en redes informáticas , un protocolo de tunelización que se utiliza para admitir redes privadas virtuales . La principal ventaja de L2TP es que este protocolo permite crear un túnel no solo en redes IP, sino también en redes como ATM , X.25 y Frame Relay [1] .
Aunque L2TP actúa como un protocolo de capa de enlace del modelo OSI , en realidad es un protocolo de capa de sesión y utiliza el puerto UDP registrado 1701 [2] .
cuenta[ ¿por quién? ] que el protocolo L2TP ha incorporado las mejores características de L2F y PPTP [1] .
El diagrama muestra cómo funciona el protocolo L2TP.
El objetivo aquí es tunelizar tramas PPP entre un sistema remoto o LAC de cliente y un LNS alojado en la LAN [3] .
El sistema remoto inicia una conexión PPP al LAC a través de la red telefónica pública conmutada (PSTN). Luego, el LAC canaliza la conexión PPP a través de Internet, Frame Relay o ATM al LNS, accediendo así a la LAN de origen. Las direcciones del sistema remoto se proporcionan a la LAN de origen a través de la negociación con el PPP NCP . El dominio de administración de LAN puede proporcionar autenticación, autorización y contabilidad como si el usuario estuviera conectado directamente al servidor de acceso a la red NAS .
El cliente LAC (el host que ejecuta el programa L2TP) también puede participar en el túnel a la LAN de origen sin usar un LAC separado si el host que contiene el programa cliente LAC ya tiene una conexión a Internet. Se crea una conexión PPP "virtual" y el programa L2TP LAC local forma un túnel hacia el LNS. Al igual que en el caso anterior, el direccionamiento, la autenticación, la autorización y la contabilidad serán proporcionados por el área de control de la LAN de origen.
L2TP utiliza dos tipos de paquetes: mensajes de control y de datos. Los mensajes de control se utilizan en el establecimiento, mantenimiento y terminación de túneles y llamadas. Los mensajes informativos se utilizan para encapsular tramas PPP enviadas a través del túnel. Los mensajes de control utilizan un canal de control confiable dentro de L2TP para garantizar la entrega. Los mensajes informativos no se reenvían cuando se pierden.
Estructura del protocolo:
| marcos PPP | |
| Mensajes informativos L2TP | Mensajes de control L2TP |
| Portador L2TP (poco fiable) | Canal de control L2TP (confiable) |
| Transporte de paquetes (UDP, FR, ATM, etc.) | |
El mensaje de control tiene un número de secuencia que se utiliza en el canal de control para garantizar una entrega fiable. Los mensajes informativos pueden usar números de secuencia para reordenar paquetes y detectar la pérdida de tramas. Todos los códigos se envían en el orden aceptado para las redes.
Los paquetes L2TP para los canales de control y portadores utilizan el mismo formato de encabezado:
| 0 | una | 2 | 3 | cuatro | 5 | 6 | 7 | ocho | 9 | diez | once | 12 | 13 | catorce | quince | dieciséis | 31 | |||||
| T | L | X | X | S | X | O | PAGS | X | X | X | X | Versión | Longitud (opcional) | |||||||||
| Identificación del túnel | ID de sesión | |||||||||||||||||||||
| Ns (opcional) | No. (opc.) | |||||||||||||||||||||
| Tamaño de desplazamiento (opcional) | Almohadilla compensada (opcional)...... | |||||||||||||||||||||
| datos de carga útil | ||||||||||||||||||||||
Se establece en 0 para mensajes de información y en 1 para mensajes de control.
Para los mensajes de control, este bit debe establecerse en 1.
Todos los bits reservados deben establecerse en 0 para los mensajes salientes e ignorarse para los mensajes entrantes.
El bit S para mensajes de control debe establecerse en 1.
El bit O para mensajes de control debe establecerse en 0.
El valor 1 está reservado para detectar paquetes L2F cuando se mezclan con paquetes L2TP. Los paquetes recibidos con un campo Ver desconocido se eliminan.
El tipo de mensaje AVP determina el tipo específico de mensaje de control que se enviará.
Gestión de conexiones de control
Gestión de llamadas
Error de mensajes
Gestión de sesiones PPP
El procedimiento necesario para establecer una sesión PPP de tunelización L2TP incluye dos pasos:
El túnel y el canal de control correspondiente deben formarse antes de que se inicien las llamadas entrantes o salientes. Se debe establecer una sesión L2TP antes de que L2TP pueda enviar tramas PPP a través del túnel. Puede haber múltiples sesiones en el mismo túnel entre el mismo LAC y LNS.
Tunelización PPP:
Conexión de control
Es el principal que debe implementarse entre el LAC y el LNS antes de iniciar una sesión. El establecimiento de una conexión de control incluye la identificación segura del par, así como la determinación de la versión L2TP, las capacidades del enlace, la trama, etc.
L2TP incluye un sistema de autenticación de túnel tipo CHAP simple y opcional durante el establecimiento de la conexión de control.
Establecimiento de sesionesTras el establecimiento exitoso de una conexión de control, se pueden formar sesiones individuales. Cada sesión corresponde a un tráfico PPP entre LAC y LNS. A diferencia del establecimiento de conexión de control, el establecimiento de sesión es asimétrico con respecto a LAC y LNS. El LAC solicita al LNS que acceda a la sesión para las solicitudes entrantes y el LNS solicita al LAC que inicie una sesión para las solicitudes salientes.
Cuando se forma el túnel, las tramas PPP del sistema remoto recibidas por el LAC se eliminan de CRC, encabezados de enlace, etc., se encapsulan en L2TP y se reenvían a través del túnel apropiado. El LNS recibe el paquete L2TP y procesa la trama PPP encapsulada como si se hubiera recibido a través de la interfaz PPP local.
El remitente de un mensaje asociado con una sesión y un túnel en particular coloca los ID de la sesión y del túnel (especificados por el par) en los campos de encabezado apropiados de todos los mensajes salientes.
Uso de números de secuencia en un canal de datosLos números de secuencia definidos en el encabezado L2TP se utilizan para organizar el transporte fiable de mensajes de control. Cada par mantiene una numeración separada para la conexión de control y para cada sesión de información dentro del túnel.
A diferencia del canal de control L2TP, el canal de tráfico L2TP utiliza la numeración de mensajes no para la retransmisión, sino para detectar la pérdida de paquetes y/o restaurar la secuencia original de paquetes mezclados durante el transporte.
El LNS puede iniciar la supresión de la numeración de mensajes en cualquier momento durante la sesión (incluido el primer mensaje informativo).
El mecanismo keepalive (Hello)L2TP utiliza el mecanismo keepalive para distinguir entre el tiempo de inactividad del túnel y los largos períodos sin control o actividad de información en el túnel. Esto se hace con los mensajes de control Hello después de que haya transcurrido un período de tiempo específico desde la última vez que se recibió un mensaje de control a través del túnel. Si no se entrega el mensaje Hello, el túnel se declara inactivo y el sistema vuelve a su estado original. El mecanismo para restablecer los medios de transporte mediante la introducción de mensajes Hello garantiza que se detecte una ruptura de enlace entre el LNS y el LAC en ambos extremos del túnel.
Interrupción de sesiónLa finalización de la sesión puede ser iniciada por el LAC o el LNS y se logra mediante el envío de un mensaje de control de CDN. Después de terminar la última sesión, también se puede terminar la conexión de control.
Rompiendo la conexión de controlLa terminación de una conexión de control puede ser iniciada por el LAC o el LNS y se logra mediante el envío de un solo mensaje de control StopCCN.
El protocolo L2TP se autodocumenta y se ejecuta sobre la capa de transporte. Sin embargo, se necesitan algunos detalles.[ ¿Qué? ] conexión con el medio ambiente, con el fin de garantizar la compatibilidad de varios[ ¿Qué? ] implementaciones.
El protocolo L2TP se enfrenta a varios problemas de seguridad en su funcionamiento. A continuación se analizan algunos enfoques para resolver estos problemas.
Los extremos del túnel pueden, opcionalmente, autenticarse entre sí al establecer un túnel. Esta autenticación tiene los mismos atributos de seguridad que CHAP y tiene una protección razonable contra ataques de reproducción y falsificación durante el proceso de establecimiento del túnel. Para implementar la autenticación, los LAC y los LNS deben compartir un secreto compartido.
Garantizar la seguridad L2TP requiere que el entorno de transporte pueda proporcionar cifrado de datos, integridad de mensajes y autenticación de servicios para todo el tráfico L2TP. El propio L2TP es responsable de la confidencialidad, integridad y autenticación de los paquetes L2TP dentro del túnel.
Cuando se ejecuta sobre IP , IPsec (IP segura) proporciona seguridad a nivel de paquete. Todos los paquetes de información y control L2TP en un túnel particular aparecen en el sistema IPsec como paquetes de información UDP/IP normales. Además de la seguridad de transporte de IP, IPsec define un modo de operación que permite canalizar los paquetes de IP, así como los controles de acceso que se requieren para las aplicaciones que admiten IPsec. Estas herramientas le permiten filtrar paquetes según las características de la red y las capas de transporte. En el modelo de túnel L2TP, se realiza un filtrado similar en la capa PPP o de red sobre L2TP.
| Protocolos TCP /IP básicos por capas del modelo OSI | |
|---|---|
| Físico | |
| canalizado | |
| la red | |
| Transporte | |
| sesión | |
| Representación | |
| Aplicado | |
| Otro aplicado | |
| Lista de puertos TCP y UDP | |
| Redes privadas virtuales (VPN) | |
|---|---|
| Tecnología | |
| Software | |
| Servicios VPN | |