加入者アクセス向けL2TPの概要

レイヤー 2 トンネリング プロトコル(L2TP)は、ポイントツーポイントプロトコル(PPP)をネットワーク上でトンネリングできるようにするクライアントサーバープロトコルです。L2TP は、ネットワーク経由で送信するために、PPP などのレイヤー 2 パケットをカプセル化します。アクセスデバイスに設定されたL2TPアクセスコンセントレータ(LAC)は、リモートクライアントからパケットを受信し、リモートネットワーク上のL2TPネットワークサーバー(LNS)に転送します。LNSは、リモートクライアントからLACによってトンネリングされたPPPセッションの論理終端ポイントとして機能します。 図 1 に、単純な L2TP トポロジを示します。

L2TP は、ケーブルや xDSL などのアクセス技術の終端を、PPP の終端やその後のネットワークへのアクセスから分離します。この分離により、パブリックISPは、アクセス技術を競合するローカルエクスチェンジキャリア(CLEC)にアウトソーシングすることができます。L2TPは、ISPにVPNサービスを提供する機能を提供します。民間企業は、リモートワーカーのアクセス技術への投資を削減または回避できます。

ルーターを PPP パススルー モードで LAC として動作するように設定できます。このモードでは、LAC はリモート クライアントからパケットを受信し、レイヤ 2 で直接 LNS に転送します。PPP セッションは LNS で終了します。この LAC 実装は、動的または静的論理インターフェイスを介した PPPoE(Point-to-Point Protocol over Ethernet)加入者のみをサポートします。 図2 は、L2TPパススルー接続のプロトコル層スタッキングを示しています。

メモ：

MX シリーズ ルーターでは、LAC および LNS 機能は MPC でのみサポートされています。PICまたはMS-DPCのサービスではサポートされません。L2TP の MPC サポートの詳細については、 MX シリーズのインターフェイス モジュール リファレンスを参照してください

特定のMシリーズルーターは、サービスPICでLNS機能をサポートしています。M シリーズ ルーターでの L2TP 実装の詳細については、「 L2TP サービス設定の概要」を参照してください。

LAC は、AAA 認証パラメータに基づいて動的にトンネルを作成し、IP/ユーザ データグラム プロトコル(UDP)を使用して L2TP パケットを LNS に送信します。トラフィックは L2TP sessionで伝送されます。トンネルは 1 つ以上のセッションの集合体です。また、AAA が使用するドメイン マップをプロビジョニングして、LAC で PPPoE 加入者をトンネリングするか終端するかを決定することもできます。LNS にトンネリングされた各 PPP 加入者と L2TP セッションの間には、1 対 1 のマッピングが存在します。

LNS が MX シリーズルーターの場合、MPC の LAC 向けピアインターフェイスは、トンネルエンドポイント間で IP パケットを交換するための IP アドレスを提供します。ルーティング エンジンは L2TP トンネルを維持します。パケット転送エンジンは、1つ以上のインラインサービス(si)インターフェイスをホストします。これらのインターフェイスは仮想物理インターフェイスのように機能し、LNS上のL2TPセッションを 固定 します。このインターフェイスは si 、特別なサービスPICを必要とせずにL2TPサービスを可能にします。最後に、別のインターフェイスを使用して、加入者データをインターネットとの間で送受信します。

トンネルの特性は、設定したトンネルプロファイル、またはLACでアクセス可能なAAAサーバーのRADIUSトンネル属性およびベンダー固有属性(VSA)から取得できます。RADIUS 認証が行われる前にトンネル プロファイルを適用するトンネル プロファイルをドメイン マップに含めることができます。RADIUS 標準属性と VSA を使用して、ドメイン マップ内のトンネル プロファイルによって設定された一部またはすべての特性を上書きできます。または、RADIUS ログインで RADIUS トンネルグループ VSA [26-64] が指定されている場合、RADIUS 自体がトンネル プロファイルを適用できます。

メモ：

L2TP は GRE トンネル上ではサポートされていません。

サービスプロバイダAAAサーバ(LNSからアクセス可能)の加入者プロファイルの仮想ルーターVSA [26-1]は、LNSでL2TPセッションが起動されるルーティングインスタンスを決定します。このVSAが存在しない場合、AAAサーバーにはトンネルが終端するルーティングインスタンスからしかアクセスできないため、加入者セッションはトンネルと同じルーティングインスタンスで起動します。

この動作は、DHCP および非トンネリング PPPoE 加入者の場合とは異なります。サブスクリプション パケットは、仮想ルーター VSA が存在しない場合にデフォルトのルーティング インスタンスで起動します。L2TP加入者の場合、トンネルルーティングインスタンスとは異なるルーティングインスタンスで加入者セッションを立ち上げるには、このVSAを加入者プロファイルに含める必要があります。

Junos OSリリース17.4R1以降、LNSがアクセスリクエストメッセージをRADIUSサーバに送信するときに、次のRADIUS属性が含まれます。

• トンネルタイプ (64)

• トンネル-中タイプ (65)

• トンネルクライアントエンドポイント (66)

• トンネルサーバエンドポイント (67)

• トンネル接続 (68)

• トンネル割り当て ID (82)

• トンネルクライアント認証ID(90)

• トンネルサーバー認証ID (91)

以前のリリースでは、LNS は RADIUS サーバに送信するアカウンティングレコードにのみこれらの属性を含めます。Access-Requestメッセージでは、RADIUSサーバー上でLACからLNSへのセッションを関連付けるために使用できます。

LACは、特定のRADIUS VSAに基づいてセキュアなポリシーを作成するRADIUS開始ミラーリングをサポートし、RADIUS属性を使用して、トラフィックをミラーリングする加入者を識別します。(この機能は、MX シリーズ ルーターで設定された LNS ではサポートされていません。)

LAC と LNS は統合型 ISSU をサポートしています。アップグレードが開始されると、LAC は進行中の L2TP ネゴシエーションを完了しますが、アップグレードが完了するまで新しいネゴシエーションを拒否します。アップグレード中に、新しいトンネルやセッションは確立されません。サブスクライバーのログアウトはアップグレード中に記録され、アップグレードの完了後に完了します。

表1 に、L2TPの基本的な用語を示します。

表 1: L2TP 用語

用語	説明
Avp	AVP(属性値ペア)- 整数で表される一意の属性と、属性によって識別される実際の値を含む値の組み合わせ。
呼び出し	リモート・システムと LAC 間の接続 (または試行された接続)。
ラック	L2TPアクセスコンセントレータ(LAC)—L2TPトンネルエンドポイントの片側として機能し、LNSのピアであるノード。LACはLNSとリモートシステムの間に位置し、それぞれとの間でパケットを転送します。
Lns	L2TPネットワークサーバー(LNS)—L2TPトンネルエンドポイントの片側として機能し、LACのピアであるノード。LNS は、LAC によってリモート システムからトンネリングされる PPP 接続の論理終端ポイントです。
ピア	L2TP のコンテキストでは、LAC または LNS.LACのピアはLNSであり、その逆も同様です。
プロキシ認証	LNSに代わってLACによって実行されるPPP事前認証。プロキシデータは、認証タイプ、認証名、認証チャレンジなどの属性を含む LAC から LNS に送信されます。LNS は認証結果を返します。
プロキシ LCP	LNSに代わってLACによって実行されるリンク制御プロトコル(LCP)ネゴシエーション。プロキシは、LAC から LNS に送信され、クライアントとの間で送受信された最後の構成属性などの属性が含まれます。
リモートシステム	リモート アクセス ネットワークに接続されたエンド システムまたはルーターで、コールのイニシエーターまたは受信者のいずれかである。
セッション	リモートシステムとLNSの間にエンドツーエンドPPP接続が確立されたときに、LACとLNSの間に作成される論理接続。 メモ： 確立された L2TP セッションとそれに関連する PPP 接続の間には、1 対 1 の関係があります。
トンネル	制御接続と 0 つ以上の L2TP セッションで構成される LAC-LNS ペア間の接続。

L2TPは4つのレベルで実装されます。

• 送信元—LACとして機能するローカルルーター。

• 宛先 - LNS として機能するリモート ルーター。

• トンネル - LAC と LNS 間の直接パス。

• セッション:トンネル内の PPP 接続。

ルーターが宛先、トンネル、およびセッションを確立したら、L2TPトラフィックを制御できます。宛先を変更すると、その宛先へのすべてのトンネルとセッションに影響します。トンネルを変更すると、そのトンネル内のすべてのセッションに影響します。例えば、宛先を閉じると、その宛先へのすべてのトンネルとセッションが閉じられます。

• LAC でのイベントのシーケンス
• LNSでの一連のイベント

L2TP ピアは、ピア デバイスに送信する必要がある制御メッセージのキューを維持します。ローカルピア(LACまたはLNS)は、メッセージを送信した後、リモートピアからの応答を待ちます。応答が受信されない場合、ローカルピアはメッセージを再送信します。この動作により、リモート ピアがメッセージに応答する時間が増えます。

再送信の動作は、次の 2 つの方法で制御できます。

• 再送信回数 - 未確認メッセージがローカル ピアによって再送信される回数を設定できます。カウントを増やすと、リモートピアが応答する機会が増えますが、制御トラフィックの量も増加します。確立済みのトンネルについては、 階層レベルに ステートメントを含め retransmission-count-established ます [edit services l2tp tunnel] 。まだ確立されていないトンネルの場合は、 ステートメントを含めます retransmission-count-not-established 。

• 再送信間隔—ローカルピアが制御メッセージへの最初の応答を待つ時間を設定できます。最初のタイムアウト間隔内に応答が受信されない場合、再送信タイマーは、連続する各再送信の間隔を最大 16 秒まで倍増します。間隔を長くすると、リモート ピアの応答時間が長くなりますが、利用できない可能性のあるピアにより多くのリソースが費やされます。 minimum-retransmission-interval 階層レベルで ステートメントを含めます [edit services l2tp tunnel] 。

ローカル ピアは、次のいずれかが発生するまで、制御メッセージの再送信を続けます。

• 現在の待機期間内に応答が受信されます。

• 最大再送信カウントに達しました。

最大カウントに達し、応答を受信しなかった場合、トンネルとそのすべてのセッションがクリアされます。

メモ：

最大間隔の 16 秒に達しても、再送信は停止しません。ローカルピアは、その後の再送信のたびに 16 秒間待機し続けます。

次の例では、さまざまな状況での再送信動作について説明します。

• 例 1:再送信カウントは 3 で、最小再送信間隔は 1 秒です。

  1. ローカル ピアが制御メッセージを送信します。

  2. ローカル ピアは 1 秒間待機しますが、応答を受信しません。

  3. ローカルピアが制御メッセージを再送します。これは最初の再送信です。

  4. ローカルピアは2秒間待機しますが、間隔が切れる前に応答を受信します。

  5. 間隔内に応答が受信されたため、再送信が停止します。

• 例 2:再送信カウントは 2 で、最小再送信間隔は 8 秒です。

  1. ローカル ピアが制御メッセージを送信します。

  2. ローカル ピアは 8 秒間待機しますが、応答を受信しません。

  3. ローカルピアが制御メッセージを再送します。これは最初の再送信です。

  4. ローカルピアは16秒待ちますが、応答を受信しません。

  5. ローカルピアが制御メッセージを再送します。これは2回目の再送信です。

  6. この間隔は 16 を超えて長くすることはできないため、ローカル ピアは再び 16 秒待機しますが、応答を受信しません。

  7. 最大再送信カウントの 2 に達したため、再送信が停止します。

  8. トンネルとそのすべてのセッションがクリアされます。

• 目的
• アクション