“ESTUDIO COMPARATIVO ENTRE IPSEC Y MPLS PARA REDES PRIVADAS VIRTUALES (VPN).” Proyecto de grado previo la obtención del título de Magister en Redes de Información y Conectividad Autor: Ing Juan Carlos Brito Director: Ing Juan Francisco Chafla Oponente: Ing Juan Carlos Oleas MAYO 2015

Descripción del problema MPLS en su uso general maneja el transporte de IP inseguro sobre una plataforma de red “segura” Riegos: Man in the Middle – Port Mirror Solución: Convenio de confidencialidad – ISP – Esquemas AAA IPsec en su uso general maneja transporte IP seguro sobre una plataforma de red insegura – Internet Riesgos: DDOS – Bajo Performance Aplicaciones - Qos Solución: IPVPN-MPLS El desempeño de los servicios depende de las tecnologías de red de acceso que ofrecen los proveedores a nivel WAN.   Delay – Procesamiento – Ancho de band - Costos

Planteamiento del problema En un esquema mixto, montando IPsec sobre MPLS es una de la opciones para solventar estas “vulnerabilidades”, una configuración de DMVPN logra mantener las características primordiales de estas dos tecnologías. Efectuando el análisis por medio de pruebas y simulaciones en un ambiente de laboratorio, se obtendrá parámetros medibles del desempeño de las aplicaciones en comparación con IPsec, MPLS manejadas independientemente

Justificación e Importancia Este trabajo constituye una guía para la evaluación del diseño e implementación de una red de area extendida basada en los principales tipos de redes privadas virtuales o VPN. Se analizó en base a pruebas de laboratorio el comportamiento de estas tecnologías frente a diferentes tipos de tráfico y protocolos orientados (TCP) o no a conexión (UDP).

Justificación e Importancia Se evaluó el desempeño que cada sistema posee frente a cuatro tamaños de paquetes: Default – Máximo – 1000 bytes – 500 bytes. Se evaluó el desempeño que cada sistema posee frente a cuatro anchos de banda: Sin limitación 100Mbps – BW alto 20Mbps – BW Medio 10 Mbps – BW bajo 5Mbps El tratamiento del paquete original IP en cada tecnología de VPN y su impacto sobre el sistema es un punto decisorio para la elección de una tecnología de red Wan.

Objetivo General Determinar mediante simulaciones con pruebas reales de laboratorio el desempeño de una red IPsec sobre Internet respecto a una red IPVPN- MPLS. Determinar mediante simulaciones con pruebas reales de laboratorio el desempeño de una red DMVPN sobre MPLS respecto a una red IPVPN-MPLS .

Objetivos Específicos Determinar con pruebas y simulaciones el desempeño de una plataforma IPVPN-MPLS para tráfico TCP, UDP, voz y video. Determinar con pruebas y simulaciones el desempeño de una plataforma IPsec sobre Internet para tráfico TCP, UDP, voz y video. Determinar con pruebas y simulaciones el desempeño de una plataforma DMVPN sobre MPLS para tráfico TCP, UDP, voz y video. Determinar el porcentaje y variables de desempeño comparativo en base a las pruebas realizadas en los tres escenarios

Conceptos Generales de IPVPN-MPLS MPLS – Multi Protocol Label Switching Estándar IP de conmutación de paquetes basado en etiquetas Proporciona características de red orientada a conexión (TDM, ATM, FR) a las redes no orientadas a conexión (IP) Forwardeo de paquetes en base a etiquetas – OSI L2 ½ Elementos de IPVPN-MPLS CPE : Ruteo L3 LER (PE) - LSR (P) : Transporte L2 ½ Protocolos en IPVPN- MPLS IGP (OSPF) – LDP (LSP) – MPLS MP-BGP (ruteo) Servicios en MPLS IPVPN-MPLS (VRFs): OSI L3 *L2VPN-MPLS : OSI L2

Conceptos Generales de IPsec sobre Internet Estándar IP de conmutación de paquetes basado en Direcciones IP Destino -OSI Nivel 3 Elementos de IPsec sobre Internet CPE – Encriptación Internet – Transporte IP Protocolos de IPsec sobre Internet BGP- OSI L3 : Transporte IP IKE Fase 1: CPE ESP Fase 2: CPE Encripción (DES,3DES, AES, etc): CPE

Conceptos Generales de DMVPN sobre MPLS Red privada virtual multipunto dinámica Elementos de DMVPN sobre MPLS CPE – Multipunto - Encriptación MPLS – Transporte OSI L 2 ½ Protocolos de DMVPN sobre MPLS IGP (OSPF) – LDP (LSP) : Transporte MPLS – MP-BGP: Transporte NHRP: CPE Mgre: CPE Routing OSPF - CPE IPsec: CPE IKE Fase 1: CPE ESP Fase 2: CPE Encripción (DES,3DES, AES, etc)

Diseño de la Maqueta de Pruebas CPE’s: IPVPN – IPsec - DMVPN TRANSPORTE: MPLS – INTERNET - MPLS

Equipamiento Utilizado CPE’s Hardware: C881 IOS: Cisco IOS, c880data-universalk9-mz.124-24.T.bin Features: Ipsec, NHRP, OSPF Router Vendor Juniper. PE - LER Hardware: Model Srx100b y C2801 Software: JUNOS Release [10.2R3.10] y C2801-SPSERVICESK9-M), Version 12.4(15)T10, Features: OSPF, BGP, MP-BGP, MPLS, VRF, LDP. Hardware: C2801 Software: C2801-SPSERVICESK9-M), Version 12.4(15)T10, Features: OSPF, BGP, MPLS, VRF, LDP

Medidor de Desempeño de Red JPERF El software JPERF es una aplicación cuyo objetivo es generar uno o más flujos de información desde el cliente hacia el servidor, estás transmisiones se las visualiza gráficamente en la herramienta y posteriormente se obtiene o nos da el resultado del total de la carga y el tiempo de transmisión el cual será la variable a considerar para el cálculo de desempeño de los sistemas, como datos de entrada a los sistemas tenemos: el número de flujos TCP o UDP a enviar; la carga o el payload en unidades de bytes que posee cada flujo y el ancho de banda del canal a evaluar.

Aplicación de performance de red JPERF

Analizador de Protocolos Wireshark

Cálculo de MSS TCP Máx en lo Sistemas

Parámetros de Evaluación para TCP

Parámetros de Evaluación para UDP

Fragmentación en Sistema DMVPN-MPLS

Parámetros de Evaluación para VoIP

Conclusiones Los equipos de encriptación poseen un ancho de banda limitado para este proceso, fuera de este rango se vuelven inestables en cuento a desempeño, por lo que al evaluar la posibilidad de migrar de un sistema inseguro a uno encriptado con el objetivo de mantener los niveles de performance en ampliaciones de la red, implica un escalamiento, upgrades o cambio de hardware en equipamiento que sea capaz de manejar todo el procesamiento que se añade al sistema.  La eficiencia de los sistemas para aplicaciones TCP es dependiente del delay generado extremo a extremo al momento de encriptar y la eficiencia de estos sistemas IPsec-Internet y DMVPN-MPLS es dependiente directamente de la capacidad de procesamiento de los CPE’s

Para TCP se recomienda ajustar los valores de MSS y MTU a los calculados para evitar fragmentación de los paquetes y por consiguiente bajar el performance de las aplicaciones. Mientras menor sea la taza de compresión de un códec de Voip menor es la eficiencia de los sistemas encriptados versus los no encriptados. Para la encriptación de aplicaciones de tiempo real como VoIP y video se recomienda el uso de DMVPN-MPLS por la capacidad de manejo de calidad de servicio, IPsec-Internet no lo maneja.  El dimensionamiento para redes IPsec-Internet y DMVPN-MPLS se lo debe realizar evaluando directamente el troughput de encriptación que manejan los equipos CPE y llevando a segundo plano la capacidad de forwardeo o switcheo de paquetes (pps).  El dimensionamiento para redes IPVPN-MPLS se lo debe realizar evaluando directamente la capacidad de forwardeo o switcheo de paquetes (pps).

Gracias….