Preciso de um servidor VPN de alto desempenho, quem pode me dizer a diferença entre L2TP e PPTP?
Responder1
O PPTP usa um mecanismo de encapsulamento relativamente simples e usa a cifra de fluxo RC4, que é relativamente barata em termos de carga de CPU. O L2TP possui um mecanismo de encapsulamento muito mais complexo, com potencialmente até 6 camadas de encapsulamento com o túnel IPSec encapsulado usando normalmente criptografia 3DES ou (mais recentemente) AES. 3DES é relativamente eficiente quando implementado em hardware, mas minha experiência é que apenas software L2TP com 3DES tem cerca do dobro da sobrecarga de protocolos de encapsulamento mais simples, embora eu não tenha nenhuma experiência significativa com a execução de PPTP e L2TP com raiva no mesmo hardware. Com o AES, a sobrecarga da CPU deve ser menor, acredito que normalmente seja 20-30% abaixo do 3DES, mas não tenho dados concretos para comprovar isso.
No passado (2002/2003) tive a divertida tarefa de suportar uma infra-estrutura VPN composta por um grande número de Gateways VPN Intel\Shiva Netstructure 3120 e 3130suportando 60 mil usuários remotos. Grande parte da infraestrutura estava operando dentro ou próximo dos limites práticos de desempenho na época. Os próprios dispositivos eram (em sua maior parte) hardware de servidor x86 padrão com CPU Pentium III de 733 MHz e 512 MB de RAM. Esse 3130 tinha algum hardware acelerador de criptografia dedicado (para DES/3DES) e lidava facilmente com taxa de transferência criptografada de 90-95 Mbps\10K túneis simultâneos, mas o 3120 era basicamente apenas um servidor barebones sem aceleração de criptografia e gerenciava apenas cerca de 20Mbps de taxa de transferência\2K túneis simultâneos. Essa taxa de transferência foi baseada em um protocolo proprietário Shiva\Intel chamado SST, que tinha o recurso útil de exigir apenas uma única porta UDP para funcionar, mas o mesmo hardware foi capaz de lidar com cerca de 75% da taxa de transferência com IPSec V2, um pouco menos com L2TP, que foi em processo de ratificação na época. Na prática, os gateways 3120 ainda lidam facilmente com 1.000 túneis simultâneos e cerca de 10 Mbps de taxa de transferência com L2TP.
O que quero dizer é que uma implementação apenas de software de L2TP executada em uma CPU Intel Coppermine de 733 MHz de núcleo único com uma arquitetura que suportava não mais que 1 GB de largura de banda de memória por segundo foi confortavelmente capaz de lidar com taxa de transferência criptografada de 10 Mbps em um grande número de sessões simultâneas. Um servidor multi-core/multi-socket moderno terá 20-50x a potência da CPU por soquete e 20x ou mais a largura de banda da memória, então eu esperaria que esse sistema fosse capaz de suportar facilmente 1 Gbps de taxa de transferência L2TP apenas com um software solução e com qualquer hardware criptográfico, um sistema moderno deve ser capaz de fornecer velocidade de linha L2TP em múltiplas interfaces Gigabit sem nenhum problema.
Responder2
Resumindo, o L2TP é usado com IPSec e o PPTP não. L2TP é mais seguro, PPTP é mais fácil de configurar.
Responder3
Não faço ideia sobre o PPTP, mas no caso do IPSec seu desempenho irá variar dependendo da escolha da cifra de criptografia. Se você estiver usando uma caixa *nix, execute
$ velocidade do openssl
Ele avaliará seu sistema para diferentes cifras de criptografia suportadas por seu sistema.