VPLS ou L3VPN : relier un parc de cartes SIM à plusieurs sites

Par Aurélie, M2M Network.

En bref : le VPLS (Virtual Private LAN Service) prolonge un même réseau Ethernet entre plusieurs sites, comme s’ils étaient branchés sur un seul commutateur ; le L3VPN, ou VPN IP BGP/MPLS, relie ces sites par du routage, chaque site gardant son propre sous-réseau. Pour un parc de cartes SIM qui doit joindre un siège, des usines et un centre de supervision, le L3VPN couvre le cas général (des objets qui échangent en IP avec des serveurs) et règle site par site qui voit quoi ; le VPLS se justifie quand des équipements doivent partager le même domaine de niveau 2. Ni l’un ni l’autre ne chiffre les données.

Le point de départ : des cartes SIM et plusieurs sites

Une carte SIM d’objet connecté ouvre une session de données sur un APN (Access Point Name, le point d’accès au réseau mobile). Avec un APN dédié à un client, la norme 3GPP TS 29.061 prévoit que l’objet reçoive une adresse « appartenant à l’espace d’adressage » du réseau du client, fixée à l’abonnement ou attribuée à l’ouverture de la session (clause 11.2.1.2).

La même clause laisse ouverte la suite du trajet : entre l’opérateur mobile et le client, la communication peut passer par « n’importe quel réseau », Internet compris, la protection étant fixée par accord entre les deux parties. Quand le parc doit joindre plusieurs sites (siège, usines, centre de supervision), l’opérateur peut livrer le trafic dans un VPN porté par son propre réseau, de deux façons : en routant des paquets IP (L3VPN) ou en étendant un réseau Ethernet (VPLS). La RFC 4664, cadre des VPN de niveau 2, distingue elle-même le service point à point (VPWS) du service multipoint qui émule un LAN (VPLS).

Le L3VPN (BGP/MPLS IP VPN) : router entre les sites

Le L3VPN est décrit par la RFC 4364 (février 2006). Chaque site du client possède un équipement de bordure, le CE (Customer Edge), raccordé à un routeur de bordure de l’opérateur, le PE (Provider Edge). Les routeurs du cœur de réseau, appelés P, n’ont besoin d’aucune information de routage propre à chaque VPN : le trafic les traverse encapsulé dans MPLS, avec deux étiquettes, l’une pour le tunnel, l’autre pour la route du VPN.

Sur chaque PE, les routes d’un client sont rangées dans une table séparée, la VRF (VPN Routing and Forwarding table). C’est le sens de l’expression « VRF MPLS » : une table de routage par client, sur un réseau MPLS partagé. Deux mécanismes complètent la VRF :

  • le Route Distinguisher (RD), un préfixe de 8 octets placé devant l’adresse IPv4 pour former une adresse VPN-IPv4 de 12 octets : deux clients peuvent ainsi utiliser les mêmes adresses privées sans se confondre ;
  • le Route Target (RT), un attribut qui, selon la RFC, « peut être vu comme identifiant un ensemble de sites » : il décide quelles VRF importent quelles routes, donc quels sites peuvent se parler.

Entre le CE et le PE, les routes s’échangent par configuration statique, par RIP, par OSPF ou par BGP (section 7). Pour un parc de cartes SIM, le bloc d’adresses des cartes devient une route de plus dans le VPN du client : les sites dont la VRF importe cette route joignent les objets, les autres non. La RFC décrit aussi une topologie en étoile, « hub and spoke », construite avec deux valeurs de Route Target.

Le VPLS : un même réseau Ethernet étendu entre sites

Le VPLS est un VPN de niveau 2. Selon la RFC 4761, un VPLS « assemble plusieurs LAN distincts à travers un réseau à commutation de paquets pour qu’ils apparaissent et fonctionnent comme un seul LAN ». Les PE apprennent les adresses MAC, inondent les trames dont la destination est inconnue et envoient les trames de diffusion (broadcast) à toutes les stations du VPLS. Le CE, lui, se croit raccordé à un simple réseau commuté de niveau 2 : la RFC précise qu’il n’a besoin d’aucune modification, ni matérielle ni logicielle.

Deux signalisations : BGP (RFC 4761) ou LDP (RFC 4762)

Les deux RFC, publiées en janvier 2007, décrivent le même service avec deux plans de contrôle. La RFC 4761 utilise BGP pour découvrir automatiquement les membres d’un VPLS et établir les pseudo-fils (pseudowires) qui les relient, avec des Route Targets comme en L3VPN. La RFC 4762 utilise LDP sur un maillage complet de pseudo-fils entre PE, soit n(n-1)/2 pseudo-fils par service pour n PE, et propose un modèle hiérarchique (H-VPLS) pour les grands déploiements.

La RFC 4664 ajoute deux mises en garde. Un VPLS a les caractéristiques de montée en charge d’un LAN, et le multicast y pose des problèmes d’échelle. Il « peut imposer des délais plus longs et un transport moins fiable » qu’un LAN natif, avec des protocoles de contrôle de LAN qui n’ont pas forcément été conçus pour un réseau étendu.

L2VPN et L3VPN : la différence en un tableau

CritèreL3VPN (RFC 4364)VPLS (RFC 4761, RFC 4762)
Niveau3 : paquets IP2 : trames Ethernet
Ce que voit le clientun réseau routé, un sous-réseau par siteun seul LAN commun à tous les sites
Routageroutes échangées entre CE et PE (statique, RIP, OSPF, BGP), une VRF par clientpas de routage IP par l’opérateur : apprentissage des adresses MAC ; le routage éventuel reste chez le client
Domaine de diffusionlimité à chaque siteun seul, étendu à tous les sites : diffusion, multicast et destinations inconnues sont inondés
Trafic transportéIPtrames Ethernet, y compris non IP
Qui voit quiréglé site par site par les Route Targetstous les membres partagent le LAN ; la séparation se construit à part
Montée en chargecelle d’un réseau routécelle d’un LAN ; maillage de n(n-1)/2 pseudo-fils en LDP
Chiffrementaucun par lui-mêmeaucun par lui-même
Cas d’usageobjets IP vers serveurs, supervision, applications de gestion, cloudprotocole de niveau 2 entre sites, même sous-réseau sur plusieurs sites
Complexitéplan d’adressage et routage à concevoirbranchement simple, exploitation plus délicate quand le LAN s’étend

Quand le niveau 2 est utile

Le cas le plus net est celui d’un protocole industriel qui ne circule pas sur IP. PROFINET RT en est un exemple documenté : selon PI North America, ses trames portent l’EtherType 0x8892 et « sautent les couches TCP/IP ». La documentation de CODESYS précise que PROFINET RT « n’est pas un protocole IP » et qu’il « ne peut pas être routé ». Un L3VPN ne transporte donc pas ce trafic d’un site à l’autre ; un VPLS, qui transporte des trames Ethernet, le peut, à condition que les contraintes de temps du protocole supportent les délais d’un réseau étendu, ce dont la RFC 4664 avertit justement.

Second cas : garder le même sous-réseau IP sur plusieurs sites. Comme le VPLS fait apparaître les sites comme un seul LAN, des équipements répartis entre deux usines peuvent rester dans le même plan d’adressage, sans routeur entre eux, ce qui sert pendant une migration ou pour des équipements dont l’adressage ne peut pas être modifié.

Et les cartes SIM dans tout cela ?

Une carte SIM n’est pas un port Ethernet. En 4G, les types de session applicables à la passerelle PGW sont IPv4, IPv6, IPv4v6 et non IP (3GPP TS 29.061, clause 16.4.7.2) : l’objet échange des paquets, pas des trames. Dans un VPLS, le parc de cartes SIM 4G rejoint donc le LAN étendu à travers un routeur, en IP. Pour qu’un automate placé derrière un routeur 4G participe au domaine de niveau 2, ce routeur doit encapsuler les trames dans IP, par exemple avec VXLAN (RFC 7348).

La 5G va plus loin : la norme 3GPP TS 23.501 définit, à côté des sessions IP, un type de session Ethernet, dont le traitement en sortie dépend de la configuration de l’opérateur pour chaque DNN (clause 5.6.10.2), le DNN étant l’équivalent de l’APN en 5G (clause 5.9.6).

Quand le routage suffit, et cloisonne mieux

Quand les objets échangent en IP avec des serveurs (relevés, supervision, mises à jour), le niveau 2 n’apporte rien. Modbus TCP, par exemple, est publié par la Modbus Organization comme une messagerie Modbus sur TCP/IP : il se route comme tout trafic IP, ce qui suffit pour la télémaintenance d’automates par la 4G. Le L3VPN apporte alors trois avantages :

  • le bruit reste local : la diffusion s’arrête à chaque site, alors qu’une trame de diffusion émise dans un VPLS est envoyée à toutes ses stations (RFC 4761, section 4.2.4) ;
  • chaque flux est choisi : les Route Targets décident quels sites importent le bloc des cartes SIM, si bien que le centre de supervision peut joindre les objets sans que les usines les voient ; dans un VPLS, la séparation doit être reconstruite par des VLAN ou par du filtrage ;
  • le filtrage trouve sa place : un trafic routé franchit des points de passage identifiés, où des règles par adresse et par port s’appliquent naturellement.

Les deux familles partagent une limite : elles isolent, elles ne chiffrent pas. La RFC 4364 indique que ses méthodes « ne chiffrent pas par elles-mêmes les données », et la RFC 4761 que le VPLS « n’offre ni confidentialité, ni intégrité, ni authentification ». Pour des données sensibles, on ajoute des tunnels IPsec ou un chiffrement de bout en bout. La RFC 4761 rappelle aussi qu’un mauvais Route Target peut relier par erreur deux VPLS différents.

Ce que cela change pour les adresses des cartes SIM

Avec un APN dédié, les cartes SIM reçoivent des adresses de l’espace du client, fixes ou attribuées à chaque session ; une IP fixe privée par carte permet de joindre chaque objet depuis vos sites à travers le VPN. Le transport retenu change la façon de ranger ces adresses.

En L3VPN, le bloc des cartes SIM est un préfixe comme un autre dans votre VPN. La RFC 4364 autorise deux VPN distincts à utiliser des adresses qui se chevauchent, situation courante avec les adresses privées de la RFC 1918, mais exige qu’à l’intérieur d’un même VPN chaque adresse soit sans ambiguïté. Le bloc des cartes SIM ne doit donc recouvrir aucun sous-réseau de vos sites, actuels ou futurs : dimensionnez-le pour la croissance du parc et inscrivez-le dans votre plan d’adressage avant la première commande.

En VPLS, vos sites partagent un seul sous-réseau. Le bloc des cartes SIM reste alors un sous-réseau joint à travers un routeur raccordé au LAN étendu, et chaque site doit savoir par où passer pour l’atteindre. Les conflits d’adresses changent de place : ils n’apparaissent plus entre sites, mais à l’intérieur du LAN commun, où deux équipements de deux usines ne peuvent plus porter la même adresse.

VPLS ou L3VPN : choisir en six questions

  1. Quels protocoles doivent franchir les sites ? Si tout circule en IP, le L3VPN suffit. Si un protocole de niveau 2 doit passer d’un site à l’autre, le VPLS est la seule des deux familles qui le transporte ; vérifiez alors ses contraintes de délai.
  2. Combien de sites et d’équipements ? Un VPLS se comporte comme un LAN (RFC 4664) : plus il s’étend, plus la diffusion et l’apprentissage des adresses MAC concernent tous les sites.
  3. Qui doit voir quoi ? Si le centre de supervision doit joindre les cartes SIM mais pas les usines, ou si un prestataire ne doit accéder qu’à un site, les Route Targets du L3VPN expriment ces règles directement.
  4. Votre plan d’adressage est-il prêt ? En L3VPN : un sous-réseau par site et un bloc unique pour les cartes SIM. En VPLS : un sous-réseau partagé, où chaque adresse doit rester unique entre toutes les usines.
  5. Quel équipement sur chaque site ? En L3VPN, un routeur qui échange ses routes avec le PE. En VPLS, le CE reste inchangé ; la RFC 4762 cite des routeurs comme des commutateurs Ethernet.
  6. Faut-il chiffrer ? Ni l’un ni l’autre ne chiffre. Pour des données sensibles, prévoyez IPsec ou un chiffrement applicatif, quel que soit le transport retenu.

Rien n’oblige à retenir une seule famille : un L3VPN peut porter les cartes SIM et les serveurs, tandis qu’un VPLS reste limité aux deux usines qui partagent un protocole de niveau 2.

Ce que propose M2M Network

M2M Network place les cartes SIM de chaque client dans un réseau mobile qui lui est propre, un APN dédié, et fait passer leurs flux par un pare-feu que le client administre lui-même. Le trafic est ensuite livré jusqu’à vos sites en VPN, en MPLS ou en VPLS, ou directement dans vos environnements cloud (AWS, Azure, OVHcloud et d’autres) par une interconnexion cloud privée, sans passer par Internet. L’APN privé classique reste proposé, et le groupe MUONA héberge aussi des serveurs en France avec Guardis (ISO 27001 et HDS). Pour étudier votre raccordement (sites, protocoles, plan d’adressage), décrivez-nous votre architecture sur la page contact.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Quelle est la différence entre un L2VPN et un L3VPN ?

Un L2VPN transporte des trames Ethernet entre les sites : en point à point (VPWS) ou en multipoint comme un LAN (VPLS), selon la RFC 4664. Un L3VPN transporte des paquets IP et route entre les sites, avec une table de routage séparée par client sur chaque routeur de l’opérateur (RFC 4364). Le premier étend un réseau local, le second relie des sous-réseaux distincts.

Qu’est-ce qu’une VRF dans un réseau MPLS ?

Une VRF (VPN Routing and Forwarding table) est une table de routage propre à un client, tenue par le routeur de bordure de l’opérateur (PE). Le Route Distinguisher, de 8 octets, permet à deux clients d’utiliser les mêmes adresses privées, et le Route Target désigne les sites qui importent ces routes. Ces mécanismes sont définis par la RFC 4364.

Le VPLS et le L3VPN chiffrent-ils les données des cartes SIM ?

Non. La RFC 4364 précise que ses VPN ne chiffrent pas les données par eux-mêmes, et la RFC 4761 que le VPLS n’offre ni confidentialité, ni intégrité, ni authentification. Ils isolent le trafic d’un client de celui des autres ; pour des données sensibles, il faut ajouter IPsec ou un chiffrement applicatif.

Une carte SIM peut-elle faire partie d’un VPLS ?

En 4G, une carte SIM ouvre une session IP ou non IP, pas Ethernet (3GPP TS 29.061) : elle rejoint le LAN étendu à travers un routeur. Pour qu’un équipement derrière un routeur 4G participe au domaine de niveau 2, le routeur doit encapsuler les trames, par exemple en VXLAN. La 5G définit un type de session Ethernet (3GPP TS 23.501), dont la mise en œuvre dépend de l’opérateur.

VPLS ou L3VPN : lequel choisir pour des objets connectés sur plusieurs sites ?

Si les objets échangent en IP avec des serveurs, le L3VPN suffit et permet de régler site par site qui voit le parc de cartes SIM. Le VPLS se justifie quand un protocole de niveau 2, comme PROFINET RT, doit passer d’un site à l’autre, ou quand plusieurs sites doivent partager le même sous-réseau.

Sources