Virtual Private LAN Service con túneles GRE con IPsec

Buenas.

Cuando buscas info en la wikippedia, fijate muy bien en las referencias. En este caso hace referencias a dos RFC.

en el rfc4761

The focus in Virtual Private LAN Service is the privacy of data, i.e., that data in a VPLS is only distributed to other nodes in that VPLS and not to any external agent or other VPLS. Note that VPLS does not offer confidentiality, integrity, or authentication: VPLS packets are sent in the clear in the packet switched network, and a man-in-the-middle can eavesdrop, and may be able to inject packets into the data stream. If security is desired, the PE-to-PE tunnels can be IPsec tunnels. For more security, the end systems in the VPLS sites can use appropriate means of encryption to secure their data even before it enters the Service Provider network.

Consulta también 'Security Coinsdireations' del RFC4762 donde también indican de que el tráfico va en claro.

¿Cuál es la conclusión de todo esto? Pues que igual que L2TP/Ipsec … necesitas una capa de cifrado (Ipsec , p.e.)

Yo sólo he usado L2TP/Ipsec … hace ya muchos años… y lo que me chocó es que demasiado a menudo para las VPN's clásicas, te pedían IP fijas, por temas de certificados y tal… (en pfSesnse, había un apaño para que funcione con IP's dinámicas ) (así que ten muy en cuenta de si la VPN que vas a usar, soporta 'Road Warriors', porque el día de mañana puedes proprocionar movilidad de oficina a coste cero )

El problema de siempre de ipsec es que firma todo el paquete. si le cambias direccion de origen o de destino (por ejemplo haciendo NAT) el paquete deja de ser valido.

Lo de las direcciones de origen y destino fijas tiene mas que ver en como se ha implementado historicamente en todos los sistemas operativos, en los que le dices que encapsule todo el trafico entre una dirección y otra. Si tuvieras una implementacion que usara resolución de DNS antes de montar el nuevo paquete que va a llevar como payload tu paquete original, no habria problemas con las ips dinamicas. Pero esto no resuelve el NAT. Y nadie ha avanzado porque con l2TP se resuelven tanto los problemas de NAT como las ips dinamicas.

No hay ningun problema en montar un tunel vpls entre tus mikrotiks y encima meter ipsec, ya que puedes poner ips privadas a cada uno de los extremos (a los interfaces vpls) y marcar como ipsec lo que vaya de un lado a otro usando de remote peer las direcciones internas del tunel vpls.

Peeero… la implementacion de vpls del mikrotik usa IP para designar al peer remoto, tampoco te deja usar un nombre DNS. Asi que tampoco puedes usar ips dinamicas.

Asi que ya que tienes ips fijas ¿para qué encapsular dos veces? Montas el ipsec y a verlas venir.