El tránsito IP se entrega normalmente con un cable: un cross-connect en un datacenter o un circuito hasta tu sede. Pero existe otra forma de recibirlo sin conexión física con el proveedor: a través de un túnel sobre una conexión a internet que ya tienes. Es más limitado que un circuito dedicado, pero resuelve casos muy concretos.
Cómo funciona
Un túnel es una conexión virtual entre tu router y el del proveedor de tránsito, que viaja por encima de internet. Para los dos routers, el túnel se comporta como un enlace directo: tienen una dirección IP en cada extremo y pueden establecer una sesión BGP por él.
Por esa sesión anuncias tus prefijos con tu propio ASN y recibes rutas, igual que en un tránsito convencional. La diferencia es que los paquetes, en lugar de ir por un cable dedicado, van encapsulados dentro de otros paquetes que cruzan internet por tu conexión actual.
Con ASN o sin ASN
El túnel admite dos formas de uso, y para la segunda no hace falta tener recursos propios.
- Con tu ASN y BGP. Anuncias tus prefijos por la sesión BGP del túnel. Es la opción si ya tienes ASN y rangos, o si quieres multihoming.
- Sin ASN. El proveedor te asigna direcciones IP públicas suyas y las enruta por el túnel hasta tu router, sin BGP. Tú las usas en tus equipos o las repartes entre tus clientes.
La segunda opción es la más sencilla: basta un router que soporte el túnel. Si más adelante consigues tu ASN, se pasa a BGP sobre el mismo túnel.
Para qué sirve
- Necesitas direcciones IP públicas y tu conexión no te las da. Tu línea está detrás de CGNAT o solo tiene una dirección. Por el túnel recibes un rango público, sin necesidad de ASN.
- Tienes ASN y prefijos, pero no estás en un datacenter. Un túnel te permite anunciarlos sin contratar un circuito ni alojar un router.
- Quieres una salida de respaldo. Un túnel sobre una segunda conexión mantiene tus prefijos anunciados si cae la salida principal.
- Tu proveedor de acceso no ofrece BGP. Tienes buena conexión, pero solo te dan una dirección fija. El túnel te da la sesión BGP que te falta.
- Estás probando. Acabas de recibir tu ASN y quieres verificar anuncios, filtros y RPKI antes de contratar un circuito.
- Necesitas mover tus direcciones. Quieres usar tu rango en un servidor o una sede remota sin depender del proveedor local.
Tipos de túnel
GRE
Es el más usado para este fin. Lo soportan casi todos los routers, es sencillo de configurar y transporta IPv4 e IPv6. No cifra el tráfico. Añade 24 bytes a cada paquete.
IPIP
Más simple aún que GRE y con algo menos de sobrecarga, 20 bytes. Solo transporta un protocolo por túnel, así que necesitas uno para IPv4 y otro para IPv6.
GRE sobre IPsec
Un túnel GRE protegido con cifrado IPsec. Añade confidencialidad y autenticación de los extremos, a cambio de más sobrecarga y más trabajo para el procesador.
WireGuard
Un túnel cifrado moderno y ligero. Funciona sobre UDP, por lo que atraviesa mejor los cortafuegos y el NAT. Añade entre 60 y 80 bytes por paquete. No todos los routers de operador lo soportan.
¿Hace falta cifrar?
Para tránsito IP, normalmente no. El tráfico que viaja por el túnel es tráfico de internet, que ya es público y que tus usuarios cifran por su cuenta. El cifrado tiene sentido si necesitas autenticar los extremos o si el túnel atraviesa un NAT.
El problema del MTU
Es la causa de casi todos los fallos en túneles, y conviene resolverlo desde el primer día.
Un paquete de internet mide como máximo 1.500 bytes. Si le añades la cabecera del túnel, ya no cabe. Con GRE, el espacio útil baja a 1.476 bytes; con IPIP, a 1.480; con WireGuard, a unos 1.420 o 1.440.
Si no lo ajustas, los paquetes grandes se fragmentan o se descartan. El síntoma es desconcertante: el ping funciona, las webs pequeñas cargan, pero algunas páginas se quedan a medias y las descargas se cuelgan.
La solución tiene dos partes:
- Configura el MTU correcto en la interfaz del túnel. Por ejemplo, 1.476 para GRE sobre una conexión de 1.500.
- Ajusta el tamaño máximo de segmento TCP (MSS) en el router para el tráfico que atraviesa el túnel. Para GRE, 1.436 en IPv4. Así las conexiones TCP negocian desde el principio un tamaño que cabe.
Si tu conexión de base ya tiene un MTU menor de 1.500, como ocurre con algunas líneas PPPoE, resta también esa diferencia.
Otras limitaciones
- No hay garantía de extremo a extremo. El túnel depende de tu conexión de base. Si esa conexión se satura o falla, el túnel también. El proveedor de tránsito no puede darte un SLA sobre un tramo que no controla.
- La capacidad es la de tu conexión. Un túnel sobre una línea de 300 Mbps nunca dará más de 300 Mbps, y normalmente algo menos.
- Más latencia. El tráfico da un rodeo: va primero hasta el proveedor del túnel y desde allí a su destino.
- Consumo de procesador. Encapsular cada paquete cuesta. En routers pequeños, el límite real del túnel puede ser el procesador y no la línea.
- Necesitas una dirección pública fija en tu extremo, salvo con túneles que toleran NAT, como WireGuard.
El error clásico: el túnel que se tumba a sí mismo
El extremo del túnel es una dirección IP del proveedor. Tu router tiene que llegar a ella por tu conexión de base, nunca por el propio túnel.
Si recibes por BGP una ruta que cubre esa dirección y tu router la prefiere, intentará alcanzar el extremo del túnel a través del túnel. El túnel cae, la ruta desaparece, el túnel vuelve a levantarse y el ciclo se repite cada pocos segundos.
Se evita con una ruta estática hacia el extremo del túnel por tu conexión de base, o filtrando ese prefijo en la sesión BGP.
Buenas prácticas
- Vigila el túnel. Activa los mensajes de comprobación del túnel o BFD para detectar una caída en segundos.
- Filtra en origen. Acepta tráfico del túnel solo desde la dirección del proveedor.
- Mide antes de migrar. Prueba latencia, pérdida y velocidad real con tráfico de verdad.
- Pide ruta por defecto si tu router es modesto. Lo explicamos en tabla BGP completa o ruta por defecto.
Túnel o circuito dedicado
| Túnel | Circuito dedicado | |
|---|---|---|
| Puesta en marcha | Días | Semanas |
| Coste | Bajo | Mayor |
| Capacidad | La de tu conexión de base | La contratada, garantizada |
| Disponibilidad | Sin garantía de extremo a extremo | Con SLA |
| Uso recomendado | Respaldo, pruebas, redes pequeñas | Salida principal de un operador |
Para la salida principal de un ISP con abonados, un túnel no sustituye a un circuito. Para empezar a anunciar tus prefijos, para tener un respaldo o para una red pequeña, es una solución rápida y económica.
Siguiente paso
En Zentix entregamos tránsito IP por túnel, con GRE y otros tipos de túnel según tu equipo, tanto con tu ASN y BGP como sin ASN, con direcciones nuestras. Cuéntanos tu caso y te decimos qué opción encaja.
Para la salida principal de tu red, mira nuestro tránsito IP con entrega en datacenter y la fibra dedicada para operadores. Y si quieres tener recursos propios, empieza por cómo conseguir un ASN y direcciones IP en RIPE.
