L2VPN и L3VPN: в чём разница и что выбрать для бизнеса?

Когда компании нужно связать офисы, филиалы, склады, дата-центры или облачные ресурсы, возникает вопрос: какой канал заказать: L2VPN или L3VPN? Обе услуги позволяют организовать частную связность между площадками, но предоставляют разные возможности для построения сети.

Выбор канала начинается с требований приложений, а не с количества офисов. Разберём, как работают обе технологии, когда они подходят и какие параметры необходимо проверить перед подключением.

В чём главное отличие L2VPN от L3VPN?

Главное различие заключается в услуге, которую получает клиент на границе своей сети и сети оператора.

При использовании L2VPN оператор предоставляет связь второго уровня. Например, Ethernet-соединение между офисом и серверной. Поверх него компания может организовать собственную IP-маршрутизацию или объединить нужные устройства в общий сетевой сегмент.

При использовании L3VPN оператор обеспечивает передачу IP-пакетов между согласованными сетями клиента. На разных площадках могут использоваться отдельные подсети, а обмен маршрутами и правила связности определяются проектом.

Скорость, задержка, резервирование и стоимость нельзя определить только по названию услуги. Эти параметры зависят от маршрута, оборудования, технической реализации и условий договора.

Что такое L2VPN и как он соединяет удалённые площадки?

L2VPN расшифровывается как Layer 2 Virtual Private Network, то есть виртуальная частная сеть второго уровня. В Ethernet-услугах она позволяет передавать кадры между площадками через инфраструктуру оператора.

Для клиента соединение может выглядеть как протяжённый Ethernet-канал: оборудование в одном офисе обменивается данными с оборудованием в другом без необходимости организовывать IP-маршрутизацию внутри самой услуги L2VPN.

Распространены два варианта:

• Соединение двух точек. Например, головного офиса и склада.
• Многоточечная L2-сеть. Несколько площадок получают связность в рамках согласованной топологии.

В операторской инфраструктуре для этого могут использоваться разные механизмы. Классические примеры: VPWS для соединений «точка-точка» и VPLS для многоточечной Ethernet-связности. В современных сетях всё чаще применяют EVPN: он переносит изучение MAC-адресов в протокол BGP и лучше подходит для многоточечных и резервируемых подключений.

Кто управляет адресацией и маршрутизацией при использовании L2VPN?

Наличие L2VPN не означает, что все компьютеры компании обязательно должны находиться в одной подсети. Канал можно использовать и для связи маршрутизаторов, которые соединяют разные локальные сети.

Обычно клиент отвечает за:

• IP-адресацию внутри своей инфраструктуры;
• маршрутизацию поверх предоставленного канала;
• настройки клиентских VLAN;
• правила доступа между внутренними сегментами;
• конфигурацию своего оборудования.

Оператор обслуживает предоставленную L2-услугу до согласованной границы ответственности. Если требуется управление клиентскими маршрутизаторами, его состав следует отдельно закрепить в договоре.

Какие ограничения L2VPN нужно учитывать?

При расширении L2-среды важно контролировать широковещательный трафик и предотвращать сетевые петли. Ошибка в одном сегменте может затронуть другие площадки, если они объединены в общий домен.

До подключения необходимо уточнить:

1. Какие VLAN можно передавать и как обрабатываются их метки.
2. Какой размер кадра поддерживается на всём маршруте.
3. Есть ли ограничение количества MAC-адресов.
4. Как передаются multicast и служебные протоколы.
5. Какие механизмы защиты от петель и избыточного трафика используются.

Формулировка «прозрачный канал» не заменяет технические условия. Поддержку необходимых функций лучше проверить до изменения рабочей сети.

Что такое L3VPN и как работает маршрутизация между площадками?

L3VPN является виртуальной частной сетью третьего уровня. В операторской услуге она обеспечивает IP-связность между площадками клиента.

Например, головной офис, склад и региональные филиалы используют разные подсети. Операторская сеть знает согласованные маршруты и передаёт пакеты между ними. При этом можно определить, какие площадки взаимодействуют напрямую, а какие получают доступ только к центральным ресурсам.

В BGP/MPLS L3VPN для разделения маршрутов используются VRF, то есть отдельные таблицы маршрутизации и пересылки. Они позволяют обслуживать разные VPN в общей инфраструктуре оператора с сохранением изоляции.

За что отвечают оператор и клиент при подключении L3VPN?

Оператор обеспечивает согласованную связность внутри предоставляемой услуги. Однако клиентские локальные сети, серверы и приложения не переходят автоматически под его управление.

До запуска нужно определить:

• кто настраивает оборудование на каждой площадке;
• какие подсети доступны через VPN;
• каким способом передаются маршруты;
• где применяются правила фильтрации;
• кто диагностирует проблемы на клиентском участке.

Особое внимание необходимо уделить пересекающейся адресации. Если два филиала используют одинаковые подсети, для их взаимодействия в одной маршрутизируемой VPN потребуется отдельное проектное решение.

Когда используются статические маршруты и BGP?

Способ обмена маршрутами выбирают по требованиям сети и возможностям оператора.

Статические маршруты подходят для схем, в которых направления передачи данных известны и меняются редко. При изменении адресации или состава площадок настройки корректируют вручную.

BGP позволяет обмениваться маршрутной информацией динамически. Он полезен, когда требуется управлять доступностью направлений, резервными подключениями и политиками маршрутизации.

Сам по себе BGP не решает все задачи отказоустойчивости. Необходимо также согласовать обнаружение отказов, таймеры и поведение оборудования при переключении.

Плюсы и минусы L2VPN и L3VPN

Как выбрать L2VPN или L3VPN под задачи компании?

Две площадки могут нуждаться в маршрутизируемой сети, а десяткам объектов могут понадобиться отдельные L2-соединения. Поэтому сначала определяют требования к взаимодействию, затем выбирают технологию.

Что выбрать для объединения офисов и филиалов?

Если требуется сохранить конкретную L2-связность или самостоятельно управлять маршрутизацией между площадками, стоит рассмотреть L2VPN.

Например, компания уже использует собственные маршрутизаторы и хочет получить Ethernet-транспорт между ними. Ей необязательно передавать оператору маршрутизацию: L2VPN может стать основой существующей схемы.

Если задача в том, чтобы связать отдельные IP-подсети филиалов и использовать операторскую маршрутизацию между ними, стоит рассмотреть L3VPN.

Практический порядок выбора:

1. Определить, какие ресурсы нужны каждой площадке.
2. Проверить, требуется ли приложениям общий L2-сегмент.
3. Решить, кто будет управлять маршрутизацией.
4. Оценить подключение новых филиалов.
5. Согласовать резервирование и параметры качества.

Доступ к 1С, телефонии или файловому серверу сам по себе не требует общей L2-среды. Многие приложения работают между маршрутизируемыми подсетями.

Что выбрать для связи между дата-центрами?

Выбор зависит от архитектуры приложений и требований к обмену данными.

L2VPN рассматривают, когда конкретному решению нужна L2-связность между площадками: например, для сохранения определённых VLAN при переносе сервисов.

L3VPN рассматривают, когда обмен между дата-центрами организуется через IP-маршрутизацию и расширять L2-сегменты не требуется.

Резервное копирование и репликация не означают автоматической необходимости L2VPN. Важно проверить требования используемого программного обеспечения, допустимую задержку и необходимую полосу.

Что выбрать для подключения к облаку?

Прямое подключение к облаку может сочетать L2-транспорт до точки стыка и маршрутизацию между корпоративными и облачными сетями.

До выбора услуги уточняют:

• какой интерфейс подключения предоставляет облачный провайдер;
• где выполняется маршрутизация;
• требуется ли BGP;
• какие облачные сети должны быть доступны;
• как организуется резервное соединение;
• не пересекается ли адресация облака и локальной инфраструктуры.

Поэтому вопрос «L2VPN или L3VPN для облака?» решают после определения полной схемы подключения.

Обеспечивают ли L2VPN и L3VPN шифрование трафика?

Изоляция и шифрование решают разные задачи. Изоляция ограничивает связность между сетями, а шифрование защищает содержание передаваемых данных.

Операторская VPN может передавать трафик по изолированной инфраструктуре без криптографической защиты. Например, архитектура BGP/MPLS L3VPN сама по себе не обеспечивает шифрование и криптографическую проверку целостности данных. Если это необходимо, применяются дополнительные механизмы защиты.

При выборе услуги задайте оператору три вопроса:

1. Включено ли шифрование в предложение?
2. Между какими устройствами оно выполняется?
3. Как оно влияет на скорость, MTU и обслуживание оборудования?

VPN-туннель через публичный интернет также может обеспечивать шифрование. Его отличие от операторской услуги следует оценивать по маршруту, гарантиям качества и ответственности поставщика, а не только по наличию защиты данных.

От чего зависят скорость, задержка и надёжность канала?

Нельзя заранее утверждать, что любой L2VPN быстрее любого L3VPN. Фактический результат определяется характеристиками подключения.

Значение имеют:

• длина и топология маршрута;
• скорость портов и согласованная полоса;
• загрузка участков сети;
• правила приоритизации трафика;
• производительность оборудования;
• наличие резервных путей.

Разным приложениям нужны разные параметры.

Приоритизация трафика может применяться и в L2-, и в L3-услугах. Возможности QoS необходимо уточнять в конкретном предложении.

Для надёжности важна независимость резервных соединений. Два канала, проходящие через один ввод или общую кабельную трассу, могут одновременно пострадать при аварии.

В SLA следует проверить доступность услуги, порядок учёта простоя, сроки реакции и восстановления, исключения и компенсации. Эти условия дополняют техническую схему резервирования.

Что дешевле: L2VPN или L3VPN?

Универсального ответа нет. Стоимость зависит от адресов, инфраструктуры на площадках, требуемой скорости и состава услуги.

Обычно в расчёте учитываются:

• организация последней мили;
• разовое подключение;
• ежемесячная плата;
• кроссировки в дата-центрах;
• оборудование и его обслуживание;
• резервные маршруты;
• дополнительные работы по управлению сетью.

Для корректного сравнения запросите два расчёта на одинаковые адреса и скорости. Также должны совпадать требования к резервированию, качеству и границам ответственности.

Оценивайте полную стоимость эксплуатации. Предложение с меньшей абонентской платой может потребовать больше времени вашей ИТ-команды. Услуга с управлением со стороны оператора может уменьшить внутреннюю нагрузку, но только если нужные работы действительно входят в договор.

Можно ли использовать L2VPN и L3VPN вместе?

Да. В одной инфраструктуре разные участки могут решать разные задачи.

Например:

• филиалы получают доступ к центральным системам через L3VPN;
• между двумя дата-центрами организуется отдельное L2-соединение для приложения, которому оно требуется;
• подключение облака строится с учётом интерфейса его провайдера.

Такая схема позволяет выбирать подходящий способ связи для каждого участка. При этом важно согласовать маршруты, адресацию, резервирование и мониторинг, чтобы комбинированная сеть оставалась понятной в эксплуатации.

Что проверить перед заказом L2VPN или L3VPN?

Перед обращением к оператору подготовьте описание задачи. Оно поможет получить сопоставимые предложения и избежать изменений проекта после подключения.

1. Укажите площадки. Адреса, точки подключения в ЦОД, облачные ресурсы и планы расширения.
2. Перечислите приложения. Телефония, учётные системы, файловые ресурсы, резервное копирование и другие сервисы.
3. Определите требования к связности. Нужна ли общая L2-среда или достаточно связи IP-подсетей.
4. Опишите текущую сеть. Адресация, VLAN, оборудование, маршрутизация и возможные пересечения подсетей.
5. Согласуйте качество. Полоса, задержка, потери, MTU, приоритизация и допустимый простой.
6. Распределите ответственность. Кто обслуживает каналы, клиентское оборудование и настройки стыков.
7. Проверьте приёмку. Как тестируются основной и резервный пути и какие результаты фиксируются.

При испытаниях полезно проверить передачу данных между реальными площадками, работу приложений и переключение на резерв. Одного подтверждения доступности порта недостаточно для оценки всей схемы.

Интеркор Нетворкс помогает организовать каналы L2VPN и корпоративные сети L3VPN. Для подбора решения укажите адреса площадок, требуемую скорость и задачи приложений. На этой основе можно определить схему подключения и рассчитать стоимость.

Автор статьи

Алексей Аношкин

Эксперт по корпоративным сетям, Интеркор Нетворкс

Проектирует каналы связи и корпоративные сети для компаний с распределённой инфраструктурой: от объединения двух офисов до связи между дата-центрами. Помогает выбрать технологию и схему резервирования и объясняет сложное простыми словами.