Cuando se habla de tra­n­s­mi­sión de datos se di­fe­re­n­cian fu­n­da­me­n­ta­l­me­n­te dos tipos. En la tra­n­s­mi­sión no orientada a conexión, los datos pueden enviarse al sistema de destino desde el terminal que se desee en cualquier momento y sin límite, sin que el camino del paquete tenga que estar definido desde el principio. Cada nodo in­te­r­me­dio (ge­ne­ra­l­me­n­te, routers) sabe de forma au­to­má­ti­ca cómo reenviar el flujo de datos. Si bien los servicios no orie­n­ta­dos a conexión ofrecen una gran fle­xi­bi­li­dad, no aseguran que los recursos ne­ce­sa­rios estén efe­c­ti­va­me­n­te di­s­po­ni­bles.

Por el contrario, en el caso de la tra­n­s­mi­sión orientada a conexión, el camino de los paquetes de datos se conoce de antemano. Los nodos im­pli­ca­dos, ge­ne­ra­l­me­n­te co­n­mu­ta­do­res, obtienen de la estación que les precede la in­fo­r­ma­ción necesaria para reenviar los datos hasta que los paquetes llegan al ordenador de destino al final de la ruta. Este método agiliza en gran medida el largo proceso de en­ru­ta­mie­n­to propio de los servicios no orie­n­ta­dos a conexión. De esta forma, además, se pueden controlar y repartir los recursos de red de una forma óptima. El llamado Mu­l­ti­pro­to­col Label Switching (MPLS) o co­n­mu­ta­ción de etiquetas mu­l­ti­pro­to­co­lo permite aplicar este método también en redes TCP/IP a pesar de entrar en la categoría de redes no orie­n­ta­das a conexión.

¿Qué es el MPLS?: in­tro­du­c­ción a la co­n­mu­ta­ción de etiquetas mu­l­ti­pro­to­co­lo

A mediados de los años noventa, las grandes redes aún se ca­ra­c­te­ri­za­ban por una mayor pa­r­ti­ci­pa­ción de la telefonía frente a la co­mu­ni­ca­ción por datos. En aquel entonces los pro­vee­do­res de te­le­co­mu­ni­ca­cio­nes operaban redes separadas para ambos tipos de tra­n­s­mi­sión, lo que, por un lado, resultaba en un alto coste fi­na­n­cie­ro y, por el otro, no ga­ra­n­ti­za­ba una calidad general del servicio (Quality of Service, QoS). Frente a las cua­li­ta­ti­va­me­n­te ex­ce­le­n­tes redes de voz orie­n­ta­das a conexión, las redes de datos no orie­n­ta­das a conexión carecían de la amplitud de banda necesaria. La in­tro­du­c­ción del protocolo ATM (As­y­n­ch­ro­nous Transfer Mode) pudo resolver esta pro­ble­má­ti­ca en su mayor parte, ya que permitía tra­n­s­mi­tir habla y datos a través de una única in­frae­s­tru­c­tu­ra, pero fue el Mu­l­ti­pro­to­col Label Switching (MPLS) el que ofreció a finales de los 1990 la solución de­fi­ni­ti­va que permitió utilizar los anchos de banda di­s­po­ni­bles de forma eficiente.

Para llevarlo a cabo, MPLS de­s­co­n­ge­s­tio­nó unos sistemas de en­ru­ta­mie­n­to que so­po­r­ta­ban una enorme carga: en lugar de dejar que sean las es­ta­cio­nes in­te­r­me­dias las que de­te­r­mi­nen la mejor ruta del paquete de datos como venía siendo habitual hasta el momento, este método ofrecía la po­si­bi­li­dad de pre­de­fi­nir rutas que es­ta­ble­cie­ran el camino que debía seguir un paquete desde el punto de ingreso (ingress router) al punto de egreso (egress router). Las es­ta­cio­nes in­te­r­me­dias (en­ru­ta­do­res de co­n­mu­ta­ción de etiquetas o Label Switched Router, LSR) reconocen esta ruta al examinar las etiquetas con la in­fo­r­ma­ción de en­ru­ta­mie­n­to y de servicio asignadas a cada paquete. Esta eva­lua­ción tiene lugar con ayuda del hardware adecuado (un co­n­mu­ta­dor, p. ej.) por encima de la capa de enlace de datos (capa 2 del modelo OSI), mientras que el en­ru­ta­mie­n­to en el nivel de red (capa 3) des­apa­re­ce.

Gracias a la extensión Ge­ne­ra­li­zed MPLS, esta técnica, ori­gi­na­ria­me­n­te de­sa­rro­lla­da solo para redes IP, también está di­s­po­ni­ble para otros tipos de red como SONET/SDH (Sy­n­ch­ro­nous Optical Ne­t­wo­r­ki­ng / Sy­n­ch­ro­nous Digital Hierarchy) o WSON (Wa­ve­le­n­g­th Switched Optical Network).

¿Cómo funciona el Mu­l­ti­pro­to­col Label Switching?

La in­te­r­ve­n­ción del MPLS en redes IP requiere la exi­s­te­n­cia de una in­frae­s­tru­c­tu­ra lógica y física compuesta por routers ha­bi­li­ta­dos para ello. En ellas este método opera de manera pre­fe­re­n­te dentro de un sistema autónomo (AS): un conjunto de redes IP ge­s­tio­na­das como una unidad y co­ne­c­ta­das por al menos un protocolo de puerta de enlace interior (Interior Gateway Protocol, IGP). Los ad­mi­ni­s­tra­do­res de tales sistemas suelen ser pro­vee­do­res de Internet, uni­ve­r­si­da­des o compañías de alcance in­te­r­na­cio­nal.

Antes de es­ta­ble­cer las rutas, el IGP ha de procurar que todos los routers del sistema autónomo puedan en­co­n­trar­se unos a otros. Se­gui­da­me­n­te se de­te­r­mi­nan las rutas pri­n­ci­pa­les, también llamadas Label Switched Paths (LSP). Los me­n­cio­na­dos routers de ingreso y egreso suelen estar situados en las entradas y las salidas de un sistema y las LSP se pueden activar de manera manual, au­to­má­ti­ca o se­mi­au­to­má­ti­ca:

  • Co­n­fi­gu­ra­ción manual: cada nodo por el que pasa una LSP debe co­n­fi­gu­rar­se por separado, pro­ce­di­mie­n­to ineficaz en el caso de grandes redes.
  • Co­n­fi­gu­ra­ción se­mi­au­to­má­ti­ca: solo se deben co­n­fi­gu­rar ma­nua­l­me­n­te algunas es­ta­cio­nes (los tres primeros hops, por ejemplo), mientras que el resto de las LSP obtiene la in­fo­r­ma­ción del IGP.
  • Co­n­fi­gu­ra­ción au­to­má­ti­ca: en este caso es el IGP el que define la ruta por completo, aunque sin atender a criterios de op­ti­mi­za­ción.

Los paquetes de datos que se envían dentro de una red MPLS obtienen una cabecera MPLS del router de ingreso que se intercala entre los datos de la segunda y la tercera capa en la de­no­mi­na­da operación Push. Durante la tra­n­s­mi­sión, cada uno de los nodos im­pli­ca­dos en la ruta del paquete (LSR) sustituye (conmuta) la etiqueta por una variante que incluye sus propios datos de conexión (latencia, ancho de banda y hop de destino), lo que se denomina a menudo como operación Swap. Al final del trayecto la etiqueta se elimina de la cabecera IP (operación POP).

Así se compone la cabecera del Mu­l­ti­pro­to­col Label Switching

MPLS amplía la cabecera IP con la llamada MPLS Label Stack Entry (pila de etiquetas MPLS), también conocida como MPLS Shim Header y que se intercala entre las cabeceras de las capas 2 y 3. Con una longitud de 4 bytes (32 bits) esta entrada es muy breve, por lo que se puede procesar rá­pi­da­me­n­te. Esta es su es­tru­c­tu­ra:

Los 32 bits de la pila de etiquetas MPLS añaden a un paquete IP estos cuatro datos para el siguiente hop:

  • Label (etiqueta): la etiqueta contiene la in­fo­r­ma­ción central de la cabecera MPLS, razón por la cual co­n­s­ti­tu­ye, con 20 bits, la parte más larga de la cabecera. Como ya se mencionó, una etiqueta es siempre única y por ello media úni­ca­me­n­te entre dos de­te­r­mi­na­dos routers. A co­n­ti­nua­ción se edita como co­rre­s­po­n­de para ser tra­n­s­mi­ti­do hacia el siguiente nodo.
  • Traffic Class (TC): con ayuda de este campo la cabecera informa sobre Di­f­fe­re­n­tia­ted Services (DiffServ) y se puede utilizar para cla­si­fi­car paquetes IP en función de su im­po­r­ta­n­cia con el objetivo de ga­ra­n­ti­zar la calidad del servicio: estos 3 bits podrían servir para priorizar a un paquete de datos sobre el resto o para cla­si­fi­car­lo como se­cu­n­da­rio.
  • Bottom of Stack (S): este único bit define si la ruta de tra­n­s­mi­sión más profunda es una ruta simple o está compuesta por varias LSP in­te­r­ca­la­das entre sí porque, si este fuera el caso, el paquete estaría marcado por varias etiquetas agrupadas en una pila (Label stack). Este campo informa al router, en de­fi­ni­ti­va, de si aún siguen más etiquetas (S=0) o si, por el contrario, la entrada contiene la última etiqueta MPLS de la pila (S=1).
  • Time to live (TTL): los últimos 8 bits de la entrada muestran la vida útil del paquete de datos de­fi­nie­n­do los routers que el paquete aún puede recorrer (el límite se sitúa en los 255).

¿Cuál es el papel del MPLS en la ac­tua­li­dad?

En la década de 1990 el MPLS fue de gran ayuda para los pro­vee­do­res a la hora de desplegar y ampliar sus redes, aunque su mayor velocidad en la tra­n­s­mi­sión de datos pronto re­tro­ce­dió a un segundo plano con la entrada en juego de la nueva ge­ne­ra­ción de routers de mayor re­n­di­mie­n­to con pro­ce­sa­dor de red integrado. No obstante, hoy sigue siendo utilizado por muchos ope­ra­do­res como método con el que ga­ra­n­ti­zar la calidad del servicio en el marco de la llamada in­ge­nie­ría o gestión de tráfico (Traffic en­gi­nee­ri­ng, TE), un proceso que se ocupa del análisis y la op­ti­mi­za­ción de flujos de datos y en el cual, además de la cla­si­fi­ca­ción de cada conexión de datos, también tiene lugar un análisis del ancho de banda y de la capacidad de cada elemento de red. En función de los re­su­l­ta­dos de este análisis, la carga de datos se di­s­tri­bu­ye de la forma más co­n­ve­nie­n­te con el propósito de fo­r­ta­le­cer la red entera. Otro ámbito de apli­ca­ción muy extendido de la co­n­mu­ta­ción de etiquetas mu­l­ti­pro­to­co­lo son las redes virtuales privadas o VPN redes aisladas de co­mu­ni­ca­ción que utilizan in­frae­s­tru­c­tu­ras de red, como Internet, como medio de tra­n­s­po­r­te. Esto permite a los di­s­po­si­ti­vos co­ne­c­tar­se a una red sin que estén fí­si­ca­me­n­te co­ne­c­ta­dos entre sí. Se di­fe­re­n­cian bá­si­ca­me­n­te dos tipos de redes virtuales MPLS:

  • VPN en la capa 2: las redes privadas en el nivel de enlace de datos pueden ser co­n­ce­bi­das para co­ne­xio­nes punto a punto o para el acceso remoto. Para el usuario de estas VPN, la capa 2 funciona de interfaz para es­ta­ble­cer la conexión. Los pro­to­co­los básicos son el Point-to-Point Tunneling Protocol (PPTP) o el Layer 2 Tunneling Protocol (L2TP). De este modo los pro­vee­do­res de servicios tienen la po­si­bi­li­dad de ofrecer a sus clientes servicios similares a SDH y Ethernet.
  • VPN en la capa 3: estas redes re­pre­se­n­tan para los pro­vee­do­res de servicios una solución asequible para ofrecer a di­fe­re­n­tes clientes (in­de­pe­n­die­n­te­me­n­te de los rangos privados de di­re­c­cio­nes IP) es­tru­c­tu­ras de red co­m­ple­ta­me­n­te enrutadas erigidas sobre una única in­frae­s­tru­c­tu­ra IP. La gestión in­de­pe­n­die­n­te de los clientes mediante etiquetas MPLS in­di­vi­dua­les y rutas de paquetes pre­de­fi­ni­das ga­ra­n­ti­zan la calidad del servicio (los nodos no enrutan en este caso).

Los ope­ra­do­res de grandes redes WAN (Wide Area Network) obtienen beneficio de las ofertas de pro­vee­do­res basadas en MPLS porque, co­n­fi­gu­ra­das co­rre­c­ta­me­n­te, las Label Switched Paths optimizan el tráfico de datos y ga­ra­n­ti­zan que todos los usuarios dispongan siempre del ancho de banda que necesitan sin un gran coste. El método también co­n­s­ti­tu­ye una solución adecuada para redes uni­ve­r­si­ta­rias internas o para redes co­r­po­ra­ti­vas, siempre y cuando se cuente con el pre­su­pue­s­to su­fi­cie­n­te.

Ventajas de las VPN con MPLS

La co­n­mu­ta­ción de etiquetas mu­l­ti­pro­to­co­lo compite como te­c­no­lo­gía para redes virtuales con la extensión de la pila de pro­to­co­los IP IPsec. La ac­tua­li­za­ción de seguridad del protocolo de Internet se ca­ra­c­te­ri­za en especial por sus propios me­ca­ni­s­mos de cifrado y su bajo coste, pero la rea­li­za­ción de la in­frae­s­tru­c­tu­ra con IPsec no es re­s­po­n­sa­bi­li­dad del proveedor sino del mismo usuario, por lo que, a di­fe­re­n­cia del método MPLS, implica más trabajo por su parte. A este respecto el método MPLS ofrece una clara ventaja, pero además se pueden enumerar las si­guie­n­tes:

  • Escaso ma­n­te­ni­mie­n­to: operar una red MPLS es re­s­po­n­sa­bi­li­dad del proveedor, como también la co­n­fi­gu­ra­ción IP y el en­ru­ta­mie­n­to. El cliente se beneficia entonces de una in­frae­s­tru­c­tu­ra acabada, aho­rrá­n­do­se así el esfuerzo de desplegar una red propia.
  • Re­n­di­mie­n­to excelente: al estar definidas de antemano, las rutas de los datos proveen a la tra­n­s­mi­sión de una elevada velocidad sometida solo a escasas va­ria­cio­nes. Los acuerdos del nivel de servicio (SLA, Service Level Agree­me­nts) entre el proveedor y el cliente ga­ra­n­ti­zan obtener el ancho de banda deseado y un soporte agilizado en caso de fallo.
  • Gran fle­xi­bi­li­dad: las redes VPN basadas en MPLS ga­ra­n­ti­zan a los pro­vee­do­res de Internet un amplio margen de maniobra en la cuestión del reparto de recursos, lo que al final también beneficia al cliente. Los pro­vee­do­res pueden, con este método, acordar paquetes es­pe­cí­fi­cos de pre­s­ta­cio­nes y escalar las redes siempre que se necesite.
  • Po­si­bi­li­dad de priorizar servicios: gracias a la in­frae­s­tru­c­tu­ra MPLS, los pro­vee­do­res pueden ofrecer di­fe­re­n­tes niveles de QoS porque en ella el ancho de banda alquilado no es estático sino cla­si­fi­ca­ble (Class of Service). De esta forma se pueden priorizar algunos servicios como VoIP para ga­ra­n­ti­zar la es­ta­bi­li­dad de la tra­n­s­mi­sión.

¿En qué medida son seguras las redes MPLS?

Las ventajas del MPLS y de las VPN basadas en esta te­c­no­lo­gía son es­pe­cia­l­me­n­te in­te­re­sa­n­tes para empresas e in­s­ti­tu­cio­nes de­s­lo­ca­li­za­das que quieren ofrecer a sus clientes acceso a su red. Esto convierte a estas redes en la primera opción cuando se trata de diseñar la in­frae­s­tru­c­tu­ra in­fo­r­má­ti­ca co­r­po­ra­ti­va en estos casos porque permiten a los usuarios co­ne­c­tar­se a la red sin requerir una conexión física o di­re­c­cio­nes IP públicas y en­ru­ta­bles en Internet. A una VPN basada en MPLS solo pueden acceder los usuarios que disponen de los datos ne­ce­sa­rios para es­ta­ble­cer la conexión, pero este hecho por sí solo no convierte a las redes virtuales en inmunes ante un acceso no au­to­ri­za­do. La de­no­mi­na­ción como “privada” en el caso de las redes virtuales no hace re­fe­re­n­cia al cifrado o la pro­te­c­ción, sino única y ex­clu­si­va­me­n­te al hecho de que las di­re­c­cio­nes IP que se utilizan en ella solo son ac­ce­si­bles de forma interna. Si no se cifrara el in­te­r­ca­m­bio de co­mu­ni­ca­ción, toda la in­fo­r­ma­ción podría ser filtrada fá­ci­l­me­n­te, si bien la ce­r­ti­fi­ca­ción tampoco ofrece una pro­te­c­ción absoluta si al tráfico normal de Internet entre la red y las LAN cliente tiene lugar a través del router del operador situado en el borde de la red (también llamado Provider Edge o PE). A co­n­ti­nua­ción se enumeran algunos de los posibles riesgos im­pli­ca­dos en el uso de in­frae­s­tru­c­tu­ras MPLS:

  • Los paquetes MPLS llegan a la VPN equi­vo­ca­da: a menudo hay errores de software y de co­n­fi­gu­ra­ción que pueden hacer que los paquetes IP con etiqueta MPLS abandonen su red VPN y aparezcan en otra. En este caso el router ha conducido los paquetes erró­nea­me­n­te a sistemas que no son fiables pero para los cuales existe una ruta IP. También es posible que los paquetes de datos sean desviados a propósito a otra red VPN con una etiqueta ma­ni­pu­la­da (MPLS-Label Spoofing) si el enrutador de borde los acepta.
  • Conexión de un router de borde sin permiso: si a la in­frae­s­tru­c­tu­ra MPLS se conectan varias VPN se corre el riesgo de que un router de borde se integre en la VPN de otro cliente sin au­to­ri­za­ción. Esto podría tener el origen en una mala co­n­fi­gu­ra­ción, pero también en un ataque pre­me­di­ta­do. Con ello es posible llevar a cabo otros ataques desde la red con gran facilidad.
  • La es­tru­c­tu­ra lógica de la red del proveedor permanece a la vista: si un atacante es capaz de acceder a la es­tru­c­tu­ra lógica de la red MPLS que ha de­s­ple­ga­do el proveedor de servicios, los ataques al router de borde dejan de ser algo im­pro­ba­ble, en especial si sus di­re­c­cio­nes son visibles.
  • Ataque de de­ne­ga­ción de servicio en el router PE: en su calidad de en­cru­ci­ja­da decisiva para las redes, el router de borde del operador (PE router) es un objetivo es­pe­cia­l­me­n­te vu­l­ne­ra­ble a ataques Denial of Service que ponen en peligro la di­s­po­ni­bi­li­dad del servicio de la VPN. En este contexto serían posibles, por un lado, las ac­tua­li­za­cio­nes continuas del en­ru­ta­mie­n­to con EIGRP (Enhanced Interior Gateway Routing Protocol) o OSPF (Open Shortest Path First) y por el otro la so­bre­ca­r­ga del router enviando paquetes pequeños de datos en masa.

Como vemos, toda VPN debería contar con me­ca­ni­s­mos de pro­te­c­ción que, sumados al cifrado, aseguren a los routers de borde del proveedor de ataques externos. En este punto es re­co­me­n­da­ble la in­s­ta­la­ción de una zona de­s­mi­li­ta­ri­za­da entre dos co­r­ta­fue­gos y la uti­li­za­ción de sistemas de su­pe­r­vi­sión de la red. Por último, la ac­tua­li­za­ción regular del hardware y el software así como las medidas de seguridad contra ataques físicos a las puertas de enlace deberían formar parte del estándar de pro­te­c­ción.

Ir al menú principal