MPLS e L2VPN: collegare più sedi come se fossero una sola rete

Un'azienda con tre sedi ha due modi per collegarle: costruire tunnel cifrati sopra internet, oppure chiedere al proprio operatore un circuito gestito sulla rete di trasporto. La seconda strada, nel mondo carrier, si chiama MPLS — e quando trasporta traffico di livello 2 prende il nome di L2VPN.

Cosa fa davvero MPLS

MPLS (Multiprotocol Label Switching) sostituisce la decisione di routing hop-by-hop con un'etichetta numerica applicata al pacchetto in ingresso alla rete dell'operatore. I router interni non guardano più l'IP di destinazione: leggono l'etichetta, la scambiano con la successiva e inoltrano il pacchetto lungo un percorso predeterminato, il LSP (Label Switched Path).

Il vantaggio non è la velocità — l'hardware moderno fa lookup IP a wire-speed senza problemi — ma il controllo. Con MPLS l'operatore decide esattamente su quale percorso fisico viaggia ogni classe di traffico, può riservare banda, può costruire percorsi di backup che convergono in decine di millisecondi e può isolare il traffico di clienti diversi sulla stessa infrastruttura.

Gli attori sono tre:

• CE (Customer Edge): il router in sede del cliente, che non sa nulla di MPLS
• PE (Provider Edge): il router dell'operatore che applica e rimuove le etichette
• P (Provider): i router del backbone, che fanno solo label switching

L3VPN e L2VPN: due modelli diversi

La differenza pratica sta in cosa attraversa il circuito.

Con una L3VPN ogni sede ha la sua sottorete e l'operatore mantiene una tabella di routing dedicata al cliente (la VRF, Virtual Routing and Forwarding). È la soluzione più scalabile per aziende con molte filiali che devono semplicemente parlarsi via IP.

Con una L2VPN invece l'operatore consegna un cavo virtuale. Due switch in città diverse si vedono come se fossero collegati direttamente: stessa VLAN, stesso dominio di broadcast, stesso piano di indirizzamento. Nella variante punto-punto si parla di pseudowire o E-Line; nella variante multipunto, dove più sedi condividono lo stesso segmento, si parla di VPLS o E-LAN.

Quando serve davvero il livello 2

La L2VPN ha un costo di progettazione superiore e va usata dove serve, non per abitudine. I casi che la giustificano:

• Cluster e storage replicato che richiedono i nodi nella stessa sottorete (heartbeat su multicast o broadcast)
• Migrazione di datacenter: spostare macchine virtuali senza cambiarne l'indirizzo IP
• Centralini e apparati legacy che usano protocolli di discovery non instradabili
• Videosorveglianza con NVR centralizzato e telecamere che non supportano configurazioni di gateway complesse

Fuori da questi casi, una L3VPN o un buon overlay IPsec fanno lo stesso lavoro con meno rischi. Il problema principale della L2VPN multipunto è che un loop di spanning tree in una sede si propaga a tutte le altre: serve disciplina sulla configurazione degli switch e storm control sulle porte di consegna.

MPLS o VPN su internet?

La scelta non è ideologica, dipende da tre parametri.

Latenza e jitter garantiti. Su un circuito MPLS l'operatore conosce il percorso e può applicare politiche di QoS end-to-end. Su internet il traffico attraversa reti di terzi e la qualità è best-effort. Per voce e videoconferenza la differenza si sente, soprattutto nelle ore di picco.

SLA contrattuale. Un circuito gestito ha tempi di ripristino definiti e penali. Una VPN su due connessioni internet ha lo SLA della connettività sottostante, che è cosa diversa.

Costo e flessibilità. Qui vince l'overlay: attivare una nuova sede con SD-WAN su linee FTTH richiede giorni, un circuito MPLS richiede settimane e costa sensibilmente di più. Molte aziende oggi adottano un modello ibrido — MPLS o L2VPN per il traffico critico, internet per il resto, con policy che spostano le sessioni in base alla qualità misurata.

Cifratura: un equivoco frequente

MPLS non cifra nulla. L'isolamento tra clienti è logico, non crittografico: il traffico è separato dalle etichette e dalle VRF, ma chi ha accesso al backbone dell'operatore vede i pacchetti in chiaro. Per i dati sensibili la cifratura va aggiunta sopra — IPsec tra i CE, TLS a livello applicativo, oppure MACsec sui collegamenti di consegna. Contrattualmente MPLS è considerato un circuito privato, il che è sufficiente per molte valutazioni di conformità, ma non sostituisce la cifratura dove la policy aziendale la richiede.

Cosa chiedere all'operatore

Prima di firmare, i punti che cambiano il risultato pratico:

• MTU della consegna: un circuito L2VPN che non supporta jumbo frame costringe a frammentare o a ridurre l'MTU sui server
• Classi di servizio disponibili e come viene marcato il traffico (DSCP a cura del cliente o rimarcato dall'operatore)
• Comportamento in caso di guasto: tempi di riconvergenza e se esiste un percorso protetto
• Consegna tagged o untagged, e se il circuito è trasparente ai tag 802.1Q del cliente
• Visibilità: accesso a grafici di utilizzo e allarmi sulla porta

Su rete Velix i collegamenti multi-sede si progettano insieme al cliente partendo da questi parametri, con consegna su fibra dedicata dove la copertura lo permette e con la possibilità di affiancare un accesso internet di backup sullo stesso apparato. Chi ha esigenze di livello 2 tra sedi siciliane può richiedere una verifica di fattibilità indicando le sedi e la banda utile per sede.