Protocole de transmission sous tunnel point à point

(Point-to-Point Tunneling Protocol - PPTP)

Statut de ce mémo

Ce mémo procure une information à la communauté internet. il ne spécifie en aucun cas un standard internet. La distribution de ce mémo est libre.

Copyright

Copyright (C) The Internet Society (1999). Tous droits réservés.

Notes de traduction

Le texte original est traduit aussi fidèlement que possible, Les acronymes issus de mots anglais sont conservés tel quels mais généralement explicités à leur première occurrence. Des notes de traduction (N.D.T.) peuvent préciser des concepts qui se décrivent en anglais avec un seul mot ainsi que des caractéristiques ou exceptions françaises.

Note de l'IESG

Le protocole PPTP a été développé par un consortium de fabricants. La documentation de PPTP est fournie pour l'information de la communauté internet. Le groupe de travail PPP est en train de définir un protocole standard (L2TP) pour le transport de PPP dans un tunnel au sein d'un réseau par commutation de paquets. (N.D.T. C'est devenu PPoE)

Généralités

Ce document spécifie un protocole qui permet au Protocole Point à Point (PPP) d'être transporté dans un tunnel au travers d'un réseau IP (Protocole internet). PPTP n'apporte aucun changement au protocole PPP mais décrit plutôt un nouveau moyen de transporter PPP. Une architecture client-serveur est définie en vue de séparer les fonctions qui existent dans un serveur d'accès réseau (NAS) existant et les réseau privés virtuels (VPN). Le serveur réseau PPTP (PNS) est conçu pour fonctionner avec un système d'exploitation polyvalent tandis que le client, connu sous le nom de concentrateur d'accès PPTP (PAC) fonctionne sur une plate-forme d'accès téléphonique. PPTP spécifie un protocole de contrôle et de gestion des appels qui permet au serveur de contrôler les circuits de numérotation analogiques ou numériques afin de générer un appel sortant. Pour fournir un contrôle du flux et des encombrements, PPTP utilise un mécanisme GRE avancé (Encapsulation de routage générique) d'encapsulation des datagrammes pour le transport des paquets PPP.

Règles de base

Dans ce document, les mots clés « PEUT », « DOIT », « NE DOIT PAS », « OPTIONNEL », RECOMMENDE » doivent être interprétés comme décrit en [12].

Le mot « rejeté », quand il est utilisé par rapport à l'attitude d'une implémentation devant la réception d'un paquet, doit être interprété comme suit : l'implémentation rejette le datagramme sans autre action et sans prévenir l'expéditeur. L'implémentation DEVRAIT procurer la possibilité de journaliser l'erreur avec le contenu du datagramme rejeté et DEVRAIT enregistrer cet événement dans un compteur statistique.

Table des matières

1. Introduction
1.1. Buts et définition du protocole
1.2. Terminologie
1.3. Vue générale du protocole
1.3.1. Vue générale du protocole de liaison de contrôle
1.3.2. Vue générale du protocole de tunnel
1.4. Format des messages et extensibilité du protocole
2. Spécifications du protocole de liaison de contrôle
2.1. Établissement de liaison de contrôle-Demande
2.2. Établissement de liaison de contrôle-Réponse
2.3. Fermeture de liaison de contrôle-Demande
2.4. Fermeture de liaison de contrôle-Réponse
2.5. Écho-Demande
2.6. Écho-Réponse
2.7. Appel sortant-Demande
2.8. Appel sortant-Réponse
2.9. Appel entrant-Demande
2.10. Appel entrant-Réponse
2.11. Appel entrant-Connecté
2.12. Fin d'appel-Demande
2.13. Appel terminé-Notification
2.14. Erreur WAN (Réseau étendu)-Notification
2.15. Paramètrage lien-Info
2.16. Codes des erreurs générales
3. Fonctionnement du protocole de liaison de contrôle
3.1. États de la liaison de contrôle
3.1.1. Initiateur de la liaison de contrôle (PAC ou PNS)
3.1.2. Destinataire de la liaison de contrôle (PAC ou PNS)
3.1.3. Collision de la demande d'établissement de liaison de contrôle par l'initiateur
3.1.4. « Maintien de connexion » et temporisations
3.2. États d'un appel
3.2.1. Considérations sur les temporisations
3.2.2. Valeur des identificateurs d'appel
3.2.3. Appels entrants
3.2.3.1. PAC États des appels entrants
3.2.3.2. PNS États des appels entrants
3.2.4. Appels sortants
3.2.4.1. PAC États des appels sortants
3.2.4.2. PNS États des appels sortants
4. Fonctionnement du protocole de tunnel
4.1. En-tête GRE étendu
4.2. Protocole de « fenêtre coulissante »
4.2.1. Taille initiale de la fenêtre
4.2.2. Rétrécissement de la fenêtre
4.2.3. Élargissement de la fenêtre
4.2.4. Débordement de la fenêtre
4.2.5. Acquittement de paquets multiples
4.3. Paquets hors séquence
4.4. Temporisation d'acquittement
4.4.1. Calcul évolutif des temporisations d'acquittement
4.4.2. Contrôle des encombrements: Réglage des temporisations
5. Considérations de sécurité
6. Adresses des auteurs
7. Références
8. Copyright intégral

1. Introduction

PPTP permet de séparer les fonctions d'un serveur d'accès réseau (NAS) grâce à une architecture client-serveur. Traditionnellement les fonctions suivantes sont implémentées dans un NAS:

1) Interfaçage physique avec le PSTN (Réseau téléphonique analogique) ou l'ISDN (Réseau téléphonique numérique (N.D.T. Réseau Numéris en France) et contrôle des modems extérieurs ou des adaptateurs terminaux de ligne numérique. (N.D.T. L'adaptateur terminal de ligne numérique est souvent appelé improprement « modem » numérique)

Un NAS peut interfacer directement un circuit de télécommunication ou utiliser un modem extérieur ou adaptateur terminal. Le contrôle des connexions par circuit commuté se fait soit par le modem soit par les fonctions de contrôle d'appel des adaptateurs terminaux numériques

Le NAS, avec le modem ou l'adaptateur terminal numérique, peut adapter la vitesse, convertir l'analogique en numérique, convertir le synchrone en asynchrone ou effectuer d'autres opérations sur les flux de données.

2) Fermeture logique d'un lien point à point (PPP).

3) Participer à l'authentification dans le protocole PPP [3, 9, 10].

4) Assemblage des canaux et gestion d'ensemble pour le protocole multi-liens PPP.

5) Arrêt logique des différents protocoles de contrôles réseau (NCP) de PPP.

6) Routage multi-protocoles et pontage entre les interfaces du NAS.

PPTP répartit ces fonctions entre le PAC et le PNS. Le PAC est responsable des fonctions 1, 2 et parfois 3. Le PNS est responsable des fonctions 4, 5, 6 et parfois 3. Le protocole utilisé pour transporter les unités de données PPP (PDU) entre le PAC et le PNS ainsi que pour le contrôle et la gestion constitue PPTP.

La séparation des fonctions du NAS offre certains avantages :

Gestion flexible des adresses IP. Les utilisateurs distants peuvent avoir une adresse IP unique alors qu'ils communiquent avec différents PACs tant qu'ils sont servis par un PNS commun. Si un réseau d'entreprise utilise des adresses non-enregistrées, un PNS associé à l'entreprise assigne des adresses ayant un sens sur le réseau privé.

Support de protocoles non IP pour des réseaux distants derrière des réseaux IP. Cela permet à Appletalk et IPX par exemple de passer dans le tunnel au travers d'un fournisseur uniquement IP. Le PAC n'a pas besoin de traiter ces protocoles.

Une solution au problème de répartition des liens multiples. PPP multi-liens utilise en principe sur l'ISDN un ensemble de canaux B qui doivent être regroupés sur un NAS unique. Puisque l'ensemble multi-liens PPP peut être géré par un unique PNS, les canaux formant l'ensemble peuvent transiter dans plusieurs PACs.

1.1. Buts et définitions du protocole

Le protocole PPTP n'est implémenté que par les PACs et PNSs. Aucun autre système n'est affecté par PPTP. Les réseaux distants peuvent se connecter à un PAC sans traiter avec PPTP. Le logiciel client PPP DOIT continuer à fonctionner au travers d'un lien PPP en tunnel.

PPTP peut aussi transmettre en tunnel une session PPP au travers d'un réseau IP. Dans ce cas le tunnel PPTP et la session PPP fonctionnent entre les deux mêmes machines, l'appelant jouant le rôle du PNS.

Il est envisagé qu'il puise y avoir une relation « plusieurs à plusieurs » entre PACs et PNSs. Un PAC peut fournir ses services à plusieurs PNSs. Par exemple, un fournisseur d'accès internet peut choisir d'utiliser PPTP pour certains réseaux privés de clients et créer des VPNs pour eux. Chaque VPN peux fonctionner avec un ou plusieurs PNSs. Un PNS unique peux être associé à plusieurs PACs pour concentrer le trafic d'un grand nombre de sites géographiques.

PPTP utilise une version étendue de GRE pour transporter les paquets PPP. Ces améliorations permettent un moindre encombrement et un contrôle de flux dans le tunnel utilisé pour transporter les données entre PAC et PNS. Ce mécanisme permet une utilisation plus efficace de la bande passante disponible pour les tunnels, évite les retransmissions et les débordements de tampon. PPTP n'impose pas d'algorithmes particuliers pour cela mais il définit les paramètres qui DOIVENT être transmis pour que ces algorithmes fonctionnent. Des suggestions d'algorithmes se trouvent en section 4.

1.2. Terminologie

Circuit analogique : Un circuit commuté de communication analogique qui est prévu pour transporter un signal audio de 3,1 kHz bilatéralement.

Circuit numérique: Un circuit commuté de communication numérique qui est prévu pour transporter bilatéralement des informations digitales.

Appel : La connexion ou l'essai de connexion entre deux terminaux d'une liaison téléphonique analogique ou numérique; par exemple un appel téléphonique entre deux modems.

Liaison de contrôle : Une liaison de contrôle est créée pour chaque paire de PAC/PNS et est basée sur TCP [4]. La liaison de contrôle s'occupe d'entretenir le tunnel et les sessions qui y sont associées.

Utilisateur distant : Un système terminal ou un routeur relié au réseau téléphonique analogique ou numérique qui peut être l'initiateur ou le destinataire d'un appel.

Serveur d'accès réseau (NAS) : Un système procurant temporairement et à la demande un accès réseau aux utilisateurs. Cet accès point à point utilise le réseau téléphonique analogique ou numérique.

Concentrateur d'accès PPTP (PAC) : Un appareil relié à une ou plusieurs lignes téléphonique analogique ou numérique offrant un fonctionnement PPP et supportant le protocole PPTP. Le PAC ne nécessite que l'implémentation de TCP/IP pour traiter le trafic d'un ou plusieurs PNSs. Il peut aussi transmettre en tunnel des protocoles non IP.

Serveur réseau PPTP (PNS) : Un PNS est conçu pour fonctionner sur un ordinateur ou serveur à usage général. Le PNS gère le coté serveur du protocole PPTP. Du fait que PPTP repose entièrement sur TCP/IP et est indépendant de l'interface matérielle, le PNS peut utiliser n'importe quelle combinaison d'interface matérielle IP incluant des périphériques LAN et WAN.

Session : PPTP est orienté connexion. Le PNS et le PAC contrôlent l 'état de la liaison de chaque utilisateur relié au PAC. Une session est créée quand une connexion point à point PPP est demandée entre un utilisateur distant et le PNS. Les datagrammes relatifs à une session sont envoyés dans le tunnel entre le PAC et le PNS.

Tunnel : Un tunnel est défini par une paire PNS/PAC. Le protocole de tunnel est défini par une version modifiée de GRE [1, 2]. Le tunnel transporte les datagrammes PPP entre le PAC et le PNS. Plusieurs sessions peuvent être multiplexées dans un unique tunnel. Une liaison de contrôle basée sur TCP gère l'établissement, la fermeture et l'entretien des sessions ainsi que le tunnel lui-même.

1.3. Vue générale du protocole

Il y a deux composants parallèles dans PPTP :

1) La liaison de contrôle entre chaque paire PAC/PNS basée sur TCP

2) Un tunnel IP reliant la même paire PAC/PNS qui est utilisé pour transporter les paquets PPP encapsulés des sessions utilisateurs.

1.3.1. Vue générale de la liaison de contrôle

Avant que la mise sous tunnel de PPP ne puise se faire entre un PAC et un PNS, une liaison de contrôle doit être établie entre eux. La liaison de contrôle est une session TCP standard qui transmettra le contrôle des appels PPTP et la gestion des informations. La session de la liaison de contrôle et les sessions transmises dans le tunnel PPTP sont logiquement associés bien que différentes. Pour chaque paire de PAC/PNS il existe une liaison de contrôle et un tunnel. La liaison de contrôle est responsable de l'établissement, de la gestion et de la fermeture des sessions transportées dans le tunnel. C'est le moyen d'informer un PNS d'un appel entrant dans le PAC associé ainsi que de demander au PAC d'effectuer un appel sortant.

Une liaison de contrôle peut être établie par le PNS ou le PAC. Après l'établissement de la connexion TCP requise, le PNS et le PAC établissent la liaison de contrôle en utilisant les messages « Établissement de la liaison de contrôle », demande et réponse. Ces messages sont aussi utilisés pour échanger des informations à propos des capacités de base du PAC et du PNS. Quand la liaison de contrôle est établie, le PAC ou le PNS peut initier des sessions en demandant des appels sortants ou en répondant aux appels entrants. La liaison de contrôle peux communiquer des changements de caractéristiques d'une session individuelle avec le message « Lien - Info » Les sessions peuvent être individuellement fermées par le PAC ou le PNS toujours au moyen des messages de la liaison de contrôle.

La liaison de contrôle elle-même est entretenue par des messages « Maintien de connexion ». Cela assure qu'une défaillance de connexion entre le PNS et le PAC sera détectée sur temporisation. D'autres défaillances peuvent être signalées à l'aide du message « Notification d'erreur WAN », également sur la liaison de contrôle.

Il est également prévu que la liaison de contrôle transportera des messages de gestion dans le futur, comme un message permettant à un PNS de demander le statut d'un PAC donné; ces types de message ne sont pas encore définis.

1.3.2. Vue générale du protocole de tunnel

PPTP nécessite l'établissement d'un tunnel pour chaque paire de PNS/PAC en communication. Ce tunnel est utilisé pour transporter tous les paquets PPP des sessions utilisateurs concernées par cette paire PNS/PAC. Une clé présente dans l'en-tête GRE indique à quelle session PPP particulière ce paquet appartient.

De cette manière les paquets PPP sont multiplexés et démultiplexés dans un unique tunnel entre une paire PNS/PAC donnée. La valeur de cette clé est définie par la procédure d'établissement de l'appel qui fait partie de la liaison de contrôle.

L'en-tête GRE contient aussi l'acquittement et des informations de séquencement qui sont utilisées pour contrôler les encombrements et détecter les erreurs dans le tunnel. La liaison de contrôle sert encore à déterminer la vitesse de transmission et les paramètres des tampons qui sont utilisés pour réguler le flux de paquets PPP d'une session donnée dans le tunnel. PPTP ne spécifie pas les algorithmes à utiliser pour le contrôle des encombrements et du flux. En section 4.4 de ce document se trouvent des suggestions d'algorithmes pour la détermination des temporisations évolutives pour la récupération à partir des données perdues ou des acquittements.

1.4. Format des messages et extensibilité du protocole

PPTP défini un jeu de messages envoyés en tant que données TCP sur la liaison de contrôle entre un PNS et un PAC donné. La session TCP pour la liaison de contrôle est établie en ouvrant une session TCP vers le port 1723 [6]. Le port source est n'importe quel port inutilisé.

Chaque message de la liaison de contrôle PPTP commence par un en-tête de longueur fixe de 8 octets. Cet en-tête fixe contient : la longueur totale du message, le type de message PPTP et un nombre magique.

Deux types de message de la liaison de contrôle sont indiqués par le champ « type » du message PPTP :

1 – Message de contrôle

2 – Message de gestion

Les messages de gestion ne sont pas actuellement définis.

Le nombre magique est toujours la constante 0x1A2B3C4D. Son utilité de base est de permettre au récepteur de s'assurer qu'il est correctement synchronisé avec le flux de données TCP. Il ne DOIT PAS être utilisé pour resynchroniser le flux de données TCP au cas ou l'expéditeur fourni un message incorrectement formaté. La perte de synchronisation DOIT entraîner immédiatement la fermeture de la session TCP de la liaison de contrôle.

Pour plus de clarté, tout les modèles de message de la liaison de contrôle dans la prochaine section incluent entièrement l'en-tête de message. Les nombres précédés de 0x sont des valeurs hexadécimales.

Les messages de contrôle actuellement définis, regroupés par fonction, sont :

Les messages « Établissement de liaison de contrôle » demande et réponse déterminent la version du protocole de liaison de contrôle qui sera utilisée. Le champ de version transporté dans ce message consiste en un numéro de version dans l'octet de poids fort et un numéro de révision dans l'octet de poids faible. Le support des versions est décrit en section 2. La valeur actuelle du champ de version est 0x0100 pour version 1, révision 0.

L'utilisation d'en-têtes de style GRE pour l'encapsulation des paquets utilisateur PPP est spécifiée en section 4.1.

Le MTU (Unité maximale de transmission) de chaque paquet de données utilisateur encapsulé est de 1532 octets, non compris les en-tête GRE et IP.

2. Spécifications du protocole de liaison de contrôle

Des messages de la liaison de contrôle sont utilisés pour établir et fermer des sessions utilisateur. Le premier jeu de message de la liaison de contrôle sert à entretenir la liaison de contrôle elle-même. La liaison de contrôle est initiée soit par le PNS soit par le PAC après qu'ils aient établie la connexion TCP sous-jacente. Les procédures et informations de configuration requises pour l'établissement de cette connexion TCP ne sont pas couvertes par ce protocole.

Les messages de la liaison de contrôle suivants sont tous envoyés en tant que données utilisateur sur la connexion TCP établie entre la paire PNS/PAC. Notez qu'il a été fait attention à ce que les mots (2 octets) et les mots longs (4 octets) commencent aux limites appropriées. Toutes les données sont envoyées sur le réseau dans l'ordre. (Octet de poids fort en premier.) Les champs « Réservé » DOIVENT être remplis de 0 pour permettre les extensions du protocole.

2.1. Établissement de liaison de contrôle-Demande

Le message «  Établissement de liaison de contrôle-Demande » est un message de contrôle PPTP utilisé pour établir la liaison de contrôle entre un PNS et un PAC. Chaque paire de PNS/PAC nécessite qu'une liaison de contrôle dédiée soit créée. Une liaison de contrôle doit être établie avant que d'autres messages puisent être utilisés. L'établissement de la liaison de contrôle peut être initiée soit par le PNS soit par le PAC. Une procédure qui gère le cas d'une collision entre demande du PNS et demande du PAC est décrite en section 3.1.3.

2.2. Établissement de liaison de contrôle-Réponse

Le message «  Établissement de liaison de contrôle-Réponse » est un message de contrôle PPTP envoyé en réponse à un message «  Établissement de liaison de contrôle-Demande ». Ce message contient un code indiquant le résultat de l'établissement de la liaison de contrôle.

2.3. Fermeture de liaison de contrôle-Demande

Le message «  Fermeture de liaison de contrôle-Demande » est un message de contrôle PPTP envoyé par une extrémité de la liaison PAC/PNS pour informer l'autre extrémité que la liaison de contrôle doit être fermée. En plus de fermer la liaison de contrôle tout les appels utilisateurs sont également stoppés. La raison de cette requête est indiquée dans le champ « raison ».

2.4. Fermeture de liaison de contrôle-Réponse

Le message «  Fermeture de liaison de contrôle-Réponse » est un message de contrôle PPTP envoyé par une extrémité de la liaison PAC/PNS suite à la réception du message « Fermeture de liaison de contrôle-Demande » de l'autre extrémité.

2.5.-Écho-Demande

Le message « Écho-Demande » est un message de contrôle PPTP envoyé par l'une des extrémité de la liaison de contrôle PAC/PNS. Ce message de contrôle est utilisé pour « garder en vie » la liaison de contrôle. L'extrémité réceptrice adresse un message « Écho-Réponse » à chaque message « Écho-Demande » reçu. Comme spécifié en section 3.1.4, si l'expéditeur ne reçoit pas de « Écho-Réponse » en réponse à son « Écho-Demande », il doit éventuellement fermer la liaison de contrôle.

2.6. Écho-Réponse

Le message « Écho-Réponse » est un message de contrôle PPTP envoyé par l'une des extrémité de la liaison de contrôle PAC/PNS en réponse à un message « Écho-Demande ».

2.7. Appel sortant-Demande

Le message « Appel sortant-Demande » est un message de contrôle PPTP envoyé par le PNS au PAC pour lui demander d'effectuer un appel sortant. Cette requête fournie au PAC les informations nécessaires pour faire cet appel. Il procure aussi au PAC les paramètres de transmissions des données vers le PNS dès que la session aura été établie.

2.8. Appel sortant-Réponse

Le message « Appel sortant-Réponse » est un message de contrôle PPTP envoyé par le PAC au PNS en réponse à un message « Appel sortant-Demande ». La réponse indique le résultat de la tentative d'appel. Il procure aussi au PNS des informations sur certains paramètres utilisés pour l'appel. Il donne des informations qui permettent au PNS de réguler la transmission des données vers le PAC pour cette session.

2.9. Appel entrant-Demande

Le message « Appel entrant-Demande » est un message de contrôle PPTP envoyé par le PAC au PNS pour signaler qu'un appel entrant doit être établi par le PAC. Cette requête fourni au PNS des informations sur l'appel entrant.
Ce message est le premier d'un triple échange utilisé par PPTP pour établir un appel entrant. Le PAC peut différer sa réponse à l'appel jusqu'à ce qu'il ait reçu un message « Appel entrant-Réponse » du PNS indiquant que l'appel doit être établi. Ce mécanisme permet au PNS d'obtenir suffisamment d'informations sur l'appel avant qu'il n'y soit répondu afin de déterminer si'il faut ou non y répondre.

2.10. Appel entrant-Réponse

Le message « Appel entrant-Réponse » est un message de contrôle PPTP envoyé par le PNS au PAC en réponse à un message « Appel entrant-Demande ». La réponse indique le résultat de la tentative d'appel. Il procure aussi au PAC des informations qui permettent de réguler la transmission des données vers le PNS pour cette session.
Ce message est le second du triple échange utilisé par PPTP pour établir un appel entrant. Il indique au PAC s'il faut répondre ou non à l'appel.

2.11. Appel entrant-Connecté

Le message « Appel entrant-Connecté » est un message de contrôle PPTP envoyé par le PAC au PNS en réponse à un message « Appel entrant-Réponse ». Il procure au PNS certaines informations sur l'appel. Il procure aussi des informations qui permettent au PNS de réguler la transmission des données vers le PAC pour cette session.
Ce message est le troisième du triple échange utilisé par PPTP pour établir un appel entrant. Il fournit le moyen de donner au PNS des informations sur l'appel qui ne peuvent pas en général être obtenue au moment ou le PAC adresse son message « Appel entrant-Demande »

2.12. Fin d'appel-Demande

Le message « Fin d'appel-Demande » est un message de contrôle PPTP envoyé par le PNS au PAC indiquant qu'un appel particulier doit être arrêté. L'appel à arrêter peut être entrant ou sortant, dans n'importe quel état. Le PAC réponds à ce message avec un message « Appel terminé-Notification ».

2.13. Appel terminé-Notification

Le message « Appel terminé-Notification » est un message de contrôle PPTP envoyé par le PAC au PNS. Il est émis quand un appel est interrompu suite à la réception par le PAC d'un message « Fin d'appel-Demande » ou pour n'importe quelle autre raison. Son rôle est d'informer le PNS à la fois de la déconnexion et de la raison de celle-ci.

2.14. Erreur WAN-Notification

Le message « Erreur WAN-Notification » est un message de contrôle PPTP envoyé par le PAC au PNS pour indiquer une erreur WAN (Erreur se produisant sur l'int