MPLS-in-UDP: entropie vir die onderlaag, reëls vir die domein

Twee verskaffers beskryf dieselfde diensetiket, en net een van hulle noem ’n UDP-opskrif. Die verskil is nie kosmeties nie: om MPLS binne UDP te plaas verander wat die buitenste IP-netwerk kan sien, en dus wat dit oor parallelle skakels kan hash. Dit verander ook wie dit mag installeer.

Die laagstapel is kort genoeg om te memoriseer: buitenste IP, dan UDP, dan die MPLS-etiketstapel, dan die diensvrag. Die etiketstapel verdwyn nie; dit besluit steeds die aanstuur by die eindpunt wat etiketomruiling hervat.

Wat die UDP-omhulsel byvoeg

RFC 7510 definieer hierdie enkapsulering met UDP-bestemmingspoort 6635 en gebruik die bronpoortveld om vloei-entropie te dra. ’n Enkapsulerende toestel besluit wat as ’n vloei geld en hoe om die waarde af te lei; die standaard skryf doelbewus nie een hash voor nie. Dit laat ruimte vir verskaffergedrag, en dit beteken twee implementasies kan verskillende verspreidings vir dieselfde verkeersmengsel lewer. Lees die waarde as ’n wenk aan die onderlaag, nie as ’n roetebesluit van die standaard nie.

Die voordeel is indirek. ’n Deurvoernetwerk wat op ’n buitenste vyfvoud balanseer, het nou iets om te hash, waar ’n kale MPLS-pakket dalk net die boonste etiket gebied het. Of dit help, hang af van die platform wat die balansering doen en van watter velde dit werklik in ag neem.

Entropie is nie bandwydte nie

Om vloei ewerediger oor beskikbare skakels te versprei is nie dieselfde as om hulle in een vinniger pad te kombineer nie. ’n Enkele toepassingsvloei reis steeds een pad, en per-vloei-balansering kan nie die kapasiteit van die skakel waarop dit beland, oorskry nie. Die meganisme waarborg ook nie eweredige verspreiding nie; dit gee net ’n hashfunksie beter insette.

Hou die omhulsel stabiel vir ’n gegewe vloei tensy herrangskikking aanvaarbaar is. As die bronpoort per pakket verander, sal die onderlaag een gesprek met graagte oor verskeie paaie versprei, en hermontering word die toepassing se probleem. Konsekwente entropie per vloei is die doel, nie konstante nuutheid nie.

Die ontplooiingsgrens is deel van die spesifikasie

RFC 7510 beperk ontplooiing tot ’n enkele operateur se netwerk of tot ’n aangrensende stel samewerkende operateurs, met verkeer wat bestuur word sodat oorlading vermy word. Dit vra ook vir filtering wat verhoed dat geënkapsuleerde verkeer uit daardie domein ontsnap. Dit is nie versieringsvoorwaardes nie; hulle volg uit die feit dat die enkapsulering geen eie sekuriteit byvoeg nie. Behandel hulle as voorvereistes vir ’n wettige ontplooiing, nie as voorstelle in ’n ontwerpnota nie.

Niks in die UDP-opskrif verifieer die sender nie, en niks daarin bied vertroulikheid of integriteit vir die vrag nie. As die verkeer beskerming nodig het, kom dit van ’n aparte meganisme met sy eie sleutelbestuur. Om MPLS-in-UDP te kies, bevorder nie die vertrouensmodel nie.

Let op wat beskerming aan die hashing doen wat jy wou hê

Voeg IPsec of ’n ander sekuriteitsenkapsulering by, en die buitenste opskrif wat deurvoertoestelle hash, kan heeltemal van vorm verander. Tonnelmodus kan die binnerste UDP-bronpoort agter ’n nuwe buitenste opskrif wegsteek, wat beteken die entropie wat jy sorgvuldig verskaf het, is dalk nie sigbaar waar balansering plaasvind nie. Eers versleutel en dan enkapsuleer is ’n ander ontwerp as die omgekeerde volgorde, en die verskil wys as ’n skakel wat veel meer verkeer as sy bure dra.

Evalueer die volledige pakket soos dit op die draad verskyn, nie net die laag wat die standaard beskryf nie. Dit is ook die punt om MTU en eindpuntkapasiteit te heroorweeg, want ’n UDP-opskrif plus enige sekuriteitsoorhoof verminder die vrag wat inpas.

Besluit met die hele pad in sig

Vergelyk MPLS-in-UDP met alternatiewe soos GRE op die kriteria wat vir jou netwerk saak maak: op watter velde die onderlaag balanseer, hoeveel oorhoof jy kan bekostig, watter sekuriteitsomhulsel nodig is, en of die domeingrens afgedwing kan word. Om dit ’n onvoorwaardelike prestasievoordeel bo GRE toe te skryf, is ’n gevolgtrekking wat die standaarde nie ondersteun nie.

Toets dan met werklike verkeersmengsels en kyk na skakelbenutting per lid, want ’n hash wat in ’n laboratorium goed lyk, kan op een skakel inmekaar val wanneer elke vloei ’n tuple deel. Die eerlike samevatting is dat die enkapsulering inligting blootlê wat die onderlaag kan gebruik, binne ’n domein wat ingestem het om dit te bestuur.