MPLS-VPN of IPsec-oorlaag: drie kontrakte om te besleg

Drie beloftes sit in een enkele WAN-kwotasie, en om die een te koop koop nie die ander nie. Iemand stuur jou pakkette aan, iemand hou jou roetering apart van elke ander kliënt, en iemand besluit of die vrag leesbaar is terwyl dit onderweg is. Daardie beloftes kan aan verskillende partye behoort en tog een werkbare ontwerp beskryf. Om hulle te skei is die besluit; om ’n tegnologienaam te kies is nie.

Drie beloftes in een enkele WAN-kwotasie

Die eerste belofte is vervoer: watter terreine verbind, oor watter toegangskringe, en wie pakkette tussen hulle aanstuur. Die tweede is roetering: watter prefikse mekaar mag bereik, wie ’n verandering goedkeur, en hoe jou verkeer apart bly van ’n ander huurder. Die derde is beskerming: wat versleutel is, tussen watter eindpunte, en wie die sleutels hou. Vra elkeen skriftelik, want elke antwoord woon in ’n ander dokument.

’n Verskafferkwotasie is geneig om die eerste te prys, die tweede as vanselfsprekend te aanvaar en die derde aan jou oor te laat. Dit is nie oneerlikheid nie; die drie word deur verskillende spanne verkoop. Dit word ’n probleem wanneer ’n ontwerphersiening vind dat die sekuriteitsspan versleuteling aanvaar het en die netwerkspan aanvaar het die vervoerder hanteer dit. Om die sin in drie te verdeel kos ’n uur en voorkom daardie vergadering.

Etiket beskryf aanstuur, nie die diens by die afhandelpunt nie

Multiprotokol-etiketkommutering sê hoe ’n pakket binne ’n verskaffernetwerk reis. Dit sê nie waaraan die kliënt koppel nie, of wat die kliënt met die verskafferrand uitruil nie. ’n Verskaffer kan ’n gerouteerde IP-VPN op MPLS bou, of ’n Laag 2-diens met ’n heeltemal ander aansluitingsmodel, en albei kan jou as ’n “MPLS-verbinding” bereik.

Die IETF-terminologie vir verskaffer-voorsiene VPN’s definieer die woordeskat presies hiervoor: die kliëntrand, die verskafferrand en die diensmodelle wat tussen hulle gebou word. Gebruik dit wanneer ’n kwotasie die lae vertroebel, en vra wat die oorhandiging fisies is.

’n Gerouteerde diens gee jou ’n roeteringsverhouding met die verskafferrand, so om ’n prefiks by te voeg word ’n veranderingsversoek in twee organisasies. ’n Laag 2-oorhandiging dra jou eie roetering en skuif die operasionele las na jou kant. Nie een is in die abstrak beter nie; die antwoord volg uit hoe dikwels jou topologie verander en wie jy om drie in die oggend wil hê moet antwoord.

Versleuteling is ’n belofte wat jy nie per ongeluk kan delegeer nie

Privaat vervoer maak nie ’n vrag onleesbaar nie. Verskafferskeiding hou huurders operasioneel apart; dit is nie ’n stelling oor wie die grepe op die pad kan inspekteer nie. As die vereiste is dat die vervoerder nie die verkeer kan lees nie, het daardie vereiste ’n meganisme nodig wat jy beheer, en IPsec is die gewone een.

IPsec loop net so maklik oor privaat vervoer as oor internettoegang, so “MPLS of IPsec” is ’n valse keuse wanneer jy bestuurde bereikbaarheid en jou eie vertrouegrens tegelyk nodig het. Besluit waar die tonnel eindig, want ’n tonnel wat op ’n roeteerder eindig, laat die segment agter daardie roeteerder in gewone teks. Besluit dan wie elke eweknie administreer, want ’n sleutel wat deur ’n derde party gehou word, is nie ’n grens wat jy besit nie.

Gee elke belofte ’n naam en ’n meetbare grens

Skryf een reël per belofte met ’n eienaar en ’n grens wat gemeet kan word. Die beskikbaarheid van ’n toegangskring behoort aan sy verskaffer, ruggraatvertraging behoort aan die verskaffer, en tonnellewending behoort aan wie die eindpunte bedryf. ’n Enkele end-tot-end-getal wat niemand meet nie, is ’n getal wat niemand jou skuld nie.

’n Diensvlak-ooreenkoms kom uit die kontrak en sy omvang, nie uit die letters in ’n tegnologienaam nie. IPsec vereis nie beste-poging-internetvervoer nie, en MPLS dra nie op sigself ’n vertragingswaarborg nie; albei hang af van die onderlaag en die eindpunte wat jy kies.

Toets die pad wat jy geteken het, insluitend die mislukking daarvan

’n Privaat vervoer met ’n ruim koppelvlak kan steeds misluk sodra ’n oorlaag opskrifte byvoeg, en die simptoom is ’n sessie wat vestig en dan op groot antwoorde vasval. Toets die bruikbare grootte in plaas daarvan om daaroor te redeneer, en skryf die grootste pakket neer wat end-tot-end deurkom. Doen dit voordat jy oor bandwydte stry, want ’n pad wat groot pakkette laat val, lyk soos ’n toepassingsprobleem. Die getal hoort in die ontwerpdokument langs die MTU van elke toegangskring.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Daardie opdragte kom van ’n Linux-gasheer by een terrein; ander platforms spel dieselfde toets anders. As ’n terrein ’n kleiner waarde nodig het, is dit ’n ontwerpbeperking om aan te teken, nie ’n fout om te rapporteer nie. Dieselfde dissipline geld vir deurvloei, want versleuteling kos verwerking en die eindpunt word deel van die kapasiteitsberekening.

Teken twee diagramme voor jy onderteken: die normale pad met elke eienaar gemerk, en die mislukkingspad met dieselfde merkers. Die tweede ontbloot ontwerpe wat op papier oorbodig lyk en in die praktyk van een toestel afhang. Wanneer ’n onderbreking kom, is dit daardie tekening wat ’n verwarrende oggend in ’n kort triage verander.