MPLS VPN أم طبقة IPsec: ثلاثة عقود يجب حسمها

ثلاثة وعود تقع داخل عرض واحد لشبكة واسعة، وشراء أحدها لا يشتري الآخرين. هناك من يمرر حزمك، ومن يُبقي توجيهك منفصلًا عن كل عميل آخر، ومن يقرر ما إذا كانت الحمولة مقروءة أثناء العبور. يمكن أن تنتمي تلك الوعود إلى أطراف مختلفة ومع ذلك تصف تصميمًا واحدًا صالحًا للعمل. فصلها هو القرار؛ واختيار اسم تقنية ليس كذلك.

ثلاثة وعود داخل عرض واحد لشبكة واسعة

الوعد الأول هو النقل: أي المواقع تتصل، عبر أي دوائر وصول، ومن يمرر الحزم بينها. الثاني هو التوجيه: أي البادئات يمكن أن تصل بعضها إلى بعض، ومن يعتمد التغيير، وكيف يبقى حركة مرورك منفصلًا عن مستأجر آخر. الثالث هو الحماية: ما الذي يُشفَّر، بين أي نقاط طرفية، ومن يحمل المفاتيح. اطلب كلًا منها كتابةً، لأن كل جواب يعيش في مستند مختلف.

عرض المزوّد يميل إلى تسعير الأول، وافتراض الثاني، وترك الثالث لك. هذا ليس عدم أمانة؛ فالثلاثة تبيعها فرق مختلفة. يصبح مشكلة عندما يكتشف مراجعة التصميم أن فريق الأمن افترض التشفير وأن فريق الشبكة افترض أن الناقل يتولى ذلك. تقسيم الجملة إلى ثلاث يكلف ساعة ويمنع ذلك الاجتماع.

التسمية تصف التمرير، لا الخدمة عند نقطة التسليم

يخبر تبديل التسميات متعدد البروتوكولات كيف تسافر الحزمة داخل شبكة المزوّد. لا يخبر بما يوصله العميل، ولا بما يتبادله العميل مع حافة المزوّد. يمكن للمزوّد أن يبني IP VPN موجّهة على MPLS، أو خدمة من الطبقة 2 بنموذج توصيل مختلف تمامًا، وقد يصل كلاهما إليك كـ«اتصال MPLS».

مصطلحات IETF لشبكات VPN التي يوفرها المزوّد تعرّف المفردات لهذا بالضبط: حافة العميل، وحافة المزوّد، ونماذج الخدمة المبنية بينهما. استخدمها عندما يطمس العرض الطبقات، واسأل ما هو التسليم ماديًا.

الخدمة الموجّهة تمنحك علاقة توجيه مع حافة المزوّد، لذا تصبح إضافة بادئة طلب تغيير في مؤسستين. تسليم الطبقة 2 يحمل توجيهك الخاص وينقل العبء التشغيلي إلى جانبك. لا واحدة أفضل في المجرد؛ الجواب يتبع مدى تكرار تغير طوبولوجيتك ومن تريد أن يجيب في الثالثة فجرًا.

التشفير وعد لا يمكنك تفويضه بالخطأ

النقل الخاص لا يجعل الحمولة غير مقروءة. فصل المزوّد يبقي المستأجرين منفصلين تشغيليًا؛ وهو ليس تصريحًا عن من يمكنه فحص البايتات على المسار. إذا كان الشرط أن الناقل لا يستطيع قراءة حركة المرور، فهذا الشرط يحتاج آلية تتحكم بها أنت، وIPsec هي المعتادة.

يعمل IPsec عبر النقل الخاص بسهولة عبر الوصول إلى الإنترنت، لذا «MPLS أم IPsec» خيار زائف كلما احتجت إلى وصول مُدار وحدود ثقتك الخاصة في وقت واحد. قرر أين ينتهي النفق، لأن نفقًا ينتهي على موجّه يترك المقطع خلف ذلك الموجّه نصًا صريحًا. ثم قرر من يدير كل نظير، لأن مفتاحًا يحتفظ به طرف ثالث ليس حدودًا تملكها.

أعطِ كل وعد اسمًا وحدًا قابلًا للقياس

اكتب سطرًا واحدًا لكل وعد مع مالك وحد يمكن قياسه. توافر دائرة الوصول يخص مورّدها، وكمون الشبكة الأساسية يخص المزوّد، وحيوية النفق تخص من يشغل النقاط الطرفية. رقم واحد من الطرف إلى الطرف لا يقيسه أحد هو رقم لا يدين به أحد لك.

اتفاقية مستوى الخدمة تأتي من العقد ونطاقه، لا من حروف اسم تقنية. لا يتطلب IPsec نقل إنترنت بأفضل جهد، ولا يحمل MPLS بذاته ضمان كمون؛ كلاهما يعتمد على الشبكة الأساسية والنقاط الطرفية التي تختارها.

اختبر المسار الذي رسمته، بما في ذلك فشله

قد يفشل النقل الخاص ذو الواجهة السخية عندما تضيف طبقة رؤوسًا، والعرض هو جلسة تُنشأ ثم تتعطل عند الردود الكبيرة. اختبر الحجم القابل للاستخدام بدلًا من الاستدلال عليه، واكتب أكبر حزمة تمر من الطرف إلى الطرف. افعل ذلك قبل أن تجادل في النطاق الترددي، لأن مسارًا يُسقط الحزم الكبيرة يبدو مشكلة تطبيق. الرقم يخص مستند التصميم بجانب MTU لكل دائرة وصول.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

تأتي تلك الأوامر من مضيف Linux في موقع واحد؛ منصات أخرى تكتب الاختبار نفسه بطريقة مختلفة. إذا احتاج موقع قيمة أصغر، فهذا قيد تصميم يجب تدوينه، لا عطل يجب الإبلاغ عنه. ينطبق الانضباط نفسه على الإنتاجية، لأن التشفير يكلف معالجة وتصبح النقطة الطرفية جزءًا من حساب السعة.

ارسم مخططين قبل التوقيع: المسار الطبيعي مع تسمية كل مالك، ومسار الفشل مع التسميات نفسها. الثاني يكشف تصاميم تبدو زائدة على الورق وتعتمد عمليًا على جهاز واحد. عندما يأتي انقطاع، ذلك الرسم هو ما يحول صباحًا مرتبكًا إلى فرز قصير.