MPLS VPN yoxsa IPsec örtüyü: həll edilməli üç müqavilə

Üç vəd bir geniş ərazi təklifinin içində oturur və birini almaq digərlərini almır. Kimsə paketlərinizi yönləndirir, kimsə marşrutlaşdırmanızı hər digər müştəridən ayrı saxlayır və kimsə yükün tranzitdə oxunaqlı olub-olmadığını qərarlaşdırır. Bu vədlər fərqli tərəflərə aid ola bilər və yenə də bir işlək dizaynı təsvir edə bilər. Onları ayırmaq qərardır; texnologiya adı seçmək deyil.

Bir geniş ərazi təklifində üç vəd

Birinci vəd nəqldir: hansı saytlar qoşulur, hansı giriş dövrələri üzərindən və onlar arasında paketləri kim yönləndirir. İkincisi marşrutlaşdırmadır: hansı prefikslər bir-birinə çata bilər, dəyişikliyi kim təsdiqləyir və trafikiniz başqa bir icarəçidən necə ayrı qalır. Üçüncüsü qorunmadır: nə şifrələnir, hansı son nöqtələr arasında və açarları kim saxlayır. Hər birini yazılı istəyin, çünki hər cavab fərqli bir sənəddə yaşayır.

Provayder təklifi birincisini qiymətləndirməyə, ikincisini güman etməyə və üçüncüsünü sizə buraxmağa meyllidir. Bu, vicdansızlıq deyil; üçü fərqli komandalar satır. Dizayn baxışı təhlükəsizlik komandasının şifrələməni güman etdiyini və şəbəkə komandasının operatorun bununla məşğul olduğunu güman etdiyini aşkar edəndə problem olur. Cümləni üçə bölmək bir saata başa gəlir və o iclasın qarşısını alır.

Etiket yönləndirməni təsvir edir, təhvil nöqtəsindəki xidməti deyil

Çoxprotokollu etiket kommutasiyası paketin provayder şəbəkəsi daxilində necə getdiyini deyir. Müştərinin nəyə qoşulduğunu və ya müştərinin provayder kənarı ilə nə mübadilə etdiyini demir. Provayder MPLS üzərində marşrutlaşdırılmış IP VPN və ya tamamilə fərqli qoşulma modeli olan 2-ci qat xidməti qura bilər və hər ikisi sizə „MPLS bağlantısı” kimi çata bilər.

IETF-in provayder tərəfindən təmin edilən VPN terminologiyası lüğəti məhz bunun üçün müəyyən edir: müştəri kənarı, provayder kənarı və onların arasında qurulan xidmət modelləri. Təklif qatları bulanıqlaşdıranda ondan istifadə edin və təhvilin fiziki olaraq nə olduğunu soruşun.

Marşrutlaşdırılmış xidmət sizə provayder kənarı ilə marşrutlaşdırma əlaqəsi verir, beləliklə prefiks əlavə etmək iki təşkilatda dəyişiklik sorğusuna çevrilir. 2-ci qat təhvili öz marşrutlaşdırmanızı daşıyır və əməliyyat yükünü sizin tərəfinizə keçirir. Heç biri mücərrəd şəkildə daha yaxşı deyil; cavab topologiyanızın nə qədər tez-tez dəyişməsindən və səhər üçdə kimin cavab verməsini istədiyinizdən irəli gəlir.

Şifrələmə təsadüfən həvalə edə bilməyəcəyiniz bir vəddir

Şəxsi nəql yükü oxunmaz etmir. Provayder ayrımı icarəçiləri əməliyyat baxımından ayrı saxlayır; bu, yoldakı baytları kimin yoxlaya biləcəyi barədə bəyanat deyil. Tələb operatorun trafiki oxuya bilməməsidirsə, bu tələb sizin nəzarət etdiyiniz mexanizm tələb edir və IPsec adi haldır.

IPsec şəxsi nəqlin üzərində internet girişindəki kimi asanlıqla işləyir, ona görə „MPLS yoxsa IPsec” eyni vaxtda idarə olunan əlçatanlıq və öz güvən sərhədinizə ehtiyacınız olduqda yanlış seçimdir. Tunelin harada bitdiyinə qərar verin, çünki marşrutlaşdırıcıda bitən tunel o marşrutlaşdırıcının arxasındakı seqmenti açıq mətndə qoyur. Sonra hər peer-i kimin idarə etdiyinə qərar verin, çünki üçüncü tərəfin saxladığı açar sizin sahib olduğunuz sərhəd deyil.

Hər vədə bir ad və ölçülə bilən sərhəd verin

Hər vəd üçün sahibi və ölçülə bilən sərhədi olan bir sətir yazın. Giriş dövrəsinin mövcudluğu onun təchizatçısına aiddir, magistral gecikmə provayderə aiddir və tunelin canlılığı son nöqtələri idarə edənə aiddir. Heç kimin ölçmədiyi tək bir ucdan-uca rəqəm heç kimin sizə borclu olmadığı bir rəqəmdir.

Xidmət səviyyəsi razılaşması müqavilədən və onun əhatə dairəsindən gəlir, texnologiya adının hərflərindən deyil. IPsec ən yaxşı səy internet nəqli tələb etmir və MPLS özlüyündə gecikmə zəmanəti daşımır; hər ikisi əsas şəbəkədən və seçdiyiniz son nöqtələrdən asılıdır.

Çəkdiyiniz yolu, o cümlədən nasazlığını sınaqdan keçirin

Geniş interfeysli şəxsi nəql belə bir örtük başlıqlar əlavə etdikdə uğursuz ola bilər və simptom qurulan və sonra böyük cavablarda tıxanan bir sessiyadır. İstifadə oluna bilən ölçünü onun barədə düşünmək əvəzinə sınayın və ucdan uca keçən ən böyük paketi yazın. Bunu bant genişliyi barədə mübahisə etməzdən əvvəl edin, çünki böyük paketləri atan yol tətbiq problemi kimi görünür. Rəqəm hər giriş dövrəsinin MTU-su ilə yanaşı dizayn sənədinə aiddir.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Bu əmrlər bir saytda Linux hostundan gəlir; digər platformalar eyni testi fərqli yazır. Bir sayt daha kiçik dəyərə ehtiyac duyursa, bu qeyd edilməli dizayn məhdudiyyətidir, bildirilməli nasazlıq deyil. Eyni intizam ötürmə qabiliyyətinə də aiddir, çünki şifrələmə emal tələb edir və son nöqtə tutum hesablamasının bir hissəsi olur.

İmzalamadan əvvəl iki diaqram çəkin: hər sahibin etiketləndiyi normal yol və eyni etiketlərlə nasazlıq yolu. İkincisi kağız üzərində artıq görünən və praktikada tək bir cihazdan asılı olan dizaynları üzə çıxarır. Kəsinti gələndə çaşqın səhəri qısa triaja çevirən məhz o rəsmdir.