MPLS у UDP: энтрапія для ніжняга ўзроўню, правілы для дамена

Два правайдэры апісваюць адну і тую ж метку паслугі, і толькі адзін з іх згадвае загаловак UDP. Розніца не касметычная: змяшчэнне MPLS у UDP змяняе тое, што можа бачыць знешняя сетка IP, а значыць, і тое, што яна можа хэшаваць па паралельных каналах. Гэта таксама змяняе, каму дазволена яго разгортваць.

Пласты дастаткова кароткія, каб запомніць: знешні IP, затым UDP, затым стос метак MPLS, затым карысная нагрузка паслугі. Стос метак не знікае; ён па-ранейшаму вызначае перасылку ў канчатковым пункце, які аднаўляе камутацыю метак.

Што дадае абгортка UDP

RFC 7510 вызначае гэтую інкапсуляцыю з портам прызначэння UDP 6635 і выкарыстоўвае поле порта крыніцы для перадачы энтрапіі патоку. Прылада, якая інкапсулюе, вырашае, што лічыцца патокам і як атрымаць значэнне; стандарт наўмысна не прадпісвае адзін канкрэтны хэш. Гэта пакідае месца для паводзін пастаўшчыка, і гэта азначае, што дзве рэалізацыі могуць даваць розныя размеркаванні для адной і той жа сумесі трафіку. Чытайце значэнне як падказку, прапанаваную ніжняму ўзроўню, а не як рашэнне аб маршрутызацыі, прынятае стандартам.

Карысць ускосная. Транзітная сетка, якая балансуе па знешняй пяцёрцы, цяпер мае што хэшаваць, тады як голы пакет MPLS мог прапанаваць толькі верхнюю метку. Ці гэта дапаможа, залежыць ад платформы, якая выконвае балансаванне, і ад таго, якія палі яна сапраўды ўлічвае.

Энтрапія — не прапускная здольнасць

Размеркаваць патокі раўнамерней па даступных каналах — не тое ж самае, што аб’яднаць іх у адзін больш хуткі шлях. Адзін прыкладны паток па-ранейшаму ідзе адным шляхам, і балансаванне на ўзроўні патокаў не можа перавысіць прапускную здольнасць канала, на які ён трапляе. Механізм таксама не гарантуе раўнамернага размеркавання; ён толькі дае хэш-функцыі лепшыя ўваходныя даныя.

Трымайце абгортку стабільнай для дадзенага патоку, калі пераўпарадкаванне недапушчальна. Калі порт крыніцы змяняецца ў кожным пакеце, ніжні ўзровень з задавальненнем размеркуе адну размову па некалькіх шляхах, і перазборка становіцца праблемай праграмы. Мэта — узгодненая энтрапія на паток, а не пастаянная навізна.

Мяжа разгортвання — частка спецыфікацыі

RFC 7510 абмяжоўвае разгортванне сеткай аднаго аператара або суседнім наборам аператараў, якія супрацоўнічаюць, з кіраваннем трафікам, каб пазбегнуць перагрузак. Ён таксама патрабуе фільтрацыі, якая не дазваляе інкапсуляванаму трафіку выйсці за межы гэтага дамена. Гэта не дэкаратыўныя ўмовы; яны вынікаюць з таго, што інкапсуляцыя не дадае ўласнай бяспекі. Разглядайце іх як перадумовы законнага разгортвання, а не як прапановы ў нататцы пра праект.

Нішто ў загалоўку UDP не аўтэнтыфікуе адпраўніка, і нішто ў ім не забяспечвае канфідэнцыйнасць або цэласнасць карыснай нагрузкі. Калі трафіку патрэбна абарона, яна прыходзіць з асобнага механізму з уласным кіраваннем ключамі. Выбар MPLS-in-UDP не павышае мадэль даверу.

Сачыце, што абарона робіць з хэшаваннем, якога вы хацелі

Дадайце IPsec або іншую бяспечную інкапсуляцыю, і знешні загаловак, які хэшуюць транзітныя прылады, можа цалкам змяніць форму. Рэжым тунеля можа схаваць унутраны порт крыніцы UDP за новым знешнім загалоўкам, а значыць, энтрапія, якую вы старанна забяспечылі, можа быць не бачная там, дзе адбываецца балансаванне. Спачатку шыфраванне, потым інкапсуляцыя — гэта іншы дызайн, чым зваротны парадак, і розніца праяўляецца як канал, што нясе значна больш трафіку, чым яго суседзі.

Ацэньвайце поўны пакет так, як ён выглядае на провадзе, а не толькі ўзровень, апісаны стандартам. Гэта таксама момант перагледзець MTU і ёмістасць канчатковага пункта, бо загаловак UDP плюс любыя бяспечныя накладныя выдаткі паменшаць карысную нагрузку, якая змяшчаецца.

Вырашайце, бачачы ўвесь шлях

Параўнайце MPLS-in-UDP з альтэрнатывамі, такімі як GRE, па крытэрыях, важных для вашай сеткі: па якіх палях балансуе ніжні ўзровень, якія накладныя выдаткі вы можаце дазволіць, якая бяспечная абгортка патрэбна і ці можна забяспечыць выкананне мяжы дамена. Надаваць яму безумоўную перавагу ў прадукцыйнасці над GRE — выснова, якую стандарты не падтрымліваюць.

Затым праверце на рэальных сумесях трафіку і паглядзіце выкарыстанне канала для кожнага члена, бо хэш, які добра выглядае ў лабараторыі, можа спасці на адзін канал, калі ўсе патокі падзяляюць адзін картэж. Сумленная выснова: інкапсуляцыя адкрывае інфармацыю, якую ніжні ўзровень можа выкарыстоўваць, унутры дамена, які пагадзіўся ёю кіраваць.