MPLS VPN ці накладанне IPsec: тры дагаворы, якія трэба ўзгадніць

Тры абяцанні змяшчаюцца ў адной прапанове на шырокую сетку, і купля аднаго не купляе іншых. Нехта перасылае вашыя пакеты, нехта трымае вашую маршрутызацыю асобна ад кожнага іншага кліента, а нехта вырашае, ці чытаецца карысная нагрузка ў шляху. Гэтыя абяцанні могуць належаць розным бакам і ўсё ж апісваць адзін працаздольны праект. Падзяліць іх — гэта рашэнне; выбраць назву тэхналогіі — не.

Тры абяцанні ў адной прапанове на шырокую сетку

Першае абяцанне — транспарт: якія пляцоўкі злучаюцца, якімі каналамі доступу і хто перасылае пакеты паміж імі. Другое — маршрутызацыя: якія прэфіксы могуць дасягаць адзін аднаго, хто зацвярджае змену і як ваш трафік застаецца асобным ад іншага арандатара. Трэцяе — ахова: што шыфруецца, паміж якімі канчатковымі кропкамі і ў каго ключы. Запытайце кожнае пісьмова, бо кожны адказ жыве ў асобным дакуменце.

Прапанова правайдэра звычайна ацэньвае першае, мяркуе другое і пакідае трэцяе вам. Гэта не нясумленнасць; тры прадаюць розныя каманды. Праблема ўзнікае, калі праектная праверка выяўляе, што каманда бяспекі меркавала шыфраванне, а сеткавая каманда лічыла, што гэтым займаецца аператар. Падзяліць фразу на тры каштуе гадзіны і прадухіляе тую нараду.

Метка апісвае перасылку, а не паслугу ў пункце перадачы

Шматпратакольная камутацыя метак кажа, як пакет падарожнічае ўнутры сеткі правайдэра. Яна не кажа, да чаго падключаецца кліент або што кліент абменьвае з краем правайдэра. Правайдэр можа пабудаваць маршрутызаваны IP VPN паверх MPLS або паслугу ўзроўню 2 з цалкам іншай мадэллю падключэння, і абедзве могуць дайсці да вас як «злучэнне MPLS».

Тэрміналогія IETF для VPN, якія прадастаўляе правайдэр вызначае слоўнік менавіта для гэтага: край кліента, край правайдэра і мадэлі паслуг, пабудаваныя паміж імі. Выкарыстоўвайце яе, калі прапанова размывае ўзроўні, і запытайце, чым фізічна з’яўляецца перадача.

Маршрутызаваная паслуга дае вам адносіны маршрутызацыі з краем правайдэра, таму даданне прэфікса становіцца запытам на змену ў дзвюх арганізацыях. Перадача ўзроўню 2 нясе вашую ўласную маршрутызацыю і пераносіць аперацыйную нагрузку на ваш бок. Ні адна не лепш у абстракцыі; адказ вынікае з таго, як часта змяняецца вашая тапалогія і каго вы хочаце бачыць адказным у трэцюю гадзіну ночы.

Шыфраванне — абяцанне, якое нельга дэлегаваць выпадкова

Прыватны транспарт не робіць карысную нагрузку нечытальнай. Адасабленне правайдэрам трымае арандатараў асобна аперацыйна; гэта не сцвярджэнне пра тое, хто можа праглядаць байты на шляху. Калі патрабаванне ў тым, што аператар не можа чытаць трафік, гэтаму патрабаванню патрэбен механізм, які кантралюеце вы, і IPsec — звычайны.

IPsec працуе паверх прыватнага транспарту так жа лёгка, як паверх доступу ў інтэрнэт, таму «MPLS ці IPsec» — ілжывы выбар, калі вам адначасова патрэбныя кіраваная дасяжнасць і ўласная мяжа даверу. Вырашыце, дзе заканчваецца тунэль, бо тунэль, які заканчваецца на маршрутызатары, пакідае сегмент за гэтым маршрутызатарам адкрытым тэкстам. Затым вырашыце, хто адмініструе кожнага партнёра, паколькі ключ, які трымае трэцяя старана, — не мяжа, якой валодаеце вы.

Дайце кожнаму абяцанню імя і вымяральную мяжу

Напішыце адзін радок на абяцанне з уладальнікам і мяжой, якую можна вымераць. Даступнасць канала доступу належыць яго пастаўшчыку, затрымка магістралі належыць правайдэру, а жывучасць тунэлю належыць таму, хто кіруе канчатковымі кропкамі. Адзінае лік ад краю да краю, якое ніхто не вымярае, — лік, якога вам ніхто не вінен.

Пагадненне аб узроўні паслуг паходзіць з дагавора і яго аб’ёму, а не з літар у назве тэхналогіі. IPsec не патрабуе інтэрнэт-транспарту з максімальным намаганнем, і MPLS сам па сабе не нясе гарантыі затрымкі; абодва залежаць ад базавай сеткі і абраных вамі канчатковых кропак.

Праверце намаляваны шлях, уключна з яго адмовай

Прыватны транспарт з шчодрым інтэрфейсам усё яшчэ можа адмовіць, калі накладанне дадае загалоўкі, і сімптом — сеанс, які ўстанаўліваецца і потым завісае на вялікіх адказах. Праверце карысны памер замест таго, каб разважаць пра яго, і запішыце найбольшы пакет, які праходзіць ад краю да краю. Зрабіце гэта да спрэчкі пра прапускную здольнасць, бо шлях, які адкідвае вялікія пакеты, выглядае як праблема праграмы. Лік належыць праектнаму дакументу побач з MTU кожнага канала доступу.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Гэтыя каманды прыходзяць з хоста Linux на адной пляцоўцы; іншыя платформы запісваюць той жа тэст інакш. Калі пляцоўцы патрэбна меншае значэнне, гэта праектнае абмежаванне, якое трэба запісаць, а не няспраўнасць, якую трэба паведамляць. Тая ж дысцыпліна датычыцца прапускной здольнасці, бо шыфраванне каштуе вылічэнняў, і канчатковая кропка становіцца часткай разліку ёмістасці.

Перад падпісаннем намалюйце дзве дыяграмы: звычайны шлях з падпісаным кожным уладальнікам і шлях адмовы з тымі ж подпісамі. Другая выкрывае праекты, якія на паперы выглядаюць залішнімі, а на практыцы залежаць ад адной прылады. Калі прыходзіць збой, менавіта гэты малюнак ператварае заблытаную раніцу ў кароткі разбор.