MPLS в UDP: ентропия за подлежащата мрежа, правила за домейна

Двама доставчици описват един и същ етикет на услуга, а само един от тях споменава UDP заглавка. Разликата не е козметична: поставянето на MPLS в UDP променя това, което външната IP мрежа може да види, а следователно и това, което може да хешира по паралелните връзки. Променя се и кой има право да го внедрява.

Слоевете са достатъчно кратки за запомняне: външен IP, после UDP, после стекът от MPLS етикети, после полезният товар на услугата. Стекът от етикети не изчезва; той все още решава препращането в крайната точка, която възобновява комутацията на етикети.

Какво добавя UDP обвивката

RFC 7510 дефинира тази инкапсулация с UDP дестинационен порт 6635 и използва полето за изходен порт, за да носи ентропия на потока. Устройството, което инкапсулира, решава какво се брои за поток и как да се извлече стойността; стандартът умишлено не налага един конкретен хеш. Това оставя място за поведение на доставчика и означава, че две реализации могат да произведат различни разпределения за една и съща смес от трафик. Четете стойността като подсказка, предложена на подложката, а не като маршрутно решение, взето от стандарта.

Ползата е косвена. Транзитна мрежа, която балансира по външна петица, сега има какво да хешира, докато гол пакет MPLS можеше да предложи само горния етикет. Дали това помага, зависи от платформата, която извършва балансирането, и от това кои полета тя наистина взема предвид.

Ентропията не е честотна лента

Разпределянето на потоците по-равномерно по наличните връзки не е същото като обединяването им в един по-бърз път. Един приложен поток все още пътува по един път и балансирането по потоци не може да надхвърли капацитета на връзката, на която попада. Механизмът също не гарантира равномерно разпределение; той само дава на хеш функцията по-добри входни данни.

Пазете обвивката стабилна за даден поток, освен ако преподреждането е приемливо. Ако изходният порт се променя при всеки пакет, подложката с удоволствие ще разпръсне един разговор по няколко пътя и повторното сглобяване става проблем на приложението. Последователната ентропия за поток е целта, а не постоянната новост.

Границата на внедряване е част от спецификацията

RFC 7510 ограничава внедряването до мрежата на един оператор или до съседен набор от сътрудничещи оператори, с управление на трафика, за да се избягва претоварване. Той също изисква филтриране, което не позволява на инкапсулирания трафик да излезе от този домейн. Това не са декоративни условия; те следват от факта, че инкапсулацията не добавя собствена сигурност. Приемайте ги като предварителни условия за законно внедряване, а не като предложения в бележка за дизайн.

Нищо в UDP заглавката не удостоверява изпращача и нищо в нея не осигурява поверителност или цялост на полезния товар. Ако трафикът се нуждае от защита, тя идва от отделен механизъм със собствено управление на ключове. Изборът на MPLS-in-UDP не повишава модела на доверие.

Внимавайте какво прави защитата с хеширането, което искахте

Добавете IPsec или друга защитна инкапсулация и външната заглавка, която транзитните устройства хешират, може да промени формата си напълно. Тунелният режим може да скрие вътрешния UDP изходен порт зад нова външна заглавка, което означава, че ентропията, която внимателно сте осигурили, може да не е видима там, където се извършва балансирането. Първо криптиране и след това инкапсулиране е различен дизайн от обратния ред и разликата се проявява като връзка, която носи много повече трафик от съседните.

Оценявайте целия пакет такъв, какъвто е по кабела, а не само слоя, който стандартът описва. Това е и моментът да преразгледате MTU и капацитета на крайната точка, защото UDP заглавката плюс всякакви защитни разходи намаляват полезния товар, който се побира.

Решавайте с поглед към целия път

Сравнете MPLS-in-UDP с алтернативи като GRE по критериите, които имат значение за вашата мрежа: по кои полета балансира подложката, какви разходи можете да си позволите, каква защитна обвивка е необходима и дали границата на домейна може да бъде наложена. Да му се припише безусловно предимство в производителността пред GRE е заключение, което стандартите не подкрепят.

След това тествайте с реални смеси от трафик и проверявайте използването на всяка връзка поотделно, защото хеш, който изглежда добре в лаборатория, може да се срине върху една връзка, когато всички потоци споделят един кортеж. Честното обобщение е, че инкапсулацията разкрива информация, която подложката може да използва, в рамките на домейн, който се е съгласил да я управлява.