MPLS VPN или наслагване IPsec: три договора, които трябва да се уредят

Три обещания се побират в една оферта за широка мрежа и купуването на едно не купува останалите. Някой препраща пакетите ви, някой държи маршрутизацията ви отделно от всеки друг клиент, а някой решава дали полезният товар е четим по пътя. Тези обещания могат да принадлежат на различни страни и все пак да описват един работещ проект. Разделянето им е решението; изборът на име на технология не е.

Три обещания в една оферта за широка мрежа

Първото обещание е транспортът: кои обекти се свързват, по кои канали за достъп и кой препраща пакети между тях. Второто е маршрутизацията: кои префикси могат да се достигнат, кой одобрява промяна и как трафикът ви остава отделен от друг наемател. Третото е защитата: какво се шифрова, между кои крайни точки и кой държи ключовете. Поискайте всяко писмено, защото всеки отговор живее в различен документ.

Офертата на доставчик обикновено оценява първото, предполага второто и оставя третото на вас. Това не е нечестност; трите се продават от различни екипи. Проблем става, когато преглед на проекта открие, че екипът по сигурност е предполагал шифроване, а мрежовият екип е предполагал, че операторът се занимава с това. Разделянето на изречението на три струва час и предотвратява тази среща.

Етикетът описва препращането, а не услугата в точката на предаване

Многопротоколното комутиране на етикети казва как пакетът пътува вътре в мрежата на доставчика. То не казва към какво се свързва клиентът или какво клиентът обменя с ръба на доставчика. Доставчикът може да изгради маршрутизирана IP VPN върху MPLS или услуга от ниво 2 с напълно различен модел на свързване, и двете могат да стигнат до вас като „MPLS връзка“.

Терминологията на IETF за VPN, предоставяни от доставчика дефинира речника точно за това: ръбът на клиента, ръбът на доставчика и моделите на услуги, изградени между тях. Използвайте я, когато оферта размива слоевете, и попитайте какво физически е предаването.

Маршрутизираната услуга ви дава връзка за маршрутизация с ръба на доставчика, така че добавянето на префикс става заявка за промяна в две организации. Предаването от ниво 2 носи вашата собствена маршрутизация и премества оперативната тежест към вашата страна. Нито едно не е по-добро в абстракция; отговорът следва от това колко често се променя топологията ви и кого искате да отговаря в три часа през нощта.

Шифроването е обещание, което не можете да делегирате случайно

Частният транспорт не прави полезния товар нечетим. Разделянето от доставчика държи наемателите отделно оперативно; това не е твърдение за това кой може да инспектира байтовете по пътя. Ако изискването е операторът да не може да чете трафика, това изискване се нуждае от механизъм, който вие контролирате, и IPsec е обичайният.

IPsec работи върху частен транспорт също толкова лесно, колкото върху интернет достъп, затова „MPLS или IPsec“ е фалшив избор, когато едновременно ви трябват управлявана достъпност и собствена граница на доверие. Решете къде завършва тунелът, защото тунел, завършващ на рутер, оставя сегмента зад този рутер в открит текст. После решете кой администрира всеки партньор, тъй като ключ, държан от трета страна, не е граница, която притежавате.

Дайте на всяко обещание име и измерима граница

Напишете един ред на обещание със собственик и граница, която може да се измери. Наличността на канал за достъп принадлежи на неговия доставчик, закъснението на магистралата принадлежи на доставчика, а жизнеността на тунела принадлежи на този, който управлява крайните точки. Едно-единствено число от край до край, което никой не измерва, е число, което никой не ви дължи.

Споразумението за ниво на услуга идва от договора и неговия обхват, а не от буквите в името на технология. IPsec не изисква интернет транспорт с най-добро усилие, и MPLS сам по себе си не носи гаранция за закъснение; и двете зависят от подлежащата мрежа и избраните от вас крайни точки.

Тествайте начертания път, включително неговия отказ

Частен транспорт с щедър интерфейс все още може да се провали, когато наслагване добави заглавки, и симптомът е сесия, която се установява и после засича на големи отговори. Тествайте използваемия размер, вместо да разсъждавате за него, и запишете най-големия пакет, който минава от край до край. Направете го преди да спорите за честотна лента, защото път, който изхвърля големи пакети, изглежда като проблем на приложението. Числото принадлежи на проектния документ до MTU на всеки канал за достъп.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Тези команди идват от Linux хост на един обект; други платформи записват същия тест различно. Ако обект се нуждае от по-малка стойност, това е проектно ограничение за записване, а не повреда за докладване. Същата дисциплина се отнася за пропускателната способност, защото шифроването струва изчисления и крайната точка става част от изчислението на капацитета.

Преди подписване нарисувайте две диаграми: нормалния път с отбелязан всеки собственик и пътя на отказа със същите означения. Втората разкрива проекти, които на хартия изглеждат излишни, а на практика зависят от едно устройство. Когато дойде прекъсване, именно тази рисунка превръща обърканата сутрин в кратък разбор.