MPLS dins d’UDP: entropia per a la capa inferior, regles per al domini

Dos proveïdors descriuen la mateixa etiqueta de servei, i només un d’ells esmenta una capçalera UDP. La diferència no és cosmètica: posar MPLS dins d’UDP canvia el que la xarxa IP externa pot veure i, per tant, el que pot fer-hi hash a través d’enllaços paral·lels. També canvia qui té permís per a desplegar-ho.

Les capes són prou curtes per a memoritzar-les: IP externa, després UDP, després la pila d’etiquetes MPLS, després la càrrega útil del servei. La pila d’etiquetes no desapareix; encara decideix el reenviament a l’extrem que reprèn la commutació d’etiquetes.

Què afegeix l’envoltura UDP

RFC 7510 defineix aquesta encapsulació amb el port de destinació UDP 6635 i utilitza el camp de port d’origen per a transportar entropia de flux. El dispositiu que encapsula decideix què compta com a flux i com es deriva el valor; l’estàndard deliberadament no imposa un hash concret. Això deixa marge per al comportament del fabricant, i significa que dues implementacions poden produir distribucions diferents per a la mateixa barreja de trànsit. Llegiu el valor com un suggeriment ofert a la capa inferior, no com una decisió d’encaminament presa per l’estàndard.

El benefici és indirecte. Una xarxa de trànsit que fa balanceig de càrrega sobre una quíntupla externa ara té alguna cosa per a fer-hi hash, mentre que un paquet MPLS nu potser només oferia l’etiqueta superior. Si això ajuda depèn de la plataforma que fa el balanceig i de quins camps considera realment.

L’entropia no és amplada de banda

Distribuir els fluxos més uniformement entre els enllaços disponibles no és el mateix que combinar-los en un sol camí més ràpid. Un sol flux d’aplicació encara viatja per un camí, i el balanceig per flux no pot superar la capacitat de l’enllaç on aterra. El mecanisme tampoc garanteix una distribució uniforme; només dona a una funció hash millors entrades.

Manteniu l’envoltura estable per a un flux donat tret que la reordenació sigui acceptable. Si el port d’origen canvia per paquet, la capa inferior repartirà de bon grat una conversa per diversos camins i el reensamblatge esdevindrà un problema de l’aplicació. L’objectiu és una entropia coherent per flux, no una novetat constant.

La frontera de desplegament forma part de l’especificació

RFC 7510 restringeix el desplegament a la xarxa d’un sol operador o a un conjunt adjacent d’operadors que col·laboren, amb el trànsit gestionat per a evitar la congestió. També demana un filtratge que impedeixi que el trànsit encapsulat escapi d’aquest domini. No són condicions decoratives; es deriven del fet que l’encapsulació no afegeix cap seguretat pròpia. Tracteu-les com a requisits previs per a un desplegament legítim, no com a suggeriments en una nota de disseny.

Res a la capçalera UDP autentica l’emissor, i res no hi proporciona confidencialitat ni integritat per a la càrrega útil. Si el trànsit necessita protecció, aquesta prové d’un mecanisme separat amb la seva pròpia gestió de claus. Triar MPLS-in-UDP no millora el model de confiança.

Compte amb el que fa la protecció al hash que volíeu

Afegiu IPsec o una altra encapsulació de seguretat i la capçalera externa que fan hash els dispositius de trànsit pot canviar de forma completament. El mode túnel pot amagar el port d’origen UDP intern darrere d’una nova capçalera externa, cosa que significa que l’entropia que heu proporcionat amb cura pot no ser visible allà on es fa el balanceig. Xifrar primer i encapsular després és un disseny diferent de l’ordre invers, i la diferència es manifesta com un enllaç que transporta molt més trànsit que els seus veïns.

Avalueu el paquet complet tal com apareix al fil, no només la capa que descriu l’estàndard. Aquest és també el moment de reconsiderar l’MTU i la capacitat de l’extrem, perquè una capçalera UDP més qualsevol sobrecàrrega de seguretat redueix la càrrega útil que hi cap.

Decidiu amb tot el camí a la vista

Compareu MPLS-in-UDP amb alternatives com GRE segons els criteris que importen per a la vostra xarxa: sobre quins camps fa balanceig la capa inferior, quanta sobrecàrrega us podeu permetre, quina envoltura de seguretat cal i si es pot fer complir la frontera del domini. Atribuir-li un avantatge de rendiment incondicional sobre GRE és una conclusió que els estàndards no recolzen.

Després proveu amb barreges de trànsit reals i reviseu la utilització de cada enllaç membre, perquè un hash que sembla bo en un laboratori pot col·lapsar en un sol enllaç quan tots els fluxos comparteixen una tupla. El resum honest és que l’encapsulació exposa informació que la capa inferior pot utilitzar, dins d’un domini que ha acceptat gestionar-la.