MPLS VPN o superposició IPsec: tres contractes per tancar

Tres promeses caben en una sola cotització d’àrea àmplia, i comprar-ne una no compra les altres. Algú reenvia els vostres paquets, algú manté el vostre encaminament separat de qualsevol altre client, i algú decideix si la càrrega útil és llegible en trànsit. Aquestes promeses poden pertànyer a parts diferents i tot i així descriure un disseny viable. Separar-les és la decisió; triar el nom d’una tecnologia no ho és.

Tres promeses dins d’una sola cotització d’àrea àmplia

La primera promesa és el transport: quins llocs es connecten, per quins circuits d’accés, i qui reenvia paquets entre ells. La segona és l’encaminament: quins prefixos poden arribar-se mútuament, qui aprova un canvi, i com el vostre trànsit es manté a part d’un altre llogater. La tercera és la protecció: què s’ha xifrat, entre quins extrems, i qui té les claus. Demaneu-ho tot per escrit, perquè cada resposta viu en un document diferent.

Una cotització de proveïdor sol posar preu a la primera, donar per feta la segona i deixar la tercera a les vostres mans. Això no és deshonestedat; les tres les venen equips diferents. Es converteix en un problema quan una revisió de disseny descobreix que l’equip de seguretat va donar per fet el xifratge i l’equip de xarxa va donar per fet que la portadora se n’ocupava. Dividir la frase en tres costa una hora i evita aquella reunió.

Una etiqueta descriu el reenviament, no el servei a la demarcació

La commutació d’etiquetes multiprotocol diu com viatja un paquet dins d’una xarxa de proveïdor. No diu a què es connecta el client ni què intercanvia el client amb la vora del proveïdor. Un proveïdor pot construir una IP VPN encaminada sobre MPLS, o un servei de capa 2 amb un model d’adjunció completament diferent, i tots dos poden arribar-vos com a «connexió MPLS».

La terminologia de VPN subministrada pel proveïdor de l’IETF defineix el vocabulari exactament per a això: la vora del client, la vora del proveïdor i els models de servei construïts entre elles. Feu-la servir quan una cotització difumina les capes, i pregunteu què és físicament el lliurament.

Un servei encaminat us dona una relació d’encaminament amb la vora del proveïdor, de manera que afegir un prefix es converteix en una sol·licitud de canvi en dues organitzacions. Un lliurament de capa 2 porta el vostre propi encaminament i trasllada la càrrega operativa al vostre costat. Cap dels dos no és millor en abstracte; la resposta depèn de la freqüència amb què canvia la vostra topologia i de qui voleu que respongui a les tres de la matinada.

El xifratge és una promesa que no podeu delegar per accident

El transport privat no fa que una càrrega útil sigui il·legible. La separació del proveïdor manté els llogaters separats operativament; no és una declaració sobre qui pot inspeccionar els bytes del camí. Si el requisit és que la portadora no pugui llegir el trànsit, aquest requisit necessita un mecanisme que vosaltres controleu, i IPsec és l’habitual.

IPsec funciona sobre transport privat tan fàcilment com sobre accés a internet, així que «MPLS o IPsec» és una falsa elecció sempre que necessiteu abast gestionat i la vostra pròpia frontera de confiança alhora. Decidiu on acaba el túnel, perquè un túnel que acaba en un encaminador deixa el segment darrere d’aquell encaminador en text clar. Després decidiu qui administra cada parell, ja que una clau en mans d’un tercer no és una frontera que posseïu.

Doneu a cada promesa un nom i una vora mesurable

Escriviu una línia per promesa amb un propietari i una frontera que es pugui mesurar. La disponibilitat d’un circuit d’accés pertany al seu proveïdor, la latència de la xarxa troncal pertany al proveïdor, i la vitalitat del túnel pertany a qui opera els extrems. Un sol número d’extrem a extrem que ningú no mesura és un número que ningú no us deu.

Un acord de nivell de servei prové del contracte i del seu abast, no de les lletres d’un nom de tecnologia. IPsec no requereix transport d’internet de millor esforç, i MPLS no porta cap garantia de latència per si sol; tots dos depenen de la capa subjacent i dels extrems que trieu.

Proveu el camí que heu dibuixat, inclosa la seva fallada

Un transport privat amb una interfície generosa encara pot fallar quan una superposició afegeix capçaleres, i el símptoma és una sessió que s’estableix i després s’encalla en respostes grans. Proveu la mida útil en lloc de raonar-hi, i anoteu el paquet més gran que passa d’extrem a extrem. Feu-ho abans de discutir sobre l’amplada de banda, perquè un camí que descarta paquets grans sembla un problema d’aplicació. El número pertany al document de disseny al costat de la MTU de cada circuit d’accés.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Aquestes ordres vénen d’un amfitrió Linux en un lloc; altres plataformes escriuen la mateixa prova de manera diferent. Si un lloc necessita un valor més petit, és una restricció de disseny per anotar, no una fallada per informar. La mateixa disciplina s’aplica al rendiment, perquè el xifratge costa processament i l’extrem es converteix en part del càlcul de capacitat.

Dibuixeu dos diagrames abans de signar: el camí normal amb cada propietari etiquetat, i el camí de fallada amb les mateixes etiquetes. El segon exposa dissenys que semblen redundants sobre el paper i depenen d’un sol dispositiu a la pràctica. Quan arriba una caiguda, aquest dibuix és el que converteix un matí confús en un triatge curt.