MPLS v UDP: entropie pro podkladovou síť, pravidla pro doménu

Dva poskytovatelé popisují stejný štítek služby a jen jeden z nich zmiňuje UDP hlavičku. Rozdíl není kosmetický: vložení MPLS do UDP mění to, co vnější IP síť může vidět, a tedy i to, co může hašovat napříč paralelními spoji. Mění také to, kdo jej smí nasadit.

Vrstvy jsou dost krátké na zapamatování: vnější IP, pak UDP, pak zásobník MPLS štítků, pak užitečné zatížení služby. Zásobník štítků nezmizí; stále rozhoduje o předávání v koncovém bodě, který obnovuje přepínání štítků.

Co UDP obálka přidává

RFC 7510 definuje toto zapouzdření s cílovým portem UDP 6635 a používá pole zdrojového portu k přenosu entropie toku. Zařízení, které zapouzdřuje, rozhoduje, co se počítá jako tok a jak se hodnota odvodí; standard záměrně nepředepisuje jeden konkrétní haš. To ponechává prostor pro chování dodavatele a znamená, že dvě implementace mohou pro stejnou směs provozu vytvořit různé distribuce. Čtěte hodnotu jako nápovědu nabídnutou podkladu, nikoli jako směrovací rozhodnutí učiněné standardem.

Přínos je nepřímý. Tranzitní síť, která vyvažuje zátěž podle vnější pětice, má nyní co hašovat, zatímco holý MPLS paket mohl nabídnout jen horní štítek. Zda to pomůže, závisí na platformě, která vyvažování provádí, a na tom, které pole skutečně zohledňuje.

Entropie není šířka pásma

Rozdělit toky rovnoměrněji mezi dostupné spoje není totéž jako spojit je do jedné rychlejší cesty. Jediný aplikační tok stále putuje jednou cestou a vyvažování po tocích nemůže překročit kapacitu spoje, na který dopadne. Mechanismus také nezaručuje rovnoměrné rozdělení; pouze dává hašovací funkci lepší vstupy.

Udržujte obálku pro daný tok stabilní, pokud není přijatelné přeskupování. Pokud se zdrojový port mění u každého paketu, podklad rád rozprostře jednu konverzaci přes několik cest a opětovné sestavení se stane problémem aplikace. Cílem je konzistentní entropie na tok, nikoli neustálá novost.

Hranice nasazení je součástí specifikace

RFC 7510 omezuje nasazení na síť jediného operátora nebo na sousedící soubor spolupracujících operátorů, přičemž provoz je řízen tak, aby se zabránilo zahlcení. Rovněž požaduje filtrování, které brání zapouzdřenému provozu uniknout z této domény. Nejsou to ozdobné podmínky; vyplývají ze skutečnosti, že zapouzdření nepřidává vlastní zabezpečení. Berte je jako předpoklady legitimního nasazení, ne jako doporučení v návrhové poznámce.

Nic v UDP hlavičce neověřuje odesílatele a nic v ní neposkytuje důvěrnost ani integritu užitečného zatížení. Pokud provoz potřebuje ochranu, přichází z odděleného mechanismu s vlastní správou klíčů. Volba MPLS-in-UDP model důvěry neposiluje.

Sledujte, co ochrana dělá s hašováním, které jste chtěli

Přidejte IPsec nebo jiné bezpečnostní zapouzdření a vnější hlavička, kterou tranzitní zařízení hašují, může zcela změnit tvar. Tunelový režim může skrýt vnitřní zdrojový port UDP za novou vnější hlavičkou, což znamená, že entropie, kterou jste pečlivě zajistili, nemusí být tam, kde probíhá vyvažování, viditelná. Nejprve šifrovat a poté zapouzdřit je jiný návrh než opačné pořadí a rozdíl se projeví jako spoj, který nese mnohem více provozu než jeho sousedé.

Hodnoťte celý paket tak, jak se objevuje na drátě, nejen vrstvu, kterou standard popisuje. To je také okamžik pro přehodnocení MTU a kapacity koncového bodu, protože UDP hlavička plus jakákoli bezpečnostní režie snižuje užitečné zatížení, které se vejde.

Rozhodujte se s celou cestou na očích

Porovnejte MPLS-in-UDP s alternativami, jako je GRE, podle kritérií, která jsou pro vaši síť důležitá: podle kterých polí podklad vyvažuje, jakou režii si můžete dovolit, jaký bezpečnostní obal je potřeba a zda lze hranici domény vynutit. Přisoudit mu bezpodmínečnou výhodu ve výkonu oproti GRE je závěr, který standardy nepodporují.

Poté testujte se skutečnými směsmi provozu a kontrolujte vytížení každého členského spoje, protože haš, který vypadá dobře v laboratoři, se může zhroutit na jeden spoj, když všechny toky sdílejí stejnou n-tici. Poctivé shrnutí je, že zapouzdření odhaluje informace, které podklad může použít, uvnitř domény, která se rozhodla je spravovat.