MPLS VPN nebo IPsec překryv: tři smlouvy k dojednání

Tři sliby sedí v jediné nabídce na rozsáhlou síť a koupě jednoho nekupuje ostatní. Někdo přeposílá vaše pakety, někdo drží vaše směrování odděleně od všech ostatních zákazníků a někdo rozhoduje o tom, zda je obsah čitelný při přenosu. Tyto sliby mohou patřit různým stranám a přesto popisovat jeden funkční návrh. Oddělit je je to rozhodnutí; vybrat jméno technologie ne.

Tři sliby v jediné nabídce na rozsáhlou síť

První slib je přenos: která místa se připojují, přes které přístupové okruhy a kdo mezi nimi přeposílá pakety. Druhý je směrování: které prefixy se mohou navzájem dostat, kdo schvaluje změnu a jak váš provoz zůstává oddělen od jiného nájemce. Třetí je ochrana: co je šifrováno, mezi kterými koncovými body a kdo drží klíče. Ptejte se na každý písemně, protože každá odpověď žije v jiném dokumentu.

Poskytovatelská nabídka má tendenci ocenit první, předpokládat druhý a třetí nechat na vás. To není nepoctivost; ty tři prodávají různé týmy. Problém nastane, když revize návrhu zjistí, že bezpečnostní tým předpokládal šifrování a síťový tým předpokládal, že to vyřešil operátor. Rozdělit větu na tři stojí hodinu a zabrání té schůzce.

Popisek popisuje přeposílání, ne službu na předávacím bodě

Přepínání víceprotokolových popisků říká, jak paket cestuje uvnitř sítě poskytovatele. Neříká, co zákazník zapojí ani co si zákazník vymění s okrajem poskytovatele. Poskytovatel může postavit směrovanou IP VPN na MPLS nebo službu vrstvy 2 se zcela jiným modelem připojení a obojí k vám může dorazit jako „připojení MPLS“.

Terminologie VPN zřizovaných poskytovatelem podle IETF definuje slovník přesně pro tohle: okraj zákazníka, okraj poskytovatele a modely služeb postavené mezi nimi. Použijte ji, když nabídka rozmazává vrstvy, a zeptejte se, co je předání fyzicky.

Směrovaná služba vám dá směrovací vztah s okrajem poskytovatele, takže přidání prefixu se stane požadavkem na změnu ve dvou organizacích. Předání vrstvy 2 nese vaše vlastní směrování a přesouvá provozní zátěž na vaši stranu. Ani jedno není v abstraktu lepší; odpověď vyplývá z toho, jak často se vaše topologie mění a kdo má odpovídat ve tři ráno.

Šifrování je slib, který nemůžete delegovat omylem

Soukromý přenos nedělá obsah nečitelným. Oddělení poskytovatelem drží nájemce provozně oddělené; není to tvrzení o tom, kdo může na cestě prohlížet bajty. Pokud je požadavkem, aby operátor nemohl číst provoz, potřebuje tento požadavek mechanismus, který ovládáte vy, a IPsec je obvyklý.

IPsec běží přes soukromý přenos stejně snadno jako přes přístup k internetu, takže „MPLS nebo IPsec“ je falešná volba, kdykoli potřebujete spravovanou dostupnost i vlastní hranici důvěry zároveň. Rozhodněte, kde tunel končí, protože tunel končící na routeru nechává segment za tím routerem v otevřeném textu. Pak rozhodněte, kdo spravuje každý protějšek, protože klíč držený třetí stranou není hranice, kterou vlastníte.

Dejte každému slibu jméno a měřitelnou hranici

Napište jednu řádku na slib s vlastníkem a hranicí, kterou lze měřit. Dostupnost přístupového okruhu patří jeho dodavateli, latence páteřní sítě patří poskytovateli a životnost tunelu patří tomu, kdo provozuje koncové body. Jediné číslo od konce ke konci, které nikdo neměří, je číslo, které vám nikdo nedluží.

Dohoda o úrovni služeb vychází ze smlouvy a jejího rozsahu, ne z písmen v názvu technologie. IPsec nevyžaduje internetový přenos s nejlepší snahou a MPLS sám o sobě nenese záruku latence; obojí závisí na podkladové síti a koncových bodech, které zvolíte.

Otestujte cestu, kterou jste nakreslili, včetně jejího selhání

Soukromý přenos se štědrým rozhraním může stále selhat, jakmile překryv přidá hlavičky, a symptomem je relace, která se naváže a pak se zasekne na velkých odpovědích. Otestujte použitelnou velikost místo toho, abyste o ní uvažovali, a zapište největší paket, který projde od konce ke konci. Udělejte to dřív, než se budete hádat o šířce pásma, protože cesta, která zahazuje velké pakety, vypadá jako problém aplikace. Číslo patří do návrhového dokumentu vedle MTU každého přístupového okruhu.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Tyto příkazy pocházejí z linuxového hostitele na jednom místě; jiné platformy píší stejný test jinak. Pokud místo potřebuje menší hodnotu, je to návrhové omezení k zaznamenání, ne závada k nahlášení. Stejná disciplína platí pro propustnost, protože šifrování stojí výpočetní výkon a koncový bod se stává součástí výpočtu kapacity.

Před podpisem nakreslete dva diagramy: normální cestu s označeným každým vlastníkem a cestu selhání se stejnými označeními. Druhý odhaluje návrhy, které na papíře vypadají redundantně a v praxi závisí na jednom zařízení. Když přijde výpadek, právě ten nákres promění matoucí ráno v krátké třídění.