MPLS VPN neu haen IPsec: tri chontract i’w setlo

Mae tri addewid yn eistedd o fewn un dyfynbris ardal eang, ac nid yw prynu un yn prynu’r lleill. Mae rhywun yn anfon eich pecynnau ymlaen, mae rhywun yn cadw eich llwybro ar wahân i bob cwsmer arall, ac mae rhywun yn penderfynu a yw’r llwyth yn ddarllenadwy wrth deithio. Gall y addewidion hynny berthyn i wahanol bartïon ac o hyd ddisgrifio un dyluniad gweithredol. Eu gwahanu yw’r penderfyniad; dewis enw technoleg nid yw.

Tri addewid o fewn un dyfynbris ardal eang

Yr addewid gyntaf yw cludiant: pa safleoedd sy’n cysylltu, dros ba gylchedau mynediad, a phwy sy’n anfon pecynnau ymlaen rhyngddynt. Yr ail yw llwybro: pa ragosodiadau a gânt gyrraedd ei gilydd, pwy sy’n cymeradwyo newid, a sut mae eich traffig yn aros ar wahân i denant arall. Y trydydd yw amddiffyniad: beth sy’n cael ei amgryptio, rhwng pa bwyntiau terfyn, a phwy sy’n dal yr allweddi. Gofynnwch am bob un yn ysgrifenedig, oherwydd mae pob ateb yn byw mewn dogfen wahanol.

Mae dyfynbris darparwr yn tueddu i brisio’r gyntaf, cymryd yr ail yn ganiataol a gadael y trydydd i chi. Nid anonestrwydd yw hynny; mae’r tri yn cael eu gwerthu gan wahanol dimau. Daw’n broblem pan fydd adolygiad dylunio yn darganfod bod y tîm diogelwch wedi cymryd amgryptio yn ganiataol a’r tîm rhwydwaith wedi cymryd bod y cludwr yn ei thrin. Mae rhannu’r frawddeg yn dair yn costio awr ac yn atal y cyfarfod hwnnw.

Mae label yn disgrifio anfon ymlaen, nid y gwasanaeth yn y marc

Mae cyfnewid labelau amlbrotocol yn dweud sut mae pecyn yn teithio o fewn rhwydwaith darparwr. Nid yw’n dweud beth mae’r cwsmer yn ei blygio i mewn iddo, na beth mae’r cwsmer yn ei gyfnewid â goror y darparwr. Gall darparwr adeiladu IP VPN wedi’i llwybro ar MPLS, neu wasanaeth haen 2 â model atodiad hollol wahanol, a gall y ddau gyrraedd atoch fel “cysylltiad MPLS”.

Mae’r derminoleg VPN a ddarperir gan IETF yn diffinio’r geirfa ar gyfer yn union hyn: goror y cwsmer, goror y darparwr, a’r modelau gwasanaeth a adeiledir rhyngddynt. Defnyddiwch hi pan fydd dyfynbris yn cymylu’r haenau, a gofynnwch beth yw’r trosglwyddiad yn gorfforol.

Mae gwasanaeth wedi’i lwybro yn rhoi perthynas llwybro i chi â goror y darparwr, felly mae ychwanegu rhagosodiad yn dod yn gais newid mewn dau sefydliad. Mae trosglwyddiad haen 2 yn cario eich llwybro eich hun ac yn symud y baich gweithredol i’ch ochr chi. Nid yw’r naill yn well yn haniaethol; daw’r ateb o ba mor aml y mae eich topoleg yn newid a phwy yr hoffech iddo ateb am dri y bore.

Mae amgryptio yn addewid na allwch ei dirprwyo ar ddamwain

Nid yw cludiant preifat yn gwneud llwyth yn annarllenadwy. Mae gwahanu darparwr yn cadw tenantiaid ar wahân yn weithredol; nid yw’n ddatganiad am bwy sy’n gallu archwilio beitiau ar y llwybr. Os yw’r gofyniad yn golygu na all y cludwr ddarllen y traffig, mae angen mecanwaith rydych chi’n ei reoli ar y gofyniad hwnnw, ac IPsec yw’r un arferol.

Mae IPsec yn rhedeg dros gludiant preifat mor rhwydd ag dros fynediad i’r rhyngrwyd, felly mae “MPLS neu IPsec” yn ddewisiadau ffug pryd bynnag y bydd angen cyrhaeddiad rheoledig a’ch ffin ymddiriedaeth eich hun ar unwaith. Penderfynwch ble mae’r twnnel yn gorffen, oherwydd mae twnnel sy’n gorffen ar lwybrydd yn gadael y segment y tu ôl i’r llwybrydd hwnnw yn glir. Yna penderfynwch pwy sy’n gweinyddu pob cymar, gan nad yw allwedd a ddelir gan drydydd parti yn ffin rydych chi’n berchen arni.

Rhowch enw a chyr mesuradwy i bob addewid

Ysgrifennwch un llinell fesul addewid gyda pherchennog a ffin y gellir ei mesur. Mae argaeledd cylched mynediad yn perthyn i’w gyflenwr, mae oediad asgwrn cefn yn perthyn i’r darparwr, ac mae bywiogrwydd y twnnel yn perthyn i bwy bynnag sy’n rhedeg y pwyntiau terfyn. Mae un rhif o ben-bwy-pen nad oes neb yn ei fesur yn rhif nad oes neb yn ddyledus i chi.

Daw cytundeb lefel gwasanaeth o’r contract a’i gwmpas, nid o lythyrenau mewn enw technoleg. Nid yw IPsec yn gofyn am gludiant rhyngrwyd ymdrech-orau, ac nid yw MPLS yn cario gwarant oediad ynddo’i hun; mae’r ddau yn dibynnu ar yr is-haen a’r pwyntiau terfyn a ddewiswch.

Profwch y llwybr a luniwyd gennych, gan gynnwys ei fethiant

Gall cludiant preifat ag rhyngwyneb hael fethu o hyd unwaith y bydd haen yn ychwanegu pennawdau, a’r symptom yw sesiwn sy’n sefydlu ac yna’n tagu ar ymatebion mawr. Profwch y maint defnyddiadwy yn lle dadlau amdano, ac ysgrifennwch y pecyn mwyaf sy’n mynd trwodd o ben i ben. Gwnewch hynny cyn i chi ddadlau am led band, oherwydd mae llwybr sy’n gollwng pecynnau mawr yn edrych fel problem cymhwysiad. Mae’r rhif yn perthyn yn y ddogfen ddylunio wrth ymyl MTU pob cylched mynediad.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Daw’r gorchmynion hynny o weste Linux ar un safle; mae platfformau eraill yn sillafu’r un prawf yn wahanol. Os oes angen gwerth llai ar safle, mae hynny’n gyfyngiad dylunio i’w gofnodi, nid yn fai i’w adrodd. Mae’r un ddisgyblaeth yn berthnasol i drwybwn, oherwydd mae amgryptio yn costio prosesu ac mae’r pwynt terfyn yn dod yn rhan o’r cyfrifiad gallu.

Lluniwch ddau ddiagram cyn llofnodi: y llwybr arferol gyda phob perchennog wedi’i labelu, a’r llwybr methiant gyda’r un labeli. Mae’r ail yn datgelu dyluniadau sy’n edrych yn ddiangen ar bapur ac yn dibynnu ar un ddyfais yn ymarferol. Pan ddaw toriad, y llun hwnnw sy’n troi bore dryslyd yn driawd byr.