MPLS VPN eller IPsec-overlay: tre kontrakter, der skal afklares

Tre løfter ligger i ét enkelt WAN-tilbud, og at købe det ene køber ikke de andre. Nogen videresender dine pakker, nogen holder din routing adskilt fra enhver anden kunde, og nogen afgør, om nyttelasten er læsbar undervejs. De løfter kan tilhøre forskellige parter og alligevel beskrive ét brugbart design. At skille dem ad er beslutningen; at vælge et teknologinavn er det ikke.

Tre løfter i ét enkelt WAN-tilbud

Det første løfte er transport: hvilke lokationer forbindes, over hvilke adgangskredsløb, og hvem der videresender pakker mellem dem. Det andet er routing: hvilke præfikser må nå hinanden, hvem godkender en ændring, og hvordan din trafik holdes adskilt fra en anden lejer. Det tredje er beskyttelse: hvad der krypteres, mellem hvilke endepunkter, og hvem der har nøglerne. Bed om hvert af dem skriftligt, fordi hvert svar bor i et forskelligt dokument.

Et udbydertilbud har tendens til at prissætte det første, forudsætte det andet og overlade det tredje til dig. Det er ikke uærlighed; de tre sælges af forskellige teams. Det bliver et problem, når en designgennemgang opdager, at sikkerhedsteamet forudsatte kryptering, og netværksteamet forudsatte, at operatøren håndterede det. At dele sætningen i tre koster en time og forhindrer det møde.

En etiket beskriver videresendelse, ikke tjenesten ved afleveringspunktet

Multiprotokol-etiketskift fortæller, hvordan en pakke rejser inde i et udbydernetværk. Det siger ikke, hvad kunden tilslutter, eller hvad kunden udveksler med udbyderens kant. En udbyder kan bygge en routed IP VPN på MPLS eller en lag 2-tjeneste med en helt anden tilslutningsmodel, og begge kan nå dig som en »MPLS-forbindelse«.

Terminologien for udbyderleverede VPN’er fra IETF definerer ordforrådet til netop dette: kundekanten, udbyderkanten og servicemodellerne bygget mellem dem. Brug den, når et tilbud slører lagene, og spørg, hvad overdragelsen fysisk er.

En routed tjeneste giver dig et routingforhold til udbyderens kant, så tilføjelse af et præfiks bliver en ændringsanmodning i to organisationer. En lag 2-overdragelse bærer din egen routing og flytter den driftsmæssige byrde til din side. Ingen af dem er bedre i abstrakt forstand; svaret følger af, hvor ofte din topologi ændrer sig, og hvem du vil have til at svare klokken tre om morgenen.

Kryptering er et løfte, du ikke kan delegere ved et uheld

Privat transport gør ikke en nyttelast ulæselig. Udbyderadskillelse holder lejere adskilt driftsmæssigt; det er ikke en udtalelse om, hvem der kan inspicere bytes på vejen. Hvis kravet er, at operatøren ikke kan læse trafikken, kræver det krav en mekanisme, du kontrollerer, og IPsec er den sædvanlige.

IPsec kører over privat transport lige så let som over internetadgang, så »MPLS eller IPsec« er et falsk valg, når du har brug for administreret rækkevidde og din egen tillidsgrænse på samme tid. Beslut, hvor tunnelen ender, fordi en tunnel, der ender på en router, efterlader segmentet bag den router i klartekst. Beslut derefter, hvem der administrerer hver peer, da en nøgle, som en tredjepart har, ikke er en grænse, du ejer.

Giv hvert løfte et navn og en målbar grænse

Skriv én linje for hvert løfte med en ejer og en grænse, der kan måles. Et adgangskredsløbs tilgængelighed tilhører dets leverandør, backbone-latens tilhører udbyderen, og tunnelens levetid tilhører dem, der driver endepunkterne. Et enkelt end-to-end-tal, som ingen måler, er et tal, som ingen skylder dig.

En serviceniveauaftale kommer fra kontrakten og dens omfang, ikke fra bogstaverne i et teknologinavn. IPsec kræver ikke best-effort internettransport, og MPLS bærer ikke i sig selv en latensgaranti; begge afhænger af underlaget og de endepunkter, du vælger.

Test den vej, du tegnede, inklusive dens fejl

En privat transport med en generøs grænseflade kan stadig fejle, når et overlay tilføjer headere, og symptomet er en session, der etableres og derefter går i stå på store svar. Test den brugbare størrelse i stedet for at ræsonnere om den, og skriv den største pakke ned, der passerer end-to-end. Gør det, før du diskuterer båndbredde, fordi en vej, der dropper store pakker, ligner et applikationsproblem. Tallet hører hjemme i designdokumentet ved siden af MTU’en for hvert adgangskredsløb.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

De kommandoer kommer fra en Linux-vært på ét sted; andre platforme staver den samme test anderledes. Hvis et sted har brug for en mindre værdi, er det en designbegrænsning, der skal noteres, ikke en fejl, der skal rapporteres. Den samme disciplin gælder for gennemstrømning, fordi kryptering koster processorkraft, og endepunktet bliver en del af kapacitetsberegningen.

Tegn to diagrammer, før du underskriver: den normale vej med hver ejer mærket, og fejlvejen med de samme mærker. Det andet afslører designs, der ser redundante ud på papiret og afhænger af én enhed i praksis. Når en afbrydelse kommer, er det den tegning, der gør en forvirrende morgen til en kort triage.