MPLS-VPN oder IPsec-Overlay: drei Verträge, die zu klären sind

Drei Versprechen stecken in einem einzigen Weitverkehrsangebot, und wer das eine kauft, kauft die anderen nicht mit. Jemand leitet Ihre Pakete weiter, jemand hält Ihr Routing von jedem anderen Kunden getrennt, und jemand entscheidet, ob die Nutzlast unterwegs lesbar ist. Diese Versprechen können zu verschiedenen Parteien gehören und dennoch ein tragfähiges Design beschreiben. Sie zu trennen ist die Entscheidung; einen Technologienamen zu wählen nicht.

Drei Versprechen in einem einzigen Weitverkehrsangebot

Das erste Versprechen ist der Transport: welche Standorte sich verbinden, über welche Zugangsleitungen, und wer Pakete dazwischen weiterleitet. Das zweite ist das Routing: welche Präfixe einander erreichen dürfen, wer eine Änderung genehmigt und wie Ihr Verkehr von einem anderen Mieter getrennt bleibt. Das dritte ist der Schutz: was verschlüsselt wird, zwischen welchen Endpunkten und wer die Schlüssel hält. Fordern Sie jedes schriftlich an, denn jede Antwort steht in einem anderen Dokument.

Ein Anbieterangebot neigt dazu, das erste zu bepreisen, das zweite vorauszusetzen und das dritte Ihnen zu überlassen. Das ist keine Unehrlichkeit; die drei werden von verschiedenen Teams verkauft. Zum Problem wird es, wenn eine Designprüfung feststellt, dass das Sicherheitsteam Verschlüsselung vorausgesetzt hat und das Netzwerkteam annahm, der Carrier erledige das. Den Satz in drei zu teilen kostet eine Stunde und verhindert diese Besprechung.

Ein Label beschreibt die Weiterleitung, nicht den Dienst an der Übergabestelle

Multiprotocol Label Switching sagt, wie ein Paket innerhalb eines Anbieternetzes reist. Es sagt nicht, woran der Kunde anschließt oder was der Kunde mit dem Anbieterrand austauscht. Ein Anbieter kann ein geroutetes IP-VPN über MPLS bauen oder einen Layer-2-Dienst mit einem völlig anderen Anbindungsmodell, und beides kann Sie als „MPLS-Anschluss“ erreichen.

Die IETF-Terminologie für anbieterbereitgestellte VPNs definiert die Begriffe genau dafür: den Kundenrand, den Anbieterrand und die dazwischen aufgebauten Dienstmodelle. Nutzen Sie sie, wenn ein Angebot die Schichten verwischt, und fragen Sie, was die Übergabe physisch ist.

Ein gerouteter Dienst gibt Ihnen eine Routing-Beziehung zum Anbieterrand, sodass das Hinzufügen eines Präfixes zu einem Änderungsantrag in zwei Organisationen wird. Eine Layer-2-Übergabe trägt Ihr eigenes Routing und verlagert die Betriebslast auf Ihre Seite. Keines ist abstrakt besser; die Antwort folgt daraus, wie oft sich Ihre Topologie ändert und wer um drei Uhr morgens antworten soll.

Verschlüsselung ist ein Versprechen, das Sie nicht versehentlich delegieren können

Privater Transport macht eine Nutzlast nicht unlesbar. Die Trennung durch den Anbieter hält Mieter betrieblich auseinander; sie ist keine Aussage darüber, wer die Bytes auf dem Pfad einsehen kann. Wenn die Anforderung lautet, dass der Carrier den Verkehr nicht lesen kann, braucht diese Anforderung einen Mechanismus, den Sie kontrollieren, und IPsec ist der übliche.

IPsec läuft über privaten Transport genauso gut wie über Internetzugang, also ist „MPLS oder IPsec“ eine falsche Wahl, wann immer Sie verwaltete Erreichbarkeit und Ihre eigene Vertrauensgrenze zugleich brauchen. Entscheiden Sie, wo der Tunnel endet, denn ein Tunnel, der auf einem Router endet, lässt das Segment hinter diesem Router im Klartext. Entscheiden Sie dann, wer jeden Peer administriert, denn ein Schlüssel bei einem Dritten ist keine Grenze, die Ihnen gehört.

Geben Sie jedem Versprechen einen Namen und eine messbare Grenze

Schreiben Sie eine Zeile pro Versprechen mit einem Eigentümer und einer Grenze, die messbar ist. Die Verfügbarkeit einer Zugangsleitung gehört ihrem Lieferanten, die Backbone-Latenz gehört dem Anbieter, und die Tunnel-Lebendigkeit gehört dem, der die Endpunkte betreibt. Eine einzige Ende-zu-Ende-Zahl, die niemand misst, ist eine Zahl, die Ihnen niemand schuldet.

Eine Service-Level-Vereinbarung ergibt sich aus dem Vertrag und seinem Umfang, nicht aus den Buchstaben eines Technologienamens. IPsec verlangt keinen Internet-Transport nach bestem Bemühen, und MPLS trägt nicht von sich aus eine Latenzgarantie; beides hängt vom Underlay und den Endpunkten ab, die Sie wählen.

Testen Sie den Pfad, den Sie gezeichnet haben, einschließlich seines Fehlers

Ein privater Transport mit einer großzügigen Schnittstelle kann immer noch scheitern, sobald ein Overlay Header hinzufügt, und das Symptom ist eine Sitzung, die sich aufbaut und dann bei großen Antworten hängt. Testen Sie die nutzbare Größe, statt darüber zu spekulieren, und notieren Sie das größte Paket, das Ende zu Ende durchgeht. Tun Sie das, bevor Sie über Bandbreite streiten, denn ein Pfad, der große Pakete verwirft, sieht wie ein Anwendungsproblem aus. Die Zahl gehört ins Designdokument neben die MTU jeder Zugangsleitung.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Diese Befehle stammen von einem Linux-Host an einem Standort; andere Plattformen schreiben denselben Test anders. Wenn ein Standort einen kleineren Wert braucht, ist das eine festzuhaltende Designvorgabe, kein zu meldender Fehler. Dieselbe Disziplin gilt für den Durchsatz, denn Verschlüsselung kostet Rechenzeit und der Endpunkt wird Teil der Kapazitätsrechnung.

Zeichnen Sie vor der Unterschrift zwei Diagramme: den normalen Pfad mit jedem gekennzeichneten Eigentümer und den Fehlerpfad mit denselben Kennzeichnungen. Das zweite legt Designs offen, die auf dem Papier redundant wirken und in der Praxis von einem einzigen Gerät abhängen. Wenn ein Ausfall kommt, ist es diese Zeichnung, die einen verwirrenden Morgen in eine kurze Triage verwandelt.