MPLS VPN ή επικάλυψη IPsec: τρία συμβόλαια προς διευθέτηση

Τρεις υποσχέσεις χωρούν σε μια μόνο προσφορά ευρείας περιοχής, και η αγορά της μίας δεν αγοράζει τις άλλες. Κάποιος προωθεί τα πακέτα σας, κάποιος κρατά τη δρομολόγησή σας χωριστά από κάθε άλλο πελάτη, και κάποιος αποφασίζει αν το ωφέλιμο φορτίο είναι αναγνώσιμο κατά τη μεταφορά. Αυτές οι υποσχέσεις μπορούν να ανήκουν σε διαφορετικά μέρη και παρόλα αυτά να περιγράφουν ένα εφαρμόσιμο σχέδιο. Ο διαχωρισμός τους είναι η απόφαση· η επιλογή ονόματος τεχνολογίας δεν είναι.

Τρεις υποσχέσεις σε μια προσφορά ευρείας περιοχής

Η πρώτη υπόσχεση είναι η μεταφορά: ποιες τοποθεσίες συνδέονται, μέσω ποιων κυκλωμάτων πρόσβασης, και ποιος προωθεί πακέτα μεταξύ τους. Η δεύτερη είναι η δρομολόγηση: ποια προθέματα μπορούν να φτάσουν το ένα το άλλο, ποιος εγκρίνει μια αλλαγή, και πώς η κίνησή σας μένει χωριστή από άλλον ενοικιαστή. Η τρίτη είναι η προστασία: τι κρυπτογραφείται, μεταξύ ποιων τελικών σημείων, και ποιος κρατά τα κλειδιά. Ζητήστε την καθεμία γραπτώς, γιατί κάθε απάντηση ζει σε διαφορετικό έγγραφο.

Μια προσφορά παρόχου τείνει να κοστολογεί την πρώτη, να υποθέτει τη δεύτερη και να αφήνει την τρίτη σε εσάς. Αυτό δεν είναι ανεντιμότητα· τα τρία τα πουλούν διαφορετικές ομάδες. Γίνεται πρόβλημα όταν μια αναθεώρηση σχεδίου διαπιστώσει ότι η ομάδα ασφαλείας υπέθεσε κρυπτογράφηση και η ομάδα δικτύου υπέθεσε ότι την είχε αναλάβει ο φορέας. Το να χωρίσεις την πρόταση σε τρία κοστίζει μία ώρα και αποτρέπει εκείνη τη συνάντηση.

Μια ετικέτα περιγράφει την προώθηση, όχι την υπηρεσία στο σημείο παράδοσης

Η πολυπρωτοκολλική ανταλλαγή ετικετών λέει πώς ένα πακέτο ταξιδεύει μέσα σε δίκτυο παρόχου. Δεν λέει σε τι συνδέεται ο πελάτης ή τι ανταλλάσσει ο πελάτης με την άκρη του παρόχου. Ένας πάροχος μπορεί να χτίσει ένα δρομολογημένο IP VPN πάνω σε MPLS ή μια υπηρεσία επιπέδου 2 με εντελώς διαφορετικό μοντέλο σύνδεσης, και τα δύο μπορούν να φτάσουν σε εσάς ως «σύνδεση MPLS».

Η ορολογία του IETF για VPN που παρέχει ο πάροχος ορίζει το λεξιλόγιο ακριβώς για αυτό: η άκρη του πελάτη, η άκρη του παρόχου και τα μοντέλα υπηρεσίας που χτίζονται μεταξύ τους. Χρησιμοποιήστε την όταν μια προσφορά θολώνει τα επίπεδα, και ρωτήστε τι είναι φυσικά η παράδοση.

Μια δρομολογημένη υπηρεσία σας δίνει μια σχέση δρομολόγησης με την άκρη του παρόχου, οπότε η προσθήκη προθέματος γίνεται αίτημα αλλαγής σε δύο οργανισμούς. Μια παράδοση επιπέδου 2 μεταφέρει τη δική σας δρομολόγηση και μεταφέρει το επιχειρησιακό βάρος στη δική σας πλευρά. Καμία δεν είναι καλύτερη αφηρημένα· η απάντηση προκύπτει από το πόσο συχνά αλλάζει η τοπολογία σας και ποιον θέλετε να απαντά στις τρεις τα ξημερώματα.

Η κρυπτογράφηση είναι μια υπόσχεση που δεν μπορείτε να αναθέσετε κατά λάθος

Η ιδιωτική μεταφορά δεν κάνει ένα ωφέλιμο φορτίο μη αναγνώσιμο. Ο διαχωρισμός από τον πάροχο κρατά τους ενοικιαστές χωριστά λειτουργικά· δεν είναι δήλωση για το ποιος μπορεί να επιθεωρήσει τα byte στη διαδρομή. Αν η απαίτηση είναι ο φορέας να μην μπορεί να διαβάσει την κίνηση, αυτή η απαίτηση χρειάζεται μηχανισμό που ελέγχετε εσείς, και το IPsec είναι ο συνηθισμένος.

Το IPsec τρέχει πάνω από ιδιωτική μεταφορά το ίδιο εύκολα όσο πάνω από πρόσβαση στο διαδίκτυο, οπότε το «MPLS ή IPsec» είναι ψευδής επιλογή όταν χρειάζεστε ταυτόχρονα διαχειριζόμενη προσβασιμότητα και το δικό σας όριο εμπιστοσύνης. Αποφασίστε πού τελειώνει η σήραγγα, γιατί μια σήραγγα που τελειώνει σε δρομολογητή αφήνει το τμήμα πίσω από αυτόν τον δρομολογητή σε καθαρό κείμενο. Μετά αποφασίστε ποιος διαχειρίζεται κάθε ομότιμο, αφού ένα κλειδί που κρατά τρίτος δεν είναι όριο που κατέχετε.

Δώστε σε κάθε υπόσχεση ένα όνομα και ένα μετρήσιμο όριο

Γράψτε μία γραμμή ανά υπόσχεση με ιδιοκτήτη και όριο που μπορεί να μετρηθεί. Η διαθεσιμότητα ενός κυκλώματος πρόσβασης ανήκει στον προμηθευτή του, η καθυστέρηση της ραχοκοκαλιάς ανήκει στον πάροχο, και η ζωτικότητα της σήραγγας ανήκει σε όποιον διαχειρίζεται τα τελικά σημεία. Ένας μόνο αριθμός από άκρη σε άκρη που κανείς δεν μετρά είναι αριθμός που κανείς δεν σας χρωστά.

Μια συμφωνία επιπέδου υπηρεσίας προέρχεται από το συμβόλαιο και το πεδίο του, όχι από τα γράμματα ενός ονόματος τεχνολογίας. Το IPsec δεν απαιτεί μεταφορά διαδικτύου καλύτερης προσπάθειας, και το MPLS δεν φέρει από μόνο του εγγύηση καθυστέρησης· και τα δύο εξαρτώνται από το υποκείμενο δίκτυο και τα τελικά σημεία που επιλέγετε.

Δοκιμάστε τη διαδρομή που σχεδιάσατε, μαζί με την αποτυχία της

Μια ιδιωτική μεταφορά με γενναιόδωρη διεπαφή μπορεί ακόμα να αποτύχει όταν μια επικάλυψη προσθέτει κεφαλίδες, και το σύμπτωμα είναι μια συνεδρία που εγκαθίσταται και μετά κολλάει σε μεγάλες απαντήσεις. Δοκιμάστε το χρησιμοποιήσιμο μέγεθος αντί να συλλογίζεστε γι’ αυτό, και σημειώστε το μεγαλύτερο πακέτο που περνά από άκρη σε άκρη. Κάντε το πριν διαφωνήσετε για το εύρος ζώνης, γιατί μια διαδρομή που ρίχνει μεγάλα πακέτα μοιάζει με πρόβλημα εφαρμογής. Ο αριθμός ανήκει στο έγγραφο σχεδίου δίπλα στο MTU κάθε κυκλώματος πρόσβασης.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Αυτές οι εντολές προέρχονται από κεντρικό υπολογιστή Linux σε μία τοποθεσία· άλλες πλατφόρμες γράφουν την ίδια δοκιμή διαφορετικά. Αν μια τοποθεσία χρειάζεται μικρότερη τιμή, είναι περιορισμός σχεδίου προς καταγραφή, όχι βλάβη προς αναφορά. Η ίδια πειθαρχία ισχύει για τη διεκπεραιωτική ικανότητα, γιατί η κρυπτογράφηση κοστίζει επεξεργασία και το τελικό σημείο γίνεται μέρος του υπολογισμού χωρητικότητας.

Σχεδιάστε δύο διαγράμματα πριν υπογράψετε: την κανονική διαδρομή με κάθε ιδιοκτήτη χαρακτηρισμένο, και τη διαδρομή αποτυχίας με τις ίδιες ετικέτες. Το δεύτερο αποκαλύπτει σχέδια που φαίνονται πλεονάζοντα στο χαρτί και στην πράξη εξαρτώνται από μία συσκευή. Όταν έρθει μια διακοπή, αυτό το σχέδιο είναι που μετατρέπει ένα μπερδεμένο πρωινό σε σύντομη διαλογή.