MPLS en UDP: entropio por la suba tavolo, reguloj por la domajno

Du provizantoj priskribas la saman servan etikedon, kaj nur unu el ili mencias UDP-kapon. La diferenco ne estas kosmetika: meti MPLS ene de UDP ŝanĝas tion, kion la ekstera IP-reto povas vidi, kaj sekve kion ĝi povas haŝi trans paralelaj ligiloj. Ĝi ankaŭ ŝanĝas, kiu rajtas ĝin deploji.

La tavoligo estas sufiĉe mallonga por memori: ekstera IP, poste UDP, poste la MPLS-etikeda stako, poste la serva utilaĵo. La etikeda stako ne malaperas; ĝi ankoraŭ decidas la plusendadon ĉe la finpunkto, kiu rekomencas etikedan ŝaltadon.

Kion aldonas la UDP-koverto

RFC 7510 difinas ĉi tiun enkapsuligon kun UDP-cela pordo 6635 kaj uzas la fontan pordan kampon por porti fluan entropion. La enkapsulanta aparato decidas, kio validas kiel fluo kaj kiel derivi la valoron; la normo intence ne devigas unu apartan haŝon. Tio lasas spacon por vendista konduto, kaj ĝi signifas, ke du realigoj povas produkti malsamajn distribuojn por la sama trafika miksaĵo. Legu la valoron kiel aludon ofertitan al la suba tavolo, ne kiel enkursigan decidon faritan de la normo.

La avantaĝo estas nerekta. Transita reto, kiu ŝarĝdistribuas laŭ ekstera kvinopo, nun havas ion por haŝi, dum nuda MPLS-paketo eble ofertis nur la plej supran etikedon. Ĉu tio helpas dependas de la platformo, kiu faras la distribuadon, kaj de tio, kiujn kampojn ĝi efektive konsideras.

Entropio ne estas bendolarĝo

Distribui fluojn pli egale trans la disponeblaj ligiloj ne samas kiel kunigi ilin en unu pli rapidan vojon. Unu aplikaĵa fluo ankoraŭ vojaĝas unu vojon, kaj la distribuo laŭ fluoj ne povas superi la kapaciton de la ligilo, sur kiun ĝi alteriĝas. La mekanismo ankaŭ ne garantias egalan distribuon; ĝi nur donas al haŝa funkcio pli bonajn enirojn.

Tenadu la koverton stabila por donita fluo, krom se reordigo estas akceptebla. Se la fonta pordo ŝanĝiĝas per paketo, la suba tavolo volonte disigos unu konversacion trans pluraj vojoj, kaj remuntado fariĝas la problemo de la aplikaĵo. Konsista entropio por fluo estas la celo, ne konstanta noveco.

La deploja limo estas parto de la specifo

RFC 7510 limigas deplojon al la reto de unu sola operatoro aŭ al apuda aro de kunlaborantaj operatoroj, kun trafiko administrita por eviti kongeston. Ĝi ankaŭ postulas filtradon, kiu malhelpas enkapsulitan trafikon eskapi el tiu domajno. Tiuj ne estas ornamaj kondiĉoj; ili sekvas el tio, ke la enkapsuligo aldonas neniun propran sekurecon. Traktu ilin kiel antaŭkondiĉojn por laŭleĝa deplojo, ne kiel sugestojn en projektnoto.

Nenio en la UDP-kapo aŭtentikigas la sendanton, kaj nenio en ĝi provizas konfidencon aŭ integrecon por la utilaĵo. Se la trafiko bezonas protekton, ĝi venas de aparta mekanismo kun propra ŝlosila administrado. Elekti MPLS-in-UDP ne plibonigas la fidmodelon.

Atentu, kion protekto faras al la haŝado, kiun vi volis

Aldonu IPsec aŭ alian sekurecan enkapsuligon, kaj la ekstera kapo, kiun haŝas transiraj aparatoj, povas tute ŝanĝi formon. Tunela reĝimo povas kaŝi la internan UDP-fontan pordon malantaŭ nova ekstera kapo, kio signifas, ke la entropio, kiun vi zorgeme provizis, eble ne videblos tie, kie okazas la distribuado. Unue ĉifri kaj poste enkapsuligi estas malsama dezajno ol la inversa ordo, kaj la diferenco montriĝas kiel ligilo, kiu portas multe pli da trafiko ol siaj najbaroj.

Taksu la kompletan paketon tiel, kiel ĝi aperas sur la drato, ne nur la tavolon, kiun priskribas la normo. Tio ankaŭ estas la punkto por repripensi MTU kaj finpunkton kapaciton, ĉar UDP-kapo plus iu ajn sekureca superkosto malpliigas la utilaĵon, kiu eniras.

Decidu kun la tuta vojo en la vido

Komparu MPLS-in-UDP kun alternativoj kiel GRE laŭ la kriterioj, kiuj gravas por via reto: laŭ kiuj kampoj la suba tavolo distribuas, kiom da superkosto vi povas permesi, kiu sekureca koverto necesas, kaj ĉu la domajna limo povas esti devigata. Atribui al ĝi senkondiĉan agadprofiton super GRE estas konkludo, kiun la normoj ne subtenas.

Poste testu per realaj trafikaj miksaĵoj kaj kontrolu la ligilan uzadon por ĉiu membro, ĉar haŝo, kiu aspektas bona en laboratorio, povas kolapsi sur unu ligilon kiam ĉiuj fluoj kunhavas unu opon. La honesta resumo estas, ke la enkapsuligo elmontras informojn, kiujn la suba tavolo povas uzi, ene de domajno, kiu konsentis administri ĝin.