MPLS VPN aŭ IPsec-tavolo: tri kontraktoj solvendaj

Tri promesoj sidas en unu sola malproksimarea propono, kaj aĉeti unu ne aĉetas la aliajn. Iu plusendas viajn pakaĵojn, iu tenas vian enkursigon aparta de ĉiu alia kliento, kaj iu decidas ĉu la utilaĵo estas legebla dum transito. Tiuj promesoj povas aparteni al malsamaj partioj kaj tamen priskribi unu funkciantan dezajnon. Apartigi ilin estas la decido; elekti teknologian nomon ne.

Tri promesoj en unu sola malproksimarea propono

La unua promeso estas transporto: kiuj ejoj konektiĝas, per kiuj alirkabloj, kaj kiu plusendas pakaĵojn inter ili. La dua estas enkursigo: kiuj prefiksoj rajtas atingi unu la alian, kiu aprobas ŝanĝon, kaj kiel via trafiko restas aparta de alia luanto. La tria estas protekto: kio estas ĉifrata, inter kiuj finpunktoj, kaj kiu tenas la ŝlosilojn. Petu ĉiun skribe, ĉar ĉiu respondo loĝas en malsama dokumento.

Provizanta propono emas prezigi la unuan, supozi la duan kaj lasi la trian al vi. Tio ne estas malhonesteco; la tri estas vendataj de malsamaj teamoj. Ĝi fariĝas problemo kiam dezajna revizio malkovras ke la sekureca teamo supozis ĉifradon kaj la reta teamo supozis ke la portanto prizorgis ĝin. Dividi la frazon en tri kostas unu horon kaj malhelpas tiun kunvenon.

Etikedo priskribas plusendadon, ne la servon ĉe la transdona punkto

Multprotokola etikeda komutado diras kiel pakaĵo vojaĝas ene de provizanta reto. Ĝi ne diras al kio la kliento konektas, nek kion la kliento interŝanĝas kun la provizanta rando. Provizanto povas konstrui enkursigitan IP-VPN sur MPLS, aŭ servon de tavolo 2 kun tute alia aldona modelo, kaj ambaŭ povas atingi vin kiel „MPLS-konekto“.

La IETF-terminologio por provizantaj VPN-oj difinas la vortaron ĝuste por tio: la klienta rando, la provizanta rando kaj la servomodeloj konstruitaj inter ili. Uzu ĝin kiam propono nebulas la tavolojn, kaj demandu kio fizike estas la transdono.

Enkursigita servo donas al vi enkursigan rilaton kun la provizanta rando, do aldoni prefikson fariĝas ŝanĝpeto en du organizoj. Transdono de tavolo 2 portas vian propran enkursigon kaj movas la operacian ŝarĝon al via flanko. Nek unu estas pli bona abstrakte; la respondo sekvas el tio kiom ofte via topologio ŝanĝiĝas kaj kiun vi volas respondeci je la tria horo matene.

Ĉifrado estas promeso, kiun vi ne povas delegi hazarde

Privata transporto ne faras utilaĵon nelegebla. Apartigo de la provizanto tenas luantojn operacie apartaj; ĝi ne estas aserto pri tio kiu povas inspekti bajtojn sur la vojo. Se la postulo estas ke la portanto ne povu legi la trafikon, tiu postulo bezonas mekanismon kiun vi kontrolas, kaj IPsec estas la kutima.

IPsec funkcias sur privata transporto same facile kiel sur interreta aliro, do „MPLS aŭ IPsec“ estas falsa elekto kiam ajn vi bezonas administritan atingeblon kaj vian propran fidlimon samtempe. Decidu kie la tunelo finiĝas, ĉar tunelo finiĝanta sur enkursigilo lasas la segmenton malantaŭ tiu enkursigilo en klara teksto. Poste decidu kiu administras ĉiun samtavolanon, ĉar ŝlosilo tenata de tria partio ne estas limo kiun vi posedas.

Donu al ĉiu promeso nomon kaj mezureblan limon

Skribu unu linion por promeso kun posedanto kaj limo mezurebla. La disponebleco de alirkablo apartenas al ĝia provizanto, la malfruo de la dorsa reto apartenas al la provizanto, kaj la viveco de la tunelo apartenas al tiu kiu funkciigas la finpunktojn. Unu sola fin-al-fina nombro kiun neniu mezuras estas nombro kiun neniu ŝuldas al vi.

Servonivela interkonsento venas el la kontrakto kaj ĝia amplekso, ne el la literoj de teknologia nomo. IPsec ne postulas plejbonan interretan transporton, kaj MPLS ne portas per si mem malfruan garantion; ambaŭ dependas de la suba reto kaj la finpunktoj kiujn vi elektas.

Testu la vojon kiun vi desegnis, inkluzive de ĝia fiasko

Privata transporto kun malavara interfaco ankoraŭ povas fiaski post kiam tavolo aldonas kapliniojn, kaj la simptomo estas sesio kiu establiĝas kaj poste haltas ĉe grandaj respondoj. Testu la uzeblan grandecon anstataŭ pripensi ĝin, kaj skribu la plej grandan pakaĵon kiu pasas fin-al-fine. Faru tion antaŭ ol vi disputos pri bendlarĝo, ĉar vojo kiu faligas grandajn pakaĵojn aspektas kiel aplikaĵa problemo. La nombro apartenas al la dezajna dokumento apud la MTU de ĉiu alirkablo.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Tiuj komandoj venas de Linux-gastiganto ĉe unu ejo; aliaj platformoj literumas la saman teston malsame. Se ejo bezonas pli malgrandan valoron, tio estas dezajna limigo registrinda, ne misfunkcio raportinda. La sama disciplino aplikiĝas al trafiko, ĉar ĉifrado kostas prilaboradon kaj la finpunkto fariĝas parto de la kapacita kalkulo.

Desegnu du diagramojn antaŭ ol subskribi: la normalan vojon kun ĉiu posedanto etikedita, kaj la fiaskan vojon kun la samaj etikedoj. La dua elmontras dezajnojn kiuj aspektas redundaj surpapere kaj praktike dependas de unu aparato. Kiam paneo alvenas, ĝuste tiu desegnaĵo transformas konfuzan matenon en mallongan trion.