MPLS en UDP: entropía para la capa inferior, reglas para el dominio

Dos proveedores describen la misma etiqueta de servicio, y solo uno menciona una cabecera UDP. La diferencia no es cosmética: poner MPLS dentro de UDP cambia lo que la red IP externa puede ver y, por tanto, lo que puede hashear entre enlaces paralelos. También cambia quién tiene permitido desplegarlo.

El apilamiento es corto como para memorizarlo: IP externa, luego UDP, luego la pila de etiquetas MPLS, luego la carga útil del servicio. La pila de etiquetas no desaparece; sigue decidiendo el reenvío en el extremo que reanuda la conmutación de etiquetas.

Qué añade la envoltura UDP

RFC 7510 define esta encapsulación con el puerto de destino UDP 6635 y usa el campo de puerto de origen para transportar entropía de flujo. El dispositivo que encapsula decide qué cuenta como flujo y cómo se deriva el valor; el estándar deliberadamente no impone un hash concreto. Eso deja margen al comportamiento del fabricante, y significa que dos implementaciones pueden producir distribuciones distintas para la misma mezcla de tráfico. Lea el valor como una pista ofrecida a la capa inferior, no como una decisión de enrutamiento tomada por el estándar.

El beneficio es indirecto. Una red de tránsito que equilibra carga sobre una quíntupla externa ahora tiene algo que hashear, mientras que un paquete MPLS desnudo quizá solo ofrecía la etiqueta superior. Si eso ayuda depende de la plataforma que hace el equilibrio y de qué campos considera realmente.

La entropía no es ancho de banda

Distribuir los flujos de forma más uniforme entre los enlaces disponibles no es lo mismo que combinarlos en un único camino más rápido. Un flujo de aplicación sigue viajando por un camino, y el equilibrio por flujo no puede superar la capacidad del enlace en el que aterriza. El mecanismo tampoco garantiza una distribución uniforme; solo da a una función hash mejores entradas.

Mantenga la envoltura estable para un flujo dado salvo que la reordenación sea aceptable. Si el puerto de origen cambia por paquete, la capa inferior repartirá gustosamente una conversación por varios caminos y el reensamblado pasará a ser problema de la aplicación. El objetivo es una entropía coherente por flujo, no una novedad constante.

La frontera de despliegue forma parte de la especificación

RFC 7510 restringe el despliegue a la red de un solo operador o a un conjunto adyacente de operadores que colaboran, con el tráfico gestionado para evitar la congestión. También exige un filtrado que impida que el tráfico encapsulado escape de ese dominio. No son condiciones decorativas; se derivan de que la encapsulación no añade seguridad propia. Trátelas como requisitos previos para un despliegue legítimo, no como sugerencias en una nota de diseño.

Nada en la cabecera UDP autentica al emisor, y nada en ella proporciona confidencialidad ni integridad para la carga útil. Si el tráfico necesita protección, esta procede de un mecanismo aparte con su propia gestión de claves. Elegir MPLS-in-UDP no mejora el modelo de confianza.

Ojo con lo que la protección hace al hashing que querías

Añada IPsec u otra encapsulación de seguridad y la cabecera externa que hashean los dispositivos de tránsito puede cambiar de forma por completo. El modo túnel puede ocultar el puerto de origen UDP interno detrás de una nueva cabecera externa, lo que significa que la entropía que proporcionó con cuidado puede no ser visible donde ocurre el equilibrio. Cifrar primero y encapsular después es un diseño distinto del orden inverso, y la diferencia se manifiesta como un enlace que transporta mucho más tráfico que sus vecinos.

Evalúe el paquete completo tal como aparece en el cable, no solo la capa que describe el estándar. Ese es también el punto para reconsiderar la MTU y la capacidad del extremo, porque una cabecera UDP más cualquier sobrecarga de seguridad reduce la carga útil que cabe.

Decida con todo el camino a la vista

Compare MPLS-in-UDP con alternativas como GRE según los criterios que importan para su red: sobre qué campos equilibra la capa inferior, cuánta sobrecarga puede permitirse, qué envoltura de seguridad se requiere y si la frontera del dominio puede imponerse. Atribuirle una ventaja de rendimiento incondicional sobre GRE es una conclusión que los estándares no respaldan.

Después pruebe con mezclas de tráfico reales y revise la utilización de cada enlace miembro, porque un hash que parece bueno en un laboratorio puede colapsar en un solo enlace cuando todos los flujos comparten una tupla. El resumen honesto es que la encapsulación expone información que la capa inferior puede usar, dentro de un dominio que ha aceptado gestionarla.