MPLS VPN o superposición IPsec: tres contratos que cerrar

Tres promesas caben en una sola cotización de área amplia, y comprar una no compra las demás. Alguien reenvía sus paquetes, alguien mantiene su enrutamiento separado del de cualquier otro cliente, y alguien decide si la carga útil es legible en tránsito. Esas promesas pueden pertenecer a partes distintas y aun así describir un diseño viable. Separarlas es la decisión; elegir el nombre de una tecnología no lo es.

Tres promesas dentro de una sola cotización de área amplia

La primera promesa es el transporte: qué sedes se conectan, por qué circuitos de acceso, y quién reenvía paquetes entre ellas. La segunda es el enrutamiento: qué prefijos pueden alcanzarse entre sí, quién aprueba un cambio, y cómo su tráfico se mantiene aparte del de otro inquilino. La tercera es la protección: qué se cifra, entre qué extremos, y quién guarda las claves. Pídalas todas por escrito, porque cada respuesta vive en un documento distinto.

Una cotización de proveedor tiende a poner precio a la primera, dar por supuesta la segunda y dejarle la tercera. Eso no es deshonestidad; las tres las venden equipos distintos. Se convierte en un problema cuando una revisión de diseño descubre que el equipo de seguridad dio por supuesto el cifrado y el de red dio por supuesto que la operadora se encargaba. Dividir la frase en tres cuesta una hora y evita esa reunión.

Una etiqueta describe el reenvío, no el servicio en la demarcación

La conmutación de etiquetas multiprotocolo dice cómo viaja un paquete dentro de una red de proveedor. No dice a qué se conecta el cliente ni qué intercambia el cliente con el borde del proveedor. Un proveedor puede construir una IP VPN enrutada sobre MPLS, o un servicio de capa 2 con un modelo de conexión completamente distinto, y ambos pueden llegarle como «conexión MPLS».

La terminología de VPN aprovisionadas por el proveedor del IETF define el vocabulario justo para esto: el borde del cliente, el borde del proveedor y los modelos de servicio construidos entre ambos. Úsela cuando una cotización difumine las capas, y pregunte qué es físicamente la entrega.

Un servicio enrutado le da una relación de enrutamiento con el borde del proveedor, de modo que añadir un prefijo se convierte en una solicitud de cambio en dos organizaciones. Una entrega de capa 2 transporta su propio enrutamiento y traslada la carga operativa a su lado. Ninguna es mejor en abstracto; la respuesta depende de con qué frecuencia cambia su topología y de quién quiere que responda a las tres de la madrugada.

El cifrado es una promesa que no puede delegar por accidente

El transporte privado no hace ilegible una carga útil. La separación del proveedor mantiene a los inquilinos aparte en lo operativo; no es una declaración sobre quién puede inspeccionar los bytes en el camino. Si el requisito es que la operadora no pueda leer el tráfico, ese requisito necesita un mecanismo que usted controle, y IPsec es el habitual.

IPsec funciona sobre transporte privado con la misma facilidad que sobre acceso a internet, así que «MPLS o IPsec» es una falsa elección siempre que necesite alcance gestionado y su propia frontera de confianza a la vez. Decida dónde termina el túnel, porque un túnel que acaba en un router deja el segmento detrás de ese router en claro. Luego decida quién administra cada par, ya que una clave en manos de un tercero no es una frontera que usted posea.

Dé a cada promesa un nombre y un borde medible

Escriba una línea por promesa con un dueño y una frontera que pueda medirse. La disponibilidad de un circuito de acceso pertenece a su proveedor, la latencia del backbone pertenece al proveedor, y la vitalidad del túnel pertenece a quien opera los extremos. Un solo número de extremo a extremo que nadie mide es un número que nadie le debe.

Un acuerdo de nivel de servicio proviene del contrato y de su alcance, no de las letras de un nombre de tecnología. IPsec no exige transporte de internet de mejor esfuerzo, y MPLS no conlleva por sí solo una garantía de latencia; ambos dependen de la red subyacente y de los extremos que elija.

Pruebe el camino que dibujó, incluido su fallo

Un transporte privado con una interfaz generosa aún puede fallar cuando una superposición añade cabeceras, y el síntoma es una sesión que se establece y luego se atasca en respuestas grandes. Pruebe el tamaño utilizable en lugar de razonar sobre él, y anote el paquete más grande que pasa de extremo a extremo. Hágalo antes de discutir sobre ancho de banda, porque un camino que descarta paquetes grandes parece un problema de aplicación. El número pertenece al documento de diseño junto a la MTU de cada circuito de acceso.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Esos comandos vienen de un host Linux en una sede; otras plataformas escriben la misma prueba de otra manera. Si una sede necesita un valor menor, es una restricción de diseño que anotar, no un fallo que reportar. La misma disciplina se aplica al rendimiento, porque el cifrado cuesta procesamiento y el extremo pasa a formar parte del cálculo de capacidad.

Dibuje dos diagramas antes de firmar: el camino normal con cada dueño etiquetado, y el camino de fallo con las mismas etiquetas. El segundo expone diseños que parecen redundantes sobre el papel y dependen de un solo dispositivo en la práctica. Cuando llega una caída, ese dibujo es lo que convierte una mañana confusa en un triaje breve.