MPLS VPN või IPsec-kiht: kolm lepet, mis tuleb selgeks rääkida

Kolm lubadust mahuvad ühte laivõrgu pakkumisse ja ühe ostmine ei osta teisi. Keegi edastab sinu pakette, keegi hoiab sinu marsruutimise kõigist teistest klientidest eraldi, ja keegi otsustab, kas kandev sisu on edastamise ajal loetav. Need lubadused võivad kuuluda erinevatele osapooltele ja kirjeldada siiski üht toimivat kavandit. Nende eraldamine on otsus; tehnoloogianime valimine ei ole.

Kolm lubadust ühes laivõrgu pakkumises

Esimene lubadus on transport: millised asukohad ühenduvad, milliste juurdepääsuliinide kaudu ja kes edastab nende vahel pakette. Teine on marsruutimine: millised prefiksid võivad üksteist saavutada, kes muudatuse heaks kiidab ja kuidas sinu liiklus jääb teisest rentnikust eraldi. Kolmas on kaitse: mis on krüpteeritud, milliste lõpp-punktide vahel ja kelle käes on võtmed. Küsi igaüht kirjalikult, sest iga vastus elab erinevas dokumendis.

Pakkuja pakkumine kipub esimest hinnastama, teist eeldama ja kolmanda sinu hooleks jätma. See pole ebaausus; kolme müüvad erinevad meeskonnad. Probleemiks saab see siis, kui kavadetöö avastab, et turvameeskond eeldas krüpteerimist ja võrgumeeskond eeldas, et operaator tegeleb sellega. Lause kolmeks jagamine maksab tunni ja hoiab ära selle koosoleku.

Silt kirjeldab edastamist, mitte teenust üleandmispunktis

Mitmeprotokolliline sildivahetus ütleb, kuidas pakett pakkuja võrgu sees liigub. See ei ütle, millega klient ühendub ega mida klient pakkuja servaga vahetab. Pakkuja võib ehitada marsruuditud IP VPN-i MPLS-il või L2-teenuse täiesti teistsuguse ühendusmudeliga, ja mõlemad võivad sinuni jõuda kui „MPLS-ühendus“.

IETF-i pakkuja pakutavate VPN-ide terminoloogia määratleb sõnavara täpselt selle jaoks: kliendi serv, pakkuja serv ja nende vahele ehitatud teenusemudelid. Kasuta seda, kui pakkumine hägustab kihte, ja küsi, mis üleandmine füüsiliselt on.

Marsruuditud teenus annab sulle marsruutimissuhte pakkuja servaga, nii et prefiksi lisamine muutub muudatusetaotluseks kahes organisatsioonis. L2-üleandmine kannab sinu enda marsruutimist ja viib operatiivse koormuse sinu poole. Kumbki pole abstraktselt parem; vastus tuleneb sellest, kui tihti sinu topoloogia muutub ja keda sa tahad, et vastaks kell kolm öösel.

Krüpteerimine on lubadus, mida ei saa kogemata delegeerida

Privaatne transport ei muuda kandvat sisu loetamatuks. Pakkuja eraldamine hoiab rentnikud operatiivselt lahus; see ei ole väide selle kohta, kes võib teel olevaid baite uurida. Kui nõue on, et operaator ei saa liiklust lugeda, vajab see nõue mehhanismi, mida sina kontrollid, ja IPsec on tavaline.

IPsec töötab privaatse transporti peal sama hästi kui internetiühenduse peal, seega „MPLS või IPsec“ on vale valik alati, kui vajad korraga hallatavat kättesaadavust ja oma usalduspiiri. Otsusta, kus tunnel lõpeb, sest ruuteril lõppev tunnel jätab selle ruuteri taga oleva segmendi avatekstina. Seejärel otsusta, kes haldab iga partnerit, sest kolmanda osapoole käes olev võti ei ole piir, mis kuulub sulle.

Anna igale lubadusele nimi ja mõõdetav piir

Kirjuta üks rida lubaduse kohta koos omaniku ja mõõdetava piiriga. Juurdepääsuliini käideldavus kuulub selle tarnijale, tugivõrgu latentsus kuulub pakkujale ja tunneli elujõulisus kuulub sellele, kes lõpp-punkte haldab. Üksainus otsast-otsani number, mida keegi ei mõõda, on number, mida keegi sulle ei võlgne.

Teenustaseme kokkulepe tuleneb lepingust ja selle ulatusest, mitte tehnoloogianime tähtedest. IPsec ei nõua parima pingutusega internetitransporti ja MPLS ei kanna iseenesest latentsusgarantiid; mõlemad sõltuvad alusvõrgust ja lõpp-punktidest, mille valid.

Testi teed, mille joonistasid, sealhulgas selle riket

Privaatne transport helde liidesega võib siiski nurjuda, kui overlay lisab päiseid, ja sümptomiks on seanss, mis luuakse ja jääb siis suurte vastuste juures seisma. Testi kasutatavat suurust selle asemel, et selle üle arutleda, ja kirjuta üles suurim pakett, mis läbib otsast otsani. Tee seda enne, kui vaidled ribalaiuse üle, sest suuri pakette kaotav tee näeb välja nagu rakenduse probleem. Number kuulub kavadokumenti iga juurdepääsuliini MTU kõrvale.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Need käsud pärinevad Linuxi hostist ühes kohas; teised platvormid kirjutavad sama testi teisiti. Kui kohal on vaja väiksemat väärtust, on see kavandamise piirang, mis tuleb üles märkida, mitte viga, mida tuleb teatada. Sama distsipliin kehtib läbilaskevõime kohta, sest krüpteerimine maksab töötlust ja lõpp-punktist saab läbilaskevõime arvutuse osa.

Enne allkirjastamist joonista kaks diagrammi: tavaline tee iga omanikuga märgistatud ja rikke tee samade märgetega. Teine paljastab kavandid, mis paberil näivad üleliigsed ja praktikas sõltuvad ühest seadmest. Kui katkestus saabub, on just see joonis see, mis muudab segase hommiku lühikeseks triaažiks.