MPLS VPN edo IPsec gainestalkia: adostu beharreko hiru kontratu

Hiru promes eskaintza zabal bakarrean daude, eta bat erosteak ez ditu besteak erosten. Norbaitek zure paketeak birbidaltzen ditu, norbaitek zure bideratzea gainerako bezero guztiengandik bereizten du, eta norbaitek erabakitzen du karga iragatean irakurgarria den. Promes horiek alderdi desberdinenak izan daitezke eta oraindik diseinu bideragarri bat deskribatu. Haiek bereiztea da erabakia; teknologia baten izena aukeratzea ez.

Hiru promes eskaintza zabal bakarrean

Lehen promesa garraioa da: zein gune konektatzen diren, zein sarbide-zirkuituen bidez, eta nor arduratzen den haien artean paketeak birbidaltzeaz. Bigarrena bideratzea da: zein aurrizki iristen diren elkarrengana, nork onartzen duen aldaketa, eta nola mantentzen den zure trafikoa beste maizter batengandik bereizita. Hirugarrena babesa da: zer zifratzen den, zein muturren artean, eta nork gordetzen dituen gakoak. Eskatu bakoitza idatziz, erantzun bakoitza dokumentu desberdin batean bizi delako.

Hornitzailearen eskaintzak lehenari prezioa jartzeko, bigarrena suposatzeko eta hirugarrena zuri uzteko joera du. Hori ez da deszintasuna; hirurak talde desberdinek saltzen dituzte. Arazoa bihurtzen da diseinu-berrikuspenak aurkitzen duenean segurtasun-taldeak zifratzea suposatu zuela eta sare-taldeak uste zuela garraiolariak kudeatzen zuela. Esaldia hirutan banatzeak ordubete hartzen du eta bilera hori saihesten du.

Etiketa batek birbidaltzea deskribatzen du, ez entrega-puntuko zerbitzua

Protokolo anitzeko etiketen kommutazioak paketea hornitzailearen sarean nola bidaiatzen duen esaten du. Ez du esaten bezeroa zeri konektatzen zaion, edo bezeroak hornitzailearen ertzarekin zer trukatzen duen. Hornitzaile batek MPLS gainean bideratutako IP VPN bat eraiki dezake, edo konexio-eredu guztiz desberdina duen L2 geruza zerbitzu bat, eta biak «MPLS konexio» gisa irits daitezke zugana.

IETFren hornitzaileak emandako VPNen terminologia izenekoak hiztegia zehazki honetarako definitzen du: bezeroaren ertza, hornitzailearen ertza, eta bien artean eraikitako zerbitzu-ereduak. Erabili itzazu eskaintzak geruzak lausotzen dituenean, eta galdetu zer den entregatzea fisikoki.

Bideratutako zerbitzu batek hornitzailearen ertzarekin bideratze-harremana ematen dizu, beraz aurrizki bat gehitzea bi erakundetako aldaketa-eskaera bihurtzen da. L2 geruzako entregak zure bideratzea darama eta eragiketa-karga zure aldera eramaten du. Bat ere ez da hobea abstraktuan; erantzuna zure topologia zenbatero aldatzen den eta hiruretan nor nahi duzun erantzuten duen jakitean datza.

Zifratzea ustekabean eskuordetu ezin den promesa da

Garraio pribatuak ez du karga irakurtezin bihurtzen. Hornitzailearen bereizketak maizterrak eragiketa-mailan bereizten ditu; ez da bideko byteak nork ikus ditzakeen buruzko adierazpena. Baldintza garraiolariak trafikoa irakurri ezin badu, baldintza horrek zuk kontrolatzen duzun mekanismo bat behar du, eta IPsec da ohikoa.

IPsec garraio pribatuaren gainean interneteko sarbidearen gainean bezain erraz ibiltzen da, beraz «MPLS edo IPsec» faltsua da aldi berean kudeatutako irisgarritasuna eta zure konfiantza-muga behar dituzunean. Erabaki tunela non amaitzen den, router batean amaitzen den tunelak router horren atzeko segmentua testu argian uzten duelako. Gero erabaki nork administratzen duen pare bakoitza, hirugarren batek gordetzen duen gakoa ez delako zure jabetzako muga.

Eman promesa bakoitzari izen bat eta muga neurgarri bat

Idatzi lerro bat promesa bakoitzeko, jabe batekin eta neur daitekeen muga batekin. Sarbide-zirkuitu baten erabilgarritasuna bere hornitzaileari dagokio, bizkarrezurreko latentzia hornitzaileari, eta tunelaren bizitasuna muturrak operatzen dituenari. Inork neurtzen ez duen muturretik muturrerako zenbaki bakarra inork zor ez dizun zenbakia da.

Zerbitzu-mailako akordioa kontratutik eta haren esparrutik dator, ez teknologia baten izeneko letretatik. IPsec-ek ez du ahalegin oneneko internet garraiorik behar, eta MPLS-k ez du berez latentzia bermerik eramaten; biak azpiko sarearen eta zuk aukeratutako muturren araberakoak dira.

Probatu marraztu duzun bidea, haren hutsegitea barne

Interfaze zabaleko garraio pribatu batek huts egin dezake gainestalki batek goiburuak gehitzen dituenean, eta sintoma ezarri eta gero erantzun handietan blokeatzen den saioa da. Probatu erabil daitekeen tamaina, haren inguruan arrazoitu beharrean, eta idatzi muturretik muturrera pasatzen den paketerik handiena. Egin hori banda-zabaleraz eztabaidatu aurretik, pakete handiak botatzen dituen bideak aplikazio-arazo baten itxura duelako. Zenbakia sarbide-zirkuitu bakoitzaren MTUaren ondoan dagoen diseinu-dokumentukoa da.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Komando horiek gune bateko Linux ostalaritik datoz; beste plataformek proba bera modu desberdinean idazten dute. Gune batek balio txikiagoa behar badu, erregistratzeko diseinu-murrizketa da, ez salatzeko akatsa. Diziplina bera aplikatzen da transmisio-abiadurari, zifratzeak prozesamendu-kostua duelako eta muturra edukiera-kalkuluaren parte bihurtzen delako.

Sinatu aurretik marraztu bi diagrama: bide arrunta jabe bakoitza etiketatuta, eta hutsegite-bidea etiketa berberekin. Bigarrenak paperean soberan daudela diruditen eta praktikan gailu bakarraren mende dauden diseinuak agerian uzten ditu. Etendura iristen denean, marrazki hori da goiz nahasia triaje labur bihurtzen duena.