MPLS VPN یا لایه IPsec: سه قرارداد که باید روشن شود
VPN ارائه‌دهنده بسته‌ها را هدایت و مسیریابی را جدا می‌کند. رمزنگاری سومین قراردادی است که هیچ‌کس تصادفی آن را نمی‌خرد، پس به هر وعده یک مالک بدهید.
سه وعده درون یک پیشنهاد شبکه گسترده جای می‌گیرند و خرید یکی بقیه را نمی‌خرد. کسی بسته‌های شما را هدایت می‌کند، کسی مسیریابی شما را از هر مشتری دیگری جدا نگه می‌دارد، و کسی تصمیم می‌گیرد که آیا بار در حین عبور خوانا است. این وعده‌ها می‌توانند به طرف‌های مختلف تعلق داشته باشند و همچنان یک طراحی قابل اجرا را توصیف کنند. جدا کردن آن‌ها همان تصمیم است؛ انتخاب نام یک فناوری نیست.
سه وعده درون یک پیشنهاد شبکه گسترده
وعده نخست انتقال است: کدام سایت‌ها وصل می‌شوند، از طریق کدام مدارهای دسترسی، و چه کسی بسته‌ها را میان آن‌ها هدایت می‌کند. دومی مسیریابی است: کدام پیشوندها می‌توانند به هم برسند، چه کسی تغییر را تأیید می‌کند، و چگونه ترافیک شما از یک مستأجر دیگر جدا می‌ماند. سومی محافظت است: چه چیزی رمز می‌شود، میان کدام نقاط پایانی، و چه کسی کلیدها را نگه می‌دارد. هر یک را کتبی بخواهید، چون هر پاسخ در سند دیگری زندگی می‌کند.
پیشنهاد ارائه‌دهنده معمولاً اولی را قیمت می‌زند، دومی را فرض می‌گیرد و سومی را به شما واگذار می‌کند. این بی‌صداقتی نیست؛ سه مورد را تیم‌های مختلف می‌فروشند. وقتی بازبینی طراحی کشف می‌کند که تیم امنیت رمزنگاری را فرض کرده و تیم شبکه فرض کرده که اپراتور آن را انجام می‌دهد، تبدیل به مشکل می‌شود. تقسیم جمله به سه، یک ساعت هزینه دارد و از آن جلسه جلوگیری می‌کند.
برچسب، هدایت را توصیف می‌کند نه سرویس در نقطه تحویل را
سوئیچینگ برچسب چندپروتکلی می‌گوید بسته چگونه درون شبکه ارائه‌دهنده حرکت می‌کند. نمی‌گوید مشتری به چه چیزی وصل می‌شود یا مشتری با لبه ارائه‌دهنده چه چیزی مبادله می‌کند. ارائه‌دهنده می‌تواند یک IP VPN مسیریابی‌شده روی MPLS بسازد، یا سرویس لایه 2 با مدل اتصال کاملاً متفاوت، و هر دو می‌توانند به‌عنوان «اتصال MPLS» به شما برسند.
اصطلاح‌شناسی IETF برای VPNهایی که ارائه‌دهنده فراهم می‌کند واژگان را دقیقاً برای همین تعریف می‌کند: لبه مشتری، لبه ارائه‌دهنده، و مدل‌های سرویسی که میان آن‌ها ساخته می‌شود. وقتی پیشنهاد لایه‌ها را تار می‌کند از آن استفاده کنید و بپرسید تحویل فیزیکی چیست.
سرویس مسیریابی‌شده به شما رابطه مسیریابی با لبه ارائه‌دهنده می‌دهد، بنابراین افزودن یک پیشوند به درخواست تغییر در دو سازمان تبدیل می‌شود. تحویل لایه 2 مسیریابی خودتان را حمل می‌کند و بار عملیاتی را به سمت شما می‌برد. هیچ‌کدام به‌طور انتزاعی بهتر نیست؛ پاسخ از آن ناشی می‌شود که توپولوژی شما چند وقت یک‌بار تغییر می‌کند و چه کسی را می‌خواهید ساعت سه بامداد پاسخ دهد.
رمزنگاری وعده‌ای است که نمی‌توانید تصادفی واگذار کنید
انتقال خصوصی بار را ناخوانا نمی‌کند. جداسازی ارائه‌دهنده مستأجرها را عملیاتی جدا نگه می‌دارد؛ این بیانیه‌ای درباره این نیست که چه کسی می‌تواند بایت‌های مسیر را بررسی کند. اگر الزام این است که اپراتور نتواند ترافیک را بخواند، آن الزام به سازوکاری نیاز دارد که شما کنترل می‌کنید، و IPsec معمول آن است.
IPsec روی انتقال خصوصی به‌آسانی روی دسترسی اینترنت کار می‌کند، بنابراین «MPLS یا IPsec» زمانی که هم‌زمان به دسترسی مدیریت‌شده و مرز اعتماد خودتان نیاز دارید، انتخابی نادرست است. تعیین کنید تونل کجا تمام می‌شود، چون تونلی که روی یک مسیریاب تمام شود، بخش پشت آن مسیریاب را در متن روشن می‌گذارد. سپس تعیین کنید چه کسی هر همتا را مدیریت می‌کند، چون کلیدی که طرف سوم نگه می‌دارد مرزی نیست که شما مالک آن باشید.
به هر وعده یک نام و یک مرز قابل اندازه‌گیری بدهید
برای هر وعده یک خط با مالک و مرزی که بتوان اندازه گرفت بنویسید. دسترس‌پذیری مدار دسترسی به تأمین‌کننده آن تعلق دارد، تأخیر ستون فقرات به ارائه‌دهنده، و زنده‌بودن تونل به هر کسی که نقاط پایانی را اداره می‌کند. یک عدد سرتاسری که هیچ‌کس اندازه‌اش نمی‌گیرد، عددی است که هیچ‌کس به شما بدهکار نیست.
توافق سطح سرویس از قرارداد و دامنه آن می‌آید، نه از حروف نام یک فناوری. IPsec به انتقال اینترنت با بهترین تلاش نیاز ندارد، و MPLS به‌خودی‌خود تضمین تأخیر ندارد؛ هر دو به شبکه زیرین و نقاط پایانی که انتخاب می‌کنید بستگی دارند.
مسیری را که کشیدید آزمایش کنید، از جمله شکست آن
انتقال خصوصی با رابط سخاوتمندانه هنوز می‌تواند شکست بخورد وقتی یک لایه سرآیند اضافه می‌کند، و نشانه آن نشستی است که برقرار می‌شود و سپس روی پاسخ‌های بزرگ گیر می‌کند. اندازه قابل استفاده را به‌جای استدلال درباره آن آزمایش کنید، و بزرگ‌ترین بسته‌ای را که سرتاسر عبور می‌کند بنویسید. این کار را پیش از بحث درباره پهنای باند انجام دهید، چون مسیری که بسته‌های بزرگ را می‌اندازد شبیه مشکل برنامه به نظر می‌رسد. این عدد به سند طراحی در کنار MTU هر مدار دسترسی تعلق دارد.
ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>این فرمان‌ها از یک میزبان Linux در یک سایت می‌آیند؛ پلتفرم‌های دیگر همان آزمون را طور دیگری می‌نویسند. اگر سایتی به مقدار کوچک‌تری نیاز دارد، این یک محدودیت طراحی برای ثبت است، نه نقصی برای گزارش. همان انضباط برای توان عبوری هم صادق است، چون رمزنگاری هزینه پردازش دارد و نقطه پایانی بخشی از محاسبه ظرفیت می‌شود.
پیش از امضا دو نمودار بکشید: مسیر عادی با برچسب هر مالک، و مسیر شکست با همان برچسب‌ها. دومی طراحی‌هایی را آشکار می‌کند که روی کاغذ اضافی به نظر می‌رسند و در عمل به یک دستگاه وابسته‌اند. وقتی قطعی می‌رسد، همان نقشه است که صبحی گیج‌کننده را به تریاژی کوتاه تبدیل می‌کند.