MPLS UDP:ssä: entropiaa aliverkolle, säännöt toimialueelle

Kaksi palveluntarjoajaa kuvaa saman palvelutunnisteen, ja vain yksi heistä mainitsee UDP-otsikon. Ero ei ole kosmeettinen: MPLS:n sijoittaminen UDP:n sisään muuttaa sitä, mitä ulompi IP-verkko voi nähdä, ja siten sitä, mitä se voi tiivistää rinnakkaisten linkkien yli. Se muuttaa myös sitä, kuka saa ottaa sen käyttöön.

Kerrokset ovat tarpeeksi lyhyitä muistettaviksi: ulompi IP, sitten UDP, sitten MPLS-tunnistepino, sitten palvelun hyötykuorma. Tunnistepino ei katoa; se päättää edelleen edelleenlähetyksestä päätepisteessä, joka jatkaa tunnisteiden kytkemistä.

Mitä UDP-kuori lisää

RFC 7510 määrittelee tämän kapseloinnin UDP-kohdeportilla 6635 ja käyttää lähdeportin kenttää vuon entropian kuljettamiseen. Kapseloiva laite päättää, mitä pidetään vuona ja miten arvo johdetaan; standardi ei tarkoituksella vaadi yhtä tiettyä tiivistettä. Tämä jättää tilaa toimittajan käyttäytymiselle, ja se tarkoittaa, että kaksi toteutusta voi tuottaa erilaisia jakaumia samalle liikennekoostumukselle. Lue arvo aliverkolle tarjottuna vihjeenä, älä standardin tekemänä reitityspäätöksenä.

Hyöty on välillinen. Siirtoverkolla, joka tasapainottaa kuormaa ulomman viisikon perusteella, on nyt jotain tiivistettävää, kun taas paljas MPLS-paketti saattoi tarjota vain ylimmän tunnisteen. Auttaako tämä, riippuu tasapainotuksen tekevästä alustasta ja siitä, mitkä kentät se todella ottaa huomioon.

Entropia ei ole kaistanleveyttä

Vuojen jakaminen tasaisemmin saatavilla oleville linkeille ei ole sama kuin niiden yhdistäminen yhdeksi nopeammaksi poluksi. Yksittäinen sovellusvuoto kulkee edelleen yhtä polkua, eikä vuokohtainen tasapainotus voi ylittää sen linkin kapasiteettia, jolle se laskeutuu. Mekanismi ei myöskään takaa tasaista jakaumaa; se antaa tiivistefunktiolle vain parempia syötteitä.

Pidä kuori vakaana tietylle vuolle, ellei uudelleenjärjestys ole hyväksyttävää. Jos lähdeportti vaihtuu pakettia kohden, aliverkko levittää mielellään yhden keskustelun usealle polulle ja uudelleenkokoamisesta tulee sovelluksen ongelma. Tavoitteena on johdonmukainen entropia vuota kohden, ei jatkuva uutuus.

Käyttöönoton raja on osa määrittelyä

RFC 7510 rajaa käyttöönoton yhden operaattorin verkkoon tai vierekkäiseen joukkoon yhteistyötä tekeviä operaattoreita, jolloin liikennettä hallitaan ruuhkien välttämiseksi. Se vaatii myös suodatusta, joka estää kapseloitua liikennettä pakenemasta tältä toimialueelta. Nämä eivät ole koristeellisia ehtoja; ne seuraavat siitä, että kapselointi ei lisää omaa turvallisuuttaan. Käsittele niitä laillisen käyttöönoton ennakkoehtoina, älä suunnittelumuistion ehdotuksina.

Mikään UDP-otsikossa ei todista lähettäjää, eikä mikään siinä tarjoa hyötykuorman luottamuksellisuutta tai eheyttä. Jos liikenne tarvitsee suojausta, se tulee erillisestä mekanismista, jolla on oma avaintenhallintansa. MPLS-in-UDP:n valinta ei päivitä luottamusmallia.

Huomaa, mitä suojaus tekee tiivistykselle, jota halusit

Lisää IPsec tai muu tietoturvakapselointi, ja ulompi otsikko, jota siirtolaitteet tiivistävät, voi muuttaa muotoaan täysin. Tunnelitila voi piilottaa sisemmän UDP-lähdeportin uuden ulomman otsikon taakse, mikä tarkoittaa, että huolellisesti tarjoamasi entropia ei välttämättä näy siellä, missä tasapainotus tapahtuu. Ensin salaus ja sitten kapselointi on eri suunnittelu kuin päinvastainen järjestys, ja ero näkyy linkkinä, joka kantaa paljon enemmän liikennettä kuin naapurinsa.

Arvioi koko paketti sellaisena kuin se johdolla näkyy, ei vain sitä kerrosta, jonka standardi kuvaa. Tämä on myös kohta, jossa MTU ja päätepisteen kapasiteetti on harkittava uudelleen, koska UDP-otsikko ja mikä tahansa turvallisuuden ylikuorma pienentävät mahtuvaa hyötykuormaa.

Päätä koko polku näkyvissä

Vertaa MPLS-in-UDP:tä vaihtoehtoihin kuten GRE verkollesi tärkeiden kriteerien perusteella: minkä kenttien perusteella aliverkko tasapainottaa, kuinka paljon ylikuormaa voit kestää, millaista turvakuorta tarvitaan ja voidaanko toimialueen raja panna täytäntöön. Sen kiistattoman suorituskykyedun myöntäminen GRE:hen verrattuna on johtopäätös, jota standardit eivät tue.

Testaa sitten todellisilla liikennekoostumuksilla ja tarkista linkin käyttö jäsenittäin, koska laboratoriossa hyvältä näyttävä tiiviste voi romahtaa yhdelle linkille, kun kaikki vuot jakavat saman monikon. Rehellinen yhteenveto on, että kapselointi paljastaa tietoa, jota aliverkko voi käyttää, toimialueen sisällä, joka on suostunut hallitsemaan sitä.