MPLS VPN vai IPsec-peite: kolme sopimusta selvitettäväksi

Kolme lupausta mahtuu yhteen laajaverkkotarjoukseen, eikä yhden ostaminen osta muita. Joku välittää pakettisi, joku pitää reitityksesi erillään jokaisesta muusta asiakkaasta, ja joku päättää, onko hyötykuorma luettavissa siirron aikana. Nuo lupaukset voivat kuulua eri osapuolille ja kuvata silti yhtä toimivaa suunnittelua. Niiden erottaminen on päätös; teknologian nimen valitseminen ei ole.

Kolme lupausta yhdessä laajaverkkotarjouksessa

Ensimmäinen lupaus on siirto: mitkä toimipaikat yhdistyvät, mitä liityntäpiirejä pitkin ja kuka välittää paketteja niiden välillä. Toinen on reititys: mitkä etuliitteet saavat tavoittaa toisensa, kuka hyväksyy muutoksen ja miten liikenteesi pysyy erillään toisesta vuokralaisesta. Kolmas on suojaus: mikä salataan, minkä päätepisteiden välillä ja kuka pitää avaimet. Pyydä jokainen kirjallisesti, koska jokainen vastaus asuu eri asiakirjassa.

Palveluntarjoajan tarjous tapaa hinnoitella ensimmäisen, olettaa toisen ja jättää kolmannen sinulle. Se ei ole epärehellisyyttä; kolmea myyvät eri tiimit. Siitä tulee ongelma, kun suunnittelukatselmus havaitsee, että turvatiimi oletti salauksen ja verkkotiimi oletti operaattorin hoitavan sen. Lauseen jakaminen kolmeen maksaa tunnin ja estää tuon kokouksen.

Tunniste kuvaa välitystä, ei palvelua luovutuspisteessä

Moniprotokollinen tunnisteiden vaihto kertoo, miten paketti kulkee palveluntarjoajan verkon sisällä. Se ei kerro, mihin asiakas kytkeytyy tai mitä asiakas vaihtaa palveluntarjoajan reunan kanssa. Palveluntarjoaja voi rakentaa reititetyn IP VPN:n MPLS:n päälle tai täysin erilaisella liitäntämallilla toimivan kerroksen 2 palvelun, ja molemmat voivat saapua luoksesi „MPLS-yhteytenä“.

IETF:n palveluntarjoajan tarjoamien VPN:ien terminologia määrittelee sanaston juuri tätä varten: asiakasreuna, palveluntarjoajareuna ja niiden väliin rakennetut palvelumallit. Käytä sitä, kun tarjous hämärtää kerroksia, ja kysy, mikä luovutus fyysisesti on.

Reititetty palvelu antaa sinulle reitityssuhteen palveluntarjoajan reunaan, joten etuliitteen lisäämisestä tulee muutospyyntö kahdessa organisaatiossa. Kerroksen 2 luovutus kantaa oman reitityksesi ja siirtää operatiivisen taakan sinun puolellesi. Kumpikaan ei ole abstraktisti parempi; vastaus seuraa siitä, kuinka usein topologiasi muuttuu ja kenet haluat vastaamaan kolmelta aamuyöllä.

Salaus on lupaus, jota et voi delegoida vahingossa

Yksityinen siirto ei tee hyötykuormasta lukukelvotonta. Palveluntarjoajan erottelu pitää vuokralaiset toiminnallisesti erillään; se ei ole väite siitä, kuka voi tarkastella tavuja matkalla. Jos vaatimus on, että operaattori ei voi lukea liikennettä, vaatimus tarvitsee mekanismin, jota sinä hallitset, ja IPsec on tavallisin.

IPsec kulkee yksityisen siirron yli yhtä helposti kuin internetyhteyden yli, joten „MPLS vai IPsec“ on väärä valinta aina, kun tarvitset hallitun tavoitettavuuden ja oman luottamusrajasi samanaikaisesti. Päätä, mihin tunneli päättyy, koska reitittimelle päättyvä tunneli jättää reitittimen takaisen segmentin selkokielelle. Päätä sitten, kuka hallinnoi kutakin vastapuolta, sillä kolmannen osapuolen hallussa oleva avain ei ole raja, joka kuuluu sinulle.

Anna jokaiselle lupaukselle nimi ja mitattava raja

Kirjoita yksi rivi lupausta kohti omistajalla ja rajalla, joka voidaan mitata. Liityntäpiirin käytettävyys kuuluu sen toimittajalle, runkoverkon viive palveluntarjoajalle ja tunnelin elinvoimaisuus sille, joka ylläpitää päätepisteitä. Yksi ainoa päästä päähän -luku, jota kukaan ei mittaa, on luku, jota kukaan ei ole sinulle velkaa.

Palvelutasosopimus tulee sopimuksesta ja sen laajuudesta, ei teknologian nimen kirjaimista. IPsec ei vaadi best effort -internetsiirtoa, eikä MPLS itsessään kanna viivetakuuta; molemmat riippuvat alla olevasta verkosta ja valitsemistasi päätepisteistä.

Testaa piirtämäsi polku, myös sen vikaantuminen

Yksityinen siirto, jolla on runsas rajapinta, voi silti epäonnistua, kun peite lisää otsakkeita, ja oireena on istunto, joka muodostuu ja pysähtyy sitten suuriin vastauksiin. Testaa käyttökelpoinen koko sen sijaan, että järkeilisit sitä, ja kirjoita muistiin suurin paketti, joka kulkee päästä päähän. Tee se ennen kuin väittelet kaistanleveydestä, koska polku, joka pudottaa suuria paketteja, näyttää sovellusongelmalta. Luku kuuluu suunnitteluasiakirjaan jokaisen liityntäpiirin MTU:n viereen.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Nuo komennot tulevat Linux-isännältä yhdessä toimipaikassa; muut alustat kirjoittavat saman testin eri tavalla. Jos toimipaikka tarvitsee pienemmän arvon, se on kirjattava suunnittelurajoitus, ei raportoitava vika. Sama kuri koskee läpimenoa, koska salaus maksaa laskentatehoa ja päätepisteestä tulee osa kapasiteettilaskelmaa.

Piirrä kaksi kaaviota ennen allekirjoittamista: normaali polku jokainen omistaja merkittynä ja vikapolku samoilla merkinnöillä. Toinen paljastaa suunnitelmat, jotka näyttävät paperilla tarpeettomilta ja riippuvat käytännössä yhdestä laitteesta. Kun katkos tulee, juuri se piirros muuttaa hämmentävän aamun lyhyeksi triageksi.