MPLS dans UDP : entropie pour le sous-réseau, règles pour le domaine

Deux fournisseurs décrivent la même étiquette de service, et un seul mentionne un en-tête UDP. La différence n’est pas cosmétique : placer MPLS dans UDP change ce que le réseau IP externe peut voir, et donc ce qu’il peut hacher entre des liens parallèles. Cela change aussi qui est autorisé à le déployer.

L’empilement est assez court pour être mémorisé : IP externe, puis UDP, puis la pile d’étiquettes MPLS, puis la charge utile du service. La pile d’étiquettes ne disparaît pas ; elle décide toujours de l’acheminement au point d’extrémité qui reprend la commutation d’étiquettes.

Ce que l’enveloppe UDP ajoute

La RFC 7510 définit cette encapsulation avec le port de destination UDP 6635 et utilise le champ de port source pour transporter l’entropie de flux. L’équipement qui encapsule décide de ce qui compte comme flux et de la façon de dériver la valeur ; la norme n’impose délibérément pas un hachage particulier. Cela laisse place au comportement du fournisseur, et cela signifie que deux implémentations peuvent produire des distributions différentes pour le même mélange de trafic. Lisez la valeur comme une indication offerte à la sous-couche, non comme une décision de routage prise par la norme.

Le bénéfice est indirect. Un réseau de transit qui équilibre la charge sur un quintuplet externe dispose désormais de quelque chose à hacher, là où un paquet MPLS nu n’offrait peut-être que l’étiquette supérieure. Que cela aide dépend de la plateforme qui effectue l’équilibrage et des champs qu’elle prend réellement en compte.

L’entropie n’est pas de la bande passante

Répartir les flux plus uniformément sur les liens disponibles n’est pas la même chose que les combiner en un seul chemin plus rapide. Un flux applicatif unique emprunte toujours un seul chemin, et l’équilibrage par flux ne peut pas dépasser la capacité du lien sur lequel il atterrit. Le mécanisme ne garantit pas non plus une répartition uniforme ; il donne seulement de meilleures entrées à une fonction de hachage.

Gardez l’enveloppe stable pour un flux donné, sauf si la réorganisation est acceptable. Si le port source change à chaque paquet, la sous-couche répartira volontiers une conversation sur plusieurs chemins et le réassemblage deviendra le problème de l’application. L’objectif est une entropie cohérente par flux, non une nouveauté constante.

La frontière de déploiement fait partie de la spécification

La RFC 7510 restreint le déploiement au réseau d’un seul opérateur ou à un ensemble adjacent d’opérateurs coopérants, avec un trafic géré pour éviter la congestion. Elle demande aussi un filtrage qui empêche le trafic encapsulé de s’échapper de ce domaine. Ce ne sont pas des conditions décoratives ; elles découlent du fait que l’encapsulation n’ajoute aucune sécurité propre. Traitez-les comme des prérequis à un déploiement légitime, non comme des suggestions dans une note de conception.

Rien dans l’en-tête UDP n’authentifie l’expéditeur, et rien n’y assure la confidentialité ou l’intégrité de la charge utile. Si le trafic a besoin de protection, elle vient d’un mécanisme séparé avec sa propre gestion de clés. Choisir MPLS-in-UDP n’améliore pas le modèle de confiance.

Attention à ce que la protection fait au hachage recherché

Ajoutez IPsec ou une autre encapsulation de sécurité, et l’en-tête externe que hachent les équipements de transit peut changer complètement de forme. Le mode tunnel peut masquer le port source UDP interne derrière un nouvel en-tête externe, ce qui signifie que l’entropie soigneusement fournie peut ne pas être visible là où l’équilibrage a lieu. Chiffrer d’abord puis encapsuler est une conception différente de l’ordre inverse, et la différence se manifeste par un lien qui transporte bien plus de trafic que ses voisins.

Évaluez le paquet complet tel qu’il apparaît sur le fil, pas seulement la couche que décrit la norme. C’est aussi le moment de reconsidérer le MTU et la capacité du point d’extrémité, car un en-tête UDP plus toute surcharge de sécurité réduit la charge utile qui tient.

Décidez avec tout le chemin en vue

Comparez MPLS-in-UDP aux alternatives comme GRE selon les critères qui comptent pour votre réseau : sur quels champs la sous-couche équilibre, quelle surcharge vous pouvez vous permettre, quelle enveloppe de sécurité est requise et si la frontière du domaine peut être appliquée. Lui attribuer un avantage de performance inconditionnel sur GRE est une conclusion que les normes ne soutiennent pas.

Testez ensuite avec des mélanges de trafic réels et vérifiez l’utilisation des liens par membre, car un hachage qui semble bon en laboratoire peut s’effondrer sur un seul lien lorsque tous les flux partagent un même tuple. Le résumé honnête est que l’encapsulation expose des informations que la sous-couche peut utiliser, au sein d’un domaine qui a accepté de les gérer.