MPLS VPN ou superposition IPsec : trois contrats à régler

Trois promesses tiennent dans un seul devis d’étendue géographique, et acheter l’une n’achète pas les autres. Quelqu’un achemine vos paquets, quelqu’un garde votre routage séparé de celui de tout autre client, et quelqu’un décide si la charge utile est lisible en transit. Ces promesses peuvent appartenir à des parties différentes et décrire pourtant une seule conception viable. Les séparer est la décision ; choisir un nom de technologie ne l’est pas.

Trois promesses dans un seul devis d’étendue géographique

La première promesse est le transport : quels sites se connectent, par quels circuits d’accès, et qui achemine les paquets entre eux. La deuxième est le routage : quels préfixes peuvent s’atteindre, qui approuve un changement, et comment votre trafic reste à l’écart d’un autre locataire. La troisième est la protection : ce qui est chiffré, entre quels points de terminaison, et qui détient les clés. Demandez chacune par écrit, car chaque réponse vit dans un document différent.

Un devis d’opérateur tend à chiffrer la première, à présumer la deuxième et à vous laisser la troisième. Ce n’est pas de la malhonnêteté ; les trois sont vendues par des équipes différentes. Cela devient un problème quand une revue de conception découvre que l’équipe sécurité présumait le chiffrement et que l’équipe réseau présumait que l’opérateur s’en chargeait. Découper la phrase en trois coûte une heure et évite cette réunion.

Une étiquette décrit l’acheminement, pas le service à la démarcation

La commutation d’étiquettes multiprotocole dit comment un paquet voyage dans un réseau d’opérateur. Elle ne dit pas à quoi le client se raccorde, ni ce que le client échange avec le bord de l’opérateur. Un opérateur peut construire un VPN IP routé sur MPLS, ou un service de couche 2 avec un modèle de raccordement entièrement différent, et les deux peuvent vous parvenir comme une « connexion MPLS ».

La terminologie des VPN fournis par l’opérateur de l’IETF définit le vocabulaire exactement pour cela : le bord client, le bord opérateur et les modèles de service construits entre eux. Utilisez-la quand un devis brouille les couches, et demandez ce qu’est physiquement la remise.

Un service routé vous donne une relation de routage avec le bord de l’opérateur, si bien qu’ajouter un préfixe devient une demande de changement dans deux organisations. Une remise de couche 2 porte votre propre routage et déplace la charge opérationnelle de votre côté. Aucune n’est meilleure dans l’absolu ; la réponse dépend de la fréquence à laquelle votre topologie change et de qui vous voulez voir répondre à trois heures du matin.

Le chiffrement est une promesse que vous ne pouvez pas déléguer par accident

Le transport privé ne rend pas une charge utile illisible. La séparation par l’opérateur garde les locataires à l’écart sur le plan opérationnel ; ce n’est pas une affirmation sur qui peut inspecter les octets sur le chemin. Si l’exigence est que l’opérateur ne puisse pas lire le trafic, cette exigence demande un mécanisme que vous contrôlez, et IPsec est le mécanisme habituel.

IPsec passe sur un transport privé aussi facilement que sur un accès internet, donc « MPLS ou IPsec » est un faux choix dès que vous avez besoin à la fois d’une joignabilité gérée et de votre propre frontière de confiance. Décidez où le tunnel se termine, car un tunnel qui aboutit sur un routeur laisse le segment derrière ce routeur en clair. Décidez ensuite qui administre chaque pair, puisqu’une clé détenue par un tiers n’est pas une frontière qui vous appartient.

Donnez à chaque promesse un nom et une frontière mesurable

Écrivez une ligne par promesse avec un propriétaire et une frontière qui peut être mesurée. La disponibilité d’un circuit d’accès appartient à son fournisseur, la latence du backbone appartient à l’opérateur, et la vitalité du tunnel appartient à qui exploite les points de terminaison. Un seul chiffre de bout en bout que personne ne mesure est un chiffre que personne ne vous doit.

Un accord de niveau de service vient du contrat et de son périmètre, pas des lettres d’un nom de technologie. IPsec n’exige pas un transport internet au mieux, et MPLS ne porte pas en soi de garantie de latence ; les deux dépendent du sous-jacent et des points de terminaison que vous choisissez.

Testez le chemin que vous avez dessiné, y compris sa défaillance

Un transport privé doté d’une interface généreuse peut encore échouer dès qu’une superposition ajoute des en-têtes, et le symptôme est une session qui s’établit puis se bloque sur les grandes réponses. Testez la taille utilisable au lieu d’en raisonner, et notez le plus gros paquet qui passe de bout en bout. Faites-le avant de discuter de bande passante, car un chemin qui jette les gros paquets ressemble à un problème d’application. Le chiffre appartient au document de conception, à côté de la MTU de chaque circuit d’accès.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ces commandes viennent d’un hôte Linux sur un site ; d’autres plateformes écrivent le même test différemment. Si un site a besoin d’une valeur plus petite, c’est une contrainte de conception à consigner, pas une panne à signaler. La même discipline s’applique au débit, car le chiffrement coûte du calcul et le point de terminaison fait partie du calcul de capacité.

Dessinez deux schémas avant de signer : le chemin normal avec chaque propriétaire étiqueté, et le chemin de défaillance avec les mêmes étiquettes. Le second expose des conceptions qui paraissent redondantes sur le papier et dépendent d’un seul équipement en pratique. Quand une panne arrive, c’est ce dessin qui transforme un matin confus en un tri court.