MPLS-VPN of IPsec-oerliz: trije kontrakten om ôf te hanneljen

Trije tasizzings sitte yn ien inkelde wide-area-offerte, en ien keapje keapet de oaren net. Immen stjoert dyn pakketten troch, immen hâldt dyn routing skieden fan elke oare klant, en immen beslút oft de payload ûnderweis lêsber is. Dy tasizzings kinne by ferskate partijen hearre en dochs ien wurkber ûntwerp beskriuwe. Se skiede is de beslissing; in technologynamme kieze net.

Trije tasizzings yn ien inkelde wide-area-offerte

De earste tasizzing is ferfier: hokker lokaasjes ferbine, oer hokker tagongskringen, en wa pakketten dêrtusken trochstjoert. De twadde is routing: hokker prefiksen inoar berikke meie, wa’t in wiziging goedkart, en hoe’t dyn ferkear skieden bliuwt fan in oare hierder. De tredde is beskerming: wat fersifere is, tusken hokker einpunten, en wa’t de kaaien hat. Freegje elke skriftlik, want elk antwurd wennet yn in oar dokumint.

In providerofferte hat de oanstriid om de earste te priizgjen, de twadde oan te nimmen en de tredde oan dy oer te litten. Dat is gjin ûnearlikheid; de trije wurde troch ferskate teams ferkocht. It wurdt in probleem as in ûntwerpbeoardieling ûntdekt dat it befeiligingsteam fersifering oannaam en it netwurksteam oannaam dat de provider dat regele. De sin yn trijen splitsje kostet in oere en foarkomt dy gearkomste.

In label beskriuwt trochstjoeren, net de tsjinst by it oerdrachtpunt

Multiprotocol label switching seit hoe’t in pakket binnen in providernetwurk reizget. It seit net wêr’t de klant op oanslút, of wat de klant mei de providerrâne útwikselet. In provider kin in routere IP-VPN op MPLS bouwe, of in layer-2-tsjinst mei in hiel oar oanslútmodele, en beide kinne dy berikke as in „MPLS-ferbining”.

De IETF-terminology foar troch de provider levere VPN’s definiearret it wurdskat krekt hjirfoar: de klantrâne, de providerrâne en de tsjinstmodellen dy’t dêrtusken boud wurde. Brûk dy as in offerte de lagen fertroebelt, en freegje wat de oerdracht fysyk is.

In routere tsjinst jout dy in routeringsrelaasje mei de providerrâne, dus in prefiks tafoegje wurdt in wizigingsfersyk yn twa organisaasjes. In layer-2-oerdracht draacht dyn eigen routing en ferpleatst de operasjonele lêst nei dyn kant. Gjin fan beide is yn it abstrakte better; it antwurd folget út hoe faak dyn topology feroaret en wa’t do om trije oere nachts antwurdzje wolst.

Fersifering is in tasizzing dy’t do net by ûngelok delegere kinst

Priveeferfier makket in payload net ûnlêsber. Skieding troch de provider hâldt hierders operasjoneel útinoar; it is gjin útspraak oer wa’t de bytes op it paad ynspektearje kin. As de eask is dat de provider it ferkear net lêze kin, hat dy eask in meganisme nedich dat do beheart, en IPsec is de gebrûklike.

IPsec rint like maklik oer priveeferfier as oer internettagong, dus „MPLS of IPsec” is in falske kar wannear’t do beheard berik en dyn eigen fertrouwensgrins tagelyk nedich hast. Bepaal wêr’t de tunnel einiget, want in tunnel dy’t op in router einiget, lit it segmint efter dy router yn kleare tekst. Bepaal dêrnei wa’t elke peer beheart, want in kaai by in tredde partij is gjin grins dy’t do besitst.

Jou elke tasizzing in namme en in mjitbere grins

Skriuw ien rigel per tasizzing mei in eigner en in grins dy’t mjitten wurde kin. De beskikberens fan in tagongskring heart by syn leveransier, de backbone-latinsje heart by de provider, en de libbenskrêft fan de tunnel heart by wa’t de einpunten driuwt. Ien inkeld end-to-end-getal dat nimmen mjit, is in getal dat nimmen dy skuldich is.

In service level agreement komt út it kontrakt en syn omfang, net út de letters fan in technologynamme. IPsec easket gjin best-effort internettferfier, en MPLS draacht op himsels gjin latencygarânsje; beide hingje ôf fan it ûnderlizzende netwurk en de einpunten dy’t do kiest.

Test it paad dat do tekene hast, ynklusyf it mislearjen dêrfan

In priveeferfier mei in romme ynterface kin dochs mislearje sadree’t in overlay headers taheakket, en it symptoom is in sesje dy’t ta stân komt en dan fêstrint op grutte antwurden. Test de brûkbere grutte yn plak fan deroer te redenearjen, en skriuw it grutste pakket op dat end-to-end trochkomt. Doch dat foardat do oer bânbreedte diskusjearrest, want in paad dat grutte pakketten falle lit, liket op in applikaasjeprobleem. It getal heart yn it ûntwerpdokumint neist de MTU fan elke tagongskring.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Dy kommando’s komme fan in Linux-host op ien lokaasje; oare platfoarms skriuwe deselde test oars. As in lokaasje in lytsere wearde nedich hat, is dat in ûntwerppeheining om fêst te lizzen, gjin flater om te melden. Deselde dissipline jildt foar trochstreaming, want fersifering kostet ferwurking en it einpunt wurdt diel fan de kapasiteitsberekkening.

Tekenje twa diagrammen foardat do ûndertekenest: it normale paad mei elke eigner labelle, en it flaterpaad mei deselde labels. It twadde leit ûntwerpen bleat dy’t op papier oerstallich lykje en yn de praktyk fan ien apparaat ôfhingje. As in steuring komt, is it dy tekening dy’t in betiizjende moarn yn in koarte triage feroaret.