MPLS VPN ou superposición IPsec: tres contratos que pechar

Tres promesas caben nunha soa cotización de área ampla, e comprar unha non compra as demais. Alguén reenvía os teus paquetes, alguén mantén o teu encamiñamento separado de calquera outro cliente, e alguén decide se a carga útil é lexible en tránsito. Esas promesas poden pertencer a partes distintas e aínda así describir un deseño viable. Sepáralas é a decisión; escoller o nome dunha tecnoloxía non o é.

Tres promesas nunha cotización de área ampla

A primeira promesa é o transporte: que sedes se conectan, por que circuítos de acceso, e quen reenvía paquetes entre elas. A segunda é o encamiñamento: que prefixos poden alcanzarse entre si, quen aproba un cambio, e como o teu tráfico se mantén á parte do doutro inquilino. A terceira é a protección: que se cifra, entre que extremos, e quen garda as chaves. Pide cada unha por escrito, porque cada resposta vive nun documento distinto.

Unha cotización de provedor tende a poñer prezo á primeira, dar por suposta a segunda e deixarche a terceira. Iso non é deshonestidade; as tres véndeas equipos distintos. Convértese nun problema cando unha revisión de deseño descobre que o equipo de seguridade deu por suposto o cifrado e o de rede deu por suposto que a operadora se encargaba. Dividir a frase en tres custa unha hora e evita esa reunión.

Unha etiqueta describe o reenvío, non o servizo na demarcación

A conmutación de etiquetas multiprotocolo di como viaxa un paquete dentro dunha rede de provedor. Non di a que se conecta o cliente nin que intercambia o cliente co bordo do provedor. Un provedor pode construír unha IP VPN encamiñada sobre MPLS, ou un servizo de capa 2 cun modelo de conexión completamente distinto, e ambos poden chegarte como «conexión MPLS».

A terminoloxía de VPN aprovisionadas polo provedor do IETF define o vocabulario xusto para isto: o bordo do cliente, o bordo do provedor e os modelos de servizo construídos entre ambos. Úsaa cando unha cotización difumina as capas, e pregunta que é fisicamente a entrega.

Un servizo encamiñado dálle unha relación de encamiñamento co bordo do provedor, de modo que engadir un prefixo convértese nunha solicitude de cambio en dúas organizacións. Unha entrega de capa 2 leva o teu propio encamiñamento e traslada a carga operativa ao teu lado. Ningunha é mellor en abstracto; a resposta depende da frecuencia con que cambia a túa topoloxía e de quen queres que responda ás tres da madrugada.

O cifrado é unha promesa que non podes delegar por accidente

O transporte privado non fai ilexible unha carga útil. A separación do provedor mantén os inquilinos á parte no operativo; non é unha declaración sobre quen pode inspeccionar os bytes no camiño. Se o requisito é que a operadora non poida ler o tráfico, ese requisito necesita un mecanismo que ti controles, e IPsec é o habitual.

IPsec funciona sobre transporte privado coa mesma facilidade que sobre acceso a internet, así que «MPLS ou IPsec» é unha falsa elección sempre que necesites alcance xestionado e a túa propia fronteira de confianza á vez. Decide onde remata o túnel, porque un túnel que acaba nun router deixa o segmento detrás dese router en texto claro. Despois decide quen administra cada par, xa que unha chave en mans dun terceiro non é unha fronteira que ti posúas.

Dálle a cada promesa un nome e un bordo medible

Escribe unha liña por promesa cun propietario e unha fronteira que se poida medir. A dispoñibilidade dun circuíto de acceso pertence ao seu provedor, a latencia do backbone pertence ao provedor, e a vitalidade do túnel pertence a quen opera os extremos. Un só número de extremo a extremo que ninguén mide é un número que ninguén che debe.

Un acordo de nivel de servizo provén do contrato e do seu alcance, non das letras dun nome de tecnoloxía. IPsec non require transporte de internet de mellor esforzo, e MPLS non leva por si só unha garantía de latencia; ambos dependen da rede subxacente e dos extremos que escollas.

Proba o camiño que debuxaches, incluído o seu fallo

Un transporte privado cunha interface xenerosa aínda pode fallar cando unha superposición engade cabeceiras, e o síntoma é unha sesión que se establece e despois se atasca en respostas grandes. Proba o tamaño utilizábel en lugar de razoar sobre el, e anota o paquete máis grande que pasa de extremo a extremo. Faino antes de discutir sobre ancho de banda, porque un camiño que descarta paquetes grandes parece un problema da aplicación. O número pertence ao documento de deseño xunto á MTU de cada circuíto de acceso.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Eses comandos veñen dun host Linux nunha sede; outras plataformas escriben a mesma proba doutro xeito. Se unha sede precisa un valor menor, é unha restrición de deseño que anotar, non un fallo que reportar. A mesma disciplina se aplica ao rendemento, porque o cifrado custa procesamento e o extremo pasa a formar parte do cálculo de capacidade.

Debuxa dous diagramas antes de asinar: o camiño normal con cada propietario etiquetado, e o camiño de fallo coas mesmas etiquetas. O segundo expón deseños que parecen redundantes sobre o papel e dependen na práctica dun só dispositivo. Cando chega unha caída, ese debuxo é o que converte unha mañá confusa nun triaxe breve.