MPLS בתוך UDP: אנטרופיה לשכבת הבסיס, כללים לתחום

שני ספקים מתארים את אותה תווית שירות, ורק אחד מהם מזכיר כותרת UDP. ההבדל אינו קוסמטי: הצבת MPLS בתוך UDP משנה את מה שרשת ה-IP החיצונית יכולה לראות, ולכן את מה שהיא יכולה לגבב בין קישורים מקבילים. היא משנה גם מי רשאי לפרוס אותה.

השכבות קצרות מספיק לזכור: IP חיצוני, אחר כך UDP, אחר כך מחסנית תוויות MPLS, אחר כך מטען השירות. מחסנית התוויות אינה נעלמת; היא עדיין מחליטה על העברה בנקודת הקצה שמחדשת את מיתוג התוויות.

מה מוסיפה מעטפת UDP

RFC 7510 מגדיר את העטיפה הזו עם פורט יעד UDP 6635 ומשתמש בשדה פורט המקור כדי לשאת אנטרופיית זרימה. ההתקן העוטף מחליט מה נחשב לזרימה וכיצד לגזור את הערך; התקן במכוון אינו מחייב גיבוב אחד. זה משאיר מקום להתנהגות ספק, ומשמעות הדבר ששתי מימושים יכולים להפיק התפלגויות שונות לאותו תמהיל תעבורה. קראו את הערך כרמז המוצע לשכבה התחתונה, לא כהחלטת ניתוב שהתקן מקבל.

התועלת עקיפה. רשת מעבר שמאזנת עומס לפי חמישייה חיצונית כבר יש לה משהו לגבב, בעוד שחבילת MPLS חשופה אולי הציעה רק את התווית העליונה. אם זה עוזר תלוי בפלטפורמה שמבצעת את האיזון ובאילו שדות היא באמת מתחשבת.

אנטרופיה אינה רוחב פס

פיזור זרימות באופן אחיד יותר על הקישורים הזמינים אינו אותו דבר כמו איחודן למסלול אחד מהיר יותר. זרימת יישום בודדת עדיין עוברת במסלול אחד, ואיזון לפי זרימה אינו יכול לעלות על הקיבולת של הקישור שהיא נוחתת עליו. המנגנון גם אינו מבטיח התפלגות אחידה; הוא רק נותן לפונקציית גיבוב קלט טוב יותר.

שמרו על המעטפת יציבה לזרימה נתונה אלא אם סידור מחדש מקובל. אם פורט המקור משתנה לכל חבילה, השכבה התחתונה תפזר בשמחה שיחה אחת על פני כמה מסלולים והרכבה מחדש תהפוך לבעיה של היישום. המטרה היא אנטרופיה עקבית לכל זרימה, לא חידוש מתמיד.

גבול הפריסה הוא חלק מהמפרט

RFC 7510 מגביל את הפריסה לרשת של מפעיל יחיד או אל קבוצה סמוכה של מפעילים משתפי פעולה, כאשר התעבורה מנוהלת כדי להימנע מעומס יתר. הוא גם קורא לסינון שמונע מתעבורה עטופה להימלט מאותו תחום. אלו אינם תנאים דקורטיביים; הם נובעים מכך שהעטיפה אינה מוסיפה אבטחה משלה. התייחסו אליהם כתנאים מוקדמים לפריסה לגיטימית, לא כהצעות בהערת תכנון.

שום דבר בכותרת UDP אינו מאמת את השולח, ושום דבר בה אינו מספק סודיות או שלמות למטען. אם התעבורה זקוקה להגנה, היא מגיעה ממנגנון נפרד עם ניהול מפתחות משלו. בחירת MPLS-in-UDP אינה משדרגת את מודל האמון.

שימו לב מה ההגנה עושה לגיבוב שרציתם

הוסיפו IPsec או עטיפת אבטחה אחרת, והכותרת החיצונית שהתקני מעבר מגבבים עשויה לשנות צורה לחלוטין. מצב מנהרה יכול להסתיר את פורט המקור הפנימי של UDP מאחורי כותרת חיצונית חדשה, כלומר האנטרופיה שסיפקתם בקפידה עשויה שלא להיות גלויה במקום שבו מתרחש האיזון. הצפנה תחילה ועטיפה לאחר מכן היא תכנון שונה מהסדר ההפוך, וההבדל מתבטא בקישור שנושא תעבורה רבה בהרבה משכניו.

העריכו את החבילה השלמה כפי שהיא מופיעה על החוט, לא רק את השכבה שהתקן מתאר. זו גם הנקודה לשקול מחדש את ה-MTU ואת קיבולת נקודת הקצה, כי כותרת UDP ועוד כל תקורת אבטחה מקטינות את המטען שנכנס.

החליטו עם כל המסלול לעין

השוו את MPLS-in-UDP לחלופות כמו GRE לפי הקריטריונים שחשובים לרשת שלכם: לפי אילו שדות השכבה התחתונה מאזנת, כמה תקורה אתם יכולים להרשות לעצמכם, איזו מעטפת אבטחה נדרשת, והאם ניתן לאכוף את גבול התחום. לייחס לו יתרון ביצועים בלתי מותנה על GRE הוא מסקנה שהתקנים אינם תומכים בה.

לאחר מכן בדקו עם תמהילי תעבורה אמיתיים ובדקו ניצול קישור לכל חבר, כי גיבוב שנראה טוב במעבדה יכול לקרוס לקישור אחד כאשר כל הזרימות חולקות אותה שישייה. הסיכום הכנה הוא שהעטיפה חושפת מידע שהשכבה התחתונה יכולה להשתמש בו, בתוך תחום שהסכים לנהל אותה.