MPLS VPN או שכבת IPsec: שלושה חוזים שיש לסגור

שלוש הבטחות יושבות בהצעת מחיר אחת לרשת רחבה, וקניית האחת אינה קונה את האחרות. מישהו מעביר את המנות שלכם, מישהו מחזיק את הניתוב שלכם בנפרד מכל לקוח אחר, ומישהו מחליט אם המטען קריא בדרך. ההבטחות האלה יכולות להשתייך לצדדים שונים ובכל זאת לתאר תכנון אחד בר-קיימא. ההפרדה ביניהן היא ההחלטה; בחירת שם טכנולוגיה אינה.

שלוש הבטחות בהצעת מחיר אחת לרשת רחבה

ההבטחה הראשונה היא תעבורה: אילו אתרים מתחברים, דרך אילו קווי גישה, ומי מעביר מנות ביניהם. השנייה היא ניתוב: אילו קידומות יכולות להגיע זו לזו, מי מאשר שינוי, ואיך התעבורה שלכם נשארת נפרדת משוכר אחר. השלישית היא הגנה: מה מוצפן, בין אילו נקודות קצה, ומי מחזיק במפתחות. בקשו כל אחת בכתב, כי כל תשובה חיה במסמך אחר.

הצעת מחיר של ספק נוטה לתמחר את הראשונה, להניח את השנייה ולהשאיר את השלישית לכם. זו אינה חוסר יושר; את השלוש מוכרים צוותים שונים. זה הופך לבעיה כשסקירת תכנון מגלה שצוות האבטחה הניח הצפנה וצוות הרשת הניח שהספק מטפל בזה. פיצול המשפט לשלושה עולה שעה ומונע את אותה פגישה.

תווית מתארת העברה, לא את השירות בנקודת המסירה

מיתוג תוויות מרובה פרוטוקולים אומר איך מנה נוסעת בתוך רשת של ספק. הוא לא אומר למה הלקוח מתחבר או מה הלקוח מחליף עם קצה הספק. ספק יכול לבנות IP VPN מנותב על MPLS, או שירות בשכבה 2 עם מודל חיבור שונה לחלוטין, ושניהם יכולים להגיע אליכם כ„חיבור MPLS”.

הטרמינולוגיה של IETF ל-VPN המסופקים על ידי הספק מגדירה את אוצר המילים בדיוק לכך: קצה הלקוח, קצה הספק ומודלי השירות שנבנים ביניהם. השתמשו בה כשהצעה מטשטשת את השכבות, ושאלו מהי המסירה פיזית.

שירות מנותב נותן לכם יחסי ניתוב עם קצה הספק, כך שהוספת קידומת הופכת לבקשת שינוי בשני ארגונים. מסירה בשכבה 2 נושאת את הניתוב שלכם ומעבירה את העומס התפעולי לצד שלכם. אף אחת מהן אינה טובה יותר באופן מופשט; התשובה נובעת מכמה פעמים משתנה הטופולוגיה שלכם ומי תרצו שיענה בשלוש לפנות בוקר.

הצפנה היא הבטחה שאי אפשר להאציל בטעות

תעבורה פרטית אינה הופכת מטען ללא קריא. ההפרדה של הספק מחזיקה שוכרים בנפרד תפעולית; זו אינה אמירה על מי יכול לבדוק את הבתים בדרך. אם הדרישה היא שהספק לא יוכל לקרוא את התעבורה, הדרישה הזו צריכה מנגנון שאתם שולטים בו, ו-IPsec הוא הרגיל.

IPsec פועל על תעבורה פרטית באותה קלות כמו על גישה לאינטרנט, כך ש„MPLS או IPsec” היא בחירה כוזבת בכל פעם שאתם צריכים נגישות מנוהלת וגם את גבול האמון שלכם בו-זמנית. החליטו היכן המנהרה מסתיימת, כי מנהרה שמסתיימת בנתב משאירה את הקטע שמאחורי הנתב בטקסט גלוי. אחר כך החליטו מי מנהל כל עמית, שכן מפתח שמוחזק בידי צד שלישי אינו גבול שבבעלותכם.

תנו לכל הבטחה שם וגבול מדיד

כתבו שורה אחת לכל הבטחה עם בעלים וגבול שאפשר למדוד. הזמינות של קו גישה שייכת לספק שלו, השהיית עמוד השדרה שייכת לספק, וחיוניות המנהרה שייכת למי שמפעיל את נקודות הקצה. מספר אחד מקצה לקצה שאיש לא מודד הוא מספר שאיש לא חייב לכם.

הסכם רמת שירות מגיע מהחוזה ומההיקף שלו, לא מהאותיות בשם של טכנולוגיה. IPsec אינו דורש תעבורת אינטרנט במאמץ מיטבי, ו-MPLS אינו נושא מעצמו הבטחת השהיה; שניהם תלויים ברשת הבסיסית ובנקודות הקצה שתבחרו.

בדקו את המסלול שציירתם, כולל הכשל שלו

תעבורה פרטית עם ממשק נדיב יכולה בכל זאת להיכשל כששכבה מוסיפה כותרות, והתסמין הוא הפעלה שנקבעת ואז נתקעת בתגובות גדולות. בדקו את הגודל השמיש במקום לנמק עליו, ורשמו את המנה הגדולה ביותר שעוברת מקצה לקצה. עשו זאת לפני שתתווכחו על רוחב פס, כי מסלול שמפיל מנות גדולות נראה כמו בעיית יישום. המספר שייך למסמך התכנון לצד ה-MTU של כל קו גישה.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

הפקודות האלה מגיעות ממארח Linux באתר אחד; פלטפורמות אחרות כותבות את אותה בדיקה אחרת. אם אתר צריך ערך קטן יותר, זהו אילוץ תכנון לתיעוד, לא תקלה לדיווח. אותה משמעת חלה על תפוקה, כי הצפנה עולה עיבוד ונקודת הקצה הופכת לחלק מחישוב הקיבולת.

ציירו שני תרשימים לפני החתימה: המסלול הרגיל עם כל בעלים מסומן, ומסלול הכשל עם אותם סימונים. השני חושף תכנונים שנראים מיותרים על הנייר ותלויים במכשיר אחד בפועל. כשמגיעה הפסקה, אותו תרשים הוא שהופך בוקר מבלבל למיון קצר.