MPLS VPN या IPsec परत: तीन अनुबंध जिन्हें तय करना है

तीन वादे एक ही विस्तृत क्षेत्र के कोटेशन में बैठते हैं, और एक खरीदना बाकी नहीं खरीदता। कोई आपके पैकेट आगे भेजता है, कोई आपकी राउटिंग को हर दूसरे ग्राहक से अलग रखता है, और कोई तय करता है कि पेलोड पारगमन में पढ़ने योग्य है या नहीं। वे वादे अलग-अलग पक्षों के हो सकते हैं और फिर भी एक व्यवहार्य डिज़ाइन का वर्णन करते हैं। उन्हें अलग करना ही निर्णय है; किसी तकनीक का नाम चुनना नहीं।

एक ही विस्तृत क्षेत्र के कोटेशन में तीन वादे

पहला वादा परिवहन है: कौन साइटें जुड़ती हैं, किन एक्सेस सर्किट पर, और उनके बीच पैकेट कौन आगे भेजता है। दूसरा राउटिंग है: कौन से प्रीफ़िक्स एक-दूसरे तक पहुँच सकते हैं, बदलाव कौन मंज़ूर करता है, और आपका ट्रैफ़िक किसी दूसरे किरायेदार से अलग कैसे रहता है। तीसरा सुरक्षा है: क्या एन्क्रिप्ट होता है, किन अंतिम बिंदुओं के बीच, और चाबियाँ किसके पास हैं। हर एक लिखित में माँगें, क्योंकि हर जवाब अलग दस्तावेज़ में रहता है।

प्रदाता का कोटेशन आमतौर पर पहले की कीमत तय करता है, दूसरे को मान लेता है और तीसरा आप पर छोड़ देता है। यह बेईमानी नहीं है; तीनों अलग-अलग टीमें बेचती हैं। यह समस्या तब बनती है जब डिज़ाइन समीक्षा पाती है कि सुरक्षा टीम ने एन्क्रिप्शन मान लिया था और नेटवर्क टीम ने मान लिया था कि कैरियर इसे संभाल रहा है। वाक्य को तीन में बाँटने में एक घंटा लगता है और वह बैठक रुक जाती है।

लेबल फ़ॉरवर्डिंग का वर्णन करता है, हैंडऑफ़ पर सेवा का नहीं

मल्टीप्रोटोकॉल लेबल स्विचिंग बताती है कि पैकेट प्रदाता के नेटवर्क के भीतर कैसे यात्रा करता है। यह नहीं बताती कि ग्राहक किससे जुड़ता है, या ग्राहक प्रदाता के किनारे के साथ क्या बदलता है। कोई प्रदाता MPLS पर राउटेड IP VPN बना सकता है, या पूरी तरह अलग कनेक्शन मॉडल वाली परत 2 सेवा, और दोनों आप तक «MPLS कनेक्शन» के रूप में पहुँच सकते हैं।

IETF की प्रदाता-प्रदत्त VPN शब्दावली ठीक इसके लिए शब्दावली परिभाषित करती है: ग्राहक किनारा, प्रदाता किनारा, और उनके बीच बने सेवा मॉडल। इसका उपयोग तब करें जब कोटेशन परतों को धुँधला करे, और पूछें कि हैंडऑफ़ भौतिक रूप से क्या है।

राउटेड सेवा आपको प्रदाता किनारे के साथ राउटिंग संबंध देती है, इसलिए प्रीफ़िक्स जोड़ना दो संगठनों में बदलाव का अनुरोध बन जाता है। परत 2 हैंडऑफ़ आपकी अपनी राउटिंग ले जाता है और परिचालन भार आपकी ओर ले जाता है। कोई भी अमूर्त रूप से बेहतर नहीं है; जवाब इससे आता है कि आपकी टोपोलॉजी कितनी बार बदलती है और आप रात तीन बजे किसे जवाब देते देखना चाहते हैं।

एन्क्रिप्शन एक वादा है जिसे आप संयोग से सौंप नहीं सकते

निजी परिवहन पेलोड को अपठनीय नहीं बनाता। प्रदाता का अलगाव किरायेदारों को परिचालन रूप से अलग रखता है; यह इस बारे में कथन नहीं है कि रास्ते में बाइट्स कौन जाँच सकता है। अगर आवश्यकता यह है कि कैरियर ट्रैफ़िक नहीं पढ़ सके, तो उस आवश्यकता को आपके नियंत्रण वाला तंत्र चाहिए, और IPsec सामान्य है।

IPsec निजी परिवहन पर उतनी ही आसानी से चलता है जितना इंटरनेट एक्सेस पर, इसलिए «MPLS या IPsec» झूठा चुनाव है जब भी आपको एक साथ प्रबंधित पहुँच और अपनी स्वयं की विश्वास सीमा चाहिए। तय करें कि टनल कहाँ खत्म होता है, क्योंकि राउटर पर खत्म होने वाला टनल उस राउटर के पीछे का खंड स्पष्ट पाठ में छोड़ देता है। फिर तय करें कि हर साथी को कौन प्रशासित करता है, क्योंकि तीसरे पक्ष के पास रखी चाबी वह सीमा नहीं है जो आपकी है।

हर वादे को नाम और मापने योग्य सीमा दें

हर वादे के लिए मालिक और मापने योग्य सीमा वाली एक पंक्ति लिखें। एक्सेस सर्किट की उपलब्धता उसके आपूर्तिकर्ता की है, बैकबोन विलंबता प्रदाता की है, और टनल की जीवंतता उनकी है जो अंतिम बिंदु चलाते हैं। एक ही शुरू से अंत तक का आँकड़ा जिसे कोई नहीं मापता वह आँकड़ा है जो कोई आपका देनदार नहीं।

सेवा-स्तर समझौता अनुबंध और उसके दायरे से आता है, किसी तकनीक के नाम के अक्षरों से नहीं। IPsec को सर्वोत्तम-प्रयास इंटरनेट परिवहन की आवश्यकता नहीं, और MPLS अपने आप विलंब की गारंटी नहीं रखता; दोनों अंतर्निहित नेटवर्क और आपके चुने अंतिम बिंदुओं पर निर्भर हैं।

जो रास्ता आपने खींचा उसे परखें, उसकी विफलता सहित

उदार इंटरफ़ेस वाला निजी परिवहन भी विफल हो सकता है जब कोई परत हेडर जोड़ती है, और लक्षण वह सत्र है जो स्थापित होकर बड़े जवाबों पर अटक जाता है। इसके बारे में तर्क करने के बजाय उपयोगी आकार परखें, और सबसे बड़ा पैकेट लिखें जो शुरू से अंत तक गुज़रता है। बैंडविड्थ पर बहस से पहले यह करें, क्योंकि बड़े पैकेट गिराने वाला रास्ता एप्लिकेशन की समस्या जैसा दिखता है। यह संख्या हर एक्सेस सर्किट के MTU के बगल में डिज़ाइन दस्तावेज़ की है।

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

वे कमांड एक साइट पर Linux होस्ट से आते हैं; दूसरे प्लेटफ़ॉर्म वही परीक्षण अलग तरह से लिखते हैं। अगर किसी साइट को छोटा मान चाहिए, तो यह दर्ज करने योग्य डिज़ाइन बाधा है, रिपोर्ट करने योग्य खराबी नहीं। वही अनुशासन थ्रूपुट पर भी लागू होता है, क्योंकि एन्क्रिप्शन प्रोसेसिंग का खर्च है और अंतिम बिंदु क्षमता गणना का हिस्सा बन जाता है।

हस्ताक्षर से पहले दो आरेख बनाएँ: सामान्य रास्ता जिसमें हर मालिक का लेबल हो, और विफलता का रास्ता उन्हीं लेबलों के साथ। दूसरा ऐसे डिज़ाइन उजागर करता है जो कागज़ पर अतिरिक्त लगते हैं और व्यवहार में एक ही उपकरण पर निर्भर हैं। जब व्यवधान आता है, वही चित्र एक उलझी सुबह को छोटे ट्रायाज में बदल देता है।