MPLS VPN ili IPsec nadgradnja: tri ugovora koja treba razriješiti

Tri obećanja stoje unutar jedne ponude za široko područje, i kupnja jednoga ne kupuje ostala. Netko prosljeđuje vaše pakete, netko drži vaše usmjeravanje odvojeno od svakog drugog korisnika, i netko odlučuje je li sadržaj čitljiv u prijenosu. Ta obećanja mogu pripadati različitim stranama i ipak opisivati jedan izvediv dizajn. Razdvojiti ih je odluka; odabrati ime tehnologije nije.

Tri obećanja unutar jedne ponude za široko područje

Prvo obećanje je prijenos: koja se mjesta povezuju, preko kojih pristupnih vodova, i tko prosljeđuje pakete između njih. Drugo je usmjeravanje: koji prefiksi mogu dosegnuti jedni druge, tko odobrava promjenu, i kako vaš promet ostaje odvojen od drugog zakupca. Treće je zaštita: što se šifrira, između kojih krajnjih točaka, i tko drži ključeve. Zatražite svako pisano, jer svaki odgovor živi u drugom dokumentu.

Ponuda pružatelja obično naplaćuje prvo, pretpostavlja drugo i treće ostavlja vama. To nije nepoštenje; ta tri prodaju različiti timovi. Problem nastaje kad pregled dizajna otkrije da je sigurnosni tim pretpostavio enkripciju, a mrežni tim pretpostavio da se time bavi operater. Podijeliti rečenicu na tri košta sat vremena i sprječava taj sastanak.

Oznaka opisuje prosljeđivanje, ne uslugu na predajnoj točki

Multipleksiranje oznaka više protokola govori kako paket putuje unutar mreže pružatelja. Ne govori na što se korisnik spaja ni što korisnik razmjenjuje s rubom pružatelja. Pružatelj može izgraditi usmjereni IP VPN na MPLS-u ili uslugu sloja 2 s posve drugačijim modelom priključka, a oboje vam može doći kao „MPLS veza“.

Terminologija IETF-a za VPN koji osigurava pružatelj definira rječnik upravo za to: rub korisnika, rub pružatelja i servisne modele izgrađene između njih. Upotrijebite je kad ponuda zamućuje slojeve, i pitajte što je predaja fizički.

Usmjerena usluga daje vam odnos usmjeravanja s rubom pružatelja, pa dodavanje prefiksa postaje zahtjev za promjenu u dvije organizacije. Predaja sloja 2 nosi vaše vlastito usmjeravanje i premješta operativni teret na vašu stranu. Nijedno nije bolje u apstraktnom smislu; odgovor proizlazi iz toga koliko se često vaša topologija mijenja i koga želite da odgovara u tri sata ujutro.

Enkripcija je obećanje koje ne možete slučajno delegirati

Privatni prijenos ne čini sadržaj nečitljivim. Odvajanje kod pružatelja drži zakupce operativno razdvojene; to nije tvrdnja o tome tko može pregledavati bajtove na putu. Ako je zahtjev da operater ne može čitati promet, taj zahtjev treba mehanizam koji vi kontrolirate, a IPsec je uobičajeni.

IPsec radi preko privatnog prijenosa jednako lako kao preko internetskog pristupa, pa je „MPLS ili IPsec“ lažan izbor kad god trebate upravljivu dostupnost i vlastitu granicu povjerenja istodobno. Odlučite gdje tunel završava, jer tunel koji završava na usmjerivaču ostavlja segment iza tog usmjerivača u čistom tekstu. Zatim odlučite tko upravlja svakim parom, jer ključ koji drži treća strana nije granica koju posjedujete.

Dajte svakom obećanju ime i mjerljivu granicu

Napišite jedan redak po obećanju s vlasnikom i granicom koja se može mjeriti. Dostupnost pristupnog voda pripada njegovu dobavljaču, latencija okosnice pripada pružatelju, a živost tunela pripada onome tko vodi krajnje točke. Jedan broj od kraja do kraja koji nitko ne mjeri broj je koji vam nitko ne duguje.

Sporazum o razini usluge proizlazi iz ugovora i njegova opsega, ne iz slova u imenu tehnologije. IPsec ne zahtijeva internetski prijenos najboljim trudom, a MPLS sam po sebi ne nosi jamstvo latencije; oboje ovisi o podlozi i krajnjim točkama koje odaberete.

Testirajte put koji ste nacrtali, uključujući njegov kvar

Privatni prijenos s velikodušnim sučeljem može ipak zakazati kad nadgradnja doda zaglavlja, a simptom je sesija koja se uspostavi i zatim zapne na velikim odgovorima. Testirajte upotrebljivu veličinu umjesto da o njoj rasuđujete, i zapišite najveći paket koji prolazi od kraja do kraja. Učinite to prije nego što se počnete prepirati o propusnosti, jer put koji odbacuje velike pakete izgleda kao problem aplikacije. Broj pripada projektnom dokumentu uz MTU svakog pristupnog voda.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Te naredbe dolaze s Linux računala na jednom lokalitetu; druge platforme isti test pišu drugačije. Ako lokalitetu treba manja vrijednost, to je projektno ograničenje koje treba zabilježiti, a ne kvar koji treba prijaviti. Ista disciplina vrijedi za propusnost, jer enkripcija stoji procesorske snage i krajnja točka postaje dio izračuna kapaciteta.

Nacrtajte dva dijagrama prije potpisa: normalni put s označenim svakim vlasnikom i put kvara s istim oznakama. Drugi otkriva dizajne koji na papiru izgledaju suvišno, a u praksi ovise o jednom uređaju. Kad dođe prekid, upravo taj crtež pretvara zbunjeno jutro u kratku trijažu.