MPLS UDP-ben: entrópia az alsó hálózatnak, szabályok a tartománynak

Két szolgáltató ugyanazt a szolgáltatáscímkét írja le, és csak az egyikük említ UDP-fejlécet. A különbség nem kozmetikai: az MPLS UDP-n belülre helyezése megváltoztatja, mit láthat a külső IP-hálózat, és ezáltal azt is, mit hashelhet a párhuzamos linkeken. Azt is megváltoztatja, ki helyezheti üzembe.

A rétegek elég rövidek az emlékezéshez: külső IP, majd UDP, majd az MPLS-címkeverem, majd a szolgáltatás hasznos terhe. A címkeverem nem tűnik el; továbbra is ez dönt a továbbításról a végponton, amely újraindítja a címkekapcsolást.

Mit ad hozzá az UDP-burkolat

Az RFC 7510 ezt a beágyazást a 6635-ös UDP-célporttal definiálja, és a forrásport mezőjét használja a folyamatentrópia szállítására. A beágyazó eszköz dönti el, mi számít folyamatnak, és hogyan vezethető le az érték; a szabvány szándékosan nem ír elő egyetlen hasht sem. Ez teret ad a szállítói viselkedésnek, és azt jelenti, hogy két megvalósítás eltérő eloszlást produkálhat ugyanarra a forgalomkeverékre. Az értéket az alsó hálózatnak adott tippként olvassa, nem a szabvány által hozott útválasztási döntésként.

Az előny közvetett. Egy tranzithálózat, amely külső ötös alapján terheli el a forgalmat, most már rendelkezik valamivel, amit hashelhet, míg egy csupasz MPLS-csomag talán csak a legfelső címkét kínálta. Hogy ez segít-e, a terhelést végző platformtól és attól függ, mely mezőket veszi ténylegesen figyelembe.

Az entrópia nem sávszélesség

A folyamatok egyenletesebb elosztása a rendelkezésre álló linkeken nem ugyanaz, mint egyetlen gyorsabb útvonallá egyesítésük. Egyetlen alkalmazásfolyam továbbra is egy útvonalon halad, és a folyamatonkénti terhelés nem haladhatja meg annak a linknek a kapacitását, amelyre leszáll. A mechanizmus egyenletes eloszlást sem garantál; csak jobb bemeneteket ad egy hash-függvénynek.

Tartsa a burkolatot stabildnak egy adott folyamathoz, kivéve, ha az átrendezés elfogadható. Ha a forrásport csomagonként változik, az alsó hálózat szívesen szétteríti az egyik beszélgetést több útvonalon, és az újraösszeállítás az alkalmazás problémájává válik. A cél a folyamatonkénti konzisztens entrópia, nem az állandó újdonság.

Az üzembe helyezés határa a specifikáció része

Az RFC 7510 az üzembe helyezést egyetlen szolgáltató hálózatára vagy együttműködő szolgáltatók szomszédos csoportjára korlátozza, a forgalmat torlódás elkerülése érdekében kezelve. Olyan szűrést is előír, amely megakadályozza a beágyazott forgalom kilépését ebből a tartományból. Ezek nem díszítő feltételek; abból fakadnak, hogy a beágyazás nem ad saját biztonságot. Kezelje őket a jogszerű üzembe helyezés előfeltételeiként, nem tervezési feljegyzés javaslataiként.

Az UDP-fejlécben semmi nem hitelesíti a feladót, és semmi nem biztosítja a hasznos teher bizalmasságát vagy sértetlenségét. Ha a forgalomnak védelemre van szüksége, az külön mechanizmusból, saját kulcskezeléssel érkezik. Az MPLS-in-UDP választása nem javítja a bizalmi modellt.

Figyelje, mit tesz a védelem a kívánt hasheléssel

Adjon hozzá IPsecet vagy más biztonsági beágyazást, és a tranziteszközök által hashelt külső fejléc teljesen átalakulhat. Az alagút mód elrejtheti a belső UDP-forrásportot egy új külső fejléc mögé, ami azt jelenti, hogy a gondosan biztosított entrópia nem feltétlenül látható ott, ahol a terheléselosztás történik. Először titkosítani, majd beágyazni más terv, mint a fordított sorrend, és a különbség olyan linkként jelenik meg, amely sokkal több forgalmat hordoz, mint a szomszédai.

Értékelje a teljes csomagot úgy, ahogy a vezetéken megjelenik, ne csak azt a réteget, amelyet a szabvány leír. Ez az a pont is, ahol újra kell gondolni az MTU-t és a végpont kapacitását, mert az UDP-fejléc plusz bármilyen biztonsági többlet csökkenti a beférő hasznos terhet.

Döntsön a teljes útvonalat szem előtt tartva

Hasonlítsa össze az MPLS-in-UDP-t a GRE-hez hasonló alternatívákkal a hálózata szempontjából fontos kritériumok szerint: mely mezők alapján terheli el az alsó hálózat, mekkora többletet engedhet meg magának, milyen biztonsági burkolat szükséges, és kikényszeríthető-e a tartományhatár. Feltétel nélküli teljesítményelőnyt tulajdonítani neki a GRE-vel szemben olyan következtetés, amelyet a szabványok nem támasztanak alá.

Ezután valódi forgalomkeverékekkel teszteljen, és ellenőrizze a link kihasználtságát tagonként, mert egy laborban jól kinéző hash összeomolhat egyetlen linkre, amikor minden folyamat ugyanazt a tuple-t osztja. A tisztességes összefoglaló az, hogy a beágyazás olyan információt tár fel, amelyet az alsó hálózat használhat, egy olyan tartományon belül, amely vállalta annak kezelését.