MPLS VPN vagy IPsec-réteg: három szerződés, amit tisztázni kell

Három ígéret fér bele egyetlen nagyvállalati ajánlatba, és az egyik megvásárlása nem vásárolja meg a többit. Valaki továbbítja a csomagjaidat, valaki elkülöníti az útválasztásodat minden más ügyféltől, és valaki eldönti, hogy az adat olvasható-e szállítás közben. Ezek az ígéretek különböző felekhez tartozhatnak, és mégis egyetlen működő tervet írhatnak le. Ezek szétválasztása a döntés; egy technológia nevének kiválasztása nem.

Három ígéret egyetlen nagyvállalati ajánlatban

Az első ígéret a szállítás: mely telephelyek kapcsolódnak, milyen hozzáférési vonalakon, és ki továbbítja a csomagokat közöttük. A második az útválasztás: mely előtagok érhetik el egymást, ki hagyja jóvá a változást, és hogyan marad a forgalmad elkülönülve egy másik bérlőtől. A harmadik a védelem: mi van titkosítva, mely végpontok között, és kinél vannak a kulcsok. Kérd mindegyiket írásban, mert minden válasz más dokumentumban lakik.

Egy szolgáltatói ajánlat hajlamos az elsőt árazni, a másodikat feltételezni, a harmadikat pedig rád hagyni. Ez nem tisztességtelenség; a hármat különböző csapatok adják el. Akkor lesz probléma, amikor egy tervfelülvizsgálat kideríti, hogy a biztonsági csapat a titkosítást feltételezte, a hálózati csapat pedig azt, hogy a szolgáltató elintézi. A mondat háromfelé vágása egy órát visz el, és megelőzi azt a megbeszélést.

A címke a továbbítást írja le, nem az átadási pont szolgáltatását

A többszörös protokollcímke-kapcsolás azt mondja meg, hogyan utazik egy csomag a szolgáltató hálózatán belül. Nem mondja meg, mihez csatlakozik az ügyfél, vagy mit cserél az ügyfél a szolgáltató peremével. A szolgáltató építhet útválasztott IP VPN-t MPLS-en, vagy teljesen más csatlakozási modellű L2-szolgáltatást, és mindkettő eljuthat hozzád „MPLS-kapcsolatként“.

Az IETF szolgáltató által nyújtott VPN-terminológiája pontosan erre határozza meg a szókincset: az ügyfélperem, a szolgáltatóperem és a köztük épített szolgáltatási modellek. Használd, amikor egy ajánlat elmossa a rétegeket, és kérdezd meg, mi az átadás fizikailag.

Az útválasztott szolgáltatás útválasztási kapcsolatot ad a szolgáltató peremével, így egy előtag hozzáadása két szervezetben is változtatási kérelem lesz. Az L2-átadás a saját útválasztásodat hordozza, és az üzemeltetési terhet a te oldaladra teszi. Egyik sem jobb elvontan; a válasz abból következik, milyen gyakran változik a topológiád, és kit szeretnél, hogy hajnali háromkor válaszoljon.

A titkosítás olyan ígéret, amelyet nem delegálhatsz véletlenül

A privát szállítás nem teszi olvashatatlanná az adatot. A szolgáltatói elkülönítés üzemeltetésileg tartja külön a bérlőket; ez nem állítás arról, ki nézheti meg az útvonalon lévő bájtokat. Ha a követelmény az, hogy a szolgáltató ne tudja olvasni a forgalmat, akkor ehhez egy általad irányított mechanizmus kell, és az IPsec a szokásos.

Az IPsec ugyanolyan könnyen fut privát szállítás felett, mint internetes hozzáférés felett, ezért az „MPLS vagy IPsec“ hamis választás, amikor egyszerre van szükséged kezelt elérhetőségre és a saját bizalmi határodra. Döntsd el, hol végződik az alagút, mert a routeren végződő alagút a router mögötti szakaszt nyílt szövegben hagyja. Utána döntsd el, ki adminisztrálja az egyes partnereket, mivel egy harmadik fél által tartott kulcs nem a te tulajdonodban lévő határ.

Adj minden ígéretnek nevet és mérhető határt

Írj egy sort ígéretenként egy felelőssel és egy mérhető határral. A hozzáférési vonal rendelkezésre állása a beszállítójáé, a gerinc késleltetése a szolgáltatóé, az alagút életképessége pedig azé, aki a végpontokat üzemelteti. Egyetlen végponttól végpontig terjedő szám, amelyet senki nem mér, olyan szám, amellyel senki nem tartozik neked.

A szolgáltatási szintű megállapodás a szerződésből és annak hatóköréből származik, nem egy technológia nevének betűiből. Az IPsec nem igényel legjobb erőfeszítésű internetes szállítást, és az MPLS önmagában nem hordoz késleltetési garanciát; mindkettő az alapul szolgáló hálózattól és a választott végpontoktól függ.

Teszteld a megrajzolt útvonalat, beleértve annak hibáját is

Egy bőkezű interfésszel rendelkező privát szállítás is meghiúsulhat, amint egy réteg fejléceket ad hozzá, és a tünet egy munkamenet, amely létrejön, majd elakad a nagy válaszoknál. Teszteld a használható méretet ahelyett, hogy okoskodnál róla, és írd fel a legnagyobb csomagot, amely végponttól végpontig átmegy. Tedd ezt azelőtt, hogy a sávszélességről vitatkoznál, mert a nagy csomagokat eldobó útvonal alkalmazáshibának látszik. A szám a tervezési dokumentumba tartozik minden hozzáférési vonal MTU-ja mellé.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ezek a parancsok egy Linux-gazdagépről származnak egy telephelyen; más platformok másképp írják le ugyanezt a tesztet. Ha egy telephelynek kisebb értékre van szüksége, az rögzítendő tervezési korlát, nem jelentendő hiba. Ugyanez a fegyelem vonatkozik az átbocsátóképességre, mert a titkosítás feldolgozást igényel, és a végpont a kapacitásszámítás részévé válik.

Az aláírás előtt rajzolj két diagramot: a normál útvonalat minden felelős megjelölésével, és a hibaútvonalat ugyanazokkal a jelölésekkel. A második feltárja azokat a terveket, amelyek papíron redundánsnak tűnnek, és a gyakorlatban egyetlen eszköztől függnek. Amikor kiesés érkezik, az a rajz az, amely a zavaros reggelt rövid triázzsá változtatja.