MPLS dalam UDP: entropi untuk lapisan bawah, aturan untuk domain

Dua penyedia menjelaskan label layanan yang sama, dan hanya satu dari mereka menyebut header UDP. Perbedaannya bukan kosmetik: menaruh MPLS di dalam UDP mengubah apa yang dapat dilihat jaringan IP luar, dan karena itu apa yang dapat di-hash di seluruh tautan paralel. Itu juga mengubah siapa yang diizinkan menyebarkannya.

Lapisan-lapisannya cukup pendek untuk dihafal: IP luar, lalu UDP, lalu tumpukan label MPLS, lalu muatan layanan. Tumpukan label tidak hilang; ia tetap menentukan penerusan di titik akhir yang melanjutkan penyaklaran label.

Apa yang ditambahkan amplop UDP

RFC 7510 mendefinisikan enkapsulasi ini dengan port tujuan UDP 6635 dan menggunakan bidang port sumber untuk membawa entropi aliran. Perangkat yang melakukan enkapsulasi memutuskan apa yang dihitung sebagai aliran dan bagaimana nilainya diturunkan; standar sengaja tidak mewajibkan satu hash tertentu. Itu memberi ruang bagi perilaku vendor, dan berarti dua implementasi dapat menghasilkan distribusi berbeda untuk campuran lalu lintas yang sama. Bacalah nilai itu sebagai petunjuk yang ditawarkan ke lapisan bawah, bukan sebagai keputusan perutean yang diambil oleh standar.

Manfaatnya tidak langsung. Jaringan transit yang menyeimbangkan beban pada lima-tupel luar kini memiliki sesuatu untuk di-hash, sedangkan paket MPLS telanjang mungkin hanya menawarkan label teratas. Apakah itu membantu bergantung pada platform yang melakukan penyeimbangan dan pada bidang mana yang benar-benar dipertimbangkannya.

Entropi bukan bandwidth

Mendistribusikan aliran lebih merata ke seluruh tautan yang tersedia tidak sama dengan menggabungkannya menjadi satu jalur yang lebih cepat. Satu aliran aplikasi tetap menempuh satu jalur, dan penyeimbangan per aliran tidak dapat melebihi kapasitas tautan tempat ia mendarat. Mekanisme ini juga tidak menjamin distribusi merata; ia hanya memberi fungsi hash masukan yang lebih baik.

Jaga amplop tetap stabil untuk aliran tertentu kecuali pengurutan ulang dapat diterima. Jika port sumber berubah per paket, lapisan bawah akan dengan senang hati menyebarkan satu percakapan ke beberapa jalur dan penyusunan ulang menjadi masalah aplikasi. Entropi yang konsisten per aliran adalah tujuannya, bukan kebaruan yang terus-menerus.

Batas penyebaran adalah bagian dari spesifikasi

RFC 7510 membatasi penyebaran pada jaringan satu operator atau sekumpulan operator yang bekerja sama dan berdekatan, dengan lalu lintas dikelola agar kemacetan dihindari. Standar ini juga menyerukan penyaringan yang mencegah lalu lintas terenkapsulasi keluar dari domain itu. Ini bukan syarat dekoratif; semuanya berasal dari fakta bahwa enkapsulasi tidak menambahkan keamanan sendiri. Perlakukan sebagai prasyarat penyebaran yang sah, bukan sebagai saran dalam catatan desain.

Tidak ada apa pun di header UDP yang mengautentikasi pengirim, dan tidak ada yang memberikan kerahasiaan atau integritas bagi muatan. Jika lalu lintas membutuhkan perlindungan, itu datang dari mekanisme terpisah dengan manajemen kuncinya sendiri. Memilih MPLS-in-UDP tidak meningkatkan model kepercayaan.

Perhatikan apa yang dilakukan perlindungan terhadap hashing yang Anda inginkan

Tambahkan IPsec atau enkapsulasi keamanan lain, dan header luar yang di-hash oleh perangkat transit dapat berubah bentuk sepenuhnya. Mode terowongan dapat menyembunyikan port sumber UDP dalam di balik header luar yang baru, yang berarti entropi yang Anda sediakan dengan hati-hati mungkin tidak terlihat di tempat penyeimbangan terjadi. Enkripsi dulu lalu enkapsulasi adalah desain yang berbeda dari urutan sebaliknya, dan perbedaannya muncul sebagai tautan yang membawa jauh lebih banyak lalu lintas daripada tetangganya.

Evaluasi paket lengkap seperti yang muncul di kabel, bukan hanya lapisan yang dijelaskan standar. Ini juga titik untuk mempertimbangkan ulang MTU dan kapasitas titik akhir, karena header UDP plus overhead keamanan apa pun mengurangi muatan yang muat.

Putuskan dengan seluruh jalur di hadapan

Bandingkan MPLS-in-UDP dengan alternatif seperti GRE berdasarkan kriteria yang penting bagi jaringan Anda: bidang mana yang menjadi dasar penyeimbangan lapisan bawah, berapa banyak overhead yang mampu Anda tanggung, pembungkus keamanan apa yang diperlukan, dan apakah batas domain dapat ditegakkan. Memberinya keunggulan kinerja tanpa syarat atas GRE adalah kesimpulan yang tidak didukung standar.

Lalu uji dengan campuran lalu lintas nyata dan periksa pemanfaatan tautan per anggota, karena hash yang terlihat bagus di laboratorium dapat runtuh ke satu tautan ketika setiap aliran berbagi tuple yang sama. Ringkasan jujurnya adalah bahwa enkapsulasi memaparkan informasi yang dapat digunakan lapisan bawah, di dalam domain yang telah setuju untuk mengelolanya.