MPLS VPN atau lapisan IPsec: tiga kontrak yang harus diselesaikan

Tiga janji duduk dalam satu penawaran area luas, dan membeli satu tidak membeli yang lain. Seseorang meneruskan paket Anda, seseorang menjaga perutean Anda terpisah dari setiap pelanggan lain, dan seseorang memutuskan apakah muatan dapat dibaca saat transit. Janji-janji itu bisa milik pihak berbeda dan tetap menggambarkan satu desain yang layak. Memisahkannya adalah keputusan; memilih nama teknologi bukan.

Tiga janji dalam satu penawaran area luas

Janji pertama adalah transportasi: situs mana yang terhubung, melalui sirkuit akses mana, dan siapa yang meneruskan paket di antaranya. Yang kedua adalah perutean: prefiks mana yang boleh saling menjangkau, siapa yang menyetujui perubahan, dan bagaimana lalu lintas Anda tetap terpisah dari penyewa lain. Yang ketiga adalah perlindungan: apa yang dienkripsi, di antara titik akhir mana, dan siapa yang memegang kunci. Mintalah masing-masing secara tertulis, karena setiap jawaban tinggal di dokumen berbeda.

Penawaran penyedia cenderung memberi harga pada yang pertama, mengasumsikan yang kedua, dan menyerahkan yang ketiga kepada Anda. Itu bukan ketidakjujuran; ketiganya dijual oleh tim berbeda. Itu menjadi masalah ketika tinjauan desain menemukan bahwa tim keamanan mengasumsikan enkripsi dan tim jaringan mengasumsikan operator yang menanganinya. Memecah kalimat menjadi tiga memakan waktu satu jam dan mencegah rapat itu.

Label menjelaskan penerusan, bukan layanan di titik penyerahan

Pensakelaran label multiprotokol menjelaskan bagaimana paket berjalan di dalam jaringan penyedia. Itu tidak menjelaskan apa yang dipasang pelanggan atau apa yang ditukar pelanggan dengan tepi penyedia. Penyedia dapat membangun IP VPN terutekan di atas MPLS, atau layanan lapisan 2 dengan model sambungan yang sama sekali berbeda, dan keduanya dapat sampai kepada Anda sebagai „koneksi MPLS”.

Terminologi IETF untuk VPN yang disediakan penyedia mendefinisikan kosakata tepat untuk ini: tepi pelanggan, tepi penyedia, dan model layanan yang dibangun di antaranya. Gunakan itu ketika penawaran mengaburkan lapisan, dan tanyakan apa secara fisik penyerahannya.

Layanan terutekan memberi Anda hubungan perutean dengan tepi penyedia, sehingga menambahkan prefiks menjadi permintaan perubahan di dua organisasi. Penyerahan lapisan 2 membawa perutean Anda sendiri dan memindahkan beban operasional ke sisi Anda. Tidak ada yang lebih baik secara abstrak; jawabannya mengikuti seberapa sering topologi Anda berubah dan siapa yang Anda ingin menjawab pada pukul tiga pagi.

Enkripsi adalah janji yang tidak bisa Anda delegasikan secara kebetulan

Transportasi privat tidak membuat muatan tidak terbaca. Pemisahan penyedia menjaga penyewa tetap terpisah secara operasional; itu bukan pernyataan tentang siapa yang dapat memeriksa byte di jalur. Jika persyaratannya adalah operator tidak dapat membaca lalu lintas, persyaratan itu membutuhkan mekanisme yang Anda kendalikan, dan IPsec adalah yang biasa.

IPsec berjalan di atas transportasi privat sama mudahnya seperti di atas akses internet, jadi „MPLS atau IPsec” adalah pilihan palsu setiap kali Anda membutuhkan jangkauan terkelola dan batas kepercayaan Anda sendiri sekaligus. Putuskan di mana terowongan berakhir, karena terowongan yang berakhir di router meninggalkan segmen di belakang router itu dalam teks terbuka. Lalu putuskan siapa yang mengelola setiap rekan, karena kunci yang dipegang pihak ketiga bukan batas yang Anda miliki.

Beri setiap janji nama dan batas yang terukur

Tulis satu baris per janji dengan pemilik dan batas yang dapat diukur. Ketersediaan sirkuit akses milik pemasoknya, latensi tulang punggung milik penyedia, dan kelangsungan terowongan milik siapa pun yang menjalankan titik akhir. Satu angka ujung ke ujung yang tidak diukur siapa pun adalah angka yang tidak ada orang berutang kepada Anda.

Perjanjian tingkat layanan berasal dari kontrak dan cakupannya, bukan dari huruf-huruf dalam nama teknologi. IPsec tidak memerlukan transportasi internet upaya terbaik, dan MPLS tidak membawa jaminan latensi dengan sendirinya; keduanya bergantung pada lapisan dasar dan titik akhir yang Anda pilih.

Uji jalur yang Anda gambar, termasuk kegagalannya

Transportasi privat dengan antarmuka yang lapang masih bisa gagal ketika lapisan tambahan menambahkan tajuk, dan gejalanya adalah sesi yang terbentuk lalu tersendat pada respons besar. Uji ukuran yang dapat digunakan alih-alih menalar tentangnya, dan catat paket terbesar yang lewat ujung ke ujung. Lakukan itu sebelum Anda berdebat soal lebar pita, karena jalur yang menjatuhkan paket besar tampak seperti masalah aplikasi. Angka itu milik dokumen desain di samping MTU setiap sirkuit akses.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Perintah itu berasal dari host Linux di satu situs; platform lain menulis uji yang sama dengan cara berbeda. Jika situs membutuhkan nilai lebih kecil, itu batasan desain untuk dicatat, bukan kesalahan untuk dilaporkan. Disiplin yang sama berlaku untuk throughput, karena enkripsi memakan pemrosesan dan titik akhir menjadi bagian dari perhitungan kapasitas.

Gambar dua diagram sebelum menandatangani: jalur normal dengan setiap pemilik dilabeli, dan jalur kegagalan dengan label yang sama. Yang kedua menyingkap desain yang tampak berlebihan di atas kertas dan dalam praktik bergantung pada satu perangkat. Ketika gangguan datang, gambar itulah yang mengubah pagi yang membingungkan menjadi triase singkat.