MPLS VPN eða IPsec yfirlag: þrír samningar sem þarf að ganga frá

Þrjú loforð sitja inni í einu tilboði fyrir víðsvæðisnet, og að kaupa eitt kaupir ekki hin. Einhver sendir pökkunum þínum áfram, einhver heldur leiðavali þínu aðskildu frá hverjum öðrum viðskiptavini, og einhver ákveður hvort hleðslan sé læsileg í flutningi. Þessi loforð geta tilheyrt mismunandi aðilum og samt lýst einni framkvæmanlegri hönnun. Að aðskilja þau er ákvörðunin; að velja nafn tækni er það ekki.

Þrjú loforð í einu tilboði fyrir víðsvæðisnet

Fyrsta loforðið er flutningur: hvaða staðir tengjast, um hvaða aðgangsleiðslur, og hver sendir pakka á milli þeirra. Annað er leiðaval: hvaða forskeyti mega ná hvert til annars, hver samþykkir breytingu, og hvernig umferðin þín helst aðskilin frá öðrum leigjanda. Þriðja er vernd: hvað er dulkóðað, milli hverra endapunkta, og hver heldur lyklunum. Biddu um hvert þeirra skriflega, því hvert svar býr í öðru skjali.

Tilboð frá þjónustuveitanda hefur tilhneigingu til að verðleggja hið fyrsta, gera ráð fyrir hinu öðru og skilja hið þriðja eftir þér. Það er ekki óheiðarleiki; þrjú eru seld af mismunandi teymum. Það verður vandamál þegar hönnunarúttekt kemst að því að öryggisteymið gerði ráð fyrir dulkóðun og nettækniteymið gerði ráð fyrir að flutningsaðilinn sæi um það. Að skipta setningunni í þrjá kostar klukkustund og kemur í veg fyrir þann fund.

Merki lýsir áframsendingu, ekki þjónustunni við afhendingarpunktinn

Fjölsiða merkjavíxlun segir hvernig pakki ferðast inni í neti þjónustuveitanda. Hún segir ekki hvað viðskiptavinurinn tengir við, eða hvað viðskiptavinurinn skiptist á við jaðar þjónustuveitandans. Þjónustuveitandi getur byggt leiðavalið IP VPN á MPLS, eða þjónustu á lagi 2 með alveg annarri tengimódeli, og bæði geta náð til þín sem „MPLS-tenging“.

Hugtökin fyrir VPN sem þjónustuveitandi útvegar frá IETF skilgreina orðaforðann fyrir nákvæmlega þetta: viðskiptavinajaðarinn, þjónustuveitandajaðarinn og þjónustumódelin sem byggð eru á milli þeirra. Notaðu hann þegar tilboð byrgir lögin, og spurðu hvað afhendingin er líkamlega.

Leiðuð þjónusta gefur þér leiðavalssamband við jaðar þjónustuveitandans, svo að bæta við forskeyti verður breytingarbeiðni í tveimur samtökum. Afhending á lagi 2 ber þitt eigið leiðaval og færir rekstrarbyrðina til þín. Hvort tveggja er betra í abstraktu tilliti; svarið fylgir því hversu oft staðfræði þín breytist og hvern þú vilt að svari klukkan þrjú að morgni.

Dulkóðun er loforð sem þú getur ekki framselt fyrir slysni

Einkaaðgangsflutningur gerir hleðslu ekki ólæsilega. Aðskilnaður þjónustuveitanda heldur leigjendum aðskildum rekstrarlega; það er ekki fullyrðing um hver getur skoðað bæti á leiðinni. Ef krafan er að flutningsaðilinn geti ekki lesið umferðina, þarf sú krafa fyrirkomulag sem þú stýrir, og IPsec er hið venjulega.

IPsec gengur yfir einkanet jafn auðveldlega og yfir internetið, svo „MPLS eða IPsec“ er falskur valkostur þegar þú þarft stýrt aðgengi og þína eigin traustmörk á sama tíma. Ákveddu hvar göngin enda, því göng sem enda á beini skilja sviðið bak við beinið eftir í ljósu máli. Ákveddu síðan hver stjórnar hverjum jafningja, þar sem lykill sem þriðji aðili heldur er ekki mörk sem þú átt.

Gefðu hverju loforði nafn og mælanleg mörk

Skrifaðu eina línu fyrir hvert loforð með eiganda og mörkum sem hægt er að mæla. Framboð aðgangsleiðslu tilheyrir birgja hennar, seinkun hryggjar tilheyrir þjónustuveitandanum, og lífseigla ganganna tilheyrir þeim sem rekur endapunktana. Eitt stakt tal frá enda til enda sem enginn mælir er tala sem enginn skuldar þér.

Þjónustustigasamningur kemur frá samningnum og umfangi hans, ekki frá bókstöfum í tækninafni. IPsec krefst ekki best-effort internetsflutnings, og MPLS ber ekki í sjálfu sér seinkunargarantíu; bæði ráðast af undirlaginu og endapunktunum sem þú velur.

Prófaðu leiðina sem þú teiknaðir, þar með talið bilun hennar

Einkaflutningur með ríflegri tengingu getur samt bilað þegar yfirlag bætir við hausum, og einkennið er lota sem verður til og stöðvast síðan á stórum svörum. Prófaðu nothæfa stærð í stað þess að rökstyðja hana, og skrifaðu niður stærsta pakkann sem fer frá enda til enda. Gerðu það áður en þú deilir um bandbreidd, því leið sem sleppir stórum pökkum lítur út eins og vandamál í forritinu. Talan á heima í hönnunarskjali við hlið MTU hverrar aðgangsleiðslu.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Þessar skipanir koma frá Linux vél á einum stað; aðrar kerfisgerðir skrifa sama prófið öðruvísi. Ef staður þarf minna gildi, er það hönnunartakmörkun sem á að skrá, ekki bilun sem á að tilkynna. Sama agi gildir um afköst, því dulkóðun kostar vinnslu og endapunkturinn verður hluti af afkastagetsútreikningnum.

Teiknaðu tvö skýringarmyndir áður en þú skrifar undir: eðlilegu leiðina með hverjum eiganda merktum, og bilunarleiðina með sömu merkjum. Hin síðari afhjúpar hönnun sem virðist óþörf á pappír og er í reynd háð einu tæki. Þegar bilun kemur er það sú teikning sem breytir ruglingslegri morgunstund í stutta flokkun.