MPLS VPN o overlay IPsec: tre contratti da definire

Tre promesse stanno dentro un solo preventivo geografico, e comprarne una non compra le altre. Qualcuno inoltra i vostri pacchetti, qualcuno tiene il vostro instradamento separato da quello di ogni altro cliente, e qualcuno decide se il payload è leggibile in transito. Quelle promesse possono appartenere a parti diverse e descrivere comunque un progetto fattibile. Separarle è la decisione; scegliere il nome di una tecnologia non lo è.

Tre promesse dentro un solo preventivo geografico

La prima promessa è il trasporto: quali sedi si collegano, su quali circuiti di accesso, e chi inoltra i pacchetti tra di esse. La seconda è l’instradamento: quali prefissi possono raggiungersi, chi approva una modifica, e come il vostro traffico resta separato da quello di un altro inquilino. La terza è la protezione: cosa viene cifrato, tra quali estremi, e chi detiene le chiavi. Chiedetele tutte per iscritto, perché ogni risposta vive in un documento diverso.

Un preventivo di provider tende a prezzare la prima, dare per scontata la seconda e lasciare la terza a voi. Non è disonestà; le tre sono vendute da team diversi. Diventa un problema quando una revisione del progetto scopre che il team di sicurezza dava per scontata la crittografia e il team di rete dava per scontato che se ne occupasse l’operatore. Dividere la frase in tre costa un’ora ed evita quella riunione.

Un’etichetta descrive l’inoltraggio, non il servizio alla demarcazione

La commutazione di etichette multiprotocollo dice come viaggia un pacchetto dentro una rete di provider. Non dice a cosa si collega il cliente né cosa il cliente scambia con il bordo del provider. Un provider può costruire una VPN IP instradata su MPLS, oppure un servizio di livello 2 con un modello di connessione del tutto diverso, ed entrambi possono arrivarvi come «connessione MPLS».

La terminologia dei VPN forniti dal provider dell’IETF definisce il vocabolario proprio per questo: il bordo cliente, il bordo provider e i modelli di servizio costruiti tra di essi. Usatela quando un preventivo confonde i livelli, e chiedete che cos’è fisicamente la consegna.

Un servizio instradato vi dà una relazione di instradamento con il bordo del provider, così aggiungere un prefisso diventa una richiesta di modifica in due organizzazioni. Una consegna di livello 2 porta il vostro instradamento e sposta il carico operativo dalla vostra parte. Nessuna delle due è migliore in astratto; la risposta dipende da quanto spesso cambia la vostra topologia e da chi volete che risponda alle tre del mattino.

La crittografia è una promessa che non potete delegare per caso

Il trasporto privato non rende illeggibile un payload. La separazione del provider tiene gli inquilini distinti sul piano operativo; non è un’affermazione su chi può ispezionare i byte sul percorso. Se il requisito è che l’operatore non possa leggere il traffico, quel requisito richiede un meccanismo che controllate voi, e IPsec è quello abituale.

IPsec passa su un trasporto privato con la stessa facilità con cui passa sull’accesso a internet, quindi «MPLS o IPsec» è una falsa scelta ogni volta che vi servono raggiungibilità gestita e la vostra frontiera di fiducia insieme. Decidete dove termina il tunnel, perché un tunnel che termina su un router lascia il segmento dietro quel router in chiaro. Poi decidete chi amministra ogni peer, dato che una chiave detenuta da terzi non è una frontiera che possedete.

Date a ogni promessa un nome e un confine misurabile

Scrivete una riga per promessa con un proprietario e un confine che si possa misurare. La disponibilità di un circuito di accesso appartiene al suo fornitore, la latenza del backbone appartiene al provider, e la vitalità del tunnel appartiene a chi gestisce gli estremi. Un singolo numero end-to-end che nessuno misura è un numero che nessuno vi deve.

Un accordo sul livello di servizio nasce dal contratto e dal suo ambito, non dalle lettere di un nome di tecnologia. IPsec non richiede un trasporto internet best-effort, e MPLS non porta di per sé una garanzia di latenza; entrambi dipendono dal sottostante e dagli estremi che scegliete.

Provate il percorso che avete disegnato, compreso il suo guasto

Un trasporto privato con un’interfaccia generosa può comunque fallire quando un overlay aggiunge intestazioni, e il sintomo è una sessione che si stabilisce e poi si blocca sulle risposte grandi. Provate la dimensione utilizzabile invece di ragionarci sopra, e annotate il pacchetto più grande che passa end-to-end. Fatelo prima di discutere di larghezza di banda, perché un percorso che scarta pacchetti grandi sembra un problema dell’applicazione. Il numero appartiene al documento di progetto accanto alla MTU di ogni circuito di accesso.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Quei comandi vengono da un host Linux su un sito; altre piattaforme scrivono lo stesso test in modo diverso. Se un sito ha bisogno di un valore più piccolo, è un vincolo di progetto da annotare, non un guasto da segnalare. La stessa disciplina vale per il throughput, perché la crittografia costa elaborazione e l’estremo diventa parte del calcolo della capacità.

Disegnate due diagrammi prima di firmare: il percorso normale con ogni proprietario etichettato, e il percorso di guasto con le stesse etichette. Il secondo espone progetti che sembrano ridondanti sulla carta e in pratica dipendono da un solo dispositivo. Quando arriva un’interruzione, è quel disegno che trasforma una mattina confusa in un triage breve.