MPLS UDP-ში: ენტროპია ქვედა ფენისთვის, წესები დომენისთვის

ორი პროვაიდერი ერთსა და იმავე სერვისის ეტიკეტს აღწერს, და მათგან მხოლოდ ერთი ახსენებს UDP-ის სათაურს. განსხვავება კოსმეტიკური არ არის: MPLS-ის UDP-ის შიგნით მოთავსება ცვლის იმას, რასაც გარე IP ქსელი ხედავს, და შესაბამისად, რასაც ის პარალელურ არხებზე ჰეშირებს. ასევე იცვლება, ვის აქვს მისი განთავსების უფლება.

ფენები საკმარისად მოკლეა დასამახსოვრებლად: გარე IP, შემდეგ UDP, შემდეგ MPLS ეტიკეტების დასტა, შემდეგ სერვისის დატვირთვა. ეტიკეტების დასტა არ ქრება; ის კვლავ წყვეტს გადაცემას იმ ბოლო წერტილში, სადაც ეტიკეტების კომუტაცია განახლდება.

რას ამატებს UDP-ის გარსი

RFC 7510 ამ ინკაფსულაციას UDP-ის დანიშნულების პორტით 6635 განსაზღვრავს და წყაროს პორტის ველს ნაკადის ენტროპიის გადასატანად იყენებს. ინკაფსულატორი მოწყობილობა წყვეტს, რა ითვლება ნაკადად და როგორ გამოვიდეს მნიშვნელობა; სტანდარტი განზრახ არ ავალდებულებს ერთ კონკრეტულ ჰეშს. ეს ტოვებს ადგილს გამყიდველის ქცევისთვის, და ნიშნავს, რომ ორმა იმპლემენტაციამ შეიძლება სხვადასხვა განაწილება მისცეს ერთსა და იმავე ტრაფიკის ნარევს. წაიკითხეთ მნიშვნელობა როგორც ქვედა ფენისთვის შეთავაზებული მინიშნება, და არა როგორც სტანდარტის მიერ მიღებული მარშრუტიზაციის გადაწყვეტილება.

სარგებელი არაპირდაპირია. ტრანზიტულ ქსელს, რომელიც დატვირთვას გარე ხუთეულზე ანაწილებს, ახლა აქვს რაღაც ჰეშირებისთვის, მაშინ როცა შიშველი MPLS პაკეტი შესაძლოა მხოლოდ ზედა ეტიკეტს სთავაზობდა. ეხმარება თუ არა ეს, დამოკიდებულია იმ პლატფორმაზე, რომელიც ანაწილებს, და იმაზე, თუ რომელ ველებს ითვალისწინებს ის რეალურად.

ენტროპია გამტარუნარიანობა არ არის

ნაკადების თანაბრად განაწილება ხელმისაწვდომ არხებზე არ არის იგივე, რაც მათი ერთ უფრო სწრაფ გზაში გაერთიანება. ერთი აპლიკაციური ნაკადი მაინც ერთი გზით მიდის, და ნაკადის მიხედვით დატვირთვის განაწილება ვერ გადააჭარბებს იმ არხის შესაძლებლობას, რომელზეც ხვდება. მექანიზმი თანაბარ განაწილებასაც არ იძლევა გარანტიას; ის მხოლოდ ჰეშ-ფუნქციას აძლევს უკეთეს შეყვანას.

შეინარჩუნეთ გარსი სტაბილური მოცემული ნაკადისთვის, თუ გადალაგება მისაღები არ არის. თუ წყაროს პორტი ყოველ პაკეტზე იცვლება, ქვედა ფენა სიამოვნებით გაავრცელებს ერთ საუბარს რამდენიმე გზაზე, და ხელახალი აწყობა აპლიკაციის პრობლემად იქცევა. მიზანია ნაკადზე თანმიმდევრული ენტროპია, და არა მუდმივი სიახლე.

განთავსების საზღვარი სპეციფიკაციის ნაწილია

RFC 7510 განთავსებას ზღუდავს ერთი ოპერატორის ქსელით ან თანამშრომლობითი ოპერატორების მეზობელი ნაკრებით, სადაც ტრაფიკი იმართება გადატვირთვის თავიდან ასაცილებლად. ის ასევე მოითხოვს ფილტრაციას, რომელიც ხელს უშლის ინკაფსულირებულ ტრაფიკს ამ დომენიდან გასვლას. ეს დეკორატიული პირობები არ არის; ისინი გამომდინარეობს იქიდან, რომ ინკაფსულაცია საკუთარ უსაფრთხოებას არ ამატებს. მოეკიდეთ მათ, როგორც კანონიერი განთავსების წინაპირობებს, და არა როგორც შენიშვნებს დიზაინის ჩანაწერში.

UDP-ის სათაურში არაფერი ამოწმებს გამგზავნს, და არაფერი უზრუნველყოფს დატვირთვის კონფიდენციალურობას ან მთლიანობას. თუ ტრაფიკს დაცვა სჭირდება, ის მოდის ცალკე მექანიზმიდან, საკუთარი გასაღების მართვით. MPLS-in-UDP-ის არჩევა ნდობის მოდელს არ აუმჯობესებს.

იაზროვნეთ, რას აკეთებს დაცვა სასურველ ჰეშირებასთან

დაამატეთ IPsec ან სხვა უსაფრთხოების ინკაფსულაცია, და გარე სათაურმა, რომელსაც ტრანზიტული მოწყობილობები ჰეშირებენ, შეიძლება სრულიად შეიცვალოს ფორმა. გვირაბის რეჟიმმა შეიძლება შიდა UDP წყაროს პორტი ახალი გარე სათაურის უკან დამალოს, რაც ნიშნავს, რომ ყურადღებით მოწოდებული ენტროპია შეიძლება არ ჩანდეს იქ, სადაც განაწილება ხდება. ჯერ დაშიფვრა და შემდეგ ინკაფსულაცია განსხვავებული დიზაინია, ვიდრე საპირისპირო თანმიმდევრობა, და განსხვავება ჩნდება როგორც არხი, რომელიც გაცილებით მეტ ტრაფიკს ატარებს, ვიდრე მისი მეზობლები.

შეაფასეთ მთლიანი პაკეტი ისე, როგორც ის მავთულზე ჩანს, და არა მხოლოდ ის ფენა, რომელსაც სტანდარტი აღწერს. ეს ასევე ის წერტილია, სადაც ხელახლა უნდა განვიხილოთ MTU და ბოლო წერტილის შესაძლებლობა, რადგან UDP-ის სათაური პლუს ნებისმიერი უსაფრთხოების დანამატი ამცირებს დატვირთვას, რომელიც ჯდება.

გადაწყვიტეთ მთელი გზის თვალწინ

შეადარეთ MPLS-in-UDP ისეთ ალტერნატივებს, როგორიცაა GRE, თქვენი ქსელისთვის მნიშვნელოვანი კრიტერიუმებით: რომელი ველებით ანაწილებს ქვედა ფენა, რამდენი დანამატი შეგიძლიათ აიტანოთ, რა უსაფრთხოების გარსია საჭირო, და შეიძლება თუ არა დომენის საზღვრის აღსრულება. GRE-ზე მასზე უპირობო შესრულების უპირატესობის მიწერა დასკვნაა, რომელსაც სტანდარტები არ უჭერენ მხარს.

შემდეგ გამოსცადეთ რეალური ტრაფიკის ნარევებით და შეამოწმეთ თითოეული წევრის არხის გამოყენება, რადგან ლაბორატორიაში კარგად მოჩანს ჰეში შეიძლება ერთ არხზე ჩამოიშალოს, როცა ყველა ნაკადი ერთსა და იმავე ტოპლს იზიარებს. პატიოსანი შეჯამება ასეთია: ინკაფსულაცია ამჟღავნებს ინფორმაციას, რომლის გამოყენებაც ქვედა ფენას შეუძლია, იმ დომენის შიგნით, რომელმაც თანხმობა განაცხადა მის მართვაზე.