MPLS VPN თუ IPsec გადაფარვა: სამი ხელშეკრულება, რომლებიც უნდა მოგვარდეს

სამი დაპირება ერთ ფართო ზონის შეთავაზებაში ჯდება და ერთის ყიდვა დანარჩენებს არ ყიდულობს. ვიღაც თქვენს პაკეტებს აწვდის, ვიღაც თქვენს მარშრუტიზაციას დანარჩენი ყველა კლიენტისგან ცალკე ინახავს, და ვიღაც წყვეტს, იკითხება თუ არა ტვირთი გზაში. ეს დაპირებები შეიძლება სხვადასხვა მხარეს ეკუთვნოდეს და მაინც ერთი სიცოცხლისუნარიანი დიზაინი აღწეროს. მათი გამოყოფა გადაწყვეტილებაა; ტექნოლოგიის სახელის არჩევა არა.

სამი დაპირება ერთ ფართო ზონის შეთავაზებაში

პირველი დაპირება ტრანსპორტია: რომელი ობიექტები უკავშირდება, რომელი წვდომის ხაზებით და ვინ აწვდის პაკეტებს მათ შორის. მეორე მარშრუტიზაციაა: რომელი პრეფიქსები შეიძლება ერთმანეთამდე მივიდეს, ვინ ამტკიცებს ცვლილებას და როგორ რჩება თქვენი ტრაფიკი სხვა მოიჯარისგან ცალკე. მესამე დაცვაა: რა შიფრდება, რომელ ბოლო წერტილებს შორის და ვის უჭირავს გასაღებები. მოითხოვეთ თითოეული წერილობით, რადგან ყოველი პასუხი სხვა დოკუმენტში ცხოვრობს.

პროვაიდერის შეთავაზება ჩვეულებრივ პირველს აფასებს, მეორეს ვარაუდობს და მესამეს თქვენ გიტოვებთ. ეს არ არის უსამართლობა; სამს სხვადასხვა გუნდი ყიდის. პრობლემა მაშინ ჩნდება, როცა დიზაინის მიმოხილვა აღმოაჩენს, რომ უსაფრთხოების გუნდი დაშიფვრას ვარაუდობდა, ხოლო ქსელის გუნდი ვარაუდობდა, რომ ოპერატორი ამას აკეთებდა. წინადადების სამად გაყოფა საათი ღირს და თავიდან აგვარიდებს იმ შეხვედრას.

ეტიკეტი აღწერს გადაცემას, არა მომსახურებას გადაცემის წერტილში

მრავალპროტოკოლიანი ეტიკეტის კომუტაცია ამბობს, როგორ მოძრაობს პაკეტი პროვაიდერის ქსელში. ის არ ამბობს, რას უერთდება კლიენტი ან რას ცვლის კლიენტი პროვაიდერის კიდესთან. პროვაიდერს შეუძლია MPLS-ზე მარშრუტიზებული IP VPN ან სრულიად სხვა მიერთების მოდელის მქონე მე-2 დონის სერვისი ააშენოს, და ორივე შეიძლება თქვენამდე მოვიდეს როგორც „MPLS კავშირი“.

IETF-ის პროვაიდერის მიერ მოწოდებული VPN ტერმინოლოგია სწორედ ამისთვის განსაზღვრავს ლექსიკონს: კლიენტის კიდე, პროვაიდერის კიდე და მათ შორის აშენებული სერვისის მოდელები. გამოიყენეთ ის, როცა შეთავაზება დონეებს აბურდავებს, და ჰკითხეთ, რა არის ფიზიკურად გადაცემა.

მარშრუტიზებული სერვისი გაძლევთ მარშრუტიზაციის ურთიერთობას პროვაიდერის კიდესთან, ამიტომ პრეფიქსის დამატება ორ ორგანიზაციაში ცვლილების მოთხოვნად იქცევა. მე-2 დონის გადაცემა თქვენს საკუთარ მარშრუტიზაციას ატარებს და ოპერაციულ ტვირთს თქვენს მხარეს გადაიტანს. არც ერთი არ არის აბსტრაქტულად უკეთესი; პასუხი გამომდინარეობს იქიდან, რამდენად ხშირად იცვლება თქვენი ტოპოლოგია და ვის გინდათ უპასუხოს დილის სამ საათზე.

დაშიფვრა დაპირებაა, რომელსაც შემთხვევით ვერ გადასცემთ

კერძო ტრანსპორტი ტვირთს წაუკითხავს არ ხდის. პროვაიდერის გამოყოფა მოიჯარეებს ოპერაციულად ცალკე ინახავს; ეს არ არის განცხადება იმის შესახებ, ვის შეუძლია გზაზე ბაიტების შემოწმება. თუ მოთხოვნაა, რომ ოპერატორმა ტრაფიკი ვერ წაიკითხოს, ამ მოთხოვნას თქვენ მიერ კონტროლირებული მექანიზმი სჭირდება, და IPsec ჩვეულებრივია.

IPsec კერძო ტრანსპორტზე ისევე ადვილად მუშაობს, როგორც ინტერნეტზე წვდომაზე, ამიტომ „MPLS თუ IPsec“ ყალბი არჩევანია, როცა ერთდროულად გჭირდებათ მართული ხელმისაწვდომობა და საკუთარი ნდობის საზღვარი. გადაწყვიტეთ, სად მთავრდება გვირაბი, რადგან მარშრუტიზატორზე დამთავრებული გვირაბი მის უკან სეგმენტს ღია ტექსტში ტოვებს. შემდეგ გადაწყვიტეთ, ვინ მართავს თითოეულ პარტნიორს, რადგან მესამე მხარის მიერ შენახული გასაღები არ არის საზღვარი, რომელსაც თქვენ ფლობთ.

მიეცით ყოველ დაპირებას სახელი და გაზომვადი საზღვარი

დაწერეთ ერთი ხაზი თითო დაპირებაზე მფლობელით და გაზომვადი საზღვრით. წვდომის ხაზის ხელმისაწვდომობა მის მიმწოდებელს ეკუთვნის, ხერხემლის დაყოვნება პროვაიდერს ეკუთვნის, ხოლო გვირაბის სიცოცხლისუნარიანობა იმას ეკუთვნის, ვინც ბოლო წერტილებს მართავს. ერთადერთი რიცხვი კიდიდან კიდემდე, რომელსაც არავინ ზომავს, რიცხვია, რომელსაც არავინ გაძლევთ ვალად.

მომსახურების დონის შეთანხმება ხელშეკრულებიდან და მისი მოცულობიდან მოდის, არა ტექნოლოგიის სახელის ასოებიდან. IPsec საუკეთესო ძალისხმევის ინტერნეტ ტრანსპორტს არ მოითხოვს, და MPLS თავისთავად დაყოვნების გარანტიას არ ატარებს; ორივე დამოკიდებულია ქვედა ქსელზე და თქვენ მიერ არჩეულ ბოლო წერტილებზე.

გამოსცადეთ დახატული გზა, მისი მარცხის ჩათვლით

კერძო ტრანსპორტი ფართო ინტერფეისით მაინც შეიძლება ჩავარდეს, როცა გადაფარვა სათაურებს ამატებს, და სიმპტომია სესია, რომელიც დამყარდება და შემდეგ დიდ პასუხებზე ჩერდება. გამოსცადეთ გამოსაყენებელი ზომა იმის ნაცვლად, რომ მასზე მსჯელობდეთ, და ჩაწერეთ ყველაზე დიდი პაკეტი, რომელიც კიდიდან კიდემდე გადის. გააკეთეთ ეს სიგანეზე კამათამდე, რადგან დიდ პაკეტებს რომ ყრის გზა, აპლიკაციის პრობლემას ჰგავს. რიცხვი ეკუთვნის დიზაინის დოკუმენტს თითოეული წვდომის ხაზის MTU-ის გვერდით.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

ეს ბრძანებები ერთ ობიექტზე Linux ჰოსტიდან მოდის; სხვა პლატფორმები იმავე ტესტს სხვანაირად წერენ. თუ ობიექტს უფრო მცირე მნიშვნელობა სჭირდება, ეს ჩასაწერი დიზაინის შეზღუდვაა, არა მოსახსენებელი ხარვეზი. იგივე დისციპლინა გამტარუნარიანობასაც ეხება, რადგან დაშიფვრა დამუშავება ღირს და ბოლო წერტილი სიმძლავრის გამოთვლის ნაწილი ხდება.

ხელმოწერამდე დახაზეთ ორი დიაგრამა: ჩვეულებრივი გზა თითოეული მფლობელის მონიშვნით და მარცხის გზა იმავე ნიშნებით. მეორე ავლენს დიზაინებს, რომლებიც ქაღალდზე ზედმეტად გამოიყურება და პრაქტიკაში ერთ მოწყობილობაზეა დამოკიდებული. როცა გათიშვა მოვა, სწორედ ეს ნახატი აქცევს დაბნეულ დილას მოკლე ტრიაჟად.