MPLS VPN немесе IPsec қабаты: шешу қажет үш шарт

Үш уәде бір кең аумақ ұсынысының ішінде тұрады және біреуін сатып алу қалғандарын сатып алмайды. Біреу пакеттеріңізді жібереді, біреу маршруттауыңызды кез келген басқа клиенттен бөлек ұстайды, ал біреу жүктің транзитте оқылуын шешеді. Бұл уәделер түрлі тараптарға тиесілі болуы мүмкін және бәрібір бір жұмыс істейтін дизайнды сипаттайды. Оларды бөлу — шешім; технология атын таңдау емес.

Бір кең аумақ ұсынысында үш уәде

Бірінші уәде — тасымал: қай сайттар қосылады, қай кіру тізбектері арқылы және олардың арасында пакеттерді кім жібереді. Екіншісі — маршруттау: қай префикстер бір-біріне жете алады, өзгерісті кім бекітеді және трафигіңіз басқа жалдаушыдан қалай бөлек қалады. Үшіншісі — қорғаныс: не шифрланады, қай соңғы нүктелер арасында және кілттерді кім ұстайды. Әрқайсысын жазбаша сұраңыз, өйткені әр жауап басқа құжатта тұрады.

Провайдер ұсынысы біріншісін бағалауға, екіншісін болжауға және үшіншісін сізге қалдыруға бейім. Бұл адалсыздық емес; үшеуін түрлі командалар сатады. Дизайн қарауы қауіпсіздік командасы шифрлауды болжағанын және желі командасы оператор мұны шешті деп болжағанын анықтағанда мәселе болады. Сөйлемді үшке бөлу бір сағат тұрады және сол жиналыстың алдын алады.

Белгі жіберуді сипаттайды, тапсыру нүктесіндегі қызметті емес

Көппротоколды белгілерді коммутациялау пакеттің провайдер желісінің ішінде қалай жүретінін айтады. Клиенттің неге қосылатынын немесе клиенттің провайдер шетімен не алмасатынын айтпайды. Провайдер MPLS үстінде маршрутталған IP VPN немесе мүлде басқа қосылу моделі бар 2-қабат қызметін құра алады және екеуі де сізге „MPLS қосылымы” ретінде жетуі мүмкін.

IETF-тің провайдер ұсынатын VPN терминологиясы сөздікті дәл осы үшін анықтайды: клиент шеті, провайдер шеті және олардың арасында салынған қызмет модельдері. Ұсыныс қабаттарды бұлыңғырлатқанда оны қолданыңыз және тапсыру физикалық түрде не екенін сұраңыз.

Маршрутталған қызмет сізге провайдер шетімен маршруттау қатынасын береді, сондықтан префикс қосу екі ұйымда өзгеріс сұрауына айналады. 2-қабат тапсыру өз маршруттауыңызды алып жүреді және операциялық жүкті сіздің жағыңызға ауыстырады. Ешқайсысы дерексіз түрде жақсы емес; жауап топологияңыздың қаншалықты жиі өзгеретініне және таңғы үште кімнің жауап беруін қалайтыныңызға байланысты.

Шифрлау — кездейсоқ тапсыра алмайтын уәде

Жеке тасымал жүкті оқылмайтын етпейді. Провайдердің бөлуі жалдаушыларды операциялық тұрғыдан бөлек ұстайды; бұл жолдағы байттарды кімнің тексере алатыны туралы мәлімдеме емес. Егер талап оператор трафикті оқи алмауы болса, бұл талап сіз бақылайтын механизмді қажет етеді және IPsec әдеттегісі.

IPsec жеке тасымал үстінде интернетке кірудегідей оңай жұмыс істейді, сондықтан „MPLS немесе IPsec” бір уақытта басқарылатын жетімділік пен өз сенім шекараңыз қажет болғанда жалған таңдау болып табылады. Туннель қайда бітетінін шешіңіз, өйткені маршрутизаторда бітетін туннель сол маршрутизатордың артындағы сегментті ашық мәтінде қалдырады. Содан кейін әр peer-ді кім басқаратынын шешіңіз, өйткені үшінші тарап ұстайтын кілт сізге тиесілі шекара емес.

Әр уәдеге ат және өлшенетін шекара беріңіз

Әр уәде үшін иесі және өлшенетін шекарасы бар бір жол жазыңыз. Кіру тізбегінің қолжетімділігі оның жеткізушісіне тиесілі, магистральдық кідіріс провайдерге тиесілі, ал туннельдің тіршілігі соңғы нүктелерді басқаратын адамға тиесілі. Ешкім өлшемейтін бір ұштан ұшқа дейінгі сан — ешкім сізге қарыз емес сан.

Қызмет деңгейі туралы келісім келісімшарттан және оның ауқымынан шығады, технология атындағы әріптерден емес. IPsec үздік күш-жігерлі интернет тасымалын талап етпейді және MPLS өздігінен кідіріс кепілдігін алып жүрмейді; екеуі де негізгі желіге және таңдаған соңғы нүктелеріңізге байланысты.

Сызған жолыңызды, оның істен шығуын қоса, сынап көріңіз

Кең интерфейсті жеке тасымал қабат тақырыптар қосқанда бәрібір сәтсіздікке ұшырауы мүмкін және симптом — орнатылып, содан кейін үлкен жауаптарда тұрып қалатын сессия. Пайдалануға болатын өлшемді ол туралы ойлаудың орнына сынап көріңіз және ұштан ұшқа өтетін ең үлкен пакетті жазып қойыңыз. Мұны өткізу жолағы туралы дауласудан бұрын жасаңыз, өйткені үлкен пакеттерді тастайтын жол қолданба мәселесіне ұқсайды. Сан әр кіру тізбегінің MTU-і жанындағы дизайн құжатына тиесілі.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Бұл командалар бір сайттағы Linux хостынан келеді; басқа платформалар сол тесті басқаша жазады. Егер сайтқа кішірек мән қажет болса, бұл тіркелетін дизайн шектеуі, хабарланатын ақау емес. Сол тәртіп өткізу қабілетіне де қатысты, өйткені шифрлау өңдеуді талап етеді және соңғы нүкте сыйымдылық есебінің бөлігіне айналады.

Қол қоюдан бұрын екі диаграмма сызыңыз: әр иесі белгіленген қалыпты жол және сол белгілермен ақау жолы. Екіншісі қағазда артық көрінетін және іс жүзінде бір құрылғыға тәуелді дизайндарды ашады. Үзіліс келгенде, шатасқан таңды қысқа триажға айналдыратын дәл сол сурет.