MPLS VPN же IPsec катмары: чечүү керек үч келишим

Үч убада бир кенен аймак сунушунун ичинде турат жана бирөөнү сатып алуу калгандарын сатып албайт. Бирөө пакеттериңизди жиберет, бирөө маршруттооңузду башка ар бир кардардан өзүнчө кармайт, ал эми бирөө жүктүн транзитте окулушун чечет. Бул убадалар ар башка тараптарга таандык болушу мүмкүн жана баары бир бир иштөөчү долбоорду сүрөттөйт. Аларды бөлүү — чечим; технология атын тандоо эмес.

Бир кенен аймак сунушунда үч убада

Биринчи убада — ташуу: кайсы сайттар туташат, кайсы кирүү тизмектери аркылуу жана алардын ортосунда пакеттерди ким жиберет. Экинчиси — маршруттоо: кайсы префикстер бири-бирине жете алат, өзгөртүүнү ким бекитет жана трафигиңиз башка ижарачыдан кантип өзүнчө калат. Үчүнчүсү — коргоо: эмне шифрленет, кайсы акыркы чекиттердин ортосунда жана ачкычтарды ким кармайт. Ар бирин жазуу түрүндө сураңыз, анткени ар бир жооп башка документте жашайт.

Провайдер сунушу биринчисин баалоого, экинчисин болжолдоого жана үчүнчүсүн сизге калтырууга жакын. Бул адалсыздык эмес; үчөөнү ар башка командалар сатат. Долбоорду карап чыгуу коопсуздук командасы шифрлөөнү болжолдогонун жана тармак командасы оператор муну чечти деп болжолдогонун аныктаганда көйгөй болот. Сүйлөмдү үчкө бөлүү бир саат турат жана ал жыйындын алдын алат.

Белги жиберүүнү сүрөттөйт, тапшыруу чекитиндеги кызматты эмес

Көп протоколдук белгилерди коммутациялоо пакеттин провайдер тармагынын ичинде кантип жүрүшүн айтат. Кардар эмнеге туташарын же кардар провайдер четинен эмнени алмашарын айтпайт. Провайдер MPLS үстүндө маршрутталган IP VPN же таптакыр башка туташуу модели бар 2-катмар кызматын кура алат жана экөө тең сизге „MPLS туташуусу” катары жетиши мүмкүн.

IETFтин провайдер сунуштаган VPN терминологиясы сөздүктү дал ушул үчүн аныктайт: кардар чети, провайдер чети жана алардын ортосунда курулган кызмат моделдери. Сунуш катмарларды бүдөмүк кылганда аны колдонуңуз жана тапшыруу физикалык жактан эмне экенин сураңыз.

Маршрутталган кызмат сизге провайдер чети менен маршруттоо мамилесин берет, ошондуктан префикс кошуу эки уюмда өзгөртүү сурамына айланат. 2-катмар тапшыруу өз маршруттооңузду алып жүрөт жана операциялык жүктү сиздин тарабыңызга жылдырат. Экөө тең дерексіз түрдө жакшыраак эмес; жооп топологияңыз канчалык тез-тез өзгөрүшүнө жана таңкы үчтө кимдин жооп беришин каалаганыңызга байланыштуу.

Шифрлөө — кокустан өткөрүп бере албай турган убада

Жеке ташуу жүктү окулбай турган кылбайт. Провайдердин бөлүүсү ижарачыларды операциялык жактан өзүнчө кармайт; бул жолдогу байттарды ким текшере алары тууралуу билдирүү эмес. Эгер талап оператор трафикти окуй албашы болсо, бул талап сиз көзөмөлдөгөн механизмди талап кылат жана IPsec адаттагысы.

IPsec жеке ташуу үстүндө интернетке кирүүдөгүдөй эле оңой иштейт, ошондуктан „MPLS же IPsec” бир убакта башкарылуучу жеткиликтүүлүк жана өз ишеним чек араңыз керек болгондо жасалма тандоо болуп саналат. Туннель кайда бүтөрүн чечиңиз, анткени маршрутизатордо бүткөн туннель ошол маршрутизатордун артындагы сегментти ачык текстте калтырат. Андан кийин ар бир peer-ди ким башкарарын чечиңиз, анткени үчүнчү тарап кармаган ачкыч сизге таандык чек ара эмес.

Ар бир убадага ат жана өлчөнүүчү чек ара бериңиз

Ар бир убада үчүн ээси жана өлчөнүүчү чек арасы бар бир сап жазыңыз. Кирүү тизмегинин жеткиликтүүлүгү анын жеткирүүчүсүнө таандык, магистралдык кечигүү провайдерге таандык, ал эми туннелдин тиричилиги акыркы чекиттерди башкарган адамга таандык. Эч ким өлчөбөгөн бир учтан-учка сан — эч ким сизге карыз эмес сан.

Кызмат деңгээли боюнча келишим келишимден жана анын камтылышынан келип чыгат, технология атындагы тамгалардан эмес. IPsec эң жакшы аракеттеги интернет ташуусун талап кылбайт жана MPLS өзүнөн өзү кечигүү кепилдигин алып жүрбөйт; экөө тең негизги тармакка жана тандаган акыркы чекиттериңизге байланыштуу.

Сызган жолуңузду, анын иштебей калышын кошкондо, сынап көрүңүз

Кенен интерфейстүү жеке ташуу катмар аталыштарды кошкондо баары бир иштебей калышы мүмкүн жана симптом — орнотулуп, анан чоң жооптордо токтоп калган сессия. Колдонууга боло турган өлчөмдү анын жөнүндө ой жүгүртүүнүн ордуна сынап көрүңүз жана учтан-учка өткөн эң чоң пакетти жазып коюңуз. Муну өткөрүү жөндөмү тууралуу талашпастан мурун жасаңыз, анткени чоң пакеттерди таштаган жол колдонмо көйгөйүнө окшошот. Сан ар бир кирүү тизмегинин MTU-синин жанындагы долбоор документине таандык.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Бул буйруктар бир сайттагы Linux хостунен келет; башка платформалар ошол эле тестти башкача жазышат. Эгер сайтка кичирээк маани керек болсо, бул жазыла турган долбоордук чектөө, билдириле турган бузуктук эмес. Ошол эле тартип өткөрүү жөндөмүнө да тиешелүү, анткени шифрлөө иштетүүнү талап кылат жана акыркы чекит сыйымдуулук эсебинин бөлүгүнө айланат.

Кол коюудан мурун эки диаграмма сызыңыз: ар бир ээси белгиленген кадимки жол жана ошол эле белгилер менен бузулуу жолу. Экинчиси кагазда ашыкча көрүнгөн жана иш жүзүндө бир түзмөккө көз каранды долбоорлорду ачат. Үзүлүү келгенде, баш аламан таңды кыска триажга айландырган дал ошол сүрөт.