MPLS an UDP: Entropie fir den Ënnerbau, Regelen fir d’Domain

Zwee Provider beschreiwen deeselwechte Service-Label, an nëmmen een vun hinne ernimmt en UDP-Header. Den Ënnerscheed ass net kosmetesch: MPLS an UDP ze leeën ännert, wat den äusseren IP-Netz ka gesinn, an doduerch wat et iwwer parallel Linken ka hashen. Et ännert och, wien et däerf asetzen.

D’Schichte sinn duerchaus kuerz genuch fir ze memoriséieren: äusseren IP, duerno UDP, duerno de MPLS-Label-Stack, duerno de Service-Payload. De Label-Stack verschwënnt net; en entscheet nach ëmmer d’Weiderleedung um Endpunkt, dee Label-Switching erëm opgehëlt.

Wat d’UDP-Ëmhüllung bäisetzt

RFC 7510 definéiert dës Kapselung mam UDP-Zilport 6635 a benotzt de Source-Port-Feld, fir Flow-Entropie ze droen. Den Apparat, dee kapselt, entscheet, wat als Flow zielt a wéi de Wäert ofgeleet gëtt; de Standard schreift bewosst keen eenzegen Hash vir. Dat léisst Raum fir Vendor-Verhalen, an et heescht, datt zwou Implementéierungen ënnerschiddlech Verdeelungen fir déiselwecht Traffic-Mix kënne produzéieren. Liest de Wäert als en Hiweis, deen dem Ënnerbau ugebuede gëtt, net als eng Routing-Entscheedung vum Standard.

De Benefice ass indirekt. En Transitnetz, dat iwwer en äussere Fënneffach d’Laascht balancéiert, huet elo eppes ze hashen, woubäi e blosen MPLS-Paket vläit nëmme säin iewescht Label ugebueden huet. Ob dat hëlleft, hänkt vun der Plattform of, déi d’Balance mécht, a vun de Felder, déi se tatsächlech berücksichtegt.

Entropie ass net Bandbreet

Floe méi gläichméisseg iwwer déi verfügbar Linken ze verdeelen ass net datselwecht wéi se an en eenzege méi schnelle Wee ze kombinéieren. En eenzegen Applikatiouns-Flow reest nach ëmmer ee Wee, an d’Balance pro Flow kann d’Kapazitéit vum Link, op deem en ukommt, net iwwerschreiden. De Mechanismus garantéiert och keng gläichméisseg Verdeelung; en gëtt enger Hash-Funktioun just besser Inputen.

Haalt d’Ëmhüllung stabil fir en bestëmmte Flow, ausser Ëmuerdnung ass akzeptabel. Wann de Source-Port pro Paket ännert, wäert den Ënnerbau e Gespréich gär iwwer méi Weeër verspreeden, an d’Nei-Zesummesetzen gëtt dem Applikatioun säi Problem. D’Zil ass konsequent Entropie pro Flow, net stänneg Neiheet.

D’Asetzwand ass Deel vun der Spezifikatioun

RFC 7510 begrenzt den Asatz op d’Netz vun engem eenzegen Bedreiwer oder op eng ugrenzend Grupp vu kooperéierende Bedreiwer, woubäi den Traffic verwalt gëtt, fir Stau ze vermeiden. Et fuerdert och eng Filterung, déi verhënnert, datt gekapselt Traffic aus där Domain entkommt. Dat sinn net dekorativ Konditiounen; se kommen doraus, datt d’Kapselung keng eege Sécherheet bäisetzt. Behandelt se als Viraussetzunge fir en legitimen Asatz, net als Suggestiounen an enger Designnotiz.

Näischt am UDP-Header authentifizéiert den Ofsender, an näischt dran bitt Vertraulechkeet oder Integritéit fir de Payload. Wann den Traffic Schutz brauch, kënnt dee vun engem separate Mechanismus mat eegener Schlësselverwaltung. MPLS-in-UDP ze wielen hieft d’Vertrauensmodell net.

Opgepasst, wat de Schutz mat dem Hashing mécht, deen Dir wollt

Füügt IPsec oder eng aner Sécherheets-Kapselung bäi, an den äusseren Header, deen d’Transitapparater hashen, kann seng Form komplett änneren. Den Tunnelmodus kann den inneren UDP-Source-Port hannert engem neien äusseren Header verstoppen, wat heescht, datt d’Entropie, déi Dir suergfälteg geliwwert hutt, vläit net sichtbar ass do, wou d’Balance geschitt. Als éischt verschlësselen an duerno kapselen ass en aneren Design wéi déi ëmgedréit Reihenfolg, an den Ënnerscheed weist sech als e Link, deen däitlech méi Traffic dréit wéi seng Noperen.

Bewäert de komplette Paket wéi en op der Leitung erschéngt, net nëmmen d’Schicht, déi de Standard beschreift. Dat ass och de Punkt, fir MTU an Endpunkt-Kapazitéit nei z’iwwerdenken, well en UDP-Header plus all Sécherheets-Overhead de Payload reduzéiert, deen erapasst.

Entscheet mat dem ganze Wee am Bléck

Vergläicht MPLS-in-UDP mat Alternativen wéi GRE no de Krittären, déi fir Äert Netz wichteg sinn: op wéi enge Felder den Ënnerbau balancéiert, wéi vill Overhead Dir Iech leeschte kënnt, wéi eng Sécherheetsëmhüllung néideg ass, an ob d’Domain-Grenz duerchgesat ka ginn. Him en onbedingte Leeschtungsvirdeel iwwer GRE zouzeschreiwen ass eng Conclusioun, déi d’Standarden net stäipen.

Test dann mat echte Traffic-Mixen a kontrolléiert d’Link-Auslaaschtung pro Member, well en Hash, deen am Laboratoire gutt ausgesäit, op engem Link zesummeklappe kann, wann all Floe sech en Tuple deelen. Déi éierlech Zesummefaassung ass, datt d’Kapselung Informatiounen opdeckt, déi den Ënnerbau ka benotzen, bannent enger Domain, déi sech bereet erkläert huet, se ze verwalten.