MPLS-VPN oder IPsec-Overlay: dräi Kontrakter, déi ze klären

Dräi Verspriechen sëtzen an engem eenzegen Wide-Area-Angebot, an een ze kafen kaaft net déi aner. Een leet Är Paketen weider, een hält Är Routing vun all anere Client getrennt, an een entscheet, ob d’Nutzlaascht ënnerwee liesbar ass. Déi Verspriechen kënne zu verschiddene Parteie gehéieren an nach ëmmer ee machbare Design beschreiwen. Si trennen ass d’Entscheedung; en Technologienumm ze wielen net.

Dräi Verspriechen an engem eenzegen Wide-Area-Angebot

Déi éischt Verspriechen ass den Transport: wéi eng Standuerter sech verbannen, iwwer wéi eng Zougangskreesser, an wien Paketen tëschent hinne weiderleet. Déi zweet ass d’Routing: wéi eng Prefixen sech géigesäiteg erreeche kënnen, wien eng Ännerung genehmegt, an wéi Ären Trafic vun engem aneren Locataire getrennt bleift. Déi drëtt ass de Schutz: wat verschlësselt gëtt, tëschent wéi engen Endpunkten, an wien d’Schlësselen huet. Frot all eenzel schrëftlech, well all Äntwert an engem aneren Dokument läit.

En Ubiederangebot tendéiert deen éischten ze bepräissen, deen zweeten unzehuelen an den drëtten Iech z’iwwerloossen. Dat ass keng Onéierlechkeet; déi dräi ginn vu verschiddenen Teams verkaaft. Et gëtt e Problem, wann eng Designrevisioun entdeckt, datt d’Sécherheetsteam Verschlësselung ugeholl huet an d’Netzwierksteam ugeholl huet, datt den Ubieder dat géif maachen. D’Sätz an dräi ze deelen kascht eng Stonn a verhënnert déi Versammlung.

Eng Etikett beschreift d’Weiderleeden, net den Déngscht op der Iwwergabestell

Multiprotokoll-Etikettenaustausch seet, wéi e Paket bannent engem Ubiedernetzwierk reest. Et seet net, wat de Client uschléisst, oder wat de Client mat dem Ubiederrand austauscht. En Ubieder kann eng geroutete IP-VPN op MPLS bauen, oder en Layer-2-Déngscht mat engem ganz aneren Uschlossmodell, an allebéid kënnen Iech als „MPLS-Verbindung“ erreechen.

D’IETF-Terminologie fir VPN’en, déi vum Ubieder geliwwert ginn definéiert de Wuertschatz genee dofir: de Clientrand, den Ubiederrand an d’Déngschtmodeller, déi tëschent hinne gebaut ginn. Benotzt se, wann en Angebot d’Schichten verwëscht, a frot, wat d’Iwwergab physesch ass.

En gerouteten Déngscht gitt Iech eng Routingbezéiung mam Ubiederrand, sou datt en Prefix dobäizemaachen eng Ännerungsufro an zwou Organisatiounen gëtt. Eng Layer-2-Iwwergab dréit Är eege Routing an deplaazéiert d’operativ Laascht op Är Säit. Keng vun deenen zwee ass am Abstrakten besser; d’Äntwert follegt doraus, wéi dacks Är Topologie sech ännert a wien Dir wollt, datt en ëm dräi Auer moies äntwert.

Verschlësselung ass e Verspriechen, dat Dir net zoufälleg delegéiere kënnt

Privattransport mécht eng Nutzlaascht net onliesbar. D’Trennung duerch den Ubieder hält Locatairen operationell auseneen; et ass keng Ausso doriwwer, wien d’Byten um Wee ka kontrolléieren. Wann d’Fuerderung ass, datt den Ubieder den Trafic net ka liesen, brauch déi Fuerderung e Mechanismus, deen Dir kontrolléiert, an IPsec ass de gewéinlechen.

IPsec leeft iwwer Privattransport grad sou einfach wéi iwwer Internetzougang, also ass „MPLS oder IPsec“ eng falsch Wiel, wann Dir gläichzäiteg geréiert Erreechbarkeet an Är eege Vertrauensgrenz braucht. Entscheet, wou den Tunnel ophält, well en Tunnel, deen op engem Router ophält, léisst de Segment hannert deem Router am Kloertext. Entscheet dann, wien all Peer administréiert, well e Schlëssel bei engem Drëtten ass keng Grenz, déi Dir besëtzt.

Gitt all Verspriechen en Numm an eng moossbar Grenz

Schreift eng Linn pro Verspriechen mat engem Eegenen an enger Grenz, déi ka gemooss ginn. D’Verfügbarkeet vun engem Zougangskrees gehéiert sengem Liwwerant, d’Backbone-Latenz gehéiert dem Ubieder, an d’Liewensdauer vum Tunnel gehéiert deemjenen, deen d’Endpunkten bedreift. Eng eenzeg End-zu-End-Zuel, déi keen misst, ass eng Zuel, déi keen Iech schëlleg ass.

Eng Service-Level-Vereinbarung kënnt aus dem Kontrakt an sengem Ëmfang, net aus de Buschtawen vun engem Technologienumm. IPsec verlaangt keen Best-Effort-Internettreansport, an MPLS dréit net vu sech aus eng Latenzgarantie; béid hänken vum Underlay an den Endpunkten of, déi Dir wielt.

Test de Wee, deen Dir gezeechent hutt, inklusiv säi Feeler

En Privattransport mat enger generéiser Interface ka nach ëmmer feelen, soubal en Overlay Headeren dobäisetzt, an de Symptom ass eng Sessioun, déi sech opbaut an dann op groussen Äntwerten hänke bleift. Test d’notzbar Gréisst, amplaz doriwwer ze raisonéieren, a schreif dat gréissten Paket op, dat End-zu-End duerchkënnt. Maach dat, ier Dir iwwer Bandbreet streidt, well en Wee, dee grouss Paketen dropen, wéi en Applikatiounsproblem ausgesäit. D’Zuel gehéiert an den Designdokument nieft der MTU vun all Zougangskrees.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Déi Kommandoen kommen vun engem Linux-Host op enger Plaz; aner Plattformen schreiwen dee selwechten Test anescht. Wann eng Plaz eng méi kleng Wäert brauch, ass dat eng Designrestriktioun fir ze notéieren, net e Feeler fir ze mellen. Déi selwecht Disziplin gëllt fir den Duerchfloss, well Verschlësselung Rechenleeschtung kascht an den Endpunkt Deel vun der Kapazitéitsberechnung gëtt.

Zeechent zwee Diagrammer ier Dir ënnerschreift: den normale Wee mat all Eegenen etikettéiert, an de Feelerwee mat deene selwechten Etiketten. Den zweeten deckt Designer op, déi um Pabeier redundant ausgesinn an an der Praxis vun engem eenzegen Apparat ofhänken. Wann eng Stéierung kënnt, ass et dee Zeechnung, déi eng verwirrend Moien an eng kuerz Triage verwandelt.