MPLS UDP viduje: entropija apatiniam sluoksniui, taisyklės domenui

Du tiekėjai aprašo tą pačią paslaugos žymą, ir tik vienas jų mini UDP antraštę. Skirtumas ne kosmetinis: MPLS įdėjimas į UDP pakeičia, ką gali matyti išorinis IP tinklas, ir todėl ką jis gali maišyti per lygiagrečias jungtis. Tai taip pat pakeičia, kam leidžiama jį diegti.

Sluoksniai pakankamai trumpi, kad juos įsimintumėte: išorinis IP, tada UDP, tada MPLS žymų dėklas, tada paslaugos naudingoji apkrova. Žymų dėklas neišnyksta; jis vis dar nusprendžia persiuntimą galiniame taške, kuris atnaujina žymų perjungimą.

Ką prideda UDP apvalkalas

RFC 7510 apibrėžia šį inkapsuliavimą su UDP paskirties prievadu 6635 ir naudoja šaltinio prievado lauką srauto entropijai perduoti. Inkapsuliuojantis įrenginys nusprendžia, kas laikoma srautu ir kaip išvedama reikšmė; standartas sąmoningai nereikalauja vieno konkretaus maišos. Tai palieka vietos tiekėjo elgsenai ir reiškia, kad dvi implementacijos gali duoti skirtingus pasiskirstymus tam pačiam srauto mišiniui. Skaitykite reikšmę kaip apatiniam sluoksniui pasiūlytą užuominą, o ne kaip standarto priimtą maršrutizavimo sprendimą.

Nauda netiesioginė. Tranzitiniam tinklui, kuris balansuoja apkrovą pagal išorinį penketą, dabar yra ką maišyti, o plikas MPLS paketas galbūt siūlė tik viršutinę žymą. Ar tai padeda, priklauso nuo platformos, kuri atlieka balansavimą, ir nuo to, į kuriuos laukus ji iš tikrųjų atsižvelgia.

Entropija nėra pralaidumas

Tolygesnis srautų paskirstymas turimomis jungtimis nėra tas pats, kas jų sujungimas į vieną greitesnį kelią. Vienas programos srautas vis tiek keliauja vienu keliu, o balansavimas pagal srautą negali viršyti jungties, į kurią jis nusileidžia, pralaidumo. Mechanizmas taip pat negarantuoja tolygaus pasiskirstymo; jis tik suteikia maišos funkcijai geresnių įvesčių.

Išlaikykite apvalkalą stabilų tam tikram srautui, nebent pertvarkymas priimtinas. Jei šaltinio prievadas keičiasi kiekviename pakete, apatinis sluoksnis mielai paskleis vieną pokalbį keliais keliais, o perrinkimas taps programos problema. Tikslas yra nuosekli entropija vienam srautui, o ne nuolatinis naujumas.

Diegimo riba yra specifikacijos dalis

RFC 7510 apriboja diegimą vieno operatoriaus tinklu arba gretima bendradarbiaujančių operatorių rinkiniu, kai srautas valdomas taip, kad būtų išvengta perkrovos. Jis taip pat reikalauja filtravimo, kuris neleistų inkapsuliuotam srautui pabėgti iš to domeno. Tai ne dekoratyvios sąlygos; jos kyla iš to, kad inkapsuliavimas neprideda savo saugumo. Traktuokite jas kaip teisėto diegimo prielaidas, o ne kaip pasiūlymus projektinėje pastaboje.

Niekas UDP antraštėje neautentifikuoja siuntėjo, ir niekas joje nesuteikia naudingosios apkrovos konfidencialumo ar vientisumo. Jei srautui reikia apsaugos, ji ateina iš atskiro mechanizmo su savo raktų valdymu. MPLS-in-UDP pasirinkimas nepadidina pasitikėjimo modelio.

Atkreipkite dėmesį, ką apsauga daro norimam maišymui

Pridėkite IPsec ar kitą saugumo inkapsuliavimą, ir išorinė antraštė, kurią maišo tranzitiniai įrenginiai, gali visiškai pakeisti formą. Tunelio režimas gali paslėpti vidinį UDP šaltinio prievadą už naujos išorinės antraštės, o tai reiškia, kad kruopščiai suteikta entropija gali būti nematoma ten, kur vyksta balansavimas. Pirmiausia šifruoti, o paskui inkapsuliuoti yra kitokia konstrukcija nei atvirkštinė tvarka, ir skirtumas pasireiškia kaip jungtis, kuri neša daug daugiau srauto nei jos kaimynės.

Vertinkite visą paketą taip, kaip jis atrodo laidu, o ne tik sluoksnį, kurį aprašo standartas. Tai taip pat momentas permąstyti MTU ir galinio taško pajėgumą, nes UDP antraštė ir bet kokia saugumo pridėtinė apkrova sumažina telpančią naudingąją apkrovą.

Spręskite matydami visą kelią

Palyginkite MPLS-in-UDP su alternatyvomis, pavyzdžiui, GRE, pagal jūsų tinklui svarbius kriterijus: pagal kuriuos laukus apatinis sluoksnis balansuoja, kiek pridėtinės apkrovos galite sau leisti, kokio saugumo apvalkalo reikia ir ar galima įgyvendinti domeno ribą. Suteikti jam besąlyginį našumo pranašumą prieš GRE yra išvada, kurios standartai nepalaiko.

Tada išbandykite su realiais srauto mišiniais ir patikrinkite kiekvieno nario jungties išnaudojimą, nes maiša, kuri gerai atrodo laboratorijoje, gali subyrėti į vieną jungtį, kai visi srautai dalijasi ta pačia kortele. Sąžininga santrauka yra ta, kad inkapsuliavimas atskleidžia informaciją, kurią apatinis sluoksnis gali naudoti, domeno, kuris sutiko ja valdyti, viduje.