MPLS VPN ar IPsec perdanga: trys sutartys, kurias reikia suderinti

Trys pažadai telpa viename didelio ploto pasiūlyme, o nusipirkus vieną neįsigyjami kiti. Kažkas persiunčia jūsų paketus, kažkas išlaiko jūsų maršrutizavimą atskirai nuo visų kitų klientų, o kažkas nusprendžia, ar naudingasis krūvis yra perskaitomas perdavimo metu. Tie pažadai gali priklausyti skirtingoms šalims ir vis tiek apibūdinti vieną veikiančią struktūrą. Jų atskyrimas yra sprendimas; technologijos pavadinimo pasirinkimas ne.

Trys pažadai viename didelio ploto pasiūlyme

Pirmasis pažadas yra perdavimas: kurios vietos jungiasi, kokiais prieigos kanalais ir kas persiunčia paketus tarp jų. Antrasis yra maršrutizavimas: kurie prefiksai gali pasiekti vienas kitą, kas tvirtina pakeitimą ir kaip jūsų srautas lieka atskirtas nuo kito nuomininko. Trečiasis yra apsauga: kas šifruojama, tarp kokių galinių taškų ir kas laiko raktus. Paprašykite kiekvieno raštu, nes kiekvienas atsakymas gyvena kitame dokumente.

Teikėjo pasiūlymas linkęs įkainoti pirmąjį, daryti prielaidą dėl antrojo, o trečiąjį palikti jums. Tai ne nesąžiningumas; tris parduoda skirtingos komandos. Tai tampa problema, kai projektavimo peržiūra atskleidžia, kad saugumo komanda darė prielaidą dėl šifravimo, o tinklo komanda darė prielaidą, kad tuo rūpinasi operatorius. Sakinio padalijimas į tris kainuoja valandą ir užkerta kelią tam susitikimui.

Etiketė apibūdina perdavimą, o ne paslaugą perdavimo taške

Daugiaprotokolinis etikečių perjungimas nurodo, kaip paketas keliauja teikėjo tinkle. Jis nenurodo, prie ko jungiasi klientas ar ką klientas keičiasi su teikėjo kraštu. Teikėjas gali pastatyti maršrutizuotą IP VPN ant MPLS arba L2 paslaugą su visiškai kitu prisijungimo modeliu, ir abi gali pasiekti jus kaip „MPLS ryšys“.

IETF teikėjo teikiamų VPN terminologija apibrėžia žodyną būtent tam: kliento kraštas, teikėjo kraštas ir tarp jų pastatyti paslaugų modeliai. Naudokite ją, kai pasiūlymas sulieja sluoksnius, ir paklauskite, kas fiziškai yra perdavimas.

Maršrutizuota paslauga suteikia jums maršrutizavimo santykį su teikėjo kraštu, todėl prefikso pridėjimas tampa pakeitimo prašymu dviejose organizacijose. L2 perdavimas neša jūsų pačių maršrutizavimą ir perkelia operacinę naštą į jūsų pusę. Nė vienas nėra geresnis abstrakčiai; atsakymas kyla iš to, kaip dažnai keičiasi jūsų topologija ir ką norite, kad atsakytų trečią valandą ryto.

Šifravimas yra pažadas, kurio negalite deleguoti atsitiktinai

Privatus perdavimas nepadaro naudingojo krūvio neperskaitomo. Teikėjo atskyrimas išlaiko nuomininkus operatyviai atskirtus; tai nėra teiginys apie tai, kas gali tikrinti baitus kelyje. Jei reikalavimas yra, kad operatorius negalėtų skaityti srauto, tam reikia jūsų valdomo mechanizmo, o IPsec yra įprastas.

IPsec veikia per privatų perdavimą taip pat lengvai kaip per interneto prieigą, todėl „MPLS ar IPsec“ yra klaidingas pasirinkimas, kai jums vienu metu reikia valdomo pasiekiamumo ir savo patikimumo ribos. Nuspręskite, kur baigiasi tunelis, nes tunelis, besibaigiantis maršruto parinktuve, palieka segmentą už to maršruto parinktuvo atviru tekstu. Tada nuspręskite, kas administruoja kiekvieną partnerį, nes trečiosios šalies laikomas raktas nėra jūsų valdoma riba.

Duokite kiekvienam pažadui vardą ir išmatuojamą ribą

Parašykite vieną eilutę vienam pažadui su savininku ir riba, kurią galima išmatuoti. Prieigos kanalo prieinamumas priklauso jo tiekėjui, magistralės delsą priklauso teikėjui, o tunelio gyvybingumas priklauso tam, kas valdo galinius taškus. Vienas vienintelis skaičius nuo galo iki galo, kurio niekas nematuoja, yra skaičius, kurio jums niekas neskolingas.

Paslaugos lygio sutartis kyla iš sutarties ir jos apimties, o ne iš technologijos pavadinimo raidžių. IPsec nereikalauja geriausio pasiekiamo interneto perdavimo, o MPLS pats savaime neturi delsos garantijos; abu priklauso nuo pagrindinio tinklo ir jūsų pasirinktų galinių taškų.

Išbandykite nubrėžtą kelią, įskaitant jo gedimą

Privatus perdavimas su dosnia sąsaja vis tiek gali sugesti, kai perdanga prideda antraštes, o simptomas yra sesija, kuri užmezgama ir tada sustoja ties dideliais atsakymais. Išbandykite naudingą dydį, o ne samprotaudami apie jį, ir užrašykite didžiausią paketą, kuris praeina nuo galo iki galo. Padarykite tai prieš ginčydamiesi dėl pralaidumo, nes kelias, kuris meta didelius paketus, atrodo kaip programos problema. Skaičius priklauso projektavimo dokumentui šalia kiekvieno prieigos kanalo MTU.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Tos komandos ateina iš Linux kompiuterio vienoje vietoje; kitos platformos tą patį testą rašo kitaip. Jei vietai reikia mažesnės vertės, tai yra projektavimo apribojimas, kurį reikia užrašyti, o ne gedimas, kurį reikia pranešti. Ta pati disciplina taikoma pralaidumui, nes šifravimas kainuoja apdorojimą ir galinis taškas tampa pajėgumo skaičiavimo dalimi.

Prieš pasirašydami nubrėžkite dvi diagramas: įprastą kelią su pažymėtu kiekvienu savininku ir gedimo kelią su tomis pačiomis žymomis. Antroji atskleidžia sprendimus, kurie popieriuje atrodo pertekliniai, o praktiškai priklauso nuo vieno įrenginio. Kai ateina sutrikimas, būtent tas piešinys paverčia painų rytą trumpu triažu.