MPLS UDP iekšienē: entropija apakšējam slānim, noteikumi domēnam

Divi pakalpojumu sniedzēji apraksta vienu un to pašu pakalpojuma etiķeti, un tikai viens no viņiem piemin UDP galveni. Atšķirība nav kosmētiska: MPLS ievietošana UDP maina to, ko ārējais IP tīkls var redzēt, un tādējādi arī to, ko tas var jaukāt pāri paralēlajām saitēm. Tas maina arī to, kam ir atļauts to izvietot.

Slāņi ir pietiekami īsi, lai tos atcerētos: ārējais IP, tad UDP, tad MPLS etiķešu steks, tad pakalpojuma lietderīgā slodze. Etiķešu steks nepazūd; tas joprojām nosaka pārsūtīšanu galapunktā, kas atsāk etiķešu pārslēgšanu.

Ko pievieno UDP apvalks

RFC 7510 definē šo iekapsulēšanu ar UDP galamērķa portu 6635 un izmanto avota porta lauku plūsmas entropijas pārnēsāšanai. Iekapsulējošā ierīce izlemj, kas tiek uzskatīts par plūsmu un kā iegūt vērtību; standarts apzināti nenosaka vienu konkrētu jaukšanas funkciju. Tas atstāj vietu piegādātāja uzvedībai, un tas nozīmē, ka divas implementācijas var radīt atšķirīgus sadalījumus vienam un tam pašam trafika maisījumam. Lasiet vērtību kā apakšējam slānim piedāvātu mājienu, nevis kā standarta pieņemtu maršrutēšanas lēmumu.

Ieguvums ir netiešs. Transit tīklam, kas līdzsvaro slodzi pēc ārējā piecinieka, tagad ir ko jaukāt, kamēr kails MPLS pakets, iespējams, piedāvāja tikai augšējo etiķeti. Vai tas palīdz, ir atkarīgs no platformas, kas veic līdzsvarošanu, un no tā, kurus laukus tā faktiski ņem vērā.

Entropija nav joslas platums

Vienmērīgāka plūsmu sadale pa pieejamajām saitēm nav tas pats, kas to apvienošana vienā ātrākā ceļā. Viena lietojumprogrammas plūsma joprojām ceļo vienu ceļu, un līdzsvarošana pa plūsmām nevar pārsniegt tās saites jaudu, uz kuras tā nolaižas. Mehānisms arī negarantē vienmērīgu sadalījumu; tas tikai dod jaukšanas funkcijai labākus ievaddatus.

Saglabājiet apvalku stabilu konkrētai plūsmai, ja vien pārkārtošana nav pieņemama. Ja avota ports mainās katram paketam, apakšējais slānis labprāt izklāj vienu sarunu pa vairākiem ceļiem, un pārmontēšana kļūst par lietojumprogrammas problēmu. Mērķis ir konsekventa entropija uz plūsmu, nevis pastāvīgs jaunums.

Izvietošanas robeža ir specifikācijas daļa

RFC 7510 ierobežo izvietošanu ar viena operatora tīklu vai blakus esošu sadarbojošu operatoru kopumu, kur trafiks tiek pārvaldīts, lai izvairītos no sastrēgumiem. Tas arī pieprasa filtrēšanu, kas neļauj iekapsulētam trafikam izkļūt no šī domēna. Tie nav dekoratīvi nosacījumi; tie izriet no tā, ka iekapsulēšana nepievieno savu drošību. Uztveriet tos kā likumīgas izvietošanas priekšnosacījumus, nevis kā ieteikumus dizaina piezīmē.

Nekas UDP galvenē neautentificē sūtītāju, un nekas tajā nenodrošina lietderīgās slodzes konfidencialitāti vai integritāti. Ja trafikam nepieciešama aizsardzība, tā nāk no atsevišķa mehānisma ar savu atslēgu pārvaldību. MPLS-in-UDP izvēle nepaaugstina uzticēšanās modeli.

Pievērsiet uzmanību, ko aizsardzība dara ar vēlamo jaukšanu

Pievienojiet IPsec vai citu drošības iekapsulēšanu, un ārējā galvene, ko jaukā transit ierīces, var pilnībā mainīt formu. Tunera režīms var paslēpt iekšējo UDP avota portu aiz jaunas ārējās galvenes, kas nozīmē, ka rūpīgi nodrošinātā entropija var nebūt redzama tur, kur notiek līdzsvarošana. Vispirms šifrēt un pēc tam iekapsulēt ir citāds dizains nekā apgrieztā secība, un atšķirība izpaužas kā saite, kas pārvadā daudz vairāk trafika nekā tās kaimiņi.

Novērtējiet visu paketi tādu, kāds tas parādās uz vada, ne tikai slāni, ko apraksta standarts. Tas ir arī brīdis, kad pārdomāt MTU un galapunkta jaudu, jo UDP galvene plus jebkāda drošības papildu slodze samazina ietilpstošo lietderīgo slodzi.

Izlemiet, redzot visu ceļu

Salīdziniet MPLS-in-UDP ar alternatīvām, piemēram, GRE, pēc kritērijiem, kas svarīgi jūsu tīklam: pēc kuriem laukiem apakšējais slānis līdzsvaro, cik lielu papildu slodzi varat atļauties, kāds drošības apvalks ir nepieciešams un vai domēna robežu var ieviest. Piešķirt tam beznosacījumu veiktspējas priekšrocību salīdzinājumā ar GRE ir secinājums, ko standarti neatbalsta.

Pēc tam pārbaudiet ar reāliem trafika maisījumiem un pārbaudiet katras dalībnieces saites izmantojumu, jo jaukšana, kas labi izskatās laboratorijā, var sabrukt uz vienas saites, kad visas plūsmas dala vienu pašu kortežu. Godīgs kopsavilkums ir tāds, ka iekapsulēšana atklāj informāciju, ko apakšējais slānis var izmantot, domēnā, kas ir piekritis to pārvaldīt.