MPLS VPN vai IPsec pārklājums: trīs līgumi, kas jāsakārto

Trīs solījumi ietilpst vienā vienīgā liela tīkla piedāvājumā, un viena pirkšana nepērk pārējos. Kāds pārsūta jūsu paketes, kāds tur jūsu maršrutēšanu atsevišķi no visiem citiem klientiem, un kāds izlemj, vai lietderīgā slodze pārsūtīšanas laikā ir lasāma. Šie solījumi var piederēt dažādām pusēm un tomēr aprakstīt vienu darbspējīgu projektējumu. To atdalīšana ir lēmums; tehnoloģijas nosaukuma izvēle nav.

Trīs solījumi vienā liela tīkla piedāvājumā

Pirmais solījums ir transports: kuras vietas savienojas, pa kādiem piekļuves kanāliem un kas pārsūta paketes starp tām. Otrais ir maršrutēšana: kuri prefiksi var sasniegt viens otru, kas apstiprina izmaiņas un kā jūsu trafiks paliek atsevišķi no cita nomnieka. Trešais ir aizsardzība: kas tiek šifrēts, starp kuriem galapunktiem un kam ir atslēgas. Pieprasiet katru rakstiski, jo katra atbilde dzīvo citā dokumentā.

Pakalpojumu sniedzēja piedāvājums mēdz cenas noteikt pirmajam, pieņemt otro un trešo atstāt jums. Tā nav negodība; trīs pārdod dažādas komandas. Tas kļūst par problēmu, kad projektējuma apskats atklāj, ka drošības komanda pieņēma šifrēšanu un tīkla komanda pieņēma, ka to kārto operators. Teikuma sadalīšana trijos izmaksā stundu un novērš šo sanāksmi.

Etiķete apraksta pārsūtīšanu, nevis pakalpojumu nodošanas punktā

Daudzprotokolu etiķešu pārslēgšana nosaka, kā pakete ceļo pakalpojumu sniedzēja tīklā. Tā nenosaka, kam klients pieslēdzas vai ko klients apmaina ar pakalpojumu sniedzēja malu. Pakalpojumu sniedzējs var uzbūvēt maršrutētu IP VPN uz MPLS vai L2 pakalpojumu ar pilnīgi citu pieslēguma modeli, un abi var jūs sasniegt kā „MPLS savienojums“.

IETF pakalpojumu sniedzēja nodrošināto VPN terminoloģija definē vārdu krājumu tieši šim nolūkam: klienta mala, pakalpojumu sniedzēja mala un starp tām būvētie pakalpojumu modeļi. Izmantojiet to, kad piedāvājums izplūdina slāņus, un jautājiet, kas fiziski ir nodošana.

Maršrutēts pakalpojums dod jums maršrutēšanas attiecības ar pakalpojumu sniedzēja malu, tāpēc prefiksa pievienošana kļūst par izmaiņu pieprasījumu divās organizācijās. L2 nodošana nes jūsu pašu maršrutēšanu un pārceļ darbības nastu uz jūsu pusi. Neviens nav labāks abstrakti; atbilde izriet no tā, cik bieži mainās jūsu topoloģija un kuru jūs gribat, lai atbild trijos naktī.

Šifrēšana ir solījums, ko nevarat deleģēt nejauši

Privāts transports nepadara lietderīgo slodzi nelasāmu. Pakalpojumu sniedzēja atdalīšana tur nomniekus operatīvi atsevišķus; tas nav apgalvojums par to, kas var pārbaudīt baitus ceļā. Ja prasība ir, ka operators nevar lasīt trafiku, šai prasībai vajag mehānismu, ko kontrolējat jūs, un IPsec ir ierastais.

IPsec darbojas pa privātu transportu tikpat viegli kā pa interneta piekļuvi, tāpēc „MPLS vai IPsec“ ir viltus izvēle, kad vienlaikus vajag pārvaldītu sasniedzamību un savu uzticības robežu. Izlemiet, kur tunelis beidzas, jo tunelis, kas beidzas maršrutētājā, atstāj segmentu aiz šī maršrutētāja atklātā tekstā. Pēc tam izlemiet, kas administrē katru partneri, jo trešās puses turēta atslēga nav robeža, kas pieder jums.

Dodiet katram solījumam nosaukumu un izmērāmu robežu

Ierakstiet vienu rindu uz solījumu ar īpašnieku un robežu, ko var izmērīt. Piekļuves kanāla pieejamība pieder tā piegādātājam, mugurkaula aizture pieder pakalpojumu sniedzējam, un tuneļa dzīvotspēja pieder tam, kas uztur galapunktus. Viens vienīgs skaitlis no gala līdz galam, ko neviens nemēra, ir skaitlis, ko neviens jums nav parādā.

Pakalpojuma līmeņa līgums izriet no līguma un tā apjoma, nevis no tehnoloģijas nosaukuma burtiem. IPsec neprasa labākā centiena interneta transportu, un MPLS pats par sevi nenes aiztures garantiju; abi ir atkarīgi no pamata tīkla un galapunktiem, ko izvēlaties.

Pārbaudiet uzzīmēto ceļu, tostarp tā atteici

Privāts transports ar dāsnu saskarni joprojām var neizdoties, tiklīdz pārklājums pievieno galvenes, un simptoms ir sesija, kas izveidojas un pēc tam iestrēgst pie lielām atbildēm. Pārbaudiet izmantojamo izmēru, nevis spriediet par to, un pierakstiet lielāko paketi, kas iziet no gala līdz galam. Dariet to pirms strīdēšanās par joslas platumu, jo ceļš, kas izmet lielas paketes, izskatās pēc lietojumprogrammas problēmas. Skaitlis pieder projektējuma dokumentam blakus katra piekļuves kanāla MTU.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Šīs komandas nāk no Linux resursdatora vienā vietā; citas platformas to pašu testu raksta citādi. Ja vietai vajag mazāku vērtību, tas ir projektējuma ierobežojums, kas jāpieraksta, nevis kļūda, kas jāziņo. Tā pati disciplīna attiecas uz caurlaidību, jo šifrēšana maksā apstrādi un galapunkts kļūst par jaudas aprēķina daļu.

Pirms parakstīšanas uzzīmējiet divas diagrammas: parasto ceļu ar atzīmētu katru īpašnieku un atteices ceļu ar tām pašām atzīmēm. Otrā atklāj projektējumus, kas uz papīra izskatās lieki un praksē ir atkarīgi no vienas ierīces. Kad pienāk pārtraukums, tieši šis zīmējums pārvērš mulsinošu rītu īsā triāžā.