MPLS во UDP: ентропија за долниот слој, правила за доменот

Два провајдери опишуваат иста ознака за услуга, а само еден од нив споменува UDP заглавје. Разликата не е козметичка: ставањето на MPLS внатре во UDP го менува она што надворешната IP мрежа може да го види, а со тоа и она што може да го хешира низ паралелните врски. Исто така го менува тоа кој смее да го распореди.

Слоевите се доволно кратки за памтење: надворешен IP, потоа UDP, потоа стекот со MPLS ознаки, потоа корисниот товар на услугата. Стекот со ознаки не исчезнува; тој уште одлучува за препраќањето на крајната точка што го продолжува префрлувањето на ознаки.

Што додава UDP обвивката

RFC 7510 ја дефинира оваа инкапсулација со UDP одредишна порта 6635 и го користи полето за изворна порта за носење на ентропијата на текот. Уредот што инкапсулира одлучува што се смета за тек и како се изведува вредноста; стандардот намерно не пропишува еден конкретен хеш. Тоа остава простор за однесувањето на добавувачот и значи дека две имплементации можат да дадат различни распределби за истата мешавина на сообраќај. Читајте ја вредноста како навестување понудено на долниот слој, а не како одлука за рутирање донесена од стандардот.

Користа е индиректна. Транзитната мрежа што балансира товар по надворешна петорка сега има што да хешира, додека гол MPLS пакет можеби нудеше само горната ознака. Дали тоа помага зависи од платформата што го врши балансирањето и од тоа кои полиња навистина ги зема предвид.

Ентропијата не е пропусен опсег

Рамномерното распределување на тековите низ достапните врски не е исто како нивно спојување во еден побрз пат. Еден апликациски тек уште патува по еден пат, а балансирањето по тек не може да го надмине капацитетот на врската на која слетува. Механизмот исто така не гарантира рамномерна распределба; тој само ѝ дава на хеш функцијата подобри влезови.

Држете ја обвивката стабилна за даден тек освен ако преуредувањето е прифатливо. Ако изворната порта се менува по пакет, долниот слој со задоволство ќе го рашири еден разговор по неколку патишта и повторното составување ќе стане проблем на апликацијата. Целта е конзистентна ентропија по тек, а не постојана новина.

Границата на распоредување е дел од спецификацијата

RFC 7510 го ограничува распоредувањето на мрежата на еден оператор или на соседно множество оператори што соработуваат, при што сообраќајот се управува за да се избегне застој. Исто така бара филтрирање што спречува инкапсулираниот сообраќај да избега од тој домен. Тоа не се декоративни услови; тие произлегуваат од фактот дека инкапсулацијата не додава сопствена безбедност. Третирајте ги како предуслови за легитимно распоредување, а не како предлози во белешка за дизајн.

Ништо во UDP заглавјето не го автентицира испраќачот и ништо во него не обезбедува доверливост или интегритет за корисниот товар. Ако сообраќајот бара заштита, таа доаѓа од одделен механизам со сопствено управување со клучеви. Изборот на MPLS-in-UDP не го подобрува моделот на доверба.

Внимавајте што прави заштитата со хеширањето што го сакавте

Додајте IPsec или друга безбедносна инкапсулација, и надворешното заглавје што го хешираат транзитните уреди може целосно да го смени обликот. Тунелскиот режим може да ја сокрие внатрешната UDP изворна порта зад ново надворешно заглавје, што значи дека внимателно обезбедената ентропија може да не биде видлива таму каде што се врши балансирањето. Прво шифрирање па инкапсулација е различен дизајн од обратниот редослед, а разликата се покажува како врска што носи далеку повеќе сообраќај од своите соседи.

Оценете го целиот пакет како што се појавува на жицата, а не само слојот што го опишува стандардот. Ова е и моментот да се преиспитаат MTU и капацитетот на крајната точка, бидејќи UDP заглавјето плус каков било безбедносен товар го намалува корисниот товар што се собира.

Одлучете со целиот пат пред очи

Споредете го MPLS-in-UDP со алтернативи како GRE според критериумите што се важни за вашата мрежа: по кои полиња балансира долниот слој, колку дополнителен товар можете да си дозволите, каков безбедносен обвивка е потребен и дали може да се спроведе границата на доменот. Да му се припише безусловна предност во перформансите пред GRE е заклучок што стандардите не го поддржуваат.

Потоа тестирајте со вистински мешавини на сообраќај и проверете го искористувањето на врската по член, бидејќи хеш што изгледа добро во лабораторија може да се сруши на една врска кога сите текови делат иста торка. Искрениот резиме е дека инкапсулацијата открива информации што долниот слој може да ги користи, во домен што се согласил да управува со нив.