MPLS VPN или IPsec слој: три договори што треба да се разјаснат

Три ветувања се сместени во една понуда за широка мрежа и купувањето на едно не ги купува другите. Некој ги препраќа вашите пакети, некој го држи вашето рутирање одвоено од секој друг клиент, а некој одлучува дали полезниот товар е читлив во транзит. Тие ветувања можат да припаѓаат на различни страни и сепак да опишуваат еден изводлив проект. Нивното одвојување е одлуката; изборот на име на технологија не е.

Три ветувања во една понуда за широка мрежа

Првото ветување е транспортот: кои локации се поврзуваат, преку кои пристапни врски и кој препраќа пакети меѓу нив. Второто е рутирањето: кои префикси можат да се достигнат, кој одобрува промена и како вашиот сообраќај останува одвоен од друг закупец. Третото е заштитата: што се шифрира, меѓу кои крајни точки и кој ги држи клучевите. Побарајте го секое писмено, зашто секој одговор живее во различен документ.

Понудата на давателот има тенденција да го цени првото, да го претпоставува второто и третото да го остави на вас. Тоа не е нечесност; трите ги продаваат различни тимови. Станува проблем кога прегледот на проектот открива дека безбедносниот тим претпоставувал шифрирање, а мрежниот тим претпоставувал дека операторот се занимава со тоа. Поделбата на реченицата на три чини еден час и ја спречува таа средба.

Ознаката го опишува препраќањето, не услугата во точката на предавање

Повеќепротоколното комутирање на ознаки кажува како пакетот патува внатре во мрежата на давателот. Тоа не кажува на што се поврзува клиентот или што клиентот разменува со работ на давателот. Давателот може да изгради рутирана IP VPN врз MPLS или услуга од слој 2 со сосема поинаков модел на поврзување, и двете можат да стигнат до вас како „MPLS врска“.

Терминологијата на IETF за VPN што ги обезбедува давателот го дефинира речникот токму за ова: работ на клиентот, работ на давателот и моделите на услуги изградени меѓу нив. Користете ја кога понудата ги замаглува слоевите и прашајте што физички е предавањето.

Рутираната услуга ви дава однос на рутирање со работ на давателот, така што додавањето префикс станува барање за промена во две организации. Предавањето од слој 2 го носи вашето сопствено рутирање и го преместува оперативниот товар на ваша страна. Ниту едно не е подобро во апстракција; одговорот произлегува од тоа колку често се менува вашата топологија и кого сакате да одговара во три часот наутро.

Шифрирањето е ветување што не можете случајно да го делегирате

Приватниот транспорт не го прави полезниот товар нечитлив. Одвојувањето од давателот ги држи закупците одвоени оперативно; тоа не е тврдење за тоа кој може да ги прегледува бајтовите на патот. Ако барањето е операторот да не може да го чита сообраќајот, тоа барање бара механизам што вие го контролирате, а IPsec е вообичаениот.

IPsec работи врз приватен транспорт исто толку лесно како врз интернет пристап, па „MPLS или IPsec“ е лажен избор кога истовремено ви требаат управувана достапност и сопствена граница на доверба. Одлучете каде завршува тунелот, зашто тунел што завршува на рутер го остава сегментот зад тој рутер во отворен текст. Потоа одлучете кој го администрира секој партнер, бидејќи клуч што го држи трета страна не е граница што ја поседувате.

Дајте му име и мерлива граница на секое ветување

Напишете еден ред на ветување со сопственик и граница што може да се измери. Достапноста на пристапната врска му припаѓа на нејзиниот добавувач, доцнењето на магистралата му припаѓа на давателот, а живоста на тунелот му припаѓа на тој што ги управува крајните точки. Еден единствен број од крај до крај што никој не го мери е број што никој не ви го должи.

Договорот за ниво на услуга произлегува од договорот и неговиот опфат, а не од буквите во името на технологија. IPsec не бара интернет транспорт со најдобар напор, и MPLS сам по себе не носи гаранција за доцнење; двете зависат од основната мрежа и крајните точки што ќе ги изберете.

Тестирајте го нацртаниот пат, вклучително и неговиот отказ

Приватен транспорт со широк интерфејс сепак може да откаже кога наслојувањето додава заглавија, а симптомот е сесија што се воспоставува и потоа запира на големи одговори. Тестирајте ја употребливата големина наместо да расудувате за неа и запишете го најголемиот пакет што поминува од крај до крај. Направете го тоа пред да се расправате за пропусниот опсег, зашто пат што фрла големи пакети изгледа како проблем на апликацијата. Бројот припаѓа на проектниот документ покрај MTU на секоја пристапна врска.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Тие команди доаѓаат од Linux хост на една локација; други платформи го пишуваат истиот тест поинаку. Ако на локацијата ѝ треба помала вредност, тоа е проектно ограничување што треба да се запише, а не дефект што треба да се пријави. Истата дисциплина важи за пропусноста, зашто шифрирањето чини обработка и крајната точка станува дел од пресметката на капацитетот.

Пред потпишување нацртајте два дијаграма: нормалниот пат со означен секој сопственик и патот на отказот со истите ознаки. Вториот открива проекти што на хартија изгледаат излишни, а во практика зависат од еден уред. Кога ќе дојде прекин, токму таа слика ја претвора збунетата утринска во кратка тријажа.