MPLS dalam UDP: entropi untuk lapisan bawah, peraturan untuk domain

Dua pembekal menerangkan label perkhidmatan yang sama, dan hanya seorang daripada mereka menyebut pengepala UDP. Perbezaannya bukan kosmetik: meletakkan MPLS di dalam UDP mengubah apa yang boleh dilihat oleh rangkaian IP luar, dan oleh itu apa yang boleh di-hash merentas pautan selari. Ia juga mengubah siapa yang dibenarkan menggunakannya.

Lapisan-lapisannya cukup pendek untuk diingati: IP luar, kemudian UDP, kemudian tindanan label MPLS, kemudian muatan perkhidmatan. Tindanan label tidak hilang; ia masih menentukan penghantaran di titik akhir yang menyambung semula pensuisan label.

Apa yang ditambah oleh sampul UDP

RFC 7510 mentakrifkan enkapsulasi ini dengan port destinasi UDP 6635 dan menggunakan medan port sumber untuk membawa entropi aliran. Peranti yang mengenkapsulasi memutuskan apa yang dikira sebagai aliran dan bagaimana nilai itu diperoleh; standard itu sengaja tidak mewajibkan satu hash tertentu. Ini memberi ruang kepada tingkah laku vendor, dan bermakna dua pelaksanaan boleh menghasilkan taburan berbeza untuk campuran trafik yang sama. Baca nilai itu sebagai petunjuk yang ditawarkan kepada lapisan bawah, bukan sebagai keputusan penghalaan yang dibuat oleh standard.

Manfaatnya tidak langsung. Rangkaian transit yang mengimbangi beban pada lima-tupel luar kini mempunyai sesuatu untuk di-hash, sedangkan paket MPLS kosong mungkin hanya menawarkan label teratas. Sama ada ia membantu bergantung pada platform yang melakukan pengimbangan dan pada medan mana yang benar-benar dipertimbangkannya.

Entropi bukan lebar jalur

Mengagihkan aliran dengan lebih sekata merentas pautan yang tersedia bukanlah sama dengan menggabungkannya menjadi satu laluan yang lebih pantas. Satu aliran aplikasi masih melalui satu laluan, dan pengimbangan setiap aliran tidak boleh melebihi kapasiti pautan tempat ia mendarat. Mekanisme ini juga tidak menjamin taburan sekata; ia hanya memberi fungsi hash input yang lebih baik.

Kekalkan sampul itu stabil untuk aliran tertentu melainkan penyusunan semula boleh diterima. Jika port sumber berubah bagi setiap paket, lapisan bawah akan dengan senang hati menyebarkan satu perbualan merentas beberapa laluan dan pemasangan semula menjadi masalah aplikasi. Entropi yang konsisten bagi setiap aliran ialah matlamatnya, bukan kebaharuan yang berterusan.

Sempadan penggunaan adalah bahagian spesifikasi

RFC 7510 mengehadkan penggunaan kepada rangkaian seorang pengendali atau satu set pengendali bersebelahan yang bekerjasama, dengan trafik diuruskan supaya kesesakan dielakkan. Ia juga menyeru penapisan yang menghalang trafik terenkapsulasi daripada terlepas keluar dari domain itu. Ini bukan syarat hiasan; ia berpunca daripada fakta bahawa enkapsulasi tidak menambah keselamatan sendiri. Anggapnya sebagai prasyarat untuk penggunaan yang sah, bukan sebagai cadangan dalam nota reka bentuk.

Tiada apa-apa dalam pengepala UDP yang mengesahkan penghantar, dan tiada apa-apa di dalamnya yang menyediakan kerahsiaan atau integriti untuk muatan. Jika trafik memerlukan perlindungan, ia datang daripada mekanisme berasingan dengan pengurusan kunci sendiri. Memilih MPLS-in-UDP tidak menaik taraf model kepercayaan.

Perhatikan apa yang dilakukan perlindungan terhadap hashing yang anda mahukan

Tambah IPsec atau enkapsulasi keselamatan lain, dan pengepala luar yang di-hash oleh peranti transit mungkin berubah bentuk sepenuhnya. Mod terowong boleh menyembunyikan port sumber UDP dalaman di belakang pengepala luar yang baharu, yang bermaksud entropi yang anda sediakan dengan teliti mungkin tidak kelihatan di tempat pengimbangan berlaku. Menyulitkan dahulu dan kemudian mengenkapsulasi ialah reka bentuk yang berbeza daripada susunan terbalik, dan perbezaannya muncul sebagai pautan yang membawa jauh lebih banyak trafik daripada jirannya.

Nilai paket lengkap seperti yang muncul pada wayar, bukan hanya lapisan yang diterangkan oleh standard. Ini juga titik untuk menimbang semula MTU dan kapasiti titik akhir, kerana pengepala UDP serta sebarang overhead keselamatan mengurangkan muatan yang dapat dimuatkan.

Putuskan dengan seluruh laluan di hadapan

Bandingkan MPLS-in-UDP dengan alternatif seperti GRE berdasarkan kriteria yang penting untuk rangkaian anda: medan mana yang menjadi asas pengimbangan lapisan bawah, berapa banyak overhead yang mampu anda tanggung, sampul keselamatan apa yang diperlukan, dan sama ada sempadan domain boleh dikuatkuasakan. Memberinya kelebihan prestasi tanpa syarat berbanding GRE ialah kesimpulan yang tidak disokong oleh standard.

Kemudian uji dengan campuran trafik sebenar dan periksa penggunaan pautan bagi setiap ahli, kerana hash yang kelihatan baik di makmal boleh runtuh ke satu pautan apabila setiap aliran berkongsi tuple yang sama. Ringkasan jujurnya ialah enkapsulasi mendedahkan maklumat yang boleh digunakan oleh lapisan bawah, di dalam domain yang telah bersetuju untuk mengurusnya.