MPLS VPN atau lapisan IPsec: tiga kontrak untuk diselesaikan

Tiga janji terletak dalam satu sebut harga kawasan luas, dan membeli satu tidak membeli yang lain. Seseorang memajukan paket anda, seseorang menyimpan penghalaan anda berasingan daripada setiap pelanggan lain, dan seseorang memutuskan sama ada muatan boleh dibaca semasa transit. Janji-janji itu boleh dimiliki pihak berbeza dan masih menerangkan satu reka bentuk yang berdaya maju. Memisahkannya ialah keputusan; memilih nama teknologi bukan.

Tiga janji dalam satu sebut harga kawasan luas

Janji pertama ialah pengangkutan: tapak mana yang bersambung, melalui litar akses mana, dan siapa memajukan paket antaranya. Yang kedua ialah penghalaan: awalan mana yang boleh saling mencapai, siapa meluluskan perubahan, dan bagaimana trafik anda kekal berasingan daripada penyewa lain. Yang ketiga ialah perlindungan: apa yang disulitkan, antara titik akhir mana, dan siapa memegang kunci. Minta setiap satu secara bertulis, kerana setiap jawapan tinggal dalam dokumen berbeza.

Sebut harga penyedia cenderung menetapkan harga pertama, menganggap kedua dan menyerahkan ketiga kepada anda. Itu bukan ketidakjujuran; ketiga-tiganya dijual oleh pasukan berbeza. Ia menjadi masalah apabila semakan reka bentuk mendapati pasukan keselamatan menganggap penyulitan dan pasukan rangkaian menganggap pembawa yang mengendalikannya. Memecahkan ayat kepada tiga mengambil masa sejam dan menghalang mesyuarat itu.

Label menerangkan pemajuan, bukan perkhidmatan di titik penyerahan

Pensuisan label berbilang protokol memberitahu bagaimana paket bergerak di dalam rangkaian penyedia. Ia tidak memberitahu apa yang pelanggan pasangkan, atau apa yang pelanggan tukar dengan tepi penyedia. Penyedia boleh membina IP VPN berpenghalaan di atas MPLS, atau perkhidmatan lapisan 2 dengan model sambungan yang sama sekali berbeza, dan kedua-duanya boleh sampai kepada anda sebagai „sambungan MPLS”.

Terminologi IETF untuk VPN yang disediakan penyedia mentakrifkan perbendaharaan kata tepat untuk ini: tepi pelanggan, tepi penyedia, dan model perkhidmatan yang dibina antaranya. Gunakannya apabila sebut harga mengaburkan lapisan, dan tanya apa secara fizikal penyerahannya.

Perkhidmatan berpenghalaan memberi anda hubungan penghalaan dengan tepi penyedia, jadi menambah awalan menjadi permintaan perubahan dalam dua organisasi. Penyerahan lapisan 2 membawa penghalaan anda sendiri dan memindahkan beban operasi ke pihak anda. Tiada satu pun lebih baik secara abstrak; jawapannya bergantung pada berapa kerap topologi anda berubah dan siapa yang anda mahu menjawab pada pukul tiga pagi.

Penyulitan ialah janji yang tidak boleh anda delegasikan secara tidak sengaja

Pengangkutan persendirian tidak menjadikan muatan tidak boleh dibaca. Pemisahan penyedia menyimpan penyewa berasingan secara operasi; ia bukan kenyataan tentang siapa yang boleh memeriksa bait di laluan. Jika keperluannya ialah pembawa tidak boleh membaca trafik, keperluan itu memerlukan mekanisme yang anda kawal, dan IPsec ialah yang biasa.

IPsec berjalan di atas pengangkutan persendirian semudah di atas akses internet, jadi „MPLS atau IPsec” ialah pilihan palsu setiap kali anda memerlukan jangkauan terurus dan sempadan kepercayaan anda sendiri sekali gus. Tentukan di mana terowong berakhir, kerana terowong yang berakhir pada penghala meninggalkan segmen di belakang penghala itu dalam teks jelas. Kemudian tentukan siapa mentadbir setiap rakan, kerana kunci yang dipegang pihak ketiga bukan sempadan yang anda miliki.

Beri setiap janji nama dan sempadan yang boleh diukur

Tulis satu baris setiap janji dengan pemilik dan sempadan yang boleh diukur. Ketersediaan litar akses milik pembekalnya, kependaman tulang belakang milik penyedia, dan kelangsungan terowong milik sesiapa yang mengendalikan titik akhir. Satu nombor hujung ke hujung yang tiada siapa ukur ialah nombor yang tiada siapa berhutang kepada anda.

Perjanjian tahap perkhidmatan datang daripada kontrak dan skopnya, bukan daripada huruf dalam nama teknologi. IPsec tidak memerlukan pengangkutan internet usaha terbaik, dan MPLS tidak membawa jaminan kependaman dengan sendirinya; kedua-duanya bergantung pada lapisan bawahan dan titik akhir yang anda pilih.

Uji laluan yang anda lukis, termasuk kegagalannya

Pengangkutan persendirian dengan antara muka yang lapang masih boleh gagal apabila lapisan tambahan menambah pengepala, dan gejalanya ialah sesi yang terbentuk lalu tersekat pada respons besar. Uji saiz yang boleh digunakan daripada menaakul tentangnya, dan catat paket terbesar yang melalui hujung ke hujung. Lakukan itu sebelum anda berbahas tentang lebar jalur, kerana laluan yang menggugurkan paket besar kelihatan seperti masalah aplikasi. Nombor itu milik dokumen reka bentuk di sebelah MTU setiap litar akses.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Perintah itu datang daripada hos Linux di satu tapak; platform lain menulis ujian yang sama secara berbeza. Jika tapak memerlukan nilai lebih kecil, itu kekangan reka bentuk untuk direkodkan, bukan kerosakan untuk dilaporkan. Disiplin yang sama terpakai pada daya pemprosesan, kerana penyulitan memakan pemprosesan dan titik akhir menjadi sebahagian daripada pengiraan kapasiti.

Lukis dua gambar rajah sebelum menandatangani: laluan biasa dengan setiap pemilik dilabel, dan laluan kegagalan dengan label yang sama. Yang kedua mendedahkan reka bentuk yang kelihatan berlebihan di atas kertas dan dalam amalan bergantung pada satu peranti. Apabila gangguan datang, gambar rajah itulah yang mengubah pagi yang mengelirukan menjadi triaj singkat.