MPLS VPN jew IPsec overlay: tliet kuntratti x’jiġu deċiżi

Tliet wegħdiet joqogħdu f’offerta waħda ta’ wide-area, u x-xiri ta’ waħda ma jixtrix l-oħrajn. Xi ħadd jibgħat il-pakketti tiegħek, xi ħadd iżomm ir-routing tiegħek separat minn kull klijent ieħor, u xi ħadd jiddeċiedi jekk il-payload huwiex leggibbli fit-transitu. Dawk il-wegħdiet jistgħu jappartjenu lil partijiet differenti u xorta jiddeskrivu disinn wieħed li jaħdem. Is-separazzjoni tagħhom hija d-deċiżjoni; l-għażla ta’ isem ta’ teknoloġija mhijiex.

Tliet wegħdiet f’offerta waħda ta’ wide-area

L-ewwel wegħda hija t-trasport: liema siti jikkonnettjaw, fuq liema ċirkwiti ta’ aċċess, u min jibgħat pakketti bejniethom. It-tieni hija r-routing: liema prefissi jistgħu jilħqu lil xulxin, min japprova bidla, u kif it-traffiku tiegħek jibqa’ separat minn kerrej ieħor. It-tielet hija l-protezzjoni: x’inhu encrypted, bejn liema endpoints, u min iżomm iċ-ċwievet. Itlob kull waħda bil-miktub, għax kull tweġiba tgħix f’dokument differenti.

Offerta tal-fornitur għandha t-tendenza li tagħti prezz lill-ewwel, tassumi t-tieni u tħalli t-tielet lilek. Din mhijiex diżonestà; it-tlieta jinbiegħu minn timijiet differenti. Issir problema meta reviżjoni tad-disinn issib li t-tim tas-sigurtà assuma l-encryption u t-tim tan-netwerk assuma li l-carrier kien qed jieħu ħsiebha. Li tqassam is-sentenza fi tlieta jiswa siegħa u jipprevjeni dik il-laqgħa.

Tikketta tiddeskrivi l-forwarding, mhux is-servizz fid-demarcation

Il-multiprotocol label switching jgħid kif pakkett jivvjaġġa ġewwa netwerk tal-fornitur. Ma jgħidx x’jaqbad il-klijent miegħu, jew x’jiskambja l-klijent mal-edge tal-fornitur. Fornitur jista’ jibni IP VPN routed fuq MPLS, jew servizz ta’ layer 2 b’mudell ta’ konnessjoni kompletament differenti, u t-tnejn jistgħu jaslulek bħala “konnessjoni MPLS”.

It-terminoloġija tal-IETF għall-VPNs ipprovduti mill-fornitur tiddefinixxi l-vokabolarju eżattament għal dan: il-customer edge, il-provider edge, u l-mudelli tas-servizz mibnija bejniethom. Użaha meta offerta tħawwad is-saffi, u staqsi x’inhi fiżikament il-konsenja.

Servizz routed jagħtik relazzjoni ta’ routing mal-edge tal-fornitur, għalhekk iż-żieda ta’ prefiss issir talba għal bidla f’żewġ organizzazzjonijiet. Konsenja ta’ layer 2 ġġorr ir-routing tiegħek stess u ċċaqlaq il-piż operattiv għal naħat tiegħek. L-ebda waħda mhija aħjar fl-astratt; it-tweġiba tiġi minn kemm tinbidel it-topoloġija tiegħek u min trid li jwieġeb fit-tlieta ta’ filgħodu.

L-encryption hija wegħda li ma tistax tiddelega b’inċident

It-trasport privat ma jagħmilx payload mhux leggibbli. Is-separazzjoni tal-fornitur iżżomm il-kerrejja operattivament separati; mhijiex dikjarazzjoni dwar min jista’ jispezzjona l-bytes fit-triq. Jekk ir-rekwiżit huwa li l-carrier ma jistax jaqra t-traffiku, dan ir-rekwiżit jeħtieġ mekkaniżmu li tikkontrolla int, u IPsec huwa dak tas-soltu.

IPsec jaħdem fuq trasport privat daqskemm jaħdem fuq aċċess tal-internet, għalhekk “MPLS jew IPsec” hija għażla falza kull meta għandek bżonn aċċessibilità mmaniġġjata u l-fruntiera ta’ fiduċja tiegħek fl-istess ħin. Iddeċiedi fejn jispiċċa t-tunnel, għax tunnel li jispiċċa fuq router iħalli s-segment wara dak ir-router fil-kliem ċar. Imbagħad iddeċiedi min jamministra kull peer, peress li ċavetta miżmuma minn parti terza mhijiex fruntiera li tippossjedi.

Agħti lil kull wegħda isem u fruntiera li tista’ titkejjel

Ikteb linja waħda għal kull wegħda b’proprjetarju u fruntiera li tista’ titkejjel. Id-disponibbiltà ta’ ċirkwit ta’ aċċess tappartjeni lil fornitur tiegħu, il-latency tal-backbone tappartjeni lill-fornitur, u l-vitalità tat-tunnel tappartjeni lil min iħaddem l-endpoints. Numru wieħed end-to-end li ħadd ma jkejjel huwa numru li ħadd ma jkunek.

Ftehim dwar il-livell tas-servizz jiġi mill-kuntratt u l-ambitu tiegħu, mhux mill-ittri ta’ isem ta’ teknoloġija. IPsec ma jeħtieġx trasport tal-internet best-effort, u MPLS ma jġorrx minnu nnifsu garanzija ta’ latency; it-tnejn jiddependu mill-underlay u mill-endpoints li tagħżel.

Ittestja t-triq li ddisinjajt, inkluża l-falliment tagħha

Trasport privat b’interfaċċa ġeneruża xorta jista’ jonqos ladarba overlay iżid headers, u s-sintomu huwa sessjoni li tistabbilixxi ruħha u mbagħad tieqaf fuq tweġibiet kbar. Ittestja d-daqs użabbli minflok ma targumenta dwaru, u ikteb l-akbar pakkett li jgħaddi end-to-end. Agħmel dan qabel ma targumenta dwar il-bandwidth, għax triq li tarmi pakketti kbar tidher bħala problema tal-applikazzjoni. In-numru jappartjeni lid-dokument tad-disinn ħdejn l-MTU ta’ kull ċirkwit ta’ aċċess.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Dawk il-kmandi ġejjin minn host Linux f’sit wieħed; pjattaformi oħra jiktbu l-istess test b’mod differenti. Jekk sit jeħtieġ valur iżgħar, dan huwa restrizzjoni tad-disinn li għandha tiġi rreġistrata, mhux ħsara li għandha tiġi rrappurtata. L-istess dixxiplina tapplika għat-throughput, għax l-encryption tiswa pproċessar u l-endpoint isir parti mill-kalkolu tal-kapaċità.

Iddisinja żewġ dijagrammi qabel ma tiffirma: it-triq normali b’kull proprjetarju ttikkettat, u t-triq tal-falliment bl-istess tikketti. It-tieni turi disinji li jidhru redundant fuq il-karta u fil-prattika jiddependu minn apparat wieħed. Meta tasal interruzzjoni, dak id-disinn huwa dak li jibdel filgħodu konfuż fi triage qasir.