MPLS i UDP: entropi for underlaget, regler for domenet

To leverandører beskriver den samme tjenestelappen, og bare én av dem nevner en UDP-header. Forskjellen er ikke kosmetisk: å legge MPLS inn i UDP endrer hva det ytre IP-nettet kan se, og dermed hva det kan hashe over parallelle lenker. Det endrer også hvem som har lov til å ta det i bruk.

Lagene er korte nok til å huske: ytre IP, deretter UDP, deretter MPLS-etikettstakken, deretter tjenestelasten. Etikettstakken forsvinner ikke; den bestemmer fortsatt videresendingen ved endepunktet som gjenopptar etikettsvitsjing.

Hva UDP-konvolutten tilfører

RFC 7510 definerer denne innkapslingen med UDP-destinasjonsport 6635 og bruker kildeportfeltet til å bære flytentropi. Enheten som kapsler inn bestemmer hva som regnes som en flyt og hvordan verdien utledes; standarden pålegger bevisst ikke én bestemt hash. Det gir rom for leverandøratferd, og det betyr at to implementasjoner kan produsere ulike fordelinger for samme trafikkmiks. Les verdien som et hint til underlaget, ikke som en rutingbeslutning tatt av standarden.

Fordelen er indirekte. Et transittnett som laster balanse over en ytre femling har nå noe å hashe, mens en bar MPLS-pakke kanskje bare tilbød den øverste etiketten. Om det hjelper avhenger av plattformen som utfører balanseringen, og av hvilke felt den faktisk tar hensyn til.

Entropi er ikke båndbredde

Å fordele flyter jevnere over de tilgjengelige lenkene er ikke det samme som å slå dem sammen til én raskere vei. En enkelt applikasjonsflyt reiser fortsatt én vei, og per-flyt-balansering kan ikke overstige kapasiteten til lenken den lander på. Mekanismen garanterer heller ikke jevn fordeling; den gir bare en hashfunksjon bedre inngangsdata.

Hold konvolutten stabil for en gitt flyt med mindre omorganisering er akseptabelt. Hvis kildeporten endres per pakke, vil underlaget gjerne spre én samtale over flere veier, og gjenmontering blir applikasjonens problem. Målet er konsistent entropi per flyt, ikke stadig nyhet.

Utbredelsesgrensen er en del av spesifikasjonen

RFC 7510 begrenser utbredelse til én operatørs nettverk eller til et tilstøtende sett av samarbeidende operatører, med trafikken administrert slik at overbelastning unngås. Den krever også filtrering som hindrer innkapslet trafikk i å unnslippe det domenet. Dette er ikke dekorative betingelser; de følger av at innkapslingen ikke tilfører egen sikkerhet. Behandle dem som forutsetninger for en legitim utbredelse, ikke som forslag i et designnotat.

Ingenting i UDP-headeren autentiserer avsenderen, og ingenting i den gir konfidensialitet eller integritet for lasten. Hvis trafikken trenger beskyttelse, kommer den fra en separat mekanisme med egen nøkkeladministrasjon. Å velge MPLS-in-UDP oppgraderer ikke tillitsmodellen.

Vær oppmerksom på hva beskyttelse gjør med hashingen du ønsket

Legg til IPsec eller en annen sikkerhetsinnkapsling, og den ytre headeren som transittenheter hasher kan endre form fullstendig. Tunnelmodus kan skjule den indre UDP-kildeporten bak en ny ytre header, noe som betyr at entropien du nøye skaffet til veie, kanskje ikke er synlig der balanseringen skjer. Å kryptere først og deretter kapsle inn er et annet design enn motsatt rekkefølge, og forskjellen viser seg som en lenke som bærer langt mer trafikk enn naboene.

Vurder hele pakken slik den fremstår på ledningen, ikke bare laget standarden beskriver. Dette er også punktet for å revurdere MTU og endepunktkapasitet, fordi en UDP-header pluss eventuell sikkerhetsoverhead reduserer lasten som får plass.

Bestem med hele veien i sikte

Sammenlign MPLS-in-UDP med alternativer som GRE etter kriteriene som betyr noe for nettverket ditt: hvilke felt underlaget balanserer på, hvor mye overhead du har råd til, hvilken sikkerhetskonvolutt som kreves, og om domenegrensen kan håndheves. Å tilskrive det en ubetinget ytelsesfordel over GRE er en konklusjon standardene ikke støtter.

Test deretter med ekte trafikkmikser og kontroller lenkeutnyttelsen per medlem, fordi en hash som ser bra ut i laboratoriet kan kollapse på én lenke når alle flyter deler samme tuple. Den ærlige oppsummeringen er at innkapslingen avdekker informasjon som underlaget kan bruke, innenfor et domene som har samtykket i å administrere den.