MPLS VPN वा IPsec तह: तीन सम्झौता जो टुंग्याउनुपर्छ

तीन वाचाहरू एकै फराकिलो क्षेत्रको कोटेशनभित्र बस्छन्, र एउटा किन्दा अरू किन्दैन। कसैले तपाईंका प्याकेट अगाडि पठाउँछ, कसैले तपाईंको राउटिङ हरेक अर्को ग्राहकबाट छुट्टै राख्छ, र कसैले पेलोड यात्रामा पढ्नयोग्य छ कि छैन भनेर निर्णय गर्छ। ती वाचाहरू फरक पक्षका हुन सक्छन् र तैपनि एउटै व्यवहार्य डिजाइन वर्णन गर्छन्। तिनलाई छुट्याउनु नै निर्णय हो; कुनै प्रविधिको नाम छान्नु होइन।

एउटै फराकिलो क्षेत्रको कोटेशनभित्र तीन वाचा

पहिलो वाचा यातायात हो: कुन साइट जोडिन्छन्, कुन पहुँच सर्किटमार्फत, र तिनका बीच प्याकेट कसले अगाडि पठाउँछ। दोस्रो राउटिङ हो: कुन प्रिफिक्सले एकअर्कासम्म पुग्न सक्छन्, परिवर्तन कसले स्वीकृत गर्छ, र तपाईंको ट्राफिक अर्को भाडावालाबाट कसरी छुट्टै रहन्छ। तेस्रो सुरक्षा हो: के इन्क्रिप्ट हुन्छ, कुन अन्तिम बिन्दुहरूबीच, र चाबी कसको हातमा छ। हरेक लिखित रूपमा माग्नुहोस्, किनकि हरेक उत्तर फरक कागजातमा बस्छ।

प्रदायकको कोटेशनले सामान्यतया पहिलोको मूल्य तोक्छ, दोस्रो मान्छ र तेस्रो तपाईंमा छोड्छ। यो बेइमानी होइन; तीनवटै फरक टोलीले बेच्छन्। यो समस्या हुन्छ जब डिजाइन समीक्षाले सुरक्षा टोलीले इन्क्रिप्शन मानेको र नेटवर्क टोलीले वाहकले त्यो सम्हाल्छ भनेर मानेको फेला पार्छ। वाक्यलाई तीनमा बाँड्न एक घण्टा लाग्छ र त्यो बैठक रोकिन्छ।

लेबलले अगाडि पठाउने वर्णन गर्छ, हस्तान्तरण बिन्दुको सेवा होइन

बहुप्रोटोकल लेबल स्विचिङले प्याकेट प्रदायकको नेटवर्कभित्र कसरी यात्रा गर्छ भन्छ। यसले ग्राहक केमा जोडिन्छ वा ग्राहकले प्रदायकको किनारासँग के साट्छ भन्ने बताउँदैन। प्रदायकले MPLS मा राउटेड IP VPN बनाउन सक्छ, वा पूर्ण रूपमा फरक जडान मोडेल भएको तह 2 सेवा, र दुवै तपाईंकहाँ «MPLS जडान» का रूपमा पुग्न सक्छन्।

IETF को प्रदायक-प्रदत्त VPN शब्दावली ले ठ्याक्कै यसका लागि शब्दावली परिभाषित गर्छ: ग्राहक किनारा, प्रदायक किनारा, र तिनका बीच बनेका सेवा मोडेल। कोटेशनले तहहरू धमिल्याउँदा यो प्रयोग गर्नुहोस्, र हस्तान्तरण भौतिक रूपमा के हो भनी सोध्नुहोस्।

राउटेड सेवाले तपाईंलाई प्रदायकको किनारासँग राउटिङ सम्बन्ध दिन्छ, त्यसैले प्रिफिक्स थप्नु दुई संस्थामा परिवर्तन अनुरोध बन्छ। तह 2 हस्तान्तरणले तपाईंको आफ्नै राउटिङ बोक्छ र सञ्चालन भार तपाईंको पट्टि सार्छ। कुनै पनि अमूर्त रूपमा राम्रो छैन; उत्तर तपाईंको टोपोलोजी कति पटक बदलिन्छ र राति तीन बजे कसले जवाफ दिएको तपाईं चाहनुहुन्छ भन्नेमा निर्भर गर्छ।

इन्क्रिप्शन त्यस्तो वाचा हो जो तपाईंले संयोगले सुम्पन सक्नुहुन्न

निजी यातायातले पेलोड अपठनीय बनाउँदैन। प्रदायकको छुट्याइले भाडावालाहरूलाई सञ्चालनगत रूपमा छुट्टै राख्छ; यो बाटोमा बाइट कसले निरीक्षण गर्न सक्छ भन्ने कथन होइन। यदि आवश्यकता वाहकले ट्राफिक पढ्न नसक्नु हो भने, त्यो आवश्यकतालाई तपाईंले नियन्त्रण गर्ने संयन्त्र चाहिन्छ, र IPsec सामान्य हो।

IPsec निजी यातायातमा इन्टरनेट पहुँचमा जत्तिकै सजिलै चल्छ, त्यसैले «MPLS वा IPsec» झुटो छनोट हो जब तपाईंलाई एकैचोटि व्यवस्थित पहुँच र आफ्नै विश्वास सीमा चाहिन्छ। सुरुङ कहाँ अन्त्य हुन्छ निर्णय गर्नुहोस्, किनकि राउटरमा अन्त्य हुने सुरुङले त्यो राउटरपछाडिको खण्ड स्पष्ट पाठमा छोड्छ। त्यसपछि हरेक साथीलाई कसले प्रशासन गर्छ निर्णय गर्नुहोस्, किनकि तेस्रो पक्षले राखेको चाबी तपाईंको सीमा होइन।

हरेक वाचालाई नाम र नाप्न सकिने सीमा दिनुहोस्

हरेक वाचाका लागि मालिक र नाप्न सकिने सीमा भएको एक लाइन लेख्नुहोस्। पहुँच सर्किटको उपलब्धता यसको आपूर्तिकर्ताको हो, ब्याकबोन ढिलाइ प्रदायकको हो, र सुरुङको जीवन्तता अन्तिम बिन्दु चलाउनेको हो। एउटै सुरुदेखि अन्त्यसम्मको अंक जो कसैले नाप्दैन त्यो अंक कसैले तपाईंलाई तिर्नु बाँकी छैन।

सेवा-स्तर सम्झौता सम्झौता र यसको दायराबाट आउँछ, कुनै प्रविधिको नामका अक्षरबाट होइन। IPsec लाई उत्तम-प्रयास इन्टरनेट यातायात चाहिँदैन, र MPLS आफैंले ढिलाइको ग्यारेन्टी बोक्दैन; दुवै अन्तर्निहित नेटवर्क र तपाईंले छानेका अन्तिम बिन्दुमा निर्भर छन्।

तपाईंले कोरेको बाटो परीक्षण गर्नुहोस्, यसको असफलतासहित

उदार इन्टरफेस भएको निजी यातायात पनि असफल हुन सक्छ जब कुनै तहले हेडर थप्छ, र लक्षण भनेको स्थापित भएर ठूला जवाफमा अड्किने सत्र हो। यसबारे तर्क गर्नुको सट्टा उपयोगी आकार परीक्षण गर्नुहोस्, र सुरुदेखि अन्त्यसम्म जाने सबैभन्दा ठूलो प्याकेट लेख्नुहोस्। ब्यान्डविथबारे बहस गर्नुअघि यो गर्नुहोस्, किनकि ठूला प्याकेट फ्याँक्ने बाटो अनुप्रयोगको समस्याजस्तो देखिन्छ। यो अंक हरेक पहुँच सर्किटको MTU नजिकै डिजाइन कागजातको हो।

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

ती आदेश एक साइटको Linux होस्टबाट आउँछन्; अरू प्लेटफर्मले त्यही परीक्षण फरक तरिकाले लेख्छन्। यदि कुनै साइटलाई सानो मान चाहिन्छ भने, त्यो अभिलेख गर्नुपर्ने डिजाइन बाधा हो, रिपोर्ट गर्नुपर्ने खराबी होइन। त्यही अनुशासन थ्रूपुटमा पनि लागू हुन्छ, किनकि इन्क्रिप्शनले प्रशोधन खर्च गर्छ र अन्तिम बिन्दु क्षमता गणनाको भाग बन्छ।

हस्ताक्षर गर्नुअघि दुई रेखाचित्र बनाउनुहोस्: सामान्य बाटो जसमा हरेक मालिकको लेबल छ, र असफलताको बाटो तीही लेबलसहित। दोस्रोले त्यस्ता डिजाइन उजागर गर्छ जो कागजमा अतिरिक्त देखिन्छन् र व्यवहारमा एउटै यन्त्रमा निर्भर हुन्छन्। जब अवरोध आउँछ, त्यही चित्रले अलमलिएको बिहानलाई छोटो ट्रायाजमा बदल्छ।