MPLS in UDP: entropie voor de onderlaag, regels voor het domein

Twee providers beschrijven hetzelfde dienstlabel, en slechts één van hen noemt een UDP-header. Het verschil is niet cosmetisch: MPLS in UDP stoppen verandert wat het buitenste IP-netwerk kan zien, en dus wat het over parallelle links kan hashen. Het verandert ook wie het mag uitrollen.

De lagen zijn kort genoeg om te onthouden: buitenste IP, dan UDP, dan de MPLS-labelstack, dan de dienstpayload. De labelstack verdwijnt niet; hij bepaalt nog steeds de doorsturing op het eindpunt dat label switching hervat.

Wat het UDP-omhulsel toevoegt

RFC 7510 definieert deze inkapseling met UDP-bestemmingspoort 6635 en gebruikt het bronpoortveld om flow-entropie te dragen. Het inkapselende apparaat beslist wat als flow telt en hoe de waarde wordt afgeleid; de standaard schrijft bewust geen enkele hash voor. Dat laat ruimte voor leveranciersgedrag, en het betekent dat twee implementaties verschillende verdelingen kunnen produceren voor dezelfde verkeersmix. Lees de waarde als een hint aan de onderlaag, niet als een routeringsbeslissing van de standaard.

Het voordeel is indirect. Een transitnetwerk dat load-balanceert op een buitenste vijf-tuple heeft nu iets om te hashen, terwijl een kaal MPLS-pakket misschien alleen het bovenste label bood. Of dat helpt hangt af van het platform dat de balancering doet en van welke velden het werkelijk in beschouwing neemt.

Entropie is geen bandbreedte

Flows gelijkmatiger over beschikbare links verdelen is niet hetzelfde als ze in één sneller pad combineren. Een enkele applicatiestroom reist nog steeds één pad, en per-flow balancering kan de capaciteit van de link waarop hij landt niet overschrijden. Het mechanisme garandeert ook geen gelijkmatige verdeling; het geeft een hashfunctie alleen betere invoer.

Houd het omhulsel stabiel voor een gegeven flow, tenzij herordening aanvaardbaar is. Als de bronpoort per pakket verandert, zal de onderlaag één gesprek graag over meerdere paden verspreiden en herassemblage wordt het probleem van de applicatie. Consistente entropie per flow is het doel, niet constante nieuwheid.

De uitrolgrens is deel van de specificatie

RFC 7510 beperkt de uitrol tot het netwerk van één operator of tot een aangrenzende groep samenwerkende operators, waarbij verkeer wordt beheerd om congestie te vermijden. Het vraagt ook om filtering die voorkomt dat ingekapseld verkeer dat domein verlaat. Dat zijn geen decoratieve voorwaarden; ze volgen uit het feit dat de inkapseling geen eigen beveiliging toevoegt. Behandel ze als voorwaarden voor een legitieme uitrol, niet als suggesties in een ontwerpnotitie.

Niets in de UDP-header authenticeert de afzender, en niets erin biedt vertrouwelijkheid of integriteit voor de payload. Als het verkeer bescherming nodig heeft, komt die van een apart mechanisme met eigen sleutelbeheer. MPLS-in-UDP kiezen verbetert het vertrouwensmodel niet.

Let op wat bescherming doet met de hashing die je wilde

Voeg IPsec of een andere beveiligingsinkapseling toe, en de buitenste header die transitapparaten hashen kan volledig van vorm veranderen. Tunnelmodus kan de interne UDP-bronpoort achter een nieuwe buitenste header verbergen, wat betekent dat de zorgvuldig geleverde entropie mogelijk niet zichtbaar is waar de balancering gebeurt. Eerst versleutelen en dan inkapselen is een ander ontwerp dan de omgekeerde volgorde, en het verschil uit zich als een link die veel meer verkeer draagt dan zijn buren.

Beoordeel het volledige pakket zoals het op de draad verschijnt, niet alleen de laag die de standaard beschrijft. Dit is ook het punt om MTU en eindpuntcapaciteit te heroverwegen, want een UDP-header plus enige beveiligingsoverhead vermindert de payload die erin past.

Beslis met het hele pad in zicht

Vergelijk MPLS-in-UDP met alternatieven zoals GRE op de criteria die voor jouw netwerk belangrijk zijn: op welke velden de onderlaag balanceert, hoeveel overhead je kunt betalen, welke beveiligingswikkel nodig is, en of de domeingrens kan worden afgedwongen. Het een onvoorwaardelijk prestatievoordeel boven GRE toeschrijven is een conclusie die de standaarden niet ondersteunen.

Test dan met echte verkeersmixen en controleer het linkgebruik per lid, want een hash die er in een lab goed uitziet kan op één link instorten wanneer elke flow dezelfde tuple deelt. De eerlijke samenvatting is dat de inkapseling informatie blootlegt die de onderlaag kan gebruiken, binnen een domein dat heeft ingestemd die te beheren.