MPLS VPN eller IPsec-overlegg: tre kontraktar som må avklarast

Tre løfte ligg i eit enkelt WAN-tilbod, og å kjøpe det eine kjøper ikkje dei andre. Nokon videresender pakkane dine, nokon held rutinga di åtskild frå kvar einaste annan kunde, og nokon avgjer om nyttelasta er lesbar undervegs. Dei løfta kan tilhøyre ulike partar og likevel skildre eitt brukbart design. Å skilje dei er avgjerda; å velje eit teknologinamn er det ikkje.

Tre løfte i eit enkelt WAN-tilbod

Det første løftet er transport: kva lokasjonar som blir kopla saman, over kva aksesskrinsar, og kven som videresender pakkar mellom dei. Det andre er ruting: kva prefiks som kan nå kvarandre, kven som godkjenner ei endring, og korleis trafikken din held seg åtskild frå ein annan leigetakar. Det tredje er vern: kva som blir kryptert, mellom kva endepunkt, og kven som har nøklane. Be om kvart av dei skriftleg, fordi kvart svar bur i eit ulikt dokument.

Eit leverandørtilbod har ein tendens til å prise det første, føresette det andre og overlate det tredje til deg. Det er ikkje uærlegheit; dei tre blir selde av ulike team. Det blir eit problem når ein designsjennomgang oppdagar at tryggleiksteamet føresette kryptering, og nettverksteamet føresette at operatøren handterte det. Å dele setninga i tre kostar ein time og hindrar det møtet.

Ei etikett skildrar videresending, ikkje tenesta ved overleveringspunktet

Multiprotokoll-etikettbyting fortel korleis ein pakke reiser inne i eit leverandørnett. Det seier ikkje kva kunden koplar til, eller kva kunden utvekslar med leverandøren sin kant. Ein leverandør kan byggje ein ruta IP VPN på MPLS, eller ei lag 2-teneste med ein heilt annan tilkoplingsmodell, og begge kan nå deg som ei «MPLS-tilkopling».

Terminologien for leverandørleverte VPN-ar frå IETF definerer ordforrådet for nettopp dette: kundekanten, leverandørkanten og tenestemodellane bygde mellom dei. Bruk han når eit tilbod tåkelegg laget, og spør kva overleveringa fysisk er.

Ei ruta teneste gjev deg eit rutingforhold til leverandøren sin kant, så å leggje til eit prefiks blir ei endringsførespurnad i to organisasjonar. Ei lag 2-overlevering ber di eiga ruting og flyttar den driftsmessige børda til di side. Ingen av dei er betre i abstrakt forstand; svaret følgjer av kor ofte topologien din endrar seg og kven du vil skal svare klokka tre om morgonen.

Kryptering er eit løfte du ikkje kan delegere ved eit uhell

Privat transport gjer ikkje ei nyttelast uleseleg. Leverandøratsskiljing held leigetakarar åtskilde driftsmessig; det er ikkje ei utsegn om kven som kan inspisere byte på vegen. Viss kravet er at operatøren ikkje kan lese trafikken, treng det kravet ein mekanisme du kontrollerer, og IPsec er den vanlege.

IPsec går over privat transport like lett som over internettilgang, så «MPLS eller IPsec» er eit falskt val når du treng administrert rekkjevidde og di eiga tillitsgrense samstundes. Avgjer kvar tunnelen endar, fordi ein tunnel som endar på ein ruter, lèt segmentet bak den ruteren stå i klartekst. Avgjer deretter kven som administrerer kvar peer, sidan ein nøkkel som ein tredjepart har, ikkje er ei grense du eig.

Gje kvart løfte eit namn og ei målbar grense

Skriv éi linje per løfte med ein eigar og ei grense som kan målast. Tilgjengelegheita til ein aksesskrins tilhøyrer leverandøren, backbone-forsinkinga tilhøyrer leverandøren, og levetida til tunnelen tilhøyrer den som driv endepunkta. Eitt enkelt ende-til-ende-tal som ingen måler, er eit tal ingen skuldar deg.

Ein tenestenivåavtale kjem frå kontrakten og omfanget hans, ikkje frå bokstavane i eit teknologinamn. IPsec krev ikkje best-effort internett-transport, og MPLS ber ikkje i seg sjølv ein forsinkingsgaranti; begge avheng av underlaget og endepunkta du vel.

Test vegen du teikna, inkludert feilen

Ein privat transport med eit romsleg grensesnitt kan framleis feile når eit overlegg legg til headerar, og symptomet er ein sesjon som blir etablert og deretter stoppar på store svar. Test den brukbare storleiken i staden for å resonnere om han, og skriv ned den største pakken som passerer ende-til-ende. Gjer det før du kranglar om bandbreidd, fordi ein veg som droppar store pakkar ser ut som eit applikasjonsproblem. Talet høyrer heime i designdokumentet ved sida av MTU-en til kvar aksesskrins.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Kommandoane kjem frå ein Linux-vert på ein stad; andre plattformer skriv den same testen annleis. Viss ein stad treng ein mindre verdi, er det ei designavgrensing som skal noterast, ikkje ein feil som skal rapporterast. Den same disiplinen gjeld for gjennomstrøyming, fordi kryptering kostar prosessering, og endepunktet blir ein del av kapasitetsberekninga.

Teikn to diagram før du signerer: den normale vegen med kvar eigar merkt, og feilvegen med dei same merka. Det andre avdekkjer design som ser overflødige ut på papiret og avheng av éi eining i praksis. Når eit avbrot kjem, er det den teikninga som gjer ein forvirrande morgon til ein kort triage.