MPLS VPN czy nakładka IPsec: trzy umowy do ustalenia

Trzy obietnice mieszczą się w jednej ofercie sieci rozległej, a kupno jednej nie kupuje pozostałych. Ktoś przekazuje twoje pakiety, ktoś utrzymuje twój routing oddzielnie od każdego innego klienta, a ktoś decyduje, czy ładunek jest czytelny w tranzycie. Te obietnice mogą należeć do różnych stron i nadal opisywać jeden wykonalny projekt. Rozdzielenie ich to decyzja; wybór nazwy technologii to nie.

Trzy obietnice w jednej ofercie sieci rozległej

Pierwsza obietnica to transport: które lokalizacje się łączą, przez jakie łącza dostępowe i kto przekazuje między nimi pakiety. Druga to routing: które prefiksy mogą się wzajemnie osiągnąć, kto zatwierdza zmianę i jak twój ruch pozostaje oddzielony od innego najemcy. Trzecia to ochrona: co jest szyfrowane, między którymi punktami końcowymi i kto trzyma klucze. Poproś o każdą na piśmie, bo każda odpowiedź mieszka w innym dokumencie.

Oferta operatora zwykle wycenia pierwszą, zakłada drugą, a trzecią zostawia tobie. To nie nieuczciwość; te trzy sprzedają różne zespoły. Staje się problemem, gdy przegląd projektu odkryje, że zespół bezpieczeństwa zakładał szyfrowanie, a zespół sieci zakładał, że zajmuje się tym operator. Podział zdania na trzy kosztuje godzinę i zapobiega temu spotkaniu.

Etykieta opisuje przekazywanie, nie usługę w punkcie styku

Przełączanie etykiet wieloprotokołowych mówi, jak pakiet podróżuje wewnątrz sieci operatora. Nie mówi, do czego podłącza się klient ani co klient wymienia z brzegiem operatora. Operator może zbudować rutowaną sieć IP VPN na MPLS albo usługę warstwy 2 z zupełnie innym modelem przyłączenia, a oba mogą do ciebie dotrzeć jako „połączenie MPLS”.

Terminologia IETF dla sieci VPN dostarczanych przez operatora definiuje słownictwo dokładnie do tego: brzeg klienta, brzeg operatora i modele usług zbudowane między nimi. Użyj jej, gdy oferta zaciera warstwy, i zapytaj, czym fizycznie jest przekazanie.

Usługa rutowana daje ci relację routingu z brzegiem operatora, więc dodanie prefiksu staje się wnioskiem o zmianę w dwóch organizacjach. Przekazanie warstwy 2 niesie twój własny routing i przenosi obciążenie operacyjne na twoją stronę. Żadna nie jest lepsza w abstrakcji; odpowiedź wynika z tego, jak często zmienia się twoja topologia i kogo chcesz mieć odpowiadającego o trzeciej nad ranem.

Szyfrowanie to obietnica, której nie można delegować przypadkiem

Transport prywatny nie czyni ładunku nieczytelnym. Oddzielenie przez operatora utrzymuje najemców osobno operacyjnie; to nie jest stwierdzenie o tym, kto może oglądać bajty na ścieżce. Jeśli wymaganiem jest, aby operator nie mógł czytać ruchu, to wymaganie potrzebuje mechanizmu, który kontrolujesz, a IPsec jest zwyczajowym.

IPsec działa przez transport prywatny tak samo łatwo jak przez dostęp do internetu, więc „MPLS czy IPsec” to fałszywy wybór, gdy potrzebujesz jednocześnie zarządzanej osiągalności i własnej granicy zaufania. Zdecyduj, gdzie kończy się tunel, bo tunel kończący się na routerze zostawia segment za tym routerem w postaci jawnej. Potem zdecyduj, kto administruje każdym peerem, ponieważ klucz trzymany przez stronę trzecią nie jest granicą, którą posiadasz.

Nadaj każdej obietnicy nazwę i mierzalną granicę

Napisz jedną linię na obietnicę z właścicielem i granicą, którą można zmierzyć. Dostępność łącza dostępowego należy do jego dostawcy, opóźnienie szkieletu należy do operatora, a żywotność tunelu należy do tego, kto obsługuje punkty końcowe. Jedna liczba od końca do końca, której nikt nie mierzy, to liczba, której nikt ci nie jest winien.

Umowa o poziomie usług wynika z kontraktu i jego zakresu, nie z liter w nazwie technologii. IPsec nie wymaga transportu internetowego typu best effort, a MPLS sam w sobie nie niesie gwarancji opóźnienia; oba zależą od sieci bazowej i wybranych punktów końcowych.

Przetestuj narysowaną ścieżkę, w tym jej awarię

Transport prywatny z hojnym interfejsem może nadal zawieść, gdy nakładka doda nagłówki, a objawem jest sesja, która się nawiązuje, a potem zatrzymuje na dużych odpowiedziach. Przetestuj użyteczny rozmiar zamiast rozumować o nim i zapisz największy pakiet, który przechodzi od końca do końca. Zrób to, zanim zaczniesz spierać się o przepustowość, bo ścieżka, która odrzuca duże pakiety, wygląda jak problem aplikacji. Liczba należy do dokumentu projektowego obok MTU każdego łącza dostępowego.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Te polecenia pochodzą z hosta Linux w jednej lokalizacji; inne platformy zapisują ten sam test inaczej. Jeśli lokalizacja potrzebuje mniejszej wartości, to ograniczenie projektowe do zapisania, a nie usterka do zgłoszenia. Ta sama dyscyplina dotyczy przepustowości, bo szyfrowanie kosztuje przetwarzanie, a punkt końcowy staje się częścią obliczeń wydajności.

Przed podpisaniem narysuj dwa diagramy: normalną ścieżkę z oznaczonym każdym właścicielem i ścieżkę awarii z tymi samymi oznaczeniami. Drugi ujawnia projekty, które na papierze wyglądają na zbędne, a w praktyce zależą od jednego urządzenia. Gdy przychodzi awaria, to właśnie ten rysunek zmienia mylący poranek w krótki triage.