MPLS VPN ou sobreposição IPsec: três contratos para acertar

Três promessas cabem em uma única cotação de longa distância, e comprar uma não compra as outras. Alguém encaminha seus pacotes, alguém mantém seu roteamento separado de qualquer outro cliente, e alguém decide se a carga útil é legível em trânsito. Essas promessas podem pertencer a partes diferentes e ainda assim descrever um projeto viável. Separá-las é a decisão; escolher o nome de uma tecnologia não é.

Três promessas dentro de uma única cotação de longa distância

A primeira promessa é o transporte: quais sites se conectam, por quais circuitos de acesso, e quem encaminha pacotes entre eles. A segunda é o roteamento: quais prefixos podem se alcançar, quem aprova uma mudança, e como seu tráfego fica apartado de outro inquilino. A terceira é a proteção: o que é criptografado, entre quais extremos, e quem detém as chaves. Peça cada uma por escrito, porque cada resposta mora em um documento diferente.

Uma cotação de provedor tende a precificar a primeira, presumir a segunda e deixar a terceira para você. Isso não é desonestidade; as três são vendidas por equipes diferentes. Vira problema quando uma revisão de projeto descobre que a equipe de segurança presumiu a criptografia e a de rede presumiu que a operadora cuidava disso. Dividir a frase em três custa uma hora e evita essa reunião.

Um rótulo descreve o encaminhamento, não o serviço na demarcação

A comutação de rótulos multiprotocolo diz como um pacote viaja dentro de uma rede de provedor. Não diz a que o cliente se conecta nem o que o cliente troca com a borda do provedor. Um provedor pode construir uma VPN IP roteada sobre MPLS, ou um serviço de camada 2 com um modelo de conexão totalmente diferente, e ambos podem chegar até você como «conexão MPLS».

A terminologia de VPN fornecidas pelo provedor da IETF define o vocabulário exatamente para isso: a borda do cliente, a borda do provedor e os modelos de serviço construídos entre elas. Use-a quando uma cotação embaralha as camadas, e pergunte o que é fisicamente a entrega.

Um serviço roteado dá a você uma relação de roteamento com a borda do provedor, de modo que adicionar um prefixo se torna uma solicitação de mudança em duas organizações. Uma entrega de camada 2 carrega seu próprio roteamento e move o fardo operacional para o seu lado. Nenhuma é melhor no abstrato; a resposta decorre de com que frequência sua topologia muda e de quem você quer que responda às três da manhã.

A criptografia é uma promessa que você não pode delegar por acaso

O transporte privado não torna uma carga útil ilegível. A separação do provedor mantém os inquilinos apartados operacionalmente; não é uma declaração sobre quem pode inspecionar os bytes no caminho. Se o requisito é que a operadora não consiga ler o tráfego, esse requisito precisa de um mecanismo que você controle, e IPsec é o habitual.

O IPsec roda sobre transporte privado tão facilmente quanto sobre acesso à internet, então «MPLS ou IPsec» é uma falsa escolha sempre que você precisa de alcance gerenciado e da sua própria fronteira de confiança ao mesmo tempo. Decida onde o túnel termina, porque um túnel que acaba em um roteador deixa o segmento atrás desse roteador em texto claro. Depois decida quem administra cada par, já que uma chave mantida por terceiros não é uma fronteira que você possui.

Dê a cada promessa um nome e uma borda mensurável

Escreva uma linha por promessa com um dono e uma fronteira que possa ser medida. A disponibilidade de um circuito de acesso pertence ao seu fornecedor, a latência do backbone pertence ao provedor, e a vitalidade do túnel pertence a quem opera os extremos. Um único número de ponta a ponta que ninguém mede é um número que ninguém lhe deve.

Um acordo de nível de serviço vem do contrato e de seu escopo, não das letras de um nome de tecnologia. O IPsec não exige transporte de internet de melhor esforço, e o MPLS não carrega por si só uma garantia de latência; ambos dependem da camada subjacente e dos extremos que você escolher.

Teste o caminho que você desenhou, incluindo a sua falha

Um transporte privado com uma interface generosa ainda pode falhar quando uma sobreposição adiciona cabeçalhos, e o sintoma é uma sessão que se estabelece e depois trava em respostas grandes. Teste o tamanho utilizável em vez de raciocinar sobre ele, e anote o maior pacote que passa de ponta a ponta. Faça isso antes de discutir largura de banda, porque um caminho que descarta pacotes grandes parece um problema de aplicação. O número pertence ao documento de projeto ao lado da MTU de cada circuito de acesso.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Esses comandos vêm de um host Linux em um site; outras plataformas escrevem o mesmo teste de forma diferente. Se um site precisa de um valor menor, é uma restrição de projeto a registrar, não uma falha a reportar. A mesma disciplina se aplica à taxa de transferência, porque a criptografia custa processamento e o extremo passa a fazer parte do cálculo de capacidade.

Desenhe dois diagramas antes de assinar: o caminho normal com cada dono rotulado, e o caminho de falha com os mesmos rótulos. O segundo expõe projetos que parecem redundantes no papel e dependem de um único dispositivo na prática. Quando chega uma queda, é esse desenho que transforma uma manhã confusa em uma triagem curta.