MPLS VPN sau suprapunere IPsec: trei contracte de lămurit

Trei promisiuni încap într-o singură ofertă de arie extinsă, iar cumpărarea uneia nu le cumpără pe celelalte. Cineva vă transmite pachetele, cineva vă ține rutarea separată de orice alt client, iar cineva decide dacă sarcina utilă este lizibilă în tranzit. Acele promisiuni pot aparține unor părți diferite și totuși descriu un singur proiect viabil. Separarea lor este decizia; alegerea unui nume de tehnologie nu este.

Trei promisiuni într-o singură ofertă de arie extinsă

Prima promisiune este transportul: ce situri se conectează, prin ce circuite de acces și cine transmite pachetele între ele. A doua este rutarea: ce prefixe se pot atinge reciproc, cine aprobă o modificare și cum traficul dumneavoastră rămâne separat de alt chiriaș. A treia este protecția: ce este criptat, între ce puncte terminale și cine deține cheile. Cereți fiecare în scris, pentru că fiecare răspuns locuiește într-un alt document.

O ofertă de furnizor tinde să prețuiască prima, să presupună a doua și să vă lase a treia. Nu este necinste; cele trei sunt vândute de echipe diferite. Devine o problemă când o revizuire de proiect descoperă că echipa de securitate a presupus criptarea, iar echipa de rețea a presupus că se ocupă operatorul. Împărțirea propoziției în trei costă o oră și evită acea ședință.

O etichetă descrie transmiterea, nu serviciul la punctul de demarcare

Comutarea de etichete multiprotocol spune cum călătorește un pachet în interiorul rețelei unui furnizor. Nu spune la ce se conectează clientul sau ce schimbă clientul cu marginea furnizorului. Un furnizor poate construi un IP VPN rutat pe MPLS sau un serviciu de strat 2 cu un model de conectare complet diferit, iar ambele pot ajunge la dumneavoastră ca „conexiune MPLS”.

Terminologia IETF pentru VPN-urile furnizate de operator definește vocabularul exact pentru asta: marginea clientului, marginea furnizorului și modelele de serviciu construite între ele. Folosiți-o când o ofertă estompează straturile și întrebați ce este fizic predarea.

Un serviciu rutat vă oferă o relație de rutare cu marginea furnizorului, astfel încât adăugarea unui prefix devine o cerere de modificare în două organizații. O predare de strat 2 poartă propria rutare și mută povara operațională de partea dumneavoastră. Niciuna nu este mai bună în abstract; răspunsul decurge din cât de des se schimbă topologia și pe cine vreți să răspundă la trei dimineața.

Criptarea este o promisiune pe care nu o puteți delega din greșeală

Transportul privat nu face o sarcină utilă ilizibilă. Separarea de către furnizor ține chiriașii separat din punct de vedere operațional; nu este o afirmație despre cine poate inspecta octeții pe traseu. Dacă cerința este ca operatorul să nu poată citi traficul, acea cerință are nevoie de un mecanism pe care îl controlați, iar IPsec este cel obișnuit.

IPsec rulează prin transport privat la fel de ușor ca prin acces la internet, așa că „MPLS sau IPsec” este o alegere falsă ori de câte ori aveți nevoie simultan de accesibilitate gestionată și de propria graniță de încredere. Decideți unde se termină tunelul, pentru că un tunel care se termină pe un router lasă segmentul din spatele acelui router în text clar. Apoi decideți cine administrează fiecare partener, deoarece o cheie deținută de o terță parte nu este o graniță pe care o posedați.

Dați fiecărei promisiuni un nume și o graniță măsurabilă

Scrieți o linie pentru fiecare promisiune cu un proprietar și o graniță care poate fi măsurată. Disponibilitatea unui circuit de acces aparține furnizorului său, latența rețelei de bază aparține operatorului, iar vitalitatea tunelului aparține celui care operează punctele terminale. Un singur număr de la un capăt la altul pe care nimeni nu îl măsoară este un număr pe care nimeni nu vă datorează.

Un acord privind nivelul de serviciu provine din contract și din sfera sa, nu din literele unui nume de tehnologie. IPsec nu necesită transport de internet cu efort maxim, iar MPLS nu poartă prin sine o garanție de latență; ambele depind de rețeaua de bază și de punctele terminale pe care le alegeți.

Testați calea pe care ați desenat-o, inclusiv eșecul ei

Un transport privat cu o interfață generoasă poate eșua totuși când o suprapunere adaugă antete, iar simptomul este o sesiune care se stabilește și apoi se blochează pe răspunsuri mari. Testați dimensiunea utilizabilă în loc să raționați despre ea și notați cel mai mare pachet care trece de la un capăt la altul. Faceți asta înainte de a discuta despre lățimea de bandă, pentru că o cale care aruncă pachete mari arată ca o problemă a aplicației. Numărul aparține documentului de proiectare, lângă MTU-ul fiecărui circuit de acces.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Comenzile vin de pe un gazdă Linux într-un singur sit; alte platforme scriu același test altfel. Dacă un sit are nevoie de o valoare mai mică, este o constrângere de proiectare de consemnat, nu o defecțiune de raportat. Aceeași disciplină se aplică debitului, pentru că criptarea costă procesare, iar punctul terminal devine parte din calculul capacității.

Desenați două diagrame înainte de semnare: calea normală cu fiecare proprietar etichetat și calea de eșec cu aceleași etichete. A doua expune proiecte care par redundante pe hârtie și depind în practică de un singur dispozitiv. Când apare o pană, acel desen este cel care transformă o dimineață confuză într-un triaj scurt.