MPLS VPN или наложение IPsec: три договора, которые нужно заключить

Три обещания умещаются в одном предложении на широкополосную сеть, и покупка одного не покупает остальные. Кто-то пересылает ваши пакеты, кто-то держит вашу маршрутизацию отдельно от всех остальных клиентов, а кто-то решает, читается ли полезная нагрузка в пути. Эти обещания могут принадлежать разным сторонам и всё же описывать один работоспособный проект. Разделить их — это решение; выбрать название технологии — нет.

Три обещания в одном предложении на широкополосную сеть

Первое обещание — транспорт: какие площадки соединяются, по каким каналам доступа и кто пересылает пакеты между ними. Второе — маршрутизация: какие префиксы могут достигать друг друга, кто утверждает изменение и как ваш трафик остаётся отдельным от другого арендатора. Третье — защита: что шифруется, между какими конечными точками и у кого ключи. Запросите каждое письменно, потому что каждый ответ живёт в отдельном документе.

Предложение провайдера обычно оценивает первое, подразумевает второе и оставляет третье вам. Это не нечестность; три продают разные команды. Проблема возникает, когда проектная проверка обнаруживает, что команда безопасности подразумевала шифрование, а сетевая команда считала, что этим занимается оператор. Разделить фразу на три стоит часа и предотвращает это совещание.

Метка описывает пересылку, а не услугу в точке передачи

Многопротокольная коммутация меток говорит, как пакет путешествует внутри сети провайдера. Она не говорит, к чему подключается клиент или что клиент обменивает с краем провайдера. Провайдер может построить маршрутизируемый IP VPN поверх MPLS или услугу уровня 2 с совершенно другой моделью подключения, и оба могут дойти до вас как «соединение MPLS».

Терминология IETF для VPN, предоставляемых провайдером определяет словарь именно для этого: край клиента, край провайдера и модели услуг, построенные между ними. Используйте её, когда предложение размывает уровни, и спросите, чем физически является передача.

Маршрутизируемая услуга даёт вам отношение маршрутизации с краем провайдера, поэтому добавление префикса становится запросом на изменение в двух организациях. Передача уровня 2 несёт вашу собственную маршрутизацию и переносит операционную нагрузку на вашу сторону. Ни одна не лучше в абстракции; ответ следует из того, как часто меняется ваша топология и кого вы хотите видеть отвечающим в три часа ночи.

Шифрование — обещание, которое нельзя делегировать случайно

Частный транспорт не делает полезную нагрузку нечитаемой. Разделение провайдером держит арендаторов отдельно операционно; это не утверждение о том, кто может просматривать байты на пути. Если требование в том, что оператор не может читать трафик, этому требованию нужен механизм, который контролируете вы, и IPsec — обычный.

IPsec работает поверх частного транспорта так же легко, как поверх доступа в интернет, поэтому «MPLS или IPsec» — ложный выбор, когда вам одновременно нужны управляемая доступность и собственная граница доверия. Решите, где заканчивается туннель, потому что туннель, заканчивающийся на маршрутизаторе, оставляет сегмент за этим маршрутизатором открытым текстом. Затем решите, кто администрирует каждого партнёра, поскольку ключ, который держит третья сторона, — не граница, которой владеете вы.

Дайте каждому обещанию имя и измеримую границу

Напишите одну строку на обещание с владельцем и границей, которую можно измерить. Доступность канала доступа принадлежит его поставщику, задержка магистрали принадлежит провайдеру, а живучесть туннеля принадлежит тому, кто управляет конечными точками. Одно-единственное число от края до края, которое никто не измеряет, — число, которого вам никто не должен.

Соглашение об уровне обслуживания происходит из договора и его объёма, а не из букв в названии технологии. IPsec не требует интернет-транспорта с максимальным усилием, и MPLS сам по себе не несёт гарантии задержки; оба зависят от нижележащей сети и выбранных вами конечных точек.

Проверьте нарисованный путь, включая его отказ

Частный транспорт с щедрым интерфейсом всё ещё может отказать, когда наложение добавляет заголовки, и симптом — сеанс, который устанавливается и затем зависает на больших ответах. Проверьте полезный размер вместо того, чтобы рассуждать о нём, и запишите самый большой пакет, который проходит от края до края. Сделайте это до спора о пропускной способности, потому что путь, отбрасывающий большие пакеты, выглядит как проблема приложения. Число принадлежит проектному документу рядом с MTU каждого канала доступа.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Эти команды приходят с хоста Linux на одной площадке; другие платформы записывают тот же тест иначе. Если площадке нужно меньшее значение, это проектное ограничение, которое надо записать, а не неисправность, которую надо сообщать. Та же дисциплина относится к пропускной способности, потому что шифрование стоит вычислений, и конечная точка становится частью расчёта ёмкости.

Перед подписанием нарисуйте две диаграммы: обычный путь с подписанным каждым владельцем и путь отказа с теми же подписями. Вторая обнажает проекты, которые на бумаге выглядят избыточными, а на практике зависят от одного устройства. Когда приходит сбой, именно этот рисунок превращает смутное утро в короткий разбор.