MPLS u UDP-u: entropija za donji sloj, pravila za domen

Dva provajdera opisuju istu oznaku usluge, a samo jedan od njih spominje UDP zaglavlje. Razlika nije kozmetička: stavljanje MPLS-a unutar UDP-a mijenja ono što vanjska IP mreža može vidjeti, a time i ono što može heširati preko paralelnih linkova. Mijenja i to kome je dozvoljeno da ga uvodi.

Slojevi su dovoljno kratki da se zapamte: vanjski IP, zatim UDP, zatim stek MPLS oznaka, zatim korisni teret usluge. Stek oznaka ne nestaje; on i dalje odlučuje o prosljeđivanju na krajnjoj točki koja nastavlja komutaciju oznaka.

Šta UDP omotač dodaje

RFC 7510 definira ovu inkapsulaciju s UDP odredišnim portom 6635 i koristi polje izvornog porta za nošenje entropije toka. Uređaj koji inkapsulira odlučuje šta se smatra tokom i kako se izvodi vrijednost; standard namjerno ne propisuje jedan heš. To ostavlja prostor za ponašanje dobavljača i znači da dvije implementacije mogu proizvesti različite distribucije za istu mješavinu saobraćaja. Čitajte vrijednost kao nagovještaj ponuđen donjem sloju, a ne kao odluku o rutiranju koju donosi standard.

Korist je posredna. Tranzitna mreža koja balansira po vanjskoj petorci sada ima šta heširati, dok je goli MPLS paket možda nudio samo gornju oznaku. Da li to pomaže zavisi od platforme koja obavlja balansiranje i od toga koja polja ona zaista uzima u obzir.

Entropija nije propusni opseg

Ravnomjernije raspoređivanje tokova po dostupnim linkovima nije isto kao njihovo spajanje u jedan brži put. Jedan aplikacijski tok i dalje putuje jednim putem, a balansiranje po tokovima ne može premašiti kapacitet linka na koji sleti. Mehanizam također ne garantuje ravnomjernu distribuciju; samo daje heš funkciji bolje ulaze.

Držite omotač stabilnim za dati tok osim ako je preraspoređivanje prihvatljivo. Ako se izvorni port mijenja po paketu, donji sloj će rado raširiti jedan razgovor po nekoliko puteva i ponovno sastavljanje postaje problem aplikacije. Cilj je dosljedna entropija po toku, a ne stalna novost.

Granica uvođenja dio je specifikacije

RFC 7510 ograničava uvođenje na mrežu jednog operatora ili na susjedni skup operatora koji sarađuju, uz upravljanje saobraćajem radi izbjegavanja zagušenja. Također zahtijeva filtriranje koje sprječava da inkapsulirani saobraćaj pobjegne iz tog domena. To nisu ukrasni uslovi; oni slijede iz činjenice da inkapsulacija ne dodaje vlastitu sigurnost. Tretirajte ih kao preduslove za legitimno uvođenje, a ne kao prijedloge u nacrtu dizajna.

Ništa u UDP zaglavlju ne autentificira pošiljaoca i ništa u njemu ne pruža povjerljivost ili integritet korisnog tereta. Ako saobraćaju treba zaštita, ona dolazi iz odvojenog mehanizma s vlastitim upravljanjem ključevima. Odabir MPLS-in-UDP ne unapređuje model povjerenja.

Pazite šta zaštita čini heširanju koje ste htjeli

Dodajte IPsec ili drugu sigurnosnu inkapsulaciju i vanjsko zaglavlje koje tranzitni uređaji heširaju može potpuno promijeniti oblik. Tunelski režim može sakriti unutrašnji UDP izvorni port iza novog vanjskog zaglavlja, što znači da entropija koju ste pažljivo osigurali možda neće biti vidljiva tamo gdje se balansiranje odvija. Prvo šifriranje pa inkapsulacija drugačiji je dizajn od obrnutog reda, a razlika se pokazuje kao link koji nosi mnogo više saobraćaja od susjeda.

Procijenite kompletan paket onako kako se pojavljuje na žici, a ne samo sloj koji standard opisuje. To je i trenutak da preispitate MTU i kapacitet krajnje točke, jer UDP zaglavlje plus bilo kakav sigurnosni dodatak smanjuje korisni teret koji staje.

Odlučite s cijelim putem na umu

Uporedite MPLS-in-UDP s alternativama kao što je GRE po kriterijima koji su važni za vašu mrežu: po kojim poljima donji sloj balansira, koliko dodatnog opterećenja možete priuštiti, kakav je sigurnosni omotač potreban i može li se granica domena nametnuti. Pripisati mu bezuslovnu prednost u performansama nad GRE-om zaključak je koji standardi ne podržavaju.

Zatim testirajte sa stvarnim mješavinama saobraćaja i provjerite iskorištenje linka po članu, jer heš koji dobro izgleda u laboratoriji može se srušiti na jedan link kada svi tokovi dijele istu torku. Iskren sažetak je da inkapsulacija izlaže informacije koje donji sloj može koristiti, unutar domena koji je pristao da njime upravlja.