MPLS v UDP: entropia pre podkladovú vrstvu, pravidlá pre doménu

Dvaja poskytovatelia opisujú ten istý štítok služby a len jeden z nich spomína hlavičku UDP. Rozdiel nie je kozmetický: vloženie MPLS do UDP mení to, čo môže vidieť vonkajšia IP sieť, a teda aj to, čo môže hašovať cez paralelné spoje. Mení aj to, kto ho smie nasadiť.

Vrstvy sú dosť krátke na zapamätanie: vonkajšia IP, potom UDP, potom zásobník MPLS štítkov, potom užitočné zaťaženie služby. Zásobník štítkov nezmizne; stále rozhoduje o preposielaní v koncovom bode, ktorý obnovuje prepínanie štítkov.

Čo UDP obálka pridáva

RFC 7510 definuje toto zapuzdrenie s cieľovým portom UDP 6635 a používa pole zdrojového portu na prenos entropie toku. Zariadenie, ktoré zapuzdruje, rozhoduje, čo sa považuje za tok a ako sa hodnota odvodí; štandard zámerne nepredpisuje jeden konkrétny haš. To ponecháva priestor pre správanie dodávateľa a znamená, že dve implementácie môžu pre rovnakú zmes prevádzky vytvoriť rôzne distribúcie. Čítajte hodnotu ako nápovedu ponúknutú podkladu, nie ako smerovacie rozhodnutie prijaté štandardom.

Prínos je nepriamy. Tranzitná sieť, ktorá vyvažuje záťaž podľa vonkajšej pätice, má teraz čo hašovať, zatiaľ čo holý MPLS paket možno ponúkal len horný štítok. Či to pomôže, závisí od platformy, ktorá vyvažovanie vykonáva, a od toho, ktoré polia skutočne zohľadňuje.

Entropia nie je šírka pásma

Rozdeliť toky rovnomernejšie medzi dostupné spoje nie je to isté ako spojiť ich do jednej rýchlejšej cesty. Jediný aplikačný tok stále putuje jednou cestou a vyvažovanie po tokoch nemôže prekročiť kapacitu spoja, na ktorý dopadne. Mechanizmus tiež nezaručuje rovnomerné rozdelenie; iba dáva hašovacej funkcii lepšie vstupy.

Udržujte obálku pre daný tok stabilnú, pokiaľ nie je prijateľné preusporiadanie. Ak sa zdrojový port mení pri každom pakete, podklad rád rozprestrie jednu konverzáciu cez niekoľko ciest a opätovné zostavenie sa stane problémom aplikácie. Cieľom je konzistentná entropia na tok, nie neustála novosť.

Hranica nasadenia je súčasťou špecifikácie

RFC 7510 obmedzuje nasadenie na sieť jediného operátora alebo na susediacu množinu spolupracujúcich operátorov, pričom prevádzka je spravovaná tak, aby sa predišlo preťaženiu. Vyžaduje aj filtrovanie, ktoré bráni zapuzdruenej prevádzke uniknúť z tejto domény. Nie sú to ozdobné podmienky; vyplývajú zo skutočnosti, že zapuzdrenie nepridáva vlastné zabezpečenie. Berte ich ako predpoklady legitímneho nasadenia, nie ako návrhy v dizajnovej poznámke.

Nič v hlavičke UDP neoveruje odosielateľa a nič v nej neposkytuje dôvernosť ani integritu užitočného zaťaženia. Ak prevádzka potrebuje ochranu, prichádza zo samostatného mechanizmu s vlastnou správou kľúčov. Voľba MPLS-in-UDP model dôvery neposilňuje.

Sledujte, čo ochrana robí s hašovaním, ktoré ste chceli

Pridajte IPsec alebo iné bezpečnostné zapuzdrenie a vonkajšia hlavička, ktorú tranzitné zariadenia hašujú, môže úplne zmeniť tvar. Tunelový režim môže skryť vnútorný zdrojový port UDP za novou vonkajšou hlavičkou, čo znamená, že starostlivo poskytnutá entropia nemusí byť viditeľná tam, kde prebieha vyvažovanie. Najprv šifrovať a potom zapuzdriť je iný dizajn než opačné poradie a rozdiel sa prejaví ako spoj, ktorý nesie oveľa viac prevádzky než jeho susedia.

Hodnoťte celý paket tak, ako sa objavuje na drôte, nielen vrstvu, ktorú opisuje štandard. To je aj moment na prehodnotenie MTU a kapacity koncového bodu, pretože hlavička UDP plus akákoľvek bezpečnostná réžia zmenšuje užitočné zaťaženie, ktoré sa zmestí.

Rozhodujte sa s celou cestou na očiach

Porovnajte MPLS-in-UDP s alternatívami, ako je GRE, podľa kritérií, ktoré sú pre vašu sieť dôležité: podľa ktorých polí podklad vyvažuje, akú réžiu si môžete dovoliť, aký bezpečnostný obal je potrebný a či sa dá vynútiť hranica domény. Prisúdiť mu bezpodmienečnú výhodu vo výkone oproti GRE je záver, ktorý štandardy nepodporujú.

Potom testujte so skutočnými zmesami prevádzky a kontrolujte využitie každého členského spoja, pretože haš, ktorý vyzerá dobre v laboratóriu, sa môže zrútiť na jeden spoj, keď všetky toky zdieľajú rovnakú n-ticu. Poctivé zhrnutie je, že zapuzdrenie odhaľuje informácie, ktoré podklad môže použiť, v rámci domény, ktorá sa rozhodla ich spravovať.