MPLS VPN alebo prekryv IPsec: tri zmluvy, ktoré treba dojednať

Tri sľuby sedia v jednej ponuke na rozľahlú sieť a kúpa jedného nekupuje ostatné. Niekto preposiela vaše pakety, niekto drží vaše smerovanie oddelene od všetkých ostatných zákazníkov a niekto rozhoduje o tom, či je obsah čitateľný pri prenose. Tieto sľuby môžu patriť rôznym stranám a napriek tomu opisovať jeden funkčný návrh. Oddeliť ich je to rozhodnutie; vybrať názov technológie nie.

Tri sľuby v jednej ponuke na rozľahlú sieť

Prvý sľub je prenos: ktoré miesta sa pripájajú, cez ktoré prístupové okruhy a kto medzi nimi preposiela pakety. Druhý je smerovanie: ktoré prefixy sa môžu navzájom dosiahnuť, kto schvaľuje zmenu a ako váš prenos zostáva oddelený od iného nájomcu. Tretí je ochrana: čo je šifrované, medzi ktorými koncovými bodmi a kto drží kľúče. Pýtajte sa na každý písomne, pretože každá odpoveď žije v inom dokumente.

Ponuka poskytovateľa má tendenciu oceniť prvý, predpokladať druhý a tretí nechať na vás. To nie je nečestnosť; tie tri predávajú rôzne tímy. Problém nastane, keď revízia návrhu zistí, že bezpečnostný tím predpokladal šifrovanie a sieťový tím predpokladal, že to vyriešil operátor. Rozdeliť vetu na tri stojí hodinu a zabráni tej schôdzi.

Štítok opisuje preposielanie, nie službu na odovzdávacom bode

Prepínanie viacprotokolových štítkov hovorí, ako paket cestuje vnútri siete poskytovateľa. Nehovorí, na čo sa zákazník pripája ani čo zákazník vymieňa s okrajom poskytovateľa. Poskytovateľ môže postaviť smerovanú IP VPN na MPLS alebo službu vrstvy 2 s úplne iným modelom pripojenia a oboje k vám môže doraziť ako „pripojenie MPLS“.

Terminológia IETF pre VPN poskytované poskytovateľom definuje slovník presne na toto: okraj zákazníka, okraj poskytovateľa a modely služieb postavené medzi nimi. Použite ju, keď ponuka rozmazáva vrstvy, a spýtajte sa, čo je odovzdanie fyzicky.

Smerovaná služba vám dá smerovací vzťah s okrajom poskytovateľa, takže pridanie prefixu sa stane požiadavkou na zmenu v dvoch organizáciách. Odovzdanie vrstvy 2 nesie vaše vlastné smerovanie a presúva prevádzkové zaťaženie na vašu stranu. Ani jedno nie je v abstrakte lepšie; odpoveď vyplýva z toho, ako často sa vaša topológia mení a koho chcete mať odpovedajúceho o tretej ráno.

Šifrovanie je sľub, ktorý nemôžete delegovať omylom

Súkromný prenos nerobí obsah nečitateľným. Oddelenie poskytovateľom drží nájomcov prevádzkovo oddelených; nie je to tvrdenie o tom, kto môže na ceste prezerať bajty. Ak je požiadavkou, aby operátor nemohol čítať prevádzku, táto požiadavka potrebuje mechanizmus, ktorý ovládate vy, a IPsec je obvyklý.

IPsec beží cez súkromný prenos rovnako ľahko ako cez prístup na internet, takže „MPLS alebo IPsec“ je falošná voľba, kedykoľvek potrebujete spravovanú dosiahnuteľnosť aj vlastnú hranicu dôvery zároveň. Rozhodnite, kde tunel končí, pretože tunel končiaci na smerovači necháva segment za tým smerovačom v otvorenom texte. Potom rozhodnite, kto spravuje každý peer, pretože kľúč držaný treťou stranou nie je hranica, ktorú vlastníte.

Dajte každému sľubu meno a merateľnú hranicu

Napíšte jeden riadok na sľub s vlastníkom a hranicou, ktorá sa dá merať. Dostupnosť prístupového okruhu patrí jeho dodávateľovi, latencia chrbtice patrí poskytovateľovi a životnosť tunela patrí tomu, kto prevádzkuje koncové body. Jediné číslo od konca po koniec, ktoré nikto nemeria, je číslo, ktoré vám nikto nedlhuje.

Dohoda o úrovni služieb vychádza zo zmluvy a jej rozsahu, nie z písmen v názve technológie. IPsec nevyžaduje internetový prenos s najlepšou snahou a MPLS sám o sebe nenesie záruku latencie; oboje závisí od podkladovej siete a koncových bodov, ktoré si vyberiete.

Otestujte cestu, ktorú ste nakreslili, vrátane jej zlyhania

Súkromný prenos so štedrým rozhraním môže stále zlyhať, keď prekryv pridá hlavičky, a symptómom je relácia, ktorá sa nadviaže a potom sa zasekne na veľkých odpovediach. Otestujte použiteľnú veľkosť namiesto toho, aby ste o nej uvažovali, a zapíšte najväčší paket, ktorý prejde od konca po koniec. Urobte to skôr, než sa budete hádať o šírke pásma, pretože cesta, ktorá zahadzuje veľké pakety, vyzerá ako problém aplikácie. Číslo patrí do návrhového dokumentu vedľa MTU každého prístupového okruhu.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Tieto príkazy pochádzajú z linuxového hostiteľa na jednom mieste; iné platformy píšu ten istý test inak. Ak miesto potrebuje menšiu hodnotu, je to návrhové obmedzenie na zapísanie, nie porucha na nahlásenie. Rovnaká disciplína platí pre priepustnosť, pretože šifrovanie stojí výpočtový výkon a koncový bod sa stáva súčasťou výpočtu kapacity.

Pred podpisom nakreslite dva diagramy: normálnu cestu s označeným každým vlastníkom a cestu zlyhania s rovnakými označeniami. Druhý odhaľuje návrhy, ktoré na papieri vyzerajú nadbytočne a v praxi závisia od jedného zariadenia. Keď príde výpadok, práve ten nákres premení mätúce ráno na krátke triedenie.