MPLS v UDP: entropija za spodnjo plast, pravila za domeno

Dva ponudnika opisujeta isto oznako storitve, in le eden od njiju omenja glavo UDP. Razlika ni kozmetična: postavitev MPLS v notranjost UDP spremeni, kaj lahko vidi zunanje omrežje IP, in s tem, kaj lahko zgoščuje prek vzporednih povezav. Spremeni tudi, kdo ga sme uvajati.

Plasti so dovolj kratke za zapomnitev: zunanji IP, nato UDP, nato sklad oznak MPLS, nato koristna obremenitev storitve. Sklad oznak ne izgine; še vedno odloča o posredovanju na končni točki, ki nadaljuje stikalo oznak.

Kaj doda ovoj UDP

RFC 7510 opredeljuje to inkapsulacijo s ciljnimi vrati UDP 6635 in uporablja polje izvornih vrat za prenos entropije toka. Naprava, ki inkapsulira, odloči, kaj šteje kot tok in kako se vrednost izpelje; standard namerno ne predpisuje ene same zgoščevalne funkcije. To pušča prostor za vedenje dobavitelja in pomeni, da lahko dve izvedbi ustvarita različne porazdelitve za isto mešanico prometa. Vrednost berite kot namig, ponujen spodnji plasti, ne kot usmerjevalno odločitev, ki jo sprejme standard.

Korist je posredna. Tranzitno omrežje, ki uravnava obremenitev po zunanji peterici, ima zdaj kaj zgoščevati, medtem ko je goli paket MPLS morda ponujal le zgornjo oznako. Ali to pomaga, je odvisno od platforme, ki izvaja uravnavanje, in od tega, katera polja dejansko upošteva.

Entropija ni pasovna širina

Bolj enakomerna porazdelitev tokov po razpoložljivih povezavah ni isto kot njihovo združevanje v eno hitrejšo pot. Posamezen aplikacijski tok še vedno potuje po eni poti, uravnavanje po tokovih pa ne more preseči zmogljivosti povezave, na katero pristane. Mehanizem tudi ne zagotavlja enakomerne porazdelitve; zgoščevalni funkciji le daje boljše vhode.

Ohranjajte ovoj stabilen za dani tok, razen če je preurejanje sprejemljivo. Če se izvorna vrata spreminjajo pri vsakem paketu, bo spodnja plast z veseljem razširila en pogovor po več poteh in ponovno sestavljanje bo postalo problem aplikacije. Cilj je dosledna entropija na tok, ne nenehna novost.

Meja uvajanja je del specifikacije

RFC 7510 omejuje uvajanje na omrežje enega operaterja ali na sosednjo množico sodelujočih operaterjev, pri čemer se promet upravlja tako, da se izogne zamašitvi. Zahteva tudi filtriranje, ki preprečuje, da bi inkapsulirani promet pobegnil iz te domene. To niso okrasni pogoji; izhajajo iz dejstva, da inkapsulacija ne doda lastne varnosti. Obravnavajte jih kot predpogoje za zakonito uvajanje, ne kot predloge v načrtovalni opombi.

Nič v glavi UDP ne overi pošiljatelja in nič v njej ne zagotavlja zaupnosti ali celovitosti koristne obremenitve. Če promet potrebuje zaščito, ta prihaja iz ločenega mehanizma z lastnim upravljanjem ključev. Izbira MPLS-in-UDP ne izboljša modela zaupanja.

Pazite, kaj zaščita naredi z zgoščevanjem, ki ste ga želeli

Dodajte IPsec ali drugo varnostno inkapsulacijo in zunanja glava, ki jo zgoščujejo tranzitne naprave, lahko popolnoma spremeni obliko. Tunelski način lahko skrije notranja izvorna vrata UDP za novo zunanjo glavo, kar pomeni, da skrbno zagotovljena entropija morda ne bo vidna tam, kjer poteka uravnavanje. Najprej šifriranje in nato inkapsulacija je drugačen načrt od obratnega vrstnega reda, razlika pa se pokaže kot povezava, ki nosi veliko več prometa kot njene sosede.

Ocenjujte celoten paket, kot se pojavi na žici, ne le plasti, ki jo opisuje standard. To je tudi trenutek za ponovni premislek o MTU in zmogljivosti končne točke, ker glava UDP plus kakršna koli varnostna obremenitev zmanjšata koristno obremenitev, ki se prilega.

Odločite se s celotno potjo na očeh

Primerjajte MPLS-in-UDP z alternativami, kot je GRE, po merilih, ki so pomembna za vaše omrežje: po katerih poljih uravnava spodnja plast, koliko dodatne obremenitve si lahko privoščite, kakšen varnostni ovoj je potreben in ali je mogoče uveljaviti mejo domene. Pripisati mu brezpogojno prednost pri zmogljivosti pred GRE je sklep, ki ga standardi ne podpirajo.

Nato preizkusite z resničnimi mešanicami prometa in preverite izkoriščenost vsake članske povezave, ker se zgoščevalna funkcija, ki je videti dobra v laboratoriju, lahko zruši na eno povezavo, ko si vsi tokovi delijo isto peterico. Pošten povzetek je, da inkapsulacija razkrije informacije, ki jih spodnja plast lahko uporabi, znotraj domene, ki je privolila v njihovo upravljanje.