MPLS VPN ali IPsec prekrivanje: tri pogodbe, ki jih je treba razčistiti

Tri obljube sedijo v eni sami ponudbi za široko območje, in nakup ene ne kupi drugih. Nekdo posreduje vaše pakete, nekdo drži vaše usmerjanje ločeno od vsakega drugega naročnika, in nekdo odloča, ali je tovor med prenosom berljiv. Te obljube lahko pripadajo različnim stranem in vseeno opisujejo eno izvedljivo zasnovo. Ločiti jih je odločitev; izbrati ime tehnologije ni.

Tri obljube v eni sami ponudbi za široko območje

Prva obljuba je prenos: katere lokacije se povezujejo, po katerih dostopnih vodih, in kdo posreduje pakete med njimi. Druga je usmerjanje: kateri predponi se lahko dosežeta, kdo odobri spremembo, in kako vaš promet ostane ločen od drugega najemnika. Tretja je zaščita: kaj je šifrirano, med katerimi končnimi točkami, in kdo ima ključe. Zahtevajte vsako pisno, ker vsak odgovor živi v drugem dokumentu.

Ponudba ponudnika ponavadi ovrednoti prvo, predpostavi drugo in tretjo prepusti vam. To ni nepoštenost; tri prodajajo različne ekipe. Problem nastane, ko pregled zasnove ugotovi, da je varnostna ekipa predpostavila šifriranje, omrežna ekipa pa, da to ureja operater. Razdeliti stavek na tri stane uro in prepreči ta sestanek.

Oznaka opisuje posredovanje, ne storitve na predajni točki

Multipleksiranje oznak več protokolov pove, kako paket potuje znotraj omrežja ponudnika. Ne pove, na kaj se naročnik priključi, niti kaj naročnik izmenja z robom ponudnika. Ponudnik lahko zgradi usmerjeni IP VPN na MPLS ali storitev plasti 2 s popolnoma drugačnim modelom priključitve, in oboje lahko do vas pride kot »povezava MPLS«.

Terminologija IETF za VPN, ki jih zagotavlja ponudnik opredeljuje besedišče prav za to: rob naročnika, rob ponudnika in storitvene modele, zgrajene med njima. Uporabite jo, ko ponudba zamegli plasti, in vprašajte, kaj je predaja fizično.

Usmerjena storitev vam da razmerje usmerjanja z robom ponudnika, zato dodajanje predpone postane zahteva za spremembo v dveh organizacijah. Predaja plasti 2 nosi vaše lastno usmerjanje in premakne operativno breme na vašo stran. Nobeno ni boljše v abstraktnem smislu; odgovor izhaja iz tega, kako pogosto se spreminja vaša topologija in koga želite, da odgovarja ob treh zjutraj.

Šifriranje je obljuba, ki je ne morete slučajno prenesti

Zasebni prenos ne naredi tovora neberljivega. Ločevanje pri ponudniku drži najemnike operativno narazen; to ni izjava o tem, kdo lahko pregleduje bajte na poti. Če je zahteva, da operater ne more brati prometa, ta zahteva potrebuje mehanizem, ki ga nadzorujete vi, in IPsec je običajen.

IPsec teče prek zasebnega prenosa prav tako zlahka kot prek internetnega dostopa, zato je »MPLS ali IPsec« lažna izbira, kadar koli hkrati potrebujete upravljano dosegljivost in lastno mejo zaupanja. Odločite, kje se tunel konča, ker tunel, ki se konča na usmerjevalniku, pusti segment za tem usmerjevalnikom v čistem besedilu. Nato odločite, kdo upravlja vsakega partnerja, saj ključ, ki ga ima tretja stran, ni meja, ki bi bila vaša.

Vsaki obljubi dajte ime in merljivo mejo

Napišite eno vrstico na obljubo z lastnikom in mejo, ki jo je mogoče izmeriti. Razpoložljivost dostopnega voda pripada njegovemu dobavitelju, zakasnitev hrbtenice pripada ponudniku, in živost tunela pripada tistemu, ki upravlja končne točke. Ena sama številka od konca do konca, ki je nihče ne meri, je številka, ki vam je nihče ne dolguje.

Dogovor o ravni storitve izhaja iz pogodbe in njenega obsega, ne iz črk v imenu tehnologije. IPsec ne zahteva internetnega prenosa po najboljših močeh, in MPLS sam po sebi ne nosi jamstva zakasnitve; oboje je odvisno od podlage in končnih točk, ki jih izberete.

Preizkusite pot, ki ste jo narisali, vključno z njeno okvaro

Zasebni prenos z velikodušnim vmesnikom lahko še vedno odpove, ko prekrivanje doda glave, in simptom je seja, ki se vzpostavi in nato obtiči na velikih odgovorih. Preizkusite uporabno velikost, namesto da bi o njej razmišljali, in zapišite največji paket, ki gre od konca do konca. Storite to, preden se prepirate o pasovni širini, ker pot, ki zavrže velike pakete, izgleda kot težava aplikacije. Številka spada v projektni dokument poleg MTU vsakega dostopnega voda.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ti ukazi prihajajo z gostitelja Linux na eni lokaciji; druge platforme isti preizkus zapišejo drugače. Če lokacija potrebuje manjšo vrednost, je to omejitev zasnove, ki jo je treba zabeležiti, ne napaka, ki jo je treba prijaviti. Ista disciplina velja za prepustnost, ker šifriranje stane obdelave in končna točka postane del izračuna zmogljivosti.

Pred podpisom narišite dva diagrama: običajno pot z označenim vsakim lastnikom in pot okvare z istimi oznakami. Drugi razkrije zasnove, ki so na papirju videti odvečne in so v praksi odvisne od ene naprave. Ko pride izpad, je prav ta risba tista, ki zmedeno jutro spremeni v kratko triažo.