MPLS në UDP: entropi për shtresën e poshtme, rregulla për domenin

Dy ofrues përshkruajnë të njëjtën etiketë shërbimi, dhe vetëm njëri prej tyre përmend një kokë UDP. Diferenca nuk është kozmetike: vendosja e MPLS brenda UDP ndryshon atë që rrjeti i jashtëm IP mund të shohë, dhe për rrjedhojë atë që mund të hash-ojë përgjatë lidhjeve paralele. Ajo ndryshon gjithashtu se kush lejohet ta vendosë atë.

Shtresat janë mjaft të shkurtra për t'u memorizuar: IP e jashtme, pastaj UDP, pastaj pirgja e etiketave MPLS, pastaj ngarkesa e shërbimit. Pirgja e etiketave nuk zhduket; ajo ende vendos përcjelljen në pikën fundore që rifillon komutimin e etiketave.

Çfarë shton mbështjellësi UDP

RFC 7510 përcakton këtë inkapsulim me portin e destinacionit UDP 6635 dhe përdor fushën e portit burim për të mbajtur entropinë e rrjedhës. Pajisja që inkapsulon vendos se çfarë konsiderohet rrjedhë dhe si nxirret vlera; standardi qëllimisht nuk imponon një hash të vetëm. Kjo lë hapësirë për sjelljen e furnizuesit, dhe do të thotë që dy implementime mund të prodhojnë shpërndarje të ndryshme për të njëjtën përzierje trafiku. Lexojeni vlerën si një sugjerim që i ofrohet shtresës së poshtme, jo si një vendim rrugëtimi që merr standardi.

Përfitimi është i tërthortë. Një rrjet tranziti që balancon ngarkesën mbi një pesëshe të jashtme tani ka diçka për të hash-uar, ndërsa një paketë MPLS e zhveshur mund të ofronte vetëm etiketën e sipërme. Nëse kjo ndihmon varet nga platforma që bën balancimin dhe nga fushat që ajo merr vërtet parasysh.

Entropia nuk është gjerësi bande

Shpërndarja më e barabartë e rrjedhave nëpër lidhjet e disponueshme nuk është e njëjtë me bashkimin e tyre në një rrugë të vetme më të shpejtë. Një rrjedhë e vetme aplikacioni ende udhëton në një rrugë, dhe balancimi për rrjedhë nuk mund të tejkalojë kapacitetin e lidhjes ku ajo zbret. Mekanizmi gjithashtu nuk garanton shpërndarje të barabartë; ai thjesht i jep një funksioni hash hyrje më të mira.

Mbajeni mbështjellësin të qëndrueshëm për një rrjedhë të caktuar, përveç rastit kur rirenditja është e pranueshme. Nëse porti burim ndryshon për çdo paketë, shtresa e poshtme do të përhapë me kënaqësi një bisedë nëpër disa rrugë dhe rimontimi bëhet problem i aplikacionit. Qëllimi është entropi konsistente për rrjedhë, jo risi e vazhdueshme.

Kufiri i vendosjes është pjesë e specifikimit

RFC 7510 e kufizon vendosjen në rrjetin e një operatori të vetëm ose në një grup ngjitur operatorësh bashkëpunues, me trafikun e menaxhuar për të shmangur mbingarkesën. Ajo kërkon gjithashtu filtrim që parandalon trafikun e inkapsuluar të shpëtojë nga ai domen. Këto nuk janë kushte dekorative; ato rrjedhin nga fakti se inkapsulimi nuk shton siguri të vetën. Trajtojini si parakushte për një vendosje legjitime, jo si sugjerime në një shënim projekti.

Asgjë në kokën UDP nuk vërteton dërguesin, dhe asgjë në të nuk ofron konfidencialitet ose integritet për ngarkesën. Nëse trafiku ka nevojë për mbrojtje, ajo vjen nga një mekanizëm i veçantë me menaxhimin e vet të çelësave. Zgjedhja e MPLS-in-UDP nuk përmirëson modelin e besimit.

Vini re çfarë bën mbrojtja me hash-imin që dëshironit

Shtoni IPsec ose një inkapsulim tjetër sigurie, dhe koka e jashtme që hash-ojnë pajisjet e tranzitit mund të ndryshojë formë plotësisht. Modaliteti tunel mund ta fshehë portin burim të brendshëm UDP pas një koke të re të jashtme, që do të thotë se entropia e siguruar me kujdes mund të mos jetë e dukshme aty ku ndodh balancimi. Kriptimi së pari dhe inkapsulimi më pas është një dizajn i ndryshëm nga rendi i kundërt, dhe diferenca shfaqet si një lidhje që mbart shumë më tepër trafik se fqinjët e saj.

Vlerësoni paketën e plotë siç shfaqet në tel, jo vetëm shtresën që përshkruan standardi. Ky është gjithashtu momenti për të rishikuar MTU-në dhe kapacitetin e pikës fundore, sepse një kokë UDP plus çdo mbingarkesë sigurie zvogëlon ngarkesën që futet.

Vendosni me gjithë rrugën në pamje

Krahasoni MPLS-in-UDP me alternativa si GRE sipas kritereve që kanë rëndësi për rrjetin tuaj: në cilat fusha balancon shtresa e poshtme, sa mbingarkesë mund të përballoni, çfarë mbështjellësi sigurie kërkohet dhe nëse kufiri i domenit mund të zbatohet. T'i atribuosh atij një avantazh të pakushtëzuar performancë ndaj GRE është një përfundim që standardet nuk e mbështesin.

Pastaj testoni me përzierje trafiku reale dhe kontrolloni shfrytëzimin e lidhjes për çdo anëtar, sepse një hash që duket mirë në laborator mund të shembet në një lidhje kur të gjitha rrjedhat ndajnë të njëjtën tuple. Përmbledhja e ndershme është se inkapsulimi zbulon informacion që shtresa e poshtme mund të përdorë, brenda një domeni që ka pranuar ta menaxhojë atë.