MPLS VPN ose shtresë IPsec: tre kontrata për t’u sqaruar

Tre premtime qëndrojnë brenda një oferte të vetme për zonë të gjerë, dhe blerja e njërës nuk blen të tjerat. Dikush i përcjell paketat tuaja, dikush e mban rrugëtimin tuaj të ndarë nga çdo klient tjetër, dhe dikush vendos nëse ngarkesa është e lexueshme në tranzit. Këto premtime mund t’i përkasin palëve të ndryshme dhe gjithsesi të përshkruajnë një dizajn të vetëm të zbatueshëm. Ndarja e tyre është vendimi; zgjedhja e një emri teknologjie nuk është.

Tre premtime brenda një oferte të vetme për zonë të gjerë

Premtimi i parë është transporti: cilat site lidhen, nëpër cilat qarqe aksesi, dhe kush përcjell paketat mes tyre. I dyti është rrugëtimi: cilat parashtesa mund të arrijnë njëra-tjetrën, kush miraton një ndryshim, dhe si trafiku juaj mbetet i ndarë nga një qiramarrës tjetër. I treti është mbrojtja: çfarë kriptohet, mes cilave pika fundore, dhe kush i mban çelësat. Kërkojini secilin me shkrim, sepse çdo përgjigje jeton në një dokument tjetër.

Një ofertë ofruesi ka prirjen të çmojë të parin, të supozojë të dytin dhe të lërë të tretin për ju. Kjo nuk është pandershmëri; të tre shiten nga ekipe të ndryshme. Bëhet problem kur një rishikim dizajni zbulon se ekipi i sigurisë supozoi kriptimin dhe ekipi i rrjetit supozoi se operatori po merrej me të. Ndarja e fjalisë në tre kushton një orë dhe e parandalon atë mbledhje.

Një etiketë përshkruan përcjelljen, jo shërbimin në pikën e dorëzimit

Komutimi i etiketave shumëprotokollësh tregon si udhëton një paketë brenda rrjetit të një ofruesi. Nuk tregon se me çfarë lidhet klienti ose çfarë shkëmben klienti me skajin e ofruesit. Një ofrues mund të ndërtojë një IP VPN të rrugëtuar mbi MPLS, ose një shërbim të shtresës 2 me një model krejt tjetër lidhjeje, dhe të dyja mund t’ju arrijnë si „lidhje MPLS”.

Terminologjia e IETF për VPN-të e ofruara nga ofruesi përcakton fjalorin pikërisht për këtë: skaji i klientit, skaji i ofruesit dhe modelet e shërbimit të ndërtuara mes tyre. Përdoreni kur një ofertë i turbullon shtresat, dhe pyesni çfarë është fizikisht dorëzimi.

Një shërbim i rrugëtuar ju jep një marrëdhënie rrugëtimi me skajin e ofruesit, kështu që shtimi i një parashtese bëhet kërkesë për ndryshim në dy organizata. Një dorëzim i shtresës 2 mban rrugëtimin tuaj dhe e zhvendos barrën operacionale në anën tuaj. Asnjëra nuk është më e mirë në abstrakt; përgjigja vjen nga sa shpesh ndryshon topologjia juaj dhe kë dëshironi të përgjigjet në orën tre të mëngjesit.

Kriptimi është një premtim që nuk mund ta delegoni rastësisht

Transporti privat nuk e bën një ngarkesë të palexueshme. Ndarja nga ofruesi i mban qiramarrësit të ndarë operacionalisht; nuk është një deklaratë për atë se kush mund të inspektojë bajtët në rrugë. Nëse kërkesa është që operatori të mos mund të lexojë trafikun, ajo kërkesë ka nevojë për një mekanizëm që ju kontrolloni, dhe IPsec është ai i zakonshmi.

IPsec kalon mbi transport privat po aq lehtë sa mbi aksesin në internet, prandaj „MPLS ose IPsec” është një zgjedhje e rreme sa herë që ju nevojiten njëkohësisht arritshmëri e menaxhuar dhe kufiri juaj i besimit. Vendosni ku përfundon tuneli, sepse një tunel që përfundon në një ruter e lë segmentin pas atij ruteri në tekst të pastër. Pastaj vendosni kush administron çdo palë, pasi një çelës i mbajtur nga një palë e tretë nuk është kufi që ju zotëroni.

Jepini secilës premtim një emër dhe një kufi të matshëm

Shkruani një rresht për premtim me një pronar dhe një kufi që mund të matet. Disponueshmëria e një qarku aksesi i përket furnizuesit të tij, vonesa e shtyllës kurrizore i përket ofruesit, dhe gjallëria e tunelit i përket atij që operon pikat fundore. Një numër i vetëm nga fillimi në fund që askush nuk e mat është një numër që askush nuk jua detyron.

Një marrëveshje për nivelin e shërbimit vjen nga kontrata dhe shtrirja e saj, jo nga shkronjat e një emri teknologjie. IPsec nuk kërkon transport interneti me përpjekje më të mirë, dhe MPLS nuk mbart në vetvete një garanci vonese; të dyja varen nga rrjeti bazë dhe pikat fundore që zgjidhni.

Testoni rrugën që vizatuat, duke përfshirë dështimin e saj

Një transport privat me një ndërfaqe të gjerë mund të dështojë gjithsesi kur një shtresë shton tituj, dhe simptoma është një sesion që vendoset dhe pastaj ngec në përgjigje të mëdha. Testoni madhësinë e përdorshme në vend që të arsyetoni për të, dhe shkruani paketën më të madhe që kalon nga fillimi në fund. Bëjeni këtë përpara se të debatoni për gjerësinë e brezit, sepse një rrugë që hedh paketat e mëdha duket si problem i aplikacionit. Numri i përket dokumentit të dizajnit pranë MTU-së së çdo qarku aksesi.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ato komanda vijnë nga një host Linux në një site; platformat e tjera e shkruajnë të njëjtin test ndryshe. Nëse një site ka nevojë për një vlerë më të vogël, ky është një kufizim dizajni për t’u shënuar, jo një defekt për t’u raportuar. E njëjta disiplinë vlen për xhiron, sepse kriptimi kushton përpunim dhe pika fundore bëhet pjesë e llogaritjes së kapacitetit.

Vizatoni dy diagrame përpara nënshkrimit: rrugën normale me çdo pronar të etiketuar, dhe rrugën e dështimit me të njëjtat etiketa. E dyta zbulon dizajne që duken të tepërta në letër dhe në praktikë varen nga një pajisje e vetme. Kur vjen një ndërprerje, është pikërisht ai vizatim që e kthen një mëngjes konfuz në një triazh të shkurtër.