MPLS у UDP: ентропија за доњи слој, правила за домен

Два провајдера описују исту ознаку услуге, а само један од њих помиње UDP заглавље. Разлика није козметичка: стављање MPLS-а унутар UDP-а мења шта спољна IP мрежа може да види, а тиме и шта може да хешује преко паралелних веза. Мења и то коме је дозвољено да га примени.

Слојеви су довољно кратки за памћење: спољни IP, затим UDP, затим стек MPLS ознака, затим корисни терет услуге. Стек ознака не нестаје; он и даље одређује прослеђивање на крајњој тачки која наставља комутацију ознака.

Шта UDP омот додаје

RFC 7510 дефинише ову инкапсулацију са UDP одредишним портом 6635 и користи поље изворног порта за ношење ентропије тока. Уређај који инкапсулира одлучује шта се сматра током и како се вредност изводи; стандард намерно не прописује један конкретан хеш. То оставља простор за понашање добављача и значи да две имплементације могу да дају различите расподеле за исту мешавину саобраћаја. Читајте вредност као наговештај понуђен доњем слоју, а не као одлуку о рутирању коју доноси стандард.

Корист је посредна. Транзитна мрежа која балансира оптерећење по спољној петојки сада има шта да хешује, док је голи MPLS пакет можда нудио само горњу ознаку. Да ли то помаже зависи од платформе која обавља балансирање и од тога које поље заиста узима у обзир.

Ентропија није пропусни опсег

Равномернија расподела токова по доступним везама није исто што и њихово спајање у један бржи пут. Један апликацијски ток и даље путује једним путем, а балансирање по току не може премашити капацитет везе на коју слети. Механизам такође не гарантује равномерну расподелу; он само даје хеш функцији боље улазе.

Држите омот стабилним за дати ток осим ако је преуређивање прихватљиво. Ако се изворни порт мења по пакету, доњи слој ће радо раширити један разговор по неколико путева и поновно састављање постаје проблем апликације. Циљ је доследна ентропија по току, а не стална новина.

Граница примене је део спецификације

RFC 7510 ограничава примену на мрежу једног оператера или на суседни скуп оператера који сарађују, при чему се саобраћајем управља да би се избегло загушење. Такође захтева филтрирање које спречава да инкапсулирани саобраћај побегне из тог домена. То нису украсни услови; они произлазе из чињенице да инкапсулација не додаје сопствену безбедност. Третирајте их као предуслове за легитимну примену, а не као предлоге у напомени о дизајну.

Ништа у UDP заглављу не аутентификује пошиљаоца и ништа у њему не обезбеђује поверљивост или интегритет корисног терета. Ако саобраћају треба заштита, она долази из одвојеног механизма са сопственим управљањем кључевима. Избор MPLS-in-UDP не побољшава модел поверења.

Обратите пажњу шта заштита чини са хеширањем које сте желели

Додајте IPsec или другу безбедносну инкапсулацију, и спољно заглавље које хешују транзитни уређаји може потпуно да промени облик. Тунелски режим може сакрити унутрашњи UDP изворни порт иза новог спољног заглавља, што значи да пажљиво обезбеђена ентропија можда неће бити видљива тамо где се балансирање одвија. Прво шифровање па инкапсулација је другачији дизајн од обрнутог редоследа, а разлика се показује као веза која носи далеко више саобраћаја од својих суседа.

Процените цео пакет како се појављује на жици, а не само слој који стандард описује. Ово је и тренутак да преиспитате MTU и капацитет крајње тачке, јер UDP заглавље плус било какав безбедносни трошак смањује корисни терет који стаје.

Одлучите са целим путем пред собом

Упоредите MPLS-in-UDP са алтернативама као што је GRE по критеријумима који су важни за вашу мрежу: по којим пољима доњи слој балансира, колики додатни трошак можете да приуштите, какав је безбедносни омот потребан и може ли се спроведе граница домена. Приписати му безусловну предност у перформансама над GRE-ом је закључак који стандарди не подржавају.

Затим тестирајте са стварним мешавинама саобраћаја и проверите искоришћење везе по члану, јер хеш који добро изгледа у лабораторији може се срушити на једну везу када сви токови деле исту торку. Искрен резиме је да инкапсулација открива информације које доњи слој може да користи, унутар домена који је пристао да њима управља.