MPLS VPN или IPsec преклоп: три уговора које треба разрешити

Три обећања стоје унутар једне понуде за широко подручје, и куповина једног не купује остала. Неко прослеђује ваше пакете, неко држи ваше усмеравање одвојено од сваког другог корисника, и неко одлучује да ли је садржај читљив у преносу. Та обећања могу припадати различитим странама и ипак описивати један изводљив дизајн. Раздвојити их је одлука; изабрати име технологије није.

Три обећања унутар једне понуде за широко подручје

Прво обећање је пренос: која се места повезују, преко којих приступних водова, и ко прослеђује пакете између њих. Друго је усмеравање: који префикси могу да достигну једни друге, ко одобрава промену, и како ваш саобраћај остаје одвојен од другог закупца. Треће је заштита: шта се шифрује, између којих крајњих тачака, и ко држи кључеве. Затражите свако писано, јер сваки одговор живи у другом документу.

Понуда добављача обично наплаћује прво, претпоставља друго и треће оставља вама. То није непоштење; та три продају различити тимови. Проблем настаје кад преглед дизајна открије да је безбедносни тим претпоставио шифровање, а мрежни тим претпоставио да се тиме бави оператер. Поделити реченицу на три кошта сат времена и спречава тај састанак.

Ознака описује прослеђивање, не услугу на предајној тачки

Мултиплексирање ознака више протокола говори како пакет путује унутар мреже добављача. Не говори на шта се корисник повезује ни шта корисник размењује са ивицом добављача. Добављач може изградити усмерени IP VPN на MPLS-у или услугу слоја 2 са потпуно другачијим моделом прикључка, а оба могу доћи до вас као „MPLS веза“.

Терминологија VPN-а које обезбеђује добављач према IETF-у дефинише речник управо за то: ивицу корисника, ивицу добављача и сервисне моделе изграђене између њих. Употребите је кад понуда замућује слојеве, и питајте шта је предаја физички.

Усмерена услуга даје вам однос усмеравања са ивицом добављача, па додавање префикса постаје захтев за промену у две организације. Предаја слоја 2 носи ваше сопствено усмеравање и премешта оперативни терет на вашу страну. Ниједно није боље у апстрактном смислу; одговор произлази из тога колико се често ваша топологија мења и кога желите да одговара у три сата ујутру.

Шифровање је обећање које не можете случајно делегирати

Приватни пренос не чини садржај нечитљивим. Одвајање код добављача држи закупце оперативно раздвојене; то није тврдња о томе ко може прегледати бајтове на путу. Ако је захтев да оператер не може читати саобраћај, тај захтев треба механизам који ви контролишете, а IPsec је уобичајени.

IPsec ради преко приватног преноса једнако лако као преко интернетског приступа, па је „MPLS или IPsec“ лажан избор кад год истовремено требате управљиву достижност и сопствену границу поверења. Одлучите где тунел завршава, јер тунел који завршава на рутеру оставља сегмент иза тог рутера у чистом тексту. Затим одлучите ко управља сваким паром, јер кључ који држи трећа страна није граница коју поседујете.

Дајте сваком обећању име и мерљиву границу

Напишите један ред по обећању са власником и границом која се може мерити. Доступност приступног вода припада његовом добављачу, латенција окоснице припада добављачу, а живост тунела припада ономе ко води крајње тачке. Један број од краја до краја који нико не мери број је који вам нико не дугује.

Споразум о нивоу услуге произлази из уговора и његовог обима, не из слова у имену технологије. IPsec не захтева интернетски пренос најбољим трудом, а MPLS сам по себи не носи гаранцију латенције; обоје зависи од подлоге и крајњих тачака које одаберете.

Тестирајте пут који сте нацртали, укључујући његов квар

Приватни пренос са издашним интерфејсом може ипак заказати кад преклоп дода заглавља, а симптом је сесија која се успостави и затим запне на великим одговорима. Тестирајте употребљиву величину уместо да о њој расуђујете, и запишите највећи пакет који прође од краја до краја. Учините то пре него што почнете да се препирете о пропусном опсегу, јер пут који одбацује велике пакете изгледа као проблем апликације. Број припада пројектном документу уз MTU сваког приступног вода.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Те наредбе долазе са Linux рачунара на једној локацији; друге платформе исти тест пишу другачије. Ако локацији треба мања вредност, то је пројектно ограничење које треба забележити, а не квар који треба пријавити. Иста дисциплина важи за пропусност, јер шифровање кошта процесорске снаге и крајња тачка постаје део израчунавања капацитета.

Нацртајте два дијаграма пре потписа: нормални пут са означеним сваким власником и пут квара са истим ознакама. Други открива дизајне који на папиру изгледају сувишно, а у пракси зависе од једног уређаја. Кад дође прекид, управо тај цртеж претвара збуњено јутро у кратку тријажу.