MPLS i UDP: entropi för underlagret, regler för domänen

Två leverantörer beskriver samma tjänsteetikett, och bara en av dem nämner en UDP-rubrik. Skillnaden är inte kosmetisk: att lägga MPLS inuti UDP ändrar vad det yttre IP-nätet kan se, och därmed vad det kan hasha över parallella länkar. Det ändrar också vem som får driftsätta det.

Lagren är korta nog att memorera: yttre IP, sedan UDP, sedan MPLS-etikettstacken, sedan tjänstens nyttolast. Etikettstacken försvinner inte; den avgör fortfarande vidarebefordran vid ändpunkten som återupptar etikettväxling.

Vad UDP-höljet tillför

RFC 7510 definierar denna inkapsling med UDP-destinationsport 6635 och använder källportsfältet för att bära flödesentropi. Enheten som kapslar in avgör vad som räknas som ett flöde och hur värdet härleds; standarden föreskriver medvetet inte en enda specifik hash. Det lämnar utrymme för leverantörsbeteende, och det innebär att två implementationer kan producera olika fördelningar för samma trafikmix. Läs värdet som en ledtråd till underlagret, inte som ett routingbeslut som standarden fattar.

Fördelen är indirekt. Ett transitnät som lastbalanserar över en yttre femling har nu något att hasha, medan ett bart MPLS-paket kanske bara erbjöd den översta etiketten. Om det hjälper beror på plattformen som utför balanseringen och på vilka fält den faktiskt tar hänsyn till.

Entropi är inte bandbredd

Att fördela flöden jämnare över tillgängliga länkar är inte samma sak som att kombinera dem till en snabbare väg. Ett enskilt applikationsflöde färdas fortfarande en väg, och per-flödes-balansering kan inte överskrida kapaciteten hos länken det landar på. Mekanismen garanterar inte heller jämn fördelning; den ger bara en hashfunktion bättre indata.

Håll höljet stabilt för ett givet flöde om inte omordning är acceptabel. Om källporten ändras per paket kommer underlagret gärna att sprida en konversation över flera vägar, och återmontering blir applikationens problem. Målet är konsekvent entropi per flöde, inte ständig nyhet.

Driftsättningsgränsen är en del av specifikationen

RFC 7510 begränsar driftsättning till ett enda operatörsnät eller till en angränsande uppsättning samarbetande operatörer, med trafiken hanterad så att överbelastning undviks. Den kräver också filtrering som hindrar inkapslad trafik från att lämna domänen. Det är inte dekorativa villkor; de följer av att inkapslingen inte tillför någon egen säkerhet. Behandla dem som förutsättningar för en legitim driftsättning, inte som förslag i ett designmemorandum.

Inget i UDP-rubriken autentiserar avsändaren, och inget i den ger konfidentialitet eller integritet åt nyttolasten. Om trafiken behöver skydd kommer det från en separat mekanism med egen nyckelhantering. Att välja MPLS-in-UDP uppgraderar inte förtroendemodellen.

Observera vad skyddet gör med hashningen du ville ha

Lägg till IPsec eller en annan säkerhetsinkapsling, och den yttre rubrik som transitenheter hashar kan helt ändra form. Tunnelmodus kan dölja den inre UDP-källporten bakom en ny yttre rubrik, vilket innebär att den entropi du noggrant tillhandahöll kanske inte syns där balanseringen sker. Att först kryptera och sedan kapsla in är en annan design än omvänd ordning, och skillnaden visar sig som en länk som bär långt mer trafik än sina grannar.

Utvärdera hela paketet så som det ser ut på tråden, inte bara lagret som standarden beskriver. Det är också punkten för att ompröva MTU och ändpunktens kapacitet, eftersom en UDP-rubrik plus eventuell säkerhetsöverhead minskar nyttolasten som får plats.

Bestäm med hela vägen i sikte

Jämför MPLS-in-UDP med alternativ som GRE efter de kriterier som är viktiga för ditt nät: vilka fält underlagret balanserar över, hur mycket overhead du har råd med, vilket säkerhetshölje som krävs och om domängränsen kan upprätthållas. Att tillskriva det en ovillkorlig prestandafördel gentemot GRE är en slutsats som standarderna inte stöder.

Testa sedan med verkliga trafikmixer och kontrollera länkanvändningen per medlem, eftersom en hash som ser bra ut i labb kan kollapsa till en enda länk när alla flöden delar samma tupel. Den ärliga sammanfattningen är att inkapslingen blottar information som underlagret kan använda, inom en domän som har gått med på att hantera den.