MPLS VPN eller IPsec-overlay: tre kontrakt att klara ut

Tre löften ryms i en enda WAN-offert, och att köpa det ena köper inte de andra. Någon vidarebefordrar dina paket, någon håller din routing åtskild från alla andra kunder, och någon avgör om nyttolasten är läsbar under transporten. Dessa löften kan tillhöra olika parter och ändå beskriva en enda fungerande design. Att skilja dem åt är beslutet; att välja ett tekniknamn är det inte.

Tre löften i en enda WAN-offert

Det första löftet är transport: vilka platser som ansluts, över vilka accesskretsar, och vem som vidarebefordrar paket mellan dem. Det andra är routing: vilka prefix som får nå varandra, vem som godkänner en ändring, och hur din trafik hålls åtskild från en annan hyresgäst. Det tredje är skydd: vad som krypteras, mellan vilka ändpunkter, och vem som håller nycklarna. Begär var och en skriftligt, eftersom varje svar bor i ett annat dokument.

En leverantörsoffert tenderar att prissätta det första, förutsätta det andra och lämna det tredje till dig. Det är inte oärlighet; de tre säljs av olika team. Det blir ett problem när en designgranskning upptäcker att säkerhetsteamet förutsatte kryptering och nätverksteamet förutsatte att operatören skötte det. Att dela meningen i tre kostar en timme och förhindrar det mötet.

En etikett beskriver vidarebefordran, inte tjänsten vid överlämningspunkten

Multiprotokoll-etikettväxling berättar hur ett paket färdas inne i ett leverantörsnät. Det säger inte vad kunden ansluter till, eller vad kunden utbyter med leverantörens kant. En leverantör kan bygga ett routat IP VPN på MPLS, eller en lag 2-tjänst med en helt annan anslutningsmodell, och båda kan nå dig som en »MPLS-anslutning«.

Terminologin för leverantörstillhandahållna VPN:er från IETF definierar ordförrådet för just detta: kundkanten, leverantörskanten och tjänstemodellerna som byggs mellan dem. Använd den när en offert suddar ut lagren, och fråga vad överlämningen fysiskt är.

En routad tjänst ger dig en routingrelation till leverantörens kant, så att lägga till ett prefix blir en ändringsbegäran i två organisationer. En lag 2-överlämning bär din egen routing och flyttar den operativa bördan till din sida. Ingen av dem är bättre i abstrakt mening; svaret följer av hur ofta din topologi ändras och vem du vill ska svara klockan tre på morgonen.

Kryptering är ett löfte du inte kan delegera av misstag

Privat transport gör inte en nyttolast oläsbar. Leverantörsseparering håller hyresgäster åtskilda operativt; det är inte ett påstående om vem som kan inspektera byte på vägen. Om kravet är att operatören inte kan läsa trafiken, behöver det kravet en mekanism du kontrollerar, och IPsec är den vanliga.

IPsec går över privat transport lika lätt som över internetaccess, så »MPLS eller IPsec« är ett falskt val när du behöver hanterad nåbarhet och din egen förtroendegräns samtidigt. Bestäm var tunneln slutar, eftersom en tunnel som slutar på en router lämnar segmentet bakom den routern i klartext. Bestäm sedan vem som administrerar varje peer, eftersom en nyckel som en tredje part håller inte är en gräns du äger.

Ge varje löfte ett namn och en mätbar gräns

Skriv en rad per löfte med en ägare och en gräns som kan mätas. Tillgängligheten för en accesskrets tillhör dess leverantör, backbone-fördröjningen tillhör leverantören, och tunnelns livskraft tillhör den som driver ändpunkterna. Ett enda end-to-end-tal som ingen mäter är ett tal som ingen är skyldig dig.

Ett serviceavtal kommer från kontraktet och dess omfattning, inte från bokstäverna i ett tekniknamn. IPsec kräver inte bästa-möjliga internettrafik, och MPLS bär inte i sig någon fördröjningsgaranti; båda beror på underliggande nät och de ändpunkter du väljer.

Testa vägen du ritade, inklusive dess fel

En privat transport med ett generöst gränssnitt kan fortfarande misslyckas när ett overlay lägger till huvuden, och symptomet är en session som etableras och sedan fastnar på stora svar. Testa den användbara storleken i stället för att resonera om den, och skriv ned det största paket som passerar end-to-end. Gör det innan du bråkar om bandbredd, eftersom en väg som tappar stora paket ser ut som ett applikationsproblem. Talet hör hemma i designdokumentet bredvid MTU:n för varje accesskrets.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

De kommandona kommer från en Linux-värd på en plats; andra plattformar stavar samma test annorlunda. Om en plats behöver ett mindre värde är det en designbegränsning att anteckna, inte ett fel att rapportera. Samma disciplin gäller för genomströmning, eftersom kryptering kostar processorkraft och ändpunkten blir en del av kapacitetsberäkningen.

Rita två diagram innan du signerar: den normala vägen med varje ägare märkt, och felvägen med samma märken. Det andra blottlägger designer som ser redundanta ut på papperet och i praktiken beror på en enda enhet. När ett avbrott kommer är det den ritningen som förvandlar en förvirrande morgon till en kort triage.