MPLS VPN หรือเลเยอร์ IPsec: สามสัญญาที่ต้องสะสาง

คำสัญญาสามข้ออยู่ในใบเสนอราคาเครือข่ายวงกว้างฉบับเดียว และการซื้อข้อหนึ่งไม่ได้ซื้อข้ออื่น มีคนส่งต่อแพ็กเก็ตของคุณ มีคนแยกเส้นทางของคุณออกจากลูกค้ารายอื่นทุกราย และมีคนตัดสินใจว่าข้อมูลสามารถอ่านได้ระหว่างทางหรือไม่ คำสัญญาเหล่านั้นอาจเป็นของฝ่ายที่แตกต่างกันและยังคงอธิบายการออกแบบหนึ่งที่ใช้งานได้ การแยกสิ่งเหล่านั้นออกจากกันคือการตัดสินใจ; การเลือกชื่อเทคโนโลยีไม่ใช่

สามสัญญาในใบเสนอราคาเครือข่ายวงกว้างฉบับเดียว

คำสัญญาข้อแรกคือการขนส่ง: ไซต์ใดเชื่อมต่อ ผ่านวงจรเข้าถึงใด และใครส่งต่อแพ็กเก็ตระหว่างกัน ข้อที่สองคือเส้นทาง: คำนำหน้าใดเข้าถึงกันได้ ใครอนุมัติการเปลี่ยนแปลง และทราฟฟิกของคุณแยกจากผู้เช่ารายอื่นอย่างไร ข้อที่สามคือการป้องกัน: อะไรถูกเข้ารหัส ระหว่างจุดปลายใด และใครถือกุญแจ ขอเป็นลายลักษณ์อักษรทุกข้อ เพราะคำตอบแต่ละข้ออยู่ในเอกสารคนละฉบับ

ใบเสนอราคาของผู้ให้บริการมักตั้งราคาข้อแรก สมมติข้อที่สอง และปล่อยข้อที่สามให้คุณ นั่นไม่ใช่ความไม่ซื่อสัตย์ ทั้งสามข้อขายโดยทีมที่แตกต่างกัน มันกลายเป็นปัญหาเมื่อการทบทวนการออกแบบพบว่าทีมความปลอดภัยสมมติว่ามีการเข้ารหัส และทีมเครือข่ายสมมติว่าผู้ให้บริการดูแลเรื่องนั้น การแบ่งประโยคออกเป็นสามข้อใช้เวลาหนึ่งชั่วโมงและป้องกันการประชุมนั้น

ป้ายกำกับอธิบายการส่งต่อ ไม่ใช่บริการที่จุดส่งมอบ

การสลับป้ายหลายโปรโตคอลบอกว่าแพ็กเก็ตเดินทางภายในเครือข่ายของผู้ให้บริการอย่างไร ไม่ได้บอกว่าลูกค้าเชื่อมต่อกับอะไร หรือลูกค้าแลกเปลี่ยนอะไรกับขอบของผู้ให้บริการ ผู้ให้บริการสามารถสร้าง IP VPN แบบมีเส้นทางบน MPLS หรือบริการชั้น 2 ที่มีรูปแบบการเชื่อมต่อต่างออกไปโดยสิ้นเชิง และทั้งสองอย่างอาจมาถึงคุณในชื่อ «การเชื่อมต่อ MPLS»

คำศัพท์ของ IETF สำหรับ VPN ที่ผู้ให้บริการจัดหาให้ กำหนดคำศัพท์ไว้สำหรับสิ่งนี้โดยเฉพาะ: ขอบลูกค้า ขอบผู้ให้บริการ และรูปแบบบริการที่สร้างขึ้นระหว่างกัน ใช้มันเมื่อใบเสนอราคาทำให้ชั้นข้อมูลคลุมเครือ และถามว่าการส่งมอบคืออะไรในเชิงกายภาพ

บริการแบบมีเส้นทางให้ความสัมพันธ์ด้านเส้นทางกับขอบของผู้ให้บริการ คุณจึงเพิ่มคำนำหน้าได้กลายเป็นคำขอเปลี่ยนแปลงในสององค์กร การส่งมอบชั้น 2 พาความรับผิดชอบด้านเส้นทางของคุณไปเองและย้ายภาระการดำเนินงานมาที่ฝั่งคุณ ไม่มีข้อใดดีกว่าโดยนามธรรม คำตอบขึ้นอยู่กับว่าโครงสร้างเครือข่ายของคุณเปลี่ยนบ่อยแค่ไหนและใครที่คุณต้องการให้ตอบตอนตีสาม

การเข้ารหัสคือสัญญาที่คุณมอบหมายโดยบังเอิญไม่ได้

การขนส่งส่วนตัวไม่ได้ทำให้ข้อมูลอ่านไม่ได้ การแยกของผู้ให้บริการทำให้ผู้เช่าแยกจากกันในเชิงปฏิบัติการ ไม่ใช่คำแถลงว่าใครสามารถตรวจสอบไบต์บนเส้นทางได้ หากข้อกำหนดคือผู้ให้บริการอ่านทราฟฟิกไม่ได้ ข้อกำหนดนั้นต้องมีกลไกที่คุณควบคุม และ IPsec คือกลไกปกติ

IPsec ทำงานบนการขนส่งส่วนตัวได้ง่ายพอๆ กับบนการเข้าถึงอินเทอร์เน็ต ดังนั้น «MPLS หรือ IPsec» จึงเป็นทางเลือกที่ผิดเมื่อคุณต้องการทั้งการเข้าถึงที่จัดการได้และเขตความเชื่อถือของคุณเองพร้อมกัน ตัดสินใจว่าอุโมงค์สิ้นสุดที่ใด เพราะอุโมงค์ที่สิ้นสุดบนเราเตอร์จะทิ้งส่วนที่อยู่หลังเราเตอร์นั้นเป็นข้อความธรรมดา จากนั้นตัดสินใจว่าใครดูแลแต่ละคู่ เพราะกุญแจที่บุคคลที่สามถืออยู่ไม่ใช่เขตแดนที่คุณเป็นเจ้าของ

มอบชื่อและเขตแดนที่วัดได้ให้ทุกสัญญา

เขียนหนึ่งบรรทัดต่อสัญญาโดยมีเจ้าของและเขตแดนที่วัดได้ ความพร้อมใช้งานของวงจรเข้าถึงเป็นของผู้จัดหา ความหน่วงของแกนหลักเป็นของผู้ให้บริการ และความมีชีวิตของอุโมงค์เป็นของผู้ที่ดูแลจุดปลาย ตัวเลขตั้งแต่ต้นจนจบตัวเดียวที่ไม่มีใครวัดคือตัวเลขที่ไม่มีใครติดค้างคุณ

ข้อตกลงระดับบริการมาจากสัญญาและขอบเขตของสัญญา ไม่ใช่จากตัวอักษรในชื่อเทคโนโลยี IPsec ไม่ต้องการการขนส่งอินเทอร์เน็ตแบบพยายามอย่างดีที่สุด และ MPLS ไม่ได้มีหลักประกันความหน่วงในตัวเอง ทั้งสองขึ้นอยู่กับเครือข่ายชั้นล่างและจุดปลายที่คุณเลือก

ทดสอบเส้นทางที่คุณวาด รวมถึงความล้มเหลวของมัน

การขนส่งส่วนตัวที่มีอินเทอร์เฟซกว้างยังล้มเหลวได้เมื่อเลเยอร์เพิ่มส่วนหัว และอาการคือเซสชันที่สร้างขึ้นแล้วติดขัดกับการตอบกลับขนาดใหญ่ ทดสอบขนาดที่ใช้งานได้แทนการให้เหตุผลเกี่ยวกับมัน และจดแพ็กเก็ตที่ใหญ่ที่สุดที่ผ่านตั้งแต่ต้นจนจบ ทำสิ่งนั้นก่อนที่คุณจะโต้เถียงเรื่องแบนด์วิดท์ เพราะเส้นทางที่ทิ้งแพ็กเก็ตขนาดใหญ่ดูเหมือนปัญหาแอปพลิเคชัน ตัวเลขนี้อยู่ในเอกสารออกแบบข้าง MTU ของวงจรเข้าถึงแต่ละวงจร

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

คำสั่งเหล่านั้นมาจากโฮสต์ Linux ที่ไซต์หนึ่ง แพลตฟอร์มอื่นเขียนการทดสอบเดียวกันต่างกัน หากไซต์ต้องการค่าที่เล็กกว่า นั่นคือข้อจำกัดการออกแบบที่ต้องบันทึก ไม่ใช่ข้อบกพร่องที่ต้องรายงาน วินัยเดียวกันใช้กับทรูพุต เพราะการเข้ารหัสมีค่าใช้จ่ายในการประมวลผลและจุดปลายกลายเป็นส่วนหนึ่งของการคำนวณความจุ

วาดไดอะแกรมสองภาพก่อนเซ็นชื่อ: เส้นทางปกติที่มีเจ้าของทุกคนกำกับ และเส้นทางล้มเหลวที่มีป้ายกำกับเดียวกัน ภาพที่สองเผยให้เห็นการออกแบบที่ดูซ้ำซ้อนบนกระดาษแต่ในทางปฏิบัติขึ้นอยู่กับอุปกรณ์เดียว เมื่อเกิดเหตุขัดข้อง ภาพวาดนั้นคือสิ่งที่เปลี่ยนเช้าที่สับสนให้เป็นการคัดแยกสั้นๆ