MPLS VPN o IPsec overlay: tatlong kontratang dapat ayusin

Tatlong pangako ang nasa loob ng isang quotation para sa malawak na lugar, at ang pagbili ng isa ay hindi bumibili ng iba. May nagpapasa ng iyong mga packet, may naghihiwalay ng iyong routing sa bawat ibang customer, at may nagpapasya kung ang payload ay nababasa sa transit. Ang mga pangakong iyon ay maaaring pag-aari ng magkakaibang partido at naglalarawan pa rin ng isang gawaing disenyo. Ang paghihiwalay sa kanila ang desisyon; ang pagpili ng pangalan ng teknolohiya ay hindi.

Tatlong pangako sa loob ng isang quotation para sa malawak na lugar

Ang unang pangako ay transportasyon: aling mga site ang kumokonekta, sa aling mga access circuit, at sino ang nagpapasa ng packet sa pagitan nila. Ang pangalawa ay routing: aling mga prefix ang maaaring mag-abot sa isa’t isa, sino ang nag-aapruba ng pagbabago, at paano nananatiling hiwalay ang iyong trapiko mula sa ibang nangungupahan. Ang pangatlo ay proteksyon: ano ang naka-encrypt, sa pagitan ng aling mga endpoint, at sino ang may hawak ng mga key. Hilingin ang bawat isa nang nakasulat, dahil bawat sagot ay nakatira sa ibang dokumento.

Ang quotation ng provider ay may tendensiyang presyuhan ang una, ipagpalagay ang pangalawa at iwanan ang pangatlo sa iyo. Hindi iyon kawalang-katapatan; ang tatlo ay ibinebenta ng magkakaibang team. Nagiging problema ito kapag natuklasan ng pagsusuri ng disenyo na ipinagpalagay ng security team ang encryption at ipinagpalagay ng network team na ang carrier ang humahawak nito. Ang paghahati ng pangungusap sa tatlo ay tumatagal ng isang oras at pumipigil sa pulong na iyon.

Inilalarawan ng label ang pagpapasa, hindi ang serbisyo sa demarcation

Sinasabi ng multiprotocol label switching kung paano naglalakbay ang isang packet sa loob ng network ng provider. Hindi nito sinasabi kung ano ang ikinakabit ng customer, o kung ano ang ipinagpapalit ng customer sa gilid ng provider. Ang provider ay maaaring bumuo ng routed IP VPN sa MPLS, o serbisyo ng layer 2 na may ganap na ibang modelo ng koneksyon, at pareho silang maaaring makarating sa iyo bilang „MPLS connection”.

Ang terminolohiya ng IETF para sa mga VPN na ibinibigay ng provider ay tumutukoy sa bokabularyo para sa mismong ito: ang gilid ng customer, ang gilid ng provider, at ang mga modelo ng serbisyo na itinayo sa pagitan nila. Gamitin ito kapag nilalabo ng quotation ang mga layer, at itanong kung ano ang pisikal na paghahatid.

Ang routed na serbisyo ay nagbibigay sa iyo ng kaugnayan sa routing sa gilid ng provider, kaya ang pagdaragdag ng prefix ay nagiging kahilingan sa pagbabago sa dalawang organisasyon. Ang paghahatid ng layer 2 ay nagdadala ng iyong sariling routing at inililipat ang operasyonal na pasanin sa iyong panig. Wala alinman ang mas mahusay sa abstrakto; ang sagot ay sumusunod sa kung gaano kadalas nagbabago ang iyong topolohiya at sino ang gusto mong sumagot sa alas-tres ng madaling-araw.

Ang encryption ay pangakong hindi mo maaaring ilipat nang aksidente

Ang pribadong transportasyon ay hindi ginagawang hindi mabasa ang isang payload. Ang paghihiwalay ng provider ay nagpapanatili ng mga nangungupahan na hiwalay sa operasyon; hindi ito pahayag tungkol sa kung sino ang maaaring sumuri ng mga byte sa landas. Kung ang pangangailangan ay hindi mabasa ng carrier ang trapiko, ang pangangailangang iyon ay nangangailangan ng mekanismong ikaw ang kumokontrol, at IPsec ang karaniwan.

Tumatakbo ang IPsec sa pribadong transportasyon kasingdali ng sa internet access, kaya ang „MPLS o IPsec” ay huwad na pagpipilian sa tuwing kailangan mo nang sabay ang pinamamahalaang maabot at ang iyong sariling hangganan ng tiwala. Magpasya kung saan nagtatapos ang tunnel, dahil ang tunnel na nagtatapos sa router ay nag-iiwan ng segment sa likod ng router na iyon sa malinaw na teksto. Pagkatapos ay magpasya kung sino ang namamahala sa bawat peer, dahil ang key na hawak ng ikatlong partido ay hindi hangganang pag-aari mo.

Bigyan ang bawat pangako ng pangalan at masusukat na hangganan

Sumulat ng isang linya bawat pangako na may may-ari at hangganang masusukat. Ang kakayahang magamit ng access circuit ay pag-aari ng supplier nito, ang latency ng backbone ay pag-aari ng provider, at ang sigla ng tunnel ay pag-aari ng sinumang nagpapatakbo ng mga endpoint. Ang isang solong numero mula dulo hanggang dulo na walang sinumang sumusukat ay numerong walang sinumang utang sa iyo.

Ang kasunduan sa antas ng serbisyo ay nagmumula sa kontrata at saklaw nito, hindi sa mga titik ng pangalan ng teknolohiya. Ang IPsec ay hindi nangangailangan ng best-effort internet transport, at ang MPLS ay hindi nagdadala ng garantiya ng latency sa sarili nito; pareho silang nakadepende sa underlay at sa mga endpoint na pipiliin mo.

Subukan ang landas na iyong iginuhit, kasama ang kabiguan nito

Ang pribadong transportasyon na may mapagbigay na interface ay maaari pa ring mabigo kapag ang overlay ay nagdadagdag ng mga header, at ang sintomas ay isang session na nagtatatag at pagkatapos ay natigil sa malalaking tugon. Subukan ang magagamit na laki sa halip na mangatwiran tungkol dito, at isulat ang pinakamalaking packet na dumadaan mula dulo hanggang dulo. Gawin iyon bago ka makipagtalo tungkol sa bandwidth, dahil ang landas na nagtatapon ng malalaking packet ay mukhang problema ng application. Ang numero ay pag-aari ng dokumento ng disenyo sa tabi ng MTU ng bawat access circuit.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ang mga utos na iyon ay nagmumula sa isang Linux host sa isang site; ibang mga platform ay isinusulat ang parehong pagsubok nang iba. Kung ang isang site ay nangangailangan ng mas maliit na halaga, iyon ay hadlang sa disenyo na itatala, hindi isang sira na iuulat. Ang parehong disiplina ay nalalapat sa throughput, dahil ang encryption ay nagkakahalaga ng pagproseso at ang endpoint ay nagiging bahagi ng pagkalkula ng kapasidad.

Gumuhit ng dalawang diagram bago pumirma: ang normal na landas na may label sa bawat may-ari, at ang landas ng kabiguan na may parehong mga label. Ang pangalawa ay naglalantad ng mga disenyong mukhang kalabisan sa papel at sa pagsasagawa ay umaasa sa isang aparato. Kapag dumating ang outage, ang guhit na iyon ang nagiging sanhi ng pagiging maikling triage ng isang nakakalitong umaga.