UDP içinde MPLS: alt katman için entropi, alan adı için kurallar

İki sağlayıcı aynı hizmet etiketini tanımlıyor ve yalnızca biri UDP başlığından söz ediyor. Fark kozmetik değil: MPLS'i UDP'nin içine koymak, dış IP ağının neleri görebileceğini ve dolayısıyla paralel bağlantılar arasında neleri hash'leyebileceğini değiştirir. Kimin bunu kurabileceğini de değiştirir.

Katmanlar ezberlenecek kadar kısa: dış IP, sonra UDP, sonra MPLS etiket yığını, sonra hizmet yükü. Etiket yığını kaybolmaz; etiket anahtarlamayı sürdüren uç noktada yönlendirmeye hâlâ o karar verir.

UDP zarfı neyi ekler

RFC 7510 bu kapsüllemeyi UDP hedef portu 6635 ile tanımlar ve akış entropisini taşımak için kaynak port alanını kullanır. Kapsülleyen cihaz neyin akış sayılacağına ve değerin nasıl türetileceğine karar verir; standart bilinçli olarak tek bir hash dayatmaz. Bu, satıcı davranışına alan bırakır ve iki uygulamanın aynı trafik karışımı için farklı dağılımlar üretebileceği anlamına gelir. Değeri alt katmana sunulan bir ipucu olarak okuyun, standart tarafından verilen bir yönlendirme kararı olarak değil.

Yarar dolaylıdır. Dış beşli üzerinde yük dengelemesi yapan bir transit ağ artık hash'leyecek bir şeye sahiptir; çıplak bir MPLS paketi ise belki yalnızca en üst etiketi sunuyordu. Bunun yardımcı olup olmadığı, dengelemeyi yapan platforma ve gerçekte hangi alanları dikkate aldığına bağlıdır.

Entropi bant genişliği değildir

Akışları kullanılabilir bağlantılara daha eşit dağıtmak, onları tek bir daha hızlı yolda birleştirmekle aynı şey değildir. Tek bir uygulama akışı hâlâ tek bir yoldan gider ve akış başına dengeleme, üzerine indiği bağlantının kapasitesini aşamaz. Mekanizma eşit dağılımı da garanti etmez; yalnızca bir hash işlevine daha iyi girdiler verir.

Belirli bir akış için zarfı sabit tutun, yeniden sıralama kabul edilebilir değilse. Kaynak port her pakette değişirse, alt katman bir konuşmayı isteyerek birkaç yola yayar ve yeniden birleştirme uygulamanın sorunu olur. Amaç akış başına tutarlı entropidir, sürekli yenilik değil.

Kullanım sınırı spesifikasyonun parçasıdır

RFC 7510 kullanımı tek bir işletmecinin ağıyla veya işbirliği yapan işletmecilerin bitişik bir kümesiyle sınırlar; trafik tıkanıklığı önleyecek şekilde yönetilir. Kapsüllenmiş trafiğin bu alan adından kaçmasını önleyen filtrelemeyi de talep eder. Bunlar dekoratif koşullar değildir; kapsüllemenin kendi güvenliğini eklemediği gerçeğinden kaynaklanırlar. Bunları meşru bir kullanım için ön koşul olarak görün, tasarım notundaki öneriler olarak değil.

UDP başlığında hiçbir şey göndereni doğrulamaz ve içinde hiçbir şey yük için gizlilik veya bütünlük sağlamaz. Trafik koruma gerektiriyorsa, bu kendi anahtar yönetimine sahip ayrı bir mekanizmadan gelir. MPLS-in-UDP seçmek güven modelini yükseltmez.

Korumanın istediğiniz hash'e ne yaptığına dikkat edin

IPsec veya başka bir güvenlik kapsüllemesi ekleyin; transit cihazların hash'lediği dış başlık tamamen şekil değiştirebilir. Tünel modu, iç UDP kaynak portunu yeni bir dış başlığın arkasına saklayabilir; bu, özenle sağladığınız entropinin dengelemenin gerçekleştiği yerde görünmeyebileceği anlamına gelir. Önce şifreleyip sonra kapsüllemek ters sıradan farklı bir tasarımdır ve fark, komşularından çok daha fazla trafik taşıyan bir bağlantı olarak ortaya çıkar.

Paketin tamamını kabloda göründüğü gibi değerlendirin, yalnızca standardın tanımladığı katmanı değil. MTU ve uç nokta kapasitesini yeniden düşünmenin yeri de burasıdır, çünkü bir UDP başlığı artı herhangi bir güvenlik yükü, sığan yükü azaltır.

Tüm yolu göz önünde tutarak karar verin

MPLS-in-UDP'yi GRE gibi alternatiflerle ağınız için önemli ölçütlere göre karşılaştırın: alt katman hangi alanlarda dengeleme yapar, ne kadar ek yükü karşılayabilirsiniz, hangi güvenlik sargısı gerekir ve alan adı sınırı uygulanabilir mi. Ona GRE karşısında koşulsuz bir performans üstünlüğü atfetmek, standartların desteklemediği bir sonuçtur.

Ardından gerçek trafik karışımlarıyla test edin ve her üyenin bağlantı kullanımını kontrol edin, çünkü laboratuvarda iyi görünen bir hash, tüm akışlar aynı tanımlama grubunu paylaştığında tek bir bağlantıya çökebilir. Dürüst özet, kapsüllemenin alt katmanın kullanabileceği bilgileri, bunları yönetmeyi kabul etmiş bir alan adı içinde açığa çıkardığıdır.