MPLS VPN mi IPsec katmanı mı: çözülmesi gereken üç sözleşme

Üç vaat tek bir geniş alan teklifinde durur ve birini satın almak diğerlerini satın almaz. Biri paketlerinizi iletir, biri yönlendirmenizi diğer tüm müşterilerden ayrı tutar ve biri yükün aktarım sırasında okunabilir olup olmadığına karar verir. Bu vaatler farklı taraflara ait olabilir ve yine de tek bir uygulanabilir tasarımı tanımlayabilir. Onları ayırmak karardır; bir teknoloji adı seçmek değildir.

Tek bir geniş alan teklifinde üç vaat

İlk vaat taşımadır: hangi siteler bağlanır, hangi erişim devreleri üzerinden ve aralarında paketleri kim iletir. İkincisi yönlendirmedir: hangi önekler birbirine ulaşabilir, bir değişikliği kim onaylar ve trafiğiniz başka bir kiracıdan nasıl ayrı kalır. Üçüncüsü korumadır: neyin şifrelendiği, hangi uç noktalar arasında ve anahtarları kimin tuttuğu. Her birini yazılı olarak isteyin, çünkü her yanıt farklı bir belgede yaşar.

Sağlayıcı teklifi birincisini fiyatlandırmaya, ikincisini varsaymaya ve üçüncüsünü size bırakmaya eğilimlidir. Bu dürüstsüzlük değildir; üçü farklı ekipler tarafından satılır. Bir tasarım incelemesi güvenlik ekibinin şifrelemeyi varsaydığını ve ağ ekibinin operatörün bunu hallettiğini varsaydığını ortaya çıkardığında sorun olur. Cümleyi üçe bölmek bir saate mal olur ve o toplantıyı önler.

Bir etiket iletmeyi tanımlar, teslim noktasındaki hizmeti değil

Çok protokollü etiket anahtarlama, bir paketin sağlayıcı ağı içinde nasıl yol aldığını söyler. Müşterinin neye bağlandığını veya müşterinin sağlayıcı kenarıyla ne alışveriş ettiğini söylemez. Bir sağlayıcı MPLS üzerinde yönlendirilmiş bir IP VPN ya da tamamen farklı bir bağlantı modeline sahip bir katman 2 hizmeti kurabilir ve her ikisi de size „MPLS bağlantısı” olarak ulaşabilir.

IETF’nin sağlayıcı tarafından sağlanan VPN terminolojisi sözlüğü tam bunun için tanımlar: müşteri kenarı, sağlayıcı kenarı ve aralarında kurulan hizmet modelleri. Bir teklif katmanları bulanıklaştırdığında onu kullanın ve teslimin fiziksel olarak ne olduğunu sorun.

Yönlendirilmiş bir hizmet size sağlayıcı kenarıyla bir yönlendirme ilişkisi verir, bu yüzden bir önek eklemek iki kuruluşta bir değişiklik talebi olur. Bir katman 2 teslimi kendi yönlendirmenizi taşır ve operasyonel yükü sizin tarafınıza kaydırır. Hiçbiri soyut olarak daha iyi değildir; yanıt topolojinizin ne sıklıkla değiştiğine ve sabah üçte kimin yanıt vermesini istediğinize bağlıdır.

Şifreleme kazara devredemeyeceğiniz bir vaattir

Özel taşıma bir yükü okunamaz hale getirmez. Sağlayıcı ayrımı kiracıları operasyonel olarak ayrı tutar; bu, yol üzerindeki baytları kimin inceleyebileceğine dair bir ifade değildir. Gereksinim operatörün trafiği okuyamamasıysa, bu gereksinim sizin kontrol ettiğiniz bir mekanizma gerektirir ve IPsec olağan olandır.

IPsec özel taşıma üzerinden internet erişimi üzerinden olduğu kadar kolay çalışır, bu yüzden „MPLS veya IPsec” aynı anda yönetilen erişilebilirlik ve kendi güven sınırınıza ihtiyaç duyduğunuzda yanlış bir seçimdir. Tünelin nerede bittiğine karar verin, çünkü bir yönlendiricide biten tünel o yönlendiricinin arkasındaki segmenti açık metin olarak bırakır. Sonra her eşi kimin yönettiğine karar verin, çünkü üçüncü bir tarafın tuttuğu anahtar sahip olduğunuz bir sınır değildir.

Her vaade bir ad ve ölçülebilir bir sınır verin

Her vaat için bir sahip ve ölçülebilir bir sınırla bir satır yazın. Bir erişim devresinin kullanılabilirliği tedarikçisine aittir, omurga gecikmesi sağlayıcıya aittir ve tünelin canlılığı uç noktaları işleten kişiye aittir. Kimsenin ölçmediği tek bir uçtan uca sayı, kimsenin size borçlu olmadığı bir sayıdır.

Hizmet düzeyi anlaşması sözleşmeden ve kapsamından gelir, bir teknoloji adının harflerinden değil. IPsec en iyi çaba internet taşıması gerektirmez ve MPLS kendi başına bir gecikme garantisi taşımaz; ikisi de alt katmana ve seçtiğiniz uç noktalara bağlıdır.

Çizdiğiniz yolu, arızası dahil test edin

Cömert bir arayüze sahip özel bir taşıma, bir katman başlık eklediğinde yine de başarısız olabilir ve belirti, kurulan ve sonra büyük yanıtlarda tıkanan bir oturumdur. Kullanılabilir boyutu hakkında akıl yürütmek yerine test edin ve uçtan uca geçen en büyük paketi yazın. Bant genişliği tartışmasından önce bunu yapın, çünkü büyük paketleri düşüren bir yol uygulama sorunu gibi görünür. Sayı, her erişim devresinin MTU’sunun yanındaki tasarım belgesine aittir.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Bu komutlar bir sitedeki Linux ana bilgisayarından gelir; diğer platformlar aynı testi farklı yazar. Bir site daha küçük bir değere ihtiyaç duyuyorsa, bu kaydedilecek bir tasarım kısıtıdır, bildirilecek bir arıza değil. Aynı disiplin verim için de geçerlidir, çünkü şifreleme işlem gücüne mal olur ve uç nokta kapasite hesabının parçası olur.

İmzalamadan önce iki diyagram çizin: her sahibin etiketlendiği normal yol ve aynı etiketlerle arıza yolu. İkincisi, kâğıt üzerinde gereksiz görünen ve pratikte tek bir cihaza bağlı olan tasarımları ortaya çıkarır. Bir kesinti geldiğinde, kafa karıştırıcı bir sabahı kısa bir triyaja çeviren şey o çizimdir.