MPLS VPN чи накладення IPsec: три договори, які треба узгодити

Три обіцянки вміщаються в одній пропозиції на широку мережу, і купівля однієї не купує інших. Хтось пересилає ваші пакети, хтось тримає вашу маршрутизацію окремо від кожного іншого клієнта, а хтось вирішує, чи читається корисне навантаження в дорозі. Ці обіцянки можуть належати різним сторонам і все ж описувати один працездатний проєкт. Розділити їх — це рішення; вибрати назву технології — ні.

Три обіцянки в одній пропозиції на широку мережу

Перша обіцянка — транспорт: які майданчики з’єднуються, якими каналами доступу і хто пересилає пакети між ними. Друга — маршрутизація: які префікси можуть досягати один одного, хто затверджує зміну і як ваш трафік залишається окремим від іншого орендаря. Третя — захист: що шифрується, між якими кінцевими точками і в кого ключі. Запросіть кожну письмово, бо кожна відповідь живе в окремому документі.

Пропозиція провайдера зазвичай оцінює першу, припускає другу і залишає третю вам. Це не нечесність; три продають різні команди. Проблема виникає, коли проєктна перевірка виявляє, що команда безпеки припускала шифрування, а мережева команда вважала, що цим займається оператор. Розділити речення на три коштує години й запобігає тій нараді.

Мітка описує пересилання, а не послугу в точці передачі

Багатопротокольна комутація міток каже, як пакет подорожує всередині мережі провайдера. Вона не каже, до чого підключається клієнт або що клієнт обмінює з краєм провайдера. Провайдер може побудувати маршрутизований IP VPN поверх MPLS або послугу рівня 2 з цілком іншою моделлю підключення, і обидві можуть дійти до вас як «з’єднання MPLS».

Термінологія IETF для VPN, які надає провайдер визначає словник саме для цього: край клієнта, край провайдера і моделі послуг, побудовані між ними. Використовуйте її, коли пропозиція розмиває рівні, і запитайте, чим фізично є передача.

Маршрутизована послуга дає вам відношення маршрутизації з краєм провайдера, тому додавання префікса стає запитом на зміну в двох організаціях. Передача рівня 2 несе вашу власну маршрутизацію і переносить операційне навантаження на ваш бік. Жодна не краща в абстракції; відповідь випливає з того, як часто змінюється ваша топологія і кого ви хочете бачити відповідальним о третій годині ночі.

Шифрування — обіцянка, яку не можна делегувати випадково

Приватний транспорт не робить корисне навантаження нечитабельним. Відокремлення провайдером тримає орендарів окремо операційно; це не твердження про те, хто може переглядати байти на шляху. Якщо вимога полягає в тому, що оператор не може читати трафік, цій вимозі потрібен механізм, який контролюєте ви, і IPsec — звичайний.

IPsec працює поверх приватного транспорту так само легко, як поверх доступу в інтернет, тому «MPLS чи IPsec» — хибний вибір, коли вам одночасно потрібні керована доступність і власний кордон довіри. Вирішіть, де закінчується тунель, бо тунель, що закінчується на маршрутизаторі, залишає сегмент за цим маршрутизатором відкритим текстом. Потім вирішіть, хто адмініструє кожного партнера, оскільки ключ, який тримає третя сторона, — не кордон, яким володієте ви.

Дайте кожній обіцянці ім’я та вимірюваний кордон

Напишіть один рядок на обіцянку з власником і кордоном, який можна виміряти. Доступність каналу доступу належить його постачальнику, затримка магістралі належить провайдеру, а живучість тунелю належить тому, хто керує кінцевими точками. Одне-єдине число від краю до краю, якого ніхто не вимірює, — число, якого вам ніхто не винен.

Угода про рівень послуг походить із договору та його обсягу, а не з літер у назві технології. IPsec не вимагає інтернет-транспорту з максимальним зусиллям, і MPLS сам по собі не несе гарантії затримки; обидва залежать від базової мережі й обраних вами кінцевих точок.

Перевірте намальований шлях, включно з його відмовою

Приватний транспорт із щедрим інтерфейсом усе ще може відмовити, коли накладення додає заголовки, і симптом — сеанс, який встановлюється і потім зависає на великих відповідях. Перевірте корисний розмір замість того, щоб міркувати про нього, і запишіть найбільший пакет, який проходить від краю до краю. Зробіть це до суперечки про пропускну здатність, бо шлях, що відкидає великі пакети, виглядає як проблема застосунку. Число належить проєктному документу поруч із MTU кожного каналу доступу.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Ці команди приходять із хоста Linux на одному майданчику; інші платформи записують той самий тест інакше. Якщо майданчику потрібне менше значення, це проєктне обмеження, яке треба записати, а не несправність, яку треба повідомляти. Та сама дисципліна стосується пропускної здатності, бо шифрування коштує обчислень, і кінцева точка стає частиною розрахунку ємності.

Перед підписанням намалюйте дві діаграми: звичайний шлях із підписаним кожним власником і шлях відмови з тими самими підписами. Друга викриває проєкти, які на папері виглядають надлишковими, а на практиці залежать від одного пристрою. Коли приходить збій, саме цей рисунок перетворює заплутаний ранок на короткий розбір.