UDP ichida MPLS: pastki qatlam uchun entropiya, domen uchun qoidalar

Ikki provayder bir xil xizmat yorlig'ini tasvirlaydi va ulardan faqat biri UDP sarlavhasini eslatadi. Farq kosmetik emas: MPLSni UDP ichiga joylashtirish tashqi IP tarmog'i nimani ko'rishi mumkinligini, demak parallel havolalar bo'ylab nimani xeshlash mumkinligini o'zgartiradi. Bu shuningdek, uni kim joylashtirishi mumkinligini o'zgartiradi.

Qatlamlar eslab qolish uchun yetarlicha qisqa: tashqi IP, keyin UDP, keyin MPLS yorliqlar to'plami, keyin xizmat yuklamasi. Yorliqlar to'plami yo'qolmaydi; u yorliqlar kommutatsiyasini qayta boshlaydigan oxirgi nuqtada yo'naltirishni hanuz belgilaydi.

UDP konverti nima qo'shadi

RFC 7510 bu inkapsulyatsiyani UDP maqsad porti 6635 bilan belgilaydi va oqim entropiyasini tashish uchun manba port maydonidan foydalanadi. Inkapsulyatsiya qiluvchi qurilma nima oqim deb hisoblanishini va qiymat qanday olinishini hal qiladi; standart ataylab bitta aniq xeshni majburlamaydi. Bu sotuvchi xatti-harakati uchun joy qoldiradi va ikki amalga oshirish bir xil trafik aralashmasi uchun turlicha taqsimotlar berishi mumkinligini bildiradi. Qiymatni pastki qatlamga taklif qilingan ishora sifatida o'qing, standart qabul qilgan marshrutlash qarori sifatida emas.

Foyda bilvosita. Tashqi beshlik bo'yicha yukni muvozanatlaydigan tranzit tarmog'i endi xeshlash uchun narsaga ega, yalang'och MPLS paketi esa ehtimol faqat yuqori yorliqni taklif qilgan. Bu yordam beradimi, muvozanatlashni amalga oshiruvchi platformaga va u qaysi maydonlarni haqiqatan hisobga olishiga bog'liq.

Entropiya tarmoqli kenglik emas

Oqimlarni mavjud havolalar bo'ylab bir tekisroq taqsimlash ularni bitta tezroq yo'lga birlashtirish bilan bir xil emas. Bitta ilova oqimi baribir bitta yo'ldan boradi va oqim bo'yicha muvozanatlash u qo'nadigan havola sig'imidan oshmasligi kerak. Mexanizm bir tekis taqsimotni ham kafolatlamaydi; u xesh funksiyasiga shunchaki yaxshiroq kirishlar beradi.

Berilgan oqim uchun konvertni barqaror saqlang, agar qayta tartiblash maqbul bo'lmasa. Manba port har bir paketda o'zgarsa, pastki qatlam bitta suhbatni xursandchilik bilan bir necha yo'lga tarqatadi va qayta yig'ish ilovaning muammosiga aylanadi. Maqsad oqim boshiga izchil entropiya, doimiy yangilik emas.

Joylashtirish chegarasi spetsifikatsiyaning qismi

RFC 7510 joylashtirishni bitta operator tarmog'i yoki hamkorlik qiluvchi operatorlarning qo'shni to'plami bilan cheklaydi, trafik tiqilishni oldini olish uchun boshqariladi. Shuningdek, inkapsulyatsiya qilingan trafikning bu domendan chiqib ketishiga yo'l qo'ymaydigan filtrlashni talab qiladi. Bular bezak shartlari emas; ular inkapsulyatsiya o'z xavfsizligini qo'shmasligidan kelib chiqadi. Ularni qonuniy joylashtirish uchun old shartlar deb biling, dizayn eslatmasidagi takliflar sifatida emas.

UDP sarlavhasida hech narsa jo'natuvchini autentifikatsiya qilmaydi va unda hech narsa yuklama uchun maxfiylik yoki yaxlitlik bermaydi. Agar trafik himoyaga muhtoj bo'lsa, u o'z kalit boshqaruviga ega alohida mexanizmdan keladi. MPLS-in-UDP ni tanlash ishonch modelini oshirmaydi.

Himoya siz xohlagan xeshlashga nima qilishini kuzating

IPsec yoki boshqa xavfsizlik inkapsulyatsiyasini qo'shing, tranzit qurilmalar xeshlaydigan tashqi sarlavha butunlay shaklini o'zgartirishi mumkin. Tunnel rejimi ichki UDP manba portini yangi tashqi sarlavha orqasiga yashirishi mumkin, ya'ni siz ehtiyotkorlik bilan taqdim etgan entropiya muvozanatlash sodir bo'ladigan joyda ko'rinmasligi mumkin. Avval shifrlash, keyin inkapsulyatsiya qilish teskari tartibdan boshqa dizayn va farq qo'shnilaridan ancha ko'p trafik tashiyotgan havola sifatida namoyon bo'ladi.

To'liq paketni simda ko'rinadigan holatda baholang, standart tasvirlagan qatlamni emas. Bu MTU va oxirgi nuqta sig'imini qayta ko'rib chiqish joyi ham, chunki UDP sarlavhasi va har qanday xavfsizlik qo'shimchasi sig'adigan yuklamani kamaytiradi.

Butun yo'lni ko'z oldida tutib qaror qiling

MPLS-in-UDP ni GRE kabi alternativalar bilan tarmog'ingiz uchun muhim mezonlar bo'yicha solishtiring: pastki qatlam qaysi maydonlar bo'yicha muvozanatlaydi, qancha qo'shimcha xarajatni ko'tara olasiz, qanday xavfsizlik qobig'i kerak va domen chegarasini amalga oshirish mumkinmi. Unga GRE dan so'zsiz unumdorlik ustunligini berish standartlar qo'llab-quvvatlamaydigan xulosa.

Keyin haqiqiy trafik aralashmalari bilan sinab ko'ring va har bir a'zoning havola ishlatilishini tekshiring, chunki laboratoriyada yaxshi ko'rinadigan xesh barcha oqimlar bir xil kortejni baham ko'rganda bitta havolaga qulashi mumkin. Halol xulosa: inkapsulyatsiya pastki qatlam foydalanishi mumkin bo'lgan ma'lumotni, uni boshqarishga rozi bo'lgan domen ichida ochib beradi.