MPLS VPN yoki IPsec qatlami: hal qilinadigan uchta shartnoma

Uchta va’da bitta keng hudud taklifining ichida turadi va bittasini sotib olish boshqalarini sotib olmaydi. Kimdir paketlaringizni uzatadi, kimdir marshrutlashingizni boshqa har bir mijozdan alohida tutadi va kimdir yukning tranzitda o’qilishini hal qiladi. Bu va’dalar turli tomonlarga tegishli bo’lishi mumkin va baribir bitta ishlaydigan dizaynni tasvirlaydi. Ularni ajratish qarordir; texnologiya nomini tanlash emas.

Bitta keng hudud taklifida uchta va’da

Birinchi va’da — transport: qaysi saytlar ulanadi, qaysi kirish zanjirlari orqali va ular orasida paketlarni kim uzatadi. Ikkinchisi — marshrutlash: qaysi prefikslar bir-biriga yeta oladi, o’zgarishni kim tasdiqlaydi va trafikingiz boshqa ijarachidan qanday alohida qoladi. Uchinchisi — himoya: nima shifrlanadi, qaysi oxirgi nuqtalar orasida va kalitlarni kim saqlaydi. Har birini yozma so’rang, chunki har bir javob boshqa hujjatda yashaydi.

Provayder taklifi birinchisini narxlashga, ikkinchisini taxmin qilishga va uchinchisini sizga qoldirishga moyil. Bu insofsizlik emas; uchtasini turli jamoalar sotadi. Dizayn ko’rigi xavfsizlik jamoasi shifrlashni taxmin qilganini va tarmoq jamoasi operator buni hal qilganini taxmin qilganini aniqlaganda muammo bo’ladi. Gapni uchga bo’lish bir soatga tushadi va o’sha yig’ilishning oldini oladi.

Yorliq uzatishni tasvirlaydi, topshirish nuqtasidagi xizmatni emas

Ko’p protokolli yorliq kommutatsiyasi paketning provayder tarmog’i ichida qanday harakatlanishini aytadi. Mijoz nimaga ulanadi yoki mijoz provayder chekkasi bilan nima almashadi, buni aytmaydi. Provayder MPLS ustida marshrutlangan IP VPN yoki butunlay boshqa ulanish modeli bo’lgan 2-qatlam xizmatini qurishi mumkin va ikkalasi ham sizga „MPLS ulanishi” sifatida yetib kelishi mumkin.

IETF ning provayder tomonidan taqdim etiladigan VPN terminologiyasi lug’atni aynan shu uchun belgilaydi: mijoz chekkasi, provayder chekkasi va ular orasida qurilgan xizmat modellari. Taklif qatlamlarni xiralashtirganda undan foydalaning va topshirish jismonan nima ekanini so’rang.

Marshrutlangan xizmat sizga provayder chekkasi bilan marshrutlash munosabatini beradi, shuning uchun prefiks qo’shish ikki tashkilotda o’zgartirish so’roviga aylanadi. 2-qatlam topshirig’i o’z marshrutlashingizni tashiydi va operatsion yukni siz tomonga ko’chiradi. Hech biri mavhum jihatdan yaxshiroq emas; javob topologiyangiz qanchalik tez-tez o’zgarishiga va ertalab soat uchda kim javob berishini xohlaganingizga bog’liq.

Shifrlash tasodifan topshira olmaydigan va’dadir

Shaxsiy transport yukni o’qib bo’lmaydigan qilib qo’ymaydi. Provayder ajratmasi ijarachilarni operatsion jihatdan alohida tutadi; bu yo’ldagi baytlarni kim ko’ra olishi haqidagi bayonot emas. Agar talab operator trafikni o’qiy olmasligi bo’lsa, bu talab siz nazorat qiladigan mexanizmni talab qiladi va IPsec odatiy hisoblanadi.

IPsec shaxsiy transport ustida ham xuddi internetga kirishdagidek oson ishlaydi, shuning uchun „MPLS yoki IPsec” bir vaqtda boshqariladigan yetib borish va o’z ishonch chegarangizga muhtoj bo’lganingizda noto’g’ri tanlovdir. Tunnel qayerda tugashini hal qiling, chunki marshrutizatorda tugaydigan tunnel o’sha marshrutizator orqasidagi segmentni ochiq matnda qoldiradi. Keyin har bir peer-ni kim boshqarishini hal qiling, chunki uchinchi tomon saqlaydigan kalit sizga tegishli chegara emas.

Har bir va’daga nom va o’lchanadigan chegara bering

Har bir va’da uchun egasi va o’lchanadigan chegarasi bo’lgan bitta qator yozing. Kirish zanjirining mavjudligi uning yetkazib beruvchisiga tegishli, magistral kechikish provayderga tegishli va tunnelning hayotiyligi oxirgi nuqtalarni boshqaradigan kishiga tegishli. Hech kim o’lchamaydigan bitta uchdan-uchga raqam hech kim sizga qarzdor bo’lmagan raqamdir.

Xizmat darajasi shartnomasi kontraktdan va uning qamrovidan kelib chiqadi, texnologiya nomidagi harflardan emas. IPsec eng yaxshi harakat internet transportini talab qilmaydi va MPLS o’z-o’zidan kechikish kafolatini olib yurmaydi; ikkalasi ham asosiy tarmoqqa va tanlagan oxirgi nuqtalaringizga bog’liq.

Chizgan yo’lingizni, shu jumladan nosozligini sinab ko’ring

Keng interfeysli shaxsiy transport qatlam sarlavhalar qo’shganda ham muvaffaqiyatsiz bo’lishi mumkin va alomat o’rnatilgan, so’ng katta javoblarda tiqilib qolgan sessiyadir. Ishlatiladigan o’lchamni u haqida fikr yuritish o’rniga sinab ko’ring va uchdan-uchga o’tadigan eng katta paketni yozib qo’ying. Buni tarmoqli kengligi haqida bahslashishdan oldin qiling, chunki katta paketlarni tashlaydigan yo’l ilova muammosiga o’xshaydi. Raqam har bir kirish zanjirining MTU-si yonidagi dizayn hujjatiga tegishli.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Bu buyruqlar bitta saytdagi Linux xostidan keladi; boshqa platformalar xuddi shu testni boshqacha yozadi. Agar saytga kichikroq qiymat kerak bo’lsa, bu qayd etiladigan dizayn cheklovi, xabar qilinadigan nosozlik emas. Xuddi shu intizom o’tkazuvchanlikka ham tegishli, chunki shifrlash ishlov berishni talab qiladi va oxirgi nuqta sig’im hisobining bir qismiga aylanadi.

Imzolashdan oldin ikkita diagramma chizing: har bir egasi belgilangan oddiy yo’l va bir xil belgilar bilan nosozlik yo’li. Ikkinchisi qog’ozda ortiqcha ko’rinadigan va amalda bitta qurilmaga bog’liq dizaynlarni ochib beradi. Uzilish kelganda, chalkash tongni qisqa triajga aylantiradigan aynan o’sha chizmadir.