ทั้งดาเนียลและจอห์นตอบคำถามของคุณได้ดีมาก ฉันจะเพิ่มสิ่งที่ใช้งานได้จริง ๆ ที่นึกถึงเมื่อฉันอ่านคำถาม
โปรดทราบว่าการสนทนามากมายเกี่ยวกับความปลอดภัยของMPLS VPNนั้นมาจากความเชื่อมั่นที่จ่ายให้กับFrame RelayและATM VPN
MPLS ปลอดภัยหรือไม่
ในที่สุดคำถามด้านความปลอดภัยจะมาถึงคำถามที่ยังไม่ได้ถามหนึ่งคำถามคือ"คุณเชื่อถือใครกับข้อมูลทางธุรกิจที่สำคัญของคุณ"
- หากคำตอบคือ "ไม่มีใคร" คุณจะต้องซ้อนทับข้อมูลของคุณผ่าน VPN ที่เข้ารหัส
- หากคุณเชื่อถือผู้ให้บริการMPLS VPNของคุณคุณไม่จำเป็นต้องเข้ารหัสข้อมูลของคุณ
ทำไมไม่ใช้ VPN ผ่าน MPLS ด้วยล่ะ
โดยการใช้งานทั่วไป MPLS เป็น VPN แต่เป็น VPN ที่ไม่เข้ารหัส ฉันถือว่าคุณหมายถึง VPN ที่เข้ารหัสเช่นPPTP , IPSecหรือSSL VPNเมื่อคุณพูดถึง "VPN" แต่ถ้าคุณต้องการที่แข็งแกร่งเข้ารหัส , ความสมบูรณ์ของข้อมูลหรือรับรองความถูกต้องภายใน VPN, การrfc4381 MPLS VPN การรักษาความปลอดภัยมาตรา 5.2แนะนำการเข้ารหัสภายในMPLS VPN
อย่างไรก็ตาม VPN ที่เข้ารหัสไม่ได้ไม่มีปัญหาด้วยตนเอง พวกเขามักประสบจาก:
- ค่าใช้จ่ายเพิ่มเติมสำหรับโครงสร้างพื้นฐาน
- ข้อ จำกัด ปริมาณงาน / ความสามารถในการปรับขยาย (เนื่องจากความซับซ้อนในการเข้ารหัส HW)
- ค่าใช้จ่ายเพิ่มเติมสำหรับบุคลากร / การฝึกอบรม
- เพิ่มเวลาเฉลี่ยในการซ่อมแซมเมื่อแก้ไขข้อบกพร่องผ่าน VPN ที่เข้ารหัส
- เพิ่มค่าใช้จ่ายในการจัดการ (เช่นการรักษา PKI )
- ปัญหาทางเทคนิคเช่นTCP MSS ที่ต่ำกว่าและมักจะมีปัญหากับ PMTUD
- ลิงค์ที่มีประสิทธิภาพน้อยลงเพราะคุณมีค่าใช้จ่ายในการห่อหุ้มของ VPN ที่เข้ารหัสไว้ (ซึ่งอยู่ภายในค่าใช้จ่ายจากMPLS VPN แล้ว )
ไม่มีใครหลีกเลี่ยงการจราจร
ใช่การหลบหลีกค่อนข้างเป็นไปได้ไม่ว่าคุณจะคิดว่าคุณเชื่อถือได้หรือไม่ก็ตาม ฉันจะอ้างอิงจากrfc4381 MPLS VPN Security, ส่วนที่ 7 :
ตราบใดที่การโจมตีจากภายในแกนหลักของ MPLS เกี่ยวข้องคลาส VPN ที่ไม่ได้เข้ารหัสทั้งหมด (BGP / MPLS, FR, ATM) มีปัญหาเดียวกัน: หากผู้โจมตีสามารถติดตั้ง Sniffer เขาสามารถอ่านข้อมูลใน VPN ทั้งหมดและหาก ผู้โจมตีสามารถเข้าถึงอุปกรณ์หลักได้เขาสามารถทำการโจมตีจำนวนมากตั้งแต่การปลอมแปลงแพ็กเก็ตจนถึงการแนะนำเพียร์เราเตอร์ใหม่ มีมาตรการป้องกันไว้ล่วงหน้าหลายประการที่ระบุไว้ด้านบนที่ผู้ให้บริการสามารถใช้ในการกระชับความปลอดภัยของแกนหลัก แต่ความปลอดภัยของสถาปัตยกรรม IP VPN ของ BGP / MPLS ขึ้นอยู่กับความปลอดภัยของผู้ให้บริการ หากผู้ให้บริการไม่น่าเชื่อถือวิธีเดียวที่จะรักษาความปลอดภัย VPN จากการโจมตีจาก "ภายใน" ของบริการ VPN คือการใช้ IPsec ด้านบนจากอุปกรณ์ CE หรือเกินกว่านั้น
ฉันจะพูดถึงประเด็นสุดท้ายซึ่งเป็นเพียงคำถามเชิงปฏิบัติ อาจมีข้อโต้แย้งว่าไม่มีจุดในการใช้MPLS VPNหากคุณจะใช้ VPN ที่เข้ารหัสผ่านบริการอินเทอร์เน็ตพื้นฐาน ฉันไม่เห็นด้วยกับความคิดนั้น ข้อดีของการเข้ารหัส VPN ผ่าน MPLS VPN ทำงานร่วมกับผู้ให้บริการรายหนึ่ง:
- ในขณะที่คุณแก้ไขปัญหา (ต้นจนจบ)
- เพื่อรับประกันคุณภาพการบริการ
- เพื่อจัดบริการ