MPLS übernimmt IPSec

[Wordo 11]

Die geben die nen Router ... die wollen dich sicherlich nicht selbst im MPLS Netz rumpfuschen lassen ;)

[jussi 11]

also nur noch mal fürs protokoll

 

mpls hat grundsätzlich nix mit sicherheitsorientiertem VPN (wie z.B. ipsec vpn) zu tun. das wird zwar regelmässig vom vertrieb eines magentafarbenen carriers behauptet, bleibt aber trotzdem falsch. Die übertragenen daten werden nicht verschlüsselt oder der content authentifiziert. für jede art von klassifizierten daten ist mpls NICHT ausreichend.

 

natürlich kann man innerhalb eines MPLS netzes auch eine L2 VPN oder ein L3 VPN abbilden, aber dafür ist MPLS kein bisschen voraussetzung.

 

BTW: der overhead bei ipsec ist natürlich abhängig von der menge, der fragmentiertheit der daten sowie der eigesetzten verschlüsselungsmethode und des Protokolls innerhalb des payloads. 10%-15% overhead würde ich aber schon als schlecht konfigurierten worst case ansehen. citrix, cifs und mapi sind sicherlich deutlich besser, d.h. weniger overhead anfällig innerhalb des vpns.

 

eine 10mbit vpn strecke, die diese 10bits (ausserhalb des derzeitigen vpns) auch macht. durch eine 2 mbit/s MPLs strecke zu ersetzen ist eine marketingtechnische meisterleistung des carriers: technisch unmöglich und zudem noch entweder sinnlos oder gefährlich, je nachdem ob im mpls nochmal sicherheitsorientiertes vpn gemacht wird oder nicht.

[Cxxxo_? 10]

also nur noch mal fürs protokoll

eine 10mbit vpn strecke, die diese 10bits (ausserhalb des derzeitigen vpns) auch macht. durch eine 2 mbit/s MPLs strecke zu ersetzen ist eine marketingtechnische meisterleistung des carriers: technisch unmöglich und zudem noch entweder sinnlos oder gefährlich, je nachdem ob im mpls nochmal sicherheitsorientiertes vpn gemacht wird oder nicht.

 

naja, also grundsätzlich klingt das zunächst stark nach einem downgrade."technisch unmöglich".....sicherlich nur wenn nicht alle Bedingungen bekannt sind.

 

Wie viel wird mom. von der 10 MBit/s Leitung genutzt. Vielleicht ist die 10er auch etwas oversized. Normalerweise sollte die MPLS recht niedrige Laufzeiten haben. Zudem gibt es die Möglichkeit im MPLS ende-ende zu priorisieren (durchgängig im kompletten Netz!)

 

Von 10 auf 2 klingt auf jeden Fall sportlich, aber zu unmöglich fehlen uns mehr Informationen.

 

Gruß

bearbeitet 5. September 2010 von Cxxxo_?

[DSLProfi2010 10]

Also wir haben vor kurzem auch unsere Aussenstandorte mit MPLS vernetzt. Das schöne an der Geschichte ist, dass das Thema Routing nin von unserem Provider (Colt) übernommen wird. Was die Ausgangsfrage angeht, ob eine 2MMPLS Leitung eine 10M Internetleitung mit IP Sec ersetzen kann, so ist das pauschal nicht zu beantworten. Wenn die Internetleitung nur für die Standortvernetzung genutzt wird, dann sicher nicht. Wenn über die Internetleitung auch noch herkömmlicher Surftraffic abgewickelt wird, dann kann für die Vernetzung sehr wohl die MPLS Leitung mit 2M besser funktionieren.

Der große Vorteil von MPLS sind die durchgängigen Priorisierungen. Diese funktionieren bei IPSec ja nur dürftig. Seit wir MPLS im Einsatz haben, funktioniert auch VoIP innerhalb unsere Standort vernünftig.

 

Edit: Werbung entfernt.

 

Gruß

bearbeitet 5. November 2010 von XP-Fan
Werbung entfernt

[XP-Fan 217]

Hallo DSLProfi2010 und herzlich Willkommen,

 

das MCSEboard ist eine Platform fur User welche Hilfe suchen und kein Protal

für Firmen um eigene Werbung zu platzieren. Bitte beachte das in Zukunft.

[Nightwalker_z 10]

Ist ganz einfach. Ein Provider stellt dir via MPLS im Backbone eine Verbindung zwischen mehreren Standorten her. Der Provider stellt dir in der Regel einen Router, welcher auch vom Provider gemanaged wird. Was du mit dem Provider Router dann sprichst, bleibt dir überlassen bzw. ist Verhandlungssache mit dem Provider. Die üblichen Verdächtigen dafür sind BGP, OSPF, EIGRP oder statisches Routing.

 

Ob jetzt IPSec VPN übers Internet oder eine Lösung vom Provider hängt stark von den Anforderungen bzw. vom Budget ab. Wie schon ein Vorposter sagte, bekommst du von einem Service Provider eine garantierte Bandbreite und u.A. verschiedene Verkehrsklassen. Sprich du gibst ein Voice Paket in die Wolke und dieses Paket wird in der Wolke priorisiert behandelt. Sowas kannst du übers Internet nicht machen. Klar, du kannst an deinem INet Übergang dafür sorgen, dass im Fall von Queueing deine Voice Pakete nicht verworfen werden - aber im Internet hast du keine Garantie dafür. Von Jitter will ich gar nicht anfangen.