النفق يمنحك طوبولوجيا، لا تشفيرًا ولا زمن استجابة

الافتراض هو أن النفق سلك خاص وسريع: تبنيه، فيكون الترافق داخله مشفّرًا، ويكون المسار أقصر، ويتصرّف الوصلة ككبل بين موقعين. كل جزء من هذا الافتراض خاصية مستقلة، والنفق لا يقدّم إلا أول ما طلبته منه، وهو مسار منطقي. أما كل ما عدا ذلك فيجب اختياره وإعداده عن قصد. والخلط بين الخصائص هو ما ينتهي به التصميم إلى وصلة مشفّرة لا يستطيع أحد استكشاف أعطالها، وإلى وعد بزمن استجابة لا يستطيع أحد الوفاء به.

الأسطورة: نفق واحد وثلاثة ضمانات

النفق يؤدي شيئًا واحدًا بموثوقية. فهو يجعل نقطتي نهاية غير متصلتين مباشرة تتصرّفان كأنهما متجاورتان لغرض ما، بينما تحمل الشبكة الوسيطة الحزم الخارجية. ذلك تغيير في الطوبولوجيا، وهو مفيد حقًا بحد ذاته.

التشفير ونقل البروتوكولات وعزل إعادة التوجيه قرارات منفصلة تُبنى فوقه. نفق GRE لا يملك أيًا من الثلاثة بالمعنى التشفيري، ونفق IP-in-IP تصميم صالح بلا سرية على الإطلاق. لا شيء من ذلك خطأ؛ فهي أنفاق تفعل بالضبط ما تفعله الأنفاق. والملصق على الرسم لا يخبرك أي الخصائص موجودة.

حين تفصل الخصائص، تصبح الأسئلة قابلة للإجابة: هل يحمل هذا النفق تجاورًا في التوجيه، هل يحمل إطارات، هل يخفي العناوين الداخلية، هل يعد بشيء بشأن التأخير؟ تلك أربع إجابات مختلفة بأربع نتائج إعداد مختلفة.

ما يضيفه النفق فعليًا إلى الخريطة

تحصل نقطتا النهاية على مسار لم يكن لديهما من قبل. أما ما إذا كان ذلك المسار يتصرّف كقفزة موجّهة أم كقطعة إيثرنت فيعتمد كليًا على التغليف، والفرق يغيّر ما يمكن للموقعين فعله به. النفق الموجّه يمنحك قفزة تالية وبادئة؛ وامتداد الإيثرنت يمنحك سلوك بث ونطاق فشل أكبر بكثير.

لا يجعل نفق IP الموقع البعيد تلقائيًا جزءًا من الشبكة الفرعية نفسها، ولا يجعل بروتوكول توجيه يعمل عبره إلا إذا كانت التنفيذ تدعم ذلك التجاور. والبث المتعدد سؤال منفصل آخر له إجابته الخاصة.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

تلك الأوامر تجيب عن أجزاء مختلفة من السؤال. الأول يخبرك بنوع الواجهة الموجودة، والثاني يخبرك بالمسار الذي سيختاره النواة، والأخيران يُظهران السلوك الفعلي للشبكة الأساسية لا وعد الملصق.

النقل قرار منفصل عن الوصول

يمكن للنفق أن يحمل بروتوكولًا لا تمرّره الشبكة الأساسية. IPv6 فوق مسار IPv4 هو الحالة الكلاسيكية، وهو يعمل لأن نقطتي النهاية تفهمان العائلتين بينما يحتاج الموجّهات بينهما فقط إلى تسليم الحزم الخارجية. الشبكة الأساسية تحتاج مسارًا عاملًا إلى نقطة نهاية النفق ولا تحتاج أكثر من ذلك.

أما نقطتا النهاية فتحتاجان دعمًا كاملًا: إعادة التوجيه والعناوين وتطبيقًا يستخدم العائلة الداخلية فعليًا. وتخصيص بادئة IPv6 لنفق لا يجعل خدمة تعمل بـ IPv4 فقط متاحة عبر IPv6، ولا يجعل الشبكة الأساسية مزدوجة المكدس.

نقل الإطارات التزام أكبر من نقل البروتوكولات. فمدّ نطاق بث عبر نفق ينقل معه سلوك الشجرة الممتدة وARP وانتشار الأعطال، وهذا قرار تصميم لا مفتاح ميزة.

العزل ليس سرية

شبكات VPN الخاصة بالمزوّدين تحفظ مسارات العملاء وترافقهم في سياقات إعادة توجيه منفصلة، وذلك الفصل حقيقي وقيّم. وهو ليس تشفيرًا. ومواصفة BGP/MPLS VPN صريحة في أن خصوصيتها تأتي من نموذج إعادة التوجيه لا من التشفير، وهذا بالضبط هو الفرق الذي يضيع في شريحة تقول VPN فقط.

إن كنت تحتاج السرية، فأنت تحتاج آلية تشفيرية مع مصادقة وإدارة مفاتيح، وتحتاج أن تعرف أين تنتهي. النفق الذي يوفّر الفصل والنفق الذي يوفّر التشفير يمكن أن يكونا النفق نفسه، لكن فقط عندما يضبط شخص ما كليهما.

النتيجة العملية أن «إنه داخل VPN» يجيب عن سؤال يتعلق بسياق التوجيه ولا يخبرك شيئًا عن من يستطيع قراءة البايتات على المسار. يمكن لفريقين أن يكونا محقّين معًا وهما يصفان شيئين مختلفين. وحين يُطرح سؤال الأمن، اسأل أين تنتهي التشفيرة وما الذي يصادق الأقران، لا إن كان نفق موجودًا.

زمن الاستجابة وQoS يتبعان الشبكة الأساسية

الحافة المنطقية ليست مسارًا ماديًا أقصر. ما زالت الحزم الخارجية تعبر الوصلات والصفوف والمزوّدين أنفسهم، ويضيف التغليف عبئًا لكل حزمة ومعالجة عند الطرفين. يمكن للنفق أن يكون سريعًا لأن الشبكة الأساسية جيدة، لا لأن النفق نفق.

معالجة جودة الخدمة أسوأ من ذلك، لأنها تعتمد على نطاقات إدارية قد لا تتحكم بها. يجب تعيين العلامات الداخلية إلى العلامات الخارجية عن قصد، ويجب أن يقدّم كل مزوّد على المسار المعالجة التي تتوقعها. التشفير لا ينشئ أولوية؛ بل يخفي الحقل الذي ربما استخدمه وسيط لتصنيف التدفق.

قِس الشبكة الأساسية قبل أن تعد بشيء. التقرير الذي يُظهر تأخيرًا مستقرًا ولا فقدان على المسار الخارجي دليل؛ أما الرسم الذي عليه نفق فليس دليلًا.

اختر النفق للعلاقة الشبكية التي تحتاجها، ثم حدّد التشفير وسياسة الوصول وحجم الحزمة والأداء بشكل منفصل. أربعة قرارات، وأربع قطع من الأدلة، ولا ملصق واحد يقوم مقام أي منها.