Tunel topologiya verir, şifrələmə və gecikmə deyil

Fərziyyə budur ki, tunel şəxsi və sürətli bir naqildir: onu qurursan, içindəki trafik şifrələnir, yol qısalır və keçid iki sahə arasında kabel kimi davranır. Bu fərziyyənin hər hissəsi ayrı bir xassədir və tunel yalnız ondan istədiyin ilk şeyi, yəni məntiqi yolu verir. Qalan hər şey qəsdən seçilməli və konfiqurasiya edilməlidir. Xassələri qarışdırmaq, dizaynın heç kimin nasazlığını aradan qaldıra bilmədiyi şifrələnmiş keçidə və heç kimin yerinə yetirə bilmədiyi gecikmə vədinə gəlib çıxmasının yoludur.

Mif: bir tunel, üç zəmanət

Tunel bir şeyi etibarlı şəkildə edir. Birbaşa qoşulmamış iki son nöqtəni hansısa məqsəd üçün qonşu kimi davranmağa məcbur edir, aradakı şəbəkə isə xarici paketləri daşıyır. Bu topologiya dəyişikliyidir və özlüyündə həqiqətən faydalıdır.

Şifrələmə, protokol daşınması və yönləndirmə təcridi onun üstünə qoyulan ayrı qərarlardır. GRE tunelinin kriptoqrafik mənada bu üçündən heç biri yoxdur, IP-in-IP tuneli isə ümumiyyətlə məxfilik olmayan etibarlı dizayndır. Bunların heç biri səhv deyil; onlar tunellərin tam olaraq etdiyini edən tunellərdir. Diaqramdakı etiket hansı xassələrin mövcud olduğunu demir.

Xassələri ayırdıqdan sonra suallar cavablandırıla bilən olur: bu tunel yönləndirmə qonşuluğu daşıyır, kadr daşıyır, daxili ünvanları gizlədir, gecikmə ilə bağlı nəsə vəd edir? Bunlar dörd fərqli cavab və dörd fərqli konfiqurasiya nəticəsidir.

Tunel əslində xəritəyə nə əlavə edir

Son nöqtələr əvvəllər olmayan bir yol alır. Bu yolun yönləndirilmiş hop kimi, yoxsa Ethernet seqmenti kimi davranması tamamilə inkapsulyasiyadan asılıdır və fərq iki sahənin onunla nə edə biləcəyini dəyişir. Yönləndirilmiş tunel sizə növbəti hop və prefiks verir; Ethernet uzantısı isə yayım davranışı və qat-qat böyük nasazlıq domeni verir.

IP tuneli uzaq sahəni avtomatik olaraq eyni alt şəbəkənin hissəsinə çevirmir və tətbiq həmin qonşuluğu dəstəkləmirsə, onun üzərindən yönləndirmə protokolu işlətməz. Multicast öz cavabı olan başqa ayrı sualdır.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Bu əmrlər sualın müxtəlif hissələrinə cavab verir. Birincisi hansı interfeys növünün mövcud olduğunu, ikincisi nüvənin hansı yolu seçəcəyini bildirir, son ikisi isə etiketin vədimə deyil, alt qatın faktiki davranışını göstərir.

Daşınma əldə edilə bilənlikdən ayrı bir qərardır

Tunel alt qatın ötürmədiyi bir protokolu daşıya bilər. IPv6-nın IPv4 yolu üzərindən daşınması klassik haldır və işləyir, çünki son nöqtələr hər iki ailəni başa düşür, aralarındakı marşrutlaşdırıcılar isə yalnız xarici paketləri çatdırmalıdır. Alt qatın tunel son nöqtəsinə işlək yol lazımdır, başqa heç nə.

Lakin son nöqtələr tam dəstək tələb edir: yönləndirmə, ünvanlar və daxili ailəni həqiqətən istifadə edən tətbiq. Tunelə IPv6 prefiksi təyin etmək yalnız IPv4 ilə işləyən xidməti IPv6 üzərindən əlçatan etmir və alt qatı dual-stack etmir.

Kadr daşınması protokol daşınmasından daha böyük öhdəlikdir. Yayım domenini tunel üzərindən genişləndirmək spanning-tree davranışını, ARP-ni və nasazlıq yayılmasını da onunla birlikdə daşıyır ki, bu da funksiya açarı deyil, dizayn qərarıdır.

Təcrid məxfilik deyil

Provayder VPN-ləri müştəri marşrutlarını və trafiki ayrı yönləndirmə kontekstlərində saxlayır və bu ayrılıq real və dəyərlidir. O, şifrələmə deyil. BGP/MPLS VPN spesifikasiyası onun məxfiliyinin kriptoqrafiyadan deyil, yönləndirmə modelindən gəldiyini açıq şəkildə bildirir və bu, yalnız VPN deyən slaydda itirilən fərqin tam özüdür.

Məxfilik lazımdırsa, autentifikasiya və açar idarəetməsi olan kriptoqrafik mexanizm lazımdır və onun harada bitdiyini bilməlisiniz. Təcrid təmin edən tunel ilə şifrələmə təmin edən tunel eyni tunel ola bilər, ancaq kimsə hər ikisini konfiqurasiya edəndə.

Praktik nəticə budur ki, «bu VPN-in içindədir» yönləndirmə konteksti ilə bağlı suala cavab verir və yoldakı baytları kimin oxuya biləcəyi barədə heç nə demir. İki komanda eyni vaxtda haqlı ola bilər və yenə də fərqli şeyləri təsvir edə bilər. Təhlükəsizlik sualı ortaya çıxanda tunelin mövcud olub-olmadığını deyil, kriptoqrafiyanın harada bitdiyini və həmyaşıdları nəyin autentifikasiya etdiyini soruşun.

Gecikmə və QoS alt qatı izləyir

Məntiqi kənar daha qısa fiziki yol deyil. Xarici paketlər yenə eyni keçidlərdən, növbələrdən və provayderlərdən keçir, inkapsulyasiya isə hər paketə əlavə yük və hər iki uçda emal əlavə edir. Tunel alt qat yaxşı olduğu üçün sürətli ola bilər, əsla tunel olduğu üçün deyil.

Xidmət keyfiyyəti emalı bundan da pisdir, çünki nəzarət etmədiyiniz inzibati domenlərdən asılıdır. Daxili işarələr qəsdən xarici işarələrə uyğunlaşdırılmalı və yoldakı hər provayder gözlədiyiniz emalı təklif etməlidir. Şifrələmə prioritet yaratmır; o, aralıq qurğunun axını təsnif etmək üçün istifadə edə biləcəyi sahəni gizlədir.

Heç nə vəd etməzdən əvvəl alt qatı ölçün. Xarici yolda sabit gecikmə və itki olmadığını göstərən hesabat sübutdur; üzərində tunel olan diaqram deyil.

Lazım olan şəbəkə əlaqəsi üçün tuneli seçin, sonra şifrələməni, giriş siyasətini, paket ölçüsünü və məhsuldarlığı ayrı-ayrılıqda müəyyənləşdirin. Dörd qərar, dörd sübut parçası və heç birinin yerinə keçən tək bir etiket yoxdur.