একটি টানেল টপোলজি দেয়, এনক্রিপশন বা লেটেন্সি নয়

ধারণাটি হল, একটি টানেল একটি ব্যক্তিগত, দ্রুত তার: আপনি এটি তৈরি করেন, ভেতরের ট্রাফিক এনক্রিপ্টেড হয়, পথটি ছোট হয় এবং লিংকটি দুটি সাইটের মধ্যে একটি কেবলের মতো আচরণ করে। সেই ধারণার প্রতিটি অংশ একটি আলাদা বৈশিষ্ট্য, এবং টানেল কেবল প্রথম জিনিসটিই দেয় যা আপনি এটির কাছে চেয়েছিলেন, অর্থাৎ একটি লজিক্যাল পাথ। বাকি সবকিছু ইচ্ছাকৃতভাবে বেছে নিতে ও কনফিগার করতে হয়। বৈশিষ্ট্যগুলো গুলিয়ে ফেললে ডিজাইন শেষ পর্যন্ত এমন একটি এনক্রিপ্টেড লিংকে পৌঁছায় যা কেউ ট্রাবলশুট করতে পারে না এবং এমন একটি লেটেন্সি প্রতিশ্রুতি দেয় যা কেউ রাখতে পারে না।

মিথ: একটি টানেল, তিনটি গ্যারান্টি

একটি টানেল নির্ভরযোগ্যভাবে একটি কাজ করে। এটি সরাসরি সংযুক্ত নয় এমন দুটি এন্ডপয়েন্টকে কোনো উদ্দেশ্যে সংলগ্নের মতো আচরণ করায়, আর মধ্যবর্তী নেটওয়ার্ক বাইরের প্যাকেট বহন করে। এটি একটি টপোলজি পরিবর্তন, এবং এটি নিজে থেকেই সত্যিই উপকারী।

এনক্রিপশন, প্রোটোকল বহন এবং ফরোয়ার্ডিং বিচ্ছিন্নতা এটির উপরে স্তরিত আলাদা সিদ্ধান্ত। একটি GRE টানেলের ক্রিপ্টোগ্রাফিক অর্থে তিনটির কোনোটিই নেই, এবং একটি IP-in-IP টানেল সম্পূর্ণ গোপনীয়তাহীন একটি বৈধ ডিজাইন। এর কোনোটিই ভুল নয়; এগুলো টানেল যা ঠিক টানেলের কাজ করে। ডায়াগ্রামের লেবেল বলে না কোন বৈশিষ্ট্যগুলো উপস্থিত।

বৈশিষ্ট্যগুলো আলাদা করলে প্রশ্নগুলোর উত্তর দেওয়া যায়: এই টানেল কি রাউটিং সংলগ্নতা বহন করে, ফ্রেম বহন করে, ভেতরের ঠিকানা লুকায়, বিলম্ব নিয়ে কিছু প্রতিশ্রুতি দেয়? এগুলো চারটি ভিন্ন উত্তর এবং চারটি ভিন্ন কনফিগারেশন পরিণতি।

টানেল আসলে মানচিত্রে কী যোগ করে

এন্ডপয়েন্টগুলো এমন একটি পথ পায় যা আগে তাদের ছিল না। সেই পথটি রাউটেড হপের মতো নাকি ইথারনেট সেগমেন্টের মতো আচরণ করে, তা সম্পূর্ণভাবে এনক্যাপসুলেশনের উপর নির্ভর করে, এবং পার্থক্যটি বদলে দেয় দুটি সাইট এটি দিয়ে কী করতে পারে। একটি রাউটেড টানেল আপনাকে পরবর্তী হপ ও একটি প্রিফিক্স দেয়; একটি ইথারনেট এক্সটেনশন আপনাকে ব্রডকাস্ট আচরণ এবং অনেক বড় ব্যর্থতার ডোমেইন দেয়।

একটি IP টানেল দূরবর্তী সাইটকে স্বয়ংক্রিয়ভাবে একই সাবনেটের অংশ করে না, এবং বাস্তবায়ন সেই সংলগ্নতা সমর্থন না করলে এটি দিয়ে একটি রাউটিং প্রোটোকল চালায় না। Multicast আরেকটি আলাদা প্রশ্ন যার নিজস্ব উত্তর আছে।

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

এই কমান্ডগুলো প্রশ্নের ভিন্ন ভিন্ন অংশের উত্তর দেয়। প্রথমটি বলে কোন ধরনের ইন্টারফেস আছে, দ্বিতীয়টি বলে কার্নেল কোন পথ বেছে নেবে, আর শেষ দুটি লেবেলের প্রতিশ্রুতির বদলে আন্ডারলের প্রকৃত আচরণ দেখায়।

বহন একটি আলাদা সিদ্ধান্ত, পৌঁছানোর ক্ষমতা থেকে

একটি টানেল এমন একটি প্রোটোকল বহন করতে পারে যা আন্ডারলে ফরোয়ার্ড করে না। IPv6 একটি IPv4 পথের উপরে ক্লাসিক উদাহরণ, এবং এটি কাজ করে কারণ এন্ডপয়েন্টগুলো উভয় পরিবার বোঝে, আর তাদের মধ্যবর্তী রাউটারগুলোকে কেবল বাইরের প্যাকেট পৌঁছে দিতে হয়। আন্ডারলের টানেল এন্ডপয়েন্ট পর্যন্ত একটি কার্যকর পথ দরকার, এর বেশি কিছু নয়।

তবে এন্ডপয়েন্টগুলোর পূর্ণ সমর্থন দরকার: ফরোয়ার্ডিং, ঠিকানা এবং এমন একটি অ্যাপ্লিকেশন যা সত্যিই ভেতরের পরিবারটি ব্যবহার করে। একটি টানেলে IPv6 প্রিফিক্স নির্ধারণ করলে কেবল IPv4-এ চলা সেবা IPv6-এর উপরে পৌঁছানো যায় না, আর আন্ডারলেও ডুয়াল-স্ট্যাক হয় না।

ফ্রেম বহন প্রোটোকল বহনের চেয়ে বড় প্রতিশ্রুতি। একটি টানেল জুড়ে ব্রডকাস্ট ডোমেইন প্রসারিত করলে স্প্যানিং-ট্রি আচরণ, ARP এবং ব্যর্থতা ছড়িয়ে পড়াও সঙ্গে চলে, যা ফিচার টগলের বদলে একটি ডিজাইন সিদ্ধান্ত।

বিচ্ছিন্নতা গোপনীয়তা নয়

প্রোভাইডার VPN গ্রাহকের রুট ও ট্রাফিক আলাদা ফরোয়ার্ডিং কনটেক্সটে রাখে, এবং সেই বিচ্ছেদ বাস্তব ও মূল্যবান। এটি এনক্রিপশন নয়। BGP/MPLS VPN স্পেসিফিকেশন স্পষ্টভাবে বলে এর গোপনীয়তা ক্রিপ্টোগ্রাফি থেকে নয়, বরং ফরোয়ার্ডিং মডেল থেকে আসে, এবং ঠিক এই পার্থক্যটিই শুধু VPN লেখা একটি স্লাইডে হারিয়ে যায়।

আপনার যদি গোপনীয়তা দরকার হয়, তবে প্রমাণীকরণ ও কী ব্যবস্থাপনাসহ একটি ক্রিপ্টোগ্রাফিক ব্যবস্থা দরকার, এবং এটি কোথায় শেষ হয় তা জানা দরকার। বিচ্ছিন্নতা দেওয়া টানেল আর এনক্রিপশন দেওয়া টানেল একই টানেল হতে পারে, কিন্তু কেবল তখনই যখন কেউ দুটোই কনফিগার করেছে।

ব্যবহারিক পরিণতি হল, „এটি একটি VPN-এর ভেতরে“ রাউটিং প্রসঙ্গ নিয়ে একটি প্রশ্নের উত্তর দেয় এবং পথে থাকা বাইটগুলো কে পড়তে পারে সে সম্পর্কে কিছুই বলে না। দুটি দল একসাথে সঠিক হতে পারে এবং তবুও ভিন্ন ভিন্ন বিষয় বর্ণনা করতে পারে। নিরাপত্তার প্রশ্ন উঠলে জিজ্ঞাসা করুন ক্রিপ্টো কোথায় শেষ হয় এবং কী পিয়ারগুলোকে প্রমাণীকরণ করে, টানেল আছে কি না তা নয়।

লেটেন্সি ও QoS আন্ডারলেকে অনুসরণ করে

একটি লজিক্যাল প্রান্ত ছোট ভৌত পথ নয়। বাইরের প্যাকেটগুলো এখনও একই লিংক, কিউ ও প্রোভাইডারের মধ্য দিয়ে যায়, এবং এনক্যাপসুলেশন প্রতি প্যাকেটে ওভারহেড যোগ করে এবং দুই প্রান্তে প্রসেসিং যোগ করে। একটি টানেল দ্রুত হতে পারে কারণ আন্ডারলে ভালো, কখনোই কারণ এটি একটি টানেল।

সেবার গুণমানের (QoS) আচরণ এর চেয়েও খারাপ, কারণ এটি এমন প্রশাসনিক ডোমেইনের উপর নির্ভর করে যা আপনি নিয়ন্ত্রণ না-ও করতে পারেন। ভেতরের মার্কিংগুলোকে ইচ্ছাকৃতভাবে বাইরের মার্কিংয়ে ম্যাপ করতে হয়, এবং পথের প্রতিটি প্রোভাইডারকে আপনার প্রত্যাশিত আচরণ দিতে হয়। এনক্রিপশন অগ্রাধিকার তৈরি করে না; এটি সেই ফিল্ডটি লুকায় যা একটি মিডলবক্স প্রবাহ শ্রেণিবদ্ধ করতে ব্যবহার করতে পারত।

কিছু প্রতিশ্রুতি দেওয়ার আগে আন্ডারলে মাপুন। বাইরের পথে স্থিতিশীল বিলম্ব ও কোনো ক্ষতি নেই দেখানো একটি প্রতিবেদন প্রমাণ; একটি টানেল আঁকা ডায়াগ্রাম প্রমাণ নয়।

আপনার প্রয়োজনীয় নেটওয়ার্ক সম্পর্কের জন্য টানেলটি বেছে নিন, তারপর এনক্রিপশন, অ্যাক্সেস নীতি, প্যাকেটের আকার ও কার্যক্ষমতা আলাদাভাবে নির্ধারণ করুন। চারটি সিদ্ধান্ত, চারটি প্রমাণ, এবং কোনোটিরই জায়গায় দাঁড়ানো কোনো একক লেবেল নেই।