Tunel kupuje topologii, ne šifrování nebo latenci

Předpoklad je, že tunel je soukromý a rychlý drát: postavíte ho a provoz uvnitř je šifrovaný, cesta je kratší a spoj se chová jako kabel mezi dvěma lokalitami. Každá část tohoto předpokladu je samostatná vlastnost a tunel dodá jen to první, o co jste ho požádali, tedy logickou cestu. Všechno ostatní je třeba zvolit a nakonfigurovat záměrně. Záměna vlastností je způsob, jakým design skončí u šifrovaného spoje, který nikdo nedokáže diagnostikovat, a u slibu latence, který nikdo nedokáže dodržet.

Mýtus: jeden tunel, tři záruky

Tunel dělá jednu věc spolehlivě. Přiměje dva koncové body, které nejsou přímo propojené, chovat se pro nějaký účel jako sousední, zatímco mezilehlá síť přenáší vnější pakety. To je změna topologie a sama o sobě je skutečně užitečná.

Šifrování, přenos protokolů a izolace předávání jsou samostatná rozhodnutí vrstvená navrch. Tunel GRE nemá v kryptografickém smyslu ani jedno z těch tří a tunel IP-in-IP je platný návrh zcela bez důvěrnosti. Ani jedno není chyba; jsou to tunely, které dělají přesně to, co tunely dělají. Štítek na diagramu neříká, které vlastnosti jsou přítomny.

Jakmile vlastnosti oddělíte, otázky se stanou zodpověditelnými: nese tento tunel směrovací sousedství, nese rámce, skrývá vnitřní adresy, slibuje něco o zpoždění? To jsou čtyři různé odpovědi se čtyřmi různými důsledky pro konfiguraci.

Co tunel skutečně přidává do mapy

Koncové body dostanou cestu, kterou dřív neměly. Zda se tato cesta chová jako směrovaný skok nebo jako ethernetový segment, závisí zcela na zapouzdření a rozdíl mění, co s ní obě lokality mohou dělat. Směrovaný tunel vám dá další skok a prefix; ethernetové rozšíření vám dá chování vysílání a mnohem větší doménu selhání.

Tunel IP automaticky neudělá vzdálenou lokalitu součástí stejné podsítě a nespustí přes něj směrovací protokol, pokud implementace toto sousedství nepodporuje. Multicast je další samostatná otázka s vlastní odpovědí.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Tyto příkazy odpovídají na různé části otázky. První říká, jaký typ rozhraní existuje, druhý říká, kterou cestu by zvolilo jádro, a poslední dva ukazují skutečné chování podkladu místo slibu štítku.

Přenos je samostatné rozhodnutí od dosažitelnosti

Tunel může přenášet protokol, který podklad nepropouští. IPv6 přes cestu IPv4 je klasický případ a funguje, protože koncové body rozumí oběma rodinám, zatímco směrovače mezi nimi musí pouze doručit vnější pakety. Podklad potřebuje funkční cestu ke koncovému bodu tunelu a nic víc.

Koncové body však potřebují plnou podporu: předávání, adresy a aplikaci, která vnitřní rodinu skutečně používá. Přiřazení prefixu IPv6 tunelu neudělá službu, která funguje jen s IPv4, dostupnou přes IPv6, a neudělá podklad dual-stack.

Přenos rámců je větší závazek než přenos protokolů. Rozšíření vysílací domény přes tunel s sebou nese chování spanning tree, ARP a šíření selhání, což je návrhové rozhodnutí, nikoli přepínač funkce.

Izolace není důvěrnost

Poskytovatelské VPN drží trasy a provoz zákazníků v oddělených kontextech předávání a toto oddělení je skutečné a cenné. Není to šifrování. Specifikace BGP/MPLS VPN výslovně říká, že její soukromí pochází z modelu předávání, nikoli z kryptografie, a to je přesně rozdíl, který se ztrácí ve slidu, který jen říká VPN.

Pokud potřebujete důvěrnost, potřebujete kryptografický mechanismus s autentizací a správou klíčů a musíte vědět, kde končí. Tunel, který poskytuje oddělení, a tunel, který poskytuje šifrování, mohou být stejný tunel, ale jen když někdo nakonfiguroval obojí.

Praktickým důsledkem je, že „je to ve VPN“ odpovídá na otázku o kontextu směrování a neříká vám nic o tom, kdo může číst bajty na cestě. Dva týmy mohou mít oba pravdu a přesto popisovat různé věci. Když přijde otázka bezpečnosti, ptejte se kde kryptografie končí a co autentizuje protějšky, ne zda tunel existuje.

Latence a QoS následují podklad

Logická hrana není kratší fyzická cesta. Vnější pakety stále procházejí stejnými spoji, frontami a poskytovateli a zapouzdření přidává režii na paket plus zpracování na obou koncích. Tunel může být rychlý proto, že podklad je dobrý, nikdy proto, že je to tunel.

Zacházení s kvalitou služby je horší, protože závisí na administrativních doménách, které nemusíte ovládat. Vnitřní značky se musí záměrně mapovat na vnější a každý poskytovatel na cestě musí nabízet zacházení, které očekáváte. Šifrování nevytváří prioritu; skrývá pole, které mohl mezilehlý prvek použít ke klasifikaci toku.

Změřte podklad, než něco slíbíte. Zpráva, která ukazuje stabilní zpoždění a žádné ztráty na vnější cestě, je důkaz; diagram s tunelem na sobě není.

Vyberte tunel pro síťový vztah, který potřebujete, a potom odděleně určete šifrování, přístupovou politiku, velikost paketů a výkon. Čtyři rozhodnutí, čtyři důkazy a žádný jediný štítek, který by zastupoval kterékoli z nich.