Mae twnnel yn prynu topoleg, nid amgryptio na hwyrder

Y dybiaeth yw bod twnnel yn wifren breifat a chyflym: rydych yn ei adeiladu, ac mae'r traffig y tu mewn wedi'i amgryptio, mae'r llwybr yn fyrrach ac mae'r cyswllt yn ymddwyn fel cebl rhwng dau safle. Mae pob rhan o'r dybiaeth honno yn briodwedd ar wahân, ac mae'r twnnel yn cyflwyno dim ond y peth cyntaf y gwnaethoch ei ofyn iddo, sef llwybr rhesymegol. Mae'n rhaid dewis a ffurfweddu popeth arall yn fwriadol. Cymysgu'r priodweddau yw sut mae dyluniad yn gorffen gyda chyswllt amgryptiedig na all neb ei ddatrys a phroblem hwyrder na all neb ei chadw.

Y myth: un twnnel, tair gwarant

Mae twnnel yn gwneud un peth yn ddibynadwy. Mae'n gwneud i ddau ben sy'n bell nad ydynt wedi'u cysylltu'n uniongyrchol ymddwyn fel pe baent yn gyfagos at ryw bwrpas, tra bod y rhwydwaith rhyngol yn cario'r pecynnau allanol. Newid topoleg yw hynny, ac mae'n wirioneddol ddefnyddiol ynddo'i hun.

Mae amgryptio, cludo protocolau ac ynysu anfon yn benderfyniadau ar wahân wedi'u haenu ar ei ben. Nid oes gan dwnnel GRE yr un o'r tri yn yr ystyr cryptograffig, ac mae twnnel IP-in-IP yn ddyluniad dilys heb unrhyw gyfrinachedd o gwbl. Nid yw'r un o'r rheini'n gamgymeriad; twneli ydynt yn gwneud yn union yr hyn y mae twneli yn ei wneud. Nid yw'r label ar y diagram yn dweud pa briodweddau sydd yn bresennol.

Unwaith y byddwch yn gwahanu'r priodweddau, daw'r cwestiynau'n atebadwy: a yw'r twnnel hwn yn cario cyfagosrwydd llwybro, yn cario ffrâmau, yn cuddio'r cyfeiriadau mewnol, yn addo unrhyw beth am oedi? Mae'r rheini'n bedwar ateb gwahanol gyda phedair canlyniad ffurfweddu gwahanol.

Beth mae'r twnnel yn ei ychwanegu at y map mewn gwirionedd

Mae'r penau yn cael llwybr nad oedd ganddynt o'r blaen. A yw'r llwybr hwnnw'n ymddwyn fel naid llwybredig neu fel segment Ethernet, mae hynny'n dibynnu'n gyfan gwbl ar y cludo, ac mae'r gwahaniaeth yn newid yr hyn y gall y ddau safle ei wneud ag ef. Mae twnnel llwybredig yn rhoi naid nesaf a rhagddodiad i chi; mae estyniad Ethernet yn rhoi ymddygiad darlledu a pharth methiant llawer mwy.

Nid yw twnnel IP yn gwneud y safle pell yn rhan o'r un isrwydwaith yn awtomatig, ac nid yw'n gwneud protocol llwybro yn rhedeg ar ei draws oni bai bod y gweithrediad yn cefnogi'r cyfagosrwydd hwnnw. Mae Multicast yn gwestiwn arall ar wahân gyda'i ateb ei hun.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Mae'r gorchmynion hynny'n ateb rhannau gwahanol o'r cwestiwn. Mae'r cyntaf yn dweud pa fath o ryngwyneb sy'n bodoli, mae'r ail yn dweud pa lwybr y byddai'r cnewyllyn yn ei ddewis, ac mae'r ddau olaf yn dangos ymddygiad gwirioneddol yr is-haen yn hytrach nag addewid y label.

Mae cludo'n benderfyniad ar wahân i gyrhaeddedd

Gall twnnel gludo protocol nad yw'r is-haen yn ei anfon ymlaen. IPv6 dros lwybr IPv4 yw'r achos clasurol, ac mae'n gweithio oherwydd bod y penau'n deall y ddau deulu tra mai dim ond angen cyflwyno'r pecynnau allanol sydd ar y llwybryddion rhyngddynt. Mae'r is-haen angen llwybr gweithredol i ben y twnnel a dim mwy.

Mae'r penau, fodd bynnag, angen cefnogaeth lawn: anfon ymlaen, cyfeiriadau, a rhaglen sy'n defnyddio'r teulu mewnol mewn gwirionedd. Nid yw neilltuo rhagddodiad IPv6 i dwnnel yn gwneud gwasanaeth sy'n gweithio gyda IPv4 yn unig yn hygyrch dros IPv6, ac nid yw'n gwneud yr is-haen yn dual-stack.

Mae cludo ffrâmau'n ymrwymiad mwy na chludo protocolau. Mae estyn parth darlledu ar draws twnnel yn symud ymddygiad coeden ymestyn, ARP a lledaeniad methiant gyda'i gilydd, sy'n benderfyniad dylunio yn hytrach na throshaen nodwedd.

Nid yw ynysu'n gyfrinachedd

Mae VPNau darparwr yn cadw llwybrau a thraffig cwsmeriaid mewn cyd-destunau anfon ar wahân, ac mae'r gwahanu hwnnw'n real ac yn werthfawr. Nid yw'n amgryptio. Mae manyleb BGP/MPLS VPN yn eglur bod ei chyfrinachedd yn dod o'r model anfon yn hytrach nag o'r cryptograffeg, sef yn union y gwahaniaeth sy'n cael ei golli mewn sleid sy'n dweud VPN yn unig.

Os oes angen cyfrinachedd arnoch, mae angen mecanwaith cryptograffig gyda dilysu a rheoli allweddi, ac mae angen i chi wybod ble mae'n dod i ben. Gall twnnel sy'n darparu gwahanu a thwnnel sy'n darparu amgryptio fod yr un twnnel, ond dim ond pan fydd rhywun wedi ffurfweddu'r ddau.

Y canlyniad ymarferol yw bod „mae yn VPN” yn ateb cwestiwn am gyd-destun llwybro ac nad yw'n dweud dim wrthych am pwy all ddarllen y beitiau ar y llwybr. Gall dau dîm fod yn gywir ill dau ac yn dal i ddisgrifio pethau gwahanol. Pan ddaw'r cwestiwn diogelwch i'r amlwg, gofynnwch ble mae'r cryptograffeg yn dod i ben a beth sy'n dilysu'r cyfoedion, nid a oes twnnel yn bodoli.

Mae hwyrder a QoS yn dilyn yr is-haen

Nid yw ymyl rhesymegol yn llwybr corfforol byrrach. Mae'r pecynnau allanol yn dal i groesi'r un cysylltiadau, ciwiau a darparwyr, ac mae cludo yn ychwanegu gorbenion fesul pecyn ynghyd â phrosesu ar y ddau ben. Gall twnnel fod yn gyflym am fod yr is-haen yn dda, byth am mai twnnel yw.

Mae trin ansawdd gwasanaeth yn waeth na hynny, oherwydd ei fod yn dibynnu ar barthau gweinyddol na allwch eu rheoli o bosibl. Mae'n rhaid mapio marciau mewnol i farciau allanol yn fwriadol, ac mae'n rhaid i bob darparwr ar y llwybr gynnig y triniaeth yr ydych yn ei disgwyl. Nid yw amgryptio'n creu blaenoriaeth; mae'n cuddio'r maes y gallai blwch canol fod wedi'i ddefnyddio i ddosbarthu'r llif.

Mesurwch yr is-haen cyn addo unrhyw beth. Mae adroddiad sy'n dangos oedi sefydlog a dim colled ar y llwybr allanol yn dystiolaeth; nid yw diagram gyda thwnnel arno yn dystiolaeth.

Dewiswch y twnnel ar gyfer y berthynas rwydwaith sydd ei hangen arnoch, yna nodwch amgryptio, polisi mynediad, maint pecyn a pherfformiad ar wahân. Pedwar penderfyniad, pedwar darn o dystiolaeth, ac nid oes un label yn sefyll dros unrhyw un ohonynt.