Ein Tunnel kauft Topologie, nicht Verschlüsselung oder Latenz

Die Annahme ist, dass ein Tunnel eine private, schnelle Leitung ist: Man baut einen, der Verkehr darin ist verschlüsselt, der Pfad ist kürzer, und die Verbindung verhält sich wie ein Kabel zwischen zwei Standorten. Jeder Teil dieser Annahme ist eine eigene Eigenschaft, und der Tunnel liefert nur das Erste, worum man ihn gebeten hat, nämlich einen logischen Pfad. Alles andere muss bewusst gewählt und konfiguriert werden. Die Eigenschaften zu verwechseln führt dazu, dass ein Entwurf mit einer verschlüsselten Verbindung endet, die niemand diagnostizieren kann, und mit einem Latenzversprechen, das niemand halten kann.

Der Mythos: ein Tunnel, drei Garantien

Ein Tunnel macht eine Sache zuverlässig. Er bringt zwei Endpunkte, die nicht direkt verbunden sind, dazu, sich für einen bestimmten Zweck wie benachbart zu verhalten, während das dazwischenliegende Netz die äußeren Pakete befördert. Das ist eine Topologieänderung, und sie ist für sich genommen wirklich nützlich.

Verschlüsselung, Protokolltransport und Weiterleitungsisolierung sind getrennte Entscheidungen, die darauf aufbauen. Ein GRE-Tunnel hat im kryptografischen Sinne keines der drei, und ein IP-in-IP-Tunnel ist ein gültiger Entwurf ganz ohne Vertraulichkeit. Keines davon ist ein Fehler; es sind Tunnel, die genau das tun, was Tunnel tun. Das Etikett im Diagramm verrät nicht, welche Eigenschaften vorhanden sind.

Sobald man die Eigenschaften trennt, werden die Fragen beantwortbar: Trägt dieser Tunnel eine Routing-Nachbarschaft, trägt er Frames, verbirgt er die inneren Adressen, verspricht er etwas über Verzögerung? Das sind vier verschiedene Antworten mit vier verschiedenen Konfigurationsfolgen.

Was der Tunnel der Karte tatsächlich hinzufügt

Die Endpunkte erhalten einen Pfad, den sie vorher nicht hatten. Ob sich dieser Pfad wie ein gerouteter Hop oder wie ein Ethernet-Segment verhält, hängt vollständig von der Kapselung ab, und der Unterschied verändert, was die beiden Standorte damit tun können. Ein gerouteter Tunnel gibt Ihnen einen nächsten Hop und ein Präfix; eine Ethernet-Erweiterung gibt Ihnen Broadcast-Verhalten und eine viel größere Fehlerdomäne.

Ein IP-Tunnel macht den entfernten Standort nicht automatisch zu einem Teil desselben Subnetzes und bringt kein Routing-Protokoll darüber zum Laufen, es sei denn, die Implementierung unterstützt diese Nachbarschaft. Multicast ist eine weitere separate Frage mit eigener Antwort.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Diese Befehle beantworten verschiedene Teile der Frage. Der erste sagt, welche Art von Schnittstelle existiert, der zweite sagt, welchen Pfad der Kernel wählen würde, und die letzten beiden zeigen das tatsächliche Verhalten des Underlays statt des Versprechens des Etiketts.

Transport ist eine getrennte Entscheidung von Erreichbarkeit

Ein Tunnel kann ein Protokoll tragen, das das Underlay nicht weiterleitet. IPv6 über einen IPv4-Pfad ist der klassische Fall, und es funktioniert, weil die Endpunkte beide Familien verstehen, während die Router dazwischen nur die äußeren Pakete zustellen müssen. Das Underlay braucht einen funktionierenden Pfad zum Tunnelendpunkt und nichts weiter.

Die Endpunkte brauchen jedoch volle Unterstützung: Weiterleitung, Adressen und eine Anwendung, die die innere Familie tatsächlich nutzt. Einem Tunnel ein IPv6-Präfix zuzuweisen macht einen Dienst, der nur IPv4 spricht, nicht über IPv6 erreichbar, und es macht das Underlay nicht zu Dual-Stack.

Frametransport ist eine größere Verpflichtung als Protokolltransport. Eine Broadcast-Domäne über einen Tunnel auszudehnen verschiebt Spanning-Tree-Verhalten, ARP und Fehlerausbreitung mit, was eine Designentscheidung und kein Funktionsschalter ist.

Isolierung ist keine Vertraulichkeit

Anbieter-VPNs halten Kundenrouten und -verkehr in getrennten Weiterleitungskontexten, und diese Trennung ist real und wertvoll. Sie ist keine Verschlüsselung. Die BGP/MPLS-VPN-Spezifikation sagt ausdrücklich, dass ihre Privatheit aus dem Weiterleitungsmodell und nicht aus der Kryptografie kommt, und genau diese Unterscheidung geht in einer Folie verloren, die nur VPN sagt.

Wenn Sie Vertraulichkeit brauchen, brauchen Sie einen kryptografischen Mechanismus mit Authentifizierung und Schlüsselverwaltung, und Sie müssen wissen, wo er endet. Ein Tunnel, der Trennung bietet, und ein Tunnel, der Verschlüsselung bietet, können derselbe Tunnel sein, aber nur, wenn jemand beides konfiguriert hat.

Die praktische Folge ist, dass „es ist in einem VPN“ eine Frage zum Routing-Kontext beantwortet und Ihnen nichts darüber sagt, wer die Bytes auf dem Pfad lesen kann. Zwei Teams können beide recht haben und trotzdem verschiedene Dinge beschreiben. Wenn die Sicherheitsfrage aufkommt, fragen Sie wo die Kryptografie endet und was die Peers authentifiziert, nicht ob ein Tunnel existiert.

Latenz und QoS folgen dem Underlay

Eine logische Kante ist kein kürzerer physischer Pfad. Die äußeren Pakete durchlaufen weiterhin dieselben Links, Warteschlangen und Anbieter, und die Kapselung fügt Overhead pro Paket plus Verarbeitung an beiden Enden hinzu. Ein Tunnel kann schnell sein, weil das Underlay gut ist, niemals, weil er ein Tunnel ist.

Die Behandlung von Dienstqualität ist schlimmer, weil sie von administrativen Domänen abhängt, die Sie möglicherweise nicht kontrollieren. Innere Markierungen müssen bewusst auf äußere abgebildet werden, und jeder Anbieter auf dem Pfad muss die Behandlung anbieten, die Sie erwarten. Verschlüsselung erzeugt keine Priorität; sie verbirgt das Feld, das eine Middlebox zur Klassifizierung des Flusses hätte nutzen können.

Messen Sie das Underlay, bevor Sie etwas versprechen. Ein Bericht, der stabile Verzögerung und keinen Verlust auf dem äußeren Pfad zeigt, ist ein Beleg; ein Diagramm mit einem Tunnel darauf ist keiner.

Wählen Sie den Tunnel für die Netzwerkbeziehung, die Sie brauchen, und legen Sie dann Verschlüsselung, Zugriffsrichtlinie, Paketgröße und Leistung getrennt fest. Vier Entscheidungen, vier Belege, und kein einzelnes Etikett, das für irgendeine davon einsteht.