Μια σήραγγα αγοράζει τοπολογία, όχι κρυπτογράφηση ή καθυστέρηση

Η υπόθεση είναι ότι μια σήραγγα είναι ένα ιδιωτικό, γρήγορο καλώδιο: τη φτιάχνετε και η κίνηση μέσα είναι κρυπτογραφημένη, η διαδρομή είναι συντομότερη και ο σύνδεσμος συμπεριφέρεται σαν καλώδιο ανάμεσα σε δύο τοποθεσίες. Κάθε μέρος αυτής της υπόθεσης είναι ξεχωριστή ιδιότητα, και η σήραγγα παρέχει μόνο το πρώτο πράγμα που της ζητήσατε, δηλαδή μια λογική διαδρομή. Όλα τα άλλα πρέπει να επιλεγούν και να ρυθμιστούν σκόπιμα. Η σύγχυση των ιδιοτήτων είναι ο τρόπος με τον οποίο ένας σχεδιασμός καταλήγει με έναν κρυπτογραφημένο σύνδεσμο που κανείς δεν μπορεί να αντιμετωπίσει και με μια υπόσχεση καθυστέρησης που κανείς δεν μπορεί να τηρήσει.

Ο μύθος: μία σήραγγα, τρεις εγγυήσεις

Μια σήραγγα κάνει ένα πράγμα αξιόπιστα. Κάνει δύο άκρα που δεν συνδέονται άμεσα να συμπεριφέρονται σαν γειτονικά για κάποιο σκοπό, ενώ το ενδιάμεσο δίκτυο μεταφέρει τα εξωτερικά πακέτα. Αυτή είναι μια αλλαγή τοπολογίας, και είναι πραγματικά χρήσιμη από μόνη της.

Η κρυπτογράφηση, η μεταφορά πρωτοκόλλων και η απομόνωση προώθησης είναι ξεχωριστές αποφάσεις που προστίθενται από πάνω. Μια σήραγγα GRE δεν έχει καμία από τις τρεις με κρυπτογραφική έννοια, και μια σήραγγα IP-in-IP είναι ένα έγκυρο σχέδιο χωρίς καθόλου εμπιστευτικότητα. Κανένα από τα δύο δεν είναι λάθος· είναι σήραγγες που κάνουν ακριβώς αυτό που κάνουν οι σήραγγες. Η ετικέτα στο διάγραμμα δεν σας λέει ποιες ιδιότητες υπάρχουν.

Μόλις διαχωρίσετε τις ιδιότητες, οι ερωτήσεις γίνονται απαντήσιμες: μεταφέρει αυτή η σήραγγα γειτονία δρομολόγησης, μεταφέρει πλαίσια, κρύβει τις εσωτερικές διευθύνσεις, υπόσχεται τίποτα για την καθυστέρηση; Αυτές είναι τέσσερις διαφορετικές απαντήσεις με τέσσερις διαφορετικές συνέπειες ρύθμισης.

Τι προσθέτει στην πραγματικότητα η σήραγγα στον χάρτη

Τα άκρα αποκτούν μια διαδρομή που δεν είχαν πριν. Το αν αυτή η διαδρομή συμπεριφέρεται σαν δρομολογημένο άλμα ή σαν τμήμα Ethernet εξαρτάται εξ ολοκλήρου από την ενσωμάτωση, και η διαφορά αλλάζει το τι μπορούν να κάνουν οι δύο τοποθεσίες με αυτήν. Μια δρομολογημένη σήραγγα σας δίνει ένα επόμενο άλμα και ένα πρόθεμα· μια επέκταση Ethernet σας δίνει συμπεριφορά εκπομπής και ένα πολύ μεγαλύτερο πεδίο αστοχίας.

Μια σήραγγα IP δεν κάνει αυτόματα την απομακρυσμένη τοποθεσία μέρος του ίδιου υποδικτύου, και δεν κάνει ένα πρωτόκολλο δρομολόγησης να εκτελείται πάνω της εκτός αν η υλοποίηση υποστηρίζει αυτή τη γειτονία. Το Multicast είναι ένα άλλο ξεχωριστό ερώτημα με τη δική του απάντηση.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Αυτές οι εντολές απαντούν σε διαφορετικά μέρη της ερώτησης. Η πρώτη λέει τι είδους διεπαφή υπάρχει, η δεύτερη λέει ποια διαδρομή θα διάλεγε ο πυρήνας, και οι δύο τελευταίες δείχνουν την πραγματική συμπεριφορά του υποστρώματος και όχι την υπόσχεση της ετικέτας.

Η μεταφορά είναι ξεχωριστή απόφαση από την προσβασιμότητα

Μια σήραγγα μπορεί να μεταφέρει ένα πρωτόκολλο που το υπόστρωμα δεν προωθεί. Το IPv6 πάνω από διαδρομή IPv4 είναι η κλασική περίπτωση, και λειτουργεί επειδή τα άκρα καταλαβαίνουν και τις δύο οικογένειες, ενώ οι δρομολογητές ανάμεσά τους χρειάζεται μόνο να παραδώσουν τα εξωτερικά πακέτα. Το υπόστρωμα χρειάζεται μια λειτουργική διαδρομή προς το άκρο της σήραγγας και τίποτα περισσότερο.

Τα άκρα, ωστόσο, χρειάζονται πλήρη υποστήριξη: προώθηση, διευθύνσεις και μια εφαρμογή που χρησιμοποιεί πραγματικά την εσωτερική οικογένεια. Η εκχώρηση ενός προθέματος IPv6 σε μια σήραγγα δεν κάνει μια υπηρεσία που λειτουργεί μόνο με IPv4 προσβάσιμη μέσω IPv6, και δεν κάνει το υπόστρωμα dual-stack.

Η μεταφορά πλαισίων είναι μεγαλύτερη δέσμευση από τη μεταφορά πρωτοκόλλων. Η επέκταση ενός τομέα εκπομπής μέσω σήραγγας μετακινεί μαζί της τη συμπεριφορά spanning tree, το ARP και τη διάδοση αστοχιών, που είναι απόφαση σχεδιασμού και όχι διακόπτης λειτουργίας.

Η απομόνωση δεν είναι εμπιστευτικότητα

Οι VPN παρόχων κρατούν τις διαδρομές και την κίνηση των πελατών σε ξεχωριστά πλαίσια προώθησης, και αυτός ο διαχωρισμός είναι πραγματικός και πολύτιμος. Δεν είναι κρυπτογράφηση. Η προδιαγραφή BGP/MPLS VPN λέει ρητά ότι η ιδιωτικότητά της προέρχεται από το μοντέλο προώθησης και όχι από την κρυπτογραφία, και αυτή ακριβώς είναι η διάκριση που χάνεται σε μια διαφάνεια που λέει απλώς VPN.

Αν χρειάζεστε εμπιστευτικότητα, χρειάζεστε έναν κρυπτογραφικό μηχανισμό με πιστοποίηση και διαχείριση κλειδιών, και πρέπει να ξέρετε πού τελειώνει. Μια σήραγγα που παρέχει διαχωρισμό και μια σήραγγα που παρέχει κρυπτογράφηση μπορεί να είναι η ίδια σήραγγα, αλλά μόνο όταν κάποιος έχει ρυθμίσει και τα δύο.

Η πρακτική συνέπεια είναι ότι το «είναι σε VPN» απαντά σε ένα ερώτημα για το πλαίσιο δρομολόγησης και δεν σας λέει τίποτα για το ποιος μπορεί να διαβάσει τα byte στη διαδρομή. Δύο ομάδες μπορούν να έχουν και οι δύο δίκιο και παρ' όλα αυτά να περιγράφουν διαφορετικά πράγματα. Όταν προκύπτει το ερώτημα ασφαλείας, ρωτήστε πού τελειώνει η κρυπτογραφία και τι πιστοποιεί τους ομότιμους, όχι αν υπάρχει σήραγγα.

Η καθυστέρηση και το QoS ακολουθούν το υπόστρωμα

Ένα λογικό άκρο δεν είναι συντομότερη φυσική διαδρομή. Τα εξωτερικά πακέτα εξακολουθούν να διασχίζουν τους ίδιους συνδέσμους, ουρές και παρόχους, και η ενσωμάτωση προσθέτει επιβάρυνση ανά πακέτο συν επεξεργασία στα δύο άκρα. Μια σήραγγα μπορεί να είναι γρήγορη επειδή το υπόστρωμα είναι καλό, ποτέ επειδή είναι σήραγγα.

Η μεταχείριση ποιότητας υπηρεσίας είναι χειρότερη από αυτό, επειδή εξαρτάται από διοικητικούς τομείς που μπορεί να μην ελέγχετε. Οι εσωτερικές σημάνσεις πρέπει να αντιστοιχιστούν σκόπιμα στις εξωτερικές, και κάθε πάροχος στη διαδρομή πρέπει να προσφέρει τη μεταχείριση που περιμένετε. Η κρυπτογράφηση δεν δημιουργεί προτεραιότητα· κρύβει το πεδίο που μια ενδιάμεση συσκευή μπορεί να είχε χρησιμοποιήσει για να ταξινομήσει τη ροή.

Μετρήστε το υπόστρωμα πριν υποσχεθείτε οτιδήποτε. Μια αναφορά που δείχνει σταθερή καθυστέρηση και καμία απώλεια στην εξωτερική διαδρομή είναι απόδειξη· ένα διάγραμμα με σήραγγα πάνω του δεν είναι.

Επιλέξτε τη σήραγγα για τη δικτυακή σχέση που χρειάζεστε, και μετά καθορίστε ξεχωριστά την κρυπτογράφηση, την πολιτική πρόσβασης, το μέγεθος πακέτου και την απόδοση. Τέσσερις αποφάσεις, τέσσερα στοιχεία απόδειξης, και καμία μεμονωμένη ετικέτα που να αντικαθιστά οποιαδήποτε από αυτές.