Tunelo aĉetas topologion, ne ĉifradon aŭ latenton

La supozo estas, ke tunelo estas privata, rapida drato: vi konstruas ĝin, kaj la trafiko interne estas ĉifrita, la vojo estas pli mallonga kaj la ligo kondutas kiel kablo inter du ejoj. Ĉiu parto de tiu supozo estas aparta eco, kaj la tunelo liveras nur la unuan aferon, kiun vi petis de ĝi, nome logikan vojon. Ĉio alia devas esti elektita kaj agordita intence. Konfuzi la ecojn estas kiel dizajno finiĝas kun ĉifrita ligo, kiun neniu povas diagnozi, kaj kun promeso pri latento, kiun neniu povas plenumi.

La mito: unu tunelo, tri garantioj

Tunelo faras unu aferon fidinde. Ĝi igas du finpunktojn, kiuj ne estas rekte konektitaj, konduti kvazaŭ ili estus najbaraj por iu celo, dum la intera reto portas la eksterajn pakaĵojn. Tio estas ŝanĝo de topologio, kaj ĝi estas vere utila per si mem.

Ĉifrado, protokola transportado kaj plusenda izolado estas apartaj decidoj metitaj supre. GRE-tunelo havas neniun el la tri en la kriptografia senco, kaj IP-in-IP-tunelo estas valida dizajno tute sen konfideco. Neniu el tiuj estas eraro; ili estas tuneloj farantaj ĝuste tion, kion tuneloj faras. La etikedo sur la diagramo ne diras, kiuj ecoj ĉeestas.

Post kiam vi apartigas la ecojn, la demandoj fariĝas respondeblaj: ĉu ĉi tiu tunelo portas vojigan najbarecon, ĉu ĝi portas kadrojn, ĉu ĝi kaŝas la internajn adresojn, ĉu ĝi promesas ion pri prokrasto? Tiuj estas kvar malsamaj respondoj kun kvar malsamaj agordaj sekvoj.

Kion la tunelo efektive aldonas al la mapo

La finpunktoj ricevas vojon, kiun ili antaŭe ne havis. Ĉu tiu vojo kondutas kiel vojigita salto aŭ kiel Ethernet-segmento, tute dependas de la enkapsuligo, kaj la diferenco ŝanĝas, kion la du ejoj povas fari kun ĝi. Vojigita tunelo donas al vi sekvan salton kaj prefikson; Ethernet-etendo donas al vi dissendan konduton kaj multe pli grandan fiaskan kampon.

IP-tunelo ne aŭtomate igas la malproksiman ejon parto de la sama subreto, kaj ĝi ne igas vojigan protokolon funkcii tra ĝi, se la efektivigo ne subtenas tiun najbarecon. Multicast estas alia aparta demando kun sia propra respondo.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Tiuj komandoj respondas al malsamaj partoj de la demando. La unua diras, kia speco de interfaco ekzistas, la dua diras, kiun vojon la kerno elektus, kaj la lastaj du montras la faktan konduton de la suba tavolo anstataŭ la promeson de la etikedo.

Transportado estas aparta decido de atingeblo

Tunelo povas porti protokolon, kiun la suba tavolo ne plusendas. IPv6 super IPv4-vojo estas la klasika kazo, kaj ĝi funkcias ĉar la finpunktoj komprenas ambaŭ familiojn, dum la enkursigiloj inter ili nur bezonas liveri la eksterajn pakaĵojn. La suba tavolo bezonas funkcian vojon al la tunela finpunkto kaj nenion pli.

La finpunktoj tamen bezonas plenan subtenon: plusendadon, adresojn kaj aplikaĵon, kiu efektive uzas la internan familion. Asigni IPv6-prefikson al tunelo ne igas servon funkciantan nur per IPv4 atingebla per IPv6, kaj ĝi ne faras la suban tavolon dual-stack.

Kadra transportado estas pli granda devigo ol protokola transportado. Etendi dissendan kampon tra tunelo movas kun ĝi la konduton de etendanta arbo, ARP kaj fiaskan disvastiĝon, kio estas dizajna decido anstataŭ funkcia ŝaltilo.

Izolado ne estas konfideco

Provizantaj VPN-oj tenas klientajn vojojn kaj trafikon en apartaj plusendaj kuntekstoj, kaj tiu apartigo estas reala kaj valora. Ĝi ne estas ĉifrado. La specifiko BGP/MPLS VPN eksplicite diras, ke ĝia privateco venas de la plusenda modelo anstataŭ de kriptografio, kaj ĝuste tiu distingo perdiĝas en lumbildaĵo, kiu nur diras VPN.

Se vi bezonas konfidecon, vi bezonas kriptografian mekanismon kun aŭtentikigo kaj ŝlosila administrado, kaj vi devas scii, kie ĝi finiĝas. Tunelo, kiu provizas apartigon, kaj tunelo, kiu provizas ĉifradon, povas esti la sama tunelo, sed nur kiam iu agordis ambaŭ.

La praktika sekvo estas, ke „ĝi estas en VPN“ respondas demandon pri vojiga kunteksto kaj diras al vi nenion pri tio, kiu povas legi la bajtojn sur la vojo. Du teamoj povas ambaŭ pravi kaj tamen priskribi malsamajn aferojn. Kiam aperas la sekureca demando, demandu kie la kriptografio finiĝas kaj kio aŭtentikigas la kunulojn, ne ĉu tunelo ekzistas.

Latento kaj QoS sekvas la suban tavolon

Logika rando ne estas pli mallonga fizika vojo. La eksteraj pakaĵoj ankoraŭ trapasas la samajn ligojn, vicojn kaj provizantojn, kaj enkapsuligo aldonas superkoston por pakaĵo plus prilaboradon ĉe ambaŭ finoj. Tunelo povas esti rapida ĉar la suba tavolo estas bona, neniam ĉar ĝi estas tunelo.

Traktado de servo-kvalito estas pli malbona ol tio, ĉar ĝi dependas de administraj domajnoj, kiujn vi eble ne regas. Internaj markoj devas esti intence mapitaj al eksteraj markoj, kaj ĉiu provizanto sur la vojo devas oferti la traktadon, kiun vi atendas. Ĉifrado ne kreas prioritaton; ĝi kaŝas la kampon, kiun meza aparato eble uzis por klasifiki la fluon.

Mezuru la suban tavolon antaŭ ol promesi ion ajn. Raporto, kiu montras stabilan prokraston kaj neniun perdon sur la ekstera vojo, estas pruvo; diagramo kun tunelo sur ĝi ne estas.

Elektu la tunelon por la reta rilato, kiun vi bezonas, poste aparte specifu ĉifradon, alirpolitikon, pakaĵan grandecon kaj rendimenton. Kvar decidoj, kvar pruvoj, kaj neniu ununura etikedo staranta anstataŭ iu ajn el ili.