Tunnel ostab topoloogia, mitte krüpteerimise ega latentsuse

Eeldus on, et tunnel on privaatne ja kiire juhe: te ehitate selle ja seesmine liiklus on krüpteeritud, tee on lühem ning ühendus käitub nagu kaabel kahe asukoha vahel. Selle eelduse iga osa on eraldi omadus ja tunnel annab ainult esimese asja, mida te sellelt palusite, nimelt loogilise tee. Kõik muu tuleb teadlikult valida ja seadistada. Omaduste segamine on viis, kuidas projekteerimine jõuab lõpuks krüpteeritud ühenduseni, mida keegi ei suuda tõrkeotsida, ja latentsuslubaduseni, mida keegi ei suuda täita.

Müüt: üks tunnel, kolm garantiid

Tunnel teeb ühte asja usaldusväärselt. See paneb kaks otspunkti, mis ei ole otseselt ühendatud, käituma mingil eesmärgil nii, nagu oleksid nad kõrvuti, samal ajal kui vahepealne võrk kannab väliseid pakette. See on topoloogia muutus ja see on iseenesest tõeliselt kasulik.

Krüpteerimine, protokolli kandmine ja edastuse isoleerimine on eraldiseisvad otsused, mis selle peale kihistuvad. GRE-tunnelil ei ole krüptograafilises mõttes ühtegi neist kolmest ja IP-in-IP-tunnel on kehtiv kujundus täiesti ilma konfidentsiaalsuseta. Kumbki neist ei ole viga; need on tunnelid, mis teevad täpselt seda, mida tunnelid teevad. Diagrammi silt ei ütle, millised omadused on olemas.

Kui omadused on eraldatud, muutuvad küsimused vastatavaks: kas see tunnel kannab marsruutimise naabrussuhet, kas kannab kaadreid, kas peidab sisemised aadressid, kas lubab midagi viivituse kohta? Need on neli erinevat vastust ja neli erinevat seadistuslikku tagajärge.

Mida tunnel tegelikult kaardile lisab

Otspunktid saavad tee, mida neil varem ei olnud. Kas see tee käitub marsruuditud hüppeni või Etherneti segmendina, sõltub täielikult kapseldamisest ja erinevus muudab seda, mida kaks asukohta sellega teha saavad. Marsruuditud tunnel annab teile järgmise hüppe ja prefiksi; Etherneti laiendus annab teile ülekande käitumise ja palju suurema tõrkepiirkonna.

IP-tunnel ei tee kaugasukohast automaatselt sama alavõrgu osa ega pane marsruutimisprotokolli selle kaudu tööle, kui rakendus seda naabrussuhet ei toeta. Multicast on veel üks eraldi küsimus oma vastusega.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Need käsud vastavad küsimuse erinevatele osadele. Esimene ütleb, millist tüüpi liides on olemas, teine ütleb, millise tee tuum valiks, ja kaks viimast näitavad aluskihi tegelikku käitumist, mitte sildi lubadust.

Kandmine on kättesaadavusest eraldi otsus

Tunnel võib kanda protokolli, mida aluskiht edasi ei saada. IPv6 IPv4 tee kohal on klassikaline juhtum ja see töötab, sest otspunktid mõistavad mõlemat perekonda, samal ajal kui nende vahelised ruuterid peavad ainult väliseid pakette kohale toimetama. Aluskihile on vaja töötavat teed tunneli otspunktini ja mitte midagi enamat.

Otspunktid vajavad aga täielikku tuge: edastust, aadresse ja rakendust, mis sisemist perekonda tegelikult kasutab. IPv6-prefiksi määramine tunnelile ei tee ainult IPv4-ga töötavat teenust IPv6 kaudu kättesaadavaks ega tee aluskihti dual-stack.

Kaadrite kandmine on suurem kohustus kui protokollide kandmine. Ülekande domeeni laiendamine üle tunneli liigutab sellega kaasas spanning-tree käitumist, ARP-d ja tõrke levikut, mis on projekteerimisotsus, mitte funktsioonilüliti.

Isoleerimine ei ole konfidentsiaalsus

Teenusepakkuja VPN-id hoiavad kliendi marsruute ja liiklust eraldi edastuskontekstides ning see eraldatus on tõeline ja väärtuslik. See ei ole krüpteerimine. BGP/MPLS VPN spetsifikatsioon ütleb selgesõnaliselt, et selle privaatsus tuleb edastusmudelist, mitte krüptograafiast, ja täpselt see erinevus kaob slaidil, mis ütleb lihtsalt VPN.

Kui vajate konfidentsiaalsust, vajate krüptograafilist mehhanismi autentimise ja võtmehaldusega ning peate teadma, kus see lõpeb. Eraldatust pakkuv tunnel ja krüpteerimist pakkuv tunnel võivad olla sama tunnel, kuid ainult siis, kui keegi on seadistanud mõlemad.

Praktiline tagajärg on see, et „see on VPN-is“ vastab küsimusele marsruutimiskonteksti kohta ega ütle teile midagi selle kohta, kes saab teel olevaid baite lugeda. Kaks meeskonda võivad mõlemad olla õiged ja kirjeldada siiski erinevaid asju. Kui turvaküsimus tekib, küsige kus krüptograafia lõpeb ja mis autendib partnerid, mitte kas tunnel on olemas.

Latentsus ja QoS järgivad aluskihti

Loogiline serv ei ole lühem füüsiline tee. Välised paketid läbivad endiselt samu linke, järjekordi ja teenusepakkujaid ning kapseldamine lisab paketi kohta üldkulu ja töötlemise mõlemas otsas. Tunnel võib olla kiire, sest aluskiht on hea, mitte kunagi sellepärast, et see on tunnel.

Teenuse kvaliteedi käsitlemine on veel hullem, sest see sõltub haldusdomeenidest, mida te ei pruugi kontrollida. Sisemised märgised tuleb teadlikult väljastele vastendada ja iga teenusepakkuja teel peab pakkuma ootuspärast käsitlemist. Krüpteerimine ei loo prioriteeti; see peidab välja, mida vahendav seade võis kasutada voo klassifitseerimiseks.

Mõõtke aluskihti enne, kui midagi lubate. Aruanne, mis näitab stabiilset viivitust ja kadude puudumist välisel teel, on tõend; diagramm tunneliga selle peal ei ole.

Valige tunnel vajaliku võrgusuhte jaoks ja seejärel määrake eraldi krüpteerimine, juurdepääsupoliitika, paketi suurus ja jõudlus. Neli otsust, neli tõendit ja mitte ükski silt, mis seisab ühegi nende eest.