Tunel batek topologia erosten du, ez enkriptatzea edo latentzia

Suposizioa da tunel bat kable pribatu eta azkarra dela: eraikitzen duzu, eta barruko trafikoa zifratuta dago, bidea laburragoa da eta lotura bi guneen arteko kable baten moduan portatzen da. Suposizio horren zati bakoitza propietate bereizi bat da, eta tunelak eskatu zenion lehen gauza baino ez du ematen, hau da, bide logiko bat. Gainerako guztia nahita aukeratu eta konfiguratu behar da. Propietateak nahastea da diseinu bat inork diagnostikatu ezin duen lotura zifratu batekin eta inork bete ezin duen latentzia-promesa batekin amaitzeko modua.

Mitoa: tunel bat, hiru berme

Tunelak gauza bat egiten du modu fidagarrian. Zuzenean konektatuta ez dauden bi mutur helburu baterako alboko balira bezala portarazten ditu, bitarteko sareak kanpoko paketeak garraiatzen dituen bitartean. Hori topologiaren aldaketa bat da, eta berez benetan erabilgarria da.

Zifratzea, protokoloen garraioa eta birbidaltzearen isolamendua gainean jarritako erabaki bereiziak dira. GRE tunel batek ez du hiruretako bat ere zentzu kriptografikoan, eta IP-in-IP tunel bat baliozko diseinua da konfidentzialtasunik gabe. Biak ez dira akats bat; tunelak dira tunelak egiten duen zehazki egiten dutenak. Diagramako etiketak ez du esaten zein propietate dauden.

Propietateak bereizten dituzunean, galderak erantzugarri bihurtzen dira: tunel honek bideratze-adjazentzia eramaten du, markoak eramaten ditu, barne-helbideak ezkutatzen ditu, atzerapenari buruz zerbait agintzen du? Lau erantzun desberdin dira, lau konfigurazio-ondorio desberdinekin.

Zer gehitzen dio tunelak mapari benetan

Muturrek aurretik ez zuten bide bat lortzen dute. Bide hori jauzi bideratu gisa edo Ethernet segmentu gisa portatzen den erabat enkapsulazioaren araberakoa da, eta ezberdintasunak aldatzen du bi guneek harekin zer egin dezaketen. Tunel bideratuak hurrengo jauzia eta prefijo bat ematen dizkizu; Ethernet luzapenak difusio-jokabidea eta askoz ere hutsegite-dominio handiagoa ematen dizkizu.

IP tunel batek ez du urruneko gunea automatikoki azpisare bereko zati bihurtzen, eta ez du bideratze-protokolorik hortik ibiltzen uzten, inplementazioak adjazentzia hori onartzen ez badu. Multicast beste galdera bereizi bat da, bere erantzunarekin.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Komando horiek galderaren zati desberdinei erantzuten diete. Lehenengoak zein interfaze mota dagoen esaten du, bigarrenak kernelak zein bide aukeratuko lukeen esaten du, eta azken biak azpiko geruzaren benetako jokabidea erakusten dute, etiketaren promesa ordez.

Garraioa irisgarritasunetik bereizitako erabakia da

Tunel batek azpiko geruzak birbidaltzen ez duen protokolo bat garraia dezake. IPv6 IPv4 bide baten gainean kasu klasikoa da, eta funtzionatzen du muturrek bi familiak ulertzen dituztelako, bitartean haien arteko bideratzaileek kanpoko paketeak entregatu besterik ez dutelako egin behar. Azpiko geruzak tunelaren muturrerainoko bide erabilgarri bat behar du, eta ez gehiago.

Muturrek, ordea, sostengu osoa behar dute: birbidaltzea, helbideak eta barne-familia benetan erabiltzen duen aplikazio bat. Tunel bati IPv6 prefijo bat esleitzeak ez du IPv4 soilik darabilen zerbitzua IPv6 bidez irisgarri egiten, eta ez du azpiko geruza pilaketa bikoitza egiten.

Markoen garraioa protokoloen garraioa baino konpromiso handiagoa da. Difusio-domeinu bat tunel baten bidez hedatzeak spanning tree jokabidea, ARP eta hutsegiteen hedapena eramaten ditu berarekin, eta hori diseinu-erabakia da, ez funtzio-etengailua.

Isolamendua ez da konfidentzialtasuna

Hornitzaileen VPNek bezeroen bideak eta trafikoa birbidaltze-testuinguru bereizietan gordetzen dituzte, eta bereizketa hori erreala eta baliotsua da. Ez da zifratzea. BGP/MPLS VPN zehaztapenak argi dio bere pribatutasuna birbidaltze-eredutik datorrela, kriptografiatik ez, eta horixe da VPN soilik esaten duen diapositiba batean galtzen den bereizketa.

Konfidentzialtasuna behar baduzu, autentifikazioa eta gako-kudeaketa dituen mekanismo kriptografiko bat behar duzu, eta jakin behar duzu non amaitzen den. Bereizketa ematen duen tunel bat eta zifratzea ematen duen tunel bat tunel bera izan daitezke, baina norbait biak konfiguratu dituenean soilik.

Ondorio praktikoa da „VPN batean dago“ bideratze-testuinguruari buruzko galdera bat erantzuten duela eta ez dizula ezer esaten bideko byteak nor irakur dezakeen. Bi talde zuzen egon daitezke eta, hala ere, gauza desberdinak deskriba ditzakete. Segurtasun-galdera sortzen denean, galdetu non amaitzen den kriptografia eta zer autentifikatzen dituen parekideak, ez tunel bat dagoen ala ez.

Latentziak eta QoSek azpiko geruza jarraitzen dute

Ertz logiko bat ez da bide fisiko laburragoa. Kanpoko paketeek esteka, ilara eta hornitzaile berberak zeharkatzen jarraitzen dute, eta enkapsulazioak pakete bakoitzeko gainkarga gehitzen du, baita bi muturretan prozesamendua ere. Tunel bat azkarra izan daiteke azpiko geruza ona delako, inoiz ez tunel bat delako.

Zerbitzu-kalitatearen tratamendua hori baino okerragoa da, kontrolatzen ez duzun administrazio-domeinuen araberakoa delako. Barne-markak kanpoko markatara nahita mapatu behar dira, eta bideko hornitzaile bakoitzak espero duzun tratamendua eskaini behar du. Zifratzeak ez du lehentasunik sortzen; kutxa intermedial batek fluxua sailkatzeko erabil zezakeen eremua ezkutatzen du.

Neurtu azpiko geruza ezer agindu aurretik. Atzerapen egonkorra eta kanpoko bidean galerarik ez duela erakusten duen txosten bat froga da; tunel bat duen diagrama ez da froga.

Aukeratu tunela behar duzun sare-harremanerako, eta gero zehaztu bereiz zifratzea, sarbide-politika, pakete-tamaina eta errendimendua. Lau erabaki, lau froga, eta bat ere ordezkatzen duen etiketa bakarrarik gabe.