In tunnel keapet topology, net fersifering of fertraging

De oanname is dat in tunnel in privee, flugge tried is: jo bouwe der ien, en it ferkear derbinnen is fersiferele, it paad is koarter en de ferbining gedraacht him as in kabel tusken twa plakken. Elk part fan dy oanname is in apart eigenskip, en de tunnel leveret allinnich it earste ding dat jo him fregen, nammentlik in logyske rûte. Al it oare moat mei opsetsin keazen en konfigurearre wurde. It ferskowen fan 'e eigenskippen is hoe't in ûntwerp einiget mei in fersiferele ferbining dy't nimmen ûntjeppe kin en in ûnthjit oer fertraging dat nimmen hâlde kin.

De myte: ien tunnel, trije garânsjes

In tunnel docht ien ding betrouber. Hy makket dat twa einpunten dy't net direkt ferbûn binne har foar in doel gedrage as wiene se neistlizzend, wylst it netwurk dertusken de bûtenste pakketten draacht. Dat is in feroaring fan topology, en it is op himsels wier nuttich.

Fersifering, protokolferfier en isolaasje fan trochstjoeren binne aparte besluten dy't der boppe-op lizze. In GRE-tunnel hat gjin fan 'e trije yn 'e kryptografyske sin, en in IP-in-IP-tunnel is in jildich ûntwerp sûnder hokker fertroulikheid dan ek. Net ien fan beide is in flater; it binne tunnels dy't krekt dogge wat tunnels dogge. It label op it diagram fertelt net hokker eigenskippen oanwêzich binne.

As jo de eigenskippen skiede, wurde de fragen beantwurdber: draacht dizze tunnel in routeringsneistlizzing, draacht er frames, ferberget er de binnenadressen, ûnthjit er eat oer fertraging? Dat binne fjouwer ferskate antwurden mei fjouwer ferskate konfiguraasjegefollen.

Wat de tunnel eins oan 'e kaart taheakket

De einpunten krije in paad dat se earder net hiene. Oft dat paad him as in routearre hop of as in Ethernet-segment gedraacht, hinget folslein fan 'e ynkapseling ôf, en it ferskil feroaret wat de twa plakken der mei dwaan kinne. In routearre tunnel jout jo in folgjende hop en in foarheaksel; in Ethernet-útwreiding jout jo broadcast-gedrach en in folle grutter fal-domein.

In IP-tunnel makket it fiere plak net automatysk part fan itselde subnet, en lit in routeringsprotokol der net oer rinne, útsein as de ymplemintaasje dy neistlizzing stipet. Multicast is noch in aparte fraach mei syn eigen antwurd.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Dy kommando's beantwurdzje ferskate dielen fan 'e fraach. De earste seit hokker soarte yntapface bestiet, de twadde seit hokker paad de kearn kieze soe, en de lêste twa litte it werklike gedrach fan 'e ûnderlaach sjen yn stee fan it ûnthjit fan it label.

Ferfier is in apart beslút fan berikberens

In tunnel kin in protokol drage dat de ûnderlaach net trochstjoert. IPv6 oer in IPv4-paad is it klassike gefal, en it wurket om't de einpunten beide famyljes begripe, wylst de routers dertusken allinnich de bûtenste pakketten hoege te leverjen. De ûnderlaach hat in wurkjend paad nei it tunneleinpunt nedich en neat mear.

De einpunten hawwe lykwols folsleine stipe nedich: trochstjoeren, adressen en in applikaasje dy't de binnenfamylje wier brûkt. It tawizen fan in IPv6-foarheaksel oan in tunnel makket in tsjinst dy't allinnich mei IPv4 wurket net berikber fia IPv6, en it makket de ûnderlaach net dual-stack.

Frameferfier is in gruttere ferplichting as protokolferfier. It útwreidzjen fan in broadcast-domein oer in tunnel ferpleatst spanning-tree-gedrach, ARP en flaterfoarplanting mei, wat in ûntwerppelieding is en gjin funksjeskakelaar.

Isolaasje is gjin fertroulikheid

Provider-VPN's hâlde klantrûtes en ferkear yn aparte trochstjoerkonteksten, en dy skieding is wier en weardefol. It is gjin fersifering. De BGP/MPLS VPN-spesifikaasje seit dúdlik dat har privacy út it trochstjoermodel komt en net út kryptografy, en dat is krekt it ûnderskie dat ferlern giet yn in dia dy't allinnich VPN seit.

As jo fertroulikheid nedich hawwe, hawwe jo in kryptografysk meganisme mei autentikaasje en kaaibehear nedich, en jo moatte witte wêr't it einiget. In tunnel dy't skieding biedt en in tunnel dy't fersifering biedt kinne deselde tunnel wêze, mar allinnich as immen beide konfigurearre hat.

De praktyske gefolch is dat „it is yn in VPN“ in fraach oer routeringskontekst beantwurdet en jo neat fertelt oer wa't de bytes op it paad lêze kin. Twa teams kinne beide gelyk hawwe en dochs ferskate dingen beskriuwe. As de feilichheidsfraach opkomt, freegje wêr't de kryptografy einiget en wat de pearen autentisearret, net oft der in tunnel bestiet.

Fertraging en QoS folgje de ûnderlaach

In logyske râne is gjin koarter fysyk paad. De bûtenste pakketten geane noch altyd troch deselde keppelings, rijen en providers, en ynkapseling foeget overhead per pakket ta plus ferwurking oan beide einen. In tunnel kin fluch wêze om't de ûnderlaach goed is, nea om't it in tunnel is.

De behanneling fan tsjinstkwaliteit is noch slimmer, om't it ôfhinklik is fan bestjoerlike domeinen dy't jo miskien net beheare. Ynterne markearrings moatte mei opsetsin nei eksterne markearrings mapt wurde, en elke provider op it paad moat de behanneling biede dy't jo ferwachtsje. Fersifering makket gjin prioriteit; it ferberget it fjild dat in tuskenapparaat brûke kinnen hie om de stream te klassifisearjen.

Mjit de ûnderlaach foardat jo eat ûnthjitte. In rapport dat stabile fertraging en gjin ferlies op it bûtenste paad sjen lit, is bewiis; in diagram mei in tunnel derop is dat net.

Kies de tunnel foar de netwurkrelaasje dy't jo nedich hawwe, spesifisearje dan fersifering, tagongsbelied, pakketgrutte en prestaasjes apart. Fjouwer besluten, fjouwer stikken bewiis, en gjin inkeld label dat foar ien fan harren stiet.