מנהרה קונה טופולוגיה, לא הצפנה ולא השהיה

ההנחה היא שמנהרה היא חוט פרטי ומהיר: בונים אותה, והתעבורה שבפנים מוצפנת, הנתיב קצר יותר והקישור מתנהג כמו כבל בין שני אתרים. כל חלק בהנחה הזו הוא תכונה נפרדת, והמנהרה מספקת רק את הדבר הראשון שביקשתם ממנה, כלומר נתיב לוגי. כל השאר חייב להיבחר ולהיות מוגדר בכוונה. ערבוב התכונות הוא הדרך שבה תכנון מגיע לקישור מוצפן שאיש אינו יכול לאבחן ולהבטחה של השהיה שאיש אינו יכול לקיים.

המיתוס: מנהרה אחת, שלוש ערבויות

מנהרה עושה דבר אחד באופן אמין. היא גורמת לשני קצוות שאינם מחוברים ישירות להתנהג כאילו היו שכנים למטרה כלשהי, בעוד שהרשת שבדרך מעבירה את החבילות החיצוניות. זהו שינוי טופולוגיה, והוא באמת שימושי בפני עצמו.

הצפנה, העברת פרוטוקולים ובידוד העברה הן החלטות נפרדות שנבנות מעל. למנהרת GRE אין אף אחת מהשלוש במובן ההצפנתי, ומנהרת IP-in-IP היא תכנון תקף בלי שום סודיות. אף אחד מאלה אינו טעות; אלו מנהרות שעושות בדיוק את מה שמנהרות עושות. התווית בשרטוט אינה אומרת אילו תכונות קיימות.

ברגע שמפרידים את התכונות, השאלות נעשות ניתנות למענה: האם המנהרה הזו מעבירה סמיכות ניתוב, האם היא מעבירה מסגרות, האם היא מסתירה את הכתובות הפנימיות, האם היא מבטיחה משהו לגבי השהיה? אלו ארבע תשובות שונות עם ארבע תוצאות תצורה שונות.

מה המנהרה באמת מוסיפה למפה

הקצוות מקבלים נתיב שלא היה להם קודם. האם הנתיב הזה מתנהג כמו קפיצת ניתוב או כמו מקטע Ethernet תלוי כולו בכימוס, וההבדל משנה מה שני האתרים יכולים לעשות איתו. מנהרה מנותבת נותנת לכם קפיצה הבאה ותחילית; הרחבת Ethernet נותנת לכם התנהגות שידור ותחום כשל גדול בהרבה.

מנהרת IP אינה הופכת את האתר המרוחק אוטומטית לחלק מאותה תת-רשת, ואינה גורמת לפרוטוקול ניתוב לרוץ דרכה אלא אם המימוש תומך בסמיכות הזו. Multicast היא שאלה נפרדת נוספת עם תשובה משלה.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

הפקודות האלה עונות על חלקים שונים של השאלה. הראשונה אומרת איזה סוג ממשק קיים, השנייה אומרת איזה נתיב הגרעין יבחר, והשתיים האחרונות מראות את ההתנהגות בפועל של השכבה התחתונה ולא את הבטחת התווית.

העברה היא החלטה נפרדת מהנגישות

מנהרה יכולה להעביר פרוטוקול שהשכבה התחתונה אינה מעבירה. IPv6 מעל נתיב IPv4 הוא המקרה הקלאסי, והוא עובד משום שהקצוות מבינים את שתי המשפחות בעוד שהנתבים ביניהם רק צריכים למסור את החבילות החיצוניות. השכבה התחתונה זקוקה לנתיב עובד אל קצה המנהרה ולא יותר.

הקצוות, לעומת זאת, זקוקים לתמיכה מלאה: העברה, כתובות ויישום שמשתמש באמת במשפחה הפנימית. הקצאת תחילית IPv6 למנהרה אינה הופכת שירות שעובד רק עם IPv4 לנגיש דרך IPv6, ואינה הופכת את השכבה התחתונה לערימה כפולה.

העברת מסגרות היא התחייבות גדולה יותר מהעברת פרוטוקולים. הרחבת תחום שידור דרך מנהרה מעבירה איתה את התנהגות עץ ההתפשטות, ARP והתפשטות כשלים, וזו החלטת תכנון ולא מתג תכונה.

בידוד אינו סודיות

VPN של ספקים מחזיקים את הנתיבים והתעבורה של הלקוחות בהקשרי העברה נפרדים, וההפרדה הזו אמיתית ובעלת ערך. היא אינה הצפנה. מפרט BGP/MPLS VPN אומר במפורש שהפרטיות שלו באה ממודל ההעברה ולא מקריפטוגרפיה, וזה בדיוק ההבדל שאובד בשקופית שאומרת רק VPN.

אם אתם צריכים סודיות, אתם צריכים מנגנון קריפטוגרפי עם אימות וניהול מפתחות, ואתם צריכים לדעת היכן הוא מסתיים. מנהרה שמספקת הפרדה ומנהרה שמספקת הצפנה יכולות להיות אותה מנהרה, אבל רק כשמישהו הגדיר את שתיהן.

התוצאה המעשית היא ש«זה נמצא ב-VPN» עונה על שאלה על הקשר ניתוב ואינה אומרת לכם דבר על מי יכול לקרוא את הבתים בנתיב. שני צוותים יכולים שניהם להיות צודקים ובכל זאת לתאר דברים שונים. כשעולה שאלת האבטחה, שאלו היכן מסתיימת הקריפטוגרפיה ומה מאמת את העמיתים, לא אם קיימת מנהרה.

השהיה ו-QoS הולכות אחרי השכבה התחתונה

קצה לוגי אינו נתיב פיזי קצר יותר. החבילות החיצוניות עדיין עוברות באותם קישורים, תורים וספקים, והכימוס מוסיף תקורה לכל חבילה ועיבוד בשני הקצוות. מנהרה יכולה להיות מהירה מפני שהשכבה התחתונה טובה, לעולם לא מפני שהיא מנהרה.

הטיפול באיכות השירות גרוע מזה, מפני שהוא תלוי בתחומים מנהליים שאולי אינכם שולטים בהם. סימונים פנימיים חייבים להיות ממופים לסימונים חיצוניים בכוונה, וכל ספק בנתיב חייב להציע את הטיפול שאתם מצפים לו. הצפנה אינה יוצרת עדיפות; היא מסתירה את השדה שקופסה אמצעית אולי השתמשה בו כדי לסווג את הזרימה.

מדדו את השכבה התחתונה לפני שאתם מבטיחים משהו. דוח שמראה השהיה יציבה ואין אובדן בנתיב החיצוני הוא ראיה; שרטוט שעליו מנהרה אינו ראיה.

בחרו את המנהרה עבור יחסי הרשת שאתם צריכים, ואז ציינו בנפרד הצפנה, מדיניות גישה, גודל חבילה וביצועים. ארבע החלטות, ארבע ראיות, ואין תווית אחת שעומדת במקום אף אחת מהן.