टनल टोपोलॉजी खरीदता है, एन्क्रिप्शन या लेटेंसी नहीं

मान्यता यह है कि टनल एक निजी, तेज़ तार है: आप इसे बनाते हैं, और अंदर का ट्रैफ़िक एन्क्रिप्टेड होता है, पथ छोटा होता है और लिंक दो साइटों के बीच केबल की तरह व्यवहार करता है। उस मान्यता का हर हिस्सा एक अलग गुण है, और टनल केवल वही पहली चीज़ देता है जो आपने उससे मांगी थी, यानी एक तार्किक पथ। बाकी सब कुछ जानबूझकर चुनना और कॉन्फ़िगर करना पड़ता है। गुणों को आपस में मिला देना ही वह तरीका है जिससे कोई डिज़ाइन ऐसे एन्क्रिप्टेड लिंक पर पहुँचता है जिसे कोई ट्रबलशूट नहीं कर सकता और ऐसे लेटेंसी वादे पर जिसे कोई निभा नहीं सकता।

मिथक: एक टनल, तीन गारंटियाँ

टनल एक काम भरोसेमंद तरीके से करता है। यह दो ऐसे सिरों को, जो सीधे जुड़े नहीं हैं, किसी उद्देश्य के लिए पड़ोसी की तरह व्यवहार करवाता है, जबकि बीच का नेटवर्क बाहरी पैकेट ढोता है। यह टोपोलॉजी में बदलाव है, और यह अपने आप में वास्तव में उपयोगी है।

एन्क्रिप्शन, प्रोटोकॉल वहन और फ़ॉरवर्डिंग अलगाव इसके ऊपर परत बनाकर रखे गए अलग निर्णय हैं। GRE टनल में क्रिप्टोग्राफ़िक अर्थ में तीनों में से कोई नहीं है, और IP-in-IP टनल बिना किसी गोपनीयता के एक वैध डिज़ाइन है। इनमें से कोई भी गलती नहीं है; ये टनल हैं जो ठीक वही करते हैं जो टनल करते हैं। आरेख पर का लेबल नहीं बताता कि कौन से गुण मौजूद हैं।

गुणों को अलग करते ही प्रश्न उत्तर देने योग्य हो जाते हैं: क्या यह टनल रूटिंग निकटता ढोता है, क्या यह फ़्रेम ढोता है, क्या यह भीतरी पते छिपाता है, क्या यह देरी के बारे में कुछ वादा करता है? ये चार अलग उत्तर हैं और चार अलग कॉन्फ़िगरेशन परिणाम हैं।

टनल वास्तव में नक्शे में क्या जोड़ता है

सिरों को एक ऐसा पथ मिलता है जो पहले नहीं था। वह पथ रूट किए गए हॉप की तरह व्यवहार करता है या Ethernet सेगमेंट की तरह, यह पूरी तरह एनकैप्सुलेशन पर निर्भर है, और यह अंतर बदल देता है कि दोनों साइटें उसके साथ क्या कर सकती हैं। रूट किया गया टनल आपको अगला हॉप और एक प्रीफ़िक्स देता है; Ethernet विस्तार आपको ब्रॉडकास्ट व्यवहार और बहुत बड़ा विफलता क्षेत्र देता है।

IP टनल दूर की साइट को अपने आप एक ही सबनेट का हिस्सा नहीं बनाता, और जब तक कार्यान्वयन उस निकटता का समर्थन न करे, यह उस पर रूटिंग प्रोटोकॉल नहीं चलाता। Multicast अपने उत्तर वाला एक और अलग प्रश्न है।

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

ये कमांड प्रश्न के अलग-अलग हिस्सों का उत्तर देते हैं। पहला बताता है कि किस प्रकार का इंटरफ़ेस मौजूद है, दूसरा बताता है कि कर्नेल कौन सा पथ चुनेगा, और अंतिम दो लेबल के वादे की बजाय अंडरले का वास्तविक व्यवहार दिखाते हैं।

वहन पहुँच से अलग निर्णय है

टनल ऐसा प्रोटोकॉल ढो सकता है जिसे अंडरले फ़ॉरवर्ड नहीं करता। IPv6 का IPv4 पथ पर चलना क्लासिक मामला है, और यह काम करता है क्योंकि सिरे दोनों परिवारों को समझते हैं जबकि उनके बीच के राउटर को केवल बाहरी पैकेट पहुँचाने होते हैं। अंडरले को टनल के सिरे तक एक काम करने वाला पथ चाहिए, इससे ज़्यादा कुछ नहीं।

सिरों को, हालाँकि, पूरा समर्थन चाहिए: फ़ॉरवर्डिंग, पते और ऐसा एप्लिकेशन जो वास्तव में भीतरी परिवार का उपयोग करे। किसी टनल को IPv6 प्रीफ़िक्स सौंपना केवल IPv4 वाली सेवा को IPv6 से पहुँच योग्य नहीं बनाता, और यह अंडरले को dual-stack नहीं बनाता।

फ़्रेम वहन प्रोटोकॉल वहन से बड़ी प्रतिबद्धता है। टनल के पार ब्रॉडकास्ट डोमेन बढ़ाने से स्पैनिंग-ट्री व्यवहार, ARP और विफलता का प्रसार साथ चलता है, जो फ़ीचर टॉगल की बजाय एक डिज़ाइन निर्णय है।

अलगाव गोपनीयता नहीं है

प्रदाता VPN ग्राहकों के रूट और ट्रैफ़िक को अलग फ़ॉरवर्डिंग संदर्भों में रखते हैं, और वह अलगाव वास्तविक और मूल्यवान है। यह एन्क्रिप्शन नहीं है। BGP/MPLS VPN विनिर्देश स्पष्ट कहता है कि इसकी गोपनीयता क्रिप्टोग्राफ़ी से नहीं बल्कि फ़ॉरवर्डिंग मॉडल से आती है, और ठीक यही अंतर केवल VPN कहने वाली स्लाइड में खो जाता है।

अगर आपको गोपनीयता चाहिए, तो आपको प्रमाणीकरण और कुंजी प्रबंधन वाला क्रिप्टोग्राफ़िक तंत्र चाहिए, और आपको जानना होगा कि यह कहाँ समाप्त होता है। अलगाव देने वाला टनल और एन्क्रिप्शन देने वाला टनल एक ही टनल हो सकते हैं, लेकिन तभी जब किसी ने दोनों को कॉन्फ़िगर किया हो।

व्यावहारिक परिणाम यह है कि «यह VPN में है» रूटिंग संदर्भ के बारे में एक प्रश्न का उत्तर देता है और आपको यह नहीं बताता कि पथ पर बाइट कौन पढ़ सकता है। दो टीमें दोनों सही हो सकती हैं और फिर भी अलग चीज़ें बता रही हो सकती हैं। जब सुरक्षा का प्रश्न उठे, तो पूछें क्रिप्टोग्राफ़ी कहाँ समाप्त होती है और साथियों को क्या प्रमाणित करता है, यह नहीं कि कोई टनल मौजूद है या नहीं।

लेटेंसी और QoS अंडरले का अनुसरण करते हैं

तार्किक किनारा छोटा भौतिक पथ नहीं है। बाहरी पैकेट अभी भी उन्हीं लिंक, कतारों और प्रदाताओं से गुज़रते हैं, और एनकैप्सुलेशन प्रति पैकेट ओवरहेड और दोनों सिरों पर प्रोसेसिंग जोड़ता है। टनल तेज़ हो सकता है क्योंकि अंडरले अच्छा है, कभी इसलिए नहीं कि वह टनल है।

सेवा गुणवत्ता का व्यवहार इससे भी बुरा है, क्योंकि यह ऐसे प्रशासनिक डोमेन पर निर्भर करता है जिन्हें आप नियंत्रित नहीं करते होंगे। भीतरी मार्किंग को जानबूझकर बाहरी मार्किंग में मैप करना पड़ता है, और पथ के हर प्रदाता को वह व्यवहार देना पड़ता है जिसकी आप अपेक्षा करते हैं। एन्क्रिप्शन प्राथमिकता नहीं बनाता; यह उस फ़ील्ड को छिपाता है जिसका उपयोग कोई मध्य-बॉक्स प्रवाह को वर्गीकृत करने के लिए कर सकता था।

कुछ भी वादा करने से पहले अंडरले को मापें। बाहरी पथ पर स्थिर देरी और कोई हानि न दिखाने वाली रिपोर्ट प्रमाण है; टनल बना हुआ आरेख प्रमाण नहीं है।

जिस नेटवर्क संबंध की आपको ज़रूरत है उसके लिए टनल चुनें, फिर एन्क्रिप्शन, एक्सेस नीति, पैकेट आकार और प्रदर्शन अलग-अलग निर्दिष्ट करें। चार निर्णय, चार प्रमाण, और उनमें से किसी की जगह खड़ा कोई एक लेबल नहीं।