Tunel kupuje topologiju, a ne enkripciju ili latenciju

Pretpostavka je da je tunel privatna, brza žica: napravite ga i promet unutra je šifrovan, putanja je kraća, a veza se ponaša kao kabl između dvije lokacije. Svaki dio te pretpostavke je zasebno svojstvo, a tunel isporučuje samo prvo što ste od njega tražili, a to je logička putanja. Sve ostalo mora se namjerno izabrati i konfigurisati. Miješanje svojstava je način na koji dizajn završi sa šifrovanom vezom koju niko ne može otkloniti i obećanjem latencije koje niko ne može održati.

Mit: jedan tunel, tri garancije

Tunel pouzdano radi jednu stvar. Čini da se dvije krajnje tačke koje nisu direktno povezane ponašaju kao susjedne za neku svrhu, dok mreža između prenosi vanjske pakete. To je promjena topologije i ona je sama po sebi zaista korisna.

Šifrovanje, prenošenje protokola i izolacija prosljeđivanja su zasebne odluke naslagane na to. GRE tunel nema nijedno od to troje u kriptografskom smislu, a IP-in-IP tunel je valjan dizajn bez ikakve povjerljivosti. Ništa od toga nije greška; to su tuneli koji rade tačno ono što tuneli rade. Oznaka na dijagramu ne govori koja su svojstva prisutna.

Kada razdvojite svojstva, pitanja postaju odgovoriva: nosi li ovaj tunel susjedstvo usmjeravanja, nosi li okvire, skriva li unutrašnje adrese, obećava li išta o kašnjenju? To su četiri različita odgovora s četiri različite konfiguracijske posljedice.

Šta tunel zapravo dodaje na kartu

Krajnje tačke dobijaju putanju koju ranije nisu imale. Da li se ta putanja ponaša kao usmjereni skok ili kao Ethernet segment, zavisi isključivo od enkapsulacije, a razlika mijenja ono što dvije lokacije mogu s njom učiniti. Usmjereni tunel vam daje sljedeći skok i prefiks; Ethernet proširenje vam daje ponašanje emitovanja i mnogo veću domenu otkaza.

IP tunel ne čini udaljenu lokaciju automatski dijelom iste podmreže i ne pokreće protokol usmjeravanja preko nje osim ako implementacija podržava to susjedstvo. Multicast je još jedno zasebno pitanje sa svojim odgovorom.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Te komande odgovaraju na različite dijelove pitanja. Prva kaže kakva vrsta interfejsa postoji, druga kaže koju bi putanju jezgro izabralo, a posljednje dvije pokazuju stvarno ponašanje donjeg sloja, a ne obećanje oznake.

Prenošenje je zasebna odluka od dostupnosti

Tunel može prenositi protokol koji donji sloj ne prosljeđuje. IPv6 preko IPv4 putanje je klasičan slučaj i radi jer krajnje tačke razumiju oba porodična skupa, dok ruteri između njih moraju samo dostaviti vanjske pakete. Donjem sloju je potrebna radna putanja do krajnje tačke tunela i ništa više.

Krajnje tačke, međutim, trebaju punu podršku: prosljeđivanje, adrese i aplikaciju koja stvarno koristi unutrašnji porodični skup. Dodjeljivanje IPv6 prefiksa tunelu ne čini uslugu koja radi samo s IPv4 dostupnom preko IPv6 i ne čini donji sloj dual-stack.

Prenošenje okvira je veća obaveza od prenošenja protokola. Proširivanje broadcast domene preko tunela pomjera sa sobom ponašanje spanning tree, ARP i propagaciju otkaza, što je dizajnerska odluka, a ne prekidač funkcije.

Izolacija nije povjerljivost

Provajderski VPN-ovi drže rute i promet korisnika u odvojenim kontekstima prosljeđivanja i to razdvajanje je stvarno i vrijedno. Ono nije šifrovanje. Specifikacija BGP/MPLS VPN izričito kaže da njena privatnost dolazi iz modela prosljeđivanja, a ne iz kriptografije, i upravo se ta razlika gubi na slajdu koji samo kaže VPN.

Ako vam je potrebna povjerljivost, potreban vam je kriptografski mehanizam s autentifikacijom i upravljanjem ključevima, i morate znati gdje se završava. Tunel koji pruža razdvajanje i tunel koji pruža šifrovanje mogu biti isti tunel, ali samo kada je neko konfigurisao oboje.

Praktična posljedica je da „to je u VPN-u“ odgovara na pitanje o kontekstu usmjeravanja i ne govori vam ništa o tome ko može čitati bajtove na putanji. Dva tima mogu oba biti u pravu i ipak opisivati različite stvari. Kada se pojavi sigurnosno pitanje, pitajte gdje se kriptografija završava i šta autentifikuje partnere, a ne postoji li tunel.

Latencija i QoS prate donji sloj

Logička ivica nije kraća fizička putanja. Vanjski paketi i dalje prolaze kroz iste veze, redove i provajdere, a enkapsulacija dodaje trošak po paketu plus obradu na oba kraja. Tunel može biti brz zato što je donji sloj dobar, nikada zato što je tunel.

Tretman kvalitete usluge je gori od toga jer zavisi od administrativnih domena koje možda ne kontrolišete. Unutrašnje oznake moraju se namjerno mapirati na vanjske, a svaki provajder na putanji mora nuditi tretman koji očekujete. Šifrovanje ne stvara prioritet; ono skriva polje koje je posredni uređaj možda koristio za klasifikaciju toka.

Izmjerite donji sloj prije nego što bilo šta obećate. Izvještaj koji pokazuje stabilno kašnjenje i nema gubitaka na vanjskoj putanji jeste dokaz; dijagram sa tunelom na sebi nije.

Izaberite tunel za mrežni odnos koji vam je potreban, a zatim odvojeno navedite šifrovanje, politiku pristupa, veličinu paketa i performanse. Četiri odluke, četiri dokaza i nijedna oznaka koja ne stoji umjesto bilo koje od njih.