Թունելը գնում է տոպոլոգիա, ոչ գաղտնագրում կամ ուշացում

Ենթադրությունն այն է, որ թունելը մասնավոր, արագ մետաղալար է՝ դուք կառուցում եք այն, և ներսի երթևեկությունը գաղտնագրված է, ուղին ավելի կարճ է, և կապը վարվում է որպես մալուխ երկու վայրերի միջև։ Այդ ենթադրության յուրաքանչյուր մասը առանձին հատկություն է, և թունելը տալիս է միայն այն առաջին բանը, ինչ դուք խնդրել եք նրանից, այն է՝ տրամաբանական ուղի։ Մնացած ամեն ինչ պետք է ընտրել և կարգավորել դիտավորյալ։ Հատկությունները խառնելը այն ճանապարհն է, որով նախագիծը վերջանում է գաղտնագրված կապով, որը ոչ ոք չի կարող ախտորոշել, և ուշացման խոստումով, որը ոչ ոք չի կարող կատարել։

Առասպելը՝ մեկ թունել, երեք երաշխիք

Թունելը հուսալիորեն անում է մեկ բան։ Այն ստիպում է երկու ծայրերին, որոնք ուղղակիորեն միացված չեն, վարվել այնպես, կարծես հարևան են ինչ-որ նպատակի համար, մինչդեռ միջև ընկած ցանցը տեղափոխում է արտաքին փաթեթները։ Դա տոպոլոգիայի փոփոխություն է, և այն ինքնին իսկապես օգտակար է։

Գաղտնագրումը, արձանագրությունների տեղափոխումը և փոխանցման մեկուսացումը առանձին որոշումներ են, որոնք դրվում են դրա վրա։ GRE թունելը գաղտնագրային իմաստով այդ երեքից ոչ մեկը չունի, իսկ IP-in-IP թունելը վավեր նախագիծ է ընդհանրապես առանց գաղտնիության։ Դրանցից ոչ մեկը սխալ չէ՝ դրանք թունելներ են, որոնք անում են հենց այն, ինչ անում են թունելները։ Դիագրամի պիտակը չի ասում, թե որ հատկություններն են առկա։

Երբ բաժանում եք հատկությունները, հարցերը դառնում են պատասխանելի՝ արդյոք այս թունելը տեղափոխում է երթուղային հարևանություն, արդյոք այն տեղափոխում է շրջանակներ, արդյոք այն թաքցնում է ներքին հասցեները, արդյոք այն ինչ-որ բան խոստանում է ուշացման մասին։ Դրանք չորս տարբեր պատասխաններ են՝ չորս տարբեր կարգավորման հետևանքներով։

Ինչ է իրականում ավելացնում թունելը քարտեզին

Ծայրերը ստանում են ուղի, որը նախկինում չունեին։ Արդյոք այդ ուղին վարվում է որպես երթուղավորված թռիչք, թե որպես Ethernet հատված, ամբողջովին կախված է փաթեթավորումից, և տարբերությունը փոխում է, թե ինչ կարող են անել երկու վայրերը դրա հետ։ Երթուղավորված թունելը ձեզ տալիս է հաջորդ թռիչք և նախածանց՝ Ethernet ընդլայնումը տալիս է հեռարձակման վարք և շատ ավելի մեծ խափանման տիրույթ։

IP թունելը ինքնաբերաբար հեռավոր վայրը չի դարձնում նույն ենթացանցի մաս, և չի ստիպում երթուղային արձանագրությանը աշխատել դրա վրայով, եթե իրականացումը չի աջակցում այդ հարևանությանը։ Multicast-ը մեկ այլ առանձին հարց է՝ իր պատասխանով։

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Այդ հրամանները պատասխանում են հարցի տարբեր մասերին։ Առաջինը ասում է, թե ինչ տեսակի ինտերֆեյս գոյություն ունի, երկրորդը՝ թե որ ուղին կընտրեր միջուկը, իսկ վերջին երկուսը ցույց են տալիս ստորին շերտի իրական վարքը, այլ ոչ թե պիտակի խոստումը։

Տեղափոխումը առանձին որոշում է հասանելիությունից

Թունելը կարող է տեղափոխել արձանագրություն, որը ստորին շերտը չի փոխանցում։ IPv6-ը IPv4 ուղու վրայով դասական դեպքն է, և այն աշխատում է, որովհետև ծայրերը հասկանում են երկու ընտանիքներին, մինչդեռ նրանց միջև եղած երթուղիչները պետք է միայն հասցնեն արտաքին փաթեթները։ Ստորին շերտին պետք է աշխատող ուղի դեպի թունելի ծայրը և ոչ ավելին։

Ծայրերին, սակայն, պետք է լիարժեք աջակցություն՝ փոխանցում, հասցեներ և հավելված, որն իրականում օգտագործում է ներքին ընտանիքը։ Թունելին IPv6 նախածանց հատկացնելը միայն IPv4-ով աշխատող ծառայությունը հասանելի չի դարձնում IPv6-ով, և ստորին շերտը երկակի կույտ չի դարձնում։

Շրջանակների տեղափոխումը ավելի մեծ պարտավորություն է, քան արձանագրությունների տեղափոխումը։ Հեռարձակման տիրույթը թունելով ընդլայնելը իր հետ տեղափոխում է spanning tree-ի վարքը, ARP-ն և խափանումների տարածումը, ինչը նախագծային որոշում է, այլ ոչ թե ֆունկցիայի անջատիչ։

Մեկուսացումը գաղտնիություն չէ

Մատակարարի VPN-ները պահում են հաճախորդների երթուղիներն ու երթևեկությունը առանձին փոխանցման կոնտեքստերում, և այդ բաժանումն իրական է ու արժեքավոր։ Այն գաղտնագրում չէ։ BGP/MPLS VPN ճշգրտումը բացահայտ ասում է, որ նրա գաղտնիությունը գալիս է փոխանցման մոդելից, այլ ոչ թե գաղտնագրությունից, և հենց այդ տարբերությունն է կորչում այն սլայդում, որը պարզապես ասում է VPN։

Եթե ձեզ գաղտնիություն է պետք, ձեզ պետք է գաղտնագրային մեխանիզմ՝ նույնականացմամբ և բանալիների կառավարմամբ, և դուք պետք է իմանաք, թե որտեղ է այն ավարտվում։ Բաժանում ապահովող թունելը և գաղտնագրում ապահովող թունելը կարող են նույն թունելը լինել, բայց միայն այն ժամանակ, երբ ինչ-որ մեկը կարգավորել է երկուսն էլ։

Գործնական հետևանքն այն է, որ «այն VPN-ի մեջ է» պատասխանում է երթուղային կոնտեքստի մասին հարցին և ոչինչ չի ասում այն մասին, թե ով կարող է կարդալ ուղու բայթերը։ Երկու թիմեր կարող են միաժամանակ ճիշտ լինել և այնուամենայնիվ նկարագրել տարբեր բաներ։ Երբ առաջանում է անվտանգության հարցը, հարցրեք որտեղ է ավարտվում գաղտնագրությունը և ինչն է նույնականացնում գործընկերներին, ոչ թե՝ կա արդյոք թունել։

Ուշացումը և QoS-ը հետևում են ստորին շերտին

Տրամաբանական եզրը ավելի կարճ ֆիզիկական ուղի չէ։ Արտաքին փաթեթները դեռ անցնում են նույն կապերով, հերթերով և մատակարարներով, և փաթեթավորումը ավելացնում է յուրաքանչյուր փաթեթի ծախս և մշակում երկու ծայրերում։ Թունելը կարող է արագ լինել, որովհետև ստորին շերտը լավն է, երբեք այն պատճառով, որ այն թունել է։

Ծառայության որակի հետ վարվելը դրանից էլ վատ է, որովհետև այն կախված է վարչական տիրույթներից, որոնք գուցե չեք վերահսկում։ Ներքին նշանները պետք է դիտավորյալ քարտեզագրվեն արտաքին նշաններին, և ուղու յուրաքանչյուր մատակարար պետք է առաջարկի այն վերաբերմունքը, որը դուք սպասում եք։ Գաղտնագրումը առաջնահերթություն չի ստեղծում՝ այն թաքցնում է այն դաշտը, որը միջանկյալ սարքը գուցե օգտագործեր հոսքը դասակարգելու համար։

Չափեք ստորին շերտը նախքան ինչ-որ բան խոստանալը։ Հաշվետվությունը, որը ցույց է տալիս կայուն ուշացում և արտաքին ուղու վրա կորուստների բացակայություն, ապացույց է՝ թունելով դիագրամը՝ ոչ։

Ընտրեք թունելը ձեզ անհրաժեշտ ցանցային հարաբերության համար, ապա առանձին նշեք գաղտնագրումը, մուտքի քաղաքականությունը, փաթեթի չափը և արդյունավետությունը։ Չորս որոշում, չորս ապացույց, և ոչ մի պիտակ, որը կանգնում է դրանցից որևէ մեկի փոխարեն։