Terowongan membeli topologi, bukan enkripsi atau latensi

Asumsinya adalah bahwa terowongan adalah kabel pribadi yang cepat: Anda membangunnya, lalu lalu lintas di dalamnya terenkripsi, jalurnya lebih pendek, dan tautannya berperilaku seperti kabel antara dua lokasi. Setiap bagian dari asumsi itu adalah properti yang terpisah, dan terowongan hanya memberikan hal pertama yang Anda minta, yaitu jalur logis. Semua hal lain harus dipilih dan dikonfigurasi dengan sengaja. Mencampur properti adalah cara sebuah desain berakhir dengan tautan terenkripsi yang tidak dapat didiagnosis siapa pun dan janji latensi yang tidak dapat ditepati siapa pun.

Mitos: satu terowongan, tiga jaminan

Terowongan melakukan satu hal dengan andal. Ia membuat dua titik akhir yang tidak terhubung langsung berperilaku seolah-olah bersebelahan untuk suatu tujuan, sementara jaringan di antaranya membawa paket luar. Itu adalah perubahan topologi, dan itu benar-benar berguna dengan sendirinya.

Enkripsi, pengangkutan protokol, dan isolasi penerusan adalah keputusan terpisah yang dilapisi di atasnya. Terowongan GRE tidak memiliki satu pun dari ketiganya dalam arti kriptografis, dan terowongan IP-in-IP adalah desain yang sah tanpa kerahasiaan sama sekali. Tidak ada yang salah dari keduanya; itu adalah terowongan yang melakukan persis apa yang dilakukan terowongan. Label pada diagram tidak memberi tahu Anda properti mana yang ada.

Setelah Anda memisahkan properti, pertanyaannya menjadi terjawab: apakah terowongan ini membawa ketetanggaan perutean, apakah ia membawa frame, apakah ia menyembunyikan alamat dalam, apakah ia menjanjikan sesuatu tentang penundaan? Itu adalah empat jawaban berbeda dengan empat konsekuensi konfigurasi berbeda.

Apa yang sebenarnya ditambahkan terowongan ke peta

Titik akhir mendapatkan jalur yang sebelumnya tidak mereka miliki. Apakah jalur itu berperilaku seperti lompatan terutek atau seperti segmen Ethernet sepenuhnya bergantung pada enkapsulasi, dan perbedaannya mengubah apa yang dapat dilakukan kedua lokasi dengannya. Terowongan terutek memberi Anda lompatan berikutnya dan prefiks; perluasan Ethernet memberi Anda perilaku siaran dan domain kegagalan yang jauh lebih besar.

Terowongan IP tidak secara otomatis menjadikan lokasi jauh bagian dari subnet yang sama, dan tidak membuat protokol perutean berjalan melaluinya kecuali implementasinya mendukung ketetanggaan itu. Multicast adalah pertanyaan terpisah lain dengan jawabannya sendiri.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Perintah-perintah itu menjawab bagian yang berbeda dari pertanyaan. Yang pertama memberi tahu Anda jenis antarmuka apa yang ada, yang kedua memberi tahu Anda jalur mana yang akan dipilih kernel, dan dua yang terakhir menunjukkan perilaku sebenarnya dari lapisan bawah alih-alih janji label.

Pengangkutan adalah keputusan terpisah dari keterjangkauan

Terowongan dapat membawa protokol yang tidak diteruskan lapisan bawah. IPv6 melalui jalur IPv4 adalah kasus klasiknya, dan itu berhasil karena titik akhir memahami kedua keluarga sementara router di antaranya hanya perlu mengantarkan paket luar. Lapisan bawah membutuhkan jalur yang berfungsi ke titik akhir terowongan dan tidak lebih.

Titik akhir, bagaimanapun, membutuhkan dukungan penuh: penerusan, alamat, dan aplikasi yang benar-benar menggunakan keluarga dalam. Menetapkan prefiks IPv6 ke terowongan tidak membuat layanan yang hanya berjalan dengan IPv4 dapat dijangkau melalui IPv6, dan tidak membuat lapisan bawah menjadi tumpukan ganda.

Pengangkutan frame adalah komitmen yang lebih besar daripada pengangkutan protokol. Memperluas domain siaran melintasi terowongan memindahkan perilaku spanning tree, ARP, dan penyebaran kegagalan bersamanya, yang merupakan keputusan desain dan bukan tombol fitur.

Isolasi bukan kerahasiaan

VPN penyedia menyimpan rute dan lalu lintas pelanggan dalam konteks penerusan terpisah, dan pemisahan itu nyata dan berharga. Itu bukan enkripsi. Spesifikasi BGP/MPLS VPN menyatakan secara eksplisit bahwa privasinya berasal dari model penerusan dan bukan dari kriptografi, dan itulah tepatnya perbedaan yang hilang dalam slide yang hanya mengatakan VPN.

Jika Anda membutuhkan kerahasiaan, Anda membutuhkan mekanisme kriptografis dengan autentikasi dan manajemen kunci, dan Anda perlu tahu di mana ia berakhir. Terowongan yang menyediakan pemisahan dan terowongan yang menyediakan enkripsi dapat berupa terowongan yang sama, tetapi hanya ketika seseorang mengonfigurasi keduanya.

Konsekuensi praktisnya adalah bahwa «itu ada di dalam VPN» menjawab pertanyaan tentang konteks perutean dan tidak memberi tahu Anda apa pun tentang siapa yang dapat membaca byte di jalur. Dua tim bisa sama-sama benar dan tetap menjelaskan hal yang berbeda. Ketika pertanyaan keamanan muncul, tanyakan di mana kriptografi berakhir dan apa yang mengautentikasi rekan, bukan apakah ada terowongan.

Latensi dan QoS mengikuti lapisan bawah

Tepi logis bukanlah jalur fisik yang lebih pendek. Paket luar masih melintasi tautan, antrean, dan penyedia yang sama, dan enkapsulasi menambahkan biaya per paket plus pemrosesan di kedua ujung. Terowongan bisa cepat karena lapisan bawahnya bagus, tidak pernah karena ia terowongan.

Perlakuan kualitas layanan lebih buruk dari itu, karena bergantung pada domain administratif yang mungkin tidak Anda kendalikan. Penandaan dalam harus dipetakan ke penandaan luar dengan sengaja, dan setiap penyedia di jalur harus menawarkan perlakuan yang Anda harapkan. Enkripsi tidak menciptakan prioritas; ia menyembunyikan bidang yang mungkin digunakan kotak tengah untuk mengklasifikasikan aliran.

Ukur lapisan bawah sebelum menjanjikan apa pun. Laporan yang menunjukkan penundaan stabil dan tanpa kehilangan pada jalur luar adalah bukti; diagram dengan terowongan di atasnya bukan.

Pilih terowongan untuk hubungan jaringan yang Anda butuhkan, lalu tentukan secara terpisah enkripsi, kebijakan akses, ukuran paket, dan kinerja. Empat keputusan, empat bukti, dan tidak ada satu label pun yang menggantikan salah satunya.