Göng kaupa staðfræði, ekki dulkóðun eða biðtíma

Forsendan er að göng séu einkalín og hröð: þú byggir þau, og umferðin inni er dulkóðuð, leiðin er styttri og tengingin hegðar sér eins og kapall milli tveggja staða. Hver hluti þessarar forsendu er sérstök eiginleiki, og göngin skila aðeins því fyrsta sem þú baðst um, það er rökréttri leið. Allt annað verður að velja og stilla viljandi. Að rugla saman eiginleikunum er hvernig hönnun endar með dulkóðaðri tengingu sem enginn getur villuleitað og loforði um biðtíma sem enginn getur staðið við.

Goðsögnin: ein göng, þrjár tryggingar

Göng gera einn hlut áreiðanlega. Þau láta tvo endapunkta sem eru ekki beintengdir hegða sér eins og þeir séu aðliggjandi í einhverjum tilgangi, á meðan netið á milli flytur ytri pakkana. Það er breyting á staðfræði, og hún er sannarlega gagnleg út af fyrir sig.

Dulkóðun, flutningur siðareglna og einangrun framsendingar eru aðskildar ákvarðanir sem lögð eru ofan á. GRE-göng hafa ekkert þessara þriggja í dulmálsfræðilegum skilningi, og IP-in-IP-göng eru gild hönnun alveg án trúnaðar. Hvort tveggja er ekki mistök; þetta eru göng sem gera nákvæmlega það sem göng gera. Merkið á skýringarmyndinni segir ekki hvaða eiginleikar eru til staðar.

Þegar þú aðskilur eiginleikana verða spurningarnar svarhæfar: flytja þessi göng routingu-nálægð, flytja þau ramma, fela þau innri vistföngin, lofa þau einhverju um seinkun? Þetta eru fjögur mismunandi svör með fjórum mismunandi stillingarafleiðingum.

Hvað göngin bæta í raun við kortið

Endapunktarnir fá leið sem þeir höfðu ekki áður. Hvort sú leið hegðar sér eins og routuð stökk eða eins og Ethernet-hluti fer algjörlega eftir umbúðunum, og munurinn breytir því hvað staðirnir tveir geta gert með hana. Routuð göng gefa þér næsta stökk og forskeyti; Ethernet-lenging gefa þér útvarpshegðun og mun stærra bilunarsvið.

IP-göng gera fjarlæga staðinn ekki sjálfkrafa að hluta af sama undirneti, og láta ekki routingu-siðareglu keyra yfir þau nema útfærslan styðji þá nálægð. Multicast er önnur aðskilin spurning með sitt eigið svar.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Þessar skipanir svara mismunandi hlutum spurningarinnar. Sú fyrsta segir hvers konar viðmót er til, sú önnur segir hvaða leið kjarninn myndi velja, og síðustu tvær sýna raunverulega hegðun undirlagsins frekar en loforð merkisins.

Flutningur er aðskilin ákvörðun frá aðgengi

Göng geta flutt siðareglu sem undirlagið sendir ekki áfram. IPv6 yfir IPv4-leið er hið klassíska tilfelli, og það virkar vegna þess að endapunktarnir skilja báðar fjölskyldurnar á meðan beinarleiðirnar á milli þurfa bara að afhenda ytri pakkana. Undirlagið þarf virka leið að endapunkti ganganna og ekkert meira.

Endapunktarnir þurfa hins vegar fullan stuðning: framsendingu, vistföng og forrit sem notar í raun innri fjölskylduna. Að úthluta IPv6-forskeyti til ganga gerir ekki þjónustu sem virkar aðeins með IPv4 aðgengilega yfir IPv6, og gerir undirlagið ekki dual-stack.

Flutningur ramma er meiri skuldbinding en flutningur siðareglna. Að teygja útvarpssvið yfir göng færir spanning-tree hegðun, ARP og útbreiðslu bilana með sér, sem er hönnunarákvörðun en ekki eiginleikarofrofi.

Einangrun er ekki trúnaður

VPN veitenda halda leiðum og umferð viðskiptavina í aðskildum framsendingarsamhengi, og sú aðskilnaður er raunverulegur og verðmætur. Hann er ekki dulkóðun. BGP/MPLS VPN forskriftin segir skýrt að friðhelgi hennar komi frá framsendingarlíkaninu en ekki dulmálsfræðinni, og það er einmitt greinarmunurinn sem týnist í glæru sem segir bara VPN.

Ef þú þarft trúnað þarftu dulmálsfræðilega aðferð með auðkenningu og lykilstjórnun, og þú þarft að vita hvar hún endar. Göng sem veita aðskilnað og göng sem veita dulkóðun geta verið sömu göngin, en aðeins þegar einhver hefur stillt bæði.

Hagnýta afleiðingin er sú að „það er í VPN“ svarar spurningu um routingu-samhengi og segir þér ekkert um hver getur lesið bætin á leiðinni. Tvö teymi geta bæði haft rétt fyrir sér og samt lýst mismunandi hlutum. Þegar öryggisspurningin kemur upp skaltu spyrja hvar dulmálsfræðin endar og hvað auðkennir jafningjana, ekki hvort göng séu til.

Biðtími og QoS fylgja undirlaginu

Rökrétt brún er ekki styttri líkamleg leið. Ytri pakkarnir fara enn um sömu tengingar, biðraðir og þjónustuveitendur, og umbúðir bæta við yfirhöfuði á hvern pakka auk vinnslu á báðum endum. Göng geta verið hröð vegna þess að undirlagið er gott, aldrei vegna þess að þau eru göng.

Meðferð þjónustugæða er verri en það, því hún fer eftir stjórnsýslusviðum sem þú stjórnar kannski ekki. Innri merkingar verða að varpa viljandi yfir á ytri merkingar, og hver veitandi á leiðinni verður að bjóða þá meðferð sem þú býst við. Dulkóðun skapar ekki forgang; hún felur reitinn sem millibox hefði getað notað til að flokka flæðið.

Mældu undirlagið áður en þú lofar einhverju. Skýrsla sem sýnir stöðuga seinkun og ekkert tap á ytri leiðinni er sönnun; skýringarmynd með göngum á er það ekki.

Veldu göngin fyrir netsambandið sem þú þarft, og tilgreindu síðan dulkóðun, aðgangstefnu, pakkastærð og afköst sérstaklega. Fjórar ákvarðanir, fjórar sannanir, og ekkert eitt merki sem stendur í stað nokkurs þeirra.