გვირაბი ყიდულობს ტოპოლოგიას, არა დაშიფვრას ან შეყოვნებას

ვარაუდი ისაა, რომ გვირაბი კერძო, სწრაფი მავთულია: თქვენ აშენებთ მას, შიგნით ტრაფიკი დაშიფრულია, გზა უფრო მოკლეა და კავშირი იქცევა როგორც კაბელი ორ საიტს შორის. ამ ვარაუდის ყოველი ნაწილი ცალკე თვისებაა, და გვირაბი მხოლოდ იმ პირველს აძლევს, რაც თქვენ მოსთხოვეთ, ანუ ლოგიკურ გზას. ყველაფერი დანარჩენი განზრახ უნდა შეირჩეს და დაკონფიგურდეს. თვისებების აღრევა იწვევს იმას, რომ პროექტი მთავრდება დაშიფრული კავშირით, რომელსაც ვერავინ გაუგებს, და შეყოვნების დაპირებით, რომელსაც ვერავინ შეასრულებს.

მითი: ერთი გვირაბი, სამი გარანტია

გვირაბი საიმედოდ ერთ რამეს აკეთებს. ის ორ ბოლოს, რომლებიც პირდაპირ არ არიან დაკავშირებული, აიძულებს იქცეოდნენ როგორც მეზობლები რაღაც მიზნისთვის, ხოლო შუალედური ქსელი გარე პაკეტებს გადაიტანს. ეს ტოპოლოგიის ცვლილებაა და ის თავისთავად ნამდვილად სასარგებლოა.

დაშიფვრა, პროტოკოლის გადატანა და გადაგზავნის იზოლაცია ცალკე გადაწყვეტილებებია, რომლებიც ამის ზემოდან დაედება. GRE გვირაბს კრიპტოგრაფიული გაგებით სამიდან არც ერთი არ აქვს, ხოლო IP-in-IP გვირაბი ვალიდური პროექტია სრულიად კონფიდენციალურობის გარეშე. არც ერთი მათგანი შეცდომა არ არის; ეს გვირაბები აკეთებენ ზუსტად იმას, რასაც გვირაბები აკეთებენ. დიაგრამაზე არსებული იარლიყი არ გეუბნებათ, რომელი თვისებებია წარმოდგენილი.

როგორც კი გამოყოფთ თვისებებს, კითხვები პასუხისმგებელი ხდება: გადაიტანს ეს გვირაბი მარშრუტიზაციის მეზობლობას, გადაიტანს კადრებს, მალავს შიდა მისამართებს, ჰპირდება რამეს შეყოვნებაზე? ეს ოთხი განსხვავებული პასუხია ოთხი განსხვავებული კონფიგურაციის შედეგით.

რას უმატებს გვირაბი რეალურად რუკას

ბოლოები იღებენ გზას, რომელიც ადრე არ ჰქონდათ. ეს გზა მარშრუტიზებული ჰოპივით იქცევა თუ Ethernet სეგმენტივით, მთლიანად კაპსულაციაზეა დამოკიდებული, და განსხვავება ცვლის იმას, რისი გაკეთებაც ორ საიტს შეუძლია ამით. მარშრუტიზებული გვირაბი გაძლევთ შემდეგ ჰოპს და პრეფიქსს; Ethernet გაფართოება გაძლევთ ბროდკასტულ ქცევას და გაცილებით დიდი მარცხის დომენს.

IP გვირაბი ავტომატურად არ აქცევს დაშორებულ საიტს იმავე ქვექსელის ნაწილად, და არ აიძულებს მარშრუტიზაციის პროტოკოლს იმუშაოს მასზე, თუ იმპლემენტაცია ამ მეზობლობას არ უჭერს მხარს. Multicast კიდევ ერთი ცალკე კითხვაა თავისი პასუხით.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

ეს ბრძანებები კითხვის სხვადასხვა ნაწილს პასუხობს. პირველი გეუბნებათ, რა ტიპის ინტერფეისი არსებობს, მეორე გეუბნებათ, რომელ გზას აირჩევდა ბირთვი, ხოლო ბოლო ორი აჩვენებს ქვედა ფენის რეალურ ქცევას და არა იარლიყის დაპირებას.

გადატანა დამოუკიდებელი გადაწყვეტილებაა ხელმისაწვდომობისგან

გვირაბს შეუძლია გადაიტანოს პროტოკოლი, რომელსაც ქვედა ფენა არ გადასცემს. IPv6 IPv4 გზაზე კლასიკური შემთხვევაა, და ის მუშაობს, რადგან ბოლოებს ორივე ოჯახი ესმით, ხოლო მათ შორის მყოფ მარშრუტიზატორებს მხოლოდ გარე პაკეტების მიტანა სჭირდებათ. ქვედა ფენას სჭირდება მუშა გზა გვირაბის ბოლომდე და მეტი არაფერი.

თუმცა ბოლოებს სჭირდებათ სრული მხარდაჭერა: გადაგზავნა, მისამართები და აპლიკაცია, რომელიც ნამდვილად იყენებს შიდა ოჯახს. გვირაბისთვის IPv6 პრეფიქსის მინიჭება არ ხდის მხოლოდ IPv4-ზე მომუშავე სერვისს IPv6-ით ხელმისაწვდომს და არ ხდის ქვედა ფენას dual-stack-ს.

კადრების გადატანა უფრო დიდი ვალდებულებაა, ვიდრე პროტოკოლების გადატანა. ბროდკასტული დომენის გვირაბის გავლით გაფართოება თან მიაქვს spanning tree-ის ქცევას, ARP-ს და მარცხის გავრცელებას, რაც დიზაინის გადაწყვეტილებაა და არა ფუნქციის გადამრთველი.

იზოლაცია კონფიდენციალურობა არ არის

პროვაიდერის VPN-ები ინახავს მომხმარებლის მარშრუტებს და ტრაფიკს ცალკე გადაგზავნის კონტექსტებში, და ეს განცალკევება რეალური და ღირებულია. ის დაშიფვრა არ არის. BGP/MPLS VPN სპეციფიკაცია ცხადად ამბობს, რომ მისი კონფიდენციალურობა გადაგზავნის მოდელიდან მოდის და არა კრიპტოგრაფიიდან, და სწორედ ეს განსხვავება იკარგება სლაიდში, რომელიც უბრალოდ ამბობს VPN-ს.

თუ კონფიდენციალურობა გჭირდებათ, გჭირდებათ კრიპტოგრაფიული მექანიზმი ავთენტიფიკაციითა და გასაღების მართვით, და უნდა იცოდეთ სად მთავრდება ის. განცალკევების მომცემი გვირაბი და დაშიფვრის მომცემი გვირაბი შეიძლება ერთი და იგივე გვირაბი იყოს, მაგრამ მხოლოდ მაშინ, როცა ვიღაცამ ორივე დააკონფიგურა.

პრაქტიკული შედეგი ისაა, რომ «ის VPN-შია» პასუხობს კითხვას მარშრუტიზაციის კონტექსტზე და არაფერს გეუბნებათ იმაზე, თუ ვის შეუძლია გზაზე ბაიტების წაკითხვა. ორ გუნდს შეიძლება ორივეს ჰქონდეს მართალი და მაინც სხვადასხვა რამ აღწეროს. როცა უსაფრთხოების კითხვა დგება, ჰკითხეთ სად მთავრდება კრიპტოგრაფია და რა ავთენტიფიცირებს პირებს, და არა არსებობს თუ არა გვირაბი.

შეყოვნება და QoS მიჰყვებიან ქვედა ფენას

ლოგიკური კიდე უფრო მოკლე ფიზიკური გზა არ არის. გარე პაკეტები კვლავ გადის იმავე კავშირებს, რიგებსა და პროვაიდერებს, ხოლო კაპსულაცია ამატებს ყოველ პაკეტზე დანახარჯს და დამუშავებას ორივე ბოლოში. გვირაბი შეიძლება იყოს სწრაფი იმიტომ, რომ ქვედა ფენა კარგია, არასდროს იმიტომ, რომ ის გვირაბია.

მომსახურების ხარისხის დამუშავება ამაზე უარესია, რადგან ის დამოკიდებულია ადმინისტრაციულ დომენებზე, რომლებსაც შეიძლება არ აკონტროლებდეთ. შიდა ნიშნები განზრახ უნდა აისახოს გარე ნიშნებზე, და გზაზე ყველა პროვაიდერმა უნდა შემოგთავაზოთ ის დამუშავება, რომელსაც ელით. დაშიფვრა პრიორიტეტს არ ქმნის; ის მალავს ველს, რომელიც შუალედურმა მოწყობილობამ შეიძლება გამოიყენა ნაკადის კლასიფიკაციისთვის.

გაზომეთ ქვედა ფენა სანამ რამეს დაჰპირდებით. ანგარიში, რომელიც აჩვენებს სტაბილურ შეყოვნებას და დანაკარგის არარსებობას გარე გზაზე, მტკიცებულებაა; გვირაბით დიაგრამა არა.

აირჩიეთ გვირაბი თქვენთვის საჭირო ქსელური ურთიერთობისთვის, შემდეგ ცალ-ცალკე მიუთითეთ დაშიფვრა, წვდომის პოლიტიკა, პაკეტის ზომა და წარმადობა. ოთხი გადაწყვეტილება, ოთხი მტკიცებულება, და არც ერთი იარლიყი, რომელიც რომელიმე მათგანს ჩაანაცვლებს.