Туннель топологияны сатып алады, шифрлауды немесе кідірісті емес

Болжам — туннель жеке, жылдам сым: оны саласыз, ішіндегі трафик шифрланады, жол қысқарады және байланыс екі сайт арасындағы кабель сияқты әрекет етеді. Бұл болжамның әр бөлігі жеке қасиет, ал туннель тек сіз сұраған бірінші нәрсені, яғни логикалық жолды береді. Қалғанының бәрін әдейі таңдап, конфигурациялау керек. Қасиеттерді шатастыру — дизайнның ешкім жөндей алмайтын шифрланған байланыспен және ешкім орындай алмайтын кідіріс уәдесімен аяқталу жолы.

Миф: бір туннель, үш кепілдік

Туннель бір нәрсені сенімді жасайды. Ол тікелей қосылмаған екі шеткі нүктені қандай да бір мақсат үшін көршілес сияқты әрекет етуге мәжбүр етеді, ал аралық желі сыртқы пакеттерді тасымалдайды. Бұл топологияның өзгеруі және ол өздігінен шынымен пайдалы.

Шифрлау, протоколдарды тасымалдау және қайта жіберуді оқшаулау — оның үстіне қабатталатын жеке шешімдер. GRE туннелінде криптографиялық мағынада осы үшеудің бірде-бірі жоқ, ал IP-in-IP туннелі мүлде құпиясыз дұрыс дизайн. Олардың ешқайсысы қате емес; бұл туннельдер туннельдер жасайтын нәрсені дәл жасайды. Диаграммадағы жапсырма қандай қасиеттер бар екенін айтпайды.

Қасиеттерді бөлгеннен кейін сұрақтарға жауап беруге болады: бұл туннель маршруттау көршілігін тасымалдай ма, кадрларды тасымалдай ма, ішкі мекенжайларды жасыра ма, кідіріс туралы бірдеңе уәде ете ме? Бұл төрт түрлі жауап және төрт түрлі конфигурациялық салдар.

Туннель картаға іс жүзінде не қосады

Шеткі нүктелер бұрын болмаған жолға ие болады. Бұл жол маршрутталған секіріс сияқты ма әлде Ethernet сегменті сияқты ма, ол толығымен инкапсуляцияға байланысты, ал айырмашылық екі сайттың онымен не істей алатынын өзгертеді. Маршрутталған туннель сізге келесі секіріс пен префикс береді; Ethernet кеңейтуі тарату мінезін және әлдеқайда үлкен ақау доменін береді.

IP туннелі алыс сайтты автоматты түрде сол қосалқы желінің бөлігі етпейді және енгізу сол көршілікті қолдамаса, оның үстінен маршруттау протоколын жүргізбейді. Multicast — өз жауабы бар тағы бір жеке сұрақ.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Бұл командалар сұрақтың әртүрлі бөліктеріне жауап береді. Біріншісі қандай интерфейс бар екенін айтады, екіншісі ядро қандай жолды таңдайтынын айтады, ал соңғы екеуі жапсырманың уәдесін емес, төменгі қабаттың нақты мінезін көрсетеді.

Тасымалдау қолжетімділіктен бөлек шешім

Туннель төменгі қабат жібермейтін протоколды тасымалдай алады. IPv6-ның IPv4 жолының үстінен өтуі классикалық жағдай және ол жұмыс істейді, өйткені шеткі нүктелер екі отбасын да түсінеді, ал олардың арасындағы маршрутизаторлар тек сыртқы пакеттерді жеткізуі керек. Төменгі қабатқа туннельдің шетіне дейінгі жұмыс істейтін жол керек, одан артық емес.

Алайда шеткі нүктелерге толық қолдау керек: қайта жіберу, мекенжайлар және ішкі отбасын шынымен пайдаланатын қолданба. Туннельге IPv6 префиксін беру тек IPv4-пен жұмыс істейтін қызметті IPv6 арқылы қолжетімді етпейді және төменгі қабатты dual-stack етпейді.

Кадрларды тасымалдау протоколдарды тасымалдаудан үлкен міндеттеме. Тарату доменін туннель арқылы кеңейту spanning tree мінезін, ARP және ақаулардың таралуын бірге жылжытады, бұл мүмкіндік қосқышы емес, дизайн шешімі.

Оқшаулау құпиялылық емес

Провайдер VPN-тері клиент маршруттары мен трафигін бөлек қайта жіберу контексттерінде ұстайды, және бұл бөлу шынайы әрі құнды. Ол шифрлау емес. BGP/MPLS VPN спецификациясы оның құпиялылығы криптографиядан емес, қайта жіберу моделінен келетінін анық айтады, және дәл осы айырмашылық тек VPN дейтін слайдта жоғалады.

Егер сізге құпиялылық керек болса, аутентификация мен кілттерді басқаруы бар криптографиялық механизм керек және оның қайда аяқталатынын білуіңіз керек. Бөлуді қамтамасыз ететін туннель мен шифрлауды қамтамасыз ететін туннель бір туннель болуы мүмкін, бірақ тек біреу екеуін де конфигурациялаған кезде.

Практикалық салдар — «ол VPN ішінде» маршруттау контексті туралы сұраққа жауап береді және жолдағы байттарды кім оқи алатыны туралы ештеңе айтпайды. Екі команда да дұрыс бола алады және бәрібір әртүрлі нәрселерді сипаттай алады. Қауіпсіздік сұрағы туындағанда, туннель бар ма жоқ па емес, криптография қайда аяқталады және әріптестерді не аутентификациялайды деп сұраңыз.

Кідіріс пен QoS төменгі қабатқа ереді

Логикалық шет жақын физикалық жол емес. Сыртқы пакеттер әлі де сол байланыстар, кезектер және провайдерлер арқылы өтеді, ал инкапсуляция әр пакетке қосымша шығын мен екі шетте өңдеуді қосады. Туннель жылдам болуы мүмкін, өйткені төменгі қабат жақсы, ешқашан ол туннель болғандықтан емес.

Қызмет сапасын өңдеу одан да нашар, өйткені ол сіз бақыламайтын әкімшілік домендерге тәуелді. Ішкі таңбалаулар сыртқы таңбалауларға әдейі салыстырылуы керек және жолдағы әрбір провайдер күткен өңдеуді ұсынуы керек. Шифрлау басымдық жасамайды; ол аралық құрылғы ағынды жіктеу үшін пайдалануы мүмкін өрісті жасырады.

Бірдеңе уәде етпес бұрын төменгі қабатты өлшеңіз. Сыртқы жолда тұрақты кідіріс пен жоғалтудың жоқтығын көрсететін есеп дәлел; туннель салынған диаграмма дәлел емес.

Қажетті желілік қатынас үшін туннельді таңдаңыз, содан кейін шифрлауды, кіру саясатын, пакет өлшемін және өнімділікті бөлек көрсетіңіз. Төрт шешім, төрт дәлел және олардың ешқайсысының орнын басатын бірде-бір жапсырма жоқ.