Туннель топологияны сатып алат, шифрлоону же кечигүүнү эмес

Божомол — туннель жеке, ылдам зым: аны курасыз, ичиндеги трафик шифрленет, жол кыскарат жана байланыш эки сайттын ортосундагы кабель сыяктуу жүрүм-турум көрсөтөт. Бул божомолдун ар бир бөлүгү өзүнчө касиет, ал эми туннель сиз сураган биринчи нерсени гана, башкача айтканда логикалык жолду берет. Калган баарын атайын тандап, конфигурациялоо керек. Касиеттерди аралаштыруу — долбоордун эч ким оңдой албаган шифрленген байланыш жана эч ким аткара албаган кечигүү убадасы менен аякташынын жолу.

Миф: бир туннель, үч кепилдик

Туннель бир нерсени ишенимдүү кылат. Ал түз туташпаган эки учту кандайдыр бир максат үчүн кошуна сыяктуу жүрүм-турумга мажбурлайт, ал эми ортодогу тармак сырткы пакеттерди ташыйт. Бул топологиянын өзгөрүшү жана ал өзүнчө чын эле пайдалуу.

Шифрлоо, протоколдорду ташуу жана кайра жөнөтүүнү обочолоштуруу — анын үстүнө катмарланган өзүнчө чечимдер. GRE туннелинде криптографиялык мааниде ошол үчөөнүн бири да жок, ал эми IP-in-IP туннели такыр купуялуулугу жок туура долбоор. Алардын эч бири ката эмес; бул туннелдер туннелдер кылган нерсени так кылат. Диаграммадагы белги кайсы касиеттер бар экенин айтпайт.

Касиеттерди бөлгөндөн кийин суроолорго жооп берүүгө болот: бул туннель маршруттоо коңшулугун ташыйбы, кадрларды ташыйбы, ички даректерди жашырабы, кечигүү тууралуу бир нерсе убада кылабы? Бул төрт башка жооп жана төрт башка конфигурациялык натыйжа.

Туннель картага иш жүзүндө эмне кошот

Учтар мурун болбогон жолго ээ болушат. Бул жол маршрутталган секирик сыяктуубу же Ethernet сегменти сыяктуубу, ал толугу менен инкапсуляцияга көз каранды, ал эми айырма эки сайт аны менен эмне кыла аларын өзгөртөт. Маршрутталган туннель сизге кийинки секирик жана префикс берет; Ethernet кеңейтүүсү трансляция жүрүм-турумун жана алда канча чоң бузулуу доменин берет.

IP туннели алыскы сайтты автоматтык түрдө ошол эле субнеттин бөлүгү кылбайт жана ишке ашыруу ошол коңшулукту колдобосо, анын үстүнөн маршруттоо протоколун жүргүзбөйт. Multicast — өз жообу бар дагы бир өзүнчө суроо.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Бул буйруктар суроонун ар башка бөлүктөрүнө жооп берет. Биринчиси кандай интерфейс бар экенин айтат, экинчиси ядро кайсы жолду тандаарын айтат, акыркы экөө белгинин убадасын эмес, төмөнкү катмардын чыныгы жүрүм-турумун көрсөтөт.

Ташуу жеткиликтүүлүктөн өзүнчө чечим

Туннель төмөнкү катмар жибербеген протоколду ташый алат. IPv6нын IPv4 жолунун үстүнөн өтүшү классикалык учур жана ал иштейт, анткени учтар эки үй-бүлөнү тең түшүнөт, ал эми алардын ортосундагы маршрутизаторлор сырткы пакеттерди жеткирсе болот. Төмөнкү катмарга туннелдин учуна чейин иштеген жол керек, андан ашык эмес.

Бирок учтарга толук колдоо керек: кайра жөнөтүү, даректер жана ички үй-бүлөнү чындап колдонгон колдонмо. Туннелге IPv6 префиксин берүү IPv4 менен гана иштеген кызматты IPv6 аркылуу жеткиликтүү кылбайт жана төмөнкү катмарды dual-stack кылбайт.

Кадрларды ташуу протоколдорду ташуудан чоң милдеттенме. Трансляция доменин туннель аркылуу кеңейтүү spanning tree жүрүм-турумун, ARP жана бузулуулардын таралышын чогуу жылдырат, бул функция которгучу эмес, долбоордук чечим.

Обочолоштуруу купуялуулук эмес

Провайдер VPNдери кардарлардын маршруттары менен трафигин өзүнчө кайра жөнөтүү контексттеринде сактайт, жана бул бөлүнүү чыныгы жана баалуу. Ал шифрлоо эмес. BGP/MPLS VPN спецификациясы анын купуялуулугу криптографиядан эмес, кайра жөнөтүү моделинен келерин ачык айтат, жана дал ушул айырма VPN деп гана айткан слайдда жоголот.

Эгер сизге купуялуулук керек болсо, аутентификация жана ачкыч башкаруусу бар криптографиялык механизм керек жана анын кайда бүтөөрүн билүүңүз керек. Бөлүүнү камсыз кылган туннель жана шифрлоону камсыз кылган туннель бир эле туннель болушу мүмкүн, бирок кимдир бирөө экөөнү тең конфигурациялаганда гана.

Практикалык натыйжа — «ал VPN ичинде» маршруттоо контексти тууралуу суроого жооп берет жана жолдогу байттарды ким окуй алары тууралуу эч нерсе айтпайт. Эки команда тең туура болушу мүмкүн жана баары бир башка нерселерди сүрөттөшү мүмкүн. Коопсуздук суроосу көтөрүлгөндө, туннель барбы-жокпу эмес, криптография кайда бүтөт жана өнөктөштөрдү эмне аутентификациялайт деп сураңыз.

Кечигүү жана QoS төмөнкү катмарга ээрчийт

Логикалык чети кыскараак физикалык жол эмес. Сырткы пакеттер дагы эле ошол эле байланыштар, кезектер жана провайдерлер аркылуу өтөт, ал эми инкапсуляция ар бир пакетке кошумча чыгымды жана эки учта иштетүүнү кошот. Туннель ылдам болушу мүмкүн, анткени төмөнкү катмар жакшы, эч качан ал туннель болгондуктан эмес.

Кызмат сапатын иштетүү андан да начар, анткени ал сиз көзөмөлдөбөгөн административдик домендерге көз каранды. Ички белгилер сырткы белгилерге атайын картага түшүрүлүшү керек жана жолдогу ар бир провайдер сиз күткөн иштетүүнү сунушу керек. Шифрлоо артыкчылык жаратпайт; ал ортодогу түзмөк агымды классификациялоо үчүн колдонушу мүмкүн болгон талааны жашырат.

Бир нерсе убада кылбастан мурун төмөнкү катмарды өлчөңүз. Сырткы жолдо туруктуу кечигүү жана жоготуу жок экенин көрсөткөн отчет далил; туннель тартылган диаграмма далил эмес.

Керектүү тармактык мамиле үчүн туннелди тандаңыз, андан кийин шифрлоону, кирүү саясатын, пакеттин өлчөмүн жана өндүрүмдүүлүктү өзүнчө көрсөтүңүз. Төрт чечим, төрт далил жана алардын эч биринин ордун басмай турган бир да белги жок.