En Tunnel kaaft Topologie, net Verschlësselung oder Latenz

D'Annam ass, datt en Tunnel eng privat, séier Leitung ass: Dir baut een, an den Traffic bannen ass verschlësselt, de Wee ass méi kuerz an d'Verbindung verhält sech wéi e Kabel tëscht zwee Siten. All Deel vun dëser Annam ass eng eege Proprietéit, an den Tunnel liwwert just dat éischt, wat Dir vun him gefrot hutt, nämlech en logesche Wee. Alles anescht muss bewosst gewielt a konfiguréiert ginn. D'Proprietéiten ze verwiesselen ass de Wee, wéi en Design mat enger verschlësselter Verbindung ophält, déi kee kann diagnoseéieren, an engem Latenzverspriechen, dat kee kann halen.

De Mythos: een Tunnel, dräi Garantien

En Tunnel mécht eng Saach zouverlässeg. Hie bréngt zwee Endpunkten, déi net direkt verbonne sinn, dozou, sech fir en Zweck wéi Nopere ze verhalen, wärend d'Netzwierk dertëscht d'äusserst Pakete transportéiert. Dat ass eng Topologieännerung, an se ass fir sech genuch nëtzlech.

Verschlësselung, Protokolltransport a Weiderleedungsisolatioun sinn separat Entscheedungen, déi drop leien. En GRE-Tunnel huet keng vun den dräi am kryptographeschen Sënn, an en IP-in-IP-Tunnel ass en valabel Design ganz ouni Vertraulechkeet. Keng vun deenen ass e Feeler; et sinn Tunnelen, déi genee dat maachen, wat Tunnelen maachen. Den Etikett um Diagramm seet net, wéi eng Proprietéiten do sinn.

Wann Dir d'Proprietéiten trennt, ginn d'Froe beäntwerbar: dréit dësen Tunnel eng Routing-Nopeschschaft, dréit en Frameen, verstoppt en déi bannenzeg Adressen, versprécht en eppes iwwer d'Verzögerung? Dat sinn véier verschidden Äntwerten mat véier verschiddenen Konfiguratiounsfolgen.

Wat den Tunnel tatsächlech op d'Kaart bäisetzt

D'Endpunkte kréien e Wee, deen se virdrun net haten. Ob dee Wee sech wéi en gerouteten Hop oder wéi en Ethernet-Segment verhält, hänkt komplett vun der Kapselung of, an den Ënnerscheed ännert, wat déi zwou Siten domat kënnen maachen. En gerouteten Tunnel gëtt Iech en nächsten Hop an e Präfix; eng Ethernet-Erweiderung gëtt Iech Broadcast-Verhalen an eng vill méi grouss Feelerdomän.

En IP-Tunnel mécht dee wäite Site net automatesch zu engem Deel vum selwechten Subnetz, an hie léisst en Routingprotokoll net driwwer lafen, ausser d'Implementatioun ënnerstëtzt déi Nopeschschaft. Multicast ass eng aner separat Fro mat hirer eegener Äntwert.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Dës Kommandoen beäntweren verschidden Deeler vun der Fro. Déi éischt seet, wéi eng Zort Interface et gëtt, déi zweet seet, wéi ee Wee de Kernel wielen géif, an déi lescht zwou weisen d'tatsächlech Verhalen vum Underlay amplaz d'Verspriechen vum Etikett.

Transport ass eng separat Entscheedung vun der Erreechbarkeet

En Tunnel kann e Protokoll transportéieren, deen den Underlay net weiderleet. IPv6 iwwer en IPv4-Wee ass de klassesche Fall, an et funktionéiert, well d'Endpunkten déi zwou Famillje verstinn, wärend d'Routeren dertëscht just déi äusserst Pakete mussen ausliwweren. Den Underlay brauch en funktionéierende Wee bis zum Tunnelendpunkt an näischt méi.

D'Endpunkten brauchen awer voll Ënnerstëtzung: Weiderleedung, Adressen an eng Applikatioun, déi déi bannenzeg Famill tatsächlech benotzt. Engem Tunnel en IPv6-Präfix ze ginn mécht en Déngscht, deen nëmme mat IPv4 funktionéiert, net iwwer IPv6 erreechbar, an et mécht den Underlay net dual-stack.

Frametransport ass eng méi grouss Verflichtung wéi Protokolltransport. En Broadcast-Domän iwwer en Tunnel auszebauen beweegt Spanning-Tree-Verhalen, ARP an d'Feelerausbreedung mat, wat eng Designentscheedung an net en Funktiounsschalter ass.

Isolatioun ass keng Vertraulechkeet

Provider-VPNen halen d'Clientrouten an den Traffic an separate Weiderleedungskontexter, an déi Trennung ass real a wäertvoll. Et ass keng Verschlësselung. BGP/MPLS VPN-Spezifikatioun seet ausdrécklech, datt hir Privatheet aus dem Weiderleedungsmodell kënnt an net aus der Kryptographie, an dat ass genee den Ënnerscheed, deen an enger Folie verluer geet, déi just VPN seet.

Wann Dir Vertraulechkeet braucht, braucht Dir e kryptographesche Mechanismus mat Authentifikatioun a Schlësselverwaltung, an Dir musst wëssen, wou en ophält. En Tunnel, deen Trennung bitt, an en Tunnel, deen Verschlësselung bitt, kënnen dee selwechten Tunnel sinn, awer nëmmen wann een allebéid konfiguréiert huet.

D'praktesch Konsequenz ass, datt „et ass an engem VPN“ eng Fro iwwer de Routingkontext beäntwert an Iech näischt seet iwwer wien d'Byten um Wee liesen kann. Zwee Teams kënnen allebéid recht hunn an trotzdem verschidden Saachen beschreiwen. Wann d'Sécherheetsfro opkënnt, froe si wou d'Kryptographie ophält a wat d'Peeren authentifizéiert, net ob en Tunnel existéiert.

Latenz a QoS follegen dem Underlay

Eng logesch Kante ass keen méi kuerze physesche Wee. Déi äusserst Pakete goen nach ëmmer duerch déiselwecht Verbindungen, Schlaangen a Provider, an d'Kapselung bäisetzt Overhead pro Paket plus Veraarbechtung op béide Säiten. En Tunnel kann séier sinn, well den Underlay gutt ass, ni well en en Tunnel ass.

D'Behandlung vun der Déngschtqualitéit ass nach méi schlëmm, well se vun administrativen Domänen ofhängt, déi Dir vläicht net kontrolléiert. Bannenzeg Markéierungen mussen absichtlech op baussenzeg Markéierungen ofgebilt ginn, an all Provider um Wee muss d'Behandlung ubidden, déi Dir erwaart. Verschlësselung schaaft keng Prioritéit; se verstoppt d'Feld, dat e Mëttelbox vläicht benotzt hätt, fir de Flux ze klassifizéieren.

Moosst den Underlay, ier Dir eppes versprécht. E Rapport, dee stabile Verzögerung a kee Verloscht um baussenzege Wee weist, ass e Beweis; en Diagramm mat engem Tunnel drop ass et net.

Wielt den Tunnel fir d'Netzwierkbezéiung, déi Dir braucht, a spezifizéiert duerno Verschlësselung, Zougangspolitik, Paketgréisst a Leeschtung getrennt. Véier Entscheedungen, véier Beweiser, an keen eenzegen Etikett, dee fir eng vun hinnen steet.