Тунелот купува топологија, не шифрирање или латентност

Претпоставката е дека тунелот е приватна, брза жица: го градите, а сообраќајот внатре е шифриран, патеката е пократка и врската се однесува како кабел меѓу две локации. Секој дел од таа претпоставка е посебно својство, а тунелот го дава само првото нешто што го баравте, односно логичка патека. Сето друго мора намерно да се избере и конфигурира. Мешањето на својствата е начинот на кој дизајнот завршува со шифрирана врска што никој не може да ја дијагностицира и со ветување за латентност што никој не може да го исполни.

Мит: еден тунел, три гаранции

Тунелот сигурно прави една работа. Ги прави двата краја што не се директно поврзани да се однесуваат како соседни за некоја цел, додека мрежата помеѓу ги пренесува надворешните пакети. Тоа е промена на топологијата и таа сама по себе е навистина корисна.

Шифрирањето, пренесувањето протоколи и изолацијата на проследувањето се посебни одлуки наредени врз него. GRE тунелот нема ниту едно од трите во криптографска смисла, а IP-in-IP тунелот е валиден дизајн сосема без доверливост. Ниту едно од двете не е грешка; тие се тунели што го прават точно она што го прават тунелите. Ознаката на дијаграмот не кажува кои својства се присутни.

Откако ќе ги одделите својствата, прашањата стануваат одговорливи: дали овој тунел пренесува соседство за рутирање, дали пренесува рамки, дали ги крие внатрешните адреси, дали ветува нешто за доцнењето? Тоа се четири различни одговори со четири различни конфигурациски последици.

Што всушност додава тунелот на картата

Крајните точки добиваат патека што претходно ја немале. Дали таа патека се однесува како рутиран скок или како Ethernet сегмент зависи целосно од инкапсулацијата, а разликата менува што двете локации можат да прават со неа. Рутиран тунел ви дава следен скок и префикс; Ethernet продолжување ви дава однесување на емитување и многу поголем домен на дефект.

IP тунелот не ја прави далечната локација автоматски дел од истата подмрежа и не прави протокол за рутирање да работи преку него, освен ако имплементацијата не го поддржува тоа соседство. Multicast е уште едно посебно прашање со свој одговор.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Тие команди одговараат на различни делови од прашањето. Првата кажува каков интерфејс постои, втората кажува која патека би ја избрало јадрото, а последните две го покажуваат вистинското однесување на долниот слој наместо ветувањето на ознаката.

Пренесувањето е посебна одлука од достапноста

Тунелот може да пренесува протокол што долниот слој не го проследува. IPv6 преку IPv4 патека е класичниот случај и работи затоа што крајните точки ги разбираат двете фамилии, додека рутерите меѓу нив треба само да ги достават надворешните пакети. На долниот слој му треба работна патека до крајот на тунелот и ништо повеќе.

Крајните точки, сепак, бараат целосна поддршка: проследување, адреси и апликација што навистина ја користи внатрешната фамилија. Доделувањето на IPv6 префикс на тунел не прави услуга што работи само со IPv4 да биде достапна преку IPv6 и не го прави долниот слој dual-stack.

Пренесувањето рамки е поголем ангажман од пренесувањето протоколи. Проширувањето на домен на емитување преку тунел со себе го преместува однесувањето на spanning tree, ARP и ширењето дефекти, што е дизајнерска одлука, а не прекинувач на функција.

Изолацијата не е доверливост

Провајдерските VPN ги држат рутите и сообраќајот на клиентите во посебни контексти за проследување и тоа разделување е вистинско и вредно. Тоа не е шифрирање. Спецификацијата за BGP/MPLS VPN јасно кажува дека неговата приватност доаѓа од моделот на проследување, а не од криптографијата, и токму таа разлика се губи на слајд што само вели VPN.

Ако ви треба доверливост, ви треба криптографски механизам со автентикација и управување со клучеви, и треба да знаете каде завршува. Тунел што обезбедува разделување и тунел што обезбедува шифрирање можат да бидат истиот тунел, но само кога некој ги конфигурирал и двете.

Практичната последица е дека „тоа е во VPN“ одговара на прашање за контекстот на рутирање и не ви кажува ништо за тоа кој може да ги чита бајтите на патеката. Два тима можат и двата да бидат во право, а сепак да опишуваат различни работи. Кога ќе се постави безбедносното прашање, прашајте каде завршува криптографијата и што ги автентицира партнерите, а не дали постои тунел.

Латентноста и QoS го следат долниот слој

Логичниот раб не е пократка физичка патека. Надворешните пакети и понатаму ги минуваат истите врски, редици и провајдери, а инкапсулацијата додава трошок по пакет плус обработка на двата краја. Тунелот може да биде брз затоа што долниот слој е добар, никогаш затоа што е тунел.

Третирањето на квалитетот на услугата е полошо од тоа, бидејќи зависи од административни домени што можеби не ги контролирате. Внатрешните ознаки мора намерно да се мапираат на надворешните, и секој провајдер на патеката мора да го понуди третирањето што го очекувате. Шифрирањето не создава приоритет; тоа го крие полето што средно уред можеби го користело за класификација на текот.

Измерете го долниот слој пред да ветите нешто. Извештајот што покажува стабилно доцнење и без загуби на надворешната патека е доказ; дијаграм со тунел на него не е.

Изберете го тунелот за мрежниот однос што ви треба, потоа одделно наведете шифрирање, политика за пристап, големина на пакет и перформанси. Четири одлуки, четири докази и ниту една ознака што стои наместо која било од нив.