ടണൽ വാങ്ങുന്നത് ടോപ്പോളജിയാണ്, എൻക്രിപ്ഷനോ ലേറ്റൻസിയോ അല്ല

അനുമാനം ഇതാണ്: ഒരു ടണൽ ഒരു സ്വകാര്യ, വേഗതയേറിയ വയർ ആണ്: നിങ്ങൾ അത് നിർമ്മിക്കുന്നു, ഉള്ളിലെ ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യപ്പെടുന്നു, പാത ചെറുതാകുന്നു, കൂടാതെ ലിങ്ക് രണ്ട് സൈറ്റുകൾക്കിടയിലുള്ള ഒരു കേബിൾ പോലെ പ്രവർത്തിക്കുന്നു. ആ അനുമാനത്തിന്റെ ഓരോ ഭാഗവും വെവ്വേറെയുള്ള ഒരു ഗുണമാണ്, ടണൽ നിങ്ങൾ അതിനോട് ആവശ്യപ്പെട്ട ആദ്യത്തെ കാര്യം മാത്രമേ നൽകുന്നുള്ളൂ, അതായത് ഒരു ലോജിക്കൽ പാത. ബാക്കിയെല്ലാം ബോധപൂർവ്വം തിരഞ്ഞെടുത്ത് കോൺഫിഗർ ചെയ്യണം. ഗുണങ്ങൾ കൂട്ടിക്കുഴയ്ക്കുന്നതാണ് ഒരു ഡിസൈൻ ആർക്കും പരിഹരിക്കാനാകാത്ത എൻക്രിപ്റ്റ് ചെയ്ത ലിങ്കിലും ആർക്കും പാലിക്കാനാകാത്ത ലേറ്റൻസി വാഗ്ദാനത്തിലും എത്തിച്ചേരുന്നതിന്റെ വഴി.

മിത്ത്: ഒരു ടണൽ, മൂന്ന് ഉറപ്പുകൾ

ഒരു ടണൽ ഒരു കാര്യം വിശ്വസനീയമായി ചെയ്യുന്നു. നേരിട്ട് ബന്ധിപ്പിച്ചിട്ടില്ലാത്ത രണ്ട് അറ്റങ്ങളെ ഏതോ ഉദ്ദേശത്തിനായി അടുത്തുള്ളവ പോലെ പ്രവർത്തിക്കാൻ അത് നിർബന്ധിക്കുന്നു, ഇടയിലുള്ള നെറ്റ്വർക്ക് പുറത്തുള്ള പാക്കറ്റുകൾ വഹിക്കുന്നു. അത് ഒരു ടോപ്പോളജി മാറ്റമാണ്, അത് സ്വതന്ത്രമായി തന്നെ ശരിക്കും ഉപയോഗപ്രദമാണ്.

എൻക്രിപ്ഷൻ, പ്രോട്ടോക്കോൾ വഹനം, ഫോർവേഡിംഗ് ഐസൊലേഷൻ എന്നിവ അതിനു മുകളിൽ പാളികളായി വയ്ക്കുന്ന വേറിട്ട തീരുമാനങ്ങളാണ്. GRE ടണലിന് ക്രിപ്റ്റോഗ്രാഫിക് അർത്ഥത്തിൽ മൂന്നിൽ ഒന്നുമില്ല, IP-in-IP ടണൽ പൂർണ്ണമായും രഹസ്യാത്മകതയില്ലാത്ത ഒരു സാധുവായ ഡിസൈനാണ്. അവയൊന്നും തെറ്റല്ല; ടണലുകൾ ചെയ്യുന്നത് കൃത്യമായി ചെയ്യുന്ന ടണലുകളാണ്. ഡയഗ്രാമിലെ ലേബൽ ഏത് ഗുണങ്ങളുണ്ടെന്ന് പറയുന്നില്ല.

ഗുണങ്ങൾ വേർതിരിച്ചാൽ ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകാനാകും: ഈ ടണൽ റൂട്ടിംഗ് അയൽബന്ധം വഹിക്കുന്നുണ്ടോ, ഫ്രെയിമുകൾ വഹിക്കുന്നുണ്ടോ, ഉള്ളിലെ വിലാസങ്ങൾ മറയ്ക്കുന്നുണ്ടോ, കാലതാമസത്തെക്കുറിച്ച് എന്തെങ്കിലും വാഗ്ദാനം ചെയ്യുന്നുണ്ടോ? അവ നാല് വ്യത്യസ്ത ഉത്തരങ്ങളും നാല് വ്യത്യസ്ത കോൺഫിഗറേഷൻ പരിണിതഫലങ്ങളുമാണ്.

ടണൽ യഥാർത്ഥത്തിൽ ഭൂപടത്തിലേക്ക് എന്ത് ചേർക്കുന്നു

അറ്റങ്ങൾക്ക് മുമ്പില്ലാത്ത ഒരു പാത ലഭിക്കുന്നു. ആ പാത ഒരു റൂട്ട് ചെയ്ത ഹോപ്പ് പോലെയോ Ethernet സെഗ്മെന്റ് പോലെയോ പ്രവർത്തിക്കുന്നുവെന്നത് പൂർണ്ണമായും എൻക്യാപ്സുലേഷനെ ആശ്രയിച്ചിരിക്കുന്നു, ആ വ്യത്യാസം രണ്ട് സൈറ്റുകൾക്ക് അതുകൊണ്ട് എന്ത് ചെയ്യാമെന്ന് മാറ്റുന്നു. റൂട്ട് ചെയ്ത ടണൽ നിങ്ങൾക്ക് അടുത്ത ഹോപ്പും പ്രിഫിക്സും നൽകുന്നു; Ethernet വിപുലീകരണം ബ്രോഡ്കാസ്റ്റ് പെരുമാറ്റവും വളരെ വലിയ പരാജയ ഡൊമെയ്നും നൽകുന്നു.

IP ടണൽ വിദൂര സൈറ്റിനെ സ്വയമേവ ഒരേ സബ്നെറ്റിന്റെ ഭാഗമാക്കുന്നില്ല, ഇംപ്ലിമെന്റേഷൻ ആ അയൽബന്ധത്തെ പിന്തുണയ്ക്കുന്നില്ലെങ്കിൽ അതിലൂടെ ഒരു റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ പ്രവർത്തിപ്പിക്കുന്നുമില്ല. Multicast അതിന്റേതായ ഉത്തരമുള്ള മറ്റൊരു വേറിട്ട ചോദ്യമാണ്.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

ആ കമാൻഡുകൾ ചോദ്യത്തിന്റെ വ്യത്യസ്ത ഭാഗങ്ങൾക്ക് ഉത്തരം നൽകുന്നു. ആദ്യത്തേത് ഏത് തരത്തിലുള്ള ഇന്റർഫേസ് ഉണ്ടെന്ന് പറയുന്നു, രണ്ടാമത്തേത് കെർണൽ ഏത് പാത തിരഞ്ഞെടുക്കുമെന്ന് പറയുന്നു, അവസാന രണ്ടെണ്ണം ലേബലിന്റെ വാഗ്ദാനത്തിന് പകരം അടിസ്ഥാന പാളിയുടെ യഥാർത്ഥ പെരുമാറ്റം കാണിക്കുന്നു.

വഹനം ലഭ്യതയിൽ നിന്ന് വേറിട്ട ഒരു തീരുമാനമാണ്

അടിസ്ഥാന പാളി ഫോർവേഡ് ചെയ്യാത്ത ഒരു പ്രോട്ടോക്കോൾ ടണലിന് വഹിക്കാനാകും. IPv4 പാതയിലൂടെയുള്ള IPv6 ആണ് ക്ലാസിക് കേസ്, അത് പ്രവർത്തിക്കുന്നത് അറ്റങ്ങൾ രണ്ട് കുടുംബങ്ങളെയും മനസ്സിലാക്കുന്നതുകൊണ്ടാണ്, അവയ്ക്കിടയിലുള്ള റൂട്ടറുകൾ പുറത്തുള്ള പാക്കറ്റുകൾ എത്തിച്ചാൽ മതി. അടിസ്ഥാന പാളിക്ക് ടണലിന്റെ അറ്റം വരെ പ്രവർത്തിക്കുന്ന ഒരു പാത മാത്രം മതി, അതിൽ കൂടുതലൊന്നുമില്ല.

എന്നാൽ അറ്റങ്ങൾക്ക് പൂർണ്ണ പിന്തുണ വേണം: ഫോർവേഡിംഗ്, വിലാസങ്ങൾ, ഉള്ളിലെ കുടുംബം യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന ഒരു ആപ്ലിക്കേഷൻ. ഒരു ടണലിന് IPv6 പ്രിഫിക്സ് നൽകുന്നത് IPv4 മാത്രം ഉപയോഗിക്കുന്ന സേവനത്തെ IPv6 വഴി ലഭ്യമാക്കുന്നില്ല, അടിസ്ഥാന പാളിയെ dual-stack ആക്കുന്നുമില്ല.

ഫ്രെയിം വഹനം പ്രോട്ടോക്കോൾ വഹനത്തേക്കാൾ വലിയ പ്രതിബദ്ധതയാണ്. ഒരു ടണലിലൂടെ ബ്രോഡ്കാസ്റ്റ് ഡൊമെയ്ൻ വ്യാപിപ്പിക്കുന്നത് spanning tree പെരുമാറ്റവും ARP-യും പരാജയ വ്യാപനവും കൂടെ കൊണ്ടുപോകുന്നു, അത് ഫീച്ചർ ടോഗിളല്ല, ഒരു ഡിസൈൻ തീരുമാനമാണ്.

ഐസൊലേഷൻ രഹസ്യാത്മകതയല്ല

പ്രൊവൈഡർ VPN-കൾ ഉപഭോക്തൃ റൂട്ടുകളും ട്രാഫിക്കും വേറിട്ട ഫോർവേഡിംഗ് സന്ദർഭങ്ങളിൽ സൂക്ഷിക്കുന്നു, ആ വേർതിരിവ് യഥാർത്ഥവും മൂല്യവത്തുമാണ്. അത് എൻക്രിപ്ഷനല്ല. BGP/MPLS VPN സ്പെസിഫിക്കേഷൻ അതിന്റെ സ്വകാര്യത ക്രിപ്റ്റോഗ്രാഫിയിൽ നിന്നല്ല, ഫോർവേഡിംഗ് മോഡലിൽ നിന്നാണ് വരുന്നതെന്ന് വ്യക്തമായി പറയുന്നു, VPN എന്ന് മാത്രം പറയുന്ന ഒരു സ്ലൈഡിൽ നഷ്ടപ്പെടുന്നത് കൃത്യമായി ആ വ്യത്യാസമാണ്.

നിങ്ങൾക്ക് രഹസ്യാത്മകത വേണമെങ്കിൽ, ഓതന്റിക്കേഷനും കീ മാനേജ്മെന്റും ഉള്ള ഒരു ക്രിപ്റ്റോഗ്രാഫിക് സംവിധാനം വേണം, അത് എവിടെ അവസാനിക്കുന്നുവെന്ന് അറിയണം. വേർതിരിവ് നൽകുന്ന ടണലും എൻക്രിപ്ഷൻ നൽകുന്ന ടണലും ഒരേ ടണലാകാം, പക്ഷേ ആരെങ്കിലും രണ്ടും കോൺഫിഗർ ചെയ്താൽ മാത്രം.

പ്രായോഗിക പരിണിതഫലം ഇതാണ്: «അത് VPN-ൽ ഉണ്ട്» എന്നത് റൂട്ടിംഗ് സന്ദർഭത്തെക്കുറിച്ചുള്ള ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു, പാതയിലെ ബൈറ്റുകൾ ആർക്ക് വായിക്കാമെന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. രണ്ട് ടീമുകൾക്കും ഒരുപോലെ ശരിയാകാം, എന്നിട്ടും വ്യത്യസ്ത കാര്യങ്ങൾ വിവരിക്കാം. സുരക്ഷാ ചോദ്യം ഉയരുമ്പോൾ, ടണൽ ഉണ്ടോ എന്നല്ല, ക്രിപ്റ്റോഗ്രാഫി എവിടെ അവസാനിക്കുന്നു എന്നും എന്താണ് പിയറുകളെ ഓതന്റിക്കേറ്റ് ചെയ്യുന്നതെന്നും ചോദിക്കുക.

ലേറ്റൻസിയും QoS-ഉം അടിസ്ഥാന പാളിയെ പിന്തുടരുന്നു

ലോജിക്കൽ അറ്റം ചെറിയ ഭൗതിക പാതയല്ല. പുറത്തുള്ള പാക്കറ്റുകൾ ഇപ്പോഴും അതേ ലിങ്കുകൾ, ക്യൂകൾ, പ്രൊവൈഡർമാർ എന്നിവയിലൂടെ കടന്നുപോകുന്നു, എൻക്യാപ്സുലേഷൻ ഓരോ പാക്കറ്റിനും അധിക ചെലവും രണ്ട് അറ്റങ്ങളിലും പ്രോസസ്സിംഗും ചേർക്കുന്നു. ടണൽ വേഗത്തിലാകാം, കാരണം അടിസ്ഥാന പാളി നല്ലതാണ്, ടണലായതുകൊണ്ട് ഒരിക്കലുമല്ല.

സേവന ഗുണനിലവാരത്തിന്റെ കൈകാര്യം അതിനെക്കാൾ മോശമാണ്, കാരണം അത് നിങ്ങൾ നിയന്ത്രിച്ചെന്ന് വരാത്ത അഡ്മിനിസ്ട്രേറ്റീവ് ഡൊമെയ്നുകളെ ആശ്രയിച്ചിരിക്കുന്നു. ഉള്ളിലെ അടയാളങ്ങൾ ബോധപൂർവ്വം പുറത്തുള്ള അടയാളങ്ങളിലേക്ക് മാപ്പ് ചെയ്യണം, പാതയിലെ ഓരോ പ്രൊവൈഡറും നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന കൈകാര്യം വാഗ്ദാനം ചെയ്യണം. എൻക്രിപ്ഷൻ മുൻഗണന സൃഷ്ടിക്കുന്നില്ല; ഒരു മധ്യ ബോക്സിന് ഫ്ലോ വർഗ്ഗീകരിക്കാൻ ഉപയോഗിക്കാമായിരുന്ന ഫീൽഡ് അത് മറയ്ക്കുന്നു.

എന്തെങ്കിലും വാഗ്ദാനം ചെയ്യുന്നതിന് മുമ്പ് അടിസ്ഥാന പാളി അളക്കുക. പുറത്തുള്ള പാതയിൽ സ്ഥിരമായ കാലതാമസവും നഷ്ടമില്ലെന്നും കാണിക്കുന്ന ഒരു റിപ്പോർട്ട് തെളിവാണ്; ടണൽ വരച്ച ഒരു ഡയഗ്രാം തെളിവല്ല.

നിങ്ങൾക്ക് ആവശ്യമായ നെറ്റ്വർക്ക് ബന്ധത്തിന് ടണൽ തിരഞ്ഞെടുക്കുക, തുടർന്ന് എൻക്രിപ്ഷൻ, ആക്സസ് നയം, പാക്കറ്റ് വലിപ്പം, പ്രകടനം എന്നിവ വെവ്വേറെ വ്യക്തമാക്കുക. നാല് തീരുമാനങ്ങൾ, നാല് തെളിവുകൾ, അവയിലൊന്നിനെയും പ്രതിനിധീകരിക്കാത്ത ഒരു ലേബലും ഇല്ല.