Туннель топологи худалдаж авдаг, шифрлэлт эсвэл саатал биш

Таамаглал нь туннель бол хувийн, хурдан утас: та үүнийг барьж, доторх урсгал шифрлэгдсэн, зам богино, холбоос хоёр сайтын хоорондох кабель мэт ажилладаг. Энэ таамаглалын хэсэг бүр тусдаа шинж чанар бөгөөд туннель нь таны түүнээс хүссэн эхний зүйлийг л, өөрөөр хэлбэл логик замыг өгдөг. Бусад бүх зүйлийг зориуд сонгож, тохируулах ёстой. Шинж чанаруудыг хольж будилах нь дизайныг хэн ч оношлогоо хийж чадахгүй шифрлэгдсэн холбоос, хэн ч биелүүлж чадахгүй саатлын амлалт руу хүргэдэг.

Домог: нэг туннель, гурван баталгаа

Туннель нэг зүйлийг найдвартай хийдэг. Шууд холбогдоогүй хоёр төгсгөлийг ямар нэг зорилгоор зэрэгцсэн мэт ажиллахад хүргэдэг бол дундах сүлжээ нь гадаад пакетуудыг зөөдөг. Энэ нь топологийн өөрчлөлт бөгөөд энэ нь өөрөө үнэхээр ашигтай.

Шифрлэлт, протокол дамжуулалт, дамжуулалтын тусгаарлалт нь түүн дээр давхарласан тусдаа шийдвэрүүд юм. GRE туннельд криптографын утгаар эдгээрийн аль нь ч байхгүй, IP-in-IP туннель нь нууцлалгүй хүчинтэй дизайн юм. Аль нь ч алдаа биш; эдгээр нь туннель хийдэг зүйлийг яг хийдэг туннель юм. Диаграм дээрх шошго аль шинж чанарууд байгааг хэлэхгүй.

Шинж чанаруудыг салгасны дараа асуултуудад хариулж болно: энэ туннель чиглүүлэлтийн хөршийн харилцаа зөөдөг үү, фрейм зөөдөг үү, дотоод хаягуудыг нуудаг уу, саатлын талаар ямар нэгэн зүйл амладаг уу? Эдгээр нь дөрвөн өөр хариулт, дөрвөн өөр тохиргооны үр дагавар юм.

Туннель газрын зурагт үнэндээ юу нэмдэг

Төгсгөлүүд өмнө нь байгаагүй зам авдаг. Тэр зам нь чиглүүлэгдсэн үсрэлт мэт эсвэл Ethernet сегмент мэт ажиллах нь бүхэлдээ капсулчлалаас хамаардаг бөгөөд ялгаа нь хоёр сайт түүгээр юу хийж болохыг өөрчилдөг. Чиглүүлэгдсэн туннель танд дараагийн үсрэлт, префикс өгдөг; Ethernet өргөтгөл нь нэвтрүүлэх зан үйл, хамаагүй том алдааны домэйныг өгдөг.

IP туннель алсын сайтыг автоматаар ижил дэд сүлжээний хэсэг болгодоггүй, хэрэв хэрэгжүүлэлт нь тэр хөршийн харилцааг дэмжихгүй бол түүгээр чиглүүлэлтийн протокол ажиллуулдаггүй. Multicast бол өөрийн хариулттай өөр нэг тусдаа асуулт юм.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Эдгээр командууд асуултын өөр өөр хэсэгт хариулдаг. Эхнийх нь ямар төрлийн интерфэйс байгааг хэлнэ, хоёр дахь нь цөм ямар замыг сонгохыг хэлнэ, сүүлийн хоёр нь шошгоны амлалт биш харин доод давхаргын бодит зан үйлийг харуулна.

Дамжуулалт нь хүртээмжээс тусдаа шийдвэр

Туннель нь доод давхарга дамжуулдаггүй протоколыг зөөж болно. IPv6-г IPv4 замаар дамжуулах нь сонгодог тохиолдол бөгөөд төгсгөлүүд хоёр гэр бүлийг ойлгодог, харин тэдний хоорондох чиглүүлэгчид зөвхөн гадаад пакетуудыг хүргэх шаардлагатай тул ажилладаг. Доод давхаргад туннелийн төгсгөл хүртэл ажиллах зам л хэрэгтэй, үүнээс өөр зүйлгүй.

Гэхдээ төгсгөлүүдэд бүрэн дэмжлэг хэрэгтэй: дамжуулалт, хаягууд, дотоод гэр бүлийг үнэхээр ашигладаг програм. Туннельд IPv6 префикс өгөх нь зөвхөн IPv4-тэй ажилладаг үйлчилгээг IPv6-аар хүртээмжтэй болгодоггүй, доод давхаргыг dual-stack болгодоггүй.

Фрейм дамжуулалт нь протокол дамжуулалтаас илүү том амлалт юм. Нэвтрүүлэх домэйныг туннелээр өргөтгөх нь spanning tree-ийн зан үйл, ARP, алдааны тархалтыг хамт зөөдөг бөгөөд энэ нь функцийн унтраалга биш, дизайны шийдвэр юм.

Тусгаарлалт нь нууцлал биш

Үйлчилгээ үзүүлэгчийн VPN-үүд харилцагчийн чиглүүлэлт, урсгалыг тусдаа дамжуулалтын контекстэд хадгалдаг бөгөөд тэр тусгаарлалт нь бодит бөгөөд үнэ цэнэтэй. Энэ нь шифрлэлт биш. BGP/MPLS VPN-ийн тодорхойлолт түүний нууцлал нь криптографээс биш, дамжуулалтын загвараас ирдэг гэдгийг тодорхой хэлдэг бөгөөд яг энэ ялгаа нь зөвхөн VPN гэж хэлдэг слайд дээр алдагддаг.

Хэрэв танд нууцлал хэрэгтэй бол баталгаажуулалт, түлхүүрийн удирдлага бүхий криптографын механизм хэрэгтэй бөгөөд энэ нь хаана дуусахыг мэдэх хэрэгтэй. Тусгаарлалт өгдөг туннель, шифрлэлт өгдөг туннель нэг л туннель байж болно, гэхдээ хэн нэгэн хоёуланг нь тохируулсан үед л.

Практик үр дагавар нь «энэ VPN дотор байна» гэдэг нь чиглүүлэлтийн контекстийн тухай асуултад хариулдаг бөгөөд зам дээрх байтуудыг хэн уншиж болох тухай юу ч хэлдэггүй. Хоёр баг хоёулаа зөв байж болно, гэхдээ өөр өөр зүйлийг дүрсэлж болно. Аюулгүй байдлын асуулт гарвал туннель байгаа эсэх биш, криптограф хаана дуусдаг ба түншүүдийг юу баталгаажуулдаг талаар асуугаарай.

Саатал ба QoS нь доод давхаргыг дагадаг

Логик ирмэг нь богино физик зам биш. Гадаад пакетууд ижил холбоос, дараалал, үйлчилгээ үзүүлэгчээр дамждаг хэвээр, капсулчлал нь пакет бүрт нэмэлт зардал, хоёр төгсгөлд боловсруулалт нэмдэг. Туннель доод давхарга сайн учраас хурдан байж болно, туннель учраас хэзээ ч биш.

Үйлчилгээний чанарын зохицуулалт үүнээс ч муу, учир нь энэ нь таны хянаж чадахгүй байж болох захиргааны домэйнуудаас хамаардаг. Дотоод тэмдэглэгээг зориуд гадаад тэмдэглэгээ рүү буулгах ёстой бөгөөд зам дээрх үйлчилгээ үзүүлэгч бүр таны хүлээж буй зохицуулалтыг санал болгох ёстой. Шифрлэлт тэргүүлэх чиглэл үүсгэдэггүй; энэ нь завсрын төхөөрөмж урсгалыг ангилахад ашиглаж болох талбарыг нуудаг.

Ямар нэгэн зүйл амлахын өмнө доод давхаргыг хэмжиж үзээрэй. Гадаад зам дээр тогтвортой саатал, алдагдалгүй байдлыг харуулсан тайлан бол нотолгоо; туннель зурсан диаграм нь нотолгоо биш.

Хэрэгтэй сүлжээний харилцаанд туннелийг сонгоод, дараа нь шифрлэлт, хандалтын бодлого, пакетийн хэмжээ, гүйцэтгэлийг тусдаа зааж өгнө үү. Дөрвөн шийдвэр, дөрвөн нотолгоо, тэдгээрийн аль нэгийг нь орлох ганц шошго байхгүй.