बोगदा टोपोलॉजी विकतो, एन्क्रिप्शन किंवा लेटन्सी नाही

गृहीतक असे आहे की बोगदा हा एक खाजगी, वेगवान तार आहे: तुम्ही तो बनवता, आणि आतली रहदारी एन्क्रिप्ट होते, मार्ग लहान होतो आणि दुवा दोन साइट्समधील केबलसारखा वागतो। त्या गृहीतकाचा प्रत्येक भाग वेगळा गुणधर्म आहे, आणि बोगदा फक्त तुम्ही मागितलेली पहिली गोष्ट देतो, म्हणजे तार्किक मार्ग। बाकी सर्व जाणूनबुजून निवडावे आणि कॉन्फिगर करावे लागते। गुणधर्म एकत्र करणे म्हणजे डिझाइन अशा एन्क्रिप्टेड दुव्यावर संपते ज्याचे कोणीही निदान करू शकत नाही आणि अशा लेटन्सी वचनावर जे कोणीही पाळू शकत नाही।

मिथक: एक बोगदा, तीन हमी

बोगदा एक गोष्ट विश्वासार्हपणे करतो। तो थेट जोडलेले नसलेल्या दोन टोकांना एखाद्या उद्देशासाठी शेजारील असल्यासारखे वागण्यास भाग पाडतो, तर मधले नेटवर्क बाहेरील पॅकेट वाहून नेते। तो टोपोलॉजीतील बदल आहे, आणि तो स्वतःच खरोखर उपयुक्त आहे।

एन्क्रिप्शन, प्रोटोकॉल वहन आणि फॉरवर्डिंग अलगीकरण हे त्यावर थर म्हणून ठेवलेले वेगळे निर्णय आहेत। GRE बोगद्यात क्रिप्टोग्राफिक अर्थाने तीनपैकी एकही नाही, आणि IP-in-IP बोगदा कोणत्याही गोपनीयतेशिवाय वैध डिझाइन आहे। यापैकी काहीही चूक नाही; हे बोगदे आहेत जे बोगदे जे करतात तेच करतात। आकृतीवरील लेबल कोणते गुणधर्म आहेत ते सांगत नाही।

गुणधर्म वेगळे केल्यावर प्रश्नांची उत्तरे देता येतात: हा बोगदा राउटिंग शेजारभाव वाहतो का, फ्रेम वाहतो का, आतील पत्ते लपवतो का, विलंबाबद्दल काही वचन देतो का? ही चार वेगळी उत्तरे आणि चार वेगळे कॉन्फिगरेशन परिणाम आहेत।

बोगदा नकाशात प्रत्यक्षात काय जोडतो

टोकांना अशी वाट मिळते जी आधी नव्हती। ती वाट राउट केलेल्या हॉपसारखी वागते की Ethernet विभागासारखी, हे पूर्णपणे एन्कॅप्सुलेशनवर अवलंबून आहे, आणि फरक दोन साइट्स तिच्यासह काय करू शकतात हे बदलतो। राउट केलेला बोगदा तुम्हाला पुढील हॉप आणि प्रिफिक्स देतो; Ethernet विस्तार ब्रॉडकास्ट वर्तन आणि खूप मोठे अपयश क्षेत्र देतो।

IP बोगदा दूरच्या साइटला स्वयंचलितपणे त्याच सबनेटचा भाग बनवत नाही, आणि अंमलबजावणी त्या शेजारभावाला आधार देत नसेल तर त्यावरून राउटिंग प्रोटोकॉल चालवत नाही। Multicast हा स्वतःच्या उत्तरासह दुसरा वेगळा प्रश्न आहे।

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

ती आज्ञा प्रश्नाच्या वेगवेगळ्या भागांची उत्तरे देतात। पहिली सांगते कोणत्या प्रकारचा इंटरफेस आहे, दुसरी सांगते कर्नेल कोणता मार्ग निवडेल, आणि शेवटच्या दोन लेबलच्या वचनाऐवजी अंतर्निहित स्तराचे प्रत्यक्ष वर्तन दाखवतात।

वहन पोहोचण्यापेक्षा वेगळा निर्णय आहे

बोगदा असा प्रोटोकॉल वाहू शकतो जो अंतर्निहित स्तर पुढे पाठवत नाही। IPv6 चे IPv4 मार्गावरून वहन हे उत्कृष्ट उदाहरण आहे, आणि ते कार्य करते कारण टोके दोन्ही कुटुंबे समजतात तर त्यांच्यामधील राउटरना फक्त बाहेरील पॅकेट पोहोचवायचे असतात। अंतर्निहित स्तराला बोगद्याच्या टोकापर्यंत कार्यरत मार्ग हवा आणि त्यापेक्षा जास्त काही नाही।

टोकांना मात्र पूर्ण आधार हवा: फॉरवर्डिंग, पत्ते आणि आतील कुटुंब खरोखर वापरणारे अनुप्रयोग। बोगद्याला IPv6 प्रिफिक्स देणे केवळ IPv4 ने चालणाऱ्या सेवेला IPv6 द्वारे पोहोचण्यायोग्य करत नाही, आणि अंतर्निहित स्तराला dual-stack करत नाही।

फ्रेम वहन प्रोटोकॉल वहनापेक्षा मोठी प्रतिबद्धता आहे। बोगद्यावरून ब्रॉडकास्ट डोमेन वाढवल्यास स्पॅनिंग-ट्री वर्तन, ARP आणि अपयशाचा प्रसार सोबत जातो, जो फीचर टॉगल नसून डिझाइन निर्णय आहे।

अलगीकरण गोपनीयता नाही

प्रदाता VPN ग्राहकांचे मार्ग आणि रहदारी वेगळ्या फॉरवर्डिंग संदर्भांत ठेवतात, आणि ते अलगीकरण वास्तविक आणि मौल्यवान आहे। ते एन्क्रिप्शन नाही। BGP/MPLS VPN तपशील स्पष्ट सांगतो की त्याची गोपनीयता क्रिप्टोग्राफीकडून नाही तर फॉरवर्डिंग मॉडेलकडून येते, आणि केवळ VPN असे म्हणणाऱ्या स्लाइडमध्ये हाच फरक हरवतो।

तुम्हाला गोपनीयता हवी असल्यास, प्रमाणीकरण आणि की व्यवस्थापनासह क्रिप्टोग्राफिक यंत्रणा हवी, आणि ती कुठे संपते हे माहीत असावे। अलगीकरण देणारा बोगदा आणि एन्क्रिप्शन देणारा बोगदा एकच बोगदा असू शकतो, पण जेव्हा कोणी दोन्ही कॉन्फिगर केले असतील तेव्हाच।

व्यावहारिक परिणाम असा आहे की «ते VPN मध्ये आहे» हे राउटिंग संदर्भाबद्दलच्या प्रश्नाचे उत्तर देते आणि मार्गावरील बाइट्स कोण वाचू शकतो याबद्दल काहीही सांगत नाही। दोन संघ दोन्ही बरोबर असू शकतात आणि तरीही वेगवेगळ्या गोष्टींचे वर्णन करू शकतात। सुरक्षेचा प्रश्न उभा राहिल्यास बोगदा आहे की नाही हे नव्हे, तर क्रिप्टोग्राफी कुठे संपते आणि सहकाऱ्यांचे प्रमाणीकरण काय करते हे विचारा।

लेटन्सी आणि QoS अंतर्निहित स्तराचे अनुसरण करतात

तार्किक किनारा हा लहान भौतिक मार्ग नाही। बाहेरील पॅकेट अजूनही त्याच दुवे, रांगा आणि प्रदात्यांतून जातात, आणि एन्कॅप्सुलेशन प्रत्येक पॅकेटला अधिभार आणि दोन्ही टोकांना प्रक्रिया जोडते। बोगदा वेगवान असू शकतो कारण अंतर्निहित स्तर चांगला आहे, बोगदा असल्यामुळे कधीही नाही।

सेवा गुणवत्तेची हाताळणी त्याहून वाईट आहे, कारण ती तुम्ही नियंत्रित न करू शकणाऱ्या प्रशासकीय डोमेनवर अवलंबून असते। आतील खुणा जाणूनबुजून बाहेरील खुणांवर मॅप कराव्या लागतात, आणि मार्गावरील प्रत्येक प्रदात्याने तुम्ही अपेक्षित हाताळणी द्यावी। एन्क्रिप्शन प्राधान्य निर्माण करत नाही; ते मधल्या उपकरणाने प्रवाह वर्गीकृत करण्यासाठी वापरलेले क्षेत्र लपवते।

काहीही वचन देण्यापूर्वी अंतर्निहित स्तर मोजा। बाहेरील मार्गावर स्थिर विलंब आणि कोणतेही नुकसान नाही असे दाखवणारा अहवाल पुरावा आहे; बोगदा काढलेला आकृती पुरावा नाही।

तुम्हाला आवश्यक असलेल्या नेटवर्क संबंधासाठी बोगदा निवडा, नंतर एन्क्रिप्शन, प्रवेश धोरण, पॅकेट आकार आणि कार्यक्षमता वेगळे निर्दिष्ट करा। चार निर्णय, चार पुरावे, आणि यापैकी कोणाचीही जागा घेणारे एकही लेबल नाही।