Terowong membeli topologi, bukan penyulitan atau kependaman

Andaiannya ialah terowong ialah wayar peribadi yang pantas: anda membinanya, dan trafik di dalamnya disulitkan, laluan lebih pendek dan pautan berkelakuan seperti kabel antara dua tapak. Setiap bahagian andaian itu ialah sifat yang berasingan, dan terowong hanya memberikan perkara pertama yang anda minta, iaitu laluan logik. Semua yang lain mesti dipilih dan dikonfigurasikan dengan sengaja. Mengelirukan sifat-sifat itulah cara sesuatu reka bentuk berakhir dengan pautan tersulit yang tiada siapa dapat menyahpepijat dan janji kependaman yang tiada siapa dapat menepati.

Mitos: satu terowong, tiga jaminan

Terowong melakukan satu perkara dengan pasti. Ia membuat dua hujung yang tidak bersambung secara langsung berkelakuan seolah-olah bersebelahan untuk sesuatu tujuan, sementara rangkaian di antaranya membawa paket luar. Itu ialah perubahan topologi, dan ia benar-benar berguna dengan sendirinya.

Penyulitan, pengangkutan protokol dan pengasingan penghantaran ialah keputusan berasingan yang dilapisi di atasnya. Terowong GRE tidak mempunyai satu pun daripada ketiga-tiganya dalam erti kriptografi, dan terowong IP-in-IP ialah reka bentuk sah tanpa sebarang kerahsiaan. Kedua-duanya bukan kesilapan; ia ialah terowong yang melakukan tepat apa yang dilakukan oleh terowong. Label pada rajah tidak memberitahu anda sifat mana yang ada.

Sebaik sahaja anda memisahkan sifat-sifat itu, soalan-soalan menjadi boleh dijawab: adakah terowong ini membawa ketetanggaan penghalaan, adakah ia membawa bingkai, adakah ia menyembunyikan alamat dalaman, adakah ia menjanjikan apa-apa tentang kelewatan? Itu ialah empat jawapan berbeza dengan empat akibat konfigurasi berbeza.

Apa yang sebenarnya ditambah oleh terowong kepada peta

Hujung-hujung mendapat laluan yang sebelum ini tidak ada. Sama ada laluan itu berkelakuan seperti hop terhalakan atau seperti segmen Ethernet bergantung sepenuhnya pada enkapsulasi, dan perbezaannya mengubah apa yang boleh dilakukan oleh kedua-dua tapak dengannya. Terowong terhalakan memberi anda hop seterusnya dan awalan; sambungan Ethernet memberi tingkah laku siaran dan domain kegagalan yang jauh lebih besar.

Terowong IP tidak menjadikan tapak jauh sebahagian daripada subnet yang sama secara automatik, dan tidak membuat protokol penghalaan berjalan melaluinya melainkan pelaksanaannya menyokong ketetanggaan itu. Multicast ialah satu lagi soalan berasingan dengan jawapannya sendiri.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Perintah-perintah itu menjawab bahagian yang berbeza daripada soalan. Yang pertama memberitahu jenis antara muka yang wujud, yang kedua memberitahu laluan mana yang akan dipilih oleh kernel, dan dua yang terakhir menunjukkan tingkah laku sebenar lapisan bawah dan bukan janji label.

Pengangkutan ialah keputusan berasingan daripada kebolehcapaian

Terowong boleh membawa protokol yang tidak dihantar oleh lapisan bawah. IPv6 melalui laluan IPv4 ialah kes klasik, dan ia berfungsi kerana hujung-hujung memahami kedua-dua keluarga manakala penghala di antaranya hanya perlu menyampaikan paket luar. Lapisan bawah memerlukan laluan yang berfungsi ke hujung terowong dan tidak lebih.

Hujung-hujung, bagaimanapun, memerlukan sokongan penuh: penghantaran, alamat dan aplikasi yang benar-benar menggunakan keluarga dalaman. Memberikan awalan IPv6 kepada terowong tidak menjadikan perkhidmatan yang hanya berfungsi dengan IPv4 boleh dicapai melalui IPv6, dan tidak menjadikan lapisan bawah dual-stack.

Pengangkutan bingkai ialah komitmen yang lebih besar daripada pengangkutan protokol. Meluaskan domain siaran merentasi terowong memindahkan tingkah laku spanning tree, ARP dan penyebaran kegagalan bersamanya, yang merupakan keputusan reka bentuk dan bukan togol ciri.

Pengasingan bukan kerahsiaan

VPN penyedia menyimpan laluan dan trafik pelanggan dalam konteks penghantaran yang berasingan, dan pemisahan itu nyata dan berharga. Ia bukan penyulitan. Spesifikasi BGP/MPLS VPN menyatakan secara jelas bahawa privasinya datang daripada model penghantaran dan bukan daripada kriptografi, dan itulah tepatnya perbezaan yang hilang dalam slaid yang hanya menyebut VPN.

Jika anda memerlukan kerahsiaan, anda memerlukan mekanisme kriptografi dengan pengesahan dan pengurusan kunci, dan anda perlu tahu di mana ia berakhir. Terowong yang menyediakan pemisahan dan terowong yang menyediakan penyulitan boleh menjadi terowong yang sama, tetapi hanya apabila seseorang telah mengkonfigurasi kedua-duanya.

Akibat praktikalnya ialah «ia berada dalam VPN» menjawab soalan tentang konteks penghalaan dan tidak memberitahu anda apa-apa tentang siapa yang boleh membaca bait pada laluan. Dua pasukan boleh kedua-duanya betul dan masih menerangkan perkara yang berbeza. Apabila soalan keselamatan timbul, tanya di mana kriptografi berakhir dan apa yang mengesahkan rakan setara, bukan sama ada terowong wujud.

Kependaman dan QoS mengikut lapisan bawah

Tepi logik bukan laluan fizikal yang lebih pendek. Paket luar masih merentasi pautan, baris gilir dan penyedia yang sama, dan enkapsulasi menambah overhed setiap paket serta pemprosesan di kedua-dua hujung. Terowong boleh menjadi pantas kerana lapisan bawah baik, tidak pernah kerana ia terowong.

Rawatan kualiti perkhidmatan lebih teruk daripada itu, kerana ia bergantung pada domain pentadbiran yang mungkin tidak anda kawal. Penandaan dalaman mesti dipetakan kepada penandaan luaran dengan sengaja, dan setiap penyedia pada laluan mesti menawarkan rawatan yang anda jangkakan. Penyulitan tidak mencipta keutamaan; ia menyembunyikan medan yang mungkin digunakan oleh kotak tengah untuk mengelaskan aliran.

Ukur lapisan bawah sebelum menjanjikan apa-apa. Laporan yang menunjukkan kelewatan stabil dan tiada kehilangan pada laluan luar ialah bukti; rajah dengan terowong di atasnya bukan bukti.

Pilih terowong untuk hubungan rangkaian yang anda perlukan, kemudian nyatakan secara berasingan penyulitan, dasar akses, saiz paket dan prestasi. Empat keputusan, empat bukti, dan tiada satu label pun yang menggantikan mana-mana daripadanya.