Mina tixtri topoloġija, mhux kriptaġġ jew latenza

Is-suppożizzjoni hija li mina hija wajer privat u veloċi: tibniha, u t-traffiku ġewwa huwa kriptat, il-mogħdija hija iqsar u l-ħolqa ġġib ruħha bħal kejbil bejn żewġ siti. Kull parti minn din is-suppożizzjoni hija proprjetà separata, u l-mina tagħti biss l-ewwel ħaġa li tlabt mingħandha, jiġifieri mogħdija loġika. Kull ħaġa oħra trid tintgħażel u tiġi kkonfigurata apposta. It-taħlit tal-proprjetajiet huwa kif disinn jispiċċa b'ħolqa kriptata li ħadd ma jista' jiddijanjostika u b'wegħda ta' latenza li ħadd ma jista' jżomm.

Il-mit: mina waħda, tliet garanziji

Mina tagħmel ħaġa waħda b'mod affidabbli. Hi tagħmel żewġ truf li mhumiex konnessi direttament iġibu ruħhom bħallikieku ħdejn xulxin għal xi skop, filwaqt li n-netwerk bejniethom iġorr il-pakketti ta' barra. Dan huwa bidla fit-topoloġija, u hija tassew utli waħedha.

Kriptaġġ, ġarr ta' protokolli u iżolament tat-trażmissjoni huma deċiżjonijiet separati mqiegħda fuqha. Mina GRE m'għandhiex waħda mit-tlieta fis-sens kriptografiku, u mina IP-in-IP hija disinn validu mingħajr ebda kunfidenzjalità. L-ebda waħda minnhom mhija żball; huma mini li jagħmlu eżattament dak li jagħmlu l-mini. It-tikketta fuq id-dijagramma ma tgħidlekx liema proprjetajiet huma preżenti.

Ladarba tifred il-proprjetajiet, il-mistoqsijiet isiru jistgħu jiġu mwieġba: din il-mina ġġorr adjaċenza ta' routing, ġġorr frejms, taħbi l-indirizzi interni, twiegħed xi ħaġa dwar id-dewmien? Dawn huma erba' tweġibiet differenti b'erba' konsegwenzi ta' konfigurazzjoni differenti.

X'tiżdied il-mina fil-mappa tassew

It-truf jiksbu mogħdija li ma kellhomx qabel. Jekk dik il-mogħdija ġġib ruħha bħal qabża rrutata jew bħal segment Ethernet jiddependi għal kollox mill-inkapsulament, u d-differenza tbiddel x'jistgħu jagħmlu ż-żewġ siti biha. Mina rrutata tagħtik qabża oħra u prefiss; estensjoni Ethernet tagħtik imġieba ta' xandir u dominju ta' falliment ferm akbar.

Mina IP ma tagħmilx is-sit imbiegħed parti mill-istess subnetwork awtomatikament, u ma tagħmilx protokoll ta' routing jaħdem minnha sakemm l-implimentazzjoni ma tappoġġjax dik l-adjaċenza. Multicast hija mistoqsija oħra separata bit-tweġiba tagħha.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Dawk il-kmandi jwieġbu partijiet differenti tal-mistoqsija. L-ewwel tgħid x'tip ta' interface teżisti, it-tieni tgħid liema mogħdija tagħżel il-qalba, u l-aħħar tnejn juru l-imġieba reali tas-saff ta' taħt minflok il-wegħda tat-tikketta.

It-trasport huwa deċiżjoni separata mil-lokuwità

Mina tista' ġġorr protokoll li s-saff ta' taħt ma jgħaddix. IPv6 fuq mogħdija IPv4 huwa l-każ klassiku, u jaħdem għax it-truf jifhmu ż-żewġ familji filwaqt li r-router bejniethom għandhom biss iwasslu l-pakketti ta' barra. Is-saff ta' taħt jeħtieġ mogħdija li taħdem sal-tarf tal-mina u xejn aktar.

It-truf, madankollu, jeħtieġu appoġġ sħiħ: trażmissjoni, indirizzi u applikazzjoni li tassew tuża l-familja interna. Li tagħti prefiss IPv6 lil mina ma tagħmilx servizz li jaħdem biss b'IPv4 aċċessibbli permezz ta' IPv6, u ma tagħmilx is-saff ta' taħt dual-stack.

Il-ġarr ta' frejms huwa impenn akbar mill-ġarr ta' protokolli. Li testendi dominju ta' xandir fuq mina jċaqlaq miegħu l-imġieba ta' spanning tree, ARP u l-propagazzjoni ta' fallimenti, li hija deċiżjoni ta' disinn u mhux swiċċ ta' funzjoni.

L-iżolament mhuwiex kunfidenzjalità

Il-VPN tal-fornituri jżommu r-rotot u t-traffiku tal-klijenti f'kuntesti ta' trażmissjoni separati, u dak is-separazzjoni huwa reali u siewi. Mhuwiex kriptaġġ. L-ispeċifikazzjoni BGP/MPLS VPN tgħid b'mod espliċitu li l-privatezza tagħha ġejja mill-mudell ta' trażmissjoni u mhux mill-kriptografija, u din hija eżattament id-distinzjoni li tintilef fi slajd li jgħid biss VPN.

Jekk għandek bżonn kunfidenzjalità, għandek bżonn mekkaniżmu kriptografiku b'autentikazzjoni u ġestjoni taċ-ċwievet, u għandek tkun taf fejn jispiċċa. Mina li tipprovdi separazzjoni u mina li tipprovdi kriptaġġ jistgħu jkunu l-istess mina, iżda biss meta xi ħadd ikun ikkonfigura t-tnejn.

Il-konsegwenza prattika hija li «huwa f'VPN» twieġeb mistoqsija dwar il-kuntest ta' routing u ma tgħidlek xejn dwar min jista' jaqra l-bytes fuq il-mogħdija. Żewġ timijiet jistgħu t-tnejn ikunu korretti u xorta jiddeskrivu affarijiet differenti. Meta tfeġġ il-mistoqsija tas-sigurtà, staqsi fejn jispiċċa l-kriptaġġ u x'jautentika l-pari, mhux jekk teżistix mina.

Il-latenza u l-QoS isegwu s-saff ta' taħt

Tarf loġiku mhuwiex mogħdija fiżika iqsar. Il-pakketti ta' barra xorta jgħaddu mill-istess ħoloq, kjuwijiet u fornituri, u l-inkapsulament iżid spejjeż għal kull pakkett flimkien ma' pproċessar fiż-żewġ truf. Mina tista' tkun mgħaġġla għax is-saff ta' taħt huwa tajjeb, qatt għax hija mina.

It-trattament tal-kwalità tas-servizz huwa agħar minn hekk, għax jiddependi fuq dominji amministrattivi li forsi ma tikkontrollax. Il-marki interni għandhom jiġu mappati għall-marki esterni apposta, u kull fornitur fuq il-mogħdija għandu joffri t-trattament li tistenna. Il-kriptaġġ ma joħloqx prijorità; jaħbi l-qasam li kaxxa tan-nofs setgħet użat biex tikklassifika l-fluss.

Kejjel is-saff ta' taħt qabel ma twiegħed xi ħaġa. Rapport li juri dewmien stabbli u l-ebda telf fuq il-mogħdija ta' barra huwa prova; dijagramma b'mina fuqha mhijiex.

Agħżel il-mina għar-relazzjoni tan-netwerk li għandek bżonn, imbagħad speċifika separatament il-kriptaġġ, il-politika ta' aċċess, id-daqs tal-pakkett u l-prestazzjoni. Erba' deċiżjonijiet, erba' provi, u l-ebda tikketta waħda li tieqaf minflok xi waħda minnhom.