टनेलले टोपोलोजी किन्छ, इन्क्रिप्शन वा ल्याटेन्सी होइन

धारणा यो हो कि टनेल एउटा निजी, छिटो तार हो: तपाईं यो बनाउनुहुन्छ, र भित्रको ट्राफिक इन्क्रिप्ट हुन्छ, मार्ग छोटो हुन्छ र लिङ्क दुई साइटबीचको केबलजस्तै व्यवहार गर्छ। त्यो धारणाको प्रत्येक भाग छुट्टै गुण हो, र टनेलले तपाईंले मागेको पहिलो कुरा मात्र दिन्छ, अर्थात् तार्किक मार्ग। बाँकी सबै जानाजान छान्न र कन्फिगर गर्नुपर्छ। गुणहरू मिसाउनु भनेको डिजाइन अन्ततः कसैले पनि समस्या पहिचान गर्न नसक्ने इन्क्रिप्टेड लिङ्क र कसैले पनि पालना गर्न नसक्ने ल्याटेन्सी वाचामा पुग्ने बाटो हो।

मिथक: एउटा टनेल, तीन ग्यारेन्टी

टनेलले एउटा काम भरपर्दो रूपमा गर्छ। यो सिधै जोडिएका नभएका दुई टुप्पालाई कुनै उद्देश्यका लागि छेउछाउका जस्तै व्यवहार गराउँछ, जबकि बीचको नेटवर्क बाहिरी प्याकेट बोक्छ। त्यो टोपोलोजी परिवर्तन हो, र यो आफैंमा साँच्चै उपयोगी छ।

इन्क्रिप्शन, प्रोटोकल ढुवानी र फर्वार्डिङ अलगाव यसमाथि तह लगाइएका छुट्टै निर्णय हुन्। GRE टनेलमा क्रिप्टोग्राफिक अर्थमा तीनमध्ये एउटै छैन, र IP-in-IP टनेल कुनै पनि गोपनीयताविना वैध डिजाइन हो। यीमध्ये कुनै पनि गल्ती होइन; यी टनेल हुन् जसले ठ्याक्कै टनेलले गर्ने काम गर्छन्। आरेखमा रहेको लेबलले कुन गुणहरू छन् भन्ने बताउँदैन।

गुणहरू अलग्याएपछि प्रश्नहरूको उत्तर दिन सकिन्छ: के यो टनेलले राउटिङ छिमेकीपन बोक्छ, फ्रेम बोक्छ, भित्री ठेगाना लुकाउँछ, ढिलाइबारे केही वाचा गर्छ? ती चार फरक उत्तर र चार फरक कन्फिगरेसन परिणाम हुन्।

टनेलले नक्सामा वास्तवमा के थप्छ

टुप्पाले पहिले नभएको मार्ग पाउँछन्। त्यो मार्ग राउट गरिएको हपजस्तै वा Ethernet खण्डजस्तै व्यवहार गर्छ भन्ने पूर्ण रूपमा इन्क्याप्सुलेसनमा निर्भर छ, र फरकले दुई साइटले यससँग के गर्न सक्छन् भन्ने बदल्छ। राउट गरिएको टनेलले तपाईंलाई अर्को हप र प्रिफिक्स दिन्छ; Ethernet विस्तारले ब्रोडकास्ट व्यवहार र धेरै ठूलो असफलता डोमेन दिन्छ।

IP टनेलले दुर्गम साइटलाई स्वतः एउटै सबनेटको भाग बनाउँदैन, र कार्यान्वयनले त्यो छिमेकीपनलाई समर्थन नगरेसम्म यसमाथि राउटिङ प्रोटोकल चलाउँदैन। Multicast आफ्नै उत्तर भएको अर्को छुट्टै प्रश्न हो।

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

ती आदेशहरूले प्रश्नका फरक भागको उत्तर दिन्छन्। पहिलोले कुन प्रकारको इन्टरफेस छ भन्ने बताउँछ, दोस्रोले कर्नेलले कुन मार्ग छान्छ भन्ने बताउँछ, र अन्तिम दुईले लेबलको वाचाको सट्टा तल्लो तहको वास्तविक व्यवहार देखाउँछन्।

ढुवानी पहुँचभन्दा छुट्टै निर्णय हो

टनेलले तल्लो तहले फर्वार्ड नगर्ने प्रोटोकल बोक्न सक्छ। IPv6 लाई IPv4 मार्गमा बोक्नु क्लासिक उदाहरण हो, र यो काम गर्छ किनभने टुप्पाले दुवै परिवार बुझ्छन् जबकि तिनीबीचका राउटरले बाहिरी प्याकेट पुर्याउन मात्र पर्छ। तल्लो तहलाई टनेलको टुप्पासम्म काम गर्ने मार्ग चाहिन्छ, त्यसभन्दा बढी केही होइन।

तर टुप्पालाई पूर्ण समर्थन चाहिन्छ: फर्वार्डिङ, ठेगाना र भित्री परिवार वास्तवमै प्रयोग गर्ने अनुप्रयोग। टनेललाई IPv6 प्रिफिक्स दिँदा IPv4 मात्र चल्ने सेवा IPv6 बाट पहुँचयोग्य हुँदैन, र तल्लो तह dual-stack हुँदैन।

फ्रेम ढुवानी प्रोटोकल ढुवानीभन्दा ठूलो प्रतिबद्धता हो। टनेलभरि ब्रोडकास्ट डोमेन विस्तार गर्दा स्प्यानिङ-ट्री व्यवहार, ARP र असफलताको फैलावट सँगै जान्छ, जो फिचर टगल नभई डिजाइन निर्णय हो।

अलगाव गोपनीयता होइन

प्रदायक VPN ले ग्राहकका मार्ग र ट्राफिक छुट्टै फर्वार्डिङ सन्दर्भमा राख्छन्, र त्यो अलगाव वास्तविक र मूल्यवान छ। त्यो इन्क्रिप्शन होइन। BGP/MPLS VPN विशिष्टता स्पष्ट भन्छ कि यसको गोपनीयता क्रिप्टोग्राफीबाट नभई फर्वार्डिङ मोडेलबाट आउँछ, र केवल VPN भन्ने स्लाइडमा ठ्याक्कै त्यही भिन्नता हराउँछ।

तपाईंलाई गोपनीयता चाहिएको भए प्रमाणीकरण र कुञ्जी व्यवस्थापनसहित क्रिप्टोग्राफिक संयन्त्र चाहिन्छ, र त्यो कहाँ अन्त्य हुन्छ भन्ने थाहा हुनुपर्छ। अलगाव दिने टनेल र इन्क्रिप्शन दिने टनेल एउटै टनेल हुन सक्छ, तर कसैले दुवै कन्फिगर गरेको अवस्थामा मात्र।

व्यावहारिक परिणाम यो हो कि «यो VPN भित्र छ» ले राउटिङ सन्दर्भबारे प्रश्नको उत्तर दिन्छ र मार्गमा रहेका बाइट को पढ्न सक्छ भन्नेबारे केही भन्दैन। दुई टोली दुवै सही हुन सक्छन् र तैपनि फरक कुरा वर्णन गर्न सक्छन्। सुरक्षा प्रश्न उठ्दा टनेल छ कि छैन भनेर होइन, क्रिप्टोग्राफी कहाँ अन्त्य हुन्छ र साथीहरूलाई के ले प्रमाणित गर्छ भनेर सोध्नुहोस्।

ल्याटेन्सी र QoS ले तल्लो तहलाई पछ्याउँछन्

तार्किक किनारा छोटो भौतिक मार्ग होइन। बाहिरी प्याकेट अझै उही लिङ्क, कतार र प्रदायकबाट जान्छन्, र इन्क्याप्सुलेसनले प्रत्येक प्याकेटमा अतिरिक्त भार र दुवै टुप्पामा प्रशोधन थप्छ। टनेल छिटो हुन सक्छ किनभने तल्लो तह राम्रो छ, टनेल भएकोले कहिल्यै होइन।

सेवा गुणस्तरको व्यवहार त्योभन्दा नराम्रो छ, किनभने यो तपाईंले नियन्त्रण नगर्न सक्ने प्रशासनिक डोमेनमा निर्भर गर्छ। भित्री चिन्हहरू जानाजान बाहिरी चिन्हमा म्याप गर्नुपर्छ, र मार्गको हरेक प्रदायकले तपाईंले अपेक्षा गरेको व्यवहार दिनुपर्छ। इन्क्रिप्शनले प्राथमिकता सिर्जना गर्दैन; यसले मध्य उपकरणले प्रवाह वर्गीकृत गर्न प्रयोग गर्न सक्ने फिल्ड लुकाउँछ।

केही वाचा गर्नुअघि तल्लो तह नाप्नुहोस्। बाहिरी मार्गमा स्थिर ढिलाइ र कुनै हानि नभएको देखाउने प्रतिवेदन प्रमाण हो; टनेल कोरिएको आरेख प्रमाण होइन।

तपाईंलाई चाहिने नेटवर्क सम्बन्धका लागि टनेल छान्नुहोस्, त्यसपछि इन्क्रिप्शन, पहुँच नीति, प्याकेट आकार र कार्यक्षमता छुट्टाछुट्टै निर्दिष्ट गर्नुहोस्। चार निर्णय, चार प्रमाण, र तीमध्ये कुनैको पनि ठाउँ लिने एउटै लेबल छैन।