Tunel kupuje topológiu, nie šifrovanie alebo latenciu

Predpoklad je, že tunel je súkromný a rýchly drôt: postavíte ho a prevádzka vnútri je šifrovaná, cesta je kratšia a spoj sa správa ako kábel medzi dvoma lokalitami. Každá časť tohto predpokladu je samostatná vlastnosť a tunel dodá len to prvé, o čo ste ho požiadali, teda logickú cestu. Všetko ostatné treba zvoliť a nakonfigurovať zámerne. Zámena vlastností je spôsob, akým dizajn skončí pri šifrovanom spoji, ktorý nikto nedokáže diagnostikovať, a pri sľube latencie, ktorý nikto nedokáže dodržať.

Mýtus: jeden tunel, tri záruky

Tunel robí jednu vec spoľahlivo. Prinúti dva koncové body, ktoré nie sú priamo prepojené, správať sa pre nejaký účel ako susedné, zatiaľ čo medziľahlá sieť prenáša vonkajšie pakety. Je to zmena topológie a sama o sebe je naozaj užitočná.

Šifrovanie, prenos protokolov a izolácia preposielania sú samostatné rozhodnutia vrstvené navrch. Tunel GRE nemá v kryptografickom zmysle ani jedno z tých troch a tunel IP-in-IP je platný návrh úplne bez dôvernosti. Ani jedno nie je chyba; sú to tunely, ktoré robia presne to, čo tunely robia. Štítok na diagrame nehovorí, ktoré vlastnosti sú prítomné.

Keď vlastnosti oddelíte, otázky sa stanú zodpovedateľnými: nesie tento tunel smerovacie susedstvo, nesie rámce, skrýva vnútorné adresy, sľubuje niečo o oneskorení? To sú štyri rôzne odpovede so štyrmi rôznymi dôsledkami pre konfiguráciu.

Čo tunel naozaj pridáva do mapy

Koncové body dostanú cestu, ktorú predtým nemali. Či sa táto cesta správa ako smerovaný skok alebo ako ethernetový segment, závisí úplne od zapuzdrenia, a rozdiel mení, čo s ňou obe lokality môžu robiť. Smerovaný tunel vám dá ďalší skok a prefix; ethernetové rozšírenie vám dá správanie vysielania a oveľa väčšiu doménu zlyhania.

Tunel IP automaticky neurobí vzdialenú lokalitu súčasťou tej istej podsiete a nespustí cez ňu smerovací protokol, ak implementácia toto susedstvo nepodporuje. Multicast je ďalšia samostatná otázka s vlastnou odpoveďou.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Tieto príkazy odpovedajú na rôzne časti otázky. Prvý hovorí, aký typ rozhrania existuje, druhý hovorí, ktorú cestu by zvolilo jadro, a posledné dva ukazujú skutočné správanie podkladu namiesto sľubu štítku.

Prenos je samostatné rozhodnutie od dosiahnuteľnosti

Tunel môže prenášať protokol, ktorý podklad nepreposiela. IPv6 cez cestu IPv4 je klasický prípad a funguje, pretože koncové body rozumejú obom rodinám, zatiaľ čo smerovače medzi nimi musia iba doručiť vonkajšie pakety. Podklad potrebuje funkčnú cestu ku koncovému bodu tunela a nič viac.

Koncové body však potrebujú plnú podporu: preposielanie, adresy a aplikáciu, ktorá vnútornú rodinu skutočne používa. Priradenie prefixu IPv6 tunelu neurobí službu, ktorá funguje len s IPv4, dostupnou cez IPv6, a neurobí podklad dual-stack.

Prenos rámcov je väčší záväzok ako prenos protokolov. Rozšírenie vysielacej domény cez tunel so sebou nesie správanie spanning tree, ARP a šírenie zlyhaní, čo je návrhové rozhodnutie, nie prepínač funkcie.

Izolácia nie je dôvernosť

Poskytovateľské VPN držia trasy a prevádzku zákazníkov v oddelených kontextoch preposielania a toto oddelenie je skutočné a cenné. Nie je to šifrovanie. Špecifikácia BGP/MPLS VPN výslovne hovorí, že jej súkromie pochádza z modelu preposielania, nie z kryptografie, a to je presne rozdiel, ktorý sa stráca v slide, ktorý len hovorí VPN.

Ak potrebujete dôvernosť, potrebujete kryptografický mechanizmus s autentizáciou a správou kľúčov a musíte vedieť, kde sa končí. Tunel, ktorý poskytuje oddelenie, a tunel, ktorý poskytuje šifrovanie, môžu byť ten istý tunel, ale len keď niekto nakonfiguroval oboje.

Praktickým dôsledkom je, že „je to vo VPN“ odpovedá na otázku o kontexte smerovania a nehovorí vám nič o tom, kto môže čítať bajty na ceste. Dva tímy môžu mať oba pravdu a napriek tomu opisovať rôzne veci. Keď príde otázka bezpečnosti, pýtajte sa kde sa kryptografia končí a čo autentizuje partnerov, nie či tunel existuje.

Latencia a QoS nasledujú podklad

Logická hrana nie je kratšia fyzická cesta. Vonkajšie pakety stále prechádzajú tými istými spojmi, frontami a poskytovateľmi a zapuzdrenie pridáva réžiu na paket plus spracovanie na oboch koncoch. Tunel môže byť rýchly preto, že podklad je dobrý, nikdy preto, že je to tunel.

Zaobchádzanie s kvalitou služby je horšie, pretože závisí od administratívnych domén, ktoré nemusíte ovládať. Vnútorné značky sa musia zámerne mapovať na vonkajšie a každý poskytovateľ na ceste musí ponúkať zaobchádzanie, ktoré očakávate. Šifrovanie nevytvára prioritu; skrýva pole, ktoré mohol medziľahlý prvok použiť na klasifikáciu toku.

Zmerajte podklad, než niečo sľúbite. Správa, ktorá ukazuje stabilné oneskorenie a žiadne straty na vonkajšej ceste, je dôkaz; diagram s tunelom na sebe nie je.

Vyberte tunel pre sieťový vzťah, ktorý potrebujete, a potom oddelene určte šifrovanie, prístupovú politiku, veľkosť paketov a výkon. Štyri rozhodnutia, štyri dôkazy a žiadny jediný štítok, ktorý by zastupoval ktorékoľvek z nich.