Tunel kupuje topologijo, ne šifriranja ali zakasnitve

Predpostavka je, da je tunel zasebna, hitra žica: zgradite ga in promet v njem je šifriran, pot je krajša, povezava pa se obnaša kot kabel med dvema lokacijama. Vsak del te predpostavke je ločena lastnost, tunel pa zagotovi le prvo, kar ste od njega zahtevali, to je logično pot. Vse drugo je treba izbrati in nastaviti namerno. Zamenjevanje lastnosti je način, kako se zasnova konča s šifrirano povezavo, ki je nihče ne zna diagnosticirati, in z obljubo o zakasnitvi, ki je nihče ne more izpolniti.

Mit: en tunel, tri garancije

Tunel zanesljivo naredi eno stvar. Dve končni točki, ki nista neposredno povezani, prisili, da se za neki namen obnašata kot sosednji, medtem ko vmesno omrežje prenaša zunanje pakete. To je sprememba topologije in sama po sebi je res koristna.

Šifriranje, prenašanje protokolov in izolacija posredovanja so ločene odločitve, naložene na to. Tunel GRE v kriptografskem smislu nima nobene od treh, tunel IP-in-IP pa je veljavna zasnova povsem brez zaupnosti. Nobeno ni napaka; to so tuneli, ki delajo natanko to, kar delajo tuneli. Oznaka na diagramu ne pove, katere lastnosti so prisotne.

Ko lastnosti ločite, postanejo vprašanja odgovorljiva: ali ta tunel prenaša usmerjevalno sosedstvo, ali prenaša okvire, ali skriva notranje naslove, ali obljublja kaj glede zakasnitve? To so štirje različni odgovori s štirimi različnimi posledicami za konfiguracijo.

Kaj tunel dejansko doda zemljevidu

Končni točki dobita pot, ki je prej nista imeli. Ali se ta pot obnaša kot usmerjen skok ali kot segment Ethernet, je v celoti odvisno od enkapsulacije, razlika pa spremeni, kaj lahko obe lokaciji z njo storita. Usmerjen tunel vam da naslednji skok in predpono; razširitev Ethernet vam da razširjevalno vedenje in veliko večjo domeno napak.

Tunel IP ne naredi oddaljene lokacije samodejno dela iste podomrežje in ne zažene usmerjevalnega protokola čezenj, razen če izvedba podpira to sosedstvo. Multicast je drugo ločeno vprašanje z lastnim odgovorom.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Ti ukazi odgovarjajo na različne dele vprašanja. Prvi pove, kakšna vrsta vmesnika obstaja, drugi pove, katero pot bi izbralo jedro, zadnja dva pa pokažeta dejansko vedenje spodnjega sloja namesto obljube oznake.

Prenos je ločena odločitev od dosegljivosti

Tunel lahko prenaša protokol, ki ga spodnji sloj ne posreduje. IPv6 po poti IPv4 je klasičen primer in deluje, ker končni točki razumeta obe družini, usmerjevalniki med njima pa morajo le dostaviti zunanje pakete. Spodnji sloj potrebuje delujočo pot do konca tunela in nič več.

Končni točki pa potrebujeta polno podporo: posredovanje, naslove in aplikacijo, ki notranjo družino res uporablja. Dodelitev predpone IPv6 tunelu ne naredi storitve, ki deluje le z IPv4, dosegljive prek IPv6, in ne naredi spodnjega sloja dual-stack.

Prenos okvirov je večja obveznost kot prenos protokolov. Razširitev razširjevalne domene čez tunel s seboj premakne vedenje spanning tree, ARP in širjenje napak, kar je oblikovalska odločitev in ne stikalo funkcije.

Izolacija ni zaupnost

Ponudnikove VPN hranijo poti in promet strank v ločenih kontekstih posredovanja in ta ločitev je resnična in dragocena. To ni šifriranje. Specifikacija BGP/MPLS VPN izrecno pravi, da njena zasebnost izhaja iz modela posredovanja in ne iz kriptografije, in prav ta razlika se izgubi na prosojnici, ki govori samo VPN.

Če potrebujete zaupnost, potrebujete kriptografski mehanizem z avtentikacijo in upravljanjem ključev, in vedeti morate, kje se konča. Tunel, ki zagotavlja ločitev, in tunel, ki zagotavlja šifriranje, sta lahko isti tunel, a le kadar je nekdo nastavil oba.

Praktična posledica je, da „je v VPN“ odgovori na vprašanje o kontekstu usmerjanja in vam ne pove ničesar o tem, kdo lahko bere bajte na poti. Dve ekipi imata lahko obe prav in vseeno opisujeta različne stvari. Ko se pojavi vprašanje varnosti, vprašajte kje se kriptografija konča in kaj avtenticira partnerje, ne ali tunel obstaja.

Zakasnitev in QoS sledita spodnjemu sloju

Logični rob ni krajša fizična pot. Zunanji paketi še vedno potujejo po istih povezavah, čakalnih vrstah in ponudnikih, enkapsulacija pa doda stroške na paket in obdelavo na obeh koncih. Tunel je lahko hiter, ker je spodnji sloj dober, nikoli zato, ker je tunel.

Obravnava kakovosti storitve je slabša od tega, ker je odvisna od upravnih domen, ki jih morda ne nadzorujete. Notranje oznake je treba namerno preslikati v zunanje in vsak ponudnik na poti mora ponuditi obravnavo, ki jo pričakujete. Šifriranje ne ustvari prednosti; skrije polje, ki bi ga vmesna naprava lahko uporabila za razvrščanje toka.

Izmerite spodnji sloj, preden karkoli obljubite. Poročilo, ki kaže stabilno zakasnitev in brez izgub na zunanji poti, je dokaz; diagram s tunelom na njem ni.

Izberite tunel za omrežno razmerje, ki ga potrebujete, nato ločeno določite šifriranje, politiko dostopa, velikost paketa in zmogljivost. Štiri odločitve, štirje dokazi in nobena posamezna oznaka, ki bi nadomestila katero od njih.