Një tunel blen topologji, jo kriptim ose latencë

Supozimi është se një tunel është një tel privat dhe i shpejtë: e ndërtoni, dhe trafiku brenda është i kriptuar, rruga është më e shkurtër dhe lidhja sillet si një kabllo mes dy siteve. Çdo pjesë e këtij supozimi është një veti e veçantë, dhe tuneli ofron vetëm gjënë e parë që i kërkuat, domethënë një rrugë logjike. Gjithçka tjetër duhet zgjedhur dhe konfiguruar me qëllim. Përzierja e vetive është mënyra se si një projekt përfundon me një lidhje të kriptuar që askush nuk mund ta diagnostikojë dhe me një premtim latence që askush nuk mund ta mbajë.

Miti: një tunel, tre garanci

Tuneli bën një gjë me besueshmëri. Ai bën që dy skaje që nuk janë të lidhura drejtpërdrejt të sillen sikur të ishin fqinjë për një qëllim, ndërsa rrjeti në mes mbart paketat e jashtme. Ky është një ndryshim topologjie, dhe është vërtet i dobishëm në vetvete.

Kriptimi, transporti i protokolleve dhe izolimi i përcjelljes janë vendime të veçanta të vendosura sipër. Një tunel GRE nuk ka asnjë nga të tre në kuptimin kriptografik, dhe një tunel IP-in-IP është një projekt i vlefshëm pa asnjë konfidencialitet. Asnjëra nuk është gabim; janë tunele që bëjnë pikërisht atë që bëjnë tunelet. Etiketa në diagram nuk tregon cilat veti janë të pranishme.

Pasi t'i ndani vetitë, pyetjet bëhen të përgjigjshme: a mbart ky tunel një fqinjësi rrugëtimi, a mbart kuadro, a i fsheh adresat e brendshme, a premton diçka për vonesën? Këto janë katër përgjigje të ndryshme me katër pasoja konfigurimi të ndryshme.

Çfarë i shton tuneli në të vërtetë hartës

Skajet marrin një rrugë që nuk e kishin më parë. Nëse ajo rrugë sillet si një hop i rrugëtuar ose si një segment Ethernet varet tërësisht nga enkapsulimi, dhe ndryshimi ndryshon atë që mund të bëjnë dy sitet me të. Një tunel i rrugëtuar ju jep një hop tjetër dhe një prefiks; një zgjerim Ethernet ju jep sjellje transmetimi dhe një domen dështimi shumë më të madh.

Një tunel IP nuk e bën automatikisht sitin e largët pjesë të të njëjtës nënrrjetë, dhe nuk bën një protokoll rrugëtimi të funksionojë përmes tij nëse zbatimi nuk e mbështet atë fqinjësi. Multicast është një pyetje tjetër e veçantë me përgjigjen e vet.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Ato komanda u përgjigjen pjesëve të ndryshme të pyetjes. E para tregon çfarë lloj ndërfaqe ekziston, e dyta tregon cilën rrugë do të zgjidhte kerneli, dhe dy të fundit tregojnë sjelljen reale të shtresës së poshtme në vend të premtimit të etiketës.

Transporti është një vendim i veçantë nga arritshmëria

Një tunel mund të mbartë një protokoll që shtresa e poshtme nuk e përcjell. IPv6 mbi një rrugë IPv4 është rasti klasik, dhe funksionon sepse skajet i kuptojnë të dyja familjet ndërsa ruterat mes tyre duhet vetëm të dorëzojnë paketat e jashtme. Shtresës së poshtme i duhet një rrugë funksionale drejt skajit të tunelit dhe asgjë më shumë.

Skajeve, megjithatë, u duhet mbështetje e plotë: përcjellje, adresa dhe një aplikacion që përdor vërtet familjen e brendshme. Caktimi i një prefiksi IPv6 një tuneli nuk e bën një shërbim që punon vetëm me IPv4 të arritshëm përmes IPv6, dhe nuk e bën shtresën e poshtme dual-stack.

Transporti i kuadrove është një angazhim më i madh se transporti i protokolleve. Zgjerimi i një domeni transmetimi përmes një tuneli lëviz me vete sjelljen e pemës spanning, ARP dhe përhapjen e dështimeve, që është një vendim projektimi dhe jo një çelës funksioni.

Izolimi nuk është konfidencialitet

VPN-të e ofruesve i mbajnë rrugët dhe trafikun e klientëve në kontekste të veçanta përcjelljeje, dhe ai ndarje është i vërtetë dhe i vlefshëm. Nuk është kriptim. Specifikimi i BGP/MPLS VPN thotë shprehimisht se privatësia e tij vjen nga modeli i përcjelljes dhe jo nga kriptografia, dhe pikërisht ky dallim humbet në një sllajd që thotë vetëm VPN.

Nëse keni nevojë për konfidencialitet, keni nevojë për një mekanizëm kriptografik me autentikim dhe menaxhim çelësash, dhe duhet të dini ku përfundon. Një tunel që ofron ndarje dhe një tunel që ofron kriptim mund të jenë i njëjti tunel, por vetëm kur dikush ka konfiguruar të dyja.

Pasoja praktike është se «është brenda një VPN» i përgjigjet një pyetjeje për kontekstin e rrugëtimit dhe nuk ju thotë asgjë për atë se kush mund të lexojë bajt-at në rrugë. Dy ekipe mund të kenë të dy të drejtë dhe gjithsesi të përshkruajnë gjëra të ndryshme. Kur lind pyetja e sigurisë, pyesni ku përfundon kriptografia dhe çfarë autentikon palët, jo nëse ekziston një tunel.

Vonesa dhe QoS ndjekin shtresën e poshtme

Një skaj logjik nuk është një rrugë fizike më e shkurtër. Paketat e jashtme vazhdojnë të kalojnë nëpër të njëjtat lidhje, radhë dhe ofrues, dhe enkapsulimi shton një barrë për paketë plus përpunim në të dy skajet. Një tunel mund të jetë i shpejtë sepse shtresa e poshtme është e mirë, kurrë sepse është tunel.

Trajtimi i cilësisë së shërbimit është edhe më i keq, sepse varet nga domene administrative që mund të mos i kontrolloni. Shenjat e brendshme duhet të pasqyrohen me qëllim në ato të jashtme, dhe çdo ofrues në rrugë duhet të ofrojë trajtimin që prisni. Kriptimi nuk krijon përparësi; ai fsheh fushën që një pajisje e ndërmjetme mund ta kishte përdorur për të klasifikuar rrjedhën.

Matni shtresën e poshtme përpara se të premtoni diçka. Një raport që tregon vonesë të qëndrueshme dhe asnjë humbje në rrugën e jashtme është provë; një diagram me një tunel sipër nuk është.

Zgjidhni tunelin për marrëdhënien e rrjetit që ju nevojitet, pastaj specifikoni veçmas kriptimin, politikën e aksesit, madhësinë e paketës dhe performancën. Katër vendime, katër prova dhe asnjë etiketë e vetme që të zërë vendin e ndonjërit prej tyre.