Тунел купује топологију, а не шифровање или кашњење

Претпоставка је да је тунел приватна, брза жица: направите га, и саобраћај унутра је шифрован, путања је краћа, а веза се понаша као кабл између две локације. Сваки део те претпоставке је посебно својство, а тунел испоручује само прво што сте од њега тражили, то јест логичку путању. Све остало мора намерно да се изабере и конфигурише. Мешање својстава је начин на који пројекат заврши са шифрованом везом коју нико не може да дијагностикује и са обећањем кашњења које нико не може да испуни.

Мит: један тунел, три гаранције

Тунел поуздано ради једну ствар. Тера два краја која нису директно повезана да се понашају као суседна за неки циљ, док мрежа између преноси спољашње пакете. То је промена топологије и она је сама по себи заиста корисна.

Шифровање, преношење протокола и изолација прослеђивања су одвојене одлуке наложене на то. GRE тунел нема ниједну од три у криптографском смислу, а IP-in-IP тунел је важећи пројекат потпуно без поверљивости. Ниједно није грешка; то су тунели који раде тачно оно што тунели раде. Ознака на дијаграму не каже која су својства присутна.

Када раздвојите својства, питања постају одговорљива: да ли овај тунел преноси суседство рутирања, да ли преноси оквире, да ли скрива унутрашње адресе, да ли обећава нешто о кашњењу? То су четири различита одговора са четири различите конфигурационе последице.

Шта тунел заправо додаје на мапу

Крајеви добијају путању коју раније нису имали. Да ли се та путања понаша као рутирани скок или као Ethernet сегмент зависи потпуно од инкапсулације, а разлика мења шта две локације могу да раде са њом. Рутирани тунел вам даје следећи скок и префикс; Ethernet проширење вам даје понашање емитовања и много већи домен отказа.

IP тунел не чини удаљену локацију аутоматски делом исте подмреже и не покреће протокол рутирања кроз њега осим ако имплементација подржава то суседство. Multicast је друго одвојено питање са својим одговором.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Те команде одговарају на различите делове питања. Прва каже каква врста интерфејса постоји, друга каже коју би путању језгро изабрало, а последње две показују стварно понашање нижег слоја, а не обећање ознаке.

Пренос је одвојена одлука од доступности

Тунел може да преноси протокол који нижи слој не прослеђује. IPv6 преко IPv4 путање је класичан случај и ради зато што крајеви разумеју обе фамилије, док рутери између њих само треба да доставе спољашње пакете. Нижем слоју је потребна радна путања до краја тунела и ништа више.

Крајеви, међутим, траже пуну подршку: прослеђивање, адресе и апликацију која стварно користи унутрашњу фамилију. Додела IPv6 префикса тунелу не чини услугу која ради само са IPv4 доступном преко IPv6 и не чини нижи слој dual-stack.

Пренос оквира је већа обавеза од преноса протокола. Проширење домена емитовања преко тунела помера са собом понашање разапињућег дрвета, ARP и ширење отказа, што је пројектна одлука, а не прекидач функције.

Изолација није поверљивост

Провајдерски VPN држе руте и саобраћај клијената у одвојеним контекстима прослеђивања и то раздвајање је стварно и вредно. То није шифровање. Спецификација BGP/MPLS VPN изричито каже да његова приватност долази из модела прослеђивања, а не из криптографије, и управо та разлика се губи на слајду који само каже VPN.

Ако вам је потребна поверљивост, потребан вам је криптографски механизам са аутентификацијом и управљањем кључевима, и морате да знате где се завршава. Тунел који пружа раздвајање и тунел који пружа шифровање могу бити исти тунел, али само када је неко конфигурисао оба.

Практична последица је да „то је у VPN-у“ одговара на питање о контексту рутирања и не каже вам ништа о томе ко може да чита бајтове на путањи. Два тима могу оба бити у праву и ипак описивати различите ствари. Када се појави безбедносно питање, питајте где се криптографија завршава и шта аутентификује партнере, а не да ли тунел постоји.

Кашњење и QoS прате нижи слој

Логична ивица није краћа физичка путања. Спољашњи пакети и даље пролазе кроз исте везе, редове и провајдере, а инкапсулација додаје трошак по пакету плус обраду на оба краја. Тунел може бити брз зато што је нижи слој добар, никада зато што је тунел.

Третман квалитета услуге је гори од тога, јер зависи од административних домена које можда не контролишете. Унутрашње ознаке морају намерно да се мапирају на спољашње, и сваки провајдер на путањи мора да понуди третман који очекујете. Шифровање не ствара приоритет; оно скрива поље које је међууређај можда користио за класификацију тока.

Измерите нижи слој пре него што нешто обећате. Извештај који показује стабилно кашњење и без губитака на спољашњој путањи је доказ; дијаграм са тунелом на њему није.

Изаберите тунел за мрежни однос који вам је потребан, а затим одвојено наведите шифровање, политику приступа, величину пакета и перформансе. Четири одлуке, четири доказа и ниједна ознака која би стала на место било које од њих.