อุโมงค์ซื้อโทโพโลยี ไม่ใช่การเข้ารหัสหรือความหน่วง

สมมติฐานคืออุโมงค์เป็นสายส่วนตัวที่รวดเร็ว คุณสร้างมันขึ้นมา และทราฟฟิกภายในถูกเข้ารหัส เส้นทางสั้นลง และลิงก์ทำงานเหมือนสายเคเบิลระหว่างสองไซต์ ทุกส่วนของสมมติฐานนั้นเป็นคุณสมบัติแยกกัน และอุโมงค์มอบเพียงสิ่งแรกที่คุณขอไป คือเส้นทางเชิงตรรกะ ทุกอย่างอื่นต้องเลือกและกำหนดค่าโดยเจตนา การสับสนคุณสมบัติคือสาเหตุที่การออกแบบลงเอยด้วยลิงก์ที่เข้ารหัสซึ่งไม่มีใครแก้ปัญหาได้ และสัญญาความหน่วงที่ไม่มีใครรักษาได้

ตำนาน: อุโมงค์เดียว สามการรับประกัน

อุโมงค์ทำสิ่งหนึ่งได้อย่างน่าเชื่อถือ มันทำให้ปลายทางสองจุดที่ไม่ได้เชื่อมต่อกันโดยตรงทำงานราวกับอยู่ติดกันเพื่อจุดประสงค์บางอย่าง ขณะที่เครือข่ายระหว่างกลางขนส่งแพ็กเก็ตชั้นนอก นั่นคือการเปลี่ยนโทโพโลยี และมันมีประโยชน์จริงด้วยตัวมันเอง

การเข้ารหัส การขนส่งโปรโตคอล และการแยกการส่งต่อเป็นการตัดสินใจแยกกันที่วางซ้อนอยู่ด้านบน อุโมงค์ GRE ไม่มีทั้งสามอย่างในความหมายของการเข้ารหัส และอุโมงค์ IP-in-IP เป็นการออกแบบที่ถูกต้องโดยไม่มีความลับใดๆ ทั้งสิ้น ไม่มีสิ่งใดเป็นการผิดพลาด มันคืออุโมงค์ที่ทำสิ่งที่อุโมงค์ทำ ป้ายบนแผนภาพไม่ได้บอกว่ามีคุณสมบัติใดอยู่

เมื่อแยกคุณสมบัติออกจากกัน คำถามก็ตอบได้ อุโมงค์นี้ขนส่งความใกล้เคียงของการกำหนดเส้นทางหรือไม่ ขนส่งเฟรมหรือไม่ ซ่อนที่อยู่ภายในหรือไม่ สัญญาอะไรเกี่ยวกับความหน่วงหรือไม่ นั่นคือสี่คำตอบต่างกันพร้อมผลลัพธ์การกำหนดค่าที่ต่างกันสี่อย่าง

อุโมงค์เพิ่มอะไรให้แผนที่จริงๆ

ปลายทางทั้งสองได้เส้นทางที่ไม่เคยมีมาก่อน เส้นทางนั้นจะทำงานเหมือนฮอปที่กำหนดเส้นทางหรือเหมือนส่วนของอีเทอร์เน็ตนั้นขึ้นอยู่กับการห่อหุ้มทั้งหมด และความแตกต่างเปลี่ยนสิ่งที่สองไซต์ทำกับมันได้ อุโมงค์ที่กำหนดเส้นทางให้ฮอปถัดไปและคำนำหน้า การขยายอีเทอร์เน็ตให้พฤติกรรมการกระจายและโดเมนความล้มเหลวที่ใหญ่กว่ามาก

อุโมงค์ IP ไม่ได้ทำให้ไซต์ระยะไกลเป็นส่วนหนึ่งของซับเน็ตเดียวกันโดยอัตโนมัติ และไม่ได้ทำให้โปรโตคอลการกำหนดเส้นทางทำงานผ่านมัน เว้นแต่การนำไปใช้งานรองรับความใกล้เคียงนั้น Multicast เป็นอีกคำถามแยกต่างหากที่มีคำตอบของตัวเอง

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

คำสั่งเหล่านั้นตอบคำถามส่วนต่างๆ อย่างแรกบอกว่ามีอินเทอร์เฟซชนิดใด ส่วนที่สองบอกว่าเคอร์เนลจะเลือกเส้นทางใด และสองข้อสุดท้ายแสดงพฤติกรรมจริงของชั้นล่างแทนคำสัญญาของป้าย

การขนส่งเป็นการตัดสินใจแยกจากการเข้าถึง

อุโมงค์สามารถขนส่งโปรโตคอลที่ชั้นล่างไม่ส่งต่อได้ IPv6 บนเส้นทาง IPv4 เป็นกรณีคลาสสิก และมันได้ผลเพราะปลายทางเข้าใจทั้งสองตระกูล ขณะที่เราเตอร์ระหว่างนั้นเพียงต้องส่งแพ็กเก็ตชั้นนอกให้ถึง ชั้นล่างต้องการเส้นทางที่ใช้งานได้ไปยังปลายอุโมงค์และไม่มีอะไรมากกว่านั้น

แต่ปลายทางต้องการการสนับสนุนเต็มรูปแบบ การส่งต่อ ที่อยู่ และแอปพลิเคชันที่ใช้ตระกูลภายในจริงๆ การกำหนดคำนำหน้า IPv6 ให้อุโมงค์ไม่ได้ทำให้บริการที่ทำงานกับ IPv4 เท่านั้นเข้าถึงได้ผ่าน IPv6 และไม่ได้ทำให้ชั้นล่างเป็น dual-stack

การขนส่งเฟรมเป็นความมุ่งมั่นที่ใหญ่กว่าการขนส่งโปรโตคอล การขยายโดเมนการกระจายผ่านอุโมงค์ย้ายพฤติกรรม spanning tree, ARP และการแพร่กระจายความล้มเหลวไปด้วย ซึ่งเป็นการตัดสินใจออกแบบไม่ใช่สวิตช์คุณสมบัติ

การแยกไม่ใช่ความลับ

VPN ของผู้ให้บริการเก็บเส้นทางและทราฟฟิกของลูกค้าในบริบทการส่งต่อแยกกัน และการแยกนั้นเป็นจริงและมีคุณค่า มันไม่ใช่การเข้ารหัส ข้อกำหนด BGP/MPLS VPN ระบุชัดเจนว่าความเป็นส่วนตัวมาจากรูปแบบการส่งต่อไม่ใช่จากการเข้ารหัส และนั่นคือความแตกต่างที่หายไปในสไลด์ที่พูดเพียง VPN

ถ้าคุณต้องการความลับ คุณต้องมีกลไกการเข้ารหัสที่มีการพิสูจน์ตัวตนและการจัดการคีย์ และต้องรู้ว่ามันสิ้นสุดที่ใด อุโมงค์ที่ให้การแยกและอุโมงค์ที่ให้การเข้ารหัสอาจเป็นอุโมงค์เดียวกัน แต่เฉพาะเมื่อมีคนกำหนดค่าทั้งสองอย่าง

ผลในทางปฏิบัติคือ «มันอยู่ใน VPN» ตอบคำถามเกี่ยวกับบริบทการกำหนดเส้นทางและไม่ได้บอกอะไรเกี่ยวกับใครสามารถอ่านไบต์บนเส้นทางได้ สองทีมอาจถูกทั้งคู่และยังคงอธิบายสิ่งต่างๆ ต่างกัน เมื่อคำถามด้านความปลอดภัยเกิดขึ้น จงถามว่า การเข้ารหัสสิ้นสุดที่ใด และอะไรพิสูจน์ตัวตนของคู่สัญญา ไม่ใช่ถามว่ามีอุโมงค์หรือไม่

ความหน่วงและ QoS เป็นไปตามชั้นล่าง

ขอบเชิงตรรกะไม่ใช่เส้นทางกายภาพที่สั้นกว่า แพ็กเก็ตชั้นนอกยังคงผ่านลิงก์ คิว และผู้ให้บริการเดิม และการห่อหุ้มเพิ่มภาระต่อแพ็กเก็ตบวกการประมวลผลที่ปลายทั้งสอง อุโมงค์อาจเร็วได้เพราะชั้นล่างดี ไม่ใช่เพราะมันเป็นอุโมงค์

การจัดการคุณภาพบริการแย่กว่านั้น เพราะขึ้นอยู่กับโดเมนการบริหารที่คุณอาจไม่ได้ควบคุม เครื่องหมายภายในต้องถูกแมปไปยังเครื่องหมายภายนอกอย่างตั้งใจ และผู้ให้บริการทุกรายบนเส้นทางต้องเสนอการจัดการที่คุณคาดหวัง การเข้ารหัสไม่ได้สร้างลำดับความสำคัญ มันซ่อนฟิลด์ที่กล่องกลางอาจใช้จำแนกโฟลว์

วัดชั้นล่างก่อนสัญญาอะไร รายงานที่แสดงความหน่วงคงที่และไม่มีการสูญเสียบนเส้นทางภายนอกคือหลักฐาน แผนภาพที่มีอุโมงค์อยู่บนนั้นไม่ใช่หลักฐาน

เลือกอุโมงค์สำหรับความสัมพันธ์เครือข่ายที่คุณต้องการ จากนั้นระบุการเข้ารหัส นโยบายการเข้าถึง ขนาดแพ็กเก็ต และประสิทธิภาพแยกกัน สี่การตัดสินใจ สี่หลักฐาน และไม่มีป้ายเดียวที่แทนที่สิ่งใดในนั้น