Bumibili ng topolohiya ang tunnel, hindi pag-encrypt o pagkaantala

Ang palagay ay ang tunnel ay isang pribado at mabilis na kawad: itinatayo mo ito, at ang trapik sa loob ay naka-encrypt, mas maikli ang landas at kumikilos ang link na parang kable sa pagitan ng dalawang site. Bawat bahagi ng palagay na iyon ay hiwalay na katangian, at ang tunnel ay nagbibigay lamang ng unang bagay na hiniling mo rito, na siyang lohikal na landas. Ang lahat ng iba ay dapat piliin at i-configure nang sadya. Ang paghahalo ng mga katangian ang dahilan kung bakit nagwawakas ang isang disenyo sa naka-encrypt na link na walang makapag-troubleshoot at sa pangako ng pagkaantala na walang makatutupad.

Ang mito: isang tunnel, tatlong garantiya

Isang bagay ang ginagawa ng tunnel nang maaasahan. Pinapag-uugali nito ang dalawang dulo na hindi direktang konektado na parang magkatabi para sa isang layunin, habang dinadala ng network sa gitna ang panlabas na packet. Iyon ay pagbabago ng topolohiya, at talagang kapaki-pakinabang ito sa sarili nito.

Ang encryption, pagdadala ng protocol at paghihiwalay ng pagpapasa ay magkakahiwalay na desisyon na nakapatong dito. Walang alinman sa tatlo ang tunnel GRE sa kahulugang cryptographic, at ang tunnel IP-in-IP ay valid na disenyo na walang anumang pagiging lihim. Wala sa mga ito ang pagkakamali; mga tunnel sila na ginagawa ang eksaktong ginagawa ng mga tunnel. Hindi sinasabi ng label sa diagram kung aling katangian ang naroroon.

Kapag hinati mo ang mga katangian, nagiging masasagot ang mga tanong: dinadala ba ng tunnel na ito ang pagkakalapit ng routing, nagdadala ba ito ng frame, itinatago ba nito ang panloob na address, nangangako ba ito ng anuman tungkol sa pagkaantala? Apat na magkaibang sagot iyon at apat na magkaibang bunga sa configuration.

Ano ang talagang idinadagdag ng tunnel sa mapa

Nakakakuha ang mga dulo ng landas na wala sila noon. Kung ang landas na iyon ay kumikilos na parang routed hop o parang Ethernet segment ay ganap na nakadepende sa encapsulation, at binabago ng pagkakaiba ang magagawa ng dalawang site dito. Ang routed tunnel ay nagbibigay ng susunod na hop at prefix; ang Ethernet extension ay nagbibigay ng pag-uugali ng broadcast at mas malaking failure domain.

Hindi awtomatikong ginagawang bahagi ng parehong subnet ng IP tunnel ang malayong site, at hindi nito pinapatakbo ang protocol ng routing dito maliban kung sinusuportahan ng implementasyon ang pagkakalapit na iyon. Ang Multicast ay isa pang hiwalay na tanong na may sariling sagot.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Sinasagot ng mga command na iyon ang magkaibang bahagi ng tanong. Sinasabi ng una kung anong uri ng interface ang umiiral, sinasabi ng pangalawa kung aling landas ang pipiliin ng kernel, at ang huling dalawa ay nagpapakita ng aktwal na pag-uugali ng ilalim na layer sa halip na ang pangako ng label.

Ang pagdadala ay hiwalay na desisyon sa maabot

Maaaring magdala ang tunnel ng protocol na hindi ipinapasa ng ilalim na layer. Ang IPv6 sa landas ng IPv4 ang klasikong kaso, at gumagana ito dahil nauunawaan ng mga dulo ang dalawang pamilya habang ang mga router sa gitna ay kailangan lamang ihatid ang panlabas na packet. Ang ilalim na layer ay nangangailangan ng gumaganang landas patungo sa dulo ng tunnel at wala nang iba.

Ang mga dulo, gayunpaman, ay nangangailangan ng buong suporta: pagpapasa, address at aplikasyong talagang gumagamit ng panloob na pamilya. Ang pagbibigay ng IPv6 prefix sa tunnel ay hindi ginagawang maabot sa pamamagitan ng IPv6 ang serbisyong gumagana lamang sa IPv4, at hindi ginagawang dual-stack ang ilalim na layer.

Ang pagdadala ng frame ay mas malaking pangako kaysa pagdadala ng protocol. Ang pagpapalawak ng broadcast domain sa tunnel ay naglilipat ng spanning tree behavior, ARP at pagkalat ng failure kasama nito, na desisyon sa disenyo at hindi toggle ng feature.

Ang paghihiwalay ay hindi pagiging lihim

Ang mga VPN ng provider ay nagtatabi ng ruta at trapik ng customer sa hiwalay na konteksto ng pagpapasa, at ang paghihiwalay na iyon ay tunay at mahalaga. Hindi ito encryption. Sinasabi ng espesipikasyon ng BGP/MPLS VPN nang malinaw na ang pagiging pribado nito ay nagmumula sa modelo ng pagpapasa at hindi sa cryptography, at iyon mismo ang pagkakaibang nawawala sa slide na nagsasabi lamang ng VPN.

Kung kailangan mo ng pagiging lihim, kailangan mo ng cryptographic na mekanismo na may authentication at key management, at kailangan mong malaman kung saan ito nagtatapos. Ang tunnel na nagbibigay ng paghihiwalay at ang tunnel na nagbibigay ng encryption ay maaaring ang parehong tunnel, ngunit kapag may nag-configure sa dalawa.

Ang praktikal na bunga ay ang «nasa VPN ito» ay sumasagot sa tanong tungkol sa konteksto ng routing at hindi nagsasabi ng anuman tungkol sa kung sino ang makababasa ng byte sa landas. Maaaring tama ang dalawang team at naglalarawan pa rin ng magkaibang bagay. Kapag lumitaw ang tanong ng seguridad, itanong saan nagtatapos ang cryptography at ano ang nagpapatunay sa mga peer, hindi kung may tunnel.

Ang latency at QoS ay sumusunod sa ilalim na layer

Ang lohikal na gilid ay hindi mas maikling pisikal na landas. Dumadaan pa rin ang panlabas na packet sa parehong link, pila at provider, at ang encapsulation ay nagdaragdag ng overhead bawat packet at pagproseso sa dalawang dulo. Maaaring mabilis ang tunnel dahil maganda ang ilalim na layer, hindi kailanman dahil tunnel ito.

Ang pagtrato sa kalidad ng serbisyo ay mas malala pa, dahil nakadepende ito sa mga administratibong domain na maaaring hindi mo kontrolado. Ang panloob na marka ay dapat sadyang i-map sa panlabas na marka, at bawat provider sa landas ay dapat mag-alok ng pagtratong inaasahan mo. Hindi lumilikha ng prayoridad ang encryption; itinatago nito ang field na maaaring ginamit ng middlebox upang uriin ang daloy.

Sukatin ang ilalim na layer bago mangako ng anuman. Ang ulat na nagpapakita ng matatag na pagkaantala at walang pagkawala sa panlabas na landas ay ebidensya; ang diagram na may tunnel ay hindi.

Piliin ang tunnel para sa ugnayang pang-network na kailangan mo, pagkatapos ay tukuyin nang hiwalay ang encryption, patakaran sa access, laki ng packet at performance. Apat na desisyon, apat na ebidensya, at walang isang label na pumapalit sa alinman sa mga ito.