Tünel topoloji satın alır, şifreleme veya gecikme değil

Varsayım, tünelin özel ve hızlı bir kablo olduğudur: onu inşa edersiniz, içindeki trafik şifrelenir, yol kısalır ve bağlantı iki site arasında bir kablo gibi davranır. Bu varsayımın her parçası ayrı bir özelliktir ve tünel yalnızca ondan istediğiniz ilk şeyi, yani mantıksal bir yolu sağlar. Geri kalan her şey bilerek seçilmeli ve yapılandırılmalıdır. Özellikleri karıştırmak, bir tasarımın kimsenin sorun gideremediği şifreli bir bağlantıyla ve kimsenin tutamayacağı bir gecikme vaadiyle sonuçlanmasının yoludur.

Efsane: tek tünel, üç garanti

Tünel bir şeyi güvenilir şekilde yapar. Doğrudan bağlı olmayan iki ucu bir amaç için komşuymuş gibi davranmaya zorlar, aradaki ağ ise dış paketleri taşır. Bu bir topoloji değişikliğidir ve kendi başına gerçekten faydalıdır.

Şifreleme, protokol taşıma ve yönlendirme yalıtımı bunun üzerine katmanlanan ayrı kararlardır. Bir GRE tüneli kriptografik anlamda üçünün hiçbirine sahip değildir ve bir IP-in-IP tüneli hiçbir gizlilik içermeyen geçerli bir tasarımdır. İkisi de hata değildir; tünellerin yaptığını tam olarak yapan tünellerdir. Şemadaki etiket hangi özelliklerin mevcut olduğunu söylemez.

Özellikleri ayırdığınızda sorular yanıtlanabilir hale gelir: bu tünel bir yönlendirme komşuluğu taşıyor mu, çerçeve taşıyor mu, iç adresleri saklıyor mu, gecikme hakkında bir şey vaat ediyor mu? Bunlar dört farklı yanıt ve dört farklı yapılandırma sonucudur.

Tünelin haritaya gerçekte ne eklediği

Uçlar daha önce sahip olmadıkları bir yol elde eder. Bu yolun yönlendirilmiş bir atlama gibi mi yoksa bir Ethernet segmenti gibi mi davrandığı tamamen kapsüllemeye bağlıdır ve fark, iki sitenin onunla ne yapabileceğini değiştirir. Yönlendirilmiş bir tünel size sonraki atlamayı ve bir öneki verir; bir Ethernet genişletmesi yayın davranışı ve çok daha büyük bir arıza alanı verir.

Bir IP tüneli uzak siteyi otomatik olarak aynı alt ağın parçası yapmaz ve uygulama bu komşuluğu desteklemedikçe üzerinden bir yönlendirme protokolü çalıştırmaz. Multicast kendi yanıtı olan bir başka ayrı sorudur.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Bu komutlar sorunun farklı kısımlarını yanıtlar. Birincisi ne tür bir arayüz olduğunu söyler, ikincisi çekirdeğin hangi yolu seçeceğini söyler ve son ikisi etiketin vaadi yerine alt katmanın gerçek davranışını gösterir.

Taşıma, erişilebilirlikten ayrı bir karardır

Tünel, alt katmanın iletmediği bir protokolü taşıyabilir. IPv6'nın IPv4 yolu üzerinden taşınması klasik durumdur ve işe yarar çünkü uçlar iki aileyi de anlar, aralarındaki yönlendiricilerin ise yalnızca dış paketleri teslim etmesi gerekir. Alt katmanın tünel ucuna giden çalışan bir yola ihtiyacı vardır, fazlasına değil.

Ancak uçların tam desteğe ihtiyacı vardır: iletme, adresler ve iç aileyi gerçekten kullanan bir uygulama. Bir tünele IPv6 öneki atamak, yalnızca IPv4 ile çalışan bir hizmeti IPv6 üzerinden erişilebilir yapmaz ve alt katmanı dual-stack yapmaz.

Çerçeve taşıma, protokol taşımadan daha büyük bir taahhüttür. Bir yayın alanını tünel üzerinden genişletmek, yayılan ağaç davranışını, ARP'yi ve arıza yayılımını beraberinde taşır; bu bir özellik anahtarı değil, tasarım kararıdır.

Yalıtım gizlilik değildir

Sağlayıcı VPN'leri müşteri rotalarını ve trafiğini ayrı yönlendirme bağlamlarında tutar ve bu ayrım gerçek ve değerlidir. Bu şifreleme değildir. BGP/MPLS VPN belirtimi, gizliliğinin kriptografiden değil yönlendirme modelinden geldiğini açıkça söyler ve yalnızca VPN diyen bir slaytta kaybolan tam olarak bu ayrımdır.

Gizliliğe ihtiyacınız varsa, kimlik doğrulama ve anahtar yönetimi olan bir kriptografik mekanizmaya ihtiyacınız vardır ve nerede bittiğini bilmeniz gerekir. Ayrım sağlayan bir tünel ile şifreleme sağlayan bir tünel aynı tünel olabilir, ama yalnızca biri ikisini de yapılandırdığında.

Pratik sonuç, «bir VPN'in içinde» ifadesinin yönlendirme bağlamı hakkındaki bir soruyu yanıtladığı ve yoldaki baytları kimin okuyabileceği hakkında hiçbir şey söylemediğidir. İki ekip de haklı olabilir ve yine de farklı şeyler tanımlayabilir. Güvenlik sorusu ortaya çıktığında, tünel var mı diye değil, kriptografinin nerede bittiğini ve eşleri neyin doğruladığını sorun.

Gecikme ve QoS alt katmanı izler

Mantıksal bir kenar, daha kısa bir fiziksel yol değildir. Dış paketler hâlâ aynı bağlantılardan, kuyruklardan ve sağlayıcılardan geçer ve kapsülleme paket başına ek yük ile iki uçta işlem ekler. Bir tünel, alt katman iyi olduğu için hızlı olabilir, asla tünel olduğu için değil.

Hizmet kalitesi işlemi bundan daha kötüdür, çünkü kontrol etmeyebileceğiniz idari alanlara bağlıdır. İç işaretler bilerek dış işaretlere eşlenmelidir ve yoldaki her sağlayıcı beklediğiniz işlemi sunmalıdır. Şifreleme öncelik yaratmaz; bir ara kutunun akışı sınıflandırmak için kullanmış olabileceği alanı saklar.

Herhangi bir şey vaat etmeden önce alt katmanı ölçün. Dış yolda kararlı gecikme ve kayıp olmadığını gösteren bir rapor kanıttır; üzerinde tünel olan bir şema kanıt değildir.

İhtiyacınız olan ağ ilişkisi için tüneli seçin, ardından şifrelemeyi, erişim politikasını, paket boyutunu ve performansı ayrı ayrı belirtin. Dört karar, dört kanıt ve hiçbirinin yerine geçmeyen tek bir etiket yok.