Tunnel topologiyani sotib oladi, shifrlash yoki kechikishni emas

Taxmin shuki, tunnel xususiy va tezkor simdir: siz uni qurasiz, ichidagi trafik shifrlanadi, yo'l qisqaradi va aloqa ikki sayt orasidagi kabel kabi harakat qiladi. Bu taxminning har bir qismi alohida xususiyatdir va tunnel faqat siz undan so'ragan birinchi narsani, ya'ni mantiqiy yo'lni beradi. Qolgan hamma narsani ataylab tanlash va sozlash kerak. Xususiyatlarni aralashtirish dizaynning hech kim tuzata olmaydigan shifrlangan aloqa va hech kim bajara olmaydigan kechikish va'dasi bilan tugash yo'lidir.

Afsona: bitta tunnel, uchta kafolat

Tunnel bitta ishni ishonchli bajaradi. U to'g'ridan-to'g'ri ulanmagan ikki uchni biron maqsad uchun qo'shni kabi harakat qilishga majbur qiladi, oradagi tarmoq esa tashqi paketlarni tashiydi. Bu topologiya o'zgarishi va u o'z-o'zidan haqiqatan foydali.

Shifrlash, protokollarni tashish va yo'naltirishni izolyatsiya qilish uning ustiga qatlamlangan alohida qarorlardir. GRE tunnelida kriptografik ma'noda uchtadan biri ham yo'q, IP-in-IP tunnel esa hech qanday maxfiyliksiz to'g'ri dizayndir. Ularning hech biri xato emas; ular tunellar qiladigan ishni aynan qiladigan tunellardir. Diagrammadagi belgi qaysi xususiyatlar borligini aytmaydi.

Xususiyatlarni ajratgandan so'ng savollarga javob berish mumkin: bu tunnel yo'naltirish qo'shniligini tashiydimi, freymlarni tashiydimi, ichki manzillarni yashiradimi, kechikish haqida biror narsa va'da qiladimi? Bular to'rt xil javob va to'rt xil sozlash natijasidir.

Tunnel xaritaga aslida nima qo'shadi

Uchlar ilgari bo'lmagan yo'lni oladi. Bu yo'l yo'naltirilgan sakrash kabi yoki Ethernet segmenti kabi harakat qiladimi, bu butunlay inkapsulyatsiyaga bog'liq va farq ikki sayt u bilan nima qila olishini o'zgartiradi. Yo'naltirilgan tunnel sizga keyingi sakrash va prefiks beradi; Ethernet kengaytmasi translyatsiya xatti-harakati va ancha katta nosozlik domenini beradi.

IP tunnel uzoq saytni avtomatik ravishda bir xil quyi tarmoqning qismiga aylantirmaydi va agar amalga oshirish bu qo'shnilikni qo'llab-quvvatlamasa, uning ustidan yo'naltirish protokolini ishga tushirmaydi. Multicast o'z javobiga ega yana bir alohida savol.

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

Bu buyruqlar savolning turli qismlariga javob beradi. Birinchisi qanday turdagi interfeys borligini aytadi, ikkinchisi yadro qaysi yo'lni tanlashini aytadi, oxirgi ikkisi esa belgi va'dasi o'rniga quyi qatlamning haqiqiy xatti-harakatini ko'rsatadi.

Tashish erishishdan alohida qaror

Tunnel quyi qatlam uzatmaydigan protokolni tashishi mumkin. IPv6 ning IPv4 yo'li ustida tashilishi klassik holat bo'lib, u ishlaydi, chunki uchlar ikkala oilani tushunadi, ular orasidagi routerlar esa faqat tashqi paketlarni yetkazishi kerak. Quyi qatlamga tunnel uchigacha ishlaydigan yo'l kerak, undan ko'proq narsa emas.

Biroq uchlarga to'liq yordam kerak: yo'naltirish, manzillar va ichki oilani haqiqatan ishlatadigan dastur. Tunnelga IPv6 prefiks berish faqat IPv4 bilan ishlaydigan xizmatni IPv6 orqali erishiladigan qilmaydi va quyi qatlamni dual-stack qilmaydi.

Freymlarni tashish protokollarni tashishdan kattaroq majburiyat. Tunnel orqali translyatsiya domenini kengaytirish spanning tree xatti-harakati, ARP va nosozlik tarqalishini birga ko'chiradi, bu esa funksiya kaliti emas, dizayn qaroridir.

Izolyatsiya maxfiylik emas

Provayder VPN lari mijoz yo'llari va trafigini alohida yo'naltirish kontekstlarida saqlaydi va bu ajratish haqiqiy hamda qimmatlidir. Bu shifrlash emas. BGP/MPLS VPN spetsifikatsiyasi uning maxfiyligi kriptografiyadan emas, yo'naltirish modelidan kelishini aniq aytadi va faqat VPN deydigan slaydda aynan shu farq yo'qoladi.

Agar sizga maxfiylik kerak bo'lsa, autentifikatsiya va kalit boshqaruvi bo'lgan kriptografik mexanizm kerak va uning qayerda tugashini bilishingiz kerak. Ajratishni ta'minlaydigan tunnel va shifrlashni ta'minlaydigan tunnel bir xil tunnel bo'lishi mumkin, lekin kimdir ikkalasini ham sozlagandagina.

Amaliy natija shuki, «u VPN ichida» yo'naltirish konteksti haqidagi savolga javob beradi va yo'ldagi baytlarni kim o'qiy olishi haqida hech narsa aytmaydi. Ikki jamoa ikkalasi ham haq bo'lishi va baribir turli narsalarni tasvirlashi mumkin. Xavfsizlik savoli chiqqanda tunnel bormi-yo'qmi emas, kriptografiya qayerda tugaydi va sheriklarni nima autentifikatsiya qiladi, deb so'rang.

Kechikish va QoS quyi qatlamga ergashadi

Mantiqiy chegara qisqaroq jismoniy yo'l emas. Tashqi paketlar baribir bir xil aloqalar, navbatlar va provayderlardan o'tadi, inkapsulyatsiya esa har bir paketga ortiqcha xarajat va ikki uchda ishlov berishni qo'shadi. Tunnel tez bo'lishi mumkin, chunki quyi qatlam yaxshi, hech qachon u tunnel bo'lgani uchun emas.

Xizmat sifati bilan ishlash bundan ham yomon, chunki u siz nazorat qilmasligingiz mumkin bo'lgan ma'muriy domenlarga bog'liq. Ichki belgilar ataylab tashqi belgilarga moslashtirilishi kerak va yo'ldagi har bir provayder siz kutgan ishlovni taklif qilishi kerak. Shifrlash ustuvorlik yaratmaydi; u oraliq qurilma oqimni tasniflash uchun ishlatishi mumkin bo'lgan maydonni yashiradi.

Biror narsa va'da qilishdan oldin quyi qatlamni o'lchang. Tashqi yo'lda barqaror kechikish va yo'qotish yo'qligini ko'rsatadigan hisobot dalil; tunnel chizilgan diagramma dalil emas.

Kerakli tarmoq munosabati uchun tunnelni tanlang, so'ng shifrlash, kirish siyosati, paket hajmi va unumdorlikni alohida belgilang. To'rt qaror, to'rt dalil va ularning hech birining o'rnini bosmaydigan bitta belgi ham yo'q.