नेटवर्किंग में End-to-End का वास्तव में क्या मतलब है?

जब लोग कहते हैं कि एक कनेक्शन "end to end" है, तो उनका मतलब है कि डेटा मूल स्रोत एप्लिकेशन से गंतव्य एप्लिकेशन तक बिना किसी मध्य हस्तक्षेपकारी द्वारा इसे चुपचाप फिर से लिखे या समाप्त किए बिना यात्रा करता है। NAT, फायरवॉल, लोड बैलेंसर और प्रॉक्सी के माध्यम से एक वास्तविक पैकेट के पथ को ट्रेस करने तक यह सरल लगता है।

end-to-end सिद्धांत

यह विचार 1984 के एक पेपर से आता है जिसे Saltzer, Reed, और Clark ने लिखा था। इसमें तर्क दिया गया था कि विश्वसनीयता और एन्क्रिप्शन जैसे कुछ कार्य नेटवर्क के अंतबिंदुओं पर होने चाहिए, बीच में नहीं। कोर नेटवर्क को बस पैकेट फॉरवर्ड करना चाहिए। अंतबिंदु त्रुटि जाँच, पुनः प्रेषण और क्रम को संभालते हैं।

TCP सबसे स्पष्ट उदाहरण है। बीच के राउटर अनुक्रम संख्याओं को ट्रैक नहीं करते या सेगमेंट को स्वीकार नहीं करते। यह TCP स्टैक चलाने वाले दोनों होस्ट का काम है। नेटवर्क लेयर (IP) केवल best-effort डिलीवरी करता है, और प्रत्येक छोर पर TCP वह सुधारता है जो खो जाता है या फिर से व्यवस्थित होता है।

आज end-to-end कहाँ टूटता है

आधुनिक नेटवर्क इस सिद्धांत का लगातार उल्लंघन करते हैं, आमतौर पर अच्छे परिचालन कारणों से:

• NAT स्रोत IP और पोर्ट को फिर से लिखता है, इसलिए सर्वर जो पैकेट देखता है वह पैकेट नहीं है जो क्लाइंट ने भेजा था।
• TLS-terminating प्रॉक्सी और लोड बैलेंसर (जैसे AWS ALB या nginx रिवर्स प्रॉक्सी) एक TCP/TLS सेशन को समाप्त करते हैं और एक नया शुरू करते हैं। क्लाइंट का वास्तविक अंतबिंदु प्रॉक्सी है, ऐप सर्वर नहीं।
• Stateful फायरवॉल कनेक्शन स्थिति को ट्रैक करते हैं और पैकेट को छोड़ सकते हैं जो अपेक्षित अनुक्रम से मेल नहीं खाते, प्रभावी रूप से अपने आप को बातचीत में इंजेक्ट करते हैं।
• CGNAT ISP नेटवर्क पर कई ग्राहक एक सार्वजनिक IP साझा करते हैं, इस धारणा को तोड़ते हैं कि एक IP एक एकल होस्ट से मेल खाता है।

यह व्यावहारिक रूप से तब मायने रखता है जब आप डीबग कर रहे हों। यदि कोई उपयोगकर्ता रिपोर्ट करता है कि "कनेक्शन गिर गया," तो आपको यह जानना होगा कि क्या यह उनके लैपटॉप पर गिरा, उनके होम राउटर पर, ISP पर, CDN एज नोड पर, लोड बैलेंसर पर, या मूल सर्वर पर। end-to-end सोच आपको पूरी श्रृंखला को ट्रेस करने के बजाय केवल अपने सर्वर लॉग की जाँच करने के लिए मजबूर करती है।

end-to-end कनेक्टिविटी का परीक्षण

कुछ उपकरण जो आपको पथ दिखाते हैं, केवल सफलता/विफलता नहीं:

# हॉप दर हॉप मार्ग को ट्रेस करें
traceroute 8.8.8.8

# Linux पर, MTR प्रत्येक हॉप के लिए निरंतर आँकड़े देता है
mtr google.com

# MTU समस्याओं की जाँच करें जो पैकेट को चुपचाप विखंडित या छोड़ते हैं
ping -M do -s 1472 8.8.8.8

वह अंतिम आदेश अच्छी तरह जानने के लायक है। Path MTU डिस्कवरी विफलताएँ एक क्लासिक "end-to-end कनेक्टिविटी की तरह दिखता है लेकिन वास्तव में नहीं है" समस्या है। TCP SYN जैसे छोटे पैकेट ठीक हो जाते हैं, लेकिन एक बार जब आप पूर्ण आकार का पेलोड भेजते हैं, तो बीच का कोई हॉप इसे चुपचाप छोड़ देता है क्योंकि यह बहुत बड़ा है और ICMP "fragmentation needed" एक फायरवॉल द्वारा अवरुद्ध किया जा रहा है। कनेक्शन हैंग हो जाता है और सभी एप्लिकेशन को दोष देते हैं।

TCP के लिए विशेष रूप से, दोनों छोरों पर tcpdump या ss -ti आपको बताता है कि क्या दोनों होस्ट यह सहमत हैं कि उनके पास एक खुला कनेक्शन है:

ss -ti dst 203.0.113.5

यदि एक पक्ष सोचता है कि कनेक्शन ESTABLISHED है और दूसरा कुछ नहीं दिखाता है, तो बीच में कुछ (आमतौर पर एक फायरवॉल निष्क्रिय कनेक्शन को समय समाप्त करता है) ने इसे चुपचाप मार दिया है।

सुरक्षा के लिए यह क्यों मायने रखता है

end-to-end एन्क्रिप्शन इसी अवधारणा का सुरक्षा-प्रासंगिक संस्करण है। एक ब्राउज़र और CDN एज के बीच TLS ब्राउज़र और आपके मूल सर्वर के बीच TLS के समान नहीं है। यदि CDN TLS को समाप्त करता है और अपने बैकएंड को plaintext (या एक नया TLS कनेक्शन) भेजता है, तो आपके पास एक निरंतर एन्क्रिप्ट चैनल नहीं, दो अलग-अलग एन्क्रिप्ट हॉप हैं। अधिकांश उपयोग के मामलों के लिए यह ठीक है, लेकिन यदि आप कुछ संवेदनशील हैंडल कर रहे हैं, तो आपको यह जानना होगा कि डीक्रिप्शन बिल्कुल कहाँ होता है और कौन प्रत्येक हॉप पर plaintext देख सकता है।

VPN पर समान तर्क लागू होता है। एक "full tunnel" VPN आपके डिवाइस से VPN exit नोड तक end-to-end एन्क्रिप्शन देता है, लेकिन exit नोड से वास्तविक गंतव्य सर्वर तक का कनेक्शन अपनी स्वयं की सुरक्षा गुणों के साथ एक अलग हॉप है।

व्यावहारिक निष्कर्ष

जब कोई कहे कि नेटवर्क पथ end to end है, तो पूछें: बिल्कुल किन दो बिंदुओं के बीच end to end? क्लाइंट और लोड बैलेंसर? लोड बैलेंसर और ऐप सर्वर? वास्तविक अंतबिंदुओं को नाम देना एक अस्पष्ट नेटवर्किंग दावे को कुछ में बदल देता है जिसे आप पैकेट कैप्चर के साथ परीक्षण कर सकते हैं।

यदि आप वास्तविक ट्रैफिक को ट्रेस करने और पैकेट कैप्चर को पढ़ने पर गहराई से जाना चाहते हैं, तो Korra Studio के DEFENSE_GRID प्लेटफॉर्म पर Wireshark और TCP/IP fundamentals सेगमेंट देखें।