Ağda End-to-End Gerçekten Ne Anlama Gelir?

İnsanlar bir bağlantının "end-to-end" olduğunu söylediklerinde, verinin orijinal kaynak uygulamadan hedef uygulamaya kadar, yoldaki herhangi bir middlebox tarafından sessizce yeniden yazılmadan veya sonlandırılmadan gittiğini kastediyorlar. Gerçek bir paketin NAT, güvenlik duvarları, yük dengeleyiciler ve proxy'ler üzerinden yolunu izlemeye başlayana kadar basit görünür.

End-to-end prensibi

Bu fikir Saltzer, Reed ve Clark tarafından yazılan 1984 tarihli bir makaleden gelir ve güvenilirlik ve şifreleme gibi belirli işlevlerin ağın ortasında değil, uç noktalarında olması gerektiğini savunmuştur. Çekirdek ağ sadece paketleri iletmelidir. Uç noktalar hata kontrolü, yeniden iletim ve sıralamayı yönetir.

TCP en açık örnektir. Ortadaki yönlendiriciler dizi numaralarını veya bölümleri takip etmezler. Bu, TCP yığınlarını çalıştıran iki ana bilgisayarın işidir. Ağ katmanı (IP) sadece en iyi çaba iletimi yapar ve her iki uçtaki TCP kaybolan veya yeniden sıralanan her şeyi düzeltir.

End-to-end günümüzde nerede bozuluyor

Modern ağlar bu prensibi sürekli ihlal eder, genellikle iyi operasyonel nedenlerle:

• NAT kaynak IP ve portunu yeniden yazar, bu nedenle sunucunun gördüğü paket istemcinin gönderdiği paket değildir.
• TLS-sonlandıran proxy'ler ve yük dengeleyiciler (AWS ALB veya nginx reverse proxy gibi) bir TCP/TLS oturumunu sonlandırır ve yeni bir tane başlatır. İstemcinin gerçek uç noktası proxy'dir, uygulama sunucusu değildir.
• Durum izleyen güvenlik duvarları bağlantı durumunu izler ve beklenen dizilere uymayan paketleri düşürebilir, etkili bir şekilde kendilerini konuşmaya enjekte eder.
• CGNAT İSP ağlarında birçok müşteri bir genel IP'yi paylaşır, bir IP'nin tek bir ana bilgisayarla eşlendiği varsayımını bozar.

Bu, hata ayıklamada pratik olarak önemlidir. Bir kullanıcı "bağlantı koptu" bildirirse, bunun onların dizüstü bilgisayarında, ev yönlendiricilerinde, ISS'de, bir CDN kenar düğümünde, yük dengeleyicide veya menşe sunucusunda kopyalanıp kopyalanmadığını bilmeniz gerekir. End-to-end düşüncesi, sadece kendi sunucu günlüklerinizi kontrol etmek yerine tüm zinciri izlemeye zorlar.

End-to-end bağlantısını test etmek

Size yolu gösteren birkaç araç, sadece başarı/başarısızlık değil:

# Rotayı adım adım izle
traceroute 8.8.8.8

# Linux'ta, MTR her adım başına sürekli istatistik verir
mtr google.com

# Paketleri sessizce parçalayan veya düşüren MTU sorunlarını kontrol et
ping -M do -s 1472 8.8.8.8

Son komut iyi bilmeye değer. Path MTU keşif başarısızlıkları klasik "end-to-end bağlantısı gibi görünüyor ama aslında değil" sorunudur. TCP SYN gibi küçük paketler iyice geçer, ancak tam boyutlu bir yük gönderdiğinizde, ortadaki bazı adımlar bunu sessizce düşürür çünkü çok büyüktür ve ICMP "parçalanma gerekli" bir güvenlik duvarı tarafından engellenir. Bağlantı asılı kalır ve herkes uygulamayı suçlar.

TCP için özellikle, her iki uçtaki tcpdump veya ss -ti açık bir bağlantıya sahip olduklarında iki ana bilgisayarın aynı fikirde olup olmadığını söyler:

ss -ti dst 203.0.113.5

Bir taraf bağlantının ESTABLISHED olduğunu düşünüyorsa ve diğer hiçbir şey göstermiyorsa, ortadaki bir şey (genellikle boşta bağlantıları zaman aşımına uğratan bir güvenlik duvarı) onu sessizce öldürmüştür.

Bunun güvenlik için neden önemli olduğu

End-to-end şifreleme bu aynı konseptin güvenlikle ilgili versiyonudur. Bir tarayıcı ile CDN kenarı arasındaki TLS, tarayıcı ile menşe sunucunuz arasındaki TLS ile aynı değildir. CDN TLS'yi sonlandırırsa ve arka uca açık metin (veya yeni bir TLS bağlantısı) iletirse, bir sürekli şifreli kanalınız değil, iki ayrı şifreli adımınız vardır. Bu çoğu kullanım durumu için iyidir, ancak hassas bir şey işliyorsanız, şifre çözmenin tam olarak nerede gerçekleştiğini ve her adımda şifresi açık metni kimin görebileceğini bilmeniz gerekir.

Aynı mantık VPN'lere de uygulanır. "Tam tünel" VPN, cihazınızdan VPN çıkış düğümüne kadar end-to-end şifreleme sağlar, ancak çıkış düğümünden gerçek hedef sunucuya bağlantı kendi güvenlik özellikleriyle ayrı bir adımdır.

Pratik sonuç

Birisi bir ağ yolunun end-to-end olduğunu söylediğinde, şunu sorun: tam olarak hangi iki nokta arasında end-to-end? İstemci ve yük dengeleyici arasında? Yük dengeleyici ve uygulama sunucusu arasında? Gerçek uç noktaları adlandırmak vague bir ağ talebini bir paket yakalama ile test edebileceğiniz bir şeye dönüştürür.

Gerçek trafiği izleme ve paket yakalamalarını okuma konusunda daha derine inmek istiyorsanız, Korra Studio'nun DEFENSE_GRID platformundaki Wireshark ve TCP/IP fundamentals bölümlerine göz atın.