端到端在網路上究竟代表什麼？

當人們說連線是「端到端」時，他們的意思是資料從原始應用程式一路傳到目標應用程式，途中沒有中介盒體悄悄重寫或中斷它。這聽起來很簡單，直到你開始追蹤實際封包通過 NAT、防火牆、負載平衡器和代理伺服器的路徑。

端到端原則

這個概念來自 1984 年由 Saltzer、Reed 和 Clark 發表的論文，他們主張可靠性和加密等特定函式應該位於網路的端點，而不是中間。核心網路應該只轉發封包。端點負責錯誤檢查、重傳和排序。

TCP 是最明確的例子。中間的路由器不會追蹤序列號或確認分段。那是執行 TCP 堆疊的兩台主機的工作。網路層 (IP) 只做盡力傳遞，每端的 TCP 修復遺失或重新排序的內容。

端到端在今天的失效之處

現代網路經常違反此原則，通常是基於良好的運作原因：

• NAT 重寫來源 IP 和埠號，所以伺服器看到的封包不是用戶端送出的封包。
• TLS 終止代理和負載平衡器（如 AWS ALB 或 nginx 反向代理）結束一個 TCP/TLS 工作階段並開始新的工作階段。用戶端的實際端點是代理，不是應用伺服器。
• 有狀態防火牆追蹤連線狀態，可以丟棄不符合預期序列的封包，有效地將自己注入到對話中。
• CGNAT 在 ISP 網路上意味著許多客戶共享一個公開 IP，破壞了 IP 映射到單一主機的假設。

當你在除錯時這很重要。如果使用者報告「連線中斷」，你需要知道它是在他們的筆記型電腦、他們的家用路由器、ISP、CDN 邊緣節點、負載平衡器還是源伺服器中斷的。端到端思維強制你追蹤整個鏈而不是只檢查自己的伺服器日誌。

測試端到端連線

一些工具能實際顯示路徑，而不只是成功/失敗：

# 逐跳追蹤路由
traceroute 8.8.8.8

# 在 Linux 上，MTR 提供每跳的持續統計
mtr google.com

# 檢查 MTU 問題，這些問題會分片或悄悄丟棄封包
ping -M do -s 1472 8.8.8.8

最後那個命令值得好好了解。路徑 MTU 發現失敗是個典型的「看起來像端到端連線，但實際上不是」問題。像 TCP SYN 這樣的小封包能順利通過，但一旦你送出全尺寸負載，中間某個躍點會因為它太大而悄悄丟棄它，且防火牆阻止了 ICMP「需要分片」。連線掛起，每個人都責怪應用程式。

對於 TCP 特別地，在兩端執行 tcpdump 或 ss -ti 告訴你兩台主機是否同意他們有開啟的連線：

ss -ti dst 203.0.113.5

如果一端認為連線是 ESTABLISHED 而另一端沒有顯示任何內容，中間某處（通常是防火牆逾時閒置連線）已悄悄殺死它。

為什麼這對安全很重要

端到端加密是這個相同概念的安全相關版本。瀏覽器與 CDN 邊緣之間的 TLS 不同於瀏覽器與你源伺服器之間的 TLS。如果 CDN 終止 TLS 並轉發純文字（或新的 TLS 連線）到你的後端，你有兩個分開的加密躍點，不是一個持續的加密通道。對於大多數使用案例這是可以的，但如果你處理敏感資料，你需要確切知道解密發生的位置以及每個躍點上誰可以看到純文字。

相同的邏輯適用於 VPN。「完整通道」VPN 從你的設備到 VPN 出口節點提供你端到端加密，但從出口節點到實際目標伺服器的連線是有自己安全屬性的單獨躍點。

實務要點

當有人說網路路徑是端到端時，問：端到端在哪兩點之間究竟是什麼？用戶端和負載平衡器之間？負載平衡器和應用伺服器之間？命名實際端點將模糊的網路聲明轉變為你可以用封包擷取測試的東西。

如果你想深入了解追蹤真實流量和讀取封包擷取，查看 Korra Studio 的 DEFENSE_GRID 平台上的 Wireshark 和 TCP/IP 基礎部分。