Volle tonnel teenoor verdeelde tonnel: die vier dinge wat verskil
Die etiket bepaal waar die res van 'n skootrekenaar se verkeer uitgaan, nie hoe vinnig dit is nie. Vergelyk uitgang, las, DNS en foutgedrag voordat jy kies.
Tonnel-etikette beskryf waar die res van 'n skootrekenaar se verkeer heen gaan, nie hoe vinnig dit gaan nie. Met 'n volle tonnel beweeg openbare versoeke deur die VPN-poort voordat hulle na die internet vertrek. Met verdeelde tonnelgebruik neem private bestemmings die tonnel en alles anders volg die plaaslike roete. Beide bereik die interne toepassing, so die bereikbaarheidstoets wat mense eerste doen, sê niks oor watter beleid ontplooi is nie.
Toets eerder die uitgang: watter adres 'n openbare eggo-bladsy rapporteer, en watter oplosser geantwoord het.
Mite: verdeelde tonnel is net die vinniger opsie
Verdeelde tonnelgebruik word dikwels as 'n werkverrigtingkenmerk verkoop, en dit kan een wees, maar dit is 'n newe-effek eerder as die definisie. Die definisie is 'n roetebesluit oor watter bestemmings die tonnel binnegaan. Die spoedverskil verskyn net wanneer die direkte roete werklik beter is as die ompad deur die kantoor. Op 'n oorlaaide tuisverbinding en 'n lig belasde poort kan die volle tonnel die vinnigste van die twee wees.
Die eerlike raamwerk gaan dus oor wie die roete besit en beheer, met werkverrigting as iets wat jy agterna meet. 'n Beleid wat vir spoed gekies is en jou DNS en openbare uitgang stilweg verskuif, is om die verkeerde rede gekies.
Wat werklik verander: die uitgang
Onder 'n volle tonnel sien 'n openbare webwerf die kantoor se uitgangsadres en die kantoor se filtering sien die versoek. Onder 'n verdeelde tonnel sien dieselfde werf die gebruiker se tuisadres en die kantoor sien niks. Dit is verskillende sigbaarheidsmodelle, en nie een is outomaties veiliger nie. Die nuttige vraag is watter een die organisasie werklik kan bedryf.
Kontroleer dit direk eerder as om 'n kenteken te vertrou wat Gekoppel sê. 'n Openbare adres-eggo wys die uitgang, en 'n oplosser-toets wys wie se DNS geantwoord het.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Wat die poort dan moet dra
'n Poort wat video-oproepe, aflaaie en private toepassings dra, het kapasiteit nodig vir 'n heel ander werklading as een wat net interne versoeke dra. Die werf se internetverbinding dra beide die gebruiker se aankoms en die daaropvolgende openbare uitgang, so twee skakels kan gelyktydig versadig.
Plaaslike deurbraak verwyder daardie las en die ompad, en dit waarborg nie 'n beter ervaring nie, want die direkte roete kan ook oorlaai wees. Vergelyk die werklike toepassing eerder as om 'n roete-etiket as 'n werkverrigtingmeting te behandel.
Daar bestaan uitsonderings onder 'n volle tonnel
'n Standaardroete is nie 'n inventaris van elke pakkie nie. Spesifiker roetes, toelaat vir plaaslike netwerke, toepassingsuitsluitings en aparte IPv6-reëls beweeg almal verkeer, en daarom kan 'n beleid wat as volle tonnel beskryf word, steeds lek. Die bedryfstelsel se roeteringsdokumentasie maak daardie onderskeid vir verstekke wat die tonnel afdwing, en die kliënt se uitsonderingslys is waar die lek gewoonlik woon. Verifieer gedrag, nie bedoeling nie.
IPv6 verdien sy eie blik, want 'n tonnel wat net IPv4 dra, laat 'n hele stapel buite die beleid.
DNS is 'n aparte beleid
Interne name het 'n oplosser nodig wat hulle ken, en daardie oplosser is dalk net deur die tonnel bereikbaar. 'n Blaaier met sy eie versleutelde DNS kan die stelseloplosser heeltemal omseil, wat 'n splitsing veroorsaak waar interne name misluk en openbare name werk, of andersom.
Besluit waar opsoektogte heen moet gaan, en maak dan die kliënt en die blaaier eens. Suksesvolle openbare blaai toets nooit interne naamoplossing nie, so dit is die verkeerde bewyse om aan te haal wanneer 'n intranetwerf wegraak.
Skryf die foutbeleid, en toets dit dan
Besluit wat gebeur wanneer die tonnel val: blokkeer alles, blokkeer net private hulpbronne, of laat direkte verbindings toe. Outomatiese herverbinding beantwoord nie daardie vraag nie, en 'n noodskakelaar wat net die tonnel-koppelvlak dek, kan toegelaatde toepassings vry laat praat. Toets 'n werklike ontkoppeling en 'n netwerkverandering, en lees dan die kliënt se toestand, want die dokumentasie beskryf die bedoelde gedrag eerder as die geïnstalleerde een.
Teken die private roetes, die openbare uitgang, die DNS-bediener, die plaaslike uitsonderings en die foutgedrag in een kort nota aan. Daardie nota is wat die beleid verifieerbaar maak vir iemand wat dit nie geskryf het nie.