Vorming van OpenVPN-verkeer: watter koppelvlak sien dit?

Werk deur vier kontroles: wat jy wil beperk, watter pakket die inligting dra wat dit identifiseer, watter koppelvlak die vormer kan sien, en wat die router volhou terwyl dit versleutel. Routers word met beide ’n OpenVPN-bladsy en ’n bandwydte-bladsy gelewer, en hul naasbestaan bewys niks oor enigeen van hulle nie. Die volgorde maak saak, want ’n reël wat teen die verkeerde pakket geskryf is, pas nooit nie, hoe korrek sy tempo ook al is.

Begin met die doel: beperk een toestel, deel kapasiteit regverdig, of gee een toepassing prioriteit. Elkeen het ’n ander passing nodig.

Noem die Doel voor die Reël

’n Beperking per toestel het ’n passing op daardie toestel se adres nodig, wat net binne die tonnel bestaan. Regverdigheid tussen mededingende vloei het ’n tou nodig wat hulle almal deel, nie ’n reël per gasheer nie. Toepassingprioriteit het iets nodig wat die toepassing identifiseer, die moeilikste van die drie sodra versleuteling die binneste koptekste uit sig verwyder. Om die doel eerste neer te skryf, sê vir jou watter feit jy nodig het en waar jy dit moontlik kan kry.

’n Beperking wat op direkte WAN-verkeer werk, is geen bewys dat dieselfde gasheer binne die tonnel gedek word nie. Die reël pas dalk op ’n adres wat nooit in die koptekst verskyn wat die vormer sien nie.

Binne die Tonnel of Daarbuite

Met ’n router-eie VPN-kliënt reis baie LAN-vloei binne een versleutelde vervoer. Voor inkapseling sien die router nog die binneste bron en bestemming, so beleid wat in daardie stadium aangebring word, kan per toestel klassifiseer. Ná inkapseling sien gewone toerusting net die buitenste verbinding, en ’n passing op die VPN-poort sê niks oor watter toestel verantwoordelik is nie. Daardie een feit besluit waar die reël hoort.

Platforms verskil in hoe hulle dit blootstel. Sommige bied ’n vormer wat op ’n tonnelkoppelvlak in die ry staan en klassifiseer; ander behandel beperkers as koppelvlakreëls wat dieselfde optree vir VPN- en nie-VPN-verkeer; sommige doen albei met verskillende vermoëns. Lees die firmware se eie dokumentasie vir die koppelvlak wat dit ondersteun, in plaas daarvan om ’n koppelvlaknaam uit ’n ander verskaffer se gids te kopieer.

Identifiseer waar adresse beskikbaar bly, waar vertaling plaasvind en watter tou eintlik die knelpunt beheer.

Drie Beleide, Drie Soorte Bewyse

’n Tempobeperking word bewys deur ’n volgehoue oordrag vanaf die beperkte toestel terwyl ’n ander op dieselfde tyd oordra. Regverdige deling word bewys deur twee vloei wat soortgelyke tempos bereik eerder as dat een uitgehonger word, wat ’n ander meting is. Toepassingprioriteit word bewys deur ’n interaktiewe taak wat reageerend bly tydens ’n groot oordrag, en deur na te gaan dat die klassifiseerder die vloei hoegenaamd herken het. Elke beleid het sy eie waarneming nodig, en nie een word deur ’n konfigurasiebladsy bewys nie.

Klassifikasie verdien besondere agterdog. ’n Passing op die buitenste versleutelde poort kan nie elke binneste toepassing se identiteit herstel nie, so ’n reël wat een toepassing blyk te prioritiseer, prioritiseer in die praktyk dalk alles uit daardie tonnel. Lees die reël se tellers eerder as sy bedoeling.

Meet die Versleutelde Werklading, Nie die Kaal Een Nie

Vorming, klassifikasie en versleuteling ding mee om een CPU, en hardewareversnelling kan verkeer verby juis die reëls en tellers beweeg wat jy dophou. ’n Deursetfer van ’n gewone roetetoets sê min oor die boks onder ’n versleutelde en gevormde werklading. Toets beide rigtings, verskeie verteenwoordigende kliënte, en ’n klein interaktiewe taak saam met die groot oordrag. Reaksievermoë onder las maak meer saak as die piekgetal op ’n ledige skakel.

Sluit die uitsonderings in die meting in: verkeer wat die tonnel moet omseil, beide adresfamilies as albei in spel is, en wat gebeur wanneer die tonnel af is. ’n Beleid wat net sinvol optree terwyl die tonnel gesond is, is half ’n beleid.

Skryf die spesifikasie as drie reëls: die verkeerspassing, die handhawingspunt en die gemete werklading. OpenVPN plus QoS is nie ’n spesifikasie nie.