النفق الكامل مقابل النفق المقسم: الفروق الأربعة
الملصق يحدد من أين يخرج بقية مرور الحاسوب المحمول، لا مدى سرعته. قارن المخرج والحمل وDNS وسلوك الفشل قبل الاختيار.
تصف ملصقات النفق أين يذهب بقية مرور الحاسوب المحمول، لا مدى سرعة ذهابه. في النفق الكامل، تمر الطلبات العامة عبر بوابة VPN قبل أن تخرج إلى الإنترنت. في النفق المقسم، تستخدم الوجهات الخاصة النفق وكل شيء آخر يأخذ المسار المحلي. يصل الاثنان إلى التطبيق الداخلي، لذا لا يقول اختبار الوصول الذي يجريه الناس أولاً شيئاً عن السياسة المنشورة.
اختبر المخرج بدلاً من ذلك: أي عنوان تبلغ عنه صفحة صدى عامة، وأي محلل أجاب.
خرافة: النفق المقسم هو فقط الخيار الأسرع
غالباً ما يُباع النفق المقسم كميزة أداء، وقد يكون كذلك، لكن ذلك أثر جانبي وليس التعريف. التعريف هو قرار توجيه بشأن الوجهات التي تدخل النفق. يظهر فرق السرعة فقط عندما يكون المسار المباشر أفضل حقاً من الالتفاف عبر المكتب. على رابط منزلي مزدحم وبوابة خفيفة الحمل، يمكن أن يكون النفق الكامل الأسرع بين الاثنين.
لذا فالإطار الصادق يتعلق بملكية المسار والتحكم فيه، مع الأداء كشيء يُقاس لاحقاً. السياسة المختارة من أجل السرعة والتي تنقل DNS ومخرجك العام بصمت اختيرت للسبب الخطأ.
ما يتغير فعلاً: المخرج
في النفق الكامل، يرى موقع ويب عام عنوان خروج المكتب ويرى تصفية المكتب الطلب. في النفق المقسم، يرى الموقع نفسه عنوان منزل المستخدم ولا يرى المكتب شيئاً. هذان نموذجا ظهور مختلفان، ولا أحدهما أكثر أماناً تلقائياً. السؤال المفيد هو أيهما تستطيع المؤسسة تشغيله فعلاً.
تحقق منه مباشرة بدلاً من الثقة بشارة متصل. يُظهر صدى العنوان العام المخرج، ويُظهر اختبار المحلل أي DNS أجاب.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
ما يجب أن تحمله البوابة بعد ذلك
البوابة التي تحمل مكالمات فيديو وتنزيلات وتطبيقات خاصة تحتاج إلى سعة لحمل عمل مختلف تماماً عن تلك التي تحمل الطلبات الداخلية فقط. يحمل اتصال الموقع بالإنترنت وصول المستخدم والمخرج العام التالي، لذا يمكن أن يتشبع رابطان في وقت واحد.
يزيل المخرج المحلي ذلك الحمل والالتفاف، ولا يضمن تجربة أفضل، لأن المسار المباشر قد يكون مزدحماً أيضاً. قارن التطبيق الفعلي بدلاً من معاملة ملصق التوجيه كقياس للأداء.
توجد استثناءات تحت النفق الكامل
المسار الافتراضي ليس جرداً لكل حزمة. المسارات الأكثر تحديداً وأذونات الشبكة المحلية واستثناءات التطبيقات وقواعد IPv6 المنفصلة كلها تحرك المرور، ولهذا يمكن أن تتسرب سياسة توصف بأنها نفق كامل. توضح وثائق التوجيه لنظام التشغيل ذلك الفرق بالنسبة لإعدادات النفق الافتراضية القسرية، وقائمة استثناءات العميل هي المكان الذي يتسرب منه عادة. تحقق من السلوك، لا من النية.
يستحق IPv6 نظرة خاصة، لأن النفق الذي يحمل IPv4 فقط يترك حزمة كاملة خارج السياسة.
DNS سياسة منفصلة
تحتاج الأسماء الداخلية إلى محلل يعرفها، وقد لا يكون ذلك المحلل قابلاً للوصول إلا عبر النفق. يمكن لمتصفح يملك DNS مشفراً خاصاً به أن يتجاوز محلل النظام بالكامل، مما ينتج انقساماً تفشل فيه الأسماء الداخلية وتعمل العامة، أو العكس.
قرر أين يجب أن تذهب عمليات البحث، ثم اجعل العميل والمتصفح متفقين. التصفح العام الناجح لا يختبر أبداً تحليل الأسماء الداخلية، لذا فهو الدليل الخطأ عند اختفاء موقع إنترانت.
اكتب سياسة الفشل، ثم اختبرها
قرر ما يحدث عند سقوط النفق: احجب كل شيء، أو احجب الموارد الخاصة فقط، أو اسمح بالاتصالات المباشرة. إعادة الاتصال التلقائية لا تجيب على ذلك السؤال، ومفتاح الإيقاف الذي يغطي واجهة النفق فقط يمكن أن يترك التطبيقات المستثناة تتحدث بحرية. اختبر انقطاعاً حقيقياً وتغييراً في الشبكة، ثم اقرأ حالة العميل، لأن الوثائق تصف السلوك المقصود لا المثبت.
سجل المسارات الخاصة والمخرج العام وخوادم DNS والاستثناءات المحلية وسلوك الفشل في ملاحظة قصيرة واحدة. تلك الملاحظة هي ما يجعل السياسة قابلة للتحقق من قبل شخص لم يكتبها.