Поўны тунель і раздзелены тунель: чатыры адрозненні

Меткі тунеля апісваюць, куды ідзе астатні трафік ноўтбука, а не тое, наколькі хутка ён ідзе. У поўным тунелі публічныя запыты праходзяць праз VPN-шлюз, перш чым выйсці ў інтэрнэт. Пры раздзеленым тунелі прыватныя прызначэнні выкарыстоўваюць тунель, а ўсё астатняе ідзе лакальным шляхам. Абодва дасягаюць унутранай праграмы, таму тэст даступнасці, які людзі робяць першым, нічога не кажа пра разгорнутую палітыку.

Замест гэтага праверце выхад: які адрас паказвае публічная старонка рэха і які рэзалвер адказаў.

Міф: раздзелены тунель — проста хутчэйшы варыянт

Раздзелены тунель часта прадаюць як функцыю прадукцыйнасці, і ён можа ёй быць, але гэта пабочны эфект, а не азначэнне. Азначэнне — гэта рашэнне аб маршрутызацыі, якія прызначэнні трапляюць у тунель. Розніца ў хуткасці з'яўляецца толькі тады, калі прамы шлях сапраўды лепшы за аб'езд праз офіс. На перагружаным хатнім канале і слаба загружаным шлюзе поўны тунель можа быць хутчэйшым з двух.

Такім чынам, сумленная пастаноўка пытання — пра ўласнасць і кантроль шляху, а прадукцыйнасць — гэта тое, што вымяраюць потым. Палітыка, абраная дзеля хуткасці і якая незаўважна пераносіць ваш DNS і публічны выхад, абраная не з той прычыны.

Што насамрэч змяняецца: выхад

У поўным тунелі публічны сайт бачыць адрас выхаду офіса, а офісная фільтрацыя бачыць запыт. У раздзеленым тунелі той жа сайт бачыць хатні адрас карыстальніка, а офіс не бачыць нічога. Гэта розныя мадэлі бачнасці, і ні адна не з'яўляецца аўтаматычна бяспечнейшай. Карыснае пытанне — якую з іх арганізацыя сапраўды можа эксплуатаваць.

Праверце гэта напрамую, а не давярайце індыкатару злучэння. Публічнае рэха адрасу паказвае выхад, а тэст рэзалвера паказвае, чый DNS адказаў.

Што шлюз тады павінен несці

Шлюз, які нясе відэазванкі, загрузкі і прыватныя праграмы, патрабуе ёмістасці для зусім іншай нагрузкі, чым той, што нясе толькі ўнутраныя запыты. Інтэрнэт-злучэнне сайта нясе і прыход карыстальніка, і наступны публічны выхад, таму дзве лініі могуць насыціцца адначасова.

Лакальны выхад здымае гэтую нагрузку і аб'езд, і ён не гарантуе лепшага досведу, бо прамы шлях таксама можа быць перагружаны. Параўнайце фактычную праграму, а не стаўцеся да меткі маршрутызацыі як да вымярэння прадукцыйнасці.

У поўным тунелі існуюць выключэнні

Маршрут па змаўчанні — гэта не інвентар кожнага пакета. Больш канкрэтныя маршруты, дазволы для лакальнай сеткі, выключэнні праграм і асобныя правілы IPv6 — усё гэта рухае трафік, і таму палітыка, апісаная як поўны тунель, можа ўсё яшчэ працякаць. Дакументацыя АС па маршрутызацыі праводзіць гэтае адрозненне для прымусовых тунеляў, а спіс выключэнняў кліента — гэта месца, дзе звычайна жыве ўцечка. Правярайце паводзіны, а не намер.

IPv6 варты асобнага позірку, бо тунель, які нясе толькі IPv4, пакідае цэлы стек па-за палітыкай.

DNS — гэта асобная палітыка

Унутраныя імёны патрабуюць рэзалвера, які іх ведае, і гэты рэзалвер можа быць даступны толькі праз тунель. Браўзер з уласным шыфраваным DNS можа цалкам абыходзіць сістэмны рэзалвер, што стварае раздзяленне, дзе ўнутраныя імёны не працуюць, а публічныя працуюць, або наадварот.

Вызначыце, куды павінны ісці запыты, затым прывядзіце кліента і браўзер да згоды. Паспяховае публічнае блуканне ніколі не правярае ўнутраную дазвол імёнаў, таму гэта няправільныя доказы, калі сайт інтранэта знікае.

Напішыце палітыку збою, затым праверце яе

Вызначыце, што адбываецца, калі тунель падае: блакаваць усё, блакаваць толькі прыватныя рэсурсы або дазволіць прамыя злучэнні. Аўтаматычнае перападключэнне не адказвае на гэтае пытанне, а выключальнік, які ахоплівае толькі інтэрфейс тунеля, можа пакінуць выключаныя праграмы свабодна размаўляць. Праверце рэальнае адключэнне і змену сеткі, затым прачытайце стан кліента, бо дакументацыя апісвае меркаваныя паводзіны, а не ўсталяваныя.

Запішыце прыватныя маршруты, публічны выхад, DNS-серверы, лакальныя выключэнні і паводзіны пры збоі ў адной кароткай нататцы. Менавіта гэтая нататка робіць палітыку правяральнай для таго, хто яе не пісаў.