Фарміраванне трафіку OpenVPN: які інтэрфейс яго бачыць?

Прайдзіце чатыры праверкі: што вы хочаце абмежаваць, які пакет нясе звесткі, што яго ідэнтыфікуюць, які інтэрфейс бачыць фарміравальнік і што маршрутызатар вытрымлівае падчас шыфравання. Маршрутызатары пастаўляюцца і з старонкай OpenVPN, і са старонкай прапускной здольнасці, і іх суіснаванне нічога не даказвае ні пра адну з іх. Парадак важны, бо правіла, напісанае супраць не таго пакета, ніколі не зловіць, якой бы правільнай ні была яго хуткасць.

Пачніце з мэты: абмежаваць адну прыладу, справядліва падзяліць прапускную здольнасць або даць прыярытэт адной праграме. Кожная патрабуе свайго супастаўлення.

Назвіце мэту перад правілам

Абмежаванне на прыладу патрабуе супастаўлення з адрасам гэтай прылады, а ён існуе толькі ўнутры тунеля. Справядлівасць паміж канкуруючымі патокамі патрабуе чаргі, якую яны ўсе дзеляць, а не правіла на кожны хост. Прыярытэт праграмы патрабуе чагосьці, што ідэнтыфікуе праграму, — самае складанае з трох, калі шыфраванне прыбірае ўнутраныя загалоўкі з поля зроку. Калі вы запішаце мэту першай, вы даведаецеся, які факт вам патрэбны і дзе вы можаце яго атрымаць.

Абмежаванне, якое працуе на прамым трафіку WAN, не даказвае, што той жа хост ахоплены ўнутры тунеля. Правіла можа супастаўляцца з адрасам, які ніколі не з’яўляецца ў загалоўку, які бачыць фарміравальнік.

Унутры тунеля ці звонку

З VPN-кліентам, якім валодае маршрутызатар, многія патоку LAN ідуць унутры аднаго шыфраванага транспарту. Да інкапсуляцыі маршрутызатар усё яшчэ бачыць унутраныя крыніцу і прызначэнне, таму палітыка, далучаная на гэтым этапе, можа класіфікаваць па прыладзе. Пасля інкапсуляцыі звычайнае абсталяванне бачыць толькі вонкавае злучэнне, і супастаўленне з портам VPN нічога не кажа пра тое, якая прылада адказная. Гэты адзін факт вырашае, дзе месца правіла.

Платформы па-рознаму паказваюць гэта. Некаторыя даюць фарміравальнік, які ставіць у чаргу і класіфікуе на інтэрфейсе тунеля; іншыя разглядаюць абмежавальнікі як правілы інтэрфейса, што паводзяць сябе аднолькава для трафіку VPN і без VPN; некаторыя робяць і тое, і другое з рознымі магчымасцямі. Чытайце ўласную дакументацыю прашыўкі для інтэрфейса, які яна падтрымлівае, замест таго каб капіраваць назву інтэрфейса з кіраўніцтва іншага вытворцы.

Вызначце, дзе адрасы застаюцца даступнымі, дзе адбываецца пераўтварэнне і якая чарга фактычна кіруе вузкім месцам.

Тры палітыкі, тры віды доказаў

Абмежаванне хуткасці даказваецца ўстойлівай перадачай ад абмежаванай прылады, пакуль іншая перадае адначасова. Справядлівае размеркаванне даказваецца двума патокамі, якія дасягаюць падобных хуткасцей, а не тым, што адзін галодны, — гэта іншае вымярэнне. Прыярытэт праграмы даказваецца тым, што інтэрактыўная задача застаецца спагадлівай падчас масавай перадачы, і праверкай таго, што класіфікатар наогул распазнаў паток. Кожная палітыка патрабуе свайго назірання, і ні адну не даказвае старонка канфігурацыі.

Класіфікацыя заслугоўвае асаблівай падазронасці. Супастаўленне з вонкавым шыфраваным портам не можа аднавіць ідэнтычнасць кожнай унутранай праграмы, таму правіла, якое выглядае як прыярытэт адной праграмы, на практыцы можа даваць прыярытэт усему з гэтага тунеля. Чытайце лічыльнікі правіла, а не яго намер.

Вымярайце шыфраваную нагрузку, а не голую

Фарміраванне, класіфікацыя і шыфраванне спаборнічаюць за адзін працэсар, і апаратнае паскарэнне можа праводзіць трафік міма тых самых правіл і лічыльнікаў, за якімі вы назіраеце. Лічба прапускной здольнасці з простага тэсту маршрутызацыі мала кажа пра прыладу пад шыфраванай і сфарміраванай нагрузкай. Тэстуйце абодва кірункі, некалькі тыповых кліентаў і невялікую інтэрактыўную задачу разам з масавай перадачай. Спагадлівасць пад нагрузкай важнейшая за пікавую лічбу на прастой лініі.

Уключыце выключэнні ў вымярэнне: трафік, які павінен абыходзіць тунель, абодва сямействы адрасоў, калі задзейнічаныя абодва, і тое, што адбываецца, калі тунель не працуе. Палітыка, якая паводзіць сябе разумна толькі пакуль тунель здаровы, — гэта палова палітыкі.

Запішыце спецыфікацыю як тры радкі: супастаўленне трафіку, пункт прымянення і вымераная нагрузка. OpenVPN плюс QoS — гэта не спецыфікацыя.