Пълен тунел срещу разделен тунел: четирите разлики
Етикетът решава къде излиза останалият трафик на лаптопа, а не колко бърз е той. Сравнете изхода, натоварването, DNS и поведението при отказ, преди да изберете.
Етикетите на тунела описват къде отива останалият трафик на лаптопа, а не колко бързо отива. При пълен тунел публичните заявки преминават през VPN шлюза, преди да излязат в интернет. При разделен тунел частните дестинации използват тунела, а всичко останало поема локалния път. И двете достигат до вътрешното приложение, затова тестът за достъпност, който хората правят първо, не казва нищо за това коя политика е внедрена.
Вместо това проверете изхода: кой адрес показва публична страница за ехо и кой резолвер е отговорил.
Мит: разделеният тунел е просто по-бързият вариант
Разделеният тунел често се продава като функция за производителност и може да бъде такава, но това е страничен ефект, а не определението. Определението е решение за маршрутизация кои дестинации влизат в тунела. Разликата в скоростта се появява само когато директният път е наистина по-добър от обхода през офиса. При претоварена домашна връзка и леко натоварен шлюз пълният тунел може да е по-бързият от двата.
Затова честната рамка е за собственост и контрол върху пътя, а производителността е нещо, което измервате после. Политика, избрана заради скорост, която тихо мести вашия DNS и публичен изход, е избрана по грешна причина.
Какво всъщност се променя: изходът
При пълен тунел публичен сайт вижда изходния адрес на офиса и офис филтрирането вижда заявката. При разделен тунел същият сайт вижда домашния адрес на потребителя и офисът не вижда нищо. Това са различни модели на видимост и нито един не е автоматично по-безопасен. Полезният въпрос е кой от тях организацията всъщност може да управлява.
Проверете го директно, вместо да се доверявате на значката за свързване. Публичното ехо на адреса показва изхода, а тестът на резолвера показва чий DNS е отговорил.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Какво трябва да носи шлюзът след това
Шлюз, който носи видеоразговори, изтегляния и частни приложения, се нуждае от капацитет за съвсем различно натоварване от този, който носи само вътрешни заявки. Интернет връзката на сайта носи както пристигането на потребителя, така и последващия публичен изход, така че две връзки могат да се наситят едновременно.
Локалният изход премахва това натоварване и обхода и не гарантира по-добро изживяване, защото директният път също може да е претоварен. Сравнете действителното приложение, вместо да третирате етикет за маршрутизация като измерване на производителност.
При пълен тунел има изключения
Маршрутът по подразбиране не е инвентар на всеки пакет. По-конкретни маршрути, разрешения за локална мрежа, изключения за приложения и отделни правила за IPv6 всички местят трафик, поради което политика, описана като пълен тунел, все още може да изтича. Документацията на операционната система за маршрутизация прави това разграничение за принудителни тунели, а списъкът с изключения на клиента е мястото, където обикновено живее изтичането. Проверявайте поведението, а не намерението.
IPv6 заслужава отделен поглед, защото тунел, който носи само IPv4, оставя цял стек извън политиката.
DNS е отделна политика
Вътрешните имена се нуждаят от резолвер, който ги познава, и този резолвер може да е достъпен само през тунела. Браузър със собствен криптиран DNS може напълно да заобиколи системния резолвер, което създава разделение, при което вътрешните имена се провалят, а публичните работят, или обратното.
Решете къде трябва да отиват търсенията, след което накарайте клиента и браузъра да се съгласят. Успешното публично сърфиране никога не тества вътрешното разрешаване на имена, затова е грешно доказателство, когато сайт на интранета изчезне.
Напишете политиката при отказ, след което я тествайте
Решете какво се случва, когато тунелът падне: блокирайте всичко, блокирайте само частни ресурси или разрешете директни връзки. Автоматичното повторно свързване не отговаря на този въпрос, а прекъсвач, който покрива само интерфейса на тунела, може да остави изключените приложения да говорят свободно. Тествайте реално прекъсване и промяна на мрежата, след което прочетете състоянието на клиента, защото документацията описва предвиденото поведение, а не инсталираното.
Запишете частните маршрути, публичния изход, DNS сървърите, локалните изключения и поведението при отказ в една кратка бележка. Именно тази бележка прави политиката проверима от човек, който не я е писал.