Оформяне на трафика OpenVPN: кой интерфейс го вижда?

Преминете през четири проверки: какво искате да ограничите, кой пакет носи информацията, която го идентифицира, кой интерфейс вижда оформителят и какво издържа рутерът, докато криптира. Рутерите се доставят както със страница за OpenVPN, така и със страница за честотна лента, а съвместното им съществуване не доказва нищо за нито една от тях. Редът е важен, защото правило, написано срещу грешния пакет, никога не съвпада, колкото и правилна да е скоростта му.

Започнете с целта: ограничаване на едно устройство, справедливо споделяне на капацитета или приоритет на едно приложение. Всяка изисква различно съпоставяне.

Назовайте целта преди правилото

Ограничението за устройство изисква съпоставяне с адреса на това устройство, който съществува само вътре в тунела. Справедливостта между конкуриращите се потоци изисква опашка, която всички споделят, а не правило за всеки хост. Приоритетът на приложение изисква нещо, което идентифицира приложението — най-трудното от трите, след като криптирането премахне вътрешните заглавки от погледа. Записването на целта първо ви казва кой факт ви е нужен и откъде бихте могли да го получите.

Ограничение, което работи при директен трафик през WAN, не е доказателство, че същият хост е обхванат вътре в тунела. Правилото може да съпоставя адрес, който никога не се появява в заглавката, която оформителят вижда.

Вътре в тунела или извън него

С VPN клиент, притежаван от рутера, много LAN потоци пътуват в един криптиран транспорт. Преди инкапсулацията рутерът все още вижда вътрешния източник и дестинация, така че политика, прикачена на този етап, може да класифицира по устройство. След инкапсулацията обикновеното оборудване вижда само външната връзка, а съпоставяне по VPN порт не казва нищо за това кое устройство е отговорно. Този един факт решава къде принадлежи правилото.

Платформите се различават по начина, по който показват това. Някои предоставят оформител, който поставя в опашка и класифицира на тунелен интерфейс; други третират ограничителите като интерфейсни правила, които се държат еднакво за VPN и не-VPN трафик; някои правят и двете с различни възможности. Четете собствената документация на фърмуера за интерфейса, който поддържа, вместо да копирате име на интерфейс от ръководството на друг производител.

Определете къде адресите остават достъпни, къде се извършва преобразуването и коя опашка всъщност контролира тясното място.

Три политики, три вида доказателства

Ограничението на скоростта се доказва с продължителен трансфер от ограниченото устройство, докато друго прехвърля по същото време. Справедливото споделяне се доказва с два потока, достигащи сходни скорости, вместо един да гладува, което е различно измерване. Приоритетът на приложение се доказва с интерактивна задача, която остава отзивчива по време на масов трансфер, и с проверка, че класификаторът изобщо е разпознал потока. Всяка политика изисква свое наблюдение и нито една не се доказва от страница за конфигурация.

Класификацията заслужава особено подозрение. Съпоставяне по външен криптиран порт не може да възстанови самоличността на всяко вътрешно приложение, така че правило, което изглежда дава приоритет на едно приложение, на практика може да дава приоритет на всичко от този тунел. Четете броячите на правилото, а не намерението му.

Измерете криптираното натоварване, а не голото

Оформянето, класификацията и криптирането се конкурират за един процесор и хардуерното ускорение може да прекара трафика покрай самите правила и броячи, които наблюдавате. Числото за пропускателна способност от прост тест за маршрутизация казва малко за кутията под криптирано и оформено натоварване. Тествайте двете посоки, няколко представителни клиента и малка интерактивна задача заедно с масовия трансфер. Отзивчивостта под натоварване е по-важна от пиковото число на празна връзка.

Включете изключенията в измерването: трафик, който трябва да заобикаля тунела, двете семейства адреси, ако и двете участват, и какво се случва, когато тунелът е недостъпен. Политика, която се държи разумно само докато тунелът е здрав, е половин политика.

Напишете спецификацията като три реда: съпоставянето на трафика, точката на налагане и измереното натоварване. OpenVPN плюс QoS не е спецификация.