Je li puni tunel jednostavniji od dugog spiska podijeljenog tunela?

Spisak podijeljenog tunela počinje s tri aplikacije i završava tako što pokriva veći dio računara, a svaki novi red je nečiji izuzetak. U tom trenutku spisak je tiho postao zadani izbor s dodatnim koracima. Puni tunel preokreće raspored: sve ulazi u tunel osim ako dokumentirani izuzetak ne kaže drugačije. Da li je to jednostavnije zavisi od pristupnika i od lokalnih servisa koje biste pokvarili.

Počnite brojanjem pravila koja održavate

Prebrojite stavke, a zatim prebrojite koliko ih ima imenovanog vlasnika i datum posljednje provjere. Drugi broj je onaj koji je važan, jer izuzetak koji nikome ne pripada ne može se procijeniti kada se softver na koji se odnosi preimenuje ili zamijeni. Pravila vezana za putanju izvršne datoteke tiho prestaju raditi nakon ažuriranja, a kvar izgleda kao nestabilan VPN, a ne kao zastarjelo pravilo. Zapišite spisak prije nego što o njemu steknete mišljenje.

Svaka stavka treba odgovoriti na tri pitanja: šta se kvari bez nje, ko je to odlučio i kako biste primijetili da je razlog istekao. Stavke koje ne mogu odgovoriti na sva tri su kandidati za brisanje, a ne za migraciju, a njihovo prvo brisanje čini kasnije poređenje iskrenim.

Ako većina stavki usmjerava veliki dio prometa, već vodite puni tunel s pridodanim teretom održavanja. Odluka je tada o tome gdje zadani izbor živi, a ne o tome treba li ga imati.

Provjerite može li pristupnik nositi zadani izbor

Puni tunel premješta svaki paket na jedan uređaj, što istovremeno mijenja opterećenje procesora tog uređaja, tablicu conntrack, prevođenje adresa i zahtjev za odlaznim propusnim opsegom. Pristupnik koji je udobno služio nekoliko internih podmreža možda nije dimenzioniran za cjelokupno korisnikovo pretraživanje. Gledajte najveći broj istovremenih sesija koji očekujete, a ne prosjek, jer se vrh prvi lomi.

ip -s link show dev tun0
conntrack -C
ss -s

Izmjerite isto radno opterećenje prije i poslije promjene umjesto da zaključujete iz specifikacija. Jedno poslijepodne obične upotrebe na jednom računaru pokazat će je li pristupnik blizu granice, a to ne košta ništa u poređenju s otkrivanjem u ponedjeljak ujutro.

Provjerite i MTU putanje od kraja do kraja, jer puni zadani izbor izlaže svaku aplikaciju maksimalnoj veličini paketa tunela. Aplikacije koje su radile izvan tunela sada mogu zavisiti od ponašanja pri fragmentaciji o kojem nikada niste morali razmišljati.

Potvrdite da lokalni servisi i privatni DNS još rade

Nabrojte šta mora ostati lokalno po protokolu, a ne po imenu aplikacije: protokoli za otkrivanje štampača i ekrana, most za pametnu kuću, stranica za upravljanje ruterom, lokalni razvojni server do kojeg se dolazi imenom koje se razrješava samo na LAN-u. To se kvari kada zadana ruta počne pokazivati u tunel, i kvari se tiho jer ništa ne bilježi grešku na klijentu.

Privatni DNS je druga zavisnost. Ako su se interna imena prije razrješavala kroz razrješivač tunela, ništa se ne mijenja; ako su se razrješavala lokalno, puni zadani izbor mora ih nositi do razrješivača koji poznaje zone. Testirajte jedno interno i jedno javno ime nakon promjene umjesto da pretpostavite da je spisak razrješivača preživio.

Upišite lokalne izuzetke u profil kojem pripadaju. Izuzetak koji se čuva samo u nečijem pamćenju prvo je što sljedeća migracija izgubi.

Migrirajte jedan profil i provjerite granice

Promijenite profil kroz njegovu vlastitu konfiguraciju umjesto da slažete novi zadani izbor povrh ručnih ruta koje su ostavili raniji eksperimenti. Te preostale rute uobičajen su uzrok migracije koja izgleda da radi, a dan kasnije se ponaša nedosljedno. Držite stari profil dostupnim da povratak bude izbor, a ne ponovna izgradnja.

Zatim provjerite dvije granice odvojeno: da javna i privatna odredišta rade oba, i da neželjeni promet ne izlazi izvan tunela. Uspješno učitavanje stranice dokazuje prvo i ne govori ništa o drugom.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Ponovite provjeru nakon ponovnog povezivanja i nakon ispada, jer prekidač koji blokira promet tokom pada druga je osobina od rute koja se poslije ispravno obnavlja. Jednostavniji dizajn je onaj čiju stvarnu pokrivenost još možete objasniti nakon što se aplikacija ili mreža promijeni.