Túnel complet o túnel dividit: les quatre diferències
L'etiqueta decideix on surt la resta del trànsit d'un portàtil, no com de ràpid és. Compareu l'eixida, la càrrega, el DNS i el comportament en cas de fallada abans de triar.
Les etiquetes de túnel descriuen on va la resta del trànsit d'un portàtil, no com de ràpid va. Amb un túnel complet, les peticions públiques travessen la passarel·la VPN abans de sortir a internet. Amb un túnel dividit, les destinacions privades fan servir el túnel i tota la resta pren el camí local. Els dos arriben a l'aplicació interna, així que la prova de connectivitat que la gent fa primer no diu res sobre quina política s'ha desplegat.
Proveu l'eixida en lloc d'això: quina adreça informa una pàgina pública d'eco i quin resolutor ha respost.
Mite: el túnel dividit és només l'opció més ràpida
El túnel dividit es ven sovint com una funció de rendiment, i pot ser-ho, però això és un efecte secundari i no la definició. La definició és una decisió d'encaminament sobre quines destinacions entren al túnel. La diferència de velocitat apareix només quan el camí directe és realment millor que el rodeig per l'oficina. Amb un enllaç domèstic congestionat i una passarel·la poc carregada, el túnel complet pot ser el més ràpid dels dos.
Així, l'enfocament honest tracta de la propietat i el control del camí, amb el rendiment com una cosa que es mesura després. Una política triada per velocitat que mou en silenci el vostre DNS i l'eixida pública s'ha triat pel motiu equivocat.
Què canvia realment: l'eixida
Amb un túnel complet, un lloc web públic veu l'adreça d'eixida de l'oficina i el filtratge de l'oficina veu la petició. Amb un túnel dividit, el mateix lloc veu l'adreça de casa de l'usuari i l'oficina no veu res. Són models de visibilitat diferents i cap és automàticament més segur. La pregunta útil és quin pot operar realment l'organització.
Comproveu-ho directament en lloc de confiar en una insígnia de Connectat. L'eco d'adreça pública mostra l'eixida, i una prova de resolutor mostra de qui era el DNS que ha respost.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Què ha de suportar llavors la passarel·la
Una passarel·la que porta videotrucades, baixades i aplicacions privades necessita capacitat per a una càrrega molt diferent de la d'una que només porta peticions internes. La connexió a internet del lloc porta tant l'arribada de l'usuari com l'eixida pública posterior, així que dos enllaços es poden saturar alhora.
La sortida local elimina aquesta càrrega i el rodeig, i no garanteix una millor experiència, perquè el camí directe també es pot congestionar. Compareu l'aplicació real en lloc de tractar una etiqueta d'encaminament com una mesura de rendiment.
Hi ha excepcions sota un túnel complet
Una ruta per defecte no és un inventari de cada paquet. Rutes més específiques, permisos de xarxa local, exclusions d'aplicacions i regles IPv6 separades mouen totes trànsit, i per això una política descrita com a túnel complet encara pot filtrar-se. La documentació d'encaminament del sistema operatiu fa aquesta distinció per als valors per defecte de túnel forçat, i la llista d'excepcions del client és on sol viure la fuita. Verifiqueu el comportament, no la intenció.
IPv6 mereix una mirada pròpia, perquè un túnel que només porta IPv4 deixa tot un stack fora de la política.
El DNS és una política separada
Els noms interns necessiten un resolutor que els conegui, i aquest resolutor pot ser accessible només a través del túnel. Un navegador amb el seu propi DNS xifrat pot saltar-se del tot el resolutor del sistema, cosa que produeix una divisió on els noms interns fallen i els públics funcionen, o al revés.
Decidiu on han d'anar les consultes i feu que el client i el navegador coincideixin. La navegació pública amb èxit no prova mai la resolució de noms interns, així que és l'evidència equivocada quan un lloc d'intranet desapareix.
Escriviu la política de fallada i proveu-la després
Decidiu què passa quan el túnel cau: bloquejar-ho tot, bloquejar només els recursos privats o permetre connexions directes. La reconnexió automàtica no respon aquesta pregunta, i un interruptor de seguretat que només cobreix la interfície del túnel pot deixar les aplicacions excloses parlant lliurement. Proveu una desconnexió real i un canvi de xarxa, i llegiu després l'estat del client, perquè la documentació descriu el comportament previst i no el instal·lat.
Registreu les rutes privades, l'eixida pública, els servidors DNS, les excepcions locals i el comportament en cas de fallada en una nota curta. Aquesta nota és el que fa la política verificable per algú que no l'ha escrit.