Modelar el trànsit d’OpenVPN: quina interfície el veu?

Feu quatre comprovacions: què voleu limitar, quin paquet porta la informació que ho identifica, quina interfície pot veure el modelador i què aguanta el router mentre xifra. Els routers es venen amb una pàgina d’OpenVPN i una pàgina d’amplada de banda, i la seva coexistència no demostra res de cap de les dues. L’ordre importa, perquè una regla escrita contra el paquet equivocat no encerta mai, per correcta que sigui la seva velocitat.

Comenceu per l’objectiu: limitar un sol dispositiu, compartir la capacitat de manera justa o prioritzar una aplicació. Cadascun necessita una coincidència diferent.

Poseu nom a l’objectiu abans de la regla

Un límit per dispositiu necessita una coincidència amb l’adreça d’aquell dispositiu, que només existeix dins del túnel. La justícia entre fluxos competidors necessita una cua que tots comparteixin, no una regla per host. La prioritat d’aplicació necessita alguna cosa que identifiqui l’aplicació, la més difícil de les tres un cop el xifratge treu les capçaleres internes de la vista. Escriure primer l’objectiu us diu quina dada necessiteu i on podríeu obtenir-la.

Un límit que funciona amb trànsit directe de WAN no és cap prova que el mateix host estigui cobert dins del túnel. La regla pot estar coincidint amb una adreça que no apareix mai a la capçalera que veu el modelador.

Dins del túnel o fora

Amb un client VPN propietat del router, molts fluxos de LAN viatgen dins d’un sol transport xifrat. Abans de l’encapsulament el router encara veu l’origen i la destinació interns, així que la política adjunta en aquesta etapa pot classificar per dispositiu. Després de l’encapsulament, l’equipament corrent només veu la connexió exterior, i una coincidència al port VPN no diu res sobre quin dispositiu n’és responsable. Aquest sol fet decideix on pertany la regla.

Les plataformes difereixen en com ho exposen. Algunes ofereixen un modelador que encua i classifica en una interfície de túnel; d’altres tracten els limitadors com a regles d’interfície que es comporten igual per al trànsit VPN i no VPN; algunes fan les dues coses amb capacitats diferents. Llegiu la documentació pròpia del firmware per a la interfície que admet, en lloc de copiar un nom d’interfície de la guia d’un altre fabricant.

Identifiqueu on les adreces continuen disponibles, on es produeix la traducció i quina cua controla realment el coll d’ampolla.

Tres polítiques, tres tipus de proves

Un límit de velocitat es demostra amb una transferència sostinguda des del dispositiu limitat mentre un altre transfereix alhora. La compartició justa es demostra amb dos fluxos que arriben a velocitats semblants en lloc que un passi fam, que és un mesurament diferent. La prioritat d’aplicació es demostra amb una tasca interactiva que es manté àgil durant una transferència massiva, i comprovant que el classificador ha reconegut el flux. Cada política necessita la seva pròpia observació, i cap no es demostra amb una pàgina de configuració.

La classificació mereix una sospita especial. Una coincidència al port xifrat extern no pot recuperar la identitat de cada aplicació interna, així que una regla que sembla prioritzar una aplicació pot estar prioritzant en la pràctica tot el que surt d’aquell túnel. Llegiu els comptadors de la regla en lloc de la seva intenció.

Mesureu la càrrega xifrada, no la nua

El modelatge, la classificació i el xifratge competeixen per una sola CPU, i l’acceleració per maquinari pot fer passar el trànsit més enllà de les mateixes regles i comptadors que observeu. Una xifra de rendiment d’una prova d’encaminament simple diu poc sobre la caixa sota una càrrega xifrada i modelada. Proveu les dues direccions, diversos clients representatius i una petita tasca interactiva al costat de la transferència massiva. L’agilitat sota càrrega importa més que el pic en un enllaç inactiu.

Incloeu les excepcions al mesurament: el trànsit que ha de saltar-se el túnel, les dues famílies d’adreces si totes dues hi són, i què passa quan el túnel cau. Una política que només es comporta amb seny mentre el túnel és sa és mitja política.

Escriviu l’especificació en tres línies: la coincidència de trànsit, el punt d’aplicació i la càrrega mesurada. OpenVPN més QoS no és una especificació.