Plný tunel versus rozdělený tunel: čtyři věci, které se liší

Štítky tunelu popisují, kam jde zbytek provozu notebooku, ne jak rychle jde. U plného tunelu procházejí veřejné požadavky přes VPN bránu, než odejdou na internet. U rozděleného tunelu používají soukromá určení tunel a vše ostatní jde místní cestou. Obě se dostanou k interní aplikaci, takže test dostupnosti, který lidé dělají jako první, nic neříká o tom, jaká politika je nasazena.

Otestujte místo toho výstup: jakou adresu hlásí veřejná ozvěnová stránka a který překladač odpověděl.

Mýtus: rozdělený tunel je jen rychlejší volba

Rozdělený tunel se často prodává jako funkce výkonu a může jí být, ale to je vedlejší efekt, ne definice. Definice je rozhodnutí o směrování, která určení vstoupí do tunelu. Rozdíl v rychlosti se objeví jen tehdy, když je přímá cesta skutečně lepší než objížďka přes kancelář. Na zahlceném domácím spojení a málo zatížené bráně může být plný tunel rychlejší z obou.

Poctivé vymezení je tedy o vlastnictví a kontrole cesty, přičemž výkon je něco, co měříte až potom. Politika zvolená kvůli rychlosti, která tiše přesouvá váš DNS a veřejný výstup, byla zvolena ze špatného důvodu.

Co se skutečně mění: výstup

U plného tunelu vidí veřejný web výstupní adresu kanceláře a kancelářské filtrování vidí požadavek. U rozděleného tunelu vidí stejný web domácí adresu uživatele a kancelář nevidí nic. To jsou různé modely viditelnosti a ani jeden není automaticky bezpečnější. Užitečná otázka je, který z nich organizace skutečně dokáže provozovat.

Ověřte to přímo, místo abyste věřili odznaku Připojeno. Veřejná ozvěna adresy ukáže výstup a test překladače ukáže, čí DNS odpověděl.

Co pak musí brána nést

Brána, která nese videohovory, stahování a soukromé aplikace, potřebuje kapacitu pro zcela jinou zátěž než ta, která nese jen interní požadavky. Internetové připojení stránky nese jak příchod uživatele, tak následný veřejný výstup, takže dvě linky se mohou nasytit současně.

Místní výstup odstraňuje tuto zátěž i objížďku a nezaručuje lepší zážitek, protože přímá cesta může být také zahlcená. Porovnejte skutečnou aplikaci, místo abyste se na štítek směrování dívali jako na měření výkonu.

U plného tunelu existují výjimky

Výchozí trasa není soupisem každého paketu. Konkrétnější trasy, povolení místní sítě, vyloučení aplikací a samostatná pravidla IPv6 všechny přemisťují provoz, a proto politika popsaná jako plný tunel může stále unikat. Dokumentace operačního systému ke směrování dělá tento rozdíl u vynucených výchozích tunelů a seznam výjimek klienta je místo, kde únik obvykle žije. Ověřujte chování, ne záměr.

IPv6 si zaslouží vlastní pohled, protože tunel, který nese jen IPv4, nechává celý zásobník mimo politiku.

DNS je samostatná politika

Interní názvy potřebují překladač, který je zná, a tento překladač může být dostupný jen přes tunel. Prohlížeč s vlastním šifrovaným DNS může systémový překladač úplně obejít, což vytváří rozdělení, kde interní názvy selhávají a veřejné fungují, nebo naopak.

Rozhodněte, kam mají dotazy chodit, a pak slaďte klienta a prohlížeč. Úspěšné veřejné prohlížení nikdy neotestuje interní překlad názvů, takže je to špatný důkaz, když intranetový web zmizí.

Napište politiku selhání a pak ji otestujte

Rozhodněte, co se stane, když tunel spadne: blokovat vše, blokovat jen soukromé zdroje, nebo povolit přímá připojení. Automatické opětovné připojení na tuto otázku neodpovídá a vypínač, který pokrývá jen rozhraní tunelu, může nechat vyloučené aplikace volně mluvit. Otestujte skutečné odpojení a změnu sítě, pak přečtěte stav klienta, protože dokumentace popisuje zamýšlené chování, ne nainstalované.

Zapište soukromé trasy, veřejný výstup, servery DNS, místní výjimky a chování při selhání do jedné krátké poznámky. Právě tato poznámka činí politiku ověřitelnou pro někoho, kdo ji nenapsal.