Tvarování provozu OpenVPN: které rozhraní ho vidí?

Projděte čtyři kontroly: co chcete omezit, který paket nese informaci, jež to identifikuje, které rozhraní tvarovač vidí a co router zvládne při šifrování. Routery se dodávají jak se stránkou OpenVPN, tak se stránkou šířky pásma a jejich soužití nic nedokazuje o ani jedné z nich. Pořadí je důležité, protože pravidlo napsané proti špatnému paketu nikdy nesedí, ať je jeho rychlost správná jakkoli.

Začněte cílem: omezit jedno zařízení, spravedlivě sdílet kapacitu, nebo upřednostnit jednu aplikaci. Každý potřebuje jiné párování.

Pojmenujte cíl před pravidlem

Omezení na zařízení potřebuje párování s adresou toho zařízení, která existuje jen uvnitř tunelu. Spravedlnost mezi soupeřícími toky potřebuje frontu, kterou všechny sdílejí, ne pravidlo na každého hosta. Priorita aplikace potřebuje něco, co aplikaci identifikuje, což je nejtěžší ze tří, jakmile šifrování odstraní vnitřní hlavičky z dohledu. Když cíl nejdřív zapíšete, řekne vám, který fakt potřebujete a kde ho můžete získat.

Omezení, které funguje na přímém provozu WAN, není důkazem, že stejný host je pokrytý uvnitř tunelu. Pravidlo může párovat adresu, která se v hlavičce, kterou tvarovač vidí, nikdy neobjeví.

Uvnitř tunelu, nebo vně

S VPN klientem, který vlastní router, putuje mnoho toků LAN uvnitř jednoho šifrovaného přenosu. Před zapouzdřením router stále vidí vnitřní zdroj a cíl, takže zásada připojená v této fázi může klasifikovat podle zařízení. Po zapouzdření běžné vybavení vidí jen vnější spojení a párování na port VPN neříká nic o tom, které zařízení je odpovědné. Ten jediný fakt rozhoduje, kam pravidlo patří.

Platformy se liší v tom, jak to vystavují. Některé nabízejí tvarovač, který řadí do fronty a klasifikuje na rozhraní tunelu; jiné považují omezovače za pravidla rozhraní, která se chovají stejně pro provoz VPN i bez VPN; některé dělají obojí s různými možnostmi. Čtěte vlastní dokumentaci firmwaru k rozhraní, které podporuje, místo abyste kopírovali název rozhraní z příručky jiného výrobce.

Určete, kde adresy zůstávají dostupné, kde probíhá překlad a která fronta skutečně řídí úzké hrdlo.

Tři zásady, tři druhy důkazů

Omezení rychlosti se prokazuje trvalým přenosem z omezeného zařízení, zatímco jiné přenáší ve stejnou dobu. Spravedlivé sdílení se prokazuje dvěma toky, které dosahují podobných rychlostí, místo aby jeden hladověl, což je jiné měření. Priorita aplikace se prokazuje interaktivní úlohou, která zůstává svižná během hromadného přenosu, a ověřením, že klasifikátor tok vůbec rozpoznal. Každá zásada potřebuje vlastní pozorování a žádnou neprokáže konfigurační stránka.

Klasifikace si zaslouží zvláštní podezření. Párování na vnější šifrovaný port nedokáže obnovit identitu každé vnitřní aplikace, takže pravidlo, které vypadá, že upřednostňuje jednu aplikaci, může ve skutečnosti upřednostňovat vše z toho tunelu. Čtěte počítadla pravidla, ne jeho záměr.

Měřte šifrovanou zátěž, ne holou

Tvarování, klasifikace a šifrování soutěží o jeden procesor a hardwarové zrychlení může provést provoz kolem právě těch pravidel a počítadel, která sledujete. Číslo propustnosti z prostého testu směrování říká málo o krabici pod šifrovanou a tvarovanou zátěží. Testujte oba směry, několik reprezentativních klientů a malou interaktivní úlohu vedle hromadného přenosu. Svižnost pod zátěží je důležitější než špičkové číslo na nečinném spoji.

Zahrňte do měření výjimky: provoz, který má tunel obejít, obě rodiny adres, pokud jsou ve hře obě, a co se stane, když tunel spadne. Zásada, která se chová rozumně jen dokud je tunel zdravý, je polovina zásady.

Napište specifikaci jako tři řádky: párování provozu, místo uplatnění a měřená zátěž. OpenVPN plus QoS není specifikace.