Vollständiger Tunnel gegen geteilten Tunnel: die vier Unterschiede

Tunnel-Etiketten beschreiben, wohin der übrige Traffic eines Laptops geht, nicht wie schnell er geht. Bei einem vollständigen Tunnel durchlaufen öffentliche Anfragen das VPN-Gateway, bevor sie ins Internet verlassen. Bei geteiltem Tunnel nutzen private Ziele den Tunnel, und alles andere nimmt den lokalen Weg. Beide erreichen die interne Anwendung, daher sagt der Erreichbarkeitstest, den Leute zuerst machen, nichts darüber aus, welche Richtlinie eingesetzt ist.

Prüfen Sie stattdessen den Ausgang: welche Adresse eine öffentliche Echo-Seite meldet und welcher Resolver geantwortet hat.

Mythos: geteilter Tunnel ist einfach die schnellere Option

Geteilter Tunnel wird oft als Leistungsmerkmal verkauft, und das kann er sein, aber das ist ein Nebeneffekt und nicht die Definition. Die Definition ist eine Routingentscheidung darüber, welche Ziele in den Tunnel gelangen. Der Geschwindigkeitsunterschied zeigt sich nur, wenn der direkte Weg wirklich besser ist als der Umweg über das Büro. Bei einer überlasteten Heimleitung und einem leicht belasteten Gateway kann der vollständige Tunnel der schnellere von beiden sein.

Die ehrliche Einordnung betrifft also Wegeigentum und Kontrolle, während Leistung etwas ist, das man danach misst. Eine aus Geschwindigkeitsgründen gewählte Richtlinie, die stillschweigend Ihr DNS und Ihren öffentlichen Ausgang verschiebt, wurde aus dem falschen Grund gewählt.

Was sich tatsächlich ändert: der Ausgang

Bei einem vollständigen Tunnel sieht eine öffentliche Website die Ausgangsadresse des Büros, und die Bürofilterung sieht die Anfrage. Bei einem geteilten Tunnel sieht dieselbe Website die Heimatadresse des Nutzers, und das Büro sieht nichts. Das sind unterschiedliche Sichtbarkeitsmodelle, und keines ist automatisch sicherer. Die nützliche Frage ist, welches die Organisation tatsächlich betreiben kann.

Prüfen Sie es direkt, statt einem Verbunden-Abzeichen zu vertrauen. Ein öffentliches Adress-Echo zeigt den Ausgang, und ein Resolver-Test zeigt, wessen DNS geantwortet hat.

Was das Gateway dann tragen muss

Ein Gateway, das Videoanrufe, Downloads und private Anwendungen trägt, braucht Kapazität für eine ganz andere Arbeitslast als eines, das nur interne Anfragen trägt. Die Internetverbindung des Standorts trägt sowohl die Ankunft des Nutzers als auch den anschließenden öffentlichen Ausgang, sodass zwei Leitungen gleichzeitig ausgelastet sein können.

Lokaler Ausbruch entfernt diese Last und den Umweg, und er garantiert keine bessere Erfahrung, weil auch der direkte Weg überlastet sein kann. Vergleichen Sie die tatsächliche Anwendung, statt ein Routing-Etikett als Leistungsmessung zu behandeln.

Unter einem vollständigen Tunnel gibt es Ausnahmen

Eine Standardroute ist kein Verzeichnis jedes Pakets. Spezifischere Routen, Freigaben für lokale Netze, Anwendungsausschlüsse und getrennte IPv6-Regeln bewegen alle Traffic, weshalb eine als vollständiger Tunnel beschriebene Richtlinie dennoch lecken kann. Die Routing-Dokumentation des Betriebssystems zieht diese Unterscheidung für erzwungene Tunnelstandards, und die Ausnahmeliste des Clients ist der Ort, an dem die Leckage meist lebt. Prüfen Sie Verhalten, nicht Absicht.

IPv6 verdient einen eigenen Blick, weil ein Tunnel, der nur IPv4 trägt, einen ganzen Stack außerhalb der Richtlinie lässt.

DNS ist eine eigene Richtlinie

Interne Namen brauchen einen Resolver, der sie kennt, und dieser Resolver ist möglicherweise nur über den Tunnel erreichbar. Ein Browser mit eigenem verschlüsseltem DNS kann den Systemresolver völlig umgehen, was eine Teilung erzeugt, bei der interne Namen fehlschlagen und öffentliche funktionieren, oder umgekehrt.

Entscheiden Sie, wohin Abfragen gehen sollen, und bringen Sie dann Client und Browser in Einklang. Erfolgreiches öffentliches Surfen testet nie die interne Namensauflösung, daher ist es der falsche Beleg, wenn eine Intranet-Seite fehlt.

Schreiben Sie die Fehlerrichtlinie, und testen Sie sie dann

Entscheiden Sie, was passiert, wenn der Tunnel abbricht: alles blockieren, nur private Ressourcen blockieren oder direkte Verbindungen zulassen. Automatische Wiederverbindung beantwortet diese Frage nicht, und ein Kill Switch, der nur die Tunnelschnittstelle abdeckt, kann ausgeschlossene Anwendungen frei sprechen lassen. Testen Sie eine echte Trennung und einen Netzwerkwechsel, und lesen Sie dann den Zustand des Clients, weil die Dokumentation das beabsichtigte und nicht das installierte Verhalten beschreibt.

Halten Sie die privaten Routen, den öffentlichen Ausgang, die DNS-Server, die lokalen Ausnahmen und das Fehlerverhalten in einer kurzen Notiz fest. Diese Notiz macht die Richtlinie für jemanden überprüfbar, der sie nicht geschrieben hat.