OpenVPN-Verkehr formen: Welche Schnittstelle sieht ihn?

Gehen Sie vier Prüfungen durch: was Sie begrenzen wollen, welches Paket die Information trägt, die es identifiziert, welche Schnittstelle der Shaper sieht und was der Router beim Verschlüsseln leistet. Router werden sowohl mit einer OpenVPN-Seite als auch mit einer Bandbreitenseite ausgeliefert, und ihr Nebeneinander beweist nichts über eine von beiden. Die Reihenfolge ist wichtig, denn eine Regel gegen das falsche Paket trifft nie, so korrekt ihre Rate auch ist.

Beginnen Sie mit dem Ziel: ein einzelnes Gerät begrenzen, Kapazität fair teilen oder eine Anwendung priorisieren. Jedes braucht eine andere Übereinstimmung.

Benennen Sie das Ziel vor der Regel

Eine Begrenzung pro Gerät braucht eine Übereinstimmung mit der Adresse dieses Geräts, die nur innerhalb des Tunnels existiert. Fairness zwischen konkurrierenden Flüssen braucht eine Warteschlange, die alle teilen, nicht eine Regel pro Host. Anwendungspriorität braucht etwas, das die Anwendung identifiziert, das Schwierigste der drei, sobald die Verschlüsselung die inneren Header aus dem Blick entfernt. Das Ziel zuerst aufzuschreiben sagt Ihnen, welche Tatsache Sie brauchen und wo Sie sie möglicherweise bekommen.

Eine Begrenzung, die bei direktem WAN-Verkehr funktioniert, ist kein Beweis dafür, dass derselbe Host innerhalb des Tunnels abgedeckt ist. Die Regel trifft vielleicht eine Adresse, die in dem Header, den der Shaper sieht, nie vorkommt.

Innerhalb des Tunnels oder außerhalb

Mit einem routereigenen VPN-Client reisen viele LAN-Flüsse innerhalb eines verschlüsselten Transports. Vor der Kapselung sieht der Router noch die innere Quelle und das Ziel, sodass eine in dieser Stufe angehängte Richtlinie pro Gerät klassifizieren kann. Nach der Kapselung sieht gewöhnliche Ausrüstung nur die äußere Verbindung, und eine Übereinstimmung auf dem VPN-Port sagt nichts darüber, welches Gerät verantwortlich ist. Diese eine Tatsache entscheidet, wohin die Regel gehört.

Plattformen unterscheiden sich darin, wie sie das offenlegen. Manche bieten einen Shaper, der auf einer Tunnelschnittstelle einreiht und klassifiziert; andere behandeln Begrenzer als Schnittstellenregeln, die sich für VPN- und Nicht-VPN-Verkehr gleich verhalten; manche tun beides mit unterschiedlichen Fähigkeiten. Lesen Sie die eigene Dokumentation der Firmware für die Schnittstelle, die sie unterstützt, statt einen Schnittstellennamen aus der Anleitung eines anderen Herstellers zu kopieren.

Bestimmen Sie, wo Adressen verfügbar bleiben, wo die Übersetzung stattfindet und welche Warteschlange den Engpass tatsächlich steuert.

Drei Richtlinien, drei Arten von Belegen

Eine Ratenbegrenzung wird durch eine anhaltende Übertragung vom begrenzten Gerät bewiesen, während ein anderes gleichzeitig überträgt. Faire Teilung wird durch zwei Flüsse bewiesen, die ähnliche Raten erreichen, statt dass einer hungert, was eine andere Messung ist. Anwendungspriorität wird dadurch bewiesen, dass eine interaktive Aufgabe während einer Massenübertragung reaktionsfähig bleibt, und dadurch, dass geprüft wird, ob der Klassifizierer den Fluss überhaupt erkannt hat. Jede Richtlinie braucht ihre eigene Beobachtung, und keine wird durch eine Konfigurationsseite bewiesen.

Die Klassifizierung verdient besonderes Misstrauen. Eine Übereinstimmung auf dem äußeren verschlüsselten Port kann nicht die Identität jeder inneren Anwendung wiederherstellen, sodass eine Regel, die eine Anwendung zu priorisieren scheint, in der Praxis alles aus diesem Tunnel priorisieren kann. Lesen Sie die Zähler der Regel statt ihrer Absicht.

Messen Sie die verschlüsselte Last, nicht die nackte

Formung, Klassifizierung und Verschlüsselung konkurrieren um eine CPU, und Hardwarebeschleunigung kann Verkehr an genau den Regeln und Zählern vorbeiführen, die Sie beobachten. Eine Durchsatzzahl aus einem einfachen Routingtest sagt wenig über die Box unter einer verschlüsselten und geformten Last. Testen Sie beide Richtungen, mehrere repräsentative Clients und eine kleine interaktive Aufgabe neben der Massenübertragung. Reaktionsfähigkeit unter Last zählt mehr als der Spitzenwert auf einer untätigen Verbindung.

Nehmen Sie die Ausnahmen in die Messung auf: Verkehr, der den Tunnel umgehen soll, beide Adressfamilien, wenn beide im Spiel sind, und was passiert, wenn der Tunnel ausgefallen ist. Eine Richtlinie, die sich nur vernünftig verhält, solange der Tunnel gesund ist, ist eine halbe Richtlinie.

Schreiben Sie die Spezifikation als drei Zeilen: die Verkehrsübereinstimmung, den Durchsetzungspunkt und die gemessene Last. OpenVPN plus QoS ist keine Spezifikation.