Πλήρης τούνελ ή διαχωρισμένο τούνελ: οι τέσσερις διαφορές

Οι ετικέτες τούνελ περιγράφουν πού πηγαίνει η υπόλοιπη κίνηση ενός φορητού, όχι πόσο γρήγορα πηγαίνει. Σε πλήρες τούνελ, τα δημόσια αιτήματα περνούν από την πύλη VPN πριν βγουν στο διαδίκτυο. Σε διαχωρισμένο τούνελ, οι ιδιωτικοί προορισμοί χρησιμοποιούν το τούνελ και όλα τα άλλα παίρνουν την τοπική διαδρομή. Και τα δύο φτάνουν στην εσωτερική εφαρμογή, οπότε το τεστ προσβασιμότητας που κάνουν πρώτα οι άνθρωποι δεν λέει τίποτα για το ποια πολιτική έχει εφαρμοστεί.

Ελέγξτε αντί γι' αυτό την έξοδο: ποια διεύθυνση αναφέρει μια δημόσια σελίδα ηχούς και ποιος επιλυτής απάντησε.

Μύθος: το διαχωρισμένο τούνελ είναι απλώς η γρηγορότερη επιλογή

Το διαχωρισμένο τούνελ πωλείται συχνά ως χαρακτηριστικό απόδοσης, και μπορεί να είναι, αλλά αυτό είναι παρενέργεια και όχι ο ορισμός. Ο ορισμός είναι μια απόφαση δρομολόγησης για το ποιοι προορισμοί μπαίνουν στο τούνελ. Η διαφορά ταχύτητας εμφανίζεται μόνο όταν η άμεση διαδρομή είναι πραγματικά καλύτερη από την παράκαμψη μέσω του γραφείου. Σε ένα συμφορημένο οικιακό κανάλι και μια ελαφρά φορτισμένη πύλη, το πλήρες τούνελ μπορεί να είναι το γρηγορότερο από τα δύο.

Έτσι, το έντιμο πλαίσιο αφορά την ιδιοκτησία και τον έλεγχο της διαδρομής, με την απόδοση ως κάτι που μετράτε μετά. Μια πολιτική που επιλέχθηκε για ταχύτητα και μετακινεί σιωπηλά το DNS και τη δημόσια έξοδό σας επιλέχθηκε για λάθος λόγο.

Τι αλλάζει στην πραγματικότητα: η έξοδος

Σε πλήρες τούνελ, ένας δημόσιος ιστότοπος βλέπει τη διεύθυνση εξόδου του γραφείου και το φιλτράρισμα του γραφείου βλέπει το αίτημα. Σε διαχωρισμένο τούνελ, ο ίδιος ιστότοπος βλέπει τη διεύθυνση σπιτιού του χρήστη και το γραφείο δεν βλέπει τίποτα. Αυτά είναι διαφορετικά μοντέλα ορατότητας και κανένα δεν είναι αυτόματα ασφαλέστερο. Το χρήσιμο ερώτημα είναι ποιο μπορεί πραγματικά να λειτουργήσει ο οργανισμός.

Ελέγξτε το απευθείας αντί να εμπιστεύεστε ένα σήμα Συνδεδεμένο. Μια δημόσια ηχώ διεύθυνσης δείχνει την έξοδο, και ένα τεστ επιλυτή δείχνει ποιανού το DNS απάντησε.

Τι πρέπει τότε να μεταφέρει η πύλη

Μια πύλη που μεταφέρει βιντεοκλήσεις, λήψεις και ιδιωτικές εφαρμογές χρειάζεται χωρητικότητα για εντελώς διαφορετικό φόρτο εργασίας από μια που μεταφέρει μόνο εσωτερικά αιτήματα. Η σύνδεση στο διαδίκτυο του ιστότοπου μεταφέρει και την άφιξη του χρήστη και την επακόλουθη δημόσια έξοδο, οπότε δύο ζεύξεις μπορούν να κορεστούν ταυτόχρονα.

Η τοπική έξοδος αφαιρεί αυτό το φορτίο και την παράκαμψη, και δεν εγγυάται καλύτερη εμπειρία, επειδή και η άμεση διαδρομή μπορεί να είναι συμφορημένη. Συγκρίνετε την πραγματική εφαρμογή αντί να αντιμετωπίζετε μια ετικέτα δρομολόγησης ως μέτρηση απόδοσης.

Υπάρχουν εξαιρέσεις υπό πλήρες τούνελ

Μια προεπιλεγμένη διαδρομή δεν είναι απογραφή κάθε πακέτου. Πιο συγκεκριμένες διαδρομές, παραχωρήσεις τοπικού δικτύου, εξαιρέσεις εφαρμογών και χωριστοί κανόνες IPv6 μετακινούν όλα κίνηση, γι' αυτό μια πολιτική που περιγράφεται ως πλήρες τούνελ μπορεί ακόμα να διαρρέει. Η τεκμηρίωση δρομολόγησης του λειτουργικού συστήματος κάνει αυτή τη διάκριση για εξαναγκασμένες προεπιλογές τούνελ, και η λίστα εξαιρέσεων του πελάτη είναι όπου συνήθως ζει η διαρροή. Επαληθεύστε συμπεριφορά, όχι πρόθεση.

Το IPv6 αξίζει δική του ματιά, επειδή ένα τούνελ που μεταφέρει μόνο IPv4 αφήνει ένα ολόκληρο στοίβα έξω από την πολιτική.

Το DNS είναι ξεχωριστή πολιτική

Τα εσωτερικά ονόματα χρειάζονται έναν επιλυτή που τα γνωρίζει, και αυτός ο επιλυτής μπορεί να είναι προσβάσιμος μόνο μέσω του τούνελ. Ένα πρόγραμμα περιήγησης με δικό του κρυπτογραφημένο DNS μπορεί να παρακάμψει εντελώς τον επιλυτή του συστήματος, κάτι που παράγει έναν διαχωρισμό όπου τα εσωτερικά ονόματα αποτυγχάνουν και τα δημόσια λειτουργούν, ή το αντίστροφο.

Αποφασίστε πού πρέπει να πηγαίνουν οι αναζητήσεις και μετά κάντε τον πελάτη και το πρόγραμμα περιήγησης να συμφωνήσουν. Η επιτυχημένη δημόσια περιήγηση δεν δοκιμάζει ποτέ την εσωτερική επίλυση ονομάτων, οπότε είναι λάθος απόδειξη όταν ένας ιστότοπος του ενδοδικτύου εξαφανίζεται.

Γράψτε την πολιτική αστοχίας και μετά δοκιμάστε την

Αποφασίστε τι συμβαίνει όταν πέσει το τούνελ: μπλοκάρετε τα πάντα, μπλοκάρετε μόνο ιδιωτικούς πόρους ή επιτρέπετε άμεσες συνδέσεις. Η αυτόματη επανασύνδεση δεν απαντά σε αυτό το ερώτημα, και ένας διακόπτης ασφαλείας που καλύπτει μόνο τη διεπαφή του τούνελ μπορεί να αφήσει εξαιρούμενες εφαρμογές να μιλούν ελεύθερα. Δοκιμάστε μια πραγματική αποσύνδεση και μια αλλαγή δικτύου και μετά διαβάστε την κατάσταση του πελάτη, επειδή η τεκμηρίωση περιγράφει την προβλεπόμενη και όχι την εγκατεστημένη συμπεριφορά.

Καταγράψτε τις ιδιωτικές διαδρομές, τη δημόσια έξοδο, τους διακομιστές DNS, τις τοπικές εξαιρέσεις και τη συμπεριφορά αστοχίας σε ένα σύντομο σημείωμα. Αυτό το σημείωμα κάνει την πολιτική επαληθεύσιμη από κάποιον που δεν την έγραψε.