Διαμόρφωση της κίνησης OpenVPN: ποια διεπαφή τη βλέπει;

Περάστε από τέσσερις ελέγχους: τι θέλετε να περιορίσετε, ποιο πακέτο φέρει την πληροφορία που το αναγνωρίζει, ποια διεπαφή βλέπει ο διαμορφωτής και τι αντέχει ο δρομολογητής όσο κρυπτογραφεί. Οι δρομολογητές διατίθενται με σελίδα OpenVPN και με σελίδα εύρους ζώνης, και η συνύπαρξή τους δεν αποδεικνύει τίποτα για καμία από τις δύο. Η σειρά έχει σημασία, γιατί ένας κανόνας γραμμένος απέναντι στο λάθος πακέτο δεν ταιριάζει ποτέ, όσο σωστός κι αν είναι ο ρυθμός του.

Ξεκινήστε από τον στόχο: περιορισμός μιας συσκευής, δίκαιη κατανομή χωρητικότητας ή προτεραιότητα σε μια εφαρμογή. Καθένας χρειάζεται διαφορετική αντιστοίχιση.

Ονομάστε τον στόχο πριν από τον κανόνα

Ένα όριο ανά συσκευή χρειάζεται αντιστοίχιση στη διεύθυνση αυτής της συσκευής, η οποία υπάρχει μόνο μέσα στη σήραγγα. Η δικαιοσύνη ανάμεσα σε ανταγωνιστικές ροές χρειάζεται μια ουρά που όλες μοιράζονται, όχι έναν κανόνα ανά κεντρικό υπολογιστή. Η προτεραιότητα εφαρμογής χρειάζεται κάτι που αναγνωρίζει την εφαρμογή, το δυσκολότερο από τα τρία μόλις η κρυπτογράφηση αφαιρέσει τις εσωτερικές κεφαλίδες από το οπτικό πεδίο. Το να γράψετε πρώτα τον στόχο σας λέει ποιο γεγονός χρειάζεστε και πού θα μπορούσατε να το αποκτήσετε.

Ένα όριο που λειτουργεί στην άμεση κίνηση WAN δεν αποδεικνύει ότι ο ίδιος κεντρικός υπολογιστής καλύπτεται μέσα στη σήραγγα. Ο κανόνας μπορεί να αντιστοιχίζεται σε μια διεύθυνση που δεν εμφανίζεται ποτέ στην κεφαλίδα που βλέπει ο διαμορφωτής.

Μέσα στη σήραγγα ή έξω από αυτήν

Με έναν πελάτη VPN που ανήκει στον δρομολογητή, πολλές ροές LAN ταξιδεύουν μέσα σε μία κρυπτογραφημένη μεταφορά. Πριν από την ενθυλάκωση ο δρομολογητής βλέπει ακόμη την εσωτερική πηγή και τον προορισμό, οπότε μια πολιτική που προσαρτάται σε αυτό το στάδιο μπορεί να ταξινομήσει ανά συσκευή. Μετά την ενθυλάκωση ο συνηθισμένος εξοπλισμός βλέπει μόνο την εξωτερική σύνδεση, και μια αντιστοίχιση στη θύρα VPN δεν λέει τίποτα για το ποια συσκευή ευθύνεται. Αυτό το ένα γεγονός αποφασίζει πού ανήκει ο κανόνας.

Οι πλατφόρμες διαφέρουν στον τρόπο που το εκθέτουν. Μερικές παρέχουν έναν διαμορφωτή που βάζει σε ουρά και ταξινομεί σε διεπαφή σήραγγας· άλλες αντιμετωπίζουν τους περιοριστές ως κανόνες διεπαφής που συμπεριφέρονται το ίδιο για κίνηση VPN και μη VPN· μερικές κάνουν και τα δύο με διαφορετικές δυνατότητες. Διαβάστε την τεκμηρίωση του ίδιου του υλικολογισμικού για τη διεπαφή που υποστηρίζει, αντί να αντιγράψετε ένα όνομα διεπαφής από τον οδηγό άλλου κατασκευαστή.

Προσδιορίστε πού παραμένουν διαθέσιμες οι διευθύνσεις, πού γίνεται η μετάφραση και ποια ουρά ελέγχει στην πραγματικότητα το σημείο συμφόρησης.

Τρεις πολιτικές, τρία είδη αποδείξεων

Ένα όριο ρυθμού αποδεικνύεται με μια συνεχή μεταφορά από τη συσκευή που έχει περιοριστεί, ενώ μια άλλη μεταφέρει ταυτόχρονα. Η δίκαιη κατανομή αποδεικνύεται με δύο ροές που φτάνουν σε παρόμοιους ρυθμούς αντί να λιμοκτονεί η μία, που είναι διαφορετική μέτρηση. Η προτεραιότητα εφαρμογής αποδεικνύεται με μια διαδραστική εργασία που παραμένει αποκρίσιμη κατά τη διάρκεια μιας μαζικής μεταφοράς, και με τον έλεγχο ότι ο ταξινομητής αναγνώρισε καθόλου τη ροή. Κάθε πολιτική χρειάζεται τη δική της παρατήρηση, και καμία δεν αποδεικνύεται από μια σελίδα διαμόρφωσης.

Η ταξινόμηση αξίζει ιδιαίτερη καχυποψία. Μια αντιστοίχιση στην εξωτερική κρυπτογραφημένη θύρα δεν μπορεί να ανακτήσει την ταυτότητα κάθε εσωτερικής εφαρμογής, οπότε ένας κανόνας που φαίνεται να δίνει προτεραιότητα σε μία εφαρμογή μπορεί στην πράξη να δίνει προτεραιότητα σε ό,τι προέρχεται από αυτή τη σήραγγα. Διαβάστε τους μετρητές του κανόνα και όχι την πρόθεσή του.

Μετρήστε το κρυπτογραφημένο φορτίο, όχι το γυμνό

Η διαμόρφωση, η ταξινόμηση και η κρυπτογράφηση ανταγωνίζονται για έναν επεξεργαστή, και η επιτάχυνση υλικού μπορεί να περάσει την κίνηση δίπλα από ακριβώς εκείνους τους κανόνες και τους μετρητές που παρακολουθείτε. Ένας αριθμός διεκπεραιωτικότητας από ένα απλό τεστ δρομολόγησης λέει λίγα για το μηχάνημα κάτω από κρυπτογραφημένο και διαμορφωμένο φορτίο. Δοκιμάστε και τις δύο κατευθύνσεις, αρκετούς αντιπροσωπευτικούς πελάτες και μια μικρή διαδραστική εργασία δίπλα στη μαζική μεταφορά. Η αποκρισιμότητα υπό φορτίο μετράει περισσότερο από τον αριθμό κορυφής σε μια αδρανή ζεύξη.

Συμπεριλάβετε τις εξαιρέσεις στη μέτρηση: την κίνηση που πρέπει να παρακάμπτει τη σήραγγα, και τις δύο οικογένειες διευθύνσεων αν συμμετέχουν και οι δύο, και τι συμβαίνει όταν η σήραγγα είναι εκτός λειτουργίας. Μια πολιτική που συμπεριφέρεται λογικά μόνο όσο η σήραγγα είναι υγιής είναι μισή πολιτική.

Γράψτε την προδιαγραφή ως τρεις γραμμές: την αντιστοίχιση κίνησης, το σημείο επιβολής και το μετρημένο φορτίο. Το OpenVPN μαζί με QoS δεν είναι προδιαγραφή.