Plena tunelo kontraŭ dividita tunelo: la kvar diferencoj

Tunelaj etikedoj priskribas, kien iras la resto de la trafiko de tekkomputilo, ne kiom rapide ĝi iras. Ĉe plena tunelo, publikaj petoj trapasas la VPN-pordegon antaŭ ol eliri al la interreto. Ĉe dividita tunelo, privataj celoj uzas la tunelon kaj ĉio alia prenas la lokan vojon. Ambaŭ atingas la internan aplikaĵon, do la atingebleca testo, kiun homoj unue faras, diras nenion pri tio, kiu politiko estas deplojita.

Anstataŭe testu la eliron: kiun adreson publika eĥa paĝo raportas, kaj kiu solvilo respondis.

Mito: dividita tunelo estas simple la pli rapida opcio

Dividita tunelo ofte estas vendata kiel rendimenta funkcio, kaj ĝi povas esti tio, sed tio estas flanka efiko prefere ol la difino. La difino estas enkursiga decido pri tio, kiuj celoj eniras la tunelon. La rapideca diferenco aperas nur kiam la rekta vojo estas vere pli bona ol la ĉirkaŭvojo tra la oficejo. Ĉe kongestita hejma ligilo kaj malpeze ŝarĝita pordego, la plena tunelo povas esti la pli rapida el la du.

Do la honesta kadro temas pri posedo kaj kontrolo de la vojo, dum rendimento estas io, kion oni mezuras poste. Politiko elektita pro rapideco, kiu silente movas vian DNS kaj publikan eliron, estis elektita pro la malĝusta kialo.

Kio vere ŝanĝiĝas: la eliro

Sub plena tunelo, publika retejo vidas la eliran adreson de la oficejo kaj la oficeja filtrado vidas la peton. Sub dividita tunelo, la sama retejo vidas la hejman adreson de la uzanto kaj la oficejo vidas nenion. Tiuj estas malsamaj videblecaj modeloj, kaj neniu estas aŭtomate pli sekura. La utila demando estas, kiun la organizo povas efektive funkciigi.

Kontrolu ĝin rekte anstataŭ fidi insignon Konektita. Publika adresa eĥo montras la eliron, kaj solvila testo montras, kies DNS respondis.

Kion la pordego tiam devas porti

Pordego portanta videovokojn, elŝutojn kaj privatajn aplikaĵojn bezonas kapaciton por tute alia laborŝarĝo ol tiu, kiu portas nur internajn petojn. La interreta konekto de la retejo portas kaj la alvenon de la uzanto kaj la postan publikan eliron, do du ligiloj povas saturiĝi samtempe.

Loka eliro forigas tiun ŝarĝon kaj la ĉirkaŭvojon, kaj ĝi ne garantias pli bonan sperton, ĉar ankaŭ la rekta vojo povas esti kongestita. Komparu la faktan aplikaĵon anstataŭ trakti enkursigan etikedon kiel rendimentan mezuron.

Ekzistas esceptoj sub plena tunelo

Defaŭlta vojo ne estas inventaro de ĉiu pako. Pli specifaj vojoj, permesoj por loka reto, aplikaj esceptoj kaj apartaj IPv6-reguloj ĉiuj movas trafikon, kaj tial politiko priskribita kiel plena tunelo ankoraŭ povas liki. La enkursiga dokumentaro de la operaciumo faras tiun distingon por devigitaj tunelaj defaŭltoj, kaj la escepta listo de la kliento estas kie la liko kutime loĝas. Kontrolu konduton, ne intencon.

IPv6 meritas propran rigardon, ĉar tunelo, kiu portas nur IPv4, lasas tutan stakon ekster la politiko.

DNS estas aparta politiko

Internaj nomoj bezonas solvilon, kiu konas ilin, kaj tiu solvilo eble atingeblas nur tra la tunelo. Retumilo kun propra ĉifrita DNS povas tute preterpasi la sisteman solvilon, kio produktas dividon, kie internaj nomoj malsukcesas kaj publikaj funkcias, aŭ la malon.

Decidu, kien serĉoj devas iri, poste igi la klienton kaj la retumilon interkonsenti. Sukcesa publika retumado neniam testas internan nomsolvadon, do ĝi estas la malĝusta pruvo cindi, kiam intraneta retejo mankas.

Skribu la fiaskan politikon, poste testu ĝin

Decidu, kio okazas kiam la tunelo falas: bloki ĉion, bloki nur privatajn rimedojn, aŭ permesi rektajn konektojn. Aŭtomata rekonekto ne respondas tiun demandon, kaj mortigilo, kiu kovras nur la tunelan interfacon, povas lasi esceptitajn aplikaĵojn libere paroli. Testu realan malkonekton kaj retan ŝanĝon, poste legu la staton de la kliento, ĉar la dokumentaro priskribas la intencitan konduton, ne la instalitan.

Notu la privatajn vojojn, la publikan eliron, la DNS-servilojn, la lokajn esceptojn kaj la fiaskan konduton en unu mallonga noto. Tiu noto estas tio, kio igas la politikon kontrolebla de iu, kiu ne skribis ĝin.