Ĉu plena tunelado estas pli simpla ol longa listo de dividita tunelo?

Listo de dividita tunelo komenciĝas per tri programoj kaj finiĝas per kovrado de la plej granda parto de la maŝino, kaj ĉiu nova linio estas ies escepto. Je tiu punkto la listo silente fariĝis defaŭlto kun pliaj paŝoj. Plena tunelado inversigas la aranĝon: ĉio eniras la tunelon krom se dokumentita escepto diras alie. Ĉu tio estas pli simpla dependas de la pordego kaj de la lokaj servoj, kiujn vi rompus.

Komencu per kalkulado de la reguloj, kiujn vi prizorgas

Kalkulu la erojn, poste kalkulu kiom da ili havas nomitan posedanton kaj daton de lasta kontrolo. La dua nombro estas la grava, ĉar escepto, kiun neniu posedas, ne povas esti taksata kiam la programo, al kiu ĝi rilatas, estas renomita aŭ anstataŭigita. Reguloj ligitaj al vojo de plenumebla dosiero silente ĉesas funkcii post ĝisdatigo, kaj la fiasko aspektas kiel malstabila VPN anstataŭ kiel malnova regulo. Skribu la liston antaŭ ol vi havos opinion pri ĝi.

Ĉiu ero devus respondi tri demandojn: kio rompiĝas sen ĝi, kiu tion decidis, kaj kiel vi rimarkus, ke la kaŭzo eksvalidiĝis. Eroj, kiuj ne povas respondi ĉiujn tri, estas kandidatoj por forigo anstataŭ migrado, kaj forigi ilin unue igas la postan komparon honesta.

Se la plej multaj eroj enkursigas grandan parton de la trafiko, vi jam funkciigas plenan tunelon kun aldonita prizorga ŝarĝo. La decido tiam temas pri kie la defaŭlto loĝas, ne pri ĉu ekzistu unu.

Kontrolu, ĉu la pordego povas porti la defaŭlton

Plena tunelado movas ĉiun paketon al unu aparato, kio samtempe ŝanĝas la procesoran ŝarĝon de tiu aparato, la tabelon conntrack, la adresan tradukon kaj la postulon pri suprena bendolarĝo. Pordego, kiu komforte servis kelkajn internajn subretojn, eble ne estis dimensiita por la tuta retumado de uzanto. Rigardu la plej grandan nombron de samtempaj sesioj, kiun vi atendas, ne la mezan, ĉar la pinto rompiĝas unue.

ip -s link show dev tun0
conntrack -C
ss -s

Mezuru la saman laborŝarĝon antaŭ kaj post la ŝanĝo anstataŭ rezonadi el specifoj. Unu posttagmezo de ordinara uzo sur unu maŝino montros, ĉu la pordego estas proksima al limo, kaj tio kostas nenion kompare kun malkovri tion lundan matenon.

Kontrolu ankaŭ la MTU de la vojo de fino al fino, ĉar plena defaŭlto elmetas ĉiun programon al la maksimuma paketa grando de la tunelo. Programoj, kiuj funkciis ekster la tunelo, nun eble dependas de fragmentiĝa konduto, pri kiu vi neniam devis pensi.

Konfirmu, ke lokaj servoj kaj privata DNS ankoraŭ funkcias

Listigu, kio devas resti loka laŭ protokolo anstataŭ laŭ programa nomo: malkovraj protokoloj por printiloj kaj ekranoj, ponto por inteligenta hejmo, la administra paĝo de enkursigilo, loka evoluiga servilo atingata per nomo, kiu solviĝas nur en la loka reto. Tiuj rompiĝas kiam la defaŭlta vojo komencas montri en tunelon, kaj ili rompiĝas silente ĉar nenio registras eraron ĉe la kliento.

Privata DNS estas la alia dependaĵo. Se internaj nomoj antaŭe solviĝis per la solvilo de la tunelo, nenio ŝanĝiĝas; se ili solviĝis loke, plena defaŭlto devas porti ilin al solvilo, kiu konas la zonojn. Testu unu internan kaj unu publikan nomon post la ŝanĝo anstataŭ supozi, ke la solvila listo postvivis.

Skribu la lokajn esceptojn en la profilon, kiu posedas ilin. Escepto tenata nur en ies memoro estas la unua afero, kiun la sekva migrado perdas.

Migru unu profilon kaj kontrolu la limojn

Ŝanĝu la profilon per ĝia propra agordo anstataŭ tavoligi novan defaŭlton sur manajn vojojn lasitajn de pli fruaj eksperimentoj. Tiuj restintaj vojoj estas la kutima kaŭzo de migrado, kiu ŝajnas funkcii kaj kondutas malkonsekvence unu tagon poste. Tenu la malnovan profilon disponebla, por ke reiro estu elekto, ne rekonstruo.

Poste kontrolu du limojn aparte: ke publikaj kaj privataj celoj ambaŭ funkcias, kaj ke nedezirata trafiko ne eliras ekster la tunelon. Sukcesa paĝa ŝarĝo pruvas la unuan kaj diras nenion pri la dua.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Ripetu la kontrolon post rekonekto kaj post interrompo, ĉar ŝaltilo, kiu blokas trafikon dum falo, estas alia eco ol vojo, kiu poste ĝuste restariĝas. La pli simpla dezajno estas tiu, kies realan kovradon vi ankoraŭ povas klarigi post kiam programo aŭ reto ŝanĝiĝas.