Formi la trafikon de OpenVPN: kiun interfacon ĝi vidas?

Trapasu kvar kontrolojn: kion vi volas limigi, kiun pakaĵon portas la informo, kiu identigas ĝin, kiun interfacon la formilo povas vidi, kaj kion la enkursigilo eltenas dum ĝi ĉifras. Enkursigiloj venas kun kaj OpenVPN-paĝo kaj bendlarĝa paĝo, kaj ilia kunekzistado pruvas nenion pri iu ajn el ili. La ordo gravas, ĉar regulo verkita kontraŭ la malĝusta pakaĵo neniam kongruas, kiom ajn ĝusta estas ĝia rapido.

Komencu per la celo: limigi unu aparaton, juste dividi kapaciton aŭ doni prioritaton al unu aplikaĵo. Ĉiu bezonas malsaman kongruon.

Nomu la celon antaŭ la regulo

Limigo por aparato bezonas kongruon kun la adreso de tiu aparato, kiu ekzistas nur ene de la tunelo. Justeco inter konkurantaj fluoj bezonas atendovicon, kiun ĉiuj dividas, ne regulon por ĉiu gastiganto. Aplika prioritato bezonas ion, kio identigas la aplikaĵon, la plej malfacila el la tri post kiam ĉifrado forigas la internajn kapojn el la vido. Verki la celon unue diras al vi, kiun fakton vi bezonas kaj kie vi eble povas akiri ĝin.

Limigo, kiu funkcias ĉe rekta WAN-trafiko, ne pruvas, ke la sama gastiganto estas kovrita ene de la tunelo. La regulo eble kongruas kun adreso, kiu neniam aperas en la kapo, kiun la formilo vidas.

Ene de la tunelo aŭ ekster ĝi

Kun VPN-kliento posedata de la enkursigilo, multaj LAN-fluoj vojaĝas ene de unu ĉifrita transporto. Antaŭ enkapsuligo la enkursigilo ankoraŭ vidas la internan fonton kaj celon, do politiko alkroĉita en tiu etapo povas klasifiki laŭ aparato. Post enkapsuligo ordinara ekipaĵo vidas nur la eksteran konekton, kaj kongruo ĉe la VPN-pordo diras nenion pri tio, kiu aparato respondecas. Tiu unu fakto decidas, kie la regulo apartenas.

Platformoj malsamas en tio, kiel ili elmontras ĉi tion. Iuj provizas formilon, kiu vicigas kaj klasifikas ĉe tunela interfaco; aliaj traktas limigilojn kiel interfacajn regulojn, kiuj kondutas same por VPN kaj ne-VPN trafiko; iuj faras ambaŭ kun malsamaj kapabloj. Legu la propran dokumentaron de la firmaro por la interfaco, kiun ĝi subtenas, anstataŭ kopii interfacan nomon el la gvidilo de alia vendisto.

Identigu, kie adresoj restas disponeblaj, kie okazas tradukado kaj kiu atendovico efektive regas la botelkolon.

Tri politikoj, tri specoj de pruvoj

Limigo de rapido pruviĝas per daŭra transdono de la limigita aparato, dum alia transdonas samtempe. Justa divido pruviĝas per du fluoj atingantaj similajn rapidojn anstataŭ ke unu malsatiĝas, kio estas malsama mezuro. Aplika prioritato pruviĝas per interaga tasko restanta responema dum amasa transdono, kaj per kontrolo, ĉu la klasifikilo entute rekonis la fluon. Ĉiu politiko bezonas sian propran observadon, kaj neniun pruvas agorda paĝo.

Klasifikado meritas specialan suspekton. Kongruo ĉe la ekstera ĉifrita pordo ne povas restaŭri la identecon de ĉiu interna aplikaĵo, do regulo, kiu ŝajnas prioritatigi unu aplikaĵon, povas praktike prioritatigi ĉion el tiu tunelo. Legu la nombrilojn de la regulo anstataŭ ĝian intencon.

Mezuru la ĉifritan ŝarĝon, ne la nudan

Formado, klasifikado kaj ĉifrado konkuras pri unu procesoro, kaj aparatara akcelo povas konduki trafikon preter ĝuste tiuj reguloj kaj nombriloj, kiujn vi observas. Cifero de trairo el simpla enkursigada testo diras malmulte pri la skatolo sub ĉifrita kaj formita ŝarĝo. Testu ambaŭ direktojn, plurajn reprezentajn klientojn kaj malgrandan interagan taskon apud la amasa transdono. Responemo sub ŝarĝo pli gravas ol la pinta nombro ĉe senokupa ligo.

Inkluzivu la esceptojn en la mezuro: trafikon, kiu devus preterpasi la tunelon, ambaŭ adresajn familiojn se ambaŭ ludas, kaj kio okazas kiam la tunelo estas malsupren. Politiko, kiu kondutas prudente nur dum la tunelo sanas, estas duona politiko.

Skribu la specifon kiel tri liniojn: la trafika kongruo, la plenumiga punkto kaj la mezurita ŝarĝo. OpenVPN plus QoS ne estas specifo.