Unu tc-formilo ne limigas ĉiun VPN-klienton per si mem

La instrukcio sonas kompleta: limigu ĉiun VPN-klienton al 20 Mbit/s. Ĝi ne estas kompleta, kaj unu sola atendovica disciplino sur la tunela interfaco ne liveros tion. Por ĉiu kliento povas signifi por ĉiu tunela adreso, por ĉiu aparato aŭ por ĉiu konto, kaj ĉiu elekto klasifikas pakojn alimaniere. Antaŭ ol skribi ajnan regulon, decidu kiun el ili la postulo vere nomas.

Ĉio sube temas pri la distanco inter tiu frazo kaj io, kio funkcias.

Kion «por ĉiu kliento» unue devas signifi

Tunela adreso estas facila por klasifiki kaj facila por recikligi. Aparato estas pli malfacila, ĉar unu konto povas porti plurajn, kaj aparato povas teni plurajn adresojn, precipe kun IPv6. Por justeca politiko la konto estas la plej senchava unuo, kaj la plej malfacile videbla en paka kapo. Ĉiu difino implicas sian propran kalkan ŝlosilon, do politiko, kiu drivas inter ili, ne faros tion, kion asertas la priskribo.

Direkto estas la dua mankanta vorto. Alŝuto, elŝuto kaj kombinita estas tri malsamaj postuloj, kaj unu sola elira regulo sur unu interfaco malofte kovras ambaŭ vojojn.

Elektu punkton, kie la kliento ankoraŭ videblas

Ĉiu direkto estas difinita rilate al interfaco. Tio, kio lasas la tunelon de la servilo al fora kliento, kalkuliĝas kiel elŝuto por tiu kliento; tio, kion kliento sendas, eniras la tunelon kaj poste eliras al sia celo. Elektu planadan punkton por ĉiu direkto kaj demandu, kiuj kampoj tie ekzistas. Antaŭ fonta NAT alŝuto ankoraŭ portas la internan adreson de la kliento; post traduko simpla fonta kongruo eble jam ne identigos ĝin.

Sur la ĉifrita vojo la kapoj apartenas al la VPN-transporto, do filtrilo, kiu kongruigas internajn adresojn, havas nenion por kongruigi. Dezajno povas klasifiki pli frue kaj transdoni markon al posta planilo, sed tiu transdono devas esti intenca: pakaj markoj, koneksaj markoj kaj planilaj klasoj estas malsama stato, ne unu valoro pasigata plu.

Korboj ne aperas memstare

Ĵetona korbo alligita al interfaco formigas ajnan trafikon, kiu uzas ĝin; ĝi ne stampas novan korbon por ĉiu fonta adreso. Klasbazita dezajno anstataŭe ordigas elektitan trafikon en klasojn, filtriloj decidas membrecon, kaj la HTB-manlibro apartigas la rapidon de klaso de ĝia plafono, kiam la gepatro havas liberan bendlarĝon. Se la intenco estas malmola limo, starigu la plafonon kaj intence decidu la pruntan konduton; ne traktu ĉiun rapidan nombron kiel absolutan maksimumon.

Kiam la postulo estas por ĉiu kliento, paro da transferoj rulantaj samtempe devus dividi unu limon. Doni al ĉiu fluo la plenan rapidon estas alia politiko, kaj ĝi postvivas ajnan teston, kiu observas nur unu elŝuton.

Du aparatoj, unu konto, unu kvoto?

Limigi du aparatajn adresojn aparte neniam sumiĝas al unu kvoto laŭkonta, eĉ kiam ambaŭ aparatoj ensalutas kiel la sama persono. La samo validas por tuta LAN tradukita malantaŭ unu samtavolo, aŭ por pliaj IPv6-adresoj, kiujn la klasifikilo neniam atendis. Tenu la ligon inter adreso kaj identeco aktuala, kaj memoru, ke stabila adreso simpligas la mapon sen aŭtentigi ĝian posedanton.

Difinu ankaŭ la konduton de rafalo kaj vico. Ĵetonaj korboj permesas mallongajn rafalojn super la averaĝo, kaj bufrigo aldonas prokraston; kontroli la troon kaj vicigi ĝin por poste estas malsamaj decidoj kun malsamaj simptomoj.

Por validi, rulu du transferojn de unu kliento, aldonu duan klienton, kaj legu la klasajn nombrilojn en ĉiu direkto.