Modelar el tráfico de OpenVPN: ¿qué interfaz lo ve?

Recorra cuatro comprobaciones: qué quiere limitar, qué paquete lleva la información que lo identifica, qué interfaz puede ver el modelador y qué aguanta el router mientras cifra. Los routers se venden con una página de OpenVPN y una página de ancho de banda, y su convivencia no demuestra nada sobre ninguna de las dos. El orden importa, porque una regla escrita contra el paquete equivocado nunca coincide, por correcta que sea su tasa.

Empiece por el objetivo: limitar un solo dispositivo, compartir la capacidad de forma justa o dar prioridad a una aplicación. Cada uno necesita una coincidencia distinta.

Nombre el objetivo antes de la regla

Un límite por dispositivo necesita una coincidencia con la dirección de ese dispositivo, que solo existe dentro del túnel. La justicia entre flujos competidores necesita una cola que todos compartan, no una regla por host. La prioridad de aplicación necesita algo que identifique la aplicación, lo más difícil de los tres una vez que el cifrado elimina las cabeceras internas de la vista. Escribir primero el objetivo le dice qué dato necesita y dónde podría obtenerlo.

Un límite que funciona con tráfico directo de WAN no es prueba de que el mismo host esté cubierto dentro del túnel. Puede que la regla coincida con una dirección que nunca aparece en la cabecera que ve el modelador.

Dentro del túnel o fuera

Con un cliente VPN propiedad del router, muchos flujos de LAN viajan dentro de un solo transporte cifrado. Antes de la encapsulación el router aún ve el origen y el destino internos, así que la política adjunta en esa etapa puede clasificar por dispositivo. Después de la encapsulación, el equipo corriente solo ve la conexión exterior, y una coincidencia en el puerto VPN no dice nada sobre qué dispositivo es responsable. Ese único hecho decide dónde pertenece la regla.

Las plataformas difieren en cómo exponen esto. Algunas ofrecen un modelador que encola y clasifica en una interfaz de túnel; otras tratan los limitadores como reglas de interfaz que se comportan igual para el tráfico VPN y no VPN; algunas hacen ambas cosas con capacidades distintas. Lea la documentación propia del firmware para la interfaz que admite, en lugar de copiar un nombre de interfaz de la guía de otro fabricante.

Identifique dónde siguen disponibles las direcciones, dónde ocurre la traducción y qué cola controla realmente el cuello de botella.

Tres políticas, tres tipos de pruebas

Un límite de velocidad se demuestra con una transferencia sostenida desde el dispositivo limitado mientras otro transfiere a la vez. El reparto justo se demuestra con dos flujos que alcanzan tasas similares en lugar de que uno pase hambre, que es una medición distinta. La prioridad de aplicación se demuestra con una tarea interactiva que sigue ágil durante una transferencia masiva, y comprobando que el clasificador reconoció el flujo. Cada política necesita su propia observación, y ninguna se demuestra con una página de configuración.

La clasificación merece una sospecha especial. Una coincidencia en el puerto cifrado externo no puede recuperar la identidad de cada aplicación interna, así que una regla que parece priorizar una aplicación puede estar priorizando en la práctica todo lo que sale de ese túnel. Lea los contadores de la regla en lugar de su intención.

Mida la carga cifrada, no la desnuda

El modelado, la clasificación y el cifrado compiten por una sola CPU, y la aceleración por hardware puede hacer pasar el tráfico por delante de las mismas reglas y contadores que observa. Una cifra de rendimiento de una prueba de enrutamiento simple dice poco sobre el equipo bajo una carga cifrada y modelada. Pruebe ambas direcciones, varios clientes representativos y una pequeña tarea interactiva junto a la transferencia masiva. La agilidad bajo carga importa más que el pico en un enlace inactivo.

Incluya las excepciones en la medición: el tráfico que debe saltarse el túnel, ambas familias de direcciones si las dos están en juego, y qué ocurre cuando el túnel está caído. Una política que solo se comporta con sensatez mientras el túnel está sano es media política.

Escriba la especificación en tres líneas: la coincidencia de tráfico, el punto de aplicación y la carga medida. OpenVPN más QoS no es una especificación.